Certificat électronique
Pour les articles homonymes, voir Certification.Un certificat électronique ( aussi appelé certificat numérique ou certificat de clé publique) peut-être vu comme une carte d'identité numérique. Il est utilisé principalement pour identifier une entité physique ou morale, mais aussi pour chiffrer des échanges.
Il est signé par un tiers de confiance qui atteste du lien entre l'identité physique et l'entité numérique (Virtuel).
Le standard le plus utilisé pour la création des certificats numériques est le X.509.
Sommaire |
[modifier] Fonctionnement
Le principe de fonctionnement des certificats électroniques est basé sur le chiffrement d'informations et sur la confiance. Pour cela, il existe deux méthodes de chiffrement :
[modifier] Clés symétriques
Cette méthode est la plus simple à comprendre : si Anne (A) veut envoyer un message chiffré à Bob (B) elle doit lui communiquer un mot de passe (Clé). Comme l'algorithme de chiffrement est symétrique, on a la relation suivante :
TexteCodé = Chiffrement(Clé, Texte)
Ainsi, Anne peut aussi décoder un message en provenance de Bob avec la même clé. La situation peut cependant devenir complexe, si Anne doit envoyer un message codé à Bob et à Charlie mais qu'elle ne souhaite pas donner la même clé à Charlie. Plus le nombre de personnes est grand, plus il est difficile de gérer les clés symétriques.
[modifier] Clés asymétriques
La propriété des algorithmes asymétriques est qu'un message codé par une clé publique n'est lisible que par le propriétaire de la clé privée correspondante. À l'inverse, un message chiffré par la clé privée sera lisible par tous ceux qui possèdent la clé publique.
Ainsi la clé privée de Anne permet de prouver qu'elle est l'auteur d'un message, alors que sa clé publique préservera le contenu du message à destination d'Anne car il ne sera lisible que par celle-ci.
[modifier] Certificat
Un certificat électronique est un ensemble de données contenant :
- au moins une clé publique ;
- des informations d'identification, par exemple : noms, localisation, emails ;
- au moins une signature ; de fait quand il n'y en a qu'une, l'entité signataire est une autorité dont elle-seule permet de prêter confiance (ou non) à l'exactitude des informations du certificat.
[modifier] Serveur de clés
Les certificats sont stockés par des serveurs de clés, qui peuvent aussi faire office d'autorité d'enregistrement et de certification (repère A).
Ils recensent et contrôlent les certificats. Ils possèdent souvent une liste (repère B) des certificats révoqués.
[modifier] Description des principaux certificats
Les certificats électroniques respectent des standards spécifiant leur contenu de façon rigoureuse. Les deux formats les plus utilisés aujourd'hui sont :
- X.509 dont plusieurs RFC définissent les propriétés et usages [citation nécessaire] ;
- OpenPGP, défini dans la RFC 4880[1].
La différence notable entre ces deux formats est qu'un certificat X509 ne peut contenir qu'un seul identifiant, que cet identifiant doit contenir de nombreux champs prédéfinis, et ne peut être signé que par une seule autorité de certification. Un certificat OpenPGP peut contenir plusieurs identifiants, lesquels autorisent une certaine souplesse sur leur contenu, et peuvent être signés par une multitude d'autres certificats OpenPGP. Ce qui permet alors de construire des toiles de confiance.
Les certificats électroniques et leurs cycles de vie (cf. Certificate Revocation List, Protocole de vérification en ligne de certificat) sont gérés au sein d'infrastructures à clés publiques.
[modifier] Utilisation des certificats
[modifier] Sécurité des systèmes d'information
Les certificats électroniques peuvent être utilisés dans différentes applications informatiques dans le cadre de la sécurité des systèmes d'information pour garantir :
- la non-répudiation et l'intégrité des données avec la signature numérique ou signature électronique (avancée) ;
- la confidentialité des données grâce au chiffrement des données ;
- l'authentification ou l'authentification forte d'un individu ou d'une identité non-physique (Web Serveur - SSL, Poste de travail - 802.1x, VPN IPSEC - SSH - SSL, Code Mobile, documents électroniques).
[modifier] L'interopérabilité
Dans certains cas, le certificat peut être associé à l'élément « identifiant » des registres de métadonnées (10e élément dans le Dublin Core) pour l'interopérabilité [2].
[modifier]
Les certificats sont très largement utilisés sur les sites de e-commerce, webmails ou autres sites sensibles (banques, impôts, etc.) Plusieurs niveaux de chiffrement existent et plusieurs fonctionnalités associées rendent la compréhension des certificats complexe.
[modifier] Certificats X.509 standards
Ce sont les certificats classiques, qui existent depuis plusieurs années. Le chiffrement varie entre 40 bits et 256 bits. Cela est dû en partie à la capacité des navigateurs et à la législation en vigueur. Généralement, les sociétés éditrices de certificats proposent 40 bits ou 128 bits garantis.
[modifier] Certificats X.509 étendus
Ce sont les certificats qui sont pris en charge dans les navigateurs récents et qui permettent l'affichage d'un fond vert (indiquant ainsi un site de confiance garantie). L'abréviation EV signifie "Extended Validation".
[modifier] Certificats X.509 multidomaines
Appelés certificats omnidomaines ou "wildcard", ils permettent de certifier un domaine complet : *societe.fr → www.societe.fr, www.public.societe.fr, societe.fr, etc
[modifier] Certificats X.509 multisites
Ils sont utilisés par les hébergeurs qui doivent fournir plusieurs domaines sur une seule adresse IP. @IPserveur → www.societe.fr, www.compagnie.fr, www.entreprise.com, ...
[modifier] Certificats OpenPGP
Alors que les premiers sites web "sécurisés" ne pouvaient utiliser que des certificats X.509, l'exploitation de la RFC 6091[3] permet désormais d'utiliser des certificats OpenPGP afin de faire du HTTPS.
[modifier] Certificats et courriels
L'utilisation des certificats pour chiffrer, ou signer des courriels se fait en utilisant le standard S/MIME qui permet l'encapsulation des données cryptographiques dans le format MIME des courriels.
Lorsqu'un utilisateur est certifié, une icône permet généralement de le savoir :
Leur utilisation est controversée, car la signature est ajoutée comme élément supplémentaire au contenu du courriel. Par conséquent, l'utilisation de certificats sur des listes de diffusions peut résulter en l'invalidation de la signature, du fait des modifications effectuées par le moteur traitant la liste.
De plus, de nombreuses messageries en ligne (ou « webmails ») et clients de messagerie ne gèrent pas le format S/MIME, ce qui perturbe parfois les utilisateurs voyant une pièce jointe « smime.p7m » apparaître dans leurs messages.
Dans le cadre des messageries en ligne, une problématique supplémentaire est en cause, celle de la confiance dans l'opérateur. En effet, utiliser son certificat sur un webmail implique obligatoirement que le fournisseur de ce service partage les éléments secrets du certificat (clé privée et mot de passe), sans quoi il ne peut réaliser la signature, ou le chiffrement. Et cela implique qu'il doive aussi fournir un moteur de cryptographie.
[modifier] Références
- (en) Request for Comments no 4880.
- Voir Dictionnaire de métadonnées pour le référentiel des publications CNRS.
- (en) Request for Comments no 6091.
[modifier] Voir aussi
[modifier] Articles connexes
- Signature numérique
- Chiffrement
- Cryptographie_asymétrique
- Infrastructure à clés publiques (aussi appelées PKI).
- Authentification forte
- Identité numérique
- Alice et Bob
[modifier] Liens externes
- Les certificats (définition sur www.commentcamarche.net)
- Liste des autorités de certifications et des certificats électroniques reconnus par le Ministère de l'Économie en France
- Legalyspace (Autre Autorité de certification)
