PKI : comprendre les clés et certificats
Auteur : Rédaction Domeny.ForSale Publié le
En bref : PKI est une infrastructure à clé publique : un ensemble de certificats, d’organismes, de procédures et d’outils qui permet d’associer une clé cryptographique à un domaine, une personne ou un appareil. Un navigateur peut ainsi vérifier qu’il se connecte au bon serveur, et un réseau d’entreprise reconnaître un ordinateur autorisé. PKI est à la base de nombreux usages de HTTPS, de l’authentification et des signatures numériques, mais ne garantit à elle seule ni l’honnêteté du propriétaire d’un site ni la sécurité de l’ensemble du système.
Comment PKI associe une clé à une identité
Le sigle PKI vient de l’anglais Public Key Infrastructure. Cette infrastructure repose sur la cryptographie asymétrique, qui utilise une paire de clés liées mathématiquement : une clé publique et une clé privée. La clé publique peut être partagée, tandis que la clé privée doit rester sous le contrôle de son propriétaire.
Dans le cas d’une signature numérique, la clé privée sert à créer la signature et la clé publique à en vérifier la validité. Une vérification réussie confirme que la signature a été créée avec la clé privée correspondante et que les données signées n’ont pas été modifiées. Toutefois, la paire de clés ne permet pas, à elle seule, de savoir à qui elle appartient.
Le certificat numérique résout ce problème : il s’agit d’une attestation électronique qui associe une clé publique à une entité ou à un identifiant précis, par exemple un nom de domaine. Il contient notamment la clé publique, les informations sur l’entité, l’émetteur, la période de validité et les usages autorisés. Dans le format courant X.509, le certificat porte la signature numérique de son émetteur.
La portée de cette attestation dépend du type de certificat. Un certificat de serveur HTTPS de base atteste le contrôle du domaine indiqué selon la procédure de l’émetteur, et non la fiabilité d’une boutique ou la qualité de son offre.
De quoi se compose une infrastructure PKI
PKI ne se limite pas à un certificat : c’est un système complet de délivrance et de gestion des attestations. Ses principaux éléments sont les suivants :
- Autorité de certification (CA) — délivre et signe les certificats, attestant une association précise entre une clé et une entité.
- Autorité d’enregistrement (RA) — vérifie les demandes et le droit à obtenir un certificat. La CA peut elle-même remplir cette fonction.
- Magasin de confiance — ensemble de certificats de confiance, géré par exemple par le système d’exploitation, le navigateur ou l’administrateur de l’entreprise.
- Mécanismes de vérification de la révocation — permettent de déterminer si un certificat a été révoqué avant la fin de sa validité. Ils comprennent les listes CRL et le protocole OCSP.
- Règles et outils de gestion — définissent qui reçoit un certificat, comment les clés sont protégées et comment se déroulent le renouvellement ou la révocation.
La confiance s’établit généralement sous forme de chaîne : le certificat du serveur est signé par une CA intermédiaire, dont le certificat mène à une autorité racine de confiance, appelée root CA. Le certificat racine est généralement autosigné, mais ce n’est pas cette signature qui le rend digne de confiance. C’est son inclusion préalable dans le magasin de confiance qui est déterminante.
Que se passe-t-il lors d’une connexion HTTPS ?
HTTPS est HTTP protégé par le protocole TLS, qui sécurise les communications entre le navigateur et le serveur. Dans ce processus, PKI aide à confirmer l’identité du serveur.
Supposons que vous ouvriez le site boutique.example. Pour simplifier, le navigateur effectue les opérations suivantes :
- Il reçoit le certificat du serveur et les certificats intermédiaires nécessaires pour construire la chaîne de confiance.
- Il vérifie que le certificat couvre le nom
boutique.example, qu’il est encore valide et qu’il peut servir à authentifier le serveur. - Il vérifie les signatures de la chaîne et s’assure qu’elle mène à une autorité de confiance. Le traitement des informations de révocation dépend du logiciel et de ses politiques.
- Lors de la négociation TLS, il vérifie la preuve que le serveur détient la clé privée correspondante et négocie les clés de session.
Le certificat ne chiffre pas à lui seul l’ensemble du trafic. Dans les versions modernes de TLS, les données sont protégées par une cryptographie symétrique performante, qui utilise les clés de session négociées. Le certificat et la clé privée servent avant tout à authentifier le serveur.
Une connexion HTTPS correctement établie protège les données transmises, mais n’atteste pas les bonnes intentions du destinataire. Une boutique frauduleuse peut elle aussi disposer d’un certificat valide pour son domaine.
PKI publique ou privée : que choisir ?
Une PKI publique repose sur des autorités auxquelles les navigateurs et les systèmes accordent largement leur confiance. C’est le choix adapté à un site accessible au public : les visiteurs ne devraient pas avoir à installer manuellement le certificat de votre autorité. Lors du choix d’un service, vérifiez sa compatibilité actuelle avec les logiciels clients utilisés, ses règles de validation et ses possibilités de renouvellement automatique.
Une PKI privée fonctionne au sein d’une organisation ou d’un environnement contrôlé. L’entreprise définit elle-même les règles de délivrance des certificats et configure les appareils qu’elle gère pour qu’ils fassent confiance à sa propre CA. Ces certificats ne sont pas automatiquement reconnus comme fiables sur les ordinateurs des clients extérieurs à l’entreprise.
Par exemple, le site public d’une entreprise a besoin d’un certificat reconnu par les navigateurs des utilisateurs. En revanche, une PKI privée peut servir à authentifier les ordinateurs portables professionnels sur le réseau Wi-Fi : chaque ordinateur reçoit son propre certificat, qui peut être révoqué si l’appareil est perdu. Une PKI privée est aussi parfois utilisée pour les VPN et mTLS, c’est-à-dire TLS avec authentification par certificat des deux parties à la connexion.
Que faut-il gérer après la délivrance du certificat ?
Les responsabilités les plus importantes commencent après la mise en service du système. Les clés privées doivent être protégées contre la copie et les usages non autorisés. Les certificats doivent être inventoriés, leurs échéances surveillées et leur renouvellement assuré efficacement. L’expiration d’un certificat peut interrompre le fonctionnement d’un site, d’une interface API ou de l’accès au réseau.
Si une clé privée a été divulguée, il ne suffit pas de télécharger à nouveau le certificat. Il faut générer une nouvelle paire de clés, obtenir un nouveau certificat, révoquer le précédent et éliminer la cause de la fuite. L’efficacité de la révocation dépend aussi de la vérification du statut du certificat par les systèmes qui l’utilisent.
Avant le déploiement, déterminez qui doit faire confiance aux certificats : tous les internautes ou uniquement les appareils gérés. Attribuez ensuite les responsabilités liées à la protection des clés, au renouvellement automatique et à la réaction en cas de compromission des clés. Sans ces dispositions, même une PKI correctement configurée sera difficile à maintenir en toute sécurité.
À lire aussi : Qu’est-ce que MCP ?
À lire aussi
