Les serveurs d'autorit\u00e9 de certification (CA) repr\u00e9sentent une facette essentielle des communications Internet s\u00e9curis\u00e9es, car ils fournissent la base cryptographique n\u00e9cessaire aux connexions s\u00e9curis\u00e9es entre les clients et les serveurs. La fonction principale de ces serveurs est d'\u00e9mettre et de g\u00e9rer des certificats num\u00e9riques utilis\u00e9s pour authentifier et crypter les donn\u00e9es \u00e9chang\u00e9es sur les r\u00e9seaux publics.<\/p>\n
La notion d\u2019autorit\u00e9 de certification est apparue pour la premi\u00e8re fois dans les ann\u00e9es 1970, co\u00efncidant avec la naissance de la cryptographie \u00e0 cl\u00e9 publique. Les pionniers Martin Hellman et Whitfield Diffie ont invent\u00e9 ce syst\u00e8me de cryptage, o\u00f9 deux cl\u00e9s sont utilis\u00e9es : une priv\u00e9e, gard\u00e9e secr\u00e8te, et une publique, partag\u00e9e librement. Cependant, la v\u00e9rification de l\u2019authenticit\u00e9 des cl\u00e9s publiques n\u00e9cessitait un tiers de confiance, ouvrant la voie au concept d\u2019autorit\u00e9 de certification.<\/p>\n
La premi\u00e8re autorit\u00e9 de certification op\u00e9rationnelle a \u00e9t\u00e9 VeriSign, qui a commenc\u00e9 \u00e0 \u00e9mettre des certificats en 1995. \u00c0 mesure que le World Wide Web se d\u00e9veloppait, le besoin de communications crypt\u00e9es et d'un mod\u00e8le de confiance \u00e9volutif \u00e9tait \u00e9vident, et le r\u00f4le des autorit\u00e9s de certification est donc devenu de plus en plus important.<\/p>\n
Un serveur d'autorit\u00e9 de certification est une entit\u00e9 de confiance charg\u00e9e de d\u00e9livrer des certificats num\u00e9riques. Ces certificats authentifient l'identit\u00e9 des sites Web et assurent une transmission s\u00e9curis\u00e9e des donn\u00e9es sur Internet en \u00e9tablissant une connexion crypt\u00e9e.<\/p>\n
Lorsqu'un client (par exemple, un navigateur Web) demande une connexion s\u00e9curis\u00e9e avec un serveur (comme un site Web), le serveur pr\u00e9sente un certificat num\u00e9rique. Ce certificat, sign\u00e9 par une autorit\u00e9 de certification de confiance, garantit au client que le serveur est bien ce qu'il pr\u00e9tend \u00eatre. Sans ce certificat, des entit\u00e9s malveillantes pourraient se faire passer pour des serveurs l\u00e9gitimes, ce qui entra\u00eenerait des menaces de s\u00e9curit\u00e9 potentielles telles que le phishing ou les attaques de l'homme du milieu.<\/p>\n
Un serveur d'autorit\u00e9 de certification effectue trois t\u00e2ches fondamentales\u00a0: il v\u00e9rifie l'identit\u00e9 des entit\u00e9s demandant des certificats (validation de domaine), \u00e9met des certificats et conserve un enregistrement des certificats qu'il a \u00e9mis (et, dans certains cas, r\u00e9voqu\u00e9s).<\/p>\n
v\u00e9rification d'identit\u00e9<\/strong>: L'AC doit confirmer l'identit\u00e9 de l'entit\u00e9 demandant un certificat. Pour les sites Web, cela implique g\u00e9n\u00e9ralement de v\u00e9rifier que le demandeur contr\u00f4le le domaine pour lequel le certificat est demand\u00e9.<\/p>\n<\/li>\n D\u00e9livrance du certificat<\/strong>: Lors de la validation, l'AC cr\u00e9e un certificat num\u00e9rique. Ce certificat contient la cl\u00e9 publique du demandeur, des informations sur l'identit\u00e9 de l'entit\u00e9 et la signature num\u00e9rique de l'AC.<\/p>\n<\/li>\n R\u00e9vocation du certificat et informations sur l'\u00e9tat<\/strong>: Dans les cas o\u00f9 un certificat peut avoir \u00e9t\u00e9 compromis, l'AC a la possibilit\u00e9 de le r\u00e9voquer. L'AC tient \u00e9galement \u00e0 jour une liste de certificats \u00e9mis et r\u00e9voqu\u00e9s, connue sous le nom de liste de r\u00e9vocation de certificats (CRL) ou une solution plus moderne, le protocole d'\u00e9tat des certificats en ligne (OCSP).<\/p>\n<\/li>\n<\/ol>\n Les fonctionnalit\u00e9s fondamentales des serveurs d\u2019autorit\u00e9 de certification sont les suivantes\u00a0:<\/p>\n Fiabilit\u00e9<\/strong>: En tant qu'entit\u00e9s qui \u00e9tablissent la confiance sur Internet, les autorit\u00e9s de certification elles-m\u00eames doivent jouir de la confiance. Ils sont soumis \u00e0 des audits de s\u00e9curit\u00e9 rigoureux pour garantir la s\u00e9curit\u00e9 de leur infrastructure et de leurs pratiques.<\/p>\n<\/li>\n v\u00e9rification d'identit\u00e9<\/strong>: les serveurs CA v\u00e9rifient l'identit\u00e9 des entit\u00e9s demandant des certificats.<\/p>\n<\/li>\n D\u00e9livrance du certificat<\/strong>: les serveurs CA g\u00e9n\u00e8rent et signent des certificats num\u00e9riques.<\/p>\n<\/li>\n R\u00e9vocation du certificat<\/strong>: les serveurs d'autorit\u00e9 de certification maintiennent des m\u00e9canismes pour r\u00e9voquer les certificats et informer les clients de ces r\u00e9vocations.<\/p>\n<\/li>\n<\/ol>\n Il existe g\u00e9n\u00e9ralement deux types d'autorit\u00e9s de certification\u00a0:<\/p>\n AC publiques<\/strong>: Ces autorit\u00e9s de certification \u00e9mettent des certificats pour les serveurs accessibles au public, tels que les serveurs Web. Les navigateurs Web et les syst\u00e8mes d'exploitation leur font intrins\u00e8quement confiance, ce qui signifie que les certificats qu'ils \u00e9mettent sont accept\u00e9s sans avertissement. Les exemples incluent DigiCert, GlobalSign et Let's Encrypt.<\/p>\n<\/li>\n AC priv\u00e9es<\/strong>: Ces autorit\u00e9s de certification sont utilis\u00e9es au sein d'une organisation et ne sont pas intrins\u00e8quement fiables par les syst\u00e8mes externes. Ils d\u00e9livrent des certificats pour les serveurs internes, les utilisateurs et les appareils.<\/p>\n<\/li>\n<\/ol>\nPrincipales fonctionnalit\u00e9s des serveurs d'autorit\u00e9 de certification<\/h2>\n
\n
Diff\u00e9rents types d'autorit\u00e9s de certification<\/h2>\n
\n