On découvre que la clé privée correspondant au certificat serveur d'un serveur web a peut-être fuité. Le certificat n'a pas encore expiré. Quelle est l'action la plus appropriée pour l'exploitant ?

Réponse : C. Demander à l'autorité de certification (CA) de révoquer le certificat et faire émettre un nouveau certificat pour une nouvelle paire de clés

Un certificat est la déclaration « cette clé publique appartient à ce nom de domaine (ou à cette organisation) », signée par une autorité de certification (CA). En remontant les signatures jusqu'à une CA de confiance, les utilisateurs peuvent se fier à l'identité du propriétaire d'une clé publique. Ce mécanisme qui garantit le propriétaire des clés publiques à l'aide de CA et de certificats s'appelle PKI (infrastructure à clés publiques). Si une clé privée fuit, un attaquant peut usurper l'identité du vrai serveur ou falsifier des signatures. Un certificat reste valide jusqu'à son expiration ; sans attendre, l'exploitant demande donc à la CA de le révoquer et de le publier comme invalide. Les utilisateurs peuvent vérifier l'état de révocation au moyen des CRL (listes de révocation de certificats) ou d'OCSP. L'exploitant fait ensuite émettre un nouveau certificat pour une paire de clés nouvellement générée. Les clés publiques sont faites pour être publiques, et garder l'une d'elles secrète n'empêche pas l'utilisation abusive d'une clé privée qui a fuité.