Français
Menu

Qu'est-ce que Autorité de certification ?

Organisme qui vérifie le lien entre une clé publique et son propriétaire (un nom de domaine ou une organisation) et émet des certificats dans lesquels il signe cette déclaration avec sa propre clé privée ; on dit aussi CA. Les certificats des autorités de certification racines (certificats racines) intégrés au magasin de confiance du système d'exploitation ou du navigateur sont le point de départ de la confiance : une autorité de certification racine émet des certificats pour des autorités de certification intermédiaires, qui en émettent à leur tour pour des serveurs et d'autres entités. Celui qui reçoit un certificat le vérifie en remontant les signatures du certificat serveur au certificat intermédiaire, puis au certificat racine (chaîne de certificats). Lorsqu'un certificat doit être invalidé, par exemple parce que sa clé privée a fuité, l'autorité de certification le révoque.

Nom japonais: 認証局

« Autorité de certification » apparaît dans 6 questions d'entraînement réparties sur 3 thèmes, dont Bases et applications de la cryptographie, Bases des réseaux informatiques, Bases de la sécurité de l'information.

Domaine: Bases et applications de la cryptographie

Ce que vérifie la validation d'un certificat

La validation vérifie que la chaîne de signatures remonte jusqu'à un certificat racine du magasin de confiance, que chaque certificat est dans sa période de validité, que le nom d'hôte auquel on se connecte figure dans le SAN (subject alternative name) du certificat, que le certificat est prévu pour cet usage et qu'il n'a pas été révoqué. Omettre une seule de ces vérifications peut laisser passer un faux serveur.

Validation du domaine et types de certificats

La plupart des certificats de serveurs web sont des certificats DV, qui confirment seulement que le demandeur contrôle le domaine ; ils peuvent être émis et renouvelés automatiquement grâce à un protocole appelé ACME. Il existe aussi des certificats OV et EV, qui confirment en outre l'existence de l'organisation, mais la force du chiffrement est la même.

Certificate Transparency

Pour se prémunir contre les certificats émis à tort à la suite d'erreurs ou du piratage d'une autorité de certification, on utilise Certificate Transparency : les certificats émis sont enregistrés dans des journaux publics en ajout seul. Les propriétaires de domaines peuvent surveiller les journaux pour vérifier qu'aucun certificat qu'ils ne reconnaissent pas n'a été émis pour leurs domaines.

S'entraîner : questions sur Autorité de certification

Quelle affirmation sur la chaîne de certificats, lorsqu'un navigateur valide le certificat d'un serveur web, est correcte ?

  1. AUn certificat serveur doit être signé directement par une autorité de certification racine, et les certificats émis par l'intermédiaire d'autorités de certification intermédiaires ne sont pas reconnus comme fiables
  2. BLe navigateur utilise tel quel le certificat racine envoyé par le serveur comme point de départ de la confiance
  3. CLe navigateur remonte les signatures du certificat serveur jusqu'au certificat de l'autorité de certification intermédiaire, et lui fait confiance si elles aboutissent à un certificat racine intégré à l'OS ou au navigateur
Afficher la réponse et l'explication

Réponse : C. Le navigateur remonte les signatures du certificat serveur jusqu'au certificat de l'autorité de certification intermédiaire, et lui fait confiance si elles aboutissent à un certificat racine intégré à l'OS ou au navigateur

En général, le certificat serveur est signé par une autorité de certification intermédiaire, et le certificat de celle-ci par une autorité de certification racine. Un certificat racine est un certificat signé par lui-même ; il est intégré à l'avance au magasin de confiance (trust store) de l'OS ou du navigateur et sert de point de départ de la confiance. Le serveur envoie son propre certificat et le certificat intermédiaire, et le navigateur remonte les signatures une à une pour vérifier qu'elles aboutissent à un certificat racine du magasin de confiance. Comme la clé privée racine est conservée hors ligne sous une protection stricte et que l'émission courante est assurée par des autorités de certification intermédiaires, il suffit, en cas de problème, de révoquer le certificat de l'autorité de certification intermédiaire.

Questions fréquentes

Qui signe un certificat racine ?

Un certificat racine est un certificat autosigné, signé avec sa propre clé privée. Sa fiabilité ne vient pas de la signature, mais du fait que l'éditeur du système d'exploitation ou du navigateur l'a examiné et placé dans le magasin de confiance. C'est pourquoi, si quelqu'un ajoute à l'insu de l'utilisateur un certificat racine à un magasin de confiance, son propriétaire peut contrefaire des certificats pour n'importe quel site.

Pourquoi les autorités de certification racines n'émettent-elles pas directement les certificats serveur ?

Parce que si une clé privée racine fuyait, les dégâts dureraient jusqu'à la mise à jour des magasins de confiance. Les clés privées racines sont conservées hors ligne sous une protection stricte, par exemple dans des HSM, et l'émission courante est assurée par des autorités de certification intermédiaires. Si une autorité de certification intermédiaire a un problème, il suffit de révoquer son certificat.

« Autorité de certification » dans les explications

Questions mentionnant « Autorité de certification » (6)

  1. Quelle affirmation sur la chaîne de certificats, lorsqu'un navigateur valide le certificat d'un serveur web, est correcte ?
  2. Parmi les propositions suivantes, laquelle est protégée par HTTPS (HTTP protégé par TLS) ?
  3. Avec TLS, pourquoi un navigateur peut-il conclure que le serveur auquel il se connecte n'est pas un imposteur ?
  4. On découvre que la clé privée correspondant au certificat serveur d'un serveur web a peut-être fuité. Le certificat n'a pas encore expiré. Quelle est l'action la plus appropriée pour l'exploitant ?
  5. Quelle description du mécanisme de Certificate Transparency (CT) est correcte ?
  6. Quelle affirmation sur le rôle d'un HSM (module matériel de sécurité) est correcte ?

Termes associés

TLS (Transport Layer Security) HTTP (Hypertext Transfer Protocol) Échange de clés Diffie-Hellman HSM (module matériel de sécurité) Résistance à l'effraction (tamper resistance) TPM AES (Advanced Encryption Standard) Agilité cryptographique (crypto-agilité) Attaque des anniversaires Chiffrement authentifié (AEAD)

Retour au glossaire