Sujet à la mode Vrais services Le faire ou l’acheter : compréhension indispensable. Vers une PKI...

• Sujet à la mode

• Vrais services

• Le faire ou l’acheter : compréhension indispensable.

Vers une PKI de l ’enseignement supérieur ?

Les principes 1/2

• Chiffrement asymétrique

• une paire de clefs

• On déchiffre avec une clef ce qui a été chiffré avec l ’autre

• Arbitrairement, on décide qu’une des clefs est publique, l’autre privée (secrète)

Les principes 2/2

• Confidentialité : je chiffre avec la clef publique de mon correspondant, seul le dépositaire de la clef privée associée peut déchiffrer.

• Signature : je crypte une empreinte du message avec ma clef privée. Vérifier la signature, c’est retrouver l’empreinte avec la clef publique de l’auteur.

Supériorité du chiffrement asymétrique :

• chiffrement symétrique : une clef secrète pour chaque couple de correspondant– nombre de clefs n2

– comment échanger des clefs qui sont secrètes ?

• chiffrement asymétrique lent, mais utilisé uniquement pour assurer le partage d’une clef de chiffrement symétrique allouée dynamiquement.

Sécuriser les clefs publiques 1/4

• Admettons la solidité des algorithmes de chiffrement…

• Il faut cependant être sur de la validité des clefs publiques que l ’on utilise.

Sécuriser les clefs publiques 2/4

• Idée de base : faire signer chaque clefs publiques par un tiers.

• Une clefs publique signée est appelée certificat x509

• Le tiers qui authentifie les clefs publiques est appelé autorité de certification.

Sécuriser les clefs publiques 3/4

• Idée de base : faire signer chaque clefs publiques par un tiers.

• Une clefs publique signée est appelée certificat x509

• Le tiers qui authentifie les clefs publiques est appelé autorité de certification.

Sécuriser les clefs publiques 4/4

• La clef publique d’une autorité de certification se présente toujours sous forme d’un certificat – autorité racine : certificat auto-signé– autorité subordonnée : certificat signé par une

autre autorité

• Exemples : Thawte, Entrust, Verisign, CertPlus

Exemples d’applications

TCP/IP

SSL

HTTPSIMAPSSTELNET

IPSEC

SMIME

SMTP

Les produits sont diffusés

• Apache, Roxen, IIS, oracle, netscape

• Stunnel, wrap8

• OpenSSL

• netscape, IE5, messenger, outlook, teraterm

eudora

Les conditions d’utilisation• Est-ce que ma clef privée est bien protégée, puis-je la

révoquer ?• Est-ce que les clefs privées des CA de la chaîne de

certification sont solides.• Qui sont ces CA?• Est-ce que le code que j’utilise fait bien ce qu’il semble

faire ?• Est-ce qu’il y a des risques d’homonymie ?• Ne pas confondre identification d’un tiers et la confiance

éventuelle dans ce tiers

Public Key Infrastructure

• Le rôle de la PKI est d’organiser la gestion des clefs.

• Autorité d’enregistrement

• Autorité de certification

• Service de publication

• Service de révocation

CA

RA

Root CA

Publication Révocation

Révocation

Eléments de service

• Service d’enregistrement : applique la politique de certification, c.a.d. déroule procédure pour valider l’identité de la personne.

• Service de certification : valide ce qui arrive de la RA

• Service de publication de certificat• Service de révocation • Service de recouvrement

Une vision simpliste ?

PKI Annuaire

web

home

Imap/mail

sgbd

goupware

license

QUI ?

QUOI ?

•Un seul mot de passe

•Une seule méthode de gestion

Exemples de questions

• Si on perd une clef privée, impossible de lire ou relire les messages chiffrés.

• Le service de recouvrement est-il une obligation légale ?

• Si la RA conserve une copie de la clef privée, il devient possible de révoquer un message.

• Solution : 2 certificats (au moins), un pour signer, un pour chiffrer, mais les produits ...

Les enjeux de taille

• Le battage médiatique sur les PKI prouve l’importance des enjeux économiques.

• Verisign rachète Thawte puis Networksolutions

• Le droit de la preuve est modifié

Les actions concrètes

• Une CA de test au CRU basée sur OpenCA / OpenSSL / OpenLDAP

• S/MIME intégré dans Sympa (1 prototype tourne)

• wgcert-pki@renater.fr

• Un tutorial l’an prochain