Infrastructures à clé publique : une voie royale mais difficile
Moyennant un effort technique et organisationnel important, une infrastructure à clé publique permet de gérer le chiffrement à l’échelle de l’ensemble du système d’information.
Basée sur la notion de chiffrement asymétrique, une infrastructure à clé publique comprend un ensemble de logiciels, de matériels et de procédures qui couvrent, dans l’idéal, l’ensemble du système d’information de l’entreprise, y compris ses clients et partenaires dans le cas d’applications de commerce électronique. Chaque ressource se voit dotée d’un certificat, d’une paire de clés (l’une publique, l’autre privée) et d’une fonction logicielle lui permettant de reconnaître et d’exploiter les clés et certificats des autres ressources. L’utilisateur est souvent reconnu par la PKI (Public Key Infrastructure) grâce à sa carte à puce, qui accueille son certificat et ses clés.
La signature est complémentaire du chiffrement
Par ailleurs, différents logiciels permettent aux utilisateurs de demander des certificats, puis aux personnes autorisées et au système d’information de leur répondre positivement, de les produire, de les distribuer, puis de refuser ceux qui ont été révoqués. Les principales briques nécessaires sont constituées par le serveur d’enregistrement, le serveur de certificats et le serveur de révocation.Ces briques sont commercialisées par des éditeurs comme RSA Security, Tivoli, Baltimore, Entrust, le français CS, et depuis peu, Microsoft. Windows 2000 Server est en effet livré avec un serveur de certificats et un serveur d’enregistrement. La PKI est ainsi en mesure d’offrir des services de sécurité comme le chiffrement des données et la signature électronique, qui garantit l’intégrité de ces données et la non-répudiation des messages, ainsi que l’authentification des parties.Potentiellement, ces services peuvent être mis à profit par toute ressource correctement intégrée à la PKI. Ainsi, deux passerelles de RPV, un PC et une passerelle de RPV, deux utilisateurs de la messagerie, ou un utilisateur et une application s’authentifieront mutuellement et dialogueront en toute confidentialité.L’installation d’une PKI représente toutefois un vaste projet d’intégration technique, d’autant plus délicat que la standardisation reste déficiente. Il existe bien des normes (comme les certificats X. 509) mais leurs différentes implémentations limitent, pour l’instant, l’interopérabilité entre PKI hétérogènes. De plus, à l’exception du web et de la messagerie, les modules logiciels permettant l’intégration des applications (PGI ou développements spécifiques) ne sont pas toujours disponibles. Une PKI nécessite, en outre, la mise en place, toujours lourde, d’une organisation visant essentiellement à délivrer les certificats numériques, dans de bonnes conditions de sécurité.
