La PKI, une solution universelle qui doit faire ses preuves
L’infrastructure à clé publique est présentée comme la solution universelle d’authentification. En théorie seulement, clament les sceptiques, qui attendent de voir des déploiements à grande échelle et à des coûts réalistes.
L’objectif de la PKI est de faire dialoguer des entités qui ne se connaissent pas, mais qui font confiance à une ou plusieurs entités communes.” Cette définition d’Yves Le Roux, consultant sécurité chez Entrust, résume a elle seule les ambitions de la PKI (Public Key Infrastructure) : tout authentifier, tout chiffrer et tout signer dans l’entreprise.Au c?”ur de la PKI : le certificat X. 509. Il s’agit d’une identité numérique qui sera délivrée à chaque collaborateur. Véritable passeport informatique, le certificat contient la clé publique de l’utilisateur et toute une série d’informations liées à son identité. Un certificat possède une durée de vie et il est chiffré, puis signé par l’autorité supérieure qui se charge de le délivrer après avoir vérifié l’identité de l’utilisateur selon les critères décidés par l’entreprise. Le certificat peut être émis et géré en interne ou bien acheté à une société tierce et géré à distance.
La PKI, un chantier d’envergure
Une fois ce ” passeport ” émis, le rôle de la PKI est de s’assurer qu’il est transmis et contrôlé à chaque accès à un service nécessitant une authentification. En cela, la PKI n’est qu’une infrastructure doublée de principes de contrôles, à l’image d’un réseau autoroutier et de ses péages. Les applications elles-mêmes sont ensuite ajoutées selon les besoins, telles des briques logicielles. Les principaux vendeurs de PKI (Baltimore, Entrust…) proposent des logiciels de chiffrement de courrier électronique, d’authentification client-serveur, etc. , compatibles avec une PKI fondée sur des certificats X. 509. En outre, de plus en plus d’éditeurs de logiciels propriétaires rendent leurs outils intégrables à une PKI. Enfin, il arrive que des éditeurs de PKI offrent des API de programmation afin d’intégrer aux développements internes des fonctions de vérification ou de révocation des certificats. Cela autorise l’intégration d’applications existantes à une PKI, au prix du développement d’une interface maison. Hélas, puisque la PKI est une infrastructure, et non une simple brique logicielle que l’on installe ” pour voir “, la déployer est un véritable projet d’entreprise. Cela exige de mettre à plat l’organisation de la société (Qui accède à quelle information ? Comment ? etc. ) et de faire des choix technologiques (posséder sa propre autorité de certification ou acheter les certificats à un tiers ? Quid des logiciels critiques à l’activité ?). Bien que des offres de PKI simplifiée arrivent, tout le monde n’est pas prêt aujourd’hui à mettre à plat son système d’information.
