Les ICP, infrastructures à clés publiques (PKI, en anglais) vont-elles enfin acquérir leurs lettres de noblesse ? Il serait temps ! Car ?” et c’est peu dire ?” l’ICP fut une technologie en avance sur son époque. L’acte fondateur remonte maintenant à plus d’une trentaine d’années. Plus précisément, c’est en 1977 que trois brillants cryptographes issus du MIT, Ronald Rivest, Adi Shamir et Leonard Alderman, conçoivent l’algorithme à clé publique RSA. Une invention estampillée par leurs initiales. Maintes fois imité, RSA n’a encore jamais été supplanté. Il demeure l’algorithme à clé publique le plus largement diffusé au monde. Son principe est à la fois simple et élégant : basé sur la factorisation de nombres entiers, RSA emploie un mécanisme dit biclé. L’une privée, l’autre publique, elles sont dérivées mathématiquement l’une de l’autre. Mais il est extrêmement difficile de reconstituer une clé RSA à partir d’une seule biclé. Et pour cause : la clé publique est placée en libre accès, alors que la clé privée ne doit être divulguée sous aucun prétexte. Grand avantage : RSA supprime la distribution fastidieuse entre chaque correspondant de leur clé secrète. Ce qu’imposait jusque-là la cryptographie symétrique, dont les implémentations remontent, elles, à la nuit des temps. L’emploi de la cryptographie, qu’elle soit asymétrique ou symétrique, a longtemps été freiné. Jusqu’à la fin des années quatre-vingt, les militaires et leurs fournisseurs attitrés, ainsi que les services diplomatiques en ont fait leur chasse gardée. Il faudra attendre l’achèvement de la guerre froide pour que cette chape de plomb se lève enfin. L’explosion mondiale du réseau internet, quelques années plus tard, fournit le vrai déclic. Pour la première fois, la cryptographie fait alors irruption dans le domaine civil et commercial. La France a, pour sa part supprimé en 1990 la classification d’arme de guerre attribuée à la cryptographie. Toutefois, le dernier chapitre de sa démocratisation reste encore à écrire.La cryptographie asymétrique à base de clé RSA est versatile. Dans le cadre d’une ICP, elle seule réalise une synthèse entre les principaux piliers de la sécurité. A commencer par les services d’authentification : deux parties s’assurent de leur identité respective. L’authentification par clé asymétrique est un progrès important sur l’emploi d’un seul mot de passe ?” un procédé encore plébiscité par les entreprises. L’authentification est souvent le premier pas fait par les entreprises pour franchir le Rubicon des ICP. Pour les motiver, les éditeurs intègrent à l’authentification des fonctions de contrôle d’accès. La définition des droits d’accès repose aussi sur la cryptographie à clés publiques.Seul gros défaut des clés RSA : leur lenteur de calcul. La mise en ?”uvre de services de confidentialité, deuxième pilier des ICP, en témoigne ?” surtout lorsqu’il s’agit de chiffrer des documents volumineux. Dans ce cas, RSA a besoin du renfort de la cryptographie symétrique. Et pour cause : une clé symétrique de 128 bits de type Idea calcule cent fois plus rapidement qu’une clé RSA de 1 024 bits. Ce facteur est multiplié par cent lorsque le calcul s’effectue à partir d’un support matériel. Mais les clés RSA sont indispensables pour l’échange de la clé secrète symétrique. L’union entre la dextérité de la cryptographie asymétrique et la rapidité de la cryptographie symétrique fait la force. La signature électronique est, de loin, le service le plus associé à RSA. Ses deux atouts sont l’intégrité et la non-répudiation.
Une partie tierce indispensable
La clé privée RSA sert à signer un document, ou, plus précisément, un condensé du document ?” lenteur de calcul de RSA oblige. Une clé supplémentaire, dite de “hashing”, génère ce condensé. La clé privé RSA protège cette représentation du document. A l’arrivée, l’intégrité est assurée si le condensé du document original correspond à la restitution du condensé protégé par la clé RSA. La signature électronique s’imprègne du document signé et présente donc une sécurité plus élevée que la signature manuscrite. Pour la non-répudiation, la clé RSA privée du destinataire vérifie la signature de l’expéditeur.Sans interposition d’une partie tierce, la réalisation de ces promesses est impossible. Et ce quel que soit le service ?” authentification, signature, etc. La partie tierce s’appelle, dans la plupart des cas, autorité de certification. Sa mission ? Etre le garant des identités associées aux clés des utilisateurs d’une ICP. Son mode de fonctionnement ? Sa clé privée signe leurs clés publiques. L’autorité de certification associe à chaque clé publique un certificat d’authentification ?” sorte de passeport numérique. La clé publique d’une première autorité de certification peut, à son tour, être signée par la clé privée d’une deuxième autorité de certification. Et ainsi de suite. Une clé racine régit ainsi toute une hiérarchie d’autorités de certification. D’où la notion d’infrastructure à clés publiques. Les standards et protocoles des ICP sont, dans l’ensemble, matures. Et, de surcroît, ils sont placés dans le domaine public. Dès 1988, l’ITU a défini les standards X.509 et X.500, complétés depuis par LDAP (Lightweight Directory Protocol). Ils s’appliquent, respectivement, aux annuaires et aux certificats. La série de standards PKCS#, publiés par les laboratoires de RSA Security, définissent les formats de message dans une ICP. Sont apparus, par la suite, OSCP (Online Certificate Status Protocol) pour la vérification en temps réel des certificats révoqués, ou encore CMP (Certificat Management Protocol) pour la gestion de son cycle de vie. L’IETF (Internet Engineering Task Force) encourage aussi un cadre global, baptisé PKIX. Tout cela n’empêche pas les fournisseurs de s’empoigner sur leurs implémentations respectives.
Les grands comptes encore réticents
En matière de déploiement, les entreprises entendent garder la maîtrise de leur ICP. L’intégration et l’exploitation en sont les plus gros défis. Passée à l’acte récemment, BNP Paribas reconnaît, à ce titre, que c’est un véritable chantier, auquel s’ajoute la formation des salariés, une ICP étant un projet très structurant pour les employés. Autre étape indispensable : la rédaction d’un code de conduite interne, défini par la politique de certification (PC) et la déclaration des pratiques de certification (DPC).Les cycles décisionnels sont donc forcément longs. Tout cela n’empêche pas l’émergence d’une avant-garde d’entreprises pionnières. Mais leur effet d’entraînement se fait sentir doucement. Selon l’éditeur Baltimore, pas plus de 5 % des grands comptes européens se sont laissés séduire par les bienfaits de l’ICP. Alors que son frère ennemi Entrust admet qu’aucun déploiement parmi ses clients ne dépasse encore les trente mille utilisateurs. Manifestement, l’indissociable duo parefeu/antivirus tient encore le haut du pavé. Peu surprenant, dans ces circonstances, que les éditeurs de plates-formes d’ICP, Entrust et Baltimore, battent actuellement de l’aile. Certains pointent aussi du doigt les prix trop élevés pratiqués par les éditeurs. Chacun tente de recentrer son discours sur la simplicité d’emploi. Entrust serait même allé jusqu’à proscrire le terme de PKI de son argumentaire commercial.Les entreprises n’ont pas encore été tentées par l’alternative des services ICP. Baltimore et Entrust ont eu beau rallier sous leur bannière respective de nouveaux prestataires de services, ils ne rencontrent, pour l’instant, qu’un succès mitigé. L’avantage de ce modèle économique n’est pas négligeable, puisqu’il décharge les entreprises utilisatrices de la complexité du système. Ils exploitent pour les entreprises les composants de l’infrastructure et implémentent les standards. Mais l’équilibre entre produits et services restera quasi intact, à en croire les estimations de Datamonitor ?” respectivement 1,2 et 1,6 milliard de dollars en 2006. Le service emporte un succès plus vif pour les échanges B to B ?” en dehors, donc, du périmètre interne de l’entreprise. La création il y a trois ans d’Identrus en est une bonne illustration : plus d’une cinquantaine d’institutions financières ?” parmi elles, les principales banques françaises ?” sont actionnaires de cette entité, dont la mission est de devenir l’opérateur, au nom des banques membres, d’une infrastructure mondiale d’ICP. Pour ce faire, Identrus opère la clé racine, et il a rédigé sa propre politique de certification et déclaration de pratique de certification. Soucieux de l’interopérabilité, Identrus va jusqu’à certifier compatibles les applications de dizaines d’éditeurs partenaires ?” messagerie, PGI, etc. De fait, Identrus est né de la crainte des banques de se voir souffler leur intermédiation par l’internet.
Les prestataires de services se lancent dans la course
Le modèle économique des services ICP est, en revanche, taillé sur mesure pour les PME et le grand public. Le nombre d’échanges candidats à la dématérialisation se chiffrent en plusieurs millions, voire plusieurs milliards. De la souscription d’un prêt immobilier au paiement des impôts jusqu’à l’échange d’un billet doux, les services les plus plébiscités sont la signature électronique et la confidentialité.Les supports à distribuer ou à équiper sont tout aussi nombreux ?” cartes à puce, terminaux mobiles, etc. Le déploiement d’une infrastructure de cette envergure passe par des prestataires aguerris et dignes de confiance. Séduits par ces perspectives, une foule de prestataires de services ICP se sont lancés dans la course. Ces opérateurs sont, dans de nombreux cas, des établissements publics ?” par exemple, La Poste. Figurent aussi des entreprises privées. Dans l’Union européenne, on en dénombre à ce jour plus d’une cinquantaine. Les investissements consentis pour déployer cette infrastructure sont forcément importants, alors même que le décollage commercial se fait attendre. Le champion national helvétique Swisskey, par exemple, a été contraint de mettre la clé sous la porte cet été. Tous souffrent aujourd’hui du flou du cadre juridique et technique, ainsi que de la conjoncture économique morose.Le seul à tirer son épingle du jeu est l’Américain Verisign. Champion des services ICP, il dispose de deux atouts. Premièrement, il a créé un réseau mondial de prestataires de services ICP affiliés, dont Certplus en France. Comparé à ses concurrents nationaux, Verisign a d’ores et déjà atteint une taille commerciale critique.Deuxièmement, Verisign profite d’un positionnement habile. Dès sa création en 1995, il s’est institué autorité de certification sur l’internet. Résultat : il contrôle aujourd’hui plus de 90 % du marché des certificats SSL. Ce protocole de sécurité n’emploie pourtant qu’une version édulcorée des ICP. Pour Verisign, l’essentiel consiste d’abord à occuper le terrain. En face, les Etats ont une rôle d’arbitre à jouer. Ils construisent d’abord le contexte juridique et posent ensuite le cadre technique et opérationnel.Cela comprend l’imposition aux fournisseurs de critères de sécurité stricts. L’Etat pose ainsi les jalons de l’interopérabilité, puis il définit et publie un cadre de standards.En Europe, l’Allemagne est le seul pays à avoir poussé jusqu’au bout cette démarche. Celle-ci mêle judicieusement ouverture et encadrement. Preuve s’il le fallait que la sécurité, dont l’ICP est la quintessence, est d’abord et surtout une question de volonté et de vision.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
