PKI, ou l'Internet en liberté surveillée

L'auberge espagnole Internet impose, par souci de sécurité, la mise en œuvre d'un système de chiffrement de données et d'authentification des utilisateurs. Ce système est désigné par le terme infrastructure à clé publique, ou PKI (Public Key Infrastructure).

L'ouverture du système d'information aux tiers et aux membres de l'entreprise situés à l'extérieur accroît sa vulnérabilité. Ce contexte oblige à authentifier les utilisateurs avant d'autoriser l'accès aux ressources informationnelles de l'entreprise et à garantir la confidentialité des données échangées. Les algorithmes de chiffrement satisfont amplement ce dernier besoin. Mais voilà : le contexte de communication en temps réel sur de longues distances oblige parfois à emprunter certaines ruelles menaçantes du Net. Ce danger interdit l'échange d'une clé secrète entre deux entités communicantes, à moins que celle-ci ne subisse à son tour une opération de cryptographie. Précisons que le terme entité recouvre aussi bien les échanges entre deux individus communiquant via une messagerie électronique qu'un échange entre un usager et une application de type web, ou encore entre deux extrémités matérielles (pare-feu, routeurs, passerelles de réseaux privés virtuels). Ainsi le chiffrement possible d'une clé secrète est à son tour stérile puisqu'il faudra également blinder la clé de chiffrement, et ainsi de suite... Heureusement, les algorithmes de cryptographie de type asymétrique permettent de sortir de ce cercle vicieux, car ils usent, à la base, d'un jeu de deux clés. La première, dite publique, pourra prendre le large, sans souci de confidentialité, vers d'éventuels interlocuteurs. L'autre clé, dite privée, reste au bercail dans l'attente d'un message à déchiffrer, et ce en relation avec la clé publique. Mais rien ne préserve la clé publique d'une interception frauduleuse. Autrement dit, un intrus peut s'interposer entre les entités émettrice et destinataire pour s'approprier une clé publique émise et/ou introduire sa propre clé publique et ainsi fausser les communications. Cette faille oblige à valider l'identité des propriétaires des clés publiques échangées. Un tel examen implique une autorité tierce, impartiale, qui délivrera un certificat électronique attestant la paternité de chaque clé publique. Cette infrastructure tripolaire d'échange de clé publique désignée par PKI (Public Key Infrastructure) s'applique aussi bien à une simple opération d'authentification qu'à un échange nécessitant une cryptographie.

L'asymétrie dans le chiffrement

Même s'il est difficile de briser une clé de longueur non négligeable (maximum en France : 128 bits), même s'il est possible d'user du téléphone ou du courrier postal pour garder le secret d'une clé, la solution monoclé apparaît nettement insuffisante. C'est pourquoi, dans un environnement PKI, l'algorithme de chiffrement asymétrique recueille tous les suffrages. Il faut comprendre par asymétrique l'usage de deux clés, l'une pour chiffrer et l'autre pour déchiffrer, par opposition au cryptosystème symétrique doté d'une seule et même clé. Cette dichotomie autorise la diffusion de la clé de chiffrage à des tiers sans aucune protection, d'où d'ailleurs l'appellation de clé publique. Le géniteur de cette clé se doit de garder jalousement en interne une contrepartie privée. Ces deux morceaux du même sésame sont étroitement liés : la clé publique correspond à un nombre entier, produit de deux nombres premiers composant la clé privée. Le niveau de protection tient dans la difficulté à retrouver les facteurs premiers du nombre entier correspondant à la clé publique. Par exemple, pour une clé publique égale à 4, l'énigme se réduit aux combinaisons de : 1x2 et 2x2. Mais pour une clé publique de plusieurs chiffres, le nombre des arrangements devient très vite trop important. En pratique, un utilisateur souhaitant garantir la confidentialité de ses communications diffusera la clé publique à ses interlocuteurs pour que ces derniers puissent brouiller tous les messages à son attention. A la réception de ces messages, il n'a plus qu'à retrouver la clé privée correspondant à la clé publique, à travers une table de corrélation pour en déchiffrer le contenu. Compte tenu de la lenteur de la cryptographie asymétrique, ce blindage se cantonne aux clés des algorithmes de chiffrement symétrique appliqués à la volée aux données.

Un passeport pour la clé publique

Le biais du cryptosystème asymétrique n'est pas infaillible puisqu'il ne garantit en rien l'origine du message. Pour répondre à cette exigence, il faut associer aux clés publiques des certificats numériques, délivrés par un tiers de confiance. Ces certificats attestent de la paternité des clés échangées lors de chaque session. Ils s'assimilent à des cartes d'identité virtuelles, délivrées par des autorités d'enregistrement, comparables à des préfectures, dépendantes d'une tutelle de certification faisant office de ministère de l'Intérieur. Autrement dit, cette autorité suprême émet les certificats tandis que l'autorité d'enregistrement ne fait que distribuer les pièces d'identité numériques. Outre la description de la clé publique et de l'algorithme de chiffrement associé, le certificat porte la date de péremption de ladite clé, le nom de son détenteur, ainsi que ses coordonnées professionnelles. En phase d'exploitation, l'utilisateur adresse sa demande de certificat à l'autorité d'enregistrement en fournissant plus ou moins de renseignements sur sa personne physique ou morale selon le degré de confiance recherché. Dans le cas le plus strict, cette requête nécessite l'envoi de justificatifs d'identité de nature papier comme l'attestation Afnic de propriété du domaine Internet ou encore l'extrait K-bis déterminant l'identité d'une société. Un déplacement physique de la personne peut même être envisagé. Après vérification des pièces jointes, le mandataire de certification transmet la demande à l'autorité de certification, qui lui retourne le certificat signé et publie ce dernier dans l'annuaire. A son tour, le mandataire renvoie au demandeur le certificat créé, qu'il utilisera comme passeport pour distribuer sa propre clé publique à des interlocuteurs potentiels. Ces derniers n'auront plus qu'à interroger l'annuaire pour contrôler la validité de la pièce d'identité ainsi que la base de données des certificats révoqués après la démission d'un employé, par exemple. L'ensemble de ce processus de contrôle caractérise le modèle PKI. Et pour éviter les dérives propriétaires, l'UIT a normalisé ce cadre fonctionnel sous la recommandation X.509.

Source : costkiller.net