PKCS10 : Public-Key Cryptography Standards #10
Gestion des clés
PKCS10 : Public-Key Cryptography Standards #10. « Norme de cryptographie à clé publique numéro dix », par analogie avec le formulaire de demande de passeport : on y inscrit son identité, on y colle sa photo, on signe en bas, et c'est une autorité qui décide.
Contenu : La demande porte le nom du demandeur (DN), sa clé publique et des attributs facultatifs, dont les extensions souhaitées comme les noms alternatifs (SAN). L'ensemble est encodé en ASN.1, en DER, souvent enrobé en PEM.
Preuve de possession : La demande est signée avec la clé privée correspondante : l'autorité vérifie ainsi que le demandeur détient bien cette clé, sans jamais la voir.
Simple souhait : Une CSR exprime un vœu, pas un droit. L'autorité reste libre de corriger, rogner ou refuser chaque champ, avec la sérénité d'une administration qui ne lit que ce qui l'arrange.
Transport : Ce format circule dans les protocoles d'enrôlement automatisé tels ACME, EST ou SCEP.
Ce qui arrive si on s'en passe
Sans demande signée par la clé privée, une autorité de certification n'aurait aucun moyen de vérifier que le demandeur détient réellement la clé qu'il présente. N'importe qui pourrait alors faire certifier la clé publique d'autrui sous sa propre identité, et semer la confusion sur l'origine des signatures. La signature de la demande ne prouve toutefois rien sur l'identité elle-même : les noms inscrits restent des déclarations. Une autorité qui recopie sans contrôle les champs d'une demande, en particulier les noms alternatifs, délivre des certificats valides pour des domaines ou des services que le demandeur ne possède pas.
Explication de la marmotte
Pour obtenir une carte d'identité numérique, un serveur ou une personne doit d'abord remplir une demande officielle. Ce document fixe la forme de cette demande : qui fait la demande, quelle est sa clé publique (la partie qu'on peut montrer à tout le monde), et quelques précisions. Le demandeur signe le tout avec sa clé secrète, un peu comme une signature manuscrite au bas d'un formulaire. L'organisme qui délivre les cartes vérifie cette signature, puis décide s'il accepte de fabriquer la carte.
Où ce terme est utilisé
- EST : enrôler des certificats X.509 par transport sécurisé (3 occurrences)
- Relier une clé à une identité: certificats et PKI (1 occurrence)