PKI expliquee

PKI expliquee

Explication de la marmotte

Cette infrastructure ressemble au service qui délivre les cartes d’identité : une autorité reconnue vérifie qui l’on est, fabrique une carte difficile à falsifier, la renouvelle quand elle expire et la déclare invalide si elle est volée. Ici, les cartes servent surtout à des machines et à des logiciels qui doivent prouver qui ils sont.

→ Lire l’explication complète de la marmotte

Statut

Brouillon editorial.

Objectif

Donner une premiere lecture claire d’une PKI et de son role dans l’identite machine, la signature et le chiffrement.

Resume

Une PKI organise la creation, la distribution, la validation et la revocation de certificats. Cette page servira a relier vocabulaire, roles organisationnels et usages techniques.

Sections prevues

• autorite racine, AC intermediaire et certificats ;
• cycle de vie d’un certificat ;
• usages classiques : TLS, signature, authentification ;
• revocation, renouvellement et contraintes de gouvernance ;
• liens avec module cryptographique materiel et mTLS.

Liens internes utiles

• TLS explique
• mTLS
• Relier une cle a une identite

A completer pour devenir page de reference

• ajouter un schema de chaine de confiance
• ajouter un exemple de cycle de certificat
• ajouter une FAQ
• ajouter les sources

🐝 Ce qui arrive si on s’en passe

Sans infrastructure tenue, chaque équipement fait confiance à sa manière : certificats auto-signés acceptés d’un clic, clés publiques recopiées à la main, exceptions ajoutées au fil des incidents. Personne ne peut alors retirer la confiance accordée à une clé volée, faute d’un point de révocation que tous consultent, et la clé compromise reste valable partout où elle a été recopiée. L’inventaire manque aussi : les certificats expirent sans prévenir, de préférence un vendredi soir, et coupent des services dont personne ne savait qu’ils en dépendaient.

🦫 Explication de la marmotte 🍫

Une infrastructure de clés publiques, ou PKI, sert à relier une clé à une identité. Chaque machine, service ou personne possède deux clés liées : une clé privée gardée secrète et une clé publique diffusée. Un certificat est un document numérique qui associe cette clé publique à un nom et qui est signé par une autorité de certification. L’autorité racine est le point de départ de la confiance ; elle signe les certificats d’autorités intermédiaires, qui signent à leur tour ceux des serveurs ou des utilisateurs. Pour vérifier un certificat, un logiciel remonte cette chaîne, de signature en signature, jusqu’à une racine qu’il connaît déjà. Chaque certificat suit un cycle de vie : création, distribution, validation, renouvellement avant expiration, et révocation si la clé privée est volée ou si le certificat ne doit plus servir. Les usages classiques sont la protection des connexions par TLS, le protocole qui chiffre les échanges et où le serveur prouve son identité, la signature de documents ou de logiciels, et l’authentification, y compris le mTLS où le client prouve lui aussi son identité. Les clés les plus sensibles peuvent être conservées dans un module cryptographique matériel, un équipement conçu pour empêcher leur extraction. Si une étape échoue, par exemple un certificat expiré ou une révocation jamais vérifiée, la confiance disparaît, ou pire, reste accordée à tort.

À lire aussi

• Diagnostiquer les erreurs de validation TLS en productionMéthode pratique pour identifier et corriger les erreurs de chaîne, de nom et d’horloge lors de la validation TLS en production.
• Architecture module cryptographique materiel haute disponibilitePoint d'ancrage editorial pour cadrer les architectures module cryptographique materiel resilientes et operables.
• Valider un certificat serveur sur mobile et embarquéValidation TLS du certificat serveur dans les applications mobiles et embarquées, avec prévention des contournements de vérification qui survivent au développement.
• Certificate pinning : risques et rotation des certificatsLe certificate pinning renforce la vérification TLS contre une autorité de certification compromise, mais impose une gestion de rotation capable d'éviter la panne auto-infligée.

Pages voisines

La citent

• Diagnostiquer les erreurs de validation TLS en production
• Certificate pinning : risques et rotation des certificats
• Certificats SSH et risques de l’agent forwarding
• Construire une autorité de certification privée interne
• Extensions X.509 v3 Key Usage EKU et Basic Constraints
• Intégrer la cryptographie post-quantique dans TLS

PKI expliquee

Elle cite

• ⇄Lien dans les deux sens :Comprendre TLS : mécanismes, garanties et limites
• ⇄Lien dans les deux sens :CRL ou OCSP pour révoquer un certificat
• ⇄Lien dans les deux sens :Cycle de vie d'une autorité de certification intermédiaire
• ⇄Lien dans les deux sens :Gestion du cycle de vie des certificats à grande échelle
• ⇄Lien dans les deux sens :mTLS
• Relier une clé à une identité: certificats et PKI

⇄ : les deux pages se citent l’une l’autre.