La sécurité des Réseaux Partie 7 PKI Fabrice Theoleyre Enseignement : INSA Lyon / CPE Recherche : Laboratoire CITI / INSA Lyon Références C. Cachat et D. Carella «PKI Open Source», éditions O REILLY Idealx, IDX-PKI, solution open-source de PKI Serge Aumont, IGC du CRU Introduction Certificats Authentification forte par une biclé (symétrique asymétrique) Comprenant toutes les informations nécessaires service, rôle (administrateur informatique, de base de données, ressources humaines), localisation (filiale, ville), relation (employé, partenaire ) Déploiement Manuel Chaque hôte est configuré offline avec une liste des certificats reconnus Automatique Utilisation d une autorité de certification (CA) La CA signe le certificat (cf. partie 2) Problématique : Comment gérer ces signatures? Quelle procédure pour un employé entrant dans l entreprise? L employé est bien celui qu il dit être (usurpation d identité) Procédure intégrée aux ressources humaines? Dans un milieu non technique? Un employé est licencié. Ses droits ont-il été supprimés? Mise à jour de la Certificate Revocation List (CRL) Une technologie gérant le tout : Les Infrastructures de Gestion de Clés (IGC ou PKI) 1
Introduction Avantages d une IGC Sécurité forte (authentification, confidentialité) Partage de ressources entre partenaires Interconnexion des IGC Utilisation Sécurisation des applications Mise en place de VPNs Authentification web à l intranet Messagerie Accès à des ressources distribués Grilles de calcul Introduction Définition Une infrastructure formée de serveurs et de certificats, créant, gérant et mettant à disposition des certificats numériques dont l authenticité est certifiée par l autorité de certification représentant et utilisant cette PKI 2
Autorité d enregistrement Point central pour toutes les demandes Création d un certificat Renouvellement Révocation Recouvrement de clés Vérifie l identité du demandeur Vérification manuelle obligatoire (téléphone, visuel) Vérifie les informations du certificat Email, dn Après acceptation, envoie la requête à la CA Plusieurs AE possible Découpage géographique (contrôle visuel) Autorité de certification Récupère les demandes de l autorité d enregistrement Signe (et génère éventuellement) les certificats Génère et publie les CRL Souvent un double niveau CA racine stockée offline CA intermédiaire usuelle ex : CNRS Annuaire Afin de publier les certificats Souvent LDAP Séquestre des clés Pour le recouvrement des bi-clés utilisateurs Stockage online ou offline des clés Sécurisé 3
NB : EE et AR souvent colocalisées Interface utilisateur Regrouper de façon conviviale les fonctionnalités de l IGC Création d un certificat Révocation Souvent sous la forme d un portail web Beaucoup de navigateurs prennent en charge la génération d une bi-clé stockée pendant le traitement de la requête Gestion d une IGC 4
Gestion d une PKI Quand? Mettre en balance moyens et organisation (coût) / avantages et utilisation Inutile Pour mettre en place des certificats serveurs Openssl suffit Une poignée d utilisateurs Gestion Partie technique Partie gestion au quotidien (la plus grande partie) Valider les demandes (trivial) Vérifier les demandes (procédure lourde) : important pour la nonrépudiation Gérer les demandes externes (extranet ) Délégation (géographique, services ) Gestion d une PKI Support Rejet inconditionnel Certificat expiré Cartes d accès Support 24h/24 Veille 3 bureaux internationaux suffisent Failles touchant à la PKI Point central de la sécurité Intégration et Interopérabilité 5
Intégration Briques de base du SI LDAP Annuaire stockant toutes les informations y compris les certificats IGC Délivre, révoque les certificats Échanges en XML Interopérabilité Dans quels cas? Fusion de filiales Partenariats Relations commerciales (fournisseur / client) Relation Hiérarchique Une CA signe toutes les autres CA Services, filiales Rappelez vous des signatures en cascade des certificats X509 dans le chapitre 2 Signatures croisées Donne confiance à la CA et donc par transitivité à tous les certificats Technologique 2 IGC fonctionnent souvent complètement différemment Une IGC = 70% de procédures interopérabilité requise des procédures Législation 6
Législation Décret du 30 mars 2001 Pour la validité de la signature électronique Usage de produits certifiés Usage de certificats qualifiés Décret du 18 avril 2002 Description du processus de certification Conditions pour l agrément des services évaluateurs Arrêté du 31 mai 2002 Description du processus de qualification pour les prestataires Conditions pour l agrément et l évaluation des prestataires Droit civil Nul ne peut se constituer de preuve par soi-même Externalisation obligatoire des IGC si pour la non-répudiation? Conclusion Conclusion Problèmes restants Protection de la clé privée des utilisateurs Mot de passe simple : la sécurité d un système est celle de son maillon le plus faible Flexibilité et inter-opérabilité des IGC Fusion d IGC Process lourd Enrôlement, révocation Révocation non temps-réelle La vérification de non vérification incombe à l utilisateur (DCSSI) Publication périodique des CRLs De nombreuses applications ne tiennent pas compte des CRL Online Certificate Status Protocol (OCSP) pour avoir des révocations dynamiques à jour Protection de la CA Certificat de la CA Déni de service sur la CA ou sur l annuaire 7