🔑 PKI (Public Key Infrastructure)

1.2. Le Rôle Central de la Cryptographie Asymétrique

La cryptographie asymétrique (à clé publique) est le moteur de la PKI. Elle est utilisée pour résoudre le problème de l'échange initial de clés de chiffrement symétriques sur un canal non sécurisé.

Le Problème de l'Échange de Clé (Analogie Didactique)

Si Alice veut envoyer un secret à Bob, mais que leur conversation est écoutée (Mallory) :

• **Chiffrement Symétrique (Rapide) :** Nécessite qu'Alice et Bob partagent **le même code secret (clé)** avant de commencer. Comment partager ce code secret sans que Mallory ne l'intercepte ?
• **Solution Asymétrique (Lente, mais Sécurisée) :** Bob génère une paire de clés. Il envoie sa **Clé Publique** à tout le monde. Alice chiffre son code secret (clé symétrique) avec la **Clé Publique de Bob**. Seul Bob, qui possède la **Clé Privée**, peut déchiffrer ce code secret.

Le rôle de la PKI est d'utiliser la cryptographie asymétrique (lente) **uniquement** pour échanger la clé symétrique (rapide) qui sera ensuite utilisée pour chiffrer la **session entière (TLS/SSL)**.

Le Cas de la Signature Numérique

Pour l'**Authentification** (prouver l'identité), on inverse l'usage des clés :

                    (Alice)  :   Utilise la **Clé Privée** pour signer le message (unique à Alice).
                    (Client) :   Utilise la **Clé Publique d'Alice** (incluse dans son certificat) pour vérifier la signature.
                

1.3. Définition d'une PKI (Composants Rôles)

Une PKI est le cadre de gouvernance et technique qui permet de lier de manière fiable des **identités (domaines, personnes)** à des **clés cryptographiques**.

Les 5 Piliers d'une PKI (Modèle de Gouvernance)

• **1. Le Certificat Numérique (X.509) :** Le passeport. Le document qui lie l'identité (ex: www.site.com) à la clé publique.
• **2. L'Autorité de Certification (CA) :** Le notaire. L'entité qui **émet et signe** les certificats, prouvant la validité du lien.
• **3. L'Autorité d'Enregistrement (RA) :** Le vérificateur. Assure la vérification de l'identité du demandeur (avant signature par la CA).
• **4. Les Procédures et Politiques :** Les règles qui régissent la PKI (ex: comment vérifier l'identité, comment une clé privée doit être stockée, quand un certificat doit être révoqué).
• **5. Le Référentiel (Repository) :** Le système (base de données) qui stocke les certificats émis et les informations de révocation (CRL/OCSP).

1.4. Cas d'Usage Multiples de la PKI

La PKI est l'infrastructure silencieuse de la sécurité moderne. Elle est essentielle pour l'identification et la sécurisation des communications dans de nombreux domaines :

2.2. Clé Publique / Clé Privée : Principes

La relation entre la clé publique et la clé privée est la pierre angulaire de la sécurité PKI (voir 1.1). Une est rendue publique (le Certificat), l'autre est conservée en sécurité (le Secret).

La Paire de Clés (Rôles Inversés)

Conservation et Sécurité

• **Clé Publique :** Distribuée largement, incluse dans le certificat X.509. Elle est l'information d'identification de l'entité.
• **Clé Privée :** Doit être stockée dans un environnement de haute sécurité :
  • **HSM (Hardware Security Module) :** Boîtier physique ou cloud (ex: AWS KMS/CloudHSM) pour stocker les clés racines des CA.
  • **Fichier PEM :** Fichier .pem ou .key (généralement chiffré par mot de passe) sur le serveur web ou le client.

2.3. Hash (Hachage) et Signature Numérique

Le hachage et la signature numérique travaillent de concert pour garantir l'**Intégrité** et l'**Authentification** des données.

Fonction de Hash (Hachage)

Une fonction de hash (ex: SHA-256) prend une donnée (un message, un fichier) de **taille variable** et produit une chaîne de caractères de **taille fixe** (l'empreinte, ou *digest*).

• **Propriétés :** Le processus est **unidirectionnel** (irréversible). Une infime modification de la donnée d'entrée produit une empreinte complètement différente (Propriété de l'effet avalanche).
• **Rôle PKI :** Le Hash est utilisé pour créer l'**empreinte** du certificat ou du message afin de vérifier l'**Intégrité**.

                    # Exemple : Empreinte SHA-256 du message "A"
                    SHA256("Hello World") = c0535e4be2b79ff8d05020c6dd87872d82914757c32cf856608fb3c25287aa67
                    SHA256("hello world") = a591a6d40bf420404a011733cfb7b190d62c65bf0bcda32b57b27796ad9f146e
                    # La différence entre H et h change l'empreinte totalement.
                

Signature Numérique

La signature numérique est le processus qui utilise la cryptographie asymétrique pour garantir l'origine des données (Authentification).

1. (Emetteur) Crée l'**Empreinte (Hash)** du document (Intégrité).
2. (Emetteur) **Chiffre** cette empreinte avec sa **Clé Privée** (ce qui est la Signature).
3. (Récepteur) Reçoit le document et la Signature.
4. (Récepteur) **Déchiffre** la Signature avec la **Clé Publique** de l'émetteur (récupère l'empreinte originale).
5. (Récepteur) Calcule le **Hash** du document reçu.
6. (Récepteur) Si les deux Hashes correspondent, le document est **authentique et intègre**.

2.4. Le Modèle C.I.A.N. (Confidentialité, Intégrité, Authentification, Non-Répudiation)

Ce sont les objectifs de sécurité que la PKI s'efforce d'atteindre via ses mécanismes de chiffrement (asymétrique) et de hachage.

2.5. Standards Cryptographiques

La sécurité des certificats repose sur l'utilisation d'algorithmes et de tailles de clés qui sont publiquement validés comme étant mathématiquement sûrs.

**Transition :** Les autorités de certification recommandent la transition de RSA vers ECC pour les performances, et l'abandon des fonctions de hachage obsolètes (comme SHA-1 et MD5).

3.2. Flux Détaillé : Handshake TLS (Établissement de la Session)

Le Handshake TLS (Transport Layer Security) est le protocole qui utilise la PKI pour sécuriser la session. Les étapes 3 et 4 sont les plus critiques pour la PKI.

                    [ Client (Browser) ]                                              [ Serveur (Application) ]
                    |                                                              |
                    | 1. ClientHello (Suites cryptographiques supportées) ----------> |
                    |                                                              |
                    | <--- 2. ServerHello (Choix du protocole + Certificats) -------|
                        |                                                              |
                        | 3. VÉRIFICATION PKI (Signature, Révocation, Validité) --------|
                        |                                                              |
                        | 4. ClientKeyExchange (Envoi de la Clé de Session Chiffrée) --->|
                    |    (Chiffre la Clé de Session avec la CLÉ PUBLIQUE du Serveur)|
                    |                                                              |
                    | <--- 5. Fin du Handshake (Déchiffrement avec Clé Privée) -----|
                    |                                                              |
                    [ 🔒 Session Chiffrée AES-256 (Symétrique) ] <-----------------------------> [ 🔒 Session Chiffrée AES-256 (Symétrique) ]
                

Rôle de l'Authentification Client (mTLS)

L'**Authentification Mutuelle (mTLS)** ajoute une vérification de l'identité du client. Le Serveur (étape 2) demande un certificat client, et le Client (après l'étape 4) répond en envoyant son propre certificat. Le Serveur vérifie sa validité avant d'autoriser l'accès.

3.3. Cycle de Vie du Certificat Numérique

La PKI ne fait qu'émettre des certificats ; elle gère leur vie complète, de la création à l'expiration/révocation.

La Cryptographie Asymétrique : Pourquoi deux clés ?

C'est la base mathématique de la PKI. La paire **Clé Publique/Clé Privée** est générée ensemble. La clé privée est le secret, la clé publique est la donnée partagée.

Exemple de Génération de Clé (OpenSSL)

L'outil de référence pour générer les clés et les requêtes (CSR) est OpenSSL.

                    # Générer une clé privée RSA 4096 bits (fortement sécurisée)
                    $ openssl genrsa -aes256 -out private_key.key 4096

                    # Générer une clé privée ECC P-384 (Performance et Sécurité moderne)
                    $ openssl ecparam -name secp384r1 -genkey -out private_key_ecc.key
                

**Attention :** La perte de la Clé Privée rend le certificat inutilisable. La divulgation (vol) de la Clé Privée impose la **révocation immédiate** du certificat.

Le Cycle de Vie et le Statut de Révocation

Si une clé privée est compromise, le certificat devient immédiatement invalide. La CA doit le révoquer pour que les clients ne le fassent plus confiance.

La Commande OpenSSL pour la Vérification

Utilisez OpenSSL pour interroger l'OCSP Responder (souvent l'URL est dans le certificat) :

                    # Interroger le statut d'un certificat (server.crt) auprès de l'émetteur
                    $ openssl ocsp -issuer intermediate.crt -cert server.crt -url http://ocsp.example.com
                    # Résultat attendu (OK) : Response status: successful (0)
                    # server.crt: **good**
                

Les Niveaux de Validation : Que Garantit la CA ?

La **Validation** est le processus par lequel la CA vérifie l'identité du demandeur. Plus la validation est rigoureuse, plus le niveau de confiance est élevé.