Qu’est-ce que la PKI et comment fonctionne-t-elle ?

La public key infrastructure (PKI) est un cadre de sécurité qui utilise des paires de clés cryptographiques et des certificats numériques pour authentifier les identités, chiffrer les données et protéger les communications numériques. Il s'agit de l'épine dorsale du mail sécurisé, des services bancaires en ligne, des plateformes dans le cloud et de presque toutes les interactions numériques de confiance.

La PKI est un élément essentiel de la sécurité des données, elle crée la couche de confiance qui sous-tend les interactions sécurisées dans les systèmes, les dispositifs et les données essentiels des entreprises.

Dans ce guide, nous verrons comment la PKI crée une base sûre pour les opérations numériques, en protégeant les données, les identités et les transactions dans un monde où les cyber-risques vont croissant.

• La Public key infrastructure est le fondement de la confiance numérique. Elle permet le chiffrement, l'authentification et les digital signatures qui garantissent la sécurité des données, des appareils et des identités.
• Un système PKI comprend les certificats, les clés, les certificate authorities, les autorités d'enregistrement, les HSM et les logiciels de gestion associés, qui fonctionnent tous ensemble pour vérifier les identités et protéger les informations sensibles sur l'ensemble des systèmes.
• La PKI prend en charge des cas d'utilisation clés tels que le chiffrement SSL/TLS, la sécurisation des e-mails, le document signing, l'authentification des utilisateurs, la sécurité IoT et la gestion des identités des machines.
• Les avantages de la PKI comprennent des communications sécurisées, le contrôle d'accès, l'authentification et le code signing pour vérifier l'intégrité des logiciels.
• Les secteurs qui traitent des données sensibles, comme la finance, l'administration et les soins de santé, utilisent des systèmes PKI pour se conformer à des exigences strictes en matière de protection de la vie privée.

La Public key infrastructure inclut les politiques, les rôles, le matériel, les logiciels et les procédures nécessaires pour créer, gérer, distribuer, utiliser, stocker et révoquer les certificats numériques. Ces certificats fonctionnent comme des passeports ou des permis de conduire numériques et ils permettent de vérifier les utilisateurs, les appareils et les services avant qu'ils ne puissent se connecter ou partager des données.

La PKI permet aux utilisateurs et aux systèmes d'échanger des données en toute sécurité tout en confirmant l'identité des deux parties. Elle protège les activités sensibles telles que les services bancaires en ligne, le commerce électronique et les mails chiffrés. Dans les environnements informatiques actuels, ces systèmes sont essentiels à la cybersécurité et au respect des lois et réglementations en matière de protection des données. 

Par exemple, lorsqu'un employé se connecte au portail interne d'une entreprise depuis son bureau à son domicile, la PKI chiffre la connexion et vérifie l'identité du serveur. Elle signe également numériquement les échanges de données pour s'assurer qu'ils n'ont pas été modifiés en cours de route. Les employés et les systèmes peuvent ainsi partager des informations sensibles en toute confiance, en sachant qu'ils communiquent avec des entités légitimes et autorisées. 

À mesure que les menaces évoluent et que l'informatique quantique devient plus tangible, la PKI favorise l'agilité cryptographique. Cela signifie que les organisations peuvent passer à des normes de chiffrement plus strictes, notamment celles conçues pour résister aux attaques quantiques, sans perturber leurs opérations.

La PKI n'est pas un outil unique, mais un système de plusieurs éléments interconnectés. Ensemble, ils gèrent le chiffrement, protègent les données et sécurisent la communication entre les utilisateurs, les appareils et les services.

Les composants de la public key infrastructure comprennent :

• Clés PKI : Une paire de clés utilisée pour le chiffrement. Cela permet de protéger les données en les rendant illisibles pour toute personne autre que le destinataire prévu. En cryptographie, chaque clé publique est associée à une clé privée. La clé publique est distribuée librement et ouvertement, tandis que la clé privée est secrète pour son propriétaire.
• Certificats numériques : Des identifiants électroniques qui lient l’identité du détenteur du certificat à une paire de clés qui peut être utilisée pour chiffrer et signer les informations.
• Autorité de certification (CA) : Une entité vérifiant les identités et émettant des certificats numériques.
• Autorité d’enregistrement (AE) : Responsable de l’acceptation des demandes de certificats et de l’authentification de la personne ou de l’organisation qui en est à l’origine.
• Référentiels de certificats : Des systèmes de stockage sécurisés qui contiennent des certificats numériques à des fins de consultation et de validation.
• Logiciel de gestion centralisée : Un logiciel permettant aux organisations de gérer les clés et les certificats numériques à partir d'un seul endroit.
• Module matériel de sécurité (HSM) : Des dispositifs physiques effectuant des opérations cryptographiques et stockant des clés privées en toute sécurité.

La PKI rassemble ces composants afin d'appliquer des politiques de confiance entre les utilisateurs, les appareils et les systèmes. Grâce à la vérification de l'identité, au chiffrement et à la gestion des certificats, elle crée un cadre évolutif qui permet uniquement aux entités de confiance d'échanger des informations.

La PKI fonctionne grâce au chiffrement, un sous-ensemble de la cryptographie qui transforme des données lisibles en un format illisible à l'aide d'algorithmes mathématiques.

Les algorithmes de chiffrement se répartissent en deux catégories principales. Le chiffrement symétrique utilise la même clé pour chiffrer et déchiffrer les données. Si cette clé est compromise, les données ne sont plus sécurisées.

En revanche, le chiffrement asymétrique utilise deux clés liées. L'une est publique et largement partagée, tandis que l'autre est privée et gardée secrète. Le chiffrement PKI utilise cette méthode pour encoder les données, authentifier les utilisateurs et protéger les transactions.

La procédure étape par étape illustre le fonctionnement pratique de la PKI :

1. Chaque utilisateur, appareil ou système génère une clé privée (gardée secrète) et une clé publique (partagée ouvertement).
2. Une Certificate Authority (CA) valide l'identité de l'entité et délivre un certificat numérique, liant la clé publique à cette identité. La connexion de l'identité à une paire de clés prend en charge l'authentification PKI, qui vérifie que seuls les utilisateurs, appareils et systèmes de confiance peuvent accéder aux ressources sensibles.
3. Lors de l'envoi de données chiffrées, l'expéditeur utilise la clé publique du destinataire. Seule la clé privée correspondante peut la déchiffrer.
4. L'expéditeur peut également appliquer une signature numérique en utilisant sa propre clé privée.
5. Le système du destinataire vérifie le certificat auprès d'une CA. Il peut utiliser une liste de révocation de certificats (CRL) ou un protocole d'état en ligne (OCSP) pour s'assurer qu'il n'a pas été révoqué, confirmant ainsi la confiance dans la clé. Cela permet de prouver l'origine des données, d'en garantir l'intégrité et de confirmer qu'elles n'ont pas été modifiées.
6. Si une clé ou un certificat est compromis, les systèmes PKI peuvent les révoquer, ce qui permet de maintenir la sécurité sur l'ensemble du réseau.

En vérifiant les identités et en sécurisant les données, la PKI favorise la confiance entre tous les utilisateurs. Elle empêche également les attaques de type « man-in-the-middle » (MITM), l'usurpation d'identité et le spoofing. Par exemple, même si un attaquant intercepte un message, il ne peut pas le déchiffrer sans la clé privée.

Les organisations peuvent gérer la PKI sans avoir à investir dans une infrastructure technologique ou une expertise interne importante grâce à la PKI en tant que service (PKIaaS). Cette solution basée sur le cloud offre une gestion évolutive des certificats, une rotation automatisée des clés et une surveillance, ce qui permet d'aider les organisations de toutes tailles à prendre en charge des communications et des transactions sécurisées.

Certificats numériques

Un certificat numérique, parfois appelé « certificat de clé publique », est un document électronique utilisé pour identifier le propriétaire d’une clé publique. Il permet au destinataire de confirmer que la clé provient d’une source légitime, ce qui réduit le risque d’une attaque MITM. 

Les PKI certificates comprennent généralement :

• Des informations identifiables, telles que le nom du détenteur du certificat, le numéro de série du certificat et sa date d’expiration.
• Une copie de la clé publique, que d'autres peuvent utiliser pour crypter les données et vérifier les digital signatures, assurant ainsi la confidentialité et l'authentification.
• La digital signature de l'issuing CA pour prouver l’authenticité.

Une bonne gestion du cycle de vie des certificats est essentielle pour maintenir un échange de données sécurisé et garantir que le chiffrement et l'authentification fonctionnent correctement. Les PKI certificates doivent faire l'objet d'un suivi et d'une surveillance depuis leur émission jusqu'à leur expiration, et être renouvelés si nécessaire. Ils peuvent également être révoqués s'ils sont compromis ou périmés.

Autorités de certification

Une certificate authority est une organisation tierce de confiance qui crée et émet des certificats numériques. Elle valide les identités et aide à établir des chaînes de confiance pour des communications numériques sécurisées.

Toutes les CA tiennent à jour des listes de révocation de certificats (CRL), qui répertorient les certificats révoqués avant leur date d'expiration prévue. Cela permet aux organisations d'identifier les certificats qui ne sont plus valides ou sécurisés.

D’une manière générale, il existe deux types d’autorités de certification :

• CA racine : L'entité la plus fiable dans un système PKI. Les CA racine utilisent des certificats auto-signés et établissent les bases de la confiance en délivrant des certificats à des CA subordonnées ou directement aux utilisateurs finaux.
• CA subordonnée : Elles sont certifiées par une CA racine ou une CA subordonnée plus élevée. Ces autorités héritent de la confiance et délivrent des certificats aux utilisateurs, aux appareils ou aux systèmes. 

Chaque certificat de la chaîne est chargé de certifier l’authenticité du suivant, créant ainsi un chemin de confiance continu et fiable de haut en bas.Tout compromis entre les autorités de certification peut rompre cette chaîne, ce qui risque de compromettre la sécurité de la PKI.

Les CA prennent des mesures spécifiques pour créer des certificats :

1. Génération de clé : Un utilisateur ou un système crée une paire de clés publique et privée.
2. Demande de certificat : Une demande de signature de certificat (CSR) est envoyée à une CA, comprenant sa clé publique et ses informations d'identité.
3. Vérification : L’autorité de certification valide l’identité de l’utilisateur, souvent avec l’aide d’une RA. 
4. Délivrance de certificats : Après vérification, l’autorité de certification délivre un certificat numérique contenant la clé publique de l’utilisateur et d’autres données d’identification. Ce certificat est également signé par la clé privée de l’autorité de certification, créant ainsi une signature numérique.

La gestion de ces étapes à grande échelle nécessite l'automatisation, l'application de politiques et la visibilité. Les certificate services aident les organisations à réduire les risques et à répondre aux attentes en matière de conformité sans ajouter de complexité.

Systèmes de gestion des certificats

Les systèmes de gestion des certificats sont des solutions logicielles qui facilitent tous les aspects du cycle de vie des certificats, depuis leur émission et leur provisionnement jusqu'à leur validation, leur révocation et leur renouvellement. Ces outils réduisent les risques, améliorent la visibilité et garantissent que les actifs cryptographiques sont traités de manière cohérente.

Par exemple, certaines solutions conservent des registres détaillés de toutes les activités connexes, ce qui facilite le respect des exigences réglementaires et les audits internes. En centralisant la gestion grâce à une source unique de vérité, les organisations réduisent le risque d'expiration non détectée ou d'utilisation abusive des certificats, tout en renforçant la protection des données.

Les systèmes automatisés permettent d'éviter la « prolifération des certificats », qui consiste à déployer des milliers de certificats dans des environnements complexes sans contrôle centralisé. Ces systèmes contrôlent les dates d'expiration, gèrent les renouvellements et révoquent les certificats si nécessaire pour assurer la sécurité des systèmes.

L'automatisation peut également aider les entreprises à appliquer les politiques de la PKI à grande échelle, ce qui leur permet d'allouer les ressources informatiques de manière plus efficace et d'assurer la cohérence au sein de l'organisation. Globalement, la gestion automatisée des certificats permet d'éviter les erreurs, les pannes et les vulnérabilités susceptibles de perturber les opérations et d'offrir des possibilités d'exploitation criminelle.

Modules matériels de sécurité (HSM) pour la protection des données

Les HSM jouent un rôle essentiel dans l’architecture de sécurité de la PKI. Ces dispositifs physiques protègent les processus cryptographiques en générant, stockant et manipulant des clés dans un environnement renforcé et difficilement falsifiable.

Par exemple, un HSM peut générer une paire de clés à l'aide de générateurs de nombres aléatoires de haute qualité, qui sont essentiels pour un chiffrement solide. Comme les clés ne quittent jamais l'appareil sous forme de texte brut, l'exposition aux menaces est minimisée.

Une autre fonction importante est le stockage des clés privées. Conserver les clés dans un matériel sécurisé les protège contre toute extraction ou compromission par des entités non autorisées. Cela permet non seulement de protéger les clés, mais aussi aux entreprises d'appliquer des politiques de sécurité rigoureuses au niveau du matériel. Par conséquent, pour les entreprises des secteurs qui exigent une garantie de sécurité élevée, tels que la finance ou les gouvernements, les HSM sont essentiels dans les systèmes PKI pour protéger les données et soutenir la confiance.

La compréhension de l'utilisation de la PKI permet d'en comprendre la valeur. Voici quelques-unes des principales façons dont les organisations tirent parti des PKI.

Communications sécurisées

La PKI est la pierre angulaire de la protection de diverses formes de communication numérique, notamment le courrier électronique, les services de messagerie, etc. Non seulement elle protège ces canaux, mais elle les rend également plus dignes de confiance pour toutes les parties concernées, y compris les consommateurs, les partenaires, les employés, les citoyens, les régulateurs, etc.

Authentification et contrôle d’accès

La PKI fournit des mécanismes d’authentification forte pour les utilisateurs qui accèdent aux systèmes, aux réseaux ou aux services en ligne. Les certificats peuvent servir de forme d’identification numérique sécurisée, garantissant que l’accès n’est accordé qu’aux utilisateurs vérifiés.

Ces capacités font de la PKI un élément clé d'un modèle de sécurité à confiance zéro. La confiance zéro repose sur le principe « ne jamais faire confiance, toujours vérifier », ce qui nécessite une authentification continue pour confirmer chaque utilisateur et chaque appareil accédant aux ressources, quel que soit l’endroit où il se trouve.En intégrant la PKI dans une stratégie de confiance zéro, les organisations peuvent renforcer la sécurité, rationaliser la conformité et réduire le risque de cybermenaces à grande échelle.

Signature de documents et horodatage

Les signatures numériques, qui s’appuient sur l’infrastructure à clés publiques, vérifient l’authenticité et l’intégrité des documents électroniques. Cette fonction est essentielle pour les documents juridiques, les contrats et autres dossiers pour lesquels une preuve d’originalité, de confidentialité et de consentement est requise.

Les certificats de signature de documents remplissent trois fonctions essentielles : 

• Authenticité : Le certificat confirme que le document a été signé par la personne ou l’entité qui détient la clé privée correspondant à la clé publique du certificat.
• Intégrité : Toute modification du document après sa signature invalide la signature numérique. Cela garantit que le document reçu est exactement ce que le signataire avait l’intention d’envoyer, sans aucune modification.
• Non-répudiation : Le signataire ne peut pas nier l’authenticité de sa signature sur un document, car la signature numérique et le certificat associé constituent une preuve solide de l’identité du signataire et de son accord avec le contenu du document au moment de la signature.

De plus, la combinaison de la commodité et de la forte garantie de sécurité des digital signatures favorise une plus grande efficacité et une augmentation des revenus : jusqu'à 80 % des accords avec digital signature sont conclus en moins d'une journée, et 44 % en moins de 15 minutes.

Code Signing

Les développeurs de logiciels utilisent les certificats Code Signing pour authentifier leurs scripts. De cette manière, les utilisateurs finaux peuvent vérifier que le logiciel qu’ils téléchargent n’a pas été modifié. Cela permet de se protéger contre les logiciels malveillants, de préserver l’intégrité des logiciels et de renforcer la confiance des consommateurs.

Intégrité des logiciels

La PKI est utilisée pour le code signing afin de vérifier l'origine et l'intégrité des logiciels. Elle garantit que les applications, les pilotes et les mises à jour n'ont pas été altérés lors de leur distribution.

Internet des objets (IoT)

Les dispositifs « intelligents » qui collectent, stockent et transmettent des données à d’autres machines  sont potentiellement vulnérables aux cybermenaces. Alors que le nombre d'appareils connectés et de charges de travail continue de croître, en particulier dans les environnements cloud et IoT, garantir une authentification sécurisée et évolutive est devenu un défi majeur.

En fournissant à chaque appareil un certificat numérique unique, la PKI établit les bases d'une confiance évolutive, car elle vérifie que les appareils qui communiquent sont bien légitimes. Cela permet d'éviter les accès non autorisés, le spoofing et la manipulation des données, même dans les grands réseaux distribués.

Au-delà de l'authentification, la public key infrastructure permet également le chiffrement des données en transit, du début à la fin du processus. Cela permet de garantir la sécurité et l'inviolabilité des communications entre les appareils, les applications et les charges de travail dans le cloud.

La PKI est essentielle dans les secteurs qui sont confrontés à des menaces uniques et où les violations de données ont de graves conséquences juridiques, financières et réglementaires.

• Le secteur financier s'appuie sur la PKI pour sécuriser les services bancaires en ligne, l'authentification des transactions et le respect des exigences strictes en matière de connaissance du client et de lutte contre le blanchiment d'argent. La sécurité renforcée des certificats numériques permet de protéger les données des clients lors des transferts, de vérifier les identités lors de transactions importantes et de prévenir les fraudes et les accès non autorisés.
• Les agences gouvernementales s'appuient sur la PKI pour des communications sécurisées d'informations classifiées, des digital signatures sur les documents officiels et pour vérifier l'identité des citoyens. Elle permet également d'effectuer des transactions en ligne sécurisées, telles que les déclarations d'impôts et les inscriptions aux prestations de la sécurité sociale et autres. En garantissant l'authenticité et l'intégrité, la PKI contribue à maintenir la confiance dans les systèmes numériques de l'administration.
• Les organismes de santé utilisent la PKI pour sécuriser les dossiers médicaux électroniques (DME), se conformer aux réglementations HIPAA (Health Insurance Portability and Accountability Act) concernant les données des patients et authentifier les appareils médicaux sur les réseaux. Elle peut également garantir la confidentialité des rendez-vous de télémédecine et des portails des patients, ce qui permet aux systèmes de santé d'offrir des services en ligne et à distance à un plus grand nombre de patients.
• Les grandes entreprises dont la main-d'œuvre est dispersée mettent en place la PKI pour tout, du chiffrement de mails à l'accès VPN en passant par l'authentification des appareils IoT. Alors que les organisations sont confrontées à des attaques de plus en plus sophistiquées, la PKI permet de s'assurer que seuls les utilisateurs et les appareils vérifiés peuvent accéder aux ressources.

Ces bonnes pratiques contribuent à renforcer la mise en œuvre de votre PKI et à assurer une gestion sécurisée des certificats.

• Maintenez les politiques et les procédures à jour : Les politiques de certification (PC) et les déclarations de pratiques de certification (DPC) sont essentielles à la PKI. La PC est un document complet qui décrit les différentes catégories de certificats délivrés par une autorité de certification et les politiques applicables. La CPS détaille la manière dont la CA met en œuvre ces politiques sur le plan technique. La mise à jour de ces documents est essentielle au maintien de la sécurité, de la confiance et de la conformité légale. Ils doivent être régulièrement réexaminés et révisés afin de s’aligner sur le paysage dynamique de la cybersécurité, de la technologie et des changements réglementaires.
• Protéger les clés privées : Des mécanismes solides comme HSM offrent une protection physique et logique contre la falsification et l’accès non autorisé.
• Pratiquez régulièrement la rotation et le renouvellement des clés : Les clés et les certificats ne doivent pas être utilisés indéfiniment. Mettez en place une routine pour la rotation régulière des clés et des certificats afin d'atténuer les risques liés à l'exposition des clés et d'éviter les expirations inattendues. Ce type d'agilité cryptographique est de plus en plus essentiel pour se préparer aux menaces post-quantiques, car les acteurs malveillants cherchent à collecter des données dès maintenant et à les déchiffrer lorsque des ordinateurs quantiques capables de casser les algorithmes actuels seront disponibles.
• Mettez en œuvre des schémas d’authentification forte : Exigez une authentification multifactorielle (MFA) afin de renforcer la sécurité lors de l'accès aux systèmes PKI et lors de l'exécution d'opérations sensibles telles que la délivrance ou la révocation de certificats.
• Centralisez la gestion des certificats et des clés : Mettez en œuvre des outils et des processus qui offrent une meilleure visibilité et un meilleur contrôle pour gérer l'ensemble du cycle de vie des certificats, de leur émission à leur révocation. Cela favorise également les audits et la conformité en permettant la transparence et la traçabilité.
• Définissez des politiques clés de sauvegarde et de récupération : Établissez et testez régulièrement les procédures de sauvegarde et de récupération pour confirmer que les composants essentiels de la PKI peuvent être restaurés rapidement et en toute sécurité après une interruption ou un sinistre.

Les services PKI gérés sont utiles pour les organisations qui ont besoin d'une PKI mais qui ne disposent pas de l'expertise nécessaire. Dans ces situations, un fournisseur de PKI géré aide à gérer les politiques, le matériel et les logiciels afin de garantir que la PKI est exploitée d'une manière conforme aux bonnes pratiques.

La PKI dans le cloud est un modèle de déploiement basé sur les services dans lequel la Certificate Authority (CA), la gestion des clés et les outils de cycle de vie sont hébergés par un fournisseur. Les organisations peuvent déployer et gérer des certificats numériques sans avoir à investir dans leurs propres infrastructures physiques ou à en assurer la maintenance. Par rapport à la PKI sur site, qui offre un contrôle total mais nécessite des coûts et des ressources informatiques importants, la PKI dans le cloud permet un déploiement plus rapide, une évolutivité plus facile et une gestion simplifiée.

La PKI dans le cloud convient parfaitement aux entreprises dotées d'environnements informatiques étendus ou répartis. Elle permet une émission plus rapide des certificats, une gestion automatisée du cycle de vie et une meilleure visibilité en matière de conformité.

Il existe également des modèles de déploiement hybrides. Les déploiements PKI hybrides combinent des services basés sur le cloud et une infrastructure sur site. Ce modèle offre aux organisations une plus grande flexibilité et leur permet de garder le contrôle sur les composants sensibles tout en bénéficiant de l'évolutivité de l'informatique dématérialisée.

Les organisations doivent choisir le modèle qui correspond à leurs ressources, à leurs priorités et à leurs objectifs, qui les aide à se conformer aux exigences réglementaires et qui peut s'adapter à l'évolution de la charge de travail.

La Public key infrastructure restera le fondement de la confiance numérique au fur et à mesure de l'évolution des méthodes cryptographiques. Elle devra cependant suivre les progrès et les évolutions de la technologie et des entreprises.

Avec l'approche rapide de l'informatique quantique, les algorithmes de clés publiques actuels ne seront plus sûrs, ce qui menace la confidentialité et l'intégrité des communications numériques. Pour s'y préparer, les entreprises doivent dès à présent se concentrer sur l'agilité cryptographique afin de s'assurer d'être capable de suivre l'évolution de la technologie sans perturber leurs activités. 

Le NIST a publié les premières normes de chiffrement post-quantique en 2024 pour aider à normaliser les algorithmes conçus pour résister aux attaques quantiques. Ces nouvelles normes vont modifier la manière dont les organisations protègent les identités, les données et les transactions. Le passage à la cryptographie post-quantique nécessite une planification minutieuse, une visibilité sur l'ensemble des systèmes de certificats et des outils évolutifs pour la gestion du cycle de vie.

Pour rester dans la course, les organisations ont besoin de systèmes PKI qui prennent en charge l'automatisation et permettent d'intégrer de nouveaux algorithmes sans perturbation. L'agilité, la visibilité et la préparation aux normes sont essentielles pour faire face à l'évolution des réglementations et aux futures menaces cryptographiques.

Entrust offre une variété de solutions logicielles PKI, y compris les options natives du cloud : PKI as a Service (PKIaaS), services PKI gérés et notre solution PKI sur site, Entrust Certificate Authority. Elles permettent à votre organisation d'équilibrer l'habilitation et la sécurité en fonction de vos besoins uniques et de votre écosystème numérique.

Pour les organisations à la recherche d'une solution complète pour tous leurs besoins de gestion de la sécurité cryptographique, la plateforme de sécurité cryptographique d'Entrust fournit tous les composants critiques de la public key infrastructure, combinés avec la gestion du cycle de vie des certificats, la gestion des clés et des secrets, et les HSM dans une interface de gestion puissante et centralisée.

Découvrez la plateforme par vous-même en consultant notre démonstration interactive dès aujourd'hui.