Sécuriser enfin son PC

Ce document est la propriété exclusive de bagi alfred (tagyazid@hotmail.com) - 07/01/2010
Sans taboo - Sécuriser enfin son PC
RAPPEL Chiffrement, clés, signatures
Toutes les notions de cryptologie nécessaires pour
comprendre les mécanismes de sécurisation des
navigateurs sont expliquées à l’annexe A, à
laquelle vous pouvez vous reporter à tout moment.
228
intéressante et que nous allons tenter d’expliquer : il s’agit de la technologie
Authenticode.
Protection par Authenticode
Comme son nom l’indique, cette technologie a pour objectif d’authentifier
du code. Il existe plusieurs manières de certifier un code et Microsoft
a cherché à concilier l’inconciliable : il s’agit pour lui de garantir la
fiabilité des contrôles ActiveX, avec un mécanisme fonctionnant à
grande échelle, et des coûts supplémentaires qui restent raisonnables.
Authenticode semble répondre plutôt convenablement à ces contraintes.
Lorsqu’un éditeur de logiciels souhaite distribuer ou commercialiser un
contrôle ActiveX, il a la possibilité d’apposer une signature cryptologique à
ce composant grâce à Authenticode. Il commence d’abord par obtenir un
certificat de signature auprès d’une Autorité de Certification reconnue,
comme VeriSign ou GTE. Ce certificat contient toutes les informations
nécessaires à l’identification du fournisseur, ainsi que sa clé publique et sa
période de validité ; il est bien sûr signé par l’autorité de certification,
garantissant ainsi la fiabilité des informations qu’il contient. À l’aide des
outils Authenticode, le fournisseur calcule à partir de son propre code une
empreinte MD5 ou SHA, qu’il chiffre au moyen de sa clé privée et de
l’algorithme RSA ; il incorpore la signature ainsi obtenue et le certificat de
clé publique à son contrôle ActiveX, qui devient prêt à commercialiser.
Ensuite, au moment ou vous rapatriez l’ActiveX sur le poste client, toute
une série de mécanismes se déroulent de façon transparente. Lorsque
vous chargez ce composant, vous chargez aussi sa signature Authenticode
et le certificat de signature du fournisseur. Le navigateur vérifie
d’abord si le certificat de signature a bien été émis par une autorité de
certification de confiance ; il dispose pour cela de la signature de l’autorité
de certification – qui se trouve à l’intérieur même du certificat de
signature du fournisseur – ainsi que du certificat de clé publique de cette
autorité de certification (nous verrons à la fin de ce chapitre que tous les
navigateurs Internet sont livrés avec les certificats des principales autorités
de certification). Il contrôle ensuite les dates de validité du certificat
et entame le processus de vérification de la signature Authenticode. Pour
cela, d’une part il recalcule l’empreinte MD5 ou SHA du contrôle
ActiveX et, d’autre part il déchiffre la signature Authenticode au moyen
de la clé publique contenue à l’intérieur du certificat de signature. Si les
deux valeurs sont égales, la signature du contrôle ActiveX est valide.
Ensuite, selon les valeurs de vos paramètres de sécurité, le navigateur
vous affiche une fenêtre similaire à celle de la figure 7-1, vous informant
que vous allez installer un composant authentifié. Cette fenêtre vous
indique le nom du composant, ainsi que sa société émettrice.
© Groupe Eyrolles, 2005