these doctorat une architecture de securité

Section 2.5. Les infrastuctures à clé publique
croisée. Chaque autorité de certification émet un certificat pour la clé publique de certification
de son homologue. Ainsi, les utilisateurs finaux peuvent établir un chemin de confiance pour les
certificats des deux PKI (figure 2.8). Il est également possible à une autorité de certification de déléguer
son pouvoir de signer des certificats, on assiste alors à la création de chaînes de certificats.
tel-00239252, version 1 - 5 Feb 2008
2.5.1 X.509
FIG. 2.8 – Certifications hiérarchiques et croisées
En 1998, l’ITU-T (Organisme international définissant les normes en télécommunication) a
présenté la recommandation X.509 comme membre des recommandations de la série X.500 qui
définissent un service d’annuaire. Appliqué au modèle des infrastructures à clé publique, l’annuaire
représente un serveur qui maintient une base de données des certificats créés. X.509 a
été proposé comme infrastructure à clé publique utilisant des certificats et des signatures numériques
pour gérer la distribution des clés publiques.
X.509 a un fonctionnement fortement centralisé (figure 2.9), il repose sur l’utilisation d’un ensemble
restreint de tierces parties de confiance (autorité de certification) pour fournir la notion
de confiance quant à la distribution des clés publiques aux utilisateurs. Seules les autorités de
certification peuvent créer des certificats et les signer. Chaque principal possède la clé publique
de l’autorité de certification et s’en sert pour vérifier si un autre certificat est valide. Le principal,
par définition, fait confiance à l’autorité de certification qui a signé son certificat. L’autorité de
certification est la racine de la hiérarchie de confiance d’un annuaire X.500.
La norme X.509 identifie un principal en utilisant des informations telles que le nom, l’adresse
email, la ville, etc. Le champ sujet d’un certificat X.509 doit contenir l’identité exacte d’un principal.
L’annuaire X.500 exprime cette idée sous le terme de distinguished name. Un distinguished
name est un nom unique qu’un utilisateur pourra utiliser quand il voudra se référer à une entité.
Étant donné qu’il s’agit d’un service d’annuaire, l’unicité des noms est importante, la relation
entre un principal et son certificat étant une bijection.
Les problèmes inhérents à une architecture à clé publique de type X.509 sont l’obtention
de la clé publique de l’autorité de certification, l’obligation d’utiliser des noms (DN) uniques,
l’architecture globale construite suite au chaînage de certificats des autorités de certification.
15