these doctorat une architecture de securité

Section 5.3. Authentification des entités
tel-00239252, version 1 - 5 Feb 2008
FIG. 5.8 – Outil de gestion des certificats
Chaque entité ayant un certificat différent, cela rendra la cryptanalyse des communications
de l’application beaucoup plus difficile. Si on suppose qu’un attaquant a réussi à calculer la clé
privée d’une entité, ceci ne remet en cause que les communications de cette entité et non toutes
les communications de l’application.
Le processus d’authentification dans une infrastructure à clé publique implique la vérification
des certificats ; il faut à la fois vérifier que le chaînage de certificat est correct mais également
que le certificat n’a pas été révoqué. L’approche SPKI suppose que le principal ayant généré
un certificat soit toujours accessible afin que le processus de vérification puisse s’assurer que
le certificat n’a pas été révoqué. Dans notre cas, cela suppose une machine accessible par tous
afin de répondre aux requêtes de validation. Le service de sécurité de Globus est confronté aux
mêmes problèmes [121] concernant les certificats proxy certificates utilisés pour la délégation
dynamique. Leur approche consiste à créer des certificats possédant une durée de vie courte
(huit heures) et à vérifier seulement la validité de la chaîne de certification. Lorsqu’un de ces
certificats arrive en fin de vie, et qu’une action sécurisée est nécessaire, le service de sécurité
demande la génération d’un nouveau certificat au principal ayant créé le certificat arrivant en
fin de vie. Cela suppose tout comme dans SPKI que le principal est toujours accessible.
Notre approche actuelle ne supporte pas le remplacement de certificats comme dans Globus.
L’authentification est basée sur le chaînage de certificats et la durée de validité du certificat.
Un certificat sera validé si on trouve dans la chaîne de certification un certificat autorisé par la
politique de sécurité. Il faut bien évidemment que la chaîne de certification soit valide et que le
certificat ne soit pas périmé.
5.3.3 Génération des certificats
Nous avons créé une interface graphique regroupant les fonctionnalités nécessaires à la gestion
des certificats. Elle permet la création de certificats au format PKCS#12, l’importation et
l’exportation de certificats vers d’autres formats standard pouvant être utilisés par d’autres logiciels.
Il est possible d’utiliser l’interface graphique pour générer des certificats pour tous les types
d’entités ainsi que des certificats d’application. La figure 5.8 présente une entité dont le certificat
contient une chaîne de certificats.
77