Sécurité des échanges - Les certificats,
l’établissement d’une chaîne de confiance

Comment avoir confiance dans le destinataire ?

La problématique des certificats numériques est complémentaire à celle de la signature électronique : si vous commandez des livres sur Internet, comment être sûr que c’est bien au commerçant que vous envoyez votre numéro de carte visa, et non à un pirate qui aurait usurpé son identité et donné sa propre clé publique. Cette fois, il faut avoir confiance dans le Destinataire.

On utilise tous les jours des certificats : pour rentrer dans une entreprise sensible, il vous faut prouver votre identité, fournir une carte d'identité. Un organisme de confiance, en l’occurrence l'État a établi ces certificats, s'assurant auparavant (par un acte de naissance,...) qu'il s'agit bien de vous.

Les certificats numériques fonctionnent sur le même principe de chaîne de confiance. Pour certifier qu’une clé publique vous appartient, il faut l’envoyer à un organisme de certification, ainsi que différentes informations vous concernant (entreprise, nom, fonction, e-mail, etc...).

Processus d'obtention d'un certificat

Cet organisme de certification vérifie les informations que vous avez fournies, et ajoute au certificat son propre nom, une date limite de validité, et surtout une signature numérique.

Cette signature est calculée de la façon suivante : à partir des informations du certificat, l'organisme calcule un résumé en appliquant une fonction de hachage connue, comme MD5. Puis il signe ce résumé en lui appliquant sa clé secrète.

Lorsque votre banquier veut vous envoyer un message, il télécharge votre certificat sur un serveur de certificat (on parle de PKI, Public Key Infrastructure). Il calcule le résumé du certificat, puis applique la clé publique de l'organisme auteur du certificat à la signature électronique.

Si cette quantité est égale au résumé, il est sûr qu'il a bien affaire à vous.