Qu'est-ce qu'une chaîne CA ?

Une chaîne d'autorités de certification (CA) est une liste ordonnée de certificats d'autorités de certification (CA) – c'est-à-dire toutes les CA intermédiaires situées entre un certificat émis et la racine de confiance – qui permet à un destinataire de vérifier, étape par étape, le certificat d'un appareil, d'une passerelle ou d'un serveur, jusqu'à remonter à un certificat racine auquel il accorde déjà sa confiance.

Points clés à retenir

• Une chaîne d'autorités de certification relie un certificat à une racine de confiance par l'intermédiaire d'autorités de certification intermédiaires.
• L'absence de certificats intermédiaires entraîne des erreurs de type « certificat non fiable » sur des certificats racine valides.
• Également appelée « chaîne de certificats » ou « chaîne de confiance » dans la terminologie des infrastructures à clé publique (PKI).
• Les appareils VOS et le portail Titan nécessitent le téléchargement de la chaîne de certificats, et pas seulement du certificat.
• Chaque certificat est signé par celui qui lui est supérieur, jusqu'à aboutir à une racine de confiance.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Chaîne CA et Versa · FAQ

Pourquoi les chaînes CA sont-elles importantes ?

La validation d'un certificat ne fonctionne que si la partie chargée de la vérification peut remonter, à partir d'un certificat signé, jusqu'à une racine à laquelle elle fait déjà confiance. Les appareils sont livrés avec un petit ensemble de certificats d'autorités de certification (CA) racines de confiance, mais pratiquement aucun certificat n'est signé directement par l'une de ces racines : celle-ci délègue en effet la signature à une ou plusieurs autorités de certification intermédiaires. Un vérificateur ne disposant que du certificat final ne peut pas remonter la chaîne des signatures jusqu'à un ancrage de confiance qu'il reconnaît.

C’est pourquoi les erreurs de type « certificat non fiable » et « autorité de certification inconnue » sont généralement dues à une chaîne manquante, et non à un certificat invalide. Une chaîne incorrecte compromet ce qu’elle est censée sécuriser : les navigateurs bloquent le site, les tunnels IPsec échouent, les liaisons d’annuaire échouent. Les certificats intermédiaires permettent également de conserver la clé privée de l’autorité de certification racine hors ligne ; c’est la chaîne qui rend cette protection possible.

Qu'est-ce qu'une chaîne d'autorités de certification ?

D'un point de vue structurel, une chaîne d'autorités de certification (CA) est un chemin de signature : le certificat de l'autorité de certification racine de confiance (auto-signé, dans un magasin de confiance) en haut, un ou plusieurs certificats d'autorités de certification intermédiaires au milieu – chacun signé par celui qui le précède – et le certificat de l'entité finale (le certificat de l'appareil, du serveur ou de la passerelle) en bas, signé par la dernière autorité intermédiaire. Un vérificateur contrôle chaque signature jusqu'à ce qu'une d'entre elles corresponde à son magasin de confiance.

Une chaîne de certificats est généralement constituée d'un seul fichier – le plus souvent .crt, .cer, ou .pem – contenant les certificats intermédiaires concaténés dans l'ordre, parfois avec le certificat racine inclus. Le logiciel chargé de valider le certificat de l'entité finale lit ce fichier pour combler les lacunes que son propre magasin de confiance ne peut pas combler.

Types de chaînes CA

Les chaînes varient principalement en fonction de leur profondeur et de la manière dont la hiérarchie est structurée. Une chaîne à un seul intermédiaire – racine, un intermédiaire, certificat de feuille – est la configuration la plus courante dans les PKI d’entreprise. Une chaîne à plusieurs intermédiaires imbrique plusieurs autorités de certification intermédiaires, ce qui permet à une grande autorité de certification de déléguer la signature par politique, région ou unité opérationnelle sans surexposer la racine. Dans une chaîne à un seul niveau, la racine signe directement le certificat de l’entité finale : cette méthode est plus simple, mais elle sollicite davantage la clé racine ; elle est donc plus courante pour les certificats de laboratoire auto-signés que dans les infrastructures PKI de production. Les chaînes à signatures croisées relient des hiérarchies distinctes en faisant signer le certificat d’une autorité de certification par une autre, ce qui s’avère utile lors d’une migration de racine.

CA Chain & Versa

Sur un appareil VOS géré via Versa Director, un certificat d'autorité de certification (CA), sa clé privée et sa chaîne de certificats CA sont téléchargés sous forme d'objets personnalisés distincts – dans la section « Objets et connecteurs > Objets personnalisés > Certificats CA, clés et chaînes de certificats CA » – d'abord vers le nœud Director, puis vers l'appareil ; les fichiers de chaîne doivent être .crt, .cer, ou .pem. Le Configurer les certificats d'autorité de certification (CA), le fichier de clés et les chaînes d'autorités de certification guide (et son Équivalent NGFW) couvrent ces deux étapes. Une fois téléchargée, la chaîne est sélectionnée dans un profil VPN IPsec pour l'authentification par certificat, tant au niveau local qu'au niveau du pair.

Dans le portail d'Titan , les MSP et les administrateurs de locataires suivent la même séquence (clé, puis certificat, puis chaîne) pour installer les certificats destinés aux services VSA de la passerelle d'SASE , et peuvent choisir une chaîne d'autorités de certification (CA) par défaut ou personnalisée lors de la sécurisation de LDAPS vers Active Directory.

Questions fréquentes

Quelle est la différence entre un certificat d'autorité de certification (CA) et une chaîne d'autorités de certification ?

Un certificat CA est un certificat unique délivré par une seule autorité de certification. Une chaîne CA correspond à la séquence complète et ordonnée de ces certificats — c'est-à-dire toutes les autorités de certification intermédiaires situées entre un certificat délivré et la racine de confiance — nécessaire pour remonter jusqu'à une racine à laquelle le vérificateur fait déjà confiance.

Pourquoi un message d'erreur « certificat non fiable » s'affiche-t-il alors que le certificat est valide ?

En général, le serveur ou le périphérique n'envoie que son certificat d'entité finale, sans les certificats intermédiaires de l'autorité de certification. Le magasin de confiance du client ne contient que le certificat racine ; il ne peut donc pas combler l'écart entre les deux. Le téléchargement ou la mise à disposition de la chaîne complète d'autorités de certification permet de résoudre l'erreur.

Quels sont les formats de fichiers utilisés par une chaîne de certificats ?

Les chaînes CA sont généralement distribuées sous la forme de .crt, .cer, ou .pem des fichiers contenant des certificats encodés au format PEM, concaténés dans l'ordre, du premier certificat intermédiaire jusqu'au dernier, afin que les logiciels de validation puissent lire l'intégralité de la chaîne de confiance à partir d'un seul fichier.

Chaque certificat doit-il disposer de sa propre chaîne d'autorités de certification ?

Non. Les certificats émis au sein d'une même hiérarchie d'autorités de certification (CA) partagent les mêmes certificats intermédiaires et le même certificat racine. Un seul objet « chaîne de CA » mis en ligne permet de valider tous les certificats de périphériques ou de passerelles émis au sein de cette hiérarchie ; les administrateurs n'ont donc à le mettre en ligne qu'une seule fois, plutôt que de joindre une chaîne distincte à chaque certificat.

Dans quels autres cas utilise-t-on une chaîne de certificats, en dehors du trafic HTTPS ?

Au-delà du trafic Web, les chaînes de certificats authentifient les pairs VPN IPsec lors de la négociation IKE basée sur des certificats, sécurisent les connexions LDAPS aux serveurs d’annuaire et valident les certificats d’identité des périphériques ou des passerelles – partout où l’une des parties doit vérifier que le certificat de l’autre partie remonte jusqu’à une racine de confiance.

En savoir plus sur les chaînes CA

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux chaînes de CA, celles-ci méritent que vous y jetiez un œil.