Qu'est-ce qu'une autorité de certification ?

Une autorité de certification (CA) est une entité de confiance qui émet et signe numériquement des certificats associant une clé publique à une identité vérifiée – un appareil, un serveur ou un utilisateur. Les certificats émis par une CA permettent à deux parties d'établir des connexions chiffrées et authentifiées sans avoir à partager au préalable une clé secrète ; ils constituent le fondement des protocoles TLS et IPsec, ainsi que de l'authentification des appareils basée sur une infrastructure à clé publique (PKI).

Points clés à retenir

• Une autorité de certification (CA) émet et signe numériquement des certificats qui attestent de l'identité.
• Les certificats associent une clé publique à un appareil, un serveur ou un utilisateur.
• Les autorités de certification racines et intermédiaires forment une chaîne de confiance hiérarchique.
• Les autorités de certification publiques jouissent d'une grande confiance ; les autorités de certification privées sont au service d'une seule organisation.
• Les appareils VOS utilisent des certificats émis par une autorité de certification (CA) ou auto-signés pour l'authentification PKI.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · CA & Versa · FAQ

Pourquoi un expert-comptable est-il important ?

Sans un tiers de confiance pour garantir l'identité, une clé publique à elle seule ne prouve rien : n'importe qui peut générer une paire de clés et prétendre être n'importe qui. Une autorité de certification (CA) résout ce problème en vérifiant l’identité du demandeur avant de signer ; ainsi, une partie qui s’appuie sur ce certificat n’a qu’à faire confiance au certificat racine de la CA, et non à chaque point d’extrémité auquel elle se connecte. C’est ce point d’ancrage de confiance qui rend la communication chiffrée viable à l’échelle d’Internet : les navigateurs et les systèmes d’exploitation sont livrés avec une liste validée d’autorités de certification racines de confiance, et tout certificat issu de cette chaîne est accepté automatiquement.

L'authentification par certificat remplace une clé secrète partagée par un identifiant vérifiable et révocable : en cas de compromission d'un appareil, c'est son certificat qui est révoqué, au lieu que chaque pair doive disposer d'un nouveau mot de passe. Pour l'authentification IPsec et VPN, l'infrastructure à clé publique (PKI) évite d'avoir à distribuer et à renouveler une clé pré-partagée sur chaque terminal.

Qu'est-ce qu'un CA ?

Une autorité de certification (CA) s'inscrit dans une infrastructure à clé publique (PKI) et remplit trois fonctions : vérifier l'identité, signer des certificats et gérer les révocations. Un appareil génère une paire de clés et soumet une demande de signature de certificat (CSR) accompagnée de sa clé publique et de ses informations d'identification. La CA valide la demande – le niveau de vérification pouvant aller de la simple confirmation du contrôle du domaine à une vérification complète de l'organisation – puis signe un certificat X.509 associant la clé à l'identité.

Les autorités de certification (CA) sont généralement organisées selon une structure hiérarchique : une autorité de certification racine se trouve au sommet de cette hiérarchie, généralement hors ligne, et signe les autorités de certification intermédiaires chargées de la délivrance des certificats. Les certificats ont également une date d'expiration ou peuvent être révoqués prématurément ; leur statut peut être vérifié via une liste de révocation de certificats (CRL) ou le protocole OCSP (Online Certificate Status Protocol).

Types d'autorités de certification

Les autorités de certification publiques (commerciales) sont considérées comme fiables par défaut dans les magasins de confiance des systèmes d’exploitation et des navigateurs, ce qui en fait le choix idéal pour tout ce qui est exposé à Internet : sites Web publics, API SaaS ou services accessibles depuis des appareils que vous ne contrôlez pas. Les autorités de certification privées (internes) sont gérées par une organisation pour son usage propre (services internes, points d’accès VPN, authentification des appareils) et ne sont pas considérées comme fiables ailleurs, à moins que leur racine ne soit ajoutée au magasin de confiance de chaque point d’accès. Dans chacune de ces catégories, une autorité de certification racine est auto-signée et constitue le maillon central de la chaîne, tandis qu’une autorité de certification intermédiaire est certifiée par la racine et gère la délivrance quotidienne des certificats, ce qui limite l’ampleur des répercussions en cas de compromission. Un certificat auto-signé contourne entièrement la hiérarchie : cela convient pour les tests, mais il doit être considéré comme fiable manuellement sur chaque appareil.

CA & Versa

Les appareils VOS prennent en charge l’authentification par certificat (PKI) comme alternative aux clés pré-partagées pour IKE et IPsec. Les administrateurs configurent une autorité de certification (CA) commune – un profil global non lié à une organisation particulière – en spécifiant le type de serveur (ACME, CMP, CRL, GCP, KMIP ou SCEP) et, éventuellement, OCSP pour les vérifications de révocation. Les organisations fournisseurs/clients et les nœuds de contrôleur se réfèrent à ce profil pour l’authentification des CPE ; le processus de configuration de base consiste à sélectionner PKI comme mode IKE et à associer des agents CA à un modèle.

Lors d’un provisionnement sans intervention (« zero-touch »), « CA in Data Center » envoie la CSR de la succursale via le tunnel IPsec afin qu’elle obtienne un certificat signé par l’autorité de certification (CA) pour les tunnels ultérieurs. Côté terminal, le client «SASE » a besoin du certificat de l’autorité de certification de la passerelle dans son magasin de certificats racine de confiance pour finaliser l’enregistrement VPN et le déchiffrement SSL – « Versa » fournit une autorité de certification racine par défaut à cet effet, que les clients peuvent remplacer.

Questions fréquentes

Quelle est la différence entre un CA et un CSR ?

Une CSR (demande de signature de certificat) est un document généré et soumis par un appareil ; elle contient la clé publique et des informations d'identité telles que le nom commun. L'autorité de certification vérifie ces informations et, si elle les juge satisfaisantes, signe un certificat. La CSR correspond à la demande ; l'autorité de certification est l'émetteur.

Qu'est-ce qu'un certificat auto-signé ?

Un certificat auto-signé est signé par sa propre clé privée plutôt que par une autorité de certification (CA) ; par conséquent, aucun système ne lui accorde automatiquement sa confiance. Il convient aux tests ou aux configurations internes, mais chaque appareil qui s'y fie doit l'ajouter manuellement à son magasin de certificats de confiance, sans quoi les connexions seront considérées comme non fiables.

Comment une autorité de certification (CA) vérifie-t-elle l'identité d'un utilisateur avant de délivrer un certificat ?

Le niveau de validation dépend du type de certificat : les autorités de certification (CA) à validation de domaine vérifient le contrôle du domaine, celles à validation d'organisation vérifient les registres de l'entreprise, et celles à validation étendue procèdent à une vérification juridique plus approfondie. Les CA internes ou celles liées à des appareils s'appuient souvent sur un secret d'inscription partagé ou sur un protocole automatisé tel que l'ACME.

Que se passe-t-il lorsqu'un certificat est révoqué ?

L'autorité de certification émettrice publie le numéro de série du certificat dans une liste de révocation de certificats (CRL) ou répond aux requêtes en temps réel via le protocole OCSP. Les parties qui s'appuient sur le certificat vérifient l'une ou l'autre de ces sources avant de faire confiance à un certificat ; ainsi, un certificat révoqué cesse d'être accepté immédiatement, avant même son expiration.

Quelle est la différence entre une autorité de certification racine et une autorité de certification intermédiaire ?

Une autorité de certification racine est auto-signée et se situe au sommet de la chaîne de confiance ; elle est généralement conservée hors ligne pour des raisons de sécurité. Les autorités de certification intermédiaires sont certifiées par l'autorité racine et gèrent la délivrance courante des certificats ; ainsi, si une autorité intermédiaire est compromise, elle peut être révoquée sans invalider l'autorité racine ni ses autres certificats.

En savoir plus sur CA

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez à la CA, voici quelques liens qui pourraient vous intéresser.