AC : Autorité de certification
Gestion des clés
AC : Autorité de certification. « Certification Authority », son équivalent anglais abrégé CA, par analogie avec la préfecture qui délivre les cartes d'identité : on ne la connaît pas personnellement, mais on accepte ce qu'elle tamponne.
Rôle : Une AC signe des certificats qui lient une clé publique à une identité (nom de domaine, personne, machine). Quiconque fait confiance à l'AC peut vérifier cette signature et accepter le lien.
Hiérarchie : L'AC racine, souvent gardée hors ligne dans un HSM, signe des AC intermédiaires qui émettent les certificats du quotidien. La compromission d'une intermédiaire se répare ; celle de la racine se pleure.
Publique ou interne : Les AC publiques figurent dans les magasins de confiance des navigateurs et systèmes. Une AC interne sert une PKI d'entreprise et n'est reconnue que par les postes où on l'a installée.
Révocation : L'AC publie l'état de ses certificats par CRL ou OCSP. Un certificat révoqué que personne ne vérifie reste, dans les faits, parfaitement valide.
Ce qui arrive si on s'en passe
Sans autorité de certification reconnue, un client ne dispose d'aucun moyen fiable de lier une clé publique à son propriétaire. Il en est réduit à accepter n'importe quel certificat présenté, ce qui ouvre la porte à une interception : un attaquant placé sur le chemin présente sa propre clé, déchiffre le trafic puis le relaie. Les avertissements de certificat deviennent un bruit de fond que les utilisateurs apprennent à ignorer. À défaut d'une AC, l'épinglage de clé publique offre une alternative, au prix d'une gestion manuelle des rotations. Désactiver la vérification pour « faire marcher » une connexion revient au même que ne rien avoir.
Explication de la marmotte
Sur Internet, n'importe qui peut prétendre être la banque ou le site d'un magasin. Pour trancher, on s'appuie sur un organisme de confiance qui vérifie l'identité des sites puis leur remet une sorte de carte d'identité numérique, signée par lui. L'ordinateur connaît déjà la signature de ces organismes, un peu comme on reconnaît le tampon officiel d'une mairie. Quand un site présente sa carte, l'ordinateur vérifie le tampon : s'il est authentique, il accepte ; sinon, il affiche un avertissement.
Où ce terme est utilisé
- CRL ou OCSP pour révoquer un certificat (16 occurrences)
- Sécuriser la validation de domaine HTTP-01 et DNS-01 (11 occurrences)
- Attaque de l'intercepteur par ARP, DHCP, DNS, Wi-Fi et proxy TLS (9 occurrences)
- Certificate pinning : risques et rotation des certificats (6 occurrences)
- Construire une autorité de certification privée interne (5 occurrences)
- Cycle de vie d'une autorité de certification intermédiaire (5 occurrences)
- DNS over TLS (DoT) : chiffrer la résolution de noms (3 occurrences)
- Quels risques pour un certificat wildcard TLS (3 occurrences)
- Relier une clé à une identité: certificats et PKI (3 occurrences)
- HSM cloud ou on-premise pour les clés critiques (1 occurrence)