BRSKI : Bootstrapping Remote Secure Key Infrastructure
Gestion des clés
BRSKI : Bootstrapping Remote Secure Key Infrastructure. « Amorçage à distance d'une infrastructure de clés sécurisée », par analogie avec le nouvel employé qui arrive avec un badge de son ancienne agence d'intérim et repart avec celui de l'entreprise, sans que personne ne se déplace.
Le problème : Un équipement neuf sort du carton sans rien connaître de son futur réseau, et le réseau ne le connaît pas davantage. Il faut pourtant lui délivrer un certificat opérationnel sans intervention humaine sur place : c'est le provisionnement dit zero-touch.
Le mécanisme : L'équipement présente son certificat d'usine, au format normalisé par l'IEEE. Un service du fabricant, le MASA (Manufacturer Authorized Signing Authority), émet un bon signé qui atteste que cet équipement appartient bien à ce réseau ; l'équipement, rassuré, obtient ensuite son certificat local via EST.
La confiance déléguée : Tout repose sur le fabricant, sa clé de signature et la pérennité de son service. On gagne l'automatisation ; on hérite d'une dépendance qui survit parfois assez mal aux rachats d'entreprise.
Ce qui arrive si on s'en passe
Sans BRSKI ni mécanisme équivalent, l'enrôlement d'un parc d'équipements se fait soit à la main, lent et source d'erreurs, soit par une confiance aveugle au premier contact : le nouvel équipement accepte le premier serveur d'enrôlement qui répond, et le réseau accepte le premier équipement qui se présente. Un attaquant présent sur le segment peut alors se faire passer pour l'autorité et capter l'équipement, ou introduire un appareil de sa fabrication qui reçoit un certificat en règle. La vérification croisée par le bon signé du fabricant ferme ces deux portes.
Explication de la marmotte
Quand on branche un appareil neuf dans une entreprise, par exemple une borne ou un capteur, il doit recevoir une sorte de carte d'identité numérique pour prouver ensuite qui il est. Faire ça à la main pour des milliers d'appareils serait interminable. Cette méthode automatise tout : l'appareil arrive avec une carte d'identité posée à l'usine, le fabricant confirme en ligne que cet appareil a bien été vendu à cette entreprise, et l'entreprise lui remet alors sa propre carte d'identité. Personne n'a besoin de se déplacer, et un appareil volé ou inconnu ne passe pas le contrôle.
Où ce terme est utilisé
- EST : enrôler des certificats X.509 par transport sécurisé (2 occurrences)