CMC : Certificate Management over CMS
Gestion des clés
CMC : Certificate Management over CMS (Cryptographic Message Syntax). « Gestion de certificats par messages signés », par analogie avec le dossier administratif complet sous enveloppe scellée, là où d'autres se contentent d'un formulaire.
Le principe : CMC transporte demandes et réponses de certificats dans des structures CMS signées, avec des contrôles pour la preuve de possession, la révocation ou l'archivage de clé. Il est décrit dans la RFC 5272.
Dans EST : EST en réutilise le format complet par l'opération fullcmc, pour les cas que l'inscription simple ne couvre pas. Rares sont les implémentations qui s'y aventurent hors des PKI déjà construites autour.
Une famille nombreuse : Il cohabite avec CMP, plus riche, et SCEP, plus rudimentaire. Trois protocoles pour demander un certificat : la PKI a toujours préféré la diversité des formulaires à la simplicité du guichet.
Ce qui arrive si on s'en passe
Sans protocole de gestion structuré comme CMC, une demande de certificat se réduit souvent à un formulaire que l'autorité signe sans preuve que le demandeur détient la clé privée correspondante. Un certificat peut alors être émis au nom d'une clé que le demandeur ne possède pas, et révocations comme archivages de clés se traitent à la main, hors de toute trace signée. Les demandes arrivent sans signature, donc sans garantie sur leur origine ni sur leur intégrité en chemin. Trois protocoles existent pour éviter cela ; n'en choisir aucun reste la seule option qu'aucune RFC n'a pris la peine de décrire.
Explication de la marmotte
Pour obtenir une carte d'identité numérique, un ordinateur envoie une demande à un organisme de confiance qui la signe. Ce protocole décrit une façon très complète de faire cette demande : tout est placé dans une enveloppe scellée et signée, avec des cases prévues pour les cas compliqués, comme prouver qu'on détient bien sa clé secrète ou demander l'annulation d'une carte. Il est puissant mais lourd, donc surtout utilisé dans de grandes installations déjà organisées autour de lui.
Où ce terme est utilisé
- EST : enrôler des certificats X.509 par transport sécurisé (3 occurrences)