EST : Enrollment over Secure Transport
Sécurité
EST : Enrollment over Secure Transport. « Enrôlement par transport sécurisé », par analogie avec le guichet de préfecture où l'on dépose sa demande de papiers derrière une vitre blindée plutôt que sur un banc public.
Principe : EST normalise l'obtention et le renouvellement de certificats au-dessus de HTTPS : le client envoie une CSR au format PKCS#10, le serveur renvoie le certificat signé. Rien n'est réinventé, ni le transport ni le format de requête, ce qui constitue en soi une forme rare de modestie protocolaire.
Opérations : Des chemins fixés par la norme : /cacerts pour récupérer les certificats de la CA, /simpleenroll pour une première demande, /simplereenroll pour un renouvellement, /serverkeygen quand le client ne sait pas générer lui-même sa paire de clés.
Face à SCEP : SCEP emballe ses messages dans PKCS#7 au-dessus de HTTP et repose souvent sur un mot de passe partagé. EST confie la confidentialité et l'intégrité du canal à TLS et peut authentifier le client par un certificat existant.
Renouvellement : Le client renouvelle avec son certificat en cours, sans intervention humaine. L'humain n'intervient qu'au premier enrôlement, ce qui reste, de l'avis des certificats expirés, une intervention de trop.
Ce qui arrive si on s'en passe
Sans protocole d'enrôlement automatisé comme EST, les certificats circulent par copie de fichiers, formulaires web ou messagerie, et la clé privée voyage parfois avec eux. Chaque copie manuelle est une occasion de fuite ou d'erreur de destinataire. Les renouvellements dépendent alors de la mémoire humaine : un certificat oublié expire et coupe le service, ce qui pousse à allonger les durées de validité et donc la fenêtre d'exploitation d'une clé compromise. Sans canal TLS authentifié, un intermédiaire peut aussi substituer sa propre autorité lors de la récupération des certificats de confiance, puis faire accepter les certificats qu'il émet lui-même.
Explication de la marmotte
Quand un appareil (un routeur, une caméra, un ordinateur) veut prouver son identité sur un réseau, il lui faut une sorte de carte d'identité numérique, délivrée par un organisme de confiance. Ce protocole décrit la façon de la demander et de la renouveler automatiquement, en passant par une connexion protégée. C'est comme renouveler son passeport sur le site officiel au lieu d'envoyer ses papiers par courrier ordinaire en espérant que personne ne les ouvre en route. L'appareil fait sa demande, l'organisme vérifie, et la nouvelle carte arrive sans qu'une personne ait à la recopier.
Où ce terme est utilisé
- EST : enrôler des certificats X.509 par transport sécurisé (33 occurrences)
- Construire une autorité de certification privée interne (3 occurrences)
- Surveiller Certificate Transparency pour son domaine (3 occurrences)
- Cycle de vie d'une autorité de certification intermédiaire (2 occurrences)
- Certificats de courte durée (1 occurrence)
- Extensions X.509 v3 Key Usage EKU et Basic Constraints (1 occurrence)
- PKI et TLS (1 occurrence)