SCEP : Simple Certificate Enrollment Protocol
Gestion des clés
SCEP : Simple Certificate Enrollment Protocol. « Protocole simple d'inscription de certificats », par analogie avec le guichet où un ticket d'invitation suffit pour repartir avec sa carte tamponnée.
Le principe : L'équipement génère sa paire de clés, construit une CSR et l'envoie à l'autorité en s'authentifiant le plus souvent par un mot de passe de challenge. Les messages sont emballés en PKCS#7 et transportés sur HTTP.
Le challenge partagé : Le mot de passe de challenge est souvent unique pour tout un parc et figé dans les profils de gestion des terminaux. Un secret connu de dix mille appareils possède à peu près la discrétion d'une annonce en gare.
Face à EST : EST fait le même travail sur un canal TLS, avec une authentification du client plus propre. SCEP survit grâce à sa base installée, longtemps resté à l'état de brouillon avant d'être publié en RFC informationnelle.
Ce qui arrive si on s'en passe
Sans enrôlement automatisé comme SCEP ou l'un de ses successeurs, chaque certificat d'équipement se demande, s'installe et se renouvelle à la main. Les conséquences sont connues : certificats expirés qui coupent un service, clés privées générées sur un poste d'administration puis copiées d'une machine à l'autre, équipements laissés sur des mots de passe partagés faute de pouvoir leur délivrer une identité. Un SCEP mal réglé pose cependant ses propres problèmes : un challenge statique divulgué permet à n'importe qui d'obtenir un certificat valide. D'où l'intérêt de challenges à usage unique et d'une autorité qui restreint strictement ce qu'elle accepte de signer.
Explication de la marmotte
Certains appareils, comme les téléphones d'entreprise ou les routeurs, ont besoin d'une sorte de carte d'identité numérique pour prouver qui ils sont. Plutôt que de la fabriquer à la main pour chacun, ce protocole leur permet de la demander tout seuls à l'organisme qui les délivre, en montrant un code d'accès. C'est pratique pour équiper des milliers d'appareils d'un coup, à condition que ce code d'accès ne traîne pas partout.
Où ce terme est utilisé
- EST : enrôler des certificats X.509 par transport sécurisé (10 occurrences)
- PKI et TLS (1 occurrence)