SKI : Subject Key Identifier
Gestion des clés
SKI : Subject Key Identifier, identifiant de la clé du sujet, extension des certificats X.509. « L'étiquette courte qui désigne la clé publique contenue dans un certificat, pour la retrouver sans comparer la clé entière », par analogie avec le numéro de série gravé sur une clé de serrure : il ne l'ouvre pas, mais il permet de retrouver la bonne dans un trousseau de plusieurs milliers.
Définition : Extension décrite dans la RFC 5280 (identifiant d'objet 2.5.29.14), obligatoire dans les certificats d'autorité de certification. Sa valeur est le plus souvent une empreinte SHA-1 de la clé publique, méthode historique ; la RFC 7093 en propose d'autres fondées sur SHA-256. Ce n'est qu'un identifiant : sa valeur n'a aucune vertu cryptographique et ne prouve rien par elle-même.
Construction des chaînes : Un certificat émis porte l'extension AKI (Authority Key Identifier), qui reprend le SKI de l'autorité qui l'a signé. Les logiciels de validation s'en servent pour retrouver le bon certificat parent, notamment quand plusieurs versions d'une autorité portent le même nom.
Recertification : Renouveler un certificat d'autorité en gardant la même clé conserve le même SKI, et les certificats déjà émis se valident avec l'ancien comme avec le nouveau. Changer de clé change le SKI et impose une vraie transition, ce qui est plus pénible mais a le mérite de ne pas prolonger indéfiniment la carrière d'une clé dont personne ne connaît plus tout l'historique.
Ce qui arrive si on s'en passe
Une autorité de certification qui émet des certificats sans SKI ni AKI cohérents oblige les clients à deviner la chaîne de confiance, et certains échouent quand deux certificats d'autorité portent le même nom, ce qui provoque des pannes de validation difficiles à diagnostiquer. Un renouvellement qui modifie la clé sans que les SKI suivent produit des chaînes impossibles à reconstruire. Et prendre le SKI pour une preuve d'identité, par exemple pour épingler une autorité, revient à se fier à une valeur que n'importe qui peut recopier dans un faux certificat.
Explication de la marmotte
Un certificat numérique contient une clé publique, une longue suite de chiffres. Pour éviter de comparer ces longues clés, on leur donne une étiquette courte, le SKI, calculée à partir de la clé. Quand un logiciel vérifie un certificat, il utilise cette étiquette pour retrouver rapidement le certificat de l'autorité qui l'a signé. Cette étiquette sert seulement à ranger et retrouver : elle ne prouve pas à elle seule qu'un certificat est authentique.
Où ce terme est utilisé
- Cycle de vie d'une autorité de certification intermédiaire (2 occurrences)