Observatoire de la Sécurité des Systèmes d'Information et des Réseaux 11/11/2018 Les PKI Observatoire de la Sécurité des Systèmes d'Information et des Réseaux le 13 avril 1999 Edouard Tric - Axenet novembre 18

Introduction De nouveaux standards Le besoin d’une PKI Normes X509-X500 , Protocole SSL et TLS , Ipsec S/MIME vs PGP Le besoin d’une PKI Les utilisateurs sont déchargés de l’administration de la sécurité Neutralité vis à vis de l’échange Indépendance interopérabilité par rapport aux applications Tarification attractive (1 timbre pour 1 an) novembre 18

Les pki Définition Fonctionnalités Outil de génération de clés Serveur de certificats Annuaire Listes de révocation Sauvegarde et/ou recouvrement de clés non-répudiation certification croisée. novembre 18

Présentation de Certipost 11/11/2018 Présentation de Certipost Les services proposés online Le service "Bronze" ou certificat de test Le service "Argent" ou certificat institutionnel Le service "Or" ou certificat professionnel Le service "Serveur" ou certificat serveur Une mise en œuvre simplifiée Importer l’autorité Certipost dans les navigateurs Demander un certificat Importer le certificat Sauvegarder le certificat novembre 18

11/11/2018 Autorités de certification déléguées (pki déléguée ) dans les entreprises le besoin l’existant La PKI déléguée Axenet novembre 18

PKI déléguées - le besoin 11/11/2018 PKI déléguées - le besoin Identifier et authentifier ses partenaires Se protéger contre une modification des messages ou fichiers (scellement) Rendre les messages inintelligibles par un inconnu (chiffrement) Permettre la non-répudiation des échanges (Contrats, commandes,…) novembre 18

PKI déléguées - l’existant 11/11/2018 PKI déléguées - l’existant Intranet: réseau fermé sécurisé Internet: réseau ouvert non sécurisé Extranet: intranet communiquant Il faut pouvoir communiquer sans faire de compromis sur la sécurité novembre 18

La PKI déléguée Axenet Architecture Générale : RA ,CA 11/11/2018 La PKI déléguée Axenet Architecture Générale : RA ,CA RA : pas de moteur de crypto ; CA : traite les demandes de l ’ensemble des RA Le Client : Openzilla ou Netscape avec fortify Le Serveur : Apache Axenet peut fournir le code source de la PKI aux clients novembre 18

La PKI déléguée Axenet (schéma) 11/11/2018 La PKI déléguée Axenet (schéma) Internet RA2 Poste client extranet DMZ Auth Serveur authentification SSL RA1 Serveur web Firewall internet : ca , poste client extranet Réseau interne CA Application interne RA3 novembre 18

pki Axenet : Installation NT , Solaris, Linux,etc Code source fourni 11/11/2018 pki Axenet : Installation NT , Solaris, Linux,etc Code source fourni Internet CA Autre CA Certipost DMZ Auth Serveur authentification SSL RA Extranet Firewall Réseau interne RA interne CA client novembre 18

Internet A Acme SA dispose d'un certificat CA pki Axenet : 11/11/2018 pki Axenet : Demande de ca déléguée Certipost 2 La CA publique signe la demande Internet 1 Génération des clés CA Déléguée A 3 Acme SA dispose d'un certificat CA novembre 18

Installation des certificats SSL 11/11/2018 pki Axenet : pki Axenet : Installation Installation des certificats SSL La CA client délivre les certificats ssl Internet RA Partenaire La Pki est installée DMZ Auth Serveur authentification SSL RA Extranet Firewall Réseau interne RA interne CA client novembre 18

pki Axenet : pki Axenet : Sécuriser l ’extranet Le partenaire demande 11/11/2018 pki Axenet : pki Axenet : Sécuriser l ’extranet Le partenaire demande un certificat Internet RA Partenaire La CA collecte et signe les demandes DMZ Auth Serveur authentification SSL RA Extranet Firewall Réseau interne RA interne CA client novembre 18

Les PKI et les logiciels du Marché 11/11/2018 Les PKI et les logiciels du Marché La plupart des logiciels américains brident la taille des clés à 512 bits . Les clés de session sont généralement à 40 bits . génération des clés ( browsers , serveurs , firewalls) importation des clés dans les logiciels du marche ( Netscape , IIS , Explorer , etc.) impossible d ’importer des clés générées avec un outil indépendant dans les serveurs Netscpae et Microsoft IIS gestion des certificats novembre 18

11/11/2018 Les évolutions des PKI Intégration avec les systèmes d ’exploitation et les applications NT 5 intégration poussée dans l ’os d ’une pki (propriétaire) Dynamic shop builder ( Axenet ) utilise une pki intégrée pour l ’authentification b to b Certificats EDI (Formulaires, logiciels,..) Certificats IPSEC Certificats SET novembre 18

11/11/2018 Conclusions C’est l ’architecture bâtie autour des standards X509, LDAP, SSL-TLS, S/MIME qui s’impose dans la construction des PKI .Le monde électronique de demain sera basé sur cette architecture. Il faut utiliser des logiciels opensource pour la mise en place des infrastructures PKI . Apache avec modssl pour le serveur Netscape avec Fortify en attendant la sortie de Openzilla novembre 18

Références Certipost http://www.certificat.com 11/11/2018 Références Certipost http://www.certificat.com Openssl http://www.openssl.org Openldap http://www.openldap.org Openzilla http://www.openzilla.org Fortify http://www.fortify.net novembre 18