Certificat
Pour certificat on a : Chaque certificat repose sur une paire de clés asymétriques :
clé privée → secrète, jamais diffusée clé publique → incluse dans le certificat, distribuée
- Structure d’un certificat
Un certificat X.509 contient notamment :
la clé publique l’identité (CN, organisation…) l’émetteur (CA) la signature de la CA
La clé privée n’est jamais dans le certificat.
- Cas par cas dans ta PKI
Root CA clé privée root → ultra sensible, offline certificat root (public) → déployé chez les clients
👉 ce certificat contient la clé publique root
Autorité intermédiaire clé privée intermédiaire → utilisée pour signer certificat intermédiaire (public) → distribué avec tes certificats
👉 signé par la root
Certificats applicatifs (code signing, TLS…) clé privée → utilisée par ton appli pour signer ou s’authentifier certificat → distribué (ou embarqué)
- Schéma global
ROOT CA
- clé privée (secret, offline) - certificat (public, chez client)
↓ signe
INTERMEDIATE CA
- clé privée (protégée) - certificat (public)
↓ signe
CERTIFICAT APPLICATIF
- clé privée (dans ton appli ou serveur) - certificat (public)
- Ce que tu dois garder secret
Critique :
clé privée root clé privée intermédiaire clé privée des certificats applicatifs
Si une de ces clés fuit :
elle doit être révoquée immédiatement
- Ce que tu peux diffuser
Sans problème :
certificat root certificat intermédiaire certificats signés CRL
- Point important souvent mal compris
Un certificat = PUBLIC par nature
Ce n’est pas un secret.
La sécurité repose uniquement sur : → la protection des clés privées
- Exemple concret
- f
- g
Quand tu signes une appli :
- test
tu utilises ta clé privée le client vérifie avec la clé publique dans le certificat puis remonte la chaîne jusqu’à la root 8. Résumé Oui → il y a toujours une paire privé/public Le certificat = clé publique + identité + signature La sécurité = protection des clés privées uniquement Tout le reste peut être distribué librement Avoir une CARoot Hors ligne une Ca intermediaire qui aura les info pour . url certificat intermediare . url revocationlis (CRL)