What are the roles of certificates and certification authorities?
Quels sont les rôles des certificats et des autorités de certification ?
For public key cryptography to be valuable, users must be assured that the other parties with whom they communicate are “safe” – that is, their identities and keys are valid and trustworthy. To provide this assurance, all users of a PKI must have a registered identity. These identities are stored in a standard X.509 digital public key certificate format. Certification authorities (CAs) represent the people, processes, and tools to create digital certificates that securely bind the names of users to their public keys. In creating certificates, CAs act as agents of trust in a PKI. As long as users trust a CA and its business policies for issuing and managing certificates, they can trust certificates issued by the CA. This is known as third-party trust. CAs create certificates for users by digitally signing a set of data that includes the following information (and additional items): The user’s name in the format of a distinguished name (DN). The DN specifies the user’s name and any additional attributes required to uniquely identify the user (for example, the DN could contain the user’s employee number). A public key of the user. The public key is required so that others can encrypt for the user or verify the user’s digital signature. The validity period (or lifetime) of the certificate (a start date and an end date). The specific operations for which the public key is to be used (whether for encrypting data, verifying digital signatures, or both). The CA’s signature on a certificate means any tampering with the contents of the certificate will be easily detected. The CA’s signature on a certificate is like a tamper-detection seal on a bottle of pills – any tampering with the contents of a certificate is easily detected. As long as the CA’s signature on a certificate can be verified, the certificate has integrity. Since the integrity of a certificate can be determined by verifying the CA’s signature, certificates are inherently secure and can be distributed in a completely public manner (for example, through publicly accessible directory systems). Users retrieving a public key from a certificate can be assured that the public key is valid. That is, users can trust that the certificate and its associated public key belong to the entity specified by the distinguished name. Users also trust that the public key is still within its defined validity period. In addition, users are assured that the public key may be used safely in the manner for which it was certified by the CA.
Pour que la cryptographie à clé publique soit utile, les utilisateurs doivent être assurés que les autres parties avec lesquelles ils communiquent sont « en sécurité », c’est-à-dire que leurs identités et clés sont valides et dignes de confiance. Pour fournir cette assurance, tous les utilisateurs d’une PKI doivent avoir une identité enregistrée. Ces identités sont stockées dans un format de certificat de clé publique numérique X.509 standard. Les autorités de certification (AC) représentent les personnes, les processus et les outils pour créer des certificats numériques qui lient en toute sécurité les noms des utilisateurs à leurs clés publiques. Lors de la création de certificats, les AC agissent comme des agents de confiance dans une PKI. Tant que les utilisateurs font confiance à une AC et à ses stratégies d’émission et de gestion des certificats, ils peuvent approuver les certificats émis par l’AC. Il s’agit en fait de la confiance tierce. Les AC créent des certificats pour les utilisateurs en signant numériquement un ensemble de données qui comprend les informations suivantes (et des éléments supplémentaires) : Le nom de l’utilisateur au format d’un nom distinctif (ND). Le ND spécifie le nom de l’utilisateur et tous les attributs supplémentaires requis pour identifier l’utilisateur de manière unique (par exemple, le ND peut contenir le numéro d’employé de l’utilisateur). Une clé publique de l’utilisateur. La clé publique est requise pour que d’autres puissent effectuer le chiffrement pour l’utilisateur ou vérifier la signature numérique de l’utilisateur. La période de validité (ou durée de vie) du certificat (une date de début et une date de fin). Les opérations spécifiques pour lesquelles la clé publique doit être utilisée (que ce soit pour chiffrer des données, vérifier des signatures numériques ou les deux). La signature de l’AC sur un certificat signifie que toute falsification du contenu du certificat sera facilement détectée. La signature de l’AC sur un certificat est comme un sceau de détection des falsifications sur un flacon de pilules. Toute falsification du contenu d’un certificat est facilement détectée. Tant que la signature de l’AC sur un certificat peut être vérifiée, le certificat est intègre. L’intégrité d’un certificat peut être déterminée en vérifiant la signature de l’AC ; les certificats sont donc intrinsèquement sécurisés et peuvent être distribués de manière totalement publique (par exemple, via des systèmes de répertoires accessibles au public). Les utilisateurs qui récupèrent une clé publique à partir d’un certificat peuvent être assurés que la clé publique est valide. Autrement dit, les utilisateurs peuvent être sûrs que le certificat et sa clé publique associée appartiennent à l’entité spécifiée par le nom distinctif. Les utilisateurs peuvent également avoir confiance dans le fait que la clé publique est toujours dans sa période de validité définie. En outre, les utilisateurs sont assurés que la clé publique peut être utilisée en toute sécurité de la manière prévue par l’AC.