{"id":30214,"date":"2019-10-31T21:34:16","date_gmt":"2019-10-31T18:34:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami\/"},"modified":"2019-10-31T21:34:16","modified_gmt":"2019-10-31T18:34:16","slug":"ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/ietf-odobrili-acme-eto-standart-dlya-raboty-s-ssl-sertifikatami","title":{"rendered":"L'IETF a approuv\u00e9 ACME \u2014 il s'agit d'une norme pour le travail avec des certificats SSL","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

L'IETF a approuv\u00e9 norme<\/a><\/noindex> L'Environnement de Gestion Automatique des Certificats (ACME) facilitera l'obtention de certificats SSL. Nous allons expliquer comment cela fonctionne.<\/p>\n

\"L'IETF<\/a><\/noindex><\/a><\/noindex>
\n\/ Flickr \/ Cliff Johnson<\/a><\/noindex> \/ CC BY-SA<\/a><\/noindex><\/i><\/p>\n

Pourquoi une norme est-elle n\u00e9cessaire<\/h2>\n

\nEn moyenne, pour configurer au certificat SSL<\/a><\/noindex> un domaine, un administrateur peut consacrer de une \u00e0 trois heures. En cas d'erreur, il faut attendre que la demande soit rejet\u00e9e, et seulement ensuite elle peut \u00eatre soumise \u00e0 nouveau. Tout cela complique le d\u00e9ploiement de syst\u00e8mes \u00e0 grande \u00e9chelle.<\/p>\n

La proc\u00e9dure de validation de domaine peut varier d'un centre de certification \u00e0 l'autre. L'absence de standardisation entra\u00eene parfois des probl\u00e8mes de s\u00e9curit\u00e9. Il est connu qu'un cas<\/a><\/noindex>, o\u00f9 \u00e0 cause d'un bug dans le syst\u00e8me un CA a v\u00e9rifi\u00e9 tous les domaines d\u00e9clar\u00e9s. Dans de telles situations, des certificats SSL peuvent \u00eatre d\u00e9livr\u00e9s \u00e0 des ressources frauduleuses.<\/p>\n

Le protocole ACME approuv\u00e9 par l'IETF (sp\u00e9cification RFC8555<\/a><\/noindex>) doit automatiser et standardiser le processus d'obtention d'un certificat. L'\u00e9limination du facteur humain contribuera \u00e0 am\u00e9liorer la fiabilit\u00e9 et la s\u00e9curit\u00e9 de la v\u00e9rification du nom de domaine.<\/p>\n

La norme est ouverte, et tout le monde peut contribuer \u00e0 son d\u00e9veloppement. Des r\u00e9pertoire sur GitHub<\/a><\/noindex> instructions correspondantes ont \u00e9t\u00e9 publi\u00e9es.<\/p>\n

Comment cela fonctionne<\/h2>\n

\nLes \u00e9changes de demandes dans ACME se font via HTTPS \u00e0 l'aide de messages JSON. Pour travailler avec le protocole, il est n\u00e9cessaire d'installer un client ACME sur le n\u0153ud cible, qui g\u00e9n\u00e8re une paire de cl\u00e9s unique lors de son premier appel au CA. Par la suite, elles seront utilis\u00e9es pour signer tous les messages entre le client et le serveur.<\/p>\n

Le premier message contient des infos de contact sur le propri\u00e9taire du domaine. Il est sign\u00e9 avec la cl\u00e9 priv\u00e9e et envoy\u00e9 au serveur avec la cl\u00e9 publique. Ce dernier v\u00e9rifie l'authenticit\u00e9 de la signature et, si tout est en ordre, commence la proc\u00e9dure de d\u00e9livrance du certificat SSL.<\/p>\n

Pour obtenir un certificat, le client doit prouver au serveur qu'il poss\u00e8de le domaine. Pour cela, il effectue certaines actions disponibles uniquement pour le propri\u00e9taire. Par exemple, le centre de certification peut g\u00e9n\u00e9rer un token unique et demander au client de le placer sur le site. Ensuite, le CA forme une requ\u00eate web ou DNS pour extraire la cl\u00e9 de ce token.<\/p>\n

Par exemple, dans le cas de HTTP, la cl\u00e9 du jeton doit \u00eatre plac\u00e9e dans un fichier qui sera servi par le serveur web. Lors de la v\u00e9rification DNS, l'autorit\u00e9 de certification recherchera la cl\u00e9 unique dans le document texte de l'enregistrement DNS. Si tout est en ordre, le serveur confirme que le client a pass\u00e9 la validation et l'AC d\u00e9livre le certificat.<\/p>\n

\"L'IETF
\n\/ Flickr \/ Blondinrikard Fr\u00f6berg<\/a><\/noindex> \/ CC BY<\/a><\/noindex><\/i><\/p>\n

Avis<\/h2>\n

\nSelon propos<\/a><\/noindex> L'IETF, ACME sera utile aux administrateurs qui doivent g\u00e9rer plusieurs noms de domaine. La norme aidera \u00e0 lier chacun d'eux aux bons SSL.<\/p>\n

Parmi les avantages de la norme, les experts notent \u00e9galement plusieurs m\u00e9canismes de s\u00e9curit\u00e9<\/a><\/noindex>. Ils doivent garantir que les certificats SSL sont d\u00e9livr\u00e9s uniquement aux v\u00e9ritables propri\u00e9taires de domaines. En particulier, un ensemble d'extensions est utilis\u00e9 pour se prot\u00e9ger contre les attaques DNS, DNSSEC<\/a><\/noindex>et pour se prot\u00e9ger contre les attaques DoS, la norme limite le taux d'ex\u00e9cution des requ\u00eates individuelles - par exemple, HTTP pour la m\u00e9thode POST<\/a><\/noindex>. Les d\u00e9veloppeurs d'ACME de lire les livres \u00ab<\/a><\/noindex> ajoutent de l'entropie aux requ\u00eates DNS et les effectuent depuis plusieurs points du r\u00e9seau pour am\u00e9liorer la s\u00e9curit\u00e9.<\/p>\n

Des solutions similaires<\/h2>\n

\nDes protocoles sont \u00e9galement utilis\u00e9s pour obtenir des certificats SCEP<\/a><\/noindex> et EST<\/a><\/noindex>.<\/p>\n

Le premier a \u00e9t\u00e9 d\u00e9velopp\u00e9 par Cisco Systems. Son objectif \u00e9tait de simplifier le processus d'\u00e9mission des certificats num\u00e9riques X.509 et de le rendre aussi \u00e9volutif que possible. Avant l'apparition de SCEP, ce processus n\u00e9cessitait une participation active des administrateurs syst\u00e8me et avait du mal \u00e0 se d\u00e9velopper. Aujourd'hui, ce protocole est l'un des plus couramment utilis\u00e9s.<\/p>\n

Quant \u00e0 l'EST, il permet aux clients PKI d'obtenir des certificats par des canaux s\u00e9curis\u00e9s. Il utilise TLS pour transmettre des messages et \u00e9mettre des SSL, ainsi que pour lier CSR \u00e0 l'exp\u00e9diteur. De plus, l'EST prend en charge des m\u00e9thodes de cryptographie elliptique, offrant ainsi un niveau de protection suppl\u00e9mentaire.<\/p>\n

Selon selon l'avis des experts<\/a><\/noindex>, des solutions comme ACME devront se r\u00e9pandre davantage. Elles proposent un mod\u00e8le simplifi\u00e9 et s\u00e9curis\u00e9 pour configurer le SSL, tout en acc\u00e9l\u00e9rant le processus.<\/p>\n

Autres articles de notre blog d'entreprise :<\/h5>\n

<\/p>\n