Développement de certificats numériques
Que sont les certificats numériques?
De même qu’une autorité acceptée par tous (la police) délivre des documents physiques, tels que des cartes d’identité ou des passeports et, lorsque nous les présentons à un tiers, celui-ci ne doute pas que nous sommes bien qui nous affirmons être, il y a des organismes qui produisent de petits logiciels dont l’objectif est de s’assurer que celui qui les utilise, c’est-à-dire qui les installe, a une identité concrète.
En fait, comme il ne s’agit pas de documents physiques plastifiés, mais de logiciels, les certificats numériques peuvent sécuriser l’identité non seulement des personnes, mais aussi assurer une identification:
Serveurs | Sites web | Logiciels | Agents publics | Appareils
Ainsi, lorsque nous accédons à un site web, par exemple, les certificats numériques font réagir notre navigateur pour qu’il nous indique que oui, c’est le site que nous recherchions et non une contrefaçon.
Les autorités de certification (AC)
Il s’agit d’organisations auxquelles on fait confiance pour émettre ces logiciels (les certificats) qui nous identifieront, par exemple, quelques-unes d’entre elles en Espagne sont:
- La Monnaie nationale (FNMT)
- L’Agence catalane de certification (CATCert)
- L’Autorité de certification de la Communauté de Valence (ACCV)
Ces organisations nous demanderont certaines informations, ou nous feront nous déplacer dans leurs bureaux, afin de présenter des documents attestant notre identité. Pour finir, ils nous transmettront le certificat qui, après avoir été installé dans notre ordinateur, fera en sorte que nos navigateurs présentent les informations du certificat chaque fois que nous accédons à un site qui en fait la demande.
L’administration publique (gouvernement)
«Cette loi reconnaît le droit des citoyens à interagir avec les administrations publiques par voie électronique» Loi 11/2007. Article 1.1
Par conséquent, tout organisme public, société municipale ou entité officielle a l’obligation de rendre possible à toute personne qui souhaite interagir avec l’administration d’une manière différente que personnellement, sans quitter son domicile. En dehors d’autres considérations qui ne sont pas pertinentes, il est essentiel de confirmer l’identité de la personne qui utilise un smartphone, une tablette ou un PC à des fins de gestion.
Certificados de servidor
De même que l’administration publique veut savoir qui interagit avec elle par voie télématique, les citoyens ont le droit d’être sûrs que lorsqu’ils accèdent à un site, par exemple https://www.agenciatributaria.es/ est vraiment ce site, cette opération est réalisée par un certificat de serveur numérique.
Lorsque notre organisation s’adresse aux fournisseurs de certificats de serveur pour en obtenir un, nous devons délivrer une demande de signature de certificat CSR (Certificate Signing Request), ensuite, après l’avoir analysée, l’autorité de certification (Comodo, Symantec, etc.) va générer un certificat SSL que nous pouvons installer dans le serveur que nous voulons sécuriser.
Puis, après avoir été correctement configuré, tout navigateur accédant à notre site pourra établir une communication SSL sécurisée. L’url indiquera que le protocole de communication n’est pas http:// mais https:// ; évidemment, le «s» indique un protocole sécurisé.
Certificados de código
Ils sont ceux qui, correctement habilités, garantissent que les logiciels fabriqués par notre organisation sont sûrs, ne sont pas corrompus et peuvent être téléchargés et installés avec notre soutien
OCSP
Ces acronymes correspondent à : Protocole sur l’état des certificats en ligne (Online Certificate Status Protocol.) Ce service est chargé de s’assurer qu’un certificat est toujours valable, qu’il n’a pas expiré et qu’on peut donc continuer à s’y fier. Les organisations d’AC, c’est-à-dire les principaux fournisseurs de certificats ou l’autorité racine, gèrent une base de données des numéros de série de tous les certificats qu’elles ont émis.
Ainsi, ils peuvent savoir s’ils restent valables ou non en fonction de leur date d’expiration ou d’autres considérations. Aussi, lorsqu’un logiciel se connecte aux bases de données qui contiennent ces informations par le protocole OCSP, il peut savoir si un certificat donné est valide ou non.
Et que tout marche…
Ces technologies et celles connexes sont utilisées par Flash Data dans les développements de nos clients, principalement institutionnels, qui ont eu besoin de se conformer aux exigences légales dans leurs portails Web et dans de nombreux processus de leur BackOffice. Par exemple, dans le portail du siège électronique de l’Institut municipal du logement de la mairie de Barcelone https://portal.imhab.cat).