Votre guide sur la façon dont PKI fonctionne et sécurise votre organisation


L'infrastructure à clé publique est un élément clé de votre vie quotidienne dans le cyber-monde. Il sécurise tout, des informations de connexion de votre navigateur aux données sensibles que vous partagez par e-mail – voici une ventilation du fonctionnement de l'ICP

L'infrastructure à clé publique est intrinsèque à la cybersécurité. C'est la croûte de votre tarte et le vent de votre voile; en gros, c'est une des choses qui fait fonctionner la cybersécurité.

L'infrastructure à clé publique, ou PKI, est souvent considérée comme un type de technologie ou de cadre de cybersécurité – mais c'est plus que cela. Vous savez probablement que le terme se rapporte au chiffrement, mais savez-vous réellement ce qu'il fait ou comment PKI fonctionne?

Nous sommes ici pour répondre à ces questions brûlantes concernant le fonctionnement de l'infrastructure à clé publique. Dans le processus, nous décomposerons les composants de l'infrastructure à clé publique et la façon dont vous utilisez peut-être déjà PKI chaque jour pour protéger votre entreprise et vos clients.

Disons-le.

Avant de pouvoir répondre «Comment fonctionne l'ICP?» Décrivons d'abord ce que c'est…

Avant de sauter dans les moindres détails du fonctionnement de l'infrastructure à clé publique, voyons d'abord ce qu'est l'ICP pour nous assurer que nous sommes tous sur la même longueur d'onde.

En un mot, l'infrastructure à clé publique est un système (basé sur des paires de clés de chiffrement et des certificats numériques) utilisé pour sécuriser les communications entre différents systèmes informatiques. Il s'agit également d'un système qui aide votre organisation à se conformer aux exigences réglementaires en matière de sécurité des données et de confidentialité et à éviter les pénalités, les amendes et la perte de réputation.

PKI fait deux choses pour sécuriser les communications:

  • Authentification – Cela garantit que l'autre partie est le serveur / individu légitime avec lequel vous essayez de communiquer.
  • Chiffrement – Cela garantit qu'aucune autre partie ne peut lire vos communications.

Pour rendre l'ensemble de ce processus plus compréhensible, considérons le certificat SSL que ce site Web utilise comme exemple. Vous voyez l'icône de cadenas dans votre navigateur? Cela signifie que ce site Web utilise un certificat SSL, basé sur PKI. SSL utilise PKI pour faire deux choses:

  1. Votre navigateur authentifie qu'il est connecté au bon serveur appartenant à thesslstore.com.
  2. Toutes les données qui passent entre votre navigateur et notre serveur Web sont cryptées.

Dans un sens plus technique, l'ICP est une combinaison de technologies, politiques et procédures cryptographiques que vous utilisez pour sécuriser les données dans le monde numérique et vous authentifier. Le terme concerne également l'émission, l'utilisation, le stockage, la distribution, la gestion et la révocation des certificats et des clés numériques – également appelés cycle de vie des certificats – ainsi que les entités qui les émettent.

De façon détournée, tout cela signifie que Le cryptage à clé publique est un cryptosystème à deux clés (asymétrique) qui protège tout ce que vous faites et les informations que vous envoyez et recevez en ligne. Des transactions de commerce électronique sur votre site Web aux e-mails que vous envoyez au sein de votre organisation qui contiennent des informations sensibles, les données sont sécurisées grâce à PKI

La fonction principale de PKI est de distribuer les clés publiques aux bons appareils, logiciels et utilisateurs qui en ont besoin. Cela signifie que L'ICP vise à garantir que vos données sensibles ne tombent pas entre de mauvaises mains.

The Nitty-Gritty: Les 6 composants clés de l'ICP

Pour mieux comprendre le fonctionnement de l'ICP, vous devez d'abord savoir ce qu'il en est. Bien sûr, l'infrastructure à clé publique comporte plusieurs composants essentiels – et nous approfondirons chacun de ces sujets un peu plus loin dans l'article:

  • Certificats numériques X.509 – Ces types de certificats comprennent une clé, des informations sur l'identité du propriétaire (du certificat et des clés) et la signature numérique de l'autorité de certification. Ces types de certificats comprennent:
    • Certificats S / MIME (authentification client),
    • Certificats de signature de code, et
    • Certificats de signature de documents.
  • Signatures numériques – Les signatures numériques garantissent qu’un message, un fichier ou des données n’ont été modifiés en aucune façon. Il utilise un hachage chiffré d'un message pour garantir l'intégrité de vos données en le faisant en sorte que personne ne puisse modifier le message sans que le destinataire le découvre.
  • Paires de clés publiques et privées (asymétriques et symétriques) – PKI fonctionne grâce aux paires de clés qui chiffrent et déchiffrent les données. Dans le chiffrement asymétrique, il existe une clé publique partagée avec tout le monde et une clé privée correspondante gardée secrète. Dans le chiffrement symétrique, il existe une clé que les deux parties utilisent pour communiquer.
  • Autorités de certification (CA) – Les autorités de certification sont ce qui rend l'ensemble du système fiable. Les autorités de certification vérifient les parties et émettent des certificats. Sans autorités de certification, l'ICP ne fonctionnerait tout simplement pas parce que n'importe qui pourrait simplement se délivrer des certificats en disant qu'ils sont Amazon.com, Bill Gates ou qui ils ont envie de se faire passer pour eux.
  • Chaîne de confiance – La chaîne de confiance est une série de certificats (certificats racine, intermédiaire et feuille) qui renvoie à l'autorité de certification émettrice qui l'a approuvée.
  • Outils, politiques, processus et procédures de gestion des certificats appropriés – Cela inclut l'utilisation d'outils de gestion de certificats tels qu'un gestionnaire de certificats.
Une illustration graphique du fonctionnement de l'ICP
Voici une illustration générale du fonctionnement de l'infrastructure à clé publique.

Si vous souhaitez plus d'informations sur ce qu'est l'ICP, je vous suggère de consulter les articles que mes collègues ont écrits à ce sujet et comment cela facilite la communication sécurisée et sécurisée. Ils ont déjà fait un excellent travail, et je n'essaie pas de réinventer la roue ici.

Comment fonctionne l'infrastructure à clé publique?

D'accord, maintenant que vous savez ce qu'est l'ICP et comment elle se rapporte à la cryptographie à clé publique, il est temps de parler de ce qu'elle fait et comment elle le fait. Il y a quelques éléments clés à savoir sur le fonctionnement de l'ICP:

  1. PKI vous authentifie, vous et votre serveur. Il permet aux navigateurs Web des utilisateurs de votre site d'authentifier votre serveur avant de s'y connecter (afin qu'ils puissent vérifier qu'ils se connectent à un serveur légitime). Vous pouvez également utiliser des certificats clients pour limiter l'accès aux utilisateurs authentifiés. Cela vous donne un meilleur contrôle sur votre réseau et d'autres systèmes informatiques.
  2. PKI facilite le chiffrement et le déchiffrement. L'ICP vous permet d'utiliser des certificats numériques et des paires de clés de cryptage publiques pour crypter et décrypter des données ou les canaux de transmission que vous utilisez pour les envoyer à l'aide du protocole SSL / TLS sécurisé.
  3. PKI garantit l'intégrité de vos données. L'ICP permet aux utilisateurs, à leurs navigateurs ou à leurs appareils de savoir si les données que vous envoyez ont été falsifiées.

Bien sûr, faire l'une de ces choses nécessite l'utilisation de clés de chiffrement publiques à forte entropie. Chaque clé est une chaîne de nombres binaires générée aléatoirement – une série aléatoire de 1 et de 0 – utilisée pour déterminer comment le texte en clair se transforme en texte chiffré. Ainsi, lorsque nous parlons d'entropie, ce que nous voulons dire, c'est que les clés sont générées avec un caractère suffisamment aléatoire pour que cela prenne des milliers, voire des millions d'années, même aux superordinateurs modernes à deviner.

PKI fonctionne en authentifiant les utilisateurs et les serveurs

La première partie du processus PKI est l'authentification. Grâce à l'utilisation de certificats numériques (tels que les certificats client et les certificats SSL / TLS), vous pouvez vous authentifier, votre client ou votre serveur à l'aide du chiffrement asymétrique. (Encore une fois, le chiffrement asymétrique est cette paire de clés publiques et privées à deux clés.)

Examinons une explication étape par étape simple du fonctionnement de l'authentification en utilisant le scénario suivant d'une personne se connectant à Amazon.com:

  1. Le client Web (par exemple) se connecte au serveur Web Amazon.com pour obtenir le certificat et la clé publique du serveur.
  2. Le client utilise ensuite son magasin de certificats racine de confiance et la chaîne de confiance pour vérifier si le certificat de ce site a été émis par une autorité de certification de confiance. (Remarque: la chaîne de confiance est basée sur des signatures numériques, qui ne peuvent pas être truquées. Donc, si la chaîne de confiance vérifie, votre navigateur peut être sûr qu'il communique avec le bon serveur.)
  3. Le client crypte ensuite un élément de données à l'aide de la clé publique du certificat et l'envoie au serveur. Si le serveur peut le lire, cela prouve que le serveur possède la bonne clé privée et qu'il se connecte au bon serveur.

Pour faciliter ce processus (et pour créer éventuellement une connexion sécurisée et chiffrée), le client Web de l'utilisateur et votre serveur commencent ce que l'on appelle une négociation SSL ou TLS. Ce processus, qui atténue le risque d'attaques par l'homme du milieu (MitM) et d'écoute clandestine, permet au client de:

  • Déterminer quels paramètres de chiffrement ils peuvent tous deux utiliser,
  • Authentifiez le serveur (comme mentionné ci-dessus), et
  • Générez une clé de session unique que les deux parties peuvent utiliser pour échanger des informations chiffrées.
Prise de contact TLS 1.2; Prise de contact TLS 1.3
Une illustration de la négociation TLS 1.2.
Graphique de la prise de contact TLS 1.3
Une illustration de la prise de contact TLS 1.3, qui a moins d'allers-retours que son prédécesseur TLS 1.2.

Mais que faire si le serveur veut vous authentifier en tant qu'utilisateur? C’est aussi possible. Dans ce cas, vous aurez besoin d'un certificat (un certificat client ou ce que l'on appelle un certificat de signature d'e-mail) émis par une autorité de certification approuvée par le serveur. Un processus similaire se produit (mais à l'inverse) avec le serveur vérifiant votre certificat numérique avant de vous permettre d'accéder aux applications ou au contenu sur le serveur.

L'ICP fonctionne en chiffrant les données (ou les connexions via lesquelles vos données sont transmises)

Le fonctionnement de l'infrastructure à clé publique consiste à utiliser des clés asymétriques liées mathématiquement pour crypter et décrypter les données. Fondamentalement, nous parlons de prendre un message que vous pouvez lire (texte en clair) et de le brouiller dans un format indéchiffrable (texte chiffré). Il doit ensuite être déchiffré ou déchiffré lorsqu'il atteint l'autre partie.

Fonctionnement du cryptage

Un chiffrement facile à comprendre est un chiffrement à décalage à l'ancienne (chiffrement de substitution), ou ce que l'on appelle plus communément le chiffrement César.

Dans ce type de chiffrement, les lettres en clair «décalent» un nombre défini d'espaces en fonction de la clé secrète. Par exemple, le mot "CERTIFICAT" devient le texte chiffré "IKXZOLOIGZK" si votre clé est "6" car vous avez décalé chaque lettre de six espaces.

Graphique d'exemple de chiffre de décalage ou de chiffre de César
Un exemple de base du fonctionnement d'un chiffre de merde (chiffre de César).

Bien sûr, il s'agit du cryptage sous l'une de ses formes les plus élémentaires. Les techniques cryptographiques modernes ont parcouru un long chemin depuis l'époque de la Rome antique où les notes étaient livrées à cheval ou en bateau. Après tout, nous avons maintenant des superordinateurs et des technologies de notre côté pour nous aider à crypter (et décrypter) les données, les messages et autres informations sensibles.

Fonctionnement du cryptage PKI

La façon dont le chiffrement fonctionne dans le contexte de l'ICP est que les données sont chiffrées par une clé publique et déchiffrées par sa clé privée correspondante.

Mais ce n'est pas le seul truc que l'ICP a dans sa manche. Une autre fonction de PKI est qu'elle permet également la génération de clés de chiffrement symétriques. Bien que les clés symétriques soient considérées comme moins sécurisées que leurs homologues asymétriques, elles sont inestimables car elles accélèrent la communication et nécessitent moins de puissance de traitement. Sans plonger profondément dans les détails, PKI vous permet d'avoir le meilleur des deux mondes – la sécurité du cryptage asymétrique et la simplicité du cryptage symétrique.

Comment appliquer le cryptage aux différents états des données

Lorsque nous parlons des états de données, nous ne parlons pas des emplacements. Il existe trois principaux états de données: les données en transit, les données au repos et les données en cours d'utilisation. Aux fins de cet article, cependant, nous allons simplement parler de deux de ces états de données ici. Pourquoi? Parce que même s'il est possible d'exécuter des calculs sur des données chiffrées en cours d'utilisation via ce que l'on appelle le chiffrement homomorphique (plus précisément le chiffrement entièrement homomorphique), c'est un processus lent qui ne s'adapte pas bien avec les technologies actuelles. Donc, nous allons mettre une épingle dans celui-ci pour l'instant et nous concentrer sur les deux autres états de données.

Que vous le sachiez ou non, le cryptage est utilisé tout autour de vous pour sécuriser les données en transit et les données au repos:

  • Données en transit (aka données en mouvement) – Le chiffrement des données en transit crée un canal sécurisé par lequel les informations peuvent être transmises d'une partie à une autre. Un exemple de chiffrement des données en transit est lorsque vous utilisez un certificat SSL / TLS pour chiffrer le canal de communication entre le navigateur d'un client et le serveur de votre site Web. Ce processus garantit que les utilisateurs se connectent à votre site à l'aide d'une connexion HTTPS sécurisée au lieu du protocole HTTP non sécurisé.
  • Données au repos – La protection du chiffrement des données au repos implique l'utilisation du chiffrement de fichiers ou d'appareils. Un excellent exemple de chiffrement des données au repos est lorsque vous utilisez un certificat de signature d'e-mail pour crypter un e-mail avant d'appuyer sur «envoyer». Cela crypte les données du message lui-même (et toutes les pièces jointes) afin que même si quelqu'un pirate votre serveur de messagerie, il ne puisse pas lire le message s'il ne possède pas également la clé privée correspondante.
Fonctionnement de l'ICP illustration d'un canal de communication crypté HTTPS
Une illustration du canal de communication sécurisé et crypté offert par HTTPS.

Voici une illustration de la façon dont l'installation d'un certificat SSL / TLS sur un serveur facilite une connexion sécurisée et cryptée entre le client d'un visiteur de site Web et le serveur Web auquel il se connecte.

L'ICP fonctionne en garantissant l'intégrité des données

L'un des aspects les plus critiques du fonctionnement de l'infrastructure à clé publique est qu'elle permet de garantir que les données proviennent d'une source légitime et n'ont été modifiées d'aucune façon. Pour ce faire, vous pouvez notamment appliquer une signature numérique à vos e-mails, logiciels ou fichiers. De plus, chaque certificat numérique lui-même est signé à l'aide de la clé privée de l'AC.

Fondamentalement, ce qu'une signature numérique fait, c'est informer l'utilisateur ou son client de l'existence d'un fichier, d'un e-mail ou d'un document:

  • A été signé par la personne physique ou morale authentique et authentifiée, et qu'il
  • N'a pas été modifié depuis sa signature initiale.

Ne vous inquiétez pas, nous n'entrerons pas dans toutes les spécificités du hachage et des sommes de contrôle ici. Franchement, c'est trop impliqué et nous avons encore d'autres choses à dire sur le fonctionnement de l'ICP.

Validation et fonctionnalités: ce que chaque type de certificat numérique vous aide à réaliser

Les certificats numériques sont les fichiers de données qui vous aident (ou un client ou un serveur) à s'authentifier auprès d'un autre système informatique et à protéger l'intégrité de vos données. Les certificats numériques sont livrés avec différents niveaux de validation:

  • La validation de domaine est le type de validation le plus élémentaire. Cela implique simplement une autorité de certification vérifiant que vous possédez ou contrôlez un domaine spécifique en vous envoyant un lien dans un e-mail ou en vous demandant de télécharger des fichiers vers un fichier spécifique du serveur Web du site.
  • La validation d'organisation (OV) offre une validation commerciale de base. Ce processus nécessite une autorité de certification émettrice pour vérifier les informations que vous fournissez sur votre organisation à l'aide de ressources tierces officielles. De cette façon, il peut garantir que vous êtes bien ce que vous prétendez être.
  • La validation étendue (EV) offre une validation métier étendue. Il s'agit du processus de vérification le plus approfondi des trois. Il requiert que votre entreprise existe depuis au moins trois ans et soit en règle. L'avantage d'utiliser ce type de certificat est qu'il offre la plus grande assurance d'identité.

Il existe plusieurs types de certificats numériques X.509 qui peuvent protéger les données dans différentes situations, selon vos besoins:

  • Certificats SSL / TLS – Ces certificats sécurisent les données envoyées vers / depuis votre site Web et sont disponibles en options de domaine unique, de domaine multiple, de caractère générique et de domaine multiple.
  • Certificats S / MIME – Également appelés certificats de signature d'e-mail, certificats d'authentification personnels et certificats d'authentification client, ces certificats numériques offrent une assurance d'identité d'une autorité de certification tierce de confiance. Ils peuvent être utilisés pour signer et crypter numériquement des e-mails ou pour vous authentifier (en tant qu'utilisateur individuel) auprès d'un serveur Web.
  • Certificats de signature de code – Si vous êtes un développeur ou un éditeur qui souhaite offrir une assurance d'identité tout en montrant que votre logiciel n'a pas été falsifié, alors c'est le bon certificat pour vous. Ces certificats sont disponibles avec une validation individuelle (IV), une validation d'organisation (OV) ou une validation étendue (EV).
  • Certificats de signature de documents – Les certificats de signature de document valident que votre document n'a pas été falsifié en lui appliquant une signature numérique. (Si un fichier est modifié après avoir été signé, un message d'avertissement apparaîtra pour avertir les utilisateurs.) Ces certificats peuvent être utilisés pour signer divers fichiers, y compris des documents Microsoft Office et des PDF.

Où les autorités de certification s'intègrent dans l'image PKI

Capture d'écran de certains des certificats racine de confiance pré-téléchargés
Une capture d'écran de certains des certificats racine approuvés qui peuvent être affichés dans la console MMC.

Lorsque vous plongez dans un sujet approfondi sur le fonctionnement de l'ICP, il est essentiel de parler des rôles et des responsabilités des autorités de certification tierces. Une autorité de certification, comme Sectigo ou DigiCert, est un tiers de confiance chargé d'émettre et de gérer les clés privées et les certificats qui prennent en charge la PKI. (L'exception ici serait qu'ils ne voient ni ne touchent les clés privées des certificats feuilles (à l'exception des documents EV et des certificats de signature de code).)

Bien qu’il existe quelques dizaines de CA dans le monde, il n’y en a qu’une poignée qui contrôlent la part du lion du marché.

Désormais, pour être considérée comme approuvée par le public, une autorité de certification doit respecter un ensemble d'exigences de base définies par l'organe directeur de l'industrie, connu sous le nom de CA / Browser Forum (CA / B Forum).

Avant qu'une autorité de certification puisse émettre tout type de certificat numérique ou de clé privée, elle doit d'abord vérifier les informations fournies par la personne ou l'organisation qui en fait la demande à l'aide de sources officielles. Ils peuvent le faire eux-mêmes ou, dans le cas où un certificat est commandé via une AC subordonnée, c'est là qu'une autorité d'enregistrement (RA) entre en jeu.

En termes simples, une AR est une autorité de réseau qui sert d'intermédiaire entre les autorités de certification et les organisations ou les individus qui leur demandent des certificats. Ils sont chargés de traiter individuellement les demandes de délivrance de certificats émanant de particuliers et d'organisations comme la vôtre et de vérifier les informations que vous fournissez. Dans ces scénarios, les autorités d'enregistrement jouent un rôle intégral dans la chaîne de confiance.

Qu'est-ce que la chaîne de confiance?

Une capture d'écran de la chaîne de confiance des certificats du SSL Store
Une capture d'écran de la chaîne de confiance des certificats pour TheSSLStore.com.

L'efficacité de l'infrastructure à clé publique dépend de la validité de ce que l'on appelle une chaîne de certificats ou chaîne de confiance. La chaîne de confiance fait référence à une série de certificats numériques qui remonte de votre certificat attribué individuellement à l'autorité de certification qui l'a signé. Si une AR est impliquée, elle serait l’intermédiaire entre vous et l’AC.

La chaîne de confiance comporte généralement trois composants: les certificats racine, intermédiaire et feuille (serveur). Il est plus facile de penser à ces composants en termes d'arbre.

(Pour afficher la chaîne de confiance de vos certificats SSL / TLS, cliquez sur l'icône de cadenas dans votre navigateur, accédez aux informations du certificat et cliquez sur l'onglet «Chemin du certificat».)

Certificats racine (racines et tronc de l'arbre)

https://securityboulevard.com/
Une capture d'écran d'un certificat racine de confiance.

Un certificat racine, également appelé racine approuvée, est au cœur de l'infrastructure à clé publique. Chaque autorité de certification n'émet qu'une poignée de certificats racine, et ils sont pré-téléchargés dans le magasin de confiance ou le magasin racine dans la plupart des navigateurs et des systèmes d'exploitation. Les clés publiques correspondantes sont également téléchargées au préalable dans le magasin de clés d'un appareil.

Alors, pourquoi ce certificat est-il si important? Tout certificat signé par un certificat racine de confiance est considéré comme valide automatiquement par tous les principaux systèmes d'exploitation et navigateurs. Chaque navigateur ou système d'exploitation peut choisir les certificats racine à inclure par défaut.

Certificats intermédiaires (branches d'arbre favorables)

Un certificat intermédiaire est l'entremetteur (il sert d'intermédiaire, d'où le nom) qui se situe entre un certificat racine de confiance et un certificat feuille. Fondamentalement, c'est un tampon entre les deux émis par une autorité de certification intermédiaire.

Étant donné que les autorités de certification souhaitent protéger leurs certificats racine, elles utilisent généralement des certificats intermédiaires pour émettre les certificats feuilles. Étant donné que les certificats racine peuvent être stockés hors ligne, cela signifie qu'une fois qu'ils ont signé les certificats intermédiaires, ils ne sont plus nécessaires et peuvent être conservés en lieu sûr. Cela aide les autorités de certification à garantir que leurs clés privées de certificat racine sont sûres et difficilement accessibles aux cybercriminels.

Certificats de feuilles (serveur) (feuilles et branches d'arbres plus petites)

Un certificat feuille, ou certificat d'utilisateur final comme on l'appelle parfois, est essentiellement le certificat qui est émis pour votre domaine spécifique. Ce type de certificat a une durée de vie beaucoup plus courte – les certificats émis avant le 1er septembre 2020 ont une durée de vie de deux ans, tandis que tous les certificats qui seront émis à cette date ou après seront limités à un an.

Pour que PKI fonctionne, une gestion appropriée des certificats et des clés est indispensable

Bien que cela doive aller de soi, je vais quand même le dire (parce que, inévitablement, quelqu'un manque toujours ce mémo): Vos certificats ne sont valables que tant qu'ils sont valides.

C'est incroyable combien de personnes semblent toujours manquer ce mémo. Si votre certificat n'est pas valide – ce qui pourrait se produire en raison d'une installation ou d'une configuration incorrecte, de l'expiration du certificat ou de la révocation improbable par l'autorité de certification émettrice, cela signifie que votre site Web n'est plus sécurisé. Pire encore, tout votre système peut tomber en panne. Consultez notre blog «Voici ce qui se passe lorsque votre certificat SSL expire» pour quelques exemples (de marques que vous reconnaîtrez!)

Quelle que soit la raison, il est important que vous restiez au courant de ces problèmes. Pour ce faire, respectez les meilleures pratiques de gestion des certificats et des clés et utilisez des outils de gestion fiables. Ces outils offrent une visibilité sur votre réseau pour tous les certificats et vous aident à suivre et à gérer leurs cycles de vie, ce qui implique l'émission, l'utilisation, le stockage, la distribution, la gestion et la révocation des certificats et des clés numériques. De cette façon, vous pouvez réémettre des certificats avant leur expiration ou vous tenir au courant des révocations qui surviennent dans le pipeline.

Liste de contrôle de la gestion des certificats

Gérez les certificats numériques comme un boss

14 Meilleures pratiques de gestion des certificats pour maintenir votre organisation en fonctionnement, sécurisée et entièrement conforme.

Comment utiliser PKI pour protéger votre entreprise

Pour pratiquement toutes les entreprises modernes, disposer de communications sécurisées et d'un accès à des données fiables est la clé de votre succès. Mais comment l'ICP fonctionne-t-elle pour sécuriser votre entreprise et ses précieuses données? L'infrastructure à clé publique permet à votre organisation de:

  • Sécurisez le canal de communication pour les données qui transitent vers et depuis votre serveur Web, ce qui le rend plus sécurisé aux yeux de Google et d'autres moteurs de recherche. (Vous évitez que des avertissements «non sécurisés» apparaissent dans les navigateurs des utilisateurs lorsqu'ils visitent votre site.)
  • Signer et / ou crypter numériquement les communications par e-mail, ce qui contribue à atténuer les escroqueries par phishing et les violations de données par e-mail
  • Signer numériquement les documents (à ne pas confondre avec les signatures électroniques), ce qui garantit l'intégrité de ces documents
  • Signer numériquement un logiciel, qui affirme que votre logiciel est signé par une autorité légitime et qu'il n'a pas été modifié depuis sa signature
  • Affirmez votre identité organisationnelle ou individuelle
  • Contrôler l'accès à des utilisateurs ou applications spécifiques uniquement (authentification)
  • Contrôler les opérations qu'un utilisateur ou une application peut effectuer dans des systèmes spécifiques (autorisation)
  • Demandez à un tiers de confiance d'affirmer l'intégrité de vos messages et données (non-répudiation)
  • Démontrez aux moteurs de recherche que votre site Web ou votre serveur transmet des données en toute sécurité

Juste pour vous donner une idée de ce que nous voulons dire, considérons l'exemple suivant de la façon dont PKI fonctionne pour sécuriser les communications par e-mail.

Comment PKI sécurise et authentifie vos communications par courrier électronique

Dites que vous devez envoyer des informations sensibles à votre collègue, Erica. Pour ce faire, vous rédigez un e-mail, ajoutez vos pièces jointes et envoyez-le de votre adresse e-mail à la sienne. Cela signifie que tout message que vous envoyez voyagera de votre boîte d'envoi vers le serveur de messagerie. Il se rendra ensuite sur Internet vers son serveur de messagerie avant d'être envoyé dans la boîte de réception de son client de messagerie.

L'ensemble de ce processus se produit généralement en quelques secondes seulement. (À moins, bien sûr, que vous attendiez un e-mail vraiment important – alors, pour une raison quelconque, cet e-mail semble toujours rompre avec la réalité et nécessiter des heures, voire des jours, pour qu'il finisse par arriver (si vous le recevez) .) Mais il y a encore une chose critique à garder à l'esprit: sans cryptage, tout message que vous envoyez sera envoyé en clair, ce qui signifie que toute personne qui l'intercepte peut le lire.

C'est là que le cryptage à clé publique entre en jeu. Si vous et Erica avez correctement configuré les certificats de signature d'e-mail (ou ce que l'on appelle les certificats S / MIME), vous pouvez utiliser sa clé publique pour crypter le message avant de l'envoyer. En utilisant votre clé privée en tant qu'expéditeur, vous pouvez également signer numériquement l'e-mail, qu'elle peut vérifier à l'aide de votre clé publique pour vous assurer qu'elle sait que c'est bien vous qui avez envoyé le message et non un imposteur.

Sans infrastructure à clé publique, rien de tout cela ne serait possible.

Réflexions finales sur le fonctionnement de l'ICP et pourquoi il est nécessaire pour votre organisation

La cybersécurité devient chaque jour plus complexe. Les pirates trouvent de nouvelles voies d'attaque ainsi que de nouvelles façons de faire tourner les anciennes méthodes tactiques. Donc, il ne s'agit plus seulement de protéger votre réseau et de garder vos données hors de portée des pirates, mais c'est aussi un processus de contrôle d'accès.

L'infrastructure à clé publique est de plus en plus au cœur de la cybersécurité pour les entreprises et les organisations de toute taille. Que vous cherchiez à protéger votre propre propriété intellectuelle ou la confidentialité de vos clients, l'ICP est ce qui vous aide à sécuriser et à protéger l'intégrité de vos données. C'est aussi ce qui rend l'authentification possible en faisant valider votre légitimité par un tiers de confiance. Donc, pour des raisons évidentes, il est essentiel de savoir comment fonctionne l'ICP pour maintenir le système en marche comme il se doit.

Mais pour que PKI fonctionne comme prévu, vous devez gérer correctement tous les aspects du cycle de vie du certificat. Il s'agit d'une responsabilité essentielle que vous ne pouvez pas prendre à la légère – votre réputation et votre conformité organisationnelles en dépendent.

*** Il s'agit d'un blog syndiqué Security Bloggers Network de Hashed Out par The SSL Store ™ rédigé par Casey Crane. Lisez l'article d'origine sur: https://www.thesslstore.com/blog/how-pki-works/



Source link

Pourquoi créer un magasin en ligne ?

On voit clairement qu’il est vraisemblable de se lancer rapidement sans argent et sans connaissance technique particulière. Je vous conseille de vous jeter rapidement en dropshipping principalement ne pas mettre trop d’argent sur votre site. Il vous faut notamment avoir un budget marketing pour faire venir les internautes sur votre boutique : c’est le nerf de la guerre. Car comme je l’ai dit, vous pouvez avoir la plus belle boutique. Sans trafic, vous ne ferez à la saint-glinglin de chiffre d’affaires. Une que vous allez avoir testé, votre marché vous pourrez alors marchander un stock.