Ce document présente la mise en place d'une infrastructure à clés publiques (PKI) pour sécuriser les transactions électroniques et la messagerie. Il souligne l'importance d'une politique de sécurité claire et d'une approche en couches pour minimiser les risques et augmenter la cohérence des systèmes de sécurité. Les applications PKI et leurs mécanismes, comme les certificats numériques, sont explorés pour établir des relations de confiance dans les environnements de communication actuelle.

1. La citadelle électronique PKI par la pratique Sylvain Maret Février 2002 Version 1.4

2. Agenda le cheminement vers PKI & la citadelle électronique Calcul du risque Architecture classique et modèle de citadelle électronique Les nouveaux enjeux Les outils à disposition PKI, éléments constituant s Les applications PKI

3. Agenda (suite) Démonstrations Comment obtenir un certificat Application messagerie Signature de document

4. Agenda (suite) Conséquences structurelles et organisationnelles de PKI Politique de sécurité, CP, CPS Infrastructure technique Exploitation et Ressources humaines

5. La sécurité informatique ? Mise en place d’une politique de sécurité Stratégie à mettre en place pour protéger votre système d’information Des technologie pour faire tendre le risque vers zéro La sécurité n’est pas un produit mais un processus permanent !

6. Comment diminuer le risque ? Risque = Coûts * Menaces * Vulnérabilités $

7. Quel montant faut il investir ? Risque Coûts Risques acceptés

8. Evolution des risques dans le temps ? Risque Temps Risques acceptés aujourd’hui Risques de demain

9. Rappel historique sur la sécurité informatique Un développement cellulaire répondant aux menaces Tentatives d’intrusion s Exploitation des vulnérabilités applicatives Virus, Chevaux de Troie Wiretapping, Sniffing DoS, DoS distribués

10. le cheminement vers PKI & la citadelle électronique

11. Modèle de sécurité classique Approche « produit » Des solutions spécifiques, des cellules isolées Antivirus Firewall Systèmes de détection d’intrusion Authentification périphérique

12. Les inconvénients du modèle classique Des solutions très spécifiques Un manque de cohérence et de cohésion L’approche en coquille d’oeuf Des remparts Des applications (le noyau) vulnérables

13. Schématiquement… Firewall, IDS, etc. Ressources internes

14. Les enjeux pour le futur Fortifier le cœur des infrastructures Améliorer la cohérence Amener la confiance dans les transactions électroniques Simplicité d’utilisation Définir une norme suivie par les constructeurs & éditeurs

15. La citadelle électronique Modèle de sécurité émergent Approche en couche s ou en strate s Chaque couche hérite du niveau inférieur Les applications et les biens gravitent autour d’un noyau de sécurité

16. Approche en couche 1) Architecture 2) Protocoles réseaux 3) Système s d’exploitation s 4) Application s

17. Architecture Sécuri sation des accès bâtiments Segmentation & Cloisonnement IP Segmentation & Cloisonnement physique Choix d’environnement (S witch, hub, etc) Mise en place de Firewall Configuration de routeur (ACL) Etc.

18. Protocoles réseaux TCP/IP , IPSec, L2TP, PPTP, etc. Anti SYNFlooding Anti spoofing « Kernel » réseau à sécuriser Etc.

19. Systèmes d’exploitation Sécurisation des OS Restriction d es services Mise en place de FIA Détection d’intrusion sur les OS Sauvegarde régulière Authentification forte Sécurisation de l’administration Logging & Monitoring

20. Application s Chaque application est sécurisée Cryptage des données sensibles Cartes de crédit s Base d’utilisateurs Cloisonnement des bases de données Authentification forte des accès Cryptage des communications (SSL) Signature électronique

21. Schématiquement… Architecture Protocoles réseaux O.S. Applications

22. Pour répondre à ce challenge ? Une démarche La politique de sécurité Des services de sécurité Authentification Confidentialité Intégrité Non répudiation Disponibilité Autorisation

23. Et des technologies … Firewall IDS Analyse de contenu FIA AntiVirus VPN PKI…

24. PKI… Au cœur de la citadelle Offre les mécanismes de sécurité aux applications Mécanismes & Outils exploités dans plusieurs strates Permet de construire des relations de confiance

25. Principes de bases Une mécanique cryptographique éprouvée et standardisée Une a pproche orientée utilisateur Mot-clef: certificat numérique ou « passeport » numérique Notion de confiance au niveau électronique

26. Les applications PKI Sécurisation de la messagerie VPN, Accès distants Portail W eb, e-commerce Transaction s électronique s Publications électroniques Single Sign On Etc.

27. Sécurisation de la messagerie C rypt age des messages Intégrité des messages Signature et non répudation Application PKI « ready » Standard s S/MIME PGP

28. Accès distants (VPN) Accès aux ressources d’entreprise Sécurisation des communications Technologie s utilisées IPSEC SSL ou SSH Utilisation des certificats Carte s à puce Token USB

29. Portail Web, e-commerce Technologie SSL Authentification mutuelle Signature des transactions eTrading Gestion des privilèges CyberAdministration , guichet virtuel, etc. Tendance: Editeurs de s erveurs d’a pplicat ions convergent vers PKI

30. Transactions & publications électroniques R écépissés digitaux Concept de preuve Non répudiation des documents délivrés Autorité de transaction Tier s pour validation des transactions « Document authority » Partage de documents sécurisés

31. Single Sign On Amélioration de la sécurité Gestion centralisé e des utilisateurs Utilisation des certificats pour l’authentification Applications PKI « Ready » ou module d’ intégration Utilisation des PAC

32. L ’acteur Microsoft Ouverture sur PKI Nouvelle méthode d’authentification Kerberos V5 Support des cartes à puce Encrypted File System (EFS) Intégration avec Active Directory Support de la biométrie

33. Kerberos Système d’authentification et de gestion des privilèges Utilise des tickets (credentials) Permet l’authentification mutuelle Système de Single Sign On

34. Kerberos et PKI Extension pour l’authentification par PKI PKINIT Support des cartes à puce (smart card logon)

35. L’infrastructure et ses élém ents Certificats Annuaires Autorité de certification (CA) Autorité d ’ e nregistrement ( RA) Autorité de validation (VA) Archivage

36. Autorité de certification (CA) L’entité qui délivre les certificats Le tiers de confiance L’entité qui publie les certificats dans un annuaire L’entité qui génère les listes de révocation

37. Autorité de souscription (RA) Bureau d’enregistrement Reçoit les requêtes de certification Obéit à la structure granulaire de l’entreprise I dentification du requérant

38. Autorité de validation (VA) Service on-line Contrôle de validité des certificats Réponse: valide/invalide/inconnue Plus efficace que les CRLs Minimise le trafique Etat en temps réel

39. Annuaires Structure hiérarchisée de type x.500 Liste des liens entre utilisateurs et certificats Peut contenir des listes de révocation (CRL)

40. Archivage Stockage à long terme des clés de chiffrement Key recovery Perte des clés Vol Etc. Procédure de récupération des clés Pas de stockage des clés de signature Non répudiation

41. Démonstrations

42. Démonstrations Obtention d’un certificat Utilisation dans le cadre de la messagerie Signature de documents

43. Démo #1: obtention d’un certificat

44. Démo #1: obtention d’un certificat RA CA User enrolls for certificate http://www User mailed retrieval PIN User retrieves certificate http://www Admin Approves request http://www User mailed ack . Admin mailed notification User Security Officer LDAP Certificate installed

45. Démo #2: application messagerie

46. Démo #2: application messagerie PC A Visualisation Et/ou Modification PC B Mail serveur

47. Démo #3: Signature de document

48. Démo #3: Signature de document PC A PC B Serveur de données Réseaux Internes

49. Conséquences structurelles et organisationnelles de PKI

50. PKI internes et organisation Mots clefs: Politique de sécurité, CP, CPS Exploitation et Ressources humaines Formation Audit Infrastructure technique

51. « Certificate Policy » (CP) Stratégie organisationnelle sur papier Reprend la politique de sécurité Objectifs: respecter les but s commerciaux, les contraintes légales et la culture d’entreprise Haut niveau hiérarchique Auditer la mise en œuvre du PKI Auditer l’exploitation du PKI

52. Certificate Policy II Document statique dans le temps Nécessaire mais pas suffisant… Mécanismes? Procédures? Nécessité d’un document lié à la mise en œuvre d’une PKI

53. Certificate Practices Statement (CPS) Décrit les mécanismes et procédures à mettre en œuvre pour exécuter la CP Spécifie l’implémentation d’un CA Mode d’identification auprès du RA Taille des clefs Structure et temps de vie des certificats Détails liés à la révocation Etc.

54. CPS II Définition de l’architecture de sécurité Accès physique au CA, RA, etc. Processus de backup Normes cryptographiques (FIPS, etc.) Implication des divers couches de la citadelle Document qui évolue avec les technologies

55. En Résumé CP Document stratégique Objectifs liés au secteur d’activité Stable dans le temps CPS Construction d’une PKI suivant la CP Implémentation de s standard s Lié aux technologies Définition des procédures d’exploitation RFC 2527: Format standard

56. Ressources humaines Types de profiles impliqués Haut management (CP) Juristes (aspects légaux) Security officers (CP, CPS) Ingénieur sécurité Ingénieur système (exploitation) Equipe bureautique (application , formation & Help Desk ) Auditeur (CP, CPS)

57. Quelques liens http://www.cert.org http://csrc.nist.gov/ http://www.sans.org http://online.securityfocus.com/ http://www.linuxsecurity.com/ http://www.securitysearch.net/ http://www.esecurityonline.com/

58. Questions?

59. Pour plus d’informations e-Xpert Solutions SA Sylvain Maret Route de Pré-Marais 29 CH-1233 Bernex / Genève +41 22 727 05 55 [email_address]