Autorité de certification (AC / CA)
Définition
Questions fréquentes
Quel est le rôle d'une autorité de certification ?
Elle atteste qu'une clé publique appartient bien à une personne ou à une organisation. Pour cela, elle vérifie l'identité du demandeur, émet un certificat qu'elle signe avec sa propre clé, puis en assure le suivi : renouvellement, suspension et révocation. Sans ce tiers, rien ne permettrait de relier de façon fiable une signature numérique à son auteur.
Quelle différence entre une autorité de certification et une autorité d'enregistrement ?
L'autorité d'enregistrement est chargée du contact avec le demandeur : elle recueille ses justificatifs et vérifie son identité. L'autorité de certification intervient ensuite pour émettre le certificat. Les deux fonctions peuvent être exercées par la même organisation ou confiées à des entités distinctes, l'autorité de certification restant responsable de l'ensemble.
Comment une autorité de certification devient-elle qualifiée ?
Elle doit faire évaluer sa conformité au règlement eIDAS par un organisme d'audit accrédité, puis obtenir le statut qualifié auprès de l'organe de contrôle de son pays, l'ANSSI en France. Son inscription sur la liste de confiance nationale officialise ce statut. Un nouvel audit est ensuite exigé au moins tous les vingt-quatre mois.
Que se passe-t-il si une autorité de certification est compromise ?
Les certificats qu'elle a émis ne peuvent plus être tenus pour fiables. L'autorité, ou celle qui la certifie, révoque alors les certificats concernés, et les éditeurs de logiciels retirent la racine de leurs magasins de confiance. C'est pour limiter ce risque que les clés racines sont conservées hors ligne, dans des modules matériels sécurisés.
Guides associés
Termes associés
Prêt à mettre en pratique ces concepts ?
Certyneo vous permet de créer des enveloppes de signature conformes eIDAS en quelques clics, sans installation.