Base de Connaissances

Solution

Les champs suivants sont des attributs qui peuvent être inclus dans les détails d’un certificat SSL.

Remarque: en raison de l’évolution des normes PKI, ces attributs peuvent être modifiés à tout moment, sans préavis, afin de se conformer aux exigences du CA/B Forum.

Version
Numéro de série
Algorithme de signature
Émetteur
Valide à partir du / Valide jusqu’au
Sujet
Clé publique
Nom alternatif du sujet (SAN)
Contraintes de base
Identifiant de clé du sujet (SKI)
Utilisation de la clé
Points de distribution de la CRL
Politiques de certificat
Utilisation étendue de la clé (EKU)
Identifiant de clé de l’autorité (AKI)
Accès aux informations de l’autorité
Liste SCT
Empreinte numérique
 

Version

Ce champ décrit la version du certificat encodé. Pour les certificats SSL, la version X.509 est la 3, car des extensions de certificat sont utilisées.

Numéro de série

Le numéro de série est une chaîne alphanumérique attribuée par DigiCert à chaque certificat SSL. Il est unique pour chaque certificat émis par DigiCert (autrement dit, le nom de l’émetteur et le numéro de série identifient un certificat unique).

Algorithme de signature

L’algorithme de signature identifie l’algorithme cryptographique utilisé par DigiCert pour signer ce certificat. DigiCert signe tous les certificats SSL à l’aide de l’algorithme SHA-256.

Émetteur

Le champ Émetteur identifie l’entité qui a signé et émis le certificat. Pour les certificats SSL, ce champ contient les informations du nom distinctif (Distinguished Name, DN) du certificat de l’autorité de certification intermédiaire (Intermediate CA).

Valide à partir du et Valide jusqu’au

Ces champs indiquent la période de validité du certificat SSL.

Sujet

Ce champ contient les informations du nom distinctif (Distinguished Name, DN) du certificat. Les champs généralement inclus dans un certificat SSL sont les suivants:

Nom commun (CN)
Organisation (O)
Localité ou ville (L)
État ou province (S)
Nom du pays (C)

Pour les certificats SSL à validation étendue (EV), les champs supplémentaires suivants sont également inclus:

Catégorie d’entreprise
Numéro de série (numéro d’immatriculation de l’entreprise)
État de juridiction
Localité de juridiction

Clé publique

Ce champ est utilisé pour identifier l’algorithme avec lequel le certificat SSL est utilisé, tel que RSA ou ECC. Il indique également la taille de la clé en bits (par exemple: 2048 bits).

Nom alternatif du sujet (SAN)

L’extension Nom alternatif du sujet (Subject Alternative Name, SAN) permet d’associer des identités supplémentaires au sujet du certificat. L’extension Nom DNS (dNSName) est utilisée pour ajouter un nom de domaine pleinement qualifié (FQDN) supplémentaire à un certificat SSL.

Contraintes de base

Cette extension indique si un certificat est une autorité de certification (CA) ou non. Si le certificat est une CA, des informations supplémentaires, telles que la profondeur de la hiérarchie qu’il est autorisé à signer, sont spécifiées. Les certificats SSL sont des certificats d’entité finale (end-entity) et non des certificats d’autorité de certification.

Identifiant de clé du sujet (SKI)

L’extension Identifiant de clé du sujet (Subject Key Identifier, SKI) permet d’identifier les certificats contenant une clé publique particulière. Il s’agit d’une valeur de hachage du certificat SSL.

Utilisation de la clé

Les extensions Utilisation de la clé (Key Usage) définissent les usages autorisés pour un certificat donné (à condition que l’application puisse interpréter cette extension). Les extensions suivantes sont incluses dans un certificat SSL:

Signature numérique: (Extrait de http://www.ietf.org/rfc/rfc3280.txt) Le bit digitalSignature est activé lorsque la clé publique du sujet est utilisée avec un mécanisme de signature numérique afin de fournir des services de sécurité autres que la signature de certificats (bit 5) ou la signature de listes de révocation de certificats (CRL) (bit 6). Les mécanismes de signature numérique sont couramment utilisés pour l’authentification de l’entité et l’authentification de l’origine des données avec garantie d’intégrité.

Chiffrement de clé: (Extrait de http://www.ietf.org/rfc/rfc3280.txt) Le bit keyEncipherment est activé lorsque la clé publique du sujet est utilisée pour le transport de clés. Un exemple de chiffrement de clé est la négociation SSL (SSL handshake), au cours de laquelle les deux applications utilisent un chiffrement asymétrique pour protéger l’échange d’une clé secrète, laquelle est ensuite utilisée pour la session.

Points de distribution de la CRL

L’extension Points de distribution de la CRL (CRL Distribution Points) indique l’emplacement de la liste de révocation de certificats (CRL) correspondante pour le certificat SSL.

Politiques de certificat

L’extension Politiques de certificat (Certificate Policies) définit les règles juridiques associées à l’utilisation d’un certificat donné. Pour les certificats SSL DigiCert, un lien vers les accords destinés aux parties utilisatrices (Relying Party Agreements) de DigiCert est fourni : https://www.digicert.com/legal-repository

Utilisation étendue de la clé (EKU)

Également appelée Enhanced Key Usage, cette extension indique une ou plusieurs finalités pour lesquelles la clé publique certifiée peut être utilisée, en complément ou à la place des usages de base déjà définis dans l’extension Utilisation de la clé. Les certificats SSL DigiCert incluent les extensions suivantes :

Authentification du serveur : (Extrait de http://www.ietf.org/rfc/rfc3280.txt) Authentification TLS des serveurs WWW. Les bits d’utilisation de la clé compatibles sont : digitalSignature, keyEncipherment ou keyAgreement.

Authentification du client : (Extrait de http://www.ietf.org/rfc/rfc3280.txt) Authentification TLS des clients WWW. Les bits d’utilisation de la clé compatibles sont : digitalSignature et/ou keyAgreement.

Identifiant de clé de l’autorité (AKI)

L’extension Identifiant de clé de l’autorité (Authority Key Identifier, AKI) fournit l’identifiant de clé du certificat de l’autorité de certification (CA) émettrice qui a signé le certificat SSL. Cette valeur AKI correspond à la valeur SKI du certificat de l’autorité de certification intermédiaire (Intermediate CA).

Accès aux informations de l’autorité

L’extension Accès aux informations de l’autorité (Authority Info Access) fournit des informations sur la manière d’accéder aux informations relatives à une autorité de certification (CA), telles que la validation OCSP et les données de politique de la CA.

Liste SCT

Ce champ contient une liste des horodatages de certificats signés (Signed Certificate Timestamps, SCT), conformément aux exigences de la transparence des certificats (Certificate Transparency, CT). La CT est un cadre de journaux qui aide les propriétaires de domaines à surveiller les certificats numériques émis pour leurs domaines.

Empreinte numérique

Cette extension fournit la valeur de hachage permettant de vérifier que le certificat n’a pas été altéré.

Ces informations sont issues de la RFC 3280: http://www.ietf.org/rfc/rfc3280.txt