Chaînes de certificats

Une chaîne de certificats (ou chaîne de confiance) est la liste ordonnée de certificats qui relie le certificat terminal d'un serveur à un certificat racine de confiance.

Chaque certificat est signé par celui qui se trouve au-dessus de lui.

Une chaîne typique comporte trois éléments :

• Certificat feuille (entité finale) du serveur réel.
• Le ou les certificats intermédiaires qui ont signé le certificat feuille.
• Le certificat racine qui a signé l'intermédiaire.

Pour valider la chaîne, le client vérifie chaque signature en la remontant :

• La clé publique de la racine vérifie l'intermédiaire.
• La clé publique de l'intermédiaire vérifie le certificat feuille.

Si toutes les signatures sont valides et que la chaîne aboutit à une racine de confiance, elle est valide.

Vous pouvez afficher la chaîne présentée par un serveur à l'aide de s_client d'OpenSSL.

Les chaînes sont liées par la correspondance de leurs champs : l'émetteur d'un certificat est égal au sujet du certificat situé au-dessus.

Une erreur très fréquente survient lorsqu'un serveur envoie uniquement son certificat feuille et oublie l'intermédiaire.

Certains clients ne peuvent alors pas construire un chemin jusqu'à la racine et signalent un certificat non approuvé, même si tout est techniquement valide.

Les serveurs doivent envoyer le certificat feuille ainsi que tous les intermédiaires (mais généralement pas la racine, que les clients possèdent déjà).

Ce fichier combiné est souvent appelé fullchain.pem.

Vous pouvez vérifier une chaîne localement en fournissant la racine de confiance.

La validation ne se limite pas aux signatures. Le client vérifie également :

• Que chaque certificat se trouve dans sa période de validité.
• Que la chaîne n'est pas révoquée.
• Que l'indicateur CA est défini pour les certificats CA dans les contraintes de base.
• Que l'utilisation des clés et les contraintes de nom sont respectées.

Il arrive qu'une nouvelle racine ne soit pas encore approuvée partout. La signature croisée permet à une racine plus ancienne et largement approuvée de signer également le nouvel intermédiaire.

Cela crée plusieurs chemins valides et améliore la compatibilité avec les appareils plus anciens.

Les défaillances courantes d'une chaîne comprennent :

• Un certificat intermédiaire manquant
• Un certificat expiré à un endroit quelconque du chemin
• Un ordre incorrect dans le fichier de chaîne
• Une racine non approuvée ou désapprouvée

Vous avez appris comment une chaîne de certificats relie un certificat feuille à une racine de confiance par l'intermédiaire de certificats intermédiaires.

• La validation parcourt la chaîne en vérifiant chaque signature, les dates et la révocation.
• Les serveurs doivent envoyer la chaîne complète pour éviter les erreurs liées à un intermédiaire manquant.
• La signature croisée améliore la compatibilité.

Ensuite, nous abordons les tâches opérationnelles de gestion des certificats.