Demande de signature de certificat (CSR)
Une CSR (Certificate Signing Request, ou demande de signature de certificat) est un message envoyé par un demandeur (ou abonné), dans le cadre d’une infrastructure à clés publiques, à une autorité de certification (AC) afin de demander la délivrance d’un certificat de clé publique (certificat numérique).
Pour obtenir de tels certificats, le demandeur commence par générer une paire de clés, composée d’une clé publique et d’une clé privée. Il conserve la clé privée en lieu sûr et inclut la clé publique dans la CSR soumise à l’AC. Une fois la demande vérifiée et approuvée par l’autorité de certification, celle-ci délivre au demandeur un certificat numérique signé numériquement à l’aide de sa propre clé privée. Outre les informations relatives à la clé publique, la CSR comprend également un « nom distinctif (DN) » contenant des informations structurées, telles que la raison sociale et l’adresse de l’organisation.
Les autorités de certification qui délivrent des certificats en réponse à des CSR peuvent être classées en deux grandes catégories : publiques et privées.
Les autorités de certification publiques sont des organismes officiels reconnus dont les certificats racines (certificats attestant l’authenticité de l’autorité de certification) sont préinstallés dans les navigateurs Web, les clients de messagerie ou d’autres applications, ce qui permet de valider automatiquement les certificats émis. Les certificats destinés aux serveurs accessibles au public, tels que les certificats SSL pour les serveurs Web ou les certificats utilisés pour sécuriser les communications externes, doivent généralement être obtenus auprès d’une autorité de certification publique.
À l’inverse, les autorités de certification privées sont exploitées au sein d’organisations ou d’entreprises selon leurs propres politiques opérationnelles internes. Les certificats émis par des autorités de certification privées ne sont pas publiquement reconnus comme fiables par les navigateurs ou les systèmes externes. Par exemple, un site web rendu public à l’aide d’un certificat SSL émis par une autorité de certification privée déclenche un avertissement de sécurité du navigateur indiquant que ce certificat ne bénéficie d’aucune validation publique. Toutefois, les certificats clients émis par une autorité de certification privée peuvent être déployés efficacement à des fins d’authentification au sein des systèmes internes de l’entreprise, sans aucune difficulté pratique.
De plus, F5 propose une fonctionnalité d’authentification par certificat client dans BIG-IP Access Policy Manager (APM), notamment une autorité de certification privée intégrée qui simplifie la gestion et le déploiement des certificats clients.