La chaîne de confiance jusqu'à la racine

Les autorités ne signent presque jamais directement les certificats des sites. Elles passent par des intermédiaires, formant une chaîne.

La structure

[Racine]              (auto-signee, dans le magasin de confiance)
    |
    | (signe)
[Intermediaire]
    |
    | (signe)
[exemple.com]         (certificat du site)

Ton navigateur remonte cette chaîne : il vérifie que le certificat du site est signé par l'intermédiaire, que l'intermédiaire est signé par la racine, et que la racine figure dans son magasin de confiance.

L'ancre de confiance

La racine est auto-signée : elle signe son propre certificat. Mathématiquement, cela n'atteste rien du tout.

Sa valeur ne vient pas de la signature mais de sa présence dans ton système, installée avec ton navigateur ou ton système d'exploitation, après un audit. C'est l'ancre de confiance, le point où la vérification s'arrête.

Ton ordinateur en contient une centaine, appartenant à des entreprises et des États du monde entier. Tu peux consulter la liste dans les réglages de ton navigateur — l'exercice est instructif.

Pourquoi des intermédiaires

Cette indirection existe pour protéger la racine. Sa clé privée est conservée hors ligne, dans un coffre, et ne sert que très rarement. Une racine compromise serait une catastrophe : elle est présente dans des milliards d'appareils et ne peut pas être remplacée rapidement.

Un intermédiaire compromis, lui, se révoque sans toucher à la racine.

La faille structurelle

Voici le point crucial : n'importe quelle autorité peut émettre un certificat pour n'importe quel domaine.

Il n'y a pas de cloisonnement. Une autorité d'un pays quelconque peut techniquement émettre un certificat valide pour ta banque, et ton navigateur l'acceptera.

La sécurité de l'ensemble est donc celle de son maillon le plus faible, parmi une centaine d'organisations. Ce n'est pas théorique : en 2011, l'autorité néerlandaise DigiNotar a été compromise et des certificats frauduleux ont été émis pour des domaines de Google, puis utilisés contre des internautes iraniens. DigiNotar a été retirée de tous les navigateurs et a fait faillite dans la foulée.