Bonjour,
1> selon vous, quel est le moyen le plus simplepour envoyer ou donner accès
à un certificat, en évitant évidemment q'un tiers puisse y avoir accès aussi
? Et comment faire pour que l'utilisateur (PC/Mac) installe simplement son
certificat ?
Les impôts envoient un email avec une URL et un mot de passe, est-ce le
meilleur moyen ?
2> Pour ceux qui connaissent Windows, le serveur de certificat renvoie les
cert délivrés dans une page Web. C'est-à-ddire que l'utilisateur qui a fait
une rqeuête se logge sur la page serveur/certsrv et en suivant le lien "voir
les demandes" tombe sur une page avec un lien "Installer votre certificat".
Ma question est: est-on sûr que seul cet utilsateur peut télécharger le cert
?
Merci d'avance
Oriane
Bonjour,
1> selon vous, quel est le moyen le plus simplepour envoyer ou donner accès
à un certificat, en évitant évidemment q'un tiers puisse y avoir accès aussi
? Et comment faire pour que l'utilisateur (PC/Mac) installe simplement son
certificat ?
Les impôts envoient un email avec une URL et un mot de passe, est-ce le
meilleur moyen ?
2> Pour ceux qui connaissent Windows, le serveur de certificat renvoie les
cert délivrés dans une page Web. C'est-à-ddire que l'utilisateur qui a fait
une rqeuête se logge sur la page serveur/certsrv et en suivant le lien "voir
les demandes" tombe sur une page avec un lien "Installer votre certificat".
Ma question est: est-on sûr que seul cet utilsateur peut télécharger le cert
?
Merci d'avance
Oriane
Bonjour,
1> selon vous, quel est le moyen le plus simplepour envoyer ou donner accès
à un certificat, en évitant évidemment q'un tiers puisse y avoir accès aussi
? Et comment faire pour que l'utilisateur (PC/Mac) installe simplement son
certificat ?
Les impôts envoient un email avec une URL et un mot de passe, est-ce le
meilleur moyen ?
2> Pour ceux qui connaissent Windows, le serveur de certificat renvoie les
cert délivrés dans une page Web. C'est-à-ddire que l'utilisateur qui a fait
une rqeuête se logge sur la page serveur/certsrv et en suivant le lien "voir
les demandes" tombe sur une page avec un lien "Installer votre certificat".
Ma question est: est-on sûr que seul cet utilsateur peut télécharger le cert
?
Merci d'avance
Oriane
"Eric Pommateau" a écrit dans le message de
| Je crois que dans ce cas la demande de certificat à été générer
| localement, c'est juste le certificat (qui est une donnée publique)
| qui a besoin de transiter. Toutefois, je ne connais pas très bien windows
...
Non le certificat est envoyé avec la clef privée, sinon je ne vois pas bien
ce qu'en ferait l'utilisateur auquel il est destiné.
"Eric Pommateau" <epommate@PasDePourieLntsys.fr> a écrit dans le message de
| Je crois que dans ce cas la demande de certificat à été générer
| localement, c'est juste le certificat (qui est une donnée publique)
| qui a besoin de transiter. Toutefois, je ne connais pas très bien windows
...
Non le certificat est envoyé avec la clef privée, sinon je ne vois pas bien
ce qu'en ferait l'utilisateur auquel il est destiné.
"Eric Pommateau" a écrit dans le message de
| Je crois que dans ce cas la demande de certificat à été générer
| localement, c'est juste le certificat (qui est une donnée publique)
| qui a besoin de transiter. Toutefois, je ne connais pas très bien windows
...
Non le certificat est envoyé avec la clef privée, sinon je ne vois pas bien
ce qu'en ferait l'utilisateur auquel il est destiné.
"Jean-Marc Desperrier" a écrit dans le message de
news:c6o766$lu5$
[...]
| La clé privée n'est jamais envoyée à la CA qui n'a pas à la connaître,
| la récupèration du certificat consiste juste à l'associer avec la clé
| privée qui est restée en local.
Je me place dans le cas où je code moi-même un programme/script qui tourne
localement dans un contexte d'administrateur, et qui crée une requête au CA
"de la part de". Il est certain que le CA n'a pas à connaître la clef
privée. La question que je me pose est de savoir comment le script récupère
le cert et la clef privée et comment l'envoyer à l'utilisateur.
Niveau mental, a-t-elle/il dit.
Pas d'affolement : remplace donc mental par Marengo, tomates et
"Jean-Marc Desperrier" <jmdesp@alussinan.org> a écrit dans le message de
news:c6o766$lu5$1@reader1.imaginet.fr...
[...]
| La clé privée n'est jamais envoyée à la CA qui n'a pas à la connaître,
| la récupèration du certificat consiste juste à l'associer avec la clé
| privée qui est restée en local.
Je me place dans le cas où je code moi-même un programme/script qui tourne
localement dans un contexte d'administrateur, et qui crée une requête au CA
"de la part de". Il est certain que le CA n'a pas à connaître la clef
privée. La question que je me pose est de savoir comment le script récupère
le cert et la clef privée et comment l'envoyer à l'utilisateur.
Niveau mental, a-t-elle/il dit.
Pas d'affolement : remplace donc mental par Marengo, tomates et
"Jean-Marc Desperrier" a écrit dans le message de
news:c6o766$lu5$
[...]
| La clé privée n'est jamais envoyée à la CA qui n'a pas à la connaître,
| la récupèration du certificat consiste juste à l'associer avec la clé
| privée qui est restée en local.
Je me place dans le cas où je code moi-même un programme/script qui tourne
localement dans un contexte d'administrateur, et qui crée une requête au CA
"de la part de". Il est certain que le CA n'a pas à connaître la clef
privée. La question que je me pose est de savoir comment le script récupère
le cert et la clef privée et comment l'envoyer à l'utilisateur.
Niveau mental, a-t-elle/il dit.
Pas d'affolement : remplace donc mental par Marengo, tomates et
"Erwann ABALEA" a écrit dans le message de
news:
| On Thu, 29 Apr 2004, Oriane wrote:
|
[...]
| > Je me place dans le cas où je code moi-même un programme/script qui
tourne
| > localement dans un contexte d'administrateur, et qui crée une requête au
CA
| > "de la part de". Il est certain que le CA n'a pas à connaître la clef
| > privée. La question que je me pose est de savoir comment le script
récupère
| > le cert et la clef privée et comment l'envoyer à l'utilisateur.
|
| Pour effectuer ta requête à l'AC, tu *dois* avoir une clé privée. On doit
| donc distinguer 2 cas:
| - l'utilisateur pour lequel tu effectues ta demande a déjà généré une
| paire de clés, et t'a renvoyé la clé publique, et tu ne fais que
| l'enrôber avec d'autres infos pour la transmettre à l'AC. Dans ce cas,
| tu n'as pas à te soucier de récupérer la clé privée, tu n'as qu'à
| renvoyer le certificat obtenu à l'utilisateur, qui l'associera à sa clé
| privée,
| - tu génères toi-même la clé privée à la place de l'utilisateur final, tu
| as donc *tous* les élements sous la main, et il n'y a donc pas de
| question à se poser pour récupérer la clé privée.
|
| La deuxième solution est Mauvaise(tm), puisque tu possèdes une copie de la
| clé privée de l'utilisateur final, qui n'est donc pas le seul à la
| contrôler. Ca pose de sérieux doutes quant à la validité des signatures
| effectuées avec cette clé. Dans la vraie vie, sérieusement, on essaye de
| n'utiliser que la première méthode, et c'est ce qui est effectué pour ton
| certificats des impôts. Tu es le seul à posséder la clé privée, et cette
| clé privée n'a jamais quitté ton PC (sauf si tu l'as fait volontairement,
| où si tu t'es fait pirater ta machine, évidemment).
Tu soulèves un aspect que j'ignorais complètement, à savoir que la paire de
clefs pouvait être générée par l'utilisateur.
Maintenant que la seconde solution soit mauvaise, je ne dis pas non mais
cela dépend des cas.
On peut s'arranger pour effacer la clef privée au
niveau du serveur par programmation. Cela restera bien entendu moins sûr que
la première solution.
"Erwann ABALEA" <erwann@abalea.com> a écrit dans le message de
news:Pine.LNX.4.33.0404291131160.19213-100000@patchwork.seclogd.org...
| On Thu, 29 Apr 2004, Oriane wrote:
|
[...]
| > Je me place dans le cas où je code moi-même un programme/script qui
tourne
| > localement dans un contexte d'administrateur, et qui crée une requête au
CA
| > "de la part de". Il est certain que le CA n'a pas à connaître la clef
| > privée. La question que je me pose est de savoir comment le script
récupère
| > le cert et la clef privée et comment l'envoyer à l'utilisateur.
|
| Pour effectuer ta requête à l'AC, tu *dois* avoir une clé privée. On doit
| donc distinguer 2 cas:
| - l'utilisateur pour lequel tu effectues ta demande a déjà généré une
| paire de clés, et t'a renvoyé la clé publique, et tu ne fais que
| l'enrôber avec d'autres infos pour la transmettre à l'AC. Dans ce cas,
| tu n'as pas à te soucier de récupérer la clé privée, tu n'as qu'à
| renvoyer le certificat obtenu à l'utilisateur, qui l'associera à sa clé
| privée,
| - tu génères toi-même la clé privée à la place de l'utilisateur final, tu
| as donc *tous* les élements sous la main, et il n'y a donc pas de
| question à se poser pour récupérer la clé privée.
|
| La deuxième solution est Mauvaise(tm), puisque tu possèdes une copie de la
| clé privée de l'utilisateur final, qui n'est donc pas le seul à la
| contrôler. Ca pose de sérieux doutes quant à la validité des signatures
| effectuées avec cette clé. Dans la vraie vie, sérieusement, on essaye de
| n'utiliser que la première méthode, et c'est ce qui est effectué pour ton
| certificats des impôts. Tu es le seul à posséder la clé privée, et cette
| clé privée n'a jamais quitté ton PC (sauf si tu l'as fait volontairement,
| où si tu t'es fait pirater ta machine, évidemment).
Tu soulèves un aspect que j'ignorais complètement, à savoir que la paire de
clefs pouvait être générée par l'utilisateur.
Maintenant que la seconde solution soit mauvaise, je ne dis pas non mais
cela dépend des cas.
On peut s'arranger pour effacer la clef privée au
niveau du serveur par programmation. Cela restera bien entendu moins sûr que
la première solution.
"Erwann ABALEA" a écrit dans le message de
news:
| On Thu, 29 Apr 2004, Oriane wrote:
|
[...]
| > Je me place dans le cas où je code moi-même un programme/script qui
tourne
| > localement dans un contexte d'administrateur, et qui crée une requête au
CA
| > "de la part de". Il est certain que le CA n'a pas à connaître la clef
| > privée. La question que je me pose est de savoir comment le script
récupère
| > le cert et la clef privée et comment l'envoyer à l'utilisateur.
|
| Pour effectuer ta requête à l'AC, tu *dois* avoir une clé privée. On doit
| donc distinguer 2 cas:
| - l'utilisateur pour lequel tu effectues ta demande a déjà généré une
| paire de clés, et t'a renvoyé la clé publique, et tu ne fais que
| l'enrôber avec d'autres infos pour la transmettre à l'AC. Dans ce cas,
| tu n'as pas à te soucier de récupérer la clé privée, tu n'as qu'à
| renvoyer le certificat obtenu à l'utilisateur, qui l'associera à sa clé
| privée,
| - tu génères toi-même la clé privée à la place de l'utilisateur final, tu
| as donc *tous* les élements sous la main, et il n'y a donc pas de
| question à se poser pour récupérer la clé privée.
|
| La deuxième solution est Mauvaise(tm), puisque tu possèdes une copie de la
| clé privée de l'utilisateur final, qui n'est donc pas le seul à la
| contrôler. Ca pose de sérieux doutes quant à la validité des signatures
| effectuées avec cette clé. Dans la vraie vie, sérieusement, on essaye de
| n'utiliser que la première méthode, et c'est ce qui est effectué pour ton
| certificats des impôts. Tu es le seul à posséder la clé privée, et cette
| clé privée n'a jamais quitté ton PC (sauf si tu l'as fait volontairement,
| où si tu t'es fait pirater ta machine, évidemment).
Tu soulèves un aspect que j'ignorais complètement, à savoir que la paire de
clefs pouvait être générée par l'utilisateur.
Maintenant que la seconde solution soit mauvaise, je ne dis pas non mais
cela dépend des cas.
On peut s'arranger pour effacer la clef privée au
niveau du serveur par programmation. Cela restera bien entendu moins sûr que
la première solution.