[Q] Quels sont les standards de messagerie sécurisée ?
33 réponses
Christian
Bonjour,
Voila mon problème.
Une entrerprise Entreprise A souhaite offrir à ses salariés un moyen de
communiquer de manière sécurisée par email, entre eux, mais surtout avec des
utilisateurs quelconques sur internet.
La solution de messagerie de l'Entreprise A est Lotus Domino V6, avec le
client Web iNotes v6 (le client lourd Notes n'est pas déployé sur les
postes)
Quels sont les standards de messagerie sécurisée ?
Les besoins sont la confidentialité, la signature, et la non-répudiation .
Ces standards peuvent t il être implémenté dans le cas général d'une
messagerie en mode Webmail ? et dasn le cas particulier du client Web de
Lotus : iNotes ?
Quid de l'utilisation de messagerie sécurisée entre deux client iNotes
connecté au serveur Domino de l'EntrepriseA ?
Peux-t il y avoir interopérabilité avec un client de messagerie tout a fait
standard, su internet ? Autrement dit un utilisateur de l'Entreprise1
uttilisant iNotes peut-il communiquer de manière sécurisée avec un
utilisateur ayant un serveur de messagerie SMTP/POP3 et un client quelconque
en utilisant des standards ?
On Sat, 6 Mar 2004 13:17:13 +0100, Laurent Fousse wrote:
Je n'ai aucune idée du sérieux des sociétés qui délivrent des certificats. Et ça ne m'intéresse pas: la notion même de "tiers de confiance" n'est pas adaptée à l'idée que je me fais de la confiance sur le net. Même un certificat signé disons au niveau 4 dans le Web Of Trust pgp me renseigne plus qu'une certificat signé par une CA "renommée" vers laquelle je n'ai aucun lien.
Vous partez d'un postulat absolu : les gens sont fiables, comprennent tous les tenants & les aboutissants de la certification & ne délivreront jamais de certificat de complaisance, pour faire plaisire à une pote. Une société, par contre, n'est qu'un repaire de mercenaire attiré par l'appat du gain, qui delivra un certificat uniquement en fonction du nombre de zéro sur le chèque.
Je comprends qu'avec une vision du monde aussi simpliste, votre façon de déléguer votre confiance soit assez personnel.
Si ce que vous appelé un certificat signé au niveau 4 est un certificat passant par 4 intermédiaire, faite un calcul et regarder combien de personnes peuvent avoir un tel certificat, ça devrait vous faire poser quelques question. --- http://fba.homeip.net
On Sat, 6 Mar 2004 13:17:13 +0100, Laurent Fousse <nobbs@fousse.info>
wrote:
Je n'ai aucune idée du sérieux des sociétés qui délivrent des
certificats. Et ça ne m'intéresse pas: la notion même de "tiers de
confiance" n'est pas adaptée à l'idée que je me fais de la confiance
sur le net. Même un certificat signé disons au niveau 4 dans le Web Of
Trust pgp me renseigne plus qu'une certificat signé par une CA
"renommée" vers laquelle je n'ai aucun lien.
Vous partez d'un postulat absolu : les gens sont fiables, comprennent
tous les tenants & les aboutissants de la certification & ne
délivreront jamais de certificat de complaisance, pour faire plaisire
à une pote. Une société, par contre, n'est qu'un repaire de mercenaire
attiré par l'appat du gain, qui delivra un certificat uniquement en
fonction du nombre de zéro sur le chèque.
Je comprends qu'avec une vision du monde aussi simpliste, votre façon
de déléguer votre confiance soit assez personnel.
Si ce que vous appelé un certificat signé au niveau 4 est un
certificat passant par 4 intermédiaire, faite un calcul et regarder
combien de personnes peuvent avoir un tel certificat, ça devrait vous
faire poser quelques question.
---
http://fba.homeip.net
On Sat, 6 Mar 2004 13:17:13 +0100, Laurent Fousse wrote:
Je n'ai aucune idée du sérieux des sociétés qui délivrent des certificats. Et ça ne m'intéresse pas: la notion même de "tiers de confiance" n'est pas adaptée à l'idée que je me fais de la confiance sur le net. Même un certificat signé disons au niveau 4 dans le Web Of Trust pgp me renseigne plus qu'une certificat signé par une CA "renommée" vers laquelle je n'ai aucun lien.
Vous partez d'un postulat absolu : les gens sont fiables, comprennent tous les tenants & les aboutissants de la certification & ne délivreront jamais de certificat de complaisance, pour faire plaisire à une pote. Une société, par contre, n'est qu'un repaire de mercenaire attiré par l'appat du gain, qui delivra un certificat uniquement en fonction du nombre de zéro sur le chèque.
Je comprends qu'avec une vision du monde aussi simpliste, votre façon de déléguer votre confiance soit assez personnel.
Si ce que vous appelé un certificat signé au niveau 4 est un certificat passant par 4 intermédiaire, faite un calcul et regarder combien de personnes peuvent avoir un tel certificat, ça devrait vous faire poser quelques question. --- http://fba.homeip.net
Nicolas Bernard
On 06-03-2004, Fabrice . Bacchella wrote:
On Sat, 6 Mar 2004 13:17:13 +0100, Laurent Fousse wrote:
Je n'ai aucune idée du sérieux des sociétés qui délivrent des certificats. Et ça ne m'intéresse pas: la notion même de "tiers de confiance" n'est pas adaptée à l'idée que je me fais de la confiance sur le net. Même un certificat signé disons au niveau 4 dans le Web Of Trust pgp me renseigne plus qu'une certificat signé par une CA "renommée" vers laquelle je n'ai aucun lien.
Vous partez d'un postulat absolu : les gens sont fiables, comprennent tous les tenants & les aboutissants de la certification & ne délivreront jamais de certificat de complaisance, pour faire plaisire à une pote. Une société, par contre, n'est qu'un repaire de mercenaire attiré par l'appat du gain, qui delivra un certificat uniquement en fonction du nombre de zéro sur le chèque.
Je comprends qu'avec une vision du monde aussi simpliste, votre façon de déléguer votre confiance soit assez personnel.
C'est votre vision du système de confiance de PGP qui m'a l'air un peu simpliste...
L'idée du Web of Trust de PGP est je crois plus forte que cela: en effet une simple chaine de niveau 4 peut être "mauvaise", mais ce n'est pas le seul critère: - le nombre de signatures qui certifient une clef est un premier indice, même si vous ne connaissez pas les signataires; - des signataires peuvent avoir une réputation de sérieux sur le net sans que vous les connaissiez personnellement. Ainsi si la clef de quelqu'un est signée par, disons au hasard, Eric Raymond, j'aurais une certaine confiance en cette clef, bien que je ne sois pas sûr que la clef que j'ai pour Eric Raymond soit la sienne (en dehors du fait qu'elle est publiée sur son site web et elle même signée par x personnes).
De plus, la notion classique de "chaine vous reliant à la personne avec qui vous voulez communiquer" n'implique pas une connexité de 1. Il peut y avoir plusieurs chaines vous reliant à la personne, augmentant légèrement la confiance pour chacune.
Bien entendu, ces critères ne sont pas une une preuve absolue (On peut imaginer quelqu'un créant un groupe virtuel de 200 clefs se signant mutuellement, un site web donnant une clef peut être piraté, voire, si vous ètes encore plus paranoïaque, quelqu'un change la clef au vol pendant que vous la téléchargez...) c'est certain. Néanmoins je trouve que l'ensemble de ces critères donne plus de poids à une clef PGP qui les satisfait qu'à un certificat signé par *une* entité (commerciale ou non).
Par ailleurs, y-a-t'il un argument pour expliquer que l'on ait pas une fusion des modèles ? Je veux dire: pourquoi Verisign n'a-t-elle pas de clef PGP pour signer les clefs des gens de la même manière qu'elle délivre des certificats ? (Quoi, une signature ne peut pas avoir une durée de vie de 1 an pour obliger les gogos à repayer chaque année ?)
On 06-03-2004, Fabrice . Bacchella <nobody@worldonline.france> wrote:
On Sat, 6 Mar 2004 13:17:13 +0100, Laurent Fousse <nobbs@fousse.info>
wrote:
Je n'ai aucune idée du sérieux des sociétés qui délivrent des
certificats. Et ça ne m'intéresse pas: la notion même de "tiers de
confiance" n'est pas adaptée à l'idée que je me fais de la confiance
sur le net. Même un certificat signé disons au niveau 4 dans le Web Of
Trust pgp me renseigne plus qu'une certificat signé par une CA
"renommée" vers laquelle je n'ai aucun lien.
Vous partez d'un postulat absolu : les gens sont fiables, comprennent
tous les tenants & les aboutissants de la certification & ne
délivreront jamais de certificat de complaisance, pour faire plaisire
à une pote. Une société, par contre, n'est qu'un repaire de mercenaire
attiré par l'appat du gain, qui delivra un certificat uniquement en
fonction du nombre de zéro sur le chèque.
Je comprends qu'avec une vision du monde aussi simpliste, votre façon
de déléguer votre confiance soit assez personnel.
C'est votre vision du système de confiance de PGP qui m'a l'air un peu
simpliste...
L'idée du Web of Trust de PGP est je crois plus forte que cela: en
effet une simple chaine de niveau 4 peut être "mauvaise", mais ce
n'est pas le seul critère:
- le nombre de signatures qui certifient une clef est un premier
indice, même si vous ne connaissez pas les signataires;
- des signataires peuvent avoir une réputation de sérieux sur le net
sans que vous les connaissiez personnellement. Ainsi si la clef de
quelqu'un est signée par, disons au hasard, Eric Raymond, j'aurais
une certaine confiance en cette clef, bien que je ne sois pas sûr que
la clef que j'ai pour Eric Raymond soit la sienne (en dehors du fait
qu'elle est publiée sur son site web et elle même signée par x
personnes).
De plus, la notion classique de "chaine vous reliant à la personne
avec qui vous voulez communiquer" n'implique pas une connexité de
1. Il peut y avoir plusieurs chaines vous reliant à la personne,
augmentant légèrement la confiance pour chacune.
Bien entendu, ces critères ne sont pas une une preuve absolue (On peut
imaginer quelqu'un créant un groupe virtuel de 200 clefs se signant
mutuellement, un site web donnant une clef peut être piraté, voire, si
vous ètes encore plus paranoïaque, quelqu'un change la clef au vol
pendant que vous la téléchargez...) c'est certain. Néanmoins je trouve
que l'ensemble de ces critères donne plus de poids à une clef PGP qui
les satisfait qu'à un certificat signé par *une* entité (commerciale
ou non).
Par ailleurs, y-a-t'il un argument pour expliquer que l'on ait pas une
fusion des modèles ? Je veux dire: pourquoi Verisign n'a-t-elle pas de
clef PGP pour signer les clefs des gens de la même manière qu'elle
délivre des certificats ? (Quoi, une signature ne peut pas avoir une
durée de vie de 1 an pour obliger les gogos à repayer chaque année ?)
On Sat, 6 Mar 2004 13:17:13 +0100, Laurent Fousse wrote:
Je n'ai aucune idée du sérieux des sociétés qui délivrent des certificats. Et ça ne m'intéresse pas: la notion même de "tiers de confiance" n'est pas adaptée à l'idée que je me fais de la confiance sur le net. Même un certificat signé disons au niveau 4 dans le Web Of Trust pgp me renseigne plus qu'une certificat signé par une CA "renommée" vers laquelle je n'ai aucun lien.
Vous partez d'un postulat absolu : les gens sont fiables, comprennent tous les tenants & les aboutissants de la certification & ne délivreront jamais de certificat de complaisance, pour faire plaisire à une pote. Une société, par contre, n'est qu'un repaire de mercenaire attiré par l'appat du gain, qui delivra un certificat uniquement en fonction du nombre de zéro sur le chèque.
Je comprends qu'avec une vision du monde aussi simpliste, votre façon de déléguer votre confiance soit assez personnel.
C'est votre vision du système de confiance de PGP qui m'a l'air un peu simpliste...
L'idée du Web of Trust de PGP est je crois plus forte que cela: en effet une simple chaine de niveau 4 peut être "mauvaise", mais ce n'est pas le seul critère: - le nombre de signatures qui certifient une clef est un premier indice, même si vous ne connaissez pas les signataires; - des signataires peuvent avoir une réputation de sérieux sur le net sans que vous les connaissiez personnellement. Ainsi si la clef de quelqu'un est signée par, disons au hasard, Eric Raymond, j'aurais une certaine confiance en cette clef, bien que je ne sois pas sûr que la clef que j'ai pour Eric Raymond soit la sienne (en dehors du fait qu'elle est publiée sur son site web et elle même signée par x personnes).
De plus, la notion classique de "chaine vous reliant à la personne avec qui vous voulez communiquer" n'implique pas une connexité de 1. Il peut y avoir plusieurs chaines vous reliant à la personne, augmentant légèrement la confiance pour chacune.
Bien entendu, ces critères ne sont pas une une preuve absolue (On peut imaginer quelqu'un créant un groupe virtuel de 200 clefs se signant mutuellement, un site web donnant une clef peut être piraté, voire, si vous ètes encore plus paranoïaque, quelqu'un change la clef au vol pendant que vous la téléchargez...) c'est certain. Néanmoins je trouve que l'ensemble de ces critères donne plus de poids à une clef PGP qui les satisfait qu'à un certificat signé par *une* entité (commerciale ou non).
Par ailleurs, y-a-t'il un argument pour expliquer que l'on ait pas une fusion des modèles ? Je veux dire: pourquoi Verisign n'a-t-elle pas de clef PGP pour signer les clefs des gens de la même manière qu'elle délivre des certificats ? (Quoi, une signature ne peut pas avoir une durée de vie de 1 an pour obliger les gogos à repayer chaque année ?)
Fabrice..Bacchella
On Sun, 7 Mar 2004 11:14:51 +0100, Nicolas Bernard wrote:
L'idée du Web of Trust de PGP est je crois plus forte que cela: en effet une simple chaine de niveau 4 peut être "mauvaise", mais ce n'est pas le seul critère: - le nombre de signatures qui certifient une clef est un premier indice, même si vous ne connaissez pas les signataires;
De quoi ? Du nombre de personne avec qui il va boire une bière le soir après le boulot ? Du nombre de gens qui oublie de ne pas exporter leur signature quand ils décident d'accorder leur confiance à une clé ?
- des signataires peuvent avoir une réputation de sérieux sur le net sans que vous les connaissiez personnellement. Ainsi si la clef de quelqu'un est signée par, disons au hasard, Eric Raymond, j'aurais une certaine confiance en cette clef, bien que je ne sois pas sûr que la clef que j'ai pour Eric Raymond soit la sienne (en dehors du fait qu'elle est publiée sur son site web et elle même signée par x personnes).
Dont combien de personnes qui ont juste voulu la signer pour leur propre trousseau et l'on exporté sans se rendre compte de ce qu'ils faisaient ? Et faut-il lancer une enquète pour chaque personne dont j'accepte la signature. Et Eric Raymond est-il vraiment fiable ? D'accord, il est connu, il y a peu de chance que la clé appartenant à un dénommé Eric Raymond soit celle d'un homonyme. Et alors ? Cela ne me permet pas de faire confiance à sa clé car il peut lui même distribuer sa confiance sans réel discernement.
De plus, la notion classique de "chaine vous reliant à la personne avec qui vous voulez communiquer" n'implique pas une connexité de 1. Il peut y avoir plusieurs chaines vous reliant à la personne, augmentant légèrement la confiance pour chacune.
PGP ne permet pas d'autre distinction que 0, 1 ou plusieurs. Même pas de -1 : personne peu fiable. Donc impossible d'avoir une idée de la qualité des chaines intermédiaires.
Bien entendu, ces critères ne sont pas une une preuve absolue (On peut imaginer quelqu'un créant un groupe virtuel de 200 clefs se signant mutuellement, un site web donnant une clef peut être piraté, voire, si vous ètes encore plus paranoïaque, quelqu'un change la clef au vol pendant que vous la téléchargez...) c'est certain. Néanmoins je trouve que l'ensemble de ces critères donne plus de poids à une clef PGP qui les satisfait qu'à un certificat signé par *une* entité (commerciale ou non).
Vous confondez qualité & quantité. La pollution de Google par les weblogs devrait pourtant vous mettre la puce à l'oreille.
Par ailleurs, y-a-t'il un argument pour expliquer que l'on ait pas une fusion des modèles ? Je veux dire: pourquoi Verisign n'a-t-elle pas de clef PGP pour signer les clefs des gens de la même manière qu'elle délivre des certificats ? (Quoi, une signature ne peut pas avoir une durée de vie de 1 an pour obliger les gogos à repayer chaque année ?)
Contrairement à ce que vous pensez, la notion de durée de vie est inhérente aux système de PKI. PGP aussi permet de donner une durée de vie à une clé. Mais comme il est possible de tout faire avec, y compris se tirer une balle dans le pieds, on peut mettre n'importe quoi dedans.
La durée de vie est là pour éviter qu'on ne s'endorme sur une clé. En effet, un certificat, contrairement à un mot de passe, est plus compliqué à résilier. Cela nécessite la confrontation avec une liste de révocation de la part de celui qui l'accepte, là où un mot de passe se supprime très simplement. Dans le cas d'une clé d'utilisateur (employé d'une société par exemple), elle peut rester active plusieurs années après le départ de l'employé si aucune précaution n'est prise, même si son certificat à été résilié. Donc tout est daté dans une PKI : le certificat, les CRL. Comme dit Schneier, la sécurité n'est pas un produit mais un processus. La durée de validitée des clés permets de le garder actif. --- http://fba.homeip.net
On Sun, 7 Mar 2004 11:14:51 +0100, Nicolas Bernard
<bigfatspammer@spamnet.spam> wrote:
L'idée du Web of Trust de PGP est je crois plus forte que cela: en
effet une simple chaine de niveau 4 peut être "mauvaise", mais ce
n'est pas le seul critère:
- le nombre de signatures qui certifient une clef est un premier
indice, même si vous ne connaissez pas les signataires;
De quoi ? Du nombre de personne avec qui il va boire une bière le soir
après le boulot ? Du nombre de gens qui oublie de ne pas exporter leur
signature quand ils décident d'accorder leur confiance à une clé ?
- des signataires peuvent avoir une réputation de sérieux sur le net
sans que vous les connaissiez personnellement. Ainsi si la clef de
quelqu'un est signée par, disons au hasard, Eric Raymond, j'aurais
une certaine confiance en cette clef, bien que je ne sois pas sûr que
la clef que j'ai pour Eric Raymond soit la sienne (en dehors du fait
qu'elle est publiée sur son site web et elle même signée par x
personnes).
Dont combien de personnes qui ont juste voulu la signer pour leur
propre trousseau et l'on exporté sans se rendre compte de ce qu'ils
faisaient ? Et faut-il lancer une enquète pour chaque personne dont
j'accepte la signature. Et Eric Raymond est-il vraiment fiable ?
D'accord, il est connu, il y a peu de chance que la clé appartenant à
un dénommé Eric Raymond soit celle d'un homonyme. Et alors ? Cela ne
me permet pas de faire confiance à sa clé car il peut lui même
distribuer sa confiance sans réel discernement.
De plus, la notion classique de "chaine vous reliant à la personne
avec qui vous voulez communiquer" n'implique pas une connexité de
1. Il peut y avoir plusieurs chaines vous reliant à la personne,
augmentant légèrement la confiance pour chacune.
PGP ne permet pas d'autre distinction que 0, 1 ou plusieurs. Même pas
de -1 : personne peu fiable. Donc impossible d'avoir une idée de la
qualité des chaines intermédiaires.
Bien entendu, ces critères ne sont pas une une preuve absolue (On peut
imaginer quelqu'un créant un groupe virtuel de 200 clefs se signant
mutuellement, un site web donnant une clef peut être piraté, voire, si
vous ètes encore plus paranoïaque, quelqu'un change la clef au vol
pendant que vous la téléchargez...) c'est certain. Néanmoins je trouve
que l'ensemble de ces critères donne plus de poids à une clef PGP qui
les satisfait qu'à un certificat signé par *une* entité (commerciale
ou non).
Vous confondez qualité & quantité. La pollution de Google par les
weblogs devrait pourtant vous mettre la puce à l'oreille.
Par ailleurs, y-a-t'il un argument pour expliquer que l'on ait pas une
fusion des modèles ? Je veux dire: pourquoi Verisign n'a-t-elle pas de
clef PGP pour signer les clefs des gens de la même manière qu'elle
délivre des certificats ? (Quoi, une signature ne peut pas avoir une
durée de vie de 1 an pour obliger les gogos à repayer chaque année ?)
Contrairement à ce que vous pensez, la notion de durée de vie est
inhérente aux système de PKI. PGP aussi permet de donner une durée de
vie à une clé. Mais comme il est possible de tout faire avec, y
compris se tirer une balle dans le pieds, on peut mettre n'importe
quoi dedans.
La durée de vie est là pour éviter qu'on ne s'endorme sur une clé. En
effet, un certificat, contrairement à un mot de passe, est plus
compliqué à résilier. Cela nécessite la confrontation avec une liste
de révocation de la part de celui qui l'accepte, là où un mot de passe
se supprime très simplement. Dans le cas d'une clé d'utilisateur
(employé d'une société par exemple), elle peut rester active plusieurs
années après le départ de l'employé si aucune précaution n'est prise,
même si son certificat à été résilié. Donc tout est daté dans une PKI
: le certificat, les CRL. Comme dit Schneier, la sécurité n'est pas un
produit mais un processus. La durée de validitée des clés permets de
le garder actif.
---
http://fba.homeip.net
On Sun, 7 Mar 2004 11:14:51 +0100, Nicolas Bernard wrote:
L'idée du Web of Trust de PGP est je crois plus forte que cela: en effet une simple chaine de niveau 4 peut être "mauvaise", mais ce n'est pas le seul critère: - le nombre de signatures qui certifient une clef est un premier indice, même si vous ne connaissez pas les signataires;
De quoi ? Du nombre de personne avec qui il va boire une bière le soir après le boulot ? Du nombre de gens qui oublie de ne pas exporter leur signature quand ils décident d'accorder leur confiance à une clé ?
- des signataires peuvent avoir une réputation de sérieux sur le net sans que vous les connaissiez personnellement. Ainsi si la clef de quelqu'un est signée par, disons au hasard, Eric Raymond, j'aurais une certaine confiance en cette clef, bien que je ne sois pas sûr que la clef que j'ai pour Eric Raymond soit la sienne (en dehors du fait qu'elle est publiée sur son site web et elle même signée par x personnes).
Dont combien de personnes qui ont juste voulu la signer pour leur propre trousseau et l'on exporté sans se rendre compte de ce qu'ils faisaient ? Et faut-il lancer une enquète pour chaque personne dont j'accepte la signature. Et Eric Raymond est-il vraiment fiable ? D'accord, il est connu, il y a peu de chance que la clé appartenant à un dénommé Eric Raymond soit celle d'un homonyme. Et alors ? Cela ne me permet pas de faire confiance à sa clé car il peut lui même distribuer sa confiance sans réel discernement.
De plus, la notion classique de "chaine vous reliant à la personne avec qui vous voulez communiquer" n'implique pas une connexité de 1. Il peut y avoir plusieurs chaines vous reliant à la personne, augmentant légèrement la confiance pour chacune.
PGP ne permet pas d'autre distinction que 0, 1 ou plusieurs. Même pas de -1 : personne peu fiable. Donc impossible d'avoir une idée de la qualité des chaines intermédiaires.
Bien entendu, ces critères ne sont pas une une preuve absolue (On peut imaginer quelqu'un créant un groupe virtuel de 200 clefs se signant mutuellement, un site web donnant une clef peut être piraté, voire, si vous ètes encore plus paranoïaque, quelqu'un change la clef au vol pendant que vous la téléchargez...) c'est certain. Néanmoins je trouve que l'ensemble de ces critères donne plus de poids à une clef PGP qui les satisfait qu'à un certificat signé par *une* entité (commerciale ou non).
Vous confondez qualité & quantité. La pollution de Google par les weblogs devrait pourtant vous mettre la puce à l'oreille.
Par ailleurs, y-a-t'il un argument pour expliquer que l'on ait pas une fusion des modèles ? Je veux dire: pourquoi Verisign n'a-t-elle pas de clef PGP pour signer les clefs des gens de la même manière qu'elle délivre des certificats ? (Quoi, une signature ne peut pas avoir une durée de vie de 1 an pour obliger les gogos à repayer chaque année ?)
Contrairement à ce que vous pensez, la notion de durée de vie est inhérente aux système de PKI. PGP aussi permet de donner une durée de vie à une clé. Mais comme il est possible de tout faire avec, y compris se tirer une balle dans le pieds, on peut mettre n'importe quoi dedans.
La durée de vie est là pour éviter qu'on ne s'endorme sur une clé. En effet, un certificat, contrairement à un mot de passe, est plus compliqué à résilier. Cela nécessite la confrontation avec une liste de révocation de la part de celui qui l'accepte, là où un mot de passe se supprime très simplement. Dans le cas d'une clé d'utilisateur (employé d'une société par exemple), elle peut rester active plusieurs années après le départ de l'employé si aucune précaution n'est prise, même si son certificat à été résilié. Donc tout est daté dans une PKI : le certificat, les CRL. Comme dit Schneier, la sécurité n'est pas un produit mais un processus. La durée de validitée des clés permets de le garder actif. --- http://fba.homeip.net
