Principe de la chaîne de confiance

Portail > La chaîne de certification

La chaîne de confiance (chain of trust) est la suite de certificats reliant un certificat « feuille » à une ancre de confiance. C'est le mécanisme qui permet de faire confiance à un certificat inconnu sans le connaître au préalable : il suffit qu'il soit rattaché, de signature en signature, à une racine en qui l'on a déjà confiance.

Les maillons

Une chaîne typique à trois maillons :

<mermaid> flowchart TB

   L["Certificat feuille
subject = clipsy.tech
issuer = Issuing CA"]
   I["Intermediate CA
subject = Issuing CA
issuer = Root CA"]
   R["Root CA
subject = Root CA
issuer = Root CA (auto-signé)"]
   L -->|signé par| I
   I -->|signé par| R
   R -.ancre de confiance.-> R

</mermaid>

(Schéma en Mermaid.)

Chaque flèche « signé par » est une signature vérifiable : la clé publique du maillon parent permet de valider la signature du maillon enfant.

Les deux sens de lecture

Il faut distinguer le sens dans lequel la confiance se constitue et celui dans lequel elle se vérifie :

• La confiance descend : on choisit de faire confiance à une racine ; cette confiance se délègue à ses intermédiaires, puis aux feuilles.
• La validation remonte : face à un certificat feuille, on remonte la chaîne — feuille → intermédiaire → racine — jusqu'à tomber sur une ancre de confiance connue.

Tant qu'on n'atteint pas une ancre de confiance, la chaîne est incomplète ou non fiable.

Le rôle de chaque type de maillon

Maillon	issuer vs subject	Rôle
Feuille (end-entity)	issuer ≠ subject	Identifie un serveur/client/service ; ne signe rien (CA:FALSE).
Intermédiaire (ICA)	issuer ≠ subject	Signe le maillon en dessous ; signé par le maillon au-dessus (CA:TRUE).
Racine (Root)	issuer == subject	Auto-signée ; ancre de confiance ; point d'arrêt.

Le critère de chaînage est le couple issuer/subject : le issuer d'un certificat doit être le subject de son parent. L'AKI/SKI confirme et fiabilise ce lien au niveau des clés.

Ce que prouve une chaîne valide

Une chaîne validée établit que :

1. la clé publique de la feuille est bien attestée par une autorité émettrice ;
2. cette autorité est elle-même attestée jusqu'à une racine de confiance ;
3. chaque maillon est authentique (signature), en cours de validité et conforme à son rôle.

Elle ne prouve pas à elle seule que l'on parle au bon serveur : la correspondance entre le nom demandé et le SAN de la feuille, ainsi que la non-révocation, sont des vérifications complémentaires traitées dans Validation du chemin de certification.

Pourquoi ça tient

La solidité repose sur deux propriétés déjà vues :

• on ne peut pas forger une signature sans la clé privée du parent (Cryptographie asymétrique) ;
• on ne peut pas substituer un maillon sans casser la correspondance issuer/subject et la signature.

Un seul maillon défaillant (expiré, révoqué, signature invalide, mauvais usage) rompt toute la chaîne.

Points clés à retenir

• Une chaîne relie une feuille à une racine de confiance, maillon par maillon.
• La confiance descend (de la racine), la validation remonte (de la feuille).
• Critère de chaînage : issuer de l'enfant = subject du parent ; racine ⇒ auto-signée.
• Une chaîne valide prouve l'authenticité du rattachement, pas (à elle seule) l'identité de l'hôte ni la non-révocation.

Voir aussi

• Construction du chemin de certification
• Validation du chemin de certification
• Autorités de certification
• Ancres de confiance et magasins de confiance