Qu'est-ce que la validation des certificats « SSL » ? Explication des niveaux de validation « SSL »

Pendant des années, le modèle mental associé à un certificat « hautement fiable » était la barre d’adresse verte sur laquelle figurait le nom de l’entreprise à côté du cadenas. Puis cet élément a discrètement disparu. Chrome a supprimé l’indicateur de nom « Extended Validation » dans sa version 77, Firefox l’a supprimé dans sa version 70, et Safari avait déjà cessé de l’afficher auparavant. La récompense visible liée à l’achat du certificat le plus cher de la gamme a ainsi disparu du seul endroit où les utilisateurs pouvaient la voir.

Cela soulève une question évidente. Si le badge a disparu, qu'est-ce que ce niveau de validation supérieur vous a réellement apporté ? La réponse n'a rien à voir avec la cryptographie, mais tout à voir avec ce qu'une autorité de certification a vérifié avant de signer.

Le niveau de validation relève de la procédure et non de la cryptographie

Voici ce que la plupart des guides expliquent en passant sous silence : chaque certificat TLS reconnu par le public offre la même famille de schémas cryptographiques et les mêmes niveaux de sécurité d’un point de vue cryptographique. Ce qui varie réellement, c’est le processus de validation effectué par l’autorité de certification (CA). Les types de clés sont les mêmes. Le calcul de la chaîne de certificats est identique. La procédure d’ TLS est identique octet par octet, que le certificat soit de type DV, OV ou EV.

Ce qui varie d'un niveau à l'autre, ce sont les éléments de preuve recueillis par l'autorité de certification (CA) avant qu'elle n'accepte de signer. Le niveau de validation est une propriété qui s'ajoute à toutes les autres caractéristiques d'un certificat, indépendamment des protocoles cryptographiques. Considérez-le comme une distinction procédurale : il s'agit de savoir dans quelle mesure l'identité a été vérifiée lors de l'émission, et non de la solidité du « verrou » mis en place par la suite. Une fois que l'on a adopté ce point de vue, le reste du tableau se met rapidement en place.

Si vous souhaitez comprendre les mécanismes qui régissent le fonctionnement de la poignée de main et du chiffrement qui s'ensuit, consultez notre page consacrée auprotocoleSSL/TLS .

Les trois niveaux, selon les critères de vérification de la CA

La meilleure façon de comprendre les concepts de DV, OV et EV est de les considérer chacun comme un binôme : l'affirmation contenue dans le certificat, et la manière dont l'autorité de certification (CA) a vérifié cette affirmation avant de le signer.

Validation par domaine (DV)

L'affirmation :la personne qui a demandé ce certificat contrôle le nom de domaine.

Comment cela est-il vérifié ?L'autorité de certification (CA) confirme la maîtrise du nom, généralement par le biais d'une vérification automatisée simple, telle qu'un enregistrement « DNS », un fichier placé sur le serveur ou un e-mail envoyé à une adresse du domaine. À ce titre, la validation par domaine (DV) est le type de validation le plus basique et le plus rapide, généralement délivrée en quelques minutes. Aucune information relative à l'organisation n'est vérifiée ni affichée. La validation DV est particulièrement adaptée aux sites personnels, aux outils internes et à tout point d'accès où vous avez besoin de garanties cryptographiques pour le client sans revendication d'identité publique. En savoir plus sur la validation de domaine.

Organisation validée (OV)

L'argument :le contrôle du nom de domaine, ainsi qu'une entité juridique réelle et vérifiée qui le soutient.

Comment cela est-il vérifié ?L'autorité de certification (CA) suit la même procédure que pour la validation DV, puis confirme l'existence légale de l'organisation. La délivrance d'un certificat OV implique que l'autorité de certification vérifie l'identité de l'organisation par rapport aux registres administratifs et demande des pièces justificatives. Les informations vérifiées concernant l'organisation sont inscrites dans le certificat lui-même. Le certificat OV est généralement recommandé pour les sites web commerciaux et toute application collectant des données utilisateur. Pour en savoir plus sur la validation d'organisation, consultez notre guide détaillé.

Validation étendue (EV)

L'allégation :tout ce qu'affirme OV, soumis à des critères plus stricts et normalisés.

Comment cela est-il vérifié ?Le niveau EV est le plus rigoureux. L’autorité de certification (CA) procède à un examen approfondi de l’organisation, afin de confirmer son existence juridique, physique et opérationnelle ; la demande doit être initiée par l’organisation elle-même. Le niveau EV est régi par les directives EV du CA/Browser Forum (CABF), établies pour la première fois en 2007, qui normalisent les contrôles : confirmation de l'organisme de constitution, vérification d'une adresse physique et d'un numéro de téléphone, confirmation que le demandeur est habilité à agir au nom de l'organisation, et obligation que deux personnes approuvent la délivrance. Cela implique davantage de formalités administratives et un examen plus minutieux, visant clairement à prouver que l'entité est bien celle qu'elle prétend être. Pour en savoir plus sur la validation étendue, consultez notre page dédiée.

Remarquez ce qui est resté constant dans les trois cas. La cryptographie en elle-même n'est pas devenue plus sûre à mesure que l'on passait à un niveau supérieur. Seule la preuve d'identité l'est devenue.

À quel endroit le niveau de validation apparaît-il dans le certificat ?

Si le navigateur ne vous affiche plus cette différence, vous pouvez toujours la consulter directement dans le certificat. La preuve d'identité ne disparaît pas lorsque la barre d'adresse ne s'affiche plus. Elle figure dans les champs du certificat.

Pour les certificats OV et EV, les données vérifiées relatives à l'organisation figurent dans le nom distinctif (Distinguished Name) du sujet. Le certificat EV ajoute des champs structurés tels que « businessCategory », « jurisdictionOfIncorporation » et un numéro d'enregistrement indiqué dans le champ « serialNumber ». Le niveau de sécurité est quant à lui indiqué par un identifiant de politique (un OID) dans l'extension « certificatePolicies ».

Il convient de préciser clairement un point subtil : un certificat n’indique pas explicitement « Je suis EV ». La reconnaissance EV est une correspondance définie par la partie qui s’appuie sur le certificat, associant un OID de racine et de politique spécifique au statut EV. Le certificat contient l’OID ; c’est l’ software e qui décide de la signification de cet OID. C’est précisément cette conception qui explique pourquoi l’indicateur était amovible au départ, un point sur lequel nous reviendrons.

Vous pouvez vérifier tout cela par vous-même et déterminer à quel niveau précis se situe le certificat. En pointant OpenSSL vers un hébergeur en ligne, les champs relatifs au sujet et les identifiants de politique s'affichent :

openssl s_client -connect keyfactor.com:443 -servername keyfactor.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Consultez la ligne « Subject » pour les champs relatifs à l’organisation, puis parcourez la section « Certificate Policies » à la recherche de l’OID qui identifie le niveau de validation. Dans cet exemple, la ligne « Subject : CN=Keyfactor.com » indique que le nom commun (CN) de l’organisation esthttp://Keyfactor.com. L’OID de la politique, situé à la ligne « Politiques de certificat X509v3 : Politique : 2.23.140.1.2.1 », indique que ce certificat a été validé au niveau DV. Comment le savons-nous ? Nous le savons grâce au tableau ci-dessous, qui contient l’OID correspondant à chaque niveau.

OID	Niveau
2.23.140.1.1	VE
2.23.140.1.2.1	DV
2.23.140.1.2.2	OV

Pour obtenir des informations complètes sur la manière dont ces éléments s'articulent entre eux, consultezla section consacrée aux champs qui composent un certificat, qui présente en détail le DN du sujet, les extensions et l'encodage.

Pourquoi l'indicateur a disparu

L'indicateur EV n'a pas été supprimé sur un coup de tête. Des études d'ergonomie menées sur l'interface utilisateur de sécurité du navigateur ont révélé que le traitement spécial réservé à l'EV n'entraînait aucun changement mesurable dans le comportement des utilisateurs. L'équipe UX Sécurité de Chrome chez Google, dont les conclusions sont rendues publiques dans le cadre du projet Chromium, a conclu que l'indicateur EV ne transmettait pas le message escompté aux utilisateurs, et Mozilla est parvenue à une conclusion similaire avant de le supprimer dans Firefox. Les utilisateurs ne remarquaient ni sa présence, ni son absence. Un signal auquel personne ne réagit ne remplit pas la fonction pour laquelle il a été conçu.

Il y avait un deuxième problème. L’indicateur pouvait être falsifié. Comme il affichait le nom d’une organisation, un pirate pouvait enregistrer une entité juridique légitime dont le nom prêtait à confusion, obtenir un certificat EV valide pour celle-ci, et présenter un nom d’apparence plausible à l’endroit même où les utilisateurs étaient invités à faire confiance. Il ne s’agissait pas d’une hypothèse : en 2017, le chercheur en sécurité Ian Carroll a obtenu un certificat EV valide pour une société légalement enregistrée qu’il a baptisée « Stripe, Inc. » afin de démontrer précisément cette faille. Placée juste après la discussion sur l’OID, la raison apparaît clairement : comme le statut EV n’était qu’un OID que le navigateur choisissait d’interpréter, celui-ci pouvait tout simplement décider de ne plus l’interpréter dans la barre d’adresse. Et c’est exactement ce qui s’est produit.

Ce qu'un niveau de validation vous apporte encore

Même si l'on fait abstraction du logo, il reste une liste concise et honnête des avantages offerts par un niveau supérieur :

• Identité lisible par machine.
  Les données vérifiées relatives à l'organisation sont disponibles pour tous les outils qui analysent les certificats : outils de sécurité, systèmes d'inventaire, contrôles anti-fraude et moteurs de politiques internes. La barre d'adresse n'a jamais été la seule à exploiter ces données.
• Un seuil de délivrance abusive légèrement plus élevé.
  Un contrôle plus rigoureux lors de la délivrance rend un peu plus difficile pour un acteur malveillant d'obtenir un certificat qui revendique à tort l'identité d'une organisation.
• Conformité contractuelle ou réglementaire.
  Certains accords et régimes de conformité mentionnent un niveau spécifique. Si une exigence précise « OV » ou « EV », ce niveau correspond au résultat attendu, un point c'est tout.

L’exemple historique le plus parlant se situait en dehors même de l’ TLS des serveurs. Dans le cadre de la signature de code EV, ce niveau jouait autrefois un rôle déterminant. La réputation Microsoft SmartScreen, qui régit les avertissements affichés aux utilisateurs lorsqu’ils exécutent des fichiers téléchargés software, s’améliorait autrefois plus rapidement pour les binaires signés avec des certificats EV ; ce contrôle supplémentaire se traduisait donc par un résultat concret : moins de messages d’avertissement inquiétants pour les utilisateurs finaux. Cet avantage a désormais disparu. Suite aux modifications apportées aux exigences du programme Microsoft Trusted Root, Microsoft a cessé de reconnaître les certificats de signature de code EV début 2024 et a supprimé les identifiants de signature de code EV de ses racines de confiance plus tard dans l’année ; ainsi, les certificats de signature de code EV et OV se constituent désormais une réputation de la même manière. Cela illustre bien à quelle vitesse les avantages concrets d’un niveau de certification peuvent évoluer. Faites un bilan honnête et concis. Au-delà de quelques éléments comme ceux-ci, ce niveau n’apporte pas grand-chose de plus que le niveau DV.

Ce qui a convergé : la durée de validité des certificats

Si votre dernière évaluation des niveaux de validation remonte à plusieurs années, sachez qu’un autre facteur de différenciation a discrètement disparu. La durée de vie des certificats s’effondre à tous les niveaux. Le secteur s’oriente vers une durée de vie maximale de 47 jours, dans le cadre d’une évolution plus large vers une gestion agile des certificats, considérée désormais comme une discipline fondamentale de l’ PKI . Il est essentiel de noter que ces durées de vie plus courtes s’appliquent de manière uniforme aux certificats DV, OV et EV. Le niveau de validation ne confère plus une durée de vie plus longue au certificat. La durée de validité n’est tout simplement plus un levier contrôlé par le niveau de certification.

Comment choisir un niveau de validation dans la pratique

Étant donné que les niveaux partagent la même cryptographie sous-jacente et ont désormais la même durée de vie, le choix de l'un d'entre eux relève moins d'une décision liée à la sécurité que d'une question d'exigences. Posez-vous les trois questions suivantes :

1. La délivrance doit-elle être automatisée ?
   Les certificats à fort volume et à courte durée de validité favorisent la validation DV, qui permet une délivrance en quelques minutes et s'intègre parfaitement dans les flux de travail automatisés. Une vérification d'identité plus approfondie est plus difficile à automatiser entièrement.
2. Y a-t-il des éléments en aval qui exploitent les champs d'identité ?
   Si des outils, des partenaires ou une politique interne extraient les données vérifiées de l'organisation à partir du certificat, les certificats OV ou EV ont alors toute leur raison d'être. Si personne ne les utilise, vous payez pour des données dont personne ne se sert.
3. Un régime de conformité ou un contrat mentionne-t-il un niveau ?
   Si une exigence précise « OV » ou « EV », cette réponse prévaut sur les autres.

Répondez à ces questions et le niveau se choisira presque tout seul. Adaptez le certificat à l'objectif de votre site, à son profil de risque et à vos besoins en matière de confiance ; en recadrant cela autour d'exigences concrètes, vous prendrez une décision fondée sur la réalité plutôt que sur de simples aspirations.

Comment « Keyfactor » vous aide à gérer les niveaux de validation à grande échelle

Le fil conducteur de cet article est que les données d'identité sont contenues dans le certificat, indépendamment de ce qu'affiche le navigateur, et que certains niveaux revêtent une réelle importance en matière de conformité. Ces deux éléments se traduisent par un travail opérationnel dès lors que l'on dispose de plus d'une poignée de certificats, et la plupart des équipes en gèrent des dizaines, voire des centaines, dans leurs environnements.

C’est là que la gestion du cycle de vie des certificats prend tout son sens.La découverte et l’inventairerépertorient tous les certificats dont vous disposez réellement, en précisant le niveau de sécurité et les champs d’identité associés à chacun d’entre eux, ce qui vous évite d’avoir à deviner. La découverte automatisée établit un registre précis de vos certificats, vous permettant ainsi d’éviter des interruptions coûteuses et perturbatrices, et de combler le manque de visibilité qui s’accentue à mesure que le nombre de certificats augmente. L’automatisation du cycle de viegère ensuite l’émission et le renouvellement des certificats DV, OV et EV, ce qui est plus important que jamais maintenant que leur durée de vie diminue pour atteindre 47 jours et que le suivi manuel est devenu un risque. Enfin,l’application des politiquesgarantit que le niveau approprié est utilisé lorsqu’une réglementation ou un contrat en spécifie un, afin qu’une exigence de conformité ne se transforme pas discrètement en constat d’audit.

L'important, ce n'est pas d'ajouter des fonctionnalités. Il s'agit plutôt de savoir ce dont on dispose, de veiller à ce que tout reste à jour et de s'assurer que le niveau de validation approprié est appliqué là où il faut.