Bonjour,
 
je suis un cours sur la sécurisation des données, cryptographie.
 
À la partie certificat numérique, on peut lire:

 
"Lorsqu'un certificat est signé avec sa propre clé publique…"
 
Je ne comprends pas bien pourquoi on signe à l'aide d'une clé publique. Est-ce que quelqu'un a une explication ?
 
Merci.

C'est le principe de chiffrement asymétrique avec une clé privée qui permet de chiffrer les données et de garantir que les données proviennent bien du détenteur de la clé privée. Ces données sont ensuite déchiffrées via la clé publique par les gens qui en ont besoin.
Dans le cas d'un certificat, c'est un tiers de confiance qui détient la clé publique permettant de garantir aux utilisateurs qui visitent le site web que la sécurité est bien assurée via ce certificat.
 
Dans le cas d'un certification autosigné, il n'y a pas de tiers de confiance. Du coup, l'émetteur du certificat et celui a la clé publique et qui est censé garantir que le certificat est valide (et donc que la connexion est sécurisée) est la même entité, ce qui est pas terrible niveau sécu
En effet, un truant peut très bien émettre un certificat moisi et donc faire croire que la connexion est sécurisée alors que c'est pas le cas.
 
Edit : vidéo pour t'aider : https://www.youtube.com/watch?v=jcQXNMuqhFU

Bonjour,
 
Je suis d'accord avec toi quand tu dis:

 
Mais le prof s'exprime d'une manière équivoque:

 
Je reprends le même cours pour chiffrer un message (Alice veut envoyer un message chiffré à Bob) -> il ne s'agit pas ici de signature…:

 
Tu vois, dans deux situations différentes -1 signer un certificat (donc des données i.e. une clé publique), par un CA ou autosigné peu importe -2 chiffrer des données pour les envoyer, l'expression est la même. En lisant, on comprend qu'il utilise dans les deux cas la clé publique pour chiffrer.
 
Alors qu'en réalité, selon moi, non.
Dans -1 c'est une clé privée qui signe ("haschage puis chiffrement" (pour avoir une empreinte chiffrée…) les données du certificat, dont la clé publique -> c'est le but) -2 c'est la clé publique qui chiffre des données, sans être question ici de signature de certificat.

Suis d'accord avec toi, c'est signé avec la clé privée pour qu'un tiers puisse vérifier la signature en utilisant la clé publique

Pour simplifier, je pense qu'on peut dire que la clé privée permet de prouver que la clé publique utilisée pour communiquer est authentique et n'a pas été falsifier.

Merci pour vos réponses.

Ben la clé publique a bien été générée à partir de la clé privée.
La clé publique est bien utilisée pour la communication (chiffrement et déchiffrement des infos échangées durant la com https.
Le tiers de confiance garde la clé publique et peut s'assurer de son authenticité puisqu'elle vient de la clé privée du détenteur.
C'est bien le principe, non ?

Non, la clé publique n'est pas générée à partir de la clé privée.
Les 2 clés sont générées en même temps (on parle de génération du bi-clé)

Oui, c'est une paire de clés, elles sont générées en même temps. J'ai fait un abus de langage.

Je pense que la clé publique, issue de la paire clé publique/privée du serveur, donc celle qui a été envoyée dans les données du certificat du serveur vers le client, n'est pas utilisée pour déchiffrer. Elle sert uniquement à la fin du TLS-Handshake.
1) hello client (en clair)
2) hello serveur (en clair)
3) le client produit une clé de chiffrement symétrique (la clé de session), produit une empreinte de celle-ci -un hash (contrôle d'intégrité), chiffre le tout (confidentialité) grâce à la clé publique du serveur, et l'envoie au serveur.
4) le serveur déchiffre le message avec sa clé privée, contrôle l'intégrité (hash, contrôle des valeurs). Supposons que tout ailles bien…
 
le serveur et le client utilisent maintenant un chiffrement symétrique AES (je pense généralement ?) avec la clé de session (je crois que cette clé doit changer pour la sécurité, mais je m'arrête-là pour cette courte description).
 
Et donc la clé publique du serveur n'a jamais servi à déchiffrer quoi que ce soit. (selon mes lectures)

Dans ce cas c'est exact mais rien ne t'empêche d'utiliser la clé public d' une autre personne pour chiffrer qqch que tu lui veux envoyer