Architecture des clés
Comment le groupe détient ses propres clés
Les autorités de certification, les algorithmes et la cérémonie qui soutiennent chaque service exploité par le groupe.
Une note d’architecture, pas un certificat
Chaque énoncé décrit un choix d’architecture que le groupe a fait et peut démontrer. Aucun ne fait état d’un audit qu’il n’a pas réussi.
Autorités
Une racine hors ligne, deux autorités subordonnées
La racine ne signe presque rien. Ce qui signe au quotidien lui est subordonné, et de portée limitée.
- La racine reste hors ligneElle ne signe que ses subordonnées. Une racine qui signe au quotidien est une racine posée sur une machine accessible.
- Une autorité pour la chaîne d’approvisionnementElle signe les artefacts logiciels et leurs attestations. Elle n’émet jamais d’identité pour un service en fonctionnement.
- Une autorité pour les charges de travailElle émet les identités que les services se présentent entre eux. Elle ne signe jamais rien de livré à un client.
Algorithmes
Ce avec quoi le groupe signe et échange
Courbes elliptiques pour la signature, échange hybride pour la confidentialité, et une famille héritée en cours de retrait.
- SignatureECDSA P-384 pour les serveurs et l’authentification entre services. Ed25519 pour la racine et l’accès des opérateurs.
- Échange de clésUn hybride de X25519 et ML-KEM-768. Le trafic capté aujourd’hui reste confidentiel face à un futur adversaire quantique.
- Ce qui est en cours de retraitRSA-3072 ne subsiste que là où une contrepartie l’exige, et son retrait est suivi.
Durées de vie
Courtes par conception
Un secret d’authentification qui vit des mois est un secret dont personne ne remarque la fuite.
- Identités de chargeÉmises pour quelques minutes, non pour des jours, et renouvelées automatiquement. Une identité volée ne vaut plus rien avant d’être utilisée.
- Accès des opérateursChaque session s’ouvre avec un certificat émis pour elle seule et journalisé. Aucune clé permanente ne réside sur un ordinateur portable.
- Certificats publicsÉmis par une autorité publiquement reconnue et renouvelés un mois avant terme, car les navigateurs doivent leur faire confiance.
Cérémonie
Aucune personne seule ne peut utiliser la racine
Toute opération sur la racine exige un quorum de porteurs, en présence, selon un script écrit.
Un quorum supprime le point unique de compromission, et de coercition. Chaque opération sur la racine devient un événement daté et attesté par témoins.
Références
Ce sur quoi l’architecture est alignée
Voici les textes d’après lesquels l’architecture est bâtie. Le groupe ne détient aucune certification au titre de l’un d’eux.
- ISO/IEC 27001 § 8.24
- NIST SP 800-57
- NIST FIPS 203 (ML-KEM)
- CNSA 2.0
- RFC 8446 (TLS 1.3)
- RFC 9334 (RATS)
Demander le détail sous accord
Schémas d’architecture, inventaires de clés et procès-verbaux de cérémonie sont communiqués aux clients sous accord de confidentialité.