Clarification de la PKI X9 : ce que les certificats X9 sont et ne sont pas
X9 PKI est un cadre de certificats spécifique au secteur financier, conçu pour des communications sécurisées au sein d'un écosystème fermé d'institutions financières américaines. Contrairement à la WebPKI utilisée par les navigateurs, qui bénéficie d'une confiance globale, X9 fonctionne comme un modèle de confiance privé et partagé, qui nécessite l'adoption explicite des participants. Bien qu'il offre un meilleur contrôle et une plus grande stabilité aux systèmes financiers, il introduit des compromis tels que le partage des risques et l'absence de confiance universelle. La compréhension de ces différences est essentielle pour les organisations qui évaluent si la PKI X9 répond à leurs besoins en matière de sécurité et d'interopérabilité.
Alors que le débat sur les certificats X9 prend de l'ampleur, la confusion grandit sur ce qu'ils représentent réellement et sur ce qu'ils ne représentent pas.
Simplifions donc les choses.
Qu'est-ce que X9 PKI ?
La X9 PKI est un cadre de certification spécifique au secteur financier développé par l'Accredited Standards Committee (ASC X9) pour assurer la sécurité des communications entre les banques, les systèmes de paiement et l'infrastructure financière des États-Unis.
Contrairement à la WebPKI, le système mondial d'autorités de certification (AC) comme Sectigo, auquel font confiance les principaux navigateurs actuels tels que Chrome, Safari et Firefox, X9 fonctionne en dehors des écosystèmes de confiance des navigateurs. Cette distinction est importante.
La WebPKI est conçue pour l'internet public, où les certificats doivent être approuvés par des milliards d'utilisateurs et d'appareils. X9, en revanche, est conçu pour un écosystème fermé de participants financiers aux États-Unis qui acceptent explicitement de faire confiance à un cadre partagé.
Une façon plus simple de voir les choses :
- WebPKI = confiance publique, distribuée à l'échelle mondiale
- X9 PKI = confiance privée, partagée au sein d'un écosystème défini, basé aux États-Unis.
Pourquoi X9 a-t-elle été créée ?
Les institutions financières sont depuis longtemps confrontées à des problèmes liés aux politiques des navigateurs menées par le CA/Browser Forum dans le cadre du modèle WebPKI. Ces politiques, comme celles liées à la réduction de la durée de vie des certificats ou à la préparation quantique, sont conçues pour protéger toutes les organisations et tous les utilisateurs d'Internet à grande échelle, mais peuvent perturber les systèmes bancaires quotidiens tels que les distributeurs automatiques de billets ou les réseaux de paiement qui fonctionnent très différemment.
X9 a été créé pour répondre à cette tension :
- Donner plus de contrôle aux institutions financières
- Assurer la cohérence des systèmes interconnectés
- Réduire la dépendance à l'égard des fournisseurs de navigateurs
De ce point de vue, l'objectif de la norme X9 est logique.
Où il faut dissiper la confusion
Les services informatiques peuvent avoir l'impression que X9 est une nouvelle forme de confiance "publique" ou une évolution de la WebPKI. Ce n'est pas le cas.
X9 est fondamentalement plus proche d'un modèle PKI privé, avec une différence essentielle : Au lieu d'être détenue et gérée par une seule organisation ou une seule autorité de certification, elle est partagée entre plusieurs organisations dans le cadre d'une politique commune. C'est ce que l'on appelle un modèle de consortium, qui est assez courant dans l'ICP.
Cela crée un modèle hybride :
- Il n'y a pas de confiance distribuée à l'échelle mondiale comme dans le cas de la WebPKI
- Mais il n'offre pas non plus un contrôle total comme une AC privée traditionnelle.
En d'autres termes, les participants doivent toujours choisir de lui faire confiance, comme pour toute AC privée. Plus précisément, ils doivent installer la racine X9 propriétaire dans le magasin de racines de chaque système client qui tentera de se connecter à un certificat X9. Les systèmes d'exploitation, les navigateurs et les appareils ne lui font pas automatiquement confiance.
Les inconvénients d'une AC privée partagée
Cette approche de "l'écosystème partagé" introduit des compromis importants qui sont souvent négligés.
Dans une configuration traditionnelle de la PKI privée ou d'AC privée :
- Une seule organisation contrôle ses politiques, son infrastructure et ses risques.
- Les décisions en matière de sécurité n'affectent que cette organisation.
- L'organisation étant elle-même l'autorité de certification, elle connaît et contrôle parfaitement les personnes qui peuvent posséder l'un de ces certificats.
Dans X9 :
- Les politiques sont partagées entre plusieurs participants
- Les décisions en matière de sécurité et les risques peuvent avoir un impact sur l'ensemble de l'écosystème.
- Il est beaucoup plus difficile pour les membres d'un consortium de comprendre ce qu'implique la possession d'un certificat.
Cela est important car tous les compromis en matière de sécurité ne sont pas égaux. Par exemple, le secteur de la PKI au sens large s'est orienté vers des durées de vie des certificats plus courtes, des rotations de clés et de racines plus fréquentes, une automatisation accrue et des hiérarchies de certificats conçues à cet effet. Ces changements ont une raison d'être : réduire le risque systémique dans les grands environnements de confiance.
La norme X9 adopte intentionnellement une approche différente, en donnant la priorité à la stabilité et à la compatibilité des systèmes financiers. Mais lorsque cette approche est appliquée à un écosystème partagé, le profil de risque change.
En d'autres termes, dans le cadre d'une PKI privée ou d'une AC privée, un changement plus lent peut être acceptable. Mais dans une instance PKI partagée comme X9, un changement plus lent a un impact sur tous ceux qui en dépendent. De plus, alors que de nombreux systèmes de la PKI de consortium sont limités aux membres du consortium ayant fait leurs preuves et répondant à des critères spécifiques définis, X9 est accessible à tout membre du public. Cela signifie que les organisations ne peuvent pas s'appuyer sur un certificat X9 pour attester de l'identité de l'abonné en possession de ce certificat.
Que doivent donc garder à l'esprit les organisations lorsqu'elles envisagent de recourir à la PKI X9 ?
L'ICP X9 n'est pas intrinsèquement "bonne" ou "mauvaise", mais elle est souvent mal comprise.
Il s'agit d'un modèle de confiance spécifique à un secteur, conçu pour les institutions financières :
- D'un modèle de confiance spécifique au secteur, conçu pour l'interopérabilité financière
- D'une autorité de certification privée partagée, et non d'une infrastructure de confiance publique
- Un système qui nécessite une participation explicite et des décisions de confiance
Ce n'est pas :
- Un remplacement de la WebPKI
- Un système de confiance distribué à l'échelle mondiale
- Un moyen de contourner les réalités de l'évolution des normes de sécurité
- Un indicateur de l'identité d'un détenteur de certificat X9.
X9 a été créé pour résoudre des problèmes réels dans les environnements financiers. Mais il représente un modèle de confiance différent avec des compromis différents, et non une évolution directe de la WebPKI publique existante.
À mesure que la confiance numérique devient plus complexe, en raison de la réduction de la durée de vie des certificats, de la croissance de l'identité des machines et de l'évolution de la cryptographie, ces compromis sont plus importants que jamais.
Comprendre ce qu'est X9 constitue la première étape pour s'assurer de choisir la bonne approche. Comprendre où il s'intègre, et où il ne s'intègre pas, c'est ce qui aide finalement les organisations à prendre la bonne décision.