TP 7. Construire une PKI interne

Énoncé de travail pratique

Les commandes ne figurent pas dans les énoncés : elles se construisent à partir du chapitre déclencheur indiqué ci-dessous. Le laboratoire et le livret de corrections ne sont pas encore publiés. Voir les limites du livrable

Chapitre déclencheur : 17. Durée : 2 h 30.

Objectifs

Monter une chaîne à deux niveaux sans tomber dans le piège des plafonds, écrire un rôle d'émission contraint, émettre par les deux voies, révoquer et observer les limites de la révocation, puis remplacer un certificat de laboratoire par un certificat de la maison.

Prérequis

TP 6 terminé. Chapitre 17 lu.

Étapes

1. La racine, dans le bon ordre. Activez un montage dédié à la racine. Avant toute génération, réglez son plafond de durée à dix ans. Générez la racine avec une durée de dix ans, puis vérifiez la date d'expiration obtenue. Recommencez ensuite l'exercice sur un montage jetable sans régler le plafond, et comparez : cette comparaison est l'objet principal de l'étape.

2. L'intermédiaire. Montez pki-int, réglez son plafond, générez une demande de signature, faites-la signer par la racine, et installez le certificat signé. Vérifiez que la clé privée de l'intermédiaire n'a jamais quitté son montage.

3. Les URL. Configurez les points de distribution sur les deux montages, en utilisant le nom de service et non celui du nœud. Expliquez ce que cette décision évite.

4. Le rôle. Créez astrea-services : domaine autorisé, sous-domaines permis, domaine nu interdit, wildcard interdit, durée par défaut de soixante-douze heures, plafond d'un mois. Testez quatre demandes : un nom légitime, un domaine extérieur, un domaine nu, un wildcard. Consignez les quatre résultats.

5. Les deux voies. Émettez un certificat par génération complète, puis un second par signature d'une demande produite localement. Comparez ce que contient chaque réponse et déterminez, pour chacune, où la clé privée a existé.

6. Révoquer. Révoquez l'un des certificats, récupérez la liste de révocation et vérifiez qu'il y figure. Puis présentez ce certificat révoqué à un client qui ne consulte pas la liste, et constatez qu'il est accepté. Formulez la conclusion.

7. Prendre la maison. Émettez un certificat pour core-01 portant les SAN nécessaires, déposez-le, et rechargez le service sans le redémarrer. Vérifiez ce que voit un client, et constatez que le serveur n'a pas été redescellé.

Résultats attendus

Une chaîne à deux niveaux valide, une racine à dix ans et la démonstration de l'écrêtage sur le montage jetable, un rôle qui refuse trois demandes sur quatre, deux voies d'émission comparées, une révocation publiée et ignorée par un client indifférent, et un nœud servi par la PKI interne après rechargement à chaud.

Erreurs possibles et diagnostic

La racine expire dans trente-deux jours : c'est l'écrêtage attendu à l'étape 1, et il est silencieux. Les clients refusent la chaîne : le certificat servi ne contient pas l'intermédiaire, ou l'autorité n'est pas dans le magasin du client. Le rechargement ne change rien : le service a été rechargé avant que les fichiers ne soient en place, ou la commande utilisée redémarre au lieu de recharger. Le wildcard est accepté : le paramètre correspondant n'a pas été positionné, et le rôle autorise alors ce que la politique interdit.

Questions

1. Vous avez constaté qu'un client indifférent accepte un certificat révoqué. Quelle est la conséquence pour votre politique de durées ?
2. Dans quel cas préféreriez-vous la voie par demande de signature, et qu'apporte-t-elle exactement ?
3. Le rôle refuse les wildcards. Un administrateur pressé peut-il contourner ce refus, et comment le sauriez-vous ?