Aperçu des certificats dans Checkmk

L'autorité de certification racine est une autorité de confiance qui sert de point d'ancrage dans une chaîne de certificats : Elle émet un certificat racine auto-signé (un certificat d'autorité de certification) qui établit la crédibilité et l'identité numérique des certificats et des autorités de certification qui en découlent. À l'extrémité de la chaîne de certificats se trouve le certificat feuille, en tant qu'entité individuelle. Il hérite de la confiance des membres de niveau supérieur de la chaîne qui le précèdent. La confiance est transmise et confirmée par des processus de signature utilisant des signatures numériques. Un ou plusieurs certificats intermédiaires peuvent exister entre les certificats racine et feuille (au sens figuré : les branches de l'arborescence des certificats). Le certificat intermédiaire supérieur est signé par l'autorité de certification racine, et les intermédiaires situés en dessous agissent en tant qu'autorités de certification subordonnées. Il n'y a pas de certificats intermédiaires dans Checkmk, car ils ne sont pas nécessaires à l'architecture de sécurité du logiciel Checkmk.

Concrètement, vous pouvez imaginer le processus comme suit : Une autorité de certification (CA) signe le certificat qu’elle émet avec sa clé privée, garantissant ainsi son authenticité et sa validité. Les composants système concernés s’appuient sur une liste prédéfinie de certificats d’autorité de certification. Les navigateurs, par exemple, fournissent une liste de certificats d’autorité de certification (approuvée par un consortium des principaux fabricants de navigateurs) et feront donc confiance aux sites web qui utilisent des certificats intermédiaires signés par ces certificats d’autorité de certification et, par conséquent, aux clés de serveur signées par ceux-ci. Les certificats qui confirment l’identité d’un client ou d’une personne derrière un serveur (ou un domaine web) sont appelés certificats de serveur – un exemple en est le certificat de serveur d’un site web qu’il présente au navigateur. Le terme « certificats TLS/SSL » est souvent utilisé comme synonyme de certificats de serveur.

En termes simples, l’autorité de certification vérifie la clé publique d’un demandeur (personne, site web ou composant logiciel) en contrôlant l’authenticité et la validité de son certificat. Si le résultat est positif, la communication interne du système est activée, par exemple entre un site et ses ordinateurs hôtes assignés ou dans le cadre d’une supervision distribuée entre sites.

Chez Checkmk, la communication des agents est sécurisée d’une manière qui va même au-delà du SSL/TLS : La communication entre le récepteur d’agent (au sein de l’instance) et le contrôleur d’agent (sur l’ordinateur hôte) s’effectue via mTLS, de manière asynchrone et avec un chiffrement de bout en bout. Le « m » dans mTLS signifie confirmation mutuelle d’une base de confiance : authentification du client et du serveur qui étend le protocole TLS standard. Une autorité de certification (CA) répond aux demandes de signature émanant de l’Agent Controller des ordinateurs hôtes sous supervision. Cela facilite l’identification des agents compromis.

L'authenticité de chaque certificat peut être vérifiée à l'aide d'une empreinte digitale : Une somme de contrôle est calculée à partir de toutes les données du certificat et affichée sous forme de nombre hexadécimal. Cette « empreinte digitale » est l'identifiant numérique unique du certificat. Toute altération d'un certificat modifie son empreinte digitale et est détectée lors de la comparaison avec une autorité de confiance. La communication n'a lieu qu'après vérification réussie des certificats nécessaires, et uniquement sous forme chiffrée. Les certificats SSL/TLS, par exemple, permettent une communication sécurisée entre les navigateurs et les sites web utilisant le protocole Internet HTTPS et garantissent que les données ne peuvent être ni lues ni manipulées pendant la transmission.