Certificats X.509

Les certificats X.509 sont des documents numériques qui représentent un utilisateur, un ordinateur, un service ou un appareil. Une autorité de certification, une autorité de certification subordonnée ou une autorité d’inscription émet des certificats X.509. Les certificats contiennent la clé publique de l’objet du certificat. Ils ne contiennent pas la clé privée du sujet, qui doit être stockée de manière sécurisée. RFC 5280 documente les certificats de clé publique, y compris leurs champs et extensions. Les certificats de clé publique sont signés numériquement et contiennent généralement les informations suivantes :

• Informations sur le sujet du certificat
• Clé publique correspondant à la clé privée du sujet
• Informations sur l’autorité de certification émettrice
• Algorithmes de chiffrement et/ou de signature numérique pris en charge
• Informations pour déterminer l’état de révocation et de validité du certificat

Champs Certificat

Il existe trois versions incrémentielles de la norme de certificat X.509, et chaque version ultérieure a ajouté des champs de certificat à la norme :

• La version 1 (v1), publiée en 1988, suit la norme X.509 initiale pour les certificats.
• La version 2 (v2), publiée en 1993, ajoute deux champs aux champs inclus dans la version 1.
• La version 3 (v3), publiée en 2008, représente la version actuelle de la norme X.509. Cette version ajoute la prise en charge des extensions de certificat.

Cette section est destinée à servir de référence générale pour les champs de certificat et les extensions de certificat disponibles dans les certificats X.509. Pour plus d’informations sur les champs de certificat et les extensions de certificat, notamment les types de données, les contraintes et d’autres détails, consultez la spécification RFC 5280.

Champs version 1

Le tableau suivant décrit les champs de certificat version 1 pour les certificats X.509. Tous les champs inclus dans ce tableau sont disponibles dans les versions de certificat X.509 suivantes.

Champs version 2

Le tableau suivant décrit les champs ajoutés pour la version 2, contenant des informations sur l’émetteur de certificat. Toutefois, ces champs sont rarement utilisés. Tous les champs inclus dans ce tableau sont disponibles dans les versions de certificat X.509 suivantes.

Champs version 3

Le tableau suivant décrit le champ ajouté pour la version 3, représentant une collection d’extensions de certificat X.509.

Extensions de certificat

Les extensions de certificat, introduites avec la version 3, fournissent des méthodes permettant d’associer davantage d’attributs à des utilisateurs ou à des clés publiques et de gérer les relations entre les autorités de certification. Pour plus d’informations sur les extensions de certificat, consultez la section Extensions de certificat de la spécification RFC 5280.

Extensions standard

La norme X.509 définit les extensions incluses dans cette section, pour une utilisation dans l’infrastructure à clé publique Internet.

Extensions Internet privées

Les extensions incluses dans cette section sont similaires aux extensions standard et peuvent être utilisées pour diriger les applications vers des informations en ligne sur l’autorité de certification ou le sujet du certificat émetteur.

Formats de certificat

Les certificats peuvent être enregistrés dans divers formats. L’authentification Azure IoT Hub utilise généralement les formats Privacy-Enhanced Mail (PEM) et PFX (Personal Information Exchange). Le tableau suivant décrit les fichiers et formats couramment utilisés pour représenter les certificats.

Certificats auto-signés

Vous pouvez authentifier un appareil auprès de votre hub IoT en utilisant deux certificats d’appareil auto-signés. Ce type d’authentification est parfois appelé authentification par empreinte numérique, car les certificats sont identifiés par des valeurs de hachage calculées appelées empreintes digitales ou empreintes. Ces valeurs de hachage calculées sont utilisées par IoT Hub pour authentifier vos appareils.

Créer un certificat auto-signé

Vous pouvez utiliser OpenSSL pour créer des certificats auto-signés. Les étapes suivantes vous montrent comment exécuter des commandes OpenSSL dans un interpréteur de commandes bash pour créer un certificat auto-signé et récupérer une empreinte de certificat qui peut être utilisée pour l’authentification de votre appareil dans IoT Hub.

1. Exécutez la commande suivante pour générer une clé privée et créer un fichier de clé privée codée PEM (.key), en remplaçant les espaces réservés suivants par leurs valeurs correspondantes. La clé privée générée par la commande suivante utilise l’algorithme RSA avec un chiffrement 2 048 bits.

   {KeyFile}. Nom de votre fichier de clé privée.

   openssl genpkey -out {KeyFile} -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   

2. Exécutez la commande suivante pour générer une demande de signature de certificat PKCS #10 et créer un fichier CSR (.csr), en remplaçant les espaces réservés suivants par leurs valeurs correspondantes. Veillez à spécifier l’ID de l’appareil IoT pour votre certificat auto-signé lorsque vous y êtes invité.

   {KeyFile}. Nom de votre fichier de clé privée.

   {CsrFile}. Nom de votre fichier CSR.

   {DeviceID}. Nom de votre appareil IoT.

   openssl req -new -key {KeyFile} -out {CsrFile}
   
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:{DeviceID}
   Email Address []:.
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:.
   An optional company name []:.
   

3. Exécutez la commande suivante pour examiner et vérifier votre CSR, en remplaçant les espaces réservés suivants par leurs valeurs correspondantes.

   {CsrFile}. Nom de votre fichier de certificat.

   openssl req -text -in {CsrFile} -verify -noout
   

4. Exécutez la commande suivante pour générer un certificat auto-signé et créer un fichier de certificat codé PEM (.crt), en remplaçant les espaces réservés suivants par leurs valeurs correspondantes. La commande convertit et signe votre CSR avec votre clé privée, générant un certificat auto-signé qui expire dans 365 jours.

   {KeyFile}. Nom de votre fichier de clé privée.

   {CsrFile}. Nom de votre fichier CSR.

   {CrtFile}. Nom de votre fichier de certificat.

   openssl x509 -req -days 365 -in {CsrFile} -signkey {KeyFile} -out {CrtFile}
   

5. Exécutez la commande suivante pour récupérer l’empreinte digitale du certificat, en remplaçant les espaces réservés suivants par leurs valeurs correspondantes. L’empreinte digitale d’un certificat est une valeur de hachage calculée qui est unique à ce certificat. Vous avez besoin de l’empreinte digitale pour configurer votre appareil IoT dans IoT Hub à des fins de test.

   {CrtFile}. Nom de votre fichier de certificat.

   openssl x509 -in {CrtFile} -noout -fingerprint
   

Vérifier manuellement le certificat après le chargement

Après avoir chargé votre certificat d’autorité de certification racine ou votre certificat d’autorité de certification subordonnée sur votre hub IoT, vous pouvez choisir de vérifier automatiquement le certificat. Si vous n’avez pas choisi de vérifier automatiquement votre certificat lors du chargement, son état est défini sur Non vérifié. Vous devez effectuer les étapes suivantes pour vérifier manuellement votre certificat.

1. Sélectionnez le certificat pour afficher la boîte de dialogue Détails du certificat.

2. Sélectionnez Générer un code de vérification dans la boîte de dialogue.

   

3. Copiez le code de vérification dans le Presse-papiers. Vous devez utiliser ce code de vérification comme sujet du certificat dans les étapes suivantes. Par exemple, si le code de vérification est 75B86466DA34D2B04C0C4C9557A119687ADAE7D4732BDDB3, ajoutez-le en tant qu’objet de votre certificat, comme indiqué à l’étape suivante.

4. Un certificat de vérification peut être généré de trois façons :

   • Si vous utilisez le script PowerShell fourni par Microsoft, exécutez New-CACertsVerificationCert "<verification code>" pour créer un certificat nommé VerifyCert4.cer, en remplaçant <verification code> par le code de vérification généré précédemment. Pour plus d’informations, consultez Gestion des certificats AC de test pour échantillons et didacticiels dans le référentiel GitHub pour le Kit de développement logiciel (SDK) d’appareil Azure IoT Hub pour C.

   • Si vous utilisez le script Bash fourni par Microsoft, exécutez ./certGen.sh create_verification_certificate "<verification code>" pour créer un certificat nommé verification-code.cert.pem, en remplaçant <verification code> par le code de vérification généré précédemment. Pour plus d’informations, consultez Gestion des certificats d’autorité de certification de test pour échantillons et didacticiels dans le référentiel GitHub pour le Kit de développement logiciel (SDK) d’appareil Azure IoT Hub pour C.

   • Si vous utilisez OpenSSL pour générer vos certificats, vous devez d’abord générer une clé privée, puis générer un fichier de demande de signature de certificat. Dans l’exemple suivant, remplacez <verification code> par le code de vérification généré précédemment :

   openssl genpkey -out pop.key -algorithm RSA -pkeyopt rsa_keygen_bits:2048
   
   openssl req -new -key pop.key -out pop.csr
   
   -----
   Country Name (2 letter code) [XX]:.
   State or Province Name (full name) []:.
   Locality Name (eg, city) [Default City]:.
   Organization Name (eg, company) [Default Company Ltd]:.
   Organizational Unit Name (eg, section) []:.
   Common Name (eg, your name or your server hostname) []:<verification code>
   Email Address []:
   
   Please enter the following 'extra' attributes
   to be sent with your certificate request
   A challenge password []:
   An optional company name []:
   

   Ensuite, créez un certificat en utilisant le fichier de configuration approprié pour l’autorité de certification racine ou l’autorité de certification subordonnée, et le fichier de demande de signature de certificat. L’exemple suivant montre comment utiliser OpenSSL pour créer le certificat à partir d’un fichier de configuration d’autorité de certification racine et du fichier de demande de signature de certificat.

   openssl ca -config rootca.conf -in pop.csr -out pop.crt -extensions client_ext
   

   Pour plus d’informations, consultez le Tutoriel : Créer et charger des certificats à des fins de test.

5. Sélectionnez le nouveau certificat dans l'affichage Détails du certificat.

6. Une fois le certificat chargé, sélectionnez Vérifier. L’état du certificat doit passer à Vérifié.

Informations supplémentaires

Pour plus d’informations sur les certificats X.509 et leur utilisation dans IoT Hub, consultez les articles suivants :

• Guide pour profane du jargon des certificats X.509
• Comprendre comment les certificats d’autorité de certification X.509 sont utilisés dans IoT