4.2. Le besoin d'une PKI globale

La sécurité des ordinateurs personnels est devenu un sujet d'une telle importance aujourd'hui que Bill Gates a annoncé que Microsoft choisirait à présent la sécurité aux fonctionnalités si la décision devait être prise (NdT : il _peut_ le dire).

Le nombre de nuisibles sur l'Internet a augmenté. N'importe qui peut envoyer n'importe quoi n'importe où et essayer de faire installer diverses saloperies sur les machines des autres. Une fois tout le monde identifié, on sait au moins de qui se plaindre en cas de problème. C'est particulièrement vrai dans le cas du courrier non-sollicité pour lequel il est souvent difficile d'authentifier l'émetteur d'origine. Le traitement d'une donnée peut être différent si elle n'est pas traçable au moyen d'un certificat. Il s'agit de la même approche que celle de la présentation du numéro d'appel téléphonique. Les certificats X.509v3 l'autorisent pour toutes les applications sur Internet, pour le courrier électronique (S/MIME), les transactions commerciales (HTTPS), les installations de logiciel … Ils ne sont toutefois pas très répandus en raison de leur coût quand il faut les déployer à grande échelle. Combien d'utilisateurs de Yahoo mail, d'Hotmail, de CA Online peuvent s'offrir un certificat électronique ? Il existe des projets de certificats gratuits mais ils ne peuvent prouver que l'existence d'une adresse électronique et n'ont pas les moyens de garantir l'identité de leur propriétaire.

Une PKI Globale est nécessaire. Les protocoles et les standards existent sans qu'il y ait besoin de réinventer la roue. L'IETF dispose de l'outillage nécessaire. Un serveur LDAP peut stocker les certificats, le DNS les annoncer et S/MIME sécuriser les courriers. Il ne reste plus qu'un problème de politique : quels services doivent coopérer au sein d'une PKI globale, qui doit offrir un tel service, quel sera le niveau de sécurité offert ?

Cette partie sera tenue à jour au fur et à mesure de l'avancement des travaux du groupe de travail PKI de l'Internet Society. L'ISOC gère également le TLD .org et dispose donc de moyens pour s'attaquer au problème du spam.