Cryptographic Posture Management — découvrez, notez & remédiez tout votre patrimoine cryptographique
Autorité de certification souveraine pour l'émission et la gestion de certificats à l'échelle de l'entreprise
Gestion du cycle de vie des certificats : découverte, gouvernance et automatisation
Domain Control Validation agnostique des DNS, prêt pour les certificats TLS de 47 jours
Stations de base, bornes de recharge, compteurs intelligents et automates industriels ne remplissent pas de formulaires web — ils s'enrôlent, se renouvellent et se révoquent via des protocoles gravés en usine. Ce guide explique pourquoi les flottes OT cassent la PKI de type informatique, quels protocoles d'enrôlement elles parlent réellement (CMPv2, EST, SCEP), et comment mener un cycle de vie de certificats de l'usine au terrain, à l'échelle de la flotte et sans déplacement.
La PKI OT est la gestion du cycle de vie des certificats pour les machines plutôt que pour les personnes. Les équipements — stations de base, bornes de recharge, compteurs intelligents, automates et passerelles industrielles — n'utilisent ni navigateur ni portail ; ils embarquent un client d'enrôlement installé à la fabrication et attendent que l'autorité de certification parle leur protocole : CMPv2, EST ou SCEP.
Ces flottes cassent les hypothèses sur lesquelles la PKI informatique est construite. Elles survivent aux dépréciations d'algorithmes et aux fins de vie de fournisseurs, ce sont elles qui choisissent le protocole, elles s'enrôlent de machine à machine à des dizaines ou centaines de milliers d'exemplaires, et vivent souvent sur des réseaux segmentés ou isolés sous NIS2 et IEC 62443. Ce guide couvre ce que ces contraintes signifient en pratique et comment un cycle de vie de certificats d'équipement se déroule de l'amorçage en usine au renouvellement sur le terrain jusqu'au retrait.
Une infrastructure à clés publiques conçue pour des ordinateurs portables, des serveurs et des utilisateurs humains se heurte à un mur dès sa première rencontre avec une flotte d'équipements industriels. L'équipement n'ouvre pas de navigateur, ne peut pas se voir remettre un mot de passe à usage unique par un service d'assistance, et ne sera pas reflashé pour convenir à l'autorité de certification. Il sort d'usine en sachant déjà comment il veut s'enrôler, et c'est à la PKI de le rejoindre sur ces termes.
Ce guide traite de la PKI qui parle machine : pourquoi les flottes OT cassent la gestion de certificats de type informatique, quels protocoles d'enrôlement elles utilisent réellement, et comment un cycle de vie de certificats unique accompagne un équipement de l'atelier à des années d'exploitation autonome sur le terrain.
L'écart n'est pas qu'une affaire d'échelle. Les équipements industriels et OT violent quatre hypothèses dont la PKI informatique dépend silencieusement, et chacune doit être conçue pour, et non contournée.
Un équipement industriel déployé aujourd'hui tournera encore en 2040 — après les dépréciations d'algorithmes, après la fin de vie des fournisseurs, après les échéances post-quantiques. Son infrastructure d'identité doit tenir tout du long, ce qui fait de la crypto-agilité une exigence de flotte, pas un confort.
L'équipement OT sort d'usine avec son client d'enrôlement embarqué : CMPv2, EST ou SCEP. La PKI s'adapte à l'équipement ; personne ne reflashe dix mille bornes pour faire plaisir à l'AC.
L'enrôlement se fait de machine à machine, sur des liens contraints, à l'échelle de la flotte. Portails et boucles d'approbation manuelles ne tiennent pas à 100 000 équipements.
Les réseaux industriels sont segmentés, souvent isolés (air gap), et régulés par NIS2, IEC 62443 et le Cyber Resilience Act. L'infrastructure d'identité doit tourner sur site, sous le contrôle de l'exploitant.
Il n'existe pas de « protocole d'enrôlement IoT » unique. Un vrai parc mélange des équipements embarqués qui parlent les protocoles industriels avec des serveurs et passerelles qui parlent ceux de l'IT, et la PKI doit répondre à tous.
La RFC 4210 couvre tout le cycle de vie dans un seul protocole : enrôlement initial, demandes de certification PKCS#10, renouvellement de clé sur le terrain, révocation et confirmations. Elle prend en charge les deux modèles d'authentification que les équipements utilisent vraiment — secret partagé (MAC à base de mot de passe) pour le premier contact, ou signature avec le certificat que l'équipement détient déjà — et le relais par Autorité d'Enregistrement, pour qu'une RA sur site puisse regrouper les demandes et les transmettre sous une seule signature. Le Lightweight CMP Profile (RFC 9483) le resserre pour les déploiements modernes.
EST (RFC 7030) exécute l'enrôlement sur TLS avec génération de clés côté serveur en option. EST-coaps (RFC 9148) porte le même enrôlement sur DTLS et CoAP, taillé pour les équipements les plus contraints en batterie et en bande passante.
La valeur d'une PKI orientée machine se révèle sur toute la vie de l'équipement, pas seulement au premier enrôlement. Le même cycle de vie de certificats doit accompagner un équipement de la chaîne de montage au jour de son retrait, sans visite sur site entre les deux.
Les équipements s'enrôlent avec un justificatif d'usine ou un secret partagé, selon les schémas de certificats constructeur standardisés par le monde télécom (3GPP TS 33.310). L'enrôlement ouvert peut être encadré par des règles de validation plutôt que par un pré-enregistrement équipement par équipement.
L'équipement signe son renouvellement de clé avec le certificat qu'il détient déjà ; la plateforme le vérifie, émet le nouveau certificat et remplace l'ancien. Sans opérateur, sans interruption, sans visite sur site.
Les sites dotés d'une RA locale transmettent les demandes par lots sous une seule signature RA — des milliers d'équipements derrière un seul canal de confiance.
Chaque enrôlement, renouvellement et révocation est un événement de cycle de vie audité, attribuable par équipement, par profil, par site.
Parler les protocoles est nécessaire mais pas suffisant. La flotte doit aussi être gouvernée comme n'importe quelle autre partie du patrimoine de certificats — découverte, notée, liée à une politique — et ancrée à une autorité de certification que l'exploitant contrôle réellement.
Un gestionnaire de cycle de vie prêt pour les équipements maintient un inventaire unique pour chaque certificat d'équipement, découvert et noté aux côtés du reste du patrimoine, avec des profils qui imposent la politique par flotte (types de clés, validité, règles de sujet, qui peut renouveler ou révoquer) et des déclencheurs qui relient les événements de cycle de vie au SOC et au ticketing. Derrière lui, une pile AC souveraine — AC, OCSP, horodatage — tourne sur site, compatible air gap, clés dans les HSM de l'exploitant, alignée sur les attentes NIS2, IEC 62443 et Cyber Resilience Act.
L'angle post-quantique n'est pas optionnel ici : les équipements déployés aujourd'hui survivront aux échéances de migration 2030/2035, donc leur chaîne de confiance doit pouvoir migrer vers des algorithmes hybrides et post-quantiques sans réarchitecturer la flotte. C'est le bénéfice d'une PKI OT bien conçue dès le départ — une racine de confiance, un cycle de vie, et une flotte capable de suivre la cryptographie vers l'avant au lieu d'être figée sur les algorithmes qu'elle embarquait.
