Les promesses de XML
quant à la sécurité ne seront tenues que si l'on parvient à une simplification
générale des procédures en cause, particulièrement au niveau de la configuration
des postes clients.
Par Hervé AGNOUX, de la SARL diaam informatique, pour
XMLfr et le groupe XML Sécurité d'Annecy Multimédia.
jeudi 29 novembre 2001
C'est un problème qui est régulièrement
relevé chez les analystes de la sécurité : le montage à base de double clef
et de tiers de confiance (PKI pour Public Key Infrastructure) est trop compliqué.
Les acteurs du domaine en sont heureusement conscients.
De jeunes standards se développent, avec en première ligne
le XKMS (XML Key Management
Specification), SAML (Security
Assertion Markup Language), PMI (Permission Management Infrastructure) ou XACML (XML Access Control Markup
Language).
Mais, prises telles quelles, ces technologies ne rendront
pas les infrastructures de confiance plus simples à déployer et à organiser.
XKMS, par exemple, croit
simplifier la mise en oeuvre des postes clients en déléguant la gestion des
certificats à des tiers de confiance. Mais, pour conduire les échanges
nécessaires à cette délégation, il se base sur le protocole SOAP, alors que celui-ci n'est pris en compte que par
les nouveaux navigateurs. Que doit-on faire de la base installée ?...
De plus, XKMS et SAML obligent à un accroissement considérable du
nombre de tiers de confiance, et exigent une collaboration très forte entre
eux, tout en les spécialisant selon des tâches d'enregistrement des parties
prenantes et d'enregistrement d'affirmations. Personne ne sait vraiment,
aujourd'hui, faire fonctionner ce nouveau monde.
Pour réussir les enjeux afférents à la sécurité XML, deux points sont fondamentaux.
Le premier est la coordination des organismes de
normalisation. Il faut qu'un seul organisme soit référent en ces domaines. Les
dispersions entre IETF,
W3C
et OASIS
sont contre-productives. Cet organisme unique devra non seulement produire des
recommandations stables, mais encore des applications de références ouvertes.
Le deuxième est le plus important. Il s'agit de la mise en
oeuvre de la sécurité sur les postes clients. Celle-ci devra être parfaitement
simple si l'on veut toucher le grand public.
Si ces deux points, qui ne concernent pas directement la
technologie XML, sont atteints, alors nous
pourrons reparler de XML avec quelques chances
de réussite.
Autres articles:
Copyright 2001,
Hervé AGNOUX.
|
