Cryptolog protège les réseaux avec ses cartes à puce virtuelles

En finir avec les clés USB et les cartes à puce pour la PKI : voilà ce que propose la jeune société Cryptolog avec ce système qu'il qualifie de carte à puce virtuelle : les éléments nécessaires à l'authentification de l'utilisateur restent hébergés sur les serveurs de la PKI. ' L'avantage est de fournir un certificat qui peut être utilisé de n'importe où, sans risque de perte et à moindre coût ', explique Alexandre Stern, président de Cryptolog.Quiconque souhaite profiter du service reçoit, par courrier, un code d'enregistrement long pour initialiser son compte (génération des clés). Le mot de passe servira à chiffrer un ensemble de clés stockées sur un premier serveur. Par la suite, pour signer un e-mail par exemple, la saisie de l'identifiant et du mot de passe provoque le rapatriement de ces clés grâce à une preuve par divulgation nulle (prouver qu'on connaît un secret sans le révéler).

Seul le client lit ses données

Le mot de passe ne circule donc pas sur le réseau, mais permet de déchiffrer les clés rapatriées en local. ' Nous n'avons ainsi aucun moyen de lire les données des clients ', précise le président. La clé publique est ensuite envoyée vers un second serveur où se trouve le certificat de l'utilisateur, qui est retourné chiffré par AES 128 bits. Après cette série d'opérations transparentes pour lui, l'utilisateur peut exploiter son certificat.Première application de cette PKI : la signature d'e-mail avec le service ExaMail, totalement hébergé, qui nécessite l'installation d'un plug-in sur les clients de messagerie. La PKI complète, baptisée Unicity, pourra être installée dans les grandes entreprises. Autres applications envisagées : un espace sécurisé pour partager des documents, système de vote électronique...