Autorité d'enregistrement (Registration Authority, RA)

Définition

L'autorité d'enregistrement, ou Registration Authority (RA), est le composant d'une infrastructure à clés publiques chargé de vérifier l'identité des demandeurs de certificats numériques avant de transmettre leur requête à l'autorité de certification pour signature. Elle joue un rôle d'intermédiaire de confiance, distinct de l'autorité de certification elle-même, en appliquant des procédures de validation d'identité proportionnées au niveau d'assurance requis, allant d'une simple vérification de contrôle du domaine pour un certificat de validation de domaine, à une vérification documentaire approfondie de l'organisation pour un certificat de validation étendue. L'autorité d'enregistrement collecte les demandes de signature de certificat, ou Certificate Signing Request (CSR), s'assure de la cohérence des informations fournies, puis autorise ou rejette la demande selon la politique de certification en vigueur. Dans les environnements d'entreprise déployant une PKI interne, l'autorité d'enregistrement peut être intégrée à l'annuaire d'entreprise, automatisant la délivrance de certificats pour l'authentification des postes de travail, des serveurs ou des équipements réseau. Une défaillance dans le processus de vérification de l'autorité d'enregistrement peut conduire à l'émission d'un certificat pour une identité usurpée, ouvrant la voie à des attaques d'homme du milieu ou d'hameçonnage sophistiqué. La rigueur de ce processus est encadrée par les exigences du CA/Browser Forum et constitue un point de contrôle essentiel dans les audits de conformité ISO 27001 portant sur la gestion des clés cryptographiques.