Résumé

  • RFC 9734, dont Rohan Mahy est l’auteur, crée id-kp-imUri, une finalité EKU pour des certificats d’identité de clients de messagerie instantanée.
  • Cette finalité aide à éviter la confusion entre protocoles; elle ne prouve pas le parcours ni l’effet d’un message.

Rendre la finalité lisible

Une même clé publique peut apparaître dans des environnements techniques très différents. C’est pourquoi RFC 9734 ne se contente pas d’un mot vague sur la sécurité: il ajoute une finalité X.509 précise pour un certificat utilisé afin de prouver l’identité d’un client de messagerie instantanée. Un subjectAltName peut contenir une URI IM ou XMPP; id-kp-imUri permet au certificat d’exprimer ce contexte.

Le choix sert aussi à réduire le risque d’attaque inter-protocole. Le texte recommande de ne pas associer cette EKU aux finalités génériques clientAuth ou serverAuth. Si toutes ces étiquettes sont réunies, la distinction qui devait guider l’émetteur et l’application disparaît. Le bénéfice est donc une frontière plus nette, pas une garantie universelle de sécurité ou de service.

La preuve d’identité ne suit pas le message

Après une validation réussie, il est facile de donner trop de sens à l’écran vert. Le certificat et sa chaîne peuvent soutenir une conclusion limitée: une application a validé une clé pour une finalité IM sous une politique donnée. Ils ne voient pas le contenu soumis, la décision d’un serveur, une tentative de remise, le déchiffrement sur un appareil ni l’affichage à l’écran.

Ces étapes ne sont pas des détails superflus. Une investigation sur une notification contestée doit pouvoir distinguer le certificat utilisé, la requête reçue, la décision de la plateforme, l’état d’une file, l’observation côté destinataire et la règle de conservation. Un même identifiant de corrélation peut relier certains de ces éléments; une extension EKU ne les remplace pas.

Question Pièce pertinente Limite de id-kp-imUri
La clé est-elle destinée à une identité IM ? Certificat et validation N’établit aucun envoi
Le service a-t-il accepté une requête ? Journal de service N’établit pas la réception
Un appareil a-t-il rendu le contenu disponible ? Observation client N’établit pas la lecture humaine
Le dossier restera-t-il vérifiable ? Politique et stockage d’audit N’assure pas la conservation

Une autorité distribuée

Le Datatracker attribue RFC 9734 à Mahy et lui donne un rôle de président du groupe Digital Emblems. C’est le bon niveau de biographie: il a contribué à une norme publique. Il n’en découle pas qu’il exploite une autorité de certification, une plateforme de messagerie ou une conversation donnée.

La leçon rejoint l’exigence de code réellement observable défendue par Lu Heng. La valeur d’un mécanisme précis augmente quand on ne lui prête pas des faits que ses champs ne transportent pas.

Sources