JDNet Développeurs : Le projet IDX PKI est-il le premier projet d'infrastructure à clé publique open source?

Patrick Duplouy: Non, car il existe déjà un projet dénommé OpenCA, qui est une PKI simplifiée qui permet de générer des certificats. Mais IDX PKI va intégrer toutes les spécifications définies par les RFC. Il sera donc possible de s'interfacer avec les autres infrastructures PKI.

Depuis combien de temps travaillez-vous sur ce projet ?

Il a commencé au mois de décembre de l'année dernière. Nous nous sommes d'abord formé sur OpenCA, puis nous sommes partis sur les standards définis par les RFC. Pour l'instant le projet en est à une phase alpha, 0.1. Il permet la création de certificats. Cela nous permet de voir l'organisation du code. Nous abordons le traitement ASNA, la méthode de transmission des messages sur le net. Nous évaluons aussi plusieures librairies cryptographiques qui seront portables sur Windows et Unix.

Quels problèmes avez-vous rencontrés ?

Un des problèmes, c'est la gestion des applicatifs extérieurs à la PKI. Aussi, il faut bien respecter le format des messages, définis par le standard PKCS (voir RFC), et la communication avec le matériel définie par PKCS II. C'est un projet vaste, donc il vaut mieux démarrer avec des connaissances minimales sur le domaine. Je recommande le livre PKI : A Wiley Tech Brief de Thomas Austin.

Le développement d'applications de sécurité est-il différent de celui d'applications classiques ?

Oui, un peu, dans le sens où tous les modules doivent respecter des règles de sécurité. Par exemple, il faut utiliser de la mémoire protégée. Toute information sensible doit rester le moins longtemps possible en mémoire. Il faut donc être très méthodique. C'est aussi un travail d'équipe, car plusieurs personnes doivent relire le code.

Du point de vue du développeur, quel est l'avantage des projets open source?

C'est une certaine liberté. Nous avons moins de problèmes que les autres vis à vis du marketing. L'inconvénient, c'est que parfois, il y a trop d'idées...

Avez-vous fait appel à des contributeurs extérieurs ? Allez-vous le faire ?

Nous avons essayé, avec OpenCA, mais c'était difficile car nous sommes une société. Nous allons développer un point d'accès ouvert et voulont entraîner les développeurs dans ce projet ouvert. Plusieurs points sont à voir: la cryptographie, la gestion des messages ASN, et l'administration d'une PKI et le concept d'héritage.

Patrick Duplouy est développeur principal sur le projet IDX-PKI.