L’apport de l’open source à  la PKI

et des bibliothèques utilisées par les solutions propriétaires de PKI
provient du monde du logiciel libre : OpenSSL, largement utilisé pour la sécurisation
des protocoles, l’annuaire OpenLDAP, la base de données PostGreSQL, le serveur
Web Apache.

Nat Makarevitch, Directeur de la recherche et du développement d’IdealX, insiste
sur la sécurité intrinsèque qu’apporte l’approche  » open source  » :  » La revue
par les pairs est la seule méthode qui permettre de construire du logiciel de
qualité. Il faut donner de la visibilité à  l’outil pour qu’il soit revu, relu
et corrigé plutôt que de le cacher et d’en dissimuler les erreurs. J’adhère totalement
à  la jolie formule : « Il n’y a pas de sécurité dans l’opacité. »  » Selon Nat Makarevitch,
de nombreux produits de sécurité ne tiennent pas leurs promesses : il y a véritablement
tromperie sur la marchandise. Parfois, les produits contiennent, à  l’insu de l’éditeur,
des failles de sécurité majeure. Si la visibilité du logiciel reste cantonnée
aux équipes internes, une revue indépendance reste impossible. Et si les failles
sont détectées par une personne extérieure, les dégâts peuvent être importants.

Conséquence inévitable de cette opacité, les éditeurs de PKI ont mis en place
des solutions propriétaires qui ne sont pas interopérables car elles s’éloignent
des normes. Il a fallu inventer un produit qui rend compatibles des solutions
a priori non interopérables afin de gérer les révocations. Substituer des solutions
 » open source  » aux solutions propriétaires résoudra ces problèmes.