Keys and PKI: a certificate authority in its vault issuing to the fleet, keys in hardware. The loop, step by step: 1. A root key sleeps in a two-module vault. 2. The chain from source to console stands ready. 3. A node asks for a new certificate. 4. The request reaches the issuing authority. 5. Relays carry the packets without reading them. 6. The authority’s module signs the certificate. 7. The certificate returns to the node. 8. The console shows the evidence with the alert. 9. Signatures are checked before any model runs. 10. Old keys rotate on a fixed schedule. 11. The edge releases confirmed results only. 12. Revoked keys are listed for every verifier. 13. Instruments confirm the response took effect. 14. The whole chain is archived for audit. 15. Everything settles back to idle.

01 / 15

Une clé racine dort dans un coffre à deux modules

/

/

Clés et PKI, au sein de Sécurité et confiance : key management lifecycle, hardware security modules, ML-KEM key encapsulation, ML-DSA and SLH-DSA signatures, et plus encore. Chaque élément est rattaché à sa spécification, de NIST SP 800-57 Part 1 Rev. 5 à FIPS 140-3, et fonctionne sur l’Observatory Protocol ouvert.

Technologies

8

À la frontière

3

Fonctions du protocole

4 de l’ONU sur 12

Industries desservies

5

En un coup d’œil

Cycle de vie de la gestion des clés

Génération, distribution, renouvellement, sauvegarde et destruction des clés. Dans ce domaine (clés et PKI, Sécurité et confiance), la couche « clés, cryptographie et migration post-quantique » comprend cycle de vie de la gestion des clés, conçu selon NIST SP 800-57 Part 1 Rev. 5 et employé aux côtés de révocation et vérification de l’état sur les mêmes sites.

Le problème

Émission, rotation et migration post-quantique

Les appareils de terrain sont installés dans des lieux publics, fonctionnent des années et rejoignent des réseaux qui transportent aussi du trafic de contrôle. Un seul nœud non vérifié ou une seule mise à jour non signée peut porter bien au-delà du capteur concerné. La sécurité doit être intégrée à la façon dont chaque nœud adhère, se met à jour et rapporte, car personne ne peut garder physiquement des sites sans surveillance.

Points clés

Spécification

NIST SP 800-57 Part 1 Rev. 5

Spécification

NIST FIPS 203 (ML-KEM)

Spécification

FIPS 140-3 · ISO/IEC 19790

Spécification

IETF RFC 7030 (EST) · IETF RFC 8555 (ACME)

Spécification

IETF RFC 5280

Composants

• Valise de transport durcie 7U à isolation antichoc, couvercles retirés
• Détecteurs de gaz fixes sur une paroi de galerie
• Station de mesure des particules et nœud de capteurs
• Capteur de ligne aérienne sur une portée de distribution
• Mât LTE privé sur châssis solaire
• « Pylône IA clé en main »
• Module de sécurité matériel, 1U, dans une baie de périphérie
• Paire de rangées de salle informatique avec confinement d’allée froide

Interfaces

Radio

Ethernet

Heure et position

PTP (IEEE 1588)

Où l’utiliser

• Encapsulation de clés ML-KEM
• Inscription automatisée des certificats

Dans le récit ci-dessous

1. Le système, pièce par pièce
2. Assemblage
3. Installation
4. Déploiement
5. Connexions
6. Exploitation
7. Panne et rétablissement
8. Échelle et fédération
9. Ce que vous obtenez

Scenes · 13

Étapes suivantes

1. Sécurité et confiance · Clés et PKI

   Émission, rotation et migration post-quantique

   Les appareils de terrain sont installés dans des lieux publics, fonctionnent des années et rejoignent des réseaux qui transportent aussi du trafic de contrôle. Un seul nœud non vérifié ou une seule mise à jour non signée peut porter bien au-delà du capteur concerné. La sécurité doit être intégrée à la façon dont chaque nœud adhère, se met à jour et rapporte, car personne ne peut garder physiquement des sites sans surveillance.

2. Ce qu’elle fait

   Cycle de vie de la gestion des clés

   Génération, distribution, renouvellement, sauvegarde et destruction des clés. Dans ce domaine (clés et PKI, Sécurité et confiance), la couche « clés, cryptographie et migration post-quantique » comprend cycle de vie de la gestion des clés, conçu selon NIST SP 800-57 Part 1 Rev. 5 et employé aux côtés de révocation et vérification de l’état sur les mêmes sites.

   Spécification

   NIST SP 800-57 Part 1 Rev. 5

3. Keys

   Encapsulation de clés ML-KEM

   Établissement de clés fondé sur les réseaux euclidiens, résistant aux attaques quantiques. Dans ce domaine (clés et PKI, Sécurité et confiance), la couche « clés, cryptographie et migration post-quantique » comprend Encapsulation de clés ML-KEM, conçu selon NIST FIPS 203. We build it into every site for keys and PKI against that standard, and keep its version and its test results on the site’s record.

   Spécification

   NIST FIPS 203 (ML-KEM)

4. Keys

   Modules de sécurité matériels

   Modules validés qui détiennent les clés racines et de signature. Dans ce domaine (clés et PKI, Sécurité et confiance), la couche « clés, cryptographie et migration post-quantique » comprend modules de sécurité matériels, conçu selon FIPS 140-3 and ISO/IEC 19790 et employé aux côtés de échange de clés hybride sur les mêmes sites.

   Spécification

   FIPS 140-3 · ISO/IEC 19790

5. PKI, démarrage sécurisé et mises à jour

   Inscription automatisée des certificats

   Émission et renouvellement des certificats d’appareils et de services sans étape manuelle. Dans ce domaine (clés et PKI, Sécurité et confiance), la couche « PKI, démarrage sécurisé et mises à jour » comprend inscription automatisée des certificats, conçu selon IETF RFC 7030 and IETF RFC 8555. We build it into every site for keys and PKI against that standard, and keep its version and its test results on the site’s record.

   Spécification

   IETF RFC 7030 (EST) · IETF RFC 8555 (ACME)

6. PKI, démarrage sécurisé et mises à jour

   Profils de certificats

   Profils de certificats X.509 et de listes de révocation utilisés pour les appareils et les services. Dans ce domaine (clés et PKI, Sécurité et confiance), la couche « PKI, démarrage sécurisé et mises à jour » comprend profils de certificats, conçu selon IETF RFC 5280 et employé aux côtés de Signatures ML-DSA et SLH-DSA sur les mêmes sites.

   Spécification

   IETF RFC 5280

7. Preuves

   Rattaché à ses spécifications

   Nous rattachons chaque partie du domaine (clés et PKI) à sa spécification : NIST SP 800-57 Part 1 Rev. 5, IETF RFC 5280 and FIPS 140-3. We keep the versions, configurations and test results of keys and PKI as signed records, so a buyer or an auditor can check what was delivered against what was specified.

   Normes

   NIST SP 800-57 Part 1 Rev. 5 · IETF RFC 5280 · FIPS 140-3 · ISO/IEC 19790

8. Exploitation

   Chaque nœud surveillé, chaque incident clos

   La console d’exploitation montre chaque nœud d’un réseau (clés et PKI) avec son état, son plan et ses preuves. Une alerte arrive avec ses données et une procédure, l’acquitter ouvre un ordre de travail, et un incident (clés et PKI) ne se clôt que lorsque l’opérateur en consigne la cause et vérifie la correction.

9. Panne et rétablissement

   Quand un nœud tombe, la flotte le sait la première

   Quand un nœud (clés et PKI) se tait ou qu’un capteur dérive, le nœud met ses données en mémoire tampon et bascule sur une seconde liaison quand le site en a une. L’alerte porte les preuves dont l’intervenant a besoin, et l’enregistrement (clés et PKI) ne perd rien et ne compte rien deux fois.

10. Mises à jour

    Mises à jour par anneaux, avec retour arrière

    Logiciel et configuration atteignent une flotte (clés et PKI) par anneaux : un site pilote d’abord, puis quelques-uns, puis tous, chaque anneau étant conditionné à la santé du parc et à la complétude des données. Une condition non remplie arrête la vague, et chaque nœud (clés et PKI) revient à sa dernière version saine sans visite sur site.

11. Comment cela s’étend

    Une unité de base, répétée

    Un réseau (clés et PKI) commence par un nœud de base et les instruments qu’il lit. Une station ajoute l’énergie et la radio, un site ajoute un relais et une flotte répète le site éprouvé : la capacité (clés et PKI) croît par l’ajout d’unités, jamais en remplaçant ce qui fonctionne.

12. Ce que vous obtenez

    Assurance, surveillance et gestion des clés

    Le modèle de menace des sites d’observation et le profil d’attestation du protocole sont ouverts. L’assurance des technologies opérationnelles, la surveillance de sécurité et l’exploitation des clés et de l’ICP sont fournies sous contrat. Le prix suit les sites, les clés et la surveillance choisis, et le modèle de menace vous appartient.

    Lire notre approche de la sécuritéParler aux ventes

13. Étape suivante

    Clés et PKI, planifié avec vous

    Indiquez-nous les sites, les systèmes avec lesquels le domaine (clés et PKI) doit fonctionner et le résultat attendu, avec une carte ou une liste d’adresses si vous en avez une. Une ingénieure ou un ingénieur répond avec une proposition de relevé, une conception et une portée (clés et PKI), et le plan grandit d’un site jusqu’au réseau dont vous avez besoin.

    Planifier un déploiementOuvrir l’Atelier de déploiement terrainVoir : Sécurité et confiance

Autres présentations

Voyez-le sous tous les angles.

Chacune s’ouvre en présentation plein écran : des pages plus approfondies sur le même sujet, des explications, des récits, des visites guidées des lieux, des scènes de réseau et les observatoires qui nous ont précédés.

En profondeur

Explications

Récits

Lieux et réseaux

Observatoires historiques

Outils interactifs

01Ce que c’est

Clés, cryptographie et migration post-quantique.

Comment chaque nœud prouve ce qu’il est et ce qu’il exécute, comment les liaisons et les clés sont protégées, comment les logiciels sont rattachés à leur source, comment les données personnelles sont minimisées, et comment les incidents sont détectés et traités. Chaque technologie ci-dessous indique ce qu’elle est, ce que nous en faisons et la norme de référence.

02Architecture

Où il se situe, et ce qu’il parle.

Clés et PKI s’appuie sur le spectre ci-dessous ; les couches en surbrillance portent ce domaine, et les fonctions du protocole qu’il utilise sont signalées.

Identité et attestation des appareils

8

PKI, démarrage sécurisé et mises à jour

7

Confiance zéro et sécurité réseau

7

Sécurité 5G et sans fil

6

Sécurité OT et chaîne d’approvisionnement logicielle

9

Protection des renseignements personnels et des données

7

Clés, cryptographie et migration postquantique

9

Surveillance, réponse aux incidents et gouvernance

8

01Rejoindre Identité, citation d’attestation, politique signée.

02Admettre Admis pour une portée déclarée, rien de plus.

03Décrire Quoi, où, comment et par qui, avec l’étalonnage.

04Heure Une horloge pour tout le réseau, avec sa marge d’erreur.

05Observer Chaque valeur avec sa qualité et sa provenance.

06Qualifier Éprouvé selon la spécification, état consigné.

07Fédérer Échange signé entre réseaux et domaines de confiance.

08Orchestrer Logiciels et configuration par plan signé.

09Corriger Une correction signale ce qui en dépend et publie une nouvelle version.

10Échange Les produits atteignent les personnes et les applications par des interfaces versionnées.

11Prouver Des reçus de preuve signés qu’un vérificateur indépendant peut contrôler.

12Sortie et mise hors service Une voie de sortie ouverte, et un dossier qui se clôt.

03Sur le réseau

Chaque site rejoint un même réseau d’observation.

Les réseaux ouverts actuellement sur le réseau, sur un relief réel et les cellules géodésiques où nous les comptons. Un site bâti ici s’inscrit dans le même réseau.

04Sur le terrain

Où cela fonctionne, secteur par secteur.

Scénarios de déploiement issus de la recherche sectorielle qui reposent sur clés et PKI.

05Ouvert et entreprise

Ouvert par défaut. Entreprise par contrat.

L’équivalent ouvert se trouve sur le site principal, que chacun peut lire et utiliser. Le service entreprise est conçu, déployé et exploité avec vous, sous contrat.

Ouvert, sur le site principal

• Modèle de menaces pour les sites d’observation
• Profil d’attestation dans le protocole

Entreprise, sur ce site

• Assurance des technologies opérationnelles
• Surveillance de sécurité des sites d’observation
• Exploitation des clés et de la PKI

06Le reste de la gamme

Sécurité et confiance, domaine par domaine.

Présentez-nous le site.

Relevé, conception, déploiement et exploitation pour keys and PKI. The form names who receives your details.