Introduction à la structure cryptographique

La structure cryptographique fournit un magasin d'algorithmes et de bibliothèques PKCS #11 commun pour traiter les exigences en matière de cryptographie. Les bibliothèques PKCS #11 sont implémentées conformément au standard suivant : Cryptoki (Cryptographic Token Interface, interface de jetons cryptographiques) pour la bibliothèque PKCS #11 de RSA Security Inc.

Figure 11-1 Niveaux de structure cryptographique

Au niveau du noyau, la structure gère actuellement les exigences en matière de cryptographie pour Kerberos et IPsec. Les consommateurs au niveau utilisateur incluent libsasl et IKE. Le proxy SSL du noyau (kssl) utilise la structure cryptographique. Pour plus d'informations, reportez-vous à la section Serveurs Web utilisant le protocole SSL (Secure Sockets Layer) du manuel Administration d’Oracle Solaris : Services réseau et à la page de manuel ksslcfg(1M).

La loi sur les exportations aux Etats-Unis exige que l'utilisation des interfaces cryptographiques ouvertes soit restreinte. La structure cryptographique est conforme à la loi en vigueur en exigeant que les fournisseurs cryptographiques du noyau et PKCS 11 s'identifient. Pour plus d'informations, reportez-vous à la section Signatures binaires pour les logiciels tiers.

La structure permet aux fournisseurs de services cryptographiques de voir leurs services utilisés par de nombreux consommateurs dans Oracle Solaris. Les fournisseurs sont également appelés des plug-ins. La structure autorise trois types de plug-ins :

• Plug-ins au niveau de l'utilisateur : objets partagés qui fournissent des services en utilisant les bibliothèques PKCS #11, telles que pkcs11_softtoken.so.1.

• Plug-ins au niveau du noyau : modules de noyau qui fournissent l'implémentation d'algorithmes cryptographiques dans les logiciels, tels que AES.

  De nombreux algorithmes de la structure sont optimisés pour les architectures x86 avec le jeu d'instructions SSE2 et pour le matériel SPARC.

• Plug-ins matériels : pilotes de périphériques et leurs accélérateurs matériels associés. Les puces Niagara, les pilotes de périphériques NCP et N2CP, en sont des exemples. Un accélérateur matériel décharge le système d'exploitation de fonctions cryptographiques coûteuses. La carte Sun Crypto Accelerator 6000 est un exemple.

La structure implémente une interface standard, la bibliothèque PKCS #11, v2.11, pour les fournisseurs au niveau de l'utilisateur. La bibliothèque peut être utilisée par des applications tierces pour atteindre les fournisseurs. Des tiers peuvent également ajouter à la structure des bibliothèques signées, des modules d'algorithme de noyau signés et des pilotes de périphériques signés. Ces plug-ins sont ajoutés lorsque l'utilitaire pkgadd installe le logiciel tiers. Pour visualiser un diagramme des principaux composants de la structure, reportez-vous au Chapitre 8, Introduction to the Oracle Solaris Cryptographic Framework du manuel Developer’s Guide to Oracle Solaris 11 Security.