Renouveler les clés et certificats

Vous pouvez renouveler les clés d'un utilisateur de compte Mot de passe afin de changer ses clés de chiffrement ou de signature.

Pour renouveler les clés depuis le poste d'un utilisateur :

1. Faites un clic droit sur l'icône SDS Enterprise  depuis la barre des tâches Windows.
2. Sélectionnez Propriétés.
3. Sélectionnez l'onglet Configuration.
4. Double-cliquez sur l'icône Porte-clés.
   • Si l'utilisateur possède deux clés, choisissez l'onglet Clé de chiffrement ou Clé de signature.
   • Si l'utilisateur ne possède qu'une seule clé, choisissez l'onglet Clé personnelle.

5. Cliquez sur Opérations et choisissez Renouveler votre clé puis passez l'écran d'introduction.
   
6. Indiquez comment créer la clé de chiffrement :
   • Pour créer une nouvelle clé, choisissez l’option Générer votre clé et sélectionnez le type et la longueur de la clé. Reportez-vous à la section Créer un compte Mot de passe manuellement pour la suite de la procédure.
   • Pour importer une clé existante, choisissez Importer votre clé. Reportez-vous à la section Créer un compte Mot de passe manuellement pour la suite de la procédure.
7. Cliquez sur Terminer.

SDS Enterprise génère ou importe la clé personnelle et déplace l'ancienne clé en tant que clé de déchiffrement afin que l'utilisateur puisse déchiffrer ses anciens documents. Elle est visible dans l'onglet Déchiffrement du porte-clés de l'utilisateur.Les clés de signature ne sont pas gardées.

Pour plus d'informations, reportez-vous à la section Déchiffrer les données d'un utilisateur avec une ancienne clé ou une clé de délégation.

Pour renouveler des certificats ou clés sur les cartes à puce et tokens USB, veuillez prendre en compte les informations suivantes.

Renouveler les certificats

En cas de renouvellement de certificats sur la carte ou sur le token USB, les nouveaux certificats sont pris en compte lors de la prochaine connexion de l’utilisateur à SDS Enterprise.

Lorsqu’un nouveau certificat est ajouté, il faut que l’objet certificat créé ait bien le même attribut PKCS#11 CKA_ID que l’ancien.

L’ancien certificat ne doit pas être supprimé tant que le nouveau n’a pas été pris en compte correctement par SDS Enterprise. Il est possible de vérifier que le nouveau certificat a bien été pris en compte dans le porte-clés de l'agent SDS Enterprise.

Renouveler les clés

En cas de renouvellement de clés (avec le certificat associé) sur la carte ou sur le token USB, les nouvelles clés sont prises en compte lorsque les certificats des anciennes clés expirent.

Dans le cas de compte avec plusieurs clés (une de chiffrement et une de signature), le choix des nouvelles clés s’effectue en fonction des usages des certificats associés.

Vous pouvez vérifier que les nouvelles clés ont bien été prises en compte dans le porte-clés de l'agent SDS Enterprise.

IMPORTANT
Veillez à bien conserver l'ancienne clé de chiffrement, même après prise en compte de la nouvelle clé par SDS Enterprise.

L'ancienne clé devient automatiquement une clé de déchiffrement et permet de toujours déchiffrer les anciens documents de l'utilisateur. Elle est visible dans l'onglet Déchiffrement du porte-clés de l'utilisateur.

Il n'est pas nécessaire de garder l'ancienne clé de signature.

Pour plus d'informations, reportez-vous à la section Déchiffrer les données d'un utilisateur avec une ancienne clé ou une clé de délégation.

En mode SSO, les clés de chiffrement et de signature ainsi que les certificats peuvent être stockés dans le Magasin de certificats Windows de l'utilisateur. Dans ce cas, veuillez prendre en compte les informations suivantes.

Renouveler les clés

Si vous avez besoin de renouveler les clés d'un utilisateur dans le Magasin de certificats Windows, suivez les étapes suivantes :

1. Le mécanisme de gestion des clés étant similaire pour les comptes Carte et pour les comptes SSO, commencez par activer le renouvellement automatique des clés dans le fichier de configuration SBox.ini. Pour cela, indiquez la valeur 1 ou 2 pour le paramètre AutomaticRenewFromCard dans la section KeyRenewalWizardGP du fichier. Pour plus d'informations, reportez-vous à la section [SBox.KeyRenewalWizardKS]/[SBox.KeyRenewalWizardGP] du Guide de configuration avancée de SDS Enterprise.

2. Après la modification du fichier SBox.ini de l'utilisateur, celui-ci doit redémarrrer son ordinateur pour s'assurer de la bonne prise en compte de la modification.

3. Par précaution, si vous renouvelez une clé de chiffrement, sauvegardez en lieu sûr la clé privée de l'utilisateur afin qu'il puisse continuer à déchiffrer ses anciennes données en cas de problème au cours de la procédure de renouvellement. La sauvegarde n'est pas nécessaire pour le renouvellement d'une clé de signature.

4. Via le Gestionnaire de certificats Windows, dans le magasin personnel de l'utilisateur, faites un clic droit sur le certificat correspondant à la clé à renouveler puis sélectionnez le menu Toutes les tâches > Demander un certificat avec une nouvelle clé.
   Une nouvelle clé et son certificat sont générés et affichés dans le Gestionnaire de certificats.
   

IMPORTANT
Veillez bien à demander un nouveau certificat avec une nouvelle clé et pas un renouvellement de certificat. En effet, la clé précédente serait écrasée par la nouvelle. Or, dans le cas du chiffrement, l'ancienne clé doit rester présente dans le Magasin de certificats afin que l'utilisateur puisse toujours déchiffrer ses anciennes données. Ne supprimez donc jamais les anciennes clés de chiffrement.

L'agent SDS Enterprise prend alors en compte la nouvelle clé, lorsque le certificat de l'ancienne clé expire.

À l'issue de cette opération, l'ancienne clé de chiffrement est automatiquement ajoutée dans l'onglet Déchiffrement du porte-clés de l'utilisateur, en tant que clé de déchiffrement. Même si la clé est visible dans le porte-clés, elle reste stockée dans le Magasin de certificats Windows de l'utilisateur. Il est donc important de la conserver dans le Magasin.

Pour plus d'informations sur la clé de déchiffrement, reportez-vous à la section Déchiffrer les données d'un utilisateur avec une ancienne clé ou une clé de délégation.

Après le renouvellement d'une clé, si vous avez indiqué la valeur 1 pour le paramètre AutomaticRenewFromCard dans le fichier SBox.ini, l'utilisateur devra confirmer le renouvellement de la clé dans la fenêtre qui s'ouvrira lors de sa prochaine connexion à son compte SDS Enterprise.

Deux fenêtres de confirmation différentes s'affichent si la clé de chiffrement et la clé de signature ont été renouvelées.

Vous pouvez vérifier que les nouvelles clés ont bien été prises en compte dans le porte-clés de l'agent SDS Enterprise.

Renouveler les certificats

Si vous avez besoin de renouveler le certificat d'un utilisateur (sans changer de clé), vous devez effectuer le renouvellement via le Gestionnaire de certificats Windows afin qu'il reste associé à la même clé de chiffrement ou de signature :

• Dans le magasin personnel de l'utilisateur, faites un clic droit sur le certificat à renouveler puis sélectionnez le menu Toutes les tâches > Opérations avancées > Renouveler ce certificat avec la même clé.

Au prochain démarrage de SDS Enterprise, le nouveau certificat est alors pris en compte automatiquement dans le porte-clés de l'utilisateur.