Il y a maintenant beaucoup plus de machines connectées à Internet qu'il n'y a de personnes. Des capteurs industriels sur les lignes de production, des dispositifs médicaux dans les hôpitaux, des compteurs intelligents dans les réseaux de services publics, des véhicules connectés sur les autoroutes, des caméras de surveillance dans les villes. Le nombre d'appareils IoT dans le monde devrait dépasser 30 milliards d'ici 2030. Chacun de ces appareils a besoin d'une identité de machine.
Sans une identité vérifiable, un appareil ne peut pas prouver qu'il s'agit d'un matériel authentique provenant d'un fabricant légitime, que son firmware n'a pas été altéré, ou que les données qu'il envoie sont fiables. Les mots de passe codés en dur et les clés API partagées, encore étonnamment courants dans l'IoT, sont extrêmement faciles à extraire, cloner ou forcer par brute‑force. Une fois qu'un appareil est compromis, les mêmes identifiants accordent souvent l'accès à chaque appareil de la flotte.
Certificats numériques résolvent ce problème en attribuant à chaque appareil une identité unique, liée cryptographiquement. Émis par une Autorité de certification, un certificat d'appareil contient la clé publique de l'appareil et les informations d'identification (son numéro de série, modèle, fabricant, ou tout attribut qui le distingue). La clé privée correspondante est stockée dans l'élément sécurisé ou le TPM de l'appareil, garantissant qu'elle ne peut pas être extraite ou clonée.
