Stage - Pki pour l'Embarqué H/F

Pour en savoir plus sur nos réalisations, retrouvez quelques-uns de nos case studies :

Nos chiffres clés :

• 5 entités : Siège à Lyon et des bureaux à Paris, Bristol, Stuttgart et Seattle
• +110 experts passionnés
• +20 ans d'expérience dans le logiciel embarqué

Contexte :

Witekio développe des systèmes embarqués Linux pour ses clients. Un besoin récurrent émerge sur ces projets : identifier les équipements de manière cryptographique, sécuriser leurs communications avec le cloud et entre eux, et gérer le cycle de vie de leurs certificats - de la sortie d'usine jusqu'à la fin de vie du device.

Ces problématiques relèvent de la PKI (Public Key Infrastructure). Elles sont souvent mal adressées sur les projets embarqués : solutions cloud trop coûteuses ou trop lourdes, bibliothèques C/C++ complexes à intégrer, chaîne de provisionnement improvisée en usine, absence d'audit du parc de certificats.

Ce stage vise à construire un état de l'art outillé et à développer un framework PKI lite adapté aux contraintes embarquées : provisionnement en usine, serveur d'enrôlement, mTLS device-to-cloud et device-to-device, audit du parc. L'implémentation sera de préférence en Rust, avec comparaison des solutions existantes (open source et commerciales) et analyse de leurs coûts.

Objectifs :

• Dresser un état de l'art des stratégies de provisionnement de devices et de gestion de certificats dans l'embarqué
• Comparer les solutions existantes (outils open source, services cloud, bibliothèques) sur des critères techniques et économiques
• Concevoir et implémenter une chaîne de provisionnement de bout en bout : de la forge de certificat en usine à l'enrôlement sur le terrain
• Sécuriser les communications device-to-cloud et device-to-device via mTLS
• Proposer un framework PKI léger, réutilisable et adapté aux projets embarqués Witekio
• Intégrer des fonctionnalités d'audit et de revue du parc de certificats

Vos missions :

1. État de l'art et comparaison

• Protocoles d'enrôlement : EST (RFC 7030), SCEP, ACME-IoT, FIDO Device Onboard (FDO)
• Outils open source : step-ca (Smallstep), EJBCA, HashiCorp Vault PKI, cfssl, OpenSSL CA
• Services cloud : AWS IoT Core, Azure IoT Hub, DigiCert IoT - analyse des coûts à l'échelle (1k / 10k / 100k devices)
• Secure elements : TPM 2.0, OP-TEE, ATECC608, intégration via PKCS#11
• Critères : coût, complexité opérationnelle, capacité offline, contraintes embarquées

1. Chaîne de provisionnement

• Hiérarchie CA : Root CA CA intermédiaire certificats device (identité matérielle)
• Forge de certificats en environnement de fabrication (offline, batch)
• Enrôlement sur le terrain via un serveur EST (RFC 7030)
• Renouvellement automatique et révocation (CRL / OCSP)
• Binding identité / hardware (numéro de série, secure element)

1. Sécurisation des communications

• mTLS device-to-cloud (broker MQTT, API REST)
• mTLS device-to-device (réseau local, pair à pair)
• mTLS application mobile-to-device (réseau local)
• Validation des chaînes de confiance côté client et serveur
• Gestion des certificats intermédiaires et de la rotation des clés

1. Audit et revue du parc

• Inventaire des certificats émis, expiration, statut de révocation
• Alertes d'expiration et renouvellement proactif
• Journalisation des opérations PKI (émission, révocation, renouvellement)
• Interface de revue pour l'opérateur (API ou dashboard minimaliste)

Pourquoi rejoindre Witekio ?

• Une culture technique forte, avec des équipes multidisciplinaires et des projets variés.
• Un environnement collaboratif et bienveillant, où l'on valorise la curiosité, le partage de connaissances et l'autonomie, notamment grâce à des Lunch & Learn.
• Une passion pour l'innovation : on aime les défis technologiques, les produits intelligents et les solutions sur-mesure.
• Dans une volonté de transparence, des Hangouts chaque mois pour partager les informations vis-à-vis de la société.
• Des Witekian Days permettant de se former sur tout type de sujets.
• Des projets concrets et impactants.

Processus de recrutement :

• 1 premier échange téléphonique côté RH
• 1 test technique rapide
• 1 échange technique avec notre équipe

Nous garantissons l'accessibilité de l'ensemble de nos opportunités professionnelles aux personnes en situation de handicap.