Accès au SI de RTE par carte à puce sous Microsoft Windows Vista

Transcription

1 Accès au SI de RTE par carte à puce sous Microsoft Windows Vista Indice 2, 22/12/2010 Ce document est la propriété de RTE. Toute communication, reproduction, publication, même partielle, est interdite, sauf autorisation écrite de RTE. Programmes & SI (PSI) TOUR MARCHAND 41 RUE BERTHELOT COURBEVOIE CEDEX TEL : FAX : LONG

2 Page : 2/82 SOMMAIRE A. Avant-propos 5 1. Introduction Objet du document Contexte Avertissement relatif aux pratiques de sécurité Les acteurs Le client L Autorité d Enregistrement (AE) Autorité de Certification (AC) 8 B. Procédures de gestion des certificats 9 2. Processus de gestion des certificats Avant-propos Demande de certificat matériel Étapes préalables Réception de la carte à puce Renouvellement des certificats Révocation des certificats Cas de révocation Demande de révocation 12 C. Configuration du poste Installation et configuration du poste Configuration réseau Configuration générale Spécificité de l accès VPN Configuration logicielle Installation du lecteur de cartes à puce Acquittement de la carte à puce Avant-propos Acquittement via votre navigateur Acquittement via la Hotline RTE 19 D. Acces web au SI de RTE 20

3 Page : 3/82 5. Microsoft Internet Explorer Configuration préalable Configuration des paramètres de sécurité Ajout des sites de confiance Installation du certificat racine de l AC RTE Téléchargement et installation Visualisation et vérification du certificat de l AC RTE Visualisation et vérification de votre certificat sur carte à puce Utilisation de votre certificat Authentification et chiffrement Exemple d accès à une application RTE Opérations complémentaires Acquittement par le navigateur Connexion au VPN SSL Avant-propos Pré-requis Première connexion Utilisation du VPN SSL Mozilla Firefox Configuration préalable Installation du certificat racine de l AC RTE Téléchargement et installation Visualisation et vérification du certificat de l AC RTE Visualisation et vérification de vos certificats sur carte à puce Utilisation de votre certificat Authentification et chiffrement Exemple d accès à une application web RTE Opérations complémentaires Acquittement par le navigateur Connexion au VPN SSL Avant-propos Pré-requis Première connexion Utilisation du VPN SSL 64 E. Annexes Changement du code PIN de la carte à puce Environnement sécurisé (PKI) Concepts et objets gérés par une PKI Qu est-ce qu un processus sécurisé? 71

4 Page : 4/ Le rôle du bi-clé Les certificats Documentation Glossaire Traitement d incident et support Support Foire aux questions (FAQ) 81

5 Page : 5/82 A. AVANT-PROPOS

6 Page : 6/82 1. Introduction 1.1 Objet du document Ce document est destiné à l utilisateur final qui souhaite accéder au SI de RTE par carte à puce. Le présent document permet à l utilisateur de : comprendre le contexte et les principes d un environnement sécurisé (authentification, confidentialité, intégrité et non-répudiation), ainsi que le fonctionnement général d une infrastructure de gestion de clés publiques (IGC, ou PKI en anglais), savoir installer et utiliser ses certificats logiciels dans les environnements suivants : o o Microsoft Windows Vista. Navigateurs : Internet Explorer et Mozilla Firefox pour des accès sécurisés avec le protocole HTTPS et par VPN SSL. NOTE Tout au long de ce document, le pronom «vous» représente l utilisateur du certificat. 1.2 Contexte Dans le cadre de la loi du 10 février 2000 ( ) et du décret d application du 16 juillet 2001, le gestionnaire du réseau public de transport a l obligation de préserver la confidentialité des informations d ordre économique, commercial, industriel, financier ou technique dont la communication serait de nature à porter atteinte aux règles de concurrence libre et loyale et de nondiscrimination imposées par la loi.

7 Page : 7/ Avertissement relatif aux pratiques de sécurité Chaque porteur de carte à puce possède sa propre clé privée générée de façon sûre à l aide d un module cryptographique. Puis, chaque porteur de carte à puce prend toutes les précautions nécessaires pour empêcher : la violation de sa clé privée, la perte de sa clé privée, la divulgation de sa clé privée, la modification de son certificat, l usage abusif de son certificat. Chaque porteur a et reconnaît avoir l entière responsabilité de la protection de sa ou de ses clé(s) privée(s). Les clés privées et leur certificat associé sont stockés sur une carte à puce protégée par un code PIN (mot de passe) uniquement connu du porteur. L autorité de certification (AC) «RTE Certification Authority» décline toute responsabilité quant aux litiges liés à une mauvaise utilisation des clés privées. Se reporter : au chapitre 2 de la Politique de Certification de l AC RTE : PolitiqueCertificationRTE_V3_0.pdf à la Charte d'utilisation des cartes à puce : <PACKAGE>\Sécurité - Charte d'utilisation des supports matériels.pdf Ces documents se trouvent dans le package qui a été fourni au responsable de la société. Ils sont également disponibles sur le site internet institutionnel de RTE Les acteurs La gestion du cycle de vie d un certificat s articule autour de trois entités : le client (i.e. votre entreprise), l Autorité d Enregistrement (AE), l Autorité de Certification (AC). NOTE Pour mieux comprendre, on peut faire le parallèle avec l attribution de justificatifs d identité officiels : le citoyen demandeur d un justificatif d identité correspond à l entité client, la mairie est l autorité d enregistrement et la préfecture, l autorité de certification.

8 Page : 8/ Le client Le client réalise des demandes de certificats pour ses porteurs. Il peut également émettre des demandes de révocation de ces certificats (voir section B : Procédures de gestion des certificats) L Autorité d Enregistrement (AE) L Autorité d Enregistrement (le chargé de relation clientèle de RTE et l équipe Opérateur) recueille la demande de certificat, appose une date de validité des certificats et vérifie l identité de leurs porteurs Autorité de Certification (AC) L Autorité de Certification (RTE) est responsable et garante des certificats signés en son nom et du fonctionnement de la PKI. Elle définit la politique pour la gestion et l utilisation des certificats. L autorité de certification RTE se nomme : CN = RTE Certification Authority, O = RESEAU DE TRANSPORT D'ELECTRICITE

9 Page : 9/82 B. PROCEDURES DE GESTION DES CERTIFICATS

10 Page : 10/82 2. Processus de gestion des certificats 2.1 Avant-propos Les principaux processus mis en œuvre pour gérer l ensemble des certificats numériques délivrés aux porteurs sont les suivants : l obtention d un certificat (obtention d un ou de plusieurs certificats), le renouvellement d un certificat (remplacement de son certificat par un nouveau pour une nouvelle période de validité et pour un nouveau bi-clé), la révocation d un certificat (fin de validité du certificat). La politique de certification de RTE est disponible sur le site Internet institutionnel de RTE : PolitiqueCertificationRTE_V3_0.pdf 2.2 Demande de certificat matériel Étapes préalables Au préalable, les étapes suivantes doivent être effectuées. Le représentant de la société a fait une demande d accès : Le représentant de la société doit avoir rempli et signé les formulaires «demandes d accès au SI et aux Applications RTE» envoyés par son Chargé de Relation Clientèle, puis les lui avoir retournés. Dans ces formulaires, le représentant de la société précise notamment : o un « du certificat», o un «Mot de passe choisi». Nous avons enregistré la demande : Suite à la réception des formulaires, RTE crée votre/vos compte(s) d accès aux applications et fait une demande de carte à puce personnalisée pour chacun des porteurs. Le représentant de la société a reçu un colis contenant : o o le «Kit d Accès PKI» (contenant ce manuel), un lecteur de carte à puce (un lecteur par porteur).

11 Page : 11/ Réception de la carte à puce Après la demande de carte à puce enregistrée et validée par RTE, vous recevrez : un courrier express contenant une carte à puce (sur laquelle sont stockés vos certificats et leur clé privée associée), un pli «personnel et confidentiel» contenant le code PIN associé à la carte à puce. Pour des raisons de sécurité, la carte à puce et le code PIN associé vous sont envoyés séparément. NOTES IMPORTANTES Il est fortement recommandé de personnaliser le code PIN de votre carte à puce (cf. 7). Cela est possible dès que votre lecteur de carte est installé (cf. 3). 2.3 Renouvellement des certificats Les certificats ont une durée de vie limitée à deux ans, afin de leur conférer un niveau de sécurité élevé. Si la carte à puce a bien été acquittée (cf. 4), un message électronique est envoyé au porteur 40 jours avant l expiration du certificat, pour l informer de l expiration prochaine de celui-ci. Si pour l occasion des modifications doivent être opérées au niveau des informations du porteur, alors le représentant de la société contacte le chargé de relation clientèle RTE pour lui communiquer les changements. Puis, le porteur reçoit : un courrier express contenant une nouvelle carte à puce (sur laquelle sont stockés les nouveaux certificats et leur clé privée associée), un pli «personnel et confidentiel» contenant le code PIN associé à la nouvelle carte à puce. Pour pouvoir utiliser sa nouvelle carte à puce, le porteur doit procéder à son acquittement (cf. 4). Il est fortement recommandé au porteur de conserver son ancienne carte à puce.

12 Page : 12/ Révocation des certificats Cas de révocation Le responsable de la société doit effectuer une demande de révocation lorsque l une des circonstances ci-dessous se réalise : changement de porteur, perte, vol, compromission ou suspicion de compromission possible, probable ou certaine de la clé privée associée au certificat du porteur, décès ou cessation d activité du porteur de certificat, perte des données d activation, support défectueux ou perdu. NOTES IMPORTANTES Pour révoquer un certificat, il faut révoquer la carte à puce le contenant. Par conséquent, tous les certificats contenus sur cette carte à puce seront révoqués. Alors, nous parlerons abusivement de «révocation» de carte à puce Demande de révocation Pour révoquer une carte à puce, le responsable de la société doit appeler la Hotline RTE. Lorsque la carte à puce est révoquée, un mail est envoyé à l de contact pour notifier le porteur de la révocation de sa carte à puce.

13 Page : 13/82 C. CONFIGURATION DU POSTE

14 Page : 14/82 3. Installation et configuration du poste Toutes les manipulations de ce chapitre ne sont à exécuter qu une seule fois par un informaticien Administrateur de votre poste de travail, lors de la réception de votre «Kit d Accès PKI» et du lecteur de carte à puce. De plus, notez que seuls quelques chapitres de ce manuel vous concernent : les chapitres correspondant aux logiciels que vous utilisez (notamment votre navigateur web). Excepté l installation des pilotes du lecteur de carte à puce (paragraphe 3.3), toutes les opérations sont à faire sous la session Windows du porteur de la carte à puce. 3.1 Configuration réseau Configuration générale L accès par navigateurs web utilise de façon transparente pour le porteur un système d authentification par carte à puce pour l accès au portail RTE et de chiffrement des données échangées via Internet (protocole HTTPS). REMARQUE IMPORTANTE Les passerelles d anti-virus, les pare-feu et analyseurs de contenu doivent être configurés pour ne pas altérer ou interdire le flux de données HTTPS (port 443). L administrateur réseau pourra être sollicité pour effectuer ces opérations Spécificité de l accès VPN Le VPN permet à partir de votre poste de travail d établir une connexion sécurisée (basée sur l authentification auprès d un site dédié) au SI de RTE via Internet. L accès au VPN SSL nécessite que le poste de travail puisse résoudre l adresse secure.iservices.rte-france.com. Pour vérifier si c est le cas, ouvrez le menu Démarrer et cliquez sur «Exécuter». Dans la fenêtre qui apparaît, saisissez la commande : cmd /k ping secure.iservices.rte-france.com

15 Page : 15/82 Cliquez sur le bouton OK. Une fenêtre apparaît contenant des informations : Si la première ligne commence par «Envoi d'une requête 'ping' sur secure.iservices.rte-france.com», l adresse secure.iservices.rtefrance.com est résolue. le poste est correctement configuré. Si la première ligne commence par «La requête Ping n'a pas pu trouver l'hôte secure.iservices.rte-france.com.», l adresse secure.iservices.rte-france.com n est pas résolue. Veuillez contacter votre support informatique afin qu ils effectuent les modifications nécessaires.

16 Page : 16/ Configuration logicielle La configuration logicielle requise pour votre poste informatique est la suivante : Systèmes d exploitation : Microsoft Windows Vista avec SP1, ou avec SP2. Navigateurs Web au choix : Internet Explorer 7 ou 8, Mozilla Firefox Installation du lecteur de cartes à puce Un lecteur de carte à puce Gemalto est également fourni. Ne pas brancher le lecteur de carte à puce avant que cela ne soit demandé par la procédure. Exécuter le programme suivant qui se trouve dans «Kit d Accès PKI» fourni par RTE : <PACKAGE>\Smart Card Kit\Readers_Drivers\Gemalto\Setup_FR.msi La fenêtre suivante s ouvre : Cliquer sur «Suivant» Sélectionner «J accepte les termes de ce contrat de licence» puis cliquer sur «Suivant».

17 Page : 17/82 Cliquer sur «Suivant». Cliquer sur «Installer». Si le compte avec lequel vous êtes connecté n a pas les droits administrateur local du poste, Windows affiche la fenêtre de «contrôle du compte de l'utilisateur». Dans ce cas, pour pouvoir continuer l installation, il faut qu un utilisateur ayant le droit administrateur local de votre poste saisisse ses identifiants. Patienter pendant l installation. Cliquer sur «Terminer». Après redémarrage, L icône représentant un lecteur de carte à puce barré par une croix rouge, doit apparaître dans la barre des tâches (à coté de l horloge Windows) : Cliquer sur «Oui» pour redémarrer le poste de travail.

18 Page : 18/82 Brancher maintenant le lecteur de carte à puce sur un port USB du poste de travail. La détection et l installation du lecteur sont automatiques. Après avoir branché le lecteur, une bulle d information indique que l installation est en cours. Puis une bulle d information indique que le périphérique «USB Smart Card Reader» est correctement installé. L icône représentant un lecteur de carte à puce doit apparaître dans la barre des tâches. Cette icône indique que le lecteur est correctement branché. Une icône dans la barre des tâches indique l état du lecteur de carte à puce. La liste ci-dessous montre les différents états du lecteur de carte à puce et les icônes associées. Le lecteur de carte à puce n est pas connecté. Le lecteur de carte à puce est connecté mais ne contient pas de carte à puce. Le lecteur de carte à puce est connecté et une carte à puce a été insérée. Aucun certificat n est disponible. Le lecteur de carte à puce est connecté et une carte à puce a été insérée. La carte à puce contient un certificat.

19 Page : 19/82 4. Acquittement de la carte à puce 4.1 Avant-propos Après avoir installé votre lecteur de carte à puce, reçu votre carte porteur et son code PIN associé, vous devrez acquitter la réception de la carte à puce, afin que la demande d accès au SI soit prise en compte par RTE. REMARQUE IMPORTANTE Il est nécessaire d acquitter votre carte à puce dès la réception de celle-ci et de son code PIN. Sans cela, RTE ne peut garantir le bon fonctionnement du service fourni. L acquittement peut se faire via le navigateur que vous utilisez pour vous connecter aux portails d applications ou par téléphone. Cette étape n est à faire qu une seule fois par le porteur de la carte à puce. 4.2 Acquittement via votre navigateur La procédure d acquittement via le navigateur que vous utilisez est décrite aux paragraphes 5.5 pour Microsoft Internet Explorer et 6.5 pour Mozilla Firefox. 4.3 Acquittement via la Hotline RTE Si vous ne disposez pas d un accès web (HTTP), alors vous pouvez effectuer la demande d acceptation via la Hotline RTE. Vous devez vous munir de votre authentifiant personnel (saisi dans votre formulaire n o 3). REMARQUES Vous pouvez dès à présent vous connecter en HTTPS aux services web auxquels vous avez souscrit.

20 Page : 20/82 D. ACCES WEB AU SI DE RTE Veuillez vous reportez directement au chapitre associé au navigateur que vous utilisez par défaut pour vos échanges Web avec RTE : Chapitre 5 si vous utilisez Microsoft Internet Explorer comme navigateur web Chapitre 6 si vous utilisez Mozilla Firefox comme navigateur web

21 Page : 21/82 5. Microsoft Internet Explorer 5.1 Configuration préalable Configuration des paramètres de sécurité Il s'agit de configurer le poste pour supporter le standard SSL, permettant d'accéder à des sites avec une connexion chiffrée (protocole HTTPS).Dans le navigateur, sélectionnez le menu «Outils > Options Internet» : Sélectionnez l onglet «Avancés» :

22 Page : 22/82 Dans la section «Sécurité», assurez-vous que les cases SSL 2.0, SSL 3.0 et TLS 1.0 sont cochées, comme indiqué ci-dessus Ajout des sites de confiance Afin de pouvoir vous authentifier sur des sites Internet avec votre carte à puce, il est impératif d ajouter ces sites à la liste des sites de confiances. La zone Sites de confiance permet de déclarer des noms de sites que vous estimez sûrs. Pour ce paragraphe, vous devez être connecté au poste de travail avec le compte Windows qui utilisera le certificat matériel. Pour cela, ouvrez Internet Explorer et cliquer sur le menu «Outils > Options Internet».

23 Page : 23/82 Dans la fenêtre qui s ouvre, cliquez sur l onglet «Sécurité». Sélectionnez l icône «Sites de confiance», puis cliquez sur le bouton «Sites»

24 Page : 24/82 La fenêtre suivante s ouvre. Dans le champ «Ajouter ce site Web à la zone», saisissez l URL suivante : Puis cliquer sur le bouton «Ajouter». Le site apparaît alors dans la liste «Sites Web» comme sur l écran ci-dessous. Procédez de la même manière pour ajouter les sites suivants :

25 Page : 25/82 Les 3 sites doivent maintenant apparaître dans la liste «Sites Web». Cliquez sur «Fermer», puis sur «OK». 5.2 Installation du certificat racine de l AC RTE Téléchargement et installation Il faut à présent installer le certificat racine de RTE dans votre navigateur afin que RTE soit reconnu comme Autorité de Certification de confiance. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site. La fenêtre de téléchargement s affiche.

26 Page : 26/82 Cliquez sur le bouton «Enregistrer» et sélectionnez un emplacement où enregistrer le fichier «Certification_Autority_RTE_2048.cer» contenant le certificat racine. Une fois le téléchargement terminé, la fenêtre suivante s affiche. Cliquez sur «Ouvrir le dossier» pour vous rendre dans le répertoire où vous avez enregistré le fichier. Faites un clic-droit sur le fichier «Certification_Autority_RTE_2048.cer» que vous venez de télécharger, et choisissez «Installer le certificat».

27 Page : 27/82 L assistant d installation du certificat s affiche : Cliquez sur le bouton «Suivant». Cochez la case «Placer tous les certificats dans le magasin suivant» et cliquez sur «Parcourir». Cliquez sur «Terminer», la fenêtre suivante affiche alors les certificats racines importés. Dans la fenêtre qui s ouvre, sélectionnez «Autorités de certification racines de confiance» et cliquez sur «OK». Cliquez sur «Suivant». Le message suivant s affiche :

28 Page : 28/82 Cliquez sur «Oui» (la vérification du certificat de l AC RTE sera faite au chapitre suivant). Cliquez sur «OK» Visualisation et vérification du certificat de l AC RTE Le certificat racine, que vous venez d importer, est rangé dans le magasin des autorités principales de confiance d Internet Explorer. Pour les visualiser, cliquez sur le menu «Outils > Options Internet», onglet «Contenu», bouton «Certificats», onglet «Autorités principales de confiance» :

29 Page : 29/82 Sélectionnez le certificat «RTE Certification Authority» Cliquez sur le bouton «Affichage», puis sur l onglet «Détails». Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» ou «MD5» lié au certificat «RTE Certification Authority» est identique à celles présentées ci-dessous. Empreintes numériques du certificat «RTE Certification Authority» SHA1 39:83:D6:10:A2:C4:D5:60:45:A0:C1:D0:E3:FA:E1:42:45:8A:37:12 MD5 77:4C:12:7D:FD:1D:36:9E:8A:21:85:73:7C:2D:44:77 Si ce n est pas le cas, supprimez le certificat et appelez notre Hotline.

30 Page : 30/ Visualisation et vérification de votre certificat sur carte à puce Votre certificat sur carte à puce est automatiquement détecté par Internet Explorer et aucune configuration supplémentaire n est nécessaire. Pour visualiser le certificat de votre carte à puce dans Internet Explorer, commencez par insérer votre carte à puce dans le lecteur. Dans le navigateur, sélectionnez le menu «Outils > Options Internet» : Cliquez sur l onglet «Contenu», puis cliquez sur le bouton «Certificats» : Sélectionnez votre certificat, puis double-cliquez dessus ou cliquez sur «Affichage».

31 Page : 31/82 Sa validité est de 2 ans à partir de la date de création de la carte. Cet onglet permet de vérifier votre certificat et d afficher sa chaine de certification (chemin d accès de certification). L état «valide» de votre certificat ainsi que la visualisation complète du chemin d accès de la certification (2 niveaux) indiquent que votre certificat a été correctement installé ainsi que le certificat racine, et donc, que toutes les conditions d utilisation correctes et sécurisées de votre certificat sont réunies.

32 Page : 32/ Utilisation de votre certificat Authentification et chiffrement REMARQUE IMPORTANTE Pour pouvoir utiliser votre carte à puce, celle-ci doit impérativement avoir été acquittée (cf. 4). ATTENTION Pour pouvoir vous authentifier sur un site internet avec votre carte à puce, l URL du site doit faire partie des sites de confiances d Internet Explorer (cf ). Étapes à suivre : Insérez votre carte à puce dans le lecteur, lancez Internet Explorer, saisissez l URL de l application RTE ou du «Portail Services Clients de RTE» lors de l authentification, le navigateur vous demandera de choisir le certificat devant servir à vous authentifier, puis le code PIN de votre carte à puce, si plusieurs certificats vous sont présentés, vous devrez choisir celui qui vous a été fourni pour l application à laquelle vous allez accéder (utiliser le bouton «Afficher le certificat» pour visualiser leur contenu). Une fois l authentification terminée, toutes les données que vous recevez ou envoyez seront chiffrées Exemple d accès à une application RTE Insérez votre carte à puce dans le lecteur, saisissez l URL de l application (commençant par «https») dans la barre d adresse d Internet Explorer puis validez, Internet Explorer vous demande de choisir un certificat vous permettant de vous authentifier auprès du site demandé.

33 Page : 33/82 Le bouton «Afficher le certificat» vous permet de visualiser le contenu du certificat sélectionné. Cliquez sur «OK». Si vous avez choisi le certificat qui se trouve sur la carte à puce, le code PIN de celle-ci vous sera demandé. La page d accueil de l application est alors affichée de façon sécurisée (apparition du cadenas fermé à droite du champ de saisi de l URL).

34 Page : 34/ Opérations complémentaires Acquittement par le navigateur Ce paragraphe décrit la procédure d acquittement (cf. chapitre 4) via Microsoft Internet Explorer. Avant de commencer, assurez-vous d avoir réalisé la configuration préalable d Internet Explorer (cf. 5.1) et d avoir ajouté l URL aux sites de confiances (cf ). Connectez-vous à l URL suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site. Cliquez sur «Acquittement». La page suivante s affiche :

35 Page : 35/82 Entrez l adresse liée au certificat contenu sur la carte à puce à acquitter dans le champs « du certificat», et cliquez sur «Envoyer». Insérez votre carte à puce dans le lecteur et cliquez sur «Continuer».

36 Page : 36/82 Puis, composez le code PIN de votre carte et cliquez sur «OK». Sélectionnez un des certificats qui sont sur votre carte. Pour le choisir, vous pouvez afficher les différents certificats listés et retrouver ainsi celui à présenter. Cliquez ensuite sur «OK». Vérifiez les informations présentées à l écran et cliquez sur «Envoyer» pour acquitter votre carte à puce.

37 Page : 37/82 L acquittement est terminé. 5.6 Connexion au VPN SSL Avant-propos La connexion via VPNSSL est un service permettant l établissement d un canal de communication sécurisé au FrontOffice RTE à travers Internet. Ce canal est établi après authentification avec votre certificat auprès d un site dédié ( 5.4). Une fois le canal établi, toutes vos communications avec le service RTE demandé seront chiffrées. L utilisation du VPNSSL nécessite l installation d un outil dédié, installé lors de la première connexion au site. Cette application se nomme Windows Secure Application Manager (WSAM). Le VPNSSL permet l accès sécurisé à vos boîtes aux lettres hébergées sur le FrontOffice RTE.

38 Page : 38/ Pré-requis Le site secure.iservices.rte-france.com doit être déclaré comme site de confiance (cf ). IMPORTANT Avant d effectuer votre première connexion, vous devez impérativement vérifier que votre poste de travail puisse résoudre l adresse secure.iservices.rtefrance.com (cf 3.1.2) Première connexion Ce paragraphe concerne uniquement votre première connexion au VPN SSL avec Internet Explorer. IMPORTANT La première connexion doit être faite par un informaticien Administrateur de votre poste de travail afin que l installation de l application WSAM puisse être effectuée. Lancez votre navigateur et saisissez l URL suivante : La fenêtre suivante apparaît : Sélectionnez votre certificat sur carte à puce, puis cliquez sur le bouton «OK».

39 Page : 39/82 Saisissez le code PIN de votre carte à puce, puis cliquez sur le bouton «OK». La navigateur affiche alors une barre de notification en haut de la page vous invitant à installer un Activex Juniper : Cliquez sur la barre de notification puis sur «Installer le contrôle ActiveX». Si le navigateur bloque le téléchargement du fichier, cliquer sur la barre de notification puis sur «Télécharger le fichier». La fenêtre suivante s ouvre alors : Cliquer sur «Exécuter».

40 Page : 40/82 Dans la fenêtre suivante, cliquer une nouvelle fois sur «Exécuter». Le client Juniper s installe alors. A la fin de l installation cliquer sur «Close». Le client d installation a été installé. Cliquer maintenant sur le mot «ici» apparaissant au bas de la page pour continuer.

41 Page : 41/82 La fenêtre suivante s ouvre alors : Cliquez sur «Installer». L installation de l applcation WSAM débute alors : Patientez durant toute la durée de l installation.

42 Page : 42/82 Une fois l installation terminée, la page ci-après s affiche : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez les et validez. Puis, l icône apparaît dans votre barre des tâches. Cliquez sur le bouton «Déconnexion» (en haut à droite de la page) pour terminer la session : Utilisation du VPN SSL Etablissement de la connexion Lancez votre navigateur et saisissez l URL suivante :

43 Page : 43/82 La fenêtre suivante apparaît : Sélectionnez votre certificat, puis cliquez sur le bouton «OK». Saisissez le code PIN de votre carte à puce, puis cliquez sur le bouton «OK». L application WSAM se lance automatiquement et la page ci-après s affiche : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez les et validez. Puis, l icône apparaît dans votre barre des tâches.

44 Page : 44/82 Remarques : Le certificat sert uniquement à l établissement de la connexion au VPN SSL. Pour fermer la session VPN SSL, cliquez sur le bouton Déconnexion (en haut à droite de la page) Utilisation pour l accès aux boîtes aux lettres hébergées Le VPNSSL peut être utilisé pour accéder aux boîtes aux lettres hébergées sur le FrontOffice avec un client de messagerie standard. L accès aux boîtes aux lettres hébergées nécessite que la connexion au VPNSSL soit établie (voir ). La configuration du compte de messagerie dans votre client de messagerie se fait ensuite de manière standard avec les paramètres suivants : Type de serveur de messagerie : Serveur POP Adresse du serveur POP : pop.services.rte-france.com Adresse du serveur SMTP : smtp.services.rte-france.com Lorsque vos accès au FrontOffice RTE vous sont fournis, vous recevez votre identifiant de connexion (login), votre mot de passe et votre adresse mail. REMARQUE Etant donné que les messages sont transférés à travers un canal sécurisé, l envoi et la réception de mails ne nécessitent pas l utilisation d un certificat pour le chiffrement des messages.

45 Page : 45/82 6. Mozilla Firefox 6.1 Configuration préalable Il s'agit de configurer le poste pour supporter le standard SSL, permettant d'accéder à des sites avec une connexion chiffrée (protocole HTTPS). Dans le menu «Outils > Options», choisissez la rubrique «Avancé», onglet «Chiffrement». Dans cette fenêtre, sélectionnez les 2 cases «Utiliser SSL 3.0» et «Utiliser TLS 1.0» : Un module de prise en charge de votre lecteur de carte à puce doit ensuite être configuré dans votre navigateur : cliquez sur le bouton «Périphérique de sécurité».

46 Page : 46/82 Dans la fenêtre Gestionnaire de périphériques, cliquez sur le bouton «Charger». Dans le nom du module, entrez «Gemplus PKCS11» et dans le «nom de fichier du module», entrez : Cliquez sur «OK». C:\Program Files\Gemplus\GemSafe Libraries\BIN\gclib.dll Cliquez sur «OK». Cliquez sur «OK». «Gemplus PKCS11» apparaît alors dans la liste des «modules et périphériques de sécurité», comme sur l image ci-dessous.

47 Page : 47/82 Cliquez sur «OK» pour fermer la fenêtre, puis une nouvelle fois sur «OK» pour fermer la fenêtre des options. 6.2 Installation du certificat racine de l AC RTE Téléchargement et installation Il faut à présent installer le certificat racine de l Autorité de Certification RTE dans votre navigateur afin que RTE soit reconnu comme Autorité de Certification de confiance. Pour ce faire, allez sur le lien suivant : Sélectionnez «Enregistrer le fichier» et cliquez sur «OK». Un emplacement où enregistrer le fichier «Certification_Autority_RTE_2048.cer» vous sera éventuellement demandé.

48 Page : 48/82 Une fois le fichier téléchargé, allez dans le menu «Outils > Options», choisissez la rubrique «Avancé», onglet «Chiffrement». Cliquez sur le bouton «Afficher les certificats».

49 Page : 49/82 Sélectionnez l onglet «Autorités» et cliquez sur «Importer». Sélectionnez le fichier enregistré précédemment.

50 Page : 50/82 Une boîte de dialogue est affichée, dans laquelle vous devez sélectionner les 3 cases à cocher «Confirmer cette AC pour identifier [ ]» pour faire confiance à l AC RTE Visualisation et vérification du certificat de l AC RTE Cliquez «Voir» pour vérifier que le certificat auquel vous allez faire confiance est bien le certificat racine de RTE :

51 Page : 51/82 Pour vous assurer d avoir téléchargé le véritable certificat racine de l AC RTE, vérifiez soigneusement que l empreinte numérique «SHA1» ou «MD5» affichée est identique à celle présentée ci-dessous. Les empreintes numériques du certificat racine de l AC RTE sont rappelées ici : SHA1 39:83:D6:10:A2:C4:D5:60:45:A0:C1:D0:E3:FA:E1:42:45:8A:37:12 MD5 77:4C:12:7D:FD:1D:36:9E:8A:21:85:73:7C:2D:44:77 Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente où vous cliquerez sur «Annuler», et appelez notre support. Si c est bien le cas, poursuivre le processus pour terminer l import. Onglet «Détails» : Cliquez «Fermer» pour revenir à la fenêtre initiale (cf. ci-dessus) où vous pouvez cliquer sur «OK» : le certificat racine de l AC RTE est alors installé dans Mozilla Firefox. Pour visualiser ce certificat ultérieurement, dans Mozilla Firefox, il faut aller dans le menu «Outils > Options», et choisir la rubrique «Avancé», onglet «Chiffrement».

52 Page : 52/82 Cliquer sur le bouton «Afficher les certificats». Dans l onglet «Autorités», vous pouvez vérifier que le certificat racine «RTE Certification Authority» est bien enregistré sur le disque dur de votre PC («Sécurité personnelle»), et le visualiser en le sélectionnant puis en cliquant «Voir».

53 Page : 53/ Visualisation et vérification de vos certificats sur carte à puce Insérez votre carte à puce dans le lecteur. Dans Mozilla Firefox, allez dans le menu «Outils > Options». Cliquez sur la rubrique «Avancé», onglet «Chiffrement» : Cliquez sur le bouton «Afficher les certificats». Dans la fenêtre qui s ouvre, saisissez le code PIN de votre carte. Cliquez sur «OK».

54 Page : 54/82 Cliquez sur l onglet «Vos certificats». Les certificats qui sont sur votre carte à puce sont ceux où «Gem» apparaît dans la colonne «Périphérique de sécurité». Vous pouvez visualiser vos certificats en les sélectionnant dans la liste puis en cliquant sur le bouton «Voir». Le 1 er onglet affiche le message «Ce certificat a été vérifié pour les utilisations suivantes».

55 Page : 55/82 Le 2 e onglet affiche la hiérarchie de certification avec le certificat racine de l AC RTE. Cela assure que tous les certificats ont été correctement installés, et que toutes les conditions d utilisation correctes de votre certificat sont réunies.

56 Page : 56/ Utilisation de votre certificat Authentification et chiffrement REMARQUE IMPORTANTE Pour pouvoir utiliser votre carte à puce, celle-ci doit impérativement avoir été acquittée (cf. 4). Étapes à suivre : Insérez votre carte à puce dans le lecteur, lancez Mozilla Firefox, saisissez l URL de l application RTE ou du «Portail Services Clients de RTE» : lors de l authentification, le navigateur vous demandera de choisir le certificat devant servir à vous authentifier, puis le code PIN de votre carte à puce, si plusieurs certificats vous sont présentés, vous devrez choisir celui qui vous a été fourni pour l application à laquelle vous allez accéder (le contenu du certificat sélectionné dans la liste déroulante est affiché sous la liste), Une fois l authentification terminée, toutes les données que vous recevez ou envoyez seront chiffrées Exemple d accès à une application web RTE Insérez votre carte à puce dans le lecteur, lancez Mozilla Firefox saisissez l URL de l application (commençant par «https») dans la barre d adresse de Firefox puis validez, saisissez le code PIN de votre carte à puce puis cliquez sur «OK»,

57 Page : 57/82 choisissez votre certificat dans la liste déroulante intitulée «Choisir un certificat à présenter comme identification» et cliquez sur «OK», La page d accueil de l application est alors affichée, de façon sécurisée (apparition du cadenas fermé en bas à droite de la fenêtre du navigateur) : 6.5 Opérations complémentaires Acquittement par le navigateur Ce paragraphe décrit la procédure d acquittement (cf. chapitre 4) via Mozilla Firefox. Avant de commencer, assurez-vous d avoir réalisé la configuration préalable de Firefox (cf. 6.1). Connectez-vous à l URL suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site.

58 Page : 58/82 Cliquez sur «Acquittement». La page suivante s affiche :

59 Page : 59/82 Entrez l adresse liée au certificat contenu sur la carte à puce à acquitter dans le champ « du certificat», et cliquez sur «Envoyer». Insérez votre carte à puce dans le lecteur et cliquez sur «Continuer». Composez le code PIN de votre carte et cliquez sur «OK». Sélectionnez un certificat valide contenu sur votre carte. Pour le choisir, vous pouvez afficher les différents certificats listés et retrouver ainsi celui à présenter. Cliquez ensuite sur «OK».

60 Page : 60/82 Vérifiez les informations présentées à l écran et cliquez sur «Envoyer» pour acquitter votre carte à puce. L acquittement est terminé.

61 Page : 61/ Connexion au VPN SSL Avant-propos La connexion via VPNSSL est un service permettant l établissement d un canal de communication sécurisé au FrontOffice RTE à travers Internet. Ce canal est établi après authentification avec votre certificat auprès d un site dédié. Une fois le canal établi, toutes vos communications avec le service RTE demandé seront chiffrées. L utilisation du VPNSSL nécessite l installation d un outil dédié, installé lors de la première connexion au site. Cette application se nomme Windows Secure Application Manager (WSAM). Le VPNSSL permet l accès à vos boîtes aux lettres hébergées sur le FrontOffice RTE Pré-requis Pour vous connecter au VPN SSL avec Firefox, Java SE Runtime Environment (JRE) ou supérieur doit être installé sur votre poste. Si ce n est pas le cas, vous pouvez télécharger la dernière version sur le site de Oracle : IMPORTANT Avant d effectuer votre première connexion, vous devez impérativement vérifier que votre poste de travail puisse résoudre l adresse secure.iservices.rtefrance.com (cf 3.1.2) Première connexion Ce paragraphe concerne uniquement votre première connexion au VPN SSL avec Mozilla Firefox. IMPORTANT La première connexion doit être faite par un informaticien Administrateur de votre poste de travail afin que l installation de l application WSAM puisse être effectuée. Lancez votre navigateur et saisissez l URL suivante : La fenêtre suivante apparaît :

62 Page : 62/82 Saisissez le code PIN de votre carte à puce puis cliquez sur «OK». Choisissez votre certificat dans la liste déroulante intitulée «Choisir un certificat à présenter comme identification» et cliquez sur «OK». Si la fenêtre suivante apparaît, cliquez sur le bouton «Autoriser». Si la fenêtre ci-dessous apparaît, cliquez sur «Exécuter».

63 Page : 63/82 L installation de Windows Secure Application Manager démarre : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez les et validez. La page ci-dessous apparaît alors : Puis, l icône apparaît dans votre barre des tâches, ce qui signifie que vous êtes connecté au VPN SSL. Cliquez sur le bouton «Déconnexion» (en haut à droite de la page) pour terminer la session :

64 Page : 64/ Utilisation du VPN SSL Etablissement de la connexion Lancez votre navigateur et saisissez l URL suivante : La fenêtre suivante apparaît : Saisissez le code PIN de votre carte à puce puis cliquez sur «OK». Choisissez votre certificat dans la liste déroulante intitulée «Choisir un certificat à présenter comme identification» et cliquez sur «OK». Si la fenêtre suivante apparaît, cliquez sur le bouton «Autoriser».

65 Page : 65/82 Si la fenêtre ci-dessous apparaît, cliquez sur «Exécuter» (ceci correspond au lancement automatique de l application WSAM). La page ci-dessous apparaît alors : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez les et validez. Puis, l icône apparaît dans votre barre des tâches, ce qui signifie que vous êtes connecté au VPN SSL.

66 Page : 66/82 Remarques : Le certificat sert uniquement à l établissement de la connexion au VPN SSL. Pour fermer la session VPN SSL, cliquez sur le bouton Déconnexion (en haut à droite de la page) Utilisation pour l accès aux boîtes aux lettres hébergées Le VPNSSL peut être utilisé pour accéder aux boîtes aux lettres hébergées sur le FrontOffice avec un client de messagerie standard. L accès aux boîtes aux lettres hébergées nécessite que la connexion au VPNSSL soit établie (voir ). La configuration du compte de messagerie dans votre client de messagerie se fait ensuite de manière standard avec les paramètres suivants : Type de serveur de messagerie : Serveur POP Adresse du serveur POP : pop.services.rte-france.com Adresse du serveur SMTP : smtp.services.rte-france.com Lorsque vos accès au FrontOffice RTE vous sont fournis, vous recevez votre identifiant de connexion (login), votre mot de passe et votre adresse mail. REMARQUE Etant donné que les messages sont transférés à travers un canal sécurisé (tout ce qui transite dans ce canal est automatiquement chiffré), l envoi et la réception de messages électroniques (mails) ne nécessitent pas l utilisation d un certificat pour le chiffrement des messages.

67 Page : 67/82 E. ANNEXES

68 Page : 68/82 7. Changement du code PIN de la carte à puce La carte à puce qui vous est fournie est protégée par un code PIN (mot de passe) uniquement connu du porteur. Celui-ci vous est demandé lors de l utilisation de votre carte à puce et permet de vérifier vous êtes bien le porteur de la carte (cf. 1.3). Le code PIN initial vous est fourni dans un pli «personnel et confidentiel» (cf ). Il est ensuite fortement recommandé de personnaliser le code PIN de votre carte à puce. Les contraintes pour votre nouveau code PIN sont les suivantes : de 6 à 16 chiffres, différent de l ancien code PIN, séquence répétée de chiffres interdite. Pour changer le code PIN de votre carte, veuillez suivre la procédure ci-après. Insérez votre carte à puce dans le lecteur. Cliquez sur le bouton «Démarrer» puis aller dans le menu «Tous les programmes > Gemalto» et cliquez sur «GemSafe Toolbox». La fenêtre suivante s ouvre. Cliquer sur la rubrique «Administration Carte».

69 Page : 69/82 Cliquez sur le bouton «Gestion des PIN», sélectionnez votre lecteur de carte à puce dans la liste, cochez «Changer le PIN» puis cliquez sur «Suivant». Dans la liste déroulante, choisissez «User». Saisissez votre code PIN actuel. Saisissez votre nouveau code PIN. Confirmer votre nouveau code PIN. Votre nouveau code PIN doit respecter les règles de la «Stratégie pour PIN» (Volet de droite). Lorsque vous saisissez le nouveau code PIN, une coche verte ou une croix rouge s affiche à droite de chaque règle, suivant le respect ou non de celle-ci. Vous pourrez cliquer sur le bouton «Changer le PIN» uniquement si toutes les règles ont des coches vertes comme sur la capture d écran ci-dessus.

70 Page : 70/82 Une fois que cela est possible, cliquez sur «Changer le PIN». Cliquez sur «OK». Le code PIN de votre carte à puce a été changé.

71 Page : 71/82 8. Environnement sécurisé (PKI) Cette annexe décrit l environnement sécurisé dans lequel est mis en œuvre la PKI. Elle présente en particulier : les concepts de l environnement sécurisé et les objets informatiques correspondants gérés par la PKI, le rôle des différentes entités prenant part aux processus de fonctionnement d une PKI. 8.1 Concepts et objets gérés par une PKI Cette annexe présente les principaux concepts permettant de comprendre le rôle des objets gérés par une PKI : présentation des principes structurant un processus sécurisé, le rôle du bi-clé, les certificats Qu est-ce qu un processus sécurisé? Définition d une PKI Avec une PKI (Public Key Infrastructure, ou IGC pour Infrastructure de Gestion de Clés), chaque porteur dispose d une paire de clés une clé privée, connue de son seul possesseur, et une clé publique liées par une relation mathématique complexe, qui rend quasiment impossible la détermination de la clé privée à partir de la seule connaissance de la clé publique. Cela signifie que la probabilité de déterminer la clé privée à partir de la clé publique en un temps raisonnable est très faible. Des données chiffrées avec une clé (typiquement, la clé publique) ne peuvent être déchiffrées qu avec l autre (typiquement, la clé privée). C est sur la base de ce principe qu est notamment assurée la confidentialité des messages échangés. Ce procédé est couramment appelé «cryptographie asymétrique» par opposition à la «cryptographie symétrique» qui utilise une seule clé à la fois pour le chiffrement et le déchiffrement.

72 Page : 72/ Les quatre piliers de la sécurité des échanges d informations Cette carte d identité électronique a pour vocation d établir un environnement de confiance dont les quatre piliers sont les suivants : l authentification identifie les parties de manière sûre et certaine, la confidentialité empêche les non destinataires de lire les données, l intégrité assure que des données n ont pas été altérées, la non-répudiation rend impossible à une partie de réfuter les informations qu elle a transmises La solution cryptographique En raison de la technologie utilisée (i.e. protocoles, architectures, etc.), l information circulant sur Internet n est pas confidentielle. Les technologies ne permettent pas non plus de répondre aux trois autres exigences de sécurité exposées ci-dessus. Afin de préserver la confidentialité des échanges effectués sur Internet, les données doivent être rendues incompréhensibles à tous sauf aux destinataires. Le chiffrement est la solution adéquate. Le chiffrement des données accompagne naturellement l authentification des utilisateurs du système. En effet, si certaines données sont confidentielles, il est nécessaire que les émetteurs et les destinataires de ces informations puissent s authentifier entre eux de manière sûre et univoque, afin de procéder à des échanges sécurisés. L authentification repose sur la possession d un certificat. Cet élément est délivré par une Autorité de Certification à laquelle les parties prenantes d une transaction font toutes confiance (dans notre cas, l Autorité de Certification est RTE). Ainsi, les porteurs peuvent avoir confiance dans les informations qui leur sont fournies et RTE sait que seuls les porteurs habilités accèdent à l information. NOTE Selon un processus analogue, dans la vie courante, il est nécessaire de fournir une pièce d identité délivrée par une autorité habilitée pour pouvoir accéder à certaines prérogatives réservées aux citoyens du pays (e.g. achats coûteux, droit de vote, etc.).

73 Page : 73/ Le rôle du bi-clé Chaque porteur dispose d une clé publique et d une clé privée associée : La clé privée est une clé que le porteur doit garder confidentielle. Il est le seul à la posséder et à pouvoir l utiliser. Il ne la connaît pas forcément lui-même (par exemple, elle peut se trouver dans une carte à puce, d où elle ne peut sortir, mais l accès à la carte est protégé par un code PIN connu seulement de son possesseur). La clé publique, comme son nom l indique, est publique et peut être communiquée à tous. On utilise uniquement les clés publiques des porteurs pour chiffrer les messages à destination de ceux-ci. Si un message chiffré était intercepté, ce serait sans conséquence sur la confidentialité car il ne pourrait être déchiffré (dans un temps raisonnable) par une personne ne possédant pas la clé privée associée. La clé privée permet à son propriétaire de signer un message qu il envoie et de déchiffrer un message qu on lui envoie chiffré. A l opposé, la clé publique d une personne est utilisée pour chiffrer un message qui lui est envoyé et pour vérifier la signature du message reçu Chiffrement et déchiffrement d un message Chaque message est chiffré par la clé publique du destinataire, qui le déchiffrera avec sa clé privée. Quand RTE envoie un message à son client A : 1. RTE dispose de la clé publique du client A (via la partie publique de son certificat). 2. RTE chiffre automatiquement le message en utilisant la clé publique du client A et le lui envoie, via la messagerie électronique de RTE. 3. Le client A récupère le message et le déchiffre automatiquement avec sa clé privée. RTE chiffre le message avec la clé publique du Client Le Client déchiffre le message avec sa clé privée Courbes de Charge Données : 1.5, 2, 1.5, 3.5, 4.5, 3 axnzzs5jb 20wgZ8wDQ YJKoZIhvc NAQEBBQAD gy0amigja Courbes de Charge Données : 1.5, 2, 1.5, 3.5, 4.5, 3 Client Certificat du Client contenant sa clé publique Chiffrement et déchiffrement avec un bi-clé

74 Page : 74/ Utilisation des clés lors de la signature du message Chaque message est signé par la clé privée de l émetteur. L origine (i.e. la signature) d un message peut être contrôlée grâce à la clé publique de l émetteur, librement accessible via son certificat. Pour prouver au client A que le message qu il reçoit provient effectivement de RTE, RTE signe automatiquement son message, avec sa clé privée, avant l envoi au client A. RTE signe le message avec sa clé privée Le Client vérifie la signature avec la clé publique de RTE Courbes de Charge Données : 1.5, 2, 1.5, 3.5, 4.5, 3 Courbes de Charge Données : 1.5, 2, 1.5, 3ktwSkIf2 Courbes de Charge Données : 1.5, 2, 1.5, 3.5, 4.5, 3 Client Certificat de RTE contenant sa clé publique Signature et vérification de signature avec un bi-clé Quand le client A reçoit le message de RTE, il vérifie automatiquement la signature du message reçu, avec la clé publique de RTE.