ROYAUME DU MAROC Politique de certification - Autorité de Certification Externe -

Transcription

1 ROYAUME DU MAROC Politique de certification - Autorité de Certification Externe - BKAM, tous droits réservés Page 1 sur 45

2 Table des matières 1 INTRODUCTION Présentation générale Définitions et acronymes Identification du document Entités interagissant avec la PKI Externe Autorités de certification Opérateur d enregistrement des utilisateurs externes Responsable d Enregistrement des utilisateurs externes Entité Externe Porteur de certificat (encore dénommé entité finale) Autres entités Usage des certificats Domaines d'utilisation applicables Bi-clés et certificats des porteurs Bi-clés et certificats des serveurs et dispositifs Bi-clés et certificats de l AC et des composantes de la PKI Gestion de la PC Entité gérant la PC Point de contact Entité déterminant la conformité de la DPC à la présente PC RESPONSABILITES CONCERNANT LA MISE A DISPOSITION DES INFORMATIONS PUBLIEES Entités chargées de la mise à disposition des informations Informations publiées Délais et fréquence de publication Contrôle d accès aux informations publiées IDENTIFICATION ET AUTHENTIFICATION Nommage Types de noms Unicité des noms...15 BKAM, tous droits réservés Page 2 sur 45

3 3.2 Validation initiale de l'identité d un porteur Génération de la clé privée Vérification de l identité d un acteur de la PKI Opérateur d Enregistrement Responsable d Enregistrement Porteur de certificat Informations non vérifiées du porteur Validation de l'autorité du demandeur Critères d'interopérabilité Identification et validation d'une demande de renouvellement des clés Identification et validation d une demande de révocation EXIGENCES OPERATIONNELLES SUR LE CYCLE DE VIE DES CERTIFICATS Demande de certificat Origine d'une demande de certificat Processus et responsabilités pour l'établissement d'une demande de certificat Traitement d'une demande de certificat Processus de vérification et de validation d une demande de certificat Acceptation ou rejet de la demande Durée d'établissement du certificat Délivrance du certificat Actions de l'ac concernant la délivrance d un certificat Notification par l'ac de la délivrance du certificat au porteur Acceptation du certificat Démarche d'acceptation du certificat Publication du certificat Notification par l'ac aux autres entités de la PKI de la délivrance du certificat Usages de la bi-clé et du certificat Utilisation de la clé privée et du certificat par le porteur Utilisation de la clé publique et du certificat Renouvellement d'un certificat Délivrance d'un nouveau certificat suite à un changement de la bi-clé Identification et validation pour un renouvellement courant Identification et validation pour un renouvellement après révocation Modification du certificat Révocation et suspension des certificats Causes possibles d une révocation...21 BKAM, tous droits réservés Page 3 sur 45

4 Certificats de porteurs Certificats d'une composante de la PKI Origine d une demande de révocation Certificats de porteurs Certificats d'une composante de la PKI Procédure de traitement d'une demande de révocation Révocation d'un certificat de porteur Révocation d'un certificat d'une composante de la PKI Délai accordé au porteur pour formuler une demande de révocation Délai de traitement par l'ac d une demande de révocation Révocation d'un certificat de porteur Révocation d'un certificat d'une composante de la PKI Exigences de vérification de la révocation par les utilisateurs de certificats Fréquence d'établissement des LCR Délai maximum de publication d'une LCR Disponibilité d'un système de vérification en ligne de la révocation et de l'état des certificats Exigences techniques de vérification en ligne de la révocation des certificats par les utilisateurs de certificats Autres moyens disponibles d'information sur les révocations Exigences spécifiques en cas de compromission de la clé privée Causes possibles d une suspension Origine d une demande de suspension Procédure de traitement d'une demande de suspension Limites de la période de suspension d'un certificat Fonction d'information sur l'état des certificats Caractéristiques opérationnelles Disponibilité de la fonction Fin de la relation entre le porteur et l'ac Séquestre de clé et recouvrement Politique et pratiques de recouvrement par séquestre des clés Politique et pratiques de recouvrement par encapsulation des clés de session 25 5 MESURES DE SECURITE NON TECHNIQUES Mesures de sécurité physique Mesures de sécurité procédurales Mesures de sécurité vis-à-vis du personnel Procédures de constitution des données d'audit Archivage des données Changement de clé d'ac BKAM, tous droits réservés Page 4 sur 45

5 5.7 Reprise suite à compromission ou sinistre Fin de vie de la PKI Transfert d activité ou cessation d activité affectant une composante de la PKI autre que l AC Cas de cessation d activité affectant l AC MESURES DE SECURITE TECHNIQUES Génération et installation de bi clés Génération des bi-clés Clés d'ac Clés de porteurs générées par l'ac Clés porteurs générées par le porteur Transmission de la clé privée à son propriétaire Transmission de la clé publique à l AC Transmission de la clé publique de l AC aux utilisateurs de certificats Tailles des clés Vérification de la génération des paramètres des bi-clés et de leur qualité Objectifs d'usage de la clé Mesures de sécurité pour la protection des clés privées et pour les modules cryptographiques Standards et mesures de sécurité pour la protection des modules cryptographiques Modules cryptographiques de l'ac Dispositifs de création de signature des porteurs Contrôle de la clé privée par plusieurs personnes Séquestre de la clé privée Copie de secours de la clé privée Archivage de la clé privée Transfert de la clé privée vers / depuis le module cryptographique Stockage de la clé privée dans un module cryptographique Méthode d'activation de la clé privée Clés privées de l'ac Clés privées des porteurs Méthode de désactivation de la clé privée Clés privées de l'ac Clés privées des porteurs Méthode de destruction des clés privées Clés privées de l'ac Clés privées des porteurs Autres aspects de la gestion des bi-clés Mesures de sécurité des systèmes informatiques hébergeant la PKI Exigences de sécurité technique spécifiques aux systèmes informatiques Niveau d'évaluation de la sécurité des systèmes informatiques...34 BKAM, tous droits réservés Page 5 sur 45

6 6.5 Mesures de sécurité liées au développement des systèmes Mesures de sécurité réseau Contrôle des modules cryptographiques Horodatage / Système de datation PROFIL DES CERTIFICATS ET DES LCR Certificats d utilisateur de niveau Certificat d Authentification et de Signature d un Utilisateur Externe (niveau 2) Certificats d utilisateur de niveau Certificat d Authentification et Signature d un Utilisateur Externe (niveau 3) Profil de la CRL de l AC Externe Profil OCSP AUDIT DE CONFORMITE ET AUTRES EVALUATIONS Fréquences et / ou circonstances des évaluations Identités des auditeurs Relations entre auditeurs et entités évaluées Sujets couverts par les évaluations Actions prises suite aux conclusions des évaluations AUTRES PROBLEMATIQUES METIERS ET LEGALES Tarifs Responsabilité financière Confidentialité des données professionnelles Périmètre des informations confidentielles Informations hors périmètre des informations confidentielles Responsabilité en termes de protection des informations confidentielles Protection des données personnelles Droits sur la propriété intellectuelle et industrielle Interprétations contractuelles et garanties BKAM, tous droits réservés Page 6 sur 45

7 9.6.1 Autorités de Certification Service d enregistrement Porteurs de certificats Utilisateurs de certificats Autres participants Limites de garantie Limite de responsabilités Indemnités Durée et fin anticipée de validité de la PC Durée de validité...45 BKAM, tous droits réservés Page 7 sur 45

8 1 INTRODUCTION 1.1 Présentation générale Bank Al-Maghrib (BKAM) a mis en place une infrastructure PKI (Public Key Infrastructure) permettant de gérer et de délivrer des certificats électroniques à ses agents et ses partenaires, leur offrant ainsi un ensemble de services de sécurité, appelé services de confiance. Il s agit de : l authentification forte au système d information et aux applications de BKAM ; la signature électronique des documents électroniques et des flux de données ; le chiffrement des données électroniques et des flux de données. L objectif de la Politique de Certification (PC), objet du présent document, est de définir les règles et procédures que doit respecter BKAM en tant qu Autorité de Certification Externe dans la gestion, tout au long de leur cycle de vie, des certificats électroniques délivrés à ces partenaires et tiers externes. BKAM agit également en tant qu Autorité de Certification Interne, qui délivre des certificats à ses agents, applications et serveurs de BKAM. La Déclaration des Pratiques de Certification (DPC) de l'ac décrit l'organisation opérationnelle de la PKI et la répartition des rôles (notamment les rôles techniques) conformément à l organisation fonctionnelle adoptée et les dispositions de la présente PC. La DPC a donc pour objet de décrire de manière détaillée les pratiques d émission et de gestion de certificats adoptées par l AC. Afin de faciliter l'utilisation et l adoption de cette PC, sa structure est conforme au standard international [RFC3647]. BKAM, tous droits réservés Page 8 sur 45

9 1.2 Définitions et acronymes Les acronymes utilisés dans la présente PC sont les suivants : AC AE AH BKAM CEN DAPR DeltaCRL DN DOSI DPC DRRE DSA ETSI PKI LAR LCR MC OC OCSP OID PC PP PSCE RSA SP URL Autorité de Certification Autorité d'enregistrement Autorité d Horodatage BANK AL-MAGHRIB Comité Européen de Normalisation Direction de l Audit et de la Prévention des Risque Mécanisme par lequel la Liste de Certificats Révoqués se met à jour via des incrémentations (différence entre la précédente LCR) Distinguished Name Direction de l Organisation et des Systèmes d Information Déclaration des Pratiques de Certification Direction du Réseau et des Relations avec les Entreprises (Entité chargée de la gestion des certificats PKI Externe) Digital Signature Algorithm European Telecommunications Standards Institute Public Key Infrastructure ou Infrastructure de Gestion de Clés publiques Liste des certificats d'ac Révoqués Liste des Certificats Révoqués Mandataire de Certification Opérateur de Certification Online Certificate Status Protocol Object Identifier Politique de Certification Profil de Protection Prestataire de Services de Certification Electronique Rivest Shamir Adelman Service de Publication Uniform Resource Locator BKAM, tous droits réservés Page 9 sur 45

10 1.3 Identification du document La présente PC peut être identifiée par son numéro d identifiant d objet unique (OID) ou par d autres éléments, plus explicites, à savoir le nom, le numéro de version et la date de mise à jour de ce document. Le numéro d OID de cette PC est indiqué à des fins de gestion documentaire et n est pas utilisé dans les certificats. Le numéro d OID du présent document est : Par ailleurs, la présente politique de certification est liée à la déclaration de pratiques de certification (DPC) identifiée par l OID suivant : Entités interagissant avec la PKI Externe Autorités de certification La PKI mise en place par BKAM permet l émission de plusieurs types de certificats électroniques définis selon divers critères. Il s agit : d(es) usage(s) souhaité(s) pour ces certificats (signature, authentification, chiffrement, etc.) ; de leur niveau de sécurité (niveau 2 ou niveau 3). BKAM a choisi un modèle de confiance hiérarchique composé d une AC «racine» et des AC «filles». La hiérarchie des autorités en charge de certification est structurée de la manière suivante: une Autorité de Certification racine en charge de certifier les Autorités filles opérationnelles de BKAM. Le certificat de l AC «racine» est auto signé et ne dépend pas d autres Autorités de Certification ; une Autorité de Certification «fille» Externe délivrant des certificats pour des utilisateurs externes et des applications de BKAM, à usage externe. une Autorité de Certification «fille» Interne, qui dispose de sa propre PC, délivrant des certificats pour les utilisateurs internes et des applications de BKAM, à usage interne. Le schéma ci-dessous reprend le modèle de confiance de BKAM ainsi que les différents types de certificats délivrés par l AC Externe. BKAM, tous droits réservés Page 10 sur 45

11 1.4.2 Opérateur d enregistrement des utilisateurs externes Il est responsable de la gestion des demandes de certification des utilisateurs des partenaires de BKAM et de la génération des certificats. Il est aussi, habilité pour changer l état des certificats : révoquer, suspendre ou réactiver. Ce rôle est assuré par le service Relations avec la Clientèle au niveau de la Direction du Réseau et des Relations avec les Entreprises (DRRE) Responsable d Enregistrement des utilisateurs externes C est la personne responsable au niveau de l entité qui donne l autorisation finale pour le déclenchement d une procédure donnée (attribution d un certificat, renouvellement, etc.). Ce rôle est assuré par le service Relations avec la Clientèle au niveau de la DRRE Entité Externe Partenaire de BKAM qui a besoin d utiliser une des applications de cette dernière ou d échanger avec elle d une manière sécurisée en utilisant un certificat électronique Porteur de certificat (encore dénommé entité finale) La personne physique, rattachée à une entité externe, identifiée dans le certificat et détentrice de la clé privée associée à la clé publique contenue dans le certificat Autres entités D autres entités interagissent avec la PKI ; il s agit notamment de : l Opérateur d enregistrement des cartes à puces, en charge de la gestion BKAM, tous droits réservés Page 11 sur 45

12 du cycle de vie des cartes à puces et certificats des utilisateurs externes. Ce rôle est assuré par le service Relations avec la Clientèle au niveau de la DRRE ; la Hotline PKI : l utilisateur y accède pour toute aide ou assistance. Elle intervient en cas de perte ou de vol de la carte à puce hors les heures de travail. Elle est assurée par le Département de la Sécurité. 1.5 Usage des certificats Domaines d'utilisation applicables Bi-clés et certificats des porteurs L Autorité de Certification Externe de BKAM délivre à la fois des certificats de niveau 2, qui sont des certificats support logiciel, et des certificats de niveau 3 qui sont des certificats sur support carte à puce. Au niveau 2, les certificats suivants sont délivrés : Certificats, d Authentification et de Signature, qui permettent à l utilisateur : o de s authentifier afin d accéder aux logiciels, applications web ou systèmes d information en général; o de signer des documents ou autres données électroniques afin de garantir leur intégrité. Au niveau 3, un porteur dispose des certificats suivants sur sa carte à puce : Certificats d Authentification et de Signature, qui lui permettent : o de s authentifier afin d accéder aux logiciels, applications web ou systèmes d information en général; o de signer des documents ou autres données électroniques afin de garantir leur intégrité et l authenticité de l émetteur Bi-clés et certificats des serveurs et dispositifs Outre les certificats destinés aux porteurs, l Autorité de Certification Externe délivre également des certificats à destination des serveurs ou dispositifs informatiques des partenaires de BKAM. Les certificats à destination des serveurs et dispositifs sont des certificats de niveau 2 et sont régis par les mêmes procédures de certification à destination des porteurs de certificats de niveau Bi-clés et certificats de l AC et des composantes de la PKI Les certificats des différentes composantes de l infrastructure PKI de BKAM sont délivrés par l Autorité de Certification Racine. BKAM, tous droits réservés Page 12 sur 45

13 Les certificats des Autorités de Certification de BKAM sont exclusivement délivrés par l Autorité de Certification Racine. La clé privée de l Autorité de Certification Externe n est utilisée que dans les cas suivants : signature des certificats des porteurs émis par l Autorité de Certification Externe; signature de la Liste des Certificats Révoqués (LCR) émise par l Autorité de Certification Externe. 1.6 Gestion de la PC Entité gérant la PC La présente PC est soumise à l approbation du Comité PKI de BKAM afin de : valider les usages et restrictions d'usage des certificats émis par l AC ; vérifier sa conformité aux évolutions technologiques et aux exigences fonctionnelles ou réglementaires. La périodicité minimale de révision de cette PC est de deux (2) ans. Un tableau indiquant les différentes versions de la PC, les dates de révisions et les principales modifications apportées par rapport à sa version antérieure est présenté en page 2 du présent document Point de contact Rôle Entité Coordonnées Entité responsable Bank Al-Maghrib représentée par la Direction de l Audit et de la Prévention des Risques Bank Al-Maghrib 277, Avenue Mohammed V Boîte postale 445 Rabat Entité déterminant la conformité de la DPC à la présente PC La Banque vérifie la conformité de la DPC à la présente PC directement, ou par l intermédiaire d experts indépendants spécialisés dans le domaine des infrastructures de gestion de clés. BKAM, tous droits réservés Page 13 sur 45

14 2 RESPONSABILITES CONCERNANT LA MISE A DISPOSITION DES INFORMATIONS PUBLIEES 2.1 Entités chargées de la mise à disposition des informations Voir paragraphe Informations publiées Information publiée PC LAR Emplacement de publication ldap://ldap.bkam.ma/cn=bkam-ac-racine, cn=certification Authorities, dc=bkam, dc=ma? authorityrevocationlist?base? objectclass=certificationauthority LCR Certificat de l AC Fille Certificat de l AC Racine 1. 0http://pki.bkam.ma/crls/ac_externe.crl 2. ldap://ldap.bkam.ma/cn=bkam-ac-externe, cn=certification Authorities, dc=bkam, dc=ma? certificaterevocationlist? base? objectclass=certificationauthority Délais et fréquence de publication Les informations documentaires publiées sont mises à jour après chaque modification dans un délai de 48 heures. La fréquence de mise à jour des LCR est au maximum de vingt-quatre (24) heures. La fréquence de mise à jour des LAR est au maximum d un (1) mois. 2.4 Contrôle d accès aux informations publiées Les informations publiées sont destinées aux porteurs et utilisateurs de certificats, et sont en accès libre et gratuit. Ces informations ne peuvent être modifiées que par un personnel de BKAM habilité. L attribution et la gestion de ces habilitations sont décrites dans la DPC. BKAM, tous droits réservés Page 14 sur 45

15 3 IDENTIFICATION ET AUTHENTIFICATION 3.1 Nommage Types de noms Les noms utilisés dans les certificats sont conformes aux spécifications de la norme X.500. Dans chaque certificat X509 V3 de l'iut-t, l'ac émettrice (issuer) et le porteur (subject) sont identifiés par un "Distinguished Name" DN de type X.501 dont le format est le suivant : dc = ma, dc = bkam o cn = Certification Authorities CN = BKAM-AC-RACINE CN = BKAM-AC-EXTERNE o cn = Composants PKI CN = BKAM-AE-EXTERNE CN = BKAM-AV CN = BKAM-AH o CN = < Matricule> o CN = <Nom DNS du PC, serveur, équipement de réseau, dispositif mobil, ou Domain Controller> Etant donné que les caractères utilisés dans les certificats sont de type ASCII, tous les noms et prénoms seront écrits en lettres majuscules sans tildes et accents Unicité des noms Afin d'assurer une identification unique et permanente du porteur, au sein du domaine de l'ac, dans tous ses certificats (première certification, renouvellement, etc.), le DN du champ "subject" utilisé dans chaque certificat permet d'identifier de façon unique le porteur correspondant, au sein du domaine de l'ac. Durant toute la durée de vie de l'ac, un DN est attribué à un seul porteur de certificat. Il est à rappeler que l unicité d un certificat est basée sur l unicité de son numéro de série à l intérieur du domaine de l AC. Toutefois, ce numéro est propre au certificat et non au porteur et ne permet, par conséquent, pas d'assurer une identification unique et permanente dans tous les certificats d'un porteur donné. 3.2 Validation initiale de l'identité d un porteur Les dossiers de demande de certificats pour les porteurs sont adressés à l Autorité d Enregistrement représentée par la DRRE en tant qu opérateur d enregistrement des utilisateurs externes. Les informations, relatives aux moyens de la validation initiale de l identité d un porteur, décrites ci-dessous sont valables pour tous les cas d utilisation. Cependant, BKAM, tous droits réservés Page 15 sur 45

16 pour des besoins métier spécifiques, les processus complets de la gestion administrative et organisationnelle des certificats sont décrits et disponibles auprès des correspondants des services (opérateurs et responsables d enregistrement des utilisateurs externes) de BKAM Génération de la clé privée Cas des certificats logiciels Sur opération initialisée par le porteur, la bi-clé est générée par un dispositif technique opéré par l Autorité d Enregistrement. La bi-clé et le certificat associé sont générés et installés directement sur le poste du porteur. Cas des certificats délivrés sur support matériel Sur opération initialisée par le porteur, la bi-clé et le certificat associé sont générés par un dispositif technique opéré par l Autorité d Enregistrement, sur support matériel connecté au poste de l Opérateur d enregistrement des utilisateurs externes Vérification de l identité d un acteur de la PKI Opérateur d Enregistrement Les Opérateurs d Enregistrement doivent être connus de l Autorité d Enregistrement afin que celle-ci puisse vérifier leur habilitation à faire des demandes liées à la gestion des certificats Responsable d Enregistrement Les Responsables d Enregistrement doivent être connus de l Autorité d Enregistrement afin que celle-ci puisse vérifier leur habilitation à valider des demandes Porteur de certificat La demande d enregistrement est faite par l Opérateur d Enregistrement et validée par le Responsable d Enregistrement. Dans le cas de certificat sur support matériel, l'authentification du porteur par l AE est réalisée lors d'un face-à-face physique ou par une méthode apportant un degré d'assurance équivalent, lors de la remise de la carte à puce. Dans le cas d un certificat de type logiciel, la vérification de l identité du porteur se base sur les informations déclarées au niveau de la demande formulée par le mandataire habilité Informations non vérifiées du porteur Aucune exigence n est formulée dans la présente PC. BKAM, tous droits réservés Page 16 sur 45

17 3.2.4 Validation de l'autorité du demandeur La validation de l autorité du demandeur est effectuée via l application d Autorité d enregistrement de la PKI qui dispose de la liste des Opérateurs d Enregistrement et de Responsables d Enregistrement. Ces derniers s authentifient sur cette application via leur certificat afin de pouvoir émettre la demande Critères d'interopérabilité Les demandes d accords et les accords de reconnaissance avec des AC extérieures au domaine de sécurité de la PKI sont validés par le Comité PKI de BKAM. 3.3 Identification et validation d'une demande de renouvellement des clés Le renouvellement de la bi-clé d'un porteur entraîne automatiquement la génération et la fourniture d'un nouveau certificat. Inversement, un nouveau certificat ne peut pas être fourni au porteur sans renouvellement de la bi-clé correspondante. L autorité d enregistrement (AE) notifie le porteur du certificat 90 jours avant son expiration. 3.4 Identification et validation d une demande de révocation Les certificats des porteurs peuvent être révoqués. Le tableau suivant présente le processus d identification des demandeurs de révocation de certificats: Moyen Demandeur autorisé Authentification du demandeur Opérateur de révocation Application PKI Opérateur d enregistrement des utilisateurs externes Certificat électronique AE Application PKI Responsable d enregistrement des utilisateurs externes Certificat électronique AE BKAM, tous droits réservés Page 17 sur 45

18 4 EXIGENCES OPERATIONNELLES SUR LE CYCLE DE VIE DES CERTIFICATS 4.1 Demande de certificat Origine d'une demande de certificat Un certificat ne peut être demandé que par le partenaire à l Opérateur d Enregistrement des utilisateurs externes. Les entités des futurs porteurs de certificat adressent leurs requêtes de certificat à l opérateur d enregistrement des utilisateurs externes via le formulaire établi et signé par le responsable engageant l etablissement à cet effet disponible chez l opérateur d enregistrement des utilisateurs externes Processus et responsabilités pour l'établissement d'une demande de certificat Les informations à fournir sont celles contenues dans le dossier de demande établi par le futur porteur de certificat ou par son mandataire habilité. Les informations suivantes font partie de la demande de certificat : le nom du porteur à utiliser dans le certificat et son adresse ; les données personnelles d identification du porteur ; les données d identification de l entité du porteur la signature authentifiée du requérant par le service Relations avec la Clientèle au niveau de la DRRE La demande de certificat est établie par l Opérateur d Enregistrement via l application PKI. 4.2 Traitement d'une demande de certificat Processus de vérification et de validation d une demande de certificat Afin de vérifier et de valider une demande de certificat, l Opérateur d Enregistrement effectue les opérations suivantes : vérifier l identité du futur porteur ; vérifier la cohérence des justificatifs éventuellement présentés ; s assurer que le futur porteur a pris connaissance des modalités applicables à l utilisation du certificat Acceptation ou rejet de la demande En cas de rejet de la demande, l'ae informe le porteur en précisant les raisons du rejet. BKAM, tous droits réservés Page 18 sur 45

19 4.2.3 Durée d'établissement du certificat Tout dossier complet est traité immédiatement après la validation de la demande par le responsable d enregistrement. 4.3 Délivrance du certificat Les certificats de signature émis par l Autorité de Certification Externe de BKAM et les clés privées associées peuvent : être de type logiciel. Dans ce cas, la remise du certificat se fait par l envoi d un . ou être stockés dans un support matériel sécurisé (carte à puce). Dans ce cas, un est envoyé au porteur l informant de la disponibilité de la carte à puce. Le retrait est effectué auprès de l Opérateur d enregistrement des cartes à puce au niveau de la DRRE Actions de l'ac concernant la délivrance d un certificat A chaque demande de certificat, l AC effectue les opérations suivantes : authentification du demandeur (Autorité d Enregistrement) ; vérification de l intégrité de la demande ; vérification technique de la demande ; création du certificat du futur porteur ; signature du certificat à l aide de la clé privée de l AC ; envoi du certificat à l Autorité d Enregistrement. L ensemble de ces opérations est détaillé dans la DPC. Les conditions de génération des clés et des certificats ainsi que les mesures de sécurité à respecter sont précisées dans les chapitres 5 et 6, notamment la séparation des rôles de confiance Notification par l'ac de la délivrance du certificat au porteur La notification est effectuée via envoi d un au porteur. 4.4 Acceptation du certificat Démarche d'acceptation du certificat A la réception de son certificat, le porteur est tenu d avertir son opérateur d enregistrement de toute inexactitude ou défaut dans les 5 jours ouvrés suivant la réception du certificat. Si nécessaire, le certificat peut être révoqué et remplacé par un autre. Un certificat est considéré comme accepté lorsque la clé privée associée est mise en œuvre. L acceptation d un certificat implique l acceptation de la PC de l Autorité de Certification. BKAM, tous droits réservés Page 19 sur 45

20 4.4.2 Publication du certificat Sans objet Notification par l'ac aux autres entités de la PKI de la délivrance du certificat L'AC informe l'ae, via l application web d enregistrement, de la délivrance du certificat. 4.5 Usages de la bi-clé et du certificat Utilisation de la clé privée et du certificat par le porteur L utilisation de la clé privée associée au certificat émis est décrite au chapitre 1.5. Les porteurs s engagent à respecter strictement ces usages autorisés. Dans le cas contraire, leur responsabilité pourrait être engagée. L usage autorisé de la clé privée et du certificat associé est également indiqué dans le certificat, au niveau du champ d extensions concernant les usages des clés. Les certificats et les bi-clés correspondants ont la même durée de vie Utilisation de la clé publique et du certificat Les certificats ne doivent être utilisés que dans les domaines d utilisation spécifiés au chapitre 1.5. Les utilisateurs de ces certificats s engagent à respecter strictement ces domaines d utilisation. Dans le cas contraire, leur responsabilité pourrait être engagée. L usage autorisé du certificat est indiqué dans le certificat au niveau d extensions concernant les usages des clés. 4.6 Renouvellement d'un certificat du chanp Dans la présente PC, le renouvellement d un certificat implique la génération de nouvelles bi-clés et par conséquent la génération du nouveau certificat correspondant. 4.7 Délivrance d'un nouveau certificat suite à un changement de la bi-clé Le renouvellement de la bi-clé d'un porteur entraîne automatiquement la génération et la fourniture d'un nouveau certificat. De plus, un nouveau certificat ne peut pas être fourni au porteur sans renouvellement de la bi-clé correspondante. Ce chapitre concerne aussi bien le cas où la bi-clé est générée par le porteur que le cas où elle est générée par l'ac Identification et validation pour un renouvellement courant Lors du premier renouvellement, la vérification de l identité du porteur est optionnelle. Lors du premier renouvellement, l'ac doit au minimum s'assurer que les informations du dossier d'enregistrement initial sont toujours valides. BKAM, tous droits réservés Page 20 sur 45

21 Lors du renouvellement suivant, l'ae identifiera le porteur selon la même procédure que pour l'enregistrement initial ou suivant une procédure offrant un niveau d assurance équivalent Identification et validation pour un renouvellement après révocation Suite à la révocation définitive d'un certificat, quelle qu'en soit la cause, la procédure d'identification et de validation de la demande de renouvellement doit être identique à la procédure d'enregistrement initial. 4.8 Modification du certificat La modification de certificat n'est pas autorisée dans la présente PC. 4.9 Révocation et suspension des certificats Causes possibles d une révocation Lorsque l une des situations ci-dessous se présente, le certificat concerné est révoqué et son numéro de série est placé dans la Liste de Certificats Révoqués (LCR) tant que la date d expiration du certificat n est pas dépassée. Toute demande de révocation doit être accompagnée d une cause de révocation Certificats de porteurs Les situations suivantes peuvent être à l origine de la révocation du certificat d un porteur : les informations du porteur figurant dans son certificat ne sont plus en conformité avec l'identité ou l utilisation prévue dans le certificat ; le porteur n a pas respecté les modalités applicables d utilisation du certificat ; la clé privée du porteur est compromise ou suspectée de compromission, elle est perdue ou volée ; le porteur ou une entité autorisée demande la révocation du certificat (notamment dans le cas d'une destruction ou altération de la clé privée du porteur et/ou de son support) ; le départ, le changement de fonction du porteur ; le décès du porteur ou la cessation d activité de l entité du porteur. Irrégularité dans les formulaires de demandes de certification (mandant non habilité, formulaire non signé, retard dans la transmission des formulaires conformes ) Certificats d'une composante de la PKI Les situations suivantes peuvent être à l origine de la révocation du certificat d'une composante de la PKI (y compris le certificat de l'ac pour la génération de certificats, de la LCR) : BKAM, tous droits réservés Page 21 sur 45

22 suspicion de compromission, compromission, perte ou vol de la clé privée de la composante ; décision de changement de composante de la PKI suite à la détection d'une non-conformité des procédures appliquées au sein de la composante avec celles annoncées dans la DPC (par exemple, suite à un audit de qualification ou de conformité négatif) ; cessation d activité de l'entité opérant la composante Origine d une demande de révocation Certificats de porteurs Les personnes / entités qui peuvent demander la révocation d un certificat de porteur sont les suivantes : le porteur au nom duquel le certificat a été émis ; l entité du porteur (mandataire habilité) ; l opérateur d enregistrement des utilisateurs externes ; le responsable d enregistrement des utilisateurs externes Certificats d'une composante de la PKI La révocation d'un certificat d'ac ne peut être décidée que par l'entité responsable de l'ac ou par les autorités judiciaires via une décision de justice. La révocation des certificats des autres composantes est décidée par l'entité opérant la composante concernée, qui doit en informer l'ac sans délai Procédure de traitement d'une demande de révocation Révocation d'un certificat de porteur A la réception d une demande de révocation, l Autorité d Enregistrement vérifie l identité du demandeur et la validité de la demande. La demande de révocation doit au moins comporter les informations suivantes : l identité du porteur du certificat utilisée dans le certificat (nom, prénom, matricule, ) ; le nom du demandeur de la révocation ; le motif de la demande de révocation. Si la demande est recevable, l Autorité d Enregistrement révoque le certificat en faisant introduire le numéro de série du certificat et la date de révocation dans la Liste de Certificats Révoqués (LCR). Si la demande n est pas recevable, l Autorité d Enregistrement en informe le demandeur, par l intermédiaire de l Opérateur d Enregistrement. Le demandeur et le porteur sont informés, par , de la prise en compte de la demande de révocation de l Autorité d Enregistrement. BKAM, tous droits réservés Page 22 sur 45

23 L opération de révocation est enregistrée dans les journaux d événements de l Autorité de Certification Externe. L Autorité d Enregistrement enregistre et archive les demandes de révocation. Les causes de révocation définitive des certificats ne sont pas publiées. Des précisions, concernant la procédure de traitement de révocation, sont apportées dans la DPC Révocation d'un certificat d'une composante de la PKI La procédure à mettre en œuvre en cas de révocation d un certificat d une composante de la PKI est décrite dans la DPC. En cas de révocation du certificat de l Autorité de Certification appartenant à la chaîne de confiance d un certificat, les actions suivantes sont à réaliser : les porteurs concernés doivent être informés sans délai que leurs certificats ne sont plus valides via l Opérateur d Enregistrement des utilisateurs externes; Délai accordé au porteur pour formuler une demande de révocation Dès que le porteur (ou une personne autorisée) a pris connaissance qu'une des causes possibles de révocation, de son ressort, est effective, il doit formuler sa demande de révocation sans délai. Dans le cas contraire, sa responsabilité pourrait être engagée Délai de traitement par l'ac d une demande de révocation Révocation d'un certificat de porteur L AC traite dès réception les demandes qui lui parviennent. La Liste des Certificats Révoqués est mise à jour et publiée par l AC au plus tard 24h après la prise en compte de la demande de révocation Révocation d'un certificat d'une composante de la PKI La révocation d un certificat de signature de l AC est effectuée immédiatement, particulièrement quand il s agit d un cas de compromission de clé selon les procédures décrites au niveau de la DPC Exigences de vérification de la révocation par les utilisateurs de certificats BKAM met à disposition des utilisateurs de certificats la Liste de Certificats Révoqués (LCR) et la Liste d Autorités de Certification Révoquées (LAR), via le lien Il est de la responsabilité de l utilisateur de certificat de vérifier, avant utilisation, le statut des certificats de l ensemble de la chaîne de certification correspondante Fréquence d'établissement des LCR Voir chapitre 2.3. BKAM, tous droits réservés Page 23 sur 45

24 4.9.8 Délai maximum de publication d'une LCR Une LCR ou une LAR est publiée dans un délai maximum de 30 minutes après sa génération Disponibilité d'un système de vérification en ligne de la révocation et de l'état des certificats Un serveur OCSP (Open Certificate Status Protocol) est mis en œuvre pour permettre la vérification en ligne de l état de révocation des certificats émis par l AC externe via le lien Exigences techniques de vérification en ligne de la révocation des certificats par les utilisateurs de certificats Sans Objet Autres moyens disponibles d'information sur les révocations Sans Objet Exigences spécifiques en cas de compromission de la clé privée En cas de compromission de la clé privée, les actions suivantes doivent être entreprises. Cas des certificats de porteurs Les entités autorisées à effectuer une demande de révocation sont tenues de le faire dans les meilleurs délais après avoir eu connaissance de la compromission de la clé privée. Cas des certificats d AC La révocation suite à la compromission de la clé privée fera l objet d une information clairement diffusée sur le site Internet de la PKI et éventuellement relayée par d autres moyens, par exemple, communiqué de presse, publication sur le site institutionnel de la BKAM (en liaison avec le Département de la Communication de la BKAM) Causes possibles d une suspension Les causes d une suspension sont détaillées dans la DPC Origine d une demande de suspension La demande de suspension peut être lancée par le porteur du certificat soit à travers l opérateur d enregistrement des utilisateurs externes, ou soit à travers la hotline PKI. La suspension peut être aussi à l origine d une demande directe du responsable d enregistrement ou bien de l opérateur des utilisateurs externes Procédure de traitement d'une demande de suspension Elles sont détaillées dans la DPC BKAM, tous droits réservés Page 24 sur 45

25 Limites de la période de suspension d'un certificat Sans objet Fonction d'information sur l'état des certificats Caractéristiques opérationnelles L'AC fournit aux utilisateurs de certificats les informations leur permettant de vérifier et de valider, préalablement à son utilisation, le statut d'un certificat et de l'ensemble de la chaîne de certification correspondante (jusqu à et y compris l'ac Racine). Elle offre ainsi la possibilité de vérifier la validité des signatures qui garantissent l'origine et l intégrité des LCR / LAR et l'état du certificat de l'ac Racine. La fonction d information sur l état des certificats met à la disposition des utilisateurs de certificats un mécanisme de consultation libre des LCR / LAR. Ces dernières sont au format V2 publiées dans le site internet de la PKI de BKAM Disponibilité de la fonction Le tableau suivant présente les engagements en termes de disponibilité de la fonction d information sur l état des certificats. Accessibilité du service Taux de disponibilité du service (base mensuelle hors maintenance préventive) 24h/24h, 7j/7j 97% 4.11 Fin de la relation entre le porteur et l'ac En cas de fin de relation contractuelle / hiérarchique / réglementaire entre l'ac et le porteur, le certificat de ce dernier est révoqué avant la fin de sa période de validité Séquestre de clé et recouvrement Politique et pratiques de recouvrement par séquestre des clés Sans objet Politique et pratiques de recouvrement par encapsulation des clés de session Sans objet. BKAM, tous droits réservés Page 25 sur 45

26 5 MESURES DE SECURITE NON TECHNIQUES 5.1 Mesures de sécurité physique Les mesures de sécurité physique sont formalisées par des documents spécifiques au niveau de la Direction de l Organisation et Systèmes d Information (DOSI) auprès de BKAM, et doivent être mises en œuvre. Des contrôles sont mis en place par chacune des entités de la PKI. Elles sont détaillées dans la DPC et couvrent les points suivants : situation géographique et construction des sites ; contrôles d accès physique ; alimentation électrique et climatisation ; vulnérabilités aux dégâts des eaux ; prévention et protection incendie ; conservation des supports ; mise hors service des supports ; sauvegardes hors site. 5.2 Mesures de sécurité procédurales Ces mesures permettent d assurer que les tâches liées aux fonctions essentielles de la PKI sont réparties entre plusieurs personnes. Des contrôles de procédures sont mis en place pour chacune des entités de la PKI. Elles sont détaillées dans la DPC et couvrent les thèmes suivants : les rôles de confiance définis au niveau de la DPC ; le nombre de personnes requises par tâches ; l identification et l authentification pour chaque rôle ; les rôles exigeant une séparation des tâches. 5.3 Mesures de sécurité vis-à-vis du personnel Des contrôles effectués sur le personnel sont mis en place pour chacune des entités de la PKI. Elles sont détaillées dans la DPC et couvrent les aspects suivants : les qualifications, compétences et habilitations requises ; les procédures de vérification des antécédents ; les exigences de formation initiale ; les exigences et fréquence de formation continue ; les fréquences et périodicité de rotation entre les différentes attributions ; BKAM, tous droits réservés Page 26 sur 45

27 les sanctions en cas d actions non autorisées ; les exigences vis-à-vis du personnel des prestataires externes ; la documentation fournie au personnel. En outre, toute personne contribuant à des tâches liées à l Autorité de Certification ou à l Autorité d Enregistrement ne doit pas être en situation de conflit d intérêt vis-àvis de l Autorité de Certification Externe de Bank Al-Maghrib. 5.4 Procédures de constitution des données d'audit Les journaux d événements sont protégés en authenticité et en intégrité, et font l objet de règles strictes d exploitation décrites dans la DPC qui couvrent notamment les points suivants : le type d événements à enregistrer ; la fréquence de traitement des journaux d événements ; la période de conservation des journaux d événements ; la protection des journaux d événements ; la procédure de sauvegarde des journaux d événements ; le système de collecte des journaux d événements ; la notification de l enregistrement d un événement au responsable de l événement ; l évaluation des vulnérabilités. 5.5 Archivage des données L archivage est réalisé par l Autorité d Enregistrement et les AC dans le but d assurer la continuité de service, l audit et la non répudiation des opérations. Les mesures nécessaires sont mises en place par l Autorité d Enregistrement et les AC afin que ces archives soient disponibles, ré exploitables, protégées en intégrité et fassent l objet de règles strictes d exploitation et de protection contre la destruction. Sont notamment archivées selon les procédures internes en vigueur : les PC et les DPC successives, pendant toute la durée de vie de l AC Racine ; les LCR, pendant cinq (5) ans après leur publication ; les LAR, pendant cinq (5) ans après leur publication ; les certificats pendant deux (2) ans après leur révocation. La DPC couvre les points suivants : les types de données à archiver ; la période de conservation des archives ; la protection des archives ; BKAM, tous droits réservés Page 27 sur 45

28 la procédure de sauvegarde des archives ; les exigences d horodatage des données ; le système de collecte des archives ; les procédures de récupération et de vérification des archives. Les archives peuvent être mises à disposition des personnes habilitées (définies dans la DPC relative à la présente PC) sous deux (2) jours ouvrés. 5.6 Changement de clé d'ac L'AC ne génère pas de certificat dont la date de fin de validité serait postérieure à la date d expiration du certificat de l'ac. Ainsi, la période de validité du certificat de l'ac est supérieure à celle des certificats qu'elle signe. Au regard de la date d expiration de la validité de ce certificat, son renouvellement doit être demandé dans un délai au moins égal à la durée de vie des certificats signés par la clé privée correspondante. Dès qu une nouvelle bi-clé d'ac est générée, seule la nouvelle clé privée est utilisée pour signer des certificats. Le certificat précédent reste utilisable pour valider les certificats émis sous cette clé et ce, au moins jusqu à ce que tous les certificats signés avec la clé privée correspondante aient expiré. 5.7 Reprise suite à compromission ou sinistre Les procédures de récupération des composantes de la PKI en cas de sinistre ou de compromission sont décrites dans la DPC relative à la présente PC. En particulier, sont couverts les points suivants : les procédures de remontée et de traitement des incidents et des compromissions ; les procédures de reprise en cas de compromission de ressources informatiques (matériels, logiciels et / ou données) ; les procédures de reprise en cas de compromission de la clé privée d une composante ; les capacités de continuité d activité suite à un sinistre. BKAM, tous droits réservés Page 28 sur 45

29 5.8 Fin de vie de la PKI Une ou plusieurs composantes de la PKI peuvent cesser leur activité ou être transférées à une autre entité. La cessation d activité est définie comme la fin d activité d une composante de la PKI comportant une incidence sur la validité des certificats émis antérieurement à la cessation. Le transfert d activité est défini comme la fin d activité d une composante de la PKI ne comportant pas d incidence sur la validité des certificats émis avant le transfert considéré et la reprise de cette activité organisée par l AC en collaboration avec la nouvelle entité Transfert d activité ou cessation d activité affectant une composante de la PKI autre que l AC Afin d'assurer un niveau de confiance constant pendant et après de tels événements, l AC: possède et met en œuvre des procédures dont l'objectif est d'assurer un service constant en particulier en matière d'archivage (notamment, archivage des certificats des porteurs et des informations relatives aux certificats) ; assure la continuité de la fonction de révocation (prise en compte d'une demande de révocation et publication des LCR), conformément aux exigences de disponibilité pour ses fonctions définies dans la présente PC. L Autorité de Certification prévient l ensemble des entités de la PKI trois mois avant la date effective de cessation ou de transfert de responsabilité. L Autorité de Certification prévient tous les porteurs par un moyen laissé à sa discrétion avec un préavis de deux mois. Au terme des trois mois de préavis, si l Autorité de Certification est en cessation d activité, tous les certificats qu elle a émis seront révoqués. Les procédures mises en œuvre pour l archivage de l AC sont décrites dans la DPC relative à la présente PC Cas de cessation d activité affectant l AC Lors de l'arrêt du service, une procédure est établie pour: révoquer le certificat de l'ac ; révoquer tous les certificats qu elle a signés et qui seraient encore en cours de validité ; informer tous les porteurs des certificats révoqués ou à révoquer ; interdire de transmettre la clé privée lui ayant permis d émettre des certificats ; la détruire ou prendre toutes les mesures nécessaires à la rendre inopérante. BKAM, tous droits réservés Page 29 sur 45

30 6 MESURES DE SECURITE TECHNIQUES 6.1 Génération et installation de bi clés Génération des bi-clés Clés d'ac Les clés de signature d'ac sont générées et mises en œuvre dans un module cryptographique conforme à l état de l art. La génération des clés de signature de l'ac est effectuée dans le cadre de la "cérémonie de clés" Clés de porteurs générées par l'ac La génération des clés des porteurs est effectuée dans un environnement sécurisé. Les bi-clés des porteurs sont générées : Soit directement sur le support carte à puce, destiné au porteur, Soit dans un module cryptographique, puis transférées de manière sécurisée au porteur sans que l'ac n'en garde aucune copie Clés porteurs générées par le porteur Sans objet Transmission de la clé privée à son propriétaire Les clés privées sont transmises aux porteurs dans des conditions qui garantissent leur intégrité et leur confidentialité Transmission de la clé publique à l AC En cas de transmission de la clé publique du porteur vers une composante de l'ac (cas où la bi-clé est générée par le porteur), la clé est protégée en termes d intégrité et son origine est authentifiée. Les moyens de transmissions sont détaillés dans la DPC Transmission de la clé publique de l AC aux utilisateurs de certificats Les clés publiques de vérification de signature (clé publique de l AC) de l'ac sont diffusées auprès des utilisateurs de certificats par un moyen qui en assure l'intégrité de bout en bout et qui en authentifie l'origine Tailles des clés L AC racine dispose d une clé RSA de 4096 bits. Les AC filles disposent d une clé RSA de 2048 bits. Les porteurs disposent d une clé RSA d une longueur supérieure ou égale à 1024 bits. BKAM, tous droits réservés Page 30 sur 45

31 Ces exigences seront revues au fur et à mesure de l évolution de la technique et/ou de la législation Vérification de la génération des paramètres des bi-clés et de leur qualité L équipement de génération des bi-clés utilise des paramètres respectant les normes de sécurité propres à l algorithme RSA. Le détail est fourni dans la DPC Objectifs d'usage de la clé L'utilisation de la clé privée de l'ac et du certificat associé est strictement limitée à la signature de certificats et des LCR / LAR. 6.2 Mesures de sécurité pour la protection des clés privées et pour les modules cryptographiques Standards et mesures de sécurité pour la protection des modules cryptographiques Modules cryptographiques de l'ac Les modules cryptographiques, utilisés par l'ac, pour la génération et la mise en œuvre de ses clés de signature, ainsi que le cas échéant pour la génération des clés des porteurs, sont conformes à l état de l art et certifiés FIPS niveau 3 ou équivalent Dispositifs de création de signature des porteurs Sans objet, le présent document ne traite pas des exigences relatives aux systèmes de création de signature Contrôle de la clé privée par plusieurs personnes Ce chapitre porte sur le contrôle de la clé privée de l'ac pour son exportation ou importation dans ou hors un module cryptographique. Le contrôle de la clé privée de signature de l'ac est assuré par un personnel de confiance (porteurs de secrets de PKI) et via un outil basé sur le principe de partage de secret (authentification obligatoire de N exploitants (porteurs de parties du secret) parmi M, avec N au moins égal à 2, pour pouvoir accéder à la clé privée de l AC) Séquestre de la clé privée Les clés privées des AC ne sont pas séquestrées Copie de secours de la clé privée Les clés privées des porteurs ne font l'objet d'aucune copie de secours par l'ac. Les clés privées de l'ac font l'objet de copies de secours dans un module cryptographique. BKAM, tous droits réservés Page 31 sur 45

32 6.2.5 Archivage de la clé privée Les clés privées des AC ne sont pas archivées. Les clés privées des porteurs ne sont pas archivées Transfert de la clé privée vers / depuis le module cryptographique Le transfert de la clé privée vers et depuis le module cryptographique réalisé via un dispositif basé sur le principe de partage de secret. Les moyens de transfert utilisés permettent d assurer la confidentialité de la clé privée. Le détail est fourni dans la DPC Stockage de la clé privée dans un module cryptographique Les clés privées des autorités de certification sont stockées dans un boîtier cryptographique Méthode d'activation de la clé privée Clés privées de l'ac L'activation des clés privées de l'ac dans un module cryptographique est contrôlée via des données d'activation et doit faire intervenir au moins deux personnes parmi cinq Clés privées des porteurs Cas de certificat logiciel Il n y a pas de données (ou mot de passe) d activation de la clé privée. Celle-ci est activée automatiquement sur le poste du porteur, lors de son usage. Dans le cas où le porteur change de poste, la bi-clé est exportée. L exportation est sécurisée via la saisie d un code d activation. Lors de l installation de la bi-clé sur l autre poste, le porteur doit renseigner ce code d activation afin d activer la clé privée. Cas de certificat sur support matériel La clé privée est protégée dans la carte à puce via un code PIN Méthode de désactivation de la clé privée Clés privées de l'ac La désactivation des clés privées de l'ac dans un module cryptographique est automatique dès que l'environnement du module évolue : arrêt ou déconnexion du module, déconnexion de l'opérateur, etc. Une clé privée de l'ac peut également être désactivée après une certaine période d'inactivité. Ces conditions de désactivation BKAM, tous droits réservés Page 32 sur 45

33 permettent de répondre aux exigences du niveau de sécurité considéré (EAL4+ ou FIPS ) Clés privées des porteurs Sans objet Méthode de destruction des clés privées Clés privées de l'ac En fin de vie d'une clé privée de l'ac, normale ou anticipée (révocation), cette clé est systématiquement détruite, ainsi que toute copie et tout élément permettant de la reconstituer Clés privées des porteurs Par défaut, les clés privées des porteurs ne sont pas détruites. 6.3 Autres aspects de la gestion des bi-clés Les clés publiques sont archivées dans le cadre de l archivage des certificats correspondants. Les certificats et bi-clés des porteurs ont une durée de vie égale. La fin de vie d un certificat de l AC est postérieure à la fin de vie des certificats qu elle émet. 6.4 Mesures de sécurité des systèmes informatiques hébergeant la PKI Les mesures de sécurité relatives aux systèmes informatiques doivent satisfaire aux objectifs de sécurité qui découlent de l'analyse de risque que l'ac doit mener Exigences de sécurité technique spécifiques aux systèmes informatiques Un niveau minimal d assurance de la sécurité offerte sur les systèmes informatiques de la PKI est défini dans la DPC de l'ac. Il répond aux objectifs de sécurité suivants : identification et authentification forte des utilisateurs pour l'accès au système (authentification à deux niveaux : via certificat sur support matériel et code PIN) ; gestion des sessions d utilisation (déconnexion après un temps d inactivité) ; protection contre les virus informatiques et toutes formes de logiciels compromettants ou non autorisés et mises à jour régulières des logiciels ; gestion des comptes et des habilitations des utilisateurs, notamment la modification et la suppression rapide des droits d'accès ; 1 EAL4+ ou FIPS sont des niveaux de certification de la sécurité des modules cryptographiques utilisés pour la protection des clés privées des Autorités de Certification BKAM, tous droits réservés Page 33 sur 45

34 protection du réseau contre tout accès non autorisé; protection du réseau afin d'assurer la confidentialité et l'intégrité des données qui y transitent ; fonctions d audits (non répudiation et nature des actions effectuées) ; gestion des reprises suite à l indisponibilité de la plateforme PKI Niveau d'évaluation de la sécurité des systèmes informatiques Le détail est fourni dans la DPC. 6.5 Mesures de sécurité liées au développement des systèmes L implémentation du système de mise en œuvre des composantes de la PKI est documentée et respecte dans la mesure du possible des normes et bonnes pratiques de développement. La configuration de ce système ainsi que toute modification et mise à niveau sont documentées et contrôlées. 6.6 Mesures de sécurité réseau L Autorité de Certification s engage à ce que les réseaux utilisés dans le cadre de la PKI respectent les objectifs de sécurité informatique définis dans la DPC. 6.7 Contrôle des modules cryptographiques L Autorité de Certification utilise un module cryptographique évalué selon les critères FIPS niveau 3 (ou supérieur) ou équivalents. 6.8 Horodatage / Système de datation Plusieurs exigences de la présente PC nécessitent la datation, par les différentes composantes de la PKI, d'évènements liés aux activités de la PKI. Pour dater ces évènements, les composantes de la PKI recourent : soit à l autorité d'horodatage, interne à la PKI ; soit en utilisant l'heure système de la plate forme PKI synchronisée avec une heure atomique de référence via l emploi du protocole de synchronisation des horloges. BKAM, tous droits réservés Page 34 sur 45

35 7 PROFIL DES CERTIFICATS ET DES LCR 7.1 Certificats d utilisateur de niveau Certificat d Authentification et de Signature d un Utilisateur Externe (niveau 2) Le tableau ci-dessous présente les principaux champs du certificat d un utilisateur externe (niveau 2). Tableau 1. Profil de Certification du Certificat d Authentification d un Utilisateur Externe (niveau 2) Champ Contenu Proposé Critique Observations 1. Signature Algorithm sha256withrsaencryption 2. Issuer dc=ma, dc=bkam, cn=certification Authorities, cn=bkam-ac-externe Tous les DistinguishNames (DN) seront codifiés en format UTF8. 3. Validity 1 an 4. Subject 5. Subject Public Key Info 6. Certificate Policies C=ma, O=bkam, cn=users, cn=appusers, cn=externe, cn=<nom> <Prénom> Algorithme : RSA Encryption Longueur : 1024 bits Tous les DistinguishNames (DN) seront codifiés en format UTF8. On recommande 1024 bits de longueur de la bi-clé, pour une raison de performance et de compatibilité avec plusieurs technologies. Policy Identifier URL CPS Ne sera pas utilisé Non Notice Reference Ne sera pas utilisé 7. Subject Alternate Names Rfc822Name = < de l utilisateur> Non 8. KeyUsage digitalsignature keyagreement Oui digitalsignature : permet la signature des données électroniques. keyagreement : permet le «handshake» SSL. 9. extkeyusage clientauth protection Non clientauth : permet d ouvrir des connexions SSL comme «client». protection : permet la signature des courriels. 10. netscapecerttype SSL_client SMIME_client Non SSL_client : permet d ouvrir des connexions SSL comme «client». SMIME_client : permet la signature des courriels. 11. Subject Key Identifier Sera utilisé Non BKAM, tous droits réservés Page 35 sur 45

36 Champ Contenu Proposé Critique Observations 12. Authority Key Identifier keyidentifierpresent issuerandserialpresent Oui Non Non L ID de la clé de l AC émettrice sera inclus dans le certificat. Par contre, le numéro de série du certificat de l AC émettrice ne sera pas inclus. Donc, on peut faire le renouvellement de ce certificat sans impact pour le reste de la PKI. 13. Basic Constraints Sera utilisé ca Non Oui Celle-ci n est pas une AC. pathlenconstraint Vide 14. authorityinfoaccess OCSP: Non 7.2 Certificats d utilisateur de niveau Certificat d Authentification et Signature d un Utilisateur Externe (niveau 3) Le tableau suivant présente les principaux champs du certificat d un utilisateur externe de niveau 3. Tableau 2. Profil de Certification du Certificat d Authentification d un Utilisateur Externe (niveau 3) Champ Contenu Proposé Critique Observations 1. Signature Algorithm sha256withrsaencryption 2. Issuer dc=ma, dc=bkam, cn=certification Authorities, cn=bkam-ac-externe Tous les DistinguishNames (DN) seront codifiés en format UTF8. 3. Validity 1 an 4. Subject 5. Subject Public Key Info 6. Certificate Policies cn=<matricule> Algorithme : RSA Encryption Longueur : 1024 bits Tous les DistinguishNames (DN) seront codifiés en format UTF8. On recommande 1024 bits de longueur de la bi-clé, pour une raison de performance et de compatibilité avec plusieurs technologies. Policy Identifier URL CPS Ne sera pas utilisé Non Notice Reference Ne sera pas utilisé BKAM, tous droits réservés Page 36 sur 45

37 Champ Contenu Proposé Critique Observations 7. Subject Alternate Names Rfc822Name = < de l utilisateur> Non 8. KeyUsage digitalsignature keyagreement Oui digitalsignature : permet la signature des données. keyagreement : permet le «handshake» SSL. 9. extkeyusage clientauth protection Non clientauth : permet d ouvrir des connexions SSL comme «client». protection : permet la signature des courriels. 10. netscapecerttype SSL_client SMIME_client Non SSL_client : permet d ouvrir des connexions SSL comme «client». SMIME_client : permet la signature des courriels. 11. Subject Key Identifier Sera utilisé Non 12. Authority Key Identifier keyidentifierpresent issuerandserialpresent Oui Non Non L ID de la clé de l AC émettrice sera inclus dans le certificat. Par contre, le numéro de série du certificat de l AC émettrice ne sera pas inclus. Donc, on peut faire le renouvellement de ce certificat sans impact pour le reste de la PKI. 13. Basic Constraints Sera utilisé ca Non Oui Celle-ci n est pas une AC. pathlenconstraint Vide 14. authorityinfoaccess OCSP: Non 7.3 Profil de la CRL de l AC Externe Le tableau ci-dessous présente les principaux champs du profil de la CRL. Tableau 3. Profil de la CRL Champ Contenu Proposé Critique Observations 1. Version V2 2. Signature sha256withrsaencryption 3. Issuer dc=ma, dc=bkam, cn=certification Authorities, cn=bkam-ac-externe Tous les DistinguishNames (DN) seront codifiés en format UTF8. BKAM, tous droits réservés Page 37 sur 45

38 Champ Contenu Proposé Critique Observations 4. This update 0 5. Next update 1 jour 6. Revoked Certificates 6.1 User Certificate Serial Number 6.2 Revocation Date UTCTime RFC 3280: This field indicates the issue date of this CRL. KeyOne CA écrira la date locale du système, en temps de l émission de la CRL. RFC 3280: This field indicates the date by which the next CRL will be issued. KeyOne CA écrira la prochaine date d émission de la CRL, en utilisant la distance temporaire. Liste de certificats révoqués (SEQUENCE OF SEQUENCE), qui présentera la suivante information pour chaque certificat révoqué: Numéro de série du certificat révoqué Date de révocation du certificat révoqué 6.3 CRL Entry Extensions Reason Code Non Code de la raison de la révocation Hold Instruction Code Ne sera pas utilisé Non Invalidity Date Ne sera pas utilisé Non Certificate Issuer Ne sera pas utilisé Non 7. CRL Extensions 7.1 Authority Key Identifier Fonction hash SHA-1 sue la clé publique de l AC Racine Non La RFC 3280 recommande l emploi du mécanisme d identification de la clé 7.2 Issuer Alternative Name Ne sera pas utilisé Non 7.3 CRL Number Séquentiel Croissant Monotone Non 7.4 Delta CRL Indicator Ne sera pas utilisé Non 7.5 Issuing Distribution Point NO BKAM, tous droits réservés Page 38 sur 45

39 Champ Contenu Proposé Critique Observations distributionpoint (1) HTTP: crl/ ac_externe.crl (2) LDAP: ldap://ldap.bkam.ma/ cn=bkam-ac- EXTERNE, cn=certification Authorities, dc=bkam, dc=ma? certificaterevocationlist?base?objectclass= certificationauthority RFC4523: certificationauthority object class is deprecated. On utilise l objectclass pkica pour stocker la ARL onlycontainsusercerts 0 onlycontainscacerts 0 onlysomereasons 0 indirectcrl 0 onlycontainsattributecerts Freshest CRL Ne sera pas utilisé Non BKAM, tous droits réservés Page 39 sur 45

40 7.4 Profil OCSP Tableau 4. Profil de Certification du Certificat de Serveur OCSP de l AV Extension Contenu Proposé Critique Observations 1. Signature Algorithm sha256withrsaencryption 2. Issuer dc=ma, dc=bkam, cn=certification Authorities, cn=bkam-ac-externe Tous les DistinguishNames (DN) seront codifiés en format UTF8. 3. Validity 1 an Le certificat du serveur OCSP sera toujours accepté, parce que son état de révocation ne sera jamais validé. Donc, on propose de réduire le temps de validation de ce certificat. 4. Subject 5. Subject Public Key Info 6. Certificate Policies dc=ma, dc=bkam, cn=composantes PKI, cn=bkam-av Algorithme : RSA Encryption Longueur : 2048 bits Tous les DistinguishNames (DN) seront codifiés en format UTF8. Policy Identifier URL CPS Ne sera pas utilisée Non Notice Reference 7. Subject Alternate Names Ne sera pas utilisée N existera pas 8. KeyUsage digitalsignature Oui 9. extkeyusage OCSPSigning Non digitalsignature : permet la signature des données électroniques. OCSPSigning : permet la signature des données de validation de certificats, selon le protocole OCSP. 10. netscapecerttype N existera pas Non 11. Subject Key Identifier Sera utilisée Non 12. Authority Key Identifier keyidentifierpresent issuerandserialpresent Oui Non Non L ID de la clé de l AC émettrice sera inclus dans le certificat. Par contre, le numéro de série du certificat de l AC émettrice ne sera pas inclus. Donc, on peut faire le renouvellement de ce certificat sans impact pour le reste de la PKI. BKAM, tous droits réservés Page 40 sur 45

41 Extension Contenu Proposé Critique Observations 13. Basic Constraints Sera utilisée ca Non Oui Cette entité n est pas une AC. pathlenconstraint Vide 14. OCSP-no-check Sera utilisée Non Le certificat du serveur OCSP sera toujours accepté, parce que son état de révocation ne sera jamais validé. Cependant, l extension crldistributionpoint sera incluse dans le certificat. De cette façon, le certificat pourrait être validé à travers la CRL. BKAM, tous droits réservés Page 41 sur 45

42 8 AUDIT DE CONFORMITE ET AUTRES EVALUATIONS Les audits visent à s'assurer que l'ensemble de l infrastructure de l AC Externe est bien conforme aux engagements affichés dans la présente PC et aux pratiques identifiées dans la DPC associée. 8.1 Fréquences et / ou circonstances des évaluations Avant la première mise en service d'une composante de sa PKI ou suite à toute modification significative au sein d'une composante, l'ac procède à un contrôle de conformité de cette composante. L'AC procède également, régulièrement, à un contrôle de conformité de l'ensemble de sa PKI, tous les ans ou de façon exceptionnelle, inopinée, sur demande du comité du PKI de BKAM. 8.2 Identités des auditeurs Le contrôle d'une composante PKI est assigné à une équipe d'auditeurs accrédités par BKAM et par conséquent compétente en sécurité des systèmes d'information et dans le domaine d'activité de la composante contrôlée. 8.3 Relations entre auditeurs et entités évaluées L'équipe d'audit n appartient pas à l'entité opérant la composante de la PKI contrôlée, quelle que soit cette composante. Elle est, dûment, autorisée à pratiquer les contrôles visés. 8.4 Sujets couverts par les évaluations Les contrôles de conformité portent sur une composante de la PKI (contrôles ponctuels) ou sur l ensemble de l architecture de la PKI (contrôles périodiques) et visent à vérifier le respect des engagements et pratiques définies dans la PC de l'ac et dans la DPC associée ainsi que des éléments qui en découlent (procédures opérationnelles, ressources mises en œuvre, etc.). 8.5 Actions prises suite aux conclusions des évaluations A l issue d'un contrôle de conformité, l'équipe d'audit rend au Comité PKI de BKAM un avis parmi les suivants : "réussite", "échec", "à confirmer". En cas d échec et selon l importance des non-conformités, l'équipe d'audit émet des recommandations à l'ac qui peuvent être la cessation (temporaire ou définitive) d'activité, la révocation du certificat de la composante, la révocation de l ensemble des certificats émis depuis le dernier contrôle positif, etc. Le choix de la mesure à appliquer est effectué par l'ac et doit respecter ses politiques de sécurité internes. En cas de résultat "A confirmer", l'ac remet à la composante un avis précisant sous quel délai les non-conformités doivent être levées. Un contrôle de «confirmation» permettra, ensuite, de vérifier que tous les points critiques ont bien été résolus. BKAM, tous droits réservés Page 42 sur 45

43 En cas de réussite, l AC confirme à la composante contrôlée la conformité aux exigences de la PC et de la DPC. BKAM, tous droits réservés Page 43 sur 45

44 9 AUTRES PROBLEMATIQUES METIERS ET LEGALES 9.1 Tarifs Sans Objet. 9.2 Responsabilité financière Sans Objet. 9.3 Confidentialité des données professionnelles Périmètre des informations confidentielles Les informations considérées comme confidentielles sont les suivantes : la DPC, les clés privées de l AC, des composantes et des porteurs de certificats, les données d activation associées aux clés privées de l AC et des porteurs, les journaux d événements des composantes de la PKI, les causes de révocation, sauf accord explicite de publication, information d enregistrement (nom, prénom, etc.) Informations hors périmètre des informations confidentielles Sans Objet Responsabilité en termes de protection des informations confidentielles L AC respecte la législation et la réglementation en vigueur sur le territoire marocain. 9.4 Protection des données personnelles L AC respecte la législation et la réglementation en vigueur sur le territoire marocain. 9.5 Droits sur la propriété intellectuelle et industrielle Cf. législation et réglementation en vigueur sur le territoire Marocain. 9.6 Interprétations contractuelles et garanties Sans objet Autorités de Certification Sans objet Service d enregistrement Sans objet. BKAM, tous droits réservés Page 44 sur 45

45 9.6.3 Porteurs de certificats Sans objet Utilisateurs de certificats Sans objet Autres participants Sans objet. 9.7 Limites de garantie Sans objet. 9.8 Limite de responsabilités Sans objet. 9.9 Indemnités Sans objet Durée et fin anticipée de validité de la PC Durée de validité La PC de l'ac reste en application au moins jusqu'à la fin de vie du dernier certificat émis au titre de cette PC. BKAM, tous droits réservés Page 45 sur 45