Politique de certification. Banque de France AC Authentification forte (Offre d authentification personnelle forte)

Transcription

1 Sécurité de l information Banque de France AC Authentification forte (Offre d authentification personnelle forte) (OID : ) Date : 24 septembre 2012 Version : 1.0 Rédacteur : RSI Nombre de pages : 47 Banque de France AC Authentification forte Document public version 1.0 p. 1/47

2 FICHE DE CONTRÔLE DU DOCUMENT Suivi des versions Version Date Rédacteur Modification /09/2012 RSI Première version du document pour l IGC-BDF-v2 Validation du document : Validé par le Comité d approbation des politiques de certification de la Banque de France. Documents de référence SGDSN/ANSSI / DGME Référentiel général de sécurité (RGS) v1.0 ETSI TS Policy requirements for certification authorities issuing public key certificates AFNOR Z74-400:2002 Exigences concernant la politique mise en œuvre par les autorités de certification délivrant des certificats qualifiés IETF RFC 3647 Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework IETF RFC 5280 Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile Keynectis Politiques de certification AC racines et filles ( , ) Banque de France AC Authentification forte p. 2/47

3 TABLE DES MATIÈRES 1. INTRODUCTION PRÉSENTATION GÉNÉRALE IDENTIFICATION DU DOCUMENT ENTITÉS INTERVENANT DANS L INFRASTRUCTURE DE GESTION DE CLEFS USAGE DES CERTIFICATS GESTION DES POLITIQUES DE CERTIFICATION DÉFINITIONS ET ACRONYMES RESPONSABILITÉS CONCERNANT LA MISE À DISPOSITION DES INFORMATIONS DEVANT ÊTRE PUBLIÉES ENTITÉS CHARGÉES DE LA MISE À DISPOSITION DES INFORMATIONS INFORMATIONS PUBLIÉES DÉLAIS ET FRÉQUENCE DE PUBLICATION CONTRÔLE D ACCÈS AUX INFORMATIONS PUBLIÉES IDENTIFICATION ET AUTHENTIFICATION NOMMAGE VALIDATION INITIALE DE L IDENTITÉ IDENTIFICATION ET VALIDATION D UNE DEMANDE DE RENOUVELLEMENT DES CLEFS IDENTIFICATION ET VALIDATION D UNE DEMANDE DE RÉVOCATION EXIGENCES OPÉRATIONNELLES SUR LE CYCLE DE VIE DE CERTIFICATS DEMANDE DE CERTIFICAT TRAITEMENT D UNE DEMANDE DE CERTIFICAT DÉLIVRANCE DU CERTIFICAT ACCEPTATION DU CERTIFICAT USAGES DU BI-CLEF ET DU CERTIFICAT RENOUVELLEMENT (AU SENS RFC 3647) D UN CERTIFICAT DÉLIVRANCE D UN NOUVEAU CERTIFICAT SUITE À UN CHANGEMENT DE BI-CLEF MODIFICATION D UN CERTIFICAT RÉVOCATION ET SUSPENSION DES CERTIFICATS FONCTION D INFORMATION SUR L ÉTAT DES CERTIFICATS FIN DE LA RELATION ENTRE LE PORTEUR ET L AC SÉQUESTRE DE CLEF ET RECOUVREMENT MESURES DE SÉCURITÉ NON TECHNIQUES MESURES DE SÉCURITÉ PHYSIQUE MESURES DE SÉCURITÉ PROCÉDURALES MESURES DE SÉCURITÉ VIS-À-VIS DU PERSONNEL PROCÉDURES DE CONSTITUTION DES DONNÉES D AUDIT ARCHIVAGE DES DONNÉES CHANGEMENT DE CLEF D AC REPRISE SUITE À COMPROMISSION OU SINISTRE FIN DE VIE DE L IGC MESURES DE SÉCURITÉ TECHNIQUES GÉNÉRATION ET INSTALLATION DE BI-CLEFS MESURES DE SÉCURITÉ POUR LA PROTECTION DES CLEFS PRIVÉES ET POUR LES MODULES CRYPTOGRAPHIQUES Banque de France AC Authentification forte p. 3/47

4 6.3. AUTRES ASPECTS DE LA GESTION DES BI-CLEFS DONNÉES D ACTIVATION MESURES DE SÉCURITÉ DES SYSTÈMES INFORMATIQUES MESURE DE SÉCURITÉ LIÉES AU DÉVELOPPEMENT DES SYSTÈMES CONTRÔLE DE LA SÉCURITÉ RÉSEAU HORODATAGE / SYSTÈME DE DATATION PROFILS DES CERTIFICATS ET DES LCR / LAR PROFILS DES CERTIFICATS PROFILS DES LCR / LAR PROFIL OCSP AUDITS DE CONFORMITÉ ET AUTRES ÉVALUATIONS FRÉQUENCE ET CIRCONSTANCES DES ÉVALUATIONS IDENTITÉ ET QUALIFICATION DES ÉVALUATEURS RELATIONS ENTRE ÉVALUATEURS ET ENTITÉS ÉVALUÉES SUJETS COUVERTS PAR LES ÉVALUATIONS ACTIONS PRISES SUITE AUX CONCLUSIONS DES ÉVALUATIONS COMMUNICATION DES RÉSULTATS AUTRES PROBLÉMATIQUES MÉTIERS ET LÉGALES TARIFS RESPONSABILITÉS FINANCIÈRES CONFIDENTIALITÉ DES DONNÉES PROFESSIONNELLES PROTECTION DES DONNÉES PERSONNELLES DROITS SUR LA PROPRIÉTÉ INTELLECTUELLE ET INDUSTRIELLE INTERPRÉTATIONS CONTRACTUELLES ET GARANTIES EXCLUSIONS ET LIMITATIONS DE GARANTIE EXCLUSIONS ET LIMITATIONS DE RESPONSABILITÉS INDEMNITÉS DURÉE ET FIN ANTICIPÉE DE VALIDITÉ DE LA PC NOTIFICATIONS INDIVIDUELLES ET COMMUNICATION ENTRE LES PARTICIPANTS AMENDEMENTS DE LA PC DISPOSITIONS CONCERNANT LA RÉSOLUTION DE CONFLITS JURIDICTIONS COMPÉTENTES CONFORMITÉ AUX LÉGISLATIONS ET RÉGLEMENTATIONS DISPOSITIONS DIVERSES AUTRES DISPOSITIONS Banque de France AC Authentification forte p. 4/47

5 1. Introduction 1.1. Présentation générale La Banque de France délivre des certificats d une part à des membres de son personnel et d autre part à des membres d entreprises et d organismes en relation avec un des métiers de la Banque de France. Les certificats de l autorité de certification «Banque de France AC Authentification forte» sont délivrés, sur support matériel uniquement, à des personnes physiques. La délivrance d un certificat à une personne physique externe, désignée par le représentant légal d une entreprise ou d un organisme, est soumise à l approbation du métier de la Banque de France en relation avec cette entreprise ou organisme. Le présent document constitue la politique de certification (PC) de l offre d authentification personnelle forte de la Banque de France. La structure du présent document est celle retenue par le Référentiel général de sécurité et la RFC 3647 (cf. documents de références page 2). Cette offre de certificats et sa politique de certification (PC) associée sont conformes au document ETSI TS concernant les exigences incombant aux autorités de certification délivrant des certificats numériques. Cette politique de certification a vocation à être consultée et examinée par les organismes ou les personnes qui utiliseront ces certificats pour les aider à apprécier le degré de confiance qu ils peuvent placer dans ces certificats. Cette politique de certification a le statut de document «public» sur l échelle de classification de la Banque de France et est mise à disposition du public sous différentes formes, notamment sous format électronique, sur le site web institutionnel de la Banque de France Identification du document La présente PC porte le titre suivant : Banque de France AC Authentification forte (Offre d authentification personnelle forte) Cette PC est identifié par l OID suivant : Elle régit la délivrance des certificats d authentification, émis sur support matériel, destinés aux entreprises ou administrations Entités intervenant dans l infrastructure de gestion de clefs Ce paragraphe présente les entités intervenant dans l infrastructure de gestion de clefs (IGC), ainsi que les obligations auxquelles elles sont soumises. Les obligations suivantes sont communes à toutes les entités de l IGC : documenter et respecter les accords, conventions ou contrats qui lient la Banque de France aux autres entités ; mettre en œuvre les moyens techniques et humains nécessaires à la réalisation des prestations auxquelles l entité s'engage dans les conditions garantissant qualité et sécurité. Banque de France AC Authentification forte p. 5/47

6 Autorités de certification L infrastructure de gestion de clefs (IGC) mise en place par la Banque de France permet l émission de plusieurs types de certificats électroniques. Ces certificats appartiennent à des offres établies suivant des critères divers, en particulier : leurs usages ; leur niveau de sécurité. La Banque de France a choisi un modèle de confiance (présenté ci-dessous) dans lequel on trouve une AC «racine» et plusieurs AC «filles». Le certificat de l AC «racine» est auto-signé et ne dépend pas d autres autorités de certification. Les certificats des AC «filles» sont signés par l AC «racine». Les autorités de certification sont représentées par le Responsable de la sécurité de l information (RSI) de la Banque de France. La notion d'autorité de certification (AC) telle qu'utilisée dans la présente PC est définie au chapitre cidessous. L'AC a en charge la fourniture des prestations de gestion des certificats tout au long de leur cycle de vie (génération, diffusion, renouvellement, révocation,...) et s'appuie pour cela sur une infrastructure technique : une infrastructure de gestion de clefs (IGC). Les prestations de l'ac sont le résultat de différentes fonctions qui correspondent aux différentes étapes du cycle de vie des bi-clefs et des certificats. Afin de clarifier et faciliter l'identification des exigences, et en cohérence avec les documents de l'european Telecommunications Standards Institute (ETSI) dans le domaine (cf. ETSI TS ), la décomposition fonctionnelle d'une IGC qui est retenue dans la présente PC est la suivante : Autorité d enregistrement (AE) (aussi appelée «service d enregistrement» au sens ETSI TS ) - Cette fonction vérifie les informations d'identification du futur porteur d'un certificat, ainsi qu'éventuellement d'autres attributs spécifiques, avant de transmettre la demande correspondante à la fonction adéquate de l'igc, en fonction des services rendus et de l'organisation de l'igc. L'AE a également en charge, lorsque cela est nécessaire, la revérification des informations du porteur lors du renouvellement du certificat de celui-ci. Fonction de génération des certificats - Cette fonction génère (création du format, signature électronique avec la clef privée de l'ac) les certificats à partir des informations transmises par l'autorité d enregistrement et de la clef publique du porteur provenant soit du porteur, soit de la fonction de génération des éléments secrets du porteur, si c'est cette dernière qui génère le bi-clef du porteur. Fonction de génération des éléments secrets du porteur - Cette fonction génère les éléments secrets à destination du porteur, si l'ac a en charge une telle génération, et les prépare en vue de leur remise au porteur (par exemple, personnalisation de la carte à puce destinée au porteur, courrier sécurisé avec le code d'activation, etc.). De tels éléments secrets peuvent être, par exemple, directement le bi-clef du porteur, les codes (activation, déblocage) liés au dispositif de stockage de la clef privée du porteur ou encore des codes ou clefs temporaires permettant au porteur de mener à distance le processus de génération / récupération de son certificat. Fonction de remise au porteur - Cette fonction remet au porteur au minimum son certificat ainsi que, le cas échéant, les autres éléments fournis par l'ac (dispositif du porteur, clef privée du porteur, codes d'activation, ). Fonction de publication - Cette fonction met à disposition des différentes parties concernées, les politiques et pratiques publiées par l'ac, les certificats d'ac et toute autre information pertinente destinée aux porteurs et/ou aux utilisateurs de certificats, hors informations d'état des certificats. Elle peut également mettre à disposition, en fonction de la politique de l'ac, les certificats valides de ses porteurs. Fonction de gestion des révocations - Cette fonction traite les demandes de révocation (notamment identification et authentification du demandeur) et détermine les actions à mener. Les résultats des traitements sont diffusés via la fonction d'information sur l'état des certificats. Fonction d'information sur l'état des certificats - Cette fonction fournit aux utilisateurs de certificats des informations sur l'état des certificats (révoqués, suspendus, etc.). Cette fonction peut être mise en œuvre selon un mode de publication d'informations mises à jour à intervalles réguliers (LCR, LAR) et éventuellement également selon un mode requête-réponse temps réel (OCSP). Banque de France AC Authentification forte p. 6/47

7 Un certain nombre d'entités et personnes physiques externes à l'igc interagissent avec cette dernière. Il s'agit notamment : Porteur - La personne physique identifiée dans le certificat et qui est le détenteur de la clef privée correspondant à la clef publique qui est dans ce certificat. Mandataire de certification (MC) - Le mandataire de certification est désigné par et placé sous la responsabilité de l'entité cliente. Il est en relation directe avec l'ae. Il assure pour elle un certain nombre de vérifications concernant l'identité et, éventuellement, les attributs des porteurs de cette entité (il assure notamment le face-à-face pour l'authentification des porteurs lorsque celui-ci est requis). Utilisateur de certificat - L'entité ou la personne physique qui reçoit un certificat et qui s'y fie pour vérifier l identité du porteur du certificat. Personne autorisée - Il s'agit d'une personne autre que le porteur et le mandataire de certification et qui est autorisée par la politique de certification de l'ac ou par contrat avec l'ac à mener certaines actions pour le compte du porteur (demande de révocation, de renouvellement, ). Typiquement, dans une entreprise ou une administration, il peut s'agir d'un responsable hiérarchique du porteur ou d'un responsable des ressources humaines. Dans le cadre de ses fonctions opérationnelles, l'ac veille au respect des exigences suivantes en tant que responsable de l'ensemble de l'igc : Être une entité légale au sens de la loi française. Être en relation par voie contractuelle ou hiérarchique ou réglementaire avec l entité pour laquelle elle a en charge la gestion des certificats des porteurs de cette entité. L'AC peut aussi, le cas échéant, être en relation contractuelle ou hiérarchique ou réglementaire avec le ou les mandataires de certification choisis par l entité. Rendre accessible l ensemble des prestations déclarées dans sa PC aux promoteurs d application d'échanges dématérialisés de l'administration, aux porteurs, aux utilisateurs de certificats, ceux qui mettent en œuvre ses certificats. S assurer que les exigences de la PC et les procédures de la déclaration des pratiques de certification (DPC) sont appliquées par chacune des composantes de l'igc et sont adéquates et conformes aux normes en vigueur. Mettre en œuvre les différentes fonctions identifiées dans sa PC, correspondant au minimum aux fonctions obligatoires de la présente PC, notamment en matière de génération des certificats, de remise au porteur, de gestion des révocations et d'information sur l'état des certificats. Élaborer, mettre en œuvre, contrôler et maintenir les mesures de sécurité et les procédures opérationnelles, concernant ses installations, ses systèmes et ses biens informationnels. L AC mène une analyse de risques permettant de déterminer les objectifs de sécurité propres à couvrir les risques métiers de l'ensemble de l'igc et les mesures de sécurité techniques et non techniques correspondantes à mettre en œuvre. Elle élabore sa DPC en fonction de cette analyse. Mettre en œuvre ce qui est nécessaire pour respecter les engagements définis dans sa PC, notamment en termes de fiabilité, de qualité et de sécurité. À ce titre, elle doit posséder un ou des systèmes de gestion de la qualité et de la sécurité de l information adaptés aux services de certification qu elle assure. Générer, et renouveler lorsque nécessaire, ses bi-clefs et les certificats correspondants (signature de certificats, de LCR et de réponses OCSP), ou faire renouveler ses certificats si l'ac est rattachée à une AC hiérarchiquement supérieure. Diffuser ses certificats d'ac aux porteurs et utilisateurs de certificats. Suivre les demandes en capacité et réaliser des projections concernant les futurs besoins en capacité afin de garantir la disponibilité du service, notamment en matière de capacités de traitement et de stockage. Banque de France AC Authentification forte p. 7/47

8 Autorité d enregistrement L AE a pour rôle de vérifier l'identité du futur porteur de certificat. Pour cela, l'ae assure les tâches suivantes : la prise en compte et la vérification des informations du futur porteur et de son entité de rattachement et la constitution du dossier d'enregistrement correspondant ; le cas échéant, la prise en compte et la vérification des informations du futur MC (cf. dernier paragraphe) et de son entité de rattachement et la constitution du dossier d'enregistrement correspondant ; l établissement et la transmission des demandes afférentes à un certificat à la fonction adéquate de l'igc ; l archivage des pièces du dossier d'enregistrement (ou l'envoi vers la composante chargée de l'archivage) ; la conservation et la protection en confidentialité et en intégrité des données personnelles d authentification du porteur ou, le cas échéant, du MC, y compris lors des échanges de ces données avec les autres fonctions de l'igc (notamment, elle respecte la législation relative à la protection des données personnelles). Elle est aussi chargée de la transmission sécurisée des données d activation associées aux clefs privées. L'AE s'appuie sur un mandataire de certification désigné et placé sous la responsabilité de l'entité cliente pour effectuer tout ou partie des opérations de vérification des informations (cf. chapitre ci-dessous). L AE s assure que les demandes sont complètes et exactes et effectuées par un MC dûment autorisé. Dans tous les cas, l'archivage des pièces du dossier d'enregistrement (sous forme électronique et/ou papier) est de la responsabilité de l'ae (cf. chapitre 5.5) Porteurs de certificats Le porteur de certificat est une personne physique. Le porteur de certificat peut être soit un membre du personnel de la Banque de France soit un membre d une entreprise ou d un organisme en relation avec un des métiers de la Banque de France. Cette personne utilise sa clef privée et le certificat correspondant dans le cadre de ses activités en relation avec l'entité identifiée dans le certificat et avec laquelle il a un lien contractuel ou hiérarchique ou réglementaire. La Banque de France ne délivre pas de certificats de cette offre à des particuliers. Les porteurs doivent respecter les conditions définies dans la présente politique de certification Utilisateurs de certificats Sont appelés utilisateurs, les personnes physiques ou automates qui utilisent les certificats émis par la Banque de France. Un utilisateur est généralement un service automatisé (application, serveur, base de données ) qui utilise un certificat et un dispositif de vérification de signature pour vérifier l identité du porteur du certificat, en appliquant la politique et les pratiques de sécurité édictées par le responsable d'application. Les domaines d utilisation figurent dans la partie de la présente politique de certification. Les utilisateurs de certificats doivent respecter les conditions définies dans la présente politique de certification, en particulier les exigences des chapitres et Autres participants Composantes de l IGC La décomposition en fonctions de l'igc est présentée au chapitre ci-dessus. Les composantes de l'igc mettant en œuvre ces fonctions sont présentées dans la DPC Mandataires de certification Les mandataires de certification (MC) sont les personnes habilitées à demander des certificats. Les mandataires de certification sont des personnes physiques, reconnues par la Banque de France comme habilitées à adresser des demandes de délivrance de certificats à l autorité d enregistrement. Ils jouent le rôle d autorité d enregistrement déléguée, en relation directe avec l'ae de l'igc. Les mandataires de certification n ont pas accès aux moyens qui leur permettraient d'activer et d'utiliser la clef privée associée à la clef publique contenue dans le certificat délivré au porteur. Les engagements du MC à l'égard de l'ac sont précisés dans un contrat écrit avec l'entité de rattachement du MC. Le MC s engage à : Banque de France AC Authentification forte p. 8/47

9 effectuer de façon indépendante les contrôles d identité des futurs porteurs de l entité pour laquelle il est MC ; respecter les obligations définies dans les PC et DPC de l AC qui lui incombent. Pour les porteurs internes à la Banque de France : Les Gestionnaires locaux de sécurité (GLS) sont mandataires de certification pour leur domaine d intervention. Pour les porteurs externes à la Banque de France Les porteurs externes sont authentifiés par un mandataire de certification. Une même entité peut s'appuyer sur un ou plusieurs mandataires de certification. Le mandataire de certification est formellement désigné auprès du correspondant métier de la Banque de France par un représentant légal de l entité concernée. Le correspondant métier de la Banque de France adresse à l AE la liste des mandataires de certification habilités à faire des demandes pour un organisme. Chaque métier de la Banque dispose de ses propres procédures de reconnaissance des entités avec lesquelles il est en relation. Dans tous les cas, les formulaires fournis pour l autorité de certification «Banque de France AC Authentification forte» doivent être utilisés. L'entité doit signaler à l'ac, si possible préalablement mais au moins sans délai, le départ du MC de ses fonctions et, éventuellement, lui désigner un successeur Usage des certificats Domaines d utilisation applicables Bi-clefs et certificats des porteurs L autorité de certification «Banque de France AC Authentification forte» ne délivre que des certificats d authentification personnelle forte. Les porteurs peuvent utiliser leur certificat pour signer électroniquement des requêtes d authentification dans le cadre de leur activité professionnelle en relation avec un des métiers de la Banque de France ou du Système européen de banques centrales (SEBC). L utilisation de la clef privée du porteur et du certificat associé est strictement limitée au service d authentification (cf. chapitre 4.5.1). Les certificats délivrés à des fins de tests techniques ou de recette sont signés par une AC spécifique «de test», distincte de l AC «de production» objet de cette PC Bi-clefs et certificats d AC et de ses composantes Le bi-clef de l autorité de certification «Banque de France AC Authentification forte» est utilisé uniquement pour : 1. signer les certificats de porteurs qu elle émet ; 2. signer les listes de certificats révoqués (LCR) qu elle émet ; 3. signer les réponses OCSP sur le statut des certificats de porteurs qu elle émet Domaines d utilisation interdits La Banque de France décline toute responsabilité dans l usage fait d un certificat dans un cadre autre que l usage prévu aux paragraphes et Gestion des politiques de certification Entité gérant les politiques de certification La PC de l autorité de certification «Banque de France AC Authentification forte» est élaborée et mise à jour par le Responsable de la sécurité de l information de la Banque de France. Cette PC est soumise à l approbation du Comité d approbation des politiques de certification (CAPC cf. chapitre 1.6.2) notamment pour : valider les usages et restrictions d'usage des certificats émis par cette AC ; vérifier sa conformité aux évolutions technologiques et aux exigences fonctionnelles ou réglementaires. Banque de France AC Authentification forte p. 9/47

10 La périodicité minimale de révision de cette PC est de deux (2) ans. Un tableau indiquant les différentes versions de la PC, les dates de révisions et les principales modifications apportées par rapport à sa version antérieure est présenté en page 2 du présent document Point de contact de la politique de certification Les coordonnées de la personne et du CAPC en charge de l élaboration de la PC sont les suivantes. Responsable de la sécurité de l information soit Christophe Chancel à date de rédaction de ce document Comité d approbation des politiques de certification, présidé par le RSI, soit Christophe Chancel à date de rédaction du document RSI / Christophe Chancel 1 rue de la Vrillière Paris crypto-ut@banque-france.fr RSI / Christophe Chancel 1 rue de la Vrillière Paris crypto-ut@banque-france.fr Entité gérant la conformité de la DPC avec les PC L entité gérant la conformité de la DPC avec la présente politique de certification est le RSI de la Banque de France Procédures d approbation de la conformité de la DPC L entité approuvant la conformité de la DPC avec les PC Banque de France est le Comité d approbation des politiques de certification (CAPC cf. chapitre 1.6.2). Banque de France AC Authentification forte p. 10/47

11 1.6. Définitions et acronymes Acronymes Les acronymes utilisés dans ce document sont présentés dans le tableau suivant Définitions AC AE ARL CAPC CRL DN DPC ETSI HSM IGC LAR LCR MC OC OCSP OID PC PP PKI PSCE RSA SP SSI URL Autorité de certification Autorité d enregistrement Authority Revocation List, ou LAR Comité d approbation des politiques de certification (cf. chapitre 1.6.2) Certificate Revocation List, ou LCR Distinguished Name Déclaration des Pratiques de Certification European Telecommunications Standards Institute Hardware Security Module Infrastructure de gestion de clefs, ou PKI en anglais Liste des certificats d AC révoqués, ou ARL Liste des certificats révoqués, ou CRL Mandataire de certification Opérateur de certification Online Certificate Status Protocol Object Identifier Profil de protection Public Key Infrastructure, ou IGC en français Prestataire de services de certification électronique Rivest Shamir Adelman Service de publication Sécurité des systèmes d information Uniform Resource Locator Tableau 1 Liste des acronymes Les termes utilisés dans ce document sont présentés dans le tableau suivant. Entrée Algorithme RSA Autorité de certification (AC) Définition Inventé en 1978 par Ronald L. Rivest, Adi Shamir et Leonard M. Adleman. Il peut être utilisé pour chiffrer des informations et/ou pour les signer (signature numérique). Entité, composante de base de l IGC, qui délivre des certificats à une population de porteurs ou à d autres composants d infrastructure. Banque de France AC Authentification forte p. 11/47

12 Entrée Autorité de certification fille Autorité de certification racine Autorité d enregistrement (AE) Bi-clef Comité d approbation des politiques de certification (CAPC) Certificat de clef publique Clef privée Clef publique Composante Liste des certificats révoqués Déclaration des pratiques de certification (DPC) Gestionnaire local de la sécurité (GLS) Infrastructure de gestion de clefs Mandataire de certification Entité ou Organisme Object Identifier (OID) (PC) PKCS (Public Key Cryptographic Standards) Responsable de la sécurité de l information (RSI) Définition Autorité de certification dont le certificat est signé par l autorité de certification racine. Une autorité de certification fille signe les certificats des porteurs. Autorité de certification dont le certificat est auto-signé. L autorité de certification racine signe les certificats des autorités de certification filles. Cf. paragraphe Ensemble constitué d une clef publique et d une clef privée, formant une paire indissociable utilisée par un algorithme cryptographique asymétrique. Entité de la Banque de France en charge de la validation des politiques de certification. À date de rédaction de ce document, le CAPC est le Comité de pilotage de l IGC. Fonction interne à la Banque de France Message structuré (ex. X. 509 v3) créé et signé par une autorité de certification reconnue, laquelle garantit l authenticité de la clef publique qu il contient. Un certificat contient au minimum un identifiant du porteur et la clef publique du porteur. L autorité de certification signe les certificats à l aide de sa propre clef privée. Composant confidentiel d un bi-clef, connu uniquement de son propriétaire et utilisé par lui seul pour déchiffrer une donnée dont il est destinataire ou pour signer des données dont il est l auteur. Composant non confidentiel d un bi-clef, pouvant être communiqué à tous les membres d une population. Une clef publique permet de chiffrer des données à destination du porteur du bi-clef. Elle permet également de vérifier une signature apposée par le porteur. Plate-forme opérée par une entité et constituée d au moins un poste informatique, une application et, le cas échéant, un moyen de cryptologie et jouant un rôle déterminé dans la mise en œuvre opérationnelle d'au moins une fonction de l IGC. Certificate Revocation List ou Liste de Certificats Révoqué (LCR) Liste des numéros de certificats non expirés ayant fait l objet d une révocation. La CRL est signée par l autorité de certification pour assurer son intégrité et son authenticité. Ensemble des pratiques à mettre en œuvre pour satisfaire aux exigences de la PC. Dans chaque unité où la sécurité de l information nécessite la mise en œuvre et le suivi de procédures locales, un GLS est désigné. Il assiste le responsable de l unité dans tous les domaines relevant de la sécurité de l information. Fonction interne à la Banque de France Ensemble de composants, fonctions et procédures dédiés à la gestion de bi-clefs et de certificats. Personne physique assurant le rôle d autorité d enregistrement par délégation. Entité de rattachement d un porteur. Identifiant unique permettant de référencer la PC auprès d un organisme tiers. Ensemble de règles qui indique les conditions d applicabilité d un certificat pour une communauté donnée ou pour des applications ayant des besoins de sécurité communs. Ensemble de standards de chiffrement relatifs aux clefs publiques. Propriétaire de l Infrastructure de gestion de clefs de la Banque de France Fonction interne à la Banque de France Banque de France AC Authentification forte p. 12/47

13 Tableau 2 Définitions Banque de France AC Authentification forte p. 13/47

14 2. Responsabilités concernant la mise à disposition des informations devant être publiées 2.1. Entités chargées de la mise à disposition des informations Le RSI de la Banque de France est responsable de la mise à disposition des informations publiées Informations publiées Information publiée PC LAR LCR Certificats de l AC fille et de l AC racine Information permettant aux utilisateurs de s assurer de l origine du certificat de l AC racine Emplacement de publication crl crl ldap://ldap.certificats.banquefrance.org/cn=banque%20de%20france%20ac%20authentification%2 0forte,OU=0002% ,O=Banque%20de%20France,C=FR?ce rtificaterevocationlist;binary?base?objectclass=crldistributionpoint ldap://ldap.certificats.banquefrance.fr/cn=banque%20de%20france%20ac%20authentification%20f orte,ou=0002% ,o=banque%20de%20france,c=fr?certif icaterevocationlist;binary?base?objectclass=crldistributionpoint crl ldap:///cn=authentification-forte ,cn=igc- BDFv2,CN=CDP,CN=Public%20Key%20Services,CN=Services,CN=Configur ation,dc=bdf,dc=local?certificaterevocationlist;binary?base?objectcla ss=crldistributionpoint L empreinte du certificat de l AC racine (CD:49:56:E5:C0:B1:84:2D:EB:53:70:92:29:73:D9:F0:E0:27:A7:8A) est également disponible par téléphone, auprès du correspondant métier pour les porteurs externes. Formulaires de gestion des certificats de porteurs DPC Conditions générales d utilisation Les porteurs et utilisateurs de certificats peuvent sur demande motivée consulter sur place la partie publique de la Déclaration des pratiques de certification et de ses annexes. La présente et le site Internet précisent notamment : les conditions d'usages des certificats et leurs limites ; l identifiant : OID de la PC applicable ; les obligations et responsabilités des différentes parties, notamment les exigences relatives à la vérification du statut de révocation d un certificat pour les utilisateurs ; les garanties et limites de garanties de l'ac ; les informations sur comment vérifier un certificat ; la durée de conservation des dossiers d enregistrement et des journaux d événements ; les procédures pour la résolution des réclamations et des litiges ; Banque de France AC Authentification forte p. 14/47

15 le système légal applicable ; si l AC a été déclarée conforme à la politique identifiée et dans ce cas au travers de quel schéma. Tableau 3 Liste des informations publiées 2.3. Délais et fréquence de publication Les informations documentaires publiées sont mises à jour après chaque modification dans un délai de 24 heures après leur validation. La fréquence de mise à jour des LCR est au maximum de vingt-quatre (24) heures. Les LAR sont générées à la demande Contrôle d accès aux informations publiées L ensemble des informations publiées à destination des porteurs et des utilisateurs de certificats est en accès libre et gratuit. Le personnel chargé des ajouts, modifications, suppressions des données publiées est spécifiquement habilité à réaliser l opération. L attribution et la gestion de ces habilitations sont décrites dans la DPC. Banque de France AC Authentification forte p. 15/47

16 3. Identification et authentification 3.1. Nommage Cette partie traite des données du certificat identifiant son porteur Types de noms Les noms utilisés sont conformes aux spécifications de la norme X.500 de l ITU. Dans chaque certificat, le porteur et l AC émettrice sont identifiés par un «Distinguished Name» (au sens de la norme X.501 de l ITU), au format UTF8String. Les données d identification du porteur figurent dans le champ «Objet» («Subject» en anglais) du certificat ; les données d identification de l AC émettrice figurent dans le champ «Émetteur» («Issuer» en anglais) Nécessité d utilisation de noms explicites Les noms choisis sont explicites. L identification des porteurs se fait en utilisant le DN dont la composition est décrite ci-dessous : CN (commonname) = # Prénom(s) Nom# (optionnel) serialnumber = #Identifiant du porteur, de type matricule d entreprise# OU = #ldentifiant ISO 6523 de l entité du porteur, soit <code ICD (International Code Designator) sur quatre chiffres>< ><identifiant de l entité sur 1 à 35 caractères (pour une entité de droit français, numéro SIREN ou SIRET sans espaces)># (exemple : « ») (optionnel) OU = #Nom d un département de l entité du porteur# (lorsque présent, cet autre champ OU coexiste avec le champ OU décrit ci-dessus, et ne commence jamais par quatre chiffres) O = #Nom officiel complet de l'entité du porteur# (exemple : «Banque de France») C = #Code ISO du pays de l'autorité compétente auprès de laquelle l'entité du porteur est officiellement enregistrée, en majuscules# (exemple : «FR») Anonymisation ou pseudonymisation des porteurs Lorsqu un pseudonyme est utilisé pour une personne physique, il est explicitement identifié comme tel dans le DN dans la zone CN par l ajout de la mention «-Pseudonyme-». Les justificatifs sur l identité réelle du porteur sont conservés dans tous les cas Règles d'interprétation des différentes formes de noms Les règles suivantes sont appliquées par la Banque de France : tous les caractères sont au format UTF8String ou PrintableString ; l attribut CN comporte le ou les prénoms du porteur (dans le même ordre que sur la pièce d identité et séparés par une virgule sans espace ni avant ni après la virgule), suivi(s) d un espace, suivi du nom du porteur (pour les femmes mariées, le nom d'usage peut être inscrit à la suite du nom patronymique), suivi éventuellement d un espace et d un numéro permettant de distinguer des cas d homonymie au sein du domaine de l AC ; les prénoms et noms composés, utilisent le tiret (trait d union "-") comme élément séparateur ; l attribut serialnumber éventuellement présent indique un identifiant pour le porteur, de type matricule d entreprise Unicité des noms Le champ DN Subject identifie un porteur de façon unique au sein et durant la vie de l AC «Banque de France AC Authentification forte». La méthode mise en place pour assurer cette unicité est décrite dans la DPC. En conséquence, lorsque plusieurs certificats sont émis avec le même DN (typiquement, mais sans limitation, pour un cas de renouvellement avant échéance), ils sont nécessairement remis au même porteur Identification, authentification et rôle des marques déposées L AC ne pourra voir sa responsabilité engagée en cas d utilisation illicite par les porteurs des marques déposées, des marques notoires et des signes distinctifs. Banque de France AC Authentification forte p. 16/47

17 3.2. Validation initiale de l identité Un certificat établit un lien de confiance entre le porteur d un certificat et la clef publique qui y figure. La validation initiale de l identité d un porteur, d un mandataire de certification et d un organisme fonde la confiance portée aux certificats émis par la Banque de France. Cette partie décrit la façon dont sont recueillies et validées ces informations. Les dossiers de demande de certificats pour les porteurs sont adressés à l autorité d enregistrement par leur(s) mandataire(s) de certification, ou par un représentant légal de l organisme d appartenance du porteur jouant directement le rôle de mandataire de certification. Le MC valide l identité du futur porteur en tant que personne physique et son rattachement à l entité pour laquelle le MC intervient Méthode pour prouver la possession de la clef privée Un certificat établit un lien de confiance entre un porteur et une clef publique et donc une clef privée. Le bi-clef est généré par un dispositif technique opéré par l autorité d enregistrement. L autorité d enregistrement s assure que le porteur identifié dans le certificat est bien en possession de la clef privée. La preuve de possession de la clef privée est établie par le renvoi à l autorité d enregistrement du récépissé adressé au porteur du certificat Validation de l identité d un organisme L identité des organismes est vérifiée. En effet, les porteurs utilisent leur(s) certificat(s) dans le cadre de leur activité en relation avec l organisme duquel ils dépendent et peuvent donc engager juridiquement cet organisme. Les certificats ne sont délivrés qu à des porteurs appartenant à des organismes en relation avec la Banque de France. À l intérieur de la Banque de France, chaque métier est garant de la relation établie entre la Banque de France et les organismes. Les organismes sont identifiés par le numéro ISO Les organismes doivent fournir une pièce justificative de ce numéro. Les correspondants métier vérifient et transmettent cette pièce justificative à l autorité d enregistrement Validation de l identité d un individu Sont considérés comme individus les porteurs ou futurs porteurs, les mandataires de certification, et les représentants légaux d organismes Enregistrement d un mandataire de certification Les mandataires de certification doivent être connus de l autorité d enregistrement afin que celle-ci puisse vérifier leur habilitation à adresser des demandes. Le dossier d enregistrement d un mandataire de certification sert également de référence pour identifier formellement l entité de rattachement des futurs porteurs présentés par ce mandataire de certification. Éventuellement, un mandataire de certification peut demander un certificat émis par l autorité de certification «Banque de France AC Authentification forte» pour son compte propre, utilisable ensuite pour signer les dossiers d enregistrement de porteurs de l entité qu il représente et les transmettre sous forme électronique. Cas des mandataires de certification internes Tous les GLS sont mandataires de certification pour la Banque de France. La liste des GLS et de leur rayon d action est accessible à l autorité d enregistrement. Cas des mandataires de certification externes Les mandataires de certification externes sont nommés par un représentant légal de l organisme auquel ils appartiennent. Un face-à-face physique a lieu entre le correspondant métier et un représentant légal ou le mandataire de certification et permet de vérifier l identité. À cette occasion, le représentant légal ou le mandataire de certification remet au correspondant métier le dossier d'enregistrement, comprenant : un mandat signé, et daté de moins de 3 mois, par un représentant légal de l'entité désignant le MC. Ce mandat doit être signé par le MC pour acceptation ; un engagement signé, et daté de moins de 3 mois, du MC, auprès de l'ac, à effectuer correctement et de façon indépendante les contrôles des dossiers des demandeurs ; Banque de France AC Authentification forte p. 17/47

18 un engagement signé, et daté de moins de 3 mois, du MC à signaler à l'ae son départ de l'entité ; toute pièce, valide lors de la demande de certificat (extrait Kbis, ou Certificat d'identification au Répertoire national des entreprises et de leurs établissements, ou inscription au répertoire des métiers,...), attestant de l existence de l'entreprise et portant le numéro SIREN de celle-ci, ou, à défaut, une autre pièce attestant l identification unique de l entreprise qui figurera dans le certificat ; un document officiel d'identité en cours de validité du MC comportant une photographie d'identité (notamment carte nationale d'identité, passeport ou carte de séjour), qui est présenté à l'ae qui en conserve une copie. Le MC est informé que les informations personnelles d identité pourront être utilisées comme éléments d authentification lors de la demande de révocation. En complément, ou à la place, de l'utilisation de ces informations personnelles, il pourra être convenu avec l AE d un jeu de questions/réponses ou équivalent. Le correspondant métier vérifie, signe et transmet ces documents à l autorité d enregistrement Enregistrement d un porteur sans mandataire de certification Non applicable Enregistrement d un porteur par l intermédiaire d un mandataire de certification Cas des porteurs internes L authentification du porteur est réalisée par un face-à-face physique entre le MC et le futur porteur, à l issue duquel le MC transmet à l AE un formulaire d enregistrement du porteur signé conjointement par le futur porteur et le MC. Cas de mandataires de certification externes L authentification du porteur est réalisée par un face-à-face physique entre le MC et le futur porteur, à l issue duquel le MC transmet au correspondant métier désigné, sous double enveloppe : un formulaire de demande de certificat, daté de moins de 3 mois, co-signé par le futur porteur et par le mandataire de certification, indiquant notamment o o l identité du porteur, l adresse postale et l adresse permettant à l AC de contacter le porteur, o l engagement relatif à l utilisation d un dispositif d authentification ; des copies des pièces d identité du porteur (en cours de validité, comportant une photographie d'identité, notamment carte nationale d'identité, passeport ou carte de séjour) présentées au MC, certifiées conformes par le MC, et conservées par l AE. Lors de la transmission des dossiers de porteurs par le MC, celui-ci s authentifie à l aide d un certificat électronique remis par l'ac «Banque de France AC Authentification forte», ou au cours d un face-à-face physique, ou par le paraphe du MC apposé sur les différentes pages du dossier de demande, complété par sa signature sur les principales pages. Les correspondants métier vérifient l origine et l intégrité des demandes, les signent et les transmettent à l AE. Le porteur est informé que les informations personnelles d identité pourront être utilisées comme éléments d authentification lors de la demande de révocation. En complément, ou à la place, de l'utilisation de ces informations personnelles, il peut être convenu avec l AC d un jeu de questions/réponses ou équivalent Informations non vérifiées du porteur Aucune exigence particulière n est formulée dans la présente PC Validation de l autorité du demandeur La validation de l autorité du mandataire de certification est effectuée par l autorité d enregistrement en même temps que la validation de l identité de la personne physique Critères d interopérabilité, certification croisée d AC Les demandes d accords et les accords de reconnaissance avec des AC extérieures sont étudiés par le RSI et soumis pour approbation au CAPC. Banque de France AC Authentification forte p. 18/47

19 3.3. Identification et validation d une demande de renouvellement des clefs Le renouvellement du bi-clef d'un porteur entraîne automatiquement la génération et la fourniture d'un nouveau certificat. Un nouveau certificat ne peut pas être fourni au porteur sans renouvellement du bi-clef correspondant (cf. chapitre 4.6) Identification et validation pour un renouvellement courant Lors du premier renouvellement, l AC peut utiliser une procédure dématérialisée avec signature électronique ; dans ce cas, elle s assure que les informations du dossier d enregistrement initial sont toujours valides et que le certificat à renouveler existe et est toujours valide. Dans les autres cas, l authentification lors d une demande de renouvellement est la même que pour une demande initiale de certificat ou une procédure offrant un niveau de garantie au moins égal Identification et validation pour un renouvellement des clefs après révocation Suite à la révocation définitive d'un certificat, quelle qu'en soit la cause, la procédure d'identification et de validation de la demande de renouvellement est identique à la procédure d'enregistrement initial, ou une procédure offrant un niveau de garantie au moins égal Identification et validation d une demande de révocation Pour des raisons précisées au chapitre 4.9.1, les certificats des porteurs peuvent être révoqués. La demande de révocation peut être effectuée via un service en ligne (accessible depuis le site ou téléphonique ( ), par courrier (Banque de France Cellule R4F Paris CEDEX 01), ou par télécopie ( ). Lorsque la demande de révocation est faite via un service téléphonique ou via un service en ligne, le demandeur est formellement authentifié par vérification de l'identité du demandeur et de son autorité par rapport au certificat à révoquer, par une série d'au moins quatre questions/réponses sur des informations propres au demandeur, dont au moins une réponse permet d authentifier le statut autorisé du demandeur (cf. chapitre 3.2.3). Lorsque la demande de révocation est effectuée par courrier ou par télécopie, elle doit être signée par le demandeur, et le service de gestion des révocations s'assure de l'identité du demandeur (vérification de la signature manuscrite par rapport à la signature préalablement enregistrée) et de son autorité par rapport au certificat à révoquer. Banque de France AC Authentification forte p. 19/47

20 4. Exigences opérationnelles sur le cycle de vie de certificats 4.1. Demande de certificat Origine d une demande de certificat Cas des porteurs externes Une demande de certificat ne peut être adressée au correspondant métier de la Banque de France que par un représentant légal de l organisme, ou par un mandataire de certification dûment mandaté pour cette entité, avec dans tous les cas consentement préalable du futur porteur. Le correspondant métier la vérifie puis la transmet à l autorité d enregistrement. Cas des porteurs internes Une demande de certificat ne peut être adressée à l autorité d enregistrement que par un mandataire de certification avec consentement préalable du futur porteur Processus et responsabilités pour l établissement d une demande de certificat Les informations à fournir sont celles contenues dans le dossier de demande. Le dossier de demande est établi soit directement par le futur porteur à partir des éléments fournis par son entité, soit par son entité et signé par le futur porteur avant d être remis à son GLS (pour les porteurs internes) ou mandataire de certification (pour les porteurs externes). Le GLS (pour les porteurs internes), le correspondant métier désigné (pour les porteurs externes), doivent également vérifier au préalable le contenu du dossier de demande avant de le transmettre à l autorité d enregistrement. Les informations nécessaires à l enregistrement d une demande sont a minima : les nom et prénom(s) du porteur ; le pseudonyme du porteur le cas échéant (cf. paragraphe 3.1.3) ; l adresse électronique du porteur ; la dénomination de l entité du porteur et son identifiant (ISO 6523 ou équivalent) ; le nom, le prénom et l adresse électronique du mandataire de certification. Des informations complémentaires sont susceptibles d être demandées par les différents métiers Traitement d une demande de certificat Exécution des processus d identification et de validation de la demande Les identités "personne physique" et "personne morale" sont vérifiées conformément aux exigences du chapitre 3.2. Afin d identifier et de valider une demande de certificat, le mandataire de certification : valide l identité du futur porteur lors d un face-à-face physique ; vérifie la cohérence des justificatifs présentés ; s assure que le futur porteur a pris connaissance des modalités applicables pour l utilisation du certificat, il peut notamment lui remettre une copie de cette PC. Le pouvoir du mandataire de certification à demander un certificat pour le futur porteur est vérifié par l autorité d enregistrement pour les porteurs internes et par les correspondants métier pour les porteurs externes. Une fois ces opérations effectuées, l'ae émet la demande de génération du certificat et, le cas échéant, du bi-clef vers la fonction adéquate de l'igc (cf. chapitre 1.3.1). L'AE conserve ensuite une trace des justificatifs d'identité présentés : si le dossier est au format papier, sous la forme d'une photocopie signée à la fois par le futur porteur et par le MC, les signatures étant précédées de la mention "copie certifiée conforme à l'original" ; si le dossier est au format électronique, les différents justificatifs sous une forme électronique ayant valeur légale. Banque de France AC Authentification forte p. 20/47