Accès au SI de RTE par carte à puce sous Microsoft Windows 8.1

Transcription

1 sous Microsoft Windows 8.1 Indice 3, 01/01/2017 Programmes & SI (PSI) TOUR MARCHAND 41 RUE BERTHELOT COURBEVOIE CEDEX TEL : FAX : LONG

2 Page : 2/145 SOMMAIRE A. Avant-propos 5 1 Introduction Objet du document Contexte Avertissement relatif aux pratiques de sécurité Les acteurs Le client L Autorité d Enregistrement (AE) L Autorité de Certification (AC) RTE Historique L Autorité de Certification (AC) RTE Root L Autorité de Certification (AC) RTE Client 8 B. Procédures de gestion des certificats 9 2 Processus de gestion des certificats Avant-propos Demande de certificat matériel Étapes préalables Réception de la carte à puce Renouvellement des certificats Révocation des certificats Cas de révocation Demande de révocation 12 C. Configuration du poste 13 3 Installation et configuration du poste Configuration réseau Configuration générale Spécificité de l accès VPN Configuration logicielle Installation du lecteur de cartes à puce Version du système d exploitation Système 64 bits Système 32 bits 25 D. Accès web au SI de RTE 32

3 Page : 3/145 4 Microsoft Internet Explorer Configuration préalable Configuration des paramètres de sécurité Ajouts des sites de confiance Installation des certificats des ACs RTE Téléchargement et installation Visualisation et vérification des certificats des ACs RTE Visualisation et vérification de votre certificat sur carte à puce Utilisation de votre certificat Authentification et chiffrement Exemple d accès à une application web RTE Connexion au VPN SSL Avant-propos Prérequis Première connexion Utilisation du VPN SSL 78 5 Mozilla Firefox Configuration préalable Configuration des paramètres de sécurité Ajout de la carte à puce parmi les périphériques de sécurité de Firefox : Installation des certificats des ACs RTE Téléchargement et installation Visualisation et vérification des certificats des ACs RTE Visualisation et vérification de vos certificats sur carte à puce Utilisation de votre certificat Authentification et chiffrement Exemple d accès à une application web RTE Connexion au VPN SSL Avant-propos Pré-requis Première connexion Utilisation du VPN SSL 123 E. Annexes Changement du code PIN de la carte à puce Environnement sécurisé (PKI) Concepts et objets gérés par une PKI Qu est-ce qu un processus sécurisé? Le rôle du bi-clé Les certificats 134

4 Page : 4/ Documentation Glossaire Traitement d incident et support Support Foire aux questions (FAQ) Codes d erreur retournés par mail 140

5 Page : 5/145 A. AVANT-PROPOS

6 Page : 6/145 1 Introduction 1.1 Objet du document Ce document est destiné à l utilisateur final qui souhaite accéder au SI de RTE par carte à puce sous Microsoft Windows 8.1. Le présent document permet au porteur de : comprendre le contexte et les principes d un environnement sécurisé (authentification, confidentialité, intégrité et non-répudiation), ainsi que le fonctionnement général d une infrastructure de gestion de clés publiques (IGC, ou PKI en anglais). savoir installer et utiliser ses certificats dans les environnements suivants : o Microsoft Windows 8.1. o Navigateurs : Internet Explorer et Mozilla Firefox pour des accès sécurisés avec le protocole HTTPS. NOTE Tout au long de ce document, le pronom «vous» représente l utilisateur du certificat. 1.2 Contexte Dans le cadre de la loi du 10 février 2000 ( ) et du décret d application du 16 juillet 2001, le gestionnaire du réseau public de transport a l obligation de préserver la confidentialité des informations d ordre économique, commercial, industriel, financier ou technique dont la communication serait de nature à porter atteinte aux règles de concurrence libre et loyale et de non-discrimination imposées par la loi.

7 Page : 7/ Avertissement relatif aux pratiques de sécurité Chaque porteur de carte à puce possède sa propre clé privée générée de façon sûre à l aide d un module cryptographique. Puis, chaque porteur de carte à puce prend toutes les précautions nécessaires pour empêcher : la violation de sa clé privée, la perte de sa clé privée, la divulgation de sa clé privée, la modification de son certificat, l usage abusif de son certificat. Chaque clef privée et son certificat associé sont stockés sur une carte à puce protégée par un code PIN (mot de passe) uniquement connu du porteur. Les autorités de certification (AC) RTE ( 1.4.3, 1.4.4, 1.4.5) déclinent toute responsabilité quant aux litiges liés à une mauvaise utilisation des clés privées. 1.4 Les acteurs La gestion du cycle de vie d un certificat s articule autour de trois entités : le client (i.e. votre entreprise), l Autorité d Enregistrement (AE), les 3 Autorités de Certification (AC) : 1. AC historique RTE 2. AC Root RTE 3. AC Client RTE NOTE Pour mieux comprendre, on peut faire le parallèle avec l attribution de justificatifs d identité officiels : le citoyen demandeur d un justificatif d identité correspond à l entité client, la mairie est l autorité d enregistrement et la préfecture, l autorité de certification Le client Le client réalise des demandes de certificats pour ses porteurs. Il peut également émettre des demandes de révocation de ces certificats (voir section B : procédures de gestion de certificats).

8 Page : 8/ L Autorité d Enregistrement (AE) L Autorité d Enregistrement (le chargé de relation clientèle de RTE et l équipe Opérateur) recueille la demande de certificat, appose une date de validité des certificats et vérifie l identité de leurs porteurs L Autorité de Certification (AC) RTE Historique L Autorité de Certification Historique (RTE) est responsable et garante des certificats signés en son nom et du fonctionnement de l ancienne PKI. L autorité de certification historique RTE se nomme (CN : Nom commun, O : Organisation) : CN = RTE Certification Authority, O = RESEAU DE TRANSPORT D'ELECTRICITE L Autorité de Certification (AC) RTE Root L Autorité de Certification Root (RTE) est responsable et garante des certificats signés en son nom et du fonctionnement de la nouvelle PKI. Elle définit la politique pour la gestion et l utilisation des certificats. L autorité de certification Root RTE se nomme (CN : Nom commun, O : Organisation) : CN = RTE Root Certification Authority, O = RESEAU DE TRANSPORT D'ELECTRICITE L Autorité de Certification (AC) RTE Client L Autorité de Certification Client (RTE) est responsable et garante des certificats signés en son nom et du fonctionnement de la nouvelle PKI. L autorité de certification Client RTE se nomme (CN : Nom commun, O : Organisation) : CN = RTE Client Certification Authority, O = RESEAU DE TRANSPORT D'ELECTRICITE

9 B. PROCEDURES DE GESTION DES CERTIFICATS Programmes & SI (PSI) TOUR MARCHAND 41 RUE BERTHELOT COURBEVOIE CEDEX TEL : FAX : LONG

10 Page : 10/145 2 Processus de gestion des certificats 2.1 Avant-propos Les principaux processus mis en œuvre pour gérer l ensemble des certificats numériques délivrés aux porteurs sont les suivants : l obtention d un certificat (obtention d un ou de plusieurs certificats), le renouvellement d un certificat (remplacement de son certificat par un nouveau pour une nouvelle période de validité et pour une nouvelle bi-clé), la révocation d un certificat (fin de validité du certificat). 2.2 Demande de certificat matériel Étapes préalables Au préalable, les étapes suivantes doivent être effectuées. Le représentant de la société a fait une demande d accès : Le représentant de la société doit avoir rempli, signé et retourné les formulaires «demandes d accès aux services SI et aux Applications RTE» envoyés par son Chargé de Relation Clientèle. Dans ces formulaires, le représentant de la société précise notamment : o un « du certificat» qui recevra les informations nécessaires au retrait du certificat (cf ), o un «Mot de passe choisi». Nous avons enregistré la demande : Suite à la réception des formulaires, RTE crée votre/vos compte(s) d accès aux applications et fait une demande de carte à puce personnalisée pour chacun des porteurs. Le représentant de la société a reçu un colis contenant : o o le «Kit d Accès PKI» (contenant ce manuel), un lecteur de carte à puce (un lecteur par porteur).

11 Page : 11/ Réception de la carte à puce Après la demande de carte à puce enregistrée et validée par RTE, vous recevrez : un courrier express contenant une carte à puce (sur laquelle sont stockés vos certificats et leur clé privée associée), un pli «personnel et confidentiel» contenant le code PIN associé à la carte à puce. Pour des raisons de sécurité, la carte à puce et le code PIN associé vous sont envoyés séparément. NOTES IMPORTANTES Il est fortement recommandé de personnaliser le code PIN de votre carte à puce (cf. 6). Cela est possible dès que votre lecteur de carte est installé (cf. 3). 2.3 Renouvellement des certificats Les certificats ont une durée de vie limitée à deux ans, afin de leur conférer un niveau de sécurité élevé. Un message électronique est envoyé au porteur 40 jours avant l expiration du certificat, pour l informer de l expiration prochaine de celui-ci. Si pour l occasion des modifications doivent être opérées au niveau des informations du porteur, alors le représentant de la société contacte le chargé de relation clientèle RTE pour lui communiquer les changements. Puis, le porteur reçoit : un courrier express contenant une nouvelle carte à puce (sur laquelle sont stockés les nouveaux certificats et leur clé privée associée), un pli «personnel et confidentiel» contenant le code PIN associé à la nouvelle carte à puce. Il est fortement recommandé au porteur de conserver son ancienne carte à puce.

12 Page : 12/ Révocation des certificats Cas de révocation Le responsable de la société doit effectuer une demande de révocation lorsque l une des circonstances ci-dessous se réalise : changement de porteur, perte, vol, compromission ou suspicion de compromission possible, probable ou certaine de la clé privée associée au certificat du porteur, décès ou cessation d activité du porteur de certificat, perte des données d activation, support défectueux ou perdu. NOTES IMPORTANTES Pour révoquer un certificat, il faut révoquer la carte à puce le contenant. Par conséquent, tous les certificats contenus sur cette carte à puce seront révoqués. Alors, nous parlerons abusivement de «révocation» de carte à puce Demande de révocation Pour révoquer une carte à puce, le responsable de la société doit appeler la Hotline RTE (cf 9.1). Lorsque la carte à puce est révoquée, un mail est envoyé à « de contact» pour notifier le porteur de la révocation de sa carte à puce.

13 Page : 13/145 C. CONFIGURATION DU POSTE

14 Page : 14/145 3 Installation et configuration du poste Toutes les manipulations de ce chapitre ne sont à exécuter qu une seule fois par un informaticien possédant des droits d Administrateur sur votre poste de travail, lors de la réception de votre «Kit d Accès PKI» et du lecteur de carte à puce. De plus, notez que seuls quelques chapitres de ce manuel vous concernent : les chapitres correspondant aux logiciels que vous utilisez (notamment votre navigateur web). Excepté l installation des pilotes du lecteur de carte à puce (paragraphe 3.3), toutes les opérations sont à faire sous la session Windows du porteur de la carte à puce. 3.1 Configuration réseau Configuration générale L accès par navigateur web utilise de façon transparente pour l utilisateur un système d authentification par carte à puce pour l accès au portail RTE et de chiffrement des données échangées via Internet (protocole HTTPS). Les mails échangés entre RTE et l utilisateur sont acheminés sur Internet (protocole SMTP, format S/MIME). REMARQUE IMPORTANTE Les passerelles de messagerie et d anti-virus, les pare-feu et analyseurs de contenu doivent être configurés pour ne pas altérer ou refuser les messages chiffrés et signés au format S/MIME (application/x-pkcs7-mime,.p7s,.p7m), ni interdire le flux de données HTTPS (port 443). L administrateur réseau pourra être sollicité pour effectuer ces opérations.

15 Page : 15/ Spécificité de l accès VPN Le VPN permet à partir de votre poste de travail d établir une connexion sécurisée (basée sur l authentification auprès d un site dédié) au SI de RTE via Internet. L accès au VPN SSL nécessite que votre poste de travail puisse résoudre l adresse secure.iservices.rte-france.com. Pour vérifier si c est le cas, ouvrez un navigateur, puis rentrez l URL La page suivante doit s afficher : En plus de ce test, il vous faudra installer sur votre poste de travail le module PSIS (Pulse Secure Installer Service) disponible sur le site client de RTE. Reportez-vous au paragraphe du navigateur que vous utilisez pour plus de détails : le si vous utilisez le navigateur Internet Explorer. le si vous utilisez le navigateur Mozilla Firefox.

16 Page : 16/ Configuration logicielle La configuration logicielle requise pour votre poste informatique est la suivante : Systèmes d exploitation : Microsoft Windows bits Microsoft Windows bits Navigateurs Web au choix : Microsoft Internet Explorer 11 Mozilla Firefox > 45 ESR 3.3 Installation du lecteur de cartes à puce Un lecteur de carte à puce Gemalto est fourni. Ne pas brancher le lecteur de carte à puce avant que cela ne soit demandé par la procédure. Dans un premier temps, il est nécessaire d installer le pilote relatif à la carte à puce. Pour réaliser l installation, il est nécessaire d avoir à disposition les éléments suivants : Un package d installation des pilotes en 64 ou 32 bits selon le système d exploitation ; Un lecteur de carte à puce ; Une carte à puce avec son code PIN associé. Les packages d installation des pilotes Gemalto sont disponibles : En version 64 bits à l URL suivante : En version 32 bits à l URL suivante : Dans les deux cas, le mot de passe de l archive est :

17 Page : 17/ Version du système d exploitation Avant d entamer l installation, il faut vérifier si le système d exploitation est en 64 bits ou 32 bits et ce en suivant la marche à suivre ci-dessous : Faites un clic droit sur «Ce PC» puis cliquez sur «Propriétés». 1 Une fenêtre s ouvre. Lisez directement l indication dans la partie «Système» sur la ligne «Type du système». 2

18 Page : 18/145 Si le système d exploitation est en 64 bits, suivez la procédure Si le système d exploitation est en 32 bits, suivez la procédure Ou

19 Page : 19/ Système 64 bits La procédure d installation des pilotes du lecteur à carte à puce est détaillée ci-dessous Ouvrez le répertoire contenant les fichiers d installation. 1 Ouvrez le dossier 6727_IDGo800_PKCS11_ v124 pour installer la bibliothèque. 2 3 Lancez le fichier d installation IDGo800_PKCS11_Librar y.msi.

20 Page : 20/145 Une fenêtre s ouvre. Cliquez sur le bouton «Next». 4 Cochez l option «I accept the terms in the licence agreement» puis cliquez sur le bouton «Next». 5

21 Page : 21/145 Cliquez sur le bouton «Next». 6 Cochez l option «No» puis cliquez sur le bouton «Next». 7

22 Page : 22/145 Cliquez sur le bouton «Install». 8 Cliquez sur le bouton «Finish» Revenez dans le répertoire initial IDGo800_Minidriver_64.

23 Page : 23/ Ouvrez le dossier 6726_IDGo800_Minidrive r_v124 pour installer les pilotes du lecteur de cartes. 12 Lancez le fichier d installation IDGo800_Minidriver_64. msi. Une fenêtre s ouvre. Cliquez sur le bouton «Next». 13

24 Page : 24/145 Cochez l option «I accept the terms in the licence agreement» puis cliquez sur le bouton «Next». 14 Cliquez sur le bouton «Install». 15

25 Page : 25/145 Cliquez sur le bouton «Finish». 16 Redémarrez le poste afin de compléter l installation des pilotes Gemalto Système 32 bits La procédure d installation des pilotes du lecteur à carte à puce est détaillée ci-dessous : Ouvrez le répertoire contenant les fichiers d installation. 2 Ouvrez le dossier 6727_IDGo800_PKCS11_ v124 pour installer la bibliothèque.

26 Page : 26/145 3 Lancez le fichier d installation IDGo800_PKCS11_Librar y.msi. Une fenêtre s ouvre. Cliquez sur le bouton «Next». 4 Cochez l option «I accept the terms in the licence agreement» puis cliquez sur le bouton «Next». 5

27 Page : 27/145 Cliquez sur le bouton «Next». 6 Cochez l option «No» puis cliquez sur le bouton «Next». 7

28 Page : 28/145 Cliquez sur le bouton «Install». 8 Cliquez sur le bouton «Finish». 9

29 Page : 29/145 Revenez dans le répertoire initial IDGo800_Minidriver_ Ouvrez le dossier 6726_IDGo800_Minidrive r_v124 pour installer les pilotes du lecteur de cartes. 12 Lancez le fichier d installation IDGo800_Minidriver_32. msi. Une fenêtre s ouvre. Cliquez sur le bouton «Next». 13

30 Page : 30/145 Cochez l option «I accept the terms in the licence agreement» puis cliquez sur le bouton «Next». 14 Cliquez sur le bouton «Install». 15

31 Page : 31/145 Cliquez sur le bouton «Finish». 16 Redémarrez le poste afin de compléter l installation des pilotes Gemalto.

32 Page : 32/145 D. ACCES WEB AU SI DE RTE Veuillez-vous reporter directement au chapitre associé au navigateur que vous utilisez par défaut pour vos échanges Web avec RTE : Chapitre 4 si vous utilisez Microsoft Internet Explorer comme navigateur web Chapitre 5 si vous utilisez Mozilla Firefox comme navigateur web

33 Page : 33/145 4 Microsoft Internet Explorer 4.1 Configuration préalable Configuration des paramètres de sécurité Il s'agit de configurer le poste pour supporter le standard SSL, permettant d'accéder à des sites avec une connexion chiffrée (protocole HTTPS). Dans le navigateur, sélectionnez le menu «Outils > Options Internet» :

34 Page : 34/145 Sélectionnez l onglet «Avancé» : Dans la section «Sécurité», assurez-vous que les cases TLS 1.0, TLS 1.1 et TLS 1.2 sont cochées, comme indiqué ci-dessus.

35 Page : 35/ Ajouts des sites de confiance Afin de pouvoir vous authentifier sur des sites Internet avec votre carte à puce, il est impératif d ajouter ces sites à la liste des sites de confiance. La zone Sites de confiance permet de déclarer des noms de sites que vous estimez sûrs. Pour ce paragraphe, vous devez être connecté au poste de travail avec le compte Windows qui utilisera le certificat matériel. Pour cela, ouvrez Internet Explorer et cliquez sur le menu «Outils > Options Internet». Dans la fenêtre qui s ouvre, cliquez sur l onglet «Sécurité». Sélectionnez l icône «Sites de confiance», puis cliquez sur le bouton «Sites».

36 Page : 36/145

37 Page : 37/145 La fenêtre suivante s ouvre. Dans le champ «Ajouter ce site Web à la zone», saisissez l URL de la PKI suivante : Puis cliquez sur le bouton «Ajouter». Le site apparaît alors dans la liste «Sites Web» comme sur l écran ci-dessous.

38 Page : 38/145 Procédez de la même manière pour ajouter les sites suivants : : il s agit du portail internet. : il s agit du portail de connexion VPN SSL Les 3 sites doivent maintenant apparaître dans la liste «Sites Web». Cliquez sur «Fermer», puis sur «OK». 4.2 Installation des certificats des ACs RTE Téléchargement et installation RTE Certification Authority Il s agit de l AC historique de taille de clé 2048bits. Elle est nécessaire pour la cohabitation de l ancienne PKI avec la nouvelle. Il faut à présent installer le certificat de l AC historique de RTE dans votre navigateur. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site.

39 Page : 39/145 La fenêtre de téléchargement s affiche. Cliquez sur le bouton «Enregistrer» et sélectionnez un emplacement où enregistrer le fichier «Certification_Autority_RTE_2048.cer» contenant le certificat historique. Une fois le téléchargement terminé, la fenêtre suivante s affiche. Cliquez sur «Ouvrir le dossier» pour vous rendre dans le répertoire où vous avez enregistré le fichier. Faites un clic-droit sur le fichier «Certification_Autority_RTE_2048.cer» que vous venez de télécharger, et choisissez «Installer le certificat».

40 Page : 40/145 L assistant d installation du certificat s affiche : Cliquez sur le bouton «Suivant».

41 Page : 41/145 Cochez la case «Placer tous les certificats dans le magasin suivant» et cliquez sur «Parcourir». Dans la fenêtre qui s ouvre, sélectionnez «Autorités de certification racines de confiance» et cliquez sur «OK». Une fois le magasin de certificat choisi, vous obtenez cette fenêtre :

42 Page : 42/145 Cliquez sur «Suivant». Cliquez sur «Terminer». Cliquez sur «OK» RTE Root Certification Authority Il s agit de la nouvelle AC Root de taille de clé 4096 bits. Elle est nécessaire à la validation de la chaine de confiance. Il faut à présent installer le certificat de l AC Root de RTE dans votre navigateur. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site.

43 Page : 43/145 La fenêtre de téléchargement s affiche. Cliquez sur le bouton «Enregistrer» et sélectionnez un emplacement où enregistrer le fichier «ACR_RTE_Root_CA_ cer» contenant le certificat Root. Une fois le téléchargement terminé, la fenêtre suivante s affiche. Cliquez sur «Ouvrir le dossier» pour vous rendre dans le répertoire où vous avez enregistré le fichier. Faites un clic-droit sur le fichier «ACR_RTE_Root_CA_ cer» que vous venez de télécharger, et choisissez «Installer le certificat».

44 Page : 44/145 L assistant d installation du certificat s affiche : Cliquez sur le bouton «Suivant».

45 Page : 45/145 Cochez la case «Placer tous les certificats dans le magasin suivant» et cliquez sur «Parcourir». Dans la fenêtre qui s ouvre, sélectionnez «Autorités de certification racines de confiance» et cliquez sur «OK». Une fois le magasin de certificat choisi, vous obtenez cette fenêtre : Cliquez sur «Suivant».

46 Page : 46/145 Cliquez sur «Terminer», et si la fenêtre suivante affiche un avertissement de sécurité alors cliquez sur «Oui»:

47 Page : 47/145 Cliquez sur «OK» RTE Client Certification Authority Il s agit de la nouvelle AC Client de taille de clé 4096 bits. Elle sert à générer les certificats de la nouvelle PKI. Il faut à présent installer le certificat de l AC Client de RTE dans votre navigateur. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site.

48 Page : 48/145 La fenêtre de téléchargement s affiche. Cliquez sur le bouton «Enregistrer» et sélectionnez un emplacement où enregistrer le fichier «ACF_RTE_Client_CA_ cer» contenant le certificat Root. Une fois le téléchargement terminé, la fenêtre suivante s affiche. Cliquez sur «Ouvrir le dossier» pour vous rendre dans le répertoire où vous avez enregistré le fichier. Faites un clic-droit sur le fichier «ACF_RTE_Client_CA_ cer» que vous venez de télécharger, et choisissez «Installer le certificat».

49 Page : 49/145 L assistant d installation du certificat s affiche : Cliquez sur le bouton «Suivant».

50 Page : 50/145 Cochez la case «Sélectionner automatiquement le magasin de certification selon le type de certificat» et cliquez sur «Suivant».

51 Page : 51/145 Cliquez sur «Terminer». Cliquez sur «OK».

52 Page : 52/ Visualisation et vérification des certificats des ACs RTE Visualisation des certificats installés Les certificats, que vous venez d importer, sont rangés dans le magasin des autorités de certification d Internet Explorer. Pour les visualiser, cliquez sur le menu «Outils > Options Internet».

53 Page : 53/145 Une fenêtre apparaît. Allez sur l onglet «Contenu» et cliquez sur le bouton «Certificats». Dans la fenêtre qui apparaît, allez sur l onglet «Autorités de certification racine de confiance». Vous pouvez voir le certificat de l AC historique de RTE ( ) et le certificat de l AC Root de RTE ( ):

54 Page : 54/145 Sur l onglet «Autorités de certification intermédiaires» vous pouvez voir le certificat de l AC Client de RTE ( ):

55 Page : 55/ Vérification du certificat RTE Certification Authority Sélectionnez le certificat «RTE Certification Authority» Cliquez sur le bouton «Affichage», puis sur l onglet «Détails».

56 Page : 56/145 Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» liée au certificat «RTE Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Certification Authority» SHA1 39:83:D6:10:A2:C4:D5:60:45:A0:C1:D0:E3:FA:E1:42:45:8A:37:12 Si ce n est pas le cas, supprimez le certificat et appelez la Hotline RTE (cf 9.1) Vérification du certificat RTE Root Certification Authority Sélectionnez le certificat «RTE Root Certification Authority»

57 Page : 57/145 Cliquez sur le bouton «Affichage», puis sur l onglet «Détails».

58 Page : 58/145 Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» liée au certificat «RTE Root Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Root Certification Authority» SHA1 00:64:8c:01:f4:02:9d:dc:6b:4e:1e:37:ae:76:28:75:17:b1:72:ff Si ce n est pas le cas, supprimez le certificat et appelez la Hotline RTE (cf 9.1) Vérification du certificat RTE Client Certification Authority Dans l onglet «Autorités de certification intermédiaires», sélectionnez le certificat «RTE Client Certification Authority»

59 Page : 59/145 Cliquez sur le bouton «Affichage», puis sur l onglet «Détails».

60 Page : 60/145 Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» liée au certificat «RTE Client Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Client Certification Authority» SHA1 C8:53:de:36:da:fd:38:37:c3:de:a5:6c:b0:d1:eb:06:28:f6:dc:ed Si ce n est pas le cas, supprimez le certificat et appelez la Hotline RTE (cf 9.1).

61 Page : 61/ Visualisation et vérification de votre certificat sur carte à puce Votre certificat sur carte à puce est automatiquement détecté par Internet Explorer et aucune configuration supplémentaire n est nécessaire. Pour visualiser le certificat de votre carte à puce dans Internet Explorer, commencez par insérer votre carte à puce dans le lecteur. Il faudra accéder au magasin de certificats du navigateur web. Pour ce faire, Sous Internet Explorer, cliquez sur le menu «Outils > Options Internet».

62 Page : 62/145 Ensuite, cliquez sur l onglet «Contenu», puis sur le bouton «Certificats». Une autre fenêtre apparaît.

63 Page : 63/145 Sélectionnez votre certificat, puis cliquez sur «Affichage». Une fenêtre apparaît et montre les caractéristiques du certificat. Par défaut, l onglet «Général» est affiché.

64 Page : 64/145

65 Page : 65/145 La validité du certificat est de 2 ans à partir de la date de génération de la carte à puce. L onglet «Chemin d accès de certification» permet de vérifier la validité de votre certificat. L état «valide» de votre certificat ainsi que la visualisation complète du chemin d accès de la certification indiquent que votre certificat a été correctement installé ainsi que la chaine de confiance (AC Root + AC Client ou AC historique), et, donc, que toutes les conditions d utilisation correctes de votre certificat sont réunies. L onglet «Détails» vous permet de visualiser le nom complet du porteur et l adresse mail auxquels sont rattachés le certificat.

66 Page : 66/145

67 Page : 67/ Utilisation de votre certificat Authentification et chiffrement ATTENTION Pour pouvoir vous authentifier sur un site internet avec votre carte à puce, l URL du site doit faire partie des sites de confiances d Internet Explorer (cf ).

68 Page : 68/145 Étapes à suivre : Insérez la carte à puce, lancez Internet Explorer, saisissez l URL de l application RTE ou du «Portail Services Clients de RTE» : lors de l authentification, le navigateur vous demandera de choisir le certificat devant servir à vous authentifier, puis le mot de passe de protection du magasin de certificats si celui-ci a été défini ou le code PIN de la carte à puce, si plusieurs certificats vous sont présentés, vous devrez choisir celui qui vous a été fourni pour l application à laquelle vous allez accéder (utiliser le bouton «Afficher le certificat» pour visualiser leur contenu), Une fois l authentification terminée, toutes les données que vous recevez ou envoyez seront chiffrées Exemple d accès à une application web RTE Insérez votre carte à puce dans le lecteur. Saisissez l URL de l application (commençant par «https») dans la barre d adresse d Internet Explorer puis validez. Puis, Internet Explorer vous demande de choisir un certificat vous permettant de vous authentifier auprès du site demandé. La ligne «Cliquez ici pour afficher les propriétés» vous permet de visualiser le contenu du certificat sélectionné. Cliquez sur «OK» pour accéder à l application.

69 Page : 69/145 La fenêtre ci-dessous vous demande le code pin associé à votre carte à puce. Renseignez le code, cliquez sur «OK». La page d accueil est alors affichée de façon sécurisée (apparition du cadenas fermé à droite du champ de saisie de l URL) : 4.5 Connexion au VPN SSL Avant-propos La connexion via VPN SSL est un service permettant l établissement d un canal de communication sécurisé au FrontOffice RTE à travers Internet. Ce canal est établi après authentification avec votre certificat auprès d un site dédié (cf 4.4). Une fois le canal établi, toutes vos communications avec le service RTE demandé seront chiffrées.

70 Page : 70/145 L utilisation du VPN SSL nécessite l installation d un outil dédié, installé lors de la première connexion au site. Cette application se nomme Secure Application Manager (SAM). Le VPN SSL permet l accès sécurisé à vos boîtes aux lettres hébergées sur le FrontOffice RTE.

71 Page : 71/ Prérequis Le site secure.iservices.rte-france.com doit être déclaré comme site de confiance (cf ) IMPORTANT Avant d effectuer votre première connexion, vous devez impérativement vérifier que votre poste de travail puisse résoudre l adresse secure.iservices.rte-france.com (cf 3.1) PSIS (Pulse Secure Installer Service) est un service Windows mis à disposition sur le site client de RTE. Ce service permet, une fois installé, de mettre à jour les futures versions du SAM sans demander l intervention d une personne ayant les privilèges administrateur de la machine. Pour ce faire, téléchargez l exécutable sous le lien : Et décompressez le fichier compressé :

72 Page : 72/145 Une fois le fichier exécuté, une fenêtre vous demandant l autorisation d installer le logiciel apparaît. Cliquez sur «Oui». Ce dernier sera automatiquement activé à chaque lancement du système d exploitation.

73 Page : 73/ Première connexion Ce paragraphe concerne uniquement votre première connexion au VPN SSL avec Internet Explorer. IMPORTANT La première connexion doit être faite par un informaticien disposant des droits d Administrateur de votre poste de travail afin que l installation de l application SAM puisse être effectuée. Avant de poursuivre, il faut désactiver les contrôles ActiveX sur Internet Explorer. Pour ce faire, appuyez sur la touche «Alt» de votre clavier. Une barre de menu apparaît en haut de la fenêtre. Cliquez sur le bouton Outils, et faite en sorte que «Filtrage ActiveX» soit bien désactivé comme sur la capture ci-dessous. Lancez votre navigateur et allez sur le site suivant : La fenêtre suivante apparaît :

74 Page : 74/145 Sélectionnez votre certificat, puis cliquez sur le bouton «OK». Si nécessaire, cette fenêtre vous demandera le code pin associé à votre carte à puce. Renseignez le code pin, puis cliquez sur «Ok». Le navigateur affiche alors un lien pour installer le SAM (si ce dernier n est pas déjà installé): Si aucune intervention manuelle est effectuée, le pop-up d installation suivant apparaît : Si nécessaire, la fenêtre suivante apparaît :

75 Page : 75/145 Cliquez sur «Oui». L installation de l application SAM débute. Patientez durant toute la durée de l installation.

76 Page : 76/145 Si nécessaire, une fenêtre vous demandant d autoriser le programme à apporter des modifications à votre ordinateur apparaît. Cliquez sur «Oui». Une fois l installation terminée, la page ci-après s affiche : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez les et validez. Puis, l icône apparaît dans votre barre des tâches. Cliquez sur le bouton «Déconnexion» (en haut à droite de la page) pour terminer la session :

77 Page : 77/145

78 Page : 78/ Utilisation du VPN SSL Établissement de la connexion Lancez votre navigateur et aller sur le site suivant : La fenêtre suivante apparaît : Sélectionnez votre certificat, puis cliquez sur le bouton «OK». Si nécessaire, une fenêtre vous demandera le code pin associé à votre carte à puce.

79 Page : 79/145 Si nécessaire, la fenêtre ci-après apparaît. Cliquez sur «Oui». L application SAM se lance automatiquement et la page ci-après s affiche : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez-les et validez. Puis, l icône apparaît dans votre barre des tâches. Remarques : Le certificat sert uniquement à l établissement de la connexion au VPN SSL. Pour fermer la session VPN SSL, cliquez sur le bouton «Déconnexion» (en haut à droite de la page).

80 Page : 80/ Utilisation pour l accès aux boîtes aux lettres hébergées Le VPN SSL peut être utilisé pour accéder aux boîtes aux lettres hébergées sur le FrontOffice avec un client de messagerie standard. L accès aux boîtes aux lettres hébergées nécessite que la connexion au VPN SSL soit établie (voir ). La configuration du compte de messagerie dans votre client de messagerie se fait ensuite de manière standard avec les paramètres suivants : Type de serveur de messagerie : Serveur POP Adresse du serveur POP : pop.services.rte-france.com Adresse du serveur SMTP : smtp.services.rte-france.com Lorsque vos accès au FrontOffice RTE vous sont fournis, vous recevez votre identifiant de connexion (login), votre mot de passe et votre adresse mail. REMARQUE Etant donné que les messages sont transférés à travers un canal sécurisé, l envoi et la réception de mails ne nécessitent pas l utilisation d un certificat pour le chiffrement des messages.

81 Page : 81/145 5 Mozilla Firefox 5.1 Configuration préalable Configuration des paramètres de sécurité Le standard SSL, permettant d'accéder à des sites avec une connexion chiffrée (protocole HTTPS), est par défaut désactivé dans les versions récentes de Firefox. Les versions supportées de Firefox sont spécifiées au 3.2. Les standards supportés par défaut sont : TLS 1.0 à TLS 1.2. En cas de problèmes, merci de notifier l anomalie auprès de la Hotline RTE (cf 9.1) Ajout de la carte à puce parmi les périphériques de sécurité de Firefox : Mozilla Firefox ne prend pas en charge automatiquement le lecteur de carte à puce. Il est nécessaire d ajouter manuellement dans Firefox le pilote de carte à puce dans la liste des périphériques de sécurité pris en compte. Pour ce faire, insérez votre carte à puce dans le lecteur. Puis, aller dans le menu «Outils» en haut à droit de la fenêtre de Mozilla Firefox, puis cliquez sur le l icône «Options» :

82 Page : 82/145 Une fenêtre apparaît. Choisissez la rubrique «Avancé», puis l onglet «Certificats». Afin que la carte à puce soit prise en compte par Firefox, il est nécessaire d ajouter le pilote dans la liste des périphériques. Pour ce faire, cliquez sur «Périphériques de sécurité». La fenêtre ci-après apparaît :

83 Page : 83/145 Cliquez sur «Charger». Une autre fenêtre s ouvre comme indiqué ci-après: Donnez un nom au module, par exemple «Carte A Puce». Cliquez sur «Parcourir». Parcourez votre répertoire d installation du logiciel Gemalto (par exemple C:\Program Files\Gemalto\IDGo 800 PKCS#11\IDPrimePKCS11.dll) pour trouver le fichier «IDPrimePKCS11.dll». Sélectionnez le fichier «IDPrimePKCS11.dll», puis cliquez sur «Ouvrir».

84 Page : 84/145 La fenêtre suivante apparaît. Cliquez sur «Ok». Le pilote de la carte à puce a été rajoutée à la liste des périphériques pris en compte par Firefox. Cliquez sur «Ok».

85 Page : 85/ Installation des certificats des ACs RTE Téléchargement et installation RTE Certification Authority Il s agit de l AC historique de taille de clé 2048bits. Elle est nécessaire pour la cohabitation de l ancienne PKI avec la nouvelle. Il faut à présent installer le certificat de l AC historique de RTE dans votre navigateur. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site. La pop-up de téléchargement de certificat suivante apparait. Sélectionnez «Enregistrer le fichier» et cliquez sur «OK». Un emplacement où enregistrer le fichier «Certification_Autority_RTE_2048.cer» vous sera éventuellement demandé. Une fois le fichier téléchargé, cliquez sur le menu «Outils» en haut à droit de la fenêtre, puis cliquez sur l icône «Options» :

86 Page : 86/145 Une fenêtre apparaît. Choisissez la rubrique «Avancé», puis l onglet «Certificats». Cliquez sur le bouton «Afficher les certificats».

87 Page : 87/145 Sélectionnez l onglet «Autorités» et cliquez sur «Importer». Sélectionnez le fichier enregistré précédemment.

88 Page : 88/145 Une boîte de dialogue est affichée, dans laquelle vous devez sélectionner les 3 cases à cocher «Confirmer cette AC pour identifier [ ]» pour faire confiance à l AC historique RTE

89 Page : 89/145 Cliquez sur le bouton «Voir» pour vérifier que le certificat auquel vous allez faire confiance est bien le certificat de l AC historique de RTE : Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» lié au certificat «RTE Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Certification Authority» SHA1 39:83:D6:10:A2:C4:D5:60:45:A0:C1:D0:E3:FA:E1:42:45:8A:37:12 Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente où vous cliquerez sur «Annuler», et appelez la Hotline RTE (cf 9.1).

90 Page : 90/145 Si, après vérification, l empreinte du certificat que vous avez importé correspond bien à l empreinte numérique «SHA1» indiquée ci-dessus, il vous est possible de consulter les détails du certificat en cliquant sur l onglet «Détails» : En cliquant sur le bouton «Fermer», vous revenez à la fenêtre initiale : «Téléchargement du certificat» (cf. ci-dessus). Dans cette fenêtre, cliquez sur le bouton «OK» : le certificat de l AC Historique RTE est alors installé dans Mozilla Firefox RTE Root Certification Authority Il s agit de la nouvelle AC Root de taille de clé 4096 bits. Elle est nécessaire à la validation de la chaine de confiance. Il faut à présent installer le certificat de l AC Root de RTE dans votre navigateur. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site.

91 Page : 91/145 La pop-up de téléchargement de certificat suivante apparait. Sélectionnez «Enregistrer le fichier» et cliquez sur «OK». Un emplacement où enregistrer le fichier «ACR_RTE_Root_CA_ cer» vous sera éventuellement demandé. Une fois le fichier téléchargé, cliquez sur le menu «Outils» en haut à droit de la fenêtre, puis cliquez sur l icône «Options» :

92 Page : 92/145 Une fenêtre apparaît. Choisissez la rubrique «Avancé», puis l onglet «Certificats».

93 Page : 93/145 Cliquez sur le bouton «Afficher les certificats». Sélectionnez l onglet «Autorités» et cliquez sur «Importer». Sélectionnez le fichier enregistré précédemment.

94 Page : 94/145 Une boîte de dialogue est affichée, dans laquelle vous devez sélectionner les 3 cases à cocher «Confirmer cette AC pour identifier [ ]» pour faire confiance à l AC Root RTE.

95 Page : 95/145 Cliquez sur le bouton «Voir» pour vérifier que le certificat auquel vous allez faire confiance est bien le certificat de l AC Root de RTE : Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» lié au certificat «RTE Root Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Root Certification Authority» SHA1 00:64:8c:01:f4:02:9d:dc:6b:4e:1e:37:ae:76:28:75:17:b1:72:ff Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente où vous cliquerez sur «Annuler», et appelez la Hotline RTE (cf 9.1).

96 Page : 96/145 Si, après vérification, l empreinte du certificat que vous avez importé correspond bien à l empreinte numérique «SHA1» indiquée ci-dessus, il vous est possible de consulter les détails du certificat en cliquant sur l onglet «Détails» : En cliquant sur le bouton «Fermer», vous revenez à la fenêtre initiale : «Téléchargement du certificat» (cf. ci-dessus). Dans cette fenêtre, cliquez sur le bouton «OK» : le certificat de l AC Root RTE est alors installé dans Mozilla Firefox RTE Client Certification Authority Il s agit de la nouvelle AC Client de taille de clé 4096 bits. Elle sert à générer les certificats de la nouvelle PKI. Il faut à présent installer le certificat de l AC Client de RTE dans votre navigateur. Pour ce faire, veuillez aller à l adresse suivante : REMARQUE IMPORTANTE Il est impératif de respecter la casse (majuscules/minuscules) de l adresse du site.

97 Page : 97/145 La pop-up de téléchargement de certificat suivante apparait. Sélectionnez «Enregistrer le fichier» et cliquez sur «OK». Un emplacement où enregistrer le fichier «ACF_RTE_Client_CA_ cer» vous sera éventuellement demandé. Une fois le fichier téléchargé, cliquez sur le menu «Outils» en haut à droit de la fenêtre, puis cliquez sur l icône «Options» :

98 Page : 98/145 Une fenêtre apparaît. Choisissez la rubrique «Avancé», puis l onglet «Certificats».

99 Page : 99/145 Cliquez sur le bouton «Afficher les certificats». Sélectionnez l onglet «Autorités» et cliquez sur «Importer». Sélectionnez le fichier enregistré précédemment.

100 Page : 100/145 Une boîte de dialogue est affichée, dans laquelle vous devez sélectionner les 3 cases à cocher «Confirmer cette AC pour identifier [ ]» pour faire confiance à l AC Client RTE.

101 Page : 101/145 Cliquez sur le bouton «Voir» pour vérifier que le certificat auquel vous allez faire confiance est bien le certificat de l AC Client de RTE : Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» lié au certificat «RTE Client Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Client Certification Authority» SHA1 C8:53:de:36:da:fd:38:37:c3:de:a5:6c:b0:d1:eb:06:28:f6:dc:ed Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente où vous cliquerez sur «Annuler», et appelez la Hotline RTE (cf 9.1).

102 Page : 102/145 Si, après vérification, l empreinte du certificat que vous avez importé correspond bien à l empreinte numérique «SHA1» indiquée ci-dessus, il vous est possible de consulter les détails du certificat en cliquant sur l onglet «Détails» : En cliquant sur le bouton «Fermer», vous revenez à la fenêtre initiale : «Téléchargement du certificat» (cf. ci-dessus). Dans cette fenêtre, cliquez sur le bouton «OK» : le certificat de l AC Client RTE est alors installé dans Mozilla Firefox.

103 Page : 103/ Visualisation et vérification des certificats des ACs RTE Pour visualiser vos certificats ultérieurement, dans Mozilla Firefox, il faut aller dans le menu «Outils» en haut à droit de la fenêtre, puis cliquez sur l icône «Options» : Une fenêtre apparaît. Choisissez la rubrique «Avancé», puis l onglet «Certificats».

104 Page : 104/145 Cliquez sur le bouton «Afficher les certificats». Dans l onglet «Autorités», vous pouvez vérifier que les certificats sont bien enregistrés sous l organisation «RESEAU DE TRANSPORT D ELECTRICITE» sur le disque dur de votre PC («Sécurité personnelle»), et les visualiser en sélectionnant le certificat désiré puis en cliquant sur «Voir».

105 Page : 105/145 Sélectionnez «RTE Certification Authority» et cliquez sur le bouton «Voir»: Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» liée au certificat «RTE Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Certification Authority» SHA1 39:83:D6:10:A2:C4:D5:60:45:A0:C1:D0:E3:FA:E1:42:45:8A:37:12 Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente, et appelez la Hotline RTE (cf 9.1).

106 Page : 106/145 Si, après vérification, l empreinte du certificat que vous avez importé correspond bien à l empreinte numérique «SHA1» indiquée ci-dessus, il vous est possible de consulter les détails du certificat en cliquant sur l onglet «Détails» : Cliquez sur «Fermer» pour revenir à la fenêtre précédente.

107 Page : 107/145 Sélectionnez «RTE Root Certification Authority» et cliquez sur le bouton «Voir»: Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» liée au certificat «RTE Root Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Root Certification Authority» SHA1 00:64:8c:01:f4:02:9d:dc:6b:4e:1e:37:ae:76:28:75:17:b1:72:ff Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente, et appelez la Hotline RTE (cf 9.1).

108 Page : 108/145 Si, après vérification, l empreinte du certificat que vous avez importé correspond bien à l empreinte numérique «SHA1» indiquée ci-dessus, il vous est possible de consulter les détails du certificat en cliquant sur l onglet «Détails» : Cliquez sur «Fermer» pour revenir à la fenêtre précédente.

109 Page : 109/145 Sélectionnez «RTE Client Certification Authority» et cliquez sur le bouton «Voir»: Pour vous assurer de l authenticité de ce certificat, vérifiez soigneusement que l empreinte numérique «SHA1» liée au certificat «RTE Client Certification Authority» est identique à celle présentée ci-dessous. Empreintes numériques du certificat «RTE Client Certification Authority» SHA1 C8:53:de:36:da:fd:38:37:c3:de:a5:6c:b0:d1:eb:06:28:f6:dc:ed Si ce n est pas le cas, cliquez sur «Fermer» pour revenir à la fenêtre précédente, et appelez la Hotline RTE (cf 9.1).

110 Page : 110/145 Si, après vérification, l empreinte du certificat que vous avez importé correspond bien à l empreinte numérique «SHA1» indiquée ci-dessus, il vous est possible de consulter les détails du certificat en cliquant sur l onglet «Détails» : En cliquant sur le bouton «Fermer», vous revenez à la fenêtre initiale.

111 Page : 111/ Visualisation et vérification de vos certificats sur carte à puce Une fois le pilote du lecteur de carte intégré dans Firefox dans le 5.1.2, il est possible de visualiser le certificat contenu dans la carte à puce. Pour ce faire, insérez votre carte à puce dans le lecteur de carte branché au port USB de votre ordinateur. Ensuite, allez dans le menu «Outils» en haut à droit de la fenêtre, puis cliquez sur l icône «Options» :

112 Page : 112/145 Choisissez la rubrique «Avancé», puis l onglet «Certificats». Cliquez sur le bouton «Afficher les certificats». Dans la fenêtre qui s ouvre, saisissez le code PIN de votre carte. Cliquez sur «OK». Cliquez sur l onglet «Vos certificats». Vous pouvez visualiser vos certificats en les sélectionnant dans la liste puis en cliquant sur le bouton «Voir». Le 1 er onglet «Général» affiche le message «Ce certificat a été vérifié pour les utilisations suivantes».

113 Page : 113/145

114 Page : 114/145 Le 2 e onglet «Détails» affiche la hiérarchie de certification avec le certificat racine de l AC RTE. Cela assure que tous les certificats ont été correctement installés, et que toutes les conditions d utilisation correctes de votre certificat sont réunies.

115 Page : 115/ Utilisation de votre certificat Authentification et chiffrement Étapes à suivre : Insérez la carte à puce Lancez Mozilla Firefox, saisissez l URL de l application RTE ou du «Portail Services Clients de RTE» : lors de l authentification, le navigateur vous demandera le mot de passe de protection du magasin de certificats si celui-ci a été défini ou le code pin de la carte à puce, Puis, plusieurs certificats vous sont présentés. Vous devrez choisir celui qui vous a été fourni pour l application à laquelle vous allez accéder (utiliser le bouton «Afficher le certificat» pour visualiser leur contenu), Une fois l authentification terminée, toutes les données que vous recevez ou envoyez seront chiffrées Exemple d accès à une application web RTE Lorsque vous accéderez à la page d accueil en «https», il vous sera demandé de saisir le mot de passe de votre carte à puce : Puis, il vous sera demandé de choisir votre certificat. Choisissez votre certificat dans la liste déroulante intitulée «Choisir un certificat à présenter comme identification» et cliquez sur «OK».

116 Page : 116/145 La page d accueil est alors affichée, de façon sécurisée (présence du cadenas fermé en haut à gauche) : 5.5 Connexion au VPN SSL Avant-propos La connexion via VPN SSL est un service permettant l établissement d un canal de communication sécurisé au FrontOffice RTE à travers Internet. Ce canal est établi après authentification avec votre certificat auprès d un site dédié (cf. 5.4). Une fois le canal établi, toutes vos communications avec le service RTE demandé seront chiffrées. L utilisation du VPN SSL nécessite l installation d un outil dédié, installé lors de la première connexion au site. Cette application se nomme Secure Application Manager (SAM). Le VPN SSL permet l accès à vos boîtes aux lettres hébergées sur le FrontOffice RTE Pré-requis Pour vous connecter au VPN SSL avec Firefox, Java SE Runtime Environment (JRE) ou supérieur doit être installé sur votre poste. Si ce n est pas le cas, vous pouvez télécharger la dernière version sur le site d Oracle :

117 Page : 117/145 IMPORTANT Avant d effectuer votre première connexion, vous devez impérativement vérifier que votre poste de travail puisse résoudre l adresse secure.iservices.rtefrance.com (cf. 3.1Erreur! Source du renvoi introuvable.). PSIS (Pulse Secure Installer Service) est un service Windows mis à disposition sur le site client de RTE. Ce service permet, une fois installé, de mettre à jour les futures versions du SAM sans demander l intervention d une personne ayant les privilèges administrateur de la machine. Pour ce faire, téléchargez l exécutable sous le lien :

118 Page : 118/145 Et décompressez le fichier compressé : Une fois le fichier exécuté, une fenêtre vous demandant l autorisation d installer le logiciel apparaît. Cliquez sur «Oui». Ce dernier sera automatiquement activé à chaque lancement du système d exploitation.

119 Page : 119/ Première connexion Ce paragraphe concerne uniquement votre première connexion au VPN SSL avec Mozilla Firefox. IMPORTANT La première connexion doit être faite par un informaticien disposant des droits d Administrateur de votre poste de travail afin que l installation de l application SAM puisse être effectuée Lancez votre navigateur Mozilla Firefox et aller sur le site suivant : Si nécessaire, il vous sera demandé de saisir le mot de passe de votre carte à puce : Appuyez sur «OK». La fenêtre suivante apparaît : Choisissez votre certificat dans la liste déroulante intitulée «Choisir un certificat à présenter comme identification» et cliquez sur «OK». Si une fenêtre vous demandant l autorisation d exécution d un script provenant de «Pulse Secure, LLC.» apparaît, cliquez sur «Autoriser». Si l icône rouge suivante apparaît, cliquez sur celui-ci dans la barre d adresse. Ensuite dans le menu déroulant du message, sélectionnez «Activer tous les plugins» puis choisissez «Toujours activer»

120 Page : 120/145 Si nécessaire, la fenêtre suivante apparaît : Si la fenêtre ci-dessous apparaît, cliquez sur «Oui».

121 Page : 121/145 L installation de Secure Application Manager démarre : Si votre accès à Internet nécessite une authentification auprès d un proxy, une fenêtre s affiche pour vous demander vos identifants de connexion. Saisissez-les et validez. La page ci-dessous apparaît alors :

122 Page : 122/145 Puis, l icône au VPN SSL. apparaît dans votre barre des tâches, ce qui signifie que vous êtes connecté Cliquez sur le bouton «Déconnexion» (en haut à droite de la page) pour terminer la session :

123 Page : 123/ Utilisation du VPN SSL Établissement de la connexion Lancez votre navigateur et aller sur le site suivant : Si nécessaire, il vous sera demandé de saisir le mot de passe de votre carte à puce : La fenêtre suivante apparaît : Choisissez votre certificat dans la liste déroulante intitulée «Choisir un certificat à présenter comme identification» et cliquez sur «OK».

124 Page : 124/145 Si une fenêtre vous demandant l autorisation d exécution d un script provenant de «Pulse Secure, LLC.» apparaît, cliquez sur «Oui». Si votre accès à Internet est protégé par un proxy, une fenêtre s affiche pour vous demander identifants de connexions. Saisissez les et validez. La page ci-dessous apparaît alors : Puis, l icône au VPN SSL. apparaît dans votre barre des tâches, ce qui signifie que vous êtes connecté Remarques : o o Le certificat sert uniquement à l établissement de la connexion au VPN SSL. Pour fermer la session VPN SSL, cliquez sur le bouton «Déconnexion» (en haut à droite de la page).

125 Page : 125/ Utilisation pour l accès aux boîtes aux lettres hébergées Le VPN SSL peut être utilisé pour accéder aux boîtes aux lettres hébergées sur le FrontOffice avec un client de messagerie standard. L accès aux boîtes aux lettres hébergées nécessite que la connexion au VPN SSL soit établie (voir ). La configuration du compte de messagerie dans votre client de messagerie se fait ensuite de manière standard avec les paramètres suivants : Type de serveur de messagerie : Serveur POP Adresse du serveur POP : pop.services.rte-france.com Adresse du serveur SMTP : smtp.services.rte-france.com Lorsque vos accès au FrontOffice RTE vous sont fournis, vous recevez votre identifiant de connexion (login), votre mot de passe et votre adresse mail. REMARQUE Etant donné que les messages sont transférés à travers un canal sécurisé (tout ce qui transite dans ce canal est automatiquement chiffré), l envoi et la réception de messages électroniques (mails) ne nécessitent pas l utilisation d un certificat pour le chiffrement des messages.

126 Page : 126/145 E. ANNEXES

127 Page : 127/145 6 Changement du code PIN de la carte à puce La carte à puce qui vous est fournie est protégée par un code PIN (mot de passe) uniquement connu du porteur. Celui-ci vous est demandé lors de l utilisation de votre carte à puce et permet de vérifier que vous êtes bien le porteur de la carte (cf. 1.3). Le code PIN initial vous est fourni dans un pli «personnel et confidentiel» (cf ). Il est ensuite fortement recommandé de personnaliser le code PIN de votre carte à puce. Les contraintes pour votre nouveau code PIN sont les suivantes : o o o de 6 à 16 chiffres, différent de l ancien code PIN, séquence répétée de chiffres interdite. Pour changer le code PIN de votre carte, veuillez suivre la procédure ci-après. o o Insérez votre carte à puce dans le lecteur. Utilisez le logiciel IDGo800UserTool_v1_0.exe qui se trouve da le répertoire «IDGo800_Minidriver_XX\6726_IDGo_Minidriver_v124» La fenêtre suivante s ouvre.

128 Page : 128/145 Allez sur l onglet «PIN Management», et cliquez sur «Analyze Card» : Renseignez votre PIN actuel ainsi que le nouveau PIN, confirmez-le. Cliquez ensuite sur «Change».

129 Page : 129/145 Cliquez sur «OK». Le code PIN de votre carte à puce a été changé.

130 Page : 130/145 7 Environnement sécurisé (PKI) Cette annexe décrit l environnement sécurisé dans lequel est mis en œuvre la PKI. Elle présente en particulier : o o les concepts de l environnement sécurisé et les objets informatiques correspondants gérés par la PKI, le rôle des différentes entités prenant part aux processus de fonctionnement d une PKI. 7.1 Concepts et objets gérés par une PKI Cette annexe présente les principaux concepts permettant de comprendre le rôle des objets gérés par une PKI : o o o présentation des principes structurant un processus sécurisé, le rôle du bi-clé, les certificats Qu est-ce qu un processus sécurisé? Définition d une PKI Avec une PKI (Public Key Infrastructure, ou IGC pour Infrastructure de Gestion de Clés), chaque porteur dispose d une paire de clés une clé privée, connue de son seul possesseur, et une clé publique liées par une relation mathématique complexe, qui rend quasiment impossible la détermination de la clé privée à partir de la seule connaissance de la clé publique. Cela signifie que la probabilité de déterminer la clé privée à partir de la clé publique en un temps raisonnable est très faible. Des données chiffrées avec une clé (typiquement, la clé publique) ne peuvent être déchiffrées qu avec l autre (typiquement, la clé privée). C est sur la base de ce principe qu est notamment assurée la confidentialité des messages échangés. Ce procédé est couramment appelé «cryptographie asymétrique» par opposition à la «cryptographie symétrique» qui utilise une clé commune au chiffrement et au déchiffrement.

131 Page : 131/ Les quatre piliers de la sécurité des échanges d informations Cette carte d identité électronique a pour vocation d établir un environnement de confiance dont les quatre piliers sont les suivants : o o o o l authentification identifie les parties de manière sûre et certaine, la confidentialité empêche les non destinataires de lire les données, l intégrité assure que des données n ont pas été altérées, la non-répudiation rend impossible à une partie de réfuter les informations qu elle a transmises La solution cryptographique En raison de la technologie utilisée (i.e. protocoles, architectures, etc.), l information circulant sur Internet n est pas confidentielle. Les technologies ne permettent pas non plus de répondre aux trois autres exigences de sécurité exposées ci-dessus. Afin de préserver la confidentialité des échanges effectués sur Internet, les données doivent être rendues incompréhensibles à tous sauf aux destinataires. Le chiffrement est la solution adéquate. Le chiffrement des données accompagne naturellement l authentification des utilisateurs du système. En effet, si certaines données sont confidentielles, il est nécessaire que les émetteurs et les destinataires de ces informations puissent s authentifier entre eux de manière sûre et univoque, afin de procéder à des échanges sécurisés. L authentification repose sur la possession d un certificat. Cet élément est délivré par une Autorité de Certification à laquelle les parties prenantes d une transaction font toutes confiance (dans notre cas, l Autorité de Certification est RTE). Ainsi, les porteurs peuvent avoir confiance dans les informations qui leur sont fournies et RTE sait que seuls les porteurs habilités accèdent à l information. NOTE Selon un processus analogue, dans la vie courante, il est nécessaire de fournir une pièce d identité délivrée par une autorité habilitée pour pouvoir accéder à certaines prérogatives réservées aux citoyens du pays (e.g. achats coûteux, droit de vote, etc.) Le rôle du bi-clé Chaque porteur dispose d une clé publique et d une clé privée associée : o La clé privée est une clé que le porteur doit garder confidentielle. Il est le seul à la posséder et à pouvoir l utiliser. Il ne la connaît pas forcément lui-même (par

132 Page : 132/145 exemple, elle peut se trouver dans une carte à puce, d où elle ne peut sortir, mais l accès à la carte est protégé par un code PIN connu seulement de son possesseur). o La clé publique, comme son nom l indique, est publique et peut être communiquée à tous. On utilise uniquement les clés publiques des porteurs pour chiffrer les messages à destination de ceux-ci. Si un message chiffré était intercepté, ce serait sans conséquence sur la confidentialité car il ne pourrait être déchiffré (dans un temps raisonnable) par une personne ne possédant pas la clé privée associée. La clé privée permet à son propriétaire de signer un message qu il envoie et de déchiffrer un message qu on lui envoie chiffré. A l opposé, la clé publique d une personne est utilisée pour chiffrer un message qui lui est envoyé et pour vérifier la signature du message reçu Chiffrement et déchiffrement d un message Chaque message est chiffré par la clé publique du destinataire, qui le déchiffrera avec sa clé privée. Quand RTE envoie un message à son client A : 1. RTE dispose de la clé publique du client A (via la partie publique de son certificat). 2. RTE chiffre automatiquement le message en utilisant la clé publique du client A et le lui envoie, via la messagerie électronique de RTE. 3. Le client A récupère le message et le déchiffre automatiquement avec sa clé privée. Chiffrement et déchiffrement avec une bi-clé

133 Page : 133/ Utilisation des clés lors de la signature du message Chaque message est signé par la clé privée de l émetteur. L origine (i.e. la signature) d un message peut être contrôlée grâce à la clé publique de l émetteur, librement accessible via son certificat. Pour prouver au client A que le message qu il reçoit provient effectivement de RTE, RTE signe automatiquement son message, avec sa clé privée, avant l envoi au client A. Signature et vérification de signature avec une bi-clé Quand le client A reçoit le message de RTE, il vérifie automatiquement la signature du message reçu, avec la clé publique de RTE.

134 Page : 134/ Les certificats Objectifs du certificat numérique Puisque les clés publiques sont utilisées pour vérifier les signatures électroniques et chiffrer les messages, il est capital pour tout porteur d être certain de l identité du propriétaire d une clé publique : c est le rôle du certificat Caractéristiques d un certificat Le certificat est une pièce d identité électronique : o o qui garantit l identité de son détenteur auprès d un site distant, qui comporte des données facilitant l identification, o qui résiste aux contrefaçons et qui est émise par une tierce partie de confiance : l Autorité de Certification. Une Autorité de Certification est une entité qui crée et gère des certificats. Elle définit les règles d enregistrement dans la PKI des différents porteurs Structure d un certificat Un certificat numérique contient : o o o o o o la clé publique du possesseur, le nom du possesseur et tout autre information d identification (l adresse de la personne s il s agit d un certificat pour signer des s), la période de validité du certificat, le nom de l autorité de certification qui a généré ce certificat, un numéro de série unique, la signature de l autorité de certification.

135 Page : 135/ Exemples de certificats Un certificat numérique sous Internet Explorer

136 Page : 136/145 Un certificat numérique sous Mozilla Firefox 7.2 Documentation Documents de référence : Contrat d abonnement au SI sécurisé de RTE. Sites web : Loi du 13 mars 2000 portant sur l adaptation du droit de la preuve aux technologies de l information et relative à la signature électronique : Directive 1999/93/CE du 13 décembre 1999 sur un cadre communautaire pour les signatures électroniques : Projet de décret sur la signature électronique : OpenTrust (anciennement Keynectis) :