Autorité de Certification Du Crédit Lyonnais pour le Service de Certification Crédit Lyonnais

Transcription

1 Autorité de Certification Du Crédit Lyonnais pour le Service de Certification Crédit Lyonnais POLITIQUE DE CERTIFICATION Date : 8 janvier 2009 Version : 2.2 Réf. : PC-V2.2.doc Autorité de Certification opérée par le Crédit Lyonnais

2 Historique : Version Date de publication Rédigée par Validée par février 2001 LKH mars 2001 LKH novembre 2002 JCO LKH août 2003 LKH YGA janvier 2008 CG janvier 2009 CG Page 2

3 Sommaire : Préambule * 1 Présentation générale de la PC * 1.1 Identification de la PC - OID * 1.2 Liste des acronymes utilisés * 1.3 Définitions des termes utilisés dans la PC * 1.4 Type d'applications concernées par la PC * Liste des applications autorisées * Liste des applications interdites * 1.5 Modification de la PC * 1.6 Coordonnées des entités responsables de la présente PC * Organisme responsable * Contact * Personne déterminant la conformité de la DPC à la PC * 2 Dispositions de portée générale * 2.1 Obligations * Obligations communes à toutes les composantes de l'ac et de l'ae. * Obligations de l'ac. * Obligations de l'ae. * Obligations du Titulaire. * Obligations des utilisateurs de certificats * Obligations du Responsable Certification * 2.2 Responsabilités * Responsabilité de l'ac * Responsabilité de l'ae * Responsabilité de la société * Responsabilité du Responsable Certification * Responsabilité du Porteur* 2.3 Respect et interprétation des dispositions juridiques * Droit applicable * Règlement des différends * Dispositions pénales * Permanence de la PC * 2.4 Tarifs * Émission ou renouvellement de certificats * Accès aux certificats * Validité de certificats * Autres services * Politique de remboursement * 2.5 Publication et dépôt de documents * Informations publiées * Fréquence de diffusion * Contrôle d'accès * Dépôt des documents * 2.6 Contrôle de conformité à la PC * Fréquence du contrôle de conformité * Indépendance et qualifications du contrôleur * Périmètre du contrôle de conformité * Communication des résultats * Actions entreprises en cas de non-conformité * Page 3

4 2.7 Politique de confidentialité de l'ac * Types d'informations considérées comme confidentielles * Divulgation des informations sur demande de leur propriétaire * 2.8 Droits de propriété intellectuelle* 3 Identification et authentification* 3.1 Enregistrement initial d'un Porteur * Conventions de noms * Nécessité d'utilisation de noms explicites * Règles d'interprétation des différentes formes de noms * Unicité des noms * Procédure de résolution de litige sur déclaration de nom * Authentification de l'identité de l'entreprise ou d'une personne physique * Reconnaissance, authentification et rôle des noms de marques * Preuve de possession de la clé privée / Format de signature * 3.2 Renouvellement de clés (hors révocation) * 3.3 Re-génération de clés après révocation * 3.4 Authentification d'une demande de révocation * 4 Besoins opérationnels * 4.1 Demande de certificat * Origine de la demande * Informations à fournir * Dossier de Demande de Certificat (DDC) * Archivage des dossiers * Opérations à effectuer * 4.2 Émission et distribution d'un certificat * 4.3 Acceptation d'un certificat * 4.4 Suspension et révocation de certificat * Causes possibles de révocation * Origine d'une demande de révocation d'un certificat de Porteur * Procédure de demande de révocation d'un certificat de Porteur * Traitement d'une demande de révocation d'un certificat de Porteur * Délai de traitement d une révocation * Publication des causes de révocation d'un certificat de Porteur. * Intégrité de la LCR * Contrôle en ligne du statut de révocation de certificat * Formes de publication des LCR * Besoins spécifiques en cas de révocation pour compromission de clé * Suspension de certificats * 4.5 Journalisation des événements * 4.6 Archives * 4.7 Renouvellement de clé d'une composante de l'icp * 4.8 Récupération en cas de désastre ou de compromission * 4.9 Cessation d'activité d'une composante de l'icp * 4.10 Fin d'abonnement * 5 Contrôle de sécurité physique, contrôle des procédures, contrôle du personnel * 5.1 Contrôles de sécurité physique * 5.2 Contrôles des procédures * 5.3 Contrôle du personnel * 6 Règles techniques de sécurité * 6.1 Génération et installation de bi-clés * Génération des bi-clés du Porteur * Page 4

5 6.1.2 Transmission de la clé publique de signature (du Porteur) à l'émetteur de certificat * Transmission de la clé publique d'un certificat d'ac * Tailles des clés des Porteurs * Contrôle de qualité des paramètres des clés de l'ac * Mode de génération de clé de l'icp * Usage de la clé publique des Porteurs * 6.2 Protection de la clé privée * Dispositifs de gestion des éléments secrets du Porteur * Contrôle de la clé privée de signature de l'ac par plusieurs personnes * Récupération de clé privée de confidentialité* du Porteur. * 6.3 Autres aspects de la gestion des bi-clés * Archivage des clés publiques des Porteurs * Durée de vie des certificats * 6.4 Données d'activation des clés privées des Porteurs * Génération et utilisation des données d'activation * Protection des données d'activation * 6.5 Contrôles techniques du système durant son cycle de vie * Contrôles des développements des systèmes * Contrôles de la gestion de la sécurité. * 6.6 Contrôles de la sécurité réseau * 6.7 Contrôles de la gestion des modules cryptographiques * 7 Profils de certificats et de LCR * 7.1 Profil des certificats * 7.2 Profil de LCR * 8 Administration des spécifications référentes à l'ac * 8.1 Modification des spécifications * 8.2 Changements de composantes de l'ac ou de l'ae * 8.3 Procédure d'approbation de la PC * Préambule Dans le cadre du développement de ses services e-business, le Crédit Lyonnais a mis en œuvre une autorité de certification et s'est doté d'une Infrastructure à Clé Publique (ICP) destinée à fournir des certificats à des entreprises et des professionnels.. Une des premières applications visée est l'ensemble des téléprocédures du Ministère de l'economie, des Finances et de l'industrie (MINEFI) ainsi que celles des organismes sociaux ( URSSAF ). Ce document constitue la Politique de Certification de l'autorité de Certification "Crédit Lyonnais Authentys Entreprise" dénommée dans le reste du document Autorité de Certification "Crédit Lyonnais" ou AC "Crédit Lyonnais". Cette Politique de Certification contient l'ensemble des engagements de l'autorité de Certification "Crédit Lyonnais" concernant la délivrance de certificats numériques. L'ambition de cette AC "Crédit Lyonnais" est de satisfaire aux exigences du MINEFI afin que les certificats émis soient éligibles à l'ensemble des téléprocédures. L'infrastructure à Clés Publiques repose sur les acteurs suivants : Page 5

6 L'Autorité de Certification (AC), dont la fonction est de définir la Politique de Certification (PC) et de la faire appliquer. L'Autorité d'enregistrement (AE), dont la fonction est de mettre en œuvre les procédures d'identification des personnes physiques conformément aux règles définies par l'autorité de Certification. Elle garantit la validité des informations contenues dans le certificat. L'Autorité d'enregistrement est le lien entre l'autorité de Certification et le Porteur. L'Opérateur de Certification (OC), dont la fonction est d'assurer la fourniture et la gestion du cycle de vie des certificats. Son rôle consiste à mettre en œuvre une plate-forme opérationnelle, fonctionnelle, sécurisée, dans le respect des exigences énoncées dans la Politique de Certification (PC) et dont les modalités sont détaillées dans la Déclaration des Pratiques de Certification (DPC). L'Utilisateur de Certificat, dont la fonction est d'authentifier un porteur de certificat, de vérifier une signature numérique et/ou de chiffrer des messages à l'intention d'un porteur de certificat. Le Porteur de certificat est la personne physique, préposé de la société, détentrice d'un certificat. Dans le cadre présent, les différents acteurs sont les suivants : Le Crédit Lyonnais est la société portant l'autorité de Certification "Crédit Lyonnais". Le Crédit Lyonnais est la société assurant les fonctions d'autorité d'enregistrement. Le Crédit Lyonnais s appuie sur une société assurant les fonctions d'opérateur de Certification. Les gestionnaires des téléprocédures des services du MINEFI assurent les fonctions d'utilisateurs de Certificats. Les gestionnaires des applications gérées par le Crédit Lyonnais ou par des tiers ayant signé un accord avec le Crédit Lyonnais assurent également les fonctions d'utilisateurs de Certificats. Le Titulaire est un Porteur d'un Certificat. L'Autorité de Certification "Crédit Lyonnais" délivre un type unique de certificats : ce certificat porte, dans ce document, le nom de Certificat. Il désigne le certificat délivré par l'autorité de Certification Crédit Lyonnais à un préposé d'une Entreprise ou à un professionnel appelé Titulaire selon les Conditions Générales du Service de Certification Crédit Lyonnais. 1. Présentation générale de la PC Une Politique de Certification (PC) est identifiée par un nom unique (OID*). Elle est composée d'un ensemble de règles décrivant les conditions de recevabilité d'un certificat pour des applications ayant des besoins de sécurité communs. Une PC est définie indépendamment des modalités de mise en œuvre de l'infrastructure à Clés Publiques (ICP) à laquelle elle s'applique. Elle décrit les exigences auxquelles l'icp doit se conformer pour l'enregistrement et la validation des demandes de certificats, et pour la gestion des certificats. La Déclaration des Pratiques de Certification (DPC) rassemble les procédures de certification qui permettent d'atteindre les exigences décrites dans la PC. Il s'agit d'un document distinct de la PC. Cette PC est donc associée à la DPC relative à l'ac "Crédit Lyonnais" ; la DPC n'est pas diffusée de la même manière que la PC, et sa consultation doit faire l'objet de demande argumentée auprès de l'ac. La gestion des certificats couvre toutes les opérations relatives à la vie d'un certificat, depuis son émission jusqu'à la fin de vie de ce certificat (péremption, révocation). Cette PC vise la conformité au document PC-type V3.0 du MINEFI ainsi qu'au document RFC 2527 de l'ietf. Page 6

7 1 1 Identification de la PC OID La présente PC est identifiée par l'oid La Déclaration des Pratiques de Certification correspondante est référencée par l'oid Les PC et DPC correspondantes aux OID ci-dessus sont ci-après désignées sous le nom de "PC" et de "DPC". 1.2 Liste des acronymes utilisés AC Autorité de Certification AE Autorité d'enregistrement C Country (Pays) CN Common Name DDC Dossier de Demande de Certificat DGI Direction Générale des Impôts DN Distinguished Name DPC Déclaration des Pratiques de Certification, ou EPC DSA Digital Signature Algorithm EAR Entité d'audit et de Référencement EPC Enoncé des Pratiques de Certification, ou DPC ICP Infrastructure à Clés Publiques LCR Liste des Certificats Révoqués MD2 Message Digest n 2 MD5 Message Digest n 5 MINEFI Ministère de l'économie, des Finances et de l'industrie O Organisation OC Opérateur de Certification, ou OSC OID Object Identifier OU Organisation Unit OSC Opérateur de Service de Certification PC Politique de Certification RSA Rivest Shamir Adelman S/MIME Secure/Multipurpose Internet Mail Extensions SHA-1 Secure Hash Algorithm One SSL Secure Sockets Layer TLS Transport Layer Security PC 1.3 Définitions des termes utilisés dans la Le symbole (*) signifie que le terme est défini dans ce paragraphe. Il est utilisé dans le reste du document lorsqu'il est important de renvoyer à la définition du terme employé. Abonné : voir Porteur*. Autorité de Certification (AC) : autorité à laquelle les Porteurs * font confiance pour émettre et gérer des clés, des certificats et des LCR*. Ce terme désigne l'entité responsable des certificats signés en son nom. L'AC est le maître d'ouvrage de l'icp. Elle assure les fonctions suivantes : mise en application de la PC* ; gestion des certificats* ; Page 7

8 gestion des supports et de leurs données d'activation* si les bi-clés* et les certificats sont fournis aux Porteurs sur des supports matériels ; publication* des certificats valides et des listes de certificats révoqués ; journalisation et archivage des événements et informations relatives au fonctionnement de l'icp L'AC doit s'assurer que la fonction d'enregistrement est réalisée par une Autorité d'enregistrement*. Autorité d'enregistrement (AE) : entité en charge de vérifier l'identité des demandeurs ou Porteurs de certificat. Dans le cas du Crédit Lyonnais, l'ae s'assure que les demandeurs ou Porteurs sont mandatés par le Responsable Certification et prennent l'engagement d'utiliser les certificats uniquement dans les conditions définies dans cette Politique de Certification. L'AE a également pour tâche : de réceptionner et traiter les demandes de révocation de certificats ; d'archiver les dossiers de demande de certificats ou de révocation. Bi-clé : un bi-clé est un couple composé d'une clé privée (devant être conservée secrète) et d'une clé publique, nécessaire à la mise en œuvre d'une prestation de cryptologie basée sur des algorithmes asymétriques. Il existe deux types de bi-clés: Les bi-clés de signature dont la clé privée est utilisée à des fins de signature et la clé publique à des fins de vérifications ; Les bi-clés d'échange de clé ou de transport de clé, par lesquels le transport des clés secrètes (symétriques) est effectué (ces clés secrètes étant celles mises en œuvre pour chiffrer ou déchiffrer un message protégé en confidentialité). La clé privée d'un bi-clé d'échange de clé est aussi appelée "clé privée de confidentialité". Dans le cadre du Service de Certification Crédit Lyonnais*, le même bi-clé assure la signature et l'échange de clé. Certificat (du Service de Certification Crédit Lyonnais*): Le Certificat du Service de Certification Crédit Lyonnais*, ci-après dénommé "le Certificat", est de type ISO X509. Il est émis par l'ac Crédit Lyonnais et établi aux nom, ville et numéro SIREN de la Société et aux nom, prénom et adresse du Porteur. Le Certificat est rigoureusement personnel et strictement à usage professionnel. Il est considéré comme contenant des informations publiques. Certification croisée : processus par lequel deux AC certifient mutuellement la clé publique de l'autre. Quand deux AC concluent une entente de certification croisée, elles acceptent de se faire mutuellement confiance et de se fier aux certificats de clé publique et aux clés de l'autre comme si elles les avaient émis elles mêmes. Chaîne de confiance : ensemble des certificats nécessaires pour valider la filiation d'un certificat porteur. Clé privée de confidentialité : c'est la clé privée du bi-clé d'échange de clé*. Code secret d'activation/révocation (d'un certificat) : Suite de caractères composée de deux demi codes secrets: Code Secret de Retrait et de Révocation (CSR&R), Code Secret de Téléchargement (CST). Le premièr choisi par le Responsable Certification et transmise au Porteur permet de révoquer le certificat. Le second transmis par courrier électronique uniquement au Porteur permet, combinée avec le premier, d'activer le téléchargement du Certificat. Le Responsable Certification et le Porteur assument en toute circonstance le caractère secret de ces codes secrets. Common Name (CN) : identité réelle ou pseudonyme du Porteur* du certificat (exemple CN = Jean Dupont). Composante de l'icp : plate-forme jouant un rôle déterminé au sein de l'icp* dans le cycle de vie du certificat. Déclaration des Pratiques de Certification (DPC) : énoncé des procédures et pratiques appliquées par une AC* pour émettre et gérer des certificats. Page 8

9 Dispositif de création de signature: système logiciel utilisant les Certificats pour la création de signatures électroniques sécurisées. Ces systèmes ne sont pas fournis par la Banque qui se cantonne à la fourniture des Certificats. Distinguished Name (DN) : nom distinctif X.500 du Porteur* pour lequel le certificat est émis. Données d'activation : données privées associées à un Porteur* permettant de mettre en œuvre sa clé privée. Dossier de Demande de Certificat (DDC) : ensemble des pièces justificatives à fournir à l'ae* afin de lui permettre de vérifier les informations demandées par l'ac pour l'émission d'un certificat "Certificat Entreprise". Ces pièces justificatives sont décrites dans la présente PC. Émission (d'un certificat) : fait d'exporter un certificat à l'extérieur d'une AC* (pour une remise au Porteur, une demande de publication). Énoncé des Pratiques de Certification (EPC) : voir DPC* Enregistrement (d'un Porteur) : opération qui consiste pour une Autorité d'enregistrement* à constituer le profil d'un demandeur de certificat à partir de son dossier de demande de certificat, conformément à la Politique de Certification*. Entité d'audit et de Référencement (EAR) : organisme qui, sous la responsabilité du MINEFI, est chargé du référencement des certificats recevables pour la signature de télédéclarations vers le MINEFI. Génération (d'un certificat) : action réalisée par une AC* et qui consiste à signer l'ensemble des champs contenus dans un certificat édité par une AE*, après avoir vérifié la signature de l'ae*. Identificateur d'objet (OID) : identificateur alphanumérique unique enregistré conformément à la norme d'enregistrement ISO pour désigner un objet ou une classe d'objets spécifiques. Infrastructure à Clé Publique (ICP) : ensemble de composants, fonctions et procédures dédiés à la gestion de clés et de certificats utilisés par des services de sécurité basés sur la cryptographie à clé publique. Liste de Certificats Révoqués (LCR) : liste de numéros de certificats ayant fait l'objet d'une révocation*. Mandant : personne physique représentant une société qui, par un mandat, donne à une autre le pouvoir de la représenter lors d'une demande de certificat. Mandataire : personne physique qui a reçu mandat ou procuration pour représenter son mandant lors d'une demande de certificat. Module cryptographique : un module cryptographique est un dispositif matériel, du type carte à mémoire, carte PCMCIA ou autre, permettant de protéger les éléments secrets tels que les clés privées ou les données d'activation, et de procéder à des calculs cryptographiques mettant en œuvre ces éléments. Opérateur de Certification (OC) : composante de l'icp disposant d'une plate-forme lui permettant de générer et émettre des certificats et des Listes de Certificats Révoqués que les Utilisateurs de Certificats* et éventuellement les Porteurs* doivent utiliser. Opérateur de Services de Certification (OSC) : voir OC* Politique de Certification (PC) : ensemble de règles, définissant les exigences auxquelles l'ac* se conforme dans la mise en place de prestations adaptées à certains types d'applications. La Politique de Certification doit être identifiée par un OID* défini par l'ac*. Porteur: Personne physique, Préposé* de la Société, autorisée par cette dernière, sous sa responsabilité, à s identifier par Certificat et à signer électroniquement des documents au nom et pour le compte de la Société dans les limites définies par les Conditions Générales du Service de Certification Crédit Lyonnais et reprises dans cette PC. Il lui est attribué un Certificat qui lui est strictement personnel. Dans la phase amont de certification, il est un "demandeur" de certificat. Au sein d'un certificat X.509 V3, les informations d'identification du Porteur sont regroupées dans le champ "sujet". Page 9

10 Préposé : une personne physique, salariée ou non, agissant au nom et pour le compte de la Société «Souscripteur». Publication (d'un certificat) : opération consistant à mettre un certificat à disposition d'utilisateurs pour leur permettre de vérifier une signature ou de chiffrer des informations (ex : annuaire X.500). Référencement : opération consistant à contrôler la conformité d'une catégorie de certificats afin que ceux-ci soient acceptés par le MINEFI dans le cadre des télédéclarations. Si le résultat de cette opération est positif, cette catégorie de certificats est inscrite dans la liste tenue par l'ear* du MINEFI. Renouvellement (d'un certificat) : opération effectuée à la demande d'un Porteur de certificat ou en fin de période de validité d'un certificat et qui consiste à générer un nouveau certificat pour un Porteur. La re-génération de certificat après révocation* n'est pas un renouvellement. Responsable Certification : Personne physique mandatée par un représentant légal de la Société. Elle est seule habilitée vis à vis de la Banque à représenter la Société dans le cadre du fonctionnement du Service de Certification Crédit Lyonnais*. Retrait (d un Certificat): Opération de Révocation* effectuée à l initiative de l'ac. Révocation (d'un certificat) : Opération demandée par l'abonné ou par toute autre personne autorisée par l'ac dont le résultat est la suppression de la garantie de l'ac sur un Certificat* donné, avant la fin de sa période de validité. L'opération est considérée terminée, et la révocation effective, quand le numéro du Certificat qui en est l objet est publié dans la Liste des Certificats Révoqués (LCR*). Service de Certification Crédit Lyonnais: service permettant au porteur d'un Certificat Crédit Lyonnais de s identifier et de signer électroniquement un document sous son nom en tant que personne mandatée par la Société. Société: Entité morale identifiée par son numéro SIREN, son K bis et ses statuts, ayant contracté avec le Crédit Lyonnais une Convention de Service de Certification Crédit Lyonnais*. Une Société peut être une entreprise ou un professionnel. Support du Certificat: Élément matériel ou logiciel contenant le Certificat. Quand il est sous forme matérielle, le support est constitué d un objet portable (par exemple carte à puce ou clé USB) que le Porteur conserve sous son contrôle exclusif. Quand il est sous forme logicielle, le Certificat peut être stocké localement ou de façon déportée. Suspension (d'un certificat) : opération demandée par le Porteur de certificat ou par toute autre personne autorisée par l'ac dont le résultat est la suspension de la validité d un certificat pour une période donnée. Téléprocédure (du MINEFI) : ensemble des services mis en œuvre par le Ministère de l'economie, des Finances et de l'industrie (MINEFI) permettant la dématérialisation des procédures papiers. Exemples : déclarations de la TVA (télé-tva), des déclarations d'échanges de biens (télé-deb) et impôt sur les sociétés (télé-is). Tiers Signataire: Tiers ayant signé un accord avec la banque afin de définir les conditions de validité du Certificat. Titulaire: voir Porteur* Utilisateurs (de certificats) : gestionnaires des applications nécessitant la mise en œuvre des certificats délivrés par l'ac. Ces derniers authentifient un porteur de certificat, vérifient une signature numérique et/ou chiffrent des messages à l'intention d'un porteur de certificat. Usagers : terme employé dans le préambule pour désigner les Porteurs* potentiels. Validation (de certificat) : opération de contrôle du statut d'un certificat ou d'une chaîne de certification*. Vérification (de signature) : opération de contrôle d'une signature numérique. Page 10

11 {PRIVATE} Version présente Type d'applications concernées par la PC Liste des applications autorisées L'Autorité de Certification "Crédit Lyonnais" distribue des certificats numériques dans le but de: fournir des outils adaptés et acceptés par des administrations de l Etat, des collectivités territoriales, des établissements publics à caractère administratif, des organismes gérant des régimes de protection sociale relevant du code de la sécurité sociale et du code rural ou mentionnés aux articles L et L du code du travail, et des autres organismes chargés de la gestion d un service public administratif ; fournir des outils adaptés et acceptés par le Crédit Lyonnais pour ses Applications bancaires internes ; fournir des outils adaptés et acceptés par les applications de transaction entre la Banque et ses clients ; fournir des outils adaptés et acceptés pour toute application soumise au respect de cette PC et ayant signée un contrat avec le Crédit Lyonnais appelée Tiers Signataire ; fournir des outils adaptés et acceptés pour toute application soumise au respect de cette PC et étant mentionnée sur le site Liste des applications interdites Toute application non explicitement autorisée dans le paragraphe précédent est rigoureusement interdite notamment de signer un certificat avec un certificat "Crédit Lyonnais" Modification de la PC Cette PC sera revue périodiquement pour : Assurer sa conformité aux normes de sécurité attendues par le MINEFI et l'ear. Mettre à jour la liste des applications concernées par la PC. La périodicité de révision de cette PC est de un (1) mois au moins. Ce présent paragraphe indiquera les principales modifications de ce document en comparaison à la version antérieure. Date 12 février mars novembre août janvier janvier 2009 Principaux points de modification Version initiale Version référencée par le MinEFI Applications de Tiers Signataires et Certificats sur Clé USB PC type V3 - extension de la durée de validité des certificats à 3 ans Ajout d'applications de Tiers Signataires, Mise à jour des adresses, passage de la durée de validité à 2 ans Passage de la durée de validité à 1 an 1.6 Coordonnées des entités responsables de la présente PC Organisme responsable Le Crédit Lyonnais est responsable de cette PC. Page 11

12 LCL Le Crédit Lyonnais Chef de produit Certification (BC 23-66) 83 rue de Richelieu Paris - France Contact LCL LE CREDIT LYONNAIS Chef de produit Certification (BC 23-66) 83 rue de Richelieu Paris - France Personne déterminant la conformité de la DPC à la PC Le Crédit Lyonnais détermine la conformité de la DPC à la PC soit directement, soit par l'intermédiaire d'experts indépendants spécialisés dans le domaine des Infrastructures à Clé Publique. 2 Dispositions de portée générale 2.1 Obligations Obligations communes à toutes les composantes de l'ac et de l'ae. L AE et l AC "Crédit Lyonnais" s engagent à: n'utiliser leurs clés publiques et privées qu'aux fins pour lesquelles elles ont été émises et avec les outils spécifiés, selon la présente Politique de Certification ; respecter et appliquer la DPC ; se soumettre aux contrôles de conformité effectués par l'entité d'audit et de Référencement du MINEFI, en respecter les conclusions et remédier aux non-conformités qu'ils révéleraient ; respecter les accords ou contrats qui les lient aux Porteurs ; documenter leurs procédures internes de fonctionnement ; mettre en œuvre les moyens (techniques et humains) nécessaires à la réalisation des prestations auxquelles elles s'engagent, dans des conditions garantissant qualité et sécurité Obligations de l'ac. S'agissant des fonctions de gestion des certificats. L'AC "Crédit Lyonnais"s engage à : assurer le lien entre l'identité d'un Porteur et son certificat ; tenir à disposition des Porteurs et des utilisateurs de certificats la notification de révocation du certificat d'une composante de l'icp ou d'un Porteur ; s'assurer que ses Porteurs connaissent leurs droits et obligations en ce qui concerne l'utilisation et la gestion des clés, des certificats ou encore de l'équipement et des logiciels utilisés aux fins de l'icp. La relation entre un Porteur et l'ac est formalisée par un abonnement ou un lien contractuel précisant les droits et obligations des parties et notamment les garanties apportées par l'ac. S'agissant de la fonction de gestion des supports et données d'activation. Les données d activation des secrets du Porteur ne sont jamais choisies ou imposées par l AC. Page 12

13 S'agissant de la fonction de publication. L'AC s'engage à diffuser publiquement la politique de certification, les listes de certificats révoqués (LCR) et la liste des certificats auxquels la clé racine de l'icp est subordonnée. L AC s engage à ce que la Liste de Certificats Révoqués soit : fiable, c'est-à-dire comportant uniquement des informations contrôlées et à jour ; protégée en intégrité ; d'un accès contrôlé ; publiée suivant les modalités décrites au 4.4 de cette PC ; disponible 24 heures sur 24 et 7 jours sur 7. S'agissant des fonctions de journalisation et d'archivage. Se reporter au chapitre 4 ( 4.5 et 4.6). S'agissant de la fonction de séquestre. L AC "Crédit Lyonnais" ne réalise pas de fonction de séquestre Obligations de l'ae L'AE s engage à vérifier l'authenticité des pièces justificatives et l'exactitude des mentions qui établissent l'identité du Porteur et de l'entreprise ou de la société professionnelle selon les procédures décrites au chapitre 3 de cette PC. Si elle est saisie d'une demande de révocation de clé, l'ae doit en vérifier l'origine et l'exactitude, et doit mettre en œuvre les moyens permettant de traiter la demande de révocation selon les exigences décrites au Obligations du Porteur Le Porteur a le devoir moral de : communiquer des informations exactes lors de la demande de certificat ; générer le bi-clé avec les outils cryptographiques du niveau requis par les Utilisateurs de Certificats ; protéger sa clé privée par tous les moyens appropriés à son environnement ; protéger ses données d'activation et de révocation ; respecter les conditions d'utilisation de sa clé privée et du certificat correspondant ; informer sans délai l'ae ou l'ac en cas de compromission de sa clé privée. La relation entre le Porteur et l'ac ou l'ae est formalisée par un engagement du Porteur visant à certifier l'exactitude des renseignements et des documents fournis (se reporter à l annexe 3 de cette PC) Obligations des Utilisateurs de Certificats Les Utilisateurs de Certificats doivent : respecter l'usage pour lequel un certificat a été émis lorsque cet usage a été déclaré critique ; vérifier la signature numérique de l'ac émettrice du certificat ; contrôler la validité des certificats (dates de validité et statut de révocation) Obligations du Responsable Certification Le Responsable Certification a le devoir de : communiquer des informations exactes lors de la demande de certificat ; d assurer le respect des conditions d'utilisation de la clé privée et du certificat correspondant ; informer sans délai l'ae ou l'ac en cas de compromission d'une clé privée ; révoquer en cas de besoin tout certificat conformément au chapitre 4 ( 4.4.1) ; transmettre au Porteur le CSR&R (la demi pass-phrase de révocation du certificat). Page 13

14 2.2 Responsabilités Responsabilité de l'ac L AC s engage à respecter la conformité de son dispositif de gestion des certificats et de ses procédures tels que décrits dans cette PC. Le détail des engagements pris envers les Porteurs est précisé dans l accord d abonnement. La responsabilité de l AC ne saurait être engagée à raison des droits, attributs et habilitations octroyés, pour l Application, par les Utilisateurs de Certificats Responsabilité de l'ae Seule l'ac "Crédit Lyonnais" peut mettre en cause la responsabilité de l'ae, ce qui exclut explicitement tout engagement de l'ae envers les Porteurs et les utilisateurs finaux Responsabilité de la Société La Société, le Responsable Certification et le Porteur s engagent à mettre en oeuvre des procédures de sécurité suffisamment sûres compte tenu de l état de l art et propres à assurer la sécurité du Certificat et de la clé privée secrète liée au Certificat. La Société s engage à mettre à la disposition du Responsable Certification l ensemble de la présente Convention et aux Porteurs, les Conditions Générales Porteur. La Société répond au premier chef envers la Banque des obligations à la charge de ses préposés, Porteurs et Responsable Certification. La Société assume la responsabilité envers la Banque pour tout préjudice pouvant résulter de l usage du Certificat hors des seules applications prévues par les présentes, notamment du fait de la réclamation d'un tiers et de l usage du Certificat par un collaborateur de la Société autre que le Porteur. La Société doit notifier sans délai à la Banque, par lettre recommandée avec accusé de réception tout changement dans l'identité de la personne assurant la fonction de Responsable Certification, ainsi que la date d'effet de ce changement, en utilisant le formulaire F02 (Lettre de Procuration) accompagné des pièces justificatives. La Société doit notifier sans délai à la Banque tout changement dans les informations communiquées à la Banque ainsi que la date d effet de ces changements. La modification d informations figurant dans un Certificat entraîne la révocation du Certificat et son remplacement aux frais de la Société. - Les changements relatifs à un Porteur (nom, prénom, adresse ) doivent être notifiés en utilisant les formulaires F04 et F05, ce Certificat doit être révoqué et peut être remplacé. - Les changements affectant l ensemble des Certificats de la Société (changement du nom, de l adresse postale, de l adresse ou du n SIREN de la Société) entraînent la révocation de l ensemble des Certificats de la Société. Ces changements doivent être notifiés avec les pièces justificatives, par lettre recommandée avec accusé de réception, par le mandataire légal de la Société. - Les changements d informations ne figurant pas dans le Certificat n affectent pas la validité du Certificat et sont notifiés à la Banque par lettre simple. Page 14

15 La Société s'engage à faire les déclarations nécessaires pour utiliser les Certificats, notamment auprès du Ministère de l Economie, des Finances et de l Industrie. La Société s engage à respecter les conditions de gestion des Certificats. La Société s engage à mettre à niveau son Infrastructure d Exploitation et à la paramétrer aux fins d une bonne gestion des Certificats et des applications les mettant en œuvre : applications supportant des Certificats (norme ISO X509), utilisation de canaux SSLv3 et plus et d un navigateur Internet Explorer 5.5 (et plus) et Netscape Communicator 4.7 (et plus) sur P.C. Différentes tailles de bi-clé peuvent-être utilisées selon la version du navigateur, les modules cryptographiques installés et le type de support. La Société veille à la mise à jour de ces éléments afin de générer à la création et au renouvellement du Certificat des clés de taille suffisante au regard des applications utilisées par le Porteur Responsabilité du Responsable Certification La responsabilité du responsable de Certification est engagée sur les points suivants : effectuer par écrit la demande de délivrance de Certificat ; notifier au Porteur les restrictions d'usage du certificat décrit dans les Conditions générales de la Convention de Service de Certification Crédit Lyonnais ; choisir judicieusement et transmettre de façon confidentielle au Porteur le Code secret d'activation/révocation ; s'assurer, dans le cas d'utilisation d'un support physique, de la bonne remise du support au Porteur ; avertir l'ae de toute inexactitude ou défection d un certificat dans les trois jours ouvrés consécutifs au retrait dudit certificat, afin que celui-ci soit révoqué et qu un autre certificat puisse être fourni ; transmettre à l'ae le récépissé de la déclaration faite auprès des autorités de police en cas de soustraction, piratage, intrusion, sabotage et fabrication de faux ; demander immédiatement la mise en révocation de tout certificat perdu, volé, usurpé ou détruit en communiquant le numéro du Certificat concernée pour que la révocation soit valablement enregistrée Responsabilité du Porteur Le Porteur doit prendre toutes les mesures propres à assurer la sécurité du Certificat et des clés privées secrètes liées au Certificat notamment en utilisant des logiciels et du matériel sécurisé de manière suffisante. Le Porteur est responsable de la bonne utilisation de son certificat conformément à la liste des applications autorisées définie au chapitre 1 ( 1.4.1). 2.3 Respect et interprétation des dispositions juridiques Droit applicable La Loi française est applicable aux dispositions aux documents contractuels donc les présentes ainsi que les Conditions Générales du Service de Certification Crédit Lyonnais. En cas de traduction, seule la version française du présent document fera foi Règlement des différends Page 15

16 Toute contestation relative aux dispositions du présent document et au Service de Certification sera soumise, préalablement à toute instance judiciaire, à la procédure décrite à l'article règlement des litiges des Conditions Générales du Service de Certification Dispositions pénales Il est rappelé que : Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de d'amende (article L.323-1, alinéa 1 du Code Pénal). Lorsqu'il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d'emprisonnement et de d'amende (article L.323-1, alinéa 2 du Code Pénal). Le fait d'entraver ou de fausser le fonctionnement d'un système de traitement automatisé de données est puni de cinq ans d'emprisonnement et de d'amende (article L du Code Pénal). Le fait d'introduire frauduleusement des données dans un système de traitement automatisé ou de supprimer ou de modifier frauduleusement les données qu'il contient est puni de cinq ans d'emprisonnement et de d'amende (article L du Code Pénal). "Crédit Lyonnais" et "LCL" sont des marques déposées et enregistrées, dont le Crédit Lyonnais est propriétaire. Sont interdits, sauf autorisation du Crédit Lyonnais (article L du Code de la Propriété Intellectuelle) : a. la reproduction, l'usage ou l'apposition de la marque "Crédit Lyonnais" ou "LCL", même avec l'adjonction de mots tels que : "formule, façon, système, imitation, genre, méthode", ainsi que l'usage d'une marque reproduite, pour des produits ou services identiques à ceux désignés dans l'enregistrement de la marque "Crédit Lyonnais" ou "LCL"; b. la suppression, ou la modification de la marque "Crédit Lyonnais" ou "LCL" régulièrement apposée. L'atteinte portée au droit du propriétaire de la marque "Crédit Lyonnais" ou "LCL" constitue une contrefaçon engageant la responsabilité civile de son auteur. Constitue une atteinte aux droits de la marque "Crédit Lyonnais" ou "LCL" la violation des interdictions prévues aux articles L.713-2, L et L du Code de la Propriété Intellectuelle (article L du Code de la Propriété Intellectuelle) Permanence de la PC Le fait que l une des parties n ait pas exigé l application d une clause quelconque du présent document et/ou des Conditions Générales du Service de Certification Crédit Lyonnais, que ce soit de façon permanente ou temporaire, ne pourra en aucun cas être considéré comme une renonciation aux droits de cette partie découlant de ladite clause dont l inapplication a été tolérée. Si l une quelconque des dispositions du présent document et/ou des Conditions Générales du Service de Certification Crédit Lyonnais est non valide, nulle ou sans objet elle sera réputée non écrite et les autres dispositions conserveront toute leur force et leur portée. Aucune action, quels qu en soient la nature, le fondement ou les modalités, née du présent document et/ou des Conditions Générales du Service de Certification, ne peut être intentée par les parties plus de deux ans après la survenance de son fait générateur. Les titres des articles du présent document et/ou des Conditions Générales du Service de Certification Crédit Lyonnais sont insérés dans le seul but d'en faciliter la référence et ne peuvent être utilisés pour donner une interprétation à ces articles ou en affecter la signification. Aussi, en cas de difficulté d interprétation entre l un quelconque des titres et l une quelconque des clauses constituant le document et/ou les Conditions Générales du Service de Certification Crédit Lyonnais, les titres seront déclarés comme inexistants. Page 16

17 2.4 Tarifs Émission ou renouvellement de certificats Les tarifs correspondants à l'émission ou au renouvellement de certificats sont définis contractuellement avec une entité demandant le service lors de la signature de la Convention de Service Certification Crédit Lyonnais Accès aux certificats Le service d'accès aux certificats pourra être facturé en fonction des modalités établies entre l'utilisateur du service et l'ac Validité de certificats Le service d'accès à la LCR permet de vérifier la validité de certificats délivrés par l AC Crédit Lyonnais Autres services Sans objet Politique de remboursement Toute demande de remboursement devra être adressée à : LCL Le Crédit Lyonnais Service Client Certification 83 rue de Richelieu (BC 23-66) Paris France 2.5 Publication et dépôt de documents Informations publiées Les informations publiées seront les suivantes : la politique de certification (PC) ; les listes de certificats révoqués (LCR) ; la liste des certificats auxquels la clé racine de l'icp est subordonnée Fréquence de diffusion La Politique de Certification (PC) est mise à jour sur le site après chaque modification. La nouvelle version de la PC prend effet au jour de sa publication sur tout certificat émis après cette date de publication. Les différentes versions de la PC et leurs périodes de validité sont publiées sur le site. Les Listes de Certificats Révoqués (LCR) sont actualisées dans un délai de 24 heures Contrôle d'accès Des habilitations spécifiques sont mises en place afin de n'autoriser l'accès en modification à la PC qu'au personnel autorisé Dépôt des documents Les documents mentionnés au sont publiés via le site Internet de l'ac ou via l'utilisation d'annuaires. L'ensemble des documents nécessaires au fonctionnement de l'ac est conservé par l'ac, dans leur dernière version, en lieu centralisé et protégé. Page 17

18 2.6 Contrôle de conformité à la PC L'Autorité de Certification "Crédit Lyonnais" a la responsabilité du bon fonctionnement des composantes de l'icp, conformément aux dispositions énoncées dans le présent document. L'AC effectuera donc en ce sens des contrôles réguliers de conformité et de bon fonctionnement des composantes de cette ICP. Par ailleurs, l'ambition de l'ac "Crédit Lyonnais" est le référencement par le MINEFI de sa famille de Certificats, afin que ceux-ci soient éligibles aux applications administratives mentionnées parmi les applications concernées (voir 1.4). Dans ce cadre, l'ac accepte les audits demandés par le MINEFI concernant toutes les composantes de l'icp, afin que celui-ci s'assure du bon respect de ses exigences Fréquence du contrôle de conformité Le contrôle de conformité est réalisé en cas de renouvellement d'un bi-clé d'ac, avant toute émission et signature de certificats par cette dernière. Ce contrôle est à nouveau réalisé au minimum tous les ans Indépendance et qualifications du contrôleur Le contrôleur est désigné par l'ae. Celui-ci est choisit selon des critères d'indépendance et d'expertise dans le domaine de la sécurité informatique et, en particulier, des ICP. Le contrôleur peut être interne au Crédit Lyonnais, mais doit être externe à l'ac Périmètre du contrôle de conformité Le périmètre de l'audit concerne les chapitres 3 à 8 de la présente PC Communication des résultats Les résultats sont communiqués à l'ac "Crédit Lyonnais", et éventuellement à l'ear du MINEFI, qui est responsable de leur éventuelle diffusion aux entités concernées. Eu égard au caractère confidentiel de ces informations, la publication des résultats est limitée et strictement contrôlée (cf. Gestion des fichiers et des documents sensibles) Actions entreprises en cas de non conformité En cas de non-conformité, l'ac "Crédit Lyonnais" décide de toute action correctrice nécessaire. En fonction du degré de non-conformité de la DPC à la PC, l'ac concernée peut : demander la mise en place d'actions correctrices dont la réalisation sera vérifiée lors du prochain audit ; demander la correction des non-conformités selon un calendrier précis à la suite duquel un contrôle de mise en conformité sera effectué ; révoquer le certificat de l'oc correspondante. 2.7 Politique de confidentialité de l'ac Types d'informations considérées comme confidentielles Les informations suivantes sont considérées comme confidentielles : les clés privées des entités propriétaires de certificats ; les données d'activation et de révocation pour les Porteurs ; les journaux d'événements des composantes de l'ac et de l'ae ; Page 18

19 le dossier d'enregistrement du Porteur, et notamment les données personnelles (à l'exception des informations à caractère personnel contenues dans les certificats) ; les rapports d'audit ; la DPC Divulgation des informations sur demande de leur propriétaire Les informations personnelles détenues par l AC ne sont divulguées qu au Porteur, sur demande de ce dernier, et peuvent être consultables et modifiables en conformité avec la loi informatique et liberté (Article 16 de la loi n du 6 janvier 1978). 2.8 Droits de propriété intellectuelle Lors de l exécution des prestations de services définies dans le présent document et/ou les Conditions Générales du Service de Certification Crédit Lyonnais, il peut être livré des éléments protégés par la législation sur les droits d'auteur. Ces éléments, ainsi que les droits d'auteur qui y sont attachés, resteront la propriété du détenteur des droits correspondants. Le bénéficiaire de ces services aura le droit de reproduire ces éléments pour son usage interne. Mais il ne pourra, sans l'autorisation préalable du détenteur des droits d'auteur, mettre à la disposition de tiers, extraire ou réutiliser en tout ou en partie, ces éléments ou des œuvres dérivées ou copies de ceux-ci, en particulier logiciels ou bases de données. Sous réserve des dispositions du présent article, aucune licence, implicite ou explicite, n'est concédée par le détenteur des droits sur des inventions, brevets ou demandes de brevets lui appartenant et ayant été réalisés hors du présent document et/ou des Conditions Générales du Service de Certification Crédit Lyonnais. Page 19

20 3 Identification et authentification Ce chapitre traite des processus de : création initiale du Certificat d'un Porteur ; renouvellement du Certificat d'un Porteur ; révocation du Certificat d'un Porteur. 3.1 Enregistrement initial d'un Porteur Conventions de noms Le nom du Porteur figure dans le champ "Objet" ("Subject" en anglais) du Certificat, sous la rubrique CN ("Common Name") au format printablestring X.501. Cette mention est obligatoire. Il est constitué du prénom usuel et du nom patronymique. Ce nom est celui du Porteur tel qu'il figure dans les documents d'état Civil Nécessité d'utilisation de noms explicites Les informations portées dans le champ "Objet" du Certificat sont explicites : le nom du Porteur (rubrique CN, tel que décrit au 3.1.1) ; l'adresse électronique du Porteur ; la raison sociale de l'organisation représentée par le Porteur, tel que figurant au K-Bis ; le numéro de SIREN de l'organisation représentée par le Porteur, tel que figurant dans le dossier d'enregistrement ; le nom de la commune du siège social de l'organisation représentée par le Porteur, tel que figurant au K-Bis ; le nom de pays du siège social de l'organisation représentée par le Porteur, tel que figurant au K- Bis et formulé selon la convention internationale de nommage Règles d'interprétation des différentes formes de noms Aucune interprétation particulière n'est à faire des informations portées dans le champ "Objet" du Certificat. Ces informations sont établies par l'ae "Crédit Lyonnais" selon les règles suivantes : tous les caractères sont au format "printable string", i.e. sans accents ni caractères spécifiques à la langue française et de manière conforme au standard X.501 ; les prénoms et noms composés sont séparés par des tirets " - " ; pour les femmes mariées, le nom d'usage peut être inscrit à la suite du nom patronymique Unicité des noms L'unicité d'un certificat est établie par celle du numéro de série, au sein de l'autorité de Certification "Crédit Lyonnais". L'AC s'engage également à ce que le champ "Objet" présente aussi un caractère d'unicité, obtenu par la présence de l'adresse électronique du Porteur, à l'exception du renouvellement de certificat ou le champ objet est alors réutilisé Procédure de résolution de litige sur déclaration de nom L'AC s'engage quant à l'unicité des noms de ses Porteurs, conformément aux et 3.1.2, et quant à la résolution des litiges portant sur la revendication d'utilisation d'un nom. Page 20

21 3.1.6 Authentification de l'identité de l'entreprise ou d'une personne physique L'authentification est du ressort de l'ae, selon les modalités décrites au Reconnaissance, authentification et rôle des noms de marques Sans objet (les Certificats sont des certificats d'entreprise ou de professionnels) Preuve de possession de la clé privée / Format de signature L'Autorité de Certification "Crédit Lyonnais" exige des Porteurs, au moment de la requête de certificat, la preuve de possession de la clé privée, associée à la clé publique à certifier. Cette exigence se matérialise par des considérations techniques décrites dans la DPC. 3.2 Renouvellement de clés (hors révocation) Les bi-clés sont périodiquement renouvelés afin de minimiser les attaques cryptographiques. Ainsi, les bi-clés de signature des Porteurs sont à renouveler tous les 3 (trois) ans. Le certificat initialement émis est renouvelé automatiquement une fois au bout de trois ans. A la date d'échéance, le renouvellement automatique s'effectue de la façon suivante : Un mois avant échéance, le Porteur reçoit un de l AC l invitant à se connecter sur le site il procède alors au renouvellement en s authentifiant avec son certificat. Le Porteur du certificat choisit un nouveau CSR&R Le Porteur génère sur son poste de travail une nouvelle paire de clés et une nouvelle demande de certificat. L'opérateur de certification génère le nouveau certificat avec les données d'identification du certificat précédent. Après un premier renouvellement automatique, le certificat à renouveler fait l'objet d'une demande identique à la demande initiale de Demande de Production de Certificat dans les conditions de la Convention de Service de Certification Crédit Lyonnais. 3.3 Re génération de clés après révocation La régénération de Certificat est conditionnée par une Demande de Production de Certificat dans les conditions de la Convention de Service de Certification Crédit Lyonnais. 3.4 Authentification d'une demande de révocation Page 21