La CID électronique Belge: leçons et développements futurs Prof. COSIC Katholieke Universiteit Leuven, Belgique Bart.Preneel(at)esat.kuleuven.be http://homes.esat.kuleuven.be/~preneel Special thanks to Danny De Cock 1 Plan Gestion de l'identité définitions gestion de l'identité 1.0 gestion de l'identité 1.5 Concepts d'identité et gestion de l'identité 2.0 CID en Belgique Interoperabilité L avenir 7 June 2010 K.U.Leuven COSIC, 2
Une image vaut plus que mille mots New Yorker, 1993 K.U.Leuven COSIC, 3 Qu'est-ce que la gestion des identités? l'ensemble des processus d'affaires et une infrastructure de support, pour la création, la maintenance et l'utilisation des identités numériques [Le Groupe Burton*] parfois appelée Identity & Access Management" (IAM) manque à cette définition: suppression des identités et l'application des politiques sécurité La gestion sécurisée du cycle de vie d'identité et de l'échange d'informations d'identité (par exemple, les identificateurs, les attributs et les assertions) basée sur la politique sécurité qui concerne les entités telles que: utilisateurs / groupes organisations / fédérations / enterprise / prestataires de services éléments périphériques réseau / systèmes objets (processus de demande, du contenu, des données) * Une firme de recherche spécialisée dans l'infrastructure informatique de l'entreprise K.U.Leuven COSIC, 4
Gestion de l'identité: identités partielles Health Care Government Work Legend: Alice Identity of Alice Tax Status Income Birthday Birthplace Phone Number Health Status Name Address Diary Blood Group Interests Telecommunication Insurance Good- Conduct Certificate Cellphone Number Credit Rating Foreign Languages Likes & Dislikes Age Driving Licence Shopping Payment Travel Boyfriend Bob MasterCard Diners Club Partial Identity of Alice Leisure K.U.Leuven COSIC, 5 Identité: définitions (1) attributs: propriétés distinctes et mesurables appartenant à une entité particulière identité: la collecte dynamique de tous les attributs de l'entité (1 personne: 1 identité) identités partielles: sous-ensemble spécifique d'attributs pertinents identifiant: attribut ou ensemble d'attributs d'une entité qui identifie de façon unique l'entité dans un contexte donné des titres de compétences («credentials»): les éléments d'information associés à une entité et attestant de l'intégrité de certains faits!! ces définitions reflètent une vision spécifique sur l'identité et la gestion des identités K.U.Leuven COSIC, 6
Identité: définitions (2) authentification d'entité ou l'identification: l'utilisation d'attributs (affirmés ou observés) d'une entité afin de distinguer l'entité dans un contexte donné d'autres entités Note: dans la sécurité informatique, l identification = fournir son nom d'utilisateur l'authentification = prouver qui vous êtes autorisation: l'autorisation d'une entité authentifiée pour effectuer une action définie enregistrement: processus par lequel une identité partielle est attribué à une entité et l'entité est accordé un moyen par lequel il peut être authentifiée dans l'avenir!! ces définitions reflètent une vision spécifique sur l'identité et la gestion des identités K.U.Leuven COSIC, 7 7 June 2010 K.U.Leuven COSIC, 8
Gestion de l'identité monde physique consommateurs entreprises e-gouvernement services et les objets K.U.Leuven COSIC, 9 Gestion de l'identité: plusieurs dimensions international technique organisationnel Il ne suffit pas d ajouter une couche d'identité à l'internet IDM politique juridique social économique K.U.Leuven COSIC, 10
Un nombre croissant d'applications financiers, e-commerce, e-gouvernement, e-santé, les réseaux sociaux, les compagnies aériennes, location de voiture,... K.U.Leuven COSIC, 11 L évolution du paysage informatique 2005 2000 1995 1990 Cloud Computing RIA s, AJAX, Flash, Silverlight, SaaS, IaaS, PaaS, Virtualization, RSS, Social Media, Wikis, Web Services & SOA XML, SOAP, WS *, REST, ESB, WSM, Java Web Applications HTTP, HTML,.Net, Java, J2EE, TCP/IP Client/Server & Distributed Computing VB, C++, SmallTalk, ERP, Tuxedo, MQ, DCE, COM, DCOM, Corba Mainframe/mini MVS, Top Secret, RACF, ACF # d applications 10000 1000 100 10 K.U.Leuven COSIC, 12
Réduire l'utilisation de mots de passe sécurité difficile à utiliser difficile à gérer coût: frais de gestions (pas de dispositifs) conformité (juridique) Bill Gates (2006): la fin des mots de passe K.U.Leuven COSIC, 13 Étape 1: centraliser (identité 1.0) intégrer l'authentification mais deplacer l'autorisation vers les applications et les services accepter plusieurs sources authentiques pour les attributs, et non pas pour les identités les noms de compte devrait être éphémère Les utilisateurs doivent être libres de choisir et de changer leur nom de compte Les applications doivent enregistrer un identifiant de compte, pas le nom de compte règles dynamiques et pas de rôles statiques K.U.Leuven COSIC, 14
Gestion de l'identité intégrée (à l'intérieur d'une organisation) système RH Identity Manager Staff System Sources authentiques CAS LDAP Active Directory Domain Controllers Websites Unix Hosts Windows Hosts Applications/ Services K.U.Leuven COSIC, 15 Comment grandir? Étape 2: fédérer (identité 1.5) identité fédérée: des titres de compétences ( credentials ) d'une entité qui relie l identité partielle d'une entité dans un contexte ou domaine de confiance à l'identité partielle d'une entité dans un autre contexte ou domaine de confiance Note: peut aussi être utilisé à l'intérieur d'une organisation K.U.Leuven COSIC, 16
Single Sign On: authentification unique Peut utiliser toute méthode d'authentification! identity provider (IDP) relying party (RP) 1 (service provider) relying party (RP) 2 (service provider) Identity provider: fournisseur d'identité Relying party: partie se fiant relying party (RP) 3 (service provider) K.U.Leuven COSIC, 17 Single Sign-On (SSO) (1/4) User 2. Redirection vers IDP IDP 3. Authentifier 4. Créer SSO token pour le sujet 5. Obtenir affirmations destinés à RP1 et créer token de sécurité 1. Accès RP1 RP1 K.U.Leuven COSIC, 18
Single Sign-On (SSO) (2/4) User IDP 6. Rediriger vers RP1 avec token de sécurité 3. Authentifier 4. Créer SSO token pour le sujet 5. Obtenir affirmations destinés à RP1 et créer token de sécurité RP1 SP1 SP2 K.U.Leuven COSIC, 19 Single Sign-On (SSO) (3/4) User 8. Redirection vers IDP IdP 9. Ne pas ré-authentifier sujet parce qu il existe un SSO token 10. Obtenir affirmations destinés à RP2 et créer token de sécurité 7. Accès RP2 RP2 K.U.Leuven COSIC, 20
Single Sign-On (SSO) (4/4) User IdP 11. Rediriger vers RP2 avec token de sécurité 9. Ne pas ré-authentifier sujet parce qu il existe un SSO token 10. Obtenir affirmations destinés à RP2 et créer token de sécurité 7. Access RP2 RP2 K.U.Leuven COSIC, 21 Single Sign-On Variantes prendre contact avec IDP ou RP token d'accès peut être poussé par l'utilisateur vers RP ou peut être tiré par RP de l IDP Token d'accès: clé symétrique ou clé publique symétrique: IDP et RP doivent partager une clé secrète (exemple: Kerberos) asymétrique (signature numérique): IDP et RP doivent faire confiance à un CA commun (exemple: SAML) K.U.Leuven COSIC, 22
SAML (Security Assertion Markup Language) (2001) OASIS Security Services Technical Committee (SSTC) Norme basée sur XML pour échanger des données pour l'authentification et l'autorisation SAML assertions: décrivent les tokens de sécurité représentant les usagers SAML bindings (fixations): lien avec le protocole de communication SAML profiles (profils): pour authentification unique (SSO) générique, mais plutôt complexe IDP-friendly (par exemple, préconfigurer IDP pour les RP) pseudonymes SAML 1.0 (Nov. 02) SAML 2.0 (March 05) incompatible avec 1.0/1.1 coordonnée avec Liberty Alliance ID-FF 1.2 mais pas compatible profils: Web browser SSO, WSS-Security, Liberty ID-FF and ID-WSF, XAXML v2.0 K.U.Leuven COSIC, 23 Single Sign-On pratique (facile à utiliser) plus sûr que multiples mots de passe peut s'appuyer sur un mécanisme d'authentification unique, mais plus sûr risque de violation du mécanisme d'authentification est considérablement plus élevé est-ce qu il y a un single sign-off? redirection par RP peut faciliter le phishing IDP est le point de défaillance unique si le RP est contacté d'abord, comment sait-il quel IDP il doit contacter? (problème de découverte) risques pour la protection de la vie privée le partage des données: par exemple, Facebook ou LinkedIn peuvent accéder au compte Gmail contrôle central d'accès: qui fait quoi quand K.U.Leuven COSIC, 24
Les normes: il y a plein de choix WS-Federation K.U.Leuven COSIC, 25 Plan Gestion de l'identité définitions gestion de l'identité 1.0 gestion de l'identité 1.5 Concepts d'identité et gestion de l'identité 2.0 CID en Belgique Interoperabilité L avenir 7 June 2010 K.U.Leuven COSIC, 26
Identité: principes de base [Kim Cameron, Microsoft, 05] (également appelé les lois d identité ) 1. contrôle de l'utilisateur et le consentement 2. divulgation minimale de l'information pour un usage limité 3. divulgation limitée à des parties justifiable 4. identités: omni-directionnelle et uni-directionnel 5. ouvert: opérateurs et technologies 6. l'intégration de l'homme: facilité d'utilisation 7. expérience cohérente dans tous les contextes perspicace et réfléchi dépendantes du contexte sur l'informatique et la technologie principes et non des «lois» pourrait aussi être appelé: les 7 erreurs commises par Passport K.U.Leuven COSIC, 27 Méta-système d'identité fournisseur d'identité (IDP) relying party (service provider) relying party (service provider) fournisseur d'identité (IDP) sélecteur d'identité relying party (service provider) fournisseur d'identité (IDP) relying party (service provider) K.U.Leuven COSIC, 28
Identité 2.0 besoin d une vue cohérente pour l'utilisateur: le sélecteur d'identité essentiels: le modèle mental et la facilité d'utilisation evoluer de centrée sur l'entreprise centrée vers centrée sur l'utilisateur (l'utilisateur a le contrôle) pas de définition unique confirmer des attributs en prouvant des assertions («claims») assertion: «une affirmation de la veracité d une proposition, notamment lorsque celle-ci est contestée ou mise en doute» questions clés: est-ce que les utilisateurs sont capables de gérer leurs identités? est-ce que les utilisateurs sont qualifiés pour gérer leurs identités? (par exemple, pas dans l'e-gouvernement) protection de la vie privée peut signifier plusieurs choses... K.U.Leuven COSIC, 29 Sélecteurs d'identité Microsoft CardSpace (précédemment InfoCard) [2006] http://cardspace.netfx3.com résout le problème de la découverte de l IDP sur la base des technologies suivantes: WS-* (Security, Trust, Federation, ) SAML 2.0 Enhanced Client Proxy Profile SSL EV (extended validation) Eclipse project Higgins: open source browser add-on (plug-in API): http://www.eclipse.org/higgins/index.php agent d'identité services d'identité le stockage des données personnelles K.U.Leuven COSIC, 30
Gestion de l'identité basée sur URL: OpenID (2005) utilisateur fournit URL d identité à la RP mécanisme SSO (redirection) v1.0 2005 - v2.0 2007 ouvert: risque pour la vie privée focus sur les consommateurs (chiffres de déc. 09): > 1 milliard openids 9 million sites offrent OpenID (AOL, BBC, Google, IBM, Microsoft, MySpace, Orange, PayPal, VeriSign, LiveJournal, Yandex, Ustream, Yahoo!) K.U.Leuven COSIC, 31 l Identité basée sur URL + simple, léger et extensible + facile pour les RP + l'utilisateur peut auto-valider attributs et héberger son propre fournisseur + utilise des technologies web/navigateur existantes + facile à adopter: pas de nouveaux logiciels nécessaires + accessible de partout inconvénient de taper les URL (pas de découverte de IDP par RP) ouverte à des attaques de phishing (à cause de redirection) modèle de confiance: noir et blanc interface utilisateur pas toujours cohérent pas de SSL requis peut-on faire confiance à des affirmations auto-validées? K.U.Leuven COSIC, 32
Plan Gestion de l'identité définitions gestion de l'identité 1.0 gestion de l'identité 1.5 Concepts d'identité et gestion de l'identité 2.0 CID en Belgique Interoperabilité L avenir 7 June 2010 K.U.Leuven COSIC, 33 Gestion de l'identité pour l e-gouvernement exigences spécifiques: la sécurité, l'échelle, la législation ne pas copier les solutions commerciales nécessité d'une fédération national; régional (états, territoires); ville; international? secteur des administrations publiques: impôts, sécurité sociale, santé, transport, vote contexte: le gouvernement, les finances, les assurances, les transports publics est-ce que l investissement peut être réutilisé par le secteur privé? nombre limité d'utilisations de l'e-gov par an (<2?) horizon des concepts à déploiement complet progrès rapides de la gestion de l'identité sur Internet K.U.Leuven COSIC, 34
CID électronique dans le monde CID dans la plupart des pays obligatoire dans 100 pays pas de CID: Australia, Canada, Denmark, Ireland, Latvia, Lithuania, USA sujet délicat la guerre, la religion, la race, les insurgés de nombreux pays sont sont en train de déployer des CID cartes d'identité électroniques (ou ils ont l'intention de le faire) Allemagne: 3 cartes (CID, carte de santé et carte d'emploi) K.U.Leuven COSIC, 35 Secteur privé/public outsourcing co-sourcing insourcing Bank ID utilisé par les portails de l'administration (Norvège) part de marché applications Autriche, Estonie, Malte, Les Pays-Bas la vie privée Belgique, Italie K.U.Leuven COSIC, 36
Fédération identifiants uniques globales: Belgique, République Tchèque, Hong Kong, Irlande, Luxembourg, Royaume-Uni... illégale dans certains pays identifiant par le contexte: les Pays-Bas (?) identifiant par secteur: l'autriche, la France base de données centrale, avec toutes les informations: Royaume-Uni utilisation de bases de données distinctes avec une connexion contrôlée: Belgique stockage central très limité: l'allemagne l'utilisation la cryptographie avancée credentials (divulgation minimale) K.U.Leuven COSIC, 37 Mécanismes pour la protection de la vie privée pseudonymes user master ID f code secteur sector ID l'authentification mutuelle Allemagne: certificats de courte durée (quelques jours) pour tous les lecteurs de cartes credentials (divulgation minimale) Projet ADAPID en Belgique: http://www.cosic.esat.kuleuven.be/adapid/ K.U.Leuven COSIC, 38
Cartes à puce contact: Autriche, Belgique, Finlande, France, Espagne, Royaume-Uni, Estonie, Italie,.. sans contact: Allemagne + mobile: Autriche Pas de carte à puce : Bosnie solution standardisée facile à déployer au niveau national/international perception du public variable des CID classiques et des cartes à puce moins flexible K.U.Leuven COSIC, 39 Biometrie biometrie (en plus d'une photo): Brésil, France, Hong Kong, Italie, Corée, Malaisie, Oman, Espagne, Royaume-Uni 2 empreintes digitales pour les passeports (demande OACI, Organisation de l'aviation Civile Internationale) empreintes digitales enlevé en Grèce (2002) peut permettre de détecter les enregistrements doubles amélioration de la sécurité risque pour la sécurité et la protection de la vie privée en cas de stockage dans une base de données centrale K.U.Leuven COSIC, 40
CID électronique en Belgique 1 million de cartes produits et délivrés en 6 mois Disponible dans toutes les 589 communes K.U.Leuven COSIC, 41 CID électronique en Belgique: l histoire 13 déc 1999: directive européenne enne 1999/93/EC Signature électronique 22 sept 2000: Conseil des ministres approuve CID étude de concept 19 July 2001: Conseil des ministres approuve les concepts de base (carte à puce, certificats, pas d'intégration avec la carte SIS, le ministère de l'inté- rieur est responsable de l'infrastructure RN, des municipalités s pilotes, de production de cartes, le cadre juridique,... Fedict des services de certification 3 Jan 2002: Conseil des ministres assigne l infrastructure RN à Steria 1999 2000 2001 2002 2002 2003 2004 2005 2009 27 sept 2002: Conseil des ministres assigne productions des cartes à Zetes,, services de certification à Belgacom 31 mars 2003: 4 premières res CID électroniques délivrées aux fonctionnaires 9 mai 2003: municipalité premier pilote commence à distribuer des CID électronique fin 2009: tous les citoyens ont une CID électronique sept.. 2005: toutes les nouvelles CIDs sont des CID électronique 27 sept.. 2004: début du roll-out national 25 jan.. 2004: début de l'évaluation phase pilote 25 juil.. 2003: 11ème municipalité pilote commence K.U.Leuven COSIC, 42
CID électronique: : production et délivrance (1/2) Personalisation de carte (PC) Initialisation de carte (IC) (5) (4) (6) (10a ) (8) (10a ) Registre National (RN) (3) (7) (9) Certification Authority (CA) Municipalité (0) (10b) (1) (11) Citizen PIN & PUK Authentification face à face (2) 7-Jun-10 (12) Citoyen (13) K.U.Leuven ESAT/COSIC Danny K.U.Leuven De Cock, COSIC, http://godot.be 43 CID électronique: : production et délivrance (2/2) 0: citoyen reçoit une lettre de convocation ou prend l'initiative 1: visite à la municipalité avec photo 2: demande formelle CID est signée 3,4: PC reçoit eid demande du RN 5: PC imprime nouvelle CID, IC démarre la génération des paires de clés sur la carte 6: RN reçoit une partie du code d'activation de la CID ( PUK1) 7: CA reçoit des demandes de certificat 8: CA génère deux nouveaux certificats et produit nouveau CRL 9: IC écrit les certificats sur la carte eid 10a: IC écrit des données des citoyens (ID, adresse,...) sur la carte et désactive la carte 10b: CI envoie une lettre d'invitation avec un code PIN et PUK2 code d'activation au citoyen 11: citoyen reçoit une lettre d'invitation 12: fonctionnaire démarre la procédure d'activation de la CID 13: CID calcule une signature avec chaque clé privée, CA supprime les certificats de la CRL K.U.Leuven COSIC, 44
CID électronique: fonctions non-électronique authentification visible d'une personne électronique identification numérique Saisie des données prouver son identité signature authentification Signer numériquement des données signature non-répudiation Administration changement PIN, débloquer PIN K.U.Leuven COSIC, 45 Aspects visuels d'un CID Front: Nom Les deux premiers noms Première lettre du 3ème nom Titre Nationalité Lieu et date de naissance Sexe Numéro de la carte Photo du titulaire Dates de validité de la carte (début/fin) Signature manuscrite du titulaire Dos: Lieu de livraison de la carte Numéro national d'identification (RN) Signature manuscrite du fonctionnaire Zone OACI (L'aviation civile internationale) K.U.Leuven COSIC, 46
CID en Belgique Citoyens Enfants Étrangers Carte CID Carte enfant Carte étrangers K.U.Leuven COSIC, 47 CID contenu PKI données d'identité du citoyen Authentification ID ID ADRESSE ADRESSE Signature Root CA CA RN 140x200 Pixels 8 BPP 3.224 Octets SIGNATURE SIGNATURE RN RN SIGNATURE SIGNATURE RN RN RN = Registre National K.U.Leuven COSIC, 48
Fichier d identité (~160 octets) La puce: numéro de la puce Le citoyen nom 2 premiers noms première lettre du 3ème prénom numéro d'identification RN nationalité lieu et date de naissance sexe condition noble statut spécial hachage SHA-1 du photo du citoyen La carte numéro de la carte date de validité (début/ fin) municipalité de livraison Type de document La signature numérique sur le fichier d'identité calculée par le RN Roi, Prince, Comte, Baron, pas de statut, canne blanche (personnes aveugles), canne jaune (malvoyants), minorité prolongée, une combinaison Belgian citoyen/enfant, Communauté européenne citoyen/enfant, non-ce citoyen/enfant, carte bootstrap, carte habilitation Belgium Root CA Citizen CA Gov K.U.Leuven COSIC, 49 CA Certificats lier les clés publiques à des entités chaîne de certificats créés par le gouvernement belge Belgium CA Racine CA Citoyen Auth Cert Nonrep Cert K.U.Leuven COSIC, 50
Certificat du citoyen Citizen Qualified certificate (~1000 bytes) Version: 3 (0x2) Serial Number: 10:00:00:00:00:00:8d:8a:fa:33:d3:08:f1:7a:35:b2 Signature Algorithm: sha1withrsaencryption (1024 bit) Issuer: C=BE, CN=Citizen CA, SN=200501 Not valid before: Apr 2 22:41:00 2005 GMT Not valid after: Apr 2 22:41:00 2010 GMT Subject: C=BE, CN=Sophie Dupont (Signature), SN=Dupont, GN=Sophie Nicole/serialNumber=60050100093 Subject Public Key Info: RSA Public Key: [Modulus (1024 bit): 4b:e5:7e:6e: :86:17, Exponent: 65537 (0x10001)] X509v3 extensions: Certificate Policies: Policy: 2.16.56.1.1.1.2.1 CPS: http://repository.eid.belgium.be Key Usage: critical, Non Repudiation Belgium Root CA Citizen CA Gov Authority Key Identifier: [D1:13: :7F:AF:10] CRL Distribution Points: URI:http://crl.eid.belgium.be/eidc0002.crl Netscape Cert Type: S/MIME Authority Information Access: CA Issuers - URI:http://certs.eid.belgium.be/belgiumrs.crt OCSP - URI:http://ocsp.eid.belgium.be Qualified certificate statements: [00...F..] Signature: [74:ae:10: :e0:91] CA Citizen Authentication certificate (~980 bytes) Version: 3 (0x2) Serial Number: 10:00:00:00:00:00:0a:5d:9a:91:b1:21:dd:00:a2:7a Signature Algorithm: sha1withrsaencryption (1024 bit) Issuer: C=BE, CN=Citizen CA, SN=200501 Not valid before: Apr 2 22:40:52 2005 GMT Not valid after: Apr 2 22:40:52 2010 GMT Subject: C=BE, CN=Sophie Dupont (Authentication), SN=Dupont, GN=Sophie Nicole/serialNumber=60050100093 Subject Public Key Info: RSA Public Key: [Modulus (1024 bit): cf:ca:7a:77: :5c:c5, Exponent: 65537 (0x10001)] X509v3 extensions: Certificate Policies: Policy: 2.16.56.1.1.1.2.2 CPS: http://repository.eid.belgium.be Key Usage: critical, Digital Signature Authority Key Identifier: [D1:13: 7F:AF:10] CRL Distribution Points: URI:http://crl.eid.belgium.be/eidc0002.crl Netscape Cert Type: SSL Client, S/MIME Authority Information Access: CA Issuers - URI:http://certs.eid.belgium.be/belgiumrs.crt OCSP - URI:http://ocsp.eid.belgium.be Signature: [10:ac:04: :e9:04] K.U.Leuven COSIC, 51 Certificats et clés de signature numérique 2 paires de clés pour les citoyens Signature authentification X.509v3 certificat authentification Signature électroniques avancé (nonrépudiation) X.509v3 certificat qualifié Peut être utilisé pour produire des signatures numériques équivalentes à des signatures manuscrites, cfr.. directive européenne enne 1999/93/CE 1 paire de clé pour la carte Authentifcation de la CID (paire( de clés basique) Pas de certificate: : RN (/Registre National) connaît la clé publique qui correspond à la CID K.U.Leuven COSIC, 52
Signature électronique directive européenne enne 1999/93/CE Ex.: courrier electronique Signature électronique Signature électronique avancée Article 2.2 (technologie PKI) Ex. Signature numérique Ex.: Signature numérique avec certificat qualifié Signature électronique qualifiée Article 5.1 (authentification/enregistrement) +Annex I: Q-Cert +Annex II: Q-CSP +Annex III: SSCD K.U.Leuven COSIC, 53 Hiérarchie des certificats CID 2048-bit RSA Belgium Root CA ARL Belgium Root CA 2048-bit RSA Card Admin CA CRL Citizen CA CRL Foreigners CA CRL Gov CA CRL 1024-bit RSA évolue vers 2048-bit RSA Card Admin Cert Admin Auth Cert Administration de la carte: mise à jour adresse, génération de paire de clés, stocakges des certificats,... Nonrep Cert Auth Cert Nonrep Cert Server Cert Code sign Cert RRN Cert certificats pour les serveurs Web du gouvernement, signature des fichiers citoyen,... K.U.Leuven COSIC, 54
Utilisation d'une carte à puce sur un PC Ordinateur du citoyen navigateur clavier, souris PCSC regarde touche écran PIN Pad Lecteur carte à puce ISO 7816 K.U.Leuven COSIC, 55 Applications CID électronique E-gouvernment Demande des documents officiels attestations de l état civil, introduire une demande de permis de bâtir, accès aux bases de données RN etax déclaration d'impôt déclaration TVA ejustice La soumission électronique des conclusions eaccess L'authentification du client pour les serveurs web Secure chat (12-16 années) Contrôle d'accès: dépôt de déchets, bibliothèque, piscine,... emove factures d'eau contrats d'énergie elogin Windows Gina, Vista, Citrix etransport titre de transport (trains) ecommerce Online opening of new account Digital Rights Management Qualified signature Contract signing ebanking demande de prêt hypothécaire email Le courrier recommandé e-mail authentifié ework L'enregistrement du temps de travail eadministration Saisie des données l'enregistrement d'immatriculation de voitures signature eforms signature format PDF ehealth accès au dossier patient carte d'assurance Ecotrack (future) consommation d eau, de gaz et d électricité en temps réel K.U.Leuven COSIC, 56
Leçons (1): complexité cryptographie, certificates, enregistrements, contrats,.. plus grande complexité: applications, évolution rapide de l informatique K.U.Leuven COSIC, 57 Leçons (2): sécurité et facilité d'utilisation sur l'ordinateur client intégrer les cartes à puce avec l'application directive/normes ETSI: très complexes pas de normes obligatoires pour les applications décision de remplacer le middleware par un applet pour exposer toutes les fonctionnalités de la CID Plates-formes: Windows, Mac OS X, Linux Navigateurs: Firefox, IE MS, Safari, Chrome K.U.Leuven COSIC, 58
Leçons (3): SSL/TLS utilisation principale de l'eid authentification sécurisée à distance dans des environnements clientserveur primaire environnement client-serveur: navigateur web problème TLS/SSL avec authentification mutuelle: renégociation + pas de déconnexion (logout) on ne peut pas demander que l utilisateur entre son code PIN à chaque fois conséquence: le risque de phishing ou même l'obtention de signatures sans la permission explicite des utilisateurs (si on utilise un seul PIN pour authentification/signature numérique) solution: d abord l'authentification SSL unilatérale, puis une authentification (lié au contexte) à l'intérieur du canal sécurisé K.U.Leuven COSIC, 59 Leçons (4): signature numérique vérification complexe, en particulier si la sécurité à long terme est nécessaire (XAdES-X-L) what you see is what you sign problem (wysiwys): est-ce que vous voyez ce que vous signez? il faut faire confiance à l ordinateur du citoyen phishing l'atténuation de ce risque: lecteur de carte avec écran (plus cher) K.U.Leuven COSIC, 60
Leçons (5): fournisseur d'identité (IDP) besoin d'un service plutôt que d'une carte basée sur SAML et open SSO interfaces avec OpenID K.U.Leuven COSIC, 61 Plan Gestion de l'identité définitions gestion de l'identité 1.0 gestion de l'identité 1.5 Concepts d'identité et gestion de l'identité 2.0 CID en Belgique Interoperabilité (projet STORK) L avenir 7 June 2010 K.U.Leuven COSIC, 62
STORK Roadmap (https://www.eid-stork.eu/) Framework mapping Legal interoperability priority technologies Quality authenticator scheme eid PROCESS FLOWS Functional Design Technical Design Common, SAML 2.0 - based specifications have recently been agreed by the STORK consortium Construction & Implementation Exploitation Evaluation Assessment on common specifications on eid Cross-border authentication platform K.U.Leuven COSIC, 63 STORK Interoperability Models One Interoperability Framework, two basic models STORK will investigate and pilot two interoperability models: 1. Middleware (MW) 2. Pan-European Proxy Services (PEPS)... and combine them (MW MW, PEPS PEPS, MW PEPS, PEPS MW) The common specifications have been designed so PEPS that major components operate on the same protocols, irrespective the model or its combinations K.U.Leuven COSIC, 64
STORK Example of Middleware Architectures Application MOA-ID (Server-Middleware) Service Provider Domain Application eid Server (Server-Middleware) Internet Internet Bürgerkartenumg. (Client-Middleware) Client Domain Bürgerclient (Client-Middleware) K.U.Leuven COSIC, 65 STORK PEPS data flow (logical) STORK K.U.Leuven COSIC, 66
Credentials anonymes [Chaum 85] Credential = titre de compétences 7 June 2010 K.U.Leuven COSIC, 67 Credentials anonymes (2/3) protocoles cryptographiques entre <IDP,utilisateur,RP> <Issuer, Prover, Verifier> Prover peut prouver qu'il est titulaire d une signature avec certains attributs ou toute autre expression calculée sur les attributs (arithmétique simple, Boolean) (par exemple salaire >= 30.000 et contrat permanent) Verifier n obtient aucune information supplémentaire sauf en cas d'abus - un juge peut intervenir L'utilisateur est protégé, même si il ya une collusion entre le Issuer et le Verifier 7 June 2010 K.U.Leuven COSIC, 68
Credentials anonymes (3/3) protocoles cryptographiques Chaum-Pedersen and Brands: Credentica U-Prove (Microsoft) Camenish-Lysyanskaya: Idemix (IBM) annonce récente: brevets seront «libérés» note: exige des communications anonymes App App Com Com IP 7 June 2010 Alice Bob K.U.Leuven COSIC, 69 L avenir évolution vers une plus grande intégration et des systèmes ouverts: Initiative Kantara, groupe de travail Identity Commons Open Source Identity System intégration avec les téléphones portables (SIM / USIM) et de CID? architecture: plutôt tirer que pousser (trop nombreuses applications) contrôle utilisateur peut être remplacé par un contrôle de tiers mécanismes de réputation provenant de réseaux sociaux les différences culturelles très difficiles à surmonter: le rôle du gouvernement, les banques, les bureaux de notation de crédit,... K.U.Leuven COSIC, 70
Conclusions gestion de l'identité est étroitement liée à nos interactions sociales et économiques technologie de gestion d'identité est en évolution rapide les concepts de notre société (comme la notion d'identité) changent que lentement déploiement CID électronique: 10 ans est est une période très longue sur l internet sécurité pour la société se développera, mais la protection de la vie privée va éroder facilité d'utilisation et le profilage ont plus d'importance que la minimisation des données nous ne comprenons pas encore l impact sur notre société 7 June 2010 K.U.Leuven COSIC, Danny De Cock 71 Savoir plus? D. De Cock, K. Wouters, B. Preneel: Introduction to the Belgian EID Card: BELPIC. EuroPKI 2004, LNCS 2093, pp. 1-13, Springer-Verlag 2004. Liens http://eid.belgium.be http://www.ibz.rrn.fgov.be/ http://www.fedict.be http://www.belgium.be http://www.cardreaders.be Middleware: http://code.google.com/p/eid-mw/ Applet: http://code.google.com/p/eid-applet/ http://map.eid.belgium.be! K.U.Leuven COSIC, 73