NBBCertificatePolicy 1.0. 21 Octobre 2002

NBBCertificatePolicy 1.0 21 Octobre 2002 L utilisation d'un certificat délivré par la Banque Nationale de Belgique (BNB) implique l'acceptation de la présente Certificate Policy (CP) et des procédures, obligations et responsabilités y afférentes. HISTORIQUE DU DOCUMENT Numéro de Date Auteur Modifications du contenu révision 0 21.10.2002 L. CERTYN Version initiale CERTYN LUC Page 1/13 Last Saved : 21/03/03 10:03

TABLE DES MATIERES Historique du document...1 AVANT-PROPOS...5 1. INTRODUCTION...6 Définitions et abréviations...6 1.1. Aperçu...7 1.2. Identification...7 1.3. Groupe cible et utilisation...8 1.3.1. Groupe cible...8 1.3.2. Utilisation...8 1.4. Demande de renseignements relatifs a la cp...8 2. DISPOSITIONS GENERALES...8 2.1. Obligations...8 2.1.1. Obligations de l AC...9 2.1.2. Obligations des AE...9 2.1.3. Obligations des porteurs de certificat...9 2.1.4. Obligation de vérification de la validité d'un certificat...9 2.1.5. Protection des données non publiques...9 2.2. Responsabilité...9 2.3. Responsabilité financière...9 2.4. Interprétation et exécution...9 2.4.1. Dispositions légales...9 2.4.2. Litiges...10 2.5. Tarifs...10 2.6. Publication de données...10 2.7. Audit...10 2.8. Confidentialité...10 CERTYN LUC Page 2/13 Last Saved : 21/03/03 10:03

3. IDENTIFICATION ET CONTROLE D'IDENTITE...10 3.1. Enregistrement initial...10 3.1.1. Détermination du nom...10 3.1.2. Utilisation de noms significatifs...10 3.1.3. Règles pour l'interprétation des noms...10 3.1.4. Unicité de nom...11 3.1.5. Litiges concernant la détermination d'un nom...11 3.1.6. Marques commerciales...11 3.1.7. Clé privée du PORTEUR de certificat...11 3.1.8. Authentification de l'entreprise du PORTEUR de certificat...11 3.1.9. Authentification de l'identité du PORTEUR de certificat...11 3.2. Modification routinière des clés...11 3.3. Renouvellement des clés après révocation...11 3.4. Demande de révocation...11 4. EXIGENCES OPERATIONNELLES...12 4.1. Demande de certificat...12 4.2. Emission de certificat...12 4.3. Acceptation de certificat...12 4.4. Révocation de certificat...12 4.5. Procédures d'audit...12 4.6. Archivage...12 4.7. Renouvellement des clés (Key Renewal)...12 4.8. Divulgation de clé et procédures d'urgence...12 5. CONTROLES DE SECURITE PHYSIQUE, DE PROCEDURE ET DU PERSONNEL...13 5.1. Contrôles de sécurité physique...13 5.2. Procédures...13 CERTYN LUC Page 3/13 Last Saved : 21/03/03 10:03

5.3. Personnel...13 6. CONTROLES DE SECURITE TECHNIQUE...13 7. PROFILS DE CERTIFICAT ET DE CRL...13 8. ADMINISTRATION DE LA CP...13 CERTYN LUC Page 4/13 Last Saved : 21/03/03 10:03

AVANT-PROPOS Une "Certificate Policy" contient des dispositions générales relatives aux certificats cryptographiques. Etant donné que l'émission et l'utilisation de certificats dépendent souvent de l'application informatique envisagée, la "Certificate Policy" est complétée par des directives particulières reprises dans un autre document désigné sous le nom de "Certificate Practice Statement". La BNB émet des certificats en vue de sécuriser l'échange de données avec ses correspondants, suivant les dispositions générales de ce document, qui décrit notamment les droits et obligations des parties concernées. Cette Certificate Policy suit la structure de la spécification internet RFC 2527 1. 1 RFC généralement reconnue comme la directive à suivre en matière de Certificate Policy. Pour de plus amples informations, se référer à : www.ietf.org/rfc/rfc2527.txt. Dans la présente, les intitulés des différentes sections de la RFC 2527 ont été traduits de l'anglais, mais la numérotation a été conservée de manière à permettre une comparaison. Quand la BNB ne souhaite définir aucune directive utile ou ne souhaite pas définir de directive, la mention "Aucune disposition" est reprise. Quand seul l'intitulé de la section est repris, cette section sera plus amplement expliquée dans un "Certificate Practice Statement". CERTYN LUC Page 5/13 Last Saved : 21/03/03 10:03

1. INTRODUCTION DEFINITIONS ET ABREVIATIONS AC : cf. Autorité de Certification. AE : cf. Autorité d'enregistrement. ARL : cf. Authority Revocation List. Authentification : Etablissement qu'un message donné (éventuellement sa signature) provient de la personne désignée comme titulaire. L'authentification est considérée comme un élément essentiel de la signature électronique tant à l'art. 1322 alinéa 2 C. civ. qu'à l'art. 2, 1_ de la loi relative aux services de certification. Authority Revocation List : Une Autorité de Certification peut certifier d'autres Autorités de Certification. Cette certification peut être suspendue, ce qui est publié dans l'authority Revocation List. Autorité de Certification : entité BNB qui délivre des certificats en signant les données du certificat avec sa propre clé privée. Autorité de Certification Publique : Autorité de Certification qui délivre des certificats au public. Autorité d'enregistrement : entité chargée d'authentifier les demandeurs de certificat. A la BNB, plusieurs Autorités d'enregistrement sont mises en place. BNB : Banque Nationale de Belgique. Certificat (cryptographique) : Ensemble de données numériques déclarées authentiques par l'autorité de Certification. Il atteste qu'une clé publique donnée est liée à une personne donnée, préalablement identifiée (art. 2, 3_ loi relative à la prestation de service de certification). Un certificat lie une personne à une signature. Certificate Policy : dispositions et règles générales relatives à l'émission et à l'utilisation de certificats. Certificate Practice Statement : ensemble de dispositions, règles et précédures suivies par l'autorité de Certification. Il s'agit généralement d'une extension pratique de la Certificate Policy, davantage liée aux applications. Certificat Profil : fichier sur le disque du porteur de certificat, contenant, outre l'actuelle clé privée, un historique des "anciennes" clés privées qui ont été remplacées. Certificate Revocation List : liste publiée par l'autorité de Certification et contenant les certificats qui ont été révoqués (déclarés nuls). Chiffrement : technique utilisée pour convertir des données en clair en données illisibles au moyen d'un algorithme et d'une clé. Clé privée : partie privée d'une paire de clés asymétrique (cf. Public Key Infrastructure), utilisée pour l'apposition de signatures numériques ou pour déchiffrer des messages reçus. Clé publique : partie publique d une paire de clés asymétrique (cf. Public Key Infrastructure), utilisée pour vérifier les signatures numériques ou pour chiffrer des messages destinés au propriétaire de la clé privée. CP : cf. Certificate Policy. CPS : cf. Certificate Practice Statement. CRL : cf. Certificate Revocation List. CERTYN LUC Page 6/13 Last Saved : 21/03/03 10:03

Identification : processus par lesquel le nom et l'adresse géographique d'une personne ou d'un organisme sont constatés. Une adresse e-mail ou un numéro de boîte postale ne répondent pas à cette condition. L'adresse géographique peut suffire, sans qu'il s'agisse nécessairement du domicile légal ou du lieu où une personne est inscrite dans le registre de la population. Identité Numérique : ensemble de données numériques déterminant de manière univoque l'identité d'une personne physique ou morale. Irrévocabilité : qualité de ce qui ne peut être réfuté (ang. non-repudiation). Le destinataire d'un message doit être assuré que son expéditeur ne peut nier en être l'auteur. PIN (ou code PIN) : numéro d'identification personnel, mot de passe pour avoir accès à la clé privée. PKI : cf. Public Key Infrastructure. Porteur de certificat : le possesseur d'un certificat BNB, préalablement identifié par une Autorité d'enregistrement. Public Key Infrastructure (PKI) : système cryptographique ayant pour but d'authentifier avec certitude les parties impliquées dans une transaction électronique. Chaque correspondant est muni d'une paire de clés asymétrique (clé privée et clé publique), et est enregistré par une Autorité d'enregistrement en vue de l'émission d'un certificat par l'autorité de Certification. Request For Comment : standard ou proposition de standard au sein d'internet. RFC : cf. Request For Comment. Signature numérique : résultat d'un calcul cryptographique (cf. Public Key Infrastructure) effectué sur un message permettant d'identifier de façon univoque son auteur. Celui-ci utilise sa clé privée, et tout tiers peut vérifier la signature au moyen de la clé publique de l'auteur, authentifiée par un certificat cryptographique. Smartcard : carte en plastique pourvue d'une puce électronique dans laquelle des informations numériques peuvent être stockées. Tamper Resistant Device (TRD) : comparable à une smartcard, mais assorti d'un plus haut degré de protection. Ces TRD, beaucoup plus grands et plus robustes que les smartcards, sont généralement utilisés pour le stockage de clés privées de serveurs et non par des personnes physiques. TRD : cf. Tamper Resistant Device. 1.1. APERÇU Les certificats délivrés par la BNB offrent une haute garantie que l'identité Numérique reprise dans le certificat est propre au porteur concerné. Pour obtenir un certificat, il faut s'inscrire auprès d'une Autorité d'enregistrement BNB : Le demandeur doit disposer de pièces d'identification légales (carte d'identité ou passeport) et, le cas échéant, d'un extrait des statuts de son entreprise, Il doit se présenter personnellement. 1.2. IDENTIFICATION Nom de la Certificate Policy: NBBCertificatePolicy 1.1. CERTYN LUC Page 7/13 Last Saved : 21/03/03 10:03

Object identifier : non applicable. AC DN : ou=onlineca, o=nbb, c=be Web fingerprint de l AC qui signe ces certificats: E3:2C:10:C5:B5:2C:4C:3D:AE:12:F6:F7:53:33:11:FC 1.3. GROUPE CIBLE ET UTILISATION 1.3.1. GROUPE CIBLE La PKI de la BNB s'articule autour d'une Autorité de Certification (AC) et d'autorités d'enregistrement (AE) et délivre des certificats au profit de la BNB et de ses correspondants. Il existe TROIS TYPES de certificat, qui permettent à son porteur d'agir en son nom propre ou au nom d'une personne morale. Il faut distinguer : les certificats "personnels", s'il s'agit de personnes physiques, les certificats "de groupe", pour les entités au sein d'une personne morale, ou les certificats "serveur", s'il s'agit de machines en possession d'une personne morale. La BNB peut délivrer les CATEGORIES de certificat suivantes, tant pour les utilisateurs BNB que NON-BNB : certificats Smartcard et Tamper Resistant Device, fichiers sur disque (Certificat Profil). Le type et la catégorie de certificat dépendent de l'application et du risque couru en cas d'abus. 1.3.2. UTILISATION L'AC de la BNB ne délivre pas de certificats au public, et ne peut dès lors pas être considérée comme une AC publique. Les opérations (signature, chiffrement,...) effectuées au moyen de certificats BNB doivent être traitées dans un environnement "sûr". Les certificats ne peuvent être utilisés que dans le cadre d'applications offertes par la BNB, pour l'authentification, la signature numérique et le chiffrement de données. Les certificats ne peuvent pas être utilisés par les porteurs NON-BNB entre eux. 1.4. DEMANDE DE RENSEIGNEMENTS RELATIFS A LA CP Data Security Management Banque Nationale de Belgique S.A. Boulevard de Berlaimont, 14 1000 Bruxelles Fax : +32 2 221 32 15 e-mail : dsm@nbb.be 2. DISPOSITIONS GENERALES 2.1. OBLIGATIONS CERTYN LUC Page 8/13 Last Saved : 21/03/03 10:03

2.1.1. OBLIGATIONS DE L AC Les responsables de l AC veillent à bien protéger sa clé privée, et à ne l'utiliser que pour la signature de certificats, CRL et ARL. L'AC publie une nouvelle CRL chaque jour ouvrable de la BNB, sauf en cas de force majeure. 2.1.2. OBLIGATIONS DES AE Les responsables d'une AE veillent à bien protéger sa clé privée et à ne l'utiliser que dans le cadre de la fonction AE. L'AE est tenue d'effectuer une identification fiable des personnes. 2.1.3. OBLIGATIONS DES PORTEURS DE CERTIFICAT Tout porteur de certificat doit veiller à être les seuls possesseurs de leur clé privée. En conséquence, il conserve soigneusement le code PIN donnant accès au certificat, et ne laisse pas son poste de travail sans surveillance après introduction du code PIN. S'il suspecte une possible divulgation de la clé privée ou du code PIN, il contacte dès que possible une AE BNB, après quoi celle-ci lui permet de générer une nouvelle clé privée. Dans le cas de certificats "personnels", le certificat ou le code PIN ne peut jamais être transmis à une autre personne. Pour les certificats "de groupe" et "serveur", la désignation des utilisateurs relève de la responsabilité de la personne morale titulaire. 2.1.4. OBLIGATION DE VERIFICATION DE LA VALIDITE D'UN CERTIFICAT Si un utilisateur se voit présenter, dans une transaction ou un transfert d'information, un certificat d'un autre porteur, la validité de celui-ci peut, en fonction de la criticité et si l'application BNB le permet, être vérifiée par consultation de la Certificate Revocation List (CRL). 2.1.5. PROTECTION DES DONNEES NON PUBLIQUES Les données relatives aux utilisateurs et qui ne figurent pas dans le certificat sont traitées et conservées par la BNB de façon à préserver leur confidentialité. 2.2. RESPONSABILITE La BNB ne peut être tenue responsable de l'utilisation des certificats hors du contexte des applications BNB. 2.3. RESPONSABILITE FINANCIERE La BNB n'assume aucune responsabilité financière en cas d'utilisation des certificats hors du contexte des applications BNB. 2.4. INTERPRETATION ET EXECUTION 2.4.1. DISPOSITIONS LEGALES La présente CP est subordonnée aux lois belges en vigueur. Les actions en dommages-intérêts ou actions légales qui seraient intentées par des tiers concernant la présente CP et l'utilisation de certificats BNB seront soumises à la compétence exclusive des tribunaux de Bruxelles. La présente convention est exclusivement régie par le droit belge. Les tribunaux de l'arrondissement de CERTYN LUC Page 9/13 Last Saved : 21/03/03 10:03

Bruxelles sont seuls compétents pour connaître de tous les litiges relatifs à la réalisation, l'exécution et l'interprétation de la présente convention. 2.4.2. LITIGES Les litiges concernant la CP seront initialement traités par le personnel qualifié de la BNB (Service juridique, Audit Interne). A défaut d'accord, l'alinéa 2.4.1 sera d'application. 2.5. TARIFS Définis par ailleurs. 2.6. PUBLICATION DE DONNEES La BNB ne publiera que les données reprises dans les certificats émis et les CRL, sans que ceci ne constitue une obligation. Les autres données relatives aux porteurs de certificat ne sont disponibles que pour le personnel de la BNB. 2.7. AUDIT L'audit des composants PKI de la BNB peut être exécuté par son service d'audit Interne, ou par un organisme d'audit extérieur à la demande de la BNB. 2.8. CONFIDENTIALITE Cf. 2.1.5. 3. IDENTIFICATION ET CONTROLE D IDENTITE 3.1. ENREGISTREMENT INITIAL Tout porteur de certificat doit être identifié et enregistré par une Autorité d'enregistrement de la BNB. 3.1.1. DETERMINATION DU NOM Le nom du porteur dans le certificat dépend du type de certificat (cf. 1.3.1). Il faut distinguer : les certificats "personnels" : les NOM + PRENOM du porteur, tels qu'ils figurent sur la carte d'identité ou le passeport, les certificats "de groupe" : le NOM de la personne morale, et éventuellement l'entité au sein de cette personne morale, les certificats "serveur" : le NOM de la personne morale et un nom de machine de cette personne morale. 3.1.2. UTILISATION DE NOMS SIGNIFICATIFS Aucune disposition. 3.1.3. REGLES POUR L'INTERPRETATION DES NOMS Aucune disposition. CERTYN LUC Page 10/13 Last Saved : 21/03/03 10:03

3.1.4. UNICITE DE NOM La BNB se réserve le droit d'ajouter des informations complémentaires au nom (également reprises dans le certificat) afin de permettre une détermination précise du certificat et de son porteur. Ainsi, un numéro de série unique est repris à côté du nom. 3.1.5. LITIGES CONCERNANT LA DETERMINATION D'UN NOM Aucune disposition. 3.1.6. MARQUES COMMERCIALES Aucune disposition. 3.1.7. CLE PRIVEE DU PORTEUR DE CERTIFICAT Durant le processus de certification, l'ac contrôle, sans prendre connaissance de la clé privée, si celle-ci correspond bien à la clé publique. Cf. 4.2. 3.1.8. AUTHENTIFICATION DE L'ENTREPRISE DU PORTEUR DE CERTIFICAT Le nom de l'entreprise ou de l'organisation est contrôlé par l'ae à l'aide des mentions figurant dans les statuts. L'adresse de l'entreprise ou de l'organisation est fournie par le demandeur et contrôlée par l'ae. En cas de changement d'adresse, le certificat peut quand même être conservé. 3.1.9. AUTHENTIFICATION DE L'IDENTITE DU PORTEUR DE CERTIFICAT Cf. 3.1.1. L'adresse e-mail du porteur peut être reprise dans le certificat. L'AE en effectue un contrôle de forme élémentaire. Le demandeur peut se faire représenter auprès de l'ae par un mandataire, lui-même déjà porteur d'un certificat BNB. Celui-ci doit disposer d'une attestation signée du demandeur. Toute modification des informations doit être communiquée à l'ae sans délai. 3.2. MODIFICATION ROUTINIERE DES CLES Les paires de clés et certificats sont modifiés automatiquement et régulièrement, de manière transparente pour le porteur de certificat, pour autant que l'application le permette. 3.3. RENOUVELLEMENT DES CLES APRES REVOCATION Comme au point 3.1 (enregistrement initial). 3.4. DEMANDE DE REVOCATION Le porteur de certificat peut introduire une demande de révocation auprès de son AE. Cette demande peut également être soumise par une personne physique de l'entreprise ou de l'organisation à laquelle le porteur appartient. Les motifs de révocation d'un certificat sont : le porteur de certificat soupçonne une divulgation de sa clé privée, ou le porteur ne doit plus disposer de certificat BNB. CERTYN LUC Page 11/13 Last Saved : 21/03/03 10:03

4. EXIGENCES OPERATIONNELLES 4.1. DEMANDE DE CERTIFICAT Une demande de certificat est introduite au moyen d'un formulaire qui peut être obtenu auprès de l'ae BNB. L'AE invite ensuite le demandeur de certificat à se présenter. La BNB a le droit de refuser une demande et, partant, de ne pas délivrer de certificat. 4.2. EMISSION DE CERTIFICAT Une fois la demande approuvée, le demandeur reçoit un code d'enregistrement de l'ae. Via ce code, le demandeur peut se connecter à l'ac de la BNB et entamer le processus de certification. Au cours de celui-ci, la paire de clés privée/publique est créée, et est contrôlée par l'ac ; le certificat est transmis au demandeur. A cette fin, la BNB fournit des directives et, éventuellement, un logiciel au demandeur. 4.3. ACCEPTATION DE CERTIFICAT En utilisant un certificat délivré par la BNB, le demandeur accepte la présente Certificate Policy. 4.4. REVOCATION DE CERTIFICAT Les conditions de révocation d'un certificat sont mentionnées au point 3.4. En outre, la BNB se réserve le droit de révoquer un certificat. Les motifs possibles de révocation sont: Divulgation ou suspicion de divulgation de la clé privée. Modification de données relatives au porteur de certificat, sans qu'il s'agisse de divulgation de clé privée. Remplacement d'une paire de clés, sans qu'il s'agisse de divulgation de clé privée. Paire de clés n'étant plus nécessaire, sans qu'il s'agisse de divulgation de clé privée. Preuve suffisante que le porteur de certificat ne respecte pas ses engagements. Les certificats révoqués et expirés sont repris dans la CRL, consultable via les applications BNB. 4.5. PROCEDURES D'AUDIT 4.6. ARCHIVAGE 4.7. RENOUVELLEMENT DES CLES (KEY RENEWAL) 4.8. DIVULGATION DE CLE ET PROCEDURES D'URGENCE CERTYN LUC Page 12/13 Last Saved : 21/03/03 10:03

5. CONTROLES DE SECURITE PHYSIQUE, DE PROCEDURE ET DU PERSONNEL 5.1. CONTROLES DE SECURITE PHYSIQUE La BNB prend les mesures nécessaires pour limiter rigoureusement au personnel autorisé l'accès aux composants de l'ac, tant matériels que logiciels. 5.2. PROCEDURES Les procédures et tâches qui doivent être exécutées par les différentes entités de la BNB en rapport avec la certification sont décrites dans des documents internes régulièrement revus, et au besoin adaptés. 5.3. PERSONNEL Le personnel qui exécute des tâches en rapport avec la certification est considéré comme "de confiance" et est sélectionné selon les modalités de recrutement de la BNB. 6. CONTROLES DE SECURITE TECHNIQUE La BNB met en oeuvre des mécanismes de protection techniques en référence aux produits du fournisseur de la PKI. Pour des raisons de sécurité, ces mécanismes ne sont documentés que dans des documents internes. 7. PROFILS DE CERTIFICAT ET DE CRL La BNB n'offre qu'un seul profil de certificat X.509 et de CRL. Le certificat contient les renseignements suivants : Le nom (distinguished name) du porteur de certificat, qui contient aussi un numéro de série (nuin = "nbb unique identification number") du certificat attribué. Ce numéro de série est unique dans le cadre de la certification BNB. Période de validité (normalement trois ans). Information relative au certificat de l'émetteur (Banque Nationale de Belgique). La clé publique du porteur de certificat. 8. ADMINISTRATION DE LA CP Les modifications à la présente CP sont mentionnées au début, sous "Historique du Document ", avec la date et l'objet. CERTYN LUC Page 13/13 Last Saved : 21/03/03 10:03