Premier ministre Agence natinale de la sécurité des systèmes d infrmatin Services de validatin qualifiés des signatures électrniques qualifiées et des cachets électrniques qualifiés Critères d évaluatin de la cnfrmité au règlement eidas Versin 1.0 du 3 janvier 2017
HISTORIQUE DES VERSIONS DATE VERSION EVOLUTION DU DOCUMENT REDACTEUR 16/06/2016 0.8 Versin de travail pur cmmentaires. ANSSI Versin pur applicatin au 31 janvier 2017. Mdificatins : 03/01/2017 1.0 - Précisins relatives à l inscriptin dans la liste de cnfiance ; - Amendements aux exigences relatives à la cnservatin des dnnées ; - Cmpléments relatifs à la vérificatin des jetns d hrdatage ; - Mdificatin des exigences relatives à la fraicheur des infrmatins de révcatin ; - Précisins relatives à la vérificatin du statut qualifié du certificat de signature u du cachet et à la récupératin de l identité du signataire u créateur de cachet ; - Mdificatins mineures et clarificatins. ANSSI Les cmmentaires sur le présent dcument snt à adresser à : Agence natinale de la sécurité des systèmes d infrmatin SGDSN/ANSSI 51 bulevard de La Tur-Mauburg 75700 Paris 07 SP supervisin-eidas@ssi.guv.fr 1.0 03/01/2017 PUBLIC 2/13
SOMMAIRE I. INTRODUCTION...4 I.1. Objet... 4 I.2. Cadre juridique... 4 I.3. Mise à jur... 4 I.4. Acrnymes... 4 II. EXIGENCES RELATIVES AUX SERVICES DE VALIDATION QUALIFIÉS DES SIGNATURES ET DES CACHETS ÉLECTRONIQUES QUALIFIÉS...5 II.1. Mdalités de qualificatin... 5 II.1.1. Prcessus de qualificatin... 5 II.1.2. Cnsidératins relatives à l inscriptin dans la liste de cnfiance... 5 II.2. Critères d'évaluatin de la cnfrmité... 6 II.3. Cmpléments aux nrmes [EN_319_401] et [EN_319_102]... 7 II.3.1. Cmpléments relatifs à la furniture du résultat de la validatin d une signature u d un cachet électrnique qualifié... 7 II.3.2. Cmpléments relatifs à la signature u au cachet du rapprt de validatin... 7 II.3.3. Cmpléments relatifs à la prtectin des applicatins de validatin... 7 II.3.4. Cmpléments relatifs à la cnservatin des infrmatins délivrées et reçues... 8 II.3.5. Cmpléments relatifs à la cntinuité de service et à l arrêt d activité du PSC... 8 II.3.6. Cmpléments relatifs à la date et l heure présumées de la créatin de la signature électrnique et du cachet électrnique qualifiés... 9 II.3.7. Cmpléments relatifs à la fraicheur des infrmatins de révcatin... 9 II.3.8. Cmpléments relatifs au statut qualifié du certificat de signature u de cachet et du dispsitif de créatin de signature u de cachet...10 II.3.9. Cmpléments relatifs à la vérificatin du statut qualifié du prestataire de services de cnfiance ayant délivré le certificat de signature u de cachet...10 II.3.10. Cmpléments relatifs à l identité du signataire u du créateur de cachet...11 ANNEXES... 12 I. Annexe 1 Références dcumentaires...12 II. Annexe 2 Cuverture des exigences du règlement [eidas]...13 1.0 03/01/2017 PUBLIC 3/13
I. Intrductin I.1. Objet Dans le cadre du règlement [eidas], l ANSSI, désignée cmme rgane de cntrôle par la nte des autrités françaises [NOTIFICATION], a la charge de cntrôler le respect des exigences du règlement par les prestataires de service de cnfiance qualifiés et la cnfrmité des services de cnfiance qualifiés qu ils furnissent. La présente nte décrit les critères d évaluatin de la cnfrmité aux exigences du règlement [eidas] des services de validatin qualifiés des signatures électrniques qualifiées et des cachets électrniques qualifiés. Ces exigences s appliquent de manière cumulative avec celles décrites dans la nte [PSCO_QUALIF], applicables à l ensemble des prestataires de services de cnfiance qualifiés. I.2. Cadre juridique Les services de validatin qualifiés des signatures électrniques qualifiées et des cachets électrniques qualifiés mis en œuvre par un prestataire de services de cnfiance respectant les exigences spécifiées au chapitre II du présent dcument permettent d apprter une sécurité juridique cncernant la validité des signatures électrniques qualifiées et des cachets électrniques qualifiés tels que définis par le règlement [eidas]. I.3. Mise à jur L pprtunité de la mise à jur de ce dcument est évaluée par l ANSSI et peut ntamment être le fait d une évlutin du cadre réglementaire u nrmatif lié au règlement [eidas] u d une évlutin de l état de l art. L ANSSI précise la date d effet de chaque mise à jur et les mdalités de transitin le cas échéant. I.4. Acrnymes Les acrnymes utilisés dans le présent dcument snt les suivants : ANSSI Agence Natinale de la Sécurité des Systèmes d Infrmatin. CSPN Certificatin de Sécurité de Premier Niveau. OCSP Online Certificate Status Prtcl. PSC Prestataire de Services de Cnfiance. 1.0 03/01/2017 PUBLIC 4/13
II. II.1. Exigences relatives aux services de validatin qualifiés des signatures et des cachets électrniques qualifiés Mdalités de qualificatin II.1.1. Prcessus de qualificatin Le prcessus de qualificatin d un service de validatin qualifié des signatures et des cachets électrniques qualifiés s inscrit dans le prcessus de qualificatin du prestataire de services de cnfiance, tel que décrit dans la nte [PSCO_QUALIF]. II.1.2. Cnsidératins relatives à l inscriptin dans la liste de cnfiance Un service de validatin qualifié des signatures et des cachets électrniques qualifiés est identifié dans la liste de cnfiance : - au myen du certificat électrnique utilisé pur appser le cachet du PSC sur le rapprt de validatin ; u - au myen du certificat électrnique d une autrité de certificatin pérée sus la respnsabilité du PSC qualifié, uniquement pur ses prpres besins, et ne délivrant pas de certificats pur des services de validatin nn qualifiés. Dans le premier cas, si plusieurs certificats de cachet électrnique snt mis en œuvre pur un même service de validatin qualifié, cela dnne lieu à l inscriptin de plusieurs services dans la liste de cnfiance. Dans le secnd cas, l évaluatin de la cnfrmité dit permettre de démntrer que cette autrité de certificatin ne délivre des certificats qu à l attentin exclusive de services de cnfiance pérés par le PSC qualifié, et que celui-ci a mis en place des mesures rganisatinnelles et techniques apprpriées afin d assurer qu aucun des certificats délivrés n est utilisé par un service de validatin nn qualifié. 1.0 03/01/2017 PUBLIC 5/13
II.2. Critères d'évaluatin de la cnfrmité L'évaluatin dit permettre de démntrer le respect des exigences applicables du règlement [eidas] aux services de validatin des signatures électrniques qualifiées et des cachets électrniques qualifiés, spécifiées dans les articles suivants : 24(2).e Utilisatin de systèmes et prduits fiables, sécurité et fiabilité des prcessus ; 24(2).h Cnservatin des dnnées d un service de validatin des signatures électrniques et des cachets électrniques ; 24(2).i Plan d arrêt d activité d un service de validatin des signatures électrniques et des cachets électrniques ; 32(1) Prcessus de validatin d une signature électrnique qualifiée, permettant de vérifier que : 32(1).a : Le certificat sur lequel repse la signature était, au mment de la signature, un certificat qualifié de signature électrnique cnfrme à l annexe I ; 32(1).b Le certificat qualifié a été délivré par un prestataire de services de cnfiance qualifié et était valide au mment de la signature ; 32(1).c : Les dnnées de validatin de la signature crrespndent aux dnnées cmmuniquées à la partie utilisatrice ; 32(1).d : L ensemble unique de dnnées représentant le signataire dans le certificat est crrectement furni à la partie utilisatrice ; 32(1).e : L utilisatin d un pseudnyme est clairement indiquée à la partie utilisatrice, si un pseudnyme a été utilisé au mment de la signature ; 32(1).f : La signature électrnique a été créée par un dispsitif de créatin de signature électrnique qualifié ; 32(1).g : L intégrité des dnnées signées n a pas été cmprmise ; 32(1).h : Les exigences relatives à la signature électrnique avancée (art.26) nt été satisfaites au mment de la signature ; 33(1).a Respect des exigences faisant l bjet de l article 32, paragraphe 1 ; 33(1).b Furniture aux parties utilisatrices du résultat du prcessus de validatin, de manière autmatisée, fiable, efficace et prtant la signature électrnique avancée u le cachet électrnique avancé du prestataire furnissant le service de validatin qualifié ; 40 Applicatin mutatis mutandis des articles 32 et 33 à la validatin des cachets électrniques qualifiés. Le respect des exigences de la nrme [EN_319_401] relatives à la cnservatin des dnnées et au plan d arrêt d activité, du prcessus de validatin défini dans la nrme [EN_319_102] et des cmpléments précisés dans le chapitre II.3 du présent dcument, permet d'apprter une présmptin de cnfrmité à ces exigences. 1.0 03/01/2017 PUBLIC 6/13
II.3. Cmpléments aux nrmes [EN_319_401] et [EN_319_102] II.3.1. Cmpléments relatifs à la furniture du résultat de la validatin d une signature u d un cachet électrnique qualifié Le prcessus de validatin dit permettre de furnir à la partie utilisatrice le résultat du prcessus de validatin, de manière autmatisée, fiable, efficace et prtant la signature électrnique avancée u le cachet électrnique avancé du prestataire furnissant le service de validatin qualifié. La nrme [EN_319_102] précise que le résultat du prcessus de validatin est furni via un rapprt de validatin permettant l étude détaillée des décisins prises durant la phase de validatin et la justificatin du statut de validatin. Exigence : Le PSC dit permettre l accès au service de validatin de signature u de cachet, et la mise à dispsitin des parties utilisatrices de ce rapprt de validatin, de manière autmatisée. Afin de garantir la bnne interprétatin du rapprt de validatin, le PSC dit également rendre publique sa plitique de validatin des signatures électrniques qualifiées u des cachets électrniques qualifiés. II.3.2. Cmpléments relatifs à la signature u au cachet du rapprt de validatin Le prcessus de validatin dit permettre de furnir à la partie utilisatrice le résultat du prcessus de validatin, de manière autmatisée, fiable, efficace et prtant la signature électrnique avancée u le cachet électrnique avancé du prestataire furnissant le service de validatin qualifié. Exigence : Les mdules cryptgraphiques emplyés pur appser la signature électrnique avancée u le cachet électrnique avancé du prestataire sur le rapprt de validatin de signature électrnique qualifiée, u de cachet électrnique qualifié, divent être cnfrmes aux règles définies dans la nte [PSCO_QUALIF] ; Il est recmmandé que le certificat sur lequel repse cette signature électrnique u ce cachet électrnique sit un certificat qualifié. II.3.3. Cmpléments relatifs à la prtectin des applicatins de validatin Le prestataire de service de validatin qualifié dit démntrer la mise en place de mesures techniques et rganisatinnelles permettant de réduire les risques pesant sur l applicatin utilisée pur la validatin. Exigence : Il est recmmandé que l applicatin de validatin de signature u de cachet ait fait l bjet d une Certificatin de Sécurité de Premier Niveau (CSPN) seln une cible de sécurité vérifiée par l ANSSI. 1.0 03/01/2017 PUBLIC 7/13
II.3.4. Cmpléments relatifs à la cnservatin des infrmatins délivrées et reçues Les exigences de la clause 7.10 de la nrme [EN_319_401] s appliquent. Le prestataire de service de validatin qualifié dit cnserver pendant une durée minimale de sept (7) ans après la date de validatin de la signature électrnique qualifiée u du cachet électrnique qualifié tutes les infrmatins pertinentes cncernant les dnnées délivrées et reçues, ntamment à fin de puvir furnir des preuves en justice. Le prestataire de service de validatin qualifié précise dans ses cnditins générales d utilisatin la durée de cnservatin effectivement appliquée ainsi que les mdalités de réversibilité et de prtabilité. Exigence : Tutes les infrmatins pertinentes, transmises par le demandeur u recueillies électrniquement pur la validatin de la signature électrnique u du cachet électrnique, divent être cnservées pendant sept (7) ans, dnt au mins : - La date et l heure de la validatin de la signature u du cachet électrnique qualifié ; - Les dnnées furnies par le demandeur pur la validatin de signature u de cachet (valeur de la signature électrnique u du cachet électrnique si celle-ci est séparable du dcument signé u représentatin unique du dcument signé dans le cas cntraire) ainsi que l identité du demandeur si celui-ci a fait l bjet d une identificatin pur l accès au service ; - Les dnnées externes (listes de cnfiance, listes de certificats révqués, répnses OCSP, ) utilisées pur valider la signature u le cachet ; - Le rapprt cntenant le résultat de la validatin de la signature u du cachet électrnique qualifié. II.3.5. Cmpléments relatifs à la cntinuité de service et à l arrêt d activité du PSC Les exigences des clauses 7.11 et 7.12 de la nrme [EN 319 401] s appliquent. En cas de cessatin d activité, le PSC dit détruire les clés privées utilisées pur signer les rapprts de validatin. 1.0 03/01/2017 PUBLIC 8/13
II.3.6. Cmpléments relatifs à la date et l heure présumées de la créatin de la signature électrnique et du cachet électrnique qualifiés Le prcessus de validatin dit permettre d attester que : le certificat sur lequel repse la signature u le cachet, était, au mment de la signature u de la créatin de cachet, un certificat de signature électrnique qualifié u un certificat de cachet électrnique qualifié ; le certificat qualifié a été délivré par un prestataire de services de cnfiance qualifié et était valide au mment de la signature u de la créatin de cachet. Cette exigence impse la cnnaissance de la date et de l heure de la créatin de la signature électrnique qualifiée u du cachet électrnique qualifié afin de puvir vérifier : que le certificat était bien dans sa péride de validité ; que le certificat n était pas révqué ; que le prestataire de services ayant délivré le certificat était bien présent dans la liste de cnfiance, et que le service de délivrance de certificats crrespndant avait bien le statut qualifié ; au mment de la créatin de la signature électrnique qualifiée u du cachet électrnique qualifié. Exigence : La date et l heure de référence pur la validatin snt la date et l heure auxquelles la signature électrnique u le cachet électrnique est furni au service de validatin dans les cas suivants : - Il n y a pas de date et d heure assciées à la signature u au cachet ; u - la date et l heure se truvent dans la signature u le cachet sus la frme d attributs renseignés par le signataire. Si la date et l heure snt assciées à la signature u au cachet au myen d un hrdatage électrnique nn qualifié, il appartient au prestataire de service de validatin qualifié d accepter u nn cmme référence de validatin cette date et cette heure. En cas de nn-acceptatin, la date et l heure de référence snt celles du mment de la validatin. Le PSC dit rendre publique sa plitique d acceptatin des hrdatages nn qualifiés (incluant les mdalités de vérificatin des jetns d hrdatage électrnique). Si la date et l heure snt assciées à la signature u au cachet grâce à un hrdatage électrnique qualifié, cette date et cette heure snt prises cmme référence pur la validatin. Le PSC dit mener l ensemble des pératins techniques nécessaires à la validatin du jetn d hrdatage, dnt ntamment : - les vérificatins relatives à la cryptgraphie (vérificatin de l empreinte et de la signature figurant dans le jetn d hrdatage) ; et - les vérificatins des infrmatins relatives à ce service d hrdatage électrnique qualifié dans la liste de cnfiance, cnfrmément aux prescriptins du standard [TS_119_612] (statut qualifié du service, présence du certificat de l unité d hrdatage électrnique u de l autrité de certificatin émettrice dans cette liste). II.3.7. Cmpléments relatifs à la fraicheur des infrmatins de révcatin Le service de validatin dit systématiquement slliciter les infrmatins les plus récentes mises à dispsitin par l autrité de certificatin émettrice du certificat qualifié. Si cette autrité met à dispsitin un service de répndeur OCSP, il est recmmandé de s appuyer sur celui-ci. 1.0 03/01/2017 PUBLIC 9/13
II.3.8. Cmpléments relatifs au statut qualifié du certificat de signature u de cachet et du dispsitif de créatin de signature u de cachet Le prcessus de validatin dit permettre d attester que : le certificat sur lequel repse la signature u le cachet, était, au mment de la signature u de la créatin de cachet, un certificat de signature électrnique qualifié u un certificat de cachet électrnique qualifié ; La signature électrnique u le cachet électrnique a été créé par un dispsitif de créatin de signature / cachet électrnique qualifié. Exigence : La présence des extensins de certificat suivantes, valrisées de la manière prévue par la nrme [EN_319_412-5], dit être vérifiée : - «id-etsi-qcs-qccmpliance» ; - «id-etsi-qcs-qcsscd». La présence de l extensin «id-etsi-qcs-qctype» et sa bnne valrisatin devraient être vérifiées, mais par mesure de cmpatibilité avec les certificats émis au titre de la directive 1999/93/EC, l absence de cette extensin ne devrait pas entrainer un rejet de la signature u du cachet. Dans le cas ù cette extensin est absente du certificat, la liste de cnfiance dit cntenir une extensin «additinalserviceinfrmatin», valrisée de la manière prévue par le chapitre 5.5.9.4 du standard [TS_119_612] («http://uri.etsi.rg/trstsvc/trustedlist/svcinfext/fresignatures»). II.3.9. Cmpléments relatifs à la vérificatin du statut qualifié du prestataire de services de cnfiance ayant délivré le certificat de signature u de cachet Le prcessus de validatin dit permettre d attester que : le certificat sur lequel repse la signature u le cachet, était, au mment de la signature u de la créatin de cachet, un certificat de signature électrnique qualifié u un certificat de cachet électrnique qualifié ; le certificat qualifié a été délivré par un prestataire de services de cnfiance qualifié et était valide au mment de la signature u de la créatin de cachet. La vérificatin de la liste de cnfiance permet de s assurer que le certificat de signature u de cachet électrnique qualifié a été délivré par un prestataire de services de cnfiance qualifié, pur lequel : le champ «Service Type Identifier» est valrisé de la manière suivante : «URI: http://uri.etsi.rg/trstsvc/svctype/ca/qc» ; le champ «Service Digital Identity» cntient le certificat d une Autrité de Certificatin à partir de laquelle un chemin de validatin peut être cnstruit jusqu au certificat qualifié de signature u de cachet. Exigence : Cette vérificatin dit : - prendre cmme référence la date et l heure de début de validité figurant dans le certificat qualifié pur déterminer si, à la date présumée de délivrance du certificat, le prestataire de services de cnfiance ayant délivré le certificat était qualifié ; - prendre cmme référence la date et l heure identifiées cnfrmément aux règles du chapitre II.3.6 du présent dcument, pur déterminer si à, la date présumée de créatin de la signature u du cachet, le prestataire de services de cnfiance ayant délivré le certificat était qualifié ; - expliter si nécessaire les infrmatins sur les histriques des statuts des services de cnfiance qualifiés dans les listes de cnfiance, cnfrmément aux clauses 5.5.9, 5.5.10 et 5.6 du standard [TS_119_612]. 1.0 03/01/2017 PUBLIC 10/13
II.3.10. Cmpléments relatifs à l identité du signataire u du créateur de cachet Le prcessus de validatin permet d attester que : L ensemble unique de dnnées représentant le signataire dans le certificat est crrectement furni à la partie utilisatrice ; L utilisatin d un pseudnyme est clairement indiquée à la partie utilisatrice, si un pseudnyme a été utilisé au mment de la signature. Exigence : La présence du champ «Subject», valrisé de la manière prévue par les nrmes [EN_319_412-2] et [EN_319_412-3], dit être vérifiée 1. L identité extraite du champ «Subject», et une mentin relative à l utilisatin d un pseudnyme le cas échéant, dit être précisée dans le rapprt de validatin. 1 Ces nrmes représentent une bnne pratique mais ne snt pas d applicatin bligatire. Le prcessus de validatin dit puvir tlérer des écarts à celles-ci tant que l exigence du règlement [eidas] est remplie. A titre d exemple, un certificat de signature électrnique qualifié purrait cntenir un attribut cmmnname, mais pas d attribut givenname u surname. 1.0 03/01/2017 PUBLIC 11/13
Annexes I. Annexe 1 Références dcumentaires Renvi [eidas] [EN 319 401] [EN_319_412-2] [EN_319_412-3] [EN_319_412-5] [EN_319_102] [NOTIFICATION] [PSCO_QUALIF] [TS_119_612] Dcument Règlement n 910/2014 du 23 juillet 2014 sur l identificatin électrnique et les services de cnfiance pur les transactins électrniques au sein du marché intérieur et abrgeant la directive n 1999/93/CE. Dispnible sur http://www.eurpa.eu ETSI EN 319 401 V2.1.1 (2016-02) : Electrnic Signatures and Infrastructures (ESI); General Plicy Requirements fr Trust Service Prviders. ETSI EN 319 412-2 V2.1.1 (2016-02) : Part 2: Certificate prfile fr certificates issued t natural persns. ETSI EN 319 412-3 V1.1.1 (2016-02) : Part 2: Certificate prfile fr certificates issued t legal persns. ETSI EN 319 412-5 V2.1.1 (2016-02) : Part 5: QCStatements. Draft ETSI EN 319 102-1 V1.0.0 (2015-07) : Electrnic Signatures and Infrastructures (ESI); Prcedures fr Creatin and Validatin f AdES Digital Signatures; Part 1: Creatin and Validatin. Nte des autrités française du 17 février 2015 à la Cmmissin, désignant l ANSSI cmme rgane de cntrôle au titre du règlement eidas. Prestataires de services de cnfiance qualifiés - Critères d évaluatin de la cnfrmité au règlement eidas, versin en vigueur. Dispnible sur http://www.ssi.guv.fr ETSI TS 119 612 V2.1.1 (2015-07) : Electrnic Signatures and Infrastructures (ESI); Trusted Lists. 1.0 03/01/2017 PUBLIC 12/13
II. Annexe 2 Cuverture des exigences du règlement [eidas] Article 24(2).e 24(2).h 24(2).i 32(1).a 32(1).b 32(1).c 32(1).d 32(1).e 32(1).f 32(1).g Exigence du règlement eidas Utilisatin des systèmes et des prduits fiables Cnservatin des infrmatins délivrées et reçues par le prestataire de services de cnfiance Cntinuité de service suite à l arrêt d activité du prestataire de services de cnfiance Qualificatin du certificat au mment de la signature Délivrance du certificat par un PSC qualifié et validité au mment de la signature Crrespndance des dnnées de validatin de la signature aux dnnées cmmuniquées à la partie utilisatrice Furniture crrecte à la partie utilisatrice de l ensemble unique de dnnées représentant le signataire dans le certificat Indicatin claire à la partie utilisatrice de l utilisatin d un pseudnyme, le cas échéant Créatin de la signature électrnique par un dispsitif de créatin de signature électrnique qualifié Nn cmprmissin de l intégrité des dnnées signées 32(1).h Respect des exigences relatives à la signature électrnique avancée 33(1).b Furniture aux parties utilisatrices du résultat du prcessus de validatin, signé u cacheté électrniquement par le prestataire 40 Applicatin mutatis mutandis des articles 32 et 33 à la validatin des cachets électrniques qualifiés Clauses applicables des nrmes eurpéennes [EN_319_401] Clause 7.7 [EN_319_401] Clause 7.0 [EN_319_401] Clause 7.12 [EN_319_102] Clauses 5.2.6, 5.6.2 [EN_319_102] Clauses 5.2.5, 5.2.6, 5.6.2 [EN_319_102] Clause 5.2.7 [EN_319_102] Clause 5.2.3 Nn cuvert Nn cuvert [EN_319_102] Clause 5.2.7 Nn cuvert Nn cuvert Chapitres applicables du présent dcument Chapitres II.3.2 et II.3.3 Chapitre II.3.3 Pas de cmplément à la nrme Chapitres II.3.6 et II.3.8 Chapitres II.3.6, II.3.7 et II.3.9 Pas de cmplément à la nrme Chapitre II.3.10 Chapitre II.3.10 Chapitre II.3.8 Pas de cmplément à la nrme Cnsidéré cmme cuvert par les autres pints de cntrôle Chapitres II.3.1 et II.3.2 1.0 03/01/2017 PUBLIC 13/13