« Autorités de certification et opérateurs de certification »

1. Sécurisation des réseaux et systèmes d’information Juin 2006 « Autorités de certification et opérateurs de certification » Présentée par Ahmed KADA kada@poste.ma

2. SOMMAIRE • Introduction • Concept et définition de base • Les 3 piliers des espaces de confiances • Environnements juridique, organisationnel et techniques

3. Administration Électronique et Espaces de Confiance : Comment bâtir un Internet de Sécurité : les Espaces de Confiance Les nouveaux services dématérialisés Contributions au services des programmes egov

4. Quelques notions de base: crypto, clés, certificats • La cryptographie à clé publique, outil et méthode de transmission de messages sécurisés • Fonctionnement du chiffrement à clé publique • Fonctionnement de la signature électronique • Le certificat électronique, carte d’identité du monde virtuel

5. Sécurité des Échanges: quels enjeux • Les 4 exigences d’un échange de confiance • l’ Authentification: chaque partie à l’échange est assurée que sa contrepartie est bien celle qu’elle prétend être; • l’ Intégrité: la partie recevant un message de données est assurée que celui-ci est identique au message émis, ou que dans le cas contraire, il en sera averti; • la Confidentialité: les parties sont assurées que le contenu de leurs échanges ne sont connus que d’eux-mêmes • la Non Répudiation: les parties sont assurées que l’échange et ses termes ne seront pas contestés plus tard • Monde physique • Face à face • Documents d’identité matériels • Signature manuscrite • Monde virtuel • Certificat électronique • Signature électronique

6. Chiffrer & Déchiffrer un message Émetteur Message Coder le message avec la clé PUBLIQUE du receveur Receveur Décoder le message avec la clé PRIVEE du receveur

7. La longueur de la chaîne de données est réduite par l’utilisation d’une fonction de hachage La clé privée est utilisée pour signer le message haché Le message haché signé est envoyé Signer un document ou des données Le message haché est signé avec la clé PRIVEE de l’émetteur Le message original ainsi que le hash sont envoyés Chaîne hachée (réduction mathématique) Chaîne de données Envoi

8. Le message haché est récupéré avec la clé publique Les données originales sont utilisées pour générer un nouveau hash Les deux messages hachés sont comparés La chaîne de données est utilisables à la réception ? ? Verification de la Signature A l’aide de la clé PUBLIQUE de l’émetteur et du message signé , le message haché est récupéré. Réception Un nouveau message haché est généré à l’aide des données initiales

9. Le certificat électronique Autorité de certification • Que ce soit pour chiffrer ou pour signer, la clé publique joue un rôle fondamental • Il faut donc l’associer avec certitude avec son détenteur • Le certificat joue ce rôle, au travers d’un tiers de confiance, l’AC Confiance Confiance Receveur Émetteur Confiance tri-partite Le certificat électronique est une carte d’identité valable dans le monde virtuelle

10. Les 3 piliers des Espaces de Confiance • Le pilier juridique et réglementaire: directive, loi, décrets et arrêtés • Le cas français et les lois type de la CNUDCI • Le pilier fonctionnel: processus organisationnels • Autorités de Certification (AC) et Autorités d’Enregistrement (AE) • Le pilier technique: moyens et modes opératoires • Infrastructures à Clé Publique et production des certificats Seule la construction synchronisée de ces trois piliers permet d’assurer la sécurité des échanges (4 exigences citées plus haut remplies)

11. ESPACES DE CONFIANCE Les 3 piliers des Espaces de Confiance Le pilier technique moyens et modes opératoires Le pilier fonctionnel processus organisationnels Le pilier juridique et réglementaire Chaîne de confiance

12. L’Environnement juridique et réglementaire : le Pilier Juridique • Fixe un cadrecommunautaire pour les signatures électroniques • Porte adaptation du droit de la preuve aux TI et est relative à la signature électronique • Pris pour l’article 1316-4 du Code Civil et relatif à la signature électronique (mentionne le certificat) • Relatif à la reconnaissance de la qualification des prestataires de services de certification et à l’accréditation des organismes qui procèdent à leur évaluation • L’édifice français Directive Européenne 1999/93CE Loi 2000-230 du 13 mars 2000 Décret 2000-272 du 30 mars 2001 Arrêté du 26 juillet 2004

13. L’Environnement juridique et réglementaire: le Pilier Juridique • Traite du commerce électronique en général et de la signature en particulier (article 7); adopte le principe de « neutralité technologique » • Traite exclusivement des signatures électroniques; mentionne le certificat • L’édifice mondial de la CNUDCI Loi type de 1996 sur le commerce électronique Loi type de 2001 sur la signature électronique Les dispositifs juridiques et réglementaires ont été relativement longs à se mettre entièrement en place, (4 ans en France), principalement du fait du caractère nouveau des concepts abordés (absence de doctrine) et du recouvrement des domaines juridique et technique

14. L’Environnement Fonctionnel et Organisationnel: les AC et AE • L’Autorité de Certification • Elle est l’organisation qui délivre les certificats, identités numériques, à des entités diverses (personnes physiques, morales, mais aussi équipements tels que serveurs ou routeurs) selon des procédures décrites dans sa Politique de Certification (PC) • Elle est souveraine pour décider des conditions de délivrance (elle fait Autorité) • Elle s’engage sur l’identité du porteur de certificat (elle certifie) • Les différents acteurs lui font confiance dans un périmètre donné d’applications (Autorité de Confiance ou Autorité de Certification) De manière générale, les AC sont des Institutions connues, reconnues et jouissant de la confiance des tiers: les Administrations Centrales de l’État, les banques, les institutions postales, les professions réglementées peuvent prétendre au rôle d’AC…

15. L’Environnement Fonctionnel et Organisationnel: les AC et AE • L’Autorité d’Enregistrement • Elle est l’organisation, dépendant d’au moins une AC, qui assure tout ou partie des tâches administratives relatives à la gestion de demandeurs de certificats (elle opère partiellement dans le monde physique) • Elle est notamment responsable de la vérification des différentes pièces justificatives spécifiées dans la PC • Elle reçoit et traite les demandes de génération, de révocation, de suspension ou de réactivation de certificats Les AE ont un rôle très important, elles sont à la source de la fiabilité et de la sécurité du processus de délivrance; pour cette raison, les AC délèguent rarement l’enregistrement, ou alors dans des conditions très strictes; la taille de son réseau physique et son maillage sur le territoire sont ses atouts

16. L’Environnement technique : l’ Opérateur de Certification • L’ Opérateur de Certification est un prestataire technique • Il assure la génération de la bi-clé privée de l’AC (Cérémonie des Clés) et le cycle de vie des certificats • En opérant les composantes techniques d’une Infrastructure à Clé Publique: notamment des serveurs, des bases de données, des modules de sécurité stockant les clés privées des AC • Le tout dans des conditions optimales de sécurité physique et logique • Soit sous la responsabilité directe de l’AC (mode internalisé) soit en sous-traitant (mode externalisé) Quelle que soit la configuration choisie, les notions d’AC et d’Opérateur sont distinctes; distinctes sont aussi leurs responsabilités vis-à-vis des tiers; l’Opérateur est responsable devant l’AC, l’ AC devant les utilisateurs et porteurs de certificats

17. L’Environnement technique : l’ Opérateur de Certification • Plate forme des services sécurisés • Conçu pour l’authentification des utilisateurs et la signature électronique: • Confidentialité • Intégrité • Authentification, • Non-répufiation • Autorisation • Sécurité des utilisateurs • Protection des clés privé • Support cryptographique (carte à puce) • Éviter l’extraction, duplication • Utilisation des standard PKCS#12 et ISO 7816-15 pour le stockage sur puce cryptographiques.

18. L’Environnement technique : l’ Opérateur de Certification • Fiabilité des Plates forme des services sécurisés • CA Hosting : Capacité d’héberger des AC multiples • Capacité de production de l’ordre d’une dizaine de milliers de certificats par heure • Haute disponibilité permettons la duplication et la reprise • Interopérabilité avec d’autres systèmes: • Archivage et recouvrement des clés • Certificat au format X509 et RFC3280

19. L’Environnement technique : l’ Opérateur de Certification • Gestion centralisée des politiques et procédures • Gestions des besoins unique et propres à chaque activité • Personnalisation des politiques, procédures et les format de certificats • Capacité de production de l’ordre d’une dizaine de milliers de certificats par heure • Gestion des processus d’émission, de publication, de suspension/réinitialisation et de révocation des certificats • Enregistrement : de l’individuel par interface Web jusqu’au par voie physique (face to face)