16510 Conclusions et recommandations
B. Terminologie technologique AES
« Advanced Encryption Standard » (norme avancée de cryptage). Le successeur du DES, qui constitue la norme de facto pour le cryptage des transactions commerciales dans le secteur privé.
La norme a été définie comme FIPS-197, et se base sur le cryptage belge Rijndael, mis au point par Joan Daemen et Vincent Rijmen.
Authentification « reverse proxy »
Un serveur proxy est un serveur situé entre l’ordinateur d’un utilisateur et l’ordinateur contenant les informations souhaitées par l’utilisateur. Une entreprise peut, par exemple, connecter tous les travailleurs à l’Internet via un serveur proxy et empêcher que certaines pages web puissent être consultées par ces travailleurs (traitement des demandes de l’intérieur vers l’extérieur).
Le serveur proxy peut également entraver, en tant que (partie d’un) firewall, l’accès aux ordinateurs des utilisateurs depuis l’extérieur et faire ainsi office de protection. Le traitement des demandes de l’extérieur (Internet) vers l’intérieur est appelé « reverse proxy ». L’authentification de l’utilisateur peut s’effectuer avec l’eID, comme l’illustre la figure ci-dessous.
176
Source : Présentation de la deuxième commission d’utilisateurs e-IDea (30-01-08) – Domotique – Jorn Lapon
Processus d’autorisation
x Identification : En terminologie de l’informatique, l’identification est l’indication de l’identité d’un utilisateur. L’identification est une réponse à la question : Qui êtes-vous? Dans l’optique de la protection de l’information, l’identification d’un sujet est la première étape dans le processus d’autorisation. Il est indispensable, pour que l’on puisse utiliser l’identité d’une manière utile, que chaque identité appliquée soit unique. C’est à cette fin que les pouvoirs publics utilisent le numéro de registre national. Chaque citoyen se voit attribuer un numéro unique lors de son inscription dans les registres de la population.
x Authentification : Prouvez qui vous êtes. L’établissement de l’exactitude de l’identité mentionnée. C’est la deuxième étape dans le processus d’autorisation. La fourniture de la preuve de votre identité se fait sur la base d’un document ou d’un certificat officiel.
x Autorisation : La fixation des droits de la personne. Ce que la personne peut voir et faire. C’est la troisième étape dans le processus d’autorisation.
« Application Programming Interface » (API - interface de programme d’application)
Une « Application Programming Interface » (API) est un ensemble de définitions permettant à un programme informatique de communiquer avec un autre programme ou partie de programme (généralement sous la forme de bibliothèques). Les API distinguent en général plusieurs couches d’abstraction : les applications peuvent ainsi travailler à un niveau élevé d’abstraction et confier les tâches moins abstraites à d’autres API. Un programme de dessin ne doit, par exemple, pas savoir commander l’imprimante : il appelle pour ce faire un logiciel spécialisé dans une bibliothèque via une API d’impression.
Une API définit l’accès à la fonctionnalité dissimulée derrière. Le monde extérieur ne connaît pas les détails de la fonctionnalité ou de l’implémentation, mais l’API lui permet de savoir comment y recourir. L’avantage est qu’une API permet d’accéder aisément à plusieurs implémentations dès lors qu’elles répondent à l’API.
Certificat
Un certificat est une déclaration écrite, généralement mais pas toujours, destinée à servir de preuve de la qualité d’une entreprise, d’un service ou d’un produit. Toute preuve ne peut pas faire office de
177
certificat : le mot n’est pas utilisé pour un livret de mariage ou une quittance, par exemple. En anglais, le terme « certificat » peut revêtir un certain nombre de sens que le certificat n’a pas en français. Les actes de naissance, de mariage et de décès, notamment, sont appelés des
« certificats ». Dans le contexte de cette étude, un certificat constitue une preuve de légitimité ou d’authenticité.
Certificat numérique
Les certificats numériques sont les pendants numériques des pièces d’identité papier telles que le permis de conduire ou le passeport. Un certificat numérique peut être émis pour différentes entités telles que des personnes mais aussi pour des machines telles que des serveurs web.
Les certificats numériques sont utilisés pour prouver l’identité ainsi que pour sécuriser des communications (« e-mail sécurisé »). L’identification effectuée au moyen d’un certificat numérique permet de donner accès à des informations ou des réseaux.
Un certificat numérique contient notamment les informations suivantes :
x Le nom enregistré du propriétaire
x La clé publique du propriétaire
x La durée de validité du certificat
x Le nom de l’autorité de certification
x La localisation du CRL (Certificate Revocation List) chez l’autorité émettrice du certificat
x Un résumé du certificat, crypté (signature numérique) avec la clé privée d’une autorité de certification. Ce chiffrement rend difficile une falsification du certificat et peut être contrôlé par toute personne au moyen de la clé publique correspondante.
Le certificat numérique confirme que la clé publique (et donc aussi la clé privée) et le nom du propriétaire de la paire de clés sont indissociablement liés. Un certificat numérique relie donc une paire de clés à une personne ou une organisation. Ce lien est établi par un tiers de confiance.
« Certification Authority » (CA - autorité de certification)
La CA est l’autorité émettrice des certificats numériques. La CA n’émet un certificat qu’après avoir contrôlé une série de points ayant trait au demandeur d’un certificat et elle signe les informations communiquées par le demandeur au moyen de sa propre clé privée de telle sorte qu’un certificat numérique reconnaissable et vérifiable par chacun est créé. Plus le contrôle précédant l’émission d’un certificat est rigoureux, plus le certificat a de la valeur. La CA joue un rôle de confiance et tout utilisateur des certificats doit pouvoir consulter les normes utilisées par la CA. C’est pourquoi la CA établit également une « Certification Practice Statement » (déclaration relative aux procédures de certification), dans laquelle toute personne peut consulter les règles utilisées par la CA.
Authentification « Challenge-response » (question-réponse)
Procédure d’authentification dans laquelle l’autorité de vérification envoie un bloc de données aléatoires au demandeur, qui est ensuite en mesure de renvoyer la réponse correspondante en fonction de ses informations secrètes.
« Certification Practice Statement » (CPS - déclaration relative aux procédures de certification)
La CPS désigne le document décrivant les procédures utilisées lors de l’émission, la gestion, la révocation et la prolongation des certificats. Dans la CPS, un utilisateur de certificats peut se rendre
178
compte du soin avec lequel les certificats sont traités par une CA. Sur la base de la CPS, un utilisateur pourra se former une opinion sur la fiabilité d’une CA.
Credential (authentifiant)
Un « credential » est l’équivalent d’un certificat. Cette notion est généralement utilisée dans le contexte des « credentials » anonymes (ou « private credentials »). Avec un credential anonyme, il n’est pas possible de retrouver l’identité du propriétaire. Un credential anonyme permet donc de publier des données sélectives non liées à l’identité. Un exemple simple d’un credential anonyme est un pseudonyme.
CRL
« Certification Revocation List » (liste des certificats révoqués). A l’instar d’un passeport ou d’un permis de conduire, un certificat numérique a une durée de validité limitée. Au terme de sa durée de validité, le certificat ne peut plus être utilisé et le titulaire doit demander un nouveau certificat. Un certificat cesse d’être valable au terme de sa durée de validité, mais il est également possible de révoquer un certificat de manière anticipée. Dans ce cas également, le certificat n’est plus valable.
Étant donné qu’il est possible de copier un certificat, la mention de sa révocation ne peut figurer dans le certificat même. On utilise dès lors la CRL. La CRL contient la liste des certificats révoqués.
Pour avoir entièrement confiance dans un certificat numérique, il faut non seulement contrôler sa durée de validité, mais aussi s’assurer, en consultant la CRL, que le certificat n’a pas été révoqué.
Cryptographie
Technique de chiffrement/cryptage visant à garantir la confidentialité de l’information. Elle implique toujours l’utilisation de clés.
EESSI
« European Electronic Signature Standardisation Initiative » (initiative européenne de normalisation des signatures électroniques). L’organisation qui a défini les exigences auxquelles doit répondre un CSP (« Certification Service Provider », fournisseur de services de certification).
ETSI
« European Telecommunications Standards Institute » (Institut européen des normes de télécommunications). L’organisation qui définit, conjointement avec le CEN (Comité européen de Normalisation), les normes et spécifications techniques des certificats. Les normes ETSI importantes dans le cadre de cette étude sont la norme ETSI-101456 (exigences d’une autorité de certification) et la norme ETSI TS-101733 (XAdes, voir ci-dessous).
ETSI-101456
La norme qui définit les exigences auxquelles une CA doit répondre. Outre l’aspect technique, cette norme décrit également des procédures.
« Hash » (hachage)
Résultat de la transformation d’une chaîne de caractères en une valeur de longueur fixe en général plus courte, qui constitue une représentation de la chaîne originale. Ce procédé sert à détecter des erreurs ou une manipulation dans le transfert.
179
Non-répudiation (irréfragabilité)
En apposant une signature électronique, le signataire ne peut jamais nier qu’il a envoyé le message (ou le document) avec le contenu correspondant.
« Phishing » (hameçonnage)
Le « phishing » est une forme d’abus de confiance visant à convaincre un utilisateur de communiquer des informations personnelles sensibles et liées à la vie privée.
PKI
« Public Key Infrastructure » (infrastructure à clé publique). Gestion de certificats basée sur une cryptographie asymétrique (cryptographie à clé publique).
Clé publique et clé privée
Ces deux clés sont des éléments du codage cryptographique asymétrique. Dans ce mode de cryptage de l’information, on a deux clés qui correspondent entre elles6 : lorsqu’on utilise une clé pour le codage de l’information, on utilise l’autre pour le décodage. A noter que chacune peut servir tant pour encoder que pour décoder, mais que lorsque l’une est utilisée pour encoder, il faut utiliser l’autre pour décoder.
Le grand avantage de deux clés différentes est qu’une clé peut être rendue publique, de sorte que chacun peut utiliser cette clé pour traiter des données et une clé (privée) accessible uniquement pour le propriétaire.
Les deux clés peuvent être utilisées pour crypter des informations ou pour lire des informations cryptées. Ainsi pouvez-vous, par exemple, crypter au moyen de votre clé privée un document qui ne peut être lu (donc décrypté) par un tiers qu’au moyen de votre clé publique. D’autre part, vous pouvez également crypter des informations au moyen de la clé publique d’un tiers qui ne pourra lire (donc décrypter) cette information qu’au moyen de sa clé privée (on utilise ceci dans un autre contexte, notamment pour assurer la confidentialité, et cette possibilité n’est pas disponible avec l’eID).
L’eID contient les deux paires de clés du propriétaire : l’une pour l’authentification et l’autre pour la signature électronique légalement valable.
RSA
Rivest, Shamir, Adleman : les noms de trois scientifiques. Méthode de codage/décodage de messages basée sur une clé privée et une clé publique. Le niveau de difficulté du cryptage est fonction de la longueur de la clé en bits.
Certificat de serveur
Un certificat de serveur est attribué à un serveur web pour permettre à celui-ci de s’identifier sur l’Internet et d’assurer le transfert sécurisé sur l’Internet des données échangées avec le serveur au moyen du protocole SSL. Étant donné qu’un contrôle approfondi est effectué avant l’émission d’un certificat de serveur, l’expéditeur des informations au serveur sait, avec un degré élevé de certitude, que les informations seront transmises au serveur auxquelles les informations sont destinées et non au site d’un autre utilisateur (« spoofing »). Grâce au protocole SSL, l’expéditeur sait que seul le
6 La clé publique est générée à partir de la clé privée et ne permet pas de déduire celle-ci à partir de la clé publique.
180
titulaire du certificat de serveur peut recevoir et déchiffrer le message et que le message ne sera pas intercepté par des tiers.
SHTTP
« Secure http », la version du HTTP intégrant la sécurisation des données, spécialement destinée au commerce électronique. Le SHTTP applique notamment la cryptographie RSA au trafic réseau.
« Single Sign On » (SSO - identification unique)
Méthode permettant à un utilisateur de s’authentifier une seule fois et d’utiliser ensuite le résultat de l’authentification dans plusieurs ressources.
« Spoofing » (usurpation)
Modification d’adresses et/ou d’identités pour donner l’impression qu’elles proviennent d’une source fiable.
SSL
Le « Secure Sockets Layer » (SSL) et le « Transport Layer Security » (TLS) (son successeur) sont des protocoles de cryptage qui sécurisent la communication sur l’Internet. Ces deux protocoles assurent, grâce à la cryptographie, une authentification et une connexion sécurisée avec l’Internet.
Le SSL a pour but :
x d’obtenir un canal de communication fiable et confidentiel
x d’établir l’authenticité des applications communicantes
La procédure sous-jacente est la suivante : avant l’établissement d’une communication (par exemple, une transaction de commerce électronique), le serveur web envoie le certificat SSL au navigateur du visiteur. Ce navigateur analyse le certificat et contrôle son authenticité. Après ce contrôle, un cryptage est appliqué pour sécuriser la transmission des données de communication et de transaction.
Même si le SSL et le TLS peuvent tous deux assurer la sécurité des protocoles utilisant le TCP/IP, le SSL est le plus utilisé avec le HTTPS, par exemple, pour sécuriser les données de cartes de crédit. Lorsque ce protocole est utilisé pour la sécurisation du HTTP, la partie « http :// » d’une URL est remplacée par « https :// », où le s signifie « secure ».
Souvent, seule l’authenticité du serveur est contrôlée (en contrôlant le certificat du serveur), alors que le client (utilisateur) reste inconnu. Une authentification « reverse proxy » permet aussi d’authentifier des utilisateurs (contrôle d’un certificat d’utilisateur, par exemple, le certificat d’authentification de l’eID).
« Tokens » (jetons)
Dans le contexte ICT, un « token » désigne une série de chiffres ou de caractères « qu’on ne peut pas ‘déduire’ ». Le token personnel est attribué spécifiquement à une personne déterminée et sert à l’authentification.
Un exemple de « token » personnel est le code PIN (numéro d’identification personnel), la série - que nous connaissons tous - de quatre chiffres et qu’on nous demande de retenir et d’encoder dans le distributeur lorsque nous voulons retirer de l’argent. Le distributeur déduit immédiatement de ses données qui devrait être le client et il authentifie ce client en lui demandant son code PIN.
Quand bien même il ne peut être reconstitué par déduction, le « token » peut être copié ou obtenu par abus de confiance ou sous la menace. Lorsque le « token » est statique, comme le code PIN, un malfrat dispose du temps nécessaire pour le forcer. C’est pourquoi un nombre toujours grandissant de systèmes voient le jour, qui garantissent la sécurité à long terme. Aujourd’hui, on utilise souvent
181
de petits appareils qui génèrent un « token » au moment où on en a besoin. Ces appareils eux-mêmes sont appelés des « tokens ».
Il peut s’agir d’une carte comportant des codes que l’on doit reproduire, mais aussi d’un « token » spécial synchronisé temporairement. Le « token » même ne sert pas, physiquement, pour l’authentification mais il affiche sur un petit écran LCD un code à plusieurs chiffres (que l’on appelle aussi mot de passe dynamique ou « one-time-password »), qui change au bout d’un certain délai, par exemple au bout d’une minute.
Exemples de « tokens »
Le principe consiste en ce que l’utilisateur doit faire usage d’un code PIN et ensuite du code à plusieurs chiffres du « token » pour s’identifier. Le code à plusieurs chiffres du « token » garantit la sécurité car il change de minute en minute et ne peut donc être copié, tandis que le code PIN complémentaire garantit que l’utilisateur est bien la personne requise.
Les « tokens » utilisent un algorithme spécialement conçu pour calculer au terme d’un certain délai un nouveau code unique de plusieurs chiffres. Le système d’authentification possède le même algorithme et peut donc calculer sur base du numéro d’identification du « token » quel code chiffré est actuellement visible sur l’écran LCD de ce « token ».
TLS
Le « Transport Layer Security » est un protocole de cryptage situé sur la couche applicative (successeur du SSL, le « Secure Socket Layer ») qui assure une connexion sécurisée et authentifiée à l’Internet.
« Trusted Third Party » (tiers de confiance)
Le « Trusted Third Party » désigne une organisation qui intervient comme tiers indépendant entre les parties concernées dans les transactions électroniques et le trafic de messages, et émet des clés et des certificats afin de prouver l’authenticité d’une transaction ou d’un message.
« Trojan horse » (cheval de Troie)
Virus informatique prenant l’apparence d’un programme inoffensif ou utile (par exemple, un programme de compression ou un détecteur de virus) mais qui cause ensuite des dégâts lorsqu’il est lancé.
X.509
182
Format standard le plus utilisé pour l’établissement de certificats numériques.
XAdes
Le XAdes définit un format XML pour l’application de signatures électroniques avancées et qualifiées répondant à la directive européenne sur les signatures électroniques. Le XAdes complète les structures existantes de signature des messages XML, telles que le XMLDsig. Le XAdes est également une norme ETSI, à savoir l’ETSI TS-101733.
Abréviations les plus usitées
x CA (Certificate Authority) : l’autorité de certification : l’instance qui délivre le certificat
x ID (Identity) : identité
x OCSP (On line Certificate Status Protocol) : le protocole permettant de vérifier rapidement (en temps réel) le statut de révocation d’un certificat.
x PIN (Personal Identification Number) : Numéro d’identification privé (code) de la carte électronique (ex. : code de la carte de banque, de la carte eID, du GSM, …).
x PKCS (Public Key Cryptography Standards) : Série de spécifications au départ de Standards RSA de protection de données.
x PUK (Personal Unblocking Key) : Clé d’activation de la carte électronique.
x RSA (Rivest, Shamir, Adleman) : système cryptographique asymétrique inventé par Rivest, Shamir et Adleman.
x X.509 (Directory Authentication Framework) : Description détaillée de certificats numériques et de leur utilisation.
x XML (eXtensible Markup Language) : Standard Internet pour la construction flexible et logique des fichiers de documents. L’usage du XML rend l’accès à l’information des fichiers relativement simple.