France Identité

Accompagnement aux CSPN, à la certification MIE de niveau élevé et à la Peer Review Européenne

1. Présentation du projet et des enjeux

France Identité, une initiative nationale pour offrir une identité numérique sécurisée et interopérable, a été accompagnée dans :

• La Certification de Sécurité de Premier Niveau (CSPN) de l’application mobile, garantissant sa robustesse face aux attaques.
• L’obtention de la certification MIE (Moyen d’Identification Électronique) de niveau élevé, conformément au règlement eIDAS.
• La Peer Review Européenne, un processus d’évaluation mutuelle entre États membres visant à valider la conformité et l’interopérabilité de la solution au niveau européen.

Objectifs principaux :

• Assurer la sécurité de l’application mobile face aux menaces logicielles et matérielles.
• Démontrer la conformité aux normes européennes pour une identité numérique de niveau élevé.
• Garantir l’interopérabilité avec les systèmes d’identité numérique d’autres pays européens.

---

2. Défis techniques et réglementaires

a) Techniques

• Réaliser des analyses approfondies de la sécurité de l’application mobile pour répondre aux exigences de la CSPN.
• Mettre en place des mécanismes cryptographiques avancés pour garantir l’intégrité, la confidentialité et l’authenticité des données.
• Assurer la compatibilité avec les standards européens pour l’identité numérique et l’interopérabilité.

b) Réglementaires

• Respecter les exigences du règlement eIDAS pour le niveau élevé de l’identification électronique.
• Se conformer aux critères d’évaluation de la Peer Review Européenne, impliquant des tests et validations collaboratifs.
• Répondre aux critères de la CSPN, incluant des tests d’intrusion et des audits approfondis.

---

3. Approche et solution mise en œuvre

a) CSPN des applications mobiles

1. Audit et pré-évaluation de sécurité :

   • Rédaction des cibles de sécurité (Security Target).
   • Rédaction des Spécifications Cryptographiques.
   • Identification des failles potentielles via des tests d’intrusion.
   • Analyse des flux sensibles (authentification, gestion des données utilisateur, interactions avec les serveurs).

2. Mise en conformité et renforcement de la sécurité :

   • Implémentation de mécanismes de protection avancés, tels que :
     • Chiffrement des communications (TLS 1.3).
     • Sécurisation des données en local sur l’appareil (Secure Enclave, stockage chiffré).
   • Recommandations pour durcir l’application et respecter les critères de la CSPN.

3. Suivi des évaluations officielles :

   • Coordination avec le CESTI (Centre d’évaluation de la sécurité des technologies de l’information) pour valider la conformité aux standards.

b) Certification MIE de niveau élevé

1. Analyse des exigences eIDAS :

   • Cartographie des fonctions critiques pour le respect des niveaux de garantie élevés.
   • Démonstration de la fiabilité des mécanismes d’authentification.

2. Documentation technique et procédurale :

   • Rédaction des dossiers techniques et organisationnels pour la certification.
   • Assistance à la mise en place d’un SMSI (Système de Management de la Sécurité de l’Information) aligné sur les normes ISO 27001.

c) Peer Review Européenne

1. Préparation des évaluations :

   • Simulation de la Peer Review en collaboration avec des experts pour anticiper les points de contrôle.
   • Évaluation des aspects interopérables avec d’autres systèmes d’identification numérique.

2. Support et présentation :

   • Formalisation de toute la documentation
   • Accompagnement lors des échanges avec les groupes de travail de la Peer Review.
   • Fourniture des preuves de conformité et démonstration de la sécurité et de l’efficacité de la solution.

---

4. Résultats obtenus

• Obtention de la CSPN pour les applications mobiles iOS et Android, validant sa résistance face aux attaques et sa robustesse globale.
• Obtention de la Qualification Elementaire pour les applications mobiles iOS et Android, validant les processus de maintien du niveau de sécurité
• Certification MIE de niveau élevé obtenue, confirmant la conformité au règlement eIDAS.
• Validation positive lors de la Peer Review Européenne, garantissant l’interopérabilité et la reconnaissance de France Identité au sein de l’Union européenne.

---

5. Perspectives et évolutions

• Amélioration continue de la sécurité de l’application face aux nouvelles menaces.
• Suivi des évolutions réglementaires, notamment dans le cadre d’eIDAS 2.0 et de l’identité numérique européenne (EUDI Wallet).
• Extension des fonctionnalités pour intégrer d’autres cas d’usage et renforcer l’adoption à l’échelle européenne.

Grâce à notre expertise en sécurité, conformité réglementaire et interopérabilité, nous avons contribué à positionner France Identité comme une référence dans le domaine de l’identité numérique sécurisée.

• Date: 2024
• Client: Agence France Titres
• Categorie: Accompagnement certification produits et service

Fermer

PSCO français

Accompagnement à la qualification 'Trust Service Provider' eIDAS et RGS.

1. Présentation du client et des enjeux

Le client, une organisation souhaitant devenir un fournisseur de services de confiance qualifié (QTSP) en conformité avec :

• Le règlement européen eIDAS,
• Les normes nationales telles que le RGS (Référentiel Général de Sécurité),

avait pour ambition de proposer des services certifiés de fourniture de certificats électroniques qualifiés, notamment pour :

• La signature électronique qualifiée,
• L’horodatage électronique qualifié.

Principaux défis :

• Complexité des processus de qualification.
• Obligation de conformité technique et organisationnelle pour répondre aux audits.
• Implémentation de mécanismes cryptographiques robustes et éprouvés.

---

2. Contexte réglementaire et technique

• eIDAS : Règlement européen exigeant une conformité stricte en termes de sécurité, d’interopérabilité et de traçabilité des services de confiance.
• RGS : Référentiel français encadrant la sécurité des systèmes d’information pour les administrations et services publics, aligné sur eIDAS.

---

3. Approche de Stelau.com

a) Analyse initiale et diagnostic

• Cartographie des services et processus existants pour identifier les écarts par rapport aux exigences eIDAS et RGS.
• Audit des pratiques de gestion des identités, des accès et des données sensibles.

b) Accompagnement stratégique et documentaire

• Développement des dossiers techniques : politique de certification, pratiques de gestion de clés, etc.
• Élaboration du SMSI (Système de Management de la Sécurité de l’Information) conforme aux normes ISO 27001, eIDAS et RGS.
• Mise en place de processus d’audit interne pour simuler les évaluations officielles.

c) Implémentation technique

• Intégration de solutions cryptographiques pour sécuriser les certificats et signatures électroniques.
• Développement et déploiement d’outils conformes aux standards européens et internationaux.
• Tests approfondis avec des laboratoires accrédités et évaluateurs indépendants.

d) Formation et support

• Formation des équipes internes sur les exigences des règlements eIDAS et RGS.
• Accompagnement continu lors des audits initiaux et de suivi, en coordination avec les autorités compétentes (ANSSI, autorités européennes).

---

4. Résultats obtenus

• Obtention de la qualification QTS pour plusieurs services de confiance.
• Conformité totale avec les normes RGS niveau 2 et 3.
• Gain de crédibilité et attractivité auprès des clients et partenaires.
• Réduction des risques de non-conformité grâce à des audits internes réguliers et un suivi continu des évolutions réglementaires.

---

5. Pérennisation

• Mise en place d’un cadre évolutif permettant d’intégrer facilement les évolutions réglementaires (ex. : révisions eIDAS 2.0).
• Assistance pour les audits périodiques et la veille réglementaire.

---

Grâce à cet accompagnement sur plusieurs années, nous avons consolidé notre expertise dans la qualification eIDAS et RGS, démontrant notre capacité à accompagner nos clients dans des environnements techniques et réglementaires complexes.

• Date: depuis 2016
• Client: Prestataire de Services de Confiance Français
• Categorie: Accompagnement qualification / certification produits et services

Fermer

idFod

Développement d'une solution de signature électronique permettant l'accès aux empreintes digitales contenues dans les passeports électroniques et les CNIe

1. Présentation du projet et des enjeux

Le client, Eviden et l’Agence Nationale des Titres Sécurisés (ANTS), ont fait appel à notre expertise pour développer une solution innovante permettant de :

• Signer le challenge d’accès envoyé par un titre de voyage (asseport électronique, carte d’identité et titre de séjour) pour autoriser l’accès au Data Group 3 (DG3), qui contient les images des empreintes digitales.
• Exposer des webservices SOAP facilitant :
  • La récupération de la chaîne des certificats de confiance.
  • La signature du challenge envoyé par le titre de voyage.
• Fournir une interface utilisateur moderne pour la gestion et l’administration.
• S’interfacer avec les PKI capables d’émettre des certificats électroniques au format Card Verifiable Certificate (CVC) et des HSM garantissant la génération sécurisée de bi-clés et la signature des challenges.

---

2. Défis techniques et réglementaires

a) Techniques

• Garantir la compatibilité des webservices avec les dispositifs de remise déjà déployés en mairie, prefecture, consulats et les dispositifs de contrôle en zone aéroportuaire pour gérer la chaîne des certificats et le processus de signature.
• Garantir la compatibilité avec les PKI et les spécifications CVC, essentielles pour les passeports électroniques et les titres de voyage.
• Assurer une interopérabilité avec des HSM certifiés pour la gestion des clés cryptographiques.
• Mettre en place une interface utilisateur intuitive et performante pour les administrateurs.

b) Réglementaires

• Respecter les exigences des standards internationaux tels que ICAO 9303 et TR-03110 pour les titres de voyage.
• Aligner la solution sur les cadres réglementaires européens et nationaux, notamment eIDAS et RGS.

---

3. Solution mise en œuvre

a) Architecture technique

1. Exposition de webservices SOAP sécurisés :

   • Développement de services permettant de :
     • Récupérer la chaîne des certificats de confiance nécessaires pour valider les échanges.
     • Demander la signature du challenge transmis par le passeport électronique.
   • Mise en œuvre de mécanismes de chiffrement avancés pour sécuriser les communications (TLS 1.3).

2. Intégration avec des PKI et HSM :

   • Connexion aux PKI pour l’émission de certificats au format CVC, utilisés dans les tites de voyage.
   • Utilisation d’HSM certifiés pour :
     • Générer des paires de clés asymétriques.
     • Réaliser les signatures des challenges.

3. Interface utilisateur moderne pour l’administration :

   • Développement d’une interface intuitive et ergonomique pour :
     • Gérer les certificats et les clés cryptographiques.
     • Suivre les logs et surveiller l’état des services.
   • Conception en utilisant le framework React pour garantir performance et accessibilité.

---

4. Résultats obtenus

• Déploiement d’une solution complète permettant :
  • Une gestion sécurisée et conforme des challenges d’accès au DG3 des titres de voyage.
  • Une intégration fluide avec les infrastructures de confiance (PKI et HSM).
• Conformité totale avec les standards ICAO, eIDAS et RGS.
• Adoption par l’ANTS grâce à des performances largement améliorées et une interface utilisateur moderne et intuitive

---

En collaborant avec l’ANTS, nous avons mis en œuvre une solution pionnière, sécurisée et évolutive, qui répond parfaitement aux enjeux réglementaires et techniques des passeports électroniques et des cartes d’identité électronique.

• Date: Septembre 2024
• Client: Eviden
• Categorie: Développement sécurisé

Fermer