التقنية والأمن

البنية المستهدفة لهرم الثقة

تقوم البنية المزمعة على هرم من مستويين وعلى خدمات منفصلة، لكل واحدة منها مفتاحها الخاص وسجلها الخاص.

• سلطة مصادقة جذرية تُحفظ خارج الاتصال بالشبكة، ولا تُشغَّل إلا خلال مراسم المفاتيح، مما يحصر تعرضها في تلك العمليات وحدها.

• سلطات مصادقة مُصدِرة منفصلة لكل خدمة - التوقيع والختم والختم الزمني - حتى لا ينتقل أي حادث يمس خدمة إلى باقي الخدمات.

• سلطة للختم الزمني تُغذّى من مصدر زمني موثوق، ومنفصلة عن سلطات المصادقة.

• خدمة تحقق تتيح فحص وضعية الشهادة وصلاحية التوقيع في اللحظة التي يُعتمد فيها.

• خدمة توقيع عن بُعد، تُنتج التوقيع لحساب الموقِّع وتحت سيطرته الحصرية.

حماية المفاتيح

المفاتيح الخاصة بالسلطات هي أكثر نقاط المنظومة حساسية: فمن يملك مفتاحا منها يستطيع إنتاج توقيع باسم الخدمة. ولذلك تعاملها البنية المستهدفة بما يليق بذلك.

• تُولَّد المفاتيح وتُحفظ داخل وحدة تشفير مادية، ولا تخرج منها قط في صيغة مقروءة.

• لا تُنفَّذ أي عملية حساسة من طرف شخص واحد: فتفعيل المفاتيح وعمليات الإدارة يقتضيان مراقبة مزدوجة ونصابا من M من أصل N.

• الأدوار مفصولة - الإدارة والتشغيل والتدقيق - ولا يجمع الشخص الواحد بين اثنين منها.

• تُولَّد مفاتيح السلطات في إطار مراسم، وفق نص مكتوب سلفا، وبحضور شهود، وتُحرَّر بشأنها محضر موقَّع.

• سجلات التدقيق مختومة زمنيا ومحمية من التعديل، بحيث يمكن كشف أي تحريف بعد وقوعه.

• نسخ المفاتيح الاحتياطية مشفَّرة، واستعادتها خاضعة بدورها للنصاب، لا لقرار فردي.

• الولوج المادي إلى التجهيزات مقيَّد ومتتبَّع ومنفصل عن الولوج المنطقي إلى الخدمات.

التوقيع عن بُعد والختم الزمني

في النموذج المستهدف لا يحوز الموقِّع مفتاحه ماديا: إذ يُحفظ المفتاح داخل وحدة التشفير المادية ولا يُفعَّل إلا بناء على طلب لا يستطيع إنتاجه غير الموقِّع نفسه.

ومن ثم فإن التوثيق القوي لهوية الموقِّع ليس مجرد ولوج إلى الموقع، بل هو مكوّن من مكونات خدمة التوقيع ذاتها، وهو ما يجسّد السيطرة الحصرية المطلوبة في آلية إنشاء التوقيع الخاضعة للاعتماد.

يستند الختم الزمني المزمع إلى مصدر زمني موثوق وإلى سلطة مستقلة، حتى لا يتوقف التاريخ الملحق بالوثيقة على ساعة جهاز المستعمل ولا على ساعة الخدمة التي أنتجت التوقيع.

وتفاصيل فعل التوقيع — لا وسيط يشترى، ومفاتيح تبقى داخل الوحدة، وتعريف بالهوية مرجعه البطاقة الوطنية للتعريف الإلكترونية، وإذن يصدر من الهاتف — موصوفة في صفحة مستقلة.

كيف سيتم التوقيع

الاستمرارية واستئناف النشاط

• يُخطَّط لموقع ثانوي، حتى لا يؤدي فقدان الموقع الرئيسي إلى فقدان الخدمة ولا إلى فقدان الحجج التي سبق إنتاجها.

• النسخ الاحتياطية مشفَّرة، واستعادتها خاضعة لنفس النصاب المطلوب في العمليات على المفاتيح.

• تُجرَّب الاستعادة فعليا وعلى فترات منتظمة: فمسطرة استئناف لم تُجرَّب قط ليست ضمانة، بل مجرد نية.

المعايير والمرجعيات المستهدفة

النصوص الواردة أدناه أهداف مستهدفة. فهي تصف المستوى الذي تُعِد له البنية، لا مستوى تم بلوغه: إذ لا تُثبَت اليوم أي مطابقة، ولا تُدعى أي شهادة صادرة عن طرف ثالث.

ما لا يُنشر، ولماذا

تصف هذه الصفحة مبادئ معمارية، لا تجهيزات. أما هوية العتاد - علامته وطرازه ورقمه التسلسلي - وإعداداته والمكان الذي يوجد فيه، فلا تُنشر ولن تُنشر.

وهذا الصمت تدبير أمني لا تحفّظ: فمن يعرف المرجع الدقيق لتجهيز ما يعرف كذلك اللائحة العمومية لثغراته. والأمن بحكم التصميم يُقاس بالمبادئ المعلنة وبالتدقيق الذي يتحقق منها، لا بنشر جرد للعتاد.