Technologie et sécurité

Architecture cible de la hiérarchie de confiance

L'infrastructure prévue repose sur une hiérarchie à deux niveaux et sur des services séparés, chacun avec sa propre clé et son propre journal.

• Une autorité de certification racine maintenue hors ligne, activée uniquement le temps d'une cérémonie de clés, ce qui réduit son exposition à ces seules opérations.

• Des autorités de certification émettrices distinctes par service — signature, cachet, horodatage — afin qu'un incident touchant un service ne se propage pas aux autres.

• Une autorité d'horodatage alimentée par une source de temps de confiance, distincte des autorités de certification.

• Un service de validation permettant de vérifier l'état d'un certificat et la validité d'une signature au moment où elle est utilisée.

• Un service de signature à distance, qui produira la signature pour le compte du signataire et sous le contrôle exclusif de celui-ci.

Protection des clés

Les clés privées des autorités sont le point le plus sensible de l'ensemble : quiconque en dispose peut produire une signature au nom du service. L'architecture cible les traite en conséquence.

• Les clés sont générées et conservées à l'intérieur d'un module cryptographique matériel et n'en sortent jamais en clair.

• Aucune opération sensible n'est exécutée par une seule personne : l'activation des clés et les opérations d'administration exigent un double contrôle et un quorum de M personnes parmi N.

• Les rôles sont séparés — administration, exploitation, audit — et une même personne ne cumule pas deux de ces rôles.

• La génération des clés d'autorité se déroule en cérémonie, selon un script écrit à l'avance, en présence de témoins, et donne lieu à un procès-verbal signé.

• Les journaux d'audit sont horodatés et protégés contre la modification, de sorte qu'une altération soit détectable après coup.

• Les sauvegardes de clés sont chiffrées et leur restauration est elle-même soumise au quorum, jamais à une décision individuelle.

• L'accès physique aux équipements est restreint, tracé et distinct de l'accès logique aux services.

Signature à distance et horodatage

Dans le modèle cible, le signataire ne détient pas physiquement sa clé : celle-ci est conservée dans le module cryptographique matériel et n'est activée que sur une demande que le signataire seul peut produire.

L'authentification forte du signataire n'est donc pas un simple accès au site : elle est un composant du service de signature lui-même, et c'est elle qui matérialise le contrôle exclusif exigé d'un dispositif de création de signature soumis à l'agrément.

L'horodatage prévu s'appuie sur une source de temps de confiance et sur une autorité distincte, afin que la date attachée à un document ne dépende ni de l'horloge du poste de l'utilisateur ni de celle du service qui a produit la signature.

Le déroulé de l'acte de signer — aucun support à acheter, clés conservées dans le module, identification fondée sur la carte nationale d'identité électronique, autorisation depuis le téléphone — est décrit sur une page dédiée.

Comment on signera

Continuité et reprise

• Un site secondaire est prévu, afin que la perte du site principal n'entraîne pas la perte du service ni celle des preuves déjà produites.

• Les sauvegardes sont chiffrées et leur restauration est soumise au même quorum que les opérations sur les clés.

• La restauration est exercée pour de vrai et à intervalles réguliers : une procédure de reprise qui n'a jamais été jouée n'est pas une garantie, c'est une intention.

Normes et référentiels visés

Les textes ci-dessous sont des cibles. Ils décrivent le niveau que l'architecture prépare, et non un niveau déjà atteint : aucune conformité n'est constatée à ce jour, et aucune attestation de tiers n'est revendiquée.

Ce qui n'est pas publié, et pourquoi

Cette page décrit des principes d'architecture, jamais des équipements. L'identité du matériel — sa marque, son modèle, son numéro de série —, sa configuration, et le lieu où il est installé ne sont pas publiés et ne le seront pas.

Ce silence est une mesure de sécurité et non une réticence : qui connaît la référence exacte d'un équipement connaît aussi la liste publique de ses failles. La sécurité par la conception se juge sur les principes annoncés et sur l'audit qui les vérifie, jamais sur la publication d'un inventaire.