# Technologie et sécurité Cette page décrit l'architecture cible de YORYX TRUST : ce que l'infrastructure de confiance sera lorsqu'elle entrera en service. Rien de ce qui suit n'est présenté comme acquis. Les composants sont en préparation, les normes citées sont des cibles, et aucune attestation de tiers n'est revendiquée. C'est quoi ? L'architecture technique cible qui protégera les clés et les signatures. Pour qui ? Pour les personnes curieuses de savoir comment la sécurité sera assurée. Que puis-je faire ici ? Découvrez comment les clés seront protégées dans un module dédié. - [Voir le module cryptographique](https://trust.yoryx.ma/fr/technology#tech-module) ## Architecture cible de la hiérarchie de confiance L'infrastructure prévue repose sur une hiérarchie à deux niveaux et sur des services séparés, chacun avec sa propre clé et son propre journal. - Une autorité de certification racine maintenue hors ligne, activée uniquement le temps d'une cérémonie de clés, ce qui réduit son exposition à ces seules opérations. - Des autorités de certification émettrices distinctes par service — signature, cachet, horodatage — afin qu'un incident touchant un service ne se propage pas aux autres. - Une autorité d'horodatage alimentée par une source de temps de confiance, distincte des autorités de certification. - Un service de validation permettant de vérifier l'état d'un certificat et la validité d'une signature au moment où elle est utilisée. - Un service de signature à distance, qui produira la signature pour le compte du signataire et sous le contrôle exclusif de celui-ci. - Haut de page ## Protection des clés Les clés privées des autorités sont le point le plus sensible de l'ensemble : quiconque en dispose peut produire une signature au nom du service. L'architecture cible les traite en conséquence. - Les clés sont générées et conservées à l'intérieur d'un module cryptographique matériel et n'en sortent jamais en clair. - Aucune opération sensible n'est exécutée par une seule personne : l'activation des clés et les opérations d'administration exigent un double contrôle et un quorum de M personnes parmi N. - Les rôles sont séparés — administration, exploitation, audit — et une même personne ne cumule pas deux de ces rôles. - La génération des clés d'autorité se déroule en cérémonie, selon un script écrit à l'avance, en présence de témoins, et donne lieu à un procès-verbal signé. - Les journaux d'audit sont horodatés et protégés contre la modification, de sorte qu'une altération soit détectable après coup. - Les sauvegardes de clés sont chiffrées et leur restauration est elle-même soumise au quorum, jamais à une décision individuelle. - L'accès physique aux équipements est restreint, tracé et distinct de l'accès logique aux services. - Haut de page ## Signature à distance et horodatage Dans le modèle cible, le signataire ne détient pas physiquement sa clé : celle-ci est conservée dans le module cryptographique matériel et n'est activée que sur une demande que le signataire seul peut produire. L'authentification forte du signataire n'est donc pas un simple accès au site : elle est un composant du service de signature lui-même, et c'est elle qui matérialise le contrôle exclusif exigé d'un dispositif de création de signature soumis à l'agrément. L'horodatage prévu s'appuie sur une source de temps de confiance et sur une autorité distincte, afin que la date attachée à un document ne dépende ni de l'horloge du poste de l'utilisateur ni de celle du service qui a produit la signature. Le déroulé de l'acte de signer — aucun support à acheter, clés conservées dans le module, identification fondée sur la carte nationale d'identité électronique, autorisation depuis le téléphone — est décrit sur une page dédiée. - [Comment on signera](https://trust.yoryx.ma/fr/signing) - Haut de page ## Continuité et reprise - Un site secondaire est prévu, afin que la perte du site principal n'entraîne pas la perte du service ni celle des preuves déjà produites. - Les sauvegardes sont chiffrées et leur restauration est soumise au même quorum que les opérations sur les clés. - La restauration est exercée pour de vrai et à intervalles réguliers : une procédure de reprise qui n'a jamais été jouée n'est pas une garantie, c'est une intention. - Haut de page ## Normes et référentiels visés Les textes ci-dessous sont des cibles. Ils décrivent le niveau que l'architecture prépare, et non un niveau déjà atteint : aucune conformité n'est constatée à ce jour, et aucune attestation de tiers n'est revendiquée. ## CEN EN 419 221-5 — profil de protection visé Profil de protection applicable aux modules cryptographiques utilisés comme dispositifs de création de signature ou de cachet. C'est la cible d'acquisition retenue pour le module. ## Critères Communs EAL4+ — niveau d'évaluation visé Niveau d'évaluation de sécurité visé pour le module cryptographique. Il constitue une cible d'acquisition : la situation exacte du matériel finalement retenu sera vérifiée avant toute affirmation. ## FIPS 140-2 et FIPS 140-3, niveau 3 — référentiel visé Référentiel américain d'exigences pour les modules cryptographiques, dont le niveau 3 impose la résistance et la détection d'intrusion physique. Visé au même titre que le profil de protection européen. ## ETSI EN 319 401, ETSI EN 319 411-1, ETSI EN 319 411-2, ETSI EN 319 421 et ETSI EN 319 422 — normes cibles Exigences générales applicables aux prestataires de services de confiance, exigences propres aux émetteurs de certificats, et exigences propres à l'horodatage. Elles structurent la politique et les pratiques que le registre publiera. ## Référentiels DGSSI Ref\_PSCo\_AG et Ref\_QSCD — référentiels cibles Référentiels d'exigences publiés par l'autorité nationale : l'un pour les prestataires de services de confiance soumis à l'agrément, l'autre pour les dispositifs de création de signature. Ce sont eux que la demande devra satisfaire. - Haut de page ## Ce qui n'est pas publié, et pourquoi Cette page décrit des principes d'architecture, jamais des équipements. L'identité du matériel — sa marque, son modèle, son numéro de série —, sa configuration, et le lieu où il est installé ne sont pas publiés et ne le seront pas. Ce silence est une mesure de sécurité et non une réticence : qui connaît la référence exacte d'un équipement connaît aussi la liste publique de ses failles. La sécurité par la conception se juge sur les principes annoncés et sur l'audit qui les vérifie, jamais sur la publication d'un inventaire. - Haut de page ## Notre statut réglementaire aujourd'hui YORYX TRUST prépare sa déclaration et sa demande d'agrément auprès de la Direction Générale de la Sécurité des Systèmes d'Information (DGSSI) au titre de la loi n° 43-20 relative aux services de confiance pour les transactions électroniques. À ce jour, YORYX TRUST n'est ni déclaré ni agréé. - Haut de page