Construire la prochaine génération de confiance numérique européenne

iDAKTO est fier de rejoindre APTITUDE (Advanced Project for Trusted Identity Technologies and Unified Digital Ecosystem), un projet pilote européen à grande échelle réunissant 118 partenaires de 11 États membres de l’UE et de l’Ukraine.

Au sein du consortium, iDAKTO contribue à plusieurs domaines clés : soutien des fondements techniques et des démonstrations pratiques du EUDI Wallet, participation à la standardisation pour garantir l’alignement et l’interopérabilité de tous les cas d’usage, et aide au pilotage des applications de portefeuille dans les scénarios de voyage, de mobilité et de paiement, y compris la billetterie et les certificats d’immatriculation des véhicules.

Réaliser le déploiement à grande échelle du EUDI Wallet

En tant que partenaire clé de France Identité, iDAKTO s’appuie sur des déploiements opérationnels éprouvés en France pour aider les initiatives du EUDI Wallet à passer du stade de PoC à celui de services nationaux, permettant une mise en service rapide et un modèle reproductible pour les autres États membres.

Notre plateforme de EUDI Wallet de bout en bout couvre l’ensemble du cycle de vie — émission, stockage, vérification, gestion du portefeuille et intégration de l’écosystème — permettant ainsi aux fonctionnalités validées de passer en production en douceur. Cette expérience en production fait d’iDAKTO un contributeur de confiance et orienté vers l’exécution des objectifs d’APTITUDE.

Accélérer les écosystèmes numériques nationaux

Développé par iDAKTO et hébergé par France Identité, le Potential Playground a été bien plus qu’un environnement de test. Conçu pour perdurer au-delà du projet, il a fonctionné comme une véritable usine d’intégration permettant aux parties utilisatrices de passer rapidement du sandbox à la production. Au-delà des vérifications d’interopérabilité, il a structuré l’écosystème national, standardisé les intégrations et fourni les outils, les conseils et le support pratique dont les équipes ont besoin pour lancer et développer leurs services en toute confiance.

Aujourd’hui, le Sandbox d’iDAKTO fournit des SDK standardisés, du code de référence et des « chemins dorés » clairs qui réduisent de plusieurs semaines l’intégration des parties utilisatrices, incluant un kit d’intégration VP (« kit VP ») prêt à l’emploi pour accélérer les flux de présentation vérifiable. Ceci est combiné à une validation pré-production couvrant les vérifications fonctionnelles, de sécurité et d’interopérabilité alignées sur les exigences de l’UE, réduisant ainsi le délai de mise en service et diminuant les risques lors du déploiement national.

En rejoignant APTITUDE, nous réaffirmons notre engagement envers une identité numérique souveraine et sécurisée pour tous. Aux côtés des principaux innovateurs européens, nous transformons le EUDI Wallet en réalité et façonnons un avenir où confiance, confidentialité et simplicité vont de pair — là où d’autres prototypent, nous lançons et développons.

The post iDAKTO rejoint APTITUDE pour accélérer le déploiement du EUDI Wallet appeared first on iDAKTO.

Pour garantir l’adoption et la sécurité de ce portefeuille numérique, toutes les parties prenantes (citoyens, organismes publics, entreprises, etc.) doivent avoir l’assurance que le dispositif repose sur des principes de confiance et de sécurité solides.

Dans cette perspective, des travaux de standardisation sont en cours, et iDAKTO participe activement à leur élaboration. Voici d’ores et déjà un panorama du fonctionnement du futur EUDI Wallet et des mécanismes de confiance sur lesquels il repose.

Les différentes entités et leur rôle dans l’écosystème de confiance

Les entités appelées à faire partie de cet écosystème et à interagir avec le portefeuille numérique européen, situé au centre du dispositif, doivent respecter différents prérequis :

• Être enregistrées sur des listes de confiance.
• Être identifiées/authentifiées grâce à des certificats électroniques

Figure 1 : Trust Model Schema – Source : ARF

Les listes de confiance, piliers du modèle de confiance du portefeuille numérique européen

Introduit par le règlement eIDAS en 2014, le concept de listes de confiance impose aux États membres d’établir, de maintenir et de publier des « listes fiables de prestataires de services de confiance qualifiés et des services qu’ils fournissent ».

Au cœur de l’écosystème du portefeuille européen d’identité numérique, ce modèle de listes est étendu à l’ensemble des acteurs de l’écosystème et joue un rôle fondamental en garantissant la fiabilité et l’interopérabilité du système. Toute entité opérant dans cet environnement devra y être enregistrée, assurant ainsi une transparence et une sécurité accrues à l’échelle européenne.

Sur les listes de confiance figurent les entités, les services qu’elles mettent en œuvre ainsi que des informations associées comme des certificats électroniques permettant d’authentifier ces entités.

L’enregistrement sur les listes de confiance et les obligations des entités sont régis par le règlement eIDAS et ses règlements d’exécution. Cette inscription nécessite l’adoption de pratiques strictes en gestion et audit, en particulier pour les prestataires qualifiés.

Les obligations et les processus d’enregistrement dans les listes

Pour les fournisseurs de portefeuille numérique

Chaque fournisseur de portefeuille numérique devra s’enregistrer sur une liste de confiance dédiée, gérée au niveau national. 

Cet enregistrement inclut à la fois l’inscription du fournisseur lui-même et celle de sa solution de portefeuille certifiée sur la liste de confiance dédiée dans son État membre.

Une fois cette étape validée, l’État membre notifie officiellement le fournisseur de portefeuille à la Commission européenne. Si les processus d’enregistrement et de notification sont concluants, les certificats racines de confiance (Trust Anchor) du fournisseur sont intégrés dans une liste de confiance dédiée aux fournisseurs de portefeuilles.

Lors de l’émission d’un PID (identifiant personnel) ou d’une attestation, le fournisseur de PID ou d’attestations peut s’appuyer sur ces racines de confiance pour vérifier l’authenticité d’une attestation d’une unité de portefeuille (WUA) signée par le fournisseur de portefeuille. Cela garantit que l’interaction se fait avec une unité de portefeuille authentique et approuvée.

Une fois enregistré, le fournisseur de portefeuille numérique pourra activer des unités de portefeuille pour les utilisateurs finaux.

Prérequis et obligations : 

• Certification du portefeuille garantissant la sécurité de la conception,
• Certification fonctionnelle garantissant que toutes les fonctionnalités sont implémentées et que le wallet est interopérable avec des entités,
• Veille continuelle, gestion d’incidents,
• Assistance technique pour les utilisateurs.

Pour les fournisseurs d’attestations électroniques d’attributs qualifiés et du secteur public (Pub/Q-EAA Providers)

Ces entités devront s’inscrire sur une liste de confiance spécifique, gérée au niveau national, et obtenir un certificat d’accès.

Ce certificat d’accès, délivré par une autorité de certification (Certificate Authority / CA), permet aux fournisseurs d’attestations de s’authentifier auprès des wallets et de garantir leur légitimité dans l’écosystème.

Afin de permettre aux tiers de valider les attestations électroniques d’attributs émises, le certificat racine de confiance (Trust Anchor) est également inscrit sur une liste de confiance dédiée aux fournisseurs d’attestations.

Les autorités de certification, chargées de délivrer les certificats d’accès, doivent elles aussi être inscrites sur une liste spécifique afin d’assurer transparence et sécurité dans le processus.

Obligations :

Les fournisseurs d’attestations doivent se conformer à plusieurs exigences, notamment :

• La publication des conditions générales et de la politique du service,
• L’évaluation des risques,
• Le respect des exigences en matière de sécurité et de gestion.

Les fournisseurs d’attestations du secteur public doivent se soumettre à un audit, probablement basé sur le standard existant, et atteindre un niveau de fiabilité équivalent à celui des fournisseurs qualifiés en matière de vérification d’identité et d’attributs.

Les fournisseurs de PID (PID Providers) suivent un processus similaire à celui des fournisseurs d’attestations électroniques d’attributs.

Pour les fournisseurs de services

Tout fournisseur de services souhaitant interagir avec les portefeuilles numériques doit également s’inscrire sur une liste de confiance spécifique, gérée au niveau national, et obtenir un certificat d’accès.

Comme pour les autres entités, un certificat d’accès est délivré par une autorité de certification  et permet aux fournisseurs de services de s’authentifier auprès des wallets.

Ces autorités de certification sont inscrites sur une liste spécifique, nommée “Relying Party Instance Access CA”, garantissant ainsi la fiabilité du processus.

Enfin, un certificat d’enregistrement spécifique est délivré aux fournisseurs de services, précisant les types de données qu’ils sont autorisés à demander aux utilisateurs.

Prérequis & Obligations :

Les fournisseurs de services doivent s’inscrire selon les modalités établies par la Commission Européenne en fournissant leurs coordonnées, l’utilisation prévue du portefeuille numérique ainsi que la liste exhaustive des données qu’ils sollicitent auprès des utilisateurs, garantissant ainsi une transparence totale dans le traitement des informations personnelles.

En résumé

La réussite et l’adoption du futur portefeuille numérique européen dépendent en grande partie de la confiance que les utilisateurs lui accorderont pour gérer leur identité numérique de manière autonome. 

En s’appuyant sur des concepts éprouvés associés au règlement eIDAS, le « modèle de confiance » assure la fiabilité, la transparence et l’interopérabilité des services de confiance. Cependant, des mises à jour sont nécessaires pour s’adapter aux spécificités du nouvel écosystème du wallet, notamment concernant la gestion et le format des listes de confiance.

À mesure que nous progressons vers la mise en œuvre de l’EUDI Wallet, la collaboration et les efforts de standardisation seront cruciaux pour établir un environnement de confiance solide. Grâce à son implication active dans des organes de normalisation tels que l’ETSI, iDAKTO s’engage à apporter plus de confiance et de sécurité au sein de cet écosystème.

The post EUDI Wallet : quels sont les mécanismes et les garanties du modèle de confiance ? appeared first on iDAKTO.

En tant que développeur et fournisseur de portefeuille électronique, iDAKTO propose des briques sécurisées, certifiées et utilisées au sein de l’application France Identité, officiellement reconnue comme identité numérique de niveau « élevé ». Nous avons donc posé des jalons importants pour la sécurité des applications et de la plateforme derrière ce que sera bientôt l’implémentation française du portefeuille d’identité numérique européen.

Alors que les actes d’exécution du règlement eIDAS 2.0 devraient bientôt venir préciser les exigences en matière de sécurité du futur portefeuille européen, iDAKTO travaille d’ores et déjà sur la rédaction des standards au sein de l’ETSI, CEN et OpenID Foundation.

Andreea Prian, responsable de la standardisation chez iDAKTO et experte en conformité eIDAS, fait le point sur 5 grands enjeux de sécurité autour du portefeuille européen d’identité numérique, les questions qui se posent et les solutions envisagées pour y répondre.

1. La protection des données personnelles, une brique non négociable du futur EUDI Wallet

La confiance des citoyens dans l’identité numérique européenne dépend de la transparence de l’ensemble des acteurs impliqués dans le dispositif et de la protection des données personnelles. Or les attestations émises et stockées dans le futur portefeuille européen contiendront des métadonnées – telles que la date d’expiration de l’attestation ou la signature cryptographique – et des données techniques qui pourraient permettre de suivre les utilisateurs lorsque ces attestations seront partagées avec des tiers. Les utilisateurs pourraient donc être traçables, puisque lors de deux présentations différentes, un recoupement permettrait de déduire qu’il s’agit de la même personne.

Éviter le traçage des utilisateurs pourrait se faire via l’émission d’attestations à usage unique, mais cette solution s’avère en réalité peu scalable et ferait peser une charge importante sur l’émetteur des attestations.

Une autre solution pourrait être l’utilisation de techniques cryptographiques avancées, par exemple celles de type Zero Knowledge Proof, permettant de fournir des preuves sur les données d’un utilisateur sans pour autant divulguer leur valeur exacte. La randomisation des signatures via des algorithmes cryptographiques et des schémas de signatures de type BBS+ ou offrant des propriétés au moins équivalentes pourrait également être envisagée.

De telles solutions doivent encore être approfondies et testées pour un éventuel usage dans le cadre de la création d’une identité numérique.  De nouveaux « Large Scale Pilots » vont être lancés en 2025, afin de préciser les contours et les cas d’usages du futur portefeuille d’identité européen. L’étude de la protection des données utilisateurs via ces techniques devrait donc faire partie intégrante de leur feuille de route.

2. Anticiper les menaces liées au post-quantique

La création du portefeuille européen d’identité numérique met au premier plan les questions de sécurité autour de la signature électronique. De nombreux éléments appelés à transiter par le portefeuille seront signés pour garantir l’authenticité des données (attestations stockées, présentations d’attestations faites aux parties utilisatrices, etc.). Or l’ère post-quantique approche et menace la cryptographie asymétrique actuellement utilisée pour les signatures électroniques. L’informatique quantique sera en mesure de reproduire des signatures qui paraîtront légitimes, rendant ainsi impossible de distinguer ce qui est authentique de ce qui ne l’est pas.

Il n’existe, à ce jour, pas encore d’algorithmes post-quantiques officiellement recommandés en France.Si les premiers algorithmes ont déjà été standardisés par le NIST, ils ne font pas l’unanimité quant à leur maturité et leur capacité à garantir à eux seuls la sécurité des données. 

L’utilisation de protocoles flexibles et évolutifs, qui ne soient pas liés à une seule technique cryptographique, pourrait être envisagée. Afin d’anticiper les menaces liées au post-quantique, l’ANSSI recommande d’ores et déjà l’hybridation, c’est-à-dire l’utilisation simultanée de deux algorithmes, dont l’un est résistant au post-quantique et l’autre pré-quantique, suffisamment étudié et reconnu. Si l’hybridation apparaît comme une solution recommandée, encore faut-il qu’elle soit permise, par exemple par le format des attestations. Il est donc crucial que les organismes de standardisation se penchent sur le sujet de l’intégration de l’hybridation.

3. Mettre en place un cadre de confiance

La question de la confiance irrigue le projet de création du portefeuille européen d’identité numérique. La création d’un cadre de confiance solide est nécessaire en matière d’identité numérique, notamment pour l’identification et l’authentification des émetteurs d’attestations, des fournisseurs de portefeuilles certifiés et surtout des fournisseurs de services – publics et privés – qui sont appelés à être nombreux à utiliser le futur portefeuille européen. Les données sensibles comme les données de santé, stockées dans le wallet, nécessiteront une régulation stricte.

De nombreux fournisseurs de services souhaiteront utiliser l’EUDI Wallet, facile à adopter et interopérable partout en Europe. Ils devront donc s’inscrire sur des « listes de confiance » dont les critères ne sont pas encore précisés. Laisser la main aux États pour définir leurs propres critères d’enregistrement des fournisseurs de services sur les « listes de confiance » risquerait de créer de trop fortes disparités, et donc de compromettre la sécurité du futur portefeuille européen d’identité numérique.

Un enregistrement strict et transparent des entités légitimes sur les « listes de confiance » est nécessaire, afin d’assurer à l’utilisateur que le service qu’il souhaite utiliser est bien en droit de lui demander des informations contenues dans son portefeuille. L’enregistrement déclaratif (sur la base d’un formulaire, par exemple) ne sera pas suffisant pour garantir la confiance dans le dispositif. L’application des principes du RGPD posera entre autres une condition stricte : les entreprises (parties tierces) devront uniquement demander à l’utilisateur les données nécessaires au regard des finalités pour lesquelles elles seront traitées. La Commission européenne est attendue pour fournir davantage de détails concernant les processus d’inscription sur les « listes de confiance ».

4. Placer l’EUDI Wallet sous le contrôle exclusif de l’utilisateur

L’utilisation du portefeuille européen, et notamment la gestion et le partage des données, doivent être « sous le contrôle exclusif de l’utilisateur ». Théoriquement neutre d’un point de vue technologique, ses premières implémentations auront lieu sous la forme d’une application mobile (notamment en France). Dans ce cas, l’utilisateur s’authentifiera via son appareil mobile notamment via la biométrie qui est le moyen d’authentification présentant le moins de friction utilisateur.

Cependant, la sécurité de l’authentification varie avec la diversité des appareils et le manque de garanties qu’ils offrent quant aux implémentations des solutions biométriques. Or l’authentification est un aspect clé dans la protection des données. Cette situation pose la question de la confiance envers ces dispositifs qui restent hors du contrôle de l’utilisateur proprement dit.

Il sera sûrement nécessaire de renforcer le processus d’authentification pour les attestations nécessitant un niveau d’assurance élevé. L’utilisation d’une carte d’identité électronique avec code PIN pourrait être une solution, afin d’éviter d’avoir à recourir à la biométrie, même si cette solution risque de rendre l’expérience utilisateur moins fluide.

5. Respecter un ensemble minimal de règles de sécurité en l’absence de schéma européen de certification

Il n’existe, à ce jour, pas encore de schéma de certification unifié au niveau de l’Union européenne indiquant comment certifier l’intégralité du portefeuille et de ses composants (back-end, application, composant cryptographique matériel, etc.). Or les futurs portefeuilles devront bien être certifiés, et même atteindre le niveau d’assurance élevé pour l’identité électronique. La vocation d’un schéma de certification serait de décrire les pré-requis nécessaires à la sécurisation des différents composants du portefeuille en vue de sa certification.

Les pays européens concernés par la mise en place du futur portefeuille européen d’identité numérique présentent des niveaux de cybersécurité assez hétérogènes. Cet état de fait risque donc de créer des disparités en matière de sécurité dans les différents États, certains faisant certifier des versions du portefeuille que d’autres pourraient en revanche considérer comme insuffisamment sécurisées.

Un ensemble minimal de règles de sécurité devrait être respecté par tous les États membres afin de garantir un niveau de sécurité homogène et harmonisé. Ce socle garantirait à l’ensemble des citoyens la possibilité d’utiliser une solution sécurisée sur la base d’un certain nombre de règles de sécurité communes, quel que soit le pays.

Exigences de sécurité, de confiance et de régulation autour du futur EUDI Wallet : les éléments à retenir

1. Le respect de la vie privée est une brique essentielle pour préserver la confiance des citoyens dans l’identité numérique européenne et encourager l’adoption du futur portefeuille. Le portefeuille numérique sera en effet gratuit et non obligatoire pour les citoyens européens.

2. Il est d’ores et déjà nécessaire d’anticiper les menaces liées au post-quantique, notamment via l’utilisation simultanée de deux algorithmes, dont l’un des deux serait résistant au post-quantique.

3. L’inscription des fournisseurs de services sur les « listes de confiance » doit être réalisée de manière stricte et transparente.

4. Le processus d’authentification pour les attestations nécessitant un niveau d’assurance élevé devrait être renforcé (par exemple via l’utilisation d’une carte d’identité électronique avec un code PIN).

5. En l’absence de schéma européen de certification, les différents États vont être amenés à développer leurs propres schémas de certification nationaux. Il est souhaitable que les États travaillent à l’harmonisation des règles de sécurité relatives aux différents composants du portefeuille européen d’identité numérique.

iDAKTO suivra avec attention la publication des actes d’exécution du règlement eIDAS 2.0 et continuera de s’impliquer dans les travaux des « Large Scale Pilots » afin de contribuer à l’élaboration d’un portefeuille européen d’identité numérique pleinement sécurisé.

The post Sécurité de l’EUDI Wallet : les grands enjeux de confiance et de régulation identifiés par iDAKTO appeared first on iDAKTO.