Projet RNRT ICare: Services évolués de signature et de contrôle d'accès basés sur de nouveaux concepts de certificats Refik Molva Institut EURECOM Octobre 2002 R.Molva - Institut Eurécom 1 1 1

Partenaires du Projet Thales Communications (responsable du projet) CEA - LETI Cabinet d’avocats A. Bertrand ENST Paris Institut Eurécom Université de Technologie de Compiègne Ecole des Mines d’Alès R.Molva - Institut Eurécom

Axes du Projet Expérimentation Recherche et Développement Infrastructure de Clés Publiques (ICP) Choix du logiciel et déploiement Recherche et Développement Contrôle d’accès distribué Services de signature Certificats d’attributs Etudes et Méthodologie Etude des Usages Critères de certification Législation R.Molva - Institut Eurécom

Expérimentation Choix logiciel Déploiement au sein du consortium solution open source IDX-PKI (IdealX) solution propriétaire UniCert (Baltimore) Déploiement au sein du consortium Communautés académiques (ENST, EMA, Eurécom) et industrielle (Thalès) Test d’interopérabilité / applications URL PKI Icare: https://icaresrv.eurecom.fr/ https://194.167.202.113/EE R.Molva - Institut Eurécom

Etude Usages Sites non équipés : 2 écoles (14 et 7 entretiens avec grille et observations) Sites équipés en PKI (avec grille et observations): une grande entreprise en phase pilote (8 entretiens) un réseau logiciel libre utilisateur courant (4 entretiens plus observation participante) une entreprise de solution de sécurité (1 entretien) R.Molva - Institut Eurécom

Etude Usages - Conclusions Etat actuel Sécurité suffisante Langage obscur Tolérance pour une déviance “normale” Impossible Garanties absolues (biométrie, Etat) Formalismes stricts Solution Viser larges populations (non-limitées aux informaticiens) Tolérance négociée – espaces de régulation Partir des applicatifs Ergonomie basée sur ontologies ordinaires Délégation entre Autorités distribuées – Modes et Principes R.Molva - Institut Eurécom

Axe R&D Limitations de l’ICP basé sur les certificats d’identité X509 : absence support pour le contrôle d’accès complexité et codage inadéquat (DN, ASN.1) Solutions : Certificats d’attributs Codage XML R.Molva - Institut Eurécom

Certificat d’attributs KP Attributs Signature de l’Autorité Droits Clé publique Certificat d’autorisation (SPKI) Certificat d’identité (X.509) Certificat d’attributs ICare Nom Attributs Signature de l’Autorité Nom KP Signature de l’Autorité Nom R.Molva - Institut Eurécom

Certificats d’Attributs - Applications Certificat d’attribut Contrôle d’accès Services évolués de Signature Gestion d’identités R.Molva - Institut Eurécom

Architecture AA Autorité pour les Attributs Origine de l’autorité (SoA) Certificat Racine Certificat d’Attributs AA Certificat d’Attributs: privilèges AA Certificat d’Attributs: policy Ressource Délégation Certificat Racine Certificat d’Attributs: privilèges Demandeur Requête Vérificateur Web server Web browser R.Molva - Institut Eurécom

Certificats d’Attributs Choix du format Lien avec certificat d’identité Intégration dans l’ICP Intégration avec logiciels applicatifs R.Molva - Institut Eurécom

Certificat d’attributs en XML CertificateReference Issuer 1 CertificateReference PublicKey Subject 1 depth Delegation 1 name resource validity Attribute + Privilège ou rôle Lien avec un certificat X.509 ou un Certificat d’attribut Content 1 algorithm Signature 1 version type CertificateInfo 1 AttributeCertificate R.Molva - Institut Eurécom

Validation du fichier xml Accounting <Name> <Organization Unit > <Office> <Phone> Project <Project Name> <Organization> <Organization Unit> <Project Manager> Formulaires HTTP: Script CGI Grammaires DTD: Nom de la grammaire Validation du fichier xml Fichier XML: <xml…. <compta> <name> … </name> <organization unit> … </organization unit> <office> … </office> <phone> … </phone> </compta> </xml> <project> <project name> … </project name> <organization> … </organization> <organization unit> … </organization unit> <project manager> … </project manager> </project> Compatabilite R.Molva - Institut Eurécom

APIs Administration Control d’accès Signature Logiciel client (browser web…) Logiciel client (browser web…) Logiciel (serveur web) Développement ICARE Librairies OpenSource ou Commerciales Integration dans des produits existantes Interface Outils de gestion (définition de rôles, des politiques d’acces…) Interface Interface API Autorité de Certificat d’Attributs API Demandeur / Verificateur API Signature ICARE API de BASE (objet certificat d’attribut et sa gestion, communications, etc.) API XML API Crypto API Database R.Molva - Institut Eurécom

Etat de l’art X.509 XACML SAML ASN1  XML Orienté Politique de C. A. Compatibilité avec les Technologies Internet ICP(PKI) non-indispensable délégation et autorisation sans identification (SPKI) XACML Orienté Politique de C. A. SAML Format d’échange R.Molva - Institut Eurécom

Application : Multisignature Carl secrétaire Secrétaire signature Certificat d’attribut Qui doit signer (Vincent, Marc et Carl) Dans quel ordre Politique de signature (accepter un certificat d’habilitation) Vincent signature signature Vincent Marc Carl signature Vincent Marc secrétaire R.Molva - Institut Eurécom

Multisignature Variante XAdES-C + Certificat d’attributs SignedInfo General bundle Object Attribute Certificate SignaturePacket Signature TSP SignatureInfo Signature KeyInfo Certificate and CRL Reference SignedObjects SignaturePath R.Molva - Institut Eurécom

Soutien pour l’évaluation CC Former / Sensibiliser aux pré-requis sécuritaires CC Identifier les Profils de Protection les exigences liées au développement fournitures et éléments de preuves nécessaires pour une certification Définir la cible d’évaluation pour le projet ICare Lister les recommandations pour une évaluation CC R.Molva - Institut Eurécom

Conclusion Expérimentation PKI et Usages Introduction par Processus Itératif R&D sur Certificats d’Attributs et Services Avancés Développement en cours Niveau comparable aux activités W3C, ETSI Publications en cours Précompétitif: Start-up(s) R.Molva - Institut Eurécom