25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 1
Projet RNRT ICare: Services évolués de signatureProjet RNRT ICare: Services évolués de signature et de contrôle d'accès basés sur de nouveaux concepts de et de contrôle d'accès basés sur de nouveaux concepts de
certificatscertificats
Refik Molva
Institut EURECOM
Octobre 2002
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 2
PartenairesPartenaires du Projet du Projet
Thales Communications (responsable du projet)
CEA - LETI
Cabinet d’avocats A. Bertrand
ENST Paris
Institut Eurécom
Université de Technologie de Compiègne
Ecole des Mines d’Alès
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 3
Axes du Projet
Expérimentation Infrastructure de Clés Publiques (ICP) Choix du logiciel et déploiement
Recherche et Développement Contrôle d’accès distribué Services de signature Certificats d’attributs
Etudes et Méthodologie Etude des Usages Critères de certification Législation
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 4
Expérimentation
Choix logiciel solution open source IDX-PKI (IdealX)
solution propriétaire UniCert (Baltimore)
Déploiement au sein du consortium Communautés académiques (ENST, EMA, Eurécom)
et industrielle (Thalès)
Test d’interopérabilité / applications
URL PKI Icare: https://icaresrv.eurecom.fr/ https://194.167.202.113/EE
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 5
Etude Usages
Sites non équipés : 2 écoles (14 et 7 entretiens avec grille et observations)
Sites équipés en PKI (avec grille et observations): une grande entreprise en phase pilote (8 entretiens)
un réseau logiciel libre utilisateur courant (4 entretiens plus observation participante)
une entreprise de solution de sécurité (1 entretien)
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 6
Etude Usages - Conclusions
Sécurité suffisante
Langage obscur
Tolérance pour une déviance “normale”
Etat actuel
Formalismes stricts Garanties absolues (biométrie, Etat)
Impossible
Solution
Viser larges populations (non-limitées aux informaticiens)
Tolérance négociée – espaces de régulation
Partir des applicatifs
Ergonomie basée sur ontologies ordinaires
Délégation entre Autorités distribuées – Modes et Principes
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 7
Axe R&D
Limitations de l’ICP basé sur les certificats d’identité X509 :
absence support pour le contrôle d’accès
complexité et codage inadéquat (DN, ASN.1)
Solutions :
Certificats d’attributs
Codage XML
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 8
Certificat d’attributs
Droits Clé publique
Nom
Certificat d’attributs Certificat d’identité(X.509)
Certificat d’autorisation (SPKI)
ICareNom
Attributs
Signature de l’Autorité
Nom
KP
Signature de l’Autorité
KP
Attributs
Signature de l’Autorité
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 9
Certificats d’Attributs - Applications
Certificat d’attribut
Contrôle d’accès
Services évolués de Signature
Gestion d’identités
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 10
Architecture
Autorité pour lesAttributs
Ressource
Certificat RacineCertificat d’Attributs
Requête
Certifi
cat R
acin
e
Délégatio
n
AA
Origine del’autorité
(SoA)
Demandeur Vérificateur
Certificat d’Attributs:privilèges
Certificat d’Attributs:privilèges
AACertificat d’Attributs:
policy
Web browser Web server
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 11
Certificats d’Attributs
Choix du format
Lien avec certificat d’identité
Intégration dans l’ICP
Intégration avec logiciels applicatifs
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 12
Certificat d’attributs en XML
AttributeCertificate
Content
1
algorithmalgorithm
Signature
1
versiontype
versiontype
CertificateInfo
1
CertificateReferenceCertificateReference
Issuer
1
CertificateReferencePublicKey
CertificateReferencePublicKey
Subject
1
nameresource validity
nameresource validity
Attribute
+
depthdepth
Delegation
1
Lien avec un certificat X.509 ou un Certificat
d’attribut
Privilège ou rôle
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 13
Accounting
<Name><Organization Unit ><Office><Phone>
Project
<Project Name><Organization><Organization Unit><Project Manager>
Formulaires HTTP:
Script CGI
Script CGI
Grammaires DTD:
Nom de la grammaire
Validation du fichier xml
Fichier XML:
<xml….
<compta><name> … </name> <organization unit> … </organization unit><office> … </office><phone> … </phone></compta>
</xml>
<xml….
<project><project name> … </project name> <organization> … </organization><organization unit> … </organization unit><project manager> … </project manager></project>
</xml>
Compatabilite
Project
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 14
APIs
DéveloppementICARE
Librairies OpenSource ou Commerciales
Integration dans des produits existantes
API XML API Crypto
ICARE API de BASE(objet certificat d’attribut et sa gestion, communications, etc.)
API Autorité de Certificat
d’Attributs
Interface
API Demandeur / Verificateur
Interface
Logiciel client (browser web…)
Outils de gestion (définition de rôles, des politiques d’acces…)
API Signature
Interface
Logiciel (serveurweb)
API Database
Control d’accès
Logiciel client (browser web…)
SignatureAdministration
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 15
Etat de l’art
X.509 ASN1 XML
Compatibilité avec les Technologies Internet
ICP(PKI) non-indispensable
délégation et autorisation sans identification (SPKI)
XACML Orienté Politique de C. A.
SAML Format d’échange
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 16
Application : Multisignature
signature
Certificat d’attribut•Qui doit signer (Vincent, Marc et Carl)•Dans quel ordre•Politique de signature (accepter un certificat d’habilitation)
Vincent
signature
Vincent
signature
Vincent
Marc
secrétaire
Carl
Carl
secrétaire
Secrétaire
signature
Vincent
Marc
Marc
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 17
MultisignatureVariante XAdES-C + Certificat d’attributs
SignedInfo
General bundle
Object
Attribute Certificate
SignaturePacket
SignedInfo Signature TSP
SignatureInfo
Signature KeyInfo
Certificate and CRLReference
SignedObjects
SignaturePath
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 18
Soutien pour l’évaluation CC
Former / Sensibiliser aux pré-requis sécuritaires CC
Identifier les Profils de Protection
les exigences liées au développement
fournitures et éléments de preuves nécessaires pour une certification
Définir la cible d’évaluation pour le projet ICare
Lister les recommandations pour une évaluation CC
25 O
ctob
re 2
002
- IC
are
– A
telie
r S
écur
ité R
NR
T T
oulo
use
R.Molva - Institut Eurécom
Page 19
Conclusion
Expérimentation PKI et Usages
Introduction par Processus Itératif
R&D sur Certificats d’Attributs et Services Avancés Développement en cours
Niveau comparable aux activités W3C, ETSI
Publications en cours
Précompétitif: Start-up(s)