Scurisation du commerce lectronique

1

• Sécurisation du commerce électronique
• Présentée à lInstitut des Affaires Électroniques

Denis Page 17 octobre 2001
2
Plan de la présentation

• Le commerce électronique
• Les aspects techniques
• Le certificat et lautorité de certification
• La certification croisée
• Les applications
• Le cadre légal
• Démonstration

3
Le commerce électronique

Les services dinforoute

• Workflow

Courriel
Infrastructure à clés publiques
WEB
Répertoire électronique
RÉSEAUX
Intranet
Internet
4
Le commerce électronique
La sécurisation

• Confidentialité
• Contrôle daccès

Le chiffrement

• Identification
• Intégrité
• Irrévocabilité

La signature électronique
Un niveau de sécurisation approprié à la valeur
5
Les aspects techniques

• La cryptographie
• La cryptographie au service de la sécurisation
  des échanges électroniques
• La cryptographie revient à appliquer une fonction
  mathématique sur un document pour fournir un ou
  plusieurs services de sécurité
• Les algorithmes utilisés
• symétriques
• asymétriques

6
Les aspects techniques
Chiffrement symétrique
7
Les aspects techniques

• Clés asymétriques
• Une paire de clés
• clé privée
• clé publique
• Extrêmement difficile de déduire une clé à partir
  de lautre
• Un document traité avec une clé ne peut être
  déchiffré quavec lautre

8
Les aspects techniques
Répertoire électronique
9
Les aspects techniques - chiffrement
Répertoire électronique
10
Les aspects techniques - signature électronique
Répertoire électronique
Fp(T)liawgoi9ewehi88488848
Fp'(T)liawgoi9ewehi88488848

Fp''C-1(PuA,S)liawgoi9ewehi88488848
11
Le certificat et lautorité de certification
Le certificat
12
Le certificat et lautorité de certification
13
Le certificat et lautorité de certification
Rôle de lautorité de certification

• Identifier la personne ou lentité
• Émettre les certificats et les diffuser
• Archiver les certificats
• Révoquer les certificats
• Assurer la gestion opérationnelle de
  linfrastructure technologique

14
Le certificat et lautorité de certification
La documentation de lAC
Politiques
Disponibles aux abonnés
Procédures
15
Le cadre documentaire de lICP
Le certificat et lautorité de certification
16
Le modèle fonctionnel de lICPG
Le certificat et lautorité de certification
17
Le certificat et lautorité de certification

• La documentation (la politique)
• Les politiques de certificat contiennent
  essentiellement les éléments suivants
• Identification et authentification
• Exigences opérationnelles
• Sécurité physique, administrative et du personnel
• Sécurité technique
• Liste de certificats révoqués

18
La certification croisée
19
La certification croisée
La chaîne de confiance
20
Les applications - sécurisation des portables
21
Les applications - réseau privé virtuel (VPN)
22
Les applications - sécurisation du courriel

• Installation de modules complémentaires aux
  suites bureautiques et aux logiciels de courrier
  électronique

23
Les applications - connexion SSL
Serveur WEB
Fureteur WEB
!
1- Le fureteur demande une connexion sécurisée
(https//)
2- Le serveur retourne son certificat
3- Le fureteur vérifie la validité du certificat
4- Le fureteur génère une clé symétrique, la
chiffre avec la clé contenue dans le certificat
et lexpédie au serveur
5- Les deux équipements chiffrent les données à
laide de la clé symétrique échangée
24
Cadre légal
Le code civil

• Larticle 2728 du code civil du Québec définit
  la signature de la manière suivante  La
  signature consiste dans l'apposition qu'une
  personne fait sur un acte de son nom ou d'une
  marque qui lui est personnelle et qu'elle utilise
  de façon courante, pour manifester son
  consentement .

25
Cadre légal
La Commission daccès à linformation

• La Commission daccès à linformation fait 19
  recommandations concernant le projet dICP au
  gouvernement dont
• Évaluer la pertinence démettre des certificats
  de fonction au lieu dindividu
• Éviter une diffusion inappropriée du répertoire
  ICP
• Ne faire aucune analyse de trafic sur lICP

26
Cadre légal
Le projet de loi 161

• Le projet de loi 161 Loi concernant le cadre
  juridique des technologies de linformation
  sanctionnée le 21 juin 2001
• Notion de document électronique
• Les documents technologiques peuvent servir aux
  mêmes fins que les documents sur support papier
• Un document non sécurisé peut servir de
  commencement de preuve
• Un document technologique peut servir doriginal

27

Merci