Qualités d’authentification

La qualité d’authentification décrit le résultat de l’ensemble des propriétés d’une procédure de connexion. Elle se compose des dimensions suivantes :

Qualité des facteurs de connexion utilisés
Fiabilité de la vérification de l’identité, c’est-à-dire du degré de connaissance de l’identité effective du sujet auquel les facteurs de connexion ont été initialement remis
Solidité du lien entre la dimension 1 et la dimension 2

La qualité d’authentification qui en résulte est toujours déterminée par le maillon le plus faible. La dimension 3 (solidité du lien) n’est pas examinée plus avant ici, car une solidité adéquate du lien est présupposée conformément aux directives TIC de l’administration fédérale.

Il existe différentes directives et différents modèles pour classifier la qualité d’authentification. La directive TIC I050 de l’administration fédérale définit quatre niveaux de garantie (Level of Assurance, LoA). eCH-0170 V2.0.1 utilise son propre modèle comprenant quatre niveaux de confiance ainsi que les sous-modèles Authentification (VSA), Enregistrement (VSR), Gestion (VSS) et Fédération (VSF). La Si001 utilise à l’annexe B une classification distincte à quatre niveaux pour les moyens d’authentification et de preuve d’identité. La Si001 ne doit donc pas être réduite à la qualité technique du facteur de connexion : au niveau « élevé », des exigences techniques s’appliquent aux informations d’authentification ; si le moyen est personnel, l’enregistrement de la personne ou la remise du moyen de preuve doit en outre être effectué sur la base d’une pièce d’identité officielle.

Sur la base de l’I050, les affirmations suivantes peuvent être faites concernant les LoA :

LoA 1

Facteur de connexion : Un facteur de connexion, qui peut être faible, typiquement un mot de passe.
Vérification de l’identité : Aucune
FED-LOGIN : ne prend pas en charge le LoA 1 ; la valeur correspondante sur l’échelle eIAM-QoA serait QoA 20.
AGOV : ne prend pas en charge le LoA 1 ; aucune correspondance dans l’échelle AGOV AGOVaq.

LoA 2

Facteur de connexion : Deux facteurs de connexion, qui peuvent être faibles, par ex. mot de passe + SMS-mTAN.
Vérification de l’identité : Aucune, éventuellement référence à un enregistrement utilisateur existant.
FED-LOGIN : ne prend plus en charge le LoA 2 ; la valeur correspondante sur l’échelle eIAM-QoA serait QoA 30.
AGOV : correspond à AGOVaq 100 et, lorsqu’il existe une référence à la base de données postale vérifiée par envoi, à AGOVaq 200. AGOV utilise également à ces niveaux des facteurs de connexion techniquement forts, dont les propriétés techniques satisfont aux exigences techniques de l’annexe B de la Si001 pour le niveau « élevé ». Avec AGOVaq 100/200, aucun lien personnel fondé sur une pièce d’identité officielle au sens de l’annexe B de la Si001 n’est toutefois encore établi. La seule force technique du facteur de connexion ne correspond donc ni au niveau complet « élevé » de la Si001 pour un moyen personnel ni au LoA 3 de l’I050.

LoA 3

Facteur de connexion : Techniquement fort. Les facteurs de connexion admis par AGOV satisfont aux exigences techniques que l’annexe B de la Si001 impose aux informations d’authentification au niveau « élevé ».
Lien avec la personne / vérification de l’identité : Avec AGOV, à partir d’AGOVaq 300, le lien avec la personne exigé en plus par l’annexe B de la Si001 pour un moyen personnel d’authentification et de preuve d’identité est établi. La personne est vérifiée au moyen d’une pièce d’identité officielle et le résultat de cette vérification est associé au compte AGOV authentifié. AGOV / I050 : tous les niveaux AGOVaq à partir de 300 correspondent, selon la correspondance eIAM, au LoA 3 de l’I050 et donc à eIAM QoA 50.
FED-LOGIN : prend en charge le LoA 3 ; cela correspond à QoA 50 dans eIAM. Le LoA 3 de FED-LOGIN peut déjà être atteint avec l’application FED-Login Access App ou avec une clé FIDO combinée à une identification en ligne (voir bit.ly/smartcardless). IMPORTANT : Kerberos de FED-LOGIN n’atteint pas le LoA 3, alias QoA 50 (dimension 1 et dimension 2 insuffisantes), et est représenté comme QoA 40.
AGOV : Tous les niveaux AGOVaq à partir de 300 correspondent, selon l’I050, au LoA 3, soit QoA 50 dans eIAM.

LoA 4

Si001 « élevé+ » : Le niveau « élevé+ » selon l’annexe B de la Si001 n’est pas une propriété du seul facteur de connexion. Le moyen d’authentification et de preuve d’identité doit satisfaire à toutes les exigences du niveau « élevé » ; en outre, le module matériel et le processus d’enregistrement sous-jacent doivent être reconnus pour une utilisation dans l’administration fédérale.
Vérification de l’identité : Substantielle et certifiée de manière spécifique.
FED-LOGIN : prend en charge le LoA 4, mais sans utilisation d’un Holder of Key ; cela correspond à QoA 60 dans eIAM. Principe : les applications raccordées à eIAM ne doivent jamais imposer QoA 60, mais au maximum QoA 50 (UX).
AGOV : ne prend pas en charge le LoA 4.