Transformation du processus en vue de la suppression des jetons Vasco dans le CH-LOGIN

Variantes concernant l'abolition des jetons Vasco au niveau fédéral.

1. L’utilisateur utilise des facteurs d’authentification renforcés par cryptographie, appelés aussi credentials.
   
2. L’identité réelle de l’utilisateur est vérifiée de manière substantielle, sur la base d’un document d’identité officiel avec photo et du visage de l’utilisateur.
   
3. Il faut que le lien entre cette vérification substantielle de l’identité et le facteur de connexion cryptographiquement sécurisé soit fiable, c’est-à-dire que le facteur de connexion ait été intégré au processus de vérification d’identité.
   

Les procédés de connexion de l’administration fédérale pouvant atteindre le niveau LoA3 sont :

1. FED-LOGIN pour les collaborateurs et affiliés,
   
2. AGOV pour les non-collaborateurs (en remplacement de CH-LOGIN),
   
3. et les connexions via le serveur dit « A3 ».

Les jetons Vasco – aussi appelés One Time Passwords (OTP) – vont prochainement être abandonnés dans l’administration fédérale, tout comme le serveur A3.

Il est expliqué comment fonctionnent les procédures de vérification d'identité associées aux jetons Vasco - également appelées clarification d'identité - et comment elles peuvent être transférées vers d'autres procédures de vérification d'identité sans recours aux jetons Vasco.

Les jetons Vasco sont de petits dispositifs alimentés par pile, de la taille d’un briquet, affichant régulièrement un nouveau code à l’écran. Ce code est un mot de passe à usage unique (OTP), utilisé comme facteur de connexion.

Le processus de vérification d’identité autour des jetons Vasco repose sur la remise physique du jeton à une personne, dont l’identité est vérifiée par un contrôle de pièce d’identité officielle avec photo et une comparaison visuelle. Ce processus peut également être délégué à la Poste suisse.

Les jetons Vasco appartiennent au propriétaire de l’application, en l’occurrence l’administration fédérale, et sont remis à l’utilisateur final pour usage. Lorsque les jetons Vasco seront supprimés, ce processus de remise et de contrôle ne sera plus possible, car les utilisateurs devront désormais utiliser leurs propres facteurs de connexion, qu’il s’agisse de clés FIDO ou de téléphones mobiles avec une application d’accès - à ne pas confondre avec les applications d’authentification comme celles de Google ou Microsoft - ou encore de téléphones équipés de l’e-ID suisse.

Résumons le processus de vérification d’identité basé sur les jetons Vasco, qui est appelé à être supprimé. Dans cet exemple, nous partons d’un traitement physique sur place, également connu sous le nom de processus RIO. RIO signifie Registration Identification Officer).

L’utilisateur final se rend auprès d’un Registration Identification Officer, qui vérifie sa pièce d’identité avec photo, compare son visage, enregistre ses données, remet un jeton Vasco lié à un compte de connexion, et attribue les autorisations nécessaires. Des variantes existent, comme la délégation du processus à la Poste suisse, qui donne les mêmes résultats.

Les nouveaux processus d’identification sans jeton Vasco sont les suivants :

Cas de figure a) : l'utilisateur final à vérifier n'a pas encore de compte AGOV. Dans ce cas, il en ouvre un directement auprès du RIO. Dans l'idéal, le RIO fournit un jeton FIDO pour que l'utilisateur final ne doive pas en apporter un ou utiliser son téléphone portable comme jeton (l'utilisateur final peut par la suite toujours enregistrer son téléphone portable comme jeton supplémentaire dans AGOV). Le compte AGOV ainsi créé n'est pas encore vérifié. Le RIO vérifie donc ensuite les documents d'identité de l'utilisateur final, les scanne et les télécharge dans l'application RIO « AGOV counter ». Le compte AGOV correspondant est maintenant vérifié, c'est-à-dire clarifié de manière substantielle, désigné comme AGOVaq300 ou eIAM QoA50 ou eCH0170 LOA3 et le RIO peut, comme auparavant, attribuer les autorisations d'application (en dehors d'AGOV).

Cas de figure b) : L'utilisateur final dispose déjà d'un compte AGOV. C'est pourquoi le processus RIO est déclenché dans AGOV (ce qu'on appelle la vérification de l'identité au guichet) et les activités RIO se poursuivent comme dans le cas de figure a).

Dans cette variante « demande d'accès », on se fie aux données d'identité d'AGOV, c'est-à-dire qu'il doit exister une identité AGOV clarifiée de manière substantielle au moins au niveau AGOVaq300 - ce qui doit être imposé par l'application cible. Bien entendu, en plus de l'identification vidéo et de la BmID de la Poste suisse, l'e-ID suisse via AGOV peut également être utilisée à cette fin. Lors du premier accès à l'application cible, l'utilisateur final voit un formulaire de demande en ligne qui est transmis, avec les données d'identité vérifiées, à la personne qui délivre les autorisations - par exemple le Registration Identification Officer. Une copie de la pièce d'identité n'est pas transmise à cette occasion, la copie de la pièce d'identité ayant été préalablement déposée auprès de la Chancellerie Fédérale par AGOVaq300 et pouvant y être délivrée sur ordre d'un ministère public suisse. Lors de l'utilisation de l'e-ID via AGOV, il n'y a pas de référence à une copie de la pièce d'identité auprès de la Chancellerie Fédérale, mais une référence aux enregistrements de la pièce d'identité auprès de Fedpol.

Pour les institutions souhaitant rester au plus proche de leur processus actuel basé sur Vasco et RIO, les variantes 1 (« RIO classique ») et 2 (« RIO Federal Proof ») sont les plus adaptées.