eIDAS2.0 est arrivé - Exploiter la puissance de l'EUDI Wallet

Préambule

Le règlement (UE) 2024/1183 du Parlement européen et du Conseil du 11 avril 2024 (1) modifiant le règlement (UE) n° 910/2014 (règlement eIDAS), en ce qui concerne l’établissement du cadre européen relatif à une identité numérique, est entré en vigueur le 20 mai 2024. Cette révision vise à harmoniser le règlement eIDAS original avec le progrès technologique et l’évolution des besoins du marché numérique de l’UE.

Le règlement eIDAS, en application depuis 2014, a introduit un cadre harmonisé pour l'identification électronique et les services de confiance numérique dans toute l'UE, en améliorant la confiance, la sécurité et l'accessibilité des transactions en ligne. Un des objectifs de ce règlement était de créer un système d'identification électronique sécurisée (eID) dans toute l'UE.

Le changement le plus notable et afin d’augmenter la disponibilité des Moyens d’Identification Électronique (MIE) encore davantage, le règlement eIDAS 2.0 introduit un portefeuille européen d'identité numérique connu sous EUDI Wallet pour European Union Digital Identity Wallet, nommé ci-après EUDIW.

L'EUDIW est conçu pour offrir aux citoyens et aux personnes morales, des états membres, une méthode sûre et conviviale pour stocker, gérer, authentifier et partager en toute sécurité leurs identités, informations d’identification et attributs selon les cas d’usages. Il permet notamment aux utilisateurs de garder un contrôle total et une souveraineté sur leurs données personnelles.

L’acceptation de la révision par la Commission Européenne permet au processus eIDAS de progresser vers sa mise en œuvre selon le calendrier indicatif proposé (figure 1). Ce dernier mentionne les dates clés de cette mise en œuvre :

• 21 novembre 2024 au plus tard : publication des actes d'exécution relatifs à l’EUDIW et aux attestations électroniques d'attributs qualifiées.
• 21 mai 2025 au plus tard : publication des actes d'exécution relatifs aux services de confiance qualifiés.
• 21 mai 2026 au plus tard : fin de la période de transition pour les prestataires de services de confiance qualifiés au titre du règlement eIDAS1.
• 21 novembre 2026 au plus tard : 1) fourniture par chaque Etat membre d'au moins un Wallet européen d’Identité Numérique, 2) possibilité de vérification des attributs auprès des sources authentiques du secteur public pour les prestataires de services de confiance qualifiés.
• 21 novembre 2027 au plus tard : acceptation obligatoire de l’EUDIW par les corporates exigeant une authentification forte des usagers.

Bien que j’avais déjà évoqué certaines rubriques de la présente publication au niveau de mes précédentes productions, et qui sont, bien évidemment, connues des experts de la confiance numérique, je me permets néanmoins de les rappeler pour apporter de la clarté et dissiper certaines confusions et/ou incompréhensions.

Comment se présente l’EUDIW ?

L’EUDIW est une représentation numérique personnelle d'un portefeuille physique qui se présente sous forme d'application mobile. L’EUDIW, offrirait aux citoyens et aux résidents de l’UE un moyen de stocker et gérer leurs identités numériques ainsi que leurs diverses attestations électroniques d’attributs (qualifiées, non qualifiées et provenant d’une source authentique).

Comme le propose la figure 2, en tant que portefeuille électronique d’identité numérique, l’EUDIW intègre des fonctionnalités permettant aux utilisateurs de présenter et partager leur PID (Personnel Identity Data), leurs informations personnelles et d’accéder à des services sensibles de façon proportionnée et dans le respect des Directives de protection de la vie Privée (RGPD). Ces usages incluent aussi la capacité de s’authentifier avec un niveau de confiance élevé sur des services en ligne, de réaliser des transactions électroniques en présentant et partageant les EAA (Electronic Attestation Attributes), QEAA (Qualified Electronic Attestation of Attributes) stockées dans l’EUDIW.

L’EUDIW comporte plusieurs composants :

 Composants d’interfaces :

• Une interface utilisateur : cette interface permet aux citoyens de gérer leurs identités numériques, leurs données personnelles, le partage de celles-ci ou de certaines informations issues de celle-ci (exemple majorité du citoyen) et leurs signatures électroniques.
• Un module d’interface pour gérer l’enrôlement des PID, des EAA, QEAA : ce module est par exemple basé sur le protocole OpenID4VCI de l’association OpenID Fondation. (VC pour Verifiable Credential).
• Un module d’interface pour présenter/transférer les PID, des EAA, QEAA aux "Relying Parties" en ligne : ce module est par exemple basé sur le protocole OpenID4VP de l’association OpenID Fondation. (VP pour Verifiable Presentation).
• Un module d’interface pour demander la signature électronique qualifié (QES) d’un document, d’une transaction, d’un challenge ou une donnée à stocker dans l’EUDIW : ce module utilise le composant fonctionnel MIE au niveau élevé pour garantir l’authentification forte au serveur de signature (QES) sur les spécifications techniques.
• Un module d’interface entre le WSCD et le WSCA : interface permettant d’assurer la communication entre le WSCA (Wallet Secure Cryptographic Application), qui gère les fonctionnalités cryptographiques, et le WSCD (Wallet Secure Cryptographic Device), qui exécute ces opérations. À noter pour des raisons de simplification, le module d’interface entre le WSCD et le WSCA n’apparait pas au niveau de la figure 2.
• Un module d’interface entre les (Q)EAA et les sources authentiques : interface utilisée pour échanger ou vérifier des données entre les sources authentiques et les fournisseurs d’attestations.

Composants fonctionnels :

• Un module de gestion des PID : ce module stocke les informations d’identité du citoyen (PID), telles que son nom, sa date de naissance et sa nationalité. En complément des PID, ce module peut également stocker des données personnelles supplémentaires/optionnelles telles que son adresse, n° de téléphone, n° de sécurité sociale, etc. Ce module doit pouvoir recevoir des PID de personnes physiques, de personnes physiques représentant une personne physique, de personnes physiques représentant une personne morale, de personnes morales.
• Un module d’authentification forte au niveau de garantie élevé : ce module utilise le module de gestion des PID et le protocole d’authentification du protocole OpenID4VP défini par l’association "OpenID Foundation".
• Un module de gestion des PID, EAA, EAA, QEAA : ce module stocke les PID, EAA, QEAA et permet de gérer la notion de politique intégrée de divulgation associée à certains types de PID, EAA, QEAA. Ces modules de gestion doivent intégrer les modules de minimisation ou preuve à divulgation nulle et la recombinaison de données.
• Un module de gestion des documents, des transactions des informations issues de données ou des données elles-mêmes à faire signer par le module de signature électronique qualifiée (QES). Ce module doit permettre de présenter les différents éléments à faire signer au niveau qualifié par le serveur de signature (QES Provider) distant.

Composants cryptographiques :

• Un module d’exécution des éléments cryptographiques : Le WSCA permet de générer, de manipuler et de sauvegarder les clés et les biens cryptographiques.
• Un module de stockage des éléments cryptographiques : Le WSCD permet de créer, de stocker et/ou de gérer les clés et les données cryptographiques.
• Le module de signature électronique qualifiée (QES) : Ce module permet aux citoyens de signer électroniquement des documents, des transactions des informations issues de données ou des données elles-mêmes, garantissant l’authenticité et l’intégrité de ces dernières.

En France, "France Identité" est l’EUDIW émis par l’État Français via "France Titres". Comme le propose la figure 3, le Wallet régalien permettrait à un citoyen français de gérer et de stocker ses données d'identité et ses documents officiels émis par un Tiers de Confiance. Il peut être France Titre (pour le titre d’identité, le permis et le certificat d’immatriculation), la DGFIP (pour l’Avis d’Imposition sur le Revenu, qui sert aussi comme justificatif de domicile), le GIE SESAM-Vital (pour l’attestation d’assurance maladie), Ministère de l’Éducation Nationale (pour un diplôme d’étude), etc. 

Pour pouvoir bénéficier du potentiel qu’offre l’EUDIW/France Identité et disposer d’une identité numérique de niveau élevé, le citoyen français et comme le propose la figure 4 : 1) doit disposer d’un titre biométrique "CNIe", 2) être majeur, 3) en possession d'un smartphone compatible avec le NFC (minimum iOS 16 et Android 10) et 4) faire certifier son identité numérique en face à face (auprès de sa mairie). Une fois l’identité numérique certifiée, le citoyen peut effectuer, en ligne, toutes ses démarches administratives. Récemment lors des élections européennes et législatives, l’établissement des procurations de votes en est un cas d’usage concret.

La technologie NFC est utilisée pour lire les données confinées dans les différents "DG - Data Group" de la puce de la CNIe et en particulier le "DG3" porteur des empreintes digitales. Ces dernières sont lues pour un rapprochement automatisé avec celles enregistrées au niveau du fichier TES (Titres Électroniques Sécurisés) lors de la certification de niveau élevé de l’identité numérique.

Bon à savoir : Une fois la certification réalisée en mairie, l'identité numérique certifiée dure au maximum 5 ans. En cas de changement de mobile ou de perte de ce dernier, la certification d’identité est conservée. Cependant, si la CNIe est perdue, cela gèle le process car il y a une requête systématique de la base "Docverif" et ce service permet de mettre un terme à l’identité numérique.

Quelles sont les fonctionnalités offertes par l’EUDW aux citoyens ?

Ci-après quelques fonctionnalités possibles avec l'EUDIW :

1. Prouver son droit de conduire : demande d’une attestation électronique d’attributs (QEAA)

La figure 5, propose le cas d’un citoyen des 26 états membres demandant à recevoir au niveau de son EUDIW, une attestation électronique d’attributs (QEAA) permettant de prouver son droit à conduire aux Relying Parties (parties utilisatrices), qui sont généralement des vérificateurs d’attributs, de type : sociétés d’intérim, loueurs de voitures, compagnie de Taxi lors d’une embauche de chauffeur, etc.

Comme le propose cette même figure, pour vérifier son identité, le citoyen doit utiliser son MIE au niveau élevé, de l’EUDIW et s’authentifie auprès de l’organisation en charge d’émettre son attestation électronique d’attributs permettant de prouver aux Relying Parties son droit à conduire. En France cet organisme n’est que France Titres.

Une fois authentifié, l’organisation en charge d’émettre son attestation (source authentique) va transmettre, via le protocole OpenID4VCI, la QEAA au citoyen sur son EUDIW après avoir vérifié que ce dernier est toujours valide (que l’instance de l’EUDIW n’a pas été révoquée). Le citoyen sera notifié que la QEAA permettant de prouver aux Relying Parties son droit à conduire a bien été ajouté à son EUDIW.

La figure 6 illustre la présentation du droit à conduire, aux Autorités (Police nationale ou gendarmerie Nationale) lors d’un contrôle routier. Ce contrôle est opéré grâce à un dialogue App to APP entre le Wallet du citoyen "France Identité" et le Wallet des Autorités compétentes.

2. Signer un contrat

La figure 7 traduit le processus de signature d’un document contractuel entre un fournisseur de services (Relying Party) et un usager. La Relying Party s’authentifie à son EUDIW puis transmet un document contractuel à signer à l’EUDIW de l’usager signataire. Suite à son authentification à son EUDIW, l’usager peut visualiser le document à signer.

Avec le consentement de l’usager, le fournisseur de la QES signe le document et le renvoie à l’instance de l’EUDIW de l’usager signataire pour un éventuel stockage. Une copie signée du même document est envoyée au demandeur (Relying Party). Cette transaction est listée dans les traces d’audits de l’EUDIW.

Des perspectives prometteuses et un univers numérique européen plus sûr

L’EUDIW permet des interactions avec diverses Relying Parties, comme les autorités gouvernementales, les institutions financières, ou les prestataires de services. Ces interactions peuvent inclure la vérification de l’identité, la signature électronique, la réalisation de transactions, ou l’accès à des services spécifiques, nécessitant le partage d’information contenues dans le Wallet etc. La figure 8 propose aux lecteurs une vue simplifié de ce que peut une entrée en relation bancaire à partir d’un EUDIW.

Les fonctionnalités proposées par l’EUDIW permettent d’envisager différents cas d’usages de la vie des citoyens des 26 états membres. À cet effet, des projets pilotes à grande échelle - connus sous la dénomination LSPs (Large Scale Pilotes) - testent les spécifications du portefeuille d'identité numérique de l'UE dans un large éventail de cas d'usage, avant son déploiement dans les États membres. Les projets pilotes s'appuient sur les spécifications détaillées de la V1.4 de l'ARF (Architectures Référence Framework) (2).

Chaque projet pilote teste le portefeuille d'identité numérique de l'UE dans une variété de scénarios quotidiens, pertinents pour la vie quotidienne des Européens. Comme le propose la figure 1 de la présente publication, les projets pilotes se dérouleront jusqu'en 2025.

Les résultats de leurs tests sont partagés pour améliorer encore la sécurité, l’interopérabilité et la conception du portefeuille d’identité numérique de l’UE. 360 entreprises privées et autorités publiques de 26 États membres, ainsi que de Norvège, d'Islande et d'Ukraine, participent aux projets pilotes. Chacun d'entre eux fonctionne comme un consortium (figure 9) réunissant l'expertise des secteurs public et privé de toute l'UE et est financé par des subventions de la Commission européenne.

Conclusions

L'EUDIW présente divers défis qui doivent être relevés afin d’assurer son adoption et son utilisation réussies par les citoyens. L’un des défis les plus importants est de fournir une expérience utilisateur simple et intuitive qui est conçue en tenant compte des besoins de l’utilisateur et accorde une attention particulière aux aspects d’accessibilité. Les citoyens doivent être en mesure de naviguer facilement dans le système et d’accéder aux services dont ils ont besoin sans rencontrer d’obstacles ou de difficultés susceptibles de les décourager de l’utiliser.

Un autre défi crucial consiste à garantir un niveau élevé de sécurité et de fiabilité de la composante technologique. L'EUDIW doit proposer des fonctionnalités de sécurité robustes qui empêchent l’accès non autorisé et protègent les informations personnelles de l’utilisateur. En outre, il doit être en mesure de fournir toutes les garanties nécessaires pour assurer la vie privée des citoyens tout en fournissant un système intuitif de suivi et de contrôle des informations qui seront partagées avec des tiers.

Enfin, le portefeuille d’identité numérique doit fournir un système fiable de gestion de l’information des mineurs et des membres de la famille pour lesquels il existe une délégation. Cela implique de mettre en place des mécanismes solides de vérification de l’identité qui empêchent l’accès non autorisé et de veiller à ce que l’accès ne soit accordé qu’aux personnes autorisées.

Il sera essentiel de relever ces défis pour réussir la mise en œuvre et l’adoption des portefeuilles d’identité numérique. En fournissant un système convivial et sécurisé qui répond aux besoins et aux attentes des citoyens, l'EUDIW aurait le potentiel de révolutionner la façon dont nous interagissons avec les services gouvernementaux, les institutions financières et d’autres organisations qui nécessitent une vérification d’identité.