politique de certification de l'infrastructure de gestion de clés ...

1.4.4 Les porteurs de certificats délivrés par l’IGC/A
Les porteurs de certificats IGC/A : les autorités de certification racines gouvernementales
Une ACR est le porteur des certificats qui lui sont délivrés par l’IGC/A, dans le sens où ces certificats
attestent que la bi-clé cryptographique qu’elle utilise pour signer les certificats qu’elle délivre ellemême
est de confiance, principalement parce que :
la bi-clé est en la possession exclusive de l’ACR dûment identifiée, et le reste grâce aux
bonnes pratiques de certification de l’ACR, vérifiées régulièrement ;
les éléments cryptographiques utilisés par l’ACR sont à l’état de l’art au moment de la
signature du certificat 3 .
Les ACR pouvant être porteuses d’un certificat délivré par l’IGC/A sont les ACR gouvernementales
respectant les règles suivantes :
l’ACR doit être le représentant officiel d’une administration de l’État français ;
l’ACR doit fédérer toutes les AC de l’autorité administrative concernée ; aucune dérogation à
cette règle ne sera faite sans l’accord du haut fonctionnaire de défense et de sécurité (HFD
ou HFDS), ou du fonctionnaire de sécurité des systèmes d’information (FSSI) de l’autorité
administrative, qui est un pré-requis à sa demande de certification par l’IGC/A ;
l’ACR doit disposer d’une bi-clé de signature de certificats d’AC et de listes de certificats
d’autorités révoqués certifiée par l’ACR elle-même (certificat auto-signé) ;
l’ACR doit réaliser annuellement un audit de la sécurité de son IGC ;
les AC subordonnées à l’ACR délivrant des certificats pour les fonctions de sécurité
mentionnées dans le [RGS], doivent être conformes aux règles fixées par ce dernier (cf.
annexes A du [RGS]). Par ailleurs, à partir du 6 mai 2013, ces AC devront être qualifiées
selon la procédure décrite dans le décret [DEC2010-112] ;
l’ACR doit autoriser l’ACR de l’IGC/A à contrôler ou faire contrôler la conformité de ses
pratiques à la présente PC.
1.4.5 Les utilisateurs des certificats de l’IGC/A
Les certificats délivrés par l’IGC/A sont librement utilisables à des fins de vérification de l’origine d’un
certificat d’utilisateur final ou d’AC.
Cas particulier d’utilisateurs de certificats : les éditeurs de produits de communication
Les éditeurs de produits de communications qui souhaitent intégrer les certificats racine de l’IGC/A
sont invités à se reporter à l’ANNEXE 6 : modalités de vérification des certificats de l’IGC/A et
conditions de leur intégration dans les produits de communication de la présente PC.
1.5 Usage des certificats
1.5.1 Domaine d’utilisation applicable
L’IGC/A délivre exclusivement des certificats de signature de certificats et de listes de révocation pour
les ACR définies au §1.4.4.
La présente PC ne s’applique qu’à la certification des ACR gouvernementales.
3 Des dérogations pourront éventuellement être accordées si les conditions d’utilisation des
éléments cryptographiques sont de nature à limiter les risques induits par l’évolution de l’état de l’art
pendant toute la durée de validité du certificat.