DÉCISION 2008/616/JAI DU CONSEIL du 23 juin 2008 ... - EUR-Lex

L 210/28 FR Journal officiel de l'Union européenne 6.8.2008
5.3.1. Niveau des données
Les données relatives aux profils ADN fournies par chaque État membre doivent être préparées conformément à
une norme commune de protection des données, de sorte qu'un État membre requérant reçoive une réponse
indiquant essentiellement l'existence ou l'absence d'une concordance, ainsi qu'un numéro d'identification en cas
de concordance, sans aucune information à caractère personnel. Les recherches complémentaires, après
notification d'une concordance, seront menées au niveau bilatéral, conformément aux instruments nationaux
applicables aux sites de chacun des États membres en matière juridique et organisationnelle.
5.3.2. Niveau de la communication
Avant d'être transmis vers les sites des autres États membres, les messages contenant des informations sur les
profils ADN (demandes et réponses) seront cryptés au moyen d'un système moderne conforme aux standards
ouverts, par exemple le protocole S/MIME.
5.3.3. Niveau de la transmission
Tous les messages cryptés contenant des informations relatives à des profils ADN seront envoyés vers les sites des
autres États membres via un système de réseau privé virtuel, administré par un fournisseur de réseau de confiance
au niveau international. Les accès sécurisés à ce réseau privé relèveront de la responsabilité nationale. Ce système
de réseau privé virtuel n'est pas relié à l'internet.
5.4. Protocoles et normes à mettre en œuvre pour le cryptage: S/MIME et mécanismes connexes
Le standard ouvert S/MIME, qui étend les fonctionnalités du protocole SMTP, norme de facto pour la messagerie
électronique, sera déployé pour crypter les messages contenant des informations relatives à des profils ADN. Le
protocole S/MIME (v. 3), qui prévoit des confirmations signées, des étiquettes de sécurité et des listes de diffusion
sécurisées, est organisé en couches selon la spécification de l'Internet Engineering Task Force (IETF) pour la
protection cryptographique des messages, à savoir la Cryptographic Message Syntax (CMS). Il peut être utilisé pour
signer, résumer, authentifier ou crypter numériquement les données numériques sous toutes leurs formes.
Le certificat sous-jacent utilisé par le mécanisme S/MIME doit être conforme à la norme X.509. Pour garantir
l'uniformité des normes et des procédures avec les autres applications déployées dans le cadre du traité de Prüm,
les règles de traitement des opérations de cryptage S/MIME ou à appliquer par les diverses plates-formes du
commerce sont les suivantes:
— la séquence des opérations est: d'abord cryptage, puis signature,
— on appliquera les algorithmes de cryptage AES (Advanced Encryption Standard) avec une clé de 256 bits, et
RSA (Rivest Shamir Adleman) avec une clé de 1 024 bits, respectivement aux cryptages symétriques et
asymétriques,
— la fonction de hachage cryptographique SHA-1 sera appliquée.
La fonctionnalité S/MIME est intégrée dans la grande majorité des logiciels modernes de messagerie électronique,
notamment Outlook, Mozilla Mail et Netscape Communicator 4.x, et est capable d'interopérer avec tous les
principaux logiciels de messagerie.
Le protocole S/MIME pouvant être facilement intégré dans les infrastructures informatiques nationales, dans tous
les sites des États membres, il a été choisi comme mécanisme viable de mise en œuvre de la sécurité au niveau de
la communication. Pour valider cette approche d'une façon plus efficace et réduire les coûts, l'interface de
programmation (API) JavaMail, qui est un standard ouvert, est retenue pour le prototypage de l'échange des
données ADN. L'API JavaMail prévoit un processus simple de cryptage et de décryptage des courriels, grâce aux
normes S/MIME et/ou OpenPGP. Le but est de disposer d'une interface de programmation unique et d'utilisation
simple pour les clients de messagerie avec lesquels on souhaite envoyer et recevoir des messages cryptés avec les
deux méthodes les plus utilisées. C'est pourquoi toute implémentation moderne de l'API JavaMail suffira pour
satisfaire aux exigences visées par la décision 2008/615/JAI, par exemple, l'interface JCE (Java Cryptographic
Extension) de BouncyCastle, qui sera utilisée pour la mise en œuvre du protocole S/MIME aux fins du prototypage
de l'échange de données ADN entre l'ensemble des États membres.