Projet (Annexe)

Annexe du règlement technique de la Chancellerie fédérale du ... concernant le vote électronique (RS ...)

D4.E0 (ad art. 4, al. 5) Les composants de contrôle doivent si possible se distinguer les uns des

autres, mais aussi être gérés indépendamment les uns des autres, l’objectif étant de faire en sorte qu’une personne qui réussirait à accéder illictement à un composant de contrôle ne dispose pas, dans toute la mesure du possible, d’un avantage si elle tente d’accéder à d’autres composants sans qu’on s’en aperçoive (mise en place de « trustees »; voir ch. D4.B0). Cette façon de procéder permet de continuer d’assurer la fiabilité d’un groupe de composants de contrôle. Pour ce faire, il faut prévoir au moins les mesures suivantes:

− la gestion et la surveillance des composants de contrôle doivent être confiées à plusieurs personnes.

− le matériel informatique et les systèmes de surveillance des composants de contrôle doivent être distincts les uns des autres.

− les composants de contrôle doivent être raccordés à plusieurs réseaux.

− les composants de contrôle ne doivent être accessibles, physiquement et

logiquement, qu’aux personnes chargées de la gestion et de la surveillance d’un composant de contrôle spécifique. Les tentatives d’accès par les responsables d’autres composants de contrôle doivent être identifées et signalées au

responsable des composants de contrôle en question.

D4.F0 (ad art. 4, al. 5) Les composants de contrôle doivent exécuter exclusivement les

opérations prévues. Ils doivent être conçus pour identifier les accès illicites et pour donner l’alerte aux personnes responsables. Ces dernières doivent prévoir des mesures de surveillance externes comme la surveillance du trafic sur le réseau et l’établissement des procès-verbaux relatifs à ce trafic selon une méthode résistant aux manipulations, ou comme la surveillance physique à l’aide de caméras placées sous leur contrôle. Les personnes responsables doivent être considérées comme particulièrement fiables et dignes de confiance.

D4.I0 (ad art. 4, al. 5) Il faut recourir, par groupe, à au moins quatre composants de contrôle

dotés de systèmes d’exploitation distincts. Si les composants de contrôle sont des

appareils qui ont été conçus et vérifiés spécifiquement pour l’exécution sécurisée

d’opérations cryptographiques (module matériel de sécurité [HSM]), il peut y avoir un groupe de deux composants de contrôle issus de fabricants distincts. Les deux HSM peuvent utiliser le même système d’exploitation.

D4.J0 (ad art. 4, al. 5) Un HSM doit disposer d’un certificat fiable attestant que les éléments

secrets sont inaccessibles et que le HSM enregistre chaque utilisation des éléments secrets de telle sorte que la personne responsable puisse identifier toute utilisation abusive. Le certificat doit correspondre, par analogie, au moins au degré EAL4 des Critères communs (Common Criteria [CC]) ou au niveau 3 de la norme FIPS 140-2. Il est permis de compléter un HSM par un logiciel qui fonctionne dans un périmètre protégé. Dans ce cas, le certificat doit aussi porter sur la fiabilité du périmètre protégé. Il s’agit de vérifier le logiciel, mais aussi de s’assurer qu’il a été installé correctement.