Rapport sur les résultats

planation in the second paragraph should be aligned with ISO 29115. Ceci a son importance pour l’acceptation du mTAN. Demande : use the term "authentication factor". La Poste écrit à propos du ch. 4.2, OE.User Security Awareness: This paragraph contains references to smart card registration processes. Faute de modification appropriée, l’usage du mTAN ne sera pas possible. La Poste demande que l’on reprenne les définitions de la norme ISO 29115, chap. 3.3. HIN signale à propos du ch. 4.3.1 que la colonne « OE. SecureAreas and Equipment » n’est associée à aucune ligne. La même remarque vaut pour la ligne « A.Physical ». Ce point doit être corrigé ou complété.

5 Security Requirements

À propos du ch. 5.2.12, FCS_COP.1(1), La Poste écrit : Elliptic Curve keys are way smaller than RSA/DH/EG keys with comparable security¹⁷⁰. Requiring an elliptic curve keys to be 2k in size makes no sense. Faute de modification appropriée, la sécurité va en souffrir. L’erreur se perpétuera automatiquement par le jeu des références. La Poste demande de ne pas définir d’algorithmes, mais de référencer les recommandations du BSI ou du NIST et ajoute : The referenced standard FIPS PUB 180-3 was superseded by FIPS PUB 180-4 in March 2012. Elle se réfère ici aux standards actuels¹⁷¹.

6 Appendix

OFAC fait savoir à propos du SAML au ch. 6.4 que cette restriction technologique est inacceptable. Le SAML n’est ni universel, ni immortel. Le fonctionnement des NIP et des jetons d’identification doit être décrit en termes d’exigences de principe et non de référence trop précise, trop limitative à des technologies somme toute éphémères. SCH signale que les passages du présent document traitant de l’authentification font exclusivement référence au protocole SAML. Or, il existe d’autres protocoles bien établis tels que OpenID Connect, basé sur OAuth 2.0. L’interopérabilité des MID doit se restreindre aux formats des données d’identification des personnes. En outre, les protocoles entre Relying Party et NIP, ainsi que les procédures d’authentification, doivent être réglés par le marché. SCH demande par conséquent qu’en sus de la spécification SAML, on établisse également une spécification OpenID Connect/OAuth 2.0. Les ordonnances/annexes devraient en outre être aménagées de manière à pouvoir rajouter ultérieurement d’autres protocoles. Sa prise de position inclut en outre la proposition suivante : 6.5 OpenID Connect/OATH 2.0 Specification; Note: The specification will be drafted during or subsequently to appraisal.