2016-10-13 JNI - "IGC-Santé et évolution carte CPS"

IGC-Santé et évolution carte CPS
Journée nationale des industriels, 13 octobre 2016

IGC-Santé et évolution carte CPS

3
1. Les IGC-CPS existantes
2. L’IGC-Santé et ses impacts
3. Plannings de migration
4. Evolutions annexes de la carte CPS
Sommaire

Rappels : IGC CPS-2ter
Certificats embarqués sur cartes CPx
Certificats émis par l’IGC-CPS2ter (Classes 0 à 3)
• Ils sont embarqués dans les cartes de la famille CPS
• Les porteurs finaux sont porteurs de :
 Cartes CPS : Professionnels de Santé (professions réglementées)
 Cartes CPF : Professionnels de Santé en Formation
 Cartes CDE : Directeurs (non PS) d’Établissement de Santé
 Cartes CPE : Personnels salariés de structures libérales ou d’Établissements de Santé
 Cartes CDA : Directeurs de structures autorisées
 Cartes CPA : Personnels de structures autorisées
• Fonctions assurées par les certificats : Identification, Authentification et Signature
Porteurs de
Cartes CPS
AC Racine
STRUCTURE
ACI
Classe-1
ACI
Classe-2
ACI
Classe-3
ACI
Classe-0
AC Racine
ANONYME
AC Racine
PROFESSIONNEL
CPE de Service CPS / CPF CDE / CDA CPE / CPA
Sign
Auth
Sign
Auth
Sign
Auth
Sign
Auth
Directeur

Rappels : IGC CPS-2bis
Certificats logiciels
Les certificats émis par l’IGC-CPS2bis (Classes 4 à 6)
• Ils sont logiciels
• Les utilisateurs finaux et les fonctions assurées sont :
 Serveurs et clients SSL exploités par des structures, pour des fonctions Authentification client et serveur
 Modules S/MIME exploités par des structure, pour des fonctions S/MIME (Signature et Chiffrement)
 Personnes Physiques porteurs de cartes CPx, pour des fonctions S/MIME (Chiffrement uniquement)
6

Pourquoi une nouvelle IGC ?
Plusieurs besoins d’évolution recensés :
 L’IGC-CPS2bis et l’IGC-CPS2ter expirent fin 2020.
Compte-tenu de la durée de validité des certificats, ces IGCs doivent arrêter d’émettre avant
fin 2017.
 Mise à niveau sur les plans techniques et sécuritaires.
Les IGCs existantes ne sont pas conformes à l’état de l’art en ce qui concerne :
• les standards internationaux de gestion des identités et des signatures/cachets électroniques.
• Les mécanismes cryptographiques utilisés (taille de clés, algorithmes utilisés, …)
 Modernisation des services de demande et de gestion des certificats.
 Elargissement de l’offre de produits de certification.
Mise en conformité de la gamme de Produits de Certification pour Personnes Morales et
Personnes Physiques avec la PGSSI-S.
Proposer une plus grande variété d’usages s’appuyant sur les certificats logiciels.
7

8
L’IGC-Santé et ses impacts

IGC-Santé : Cryptographie utilisée
Caractéristiques cryptographiques de l’IGC-Santé :
9
IGC
Type de certificat IGC CPS2bis IGC CPS2ter IGC Santé
Certificat Racine
(ACR)
RSA 2.048 bits
SHA-1
RSA 2.048 bits
SHA-1
RSA 4.096 bits
SHA-2
Certificat d’Autorité
Intermédiaire (ACI)
RSA 2.048 bits
SHA-1
RSA 2.048 bits
SHA-1
RSA 4.096 bits
SHA-2
Certificats utilisateur RSA 1.024 bits
SHA-1
Signature
RSA 2.048 bits
SHA-1
Authentification
RSA 1.024 bits
SHA-1
RSA 2.048 bits
SHA-2
Cryptographie IGC-Santé conforme aux référentiels applicables
notamment Annexe B1 du RGS v2

IGC-Santé : Architecture
Domaine
FORTSTANDARDELEMENTAIRE
PERSONNES
Le porteur est une personne physique.
Les certificats peuvent être embarqués
dans des cartes CPx ou être logiciels.
Gamme
ORGANISATION
Le porteur est une structure
Les certificats sont logiciels
Certificat logiciel
Carte CPx
L’architecture de l’IGC-Santé repose sur :
• 2 Domaines en fonction du type de porteur de certificat
• 3 Gammes correspondant à des niveaux de confiance
10

IGC-Santé : La hiérarchie de certificats d’Autorité de Certification
La hiérarchie d’AC découle de l’architecture logique Domaine / Gamme
11
Usages :
- Authentification
- Signature
- Chiffrement
AC Racine
« FORT »AC Racine
« STANDARD »
Usages :
- Authentification
- Signature
- Chiffrement
AC Racine
« ELEMENTAIRE »
Professionnels réglementés
Personnels de structures Santé/Social
Personnels de structures autorisées
Personnes morales Serveurs
(hébergés par une Personne Morale)
ACI
PERSONNES
ACI
ORGANISATIONS
Certificats
Logiciels

IGC-Santé : Ventilation CPx dans les différentes Gammes
12
AC Racine
« ELEMENTAIRE »
AC Racine
« STANDARD »
AC Racine
« FORT »
ACI
« Personne »
ACI
« Personne »
ACI
« Personne »
CPE de service CPE / CPA CPS / CPF

IGC-Santé : Plateforme de service pour les certificats logiciels
13
Pour les certificats logiciels, la plateforme de service permet de gérer :
1. La Commande de certificats (demande / retrait)
2. La Révocation de certificats
3. Le Suivi
Plusieurs canaux disponible : IHM, Web service et Canal Mail (interface historique dépréciée).
 Portail web : https://pfc.eservices.esante.gouv.fr

IGC-Santé : Impacts généraux
Évolutions nécessaires sur les serveurs et applications centraux et les postes de
travail des utilisateurs pour le passage à l’IGC-Santé :
• Ajout des chaînes de confiance de l’IGC-Santé dans le coffre-fort de l’application (serveurs et postes
de travail). Ces chaînes de confiance sont déjà disponibles et intégrées aux installeurs de la
Cryptolib v5.
• Prise en compte de la nouvelle cryptographie de l’IGC-Santé (algorithme RSA avec clés de 4096 bits
et algorithme de hachage SHA-2 pour les certificats d’AC)
• Vérification ou adaptation des traitements cryptographiques des clés privées (signature, authentification et/ou
déchiffrement)
• Vérification ou adaptation des vérifications des certificats présentés par des acteurs distants (traitements
cryptographiques, usage des CRL et/ou du service OCSP)
• Des adaptations peuvent être nécessaires en fonction du traitement applicatif réalisé pour récupérer
certaines données du certificat.
Certaines applications, en particulier les serveurs applicatifs, doivent être capables de
gérer une cohabitation terrain durant lesquels certains interlocuteurs ont déjà migrés
(certificats IGC-Santé) et d’autres non (certificats IGC-CPS2bis)
14

IGC-Santé : Détail des impacts sur les données du certificat
 Extensions des certificats
• Extensions standards
o L’extension « KeyUsage » du certificat de signature est modifiée : le bit « digital signature »
n’est plus positionné
• Extensions spécifiques
o Les extensions spécifiques (gipXXX) sont conservées sans modification dans le certificat,
seul leur nom change dans la documentation
 Possibilité d’avoir des certificats logiciels et des certificats carte sur la même
autorité de certification (AC « ELEMENTAIRE » et AC « STANDARD »)
• La distinction s’effectue via l’extension spécifique « ProductCategory »
 Structuration du « DN Sujet » des certificats – modifications principales :
• Le champ « OU=Profession » remplacé par le champ « TITLE=Profession »
• Le champ « L=n° département » est remplacé par le champ « ST=n° département »
• Pour les CPE de service
o Le champ « SN=dénomination porteur » est remplacé par le champ
« PSEUDO=dénomination porteur »
o Le champ « GN=prénom usuel » disparaît
15

IGC-Santé : Cryptolib v5 obligatoire
L’exploitation des cartes intégrant des certificats IGC-Santé requiert la mise en
œuvre des composants logiciels apportés par la Cryptolib v5 :
• La carte CPS actuellement déployée est une carte de migration :
o Elle contient un volet propriétaire CPS2ter conforme à l’ancienne génération de cartes
o Elle contient un volet IAS conforme aux standards industriels  volet unique en cible
• La Cryptolib v5 actuellement diffusée est un middleware de migration :
o Elle contient les anciennes versions de composants permettant d’adresser le volet historique
CPS2ter
o Elle contient les nouveaux composants permettant d’adresser le volet standard IAS  seuls
ces composants seront conservés en cible
 La carte CPS intégrant l’IGC-Santé va permettre d’achever cette migration : le
volet historique CPS2ter ne portera plus les fonctions cryptographiques (les bi-
clés et certificats ne seront plus stockés dans ce volet).
Les logiciels exploitants les fonctionnalités cryptographiques de
la carte CPS IGC-Santé doivent s’appuyer sur les nouveaux
composants apportés par la Cryptolib v5
16

IGC-Santé : Documentation disponible
17
Référentiel documentaire IGC-Santé disponible sur le site « intégrateur CPS » :
• Note de présentation générale de l’IGC-Santé :
http://integrateurs-cps.asipsante.fr/IGC-Sante
• Note technique détaillée sur les impacts et la migration :
http://integrateurs-cps.asipsante.fr/IGC-Sante-migration
• Autres ressources disponibles :

• JNI du 30/09/2015 : annonce de l’arrivée de l’IGC-Santé avec focus sur l’Etape 1 – Certificats logiciels.
http://esante.gouv.fr/actus/politique-publique/journee-nationale-des-industriels-du-30-septembre-bilan-et-presentations
Mailing du 08/01/2016 : campagne d’emailing à destination des industriels sur l’arrivée de l’IGC-Santé contenant les liens
vers le fond documentaire associé.
Information également diffusée via le fil RSS « Actualités CPS » du site Intégrateurs CPS.
http://integrateurs-cps.asipsante.fr/informations_cps/news
Mailing du 17/05/2016 : campagne d’emailing à destination des industriels sur la disponibilité des certificats logiciels IGC-
Santé et rappelant les travaux à mener.
Information également publiée sur le site institutionnel de l’ASIP Santé.
http://esante.gouv.fr/actus/services/editeurs-integrateurs-mettez-a-jour-vos-certificats-grace-a-la-nouvelle-igc-sante
Paris Healthcare Week (25/05/2016) : Atelier « Nouvelle IGC Santé & migration : cas pratique MSSanté ».
http://fr.slideshare.net/esante_gouv_fr/20160525-asip-sant-ateliers-phw16-nouvelle-igc-sant-migration-cas-pratique-mssant
JNI du 13/10/2016 : Reprise globale de la description IGC-Santé et de ses impacts avec confirmation du planning carte
annoncé dans la documentation existante.
IGC-Santé : Synthèse des communications réalisées
1 2 3 4 5
1
2
3
Sept. 2015 Janv. 2016 Mai 2016 Oct. 2016
4
5
18

IGC-Santé : Planning certificats logiciels (Rappel)
20
L’ouverture de l’IGC-Santé sur le périmètre certificat logiciel est effective depuis avril 2016 :
• Dès T0, il est possible de délivrer des certificats de test et de production.
• A T2 (fin février 2017) : arrêt d’émission de certificats logiciels par la plateforme actuelle (IGC-CPS2bis).
• Les certificats logiciels émis restent valides et utilisables jusqu’à leur expiration.
• Les CRLs continuent à être fournies.
Avril 2016 Fév. 2017
Planning de la migration vers la
nouvelle IGC – Certificats logiciels
Ancienne IGC (IGC-2bis)
 Production des certificats logiciels de l’ancienne
IGC
 Période de validité des certificats de l’ancienne
IGC après fin d’émission
Nouvelle IGC (IGC Santé)
 Ouverture IGC Santé
Extinction
de l’IGC-
2bis
T0 T2
Fin 2020

IGC-Santé : Planning certificats carte
21
L’ouverture de l’IGC-Santé sur le périmètre carte n’est pas encore effective mais la documentation
technique disponible couvre déjà ce périmètre.
• Janvier 2017 (2ème quinzaine) : disponibilité des carte de TEST.
• Octobre 2017 : date ciblée pour l’émission terrain des première cartes CPx IGC-Santé.
Janv. 2017 Oct. 2017
Planning de la migration vers la
nouvelle IGC – Cartes CPx
Ancienne IGC (IGC-2ter)
 Production des cartes de l’ancienne IGC
 Période de validité des cartes de l’ancienne IGC
après fin d’émission
Nouvelle IGC (IGC Santé)
 Mise à disposition des cartes de TEST à
destination des éditeurs et promoteurs
d’applications
 Emission terrain des cartes IGC-Santé vers les
utilisateurs finaux
Extinction
de l’IGC-
2ter
Fin 2020

22
Evolutions annexes de la carte
CPS

Evolutions annexes de la cartes CPS
Deux évolutions de la carte CPS sont en cours, elles visent à mieux répondre aux
besoins en établissements de santé :
 Amélioration du niveau de compatibilité avec les solutions terrain déployées pour les usages
sans-contact (contrôle d’accès physique, badge de cantine, …)
 Intégration de la technologie Mifare au niveau de la puce (Mifare Classic 1K).
 Ajout d’un moyen d’identification supplémentaire sur le visuel de la carte :
 Un code barre correspondant à la valeur de l’identifiant national du porteur figurera
au verso de la carte, encodé en code 128 (norme NF EN 799)
23
Ces évolutions seront disponibles en production à partir de Juillet 2017

24
Impacts IGC Santé sur le DMP

Actualité et Impacts IGC Santé sur le DMP
25
 Transfert du DMP à la CNAMTS
 La CNAMTS est responsable du DMP depuis le 05 juillet 2016
 L’ASIP Santé et la CNAMTS collaborent pour assurer la transition
 Le point d’entrée pour les éditeurs à la cellule DMP-Compatibilité est toujours pour le
moment ASIP-DMPCOMPATIBILITE@sante.gouv.fr
 Impacts IGC Santé sur le DMP
 N’est abordé aujourd’hui que les impacts du déploiement des certificats logiciels de l’IGC
Santé (les impacts de la migration des cartes CPx en IGC santé sera traité ultérieurement)
 Une migration est à réaliser seulement pour les éditeurs de logiciels DMP-
Compatible en authenfication indirecte
 Pour assurer une continuité de service pendant la migration, le système DMP sera
compatible avec l’IGC CPS2BIS et l’IGC SANTE.
 Cependant, l’ASIP Santé ne produira plus de certificats issus de l’IGC CPS2Bis à partir de
mars 2017. Il est donc nécessaire que les éditeurs aient migrés avant mars 2017
puisqu’un établissement de santé ne pourra commander à partir de mars 2017 que des
certificats IGC Santé .

Impacts IGC Santé sur le DMP
26
 Dates importantes
 10 octobre 2016 : l’ASIP Santé a transmis aux éditeurs de logiciels DMP-compatible en
authentification indirecte, un package d’accompagnement pour la migration :
o Le DSFT en v1.0.5 transmis en avance de phase prenant en compte l’IGC santé
o Une notice de migration
o Des codes exemples en C# et JAVA
o Dès cette date, des environnements de tests du DMP compatibles avec l’IGC Santé sont à disposition des
éditeurs
 Novembre 2016 : le DMP en production est compatible avec l’IGC Santé
 1er mars 2017 :arrêt de l’émission des certificats de l’IGC CPS2BIS
 Travaux à mener par les éditeurs de logiciels DMP Compatibles
en authentification indirecte
 Commande de certificats
o Commander des certificats IGC Santé de test
o Renouveler avant mars 2017 les certificats IGC CPS2BIS de test
 Travaux de migration
o Contacter la cellule dmp-compatibilité
o Réaliser les travaux de migration
o Se présenter à une homologation simplifiée qui sera validée par un Comité d’Homologation
o Déployer sa solution
 S’assurer auprès de leurs clients de la date de fin de validité de leur(s) certificat(s) IGC CPS 2Bis,
pour s’assurer que le logiciel sera migré et déployé avant expiration de leur certificat

27
Impacts IGC Santé sur MSSanté

Introduction
28
 Quels sont les certificats concernés ?
 Les certificats logiciel IGC CPS 2bis présentés par :
o les opérateurs MSSanté
o l’annuaire national MSSanté
 Qui est concerné ?
 Le gestionnaire de l’espace de confiance MSSanté
o L’ASIP Santé a défini la stratégie de migration, fait évoluer les composants de l’espace de
confiance (DSFT opérateurs MSSanté, liste blanche, annuaire), fourni des moyens de test
 Les éditeurs de connecteurs MSSanté
o Doivent se mettre en capacité d’accepter la nouvelle IGC Santé dans les échanges entre
connecteurs et avec l’annuaire national MSSanté
 Les opérateurs MSSanté
o Doivent disposer d’un connecteur MSSanté compatible DSFT 1.1 avant fin février 2017
o Doivent se déclarer conforme à la nouvelle version du DSFT 1.1 auprès de l’ASIP Santé
avant le 15 mars 2017
 Les éditeurs de logiciels métier compatibles avec le DST « clients de messagerie »
o Pour les clients utilisant l’opérateur ASIP Santé (service des ordres) :
• Migration à partir de mi 2017 au rythme de l’éditeur
o Pour les clients utilisant d’autres opérateurs DST compatibles :
• La stratégie de migration est propre à chaque opérateur

Stratégie de migration IGC Santé - Opérateurs MSSanté
29
 Pourquoi migrer ?
Pour assurer la cohabitation entre les opérateurs utilisant l’IGC CPS 2bis et l’IGC Santé
 Quelle stratégie ?
 Tous les opérateurs doivent être compatibles IGC Santé avant l’arrivée du premier
opérateur utilisant un certificat IGC Santé
 Avant mars 2017 :
o Les éditeurs adaptent les connecteurs MSSanté pour être compatibles avec les 2 IGC
o Les éditeurs les déploient chez les opérateurs
o Les opérateurs continuent d’utiliser un certificat IGC CPS 2bis
o Aucun opérateur n’utilise de certificat IGC Santé dans l’espace de confiance
 Après mars 2017 :
o Les opérateurs peuvent utiliser des certificats IGC Santé :
• Cas d’un nouvel opérateur
• Cas d’un opérateur dont le certificat IGC CPS 2bis expire

30
 Calendrier :
 Juillet 2016 :
o Publication de la version projet du DSFT MSSanté 1.1
 Septembre 2016 :
o Publication du DSFT MSSanté 1.1
o Publication de la notice de migration IGC Santé pour MSSanté
o Emailling adressé à l’ensemble des opérateurs et des industriels MSSanté compatibles
 Octobre 2016 :
o Possibilité de tester l’envoi et la réception de messages avec le connecteur de test IGC-Santé
o Disponibilité du cahier de tests actualisé d’intégration à l’espace de confiance
 Novembre 2016 :
o Possibilité de tester l’alimentation et l’extraction sur l’annuaire MSSanté de test « partenaires »
 Mars 2017 :
o Tous les connecteurs MSSanté doivent être compatibles avec l’IGC Santé
o Chaque opérateur doit avoir confirmé sa conformité avec les exigences du DSFT 1.1
o Un premier opérateur peut utiliser un certificat IGC Santé dans l’espace de confiance

31
 Ressources mises à disposition :
 Sur le portail mssante.fr : DSFT, notice de migration, cahier de tests
https://www.mssante.fr/is/doc-technique
 Les échanges de messages de tests peuvent être menés dès à présent :
o Nouvelle liste blanche contenant le connecteur de test IGC Santé
https://espacedeconfiance.mssante.fr/listeblanchemssante.xml
o BAL de test IGC Santé :
reponse.automatique@test-igc.mssante.fr
 Réunion industriels « Migration IGC Santé pour MSSanté »
o mardi 8 novembre à l’ASIP Santé (après-midi)
 A votre disposition :
 Equipe MSSanté Compatibilité : msscompatibilite@sante.gouv.fr

2016-10-13 JNI - "IGC-Santé et évolution carte CPS"

Recommandé

Recommandé

Contenu connexe

Plus de ASIP Santé

Plus de ASIP Santé (20)

2016-10-13 JNI - "IGC-Santé et évolution carte CPS"