Exigences de configuration de l’infrastructure à clé publique

Sur cette page

• 1. Infrastructure à clé publique du gouvernement du Canada
• 2. Interopérabilité de l’infrastructure à clé publique
• 3. Politique de certification du gouvernement du Canada
• 4. Algorithmes cryptographiques
• 5. Infrastructure à clé publique pour les entités qui ne sont pas des personnes

1. Infrastructure à clé publique du gouvernement du Canada

1.1 Les services de Gestion des justificatifs internes d’infrastructure à clé publique (ICP) offerts par Services partagés Canada au nom du Secrétariat du Conseil du Trésor du Canada (SCT) doivent être utilisés par les ministères pour répondre aux besoins des utilisateurs internes qui utilisent la technologie ICP. ^{Note en bas de page 1}

1.2 Les ministères qui ont l’obligation d’établir leur propre solution ICP pour les utilisateurs doivent :

• 1.2.1 Vérifier que leurs exigences ne peuvent pas être satisfaites par la gestion des justificatifs internes de l’ICP.
• 1.2.2 Communiquer avec le secteur de la cybersécurité du Bureau du dirigeant principal de l’information (BDPI), par courriel à zztbscybers@tbs-sct.gc.ca pour identifier leurs besoins.
• 1.2.3 Contacter le Centre canadien pour la cybersécurité (CCCS), qui fait partie du Centre de la sécurité des télécommunications (CST), à l’adresse contact@cyber.gc.ca pour obtenir des conseils sur les mesures cryptographiques et la gestion des clés.
• 1.2.4 Veiller à ce que les plans d’évaluation et d’autorisation de sécurité (EAS) du système soient élaborés et suivis, y compris les vérifications annuelles conformément à la Politique de certification de l’infrastructure à clé publique X.509 du gouvernement du Canada pour l’entité-personne (accessible uniquement sur le réseau du gouvernement du Canada).
• 1.2.5 Veiller à ce que l’autorité de certification soit mise en œuvre conformément à la Politique de certification de l’infrastructure à clé publique X.509 du gouvernement du Canada pour l’entité-personne (accessible uniquement sur le réseau du gouvernement du Canada) et à l’Énoncé de pratiques de certification du gouvernement du Canada avant d’être mise en service.
• 1.2.6 Veiller à ce que l’utilisation et la gestion de l’ICP ministérielle soient conformes aux exigences du gouvernement du Canada en matière de sécurité et de gestion de l’identité, telles qu’établi par le Conseil du Trésor dans la Politique sur la sécurité du gouvernement et ses instruments de politique connexes.

2. Interopérabilité de l’infrastructure à clé publique

2.1 L’autorité de certification de la gestion des justificatifs internes et toutes les autorités de certification ministérielles applicables qui exigent l’interopérabilité entre des systèmes ICP distincts avec d’autres ministères doivent procéder à une cocertification avec la Charnière fédérale canadienne de l’ICP (CFCI)^{Note en bas de page 2} plutôt que d’établir des relations individuelles entre eux.

2.2 Avant de conclure une entente de cocertification avec une entité externe, les ministères commanditaires doivent obtenir l’approbation de la dirigeante principale de l’information du Canada.

2.3 Les entités externes qui ont besoin de collaborer avec un ou plusieurs ministères doivent également obtenir une cocertification par l’intermédiaire de la CFCI, qui est exploitée par la Gendarmerie royale du Canada au nom du SCT.^{Note en bas de page 3}

2.4 Pour obtenir la cocertification avec la CFCI, les organisations doivent :

• 2.4.1 Soumettre une demande indiquant le besoin opérationel de cocertification avec la CFCI au secteur de la cybersécurité du BDPI, à l’adresse zztbscybers@tbs-sct.gc.ca.
• 2.4.2 Identifier un ministère comme commanditaire pour les organisations externes au gouvernement du Canada.
• 2.4.3 Examiner la politique de certification de l’autorité de certification requérante afin de veiller à ce qu’elle soit conforme à celle de la CFCI.
• 2.4.4 Effectuer des essais au banc d’essai.
• 2.4.5 Négocier un accord officiel de cocertification avec le BDPI
• 2.4.6 Échanger des cocertificats entre l’autorité de certification requérante et la CFCI.

3. Politique de certification du gouvernement du Canada

3.1 Tous les ministères qui mettent en œuvre l’ICP pour les utilisateurs, y compris ceux qui ont une cocertification avec la CFCI, doivent se conformer à la Politique de certification de l’infrastructure à clé publique X.509 du gouvernement du Canada pour les personnes et les entités (accessible uniquement sur le réseau du gouvernement du Canada), à moins qu’une exemption ait été accordée par la dirigeante principale de l’information du Canada.

4. Algorithmes cryptographiques

4.1 Tous les algorithmes cryptographiques et les longueurs de clé associées doivent être mis en œuvre conformément à Algorithmes cryptographiques pour l’information non classifiée, Protégé A, et Protégé B (ITSP.40.111), y compris les algorithmes de chiffrement, de signature numérique et d’accord de clé. L’ITSP.40.111 couvre également les algorithmes de hachage utilisés en conjonction avec les signatures numériques, tels que l’algorithme de hachage sécurisé (SHA)-2 et SHA-3. Les algorithmes plus faibles, comme l’algorithme de condensé de message (MD)5 ou SHA-1, ne doivent pas être utilisés conjointement avec les signatures numériques.

5. Infrastructure à clé publique pour les entités qui ne sont pas des personnes

5.1 Les ministères doivent utiliser des services ICP d’entreprise approuvés pour répondre aux exigences internes relatives aux entités qui ne sont pas des personnes.

5.2 Les ministères doivent suivre les directives sur le protocole de transfert hypertexte sécurisé (HTTPS) qui se trouvent dans Exigences de configuration de la gestion des sites Web et des services pour les exigences en matière d’ICP externe.