AGOV comme base de confiance pour la connexion au poste de travail (agov.ch/workplace)
AGOV peut servir de base de confiance pour les processus d’enrôlement et de récupération liés à la connexion au poste de travail numérique. Les autorités peuvent ainsi dissocier l’identité fiable d’une personne de la plateforme technique et du moyen d’authentification propre au poste de travail.
Cette approche permet de mettre en place des architectures multiplateformes, de réduire les dépendances à l’égard de certains fournisseurs de plateformes et de services cloud et de renforcer la souveraineté numérique.
Principe de base
AGOV authentifie la personne physique et peut, lorsque le cas d’utilisation l’exige, fournir une identité vérifiée avec la qualité requise. L’autorité reste responsable de déterminer si cette personne est une collaboratrice ou un collaborateur, quel compte utilisateur interne lui est attribué et quels appareils, rôles et autorisations elle peut utiliser. Lors de la configuration d’un poste de travail, la personne peut donc être authentifiée au moyen d’AGOV. Le système RH, de gestion des identités ou des accès compétent associe ensuite la personne authentifiée par AGOV au compte interne de collaborateur ou de poste de travail. L’infrastructure du poste de travail peut ensuite générer son propre moyen d’authentification cryptographique et l’associer à ce compte. Les clés cryptographiques privées peuvent être protégées matériellement et rendues non exportables, par exemple au moyen d’un Trusted Platform Module (TPM). AGOV peut à nouveau être utilisé lors d’un changement d’appareil, du renouvellement d’un moyen d’authentification ou d’une procédure de récupération afin d’authentifier de manière fiable la personne.
Pas de connexion permanente via AGOV
AGOV ne doit pas nécessairement intervenir dans chaque connexion quotidienne au poste de travail. Une fois l’enrôlement terminé, la connexion proprement dite peut s’effectuer au moyen du moyen d’authentification géré par l’autorité au sein de sa propre infrastructure de poste de travail, d’annuaire et d’authentification. Une indisponibilité temporaire d’AGOV ou l’absence de connexion réseau à AGOV ne doit ainsi pas nécessairement empêcher l’utilisation d’un poste de travail déjà configuré.
Business Account et adresse e-mail professionnelle
Un Business Account n’est pas une condition obligatoire pour ce modèle d’architecture. Un Business Account reste le compte d’une personne physique. Sa déclaration ainsi que l’adresse ou le domaine e-mail professionnel qui lui est associé ne confirment, selon AGOV, ni un emploi, ni une appartenance à une organisation, ni un rôle ou une autorisation. L’autorité doit donc établir l’association entre la personne authentifiée par AGOV et son compte de collaborateur ou de poste de travail sur la base de ses propres systèmes et processus faisant autorité. Cela évite également une dépendance circulaire lors de l’arrivée de nouveaux collaborateurs: la première configuration du poste de travail ne doit pas présupposer l’accès à une adresse e-mail professionnelle lorsque cet accès n’est lui-même disponible qu’après la configuration du poste de travail.
Windows
Sous Windows, les composants techniques nécessaires existent en principe. Windows prend en charge des Credential Providers spécifiques. Ceux-ci constituent l’interface avec l’écran de connexion, recueillent ou produisent les informations d’authentification et les transmettent aux composants Windows chargés de l’authentification proprement dite. Par l’intermédiaire du Microsoft Platform Crypto Provider, Windows prend également en charge des clés cryptographiques protégées par un TPM. Microsoft documente en outre l’attestation permettant de prouver qu’une clé utilisée pour un certificat est effectivement protégée par un TPM de confiance. Pour les connexions de domaine basées sur des certificats, Windows utilise Kerberos avec Public Key Cryptography for Initial Authentication in Kerberos (PKINIT). L’existence de ces différents composants documentés par Microsoft ne signifie toutefois pas qu’une clé TPM quelconque puisse automatiquement être utilisée pour une connexion interactive à un domaine Windows. Le format du moyen d’authentification, le Credential Provider et le mécanisme d’authentification Windows utilisés dans une architecture concrète basée sur AGOV doivent être définis et validés dans le cadre de sa mise en œuvre. L’architecture cible peut être conçue de manière que Microsoft Entra, Microsoft Entra Connect et Microsoft Entra Kerberos ne soient pas nécessaires à l’enrôlement ni à la connexion quotidienne au poste de travail. Cela ne signifie toutefois pas que Windows Hello for Business dépende systématiquement de Microsoft Entra. Microsoft prend expressément en charge, outre les modèles cloud et hybrides, des déploiements Windows Hello for Business locaux avec Domain Join, Active Directory, PKI et AD FS.
Un modèle basé sur AGOV ne constitue donc pas simplement «Windows Hello for Business sans Entra». Son objectif va plus loin: séparer la base de confiance pour l’identité des personnes et l’enrôlement de la plateforme spécifique du poste de travail afin de pouvoir l’utiliser avec différents systèmes d’exploitation.
Linux
Le même principe peut également être appliqué aux postes de travail Linux. Linux propose des mécanismes d’authentification ouverts ainsi qu’une prise en charge des clés cryptographiques protégées par du matériel, de TPM2 et de FIDO2. Leur intégration concrète avec PAM, les services d’annuaire, Kerberos ou d’autres composants relève de l’architecture de poste de travail concernée. Le moyen d’authentification propre au poste de travail reste également sous le contrôle de l’autorité, tandis qu’AGOV peut constituer la base de confiance pour l’identité de la personne lors de l’enrôlement et de la récupération.
Répartition claire des tâches
AGOV répond à la question:
Quelle personne physique s’authentifie et avec quelle qualité d’identité établie?
L’autorité répond:
Cette personne est-elle une collaboratrice ou un collaborateur?
Quel compte de travail lui appartient?
Quels appareils, rôles et autorisations peut-elle utiliser?
L’infrastructure du poste de travail répond:
Au moyen de quel credential géré localement ou par l’organisation la personne prouve-t-elle, lors de la connexion quotidienne, qu’elle est autorisée à utiliser ce compte?
AGOV ne devient ainsi ni un système de gestion du personnel ou des autorisations, ni nécessairement un composant en ligne requis lors de chaque connexion au poste de travail.
Souveraineté numérique
Ce modèle sépare délibérément trois niveaux:
- l’identité fiable de la personne physique;
- son rattachement organisationnel et ses autorisations;
- le credential technique du poste de travail.
AGOV peut soutenir le premier niveau en tant que base de confiance utilisable par différentes organisations. Les deuxième et troisième niveaux restent sous le contrôle de l’autorité concernée.
La même logique d’identité et d’enrôlement peut ainsi, en principe, être utilisée avec différentes plateformes de poste de travail sans lier l’ensemble du processus de confiance à l’Identity Stack d’un fournisseur unique de système d’exploitation ou de cloud.
Statut
L’architecture décrite ici constitue un modèle possible d’utilisation d’AGOV.
AGOV ne fournit actuellement ni Credential Provider Windows prêt à l’emploi, ni module PAM Linux prêt à l’emploi, ni remplacement clé en main de Windows Hello for Business. Les composants propres aux différents systèmes d’exploitation et leur intégration doivent être développés, vérifiés et exploités dans le cadre de l’architecture de poste de travail correspondante.