Une PKI pour sécuriser les téléprocédures de Bercy

Les projets à court terme : Généraliser rapidement les téléprocédures de TVA et de DEB

Présenter un site de téléprocédure totalement opérationnel d’ici à la fin de cette année est l’objectif que s’est fixé le ministère de l’Economie.
D’abord réservées à la TVA et à la déclaration d’échange de biens, les téléprocédures devraient ensuite être, à plus long terme, généralisées à d’autres types de déclarations et de règlements financiers (impôts directs ou indirects, notamment).
Dans ce dernier cas de figure, il est même tout à fait envisageable que le télédéclarant puisse indiquer en ligne le numéro du compte bancaire sur lequel il souhaite que soit prélevé tel ou tel impôt, à l’instar de ce qui existe aujourd’hui avec les formulaires TIP (Titres interbancaires de paiement), qui remplacent souvent les chèques. Par ailleurs, afin d’offrir une garantie juridique à cet ensemble télédéclaratif, le ministère de l’Economie participe étroitement à la rédaction des décrets d’application de la récente loi sur la signature électronique. Cette loi a, en effet, été approuvée par le Sénat le 8 février et par l’Assemblée nationale le 29 février dernier. Elle fixe les conditions de reconnaissance de la preuve d’une signature électronique. Quant aux décrets d’application, qui seront au moins au nombre de deux, ils définiront précisément le cadre technique de la mise en ?”uvre des actes électroniques considérés comme authentiques (nombre de copies, architecture informatique nécessaire et conservation, par exemple).

L’entreprise et sa problématique : Développer les procédures électroniques

Un seul et même système pour acheter une médaille ou réaliser une télédéclaration

Depuis février 1999, le ministère de l’Economie des Finances et de l’Industrie a lancé un programme de procédures électroniques. L’objectif est de permettre, à terme, à tous les contribuables professionnels ou privés, soit 3,3 millions d’entreprises et 31 millions de foyers fiscaux, mais aussi aux collectivités territoriales, de simplifier les opérations fiscales grâce au site de téléprocédures du ministère de l’Economie. Ils pourront y effectuer, en toute sécurité, la plupart des transactions fiscales, aujourd’hui majoritairement réalisées sous la forme papier.
‘ D’ores et déjà, quelque cinq cent mille entreprises envoient leurs bilans de façon dématérialisée ‘, assure Alain Le Gall, chargé de mission à la Délégation aux systèmes d’information du ministère de l’Economie. Compte tenu de l’étendue du ressort du ministère, il recouvre, en effet, de nombreux services importants avec des métiers différents tels que les directions générales des Impôts, de la Comptabilité publique, de la Douane et des Droits indirects, ainsi que le Budget, le Trésor, la Répression des fraudes, l’Insee ou les Monnaies et Médailles. L’approche retenue par le ministère a été celle du commerce électronique, avec, comme vecteur universel, Internet. ‘ Lorsque les monnaies et médailles se vendent sur Internet, ou que l’Insee commercialise ses rapports de la même manière, ils pratiquent le commerce électronique. Nous avons, donc, souhaité commencer notre chantier par la télédéclaration de la TVA _ 600 milliards de francs par an _ et par la déclaration d’échange de biens (DEB), qui concerne les compensations de TVA avec les quatorze autres pays de l’Union européenne. Nous ne faisons pas de différence entre la vente par Internet des médailles, la transmission d’informations dématérialisées ou une télédéclaration. Les ingrédients fondamentaux, à commencer par Internet, sont les mêmes ‘, insiste Alain Le Gall.
Pour le ministère de l’Economie, le seul obstacle demeure la faible sécurité du réseau. C’est pourquoi l’ensemble de ses efforts a porté sur ce sujet.

Le cahier des charges : La sécurité, une préoccupation de chaque instant

Ce projet est guidé par la sécurité des transactions. Une démarche commune à toutes les directions, sous l’égide d’un groupe d’experts piloté par une structure interne au ministère de l’Economie _ le comité NTIC (Nouvelles technologies de l’information et de la communication) _, a permis de faire le point pour définir les besoins de chacune. C’est ainsi qu’ont été mis en évidence des besoins de contrôle d’accès au système, de confidentialité des échanges et de signature électronique, afin d’apporter une preuve juridique à ce qui a été traité. Pour simplifier les choses, les usagers bénéficieront d’un ‘ ticket unique ‘ se présentant sous la forme d’un certificat numérique pour sécuriser les échanges.
Le ministère a décidé de ne pas imposer de partenaire unique. La seule contrainte pour l’usager sera de choisir parmi les certificats référencés. La sécurité du poste de travail de l’usager reste de son ressort. Il conserve la responsabilité du choix de son matériel.

Les technologies choisies : Internet et architecture à clé publique, socle du système

Chaque procédure fera l’objet d’un chiffrement

Le ministère de l’Economie s’est équipé d’une PKI (Public key infrastructure) établissant des certificats X.509 (couple nom- clé publique de chiffrement). Les échanges asynchrones se déroulent avec le protocole S/Mime (Secure/Multipurpose Internet mail extension), et les échanges interactifs sont réalisés avec le protocole SSL (Secure socket layer). Le contribuable doit donc s’inscrire auprès du ministère de l’Economie, après vérification de son choix de certificat.
Lors de l’envoi, la télédéclaration pourra être chiffrée quelle que soit la longueur de la clé retenue par l’utilisateur, même au-delà de 128 bits, puis validée par le ministère de l’Economie, sous l’entière responsabilité de l’usager. Une copie de la déclaration est imprimable.
Le serveur de certificats du ministère de l’Economie, est, quant à lui, géré par le GIE-CB.

Les produits et les fournisseurs retenus : L’EAR pour le savoir-faire ; GIE-CB et Sagem, comme opérateurs de PKI

Des savoir-faire mutualisés pour répondre au cahier des charges

A terme, chaque direction du ministère de l’Economie disposera de développements adaptés à ses besoins. La volonté affichée a été de travailler ‘ à livre ouvert ‘, dans le cadre des marchés européens. Par conséquent, les appels d’offres ont été menés à l’échelle européenne. ‘ L’importance des prestataires dans ce projet est primordiale, car ce sont eux, qui, réunis au sein de l’Entité d’audits et de référencements (EAR), passent au crible les candidats au référencement nécessaire pour sécuriser les échanges avec les internautes et les entreprises contribuables ‘, précise Alain Le Gall. A l’issue de cet appel d’offres, le ministère a opté pour un consortium qui a réuni le cabinet de conseil en sécurité français CF6 et le cabinet d’audit et de conseil international Deloitte&touche ‘ Pour répondre au cahier des charges, Deloitte&touche et CF6 ont créé un consortium, ce qui leur a permis de mutualiser leurs compétences et leurs savoir-faire respectifs ‘, explique Alain Le Gall.
Le ministère de l’Economie joue ainsi le rôle d’agence d’autorité, avec comme opérateur de PKI, le GIE-CB, équipé d’outils techniques Sagem, tandis que l’EAR (CF6 et Deloitte&touche) se charge de la validation des PKI externes. Les certificats disponibles sur le marché seront référencés par l’EAR.

👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.

Renaud Hoffman