Introduction
Le registre des risques décrit les principaux risques et menaces pour la sécurité et la vie privée qui s’appliquent aux portefeuilles et qui doivent être dûment pris en compte dans toute architecture et mise en œuvre des portefeuilles. Les risques de haut niveau (section I) sont liés à l’utilisation des portefeuilles par les utilisateurs et les parties utilisatrices et sont associés à des menaces directes ciblant les actifs des portefeuilles. En outre, quelques risques systémiques (section II) ont été identifiés pour les portefeuilles, qui résulteraient généralement d’une combinaison de menaces s’appliquant à l’ensemble du système de portefeuille.
| Type de risque | Identifiant du risque | Intitulés des risques correspondants
| Risques de haut niveau pour les portefeuilles | R1 | Création ou utilisation d’une identité électronique existante
| R2 | Création ou utilisation d’une fausse identité électronique
| R3 | Création ou utilisation de faux attributs
| R4 | Vol d’identité
| R5 | Vol de données
| R6 | Divulgation de données
| R7 | Manipulation de données
| R8 | Perte de données
| R9 | Transaction non autorisée
| R10 | Manipulation de transactions
| R11 | Répudiation
| R12 | Divulgation de données relatives aux transactions
| R13 | Interruption de service
| R14 | Surveillance
| Risques systémiques | SR1 | Surveillance de masse
| SR2 | Préjudice de réputation
| SR3 | Non-respect de la législation
Le registre recense également les menaces techniques (section III) qui ciblent la mise en œuvre de la solution de portefeuille. Ces menaces sont liées aux risques de haut niveau en ce sens que chacune d’entre elles pourrait être utilisée pour déclencher de nombreux risques de haut niveau.
| Type de menace | Identifiant de la menace | Intitulés des menaces correspondantes | Sous-catégories de menaces
| Menace technique | TT1 | Attaques physiques |
1. 1. Vol
|
1. 2. Fuite d’informations
|
1. 3. Manipulation frauduleuse
| TT2 | Erreurs et mauvaises configurations |
2. 1. Erreurs commises dans la gestion d’un système informatique
|
2. 2. Erreurs au niveau de l’application ou erreurs d’utilisation
|
2. 3. Erreurs dans la phase de développement et mauvaises configurations des systèmes
| TT3 | Utilisation de ressources non fiables |
3. 1. Utilisation ou configuration erronées des composants du portefeuille
| TT4 | Défaillance et pannes |
4. 1. Défaillance ou dysfonctionnement des équipements, appareils ou systèmes
|
4. 2. Perte de ressources
|
4. 3. Perte de services d’appui
| TT5 | Actions malveillantes |
5. 1. Interception d’informations
|
5. 2. Hameçonnage et usurpation
|
5. 3. Rejeu de messages
|
5. 4. Attaque par force brute
|
5. 5. Vulnérabilités logicielles
|
5. 6. Attaques contre la chaîne logistique
|
5. 7. Maliciels
|
5. 8. Prédiction de nombres aléatoires
Enfin, le registre énumère les menaces directes pour les portefeuilles, chacune étant associée à une sélection (non exhaustive) de risques (section IV).
SECTION I
Risques de haut niveau pour les portefeuilles
| R1. Création ou utilisation d’une identité électronique existante
| La création ou l’utilisation d’une identité électronique existante est définie comme la création d’une identité électronique dans un portefeuille qui existe dans le monde réel et qui est attribuée à un autre utilisateur. Par nature, ce risque donne lieu à des risques de vol d’identité (R4) et de transactions non autorisées (R9).
| R2. Création ou utilisation d’une fausse identité électronique
| La création ou l’utilisation d’une fausse identité électronique est définie comme la création d’une identité électronique dans un portefeuille qui n’existe pas dans le monde réel.
| R3. Création ou utilisation de faux attributs
| La création ou l’utilisation de faux attributs est définie comme la création ou l’utilisation d’attributs dont la délivrance par le fournisseur déclaré ne peut pas être validée et qui ne sont pas fiables.
| R4. Vol d’identité
| Le vol d’identité est défini comme l’acquisition non autorisée de l’unité de portefeuille ou la perte de facteurs d’authentification permettant d’usurper l’identité d’une personne.
| R5. Vol de données
| Le vol de données est défini comme l’extraction non autorisée de données. Le vol de données est également associé à des menaces, telles que l’interception de données (captage non autorisé de données en transit) et le décryptage de données (décodage non autorisé de données cryptées), qui sont susceptibles d’entraîner, dans certains cas, la divulgation de données (R6).
| R6. Divulgation de données
| La divulgation de données est définie comme la divulgation non autorisée de données à caractère personnel, y compris de catégories particulières de données à caractère personnel. Le risque de violation de la vie privée est très similaire si l’on se place du point de vue de la protection de la vie privée plutôt que de celui de la sécurité.
| R7. Manipulation de données
| La manipulation de données est définie comme la modification non autorisée de données.
| R8. Perte de données
| La perte de données est définie comme la situation dans laquelle les données stockées dans le portefeuille sont perdues à la suite d’une utilisation abusive ou d’une action malveillante. Ce risque est souvent un risque accessoire de la manipulation de données (R7) ou de l’interruption de service (R13), caractérisé par l’impossibilité de rétablir des données en totalité ou en partie.
| R9. Transaction non autorisée
| Les transactions non autorisées sont définies comme des activités opérationnelles menées sans l’autorisation ou à l’insu de l’utilisateur du portefeuille. Dans de nombreux cas, une transaction non autorisée peut entraîner le vol d’identité (R4) ou la divulgation de données (R6). Elle est également liée à des transactions non autorisées, telles que l’utilisation abusive de clés cryptographiques.
| R10. Manipulation de transactions
| La manipulation de transactions est définie comme la modification non autorisée d’opérations dans le portefeuille. La manipulation de transactions est une atteinte à l’intégrité et est liée à une violation de l’intégrité des données.
| R11. Répudiation
| La répudiation est définie comme une situation dans laquelle une partie prenante peut refuser d’exécuter une action ou d’être associée à une transaction sans que les autres parties prenantes ne disposent d’éléments suffisants pour la contredire.
| R12. Divulgation de données relatives aux transactions
| La divulgation de données relatives aux transactions est définie comme la divulgation d’informations relatives à une transaction entre parties prenantes.
| R13. Interruption de service
| L’interruption de service est définie comme une interruption ou une dégradation du fonctionnement normal du portefeuille. Un type particulier d’interruption de service réside dans le blocage d’utilisateur, qui se définit comme l’impossibilité pour un utilisateur d’accéder à son compte ou à son portefeuille.
| R14. Surveillance
| La surveillance, ou écoute, est définie comme la surveillance ou l’observation non autorisée des activités, des communications ou des données d’un utilisateur de portefeuille. La surveillance est souvent associée à l’inférence, qui est définie comme la déduction d’informations sensibles ou personnelles à partir de données a priori inoffensives.
SECTION II
Risques systémiques
Ces risques ne sont pas utilisés dans la liste des menaces, car ils sont généralement la conséquence de menaces multiples, répétées d’une manière qui menace l’ensemble du système.
| SR1. Surveillance de masse
| La surveillance de masse est définie comme la surveillance ou l’observation des activités de nombreux utilisateurs par l’intermédiaire des communications ou des données de leur portefeuille. La surveillance de masse est souvent associée à la surveillance (R14) et à l’inférence à l’échelle mondiale, des informations sur un grand nombre d’utilisateurs étant combinées pour en déduire des données sensibles ou à caractère personnel concernant les utilisateurs ou pour déterminer des tendances statistiques susceptibles d’être utilisées pour concevoir de nouvelles attaques.
| SR2. Préjudice de réputation
| Le préjudice de réputation est défini comme le préjudice causé à la réputation d’une organisation ou d’un organisme gouvernemental. Le préjudice de réputation découlera également d’autres risques lorsqu’une violation ou un incident est couvert par les médias et dépeint l’organisation sous un jour défavorable. Le préjudice de réputation peut entraîner d’autres risques, tels que la perte de confiance, découlant des doutes raisonnables de l’utilisateur, et la perte de l’écosystème, lorsque l’ensemble de l’écosystème s’effondre.
| SR3. Non-respect de la législation
| Le non-respect de la législation est défini comme une situation dans laquelle les lois, règlements ou normes applicables ne peuvent pas être respectés. Dans le cadre du portefeuille, étant donné que la sécurité et le respect de la vie privée de la solution sont des exigences légales, toutes les menaces sont susceptibles d’entraîner une forme de non-respect de la législation.
SECTION III
Menaces techniques
Les menaces techniques ne sont pas toutes liées à des risques spécifiques pesant sur les portefeuilles, car beaucoup d’entre elles sont des moyens qui pourraient être utilisés pour mettre en œuvre des attaques correspondant à de nombreux risques différents.
| TT1. Attaques physiques
|
1. 1. Vol
Le vol est défini comme le vol de dispositifs pouvant altérer le bon fonctionnement du portefeuille (en cas de vol et de protection insuffisante de l’unité de portefeuille). Il peut donner lieu à de nombreux risques, dont le vol d’identité (R4), le vol de données (R5) et les transactions non autorisées (R9).
|
1. 2. Fuite d’informations
La fuite d’informations est définie comme l’accès, la divulgation d’informations ou le partage non autorisés après l’accès physique au portefeuille. Elle peut notamment donner lieu à la divulgation de données (R6) et au vol de données (R5).
|
1. 3. Manipulation frauduleuse
La manipulation est définie comme une atteinte à l’intégrité d’un ou de plusieurs composants de l’unité de portefeuille ou des composants dont dépend l’unité de portefeuille, tels que l’appareil de l’utilisateur ou son système d’exploitation. Elle peut notamment donner lieu à la manipulation de données (R7), à la perte de données (R8) et à la manipulation de transactions (R10). Lorsque la manipulation cible des composants logiciels, elle peut donner lieu à de nombreux risques.
| TT2. Erreurs et mauvaises configurations
|
2. 1. Erreurs commises dans la gestion d’un système informatique
Les erreurs commises dans la gestion d’un système informatique sont définies comme des fuites d’informations, un partage d’informations ou des dommages causés par l’utilisation abusive de ressources informatiques par les utilisateurs (méconnaissance des éléments de l’application) ou par une configuration ou une gestion inadéquate des ressources informatiques.
|
2. 2. Erreurs au niveau de l’application ou erreurs d’utilisation
Les erreurs au niveau de l’application ou les erreurs d’utilisation sont définies comme des dysfonctionnements de l’application dus à une erreur dans l’application elle-même ou à une erreur de l’un des utilisateurs (utilisateurs de portefeuille et parties utilisatrices de portefeuille).
|
2. 3. Erreurs dans la phase de développement et mauvaises configurations des systèmes
Les erreurs dans la phase de développement et les mauvaises configurations des systèmes sont définies comme des dysfonctionnements ou des vulnérabilités dus à des ressources informatiques ou à des processus opérationnels mal développés ou configurés (spécifications inadéquates des produits informatiques, utilisabilité insuffisante, interfaces mal sécurisées, flux de procédures et politiques inappropriés, erreurs de conception).
| TT3. Utilisation de ressources non fiables
| L’utilisation de ressources non fiables est définie comme une activité conduisant à des dommages involontaires dus à des relations de confiance mal définies, comme la confiance accordée à un fournisseur tiers sans garantie suffisante.
|
3. 1. Utilisation ou configuration erronées des composants du portefeuille
Une utilisation ou une configuration erronée des composants du portefeuille est définie comme une détérioration involontaire des composants du portefeuille en raison d’une utilisation erronée ou d’une mauvaise configuration par les utilisateurs du portefeuille ou par des développeurs insuffisamment formés, ou en raison d’un manque d’adaptation aux changements dans le panorama des menaces, consistant classiquement à utiliser des plateformes d’exécution ou des composants de tiers vulnérables.
| TT4. Défaillance et pannes
|
4. 1. Défaillance ou dysfonctionnement des équipements, appareils ou systèmes
Les défaillances ou les dysfonctionnements d’un équipement sont définis comme une détérioration involontaire de ressources informatiques due à une défaillance ou un dysfonctionnement de l’équipement, comprenant l’infrastructure du fournisseur et les appareils des utilisateurs.
|
4. 2. Perte de ressources
La perte de ressources est définie comme une panne ou un dysfonctionnement imputable à l’indisponibilité de ces ressources, par exemple dans le cas de pièces d’entretien.
|
4. 3. Perte de services d’appui
La perte de services d’appui est définie comme une panne ou un dysfonctionnement imputable à l’indisponibilité des services d’appui nécessaires au bon fonctionnement du système, comprenant la connectivité au réseau de l’infrastructure du fournisseur et de l’appareil de l’utilisateur.
| TT5. Actions malveillantes
|
5. 1. Interception d’informations
L’interception d’informations est définie comme le captage d’informations mal sécurisées lors de leur transmission, comprenant les attaques de l’homme du milieu.
|
5. 2. Hameçonnage et usurpation
L’hameçonnage est défini comme le captage d’informations fournies par l’utilisateur à la suite d’une interaction trompeuse, souvent associé à l’usurpation de moyens de communication et de sites web légitimes. Ces menaces ciblent l’utilisateur et contribuent classiquement au vol d’identité (R4) et aux transactions non autorisées (R9), en passant souvent par le vol de données (R5) ou la divulgation de données (R6).
|
5. 3. Rejeu de messages
Le rejeu de messages est défini comme la réutilisation de messages précédemment interceptés pour effectuer des transactions non autorisées, souvent au niveau du protocole. Cette menace technique donne lieu principalement à des transactions non autorisées, qui peuvent entraîner par la suite d’autres risques, en fonction de la transaction.
|
5. 4. Attaque par force brute
L’attaque par force brute est définie comme une atteinte à la sécurité, souvent à la confidentialité, par la réalisation d’un grand nombre d’interactions jusqu’à ce que les réponses fournissent des informations précieuses.
|
5. 5. Vulnérabilités logicielles
La menace liée aux vulnérabilités logicielles est une atteinte à la sécurité par l’exploitation d’une vulnérabilité logicielle dans les composants du portefeuille ou dans les composants logiciels et matériels utilisés dans la mise en œuvre du portefeuille, comprenant les vulnérabilités publiées et les vulnérabilités non publiées (jour zéro).
|
5. 6. Attaques contre la chaîne logistique
Une attaque contre la chaîne logistique est définie comme une atteinte à la sécurité par des attaques perpétrées contre le fournisseur de portefeuille ou ses utilisateurs afin de permettre d’autres attaques contre le portefeuille lui-même.
|
5. 7. Maliciels
Les maliciels sont définis comme une atteinte à la sécurité par des applications malveillantes effectuant des actions non désirées et illégitimes sur le portefeuille.
|
5. 8. Prédiction de nombres aléatoires
La prédiction de nombres aléatoires est définie comme un procédé rendant possible des attaques par force brute par la prédiction partielle ou totale de nombres générés aléatoirement.
SECTION IV
Menaces pour les portefeuilles
Cette dernière section présente une sélection de scénarios de menace classiques touchant spécifiquement les portefeuilles, qui sont mis en correspondance avec les principaux risques de haut niveau qui y sont liés et dont la liste figure ci-dessus. Cette liste indique les menaces à couvrir, mais ne constitue pas une liste de menaces exhaustive, qui est largement fonction de l’architecture de la solution de portefeuille retenue et de l’évolution de l’environnement de menace. En outre, dans l’évaluation des risques et les mesures proposées, le fournisseur de portefeuille ne peut être responsable que des composants relevant du champ d’application de la certification (*).
|
ID
Identifiant
|
Description de la menace
Description de la menace identifiée (*)
|
Intitulé du risque
Risques correspondants
| TR1 | Un attaquant peut révoquer des pseudonymes sans motif justifié. | Création ou utilisation d’une fausse identité électronique (R2)
| TR2 | Un attaquant peut délivrer des identités électroniques fabriquées qui n’existent pas. | Création ou utilisation d’une fausse identité électronique (R2)
| TR3 | Un attaquant peut commencer à délivrer des PID non autorisées. | Création ou utilisation d’une fausse identité électronique (R2)
| TR4 | Un attaquant peut obtenir d’un administrateur qu’il saisisse un fournisseur de PID erroné dans la liste de confiance des fournisseurs de PID. | Création ou utilisation d’une fausse identité électronique (R2)
| TR5 | Un attaquant peut contourner le service de validation d’identité à distance. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)
| TR6 | Un attaquant peut contourner le service de validation d’identité physique. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)
| TR7 | Un attaquant peut contourner les services de validation d’identité liés à l’utilisation d’un certificat (qualifié) à distance. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)
| TR8 | Un attaquant peut avoir accès à un portefeuille qui n’est pas lié à une personne. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)
| TR9 | Un attaquant peut déjouer les contrôles techniques et procéduraux pour créer des PID erronées. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)
| TR10 | Un attaquant peut activer un nouveau portefeuille sur un dispositif cryptographique sécurisé de portefeuille (WSCD) non valable. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)
| TR11 | Un attaquant peut contourner les services de validation d’identité liés à l’utilisation de moyens d’identification électronique existants. | Création ou utilisation d’une identité électronique existante (R1)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR12 | Un attaquant peut contourner la vérification, par le fournisseur de PID, que le portefeuille se trouve sous le contrôle de l’utilisateur et faire en sorte qu’une PID soit délivrée dans un portefeuille compromis placé sous le contrôle de l’attaquant. | Création ou utilisation d’une identité électronique existante (R1)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR13 | Un attaquant peut obtenir une PID valable dans une unité de portefeuille non valable. | Création ou utilisation d’une identité électronique existante (R1)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR14 | Un fournisseur de PID peut délivrer des identités fabriquées dans une situation où l’identité est liée à une personne existante. | Création ou utilisation d’une identité électronique existante (R1)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR15 | Un attaquant peut lier une PID au portefeuille erroné parce que le fournisseur de PID n’est pas en mesure de relier la PID au bon portefeuille. | Création ou utilisation d’une identité électronique existante (R1)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR16 | Un attaquant peut faire approuver par l’utilisateur l’activation d’une nouvelle unité/instance de portefeuille placée sous le contrôle de l’attaquant, permettant également un contrôle ultérieur des attestations. | Création ou utilisation d’une identité électronique existante (R1)/Création ou utilisation d’une fausse identité électronique (R2)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR17 | Un attaquant peut émettre une PID d’un autre État pour accéder aux données/actifs numériques de citoyens ciblés. | Création ou utilisation d’une identité électronique existante (R1)/Vol d’identité (R4)/Transaction non autorisée (R9)
| TR18 | Un attaquant peut déjouer les contrôles techniques et procéduraux pour créer de fausses attestations électroniques d’attributs (qualifiées). | Création ou utilisation de faux attributs (R3)
| TR19 | Un attaquant peut présenter des attestations électroniques d’attributs (qualifiées) qui ne lui sont pas délivrées valablement. | Création ou utilisation de faux attributs (R3)
| TR20 | Un attaquant peut attaquer le mécanisme de liaison cryptographique du portefeuille entre la PID et une attestation électronique d’attributs (qualifiée) qui ne devrait pas lui être délivrée. | Création ou utilisation de faux attributs (R3)
| TR21 | Un attaquant peut utiliser une attestation électronique d’attributs (qualifiée) dans un portefeuille, bien que l’équivalent physique de celle-ci ait expiré ou ne soit pas valable. | Création ou utilisation de faux attributs (R3)
| TR22 | Un attaquant peut contourner la vérification, par le fournisseur d’attestation électronique d’attributs (qualifiée), que le portefeuille se trouve sous le contrôle de l’utilisateur et faire en sorte qu’une attestation électronique d’attributs (qualifiée) soit délivrée dans un portefeuille compromis placé sous le contrôle de l’attaquant. | Création ou utilisation de faux attributs (R3)
| TR23 | Un attaquant peut contrefaire des attestations électroniques d’attributs. | Création ou utilisation de faux attributs (R3)
| TR24 | Un attaquant peut injecter des attestations électroniques d’attributs contrefaites dans un portefeuille. | Création ou utilisation de faux attributs (R3)
| TR25 | Le portefeuille peut présenter des attributs à une partie utilisatrice sans l’approbation d’un utilisateur. | Divulgation de données (R6)
| TR26 | Les PID, les attestations électroniques d’attributs (qualifiées) ou les pseudonymes peuvent être présentés à une partie utilisatrice erronée. | Divulgation de données (R6)
| TR27 | Un attaquant peut lancer un renouvellement d’attestation électronique d’attributs malveillant. | Divulgation de données (R6)
| TR28 | Un attaquant peut obtenir d’un utilisateur qu’il approuve à tort une demande d’attestations électroniques d’attributs (hameçonnage ou autre). | Divulgation de données (R6)
| TR29 | Un attaquant peut divulguer des attributs du portefeuille et identifier l’utilisateur du portefeuille dans une situation où l’identification n’est pas requise/autorisée. | Divulgation de données (R6)
| TR30 | Un attaquant peut déjouer les contrôles techniques et procéduraux pour extraire des données. | Divulgation de données (R6)
| TR31 | Une demande peut être divulguée à un attaquant. | Divulgation de données (R6)
| TR32 | Un attaquant peut obtenir des informations sur la politique de divulgation intégrée en matière d’attributs et présenter des attributs contenus dans la demande en cours émanant des unités de portefeuille. | Divulgation de données (R6)
| TR33 | Un attaquant peut extraire des journaux, en totalité ou en partie. | Divulgation de données (R6)
| TR34 | Un attaquant peut savoir si un portefeuille est installé sur l’appareil qu’il utilise lui-même ou sur un autre appareil, et obtenir des informations à son sujet. | Divulgation de données (R6)
| TR35 | Un attaquant peut obtenir un facteur de connaissance utilisé pour l’authentification de l’utilisateur dans l’application cryptographique sécurisée de portefeuille (WSCA). | Divulgation de données (R6)
| TR36 | Le fait de présenter une attestation électronique d’attributs concernant une personne dans le cadre de transactions multiples avec une partie utilisatrice, ou entre différentes parties utilisatrices, permet, sans que cela soit intentionnel, de lier plusieurs transactions à la personne concernée. | Divulgation de données (R6)
| TR37 | Une liste publique de révocation d’attestations/de parties utilisatrices peut contenir des informations sur l’usage que fait l’utilisateur de son attestation (par exemple, localisation, adresse IP, etc.). | Divulgation de données (R6)
| TR38 | N’étant pas en mesure de prouver le consentement de l’utilisateur pour des attributs partagés, les parties utilisatrices peuvent porter atteinte à l’intégrité des journaux. | Divulgation de données (R6)
| TR39 | Un attaquant peut tracer illégalement des utilisateurs de portefeuille en utilisant des identifiants uniques/traçables. | Divulgation des données (R6)/Surveillance (R14)
| TR40 | Une partie utilisatrice composée de plusieurs unités/entités dont chacune possède un champ d’action différent quant à ce qu’elle est autorisée à demander/traiter peut demander et traiter des données sans y être légalement habilitée. | Divulgation des données (R6)/Transaction non autorisée (R9)
| TR41 | Un attaquant peut altérer les contrôles d’intégrité et d’authenticité effectués par le portefeuille de PID de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR42 | Un attaquant peut contourner ou altérer la réalisation des contrôles effectués par le portefeuille pour vérifier l’intégrité et l’authenticité des attributs demandés de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR43 | Un attaquant peut contourner ou altérer la réalisation des contrôles effectués par le portefeuille pour vérifier tous les attributs demandés qui appartiennent au même utilisateur de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR44 | Un attaquant peut contourner ou altérer la réalisation des contrôles effectués par le portefeuille pour vérifier si la PID est valable et délivrée par un fournisseur de PID de confiance de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR45 | Un attaquant peut contourner ou altérer la réalisation des contrôles effectués par le portefeuille pour vérifier qu’une attestation électronique d’attributs qualifiée est valable et délivrée par un prestataire de services de confiance qualifié, enregistré pour la délivrance de l’attestation électronique d’attributs qualifiée, de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR46 | Un attaquant peut contourner ou altérer la réalisation des contrôles effectués par le portefeuille pour vérifier si la PID a été révoquée par le fournisseur de PID de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR47 | Un attaquant peut contourner ou altérer la réalisation des contrôles effectués par le portefeuille pour vérifier si l’attestation électronique d’attributs (qualifiée) a été révoquée par le fournisseur d’attestations électroniques d’attributs (qualifiées) de manière à ce qu’ils renvoient systématiquement une réponse positive. | Manipulation de données (R7)
| TR48 | Un attaquant peut modifier le contenu de données de sauvegarde et de récupération qui devraient se trouver exclusivement sous le contrôle de l’utilisateur. | Manipulation de données (R7)/Perte de données (R8)
| TR49 | Un attaquant peut modifier l’historique des transactions pour une instance de portefeuille donnée à partir des journaux d’activité. | Manipulation de données (R7)/Perte de données (R8)
| TR50 | Un attaquant peut pratiquer des écoutes pendant la connexion du portefeuille aux parties utilisatrices. | Vol de données (R5)/Divulgation de données (R6)
| TR51 | Un attaquant peut convaincre un utilisateur de partager des données à caractère personnel (c’est-à-dire des PID, des attestations électroniques d’attributs, des pseudonymes, des signatures électroniques, des journaux et d’autres données) avec l’attaquant ou avec un tiers alors que l’utilisateur n’en avait pas l’intention. | Vol de données (R5)/Divulgation de données (R6)
| TR52 | Un attaquant peut lire l’historique des transactions pour une instance de portefeuille donnée à partir des journaux d’activité. | Vol de données (R5)/Divulgation de données (R6)
| TR53 | Un attaquant peut exporter ou extraire du matériel de clé cryptographique à partir du dispositif cryptographique sécurisé de portefeuille (WSCD). | Vol de données (R5)/Divulgation de données (R6)/Transaction non autorisée (R9)
| TR54 | Un attaquant peut lire le contenu de données de sauvegarde et de récupération qui devraient se trouver exclusivement sous le contrôle de l’utilisateur. | Vol de données (R5)/Divulgation de données (R6)
| TR55 | Un attaquant peut contourner la méthode d’authentification de l’utilisateur pour utiliser un pseudonyme généré par une unité de portefeuille. | Vol d’identité (R4)
| TR56 | Un attaquant peut proposer aux utilisateurs une application qui imite un portefeuille légitime spécifique. | Vol d’identité (R4)
| TR57 | Un attaquant peut exporter des données de portefeuille, y compris des PID, des attestations d’attributs électroniques (qualifiées) ou des journaux. | Vol d’identité (R4)
| TR58 | Un attaquant peut exporter du matériel de liaison cryptographique. | Vol d’identité (R4)
| TR59 | Un attaquant peut s’emparer d’identités au moyen des clés cryptographiques du portefeuille. | Vol d’identité (R4)
| TR60 | Un attaquant peut dupliquer l’unité de portefeuille personnelle d’un autre utilisateur sur son propre appareil et l’utiliser. | Vol d’identité (R4)/Création ou utilisation d’une identité électronique existante (R1)
| TR61 | Les autorités d’un autre État peuvent demander à l’utilisateur de montrer et/ou de partager toutes les données du portefeuille dans une situation de proximité, par exemple lors du franchissement de la frontière de cet État. | Vol d’identité (R4)/Surveillance (R14)
| TR62 | Les utilisateurs ne peuvent pas transférer leurs journaux de transactions après la défaillance d’un appareil utilisateur, ce qui entraîne une perte de traçabilité des transactions antérieures sur le nouveau portefeuille. | Répudiation (R11)
| TR63 | Les utilisateurs ne peuvent pas récupérer leurs journaux de transactions après la défaillance d’un appareil utilisateur, ce qui entraîne une perte de traçabilité sur le nouveau portefeuille. | Répudiation (R11)
| TR64 | Les parties utilisatrices peuvent éprouver des difficultés à prouver leur consentement aux signatures électroniques à distance. | Répudiation (R11)
| TR65 | Un attaquant peut inonder de demandes la ou les connexions lors de la connexion aux parties utilisatrices. | Interruption de service (R13)
| TR66 | Un attaquant peut inonder de connexions à des parties utilisatrices un service de fourniture de statut. | Interruption de service (R13)
| TR67 | Un attaquant peut faire apparaître comme contestée/refusée la présentation d’attributs, bien que celle-ci atteste sa validité. | Interruption de service (R13)
| TR68 | Un attaquant peut révoquer une PID sans motif justifié. | Interruption de service (R13)
| TR69 | Un attaquant peut révoquer une PID sans le consentement de l’utilisateur. | Interruption de service (R13)
| TR70 | Un attaquant peut révoquer une attestation électronique d’attributs (qualifiée) sans motif justifié. | Interruption de service (R13)
| TR71 | Un attaquant peut révoquer une attestation électronique d’attributs (qualifiée) sans le consentement de l’utilisateur. | Interruption de service (R13)
| TR72 | Un attaquant peut déclencher plusieurs demandes d’identification sans qu’elles soient reconnues comme des demandes orphelines intentionnelles. | Interruption de service (R13)
| TR73 | Un attaquant peut envoyer plusieurs demandes sans transaction de suivi. | Interruption de service (R13)
| TR74 | Un attaquant peut permettre à une partie utilisatrice de demander une identification sans identification (réponse) correspondante et contrôle total. | Interruption de service (R13)
| TR75 | Un attaquant peut envoyer une réponse à une demande après son expiration, ou situations similaires entraînant une interruption du service. | Interruption de service (R13)
| TR76 | Une partie utilisatrice peut envoyer plusieurs demandes non valables. | Interruption de service (R13)
| TR77 | Un attaquant peut envoyer plusieurs demandes non valables à un fournisseur de portefeuille. | Interruption de service (R13)
| TR78 | Un attaquant peut empêcher un État membre de révoquer un fournisseur de PID non fiable de la liste de confiance des fournisseurs de PID de confiance. | Interruption de service (R13)
| TR79 | Un attaquant peut empêcher la suspension ou la révocation d’un portefeuille. | Interruption de service (R13)
| TR80 | Un attaquant peut bloquer les transactions de parties utilisatrices, d’utilisateurs et/ou de fournisseurs de PID. | Interruption de service (R13)
| TR81 | Un attaquant peut désactiver ou rendre indisponible un dispositif cryptographique sécurisé de portefeuille (WSCD). | Interruption de service (R13)
| TR82 | Un attaquant peut empêcher le fournisseur de PID de révoquer ou de suspendre des PID. | Interruption de service (R13)/Transaction non autorisée (R9)
| TR83 | Une partie utilisatrice peut déduire les données d’identité de l’utilisateur au-delà des données qui lui sont communiquées. | Surveillance (R14)
| TR84 | Un groupe de parties utilisatrices ou de fournisseurs de PID qui sont de connivence peut déduire les données d’identité de l’utilisateur au-delà des données dont ce groupe a connaissance. | Surveillance (R14)
| TR85 | Un attaquant peut suivre et tracer un utilisateur en utilisant les données d’identification personnelle de celui-ci dans une situation où l’identification de l’utilisateur n’est pas requise. | Surveillance (R14)
| TR86 | Un attaquant peut assembler une présentation «contrefaite» de combinaisons d’attestations électroniques d’attributs (qualifiées). | Manipulation de transactions (R10)
| TR87 | Un attaquant peut activer le portefeuille ou s’en emparer à distance (par exemple, dans le cas d’une application bancaire intégrant une demande d’authentification ou d’attestation) sans le consentement exprès ou le contrôle exclusif de l’utilisateur, dans des situations où l’utilisateur n’a pas conscience de la partie utilisatrice (par exemple, s’il est endormi) ou ne peut pas la voir. | Manipulation de transactions (R10)
| TR88 | Les attaquants peuvent apporter des modifications aux métadonnées d’une demande (nom du service, utilisations, etc.). | Manipulation de transactions (R10)
| TR89 | Les attaquants peuvent apporter des modifications aux informations de la réponse (état du service, nonce, etc.). | Manipulation de transactions (R10)
| TR90 | Les attaquants peuvent apporter des modifications aux informations relatives aux attributs d’une demande (demandes surabondantes, etc.). | Manipulation de transactions (R10)
| TR91 | Une partie utilisatrice peut rejouer des éléments d’une session précédente lors d’une autre session. | Manipulation de transactions (R10)
| TR92 | Un attaquant peut remplacer ou modifier la PID pendant son transfert du fournisseur de PID à l’unité de portefeuille. | Manipulation de transactions (R10)
| TR93 | Un attaquant peut remplacer ou modifier la PID pendant son transfert de l’unité de portefeuille à la partie utilisatrice en ligne. | Manipulation de transactions (R10)
| TR94 | Un attaquant peut remplacer ou modifier la PID pendant son transfert de l’unité de portefeuille à la partie utilisatrice hors ligne. | Manipulation de transactions (R10)
| TR95 | Un attaquant peut délivrer une PID sans le consentement de l’utilisateur. | Transaction non autorisée (R9)
| TR96 | Un attaquant peut utiliser des politiques de divulgation intégrées révoquées ou non valables, éventuellement à l’insu des parties utilisatrices. | Transaction non autorisée (R9)
| TR97 | Un attaquant peut amener le portefeuille à déclarer valables des signatures électroniques erronées. | Transaction non autorisée (R9)
| TR98 | Un attaquant peut utiliser le portefeuille en dehors du contrôle de l’utilisateur. | Transaction non autorisée (R9)
| TR99 | Un attaquant peut convaincre un utilisateur d’authentifier et d’approuver des transactions avec un attaquant ou un tiers non autorisé. | Transaction non autorisée (R9)
| TR100 | Un attaquant peut faire signer électroniquement un utilisateur sans lui présenter le contenu ou après avoir présenté un contenu erroné. | Transaction non autorisée (R9)
| TR101 | Un attaquant peut contourner le contrôle d’accès du compte de l’utilisateur auprès du fournisseur de portefeuille. | Transaction non autorisée (R9)
| TR102 | Un attaquant peut usurper l’identité de parties utilisatrices lors de la connexion aux parties utilisatrices. | Transaction non autorisée (R9)/Divulgation de données (R6)
| TR103 | L’utilisateur au niveau de la connexion entre la partie utilisatrice et le navigateur peut être différent de l’utilisateur au niveau de la connexion entre la partie utilisatrice et le portefeuille. | Transaction non autorisée (R9)/Divulgation de données (R6)/Vol d’identité (R4)
| TR104 | Un attaquant peut convaincre l’utilisateur de révoquer son portefeuille sans raison. | Transaction non autorisée (R9)/Interruption de service (R13)
| TR105 | Un attaquant peut commettre des attaques de l’homme du milieu. | Transaction non autorisée (R9)/Divulgation de données (R6)/Surveillance d’identité (R14)
| TR106 | Un attaquant peut présenter des attributs non valables ou révoqués issus d’un portefeuille qui ne se connecte pas régulièrement au réseau. | Incidence sur différents risques
| TR107 | Un attaquant peut voler des informations à un utilisateur en usurpant un portefeuille. | Incidence sur différents risques
| TR108 | Un attaquant peut usurper l’identité de l’utilisateur en rejouant/en imitant une demande de données (par exemple, une authentification), qui semblerait valable. | Incidence sur différents risques
| TR109 | Un attaquant peut rejouer une politique de divulgation intégrée à l’intention d’un utilisateur, pour imiter une demande approuvée. | Incidence sur différents risques
| TR110 | Un attaquant peut exploiter le manque d’information des utilisateurs de portefeuille, ou les retards indus, à la suite d’une atteinte à la sécurité ou d’une altération. | Incidence sur différents risques
| TR111 | Un attaquant peut modifier un portefeuille légitime précédemment installé pour y ajouter des éléments malveillants. | Incidence sur différents risques
| TR112 | Un attaquant peut modifier une instance de portefeuille légitime et la proposer aux utilisateurs comme étant une instance légitime. | Incidence sur différents risques
| TR113 | Un attaquant peut déjouer le mécanisme même d’authentification de l’utilisateur pour contourner l’authentification de l’utilisateur de portefeuille. | Incidence sur différents risques
| TR114 | Un attaquant peut introduire du code malveillant ou des portes dérobées dans le code du portefeuille lors de son déploiement sur l’appareil de l’utilisateur. | Incidence sur différents risques
| TR115 | Un attaquant peut introduire du code malveillant ou des portes dérobées dans le code du portefeuille lors de son développement. | Incidence sur différents risques
| TR116 | Un attaquant peut manipuler frauduleusement la génération de nombres aléatoires afin de réduire suffisamment leur entropie pour permettre des attaques. | Incidence sur différents risques
| TR117 | Un attaquant peut manipuler frauduleusement des appareils d’utilisateurs dans la chaîne d’approvisionnement pour y inclure du code ou des configurations qui ne répondent pas aux conditions d’utilisation du portefeuille. | Incidence sur différents risques
| TR118 | Un attaquant peut activer une unité de portefeuille en utilisant par usurpation un dispositif cryptographique sécurisé de portefeuille (WSCD) contrôlé par les attaquants. | Incidence sur différents risques
| TR119 | Un attaquant peut lire les informations envoyées à l’application cryptographique sécurisée de portefeuille (WSCA) et/ou au dispositif cryptographique sécurisé de portefeuille (WSCD). | Incidence sur différents risques
| TR120 | Un attaquant peut envoyer des informations arbitraires à l’application cryptographique sécurisée de portefeuille (WSCA). | Incidence sur différents risques
| TR121 | Un attaquant peut voler des informations en interceptant des échanges entre l’application cryptographique sécurisée de portefeuille (WSCA) et/ou le dispositif cryptographique sécurisé de portefeuille (WSCD). | Incidence sur différents risques
| TR122 | Un attaquant peut envoyer des informations arbitraires au dispositif cryptographique sécurisé de portefeuille (WSCD). | Incidence sur différents risques
| TR123 | Un attaquant peut envoyer des informations au dispositif cryptographique sécurisé de portefeuille (WSCD) en contournant l’application cryptographique sécurisée de portefeuille (WSCA). | Incidence sur différents risques
| TR124 | Un attaquant peut utiliser l’hameçonnage pour diriger les utilisateurs vers une fausse application web de gestion de portefeuille et de PID. | Incidence sur différents risques
| TR125 | Un attaquant peut remplacer les clés d’un portefeuille par d’autres clés pour créer des messages à utiliser lors d’une autre attaque. | Incidence sur différents risques
| TR126 | Un attaquant peut modifier ou détruire les clés d’un portefeuille, rendant certaines fonctions du portefeuille inutilisables. | Incidence sur différents risques
| TR127 | Un attaquant peut contrôler un maliciel pour accéder aux données stockées dans le portefeuille. | Incidence sur différents risques
| TR128 | Un attaquant peut accéder à des éléments de preuve générés dans le portefeuille. | Incidence sur différents risques
| TR129 | Les fournisseurs de portefeuille peuvent accéder à des objets dans le portefeuille. | Incidence sur différents risques
| TR130 | Les fournisseurs de portefeuille peuvent accéder à des éléments de preuve générés dans le portefeuille. | Incidence sur différents risques
| TR131 | Un attaquant peut voler un dispositif de portefeuille déverrouillé. | Incidence sur les plusieurs risques
| TR132 | Un attaquant peut manipuler le système pour empêcher que certains événements ne soient journalisés. | Incidence sur différents risques
| TR133 | Un attaquant peut intercepter la communication entre l’instance de portefeuille et l’application cryptographique sécurisée de portefeuille (WSCA), ou rejouer/imiter un utilisateur (par exemple, en piratant le mécanisme d’authentification). | Incidence sur différents risques