EXI EDC PSC 117
Document de conformité
xxx
Chapitre 1 : Prérequis Maturité Technique
En tant que FS, je dois garantir que la forme de stockage des secrets de sécurité utilisés lors de l’authentification des utilisateurs (personnes ou autres systèmes) interdise définitivement d’accéder à leur valeur en clair tout en permettant leur comparaison avec un secret à tester. Je peux avoir recours à des fonctions de hachage cryptographique à cette fin.
Si besoin, le haché du secret peut être utilisé comme index pour retrouver les informations contextuelles liées au secret mais qui ne constituent pas elles-mêmes des secrets de sécurité, et qui peuvent être nécessaires à des validations de sécurité (ex: date d’expiration de l’état d’authentification matérialisé par le secret, état de révocation ou non du secret, identifiant du système autorisé à utiliser le secret…) ou aux fonctions métiers assurées par le système (ex: informations relatives à l’utilisateur…).
| EXI EDC PSC 117 | |||
|---|---|---|---|
| Éditeur de Logiciel Utilisateur | Éditeur de Logiciel Proxy e-santé | ||
|
[[[Il est attendu que le Fournisseur de Service précise les mesures mises en place pour empêcher tout stockage d’information de raccordement dans le code source;
OU fasse référence à un extrait, clairement identifié, d’un document qu’il fournira. ] |
|||
Il faut décrire comment sont gérées les informations de raccordement :
Par exemple :
- en variables d’environnement lors du lancement de l’application
- en utilisation un logiciel tierce comme HashiCorp Vault qui injecte les variables
- …