Actualités

Ajout de certificats SSL pour *.ehealth.fgov.be

Cette communication concerne tous les utilisateurs d’un service de eHealth dans le domaine « *.ehealth.fgov.be »

  1. Quelles sont les actions attendues de votre part :

Pour toutes les applications qui se connectent à un ou plusieurs services eHealth, en utilisant la chaîne de certification pour valider la connexion SSL, il vous suffit de la valider (via la racine ou CA intermédiaire)

Pour toutes les applications qui se connectent à un ou plusieurs services eHealth, en utilisant le certificat final pour valider la connexion SSL, vous devez valider que ce nouveau certificat final est inclus dans la liste des certificats autorisés

Applications connues pour effectuer une validation avec un certificat final:

· Si vous utilisez un Shibboleth SP

  1. Si vous avez configuré les métadonnées de telle sorte qu’elles sont téléchargées quotidiennement de la plate-forme eHealth, vous ne devez rien faire
  2. Si vous avez configuré les métadonnées de telle sorte qu’elles se trouvent uniquement en local, veuillez télécharger manuellement le fichier metadata de notre IDP et l’installer en local

Les nouveaux certificats pour « *.ehealth.fgov.be » sont repris dans le fichier metadata (xml) de l’IDP (Identity Provider) de eHealth qui est disponible en ligne à l’adresse suivante:

Une description de ces métadonnées est disponible sur le portail eHealth à l’adresse suivante:

https://www.ehealth.fgov.be/ehealthplatform/file/view/fc0bc55200ea65493628d32c55ea3525?filename=i_am_federation_metadata_v1_1_dd_20150713.doc.pdf (wcag.label.file wcag.label.externalLink)

· Attribute Authority

Les métadonnées en ligne de eHealth AA (Attribute Authority) ont également été adaptées (pour les certificats SSL *.ehealth.fgov.be)

Acceptation:  https://services-acpt.ehealth.fgov.be/IAM/Metadata/AA ( wcag.label.externalLink)

Production:  https://services.ehealth.fgov.be/IAM/Metadata/AA ( wcag.label.externalLink)

Attention, le nouveau certificat est émis par une autre autorité de certification. Il ne s’agit plus de Quovadis mais bien de Sectigo. De ce fait, la chaîne de confiance (Certificate Chain of Trust) est complètement différente.

 

  1. Quand devez-vous exécuter ces actions ?

Le nouveau certificat est déja activé chez eHealth en acceptation et en production, vous devez donc ajouter ces certificats en parallèle avec les certificats existant au plus tard le 11/02/2022.

Vous trouverez ces certificats via ce lien sur notre portail https://www.ehealth.fgov.be/ehealthplatform/fr/data/file/view/e4804c35223d4ad405721b2b26ee89a46999832a?name=SSL.ZIP ( wcag.label.externalLink)

Si vous n’effectuez pas ces démarches à temps, il est possible que vous ne puissiez plus établir de connexions sécurisées (https) à partir des dates précitées car votre système n'autorise pas encore les nouveaux certificats.

  1. Action nécessaire pour les utilisateurs finaux?

Aucune action spécifique n'est nécessaire pour les utilisateurs finaux

 

Si vous avez encore des questions, vous pouvez contacter le "contact center" via support@ehealth.fgov.be ( wcag.label.externalLink) ou au numéro 02/788.51.55

Qu’est-ce que Helena ?

Helena ( wcag.label.externalLink) est une plateforme qui est proposée par la société de logiciels HealthConnect SA pour permettre une communication sécurisée entre les patients et les prestataires de soins.

Un patient qui souhaite utiliser la plateforme Helena doit s’authentifier, c’est-à-dire qu’il doit s'identifier de manière électronique et prouver de manière électronique qu’il est bien la personne qu’il prétend être. Cette authentification peut être réalisée à l’aide de 3 moyens, tous intégrés dans le Federal Authentication Service (FAS) ( wcag.label.externalLink) du SPF BOSA

  1. la carte d’identité électronique (eID) ( wcag.label.externalLink)
  2. Itsme ( wcag.label.externalLink)
  3. le moyen d'authentification Helena

Qu’est-ce que le moyen d’authentification Helena ?

Le moyen d'authentification Helena est un moyen d’authentification à deux facteurs ( wcag.label.externalLink) , basé sur la combinaison de la possession d'un appareil (ordinateur, smartphone, tablette) et de connaissances (code pin choisi par l’utilisateur), permettant à un patient de prouver son identité de manière électronique et de prouver qu’il est bien la personne qu'il prétend être.

Le moyen d’authentification Helena est créé de la façon suivante

  • un prestataire de soins (le titulaire du DMG ( wcag.label.externalLink) du patient ou un hôpital avec lequel le patient a une relation thérapeutique) vérifie l’identité du patient
  • le patient reçoit un code d’activation du prestataire de soins, qui est généré par Helena lors de l’enregistrement
  • le patient active son compte patient dans Helena au moyen
  • le patient choisit un mot de passe qu’il utilisera chaque fois qu’il se connecte à Helena
  • s’il le souhaite, le patient peut enregistrer des appareils qu’il a activés comme « appareils fiables ».

Le patient peut ensuite s’authentifier au moyen du code d’authentification Helena en introduisant son mot de passe

  • soit à partir d’un appareil enregistré comme « appareil fiable »
  • soit à partir d’autres appareils sur la base d’un TOTP ( wcag.label.externalLink) qu’il reçoit par SMS à chaque connexion

Pourquoi le moyen d’authentification Helena est-il repris dans le FAS du SPF BOSA ?

Pour un citoyen, il est pratique de pouvoir s’authentifier à l’aide d’un seul moyen d’authentification vis-à-vis de différentes applications électroniques, au lieu de devoir utiliser des moyens d’authentification différents pour chaque application. Ce concept est appelé « single sign on » : une authentification unique permet d'utiliser différentes applications sans devoir chaque fois s’authentifier à nouveau.

Le moyen d'authentification le plus sûr est la carte d'identité électronique (eID). Mais certains citoyens ne disposent pas d'une eID, d'un lecteur eID ou ne possèdent pas les connaissances pour installer le logiciel nécessaire à l’authentification au moyen de l’eID. Par ailleurs, l’eID ne peut pas être utilisée comme moyen d’authentification lorsque l’utilisateur souhaite s’authentifier avec un appareil mobile (tablette, smartphone).

C’est pourquoi, les autorités ont décidé d’accepter d’autres moyens d’authentification, développés par des sociétés privées, dans la mesure où ces moyens d’authentification répondent à certaines spécifications minimales. Pour ces spécifications minimales, il est fait référence aux spécifications qui ont été établies en exécution du Règlement (UE) n° 910/2014 du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur ( wcag.label.externalLink) (également appelé règlement eIDAS) par le règlement d’exécution (UE) 2015/1502 ( wcag.label.externalLink) . De manière concrète, les spécifications auxquelles doivent répondre ces moyens d’authentification sont définies dans la loi du 18 juillet 2017 relative à l’identification électronique ( wcag.label.externalLink) et dans l’ arrêté d’exécution du 22 octobre 2017 ( wcag.label.externalLink) (moyens d'authentification qui peuvent être utilisés de manière générale) ou dans la délibération n° 19/152 du Comité de sécurité de l’information (wcag.label.file wcag.label.externalLink) (moyens d'authentification qui peuvent être utilisés dans le secteur de la santé et dans le secteur social).

Itsme est reconnu comme moyen d’authentification fiable, utilisable de manière générale et le moyen d'authentification Helena est reconnu comme moyen d’authentification fiable, utilisable dans le secteur social et le secteur de la santé. Ceci est valable évidemment dans la mesure où ils satisfont et continuent à satisfaire aux spécifications minimales établies.

Par ailleurs, le fait que le moyen d’authentification Helena soit considéré comme moyen d’authentification single sign on fiable dans le secteur de la santé a comme avantage pour le citoyen qui l’utilise qu'il peut obtenir accès, grâce au single sign on, à d’autres applications ou plateformes que la plateforme Helena, par exemple à des serveurs de résultats de laboratoires ou à la banque de données des prescriptions de médicaments. Si ce n’était pas le cas, les médecins pourraient avoir tendance à copier les résultats d’analyses ou les prescriptions de médicaments vers la plateforme Helena, qui évoluerait ainsi de façon indésirable vers une banque de données centrale avec des informations de santé de nombreux patients. Ceci n’est pas souhaitable.

A quel niveau le moyen d'authentification Helena est-il classé dans le FAS du SPF BOSA ?

Le moyen d’authentification Helena est classé au niveau 350.

Dans la mesure où les spécifications mentionnées dans la délibération n° 19/210 du Comité de sécurité de l’information (wcag.label.file wcag.label.externalLink) sont respectées, le moyen d’authentification Helena offre les mêmes garanties que les moyens d’authentification de niveau 400 basés sur un TOTP ( wcag.label.externalLink) . Etant donné que le moyen d’authentification Helena peut uniquement être utilisé dans le secteur social et le secteur de la santé, il y a lieu de le distinguer des autres moyens d’authentification de niveau 400 qui peuvent être utilisés de manière générale. C’est la raison pour laquelle le moyen d'authentification Helena est classé au niveau 350.

Le fait que le moyen d’authentification Helena puisse être utilisé comme moyen d’authentification dans le secteur de la santé a été décidé par le Comité de gestion de la Plate-forme eHealth. Le fait que le moyen d’authentification Helena puisse être utilisé comme moyen d’authentification dans le secteur social a été décidé par le Comité de gestion de la Banque Carrefour de la sécurité sociale. Ces décisions sont reprises dans le Règlement à l'usage des utilisateurs (wcag.label.file wcag.label.externalLink) du portail eSanté et du portail de la sécurité sociale.

Sur quoi porte la plainte contre Helena qui a été introduite auprès de l’Autorité de protection des données par Medispring, 5 médecins et un patient ?

Cette plainte porte essentiellement sur le fait qu'un moyen d’authentification Helena peut potentiellement être créé

  • par un autre prestataire de soins que le titulaire du DMG ( wcag.label.externalLink) de l’intéressé ou que l’hôpital qui a une relation de soins avec l'intéressé et/ou
  • sans que l'identité de l’intéressé soit dûment vérifiée.

Si tel est le cas, la manière dont le moyen d’authentification Helena est attribué ne répond pas aux spécifications qui ont été établies dans la délibération du Comité de sécurité de l’information.

Afin d’examiner ceci et de ne pas prendre de risques au niveau de la sécurité de l'information, le moyen d’authentification Helena n’est temporairement plus repris dans le Federal Authentication Service (FAS) ( wcag.label.externalLink) .

Il va de soi que le respect des exigences en matière d'identification correcte de l’intéressé relève de la responsabilité du titulaire du DMG ( wcag.label.externalLink) ou de l’hôpital qui a initialisé la création du moyen d’authentification Helena. Le fait qu'une telle initialisation puisse uniquement être effectuée par le titulaire du DMG ( wcag.label.externalLink) de l’intéressé ou par un hôpital qui a une relation thérapeutique avec l’intéressé doit être garanti par le composant logiciel de la plateforme Helena qui est appelé par le logiciel du médecin ou de l’hôpital concerné afin d'initialiser la création d'un moyen d’authentification Helena.

Proposition de solution

Un logging auprès de la plateforme Helena permet de déterminer quel médecin ou quel hôpital a initialisé la création d'un moyen d’authentification Helena. Le composant logiciel de la plateforme Helena qui est appelé par le logiciel d'un médecin ou d'un hôpital pour initialiser la création d’un moyen d’authentification Helena vérifie, préalablement à l’initialisation, dans les sources authentiques proposées via la Plate-forme eHealth, que le prestataire de soins est soit le titulaire du DMG ( wcag.label.externalLink) de l’intéressé, soit un hôpital avec lequel l'intéressé a une relation de soins. Ceci est imposé par le code logiciel et n’est pas paramétrable.

Pour les quelque 800.000 citoyens pour lesquels un moyen d'authentification Helena a été créé dans le passé, il est vérifié dans les loggings si le moyen d'authentification Helena a été initialisé par le médecin qui est connu dans la source authentique des titulaires de DMG ( wcag.label.externalLink) comme le titulaire du DMG ( wcag.label.externalLink) de l’intéressé. Si ce n’est pas le cas, le moyen d'authentification Helena est rendu invalide. Dans ce cas, lorsque le citoyen essaiera pour la première fois de s’authentifier à l’aide du moyen d'authentification Helena, il recevra un message l’informant que le moyen d'authentification Helena est expiré et qu’il doit soit se connecter à l’aide de son eID ou d’Itsme, soit faire initialiser la création d'un nouveau moyen d'authentification Helena par le titulaire de son DMG ( wcag.label.externalLink) ou par un hôpital avec lequel il a une relation de soins.

Lors de la création du moyen d’authentification Helena, il est explicitement rappelé aux titulaires de DMG ( wcag.label.externalLink) et aux hôpitaux qui initialisent la création qu'ils sont tenus de dûment vérifier l’identité de l’intéressé à l’occasion d'un contact physique et qu'ils sont responsables à cet égard.

 

 

La plate-forme eHealth apporte des précisions relatives à l’application CovidScanBE

La plate-forme eHealth a récemment fait l’objet d’un recours en référé de la part de l’ASBL Charta 21, plainte visant à suspendre l’application Covid Scan. Il semble que certains points relatifs au fonctionnement de ce service aient besoin d’être spécifiés, raison pour laquelle la plate-forme eHealth tient à apporter les éléments de réponse utiles.

Il est important de noter que le développement et la mise en place des certificats COVID, de l'application CovidSafeBE et de l'application CovidScanBE se font en exécution d’un accord de coopération détaillé approuvé par tous les Parlements du pays. Ils sont le fruit d'une étroite collaboration entre les autorités fédérales et régionales de notre pays, Sciensano et la plate-forme eHealth. L'agence Digital Flanders est responsable de la construction et de la gestion de la solution.

L’application CovidSafeBE a pour objectif de permettre aux citoyens d’accéder librement aux événements culturels et sociaux tout en assurant le respect des mesures de suivi et de précautions essentielles à la poursuite de la gestion sanitaire de la pandémie. À l'origine, aucune mesure ne prévoyait d’intégrer le cas de personnes qui, disposant d’un certificat de vaccination valable, auraient néanmoins été contaminées par le Covid et de facto, ne pourraient pas obtenir d’accès (temporaire) à un événement. Cette situation avait été considérée comme une lacune importante par les épidémiologistes, comme Erika Vlieghe et Steven Van Gucht.

C’est la raison pour laquelle une liste publique des certificats qui, pour diverses raisons, n'étaient (temporairement) plus autorisés à donner accès à un événement a été établie. Il est essentiel de noter que cette liste contient uniquement les numéros des certificats qui ont été suspendus temporairement ou définitivement. Cette liste comprend à la fois les numéros des certificats des personnes ayant été testées positives comme les numéros de certificats considérés comme invalides ou erronés. Aucune information relative à la raison de la suspension ne peut être donc déduite tout comme aucune information relative à l’identité de la personne titulaire du certificat.

La mise en place de ce type de liste est un moyen standard dans la gestion de la validité des documents électroniques. Il existe par exemple une liste publique des cartes d'identité électroniques suspendues, des cartes bancaires suspendues.

En ce qui concerne la plainte adressée l’Autorité de Protection des Données (APD), la plate-forme eHealth a adressé à l’institution, ce vendredi 15 octobre 2021, les éléments de réponse nécessaires à l’examen de la plainte. L’exercice d’évaluation par l’APD de la pertinence ou non des allégations soutenues se fait en toute neutralité, aucune intervention autre que la transmission des réponses techniques de la plate-forme eHealth n’entre en ligne de compte.

Vers les anciennes actualités