Vérifier les valeurs de hachage des clés bancaires lors d'une requête d'initialisation EBICS

Les transactions EBICS sont divisées en différentes étapes : initialisation, transfert de données et acquittement (cette dernière ne s'appliquant qu'aux transactions de téléchargement).

Les aspects suivants sont notamment vérifiés lors de l'initialisation:

• Type d'ordre
•  Signature d'authentification
• Valeurs de hachage des clés bancaires
•  Autorisations relatives au participant

La phase de transfert durant laquelle les données de l’ordre sont envoyées ne peut se dérouler qu’une fois l’initialisation réalisée avec succès. Les valeurs de hachage des clés bancaires sont vérifiées lors de l'initialisation, afin d'assurer que le client utilise les clés bancaires à jour. Si la vérification échoue, le serveur envoie le code retour EBICS_BANK_PUBKEY_UPDATE_REQUIRED. Cela permet d’indiquer au client qu’il doit télécharger les clés bancaires les plus récentes à l'aide du type d'ordre HPB.

Avant l'harmonisation apportée par EBICS 3.0 il était possible d'utiliser les clés bancaires directement ou incorporées dans les certificats. Conformément aux spécifications d’EBICS jusqu'à la version 3.0, les valeurs de hachage des clés bancaires publiques devaient être fournies pendant l'initialisation des transactions – indépendamment du fait qu'il s'agissait d'un échange de certificats ou de clés avec l'institution financière.

À partir d'EBICS 3.0, les certificats sont obligatoires pour la gestion des clés. Il est en plus spécifié qu'il est nécessaire d'indiquer les valeurs de hachage des certificats dans la requête d’initialisation EBICS, tant pour les émissions que pour les téléchargements.

En règle générale, les fournisseurs de serveurs bancaires EBICS offrent à leurs clients la possibilité d’une transition progressive, en permettant de spécifier aussi bien les clés bancaires que les certificats au format DER. Cela signifie que les clients ne sont plus tenus d’effectuer de téléchargement via le type d'ordre HPB une fois la migration vers EBICS 3.0 accomplie. Les clés comme les certificats peuvent être indiqués soit sous forme HEX, conformément à la spécification, soit de manière alternative en codage Base64. Le mélange des deux schémas dans une seule et même requête n'est pas prévu.

À propos : EBICS 3.0 a uniformisé la gestion des clés non seulement pour les clés bancaires, mais également pour les clés du participant. Cela signifie qu'il est d'ores et déjà obligatoire dans tous les pays d'initialiser les participants avec des certificats, chose qui existait jusqu'ici uniquement en France (CFONB). Dans ce cas aussi les serveurs bancaires EBICS permettent généralement une transition aisée : les clés du participant d’une longueur minimale de 2 048 octets peuvent également être utilisées pour EBICS 3.0 et, pour l’activation des clés (types d'ordre HCA, HCS et PUB) les nouveaux certificats peuvent généralement être signés avec les clés des versions antérieures d’EBICS.
Les certificats validés par une AC continuent d'être utilisés uniquement en France. Cependant du point de vue des serveurs bancaires, rien ne devrait s’opposer à ce que ce soit le cas également dans d’autres pays.

Auteur: Hendrik Chlosta