BOA ID

On compte environ 24 000 BOA aux Pays-Bas — contrôleurs des transports publics, agents de stationnement, gardes forestiers, police portuaire, et bien d'autres. Chacun porte un badge physique émis par Justis. Deux problèmes structurels s'ajoutent à ce badge :

• Sensible à la fraude. Un badge perdu ou volé peut être utilisé par n'importe qui. Les citoyens n'ont aucun moyen de vérifier si le détenteur est réellement un BOA actuellement accrédité.
• Sensible à la vie privée. Le badge affiche le nom complet du BOA. Des citoyens hostiles s'en servent pour retrouver des agents, les harceler chez eux ou cibler leur famille.
• Lent et coûteux à émettre. Imprimer, expédier, activer et révoquer des badges physiques constitue une chaîne logistique qui prend des jours.
• Aucun moyen de révoquer. Une fois un badge en circulation, Justis ne dispose d'aucun mécanisme en temps réel pour l'invalider aux yeux du public.

Le ministère de la Justice et de la Sécurité souhaitait une alternative numérique qui élimine ces risques tout en préservant la confiance que porte le badge physique — et si possible, en ajoutant de nouvelles capacités au passage.

La plateforme INSIGNE remplace le badge plastique par un Verifiable Credential émis par Justis, porté sur le téléphone du BOA et vérifiable par tout citoyen — sans rien installer.

1. Émission. Justis utilise un portail web pour émettre une BOA ID numérique sous forme de Verifiable Credential, signée avec le DID propre à Justis. Le BOA reçoit un e-mail avec un code de référence et, séparément, un code PIN. Il installe l'application INSIGNE, saisit le PIN, et le credential est stocké chiffré sur l'appareil — avec un parcours de récupération par phrase de récupération (seed phrase) en cas de perte de l'appareil.

2. Identification. Lorsque le BOA doit s'identifier, il ouvre l'application, choisit les attributs à partager (numéro de badge, photo, périmètre d'autorité) et déverrouille par biométrie. L'application génère une Verifiable Presentation à durée de vie limitée.

3. Vérification. Le citoyen scanne le QR code affiché sur l'écran du BOA avec l'appareil photo par défaut de son téléphone — aucune application nécessaire. Le QR code contient un lien chiffré vers une page hébergée par le ministère, affichant les attributs sélectionnés du BOA, le statut d'authenticité et la validité actuelle. La présentation expire après 15 minutes et n'est utilisée qu'une seule fois au maximum.

4. Révocation. Justis peut révoquer une BOA ID depuis l'Issuer Portal. La vérification suivante — en ligne, en quelques secondes — signale alors le credential comme invalide.

L'ensemble du parcours repose sur les W3C Decentralized Identifiers et Verifiable Credentials, de sorte que le même credential puisse être utilisé auprès de tout vérificateur compatible et soit d'ores et déjà prêt pour le déploiement de l'European Digital Identity Wallet.

La BOA ID en action. La vidéo ci-dessous montre des BOA utilisant l'application INSIGNE pour partager leur credential ; un citoyen peut scanner le QR code avec l'appareil photo de son propre téléphone pour vérifier la validité du badge.

Credenco a livré l'ensemble de la stack INSIGNE pour le pilote Justis-RET, de l'application mobile à l'Issuer Portal en passant par le service de vérification. Périmètre :

• Application mobile INSIGNE pour iOS et Android — stockage des credentials, divulgation sélective, déverrouillage biométrique, protections hors ligne.
• Justis Issuer Portal — application web pour émettre, réémettre et révoquer les credentials des BOA.
• Service de vérification — page publique qui restitue la Verifiable Presentation pour tout citoyen qui scanne le QR code, ainsi qu'une vue authentifiée destinée aux collègues agents de contrôle.
• Gestion des clés adossée à un HSM sur l'appareil mobile pour les clés privées du BOA, avec verrouillage automatique si le téléphone reste hors ligne trop longtemps.
• Révocation et piste d'audit — qui a émis, qui a activé, qui a consulté, et quand.
• Architecture fondée sur la protection de la vie privée dès la conception — Verifiable Presentations chiffrées au repos, supprimées après une consultation ou 15 minutes, et jamais liées à l'identité du citoyen vérificateur.