Level of Assurance
Le level of assurance, souvent abrégé LoA, mesure la confiance qu'une partie utilisatrice peut accorder à une identité revendiquée. eIDAS en distingue trois : faible, substantiel et élevé.
Le niveau est déterminé par deux éléments : avec quelle rigueur la personne a été identifiée lors de la première délivrance du credential, et avec quelle solidité le credential est ensuite protégé et lié à elle. Le règlement d'exécution (UE) 2015/1502 de la Commission fixe les critères techniques dans quatre domaines : l'enregistrement, le moyen d'identification électronique lui-même, la manière dont le détenteur s'authentifie avec, et la manière dont l'organisme émetteur gère et audite l'ensemble du processus. Le niveau faible couvre un enregistrement autodéclaré avec peu ou pas de vérification de l'identité revendiquée ; le niveau substantiel exige une preuve que l'identité est authentique, généralement vérifiée par rapport à un document ou un registre, et une connexion utilisant plus d'un facteur ; le niveau élevé exige en plus que l'identité ait été vérifiée par rapport à une source faisant autorité, en personne ou par une procédure à distance équivalente offrant une assurance comparable, et que le credential réside dans un matériel résistant à la falsification tel qu'un élément sécurisé. Cela compte car cela détermine à quoi un credential peut servir : les États membres doivent reconnaître mutuellement leurs schémas d'eID notifiés au niveau substantiel ou élevé pour l'accès transfrontalier aux services publics en vertu du règlement eIDAS initial de 2014, et eIDAS 2.0 exige que le portefeuille EUDI lui-même soit délivré au niveau élevé, car le PID est l'ancrage sur lequel repose toute autre attestation du portefeuille. Une partie utilisatrice en dehors du secteur public n'est pas liée par la même obligation de reconnaissance et peut demander le niveau que son propre risque exige : un service vérifiant seulement qu'un client a plus de 18 ans peut accepter un niveau plus bas ou un seul attribut, tandis qu'un service exécutant un onboarding anti-blanchiment exigera le niveau élevé car la conséquence légale d'une erreur d'identité est bien plus grave.
Termes associés
Une partie utilisatrice en dehors du gouvernement peut-elle exiger un niveau d'assurance plus élevé qu'eIDAS ne l'impose ?
Oui. eIDAS fixe un plancher : les services publics doivent accepter les schémas notifiés au niveau substantiel ou élevé, et le portefeuille EUDI doit être délivré au niveau élevé. Une partie utilisatrice privée est libre de demander le niveau que son propre risque exige, acceptant un niveau plus bas pour quelque chose comme la vérification d'âge tout en exigeant le niveau élevé, avec des preuves correspondantes, pour l'onboarding anti-blanchiment ou l'ouverture d'un compte financier.