CBOR Object Signing and Encryption (COSE): Header Parameters for Carrying and Referencing X.509 Certificates

Remarque

Spécification de l'IETF qui étend COSE en définissant des attributs qui référencent ou contiennent des certificats X.509 pour identifier et transporter des clés.

Résumé

Objet

La RFC 9360 de l’IETF (février 2023) complète COSE (CBOR Object Signing and Encryption), le mécanisme de signature et de chiffrement des données au format binaire CBOR. Elle ajoute des paramètres d’en-tête qui désignent ou transportent des certificats X.509 :

L’usage des certificats X.509 permet de réutiliser avec COSE une infrastructure de confiance existante : ancres de confiance, chaînes de certificats, vérification de la révocation RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters).

À qui ça s’applique

La RFC elle-même n’impose rien au titre d’eIDAS. Elle s’applique par renvoi aux fournisseurs de données d’identification personnelle (PID), qui veillent à ce que les PID délivrées soient conformes à l’annexe du règlement d’exécution 2024/2977 Art. 3 §3.

Le renvoi concerne la signature des PID au format ISO/IEC-mdoc : l’en-tête protégé de la signature numérique CB-AdES qui signe une PID mdoc doit contenir les paramètres x5u et x5t, tous deux spécifiés dans la RFC 9360 Annexe.

Points clés

• x5t, l’empreinte du certificat. Ce paramètre identifie le certificat du signataire par une valeur de hachage calculée sur le certificat encodé en DER ; il se compose d’un identifiant d’algorithme et de la valeur elle-même RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters).
• SHA-256. La RFC exige que les applications prennent en charge SHA-256, sans exclure d’autres algorithmes RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters). L’acte va plus loin : l’algorithme utilisé dans x5t doit être SHA-256 Annexe.
• x5u, l’adresse du certificat. Ce paramètre désigne le certificat par une URI ; la ressource peut être servie sous plusieurs types de média RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters).
• Protéger l’identification du certificat. La RFC exige que le certificat du signataire soit protégé en intégrité par COSE, par exemple en combinant x5u avec un x5t placé dans l’en-tête protégé RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters). L’acte place les deux paramètres dans l’en-tête protégé Annexe.
• Valider reste nécessaire. Celui qui se fie au certificat doit toujours le valider, par exemple selon les règles de la RFC 5280 RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters).
• Les autres paramètres. La RFC définit aussi x5bag (un ensemble non ordonné de certificats) et x5chain (une chaîne ordonnée) RFC 9360, [2.](#section-2) [X.509 COSE Header Parameters](#name-x509-cose-header-parameters) ; l’annexe ne les mentionne pas pour la PID Annexe.
• Le parallèle SD-JWT VC. Pour la PID au format SD-JWT VC, l’annexe exige de même les paramètres x5u et x5t#S256, mais ceux de la RFC 7515 Annexe.

Clauses visées par l’acte

• Paramètres x5u et x5t de la RFC, sans numéro de clause, avec une adaptation : SHA-256 obligatoire pour x5t Annexe.
• L’annexe du règlement d’exécution 2024/2977 a été remplacée par le règlement d’exécution 2026/1731 Règlement d'exécution (UE) 2026/1731 ; ce résumé cite la version consolidée qui l’intègre.

Liens

• Acte qui la rend applicable : règlement d’exécution 2024/2977 Règlement d'exécution (UE) 2024/2977 — version consolidée au 11/08/2026.
• Normes liées : RFC 7515, signature JWS RFC 7515 ; RFC 8949, CBOR RFC 8949 ; RFC 5280 RFC 5280.
• Parcours : étape 3, le portefeuille européen.

Rédaction Asphalia.