Logo

Livre blanc sur la sécurité et la confidentialité (présentation)Chapitre 6

Chapitre 6 Cycle de vie et suppression des données

Ce chapitre définit le cycle de vie des données chiffrées (blocs de texte chiffré et manifestes) : création, conservation, expiration et suppression. L’objectif est un comportement prévisible pour les utilisateurs et les auditeurs, tout en respectant les limites de la connaissance nulle.

6.1 Catégories de données

  • Blocs de texte chiffré : fragments de fichiers chiffrés stockés dans le stockage d’objets.
  • Manifeste : paramètres publics nécessaires au téléchargement et à l’assemblage (sans CEK).
  • État : autorisation, progression, durée de vie (TTL), indicateurs de révocation et preuves de livraison minimales.

6.2 Sémantique de suppression

  • La suppression ou la révocation initiée par l’expéditeur DOIT faire échouer tout accès ultérieur (jetons invalidés / état qui refuse l’accès).
  • La suppression DEVRAIT déclencher le nettoyage des objets associés (blocs et manifeste) lorsque c’est possible.
  • Le comportement du système DOIT être cohérent pour les destinataires : les transferts révoqués ou expirés doivent afficher une raison claire.

6.3 Politique d’expiration et nettoyage automatisé

6.3.1 Déclencheurs d’expiration

  • Les transferts DEVRAIENT avoir une politique expiresAt (conservation selon l’offre ou durée de vie choisie par l’utilisateur).
  • Après l’expiration, l’accès DOIT être refusé, même si le texte chiffré existe encore temporairement.

6.3.2 Nettoyage automatisé

  • Le nettoyage en arrière-plan DEVRAIT supprimer les blocs et manifestes expirés dans un délai raisonnable.
  • Le nettoyage doit résister aux nouvelles tentatives et aux échecs partiels (suppression idempotente).

6.3.3 Contraintes d’expérience utilisateur après l’expiration

  • Les destinataires DOIVENT voir un état « Expiré » explicite et la marche à suivre (contacter l’expéditeur).
  • Les expéditeurs DEVRAIENT pouvoir distinguer « expiré » de « révoqué » dans l’interface de gestion.

6.4 Garanties visibles par l’utilisateur

  • La suppression ou la révocation DOIT prendre effet immédiatement pour le contrôle d’accès (échec sécurisé).
  • La suppression physique dans le stockage PEUT n’être effective qu’à terme ; en revanche, l’accès doit rester refusé, sans possibilité de réactivation.
  • Les journaux et les preuves doivent rester minimaux et ne doivent contenir aucun secret (fragments, CEK).

6.5 Identifiants d'affirmation associés