PD-107 — Expression de Besoin : Authentification Biométrique iOS¶

Version : 1.0 Date : 2026-02-14 Auteur : Claude (Orchestrateur) Validation PO : Validé (2026-02-14)

1. Contexte¶

ProbatioVault repose sur une architecture Zero-Knowledge avec chiffrement local, hiérarchie de clés (K_encryption → K_master_user → K_doc) et stockage sécurisé des enveloppes dans un HSM isolé.

L'application iOS constitue un point d'accès critique au coffre-fort probatoire. Elle doit concilier : - Sécurité maximale — aucune clé en clair, Secure Enclave - Expérience utilisateur fluide — déverrouillage < 1 seconde - Conformité probatoire — journalisation auditable, NF Z42-013 compatible

L'authentification biométrique (Face ID / Touch ID) permet un déverrouillage rapide sans compromettre les garanties Zero-Knowledge ni contourner le modèle cryptographique décrit dans l'architecture globale.

2. Problème à Résoudre¶

Actuellement, l'utilisateur doit saisir son mot de passe à chaque ouverture de l'application. Cela crée une friction qui : - Décourage l'usage fréquent de l'application - Réduit l'adoption B2C par rapport aux concurrents - Expose le mot de passe à des observations (shoulder surfing)

Besoin utilisateur : Pouvoir déverrouiller l'application rapidement avec Face ID / Touch ID tout en conservant un niveau de sécurité bancaire.

3. Objectif Fonctionnel¶

Permettre à un utilisateur iOS de :

1. Activer l'authentification biométrique depuis les paramètres de l'application
2. Déverrouiller l'application via Face ID ou Touch ID
3. Basculer automatiquement vers le mot de passe en cas d'échec ou d'indisponibilité
4. Bénéficier d'une protection locale via Secure Enclave / Keychain iOS
5. Tracer chaque authentification de manière probatoire

4. Périmètre¶

4.1 Inclus¶

4.2 Exclu¶

5. Exigences Fonctionnelles¶

5.1 Activation de la Biométrie¶

Prérequis : - Utilisateur authentifié (session active) - Biométrie disponible sur le device (Face ID ou Touch ID configuré)

Flux : 1. L'utilisateur accède à Paramètres > Sécurité > Authentification biométrique 2. Il active le toggle "Utiliser Face ID / Touch ID" 3. L'application demande la confirmation du mot de passe 4. L'application affiche les implications de sécurité : - "La biométrie facilite le déverrouillage mais ne remplace pas votre mot de passe" - "En cas de modification de vos empreintes système, vous devrez ressaisir votre mot de passe" 5. L'application génère et stocke une clé dérivée protégée par biométrie dans le Keychain 6. Confirmation visuelle de l'activation

Contraintes : - Le mot de passe ne doit jamais être stocké en clair - La clé stockée est une clé intermédiaire (pas K_encryption directement)

5.2 Déverrouillage¶

Flux nominal : 1. L'utilisateur ouvre l'application 2. Si biométrie activée ET disponible → prompt Face ID / Touch ID 3. Si succès biométrique : - Récupération de la clé intermédiaire depuis le Keychain - Dérivation de K_encryption en mémoire - Accès au coffre-fort - Log : BIOMETRIC_AUTH_SUCCESS 4. Temps de déverrouillage cible : < 1 seconde

Flux alternatif (échec biométrique) : 1. Échec biométrique (non reconnaissance) 2. Compteur d'échecs incrémenté 3. Si compteur < 3 → nouvelle tentative possible + option mot de passe 4. Si compteur >= 3 → mot de passe obligatoire 5. Log : BIOMETRIC_AUTH_FAILURE avec nombre de tentatives

Flux alternatif (utilisateur choisit mot de passe) : 1. L'utilisateur tape sur "Utiliser le mot de passe" 2. Formulaire de saisie classique 3. Authentification SRP-6a standard 4. Log : PASSWORD_AUTH_FALLBACK

5.3 Fallback Obligatoire¶

Le mot de passe est exigé dans les situations suivantes :

5.4 Keychain et Secure Enclave¶

Stockage : - La clé intermédiaire est stockée dans le Keychain iOS - Protection : kSecAccessControlBiometryCurrentSet (invalide si biométrie modifiée) - Accessibility : kSecAttrAccessibleWhenUnlockedThisDeviceOnly

Secure Enclave : - Utilisée pour protéger l'accès au Keychain - La clé privée SE ne quitte jamais le hardware - ProbatioVault n'a jamais accès aux données biométriques brutes

Révocation automatique : - Si LAContext.evaluatedPolicyDomainState change → clé invalidée par iOS - L'application détecte l'invalidation et force le fallback mot de passe - Log : BIOMETRIC_REVOKED_SYSTEM_CHANGE

5.5 Journalisation Probatoire¶

Chaque événement génère un log structuré :

Propriétés : - Append-only (pas de modification/suppression) - Horodatage serveur (UTC ISO 8601) - Signature HSM pour non-répudiation - Compatible NF Z42-013 et Preuve Composite Ancrée

6. Exigences de Sécurité¶

6.1 Invariants Non Négociables¶

6.2 Cas à Risque à Couvrir¶

7. Contraintes UX¶

8. Contraintes Réglementaires¶

• RGPD : Données biométriques jamais collectées par ProbatioVault (traitement local iOS uniquement)
• Zero-Knowledge : Aucune information permettant de déchiffrer ne quitte le device
• NF Z42-013 : Journalisation compatible archivage probatoire
• Souveraineté : Pas de dépendance cloud biométrique externe

9. Critères d'Acceptation¶

10. Dépendances¶

11. Risques Identifiés¶

12. Point Stratégique¶

Cette user story est critique pour : - Adoption B2C — UX comparable aux gestionnaires de mots de passe premium - Crédibilité sécurité — Niveau bancaire mobile - Segment mineurs (PD-185) — Facilité d'accès sans compromis sécurité - Image européenne — Infrastructure de confiance souveraine

Une implémentation faible serait destructrice pour la promesse Zero-Knowledge.

Annexe : Décisions PO¶