eID vs carte PIV

eID vs carte PIV

Les cartes eID européennes et la carte PIV américaine (Personal Identity Verification) sont toutes deux des cartes à puce PKI délivrées par les pouvoirs publics et permettant l'identité numérique — mais elles répondent à des modèles de gouvernance, des populations et des écosystèmes techniques différents. Cette comparaison éclaire les choix architecturaux effectués par chaque gouvernement lors de la conception de son infrastructure nationale d'identité.

Vue d'ensemble

L'eID (dans le contexte de l'Union européenne) est délivrée aux citoyens par les autorités civiles nationales et régie par le règlement eIDAS (UE 910/2014, mis à jour en 2024 sous le nom d'eIDAS 2.0 avec le portefeuille européen d'identité numérique). Les cartes eID portent des certificats de signature électronique qualifiée (QES) conformes aux normes ETSI, permettant des signatures ayant la valeur juridique d'une signature manuscrite. Le réseau eIDAS de l'UE permet la reconnaissance mutuelle de l'eID dans les 27 États membres — une eID allemande peut s'authentifier auprès d'un portail gouvernemental espagnol.

Le PIV (FIPS 201, NIST SP 800-73) est délivré aux employés et sous-traitants du gouvernement fédéral américain par leur agence employeuse. Contrairement à l'eID, le PIV n'est pas une carte destinée aux citoyens — c'est un titre pour la main-d'œuvre fédérale. La carte PIV comporte jusqu'à quatre emplacements de clés : authentification PIV (accès logique), authentification de carte (accès physique rapide), signature numérique et gestion de clés. La PKI fédérale américaine (FPKI) certifie l'ensemble des certificats délivrés dans le cadre du PIV sous la Federal Common Policy CA, permettant la confiance inter-agences.

Différences clés

• Population cible : l'eID cible l'ensemble des citoyens ; le PIV cible uniquement les employés et sous-traitants fédéraux
• Gouvernance : eIDAS (règlement de l'UE, mise en œuvre par les États membres) ; FIPS 201 (norme du NIST, mise en œuvre par agence)
• Hiérarchie PKI : l'UE utilise des autorités de certification nationales propres à chaque pays sous les listes de confiance eIDAS ; les États-Unis utilisent la FPKI avec la Federal Common Policy CA
• Portée de l'interopérabilité : eIDAS permet l'interopérabilité transfrontalière au sein de l'UE ; l'interopérabilité du PIV se limite à l'écosystème du gouvernement fédéral américain
• Nombre de certificats : l'eID européenne compte généralement deux certificats (authentification + QES) ; le PIV porte jusqu'à quatre emplacements de clés
• Accès physique : l'eID européenne est avant tout un outil d'identité numérique ; le PIV intègre l'accès physique (fonction CHUID et carte de proximité)
• Sans contact : de nombreuses eID européennes portent une puce biométrique conforme OACI 9303 pour le contrôle aux frontières ; le PIV dispose d'une interface sans contact principalement destinée à l'accès physique (GUID/CHUID)
• Civil vs professionnel : l'eID est un document civil ; le PIV est un titre professionnel

Cas d'usage

L'eID permet :

• La connexion des citoyens aux services publics en ligne (santé, prestations, fiscalité)
• Les signatures électroniques qualifiées sur des contrats, transactions immobilières, actes de procédure
• L'identité transfrontalière au sein de l'UE pour la banque, l'emploi et les services publics
• Le contrôle aux frontières (lorsque la puce biométrique est présente)

Le PIV permet :

• L'accès logique des employés fédéraux aux réseaux, VPN et applications de leur agence
• L'accès physique aux installations fédérales via le CHUID au niveau des lecteurs de carte
• La signature et le chiffrement des e-mails fédéraux américains (S/MIME)
• L'authentification aux portails de sous-traitants fédéraux exigeant une assurance PIV

Verdict

L'eID et le PIV incarnent des philosophies différentes : l'eID est un outil d'identité citoyenne universel conçu pour un usage ouvert à travers les services et les frontières ; le PIV est un titre professionnel contrôlé, conçu pour un écosystème d'agence spécifique. Aucun des deux n'est strictement « meilleur » — ils répondent à des exigences de gouvernance différentes. Un pays qui construit une infrastructure d'identité numérique nationale devrait envisager des modèles de type eID/eIDAS pour les services citoyens. Une organisation fédérale gérant l'identité de sa main-d'œuvre devrait suivre le FIPS 201 PIV. Les deux peuvent coexister : un employé fédéral américain qui est également citoyen de l'UE pourrait porter à la fois une carte PIV (pour le travail) et une eID nationale (pour les services citoyens).