R09 — OpenPGP Card 3.4 avec GnuPG standard¶

Statut : NON EXÉCUTÉ sur matériel — T2B1 et T3B1.

Appliquer le registre commun et conserver une ligne par modèle/OS requis. Les sorties des tests hôte/émulateur restent des preuves séparées.

Préconditions¶

R01/R07 réussis ; GnuPG/scdaemon/PCSC et lecteur reconnu ; GNUPGHOME de test isolé, sans trezor-agent ni autre carte branchée.

Étapes¶

Créer un répertoire GnuPG privé pour la campagne, chmod700, et y utiliser scdaemon.conf avec disable-ccid et pcsc-shared. Lancer gpg --card-status et noter version3.4, rôles et numéro de carte.
Depuis Cryptographie → OpenPGP, changer PW1/PW3 initiaux, générer Ed25519/X25519 après synchronisation d’heure ; comparer empreintes au client. Ou utiliser gpg --card-edit, admin, generate pour une génération standard ; conserver le certificat public et les informations de révocation.
Signer un fichier de test avec GnuPG, vérifier la signature par le certificat public hors de la carte. Chiffrer vers la clé de déchiffrement, déchiffrer avec la carte, comparer le résultat ; utiliser la sous-clé authentification par le chemin GnuPG/gpg-agent standard.
Vérifier confirmation locale rôle/empreinte et mention d’empreinte non interprétée ; refuser puis laisser expirer une demande, contrôler échec. Tester mauvais PW1, compteurs et changement de PIN sans perdre les clés.
Sauvegarder, répéter les opérations avec RSA2048, puis restaurer l’identité sur l’autre révision ; refaire gpg --card-status (nouveau numéro attendu) et vérifier les mêmes clés.

Résultat attendu¶

GnuPG standard détecte/génère/utilise la carte sans agent propriétaire ; signatures/déchiffrement/authentification vérifiés par clients indépendants, refus respecté et profils ECC/RSA utilisables selon compatibilité client.

Preuves à conserver¶

Versions GnuPG/scdaemon, configuration isolée, certificat public/empreintes, commandes réelles et résultats verify/cmp, transcript de refus/counters et preuve inter-révision expurgée.