eID Burundi

Rien de ce qui suit n'est une promesse : chaque fonction se constate sur cette vitrine, avec les identités de test. Une personne est enrôlée une fois, reçoit un numéro national unique, puis tous les services s'appuient sur cette même identité.

S'y ajoutent deux fonctions documentées plus bas : la carte nationale au format international lisible en machine, et les politiques de signature (co-signature, procuration, perte du téléphone).

Deux temps : d'abord fonder l'identité (une fois), ensuite s'en servir partout.

A. Émission de l'identité, une fois

1. 1 Enrôlement

   Kit MOSIP en province. Identité civile, photo, consentement.

2. 2 Biométries

   Empreintes, visage, iris. Contrôle de vivacité et de qualité.

3. 3 ABIS

   Déduplication nationale. Empêche les doubles identités.

4. 4 NIN

   Numéro unique attribué, avec clé de contrôle.

5. 5 Référentiel

   Source de vérité : attributs + gabarits biométriques.

6. 6 eID émise

   Carte, portefeuille, ou identité utilisable par USSD / web.

B. Usage, dans tous les services

1. 7 Citoyen + NIN

   Présente son numéro, pas un mot de passe ministériel.

2. 8 eSignet

   IdP national OpenID. OTP, PIN, ou biométrie selon le niveau.

3. 9 Ministères

   Santé, intérieur, OBR, éducation : un seul login d'État.

4. 10 Canaux

   Web, USSD *201#, signature HSM, API versionnées vers les ministères.

Cette démo joue les étapes 4 à 8 (référentiel mock + eSignet live). Les kits SBI/ABIS de production viennent ensuite.

MOSIP n'est pas une application ministérielle. C'est l'infrastructure publique numérique d'identité de l'État : on enrôle une personne une fois, on lui attribue un numéro national unique (NIN), puis tous les services s'appuient sur la même identité.

Aujourd'hui chaque institution tient sa liste. MOSIP n'ajoute pas une sixième liste : il installe la couche manquante, une personne unique, sous la santé, l'OBR, l'état civil, les élections et la protection sociale.

Quatre couches

1. 1. Personnes et lieux

   Communes (kits), hôpitaux (naissance), *201# (téléphone basique), plus tard un portefeuille.

2. 2. Identité fondatrice (MOSIP)

   Biométries + vivacité + contrôle dual → ABIS → NIN aléatoire → référentiel. La couche que le Burundi n'a pas encore.

3. 3. Services de confiance

   eSignet (IdP OpenID, live ici), signature distante sous HSM, IAM des partenaires.

4. 4. Services publics

   Santé, OBR, intérieur, éducation. Plus tard l'échange entre ministères, et BI:NIN pour l'EAC.

Cette démo prouve la couche 3 (eSignet). Les couches 1, 2 et 4 sont le chemin de production (kits, ABIS, HSM), pas encore ce cluster partagé. Ce que ça change dans la vie réelle →

Une identité unique n'est pas un site de plus. C'est le droit, pour Marie à Ngozi comme pour un commerçant à Rohero, de prouver qui elle est une fois, puis d'ouvrir la santé, l'impôt, l'école, un acte signé ou une aide sociale sans recréer un dossier. Ci-dessous : des parcours concrets. Seuls le login Santé et la signature simple sont live sur cette vitrine ; le reste est le gisement de valeur une fois kits, ABIS et HSM en production.

Trois journées, un NIN

Avant et après, un même service

Ce que l'État peut enchaîner

1. Confiance entre ministères

   Santé ne redemande pas les biométries que l'intérieur a déjà. OpenID maintenant ; l'échange interministériel ensuite.

2. Actes juridiques sans se déplacer

   Procuration enregistrée, co-signature des deux parents, marché public signé sous HSM, vérifiable plus tard, pas un tampon scanné.

3. Lutte contre les fantômes

   Paie, listes électorales, filets sociaux : 1:N biométrique avant attribution. Un décès ne recycle pas le NIN.

4. EAC et diaspora

   Forme fédérée BI:018472931056. Un partenaire régional vérifie l'identité sans recréer un fichier burundais.

Horizon : ne pas tout promettre d'un coup

MOSIP ne soigne pas, ne recouvre pas l'impôt, ne tient pas le cadastre. Il empêche chaque métier de réinventer « qui est cette personne ». C'est là que le potentiel se multiplie.

Non : il n'existe pas de norme ISO qui impose la formule d'un numéro d'identité nationale. La Banque mondiale (ID4D) le dit explicitement : chaque État choisit longueur et structure. Ce qui est normalisé, ce sont les gardes-fous : unicité, vie entière, clé de contrôle, protection des biométries.

ID4D déconseille les numéros « parlants » (date de naissance, sexe, commune) : ils fuient de la vie privée et rendent le numéro immuable plus difficile. Un numéro aléatoire, attribué seulement après ABIS, est la pratique recommandée.

Proposition NIN-BI (12 chiffres, USSD)

Numérique uniquement, dictable au téléphone, sans lettre X.

• 12 chiffres : même ordre de grandeur que MOSIP / Aadhaar ; assez pour plus d'un milliard d'attributions.
• 01 : génération actuelle. Un futur schéma pourra commencer par 02 sans casser les NIN déjà émis.
• 9 aléatoires : tirés centralement après 0-hit ABIS. Jamais réutilisés, y compris après décès.
• 1 clé Luhn (ISO/IEC 7812) : détecte inversions et fautes de frappe. Entièrement numérique, donc USSD.
• Forme fédérée EAC : BI:018472931056 (ISO 3166-1 alpha-2 + NIN), pas le code téléphonique 257.

Les identités de démo suivent cette formule : Marie est 018472931056 (affichée 01 847 293 105 6, forme fédérée BI:018472931056). Les téléphones restent en E.164 (+257…), ce n'est pas le NIN. 257 est l'indicatif ITU-T, pas un identifiant d'identité. Le code pays ISO est 108 / BI.

La carte est un titre, pas l'identité. Le NIN reste à vie dans le référentiel ; le n° de carte, la puce et le CAN changent à chaque réémission. Format physique ID-1 (85,6 × 54 mm), zone machine OACI 9303 TD1 (3 lignes de 30 caractères), pour qu'un contrôle frontalier EAC puisse lire la carte comme un document de voyage.

Cliquez sur la carte pour le verso. Format ID-1 (85,6 × 54 mm), zones ICAO 9303 TD1.

Nom du père : hors carte, à migrer

Les parents n'apparaissent pas sur la carte nationale. Ils restent dans le référentiel (état civil, succession, enquête) pour pouvoir basculer les anciens titres où la case NOM était le père.

Noms : premier, dernier, composés, multiples

Les nouveaux dossiers n'utilisent plus le père comme NOM. Pacifique illustre uniquement la bascule depuis un ancien titre.

Plan des données : ce qui vient du référentiel MOSIP

Nationalité MRZ : BDI (ISO 3166-1 alpha-3), pas l'indicatif 257. Type de document : I< (carte d'identité). Réémission = nouveau n° de carte et nouvelle puce, même NIN.

Un NIN « parlant » (date de naissance, sexe, commune) ne protège pas contre le vol d'identité. Il aide même la fraude : on peut deviner des attributs, énumérer des numéros, profiler. ID4D sépare deux choses que l'on confond souvent : l'identifiant (le NIN, public comme un RIB) et l'authentifiant (biométrie, PIN d'enrôlement, OTP, carte à puce). Connaître le NIN de Marie ne suffit pas à devenir Marie.

Si un NIN circule (journal, hôpital, employeur), ce n'est pas une compromission du compte. On révoque les moyens d'accès, pas l'identité. Un nouveau NIN n'est envisagé que si le numéro a été émis par erreur, cas rare, tracé, jamais pour « laver » une fraude.

Les NIN de démo + code 111111 illustrent le login, pas le modèle de production : en production le PIN n'est pas public, l'OTP n'est pas fixe, et la biométrie n'est pas rejouable depuis le navigateur.

En production, le kit MOSIP capture empreintes, visage et iris, puis ABIS déduplique avant d'attribuer un NIN. Ici le flux est le même : le nouvel enregistrement est écrit dans le référentiel d'identité de démonstration, puis relisible immédiatement.

Simule un ministère qui n'a plus de mot de passe local. Le citoyen s'identifie auprès de l'IdP national.

Le document n'est pas signé dans le navigateur. Connectez-vous avec un NIN de test (018472931056 + 111111) : eSignet authentifie la personne, puis le portail appose une signature distante RS256 liée à ce NIN.

République du Burundi · Commune de Ngozi

Acte de naissance n° AN-NGO-2026-00421

Enfant

À renseigner à la signature

Né(e) le

21.03.1988 · Mwumba, Ngozi

Document

Extrait d'acte, usage administratif

Hash SHA-256

8f14e45fceea167a5a36dedd4bea2543

La démo ci-dessus est une signature simple (un NIN). Co-signature, procuration et perte du téléphone : Mandats et récupération.

On ne prête pas le PIN, l'OTP ou le téléphone. Chaque personne s'authentifie avec son NIN. Le NIN ne change jamais ; on révoque et on réémet les titres (SIM, carte, application).

Plusieurs personnes sur un même acte

Chaque co-signataire ouvre sa propre session eSignet ou *201#. Le service accumule une signature par NIN sur le même hash jusqu'à ce que la politique soit satisfaite. Le fichier liste alors chaque NIN, le rôle et l'heure.

Cette vitrine n'enchaîne pas encore deux eSignet. En production : PAdES/CAdES, un signerInfo par personne, plus la politique (NIN requis, rôles, délai).

Procuration : signer au nom d'un autre

La procuration est un mandat dans le référentiel, pas une copie d'OTP. Le mandataire signe en son nom. La preuve dit qui a agi, pour qui, sous quel mandat.

Interdit : prêter OTP, PIN ou portefeuille ; un clerc qui signe « comme » le citoyen ; une procuration sans échéance ni type d'acte ; un mandataire qui enrôle un NIN ou réinitialise les biométries (kit + contrôle dual uniquement).

Téléphone, application ou SIM perdus

La clé de signature recommandée vit dans le HSM national : perdre le combiné ne perd pas la capacité de signer, seulement un canal (OTP SMS, session app, liaison SIM). La récupération, c'est prouver à nouveau l'identité, puis relier un nouveau titre, avec le même NIN.

Après récupération : invalider les sessions de signature en cours et les mandats qui utilisaient l'ancien canal. Un téléphone volé ne doit pas terminer un acte à moitié signé. Si plus tard des clés vivent dans l'application (Inji), un téléphone perdu est une perte de clé : on révoque le certificat et on en émet un nouveau après biométrie. Le HSM distant reste le défaut pour ne pas exclure les usagers ruraux.

Pour la majorité des Burundais sans smartphone. L'opérateur national relaie la session ; l'identité et la clé restent côté État.