La fonction de signature est un élément clé dans un processus de matérialisation ; elle permettra, en prolongement de la signature papier, à un acteur de matérialiser son engagement sur un objet électronique que celui-ci soit un document, un contrat, une information, une transaction …
L’opération de validation de signature, complément indispensable à une opération de signature permettra de vérifier les points suivants :
- L’intégrité de l’objet (l’objet n’a pas été altéré entre le moment de la signature et le moment ou la signature est validée)
- Le signataire s’est bien engagé sur l’objet, en appliquant sa signature sur le document, la transaction …
- Le certificat de signature propre au signataire et utilisé par celui-ci était bien valide au moment où la signature a été effectuée
La fonction de signature met en jeu 3 éléments différents.
- Tout d’abord, l’objet à signer, c’est à dire le document, le formulaire, la transaction…
- Le moteur de signature qui permettra de créer la signature associée à l’objet en s’appuyant sur l’objet à signer et sur ce que nous appelons le certificat de signature, c’est à dire le secret cryptographique strictement associé au signataire
- Troisième élément donc, le certificat de signature qui est associé à un et un seul signataire (que celui-ci soit une personne physique, une personne morale ou un composant technique) ; ce certificat aura été créé et remis à l’occasion d’un processus d’enregistrement qui doit permettre de garantir que le certificat ‘est dans les mains du ‘bon porteur’
En première analyse, l’opération de signature est très simple :
- On prend l’objet (le contrat, le document, la transaction… ) que l’on veut signer
- On en fait un condensat ; ce condensat est spécifique à l’objet à signer et si l’on change un seul élément du contrat ou du document, le condensat sera différent…
- On prend le certificat de signature de l’utilisateur que celui-ci va activer par la saisie d’un mot de passe
- Puis, le moteur de signature va intégrer ce condensat et ce certificat pour calculer la signature qui sera strictement unique pour chaque couple objet / signataire
Notre problème est d’obtenir une signature électronique de qualité qui ait ‘valeur probante’ et qui ne puisse pas contestée en cas de litige.
S’il est très simple de créer une signature (quelques heures de travail pour un développeur expérimenté pour mettre en œuvre les algorithmes ad hoc …), il est beaucoup plus difficile et beaucoup plus long d’avoir un outil de signature qui soit certifié et qualifié et qui puisse, ainsi, donner valeur probante à la signature.
Pour faire certifier et qualifier un outil de signature, il faut, en France, passer par l’ANSSI, Agence Nationale à la Sécurité des Systèmes d’Informations rattachée au SGDSN (Secrétariat Général à la Défense et à la Sécurité Nationale), lui-même dépendant du Premier Ministre.
L’ANSSI délègue les travaux d’analyse des outils à des laboratoires indépendants, mais a la charge de délivrer les agréments.
Ces qualifications et certifications se font en face d’un référentiel européen, les EAL (European Assessment Levels), équivalents à la classification FIPS américaine (Federal Information Processing Standard).
Pour donner valeur probante aux opérations de signature et de validation, il faut que les outils soient, techniquement, à un niveau EAL3+.
Au niveau européen, le cadre règlementaire associé a été défini par la Directive Européenne de 2000.
Très schématiquement, il faut différencier trois approches :
- La Grande Bretagne qui suit le droit anglo-saxon avec une définition minimaliste des exigences
- La France et l’Europe du Sud avec le corps documentaire français (aujourd’hui très complet) en référence
- L’Allemagne qui tire «l’Europe de l’Est» avec un cadre réglementaire plus contraignant que le référentiel français
La Commission Européenne a revu sa copie en Juin 2012, mais il n’y a pas encore de consensus au niveau des différents états membres (en particulier avec l’Allemagne qui souhaiterait que ce référentiel soit en ligne avec les choix qu’elle a retenus pour sa carte d’identité électronique).
En prolongement du cadre européen, l’Administration française a bâti le RGS (Référentiel Général de Sécurité) qui définit, en particulier, le niveau de qualité du certificat de signature, élément qui est probablement le point le plus sensible dans une opération de signature ; il faut, en effet, être certain que le certificat n’ait pas été subtilisé à son porteur.
Pour obtenir une signature à valeur probante, si l’on peut simplement, avec des outils comme ceux de Dictao, s’appuyer sur des moteurs de signature de qualité, il faudra se protéger contre les usurpations d’identité et l’utilisation abusive du certificat de signature du porteur légitime…
Très schématiquement, la qualité d’un certificat est défini par :
- Le circuit d’enregistrement, c’est-à-dire le principe de remise du certificat. Si, un certificat de qualité moyenne (certificat une étoile au sens RGS) peut être communiqué à son porteur à distance, pour les certificats 2 et 3 étoiles, il faut nécessairement une opération de face à face avec un contrôle de pièces d’identité du demandeur
- Le moyen de stockage du certificat. Si un certificat de signature une étoile peut être stocké dans un container logiciel (dans le navigateur), les certificats 2 ou 3 étoiles doivent être confinés dans des « containers matériels », comme une carte à puce ou un token
Une opération de signature ne peut se justifier qu’avec son corollaire : la validation de signature…
Un destinataire, qu’il soit une personne physique, une organisation, voire un composant technique, validera la signature de l’objet ; ce qui permettra à ce destinataire de vérifier que :
- Le message est intègre et non altéré
- Le message a été signé, ce qui engage le signataire sur l’objet
- Le certificat de signature était valide au moment de l’opération de signature
Une fois la signature valide, dans la plupart des cas, on constituera une preuve que l’on pourra présenter en cas de litige ; cette preuve s’organisera autour :
- D’éléments métiers comme le contrat, des conditions générales de vente, des éléments de contexte, des photos…
- D’éléments techniques : signature, certificat de signature, autorité de confiance associée, chaînes de révocation, heure de l’opération, conditions de constitution de la preuve…
Cette preuve sera archivée pour, en particulier, répondre à des contraintes réglementaires. Il faudra mettre en place des fonctions cryptographiques permettant de maintenir la qualité de la preuve dans le temps (10 ans, 30 ans, 99 ans …)