Les techniques permettant une reconnaissance électronique sont nombreuses. En cherchant à offrir une identité particulière à tout document, l’industrie a exploré de nombreuses voies, souvent très pragmatiques et parfois exotiques. Il est ainsi possible d’authentifier un utilisateur en fonction de sa façon d’effectuer un double-clic, voire par la pression exercée en effectuant sa signature manuscrite sur une tablette numérique sensible. Des sociétés, telles que Magic- Axess par exemple, qui utilise une solution fondée sur une PKI (infrastructure à clé publique) déportée ?” proposent même de signer par le biais de son téléphone mobile, déjà protégé par un code PIN personnel.
Le chiffrement asymétrique dissocie les clés
En fait, la PKI demeure la technologie reine de la signature électronique. L’association d’un certificat numérique, garant de l’identité de son propriétaire, à des algorithmes de calcul d’empreintes des documents (MD5, SHA-1) permet de signer efficacement n’importe quel document.Dans son expression la plus simple, une signature électronique n’est que le produit d’un condensé de message ?” sa “signature” unique ?” chiffré avec une clé que seul son expéditeur connaît (voir infographie). Dans le cas du chiffrement symétrique, le secret qui protège ce condensé de message doit être transmis à tous les destinataires qui souhaitent vérifier la validité de la signature. De fait, le secret n’en est plus vraiment un. Et c’est ici que le chiffrement asymétrique montre tout son intérêt. Au c?”ur de la technologie PKI, il remédie au problème en dissociant les clés (lire notre glossaire). En chiffrant avec sa clé privée (à l’inverse de la procédure de chiffrement habituelle), l’utilisateur “signe”, de fait, le condensé du message : n’importe quel correspondant pourra le déchiffrer grâce à la clé publique associée. Si cela fonctionne, la preuve est faite que c’est bien la clé privée du signataire qui a servi à chiffrer le condensé de message.Cette manipulation à deux volets assure de l’identité du signataire (tant que sa clé privée demeure inviolée) et de l’intégrité du message (son condensé faisant foi).Le procédé est simple et élégant, et les outils parfaitement maîtrisés : “On sait tout faire maintenant, ce n’est pas un problème de technologie”, confirme Olivier Melis, consultant sécurité pour la société Entrust. En effet, une infrastructure de signature peut être très simplement déployée : “Techniquement, ce n’est pas très compliqué. Il suffit de se procurer les outils logiciels pour la signature, des certificats, puis d’intégrer le tout aux applications de l’entreprise”, résume Michel Maury, directeur général de Cashware. Une technique en trois volets pour laquelle tous les éléments sont déjà disponibles. La plupart des clients de courrier électronique disposent ainsi de fonctions de signature en standard (gestion et vérification des certificats) et de nombreux autres sont spécialement adaptés à cet usage (MSI SecurityBox Mail, mais aussi les produits de Baltimore, Entrust ou RSA). Même Word dispose de plug-in tiers capables d’ajouter un bouton de signature à sa barre des menus (Itcertify, eLock). Il est également possible d’opter pour une solution plus générique, grâce à des formulaires XML signés, à l’image de ceux proposés par la société PureEdge. Même les certificats peuvent être générés en interne si l’entreprise y tient vraiment, grâce à Windows 2000 ou à des logiciels libres tel OpenSSL.La technique n’est donc vraiment pas un problème et les soucis sont ailleurs : “La partie organisationnelle est la plus délicate. Il faut tout mettre à plat, revoir le flux des informations au sein de l’entreprise et décider qui signera, et pourquoi. Il est souvent plus difficile de revoir le schéma de confiance dans l’entreprise que de déployer les éléments techniques”, met en garde Michel Maury, en précisant que la signature électronique va aussi changer les habitudes de travail : “Signer électroniquement n’est pas la même chose que signer sur le papier. Par exemple, il est parfois bien pratique d’antidater un document, ce n’est plus possible avec une signature électronique.”
Envisager la conservation sur le long terme
Reste que, si déployer une infrastructure de signature n’est pas très difficile, le faire en demeurant dans les limites floues de la future législation exige de respecter quelques principes. À défaut, l’entreprise risque de se retrouver avec des signatures valides en interne, mais absolument pas reconnues par le législateur et le reste du monde. “Pour être à peu près sûr d’entrer dans le cadre de la future législation, il faudra utiliser des certificats qualifiés [dont l’émetteur est approuvé par la Direction centrale de la sécurité des systèmes d’information, Ndlr], mais aussi peut-être assurer l’horodatage et, surtout, la non-répudiation”, explique Olivier Mélis, d’Entrust. Pour cela, il faut prévoir, dès le lancement du projet, qu’il y aura une clé unique à chaque signataire et qu’elle ne pourra servir qu’à la signature. En outre, elle ne doit jamais voyager de manière non sécurisée. L’idéal pour cela est une clé générée au sein d’une carte à puce. Mais pour des considérations pratiques, on se dirige plutôt vers des implémentations de clés sécurisées selon des critères communs (FIPS, Federal Information Processing Standards).L’utilisation de certificats qualifiés est une étape essentielle. Il est vivement déconseillé à l’entreprise de les générer elle-même : “Il y a beaucoup d’avantages à externaliser ses certificats. L’interopérabilité, bien sûr, est le premier facteur. Mais il faut aussi considérer la sécurité : il est difficile d’isoler la fonction de certification au sein de l’entreprise, ce qui est pourtant essentiel”, précise Michel Maury.Reste à éviter le plus grand écueil de la signature électronique : le temps. En effet, au fur et à mesure des années, elle s’affaiblit, au contraire de la signature manuscrite. Il est ainsi parfaitement envisageable que l’on puisse percer dans quelques décennies le chiffre protégeant une clé privée utilisée pour une signature émise aujourd’hui. Une perspective impensable dans le cadre d’actes notariés, par exemple.En outre, après avoir créé, révoqué ou changé les certificats, se pose le problème de leur conservation. S’il n’est pas difficile de l’envisager sur quatre ou cinq ans, au-delà, l’horizon devient plus incertain : “Le principal problème est économique : un certificat à bas prix n’est pas conciliable avec un archivage à long terme. On peut trouver une demi-mesure en faisant payer très cher la récupération”, conclut Michel Maury, illustrant ainsi que, bien que la technique soit au point, de nombreuses questions d’organisation restent encore à régler avant que nous puissions tous réellement signer.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
