Comprendre l'importance des signatures numériques et des certificats qualifiés

Les transactions et les communications numériques entraînent de nombreuses incertitudes quant au statut juridique et à l'authenticité des documents. Le concept de signature numérique joue un rôle essentiel pour garantir l'authenticité, l'intégrité et la sécurité. Actuellement, de nombreuses législations définissent des procédures pour garantir la légalité et l'authenticité des procédures en ligne. 

Qu'est-ce qu'une signature numérique ?

Une signature numérique est une technique de sécurité précieuse basée sur un schéma qui permet de vérifier des messages ou des documents numériques. Elle permet de prouver :

• Qui a signé ou approuvé l'information (authentification de l'utilisateur)
• que les informations n'ont pas été modifiées depuis la signature (intégrité des données)

D'un point de vue technique, une signature numérique est un code créé à l'aide d'une infrastructure à clé publique (ICP) - un système de cryptage asymétrique à deux clés permettant d'obtenir un niveau élevé de confidentialité et de cryptage des informations. Les deux clés - privée et publique - sont les deux éléments principaux qui facilitent cette gestion sécurisée des données.

Il existe trois types de signatures numériques :

• Simple - ne nécessite aucune vérification d'identité de la part du signataire
• Avancé - délivré par les autorités de certification pour exiger la vérification de l'identité du signataire
• Signatures électroniques qualifiées - idéales pour les environnements à haut risque où les conséquences d'une défaillance de la sécurité peuvent être dévastatrices.

L'importance des signatures numériques

Les signatures numériques préservent l'intégrité des documents et des transactions de plusieurs manières :

• Authentification: Ils vérifient l'identité du signataire, garantissant que le document provient d'une source fiable.
• Intégrité : Ils confirment que le contenu n'a pas été modifié ou altéré après la signature.
• Non-répudiation : Les signataires ne peuvent pas nier avoir signé le document, ce qui lui confère une validité juridique et une responsabilité.

Problèmes liés aux signatures numériques et à leur préservation

Les administrations publiques, les entreprises et les particuliers doivent conserver les lettres, les relevés de transactions, les factures, les contrats et les autres documents qui prouvent leurs droits. Ceux-ci peuvent être utilisés ultérieurement comme preuve en cas de litige concernant une transaction, comme la dégradation et les tentatives de modification des informations contenues dans les registres. Toutefois, en raison des progrès technologiques, le stockage ne peut être considéré comme fiable au-delà d'une dizaine d'années. 

Ainsi, en théorie, quelle que soit la longueur et la complexité de la signature numérique aujourd'hui, il arrivera un jour où il sera possible de "casser le code" sur lequel elle repose et, par conséquent, de "falsifier" cette signature et ce document. Ce fait entraîne plusieurs défis liés à la préservation des documents et des signatures numériques :

Vérification limitée dans le temps. 

• Les signatures numériques ne sont affichées (et acceptées) comme étant valables que pour la durée de vie du certificat - généralement un ou deux ans. Elles sont donc insuffisantes pour les documents commerciaux qui doivent pouvoir être vérifiés pendant plusieurs mois ou années. 
• Il s'agit notamment de la durée de vie du support de stockage, des clés et des certificats utilisés, de la méthode de signature, du document, de la signature et des formats de certificat, ainsi que de la durée de vie des acteurs (de confiance et autres) impliqués.

Certificats numériques périmés. 

• Supposons qu'un utilisateur ait signé un document avec son certificat valide. Mais une fois que le certificat numérique du signataire a expiré, il ne peut plus être validé = il n'est plus fiable.

Le progrès technologique. 

• Une signature numérique dépend fortement de la technologie avec laquelle elle a été créée. Étant donné que la technologie progresse rapidement, les signatures numériques doivent inévitablement évoluer aussi rapidement. Sinon, elles perdront leur fonctionnalité.

La validation d'une signature numérique doit être basée sur l'heure à laquelle le document a été signé, et non sur l'heure actuelle. Si le certificat était valide au moment de la signature, la signature est valable, même si le certificat a expiré ou a été révoqué. 

Cependant, se fier à ce que le signataire déclare au moment de la signature n'est pas une preuve suffisante.   

Le rôle des certificats numériques qualifiés

Un certificat numérique qualifié est souvent nécessaire pour qu'une signature numérique soit considérée comme valide et juridiquement contraignante. Selon le eIDAS (règlement relatif à l'identification électronique et aux services de confiance), un certificat qualifié répond à des normes et exigences spécifiques, garantissant sa fiabilité et son authenticité conformément à la réglementation européenne.

Cadre juridique

La solution aux problèmes mentionnés ci-dessus est représentée par fournir de l'authenticité, l'intégrité, puis la confiance pour tous les documents conservés.

En outre, cette méthode est beaucoup moins coûteuse que la re-signature et la mise à jour des signatures numériques au fur et à mesure des progrès de la technologie numérique.

La nécessité d'une conservation à long terme est reconnue, entre autres, dans le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur [i.2], comme le montre le considérant (61) :

"Le présent règlement devrait assurer la conservation à long terme des informations afin de garantir la validité juridique des signatures électroniques et des sceaux électroniques sur de longues périodes et de garantir qu'ils puissent être validés indépendamment des changements technologiques futurs.

En général, la conservation qualifiée des signatures numériques est mise en œuvre dans l'UE et dans les lois, normes et réglementations mondiales. Les normes les plus courantes et les plus éprouvées sont les suivantes :

1. ETSI TS 119 511
   Exigences en matière de politique et de sécurité pour les prestataires de services de confiance assurant la conservation à long terme des signatures numériques ou des données générales à l'aide de techniques de signature numérique.
2. ETSI EN 319 401
   Signatures et infrastructures électroniques (ESI) ; exigences de politique générale pour les prestataires de services de confiance.
3. Règlement eIDAS
   Article 34 : Service de conservation qualifié pour les signatures électroniques qualifiées
   Article 40 : Validation et conservation des sceaux électroniques qualifiés

La force et l'adéquation des mécanismes cryptographiques sur lesquels reposent les signatures numériques sont fonction du temps. Il faut appliquer des mécanismes de conservation appropriés, capables de maintenir la validité d'un objet signé sur de longues périodes. Pour gagner et conserver la confiance dans les actions numériques - telles que la signature numérique - les fournisseurs de services de confiance travaillent avec des certifications et des normes acceptées dans le monde entier.

Principaux éléments d'un certificat numérique qualifié

Un certificat numérique qualifié comprend généralement les éléments suivants

1. Détails sur le détenteur du certificat, tels que le nom et l'organisation. Il est important d'identifier et de vérifier le signataire.
2. Clé cryptographique associée à la clé privée utilisée pour créer la signature numérique.

Principaux avantages et fonctions de la préservation des signatures numériques

En préservant les signatures numériques, nous conservons la signature elle-même et, plus important encore, le contenu du conteneur de signature. Cet objectif principal est atteint par les fonctions suivantes et apporte les avantages suivants.

Fonctions :

• Preuve de l'existence de données générales
• Préservation des signatures et des données signées associées
• Augmentation des preuves envoyées au service de conservation (utile pour déplacer des données d'un service à l'autre)

Avantages :

• Extension de la fiabilité de la signature électronique qualifiée au-delà de la période de validité technologique
• La sécurité est garantie par la cryptographie à clé publique, la validation de l'autorité de certification et la validation du fournisseur de services de confiance.
• Acceptabilité commerciale mondiale - de plus en plus d'entreprises acceptent les signatures numériques, voire ne travaillent qu'avec elles.
• L'horodatage est essentiel pour clarifier l'ordre des événements.

La conservation numérique garantit que les objets et les enregistrements numérisés et/ou nés sous forme numérique restent trouvables, accessibles et utilisables au fil du temps et des progrès technologiques. C'est la principale différence entre la sauvegarde et la conservation des données. La conservation se concentre sur la fourniture d'un accès à long terme aux objets numériques.

Types de stockage

Il existe trois principaux types (modèles) de préservation des signatures numériques reconnus par les normes officielles.

1. Services de conservation avec stockage. Les le service de conservation stocke les donnéestandis que les preuves et les données préservées sont livrées sur demande par le service de préservation au client de préservation.
2. Services de conservation avec stockage temporaire. Les données sont stockées du côté du client. Le service de conservation ne les conserve que temporairement. Une fois les preuves produites, elles sont stockées de manière à ce que le client puisse les récupérer.
3. Services de conservation sans stockage. Les données sont stockées du côté du client. Le service de conservation ne conserve que des traces de ses actions afin de pouvoir fournir des enregistrements de ses activités.

Conclusion

Une signature numérique est une technique généralement acceptée pour vérifier des documents, des transactions et des opérations en ligne en prouvant l'intégrité des données et l'authentification de l'utilisateur. Votre entreprise ou organisation utilise probablement déjà des signatures numériques (ou une forme de signature électronique) dans ses activités quotidiennes.

Cependant, la préservation correcte des signatures numériques pose plusieurs problèmes : les progrès technologiques rendent impossible la lecture des signatures sur des technologies obsolètes, et l'expiration ou la révocation des certificats de signature pose également un problème.

Une solution à ces problèmes consiste à préserver les signatures numériques en faisant appel à des entreprises tierces qui utilisent des certifications et des normes internationalement reconnues. Ainsi, les signatures numériques à long terme restent trouvables, accessibles et utilisables. En outre, et c'est le plus important, elles seront en mesure de maintenir le statut de validité d'un objet signé au fil du temps.