Préservation qualifiée des signatures numériques

Dans cet article, nous expliquerons pourquoi la conservation correcte des signatures numériques et des sceaux est une nécessité dans de nombreux cas. Mais d'abord, une explication sur les types de signatures. 

1. Qu'est-ce qu'une signature numérique ?

Une signature numérique est une technique de sécurité précieuse basée sur un schéma mathématique qui permet de vérifier des messages ou des documents numériques. Elle permet de prouver :

• Qui a signé ou approuvé l'information (authentification de l'utilisateur)
• que les informations n'ont pas été modifiées depuis la signature (intégrité des données)

D'un point de vue technique, une signature numérique est un code créé à l'aide d'une infrastructure à clé publique (ICP) - un système de cryptage asymétrique à deux clés permettant d'obtenir un niveau élevé de confidentialité et de cryptage des informations. Les deux clés - une privée et une publique - sont les deux éléments principaux qui facilitent cette gestion sécurisée des données.

Il existe trois types de signatures numériques :

• Simple-ne nécessite aucune vérification d'identité de la part du signataire
• Avancé-émis par les autorités de certification pour exiger une vérification de l'identité du signataire
• Signatures électroniques qualifiées-idéal pour les environnements à haut risque où les conséquences d'une défaillance de la sécurité peuvent être dévastatrices

2. Problèmes liés aux signatures numériques et à leur préservation

Les administrations publiques, les entreprises et les particuliers sont tenus de conserver les lettres, les relevés de transactions, les factures, les contrats et les autres documents qui prouvent leurs droits. 

Ceux-ci peuvent être utilisés ultérieurement comme éléments de preuve en cas de litige concernant une transaction telle que la déchéance et les tentatives de modification des informations contenues dans les registres.

Mais en raison des progrès technologiques, le stockage ne peut être considéré comme fiable au-delà d'une dizaine d'années. 

Ainsi, en théorie, quelles que soient la longueur et la complexité de la signature numérique aujourd'hui, il arrivera un jour où il sera possible de "casser le code" sur lequel elle est basée et donc de "falsifier" cette signature et ce document.

 Ce fait entraîne plusieurs défis liés à la préservation des documents et des signatures numériques :

• Vérification limitée dans le temps. 

• Les signatures numériques de base ne sont affichées (et acceptées) comme étant valables que pour la durée de vie du certificat - généralement un ou deux ans. Elles ne sont donc pas suffisantes pour les documents commerciaux qui doivent pouvoir être vérifiés pendant plusieurs mois ou années. 

• Il s'agit notamment de la durée de vie du support de stockage, des clés et des certificats utilisés, de la méthode de signature, du document, de la signature et des formats de certificat, ainsi que de la durée de vie des acteurs (de confiance et autres) impliqués.

• Certificats numériques périmés. 

• Supposons qu'un utilisateur ait signé un document avec son certificat valide. Mais une fois que le certificat numérique du signataire n'a plus de date d'expiration, il ne peut plus être validé = on ne peut plus lui faire confiance.

• Progrès technologique. 

• Une signature numérique dépend fortement de la technologie avec laquelle elle a été créée. Comme la technologie progresse rapidement, il est inévitable que les signatures numériques évoluent aussi rapidement. Dans le cas contraire, elles perdront leur fonctionnalité.

La vérification d'une signature numérique doit être basée sur l'heure à laquelle le document a été signé, et non sur l'heure actuelle. 

Si le certificat était valide au moment de la signature, la signature est valable, même si ce dernier certificat a expiré ou a été révoqué. 

Mais se fier à ce que le signataire déclare au moment de la signature n'est pas une preuve suffisante. Pour résoudre ce problème de vérification des signatures après quelques mois ou quelques années, la signature de base doit être améliorée pour devenir ce que l'on appelle une signature numérique à long terme.

3. Le cadre juridique

La solution aux problèmes susmentionnés consiste à garantir l'authenticité, l'intégrité et la confiance pour tous les documents conservés. 

En outre, cette méthode est beaucoup moins coûteuse que la re-signature et la mise à jour des signatures numériques au fur et à mesure des progrès de la technologie numérique.

La nécessité d'une conservation à long terme est reconnue, entre autres, dans le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur [i.2], comme le montre le considérant (61) :

"Le présent règlement devrait assurer la conservation à long terme des informations afin de garantir la validité juridique des signatures électroniques et des sceaux électroniques sur de longues périodes et de garantir qu'ils puissent être validés indépendamment des changements technologiques futurs.

En général, la conservation qualifiée des signatures numériques est mise en œuvre dans l'UE et dans les lois, normes et réglementations mondiales. Les normes les plus courantes et les plus éprouvées sont les suivantes :

1. ETSI TS 119 511
   Exigences en matière de politique et de sécurité pour les prestataires de services de confiance assurant la conservation à long terme des signatures numériques ou des données générales à l'aide de techniques de signature numérique.
2. ETSI EN 319 401
   Signatures et infrastructures électroniques (ESI) ; exigences de politique générale pour les prestataires de services de confiance.
3. Règlement eIDAS
   Article 34 : Service de conservation qualifié pour les signatures électroniques qualifiées
   Article 40 : Validation et conservation des sceaux électroniques qualifiés

La force et l'adéquation des mécanismes cryptographiques sur lesquels reposent les signatures numériques sont fonction du temps.

 Il faut appliquer des mécanismes de conservation appropriés, capables de maintenir l'état de validité d'un objet signé sur de longues périodes. 

Pour gagner et conserver la confiance dans les actions numériques - telles que la signature numérique - les fournisseurs de services de confiance travaillent avec des certifications et des normes acceptées dans le monde entier.

4. Principaux avantages et fonctions de la préservation des signatures numériques

En préservant les signatures numériques, nous ne conservons pas seulement la signature elle-même mais, plus important encore, le contenu du conteneur de signature. Cet objectif principal est atteint par les fonctions suivantes et apporte les avantages suivants.

Fonctions :

• Preuve de l'existence de données générales
• Préservation des signatures et des données signées associées
• Augmentation des preuves envoyées au service de conservation (utile pour déplacer des données d'un service à l'autre)

Avantages :

• Extension de la fiabilité de la signature électronique qualifiée au-delà de la période de validité technologique
• Sécurité garantie par la cryptographie à clé publique, la validation de l'autorité de certification et la validation du prestataire de services de confiance
• Acceptabilité commerciale mondiale - de plus en plus d'entreprises acceptent les signatures numériques, voire ne travaillent qu'avec elles.
• L'horodatage est essentiel pour clarifier l'ordre des événements.

La conservation numérique consiste à s'assurer que les objets et les enregistrements numérisés et/ou nés sous forme numérique restent trouvables, accessibles et utilisables au fil du temps et des progrès technologiques. C'est la principale différence entre la sauvegarde et la conservation des données. La conservation se concentre sur la fourniture d'un accès à long terme aux objets numériques.

5. Types de stockage

Il existe trois principaux types (modèles) de préservation des signatures numériques reconnus par les normes officielles.

1. Services de conservation avec stockage. Les données sont stockées par le service de conservation, tandis que les preuves et les données conservées sont livrées sur demande par le service de conservation au client de la conservation.
2. Services de conservation avec stockage temporaire. Les données sont stockées du côté du client. Le service de conservation ne conserve les données que temporairement. Une fois les preuves produites, elles sont stockées pendant un certain temps afin que le client puisse les récupérer.
3. Services de conservation sans stockage. Les données sont stockées du côté du client. Le service de conservation ne conserve que des traces de ses actions afin de pouvoir fournir des enregistrements de ses activités.

6. Conclusion

Une signature numérique est une technique généralement acceptée pour vérifier des documents, des transactions et des opérations en ligne en prouvant l'intégrité des données et l'authentification de l'utilisateur. Votre entreprise ou organisation utilise probablement déjà des signatures numériques (ou une forme de signature électronique) dans ses activités quotidiennes.

Cependant, plusieurs problèmes se posent si l'on ne préserve pas correctement les signatures numériques : les progrès technologiques rendent impossible la lecture des signatures sur des technologies obsolètes ; les certificats de signature expirent ou sont révoqués.

Une solution à ces défis consiste à préserver les signatures numériques en recourant aux services d'entreprises tierces opérant selon des certifications et des normes acceptées dans le monde entier. Ainsi, les signatures numériques à long terme restent trouvables, accessibles et utilisables. En outre, et c'est le plus important, elles seront en mesure de maintenir le statut de validité d'un objet signé au fil du temps.