LA SIGNATURE ELECTRONIQUE
Michel LANGLAIS
26 Mai 2008
Saintes
LA SIGNATURE ELECTRONIQUE
QU’EST CE QUE C’EST ?
Le rôle de la signature électronique est de garantir les fonctions d’authentification, d’intégrité et de non-répudiation
– AuthentificationAuthentification• Le signataire du document est clairement identifié.
– IntégritéIntégrité • Toute modification du document, volontaire ou
accidentelle, sera détectée.
– Non-répudiationNon-répudiation• L’expéditeur ne peut pas nier avoir signé le document.
La valeur probante de la Signature électronique est reconnue par la loi depuis 2001
La La signaturesignature : :définition juridiquedéfinition juridique
La valeur probante de la Signature électronique est reconnue par la loi depuis 2001
Les textes juridiques applicables :
Loi n° 2000-230 du 13 mars 2000 portant adaptation du droit de la preuve aux technologies de l'information et relative à la signature électronique. Cette loi introduit ou modifie notamment les articles 1316, 1316-1, 1316-2, 1316-3, 1316-4 et 1326 du code civil
Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, notamment son article 33 qui précise le régime de responsabilité des prestataires de services de certification électronique délivrant des certificats électroniques qualifiés
Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
Décret n° 2001-272 du 30 mars 2001 pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique
Décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information
Arrêté du 26 juillet 2004 relatif à la reconnaissance de la qualification des prestataires de services de certification électronique et à l'accréditation des organismes qui procèdent à leur évaluation
La La signaturesignature : :définition juridiquedéfinition juridique
Carte d’Identité CivileCarte d’Identité Civile
• Garantit le lien entre l’identité d’une personne et sa signature manuscrite
• Délivrée par la Préfecture
• Garantit le lien entre l’identité d’une personne et sa signature électronique
• Délivré par une Autorité de Certification (AC)
Carte d’Identité NumériqueCarte d’Identité Numérique
PapierPapier InformatiqueInformatique
Le Certificat de Signature Le Certificat de Signature Électronique (CSE)Électronique (CSE)
Clé Clé publiquepublique
Clé Clé privéeprivée
• Garantit le lien entre l’identité d’une personne et sa signature électronique
• Délivré par une Autorité de Certification (AC)
Carte d’Identité NumériqueCarte d’Identité Numérique
InformatiqueInformatique
Clé Clé publiquepublique
Clé Clé privéeprivée
Le Certificat de Signature Le Certificat de Signature Électronique (CSE)Électronique (CSE)
1-1- La clé privéeLa clé privée elle est strictement personnelle et confidentielle
2-2- La clé publiqueLa clé publique elle peut être divulguée à tous ses correspondants
3-3- La carte d’identité numériqueLa carte d’identité numérique Permet de connaître l’identité du signataire et de vérifier que cette identité est bien conforme à celle de la personne habilitée à signer les documents
Le Certificat de Signature Le Certificat de Signature Électronique (CSE)Électronique (CSE)
ouou
Carte à puceCarte à pucenécessite un lecteurnécessite un lecteurde cartes à pucesde cartes à puces
i-keyi-keyDispose d’un code secret Dispose d’un code secret
spécifique modifiable,spécifique modifiable,
lecteur de cartes à puces lecteur de cartes à puces miniaturisé incorporéminiaturisé incorporé
Disque durDisque dur
Les différentsLes différentssupportssupports
Les 3 usages majeurstous liés à la sécuritétous liés à la sécurité
• SignerSigner des documents numériques des documents numériques Signer des e-mailsSigner des documents sur le Web, des téléprocédures, des commandes Signer tout type de documents numériques (Word, Excel, PDF, GIF, JPEG, …)
• AccéderAccéder à des ressources protégées à des ressources protégées Le serveur web visité - Place de marchés, Intranet, Extranet, ... - demande le certificat au client et ouvre la porte (ou non) avec les droits correspondant à l'individu se présentant.
• ChiffrerChiffrer && DéchiffrerDéchiffrer des données des données Le chiffrement garantit la confidentialité des données durant le transport des données sur les réseaux publics (Internet, réseau interne, ...) et durant l’archivage
XX
Certificats de classe Certificats de classe 11 : : ces certificats ne requièrent qu’une adresse e-mail du demandeur (pas de contrôle d’identité)
Certificats de classe Certificats de classe 22 : : le demandeur doit nécessairement fournir à distance une preuve de son identité (exemple : l’envoi d’une photocopie de sa carte d’identité)
Certificats de classe Certificats de classe 33 : : ces certificats ne peuvent être délivrés que dans le cadre d’une présentation physique du demandeur (face à face).
Certificats de classe Certificats de classe 3+3+ : : Face à face + support physique.
Les classesde Certificat
Niv
eau
de s
écu
rité
Sig
natu
re &
ch
iffre
men
tC
hiff
rem
en
t
Les Autoritésde Certification
Agréées par le MINEFI
La Poste La Poste (certinomis)(certinomis)Les Chambres de commerce et Les Chambres de commerce et d’industrie d’industrie (Chambersign)(Chambersign)Les BanquesLes BanquesLes greffes de tribunal de commerceLes greffes de tribunal de commerce
Une Chaîne de Confianceau service des collectivités
Autorité de certification
Autorité d’enregistrement
Collectivité adhérente au Syndicat
Opérateur de télétransmission
Autorité EnregistrementAutorité Enregistrement
Porteur:Porteur:Agent ou éluAgent ou élu
1. Contra
ts typ
es
1. Contra
ts typ
es
2. Doss
ier rempli
2. Doss
ier rempli
4. Certif
icat g
énéré
4. Certif
icat g
énéré
3. Outil sécurisé pour la 3. Outil sécurisé pour la création des certificats sur création des certificats sur les clés USBles clés USB
Autorité de certificationAutorité de certification(prestataire national)(prestataire national)Délivrance des clefs d’authentification
Un dossier complet, prouvant :
Qui est la collectivité ?SIRENQui est le responsable de la collectivité ?Nommination Maire/Président+Pièce identitéQui est l’agent autorisé ?Lettre d’autorisation+Formulaire+Pièce identité
Internet
Internet
1- Demande de certificat
2- Vérification
7- Archivage 7- Archivage électronique électronique multi-sitemulti-site
Adhérent : opérateur de télétransmissionAdhérent : opérateur de télétransmission
AEAE
3- Génération du bi-clé
6- Code PIN6- Code PIN
Point de ContactPoint de Contact4- Génération certificat
8 - face à face+remise
Autorité de certificationAutorité de certification
5- Intégration sécurisée dans le
support cryptographique
Le Syndicat Le Syndicat Informatique Informatique se déplace se déplace dans la dans la collectivitécollectivité
Ainsi les téléprocédures utilisent-elles uniquement des certificats délivrés en face à face et dont la qualité technique et le modèle économique ont fait l’objet d’audits.
Ce certificat pour être utilisé convenablement devrait toujours être associé à un code personnel, souvent appelé code PIN (Personal identification number). Ceci permet de procéder non seulement à l’ identification, je je dis qui je suisdis qui je suis, mais aussi à l’ authentification, je suis qui je dis que je suisje suis qui je dis que je suis, car je suis le seul à connaître le code.
Le CSE est personnel, tout prêt est interdit…
Le certificat associe la signature (couple clefs privée-publique) à une personne identifiée. Il le fait car sa délivrance est subordonnée à un minimum de contrôles d’identité dont le niveau fonde la confiance.
IDENTITE
Le CSE est personnel, tout prêt est interdit…On voit par là que la signature, qui est placée sous le contrôle exclusif du titulaire, ne peut être « prêtée » occasionnellement lors de congés ou d’absences à un secrétariat, un collaborateur ou un collègue.
La confiance serait profondément trahie et la réputation du titulaire détruite. En outre en cas de problèmes le titulaire serait devant un dilème :
• S’il reconnaît qu’il y a eu fausse signature, il admet la rupture du contrat et il met la personne à laquelle il a confié le code dans une situation périlleuse, puisque elle a fait un faux.
• S’il ne veut pas admettre la fausse signature, alors il assume les conséquences de l’opération, puisque il est réputé avoir lui-même réalisé l’opération.
Le CSE est fonctionnel…
Dans le CSE est inclus l’organisme pour lequel est émis le certificat…
Donc :
Une personne qui exercedes fonctions dans des collectivités différentes a une clef par collectivité,
N° SIREN
INTITULE
Le CSE est fonctionnel…
Dans le CSE est inclus l’organisme pour lequel est émis le certificat…
Donc :Donc :
Une personne qui quitte la collectivité doit REVOQUER son certificat de signatureélectronique
N° SIREN
INTITULE
Le CSE a une validité limitée dans le temps…
Dans le CSE est inclus la date d’expiration…
EXPIRATION
LA CONFIANCE…
N’importe qui, disposant du système informatique adapté peut délivrer des CSE…
LA CONFIANCE…
Ce n’est pas l’objet qui donne la confiance, mais le sérieux avec lequel il a été délivré…
Les autorités de certifications référencées
par les services du Premier Ministre
sont sûres
LA CONFIANCE…
LA CONFIANCE…
LA CONFIANCE…
Comment décider de faire confiance ???
LA CONFIANCE…
Comment décider de faire confiance ???
LA SIGNATURE ELECTRONIQUE
COMMENT CA MARCHE ?
LA SIGNATURE ELECTRONIQUE
COMMENT CA MARCHE ?
1°) SIGNATURE
A un texte donné correspond une empreinte (signature) unique.
A compter du 1er Janvier 2005, toutes les administrations (services de l’état, collectivités territoriales, collectivités locales, …), de la plus petite à la plus grande, devront être en mesure de préparer, lancer et gérer de bout en bout des appels d’offres par voie électronique via Internet.
A compter du 1er Janvier 2005, toutes les administrations (services de l’état, collectivités territoriales, collectivités locales, …), de la plus petite à la plus grande, devront être en mesure de préparer, lancer et gérer de bout en bout des appels d’offres par voie électronique via Internet.
Message
0111001110110000101110011101100001
Signature électronique
A partir du 1er Janvier 2005, toutes les administrations (services de l’état, collectivités territoriales, collectivités locales, …), de la plus petite à la plus grande, devront être en mesure de préparer, lancer et gérer de bout en bout des appels d’offres par voie électronique via Internet.
A partir du 1er Janvier 2005, toutes les administrations (services de l’état, collectivités territoriales, collectivités locales, …), de la plus petite à la plus grande, devront être en mesure de préparer, lancer et gérer de bout en bout des appels d’offres par voie électronique via Internet.
Message
Fon
ctio
n m
ath
ém
ati
que
Fon
ctio
n m
ath
ém
ati
que
1010100110001110110101001100011101Signature électronique
Fichier xxx.p7m
Affichage de la Carte d’Identité Numérique :Authentification du signataire
Si les empreintes sont identiques, le document est intègre (i.e. : il n’a pas été modifié après qu’il ait été signé)
CIN d’Alice
Clé publiqued’Alice
Logiciel de signature autonome
&
payant
Pack Office ou Acrobat
Applet
on line
&
gratuit
Tous documents
SignerSigner
SignerSigner
Les stylos électroniques(logiciels de signature et de chiffrement)
Logiciel de signature autonome
&
payant
Pack Office ou Acrobat
Applet
on line
&
gratuit
Tous documents
Vérifier
Vérifier
Vérifier
Vérifier
Les stylos électroniques(Vérifier la signature apposée)
• Signature attachée– Envoi dans un seul fichier du fichier
d’origine et de sa signature (extension .p7m)
• Signature séparée– Création d’une empreinte du document
(condensé du document) et signature de cette empreinte, séparément du document lui-même (l’empreinte signée porte l’extension .p7s)
2 Modes de Signature2 Modes de Signature(fichiers (fichiers .p7m.p7m et et .p7s.p7s))
LA SIGNATURE ELECTRONIQUE
COMMENT CA MARCHE ?
2°) CHIFFREMENT
Le Le chiffrementchiffrement dans le processus dans le processus d’Appels d’Offres dématérialisésd’Appels d’Offres dématérialisés
ÉÉmetteur d’Appels d’Offresmetteur d’Appels d’Offres
SoumissionnaireSoumissionnaire
RetraitDCE
Consti- tution réponse
Dépôt des plis
Rapatriementdes plis
CAO
Site Web sécurisé (https)
Dépôt DCE
Date de clôture
Date de Publication
Publicité légale
Date de CAO
Chiffrement automatique du contenu des enveloppes de réponse (cf. art.7 et 8 du décret 2002-692)
Déchiffrementdu contenu des enveloppes de réponse
Clé privéeClé privée(de la PRM, du PCAO …)
• ConfidentielleConfidentielle
• ProtégéeProtégée par un mot de passe.
• Utilisée pour déchiffrer déchiffrer les documents
Clé publiqueClé publique(de la PRM, du PCAO …)
• PubliquePublique
• DisponibleDisponible pour tous vos interlocuteurs (sur le serveur, de façon « transparente » …)
• Utilisée pour chiffrer chiffrer les documents à l’intention du possesseur de la clé privée
Le chiffrement / déchiffrementpar clé asymétrique
- la Cle de la Personne Habilité à engager la Collectivité
Automatiquement par le serveur
Le chiffrementLe chiffrement des des candidaturescandidatures
Chiffrement électroniqueChiffrement électronique
Chiffrer
Chiffrer
Logiciel de signature autonome
&
payant
Pack Office ou Acrobat
Applet
on line
&
gratuit
Tous documents
Déchiffrer
DéchiffrerDéchiffrer
Déchiffrer
Le DéchiffrementLe Déchiffrement des des
candidaturescandidatures
LA SIGNATURE ELECTRONIQUE
COMMENT CA MARCHE ?
2°) AUTHENTIFICATION