Le b.a.-ba de la signature électronique

La signature électronique, ou signature numérique est un modèle mathématique qui permet de vérifier l'authenticité et l'intégrité d'un contenu envoyé digitalement.

Même si certains font l'amalgame de la signature électronique avec les signatures envoyées par fax ou par télégraphe à l'époque (qui étaient techniquement des signatures envoyées électroniquement), la signature électronique aujourd'hui définit le mécanisme mathématique qui sert à l'authentification de ladite signature.

Une fois n'est pas coutume : avant de rentrer dans le vif du sujet, un petit point sur l'anglais américain s'impose, et notamment sur le faux ami de la signature électronique aux États-Unis. Chez nos collègues outre-Atlantique, il existe deux termes bien distincts : "Electronic signature" et "Digital signature". Contrairement à ce que l'on pourrait croire, "Electronic signature" ne porte pas la même définition que la signature électronique, et fait allusion au concept légal englobant la signature électronique, tandis que le mécanisme cryptographique qui lui est appliqué dans le domaine du "Electronic signature" porte le nom de "Digital signature". Toutefois, à l'inverse en français, lorsqu'on parle de signature électronique ou numérique cela peut concerner à la fois le mécanisme mathématique et légal.

En résumé : "Digital signature" équivaut à la signature électronique, "Electronic signature" n'équivaut pas la signature électronique, mais signature électronique équivaut "Electronic signature". Bravo si vous avez réussi à suivre ça !

LA SIGNATURE ÉLECTRONIQUE EN QUELQUES MOTS

Pour la personne qui ne comprend rien à l'informatique (nous ne vous en tiendrons pas rigueur, et nous avons essayé de garder les paragraphes qui suivent au plus simple pour que vous puissiez comprendre), il est essentiel de retenir une information capitale concernant la signature électronique : ce n'est pas du tout comme signer un morceau de papier.

La signature électronique se fait grâce à un cryptage informatique (cryptage qui, je vous rassure, vous n'aurez pas besoin de connaître dans ses moindres lignes de code).

Pour vulgariser à l'extrême le concept de la signature électronique, elle repose généralement sur un système de cryptographie asymétrique. À savoir que dans la cryptographie, il existe deux systèmes principalement utilisés pour crypter du contenu : le symétrique et l'asymétrique. Dans tous les scénarios de cryptographie, il existe des "clés" permettant de crypter des données. Dans le cas de la cryptographie symétrique, une seule clé (privée) est employée pour chiffrer et déchiffrer des données. C'est un système particulièrement sécurisé, si ce n'est qu'il faut avoir un moyen sûr pour transmettre la clé entre l'expéditeur et le destinataire du contenu.

A contrario, la cryptographie asymétrique emploie un système un brin plus complexe de deux clés, une privée et une publique. Tandis que la clé privée reste la propriété exclusive de l'expéditeur, il peut librement partager la clé publique avec le destinataire. Ce partage de clé publique permet d'authentifier l'expéditeur, tout en évitant de compromettre la clé de chiffrage privée que l'expéditeur possède.

Bref, si ces deux paragraphes précédents vous paraissent incompréhensibles, ne vous inquiétez pas : vous n'êtes probablement pas seuls dans votre incompréhension, et ce n'est pas essentiel pour comprendre les fonctions de la signature électronique que nous allons détailler ci-dessous.

• Identification
• La fonction primaire de la signature électronique ; il sert avant tout à identifier l'expéditeur, et ce de manière fiable et sécurisée.
•  
• Intégrité
• La deuxième fonction de la signature électronique ; il assure le destinataire que les données reçues n'ont pas été modifiées d'une quelconque façon entre le moment de la signature électronique  et la réception.
•  
• L'irrévocabilité
• La troisième fonction de la signature électronique ; l'irrévocabilité empêche légalement l'expéditeur de nier la signature électronique à une date ultérieure.

Inutile, par ailleurs, de vous détailler trop les applications diverses qui peuvent découler de la signature électronique, car elles sont sensiblement les mêmes que les applications d'une signature traditionnelle (signature de contrats ou de documents sensibles où l'authentification est un facteur important, transferts d'argent, etc.).

LES VULNÉRABILITÉS DE LA SIGNATURE ÉLECTRONIQUE

Comme n'importe quel système de sécurité, la signature électronique possède son lot de vulnérabilités qui font qu'elle est reniée par certaines structures ne la jugeant pas suffisamment fiable (nous argumenterons simplement dans ce cas que forger une signature traditionnelle est un exercice tout aussi complexe que forger une signature électronique).

La plus grande vulnérabilité de la signature électronique reste son système de cryptographie, et notamment la fameuse clé privée que nous évoquions tout à l'heure. En effet, cette clé privée doit, en principe, rester la propriété exclusive de l'expéditeur. Dans la pratique, toutefois, cela implique certaines restrictions : notamment, le stockage de la clé privée et confidentielle qui se fera très probablement via un poste fixe. Par conséquent, l'expéditeur ne pourra qu'assurer sa signature numérique à partir de ce poste, et dans l'hypothèse que ce poste est compromis lors d'une cyberattaque, cela veut dire que la signature pourra être usurpée par l'attaquant.

LE RÈGLEMENT EIDAS, OU COMMENT APPLIQUER LA SIGNATURE ÉLECTRONIQUE DANS L'U.E.

Si vous travaillez dans l'e-commerce ou le secteur juridique, il est probable que vous connaissez déjà au moins de nom le règlement eIDAS, entrée en vigueur en Europe en 2016.

Le règlement eIDAS renforce notamment certaines lois déjà en place concernant la signature électronique en Europe, et établit certaines clarifications sur la valeur juridique de ladite signature électronique. Sans vous ennuyer avec le détail technique, voici ce qui en ressort :

1. La signature électronique a la même valeur juridique qu'une signature manuscrite (en termes simples : on peut l'utiliser comme preuve dans une cour de justice, à même titre qu'une signature manuscrite), à condition que cette dernière puisse être classifiée comme "qualifiée". Dans le sens du texte, une signature électronique qualifiée est une signature avec un certificat d'une structure qualifiée afin d'assurer une qualité supérieure en termes de sécurisation des données.

2. Sa valeur juridique est égale dans tous les pays membres de l'U.E., ainsi que certains pays partenaires comme la Norvège, l'Islande et le Liechtenstein.