|
 a
"signature �lectronique s�curis�e" consiste
en " une signature �lectronique qui utilise outre
un proc�d� fiable d'identification, qui est propre au signataire,
qui est cr��e par des moyens que le signataire puisse garder
sous son contr�le exclusif, et qui garantit avec l'acte
auquel elle s'attache un lien tel que toute modification
ult�rieure de l'acte soit d�tectable". Telle est
la d�finition donn�e par le d�cret d'application de la loi
portant adaptation du droit de la preuve aux technologies
de l'information et relative � la signature �lectronique.
Publi�e
au Journal Officiel le 13 mars 2000, la loi pr�voit notamment
que les �crits �lectroniques ont une valeur probante devant
un tribunal, les contractants peuvent d'�laborer leurs propres
r�gles de preuve priv�es, la validit� de signature �lectronique
est reconnue au m�me titre qu'une signature manuscrite si
" elle consiste en l'usage d'un proc�d� fiable d'identification
garantissant son lien avec l'acte auquel elle s'attache"
et "la fiabilit� du proc�d� est pr�sum�e, jusqu'�
preuve contraire, lorsque la signature est cr��e, l'identit�
du signataire assur�e et l'int�grit� de l'acte garantie,
dans les conditions fix�es par d�cret en Conseil d'Etat".
Le Gouvernement avait pr�par� ce projet de d�cret qu'il
a soumis � consultation publique � la fin de l'ann�e 2000.
Ce texte avait suscit� beaucoup de commentaires, lesquels
mettaient en exergue deux soucis majeurs � savoir celui
d'assurer un certain niveau de s�curit� et celui d'�viter
un encadrement trop rigide.
Publi� le 31 mars 2001 au Journal Officiel, le d�cret pr�voit
que " la fiabilit� d'un proc�d� de signature
�lectronique est pr�sum�e jusqu'� preuve contraire lorsque
ce proc�d� met en œuvre une signature �lectronique
s�curis�e, �tablie gr�ce � un dispositif s�curis� de cr�ation
de signature �lectronique et que la v�rification de cette
signature repose sur l'utilisation d'un certificat qualifi�
".
Un dispositif s�curis� de cr�ation de signature �lectronique
Un dispositif de cr�ation de signature �lectronique (mat�riel
ou logiciel) sera r�put� s�curis� si un certain nombre de
garanties sont pr�vues en ce qui concerne les donn�es de
cr�ation : Elles doivent �tre �tablies une seule fois, leur
confidentialit� doit �tre assur�e, elles ne peuvent pas
�tre d�duites, elles ne peuvent pas �tre falsifi�es, elles
sont prot�g�es par le signataire contre toute utilisation
par des tiers. De plus, le dispositif ne doit pas alt�rer
le contenu de l'acte � signer et ne pas faire obstacle �
ce que le signataire en ait une connaissance exacte avant
de le signer.
Pour attester de la s�curisation du dispositif de cr�ation
de signature �lectronique, celui-ci devra �tre �valu� et
certifi� conforme (1) soit par les services du Premier ministre
charg�s de la s�curit� des syst�mes d'information conform�ment
� un arr�t� � venir (probablement, la Direction Centrale
des Syst�mes de S�curit� et de l'Information, la DCSSI),
(2) soit par des organismes qui seront agr�es par ces services,
(3) soit par un organisme europ�een assimil�. Les services
d�livreront un certificat de conformit�. Le contr�le de
la mise en oeuvre de ces proc�dures d'�valuation et de certification
sera assur� par un Comit� directeur de la certification,
prochainement institu� par un arr�t� du Premier ministre.
Un dispositif de v�rification de signature �lectronique
Un dispositif de v�rification de signature �lectronique
(c'est-�-dire les �l�ments, tels que les cl�s publiques,
utilis�s pour v�rifier la signature �lectronique) doit �tre
�valu� et peut �galement �tre certifi� conforme. Ce dispositif
devra " permettre de garantir l'exactitude de la
signature �lectronique, de d�terminer avec certitude le
contenu des donn�es sign�es, de v�rifier la dur�e et la
validit� du certificat �lectronique utilis�, l'identit�
du signataire etc. ". La v�rification de la signature
repose sur des certificats �lectroniques qualifi�s.
Les certificats �lectroniques qualifi�s
Pour garantir l'identit� du signataire, les certificats
�lectroniques qualifi�s devront d'une part comprendre un
certain nombre de mentions obligatoires comme notamment
" l'identit� du prestataire, le nom du signataire,
la p�riode de validit� du certificat, les conditions d'utilisation
du certificat etc. " et d'autre part �tre d�livr�s
par un prestataire de service de certification (PSC), lequel
doit offrir un certain nombre de services (annuaire, r�vocation,
horodatage des certificats etc.) et s'engager sur un certains
nombre de garanties (d�livrance, fiabilit� et pr�vention
contre la falsification des certificats, utilisation de
syst�mes, produits, proc�dures s�curis�s, conservation des
donn�es, personnel qualifi� etc.).
En conclusion, on pourra souligner que ce d�cret n'est pas
forc�ment limpide et laisse planer quelques zones d'incertitudes.
Par exemple, qu'entend-on par la notion de "v�rificateur"
ou n'aurait-on pas plut�t pu d�finir cette notion d�s l'introduction,
les limitations de responsabilit� et de garantie de ces
prestataires seront-t-elle possibles en ce qui concerne
les certificats, comment se concilie cette r�glementation
avec celle sur la protection des donn�es personnelles etc.
Tant de questions que la pratique mettra rapidement en exergue
et auxquelles le gouvernement devra trouver des r�ponses
tout en pr�parant la d�signation de l'instance charg�es
de l'accr�ditation des organismes de qualification des PSC
(probablement, le comit� fran�ais de l'accr�ditation, la
COFRAC) ainsi que la proc�dure d'�valuation et de qualification
des PSC. De nombreux �diteurs et PSC pr�parent d�j� leur
dossier et aff�tent leurs arguments afin de recevoir le
s�same officiel (certificat de conformit� ou qualification)
qui leur donnera acc�s � ce nouveau march� porteur.
.Murielle-Isabelle
CAHEN
Retrouver
cet article sur le site
http://www.murielle.cahen.com
|
