Concepts de base

• Sécurité

  La sécurité est l'un des concepts clés auxquels l'Administration, dans le domaine des technologies de l'information et de la communication (TIC), doit accorder la plus grande attention.

  L'Administration doit étendre les garanties juridiques qu'elle offre aux citoyens et aux entreprises aux procédures électroniques.

  Les documents générés électroniquement sont associés à trois concepts qui doivent être sauvegardés et qui sont les suivants : confidentialité, intégrité et authenticité.

  • La confidentialité fait référence à la capacité de garder un document électronique inaccessible à tous, à l'exception d'une certaine liste de personnes.
  • L'intégrité garantit que le document reçu correspond au document émis sans aucune possibilité de modification.
  • L'authenticité fait référence à la capacité de déterminer si une liste particulière de personnes a établi leur reconnaissance et/ou leur engagement envers le contenu du document électronique. Le problème de l'authenticité d'un document traditionnel est résolu par la signature autographe. Au moyen de leur signature autographe, une ou plusieurs personnes expriment leur volonté de reconnaître le contenu d'un document et, le cas échéant, de respecter les engagements que le document établit envers l'individu.

  Ces problèmes de confidentialité, d'intégrité et d'authenticité (processus définis de signature et de chiffrement) sont résolus par une technologie appelée cryptographie. La cryptographie est une branche des mathématiques qui, lorsqu'elle est appliquée aux messages numériques, fournit les outils idéaux pour résoudre les problèmes susmentionnés. Le problème de la confidentialité est généralement lié aux techniques appelées chiffrement et aux problèmes d'intégrité et d'authenticité des techniques appelées signature numérique, bien que les deux soient en fait réduits à des procédures de chiffrement et de déchiffrement cryptographiques.

• Qu'est-ce que la cryptographie asymétrique ?

  La cryptographie asymétrique est la méthode cryptographique qui utilise une paire de clés complémentaires, publique et privée, pour chiffrer des documents ou des messages. Ce qui est encodé avec une clé privée doit être décodé par la clé publique correspondante. Et vice versa, ce qui est encodé avec une clé publique ne peut être décodé qu'avec sa clé privée. La clé privée doit être connue uniquement par son propriétaire, tandis que la clé publique correspondante peut être rendue publique.

  Le fait que la clé privée ne soit connue que de son propriétaire nous permet de réaliser deux choses importantes :

  • Tout document généré à partir de cette clé doit nécessairement avoir été généré par le propriétaire de la clé (signature électronique).
  • Un document auquel la clé publique s'applique ne peut être ouvert que par le propriétaire de la clé privée correspondante (cryptage électronique).
• Qu'est-ce qu'un certificat électronique ?

  Un certificat électronique est un document émis et signé par une autorité de certification qui identifie une personne (physique ou morale) avec une paire de clés. Un certificat contient les informations suivantes :

  • Identification du titulaire du certificat (nom du titulaire, NIF, e-mail,...).
  • Signes distinctifs du certificat : numéro de série, entité qui l'a délivré, date de délivrance, période de validité du certificat, ...
  • Une paire de clés : publique et privée.
  • La signature électronique du certificat avec la clé privée de l'autorité de certification (CA) qui l'a émis.

  Toutes ces informations peuvent être divisées en deux parties :

  • Partie privée du certificat : clé privée.
  • Partie publique du certificat : d'autres données du certificat, y compris la signature électronique de l'autorité de certification qui l'a délivré.

  La partie privée n'est jamais cédée par son propriétaire. Ceci est la base de la sécurité. Avec la paire de clés, vous pouvez exécuter des fonctions de chiffrement avec la particularité que ce qui est chiffré avec la clé privée ne peut être déchiffré qu'avec la clé publique et vice versa.

• Qu'est-ce qu'une signature électronique ?

  Une signature électronique est l'empreinte digitale d'un document chiffré à l'aide d'une clé. L'empreinte est obtenue en appliquant un algorithme mathématique à un message. Cet algorithme présente deux caractéristiques fondamentales:

  • Il n'est pas possible de récupérer le message à partir de l'empreinte digitale générée
  • Si vous modifiez le message, l'empreinte digitale que vous obtenez est différente.

  Ces deux caractéristiques garantissent l'intégrité du message. Si vous modifiez le contenu du message, celui qui vérifie la signature le saura.

  L'empreinte digitale est chiffrée avec la clé privée du certificat de la personne qui signe. En appliquant les mécanismes de vérification, le destinataire sait qui a signé et cette personne ne peut pas répudier la paternité du message.

• Comment est générée une signature électronique ?
  1. Vous obtenez une empreinte digitale du document numérique que vous souhaitez signer. Cette empreinte digitale garantit que deux documents différents génèrent des empreintes digitales différentes et que deux documents identiques génèrent toujours la même empreinte digitale.
  2. Le chiffrement (à l'aide d'algorithmes mathématiques) de l'empreinte digitale avec la clé privée du certificat est effectué. Cela garantit l'authenticité, car le propriétaire du certificat est le seul à avoir pu effectuer ce chiffrement.
  3. Toute la documentation est encapsulée dans un document signé qui inclut:
     1. Document original.
     2. Empreinte digitale cryptée avec la clé privée.
     3. Partie publique du certificat.
• Comment la signature électronique est-elle vérifiée ?
  1. L'empreinte digitale, chiffrée avec la clé privée, est déchiffrée à l'aide de la clé publique du certificat.
  2. L'empreinte digitale du document original est obtenue.
  3. Les deux empreintes digitales sont comparées. Si elles correspondent, la signature est correcte (il y a intégrité, le document n'a pas été modifié).
  4. L'autorité de certification émettrice est consultée pour la validité du certificat et, s'il est valide, la signature en plus d'être correcte est valide (l'authenticité de l'origine de la signature est garantie).