Décryptage de la signature électronique : comprendre comment PAdES assure la sécurité des signatures PDF

L’article précédent nous a permis de comprendre simplement ESI. Dans cet article, nous allons étudier et comparer plus en profondeur le concept de PAdES, afin de voir comment le format de signature électronique pour PDF est réglementé.

I. Qu’est-ce que PAdES ?

1. Définition en une phrase PAdES (PDF Advanced Electronic Signature) est un ensemble de normes internationales conçues pour les signatures électroniques avancées de documents PDF. Il s’agit de bien plus que de simplement placer un tampon de signature dans un PDF. Il utilise une structure de données et des mécanismes complexes mais standardisés pour garantir que les fichiers PDF signés puissent être vérifiés et considérés comme fiables pendant de nombreuses années.

II. Le rôle principal de PAdES :

Les signatures électroniques ordinaires sont confrontées à trois risques majeurs au fil du temps :

Expiration du certificat : La validité des certificats numériques utilisés pour la signature n’est généralement que de 1 à 3 ans. Comment vérifier la signature initiale après son expiration ? Craquage d’algorithmes : Les algorithmes de chiffrement actuellement sécurisés pourraient être craqués par des ordinateurs plus puissants à l’avenir. Perte de matériel : Le matériel nécessaire pour vérifier la signature, tel que les listes de révocation de certificats (CRL), peut être perdu si le serveur correspondant est fermé, rendant la vérification impossible. PAdES résout ces problèmes en définissant différents niveaux de signature, chacun progressant vers une solution plus complète :

PAdES-B-B (niveau de base) : Prouve l’identité du signataire et l’intégrité du document. PAdES-B-T (avec horodatage) : Ajoute un horodatage fiable, prouvant que la signature existait à un certain moment, empêchant ainsi toute contestation ultérieure. PAdES-B-LT (validation à long terme) : Intègre tous les éléments nécessaires à la validation (certificats, listes de révocation, etc.) dans le PDF lui-même, empêchant ainsi l’impossibilité de valider en raison de la fermeture de serveurs externes. PAdES-B-LTA (validation à long terme et archivage) : Génère périodiquement de nouveaux horodatages avec des algorithmes plus sécurisés, couvrant l’ensemble du paquet de signature, pour contrer le risque d’obsolescence des algorithmes et assurer une validité permanente. Actuellement, l’adoption de PAdES-B-T (avec horodatage) suffit généralement à satisfaire les exigences de base des spécifications de signature électronique (après tout, la probabilité que l’AC elle-même fasse faillite n’est pas très élevée, de sorte que la vérification de l’état du certificat est généralement prise en charge).

III. La composition de PAdES :

Une signature PAdES intègre dans le fichier PDF un “paquet de données de confiance” complet :

Valeur de la signature (Signature Value) : La valeur de signature centrale basée sur des opérations cryptographiques. Certificat du signataire (Signer’s Certificate) : Une carte d’identité électronique prouvant l’identité du signataire. Horodatage fiable (Trusted Timestamp) : Délivré par une autorité compétente, prouvant l’heure de la signature. Données de validation (DSS - Document Security Store) : Chaîne de certificats (Certificates) : Certificat de l’autorité de délivrance supérieure du certificat du signataire. Informations de révocation (Revocation Information) : Liste prouvant que le certificat n’a pas été révoqué au moment de la signature. Horodatage d’archive (Archive Timestamp) : Au niveau LTA, utilisé pour “renforcer” périodiquement le nouveau paquet de signature.

IV. Relation entre PAdES, CAdES et XAdES

PAdES n’est pas une norme isolée. Avec CAdES et XAdES, elle constitue le “trio” des normes de signature électronique avancée de l’ETSI (Institut européen des normes de télécommunications). Le concept central de ces trois normes est le même : viser la validité à long terme et la garantie de confiance des signatures électroniques. Cependant, elles ont des caractéristiques différentes en fonction des différents formats de fichiers et des scénarios d’application.

CAdES (CMS Advanced Electronic Signatures) est une norme de signature électronique largement applicable à tout format de fichier, particulièrement performante lorsque le fichier nécessite une signature détachée. XAdES (XML Advanced Electronic Signatures) est spécifiquement conçu pour la signature électronique de données XML, capable de descendre jusqu’au niveau des éléments de données, et convient à la signature de données structurées. Comparé à ces deux normes, PAdES (PDF Advanced Electronic Signatures) se concentre sur la signature de fichiers PDF, en mettant l’accent sur l’intégration étroite de la signature et du document, offrant une bonne expérience visuelle, permettant aux utilisateurs de percevoir intuitivement l’existence de la signature.

Ces trois normes partagent le même concept et prennent toutes en charge différents niveaux de signature tels que B-B, B-T, B-LT et B-LTA, dans le but d’atteindre une validité à long terme. Elles reposent sur la même infrastructure, y compris l’infrastructure à clé publique (PKI) et les services d’horodatage (TSA). En termes de cadre juridique, les trois normes suivent également des exigences réglementaires similaires, conformément aux dispositions du règlement eIDAS de l’UE et d’autres réglementations relatives aux signatures électroniques avancées.

En fonction du format de fichier, les utilisateurs peuvent choisir la norme appropriée en fonction de leurs besoins : si vous devez signer n’importe quel type de fichier, vous pouvez choisir CAdES ; si vous signez des données XML, choisissez XAdES ; et pour la signature de documents PDF, choisissez PAdES.

V. PAdES vs Norme chinoise GB/T 31308.3-2023

La norme chinoise GB/T 31308.3-2023 est techniquement entièrement conforme à la norme internationale PAdES (ETSI EN 319 142). Les mécanismes centraux, les niveaux de signature et les objectifs des deux sont les mêmes, visant à résoudre les problèmes de validité à long terme et de validité juridique des signatures électroniques PDF. En bref, la norme internationale PAdES et la norme GB/T 31308.3 ne présentent aucune différence en termes de spécifications techniques, mais il existe des exigences différentes dans certains aspects clés, qui se reflètent principalement dans le choix des algorithmes de chiffrement et des racines de confiance.

La norme internationale PAdES utilise généralement des algorithmes de chiffrement universellement utilisés tels que RSA, ECDSA et SHA-2, tandis que la norme GB/T 31308.3 met davantage l’accent sur l’utilisation d’algorithmes de chiffrement nationaux développés indépendamment par la Chine (tels que SM2, SM3, SM9). De plus, PAdES s’appuie sur des organismes CA/TSA reconnus au niveau international ou par l’UE, tandis que GB/T 31308.3 exige l’utilisation d’organismes de services nationaux certifiés pour les produits de chiffrement commerciaux chinois et autorisés par CA.

En termes de domaines d’application, la norme internationale PAdES est davantage utilisée dans les contrats électroniques transfrontaliers et les documents de commerce international, conformément aux exigences du marché international et aux exigences de reconnaissance mutuelle transfrontalière. La norme GB/T 31308.3 est principalement utilisée dans les documents officiels gouvernementaux nationaux, les contrats financiers, la conservation des preuves judiciaires et d’autres domaines, conformément aux normes de l’industrie et aux exigences légales nationales chinoises.

En général, la norme internationale PAdES peut être considérée comme un “passeport universel international”, tandis que GB/T 31308.3 est la “version spéciale chinoise” de ce passeport. Bien que les spécifications techniques soient entièrement cohérentes, dans les applications pratiques, il est nécessaire de se conformer aux exigences légales chinoises, telles que la “Loi sur la signature électronique” et la “Loi sur la cryptographie”, et d’utiliser la “technologie anti-contrefaçon” spécifiée (algorithme de chiffrement national).

VI. Conclusion

PAdES est l’une des technologies de base pour construire une confiance à long terme à l’ère numérique. Grâce à sa combinaison avec CAdES et XAdES, elle fournit des solutions complètes pour différents scénarios d’application, garantissant que les signatures électroniques des données aux documents peuvent résister à l’épreuve du temps.

Pour les entreprises, comprendre et adopter PAdES (ou GB/T 31308.3 au niveau national) signifie :

Garantie juridique : Les contrats électroniques signés ont une force probante judiciaire plus forte. Réduction des coûts et augmentation de l’efficacité : Réaliser un processus sans papier complet, une gestion des contrats, un archivage et une vérification plus pratiques. Conformité à long terme : Répondre aux exigences d’archivage à long terme des signatures électroniques de diverses réglementations nationales et étrangères.