Une assistante juridique nommee Mara ouvre son premier certificat scelle dans une etude bâloise. La page est claire, mais elle est pleine de mots qu'elle n'a jamais employes au travail : hash, horodatage, sceau, escrow. Elle doit expliquer le document a un client dans l'heure. Sceller est le verbe que nous employons pour cela, et sceller un fichier revient a fixer son empreinte et l'heure pour que le fichier puisse etre verifie plus tard. Vous rencontrerez ces mots sur le certificat lui-meme, dans les pages d'aide et dans tout litige ou le fichier compte. Ce glossaire donne a chaque mot une phrase simple, avec un lien vers la regle ou la norme qui le fonde, pour que vous puissiez lire un document scelle sans diplome de droit.
Comment utiliser cette liste
Chaque mot ci-dessous recoit une phrase simple, puis une courte note avec un lien vers la regle ou la norme qui le fonde.
Vous n'avez pas besoin de la lire dans l'ordre. Allez directement au mot qui figure sur votre certificat. Lorsqu'une loi est citee, le lien ouvre le texte officiel, pour que vous verifiiez vous-meme la formulation. Si un mot presente ici ne figure pas sur votre certificat, vous pouvez le passer sans risque. Ce sont des explications generales, pas un conseil juridique pour votre cas.
Hash, aussi appele empreinte
Un hash est un code court calcule a partir d'un fichier, et toute modification du fichier, meme une seule lettre, donne un code different.
Comme le code est propre a ce fichier exact, il fonctionne comme une empreinte pour les donnees. Il est produit par une methode publique, comme les fonctions SHA definies dans NIST FIPS 180-4. Deux fichiers differents ne partagent presque jamais le meme code, c'est donc un controle fiable qu'un fichier n'a pas change. Le meme fichier donne toujours le meme code, si bien que chacun peut refaire le controle et obtenir le meme resultat. Lorsqu'un fichier est scelle, seul ce hash est envoye a l'autorite d'horodatage, pas le fichier lui-meme.
Horodatage qualifie
Un horodatage qualifie est un enregistrement de confiance de l'heure exacte a laquelle un fichier existait deja.
Dans l'UE, les regles de l'horodatage electronique qualifie figurent a l'article 42 d'eIDAS, et la methode technique suivie par la plupart des outils est decrite dans RFC 3161. Le mot qualifie signifie qu'un prestataire de confiance l'a emis selon des regles fixes, il pese donc plus que l'horloge de votre propre ordinateur. Il prouve un moment, pas le contenu du fichier. L'horodatage repond donc bien a une question : ce fichier existait-il a ce moment ?
Signature electronique qualifiee (QES) et cachet electronique
Une signature electronique qualifiee relie un document a une identite verifiee, et la loi la traite comme une signature faite a la main.
Selon le reglement eIDAS de l'UE et la loi federale sur la signature electronique (ZertES) suisse, une signature electronique qualifiee a le meme effet juridique qu'une signature manuscrite. Le mot qualifie est la cle : l'identite du signataire a ete verifiee par un prestataire de confiance avant l'emission de la signature. Une simple signature electronique, comme un nom tape au clavier, n'atteint pas ce niveau. Un cachet electronique fait le meme travail pour une organisation plutot que pour une personne seule.
KYC, le controle d'identite
KYC, de l'anglais know your customer, signifie verifier qu'une personne reelle et nommee se trouve derriere une inscription.
C'est l'etape qui transforme un compte anonyme en un compte lie a une personne verifiee. En pratique, cela peut consister a controler un document officiel ou une connexion verifiee, pour que le nom du compte soit un vrai nom. Une signature ne vaut que la preuve de qui se trouve derriere elle, ce controle se place donc sous tout le reste du certificat.
Escrow
L'escrow est une voie de recuperation qui peut vous aider a retrouver l'acces si vous le perdez.
C'est une protection gardee a part, en dehors de votre connexion quotidienne, pour qu'un mot de passe perdu n'entraine pas la perte des dossiers. La ou il existe, il est prepare a l'avance et utilise seulement dans des cas definis, par exemple une personne qui ne peut plus se connecter. Voyez-le comme une voie de secours, pas comme une promesse sur un resultat donne.
Certificat de preuve
Un certificat de preuve est le document qui enregistre ce qui a ete scelle et l'heure a laquelle cela a ete scelle, pas qui l'a ecrit.
Il reunit le hash et l'horodatage sur une seule page lisible, avec un lien public que chacun peut ouvrir pour les verifier sans compte. Si quelqu'un affirme plus tard que le fichier etait different, le certificat permet a tout un chacun de comparer l'empreinte conservee avec le fichier en main. Rien sur la page ne revele au public le contenu du fichier. Lisez-le comme l'enregistrement d'un moment : ce fichier existait sous cette forme exacte a cette heure, et rien de plus.
Lire un certificat avec ces mots en main
Avec ces six mots, un certificat scelle cesse d'etre un mur de jargon.
- Hash : l'empreinte du fichier.
- Horodatage : le moment ou il existait.
- Signature ou cachet : l'identite verifiee derriere lui.
- Certificat : la page qui tient les trois ensemble.
La prochaine fois qu'un fichier scelle vous parvient, ouvrez son lien de verification public et lisez le certificat ligne par ligne. Le hash est l'empreinte, l'horodatage est le moment, la signature est l'identite, et le certificat les relie. Vous pouvez en savoir plus sur la plateforme sur swisstrustlayer.com, puis ouvrir un certificat et le lire vous-meme.
