La signature et la certification électroniques Aspects juridiques

1. La signature et la certification électroniquesAspects juridiques Daniel Fesler daniel.fesler@bakernet.com http://www. droit-techinfo.n3.net

2. La problématique de la preuve • Conserver une trace • témoins, serments... • Clercs, prêtres •  Notaires • Techniques (voir la pratique notariale) • sceau, manuscrit (Conservation des hypothèques) • texte justifié, marges, décompte des mots ajoutés ou supprimés

3. Finalités • Identifier les parties à un acte • Constater leur adhésion aux effets juridiques découlant de cet acte • Authentifier cette adhésion • Garantir l’intégrité de l’acte • Assurer la permanence de l’acte

4. La signature manuscrite • Identifie son auteur • Signifie l’adhésion de son auteur au texte signé • Authentifie l’acte signé par son caractère unique et non reproductible • En clôturant un acte, elle en assure l’intégrité • Elle requiert un support permanent qui assure ainsi la pérennité de l’acte signé

5. Les règles de preuve en droit belge • Primauté de l ’écrit • Càd. primauté de l ’acte authentique ou sous seing privé • Outre l’écrit : régime de la preuve légale • Vis-à-vis des commerçants : régime de la preuve libre sauf la foi due aux actes écrits

6. La notion d’acte • Écrit • Portant une signature originale, manuscrite et attribuable à son auteur  Original (exception notable: la facture) • Un acte ne reprenant qu’une reproduction de signature (télécopie, photocopie) ne peut valoir que comme commencement de preuve par écrit

7. Implications dans le cadre du développement des réseaux • Problèmes liés à l’identification des parties • Les originaux et copies numériques posent la question de leur intégrité • Pas de différence entre copie et original •  don’t even think digitising your handwritten signature

8. Reçu Le soussigné reconnaît avoir reçu de Monsieur Paul Van Binst la somme de 1 franc à titre de prêt et m’engage à lui rembourser cette somme à première demande. Fait à Bruxelles, le 22 mars 2001. Daniel Fesler SPECIMEN NON NON

9. La signature électronique - Fonctionnement • Le titulaire d’une signature électronique génère deux clés • une clé privée qui est gardée secrète • une clé publique qui peut être disséminée sans restriction • Le titulaire signe ses communications à l’aide de sa clé privée tandis que tout tiers peut vérifier l’authenticité des signatures ainsi générées à l’aide de la clé publique • Tout tiers détenteur d’une clé publique peut crypter une communication à l’attention du titulaire de la clé privée correspondante

10. DF La clé privée

11. DF -----BEGIN PUBLIC KEY BLOCK----- mQGiBDZetmMRBADGYrZSGaMhA8ghq/rZLoxymHTyhghfvkuPhF1aSR1ET37g5KGX SqHcmf9Q104IoEMtXheGB7XAH0Wl1xWsHWcMPKVjY//W1USCEEENAg/gsuFyhyY8 QdjGCJwHslgN7Jfa4d2LQdG2fL0jLMu3qRWgANeW4T/ucbhYEzaYElqYpwCg/wqP djPzjPmCBrzhrJkaOQbKYt0EALUrx4kLoqzhaPjdNkN2+kJ0lrZUXwiDMrQBszr5 R4g30qZhbOgSeTcJ0NgIBqJwU8rPPKckfKWdux1Rck4nFd2jOUonrOOhz0GAt2Pr Jslwx/IQ0j3JBAY8D5LLy8pd+sDK7zTnCQRKDwrTsEqnLO1BePrui0JDstQ/MYMR ViwGA/4tzhz9BcNufaUTSwh0+L5ILa5pBoaBebdztBtElTT5qD2XU8Q3iyzEfUV4 BmanJRQhtrzMPeMjeFMVYNaEfJcT9m2Y7nDXTJKLoorZrKNVZEF33n7magZc4WT/ 0QFGRKq5k7B8pTupIBWc+AZbPfOSPC4iRX3SQXOJZaElCZpMbbQlRGFuaWVsIEZl c2xlciA8ZGFuaWVsX2Zlc2xlckBjc2kuY29tPokASwQQEQIACwUCNl62YwQLAwIB AAoJEIVm9oiD4MrV6JQAn2ZeK3Qn1Wqci72RxaRzYvruMXfGAKDar0q5NntVYuHu 2U70kCgFECBJerQnRGFuaWVsIEZlc2xlciA8ZGFuaWVsLmZlc2xlckBza3luZXQu YmU+iQBLBBARAgALBQI4ZS/JBAsDAgEACgkQhWb2iIPgytULGACg91mwZg42R89Y cRZ1K6Shhq2bOF8AoIzqWAm9I4cs2ZKxHbWHMjIWnKfyuQINBDZetmQQCAD2Qle3 CH8IF3KiutapQvMF6PlTETlPtvFuuUs4INoBp1ajFOmPQFXz0AfGy0OplK33TGSG SfgMg71l6RfUodNQ+PVZX9x2Uk89PY3bzpnhV5JZzf24rnRPxfx2vIPFRzBhznzJ Zv8V+bv9kV7HAarTW56NoKVyOtQa8L9GAFgr5fSI/VhOSdvNILSd5JEHNmszbDgN RR0PfIizHHxbLY7288kjwEPwpVsYjY67VYy4XTjTNP18F1dDox0YbN4zISy1Kv88 4bEpQBgRjXyEpwpy1obEAxnIByl6ypUM2Zafq9AKUJsCRtMIPWakXUGfnHy9iUsi GSa6q6Jew1XpMgs7AAICB/wPvNKppvb9sG7MNl18otLa5c3ZBXQHJQ3FR25CLGOV ACRtNKmZRHfjnjb6YE7Dj8XnSH05GRUegRPXOcf13yhNix1zOAfYsrnVqQ4sfMGd BgrwpmcJKYkNvx2G6RFsm/KweeZZWX+4ZWWIoZTZvocPgEe403OqHY3NCpzAj74O S/lWkK8WN7GMjET820c/GuchpjQ2NsGhTD3GdwzQd5crvX9D0FAva93cwfdSdCy1 LcoJIc/LZpDrrB0qFjobzBDDaMOajxnQ3PowEfBxl+YKNWXKHewpdVj4xBIUgVDH /xPib1QxdDUeJGP6nGSoSgxCEPcXd91SBsBTjkK7D6qXiQBGBBgRAgAGBQI2XrZk AAoJEIVm9oiD4MrVxf8An2Cktk6Cu+dQZ+P9wWGTwA8LxrbyAJ4txeh/RXBNIjts RFwAtnrHBp1zRQ== =NW6Q -----END PUBLIC KEY BLOCK----- La clé publique

12. Le certificat • Émis par un tiers de confiance • certifie qu’une clé publique émane d’une personne déterminée, peu ou prou qualifiée (son identité, certains attributs) •  toute communication dont la signature est vérifiée positivement à l’aide d’une clé publique certifiée émane du titulaire du certificat •  toute communication cryptée à l’aide d’une clé publique certifiée ne pourra être décryptée que par le titulaire du certificat

13. DF Le certificat

14. Message signé (DF) -----BEGIN SIGNED MESSAGE----- Hash: SHA1 Reçu Le soussigné reconnaît avoir reçu de Monsieur Paul Van Binst la somme de 1 franc à titre de prêt et m’engage à lui rembourser cette somme à première demande. Fait à Bruxelles, le 22 mars 2001. Daniel Fesler -----BEGIN SIGNATURE----- iQA/AwUBN9tJcYVm9oiD4MrVEQKR0ACggcuzYXWZOBz8OX7OGX6aZxI4Mr0AoPpQ +kDKZ14al288b74UkQg/lAFs =o68v -----END SIGNATURE----- SPECIMEN 10.000 francs invalide

15. Message signé (DF) & crypté (YO) -----BEGIN MESSAGE----- qANQR1DBwVIDFMjo3ku3DUAQCAkBXesKFTt80Kdw8JW74r1/mSfvqXH7nVU20HjR FbHquVhx+J1qrwwaul2a8FEeY6HVDUnH7Llk8inMbXC/TCs//F92EahGCCKqfmXG QIDLH4wY5/NWF0pvWbBbHIMpJANpsbWyfuIOAnZpll3n90F+Iw/bMU5s7UiU+qH8 sAZFO4XgRIgHF86euCcIGXjo7f7u210K0ObjdlThS8ItC+qjRVoImPiHNHGQqp7c dBdG90YtualfbHJEUtqEGcKPUzG2ajmnvjds0/GI6H0P3hZd7O/4YEci+yR0VoY4 f30pP+IgByyfklI1fWaNgNyfB3U+8+2PLRD3vwPbzbl0A7swoDQICwQMSqv97Bfv GSRCXtQo2tBXp/XnwKbI+yh2T0JMSckVeeeLp04QX35aSvo53qa0rmMF4m3oXRVo CbKrwqdJ+p4PWO/W5d8Fh9Z788KbGof8HW/f/HLD84SzbCtRReQAh73Cy1f0OCrl lmW6GBkOv95ePSagDYs18Wp4+MCtkcFoNKt5TT3slPI/r+vuQdhMKO7Ka6FH6+YL CAPgFAQ5tYSYmdHcl6vB9Kicok2FkfJ+rpb3nc2OtDdvoOyZE55jlDeodSySF/fA NAOgS72LEMjd4I9PPSAfZKStkYX0h/9X8lpa4g1jW7P+qWN8UtHvf2XNMzSYSHJE zoJav2Z7dToHBcnAQVM2Tne+ClfMEF+iaRUS7rMH0S7Wt2nLsiPDDCm3QGpPNiF9 c5pcO8tmYHN45sHnGtWnpe1HBBSoKj5u8GJd/SSPXpy2U4/xM6encdbwXa683Qe9 w6XtrhujjDZU78FRM8t8q1gb+a6XK8twBXsisGq2ZyqQYtNHAVmBWaHbCkhi4kVp GNsKH+NR7vnt+dVxS8vNjALnEh9GwHnUV4aNQ2JhDY6YNS8QG0jSopNllx5bCZEF AOCxPAD4vxJlz/ppx1ahQrJgarNbxD/Q2vWCFIvsCZ9MlJmxvi3VGwxWFT+NWv3+ 8lwHanC2agJqvRUfCq20aWFUUi7ElETQ1xtMDiuP =5HHn -----END MESSAGE----- illisible SPECIMEN

16. YO YO YO DF DF REÇU DF Mécanisme cryptage signature cryptage signature

17. REÇU REÇU REÇU REÇU REÇU REÇU -----BEGIN SIGNATURE----- iQA/AwUBN9tJcYVm9oiD4MrVEQKR0ACggcuzYXWZOBz8OX7OGX6aZxI4Mr0AoPpQ +kDKZ14al288b74UkQg/lAFs =o68v -----END SIGNATURE-----

18. Caractéristiques de la signature électronique • Personnelle • Signifie le consentement de son auteur sur un acte déterminé (dépendant du contexte) • Authentifie les actes électroniques • Assure l’intégrité et la non-répudiation des actes électroniques • Assure de manière relative la permanence des actes électroniques • Garantit la confidentialité des échanges (cf. le sceau)

19. Loi du 20 octobre 2000 (1) Art. 2. L'article 1322 du Code civil est complété par l'alinéa suivant : «Une signature au sens de cet article peut être un ensemble de données numériques pour autant qu'elle puisse être imputée à une personne déterminée et qu'elle établisse le maintien de l'intégrité de l'acte. »

20. Loi du 20 octobre 2000 (2) Une signature électronique est donc : • un ensemble de données • pouvant être imputée à une personne déterminée • établissant le maintien de l’intégrité de l’acte La définition proposée est : • technologiquement neutre • auto-suffisante • dynamique

21. Loi du 20 octobre 2000 (3) « Art. 2281. Lorsqu'une notification doit avoir lieu par écrit pour pouvoir être invoquée par celui qui l'a faite, une notification faite par télégramme, par télex, par télécopie, par courrier électronique ou par tout autre moyen de communication, qui se matérialise par un document écrit chez le destinataire, est également considérée comme une notification écrite. La notification est également considérée comme écrite si elle ne se matérialise pas par un document écrit chez le destinataire pour la seule raison que celui-ci utilise un autre mode de réception. La notification est accomplie dès sa réception dans les formes énumérées à l'alinéa 1er. « A défaut de signature au sens de l'article 1322, le destinataire peut, sans retard injustifié, demander au notifiant de lui fournir un exemplaire original signé. S'il ne le demande pas sans retard injustifié ou si, sans retard injustifié, le notifiant fait droit à cette demande, le destinataire ne peut invoquer l'absence de signature.»

22. Loi du 20 octobre 2000 (4) Article 32 C.j. “Une communication, une notification ou un dépôt qui peuvent avoir lieu par lettre ordinaire, peuvent également avoir lieu valablement par télécopie ou par courrier électronique, pour autant que le destinataire indique un numéro de téléfax ou une adresse électronique ou les utilise régulièrement. « Une communication, une notification ou un dépôt qui doivent avoir lieu par lettre recommandée à la poste, peuvent également avoir lieu valablement par télécopie ou par courrier électronique, pour autant que le destinataire fournisse un accusé de réception.”

23. Loi du 9 juillet 2001 fixant certaines règles relatives au cadre juridique pour les signatures électroniques et les services de certification (entrée en vigueur le 9 octobre 2001)

24. Définitions (1) Signature électronique : « une donnée sous forme électronique jointe ou liée logiquement à d’autres données électroniques et servant de méthode d’authentification ».

25. Définitions (2) «signature électronique avancée» une signature électronique qui satisfait aux exigences suivantes: a)être liée uniquement au signataire; b)permettre d'identifier le signataire; c)être créée par des moyens que le signataire puisse garder sous son contrôle exclusif et d)être liée aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure des données soit détectable; «certificat qualifié» un certificat qui satisfait aux exigences visées à l'annexe I et qui est fourni par un prestataire de service de certification satisfaisant aux exigences visées à l'annexe II » « dispositif sécurisé », logiciel ou matériel (cf. annexe III)

26. Effets juridiques (1) « [l’efficacité juridique et la recevabilité comme preuve en justice ne sont pas refusées] à une signature électronique au seul motif que: • la signature se présente sous forme électronique ou • qu'elle ne repose pas sur un certificat qualifié ou • qu'elle ne repose pas sur un certificat qualifié délivré par un prestataire accrédité de service de certification ou • qu'elle n'est pas créée par un dispositif sécurisé de création de signature. »

27. Effets juridiques (2) « sans préjudice des articles 1323 et suivant du Code civil les signatures électroniques avancées basées sur un certificat qualifié et créées par un dispositif sécurisé de création de signature: a) [répondent] aux exigences légales d'une signature à l'égard de données électroniques de la même manière qu'une signature manuscrite répond à ces exigences à l'égard de données manuscrites ou imprimées sur papier et b) [sont] recevables comme preuves en justice. »

28. L’activité de certification (1) Délivrance des certificats (art. 6 & ss.) • détention d’un registre des personnes physiques détentrices de certificats de personnes morales • annuaire des certificats

29. L’activité de certification (2) • Délivrance de certificats qualifiés (art. 8 & ss.) • conditions de forme et de contenu fixées par l’annexe I • respect par les prestataires des conditions fixées par l’annexe II de la loi • Révocation des certificats qualifiés (art. 12 & ss.) • fraude, décès du titulaire • modification des données certifiées • immédiateté de la révocation

30. L’activité de certification (3) Régime de responsabilité du prestataire de services de certification (article 14) • qualité du certificat qualifié • contrôle du titulaire sur la clé privée correspondant à la clé publique • correspondance des clés privée et publique • révocation • sauf en cas d ’usage excédant les limites d ’utilisation ou la valeur maximale des transactions autorisées

31. L’activité de certification (4) • Reconnaissance des certificats qualifiés délivrés par un prestataire établi dans l ’U.E. • Reconnaissance des certificats qualifiés délivrés dans un pays tiers : • si le prestataire est accrédité dans un pays de l’U.E. • si le certificat est délivré par un prestataire  annexe II de la loi • si le prestataire est reconnu en vertu d’un accord bilatéral ou multilatéral

32. En synthèse • La signature électronique simple • non dénuée d’effet juridique • La signature électronique (art. 1322, al.2) • en Belgique, reconnue comme signature pour les actes sous seing privé • La signature électronique « qualifiée » • reconnue comme équivalente à la signature manuscrite dans l’U.E. et potentiellement hors de l’U.E.

33. Le chrono-estampillage • Le développements utltime au regard des normes ETSI • Requis pour assurer la pérennité de la signature électronique • Impératif pour certaines fonctionnalités (significations, notifications, actes notariés, courrier recommandé et autres services postaux, créations intellectuelles, administration publique)

34. IM DF DF MY WILL IM Le chrono-estampillage SIGN

35. Interopérabilité des signatures et certificats • Normes en cours de finalisation • Le certificat X.509 v. 3 constitue une norme de fait • Dilemme quant aux moyens logiciels ou matériels de création de signature

36. Pérennité des signatures électroniques • Dépendance des outils de cryptage • Les outils de cryptage deviennent de plus en plus faibles au fil du temps avec la conséquence que des signatures pourraient être supposées • La validité des signatures doit dès lors être garantie en dépit de l’écoulement du temps • Archivage certifié des signatures électroniques, chrono-estampillage

37. Prestataires de services de certification Entreprises Organes, employés, représentants L’adoption de la certification par les entreprises Polices de certification Certificats sur mesure

38. La signature et la certification électroniques Daniel Fesler daniel.fesler@bakernet.com http://www. droit-techinfo.n3.net