« De l'authentification à la signature électronique : quel ... - uncitral

l’authentification dans le Guide d’incorporation de la loi type de la CNUDCI sur le commerce
électronique 34 , elle n’a trait qu’à l’authentification des messages ou des données.
La responsabilisation des acteurs sur l’Internet est encore en développement. Elle a reçu
récemment quelques confirmations importantes de la part de la justice américaine.
Notamment, dans une décision du Tribunal de l’Illinois, dans une affaire Shames Yeakel vs
Citizen Financial Bank en date du 21 août 2009 (Case 07 C 5387) 35 , les juges ont accueilli
favorablement la plainte d’une victime d’une cyber-attaque sur son compte bancaire en
ligne, déposée contre l’établissement bancaire. Ce jugement remettait en cause
l’authentification à facteur unique (un seul canal d’identification comme l’identifiant/mot de
passe) pour protéger l’accès aux comptes bancaires en ligne. Ainsi, dans le cadre de
l’authentification au moment de l’accès aux comptes bancaires via l’Internet, l’établissement
bancaire est tenu de satisfaire aux normes techniques et sécuritaires généralement admises
et proportionnées aux risques liés à ses produits et services, qui sont considérées comme les
seules suffisantes. Le jugement en question fournit par ailleurs, une liste des méthodes mises
en place par ces institutions financières afin de procéder à l’authentification de leurs clients.
Cette liste comprend notamment l’utilisation de mots de passe, de numéros personnels
d’identification (PINs), de certificats électroniques, de supports physiques tels que les smart
cards ou les clés USB, de mots de passe uniques (OTPs) ou d’autres types de « tokens », des
procédés biométriques, etc.
En France, la Cour d’appel de Versailles le 18 novembre 2010 36 a eu à juger une question de
sécurité connexe pour engager la responsabilité d’une banque. Dans cette affaire, on peut
constater que l’authentification, plus qu’un simple moyen de vérification de l’identité d’une
personne, doit être considérée comme une véritable mesure de sécurité pour la gestion des
accès) à l’instar de ce que précise la norme ISO 27001 37 .
En l'espèce, une femme, agent de la RATP, a saisi la justice à l’encontre de la banque dans
laquelle elle avait constitué une épargne salariale d’entreprise. Elle demandait le
remboursement de la somme de 13.244,85 euros prélevée de son compte bancaire par son
époux avec lequel elle était en instance de divorce.
Les magistrats observent que « dans un premier temps, l'épargnant qui souhaitait consulter
en ligne ses comptes sur le site internet de la société intimée pouvait accéder à son espace
sécurisé en saisissant ses identifiants tels que le numéro d'entreprise et le code serveur qui
étaient mentionnés sur les relevés adressés à titre personnel au titulaire ; qu'ensuite,
l'utilisateur devait nécessairement, s'il voulait effectuer une opération, utiliser un mot de
passe ; qu'ainsi la réalisation de toute opération telle que demande de remboursement
d'avoirs disponibles ou demandes de transfert, requéraient l'utilisation par l'épargnant du
mot de passe, qu'on lui laissait créer lui-même lors de sa première connexion ».
34 Guide pour l’incorporation de la loi type CNUDCI sur le commerce électronique, n° 39 et s.,
http://www.uncitral.org/pdf/french/texts/electcom/05-89451_Ebook.pdf.
35 Commentaire par Eric Caprioli, Première décision américaine concernant l'authentification par voie
électronique d'un client bancaire, Communication Commerce Electronique (LexisNexis) n° 4, Avril 2010,
comm. 41.
36 Décision N° 09/06634, Marie-Maure C. épouse A. c/ SA Natixis Interepargne.
37 ISO/IEC 27001 :2005 v. le § 16.
© Eric A. CAPRIOLI, Avocat à la Cour de Paris Page 10