Internet et Entreprise : Mirages et opportunités - Base de ...

Internet et PMI JM Yolin lundi 29 octobre 2001 C:\WINDOWS\TEMP\&1028MIRAGE2001.DOC 54• certains, gratuits, ne certifient que l'adresse e-mail (vous pouvez par exemple en obtenir à l'adressewww.verisign.com)• d'autres, ceux qui donneront àla signature une valeur juridique équivalente àcelle du papier ne seront bien entenduattribués qu'après des contrôles beaucoup plus rigoureux. Cette signature est liée àla qualité avec laquelle vous signez:vous avez donc autant de signatures que de "casquettes" : si vous êtes chef d'entreprise, maire et président d'un clubsportif vous aurez bien évidemment 4 signatures distinctesau final une signature devrait coûter un prix voisin de celui d'une lettre recommandée(moins de 10 €)Pour obtenir le certificat Chambersign utilisé pour les transactions fiscales ou commerciales il faut notamment présenterphysiquement àla Chambre de Commerce les documents établissant l'identité de l'entreprise, l'identité de la personneconsidérée ainsi que les pouvoirs de celle-ci àengager sa société vis àvis des tiersDe nombreux autres organismes sont sur les rangs: Certinomis www.certinomis.com (la Poste), Certpluswww.certplus.com et bien entendu l'Etat pour ses fonctionnaires: la mise en place de l'obligation de déclaration de la TVAvia Internet a été une incitation extrêmement forte pour l'émergence de ces initiativesla Commission européenne a autorisé en aout 2001 "des accords entre un certain nombre" de grandes banques, dansle cadre du réseau "Identrus" formé par des banques américaines, Bruxelles a également engagé des recherches enmatière de sécurisation des transactions électroniques entre entreprises, avec la Global Trust Authority (GTA).http://europa.eu.int/ISPO/ecommerce/events/esignature.pdf http://europa.eu.int/ISPO/ecommerce/Welcome.htmàHong Kong La poste a lancé en octobre 2001 son service "m-cert", première certification pour le mobile au monde. Ellepermettra notamment de faire des achats via son mobile et son PDA. Selon une étude d'International Data Corp. (IDC), en2005 les transactions par mobile de la région Asie-Pacifique (sauf le Japon) devraient avoisiner les 12,4 milliards de $contre 557 M$ cette année (Internet Actu 11/10/2001). www.hongkongpost.gov.hk/2news/news_fr22.html etwww.3gnewsroom.com/3g_news/news_1259.shtmlAu niveau mondial l'entreprise leader est une start-up Verisign www.verisign.com qui contrôlerait 90% du marché. Cemarché est estimé à 500 millions de $ en 2001 avec un taux de croissance de 66% par an(IDC/SG Cowen EquityResearch/les Echos du 11/4/01)1.4.2.4.3.2 L'autorité d'enregistrementPour des raisons de commodité l'autorité de certification peut se reposer sur une autorité d'enregistrement, plus prochedu client, pour procéder aux "contrôles d'identité"1.4.2.4.3.3 Les Services d'horodatage et d'archivageUn des éléments essentiels d'un acte juridique est la date àlaquelle celui-ci a été conclu: des Services d'Horodatage sontprévues àcette finDe même il est important pour certains documents que leur conservation puisse en être effectuée par des tiers: desServices d'archivage ont été créées àcette finCes différentes "Autorités" peuvent être exercées par le même organisme privé ou public ou par des organismes distincts1.4.2.4.3.4 L'architecture de confiance ICP (infrastructure de clés publiques) ou PKI (Public Key Infrastructures)Bien entendu la difficulté réside dans le nombre, forcément important d'Autorités de Certification dans le monde. Deuxprincipes ont été établis pour résoudre ce problème la reconnaissance mutuelle: une autorité reconnaît la validité des certificats délivrés par une autre autorité qu'elleconsidère comme digne de confiance la hiérarchie de confiance: la solution ci-dessus peut difficilement fonctionner s'il y a un grand nombre d'AC placéessur un même niveau de compétence, c'est la raison pour laquelle se créent des "pyramides hiérarchiques" ou lesautorités de certification sont contrôlées et labellisées par des autorités de niveau supérieur et ce sont seulement lesniveaux supérieurs de ces pyramides qui procèdent àdes reconnaissances mutuelles1.4.2.4.3.5 Une complexité qui heureusement n'est pas perceptible au niveau de l'utilisateur pour les messageriesLe processus de signature est donc finalement le suivant : Albert envoie àBertrand son certificat crypté par la clé secrète de l'AC si le message n'est pas confidentiel, Albert transmet le texte en clair avec son hachis crypté par sa clé secrète si le message est confidentiel, Albert transmet la clé de cryptage dite "clé de session" cryptée elle-même pour satransmission par la clé publique de Bertrand (afin que seul lui puisse la lire)L'usage de la clé secrète est protégé par un mot de passe mais elle gagne néanmoins àêtre conservée sur une mémoireamovible (disquette ou mieux encore, carte àpuce) pour ne pas pouvoir être piratée par une intrusion sur votre disque dur.Elle n'est pas liée àune machine ce qui permet une utilisation "nomade"Certains pensent que la véritable solution ergonomique repose sur le téléphone mobile, sa carte SIM et les messagesSMSHeureusement tous ces processus sont transparents pour l'utilisateur et, une fois le paramétrage réalisé en un clic surl'icône idoine (en général un cadenas), puis sur une "case àcocher", permettent de signer et éventuellement de crypter lemessage……. et en sens inverse décryptage et vérifications sont faits automatiquement1.4.2.4.3.6 Une ergonomie encore non stabilisée pour les documents (contrats,…)Il n'existe encore que peu de méthodes commodes d'emploi pour signer un document tel qu'un contratSignalons la solutions proposée par une PME française Silcor www.silcor.com consistant àmarier signature électroniqueet signature "visuelle" du document par apposition d'un fac-similé de la signature manuelle préalablement numérisée:Psychologiquement cela permet de symboliser la signature et sur le plan pratique de visualiser instantanément qu'undocument a été effectivement signé