Signature électronique : Un décret publié mais inapplicable

Le décret d'application sur la signature électronique a enfin été publié http://www.legifrance.gouv.fr/citoyen/pagetail.ow?heure2=021638557241⟩=1 , treize mois après le vote de la loi par l'Assemblée Nationale. Mais attention : le texte n'est pas applicable en l'état. Le Premier Ministre Lionel Jospin et le ministère de l'Industrie doivent encore signer cinq arrêtés essentiels portant sur :

• la définition par la Direction centrale de la sécurité des systèmes d'informations (DCSSI, rattachée aux services du Premier Ministre) des règles de conformité des dispositifs sécurisés de création de signature électronique ;

• la création au sein de la DCSSI d'un comité directeur de certification, chargé du contrôle et de la validation de ces systèmes de création de signatures électroniques.

• les méthodes d'agrément propres à la signature électronique que devront faire appliquer les Centres d'évaluation de la sécurité des technologies de l'Information (Cesti). On en compte aujourd'hui trois (AQL, Ceaci et Serma Technologies), plus deux autres ayant obtenu un agrément provisoire (Algoriel et Cea-Leti) et un dernier en cours d'agrément (ES2). La DCSSI délègue http://www.weblmi.com/daily/2001/0221/signatureok.htm à ces Cesti l'agrément des prestataires de services de certification, aux rangs desquels on compte Certplus (Verisign, Gemplus, France Télécom), Certinomis (La Poste/Sagem), Thritème (filiale de Thales, ex-Thomson-CSF)...

• la désignation officielle des Cesti habilités à gérer la signature électronique (arrêté pris par le ministère de l'Industrie) ;

• les règles de contrôle, en cas de litige, des prestataires de services de certification.

Il devrait donc s'écouler encore plusieurs semaines avant que des documents paraphés électroniquement puissent être émis par les entreprises et les particuliers français.

L'interopérabilité des certificats au coeur du décret

Les objectifs du décret sont de "garantir que l'information a bien été envoyée par l'émetteur (authentification de l'origine)" et de "s'assurer qu'elle n'a pas été modifiée au cours de son transfert (intégrité du contenu)". Le décret établit également l'interopérabilité des certificats entre états membres de la communauté européenne. Il envisage également l'utilisation de paraphes émanant de prestataires de services établis en dehors des Quinze, s'ils satisfont aux normes et directives européennes. Bien que décrivant en détail le fonctionnement des dispositifs de création et de vérification des signature électronique, le texte ne fait aucune allusion aux technologies à employer, par exemple les architectures à clés publiques (PKI, Public key infrastructure), les types de clés cryptographiques, les matériels et logiciels...