Rapport explicatif

afin d’éviter les attaques par des tiers et donc les abus. C’est pour cette raison que les milieux économiques concernés réclament depuis longtemps, pour certains cas d’authentification, un certificat qui, par son caractère officiel et les exigences légales de qualité auxquelles il serait soumis, offrirait un gage de confiance validé par l’Etat et apporterait une sécurité accrue aux échanges.

Aujourd’hui, le certificat qualifié sert à créer des signatures électroniques, en particulier des signatures électroniques qualifiées, qui déploient des effets particuliers. Pour des raisons techniques, et plus précisément pour éviter certains risques d’attaques informatiques contre la signature sûre, l’avant-projet prévoit aussi de limiter son usage à la signature électronique.

Cette spécificité ne vaudra cependant pas pour le nouveau certificat réglementé, qui sera soumis à des exigences légèrement moins sévères. Il pourra, sur le plan juridique, être utilisé aussi bien pour les signatures électroniques en tous genres que pour l’authentification ou d’autres applications de sécurité telles que celles qui requièrent un certificat SSL.

Sur le plan de la technique législative, toutes les dispositions qui portaient sur l’utilisation de certificats à des fins de signature ont été reformulées de façon à ce qu’elles puissent s’appliquer à toutes les utilisations. On ne parle ainsi plus de « clés de signature » ni de « clés de vérification de signature » mais de « clefs cryptographiques publiques et privées ».

Il convient de noter que cette formulation plus ouverte ne change rien, sur le plan matériel, pour le certificat qualifié, dont le seul usage possible est la signature.

1.3.4 Signature électronique qualifiée avec horodatage obligatoire

Au cours des dernières années, des voix se sont élevées à plusieurs reprises au sein des secteurs concernés pour demander qu’un horodatage fiable soit obligatoirement intégré à la signature électronique qualifiée. L’horodatage consiste à associer une date et une heure officielles à des données, ce qui permet – si le système est fiable – d’établir que ces données existaient à un moment donné ou que la signature a été créée à un instant précis. En l’absence d’horodatage, l’heure et la date auxquelles une signature est associée n’ont qu’une valeur relative. Horodater une signature électronique qualifiée constitue parfois le seul moyen d’éviter des attaques informatiques ou des fraudes. Voilà pourquoi les fournisseurs reconnus de services de certification sont déjà tenus, en vertu de l’actuel art. 12 SCSE, de proposer un tel service.

Les programmes de signature qu’on trouve aujourd’hui sur le marché offrent normalement la possibilité d’horodater la signature. La plupart du temps, il est possible d’en faire un paramètre par défaut.

Pour pouvoir intégrer l’horodatage dans la signature électronique, il faut être connecté à Internet au moment de la signature, ce qui était encore une condition difficile à remplir au temps de l’élaboration de la SCSE. On citait souvent l’exemple du notaire, qui devait, lors d’une assemblée constitutive sur place, apposer sa signature sur les statuts ou les procèsverbaux pour les authentifier. Entre-temps, cette condition est devenue beaucoup plus facile à remplir et ne devrait, dans quelques années, plus être un problème du tout.

Dans le cadre des travaux préparatoires, on a examiné trois options pour ce qui est de l’intégration de l’horodatage dans la signature électronique, dont voici la teneur :

1. La signature électronique qualifiée est obligatoirement munie de l’horodatage d’un four-

nisseur reconnu de services de certification.

2. La loi définit deux types de signatures électroniques qualifiées, l’une avec horodatage,

l’autre sans.