En Europe, nous sommes embarqués depuis 1999 dans un long voyage vers un monde réglementé où une «bonne» signature électronique doit être délivrée par un Trust Service Provider dont le professionnalisme est vérifié par des auditeurs accrédités, eux aussi régulièrement audités pour leur indépendance et leur expertise .

En 2008, un nouveau modèle a été proposé par Satoshi Nakamoto pour construire un monde différent où vous pouvez vérifier par vos propres moyens qu'une transaction existe et est valide, et a fortiori une signature électronique.

20 ans depuis la directive européenne sur la signature électronique… et nous sommes bloqués au début de l’utilisation. Pourquoi?

Depuis 1999, le paysage réglementaire en Europe (directive européenne 1999/93 / CE, règlement eIDAS n ° 910/2014) est centré sur la signature qualifiée, qui confère la précieuse présomption de fiabilité à la signature électronique. À l'opposé, la validité des signatures non qualifiées doit être démontrée par leur fournisseur.

Les cas de répudiation de signature ont été très rares et n'ont jamais exigé du fournisseur qu'il démontre quoi que ce soit. Le marché de la signature a cependant été totalement subordonné à la lenteur de la construction et de l'audit des services de certification et de signature qualifiés.

Pour rappel, vous trouverez ci-dessous les exigences de sécurité s'appliquant à une signature qualifiée et générant des contraintes pour l'utilisateur final (et signataire):

Prouver leur identité en face à face avec une «Autorité d'enregistrement» (rôle du Trust Service Provider). Cela signifie qu'un processus numérique complet n'est pas possible.

Utilisez un jeton cryptographique matériel qualifié, ce qui signifie que le fait d'apporter son propre jeton n'est pas autorisé.

Utilisez un certificat X.509 délivré par une «autorité de certification» qualifiée (rôle du fournisseur de services de confiance). Cela signifie que je dois payer de quelque manière que ce soit le travail de certification effectué en continu par le fournisseur.

Le résultat est que les signatures qualifiées sont trop chères et trop lourdes, donc personne ne les utilise aujourd'hui.

Laissant la signature qualifiée à de rares cas d'utilisation à fort enjeu juridique, le marché s'est tourné vers des signatures électroniques simples ou avancées, comme l'autorise la réglementation eIDAS. Pratiquement, les mêmes fournisseurs de services de confiance qualifiés ont construit des solutions «plus légères»:

Procédure d'inscription de base via OTP envoyée par SMS, donnant peu d'assurance sur la véritable identité du signataire.

Pas d'utilisation de jetons cryptographiques personnels. Dans le meilleur des cas, les modules de sécurité matérielle sont utilisés pour créer des clés personnelles à court terme à usage unique juste après l'inscription. Dans d'autres cas, une clé générique unique est utilisée pour signer à la place du signataire. Les clés du logiciel ont cependant tendance à disparaître.

Les certificats personnels qualifiés ne peuvent pas être délivrés car ils nécessitent une inscription en personne. Pour être compatible avec Adobe Acrobat Reader, le visualiseur de documents signé unique et propriétaire aujourd'hui, certains fournisseurs utilisent un certificat de service délivré par une autorité de certification de confiance. Ces certificats de service, faisant référence à des personnes morales, ne font pas référence à l'identité du signataire.

En d'autres termes, le niveau de confiance de la signature électronique standard a été sérieusement abaissé par rapport aux exigences eIDAS pour les signatures qualifiées. On peut alors se demander pourquoi payer autant pour la qualification des prestataires qui n'utilisent même pas ce qu'ils passent tant de temps à sécuriser.

Qu'est-ce qui est si triste de ne pas utiliser de signature qualifiée?

Aujourd'hui, en 2019, les enjeux de sécurité concernant la signature électronique sont toujours là et si forts:

Je veux éviter toute répudiation de signature, car je devrais démontrer la validité de la signature.

Je ne veux aucun compromis ni attaque de rejeu.

Je ne veux aucun soupçon sur l'intégrité du contenu à signer.

Je ne veux aucun doute sur l’identité du signataire.

Je souhaite respecter la vie privée de mes signataires et obtenir le niveau de preuve d'identité pertinent pour mes enjeux commerciaux.

Je souhaite protéger la confidentialité des documents signés, y compris les documents très sensibles qui ne peuvent être divulgués à l'extérieur d'un cercle de personnes autorisées.

… Et nous n'avons pas encore trouvé le bon compromis entre sécurité, expérience utilisateur et viabilité économique.

À la recherche d'un nouveau paradigme…

Tirant parti du potentiel du Bitcoin, Woleet estime qu'il est possible de proposer une signature électronique alternative, indépendante de tout fournisseur de services de confiance, mais toujours sécurisée et vérifiable.

Le concept de Trust Service Provider est en conflit avec les principes sous-jacents de Bitcoin, où le besoin de confiance est remplacé par un système ouvert et distribué, bien que résilient et sécurisé.

La signature Woleet repose sur des normes d'algorithmes cryptographiques, de types de clés et de stockage de clés:

Cryptographie à clés asymétriques (paires de clés privées / publiques).

Algorithmes standard et tailles de clés: SHA-256, ECDSA (256 bits).

Protection des clés privées via du matériel sécurisé (Ledger Nano S ou X), déjà utilisé dans les applications de portefeuille de Bitcoin et d'autres types de blockchains.

De plus, Woleet exploite le potentiel de Bitcoin avec :

Horodatage fourni par le réseau Bitcoin composé de plusieurs nœuds convenant de l'heure et du séquencement des transactions.

Création de preuves via le mécanisme d'ancrage Woleet dans la blockchain Bitcoin, avec un standard ouvert (Chainpoint, OpenTimeStamps), afin de créer des preuves de signature pouvant être vérifiées indépendamment par toute personne possédant le document signé original.

Enfin, Woleet a conçu sa solution de signature pour améliorer considérablement la sécurité:

Préserver la confidentialité des données signées: les données originales restent dans le système d'information client, où elles sont hachées et signées cryptographiquement (via les outils Woleet). Woleet traite uniquement le hachage des données, de sorte que la preuve ancrée dans la blockchain Bitcoin ne contient pas le document d'origine, mais le hachage. Même si tous les outils de validation sont publics, seul le propriétaire des données peut vérifier la preuve.

Laissez le signataire maîtriser la divulgation des preuves d'identité: les clés de signature Bitcoin sont pseudonymes, ce qui permet de gérer l'identité indépendamment de la signature. Seul le signataire peut prouver la possession d'une clé de signature et par conséquent la signature d'un document.

La signature électronique Woleet est entièrement conforme à la réglementation européenne eIDAS.

Génial! Mais n'y a-t-il pas de défis là-dedans?

Comme toujours, il n'y a pas de solution parfaite. Mais le domaine Bitcoin évolue rapidement, ainsi que les développements de Woleet, et nous pouvons nous attendre à un grand nombre d'améliorations dans les mois à venir.

Sécurité des clés privées

Au sein de l'écosystème Bitcoin, comme dans tout autre domaine utilisant des clés cryptographiques, la sécurité des clés privées est cruciale. De bonnes solutions matérielles existent aujourd'hui sous la forme de jetons USB et sont répandues au sein de la communauté Bitcoin. Il existe également des modules matériels plus gros, similaires aux modules de sécurité matérielle utilisés par les autorités de certification. Ils peuvent éviter le déploiement de jetons USB cryptographiques dans les entreprises s'ils ne les ont pas déjà.

"Sur Internet, personne ne sait que vous êtes un chien". La gestion des identités est hors de portée du Bitcoin. Les clés privées sont des pseudonymes qui peuvent ne pas être liés à une identité. Il s'agit d'une excellente occasion de laisser le signataire maîtriser la façon dont ses informations d'identité sont divulguées. Pendant ce temps, une signature fiable doit fournir des informations vérifiées sur l'identité du signataire. Chez Woleet, nous voulons proposer de bonnes solutions d'inscription compatibles avec la confidentialité des utilisateurs et des modèles décentralisés, tels que «l'identité auto-souveraine».

Vérification indépendante des signatures à chaque fois

Tout le monde peut vérifier la validité d'une transaction Bitcoin (par exemple via https://blockstream.info/), et nous pensons que ce sera le cas pour une signature électronique: pas d'outil propriétaire unique pour visualiser le document et vérifier la signature, non fichier de preuve propriétaire non vérifiable. Au contraire, l'ancrage de signature dans la blockchain Bitcoin est le moyen standard de prouver l'exécution de la signature à une date donnée. La preuve doit être vérifiable par tous, à condition qu'ils aient accès au document signé et au justificatif correspondant. Woleet travaille sur un moyen de conserver les informations d'identité du signataire de manière décentralisée et confidentielle, en remplacement du service de publication actuel de notre solution de gestion des identités.

Dans l'état actuel de la technologie, il est possible de faire une signature électronique avec des preuves Bitcoin de manière fiable, au moins aussi bien que la norme européenne de facto actuelle. Nous réduisons considérablement les coûts de signature électronique grâce à une architecture hautement évolutive et en nous libérant des coûts des procédures de certification. Pour l'avenir, nous assistons à de merveilleuses évolutions dans le domaine de la sécurité, de la confidentialité des utilisateurs et de l'interopérabilité des preuves. Nous n'avons pas peur d'innover là où une logique de certification a soulevé tant d'obstacles à l'utilisation.

https://blog.woleet.io/electronic-signature-with-bitcoin-evidence-whats-the-difference-with-usual-electronic-signatures-delivered-by-trust-service-providers/