Bonjour à tous,
J'aimerais savoir quelle est la légitimité d'une signature électronique directement générée dans un document .pdf qui ne serait ni de type .pkcs7 ni .sig.
En effet, un logiciel tel qu'Adobe Pro© permet d'appliquer une signature dans un document .pdf.
Cette signature apparaît directement dans le .pdf et ne génère aucun fichier de signature annexe.
Devons-nous rejeter cette offre au motif que la signature n'est pas conforme à celle attendue, car n'étant de type .pkcs7 ni de type .sig ?
Merci d'avance pour vos avis.
Fichier PAdES ?
Si c'est ca, c'est prévu dans le dernier arrêté. http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000026106275&dateTexte=&categorieLien=id
A vérifier.
avant de vous intéresser à la signature en elle même, il faut vérifier le certificat de signature électronique, celui-ci doit être référencé comme PRISv1 délivré par un Prestataire de Service de Certification Electronique (PSCe), si le certificat ne rempli pas ces conditions, l'offre n'est pas valable.
Le .pkcs7 ou .sig ne préjuge en rien de sa validité, ce sont à la fois des signatures et des formats qu'on retrouvent pour crypter des documents mais même si vous avez ce type de signature dans une offre électronique vous devez vérifiez si le certificat a été délivré par une entreprise que vous retrouverez ici : http://www.industrie.gouv.fr/tic/certificats/
dans le cas contraire l'offre doit être rejetée car irrégulière
Citation de: shorty le Août 01, 2012, 11:40:50 AM
Fichier PAdES ?
Si c'est ca, c'est prévu dans le dernier arrêté. http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000026106275&dateTexte=&categorieLien=id
A vérifier.
Mais aussi CAdES ou XAdES il ne faut pas restreindre à une seule forme de fichier
L'important n'est pas le logiciel qui a fait le travail ; mais la conformité de la signature et donc du certificat ayant servi à signer !
idem que les autres intervenants.
Le candidat nous informe que la signature a bien été effectuée avec un certificat de signature référencé.
Toutefois, la signature est directement intégrée dans le document.
Pas de fichier supplémentaire de type .pkcs7 ni de type .sig, comme à l'accoutumé...
Citation de: DTBen le Août 01, 2012, 12:15:50 PM
Le candidat nous informe que la signature a bien été effectuée avec un certificat de signature référencé.
Toutefois, la signature est directement intégrée dans le document.
Pas de fichier supplémentaire de type .pkcs7 ni de type .sig, comme à l'accoutumé...
demandez le certificat et surtout qui le lui a délivré, j'ai déjà eu ce cas dans une autre administration et c'était ma plateforme de démat qui n'avait pas généré le fichier de contrôle.
Normalement quand vous allez dans les propriétés du fichier, vous devez voir le type de certificat utilisé, le type de signature et de chiffrement utilisé, pas là?
Je n'ai malheureusement pas le document en ma possesion.
Mais l'entreprise nous a affirmé que le certificat est valide.
Citation de: DTBen le Août 01, 2012, 02:15:26 PM
Je n'ai malheureusement pas le document en ma possesion.
Mais l'entreprise nous a affirmé que le certificat est valide.
et ça vous suffit? demandez le certificat pour être sur si je puis vous conseillez
Ca ne nous suffit pas non, d'où ma question.
Nous savons que le certificat est valide.
Par contre, nous ne savons pas si ce procédé de signature est juridiquement viable.
Citation de: DTBen le Août 01, 2012, 02:27:37 PM
Ca ne nous suffit pas non, d'où ma question.
Nous savons que le certificat est valide.
Par contre, nous ne savons pas si ce procédé de signature est juridiquement viable.
comment savez vous que le certificat est valide puisque vous dites ne pas l'avoir et ne pas savoir d'où il provient, à partir du moment où le certificat est valable le reste suit sauf si vous avez imposé un type de signature dans votre RC...
Citation de: DTBen le Août 01, 2012, 02:15:26 PM
l'entreprise nous a affirmé [...]
Oh ! b'en alors . . . :D :D :D
Le débat n'est pas sur le certificat, mais sur la signature en elle-même.
C'est la première fois que nous rencontrons cette signature intégrée directement dans le document.
Ce qui nous géne est simplement de ne pas avoir les fichiers de signature comme c'est le cas d'habitude.
Nous nous demandons si cette signature est à considérer comme un original ou une signature scanée.
Sans certificat, vous ne pouvez pas faire de signature électronique valable !
Le certificat est comme une carte d'identité, qui doit être vérifiable auprès de la Préfecture (l'organisme "agréé" de certification).
"montrez moi votre carte d'identité que je puisse vérifier la signature"
et si j'ai un doute, j'irais voir la préfecture inscrite sur votre carte.
et peut-être même que j'irais voir le Ministère de l'Intérieur pour vérifier que la Préfecture citée en est bien une de notre Nation !
idem que mes camarades.
J'ajoute, sauf erreur, que Adobe reader intègre un outil de vérification automatique des signatures éventuellement imbriquées au document.
De mémoire vous pouvez par ce biais vérifier la validité du certificat utilisé, or c'est tout ce qui compte, que la signature soit imbriquée (insérée dans le doc) ou associée (fichier complémentaire) n'a aucune importance, les 2 sont modes de signatures sont valables.
Citation de: DTBen le Août 01, 2012, 02:52:30 PM
Ce qui nous géne est simplement de ne pas avoir les fichiers de signature comme c'est le cas d'habitude.
Les habitudes ont la vie dure en démat' ;)
Citation de: DTBen le Août 01, 2012, 02:52:30 PM
Le débat n'est pas sur le certificat, mais sur la signature en elle-même.
C'est la première fois que nous rencontrons cette signature intégrée directement dans le document.
Ce qui nous géne est simplement de ne pas avoir les fichiers de signature comme c'est le cas d'habitude.
Nous nous demandons si cette signature est à considérer comme un original ou une signature scanée.
Je pense qu'il faut raisonner comme Naydje et d'abord de vérifier le fichier de signature électronique.
Ensuite ce que je disais précédemment, PAdES est un format de signature sur fichier .pdf
Citation de: DTBen le Août 01, 2012, 02:52:30 PM
Le débat n'est pas sur le certificat, mais sur la signature en elle-même.
C'est la première fois que nous rencontrons cette signature intégrée directement dans le document.
Ce qui nous géne est simplement de ne pas avoir les fichiers de signature comme c'est le cas d'habitude.
Nous nous demandons si cette signature est à considérer comme un original ou une signature scanée.
et pourtant si! pour savoir si la signature est valide il faut connaître la nature du certificat électronique qui a été utilisé pour signer le document, sachant qu'il y a plusieurs types de signature électronique, c'est pour cela que je vous disez de demander les références du certificat si celui-ci a été délivré par une entreprise référencée par l'État alors la signature est valide!!!
Citation de: manug le Août 01, 2012, 03:03:00 PM
J'ajoute, sauf erreur, que Adobe reader intègre un outil de vérification automatique des signatures éventuellement imbriquées au document.
De mémoire vous pouvez par ce biais vérifier la validité du certificat utilisé, or c'est tout ce qui compte, que la signature soit imbriquée (insérée dans le doc) ou associée (fichier complémentaire) n'a aucune importance, les 2 sont modes de signatures sont valables.
Voila la réponse que j'attendais :)
J'espere que nous avons la version d'Adobe adéquat nous permettant de vérifier cette signature!
Citation de: DTBen le Août 01, 2012, 03:35:45 PM
J'espere que nous avons la version d'Adobe adéquat nous permettant de vérifier cette signature!
Auprès d'un tiers américain ? ;D :D à moins qu'il ne soit agréé par l'État Français ! (voir la liste des tiers de confiance, en qui "nous" avons confiance ;D
Merci Michel pour ta participation :)
Citation de: Michel le Août 01, 2012, 03:43:53 PM
Auprès d'un tiers américain ? ;D :D à moins qu'il ne soit agréé par l'État Français ! (voir la liste des tiers de confiance, en qui "nous" avons confiance ;D
Un projet PEPPOL au niveau mondial est en cours oui, mais ça reste entre nous... ;)
Citation de: DTBen le Août 01, 2012, 03:35:45 PM
Voila la réponse que j'attendais :)
J'espere que nous avons la version d'Adobe adéquat nous permettant de vérifier cette signature!
Attention, je me suis peut-être mal exprimé :-/ .
L'outil vous donnera les informations telles que le fournisseur du certificat, son type, le nom du titulaire, la période de validité (accessibles d'habitude en ouvrant le fichier de signature associé à un document) mais comme le souligne michel il est possible qu'il ne vous garantisse pas que le fournisseur est une AC ad'hoc s'il ne s'appuie pas sur la liste qui va bien.
A titre de complément, le format PKCS#7 est dérivé du format CAdES.
Il semblerait bien qu'Adobe propose cela :
"Les signatures de certification et d'approbation sont conformes aux normes de protection des données édictées par l'institut ETSI (European Telecommunications Standards Institute). En outre, ces deux types de signature respectent la norme de signature électronique avancée des PDF (PAdES). Acrobat et Reader offrent une option permettant de convertir le format de signature par défaut en format CAdES." cf Aide d'Adobe.
Après, cela dépend quand même de ce que vous avez mis dans votre RC à propos de la signature électronique :
Nous avons rajouté les éléments que le certificat doit être nominatif, qu'il doit indiquer la durée de validité, l'autorité qui a délivré le certificat... suite à des réponses avec une signature électronique au nom de "gérant" qui devait servir pour les impôts....
Vous devez disposer des éléments afin de vérifier tout cela...
normalement la plateforme de démat vérifie tout cela pour nous, pas les vôtres?
Pour ceux que ce sujet intéresse, prenez le fichier ci-joint, qui est un ancienne (toujours valable) "formation" à ce sujet élaboré par le service (de l'Etat) de référence en France !
Citation de: Michel le Août 02, 2012, 09:55:39 AM
Pour ceux que ce sujet intéresse, prenez le fichier ci-joint, qui est un ancienne (toujours valable) "formation" à ce sujet élaboré par le service (de l'Etat) de référence en France !
J'arrive pas à l'ouvrir...
Citation de: shorty le Août 02, 2012, 10:37:20 AM
J'arrive pas à l'ouvrir...
pousse fort! ;D
ok je sors ->>>>>>
Citation de: shorty le Août 02, 2012, 10:37:20 AM
J'arrive pas à l'ouvrir...
:o C'est un fichier "zip" compressé, que tu dois décompresser dans un répertoire
1) le télécharger
2) le décompresser
3) lire le mode d'emploi qui est un fichier "texte" brut (.txt)
4) cela s'utilise avec un simple navigateur
Citation de: Michel le Août 02, 2012, 11:00:45 AM
:o C'est un fichier "zip" compressé, que tu dois décompresser dans un répertoire
1) le télécharger
2) le décompresser
3) lire le mode d'emploi qui est un fichier "texte" brut (.txt)
4) cela s'utilise avec un simple navigateur
j'avais fais tout ça mais les liens du MenuAccueil.html ne marche pas
Pour répondre à Naydje, notre plate forme (qui est la même que celle de l'Etat) ne vérifie pas le niveau du certificat de signature.
Quand une entreprise dépose une offre, il ira "chercher" la signature électronique installée sur le poste... quelque soit son niveau.
L'assistance de la plate forme renvoie à nos RC.. ;D Donc, on a rajouté des éléments afin de définir le niveau souhaité...
De plus, les plate formes font souvent encore "signer" les zip (candidature et offre) ce qui ne sert pas à grand chose.
Pour une candidature, la signature devra donc inclue dans le zip de signature, avec le DC1.
les plate formes ne vérifient pas si dans le zip, il y a le document signé qui va bien...
Donc, vigilance.
Citation de: galdamas le Août 02, 2012, 11:29:25 AM
Pour répondre à Naydje, notre plate forme (qui est la même que celle de l'Etat) ne vérifie pas le niveau du certificat de signature.
Quand une entreprise dépose une offre, il ira "chercher" la signature électronique installée sur le poste... quelque soit son niveau.
L'assistance de la plate forme renvoie à nos RC.. ;D Donc, on a rajouté des éléments afin de définir le niveau souhaité...
De plus, les plate formes font souvent encore "signer" les zip (candidature et offre) ce qui ne sert pas à grand chose.
Pour une candidature, la signature devra donc inclue dans le zip de signature, avec le DC1.
les plate formes ne vérifient pas si dans le zip, il y a le document signé qui va bien...
Donc, vigilance.
d'où l'importance de demander le certificat qui a servi pour l'envoi de l'offre dématérialisée et le tour est joué
Citation de: shorty le Août 02, 2012, 11:16:58 AM
j'avais fais tout ça mais les liens du MenuAccueil.html ne marche pas
cela fait-il toujours de même en lançant "MenuAccueil.html" en étant déjà dans le répertoire ?
c'est bon j'ai réussi, différemment et je sais pas trop comment mais j'ai réussi
Citation de: shorty le Août 02, 2012, 01:58:06 PM
c'est bon j'ai réussi, différemment et je sais pas trop comment mais j'ai réussi
Parfait !
Bonne lectures ! ! !
c'est un peu long, mais très instructif ;D