eIDAS et la liste de confiance de l'UE : qui décide qu'une signature est qualifiée

« Prestataire de services de confiance » sonne comme un argument commercial. Ce n'en est pas un. Dans le règlement (UE) 910/2014, mieux connu sous le nom d'eIDAS, c'est une catégorie juridique définie, et l'article 3, point 19, la trace étroitement : une personne physique ou morale qui fournit un ou plusieurs services de confiance, en tant que prestataire qualifié ou non qualifié.

Tout le poids repose donc sur « service de confiance », que l'article 3, point 16, détaille. Un service électronique, normalement fourni contre rémunération, qui crée, vérifie ou valide des signatures électroniques, des cachets électroniques ou des horodatages électroniques, ainsi que les certificats qui vont avec. L'envoi recommandé électronique en fait partie, de même que les certificats d'authentification de site internet et la conservation à long terme des signatures et des cachets.

Regardez ce qui manque. Stocker des documents n'est pas un service de confiance. Les faire circuler pour approbation non plus. Une entreprise peut se trouver au centre de la façon dont vos contrats se signent sans être pour autant un prestataire de services de confiance au sens d'eIDAS, parce que le règlement nomme un ensemble précis de services cryptographiques, pas un secteur d'activité.

Deux conséquences découlent de cette définition, et les deux prennent les gens de court.

D'abord, le terme couvre toute la catégorie, qualifiés comme non qualifiés. Un prestataire non qualifié n'est ni un sous-produit ni un acteur douteux. C'est le régime par défaut, et beaucoup y font un travail soigné.

Ensuite, la catégorie s'attache aux services, pas aux entreprises. Un même prestataire peut exploiter quatre services de confiance et ne détenir le statut qualifié que pour deux d'entre eux. Nous y reviendrons, car c'est de loin l'erreur la plus fréquente lors d'une vérification de fournisseur.

Voici ce qui surprend : un prestataire ne décide pas qu'il est qualifié, et son auditeur non plus.

L'article 3, point 20, est net sur le mécanisme. Un prestataire de services de confiance qualifié est celui qui fournit des services de confiance qualifiés et à qui l'organe de contrôle a octroyé le statut qualifié. Octroyé. Ce statut est conféré par un régulateur national ; il ne se gagne pas en réussissant un test et il ne s'achète pas.

Le parcours suit un ordre fixe :

1. 1
   Le prestataire est audité par un organisme d'évaluation de la conformité, lui-même accrédité pour cette mission. En France, cette accréditation relève du COFRAC.
2. 2
   Le rapport d'évaluation part vers l'organe de contrôle national, accompagné de la notification que le prestataire a l'intention de démarrer.
3. 3
   L'organe de contrôle vérifie le prestataire et ses services au regard du règlement. eIDAS lui accorde trois mois et l'oblige à se justifier s'il lui en faut davantage.
4. 4
   Si le contrôle passe, l'organe de contrôle octroie le statut qualifié et fait mettre à jour la liste nationale de confiance.

L'étape 4 n'est pas une formalité administrative. L'article 21, paragraphe 3, précise qu'un prestataire de services de confiance qualifié peut commencer à fournir le service une fois que le statut qualifié a été indiqué dans la liste de confiance. Tant que cette entrée n'existe pas, le service n'est pas qualifié, quoi qu'ait conclu l'audit. La liste ne décrit pas le statut qualifié. Elle le confère.

Le contrôle ne s'arrête pas à l'inscription non plus. L'article 20, paragraphe 1, remet les prestataires qualifiés devant un organisme d'évaluation de la conformité, à leurs propres frais, au moins tous les 24 mois. L'article 23 les autorise ensuite à afficher la marque de confiance de l'UE, qui est une étiquette du statut et non sa source.

En France, ce rôle d'organe de contrôle revient à l'ANSSI : c'est elle qui octroie et retire le statut qualifié, et c'est elle qui établit et publie la liste nationale de confiance, mise à jour mensuellement.

Voici maintenant la correction qui change votre façon de la chercher : il n'existe aucun fichier unique « liste de confiance de l'UE » posé sur un serveur de la Commission.

L'article 22, paragraphe 1, met l'obligation à la charge des États membres. Chacun établit, tient à jour et publie sa propre liste de confiance couvrant les prestataires de services de confiance qualifiés qu'il contrôle. La réalité, ce sont donc une trentaine de listes nationales, tenues chacune par un opérateur différent dans un pays différent, plusieurs États de l'EEE compris.

Ce que publie la Commission, c'est la couche du dessus. Au titre de l'article 22, paragraphes 3 et 4, les États membres notifient où vit leur liste et quels certificats la scellent, et la Commission republie cela par un canal sécurisé, scellé et exploitable automatiquement. L'ETSI appelle le résultat la liste des listes de confiance, ou LOTL : un ensemble compilé de pointeurs vers chaque liste nationale, dont l'emplacement est notifié au Journal officiel de l'Union européenne.

Cette forme à deux étages, c'est tout le modèle de confiance, et elle mérite qu'on ralentisse. La LOTL ne contient aucun prestataire. Elle contient les adresses des listes nationales et les certificats qui les authentifient, ce qui permet à un validateur qui fait confiance à un seul fichier d'authentifier ensuite les trente listes qui portent les vraies données. Tout ce qui suit hérite de cette unique ancre.

Le format n'est pas laissé au goût de chacun. La décision d'exécution (UE) 2015/1505 fixe la spécification technique à ETSI TS 119 612, si bien qu'une liste espagnole et une liste finlandaise ont la même forme XML et qu'une seule implémentation lit les deux. « Liste de confiance de l'UE », ou EUTL, désigne cet ensemble plutôt qu'un nom de fichier.

Ouvrez une liste nationale et vous y trouverez des prestataires, et sous chaque prestataire un ensemble de services. C'est le service qui constitue l'unité pertinente. TS 119 612 donne à chacun d'eux les mêmes quelques champs.

L'identifiant de type de service est une URI qui dit ce que ce service fait. CA/QC marque une autorité de certification qui délivre des certificats qualifiés. TSA/QTST marque une autorité d'horodatage qualifiée. Des types distincts existent pour les répondeurs OCSP et les émetteurs de CRL, et pour plusieurs autres choses encore. Un service inscrit sous un type ne l'est pas de ce fait sous un autre.

L'identité numérique du service porte le certificat ou la clé publique du service. C'est l'ancre de confiance, ce vers quoi un validateur fait remonter la chaîne. Tout le reste de l'entrée est une métadonnée sur les conditions dans lesquelles cette ancre compte.

Le statut courant du service est une autre URI, en général granted ou withdrawn sous eIDAS, autrement dit octroyé ou retiré. D'anciennes valeurs héritées de la directive antérieure, comme undersupervision et accredited, apparaissent encore dans les enregistrements.

Vient ensuite le champ que la plupart des outils sautent discrètement. À côté du statut courant se trouve sa date et son heure de prise d'effet, et à côté encore l'historique du service : les statuts antérieurs, chacun avec sa propre date de début. Les listes de confiance conservent tout l'historique des statuts d'un service et pas seulement le statut actuel, pour une raison sur laquelle nous allons revenir.

L'extension Qualifications fait le travail ingrat

Une même autorité de certification peut délivrer aussi bien des certificats qualifiés que non qualifiés. Quand le contenu du certificat ne suffit pas à rendre la différence lisible par une machine, la clause 5.5.9.2 de TS 119 612 impose à l'entrée de la liste de porter une extension Qualifications : des critères, appuyés sur des éléments comme les OID de politique et l'usage de clé, qui disent quels certificats issus de ce service sont qualifiés et si la clé privée réside dans un QSCD.

C'est fastidieux. C'est aussi pourquoi trouver une autorité de certification sur la liste ne suffit pas, à soi seul, à vous dire qu'un certificat donné qui en provient est qualifié.

Rassemblez les pièces et le verdict « qualifiée » devient une consultation avec un ordre des opérations strict. Un validateur qui fait cela correctement exécute à peu près ceci :

1. 1
   Récupérer la LOTL et contrôler son cachet au regard des certificats publiés au Journal officiel. Si ce contrôle échoue, on s'arrête, parce que tout ce qui suit hérite de lui.
2. 2
   Suivre les pointeurs vers chaque liste nationale et contrôler le cachet de chaque liste au regard du certificat que la LOTL déclare pour elle. Ce n'est qu'à ce moment que les données deviennent dignes de confiance.
3. 3
   Collecter les identités numériques des services concernés, filtrées par le statut applicable au bon moment dans le temps.
4. 4
   Faire remonter le certificat du signataire jusqu'à l'une de ces ancres.
5. 5
   Appliquer les critères Qualifications, avec les déclarations de certificat qualifié contenues dans le certificat lui-même, pour décider s'il s'agit d'un certificat qualifié de signature, de cachet, ou d'aucun des deux.

L'ETSI a écrit la procédure pour que chaque outil n'invente pas la sienne. La TS 119 615 traite exactement de cela : comment utiliser et interpréter les listes nationales de confiance pour déterminer le statut qualifié dans l'UE. Elle est inhabituellement directe sur les enjeux, décrivant ces listes comme ayant une valeur juridique constitutive et les qualifiant de source formelle unique pour confirmer qu'un service a réellement reçu le statut qualifié. EN 319 102-1 s'occupe de la validation autour, c'est-à-dire l'intégrité, la chaîne, la révocation et les horodatages.

L'étape 3 sépare les outils rigoureux des outils négligents. La question n'est pas de savoir si le prestataire est qualifié aujourd'hui, mais si le service l'était au moment de la signature. Un prestataire dont le statut a été retiré l'an dernier restait qualifié pour tout ce qui a été signé avant, et un document signé la semaine précédant l'octroi ne l'a jamais été. C'est aussi pourquoi une signature sans horodatage de confiance devient délicate ici : si vous ne pouvez pas prouver la date de signature, vous ne pouvez pas choisir la bonne ligne dans l'historique.

Une signature peut être cryptographiquement parfaite sans être qualifiée. Ce n'est pas un défaut du vérificateur.

Valide veut dire que les mathématiques tiennent : l'empreinte correspond aux octets, la chaîne atteint une racine que l'outil reconnaît, le certificat n'était ni révoqué ni expiré quand il a servi. Qualifiée veut dire quelque chose de plus étroit et de purement juridique : le service émetteur figure sur une liste nationale de confiance avec le statut qualifié, et ce certificat précis remplit les critères portés par cette entrée.

Des autorités de certification commerciales qui ne figurent sur aucune liste nationale délivrent chaque jour des certificats parfaitement sains. Les signatures faites avec se valident proprement. Elles ne sont pas qualifiées, et aucune robustesse cryptographique n'y change rien, puisque la qualification n'est pas une propriété de la cryptographie.

C'est aussi pourquoi deux outils se contredisent sur le même fichier. Adobe Acrobat contrôle face à son propre magasin de certificats, une liste différente tenue par une autre organisation pour d'autres raisons. Une signature peut être approuvée dans Acrobat et non qualifiée au sens d'eIDAS en même temps, et les deux outils disent la vérité sur la question qu'ils ont posée.

Ce que le statut qualifié vous apporte juridiquement est un autre sujet, avec sa propre réponse, et cette page ne la répétera pas. L'article 25, paragraphe 2, donne à une signature électronique qualifiée, ou QES, l'effet juridique équivalent à celui d'une signature manuscrite, et l'article 25, paragraphe 3, porte cette reconnaissance dans tous les autres États membres. Ce que cela donne sur la charge de la preuve quand un document est réellement contesté mérite d'être lu correctement, et notre guide de la signature électronique qualifiée traite cette question, ainsi que les cas où une signature avancée suffit. Si ce que vous tenez a été émis par une organisation plutôt que par une personne, le cachet électronique selon eIDAS couvre le cas parallèle, avec exactement les mêmes ancres de confiance.

Vous n'avez pas besoin d'analyser du XML pour répondre à une question sur un fournisseur. La Commission met à disposition le navigateur EU TL, une interface web posée sur les mêmes listes nationales que lit un validateur. Mêmes données, à taille humaine.

Choisissez un pays et vous obtenez sa liste de confiance. Choisissez un prestataire et vous obtenez ses services, chacun avec un type, un statut courant et le certificat qui va avec. Cela suffit en général à trancher une question d'achat en deux minutes.

Quelques habitudes rendent les réponses fiables.

Regardez le service, pas le nom de la société. C'est l'erreur qui piège le plus souvent. Un prestataire peut être inscrit pour l'horodatage qualifié et pas pour les certificats qualifiés : un en-tête confirmant que la société est bien là ne vous dit rien sur ceux de ses services qui le sont.

Faites correspondre le type de service à ce que vous achetez. S'il vous faut des certificats qualifiés de signature, CA/QC est le type recherché, et ce sont les critères Qualifications de cette entrée qui décident lesquels de ses certificats sont qualifiés.

Vérifiez le pays attendu. Les prestataires apparaissent dans la liste de l'État membre qui les contrôle, et ce n'est pas toujours le pays dont le drapeau orne le site. Un prestataire contrôlé par la France se trouve dans la liste française tenue par l'ANSSI, quel que soit l'endroit d'où il vend.

Une limite honnête, et elle compte : le navigateur vous montre le statut actuel. Pour un document signé il y a des années, c'est l'historique qu'il vous faut, et c'est le travail d'un validateur plutôt que d'une consultation rapide.

Le contrôle d'un fournisseur est une question. Le fichier posé devant vous en est une autre, et celle-là réclame le document plutôt que le navigateur.

C'est le format qui décide du contrôle, et quatre couvrent presque tout ce que vous croiserez dans l'UE :

• Un PDF signé porte une signature PAdES à l'intérieur. C'est la vérification de signature PDF.
• Les fichiers XML, dont la plupart des factures électroniques et des dépôts du secteur public, portent du XAdES. Les extensions sont .xml et .xsig. Voir la vérification XAdES.
• Les fichiers .p7m italiens, et les fichiers .p7s détachés, sont du CAdES sous forme binaire CMS. Voir la vérification CAdES.
• Les conteneurs .asice, .sce, .asics et .scs transportent documents et signatures ensemble, et un simple .zip passe également. Le .bdoc estonien en fait partie, à ceci près qu'il faut le renommer en .asice ou .zip, car le filtre de téléversement regarde l'extension. Voir la vérification ASiC.

Vous ne savez pas ce que vous tenez ? Ne devinez pas. La vérification de signature Chaindoc prend les quatre formats dans un seul formulaire, détermine lequel vous avez, confronte le certificat du signataire à la liste de confiance de l'UE, et rapporte l'intégrité, la chaîne de certificats, l'état de révocation et les horodatages à côté du verdict de qualification. La validation s'appuie sur la bibliothèque EU DSS, le code de signature open source de la Commission européenne, sur lequel repose une bonne part de l'écosystème.

Deux remarques pratiques avant de téléverser. Les signatures détachées ne contiennent pas les données qu'elles signent : un .p7s ou un .xml détaché réclame le document original à côté, et ce doit être le fichier exact plutôt qu'une copie réenregistrée. Et les outils sont gratuits : un code à usage unique envoyé à votre adresse e-mail confirme votre identité avant la première vérification, puis le rapport s'ouvre dans Chaindoc. Deux points qu'on mélange souvent, alors séparons-les : le fichier que vous téléversez n'est jamais conservé, tandis que le rapport, lui, reste accessible de façon privée pendant 7 jours.

Des contrôles en volume plutôt qu'un document à la fois, c'est un travail d'intégration et non de navigateur. C'est à cela que sert l'API.

Les schémas d'échec se répètent, et ils tiennent à la précision plus qu'à la technique.

Lire « prestataire de services de confiance » comme une prétention au statut qualifié

Ce n'en est pas une. L'article 3, point 19, couvre indifféremment les prestataires qualifiés et non qualifiés : un fournisseur qui se présente comme prestataire de services de confiance vous a donc dit sous quel règlement il vit, et absolument rien sur son statut. Le mot que vous cherchez est « qualifié », et il se vérifie dans la liste, pas dans la plaquette.

Contrôler la société au lieu du service

Le statut qualifié s'attache à des services individuels. Trouver le nom d'un prestataire dans une liste de confiance est le début du contrôle, pas sa fin. Ouvrez le service concerné, puis lisez son type et son statut.

Poser la question au présent pour un document de 2021

Les statuts changent. Un service aujourd'hui retiré était qualifié pour tout ce qui a été signé pendant qu'il était octroyé, et c'est l'historique du service qui tranche. Tout outil qui ne lit que le statut courant se trompera sur les vieux documents, et dans les deux sens.

Prendre une coche verte dans un lecteur PDF pour un verdict eIDAS

Un lecteur contrôle face à son propre magasin de confiance. C'est un vrai contrôle, mais il répond à une autre question que celle à laquelle votre dossier de conformité doit répondre.

S'il faut retenir une chose de cette page, que ce soit l'ordre des opérations. Le statut qualifié est octroyé par un organe de contrôle national, publié dans la liste de confiance de ce pays, et vrai seulement ensuite. Tout ce qu'un validateur fait après n'est qu'une consultation de cet enregistrement. Alors quand un rapport revient valide mais non qualifiée, le réflexe utile n'est pas de discuter avec la cryptographie. Ouvrez l'entrée du service émetteur, vérifiez son type et son statut à la date de signature, et vous aurez votre réponse en une minute. Un fichier sous les yeux en ce moment ? Passez-le au vérificateur et lisez le rapport détaillé plutôt que le verdict en une ligne.