Planifier les paramètres des signatures numériques pour Office 2010

Fonction des signatures numériques

Les signatures numériques aident à établir les mesures d’authentification suivantes :

• Authenticité   La signature numérique et son certificat numérique sous-jacent aident à s’assurer que le signataire est celui qu’il prétend être. Cela aide à empêcher que d’autres personnes prétendent être l’expéditeur d’un document particulier (équivalent d’un faux sur un document imprimé).

• Intégrité   La signature numérique aide à s’assurer que le contenu n’a été ni modifié ni falsifié depuis qu’il a été signé numériquement. Cela aide à empêcher l’interception et la modification d’un document à l’insu de la personne l’ayant émis.

• Non-répudiation   La signature numérique aide à prouver à toutes les parties concernées l’origine du contenu signé. Le terme « répudiation » fait référence au fait qu’un signataire renie toute association avec le contenu signé. Cela aide à prouver que l’expéditeur du document est le vrai expéditeur et non quelqu’un d’autre, quelles que soient les revendications du signataire. Un signataire ne peut pas répudier la signature sur ce document sans répudier sa clé numérique et, par conséquent, les autres documents signés avec cette clé.

Exigences relatives aux signatures numériques

Pour établir ces conditions, le créateur de contenu doit signer numériquement le contenu en créant une signature qui répond aux critères suivants :

• La signature numérique est valide. Une autorité de certification approuvée par le système d’exploitation doit signer le certificat numérique sur lequel la signature numérique est basée.

• Le certificat associé à la signature numérique n’a pas expiré ou contient un horodatage indiquant qu’il était valide au moment de la signature.

• Le certificat associé à la signature numérique n’est pas révoqué.

• La personne ou l’organisation signataire (appelé émetteur) est approuvée par le destinataire.

Word 2010, Excel 2010 et PowerPoint 2010 détectent ces critères pour vous et vous avertissent en cas de problème au niveau de la signature numérique. Les informations relatives aux certificats à problème sont facilement consultables dans un volet de certificat affiché dans l’application Office 2010. Les applications Office 2010 vous permettent d’ajouter plusieurs signatures numériques au même document.

Signatures numériques dans l’environnement d’entreprise

Le scénario suivant illustre la façon dont la signature numérique des documents peut être utilisée dans un environnement d’entreprise :

1. Un employé utilise Excel 2010 pour créer un rapport de dépenses. Il crée ensuite trois lignes de signature : une pour lui-même, une pour son responsable et une pour le service Comptabilité. Ces lignes servent à confirmer que l’employé est bien l’expéditeur du document, qu’aucune modification ne sera apportée au document lors de son transfert au responsable et au service Comptabilité, et qu’il existe une preuve que le responsable et le service Comptabilité ont tous deux reçu et examiné le document.

2. Le responsable reçoit le document et y ajoute sa signature numérique afin de confirmer qu’il l’a examiné et approuvé. Il le transfère ensuite au service Comptabilité en vue du paiement.

3. Un représentant du service Comptabilité reçoit le document et le signe, ce qui confirme la réception du document.

Cet exemple illustre la capacité à ajouter plusieurs signatures à un même document Office 2010. Outre la signature numérique, le signataire du document peut ajouter un graphique de sa signature manuscrite ou utiliser un Tablet PC pour insérer sa signature manuscrite sur la ligne de signature du document. Une fonctionnalité de « tampon » peut également être utilisée par les services afin d’indiquer qu’un membre d’un service spécifique a reçu le document.

Problèmes de compatibilité

Office 2010, tout comme Office System 2007, utilise le format XML-DSig pour les signatures numériques. De plus, Office 2010 offre la prise en charge de XAdES (XML Advanced Electronic Signatures). XAdES est un ensemble d’extensions en couches de XML-DSig, dont les niveaux successifs reposent sur les précédents afin de fournir des signatures numériques plus fiables. Pour plus d’informations sur les niveaux de XAdES pris en charge dans Office 2010, voir Utilisation de signatures numériques plus loin dans cet article. Pour plus d’informations sur XAdES, voir la spécification XML Advanced Electronic Signatures (XAdES) (éventuellement en anglais) (https://go.microsoft.com/fwlink/?linkid=186631\&clcid=0x40C) (éventuellement en anglais).

À noter que les signatures numériques créées dans Office 2010 sont incompatibles avec les versions de Microsoft Office antérieures à Office System 2007. Par exemple, si un document est signé à l’aide d’une application dans Office 2010 ou Office System 2007 et ouvert avec une application dans Microsoft Office 2003 où le Pack de compatibilité Office est installé, l’utilisateur est informé du fait que le document a été signé avec une version plus récente de Microsoft Office et que la signature numérique sera perdue.

La figure suivante illustre un avertissement indiquant que la signature numérique est supprimée lorsque le document est ouvert dans une version antérieure d’Office.

De plus, si vous avez utilisé XAdES pour la signature numérique dans Office 2010, celle-ci ne sera pas compatible avec Office System 2007, à moins que vous ne configuriez le paramètre de stratégie de groupe Ne pas inclure d’objet de référence XAdES dans le manifeste et que vous ne lui affectiez pas la valeur Désactivé. Pour plus d’informations sur les paramètres de stratégie de groupe de signature numérique, voir Configurer des signatures numériques plus loin dans cet article.

Si vous souhaitez que des signatures numériques créées dans Office 2010 soient compatibles avec Office 2003 et versions antérieures, vous pouvez configurer le paramètre de stratégie de groupe Signatures au format hérité et lui affecter la valeur Activé. Ce paramètre de stratégie de groupe se trouve sous Configuration utilisateur\Modèles d’administration\(ADM\ADMX)\Microsoft Office 2010\Signature. Une fois ce paramètre Activé, les applications Office 2010 utilisent le format binaire Office 2003 pour appliquer des signatures numériques aux documents binaires Office 97–2003 créés dans Office 2010.

Certificats créés à l’aide d’une infrastructure à clé publique d’entreprise

Les organisations ont la possibilité de créer leur propre infrastructure à clé publique. Dans ce scénario, l’organisation configure une ou plusieurs autorités de certification capables de créer des certificats numériques pour les ordinateurs et les utilisateurs de l’organisation. En cas d’association avec le service d’annuaire Active Directory, cela permet à une organisation de créer une solution d’infrastructure à clé publique complète de sorte que la chaîne d’autorité de certification d’entreprise soit installée sur tous les ordinateurs gérés par l’organisation et que des certificats numériques soient assignés automatiquement aux ordinateurs et aux utilisateurs pour la signature et le chiffrement des documents. Tous les employés d’une organisation peuvent ainsi approuver automatiquement les certificats numériques (et par conséquent les signatures numériques valides) des autres employés de la même organisation.

Pour plus d’informations, voir Services de certificats Active Directory (https://go.microsoft.com/fwlink/?linkid=119113\&clcid=0x40C) (éventuellement en anglais).

Certificats commerciaux

Les certificats commerciaux peuvent être achetés auprès d’une société spécialisée dans la vente de certificats numériques. Le principal avantage offert par l’utilisation des certificats commerciaux est le fait que le certificat d’autorité de certificat racine du fournisseur de certificats commerciaux est installé automatiquement sur les systèmes d’exploitation Windows, ce qui permet à ces ordinateurs d’approuver automatiquement ces autorités de certification. Contrairement à une solution d’infrastructure à clé publique d’entreprise, les certificats commerciaux vous permettent de partager vos documents signés avec des utilisateurs étrangers à votre organisation.

Il existe trois types de certificats commerciaux :

• Classe 1   Les certificats de Classe 1 sont délivrés aux personnes possédant une adresse de messagerie valide. Ils conviennent aux signatures numériques, au chiffrement et au contrôle d’accès électronique pour les transactions non commerciales où aucune preuve d’identité n’est requise.

• Classe 2   Les certificats de Classe 2 sont délivrés aux personnes et aux périphériques. Ils conviennent aux signatures numériques, au chiffrement et au contrôle d’accès électronique pour les transactions où une preuve d’identité basée sur des informations contenues dans la base de données de validation sont suffisantes. Les certificats de périphériques de Classe 2 conviennent à l’authentification des périphériques, à l’intégrité du contenu, des logiciels et des messages, ainsi qu’au chiffrement de confidentialité.

• Classe 3   Les certificats de Classe 3 sont délivrés aux personnes, organisations, serveurs, périphériques et administrateurs d’autorités de certification et d’autorités racines. Ils conviennent aux signatures numériques, au chiffrement et au contrôle d’accès pour les transactions où une preuve d’identité doit être assurée. Les certificats de serveurs de Classe 3 conviennent à l’authentification des serveurs, à l’intégrité du contenu, des logiciels et des messages, ainsi qu’au chiffrement de confidentialité.

Pour plus d’informations sur les certificats commerciaux, voir Catégories Office Marketplace (https://go.microsoft.com/fwlink/?linkid=119114\&clcid=0x40C).

Signatures numériques avec horodatage

Dans Office 2010, la capacité à ajouter un horodatage à une signature numérique permet d’étendre sa durée de vie. Par exemple, si un certificat révoqué a été utilisé précédemment pour la création de la signature numérique, qui contient un horodatage issu d’un serveur d’horodatage approuvé, la signature numérique peut encore être considérée comme valide si l’horodatage a eu lieu avant la révocation du certificat. Pour utiliser la fonctionnalité d’horodatage avec des signatures numériques, vous devez effectuer les tâches suivantes :

• Configurer un serveur d’horodatage conforme à la norme RFC 3161

• Utiliser le paramètre de stratégie de groupe Spécifier le nom du serveur pour entrer l’emplacement du serveur d’horodatage sur le réseau.

Vous pouvez également configurer des paramètres d’horodatage supplémentaires en configurant un ou plusieurs des paramètres de stratégie de groupe suivants :

• Configurer l’algorithme de hachage d’horodatage

• Définir le délai d’expiration du serveur d’horodatage

Si vous ne configurez pas et n’activez pas Configurer l’algorithme de hachage d’horodatage, la valeur par défaut SHA1 est utilisée. Si vous ne configurez pas et n’activez pas Définir le délai d’expiration du serveur d’horodatage, la durée d’attente par défaut d’une réponse de la part du serveur d’horodatage dans Office 2010 est de 5 secondes.

Configurer des signatures numériques

Outre ceux en rapport avec la configuration des paramètres d’horodatage, il existe d’autres paramètres de stratégie de groupe permettant de configurer la façon dont les signatures numériques sont configurées et contrôlées dans une organisation. Les noms et descriptions de ces paramètres sont fournis dans le tableau suivant.

Les paramètres de stratégie supplémentaires en rapport avec les signatures numériques sont les suivants :

• Filtrage d’utilisation de la clé

• Définir le répertoire d’images par défaut

• Filtrage EKU

• Signatures au format hérité

• Supprimer les fournisseurs de signature Office

• Supprimer l’élément de menu des services de signature externes

Pour plus d’informations sur chacun de ces paramètres de stratégie de groupe, voir les fichiers d’aide contenus dans les fichiers de Modèles d’administration pour Office 2010. Pour plus d’informations sur les fichiers de Modèles d’administration, voir Vue d'ensemble de la stratégie de groupe pour Office 2010.