Cela m'étonne même de ne pas encore avoir vu GPG dans les commentaires.
On m’a appelé ?
Si le but est que la signature ait une valeur légale, je ne suis pas certain que GnuPG soit une bonne réponse malheureusement.
La dernière fois que j’ai vérifié, en France (et probablement dans le reste de l’Union Européenne, parce que la loi française en la matière est une transposition d’une directive de l’UE), une signature électronique a un « haut niveau de reconnaissance juridique » (signifiant qu’elle a la même valeur qu’une signature manuscrite) si, entre autres :
elle est émise par un dispositif certifié conforme (comme ceux-ci) ;
le certificat du signataire est fourni par un prestataire lui-même certifié (comme ceux-ci).
A priori, une signature générée par toute autre version, et/ou avec une clef générée par soi-même indépendamment de toute autorité de certification (comme c’est généralement le cas des certificats OpenPGP, l’un des principes d’OpenPGP étant de ne pas avoir besoin absolument d’autorités de certification), ne saurait répondre à ces critères, et serait donc regardée comme une signature à « bas niveau de reconnaissance juridique », c’est-à-dire « ne pouvant prétendre à un niveau de reconnaissance équivalent à celui de la signature manuscrite ».
(Tant il est vrai qu’une signature manuscrite est beaucoup plus sûre et difficile à forger qu’une signature RSA, c’est bien connu ⸮)
Et je dis ça pour OpenPGP, mais une signature S/MIME émise par un produit non-certifié et/ou avec un certificat délivré par un prestataire non-certifié ne vaudra pas mieux.
[^] # Re: Totalement impossible
Posté par gouttegd . En réponse au journal authentification et certification de contenu de courriel ?. Évalué à 5.
On m’a appelé ?
Si le but est que la signature ait une valeur légale, je ne suis pas certain que GnuPG soit une bonne réponse malheureusement.
La dernière fois que j’ai vérifié, en France (et probablement dans le reste de l’Union Européenne, parce que la loi française en la matière est une transposition d’une directive de l’UE), une signature électronique a un « haut niveau de reconnaissance juridique » (signifiant qu’elle a la même valeur qu’une signature manuscrite) si, entre autres :
elle est émise par un dispositif certifié conforme (comme ceux-ci) ;
le certificat du signataire est fourni par un prestataire lui-même certifié (comme ceux-ci).
À ma connaissance, seule une version spécifique de GnuPG a jamais été formellement certifiée.
A priori, une signature générée par toute autre version, et/ou avec une clef générée par soi-même indépendamment de toute autorité de certification (comme c’est généralement le cas des certificats OpenPGP, l’un des principes d’OpenPGP étant de ne pas avoir besoin absolument d’autorités de certification), ne saurait répondre à ces critères, et serait donc regardée comme une signature à « bas niveau de reconnaissance juridique », c’est-à-dire « ne pouvant prétendre à un niveau de reconnaissance équivalent à celui de la signature manuscrite ».
(Tant il est vrai qu’une signature manuscrite est beaucoup plus sûre et difficile à forger qu’une signature RSA, c’est bien connu ⸮)
Et je dis ça pour OpenPGP, mais une signature S/MIME émise par un produit non-certifié et/ou avec un certificat délivré par un prestataire non-certifié ne vaudra pas mieux.