Comment une signature électronique est-elle validée ?

Certains documents PDF générés par le SPF Finances sont signés numériquement. Ces documents présentent un certificat au nom du SPF Finances. Ce certificat est émis par une autorité de certification (CA), en l'occurrence l'autorité "Government CA". Cette autorité non seulement émet le certificat mais surtout garantit l'identité de la personne pour qui il est émis. Le certificat de l'autorité "Government CA" est lui-même émis par une autorité supérieure ("Belgium Root CA"), qui lui-même est émis par une autorité dite "racine" ("GlobalSign Root CA"). Les certificats de ces autorités racines, au nombre restreint (quelques dizaines), sont supposés être "bien connus". En pratique, ils sont embarqués dans les applications, par exemple dans Internet Explorer ou Mozilla Firefox.

Lorsqu'une application doit vérifier la validité d'un certificat, elle doit :

1. Vérifier que la chaîne de certificat est valable, c'est-à-dire que chaque certificat est bien émis par l'autorité de certification directement supérieure dans la chaîne. L'application peut le vérifier directement, grâce à des algorithmes cryptographiques.

2. Vérifier que le certificat racine (ici, "GlobalSign Root CA") est bien connu en interne. 3. Vérifier que le certificat client (ici, celui du SPF Finances) est toujours valable, c'est-à-dire

non révoqué, non suspendu, non expiré. Ceci se fait en général via l'interrogation d'un serveur (OCSP - Online Certificate Status Protocol) en ligne. Ceci suppose que l'application aie un accès à l'Internet

Adobe Reader indique que la validité de la signature est inconnue !

Contrairement aux applications Internet Explorer et Mozilla, Adobe Reader ne possède en interne malheureusement qu'un seul certificat racine, celui d'Adobe lui-même. Il en résulte (voir Question 5, point 2) que, par défaut, seuls les certificats émis par Adobe sont présentés comme valables. De plus, seules les versions d'Adobe Reader pour Windows supportent la validation des certificats, le plugin n'est pas disponible actuellement pour les plateformes Linux. Afin que le certificat du SPF Finances puisse être validé par Adobe, il est nécessaire que le certificat racine "Belgium Root CA2" soit connu de Adobe. Ce certificat racine doit donc être importé. Voici les étapes à suivre pour importer le certificat racine "Belgium Root CA2" dans Adobe Reader X :

1. Pour vous permettre d'installer facilement le nouveau certificat racine, le SPF Finances propose un fichier Adobe d'échange d'informations. Vous pouvez télécharger ce fichier en cliquant sur l'image ci-dessous. Pour Internet Explorer : clic droit, Enregistrer sous (Save Target As...), nom du fichier : SPF.fdf). Attention, ceci n'est supporté que par la version d'Adobe Reader sur Windows.