Signature numérique
signature électronique · signature qualifiée · eIDAS · signature de code · ECDSA · digital signature
Mécanisme cryptographique qui prouve qui a signé un document ou un logiciel et garantit qu’il n’a pas été modifié depuis.
En pratique
Le signataire calcule l’empreinte du document puis la signe avec sa clé privée ; chacun peut vérifier la signature avec la clé publique correspondante, généralement contenue dans un certificat. Ce mécanisme protège les mises à jour logicielles (signature de code), les courriels (S/MIME), les connexions TLS et les contrats. Le règlement européen eIDAS distingue trois niveaux de signature électronique (simple, avancée, qualifiée) : seule la signature qualifiée a un effet juridique équivalent à celui d’une signature manuscrite. Les signatures post-quantiques, comme ML-DSA, prendront progressivement le relais de RSA et ECDSA.
Cas fictif : un éditeur signe chaque version de son logiciel. Quand un attaquant diffuse une fausse mise à jour sur un site miroir, les postes clients la refusent : la signature ne correspond pas à la clé de l’éditeur.
Comment s’en protéger
- Signer le code et les mises à jour que vous distribuez, vérifier ceux que vous installez.
- Conserver les clés de signature dans un HSM ou un service dédié, jamais sur un poste de développeur.
- Recourir à un prestataire qualifié eIDAS pour les actes à fort enjeu juridique.
