Le problème : prouver la date
Vous avez écrit un document, conçu un prototype, rédigé un contrat. Vous savez quand vous l'avez fait. Mais comment le prouver à un tiers ?
La date de création d'un fichier sur votre ordinateur ne constitue pas une preuve. Elle peut être modifiée, le fichier peut être copié, le système de fichiers ne garantit rien. En cas de litige sur l'antériorité d'une création, d'un brevet ou d'un contrat, il faut une preuve indépendante et vérifiable.
C'est exactement ce que fait l'horodatage certifié.
Comment fonctionne l'horodatage RFC 3161
Le standard RFC 3161, publié par l'IETF, définit un protocole d'horodatage de confiance (TSP = Time-Stamp Protocol). Le principe est simple :
- Votre document est haché localement (SHA-256). Seule cette empreinte numérique est envoyée, votre fichier ne quitte jamais votre appareil.
- L'autorité d'horodatage (TSA = Time-Stamping Authority) reçoit cette empreinte, y ajoute la date et l'heure précises, puis signe le tout avec sa clé privée.
- Vous recevez un jeton d'horodatage (.tst) qui lie de manière cryptographique votre document à un instant précis.
Ce jeton est vérifiable par quiconque dispose du certificat de l'autorité. Il est infalsifiable : toute modification du document ou de la date invalide la signature.
Sources de temps et confiance
La fiabilité d'un horodatage repose sur la précision de l'horloge de l'autorité. Les serveurs Sigalion utilisent le protocole NTS (Network Time Security), la version sécurisée et authentifiée de NTP, avec des sources de temps européennes certifiées :
- PTB (Physikalisch-Technische Bundesanstalt) en Allemagne, horloge atomique de référence
- Netnod en Suède, infrastructure de temps distribuée
NTS garantit que les réponses de temps ne peuvent être ni falsifiées ni rejouées en transit, contrairement au NTP classique.
Horodatage qualifié eIDAS
Le règlement européen eIDAS (910/2014) établit un cadre juridique pour les services de confiance numériques. Un horodatage qualifié au sens d'eIDAS bénéficie d'une présomption légale d'exactitude de la date et de l'intégrité des données (article 41).
La norme technique applicable est l'ETSI EN 319 421, qui définit les exigences pour les prestataires de services d'horodatage qualifiés.
Sigalion propose deux niveaux d'horodatage :
- Sigalion TSA, horodatage RFC 3161 gratuit et illimité, opéré sur nos serveurs (hébergés en France)
- Certigna eIDAS, horodatage qualifié eIDAS, délivré par Certigna (Groupe Tessi), prestataire de services de confiance qualifié inscrit sur la liste de confiance européenne
Les enveloppes ASiC-S : document et preuve réunis
Un jeton d'horodatage seul prouve qu'une empreinte existait à un instant donné. Mais pour constituer une preuve complète, il faut associer le document original et son jeton dans un format standardisé.
C'est le rôle de l'enveloppe ASiC-S (Associated Signature Container - Simple), définie par la norme ETSI EN 319 162. Il s'agit d'une archive ZIP contenant :
- Le document original
- Le jeton d'horodatage (.tst) correspondant
Cette enveloppe réunit document et preuve dans un format vérifiable hors ligne, sans rappeler le serveur d'horodatage. La vérification repose sur la chaîne de confiance du certificat de l'autorité, comme pour tout certificat X.509. Le format est interopérable avec les outils de vérification conformes aux normes ETSI.
L'association avec Sigalion Vault
Sigalion Vault permet de chiffrer vos documents avec un mot de passe ou un certificat X.509. En choisissant le format de sortie ASiC-S, chaque fichier chiffré est automatiquement horodaté et intégré dans une enveloppe normalisée.
Le résultat : un fichier .asics qui contient à la fois votre document chiffré et la preuve de sa date de création. Vous pouvez le stocker, le transmettre, l'archiver... la preuve voyage avec le document.
Au déchiffrement, Vault affiche les informations d'horodatage : date, autorité, validité de la signature, correspondance de l'empreinte.
Vérification indépendante
La vérification d'un jeton d'horodatage ne nécessite aucun logiciel propriétaire. Le service en ligne horodatage.sigalion.fr permet de vérifier gratuitement tout jeton RFC 3161 (.tst, .tsr) ou toute enveloppe ASiC-S, quel que soit le fournisseur d'origine. Les horodatages qualifiés eIDAS sont également vérifiables par les outils de validation européens conformes aux normes ETSI.
La vérification contrôle trois éléments :
- La signature cryptographique du jeton (chaîne de confiance)
- La correspondance entre l'empreinte du jeton et celle du document original (si fourni)
- L'intégrité de l'enveloppe ASiC-S (si applicable)
En pratique
L'horodatage s'adresse à tous ceux qui ont besoin de prouver une date :
- Créateurs et inventeurs : preuve d'antériorité pour dessins, modèles, concepts, code source
- Juristes : date certaine pour contrats, mises en demeure, constats
- Chercheurs : antériorité de résultats, cahiers de laboratoire numériques
- Entreprises : conformité réglementaire, archivage probant, traçabilité
Les services d'horodatage sont accessibles sur horodatage.sigalion.fr : création de jetons, vérification et enveloppes ASiC-S.