Qu'est-ce qu'une signature numérique dans les PDFs ?
Une signature numérique dans les PDFs sert à vérifier l'authenticité et l'intégrité d'un document.
Il s'agit d'un mécanisme cryptographique qui garantit qu'un fichier PDF n'a pas été modifié depuis sa création et qu'il provient bien de l'expéditeur prévu. Les signatures numériques utilisent la cryptographie à clé publique, où le signataire génère un certificat numérique unique contenant sa clé publique. Ce certificat est utilisé pour chiffrer une valeur de hachage du document, qui est ensuite intégrée dans le PDF.
Les destinataires peuvent vérifier la signature en déchiffrant la valeur de hachage intégrée à l'aide de la clé publique du signataire, ce qui garantit que le document n'a pas été modifié et qu'il provient de la source prévue.
Signatures numériques garantissent l'authenticité, l'intégrité et la non-répudiation des documents PDF, ce qui les rend essentielles pour les fichiers sensibles ou juridiquement contraignants.
De nombreux logiciels et services en ligne prennent en charge la fonctionnalité de signature numérique pour les documents PDF.
Ce que couvre réellement une signature
Une signature numérique crée un hachage sur une plage d’octets du fichier et le chiffre avec la clé privée du signataire. Le résultat est stocké avec le certificat de signature. La vérification recalcule le hachage et le compare au certificat. C’est la plage d’octets qui permet de faire fonctionner ce système dans un format modifiable. Parce qu’un mise à jour incrémentielle ajoute des données au lieu de réécrire, les octets couverts par une signature antérieure restent inchangés, et un document peut être signé successivement par plusieurs personnes, chaque signature restant vérifiable.
La validité pose deux questions distinctes
Un lecteur répond à deux questions faciles à confondre. Premièrement, le document a-t-il été modifié depuis sa signature ? Deuxièmement, le certificat de signature est-il fiable et était-il valide au moment de la signature ?
Un document peut être totalement inchangé et afficher tout de même un avertissement, simplement parce que le certificat est auto-signé ou émis par une autorité que le lecteur ne juge pas fiable. Des horodatages d’une autorité de confiance et des données de révocation intégrées permettent à une signature de rester vérifiable des années plus tard, même après l’expiration du certificat lui-même.
Une signature n’est pas la même chose qu’une signature dessinée ou collée sur une page. Une image d’une écriture manuscrite est du contenu de page et ne comporte aucune garantie cryptographique.