La vérification de la signature digitale d’un message envoyé par la Sécurité sociale

Les garanties fournies par la signature ne sont valables que si la signature est valide. Dès lors, le déclarant peut s’il le souhaite vérifier les signatures provenant de la Sécurité sociale. Les deux formats de signature de la Sécurité sociale (CAdES-T et PKCS#7/CMS) possèdent une structure de base commune ; CAdES-T étant une extension de PKCS#7/CMS, les différentes étapes de validation d’une signature au format PKCS#7/CMS sont également d’application pour les signatures au format CAdES-T.

Fonctionnellement, les vérifications à effectuer afin de valider une signature PKCS#7 ou CAdES-T sont les suivantes :

1. Vérification de la validité du certificat :
   Cette étape nécessite d’extraire le certificat du signataire de la signature afin de s’assurer que :
   1. La date de validité du certificat n’est pas expirée.
   2. Le certificat a bien été émis par une autorité de certification « de confiance » et est reprise dans la liste des prestataires de services de certification reconnus en Belgique.
   3. Le certificat n’a pas été révoqué par son autorité de certification.
   4. Le certificat représente l’identité d’un signataire connu et digne de confiance.
2. Vérification de la valeur de la signature :
   Cette étape permet de vérifier que la valeur de la signature est bien correcte, de s’assurer que le document n’a pas été modifié après que la signature soit produite et de confirmer que le signataire ayant effectué la signature est bien celui représenté par le certificat. Cette vérification consiste à :
   1. effectuer le déchiffrement RSA de la valeur de la signature (digest crypté) à l’aide de la clé publique du certificat du signataire. Cette opération permet d’obtenir le digest décrypté du document.
   2. calculer la valeur du digest sur le document en utilisant le même algorithme de hachage que celui utilisé par la signature.
   3. vérifier que les deux digests sont identiques.
3. Vérification de la validité du timestamp (uniquement pour les signatures CAdES-T):
   Cette étape consiste à extraire le timestamp de la signature et de vérifier que :
   1. Le timestamp a été généré par une « autorité de timestamping » reconnue.
   2. Le timestamp porte sur la signature et prouve donc l’existence de cette signature à la date mentionnée.

Si toutes les vérifications énumérées ci-dessus donnent un résultat positif, la signature est alors considérée comme totalement valide. Pour des raisons de performance, la vérification de la validité du timestamp peut être effectuée à une date ultérieure ou de manière optionnelle. Dans ce cas, si seules les vérifications numérotées 1 et 2 sont effectuées et donnent un résultat positif, la signature pourra également être considérée comme valide (mais partiellement validée).

Note : Des informations techniques concernant la vérification de signatures au format CAdES-T sont disponibles dans le standard CAdES publié par l’ETSI (European Telecommunications Standards Institute).