Digital Signature

Définition

Une signature numérique est un mécanisme cryptographique qui permet de vérifier l'authenticité, l'intégrité et la non-répudiation d'un message, document ou logiciel. Elle fonctionne en deux étapes : le signataire calcule un hash du document et chiffre ce hash avec sa clé privée (créant la signature) ; le vérificateur déchiffre la signature avec la clé publique du signataire et compare le hash obtenu au hash recalculé du document. La signature numérique garantit trois propriétés simultanément. L'authenticité : seul le détenteur de la clé privée peut produire une signature valide, prouvant l'origine du document. L'intégrité : toute modification du document après signature invalide la signature, car le hash ne correspond plus. La non-répudiation : le signataire ne peut pas nier avoir signé, car sa clé privée — théoriquement connue de lui seul — a été utilisée. Les algorithmes de signature numérique principaux sont RSA-PSS (Probabilistic Signature Scheme, recommandé pour RSA), ECDSA (Elliptic Curve Digital Signature Algorithm, utilisé notamment dans Bitcoin, Ethereum, TLS), EdDSA/Ed25519 (algorithme sur la courbe de Edwards, recommandé pour les nouveaux développements en raison de sa robustesse aux mauvaises implémentations et de ses performances). L'algorithme DSA original (Digital Signature Algorithm) est aujourd'hui obsolète. Le choix de l'algorithme de hash associé est critique : SHA-256 minimum, SHA-384 ou SHA-512 pour les applications haute sécurité. MD5 et SHA-1 sont définitivement cassés pour les signatures et ne doivent plus être utilisés. Le NIST a standardisé SHA-3 (Keccak) comme alternative aux SHA-2, mais les deux coexistent actuellement. Les applications des signatures numériques sont omniprésentes : code signing (signatures des exécutables Windows, packages Linux, apps mobiles), emails signés S/MIME et PGP/GPG, transactions blockchain, certificats TLS (signés par la CA), documents PDF signés (Adobe Acrobat, LibreOffice), factures électroniques, journaux d'audit, et git commits signés (git commit --gpg-sign). En droit, la signature numérique qualifiée (selon eIDAS) a la même valeur légale qu'une signature manuscrite dans l'Union Européenne. Elle repose sur un certificat qualifié délivré par un prestataire de services de confiance qualifié (QTSP) et doit être créée par un dispositif de création de signature qualifié (QSCD), généralement une smartcard ou un HSM.