Non-Répudiation

Définition

La non-répudiation est une propriété de sécurité qui empêche une entité de nier avoir effectué une action ou envoyé un message. C'est un concept juridique et technique qui joue un rôle crucial dans la preuve numérique, les transactions électroniques et la conformité réglementaire. En cybersécurité, la non-répudiation repose principalement sur les signatures numériques. Lorsqu'un utilisateur signe un document ou un message avec sa clé privée, il est mathématiquement impossible pour lui de nier cette action a posteriori — la signature prouve irréfutablement sa participation. Ce mécanisme est à la base des échanges commerciaux électroniques, des contrats numériques et des transactions bancaires. La non-répudiation s'applique à deux dimensions : la non-répudiation d'origine (prouver que l'expéditeur a bien envoyé le message) et la non-répudiation de réception (prouver que le destinataire a bien reçu le message). Les protocoles comme S/MIME pour les emails signés et chiffrés implémentent ces deux dimensions. Dans le cadre légal européen, le règlement eIDAS reconnaît les signatures électroniques qualifiées comme équivalentes aux signatures manuscrites, conférant ainsi une pleine valeur juridique à la non-répudiation numérique. Les certificats délivrés par des prestataires de services de confiance qualifiés (QTSP) permettent de garantir cette propriété au niveau légal. Les journaux d'audit immuables constituent un autre pilier de la non-répudiation opérationnelle. Les SIEM modernes, les systèmes de blockchain et les logs certifiés permettent de constituer des preuves horodatées et non modifiables d'actions effectuées par des utilisateurs ou des systèmes. Ces preuves sont indispensables lors d'investigations forensics, de litiges commerciaux ou de procédures judiciaires liées à des cyberattaques. La non-répudiation est également centrale dans la gestion des habilitations sensibles : toute action d'un administrateur privilégié sur un système critique doit être tracée de manière non répudiable. Les solutions PAM (Privileged Access Management) intègrent des mécanismes d'enregistrement de session qui servent précisément cet objectif.