PKI et certificats : les bases pour comprendre l'horodatage

Le problème que la cryptographie doit résoudre

Un fichier numérique se copie, se renomme, se modifie ou se date après coup sans laisser de trace visible. Comment, dans ces conditions, prouver qu'un horodatage vient réellement d'une source fiable et n'a pas été fabriqué a posteriori ? La réponse ne tient pas à une promesse commerciale, mais à une technologie ancienne, documentée publiquement et déployée à très grande échelle : la cryptographie à clés publiques, aussi appelée infrastructure à clés publiques ou PKI (Public Key Infrastructure). C'est elle qui fait que la date de vos fichiers n'a pas à être crue sur parole.

Qu'est-ce qu'une infrastructure à clés publiques ?

Une PKI repose sur une paire de clés mathématiquement liées : une clé privée, gardée secrète par son détenteur, et une clé publique, diffusée librement. Ce que l'une produit comme signature, seule l'autre permet de le vérifier. Concrètement, quand une entité signe une donnée avec sa clé privée, n'importe qui contrôle cette signature avec la clé publique correspondante, sans avoir eu à échanger le moindre secret au préalable. C'est ce mécanisme, standardisé depuis des décennies, qui permet à deux parties qui ne se connaissent pas de vérifier une preuve sans se faire confiance sur parole. Votre avocat et l'avocat d'en face, par exemple.

Le certificat numérique : relier une clé à une identité

Une signature valide prouve qu'une clé privée précise a été utilisée. Elle ne dit rien, en soi, sur qui possède cette clé. C'est le rôle du certificat numérique : un document électronique qui associe une clé publique à une identité déclarée (une organisation, un service, une autorité), lui-même signé par une autorité de certification reconnue. Cette autorité atteste avoir vérifié l'identité avant de délivrer le certificat. Les systèmes d'exploitation et les navigateurs embarquent une liste d'autorités racines de confiance, et chaque certificat se retrace jusqu'à l'une d'elles. C'est exactement le principe qui sécurise un site web en HTTPS.

Pourquoi cela rend un horodatage vérifiable

Une autorité d'horodatage (Time Stamping Authority, ou TSA) applique ce principe pour attester qu'une donnée existait à un instant précis. Elle reçoit l'empreinte cryptographique d'un fichier, y associe une date et une heure, puis signe l'ensemble avec sa propre clé privée. Le résultat est un jeton d'horodatage conforme à la norme RFC 3161, qui embarque le certificat de l'autorité émettrice. Un expert technique, une juridiction, un logiciel indépendant vérifie ensuite cette signature de façon autonome, sans devoir croire l'émetteur sur parole. La vérification repose sur des calculs publics et des standards documentés, pas sur une déclaration. Le fichier lui-même n'est jamais transmis à l'autorité : seule son empreinte l'est.

Un standard ouvert, pas un mécanisme propriétaire

RFC 3161 est une norme publique de l'IETF, implémentée dans de nombreux outils open source et utilisée par plusieurs autorités d'horodatage à travers le monde. C'est cette ouverture qui fait sa valeur : l'algorithme peut être audité par n'importe qui, un jeton se contrôle avec des outils totalement indépendants de celui qui l'a émis, et cette vérification reste possible des années plus tard. La confiance ne repose alors pas sur un fournisseur, mais sur une technologie que chacun vérifie de son côté.

Ce qu'il faut retenir, et ce que ChronoCert en fait

Une PKI combine trois éléments : des paires de clés publique/privée, des certificats qui relient une clé à une identité, et des autorités de certification qui forment une chaîne de confiance. C'est ce socle qui permet à une signature électronique, et donc à un horodatage RFC 3161, d'être vérifiée de façon indépendante plutôt qu'admise sur simple affirmation. Chez ChronoCert, chaque photo, vidéo ou commentaire vocal est scellé, et sa date est attestée par une autorité d'horodatage indépendante ; en option au mois, sur chaque formule payante, l'horodatage devient qualifié eIDAS, avec présomption légale d'exactitude de la date et d'intégrité (règlement eIDAS, article 41). Chaque pièce a son certificat et se vérifie en ligne sur chronocert.fr, sans compte. Comprendre ces bases vous permet d'évaluer objectivement n'importe quelle solution d'horodatage, ChronoCert y compris.