Chapitre 914 minDébutant
Identité numérique de l'organisation et preuve électronique
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- lister ce qui compose l'identité numérique d'une organisation ;
- protéger les noms de domaine, la messagerie et les comptes sociaux ;
- expliquer ce que garantit un certificat TLS, et ce qu'il ne garantit pas ;
- expliquer le fonctionnement d'une signature numérique ;
- collecter et conserver une preuve numérique.
4 exercices corrigés1 schéma
L'identité numérique d'une organisation est l'ensemble des éléments qui la représentent et permettent de la reconnaître en ligne : ses noms de domaine, ses adresses de messagerie, son site web et ses certificats, ses comptes sur les réseaux sociaux, sa réputation. La préserver, c'est empêcher qu'un tiers se fasse passer pour elle, et pouvoir prouver ce qu'elle a réellement fait ou signé. Ce chapitre couvre les deux volets de cette compétence du bloc 3 : protéger l'identité numérique et déployer les moyens de preuve électronique.
Ce qui compose l'identité numérique de l'organisation
| Élément | Exemple chez Soléane | Ce qu'un usurpateur en ferait |
|---|---|---|
| Noms de domaine | soleane-medical.fr, soleane-medical.com | Acheter soleane-medical-fr.com pour un faux site ou de faux courriels |
| Messagerie | Adresses en @soleane-medical.fr | Envoyer des courriels qui affichent une adresse de Soléane |
| Site web et certificat | https://www.soleane-medical.fr | Copier le site pour récolter des identifiants ou des paiements |
| Comptes sur les réseaux sociaux | Pages LinkedIn, compte Instagram | Prendre le contrôle du compte, publier de fausses annonces |
| Marque et logo | Le nom « Soléane », déposé à l'INPI | Les reproduire sur de faux documents, de fausses factures |
| E-réputation | Avis clients, articles de presse, résultats des moteurs de recherche | Publier de faux avis, diffuser de fausses informations |
| Identités des salariés | Profils professionnels, signatures de courriel | Se faire passer pour un commercial auprès des clients |
L'identité numérique est un actif au sens de l'analyse de risques (chapitre 3) : sa compromission a un impact financier (fraude, perte de clients) et d'image. Pour les personnes physiques, le droit protège aussi l'identité numérique, notamment contre l'usurpation d'identité (cours CEJM droit).
Les atteintes à l'identité numérique
- Typosquatting et cybersquatting. Enregistrer un nom de domaine proche (
soleanne-medical.fr,so1eane-medical.fr,soleane-medical.shop) pour tromper les clients ou revendre le nom. - Usurpation de l'adresse de messagerie. Envoyer des courriels avec un faux expéditeur
@soleane-medical.fr, si le domaine n'est pas protégé par SPF, DKIM et DMARC (chapitre 5). - Faux site. Une copie du site ou de l'extranet sur un domaine sosie, pour récolter des identifiants ou des numéros de carte.
- Détournement d'un compte de réseau social. Par hameçonnage du salarié qui le gère, ou parce que le mot de passe était partagé et jamais changé.
- Perte du nom de domaine. Un nom non renouvelé à temps peut être racheté par n'importe qui, qui récupère alors le site et les courriels destinés à l'organisation.
- Détournement de DNS. Un attaquant qui prend le contrôle du compte chez le bureau d'enregistrement (registrar) modifie les enregistrements et redirige le site et la messagerie.
- Défiguration du site et fausses informations (faux avis, faux communiqués) qui nuisent à l'e-réputation.
Protéger l'identité numérique
| Élément | Mesures |
|---|---|
| Noms de domaine | Renouvellement automatique, verrouillage contre le transfert, compte chez le bureau d'enregistrement protégé par MFA et rattaché à une adresse générique (pas à celle d'un salarié), dépôt des principales variantes, DNSSEC pour signer les réponses DNS, surveillance des nouveaux domaines ressemblants |
| Messagerie | SPF, DKIM et DMARC en p=reject sur tous les domaines, y compris ceux qui n'envoient jamais de courriels |
| Site web | HTTPS avec un certificat valide et renouvelé automatiquement, en-tête HSTS, mises à jour du CMS et des extensions, supervision de l'intégrité des pages |
| Réseaux sociaux | Comptes détenus par l'organisation (pas par un salarié), MFA, accès gérés via un gestionnaire de mots de passe partagé ou un outil de gestion des réseaux sociaux, retrait des accès au départ des salariés |
| E-réputation | Veille (alertes sur le nom de l'organisation et de ses dirigeants), procédure de réponse, charte d'usage des réseaux sociaux pour les salariés |
En cas de domaine frauduleux, l'organisation peut demander sa suspension à l'hébergeur ou au bureau d'enregistrement, et engager une procédure de récupération : Syreli, gérée par l'Afnic, pour les domaines en .fr, ou la procédure UDRP de l'OMPI pour les extensions génériques comme .com.
Le certificat TLS : prouver l'identité d'un site
Le cadenas du navigateur signifie que la connexion est chiffrée (HTTPS) et que le serveur a présenté un certificat valide pour ce nom de domaine, délivré par une autorité de certification reconnue. Le certificat lie une clé publique à un nom de domaine ; l'autorité l'a signé après avoir vérifié que le demandeur contrôle bien ce domaine.
| Type de certificat | Ce que l'autorité a vérifié |
|---|---|
| DV (Domain Validation) | Le contrôle du nom de domaine uniquement (c'est ce que délivre Let's Encrypt, gratuitement) |
| OV (Organization Validation) | Le domaine et l'existence de l'organisation |
| EV (Extended Validation) | Une vérification approfondie de l'organisation |
Attention à l'idée reçue : un cadenas ne prouve pas qu'un site est honnête. Un escroc obtient sans difficulté un certificat DV pour soleane-medical-fr.com. Le cadenas garantit seulement qu'on parle bien au serveur de ce domaine, et que personne ne lit les échanges en route.
Les durées de validité raccourcissent : le CA/Browser Forum, qui fixe les règles des autorités de certification, a décidé de les réduire par étapes, à 200 jours à partir de mars 2026, puis 100 jours en 2027 et 47 jours en 2029. Le renouvellement doit donc être automatisé (protocole ACME, utilisé par Let's Encrypt et Certbot), sinon un certificat expiré coupe le site du jour au lendemain. Le fonctionnement détaillé des certificats et de TLS est expliqué dans le cours Cybersécurité infrastructure.
La preuve électronique : ce que dit le droit
Le Code civil donne à l'écrit électronique la même force probante que l'écrit sur papier, à deux conditions : que la personne dont il émane puisse être identifiée, et qu'il soit établi et conservé dans des conditions qui garantissent son intégrité (article 1366). La signature électronique consiste en un procédé fiable d'identification qui garantit son lien avec l'acte auquel elle s'attache (article 1367).
Le règlement européen eIDAS (n° 910/2014, révisé en 2024) organise les services de confiance dans toute l'Union :
| Service | Rôle |
|---|---|
| Signature électronique simple, avancée ou qualifiée | Prouver qu'une personne a approuvé un document ; la signature qualifiée (certificat qualifié et dispositif sécurisé) a la même valeur qu'une signature manuscrite dans toute l'Union, et sa fiabilité est présumée en droit français |
| Cachet électronique | L'équivalent de la signature pour une personne morale : il garantit l'origine et l'intégrité d'un document émis par l'organisation (une facture, une attestation) |
| Horodatage électronique | Prouver qu'un document existait à une date et une heure données et n'a pas changé depuis |
| Envoi recommandé électronique | L'équivalent de la lettre recommandée avec accusé de réception |
| Certificat d'authentification de site web | Prouver l'identité de l'organisation qui exploite un site |
Le règlement révisé prévoit aussi un portefeuille européen d'identité numérique, que chaque État doit proposer à ses citoyens.
Le choix du niveau dépend de l'enjeu : une signature simple (case à cocher, signature tracée sur une tablette) suffit pour un bon de livraison ; un contrat de maintenance important justifie une signature avancée ; certains actes réglementés exigent une signature qualifiée.
Comment fonctionne une signature numérique
La signature électronique avancée ou qualifiée repose sur la cryptographie asymétrique : chaque signataire possède une clé privée, qu'il est seul à détenir, et une clé publique diffusée dans son certificat.
- Le logiciel calcule l'empreinte du document (avec SHA-256, par exemple).
- Il chiffre cette empreinte avec la clé privée du signataire : c'est la signature.
- Le destinataire recalcule l'empreinte du document reçu, déchiffre la signature avec la clé publique du signataire, et compare. Si les deux empreintes sont identiques, le document est intègre et vient bien du détenteur de la clé privée.
La signature apporte ainsi trois garanties : intégrité (le document n'a pas changé), authenticité (il vient du signataire) et non-répudiation (le signataire ne peut pas nier). Elle ne rend pas le document confidentiel : il reste lisible par tous.
L'empreinte, outil de preuve d'intégrité
Une empreinte (ou condensat, hash) est une suite de caractères calculée à partir d'un fichier. La moindre modification du fichier change complètement l'empreinte. Sous Windows :
Get-FileHash .\commande-0412.txt -Algorithm SHA256
Sous Linux : sha256sum commande-0412.txt. Deux fichiers qui ne diffèrent que d'un seul chiffre donnent des empreintes sans rapport. Tu peux le vérifier toi-même :
printf 'Commande 0412 : 40 lits\n' > commande-v1.txt
printf 'Commande 0412 : 48 lits\n' > commande-v2.txt
sha256sum commande-v1.txt commande-v2.txt
35e1e8c2a318416b0fdbb04168a354e4b7b69d0ff3d757eb97a63fed962fa3bf commande-v1.txt
35a17822536df02711775b02f91c5a05a91fc937fea7eb9c7c928dad39c33f6d commande-v2.txt
Les deux empreintes commencent par hasard par 35, puis n'ont plus rien en commun.
Si Soléane a noté l'empreinte d'un fichier au moment où elle l'a reçu, elle peut prouver plus tard qu'il n'a pas été modifié depuis.
Les journaux, première source de preuve
Pour savoir qui a fait quoi, il faut des journaux (logs) fiables. Ils n'ont de valeur que s'ils respectent quelques règles :
- Horodatage exact : toutes les machines synchronisent leur horloge sur un serveur de temps (protocole NTP), sinon il est impossible de reconstituer l'ordre des événements entre deux serveurs.
- Comptes nominatifs : un journal qui dit « admin a supprimé » ne prouve rien sur la personne.
- Centralisation sur un serveur dédié (syslog, puits de journaux, SIEM), hors de portée des machines surveillées : un attaquant qui prend le contrôle d'un serveur commence par effacer ses journaux locaux.
- Intégrité : stockage en ajout seul, droits limités, empreintes ou signature des fichiers archivés.
- Durée de conservation définie : assez longue pour enquêter (une intrusion est souvent découverte des semaines plus tard), mais limitée, car les journaux contiennent des données personnelles. Pour les journaux d'accès, la CNIL recommande une durée de conservation comprise entre six mois et un an.
Collecter et conserver une preuve numérique
Le référentiel demande d'organiser la collecte et la conservation des preuves numériques. Quand un incident peut mener à une plainte ou à une sanction, la façon de recueillir les éléments compte autant que leur contenu :
- Ne pas modifier l'original : on travaille sur une copie. Pour un disque, on fait une copie bit à bit (image disque) avec un outil qui bloque l'écriture.
- Calculer l'empreinte de l'original et de la copie, et vérifier qu'elles sont identiques.
- Documenter chaque manipulation : qui a fait quoi, quand, avec quel outil. Cette chaîne de conservation prouve que la preuve n'a pas été altérée entre sa collecte et sa présentation.
- Conserver les supports dans un lieu sécurisé, avec un accès tracé.
- Pour une affaire sérieuse, faire appel à un prestataire spécialisé ou laisser faire les enquêteurs, et faire constater par un commissaire de justice (anciennement huissier) un contenu en ligne avant qu'il disparaisse.
Le même raisonnement en SLAM et en SISR
En SLAM, l'application tient un journal d'audit des actions sensibles : connexion, échec de connexion, modification d'une commande, changement de droits, export de données. Chaque ligne contient qui (identifiant de l'utilisateur), quoi, quand (horodatage UTC), depuis où (adresse IP) et le résultat. Ce journal n'est jamais modifiable par l'application elle-même, et il ne contient ni mot de passe ni donnée inutile. Les documents émis (factures, bons de commande) peuvent recevoir un cachet électronique.
En SISR, le technicien gère les enregistrements DNS et le compte chez le bureau d'enregistrement, les certificats (renouvellement automatique, autorité de certification interne pour les services internes), la synchronisation NTP de toutes les machines et la centralisation des journaux, et il sait réaliser une collecte de preuves propre sur un poste compromis.
Pour aller plus loin. Le volet juridique (nom de domaine, usurpation, typosquatting) est dans le chapitre Identité numérique de l'organisation du cours Droit et RGPD ; le volet technique dans les chapitres Certificat électronique et PKI et Preuves numériques.
Exercices
Exercice 1 sur 4 Repérer les atteintes à l'identité numérique Réussi À revoir
Indique l'atteinte à l'identité numérique de Soléane et une mesure qui l'aurait évitée ou limitée.
- Des clients reçoivent des factures de « Soléane » envoyées depuis
factures@soleane-medical.fr, avec un RIB inconnu ; les serveurs de Soléane n'ont jamais envoyé ces messages. - Le nom de domaine
soleane-medical.com, utilisé pour la boutique en ligne, a expiré pendant les vacances de l'unique personne qui gérait le compte ; il a été racheté par un inconnu. - La page LinkedIn de Soléane publie de fausses offres d'emploi après le départ du stagiaire qui l'animait.
Voir la réponseMasquer la réponse de l'exercice 1
- Usurpation de l'adresse de messagerie : le domaine n'est pas protégé. Mesure : publier SPF, DKIM et une politique DMARC
p=reject. - Perte du nom de domaine : mesures : renouvellement automatique, plusieurs administrateurs du compte, adresse de contact générique, alertes d'expiration suivies.
- Détournement d'un compte de réseau social : les accès n'ont pas été retirés au départ du stagiaire (ou le mot de passe était partagé). Mesures : comptes détenus par l'organisation, accès nominatifs retirés dans la procédure de départ, MFA.
Tu avais trouvé ?
Exercice 2 sur 4 Signer ou chiffrer ? Réussi À revoir
Alice, acheteuse chez une clinique, envoie un bon de commande à Soléane. Pour chaque besoin, indique quelle clé est utilisée et par qui.
- Soléane veut être sûre que le bon vient d'Alice et n'a pas été modifié.
- Alice veut que seule Soléane puisse lire le contenu.
Voir la réponseMasquer la réponse de l'exercice 2
- Signature : Alice signe avec sa clé privée ; Soléane vérifie avec la clé publique d'Alice (contenue dans son certificat). Garanties : intégrité, authenticité, non-répudiation.
- Chiffrement : Alice chiffre avec la clé publique de Soléane ; seule Soléane peut déchiffrer avec sa clé privée. Garantie : confidentialité.
En pratique, on combine souvent les deux, et le contenu lui-même est chiffré avec une clé symétrique, elle-même chiffrée avec la clé publique du destinataire.
Tu avais trouvé ?
Exercice 3 sur 4 Vérifier une empreinte Réussi À revoir
Un fournisseur publie, sur son site en HTTPS, l'empreinte SHA-256 de son logiciel de mise à jour :
9f2c…41ab. Après téléchargement, la commande Get-FileHash donne 9f2c…41ac.
- Que conclus-tu ?
- Quel critère DICP cette vérification protège-t-elle ?
Voir la réponseMasquer la réponse de l'exercice 3
- Les empreintes diffèrent : le fichier téléchargé n'est pas celui publié par l'éditeur (téléchargement corrompu ou fichier modifié par un attaquant). Il ne faut pas l'installer ; on le supprime et on le télécharge à nouveau depuis la source officielle.
- L'intégrité du logiciel (et indirectement la sécurité de tout le SI, car un logiciel modifié peut contenir une porte dérobée).
Tu avais trouvé ?
Exercice 4 sur 4 Une preuve recevable Réussi À revoir
Un administrateur de Soléane soupçonne un salarié d'avoir copié le fichier clients sur une clé USB avant sa démission. Il veut constituer un dossier pour la direction.
- Quelles sources de preuve peut-il consulter ?
- Quelles précautions doit-il prendre pour que ces éléments gardent leur valeur ?
Voir la réponseMasquer la réponse de l'exercice 4
- Les journaux d'accès au serveur de fichiers (ouverture et copie du fichier par le compte du salarié), les journaux du poste (branchement d'un périphérique USB), l'outil de prévention des fuites de données s'il existe, les journaux de la messagerie (envoi vers une adresse personnelle).
- Exporter les journaux sans les modifier, calculer leur empreinte et la consigner ; documenter chaque manipulation (chaîne de conservation) ; limiter l'accès au dossier ; vérifier que les horloges étaient synchronisées ; respecter les règles sur la vie privée du salarié (les dispositifs de contrôle devaient être connus de lui, et ses fichiers identifiés comme personnels ne peuvent pas être ouverts hors de sa présence). En cas de suite judiciaire, faire appel à un expert ou aux enquêteurs.
Tu avais trouvé ?