Un certificat numérique stocké sur un jeton USB constitue la forme de signature PDF la plus puissante disponible pour les particuliers et les organisations. Contrairement à une image de signature dessinée avec un doigt ou collée à partir d'un fichier numérisé, une signature basée sur un certificat provenant d'un jeton USB lie cryptographiquement votre identité vérifiée au document et rend toute falsification post-signature immédiatement détectable. Le jeton USB, également appelé module de sécurité matériel ou carte à puce sous forme USB, contient la clé privée dans un matériel inviolable qui n'expose jamais la clé au système d'exploitation de l'ordinateur. La configuration et l'utilisation d'un jeton USB pour Signer des documents PDF nécessitent une configuration initiale, mais une fois configuré, le processus de signature devient aussi routinier que l'insertion du jeton et la saisie d'un code PIN.
Ce qu'apporte réellement une signature de certificat de jeton USB
Une signature provenant d'un jeton USB combine trois propriétés de sécurité distinctes en une seule opération. Premièrement, il permet une vérification d'identité, car le certificat sur le jeton a été émis par une autorité de certification qui a confirmé votre identité avant de délivrer le certificat. Deuxièmement, il assure l'intégrité du document car la signature inclut un hachage cryptographique du contenu du document au moment de la signature, et toute modification apportée au document après la signature invalide la signature. Troisièmement, il assure la non-répudiation car la clé privée qui a créé la signature n'a jamais quitté le jeton USB physique que vous contrôlez.
Ensemble, ces trois propriétés font des signatures par jeton USB la norme pour les documents électroniques juridiquement contraignants dans les juridictions qui reconnaissent les signatures électroniques avancées. De nombreux systèmes de marchés publics, plates-formes de dépôt électronique auprès des tribunaux et portails industriels réglementés exigent spécifiquement des signatures basées sur des certificats à partir de jetons matériels, car le stockage matériel des clés répond aux exigences de sécurité que les certificats logiciels stockés sur le disque dur d'un ordinateur ne peuvent pas satisfaire. Une Signature numérique provenant d'un jeton USB a valeur probante dans les procédures judiciaires, notamment parce que le jeton matériel fournit des preuves solides que seule la personne en possession du jeton aurait pu apposer la signature.
Essayez de signer un PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.
Obtention d'un certificat et configuration du jeton USB
La première étape consiste à obtenir un certificat numérique auprès d'une autorité de certification de confiance et à le charger sur un jeton USB. Les autorités de certification telles que GlobalSign, DigiCert, Sectigo et les fournisseurs nationaux d'eID délivrent des certificats spécifiquement pour la signature de documents. Le processus de demande implique une vérification de l'identité, qui peut aller de la soumission en ligne de documents d'identité émis par le gouvernement à la comparution en personne auprès d'une autorité d'enregistrement en fonction de la classe de certificat et de la juridiction. Après vérification de l'identité, l'autorité de certification fournit le fichier de certificat et les instructions pour le charger sur votre clé USB.
Le jeton USB lui-même doit être un périphérique conçu pour le stockage de clés cryptographiques. Les jetons YubiKey, SafeNet eToken et Gemalto sont des modèles largement utilisés qui prennent en charge les certificats de signature PDF. Installez le logiciel pilote de jeton fourni par le fabricant sur votre ordinateur. Lorsque vous insérez le jeton, le pilote met le certificat à la disposition du magasin de certificats du système d'exploitation, où les applications de signature PDF recherchent les certificats de signature disponibles. Protégez le token avec un code PIN fort dont vous vous souvenez mais que les autres ne peuvent pas deviner. Après un nombre configurable de tentatives de code PIN incorrectes, généralement cinq à dix, le jeton se verrouille pour empêcher les attaques par force brute.
Signer un PDF à l'aide du jeton USB
Insérez le jeton USB dans un port USB de votre ordinateur. Ouvrez le PDF dont vous avez besoin pour vous connecter dans une application PDF prenant en charge les signatures numériques basées sur des certificats, telle qu'Adobe Acrobat Pro, une plate-forme PDF basée sur un navigateur ou un outil de signature fourni par le gouvernement. Accédez à l'outil Sign PDF et choisissez l'option de signature numérique, sans ajouter d'image de signature électronique. L'application recherche dans le magasin de certificats système et affiche les certificats de signature disponibles. Sélectionnez le certificat de votre clé USB.
L'application vous propose de dessiner ou de positionner un rectangle de signature sur la page où doit apparaître le bloc de signature visible. Après positionnement, une boîte de dialogue demande le code PIN du jeton pour autoriser l'opération de signature. Entrez le code PIN et le jeton effectue la signature cryptographique en interne, combinant le certificat avec un hachage du contenu du document. Le PDF signé contient désormais un bloc de signature intégré avec votre nom, la date et l'heure de signature, le nom de l'émetteur du certificat et une signature cryptographique que n'importe quel lecteur PDF peut valider. La clé privée n'a jamais quitté le token USB pendant tout ce processus.
Configuration de l'apparence et des informations de la signature
L'apparence visible du bloc de signature sur la page PDF est personnalisable. La plupart des applications de signature vous permettent de choisir les informations qui apparaissent dans le bloc de signature : votre nom uniquement, votre nom et la date de signature, ou votre nom et un graphique personnalisé tel qu'un logo d'entreprise ou l'image de votre signature manuscrite. Configurez l'apparence pour inclure les informations dont les destinataires ont besoin pour vérifier la signature. Un bloc de signature affichant uniquement un nom fournit moins de contexte qu'un bloc affichant le nom, l'émetteur du certificat et l'horodatage de signature.
Configurez la signature pour verrouiller le document après la signature. Cette option, généralement une case à cocher dans la boîte de dialogue de signature, empêche toute modification ultérieure du contenu du document, des champs de formulaire ou des annotations. Un document verrouillé qui arrive à un destinataire avec une signature valide fournit une forte assurance que le contenu n'a pas été modifié depuis que vous l'avez signé. Si le document nécessite les signatures de plusieurs parties, configurez le champ de signature pour autoriser des signatures supplémentaires plutôt que de verrouiller le document après la vôtre. WukongPDF prend en charge l'application Signature numérique, y compris la signature basée sur un certificat, avec une apparence de signature configurable et des options de verrouillage de document.
Validation d'une signature de jeton USB en tant que destinataire
Lorsque vous recevez un PDF signé avec un certificat de jeton USB, la visionneuse PDF valide automatiquement la signature à l'ouverture du document. Une signature valide affiche une coche verte, le nom du signataire et un message indiquant que le document n'a pas été modifié depuis la signature. Cliquer sur la signature ouvre un panneau de validation détaillé affichant la chaîne de certificat depuis le certificat du signataire jusqu'à l'autorité de certification racine, l'heure de signature et l'algorithme de signature utilisé.
Si la signature apparaît comme invalide ou non vérifiée, vérifiez le panneau de validation pour la raison spécifique. Un certificat expiré génère un avertissement même si le contenu reste inchangé. Un certificat qui a été révoqué par l'autorité émettrice avant la date de signature indique un problème grave qui doit faire l'objet d'une enquête. Une signature qui apparaît comme inconnue signifie que le lecteur PDF ne fait pas confiance à l'autorité de certification qui a émis le certificat de signataire, ce qui est courant avec les certificats des systèmes eID nationaux qui ne sont pas pré-approuvés dans les magasins de certificats d'Adobe ou du navigateur.
Gestion de plusieurs jetons et certificats
Si vous signez des documents pour plusieurs rôles ou organisations, vous pouvez disposer de plusieurs jetons USB, chacun avec un certificat différent. Étiquetez physiquement chaque jeton avec l'organisation ou le rôle associé afin d'insérer le bon pour chaque session de signature. Dans l'application de signature PDF, la boîte de dialogue de sélection de certificat affiche tous les certificats disponibles. Vérifiez que vous sélectionnez le bon certificat en vérifiant le nom de l'émetteur et l'objectif du certificat avant de saisir le code PIN.
Conservez un enregistrement de la date d’expiration de chaque certificat de jeton. Les certificats de signature de documents expirent généralement un à trois ans après leur émission. Une signature appliquée avec un certificat expiré peut toujours être cryptographiquement valide, mais les destinataires verront un avertissement et certains systèmes de validation de documents rejettent carrément les signatures de certificats expirés. Renouvelez le certificat via l'autorité de certification émettrice avant la date d'expiration et chargez le certificat renouvelé sur le même jeton USB pour maintenir la continuité de la signature.
Dépannage des problèmes de reconnaissance des jetons USB
Le problème le plus courant lors de l’utilisation d’un jeton USB pour la signature de PDF est que l’ordinateur ne reconnaît pas le jeton lorsqu’il est inséré. Le pilote de jeton n'a peut-être pas démarré, le port USB n'a peut-être pas fourni suffisamment d'énergie ou le magasin de certificats du système d'exploitation n'a peut-être pas été actualisé pour inclure le certificat de jeton. Retirez le jeton, attendez quelques secondes et réinsérez-le fermement. Ouvrez l'application de gestion des jetons fournie avec l'appareil et confirmez que l'état du jeton indique connecté et que le certificat est répertorié.
Sous Windows, le gestionnaire de certificats peut être ouvert en exécutant certmgr.msc à partir de la boîte de dialogue Exécuter. Sous Personnel, Certificats, le certificat du jeton doit apparaître lorsque le jeton est inséré et disparaître lorsqu'il est supprimé. Si le certificat n'apparaît pas, le pilote de jeton ou le middleware devra peut-être être réinstallé. Téléchargez le dernier pilote sur le site Web du fabricant de jetons, car les pilotes obsolètes sont la cause la plus courante d'échec de reconnaissance.
Conservez une sauvegarde de la clé publique du certificat, ce qui ne compromet pas la sécurité car la clé privée reste sur le token. La sauvegarde de clé publique vous permet de vérifier les signatures du certificat même si le jeton est perdu et fournit les détails du certificat nécessaires au renouvellement. L'autorité de certification qui a émis le certificat peut fournir le fichier de clé publique si vous ne l'avez pas enregistré lors de la configuration initiale.
Lorsque vous voyagez avec un jeton de signature USB, conservez-le sur vous plutôt que dans un sac pour ordinateur portable qui pourrait être enregistré ou laissé sans surveillance. Le jeton physique est la racine de confiance pour votre signature numérique. Si le jeton est perdu ou volé, révoquez immédiatement le certificat via l'autorité de certification émettrice. La plupart des autorités de certification proposent un portail de révocation en ligne ou un numéro de téléphone pour la révocation d'urgence.
Essayez de signer un PDF
Aucune installation nécessaire. Fonctionne directement dans votre navigateur.