Comment signer des PDFs sans Adobe Acrobat?

cubytus · Le 07/01/2010, à 22:30

Je sais bien Ce n'est pas pour rien que je l'ai abandonné depuis des années. Je pense bien sûr à une solution simple à implémenter, pour allergiques de la ligne de commande bien sûr (comme sont la plupart des employés de bureau accros aux formulaires). Un "pack" serait bienvenu.

cinaptix · Le 07/01/2010, à 22:45

J'ai jeté un coup d'œil ici (http://www.adobe.com/fr/designcenter/acrobat/articles/acr7digsign.html) sur la fonction signature d'Adobe.

On y trouve ça :

Sélectionnez ou obtenez une identification numérique créée par une société tierce. Vous pouvez également créer une identification numérique autosignée.
Une identification numérique contient des informations dans un certificat, informations qui peuvent être partagées avec des tiers et utilisées pour l'authentification de votre signature. Les identifications numériques tierces peuvent être authentifiées par d'autres sociétés et sont donc plus sûres que les identifications numériques autosignées.

Autant dire que "les identifications numériques autosignées", ça vaut peau de balle vu que n'importe qui peut les fabriquer. C'est même pas l'équivalent d'une clé PGP signée par un tiers de confiance.

Les "identifications numériques tierces" sont très certainement payantes.

Le seul intérêt du système c'est qu'il est bien intégré à l'outil Adobe.

Je n'ai pas bien compris ce que tu souhaite faire exactement. Envoyez des PDF signés (par toi) à des tiers, ou recevoir des PDF signés par des tiers ?

En dehors de GnuPG (y compris sous Windows), je ne vois rien. (http://openpgp.vie-privee.org/)

cubytus · Le 07/01/2010, à 22:57

Je veux en envoyer.

Sinon, je n'ai pas trop compris comment un bipède lambda peut avoir son "identification numérique signée par un tiers de confiance".

L'"identification autosignée" n'est peut-être pas si inutile que ça, puisque dans le cas d'une signature manuscrite, n'importe qui aussi peut en créer une sans en référer à une tierce personne "de confiance".

Excepté en passant chez Adobe, comment ce tiers de confiance peut garantir l'authenticité d'une identification numérique? Adobe Acrobat peut-il vérifier la signature d'un PDF

Entre parenthèses, c'est toujours cette hiérarchie apparemment sans fin dans l'échelle de la confiance et du contrôle qui me fait trouver l'implémentation de la cryptographie informatique bordélique et sujette à la perte de l'un ou l'autre de ces certificats à tout instant.

cinaptix · Le 07/01/2010, à 23:00

Maintenant s'il s'agit systématiquement de transactions par e-mail, il est possible d'authentifier les échanges avec un système intégré à tous les clients e-mail selon une autre norme (X509). Des certificats gratuits peuvent être obtenus ici : https://www.tbs-internet.com/php/HTML/commande.php?p=2&id=106

Mais on en est toujours au même point. Chaque "transactionnaire" doit demander et installer un certificat sur son PC (opération relativement simple) mais ce qui sera authentifié, c'est l'e-mail et pas directement le document joint.

cinaptix · Le 07/01/2010, à 23:15

L'"identification autosignée" n'est peut-être pas si inutile que ça, puisque dans le cas d'une signature manuscrite, n'importe qui aussi peut en créer une sans en référer à une tierce personne "de confiance".

Ça ne vaut pas grand chose, c'est pour ça qu'on a inventé les notaires et les actes notariés Une signature numérique est bien plus sûre.

comment ce tiers de confiance peut garantir l'authenticité d'une identification numérique?

Pour faire simple : Jean veux s'adresser à Pierre qu'il ne connaît pas. Mais Jean connaît Marcel qui connaît Pierre. Marcel signe la signature de Jean. Ainsi Pierre peut avoir confiance dans la signature de Jean car elle est authentifiée par Marcel qu'il connaît bien.
C'est simpliste, mais c'est le système. Pour simplifier le truc on peut directement faire appel à une sorte de notaire numérique agréé par les autorités.

Ce serait normalement à l'Etat de mettre en place un système fiable. Je crois qu'en Belgique, la carte d'identité (qui est obligatoire), embarque dans ces dernières versions, une puce contenant les clés numérique du titulaire.

En France l'état est plus préoccupé par la mise en œuvre de lois débiles comme HADOPI ou LOPSI. Alors qu'on parlait déjà de carte d'agent public (incluant des clés de chiffrement) pour tous les fonctionnaires en 2001, rien n'a avancé d'un pouce, parce qu'il faut mettre en place un annuaire de clés (une IGC - Infrastructure de Gestion de Clés) et qu'il en est incapable car il ne sait pas (à 10 000 près) combien il y a d'agent publics dans le pays. Pour les citoyens, les clés devaient être intégrées à la carte vitale (pourquoi pas ? puisque la carte d'identité nationale n'est pas obligatoire). NADA ! Ça n'avance pas d'un poil.

Beau pays qui prend tout les jours du retard.

cubytus · Le 07/01/2010, à 23:18

C'est pas idéal non plus. J'imagine qu'une fois signé, le formulaire pourrait très bien atterrir dans une archive sur disque, et le courriel original effacé depuis lurette. Même dans cette archive, je veux que la signature puisse être vérifiée sans avoir besoin que la partie distante stocke à la fois le PDF et la signature séparément (c'est un coup à les perdre)

Installer un certificat tout seul sur le PC distant n'est pas le vrai problème. Ce qui l'est, c'est d'installer de quoi vérifier les signatures, surtout lorsque l'application vient en plusieurs parties (L'exécutable, la GUI, le patch machin, l'intégrateur chose...). C'est un gros bonus si Adobe Acrobat sait le faire, car il est installé sur les machines Windows de la plupart des employés de bureau, et ils le connaissent déjà, et ne doivent pas faire de demande de dérogation à la politique (souvent arbitraire) de sécurité informatique de l'entreprise.

cubytus · Le 07/01/2010, à 23:33

cinaptix a écrit :

Ça ne vaut pas grand chose, c'est pour ça qu'on a inventé les notaires et les actes notariés Une signature numérique est bien plus sûre.

Vrai !!
Mais là, on tombe dans la même spirale de hiérarchie sans fin, de savoir qui est au-dessus de qui.

Dans la vie courante, la plus grande sécurité est demandée pour les transactions bancaires. Pourtant, là, dans l'immense majorité des cas, une simple signature manuscrite suffit, pour l'achat par carte de crédit d'une caisse de mandarines jusqu'à la signature du contrat d'achat d'une voiture.

Ce n'est bien sûr pas un système parfait, mais il est suffisant.

C'est simpliste, mais c'est le système. Pour simplifier le truc on peut directement faire appel à une sorte de notaire numérique agréé par les autorités.
Ce serait normalement à l'Etat de mettre en place un système fiable. Je crois qu'en Belgique, la carte d'identité (qui est obligatoire), embarque dans ces dernières versions, une puce contenant les clés numérique du titulaire.

Sans embarquer dans un débat politique, je n'ai pas confiance dans "les autorités" (à part pour leur pouvoir d'emmerder les honnêtes gens, comme tu le signales plus bas, ou d'imposer des systèmes que l'on sait floués (comme les cartes de débit et de crédit à puce) tout en faisant taire ceux qui signalent les failles.

À ce titre, je n'ai aucune confiance dans les systèmes basés sur des puces que le porteur ne peut vérifier lui-même, mais je m'écarte du sujet.

Par ailleurs, tout système basé sur une quelconque carte d'identité n'est que national, ou, au mieux, européen. Chez moi, il n'y a aucune forme d'identification nationale qui ne soit utilisée qu'à cette fin.

En France l'état est plus préoccupé par la mise en œuvre de lois débiles comme HADOPI ou LOPSI. Alors qu'on parlait déjà de carte d'agent public (incluant des clés de chiffrement) pour tous les fonctionnaires en 2001, rien n'a avancé d'un pouce, parce qu'il faut mettre en place un annuaire de clés (une IGC - Infrastructure de Gestion de Clés) et qu'il en est incapable car il ne sait pas (à 10 000 près) combien il y a d'agent publics dans le pays. Pour les citoyens, les clés devaient être intégrées à la carte vitale (pourquoi pas ? puisque la carte d'identité nationale n'est pas obligatoire). NADA ! Ça n'avance pas d'un poil.
Beau pays qui prend tout les jours du retard.

J'étais sûr que les Français allaient encore trouver un acronyme (à la con, ça va de soi) pour désigner le système de gestion des clés.

La carte d'identité, les "papiers", comme les appellent affectueusement ces messieurs en uniformes bleus, que sont-ils, si la carte d'identité n'est plus obligatoire en France?

Ça ne répond pas à la question comment faire certifier ses certificats, dans un contexte international où les cartes à puce ne sont pas nécessairement répandues, et où il n'y a pas d'identification internationalement reconnue, excepté le passeport.

Sans monter si haut dans la sécurité, je crois que l'équivalent d'une signature manuscrite et créée peut faire l'affaire dans la plupart des situations.

cinaptix · Le 08/01/2010, à 12:30

Sans embarquer dans un débat politique, je n'ai pas confiance dans "les autorités" (à part pour leur pouvoir d'emmerder les honnêtes gens, comme tu le signales plus bas, ou d'imposer des systèmes que l'on sait floués (comme les cartes de débit et de crédit à puce) tout en faisant taire ceux qui signalent les failles.
À ce titre, je n'ai aucune confiance dans les systèmes basés sur des puces que le porteur ne peut vérifier lui-même, mais je m'écarte du sujet.
Par ailleurs, tout système basé sur une quelconque carte d'identité n'est que national, ou, au mieux, européen. Chez moi, il n'y a aucune forme d'identification nationale qui ne soit utilisée qu'à cette fin.

PGP (ou GPG pour sa version opensource) est le seul système qui s'affranchit de ce que tu crains. Algorithmes connus, code source ouvert, clés générées par l'utilisateur, confiance obtenue par parrainages, serveurs de clés synchronisés à l'échelle planétaire. Le problème est que le monde du logiciel propriétaire n'adhère pas vraiment à cette philosophie et que l'implémentation de ces outils de sécurité est inexistante dans leurs logiciels.

Le système d'Adobe est séduisant dans sa forme mais c'est propriétaire avec tout ce que ça implique. Je pense qu'au final, c'est pire qu'un système national (ou Européen) contrôlé et conçu honnêtement (on peut rêver )

Personnellement ma préférence va à un système alternatif libre (GPG) même si c'est moins user friendly.

Dernière modification par cinaptix (Le 08/01/2010, à 12:32)

cinaptix · Le 08/01/2010, à 12:37

Ça ne répond pas à la question comment faire certifier ses certificats, dans un contexte international où les cartes à puce ne sont pas nécessairement répandues, et où il n'y a pas d'identification internationalement reconnue, excepté le passeport.

Voir ici > http://www.tbs-x509.com/client-cert.html

On se rend bien compte que les dispositifs "agréés" c'est couteux et tout de même compliqué. Les systèmes alternatifs, peut-être moins simples à mettre en place sous Windows (au niveau des logiciels, car sous GNU/Linux c'est déjà dedans) sont plus simples dans leur utilisation.
1 - Je crée ma clé,
2 - Je la fait signer par quelques tiers de confiance,
3 - Je la publie.
Je peux aussi la publier et la faire signer après.

Enfin, si on veut n'avoir qu'un seul fichier à déplacer, contenant document+signature, il faut le chiffrer et le signer simultanément. On obtient ainsi, confidentialité, authenticité et intégrité. Il ne manque plus pour en faire un vrai document notarié que l'irrépudiabilité et l'auditabilité.

Encore un point en faveur de GPG, la signature peut s'appliquer à n'importe quel type de fichier, alors que la fonction que propose adobe ne concerne que les PDF's.

Dernière modification par cinaptix (Le 08/01/2010, à 15:44)

tbstag · Le 08/01/2010, à 15:58

Bonjour,

Puisque vous parlez de notre site, je me permets de donner la réponse à la question d'origine: comment signer des PDF sans l'outil Adobe?

Nous avons écrit des utilitaires en java qui permettent de signer des PDF. Ca marche très bien, et nous les utilisons en production sous linux. C'est du GPL v2.

http://www.tbs-certificats.com//fom-serve/cache/313.html

cinaptix · Le 08/01/2010, à 16:25

@ tbstag

Merci pour l'info. Je viens de tester et ça marche bien.

@ cubytus

Ton problème m'a l'air résolu de manière assez simple.

cubytus · Le 08/01/2010, à 20:01

Le coté "user friendly" est essentiel si in veut queles gens utilisent le système, y compris pour la seule vérification; TrueCrypt a réussi ça sur Mac et Win grâce à sa GUI. À défaut, qu'il s'intégre dans un logiciel connu du public visé, Acrobat, dans le cas d'un employé de bureau.

Si Adobe adopte un standard, meme si le logiciel est propriétaire, c'est un moindre mal. J'ai toujours pensé que les batailles de logiciels devaient se mener autour de formats communs, sinon ça n'a pas d'interêt.

Du coté de mon implementation, je ne veux rien qui soit plus conpliqué qu'une signature manuscrite. Hors de question, donc, de crypter le document. Cette précaution serait d'ailleurs inutile. Par ailleurs, j'ai horreur du Java,c'est lent, gourmand, typiquement jamais à jour sur les machines, quand il est installé. N'y a-t-il rien de natif ?

Également, la signature auto certifiée est-elle utilisable? Même avec toutes ces infos, je trouve le processus de certification par des tiers toujours aussi lourd et cahotique.

Poleta33 · Le 24/06/2013, à 22:22

toujours pas de GUI pour faire cette simple action ?

cinaptix · Le 25/06/2013, à 11:57

Bonjour,

À ma connaissance, rien de nouveau. Peut-être que l'affaire PRISM réveillera-t-elle quelques vieilles peurs. De toute façon, je ne vois pas à l'heure actuelle quelque chose remplacer les mécanismes de chiffrement à cryptosystèmes hybrides. Et ces systèmes exigent de comprendre comment ils fonctionnent et quelles sont les contraintes.

Poleta33 · Le 25/06/2013, à 12:51

@cinaptix : je ne veux pas crypter mon document, je veux juste ajouter une signature numerique qui prouve que le document pdf n'a pas ete modifie (ca me parait un enorme manque)...

cinaptix · Le 25/06/2013, à 14:05

Je comprend bien, mais chiffrement et signature utilisent les mêmes mécanismes. C'est pour cela que je dis qu'il faut bien comprendre comment ça marche.

Ça repose sur l'utilisation d'un couple de clés dont l'une est secrète et l'autre publique. La vérification de l'authenticité d'un document doit pouvoir se faire par tout le monde à partir d'une donnée publique, mais la signature ne doit être générée qu'avec une donnée que seul le signataire connaît et qui doit rester secrète (sinon tout le monde peut signer à sa place).

OpenPGP est le standard le plus universel que je connaisse. Multiplateforme, open-source, applicable à tout type de fichier, gratuit et simple à implémenter (présent par défaut dans GNU/Linux).

Ce qui est proposé ici : http://www.tbs-certificats.com/FAQ/fr/313.html est propre à la signature de PDF et fonctionne sur le même principe (certificats) en moins universel et en moins sûr (Microsoft avait falsifié des certificats pour le régime de Ben Ali > http://www.rue89.com/2011/03/18/tunisie … ali-195693 ce qui prouve que le tiers de confiance peut parfaitement être pourri jusqu'à l'os).

Le reste c'est de l'utopie.

Dernière modification par cinaptix (Le 25/06/2013, à 15:32)

Poleta33 · Le 26/06/2013, à 12:56

c'est quand meme con : on a les paquets java pour le faire (quoique je n'ai pas encore reussi a les faire marcher) mais il n'y a rien de user-friendly...

Poleta33 · Le 26/06/2013, à 13:17

alors pour info je crois que j'ai trouve une solution avec :
jsignpdf (en tout cas le jar 1.4.4 marche sur windows, je vais voir ce soir sur ubuntu...)
cacerts comme authorite de certification (je n'ai aucune idee de ce qu'elle vaut)

cinaptix · Le 26/06/2013, à 13:49

On est toujours dans la même problématique et la valeur de la signature est directement dépendante du degré de confiance qu'on peut accorder à la partie "publique" du certificat. Il existe des plugins pour OpenOffice mais on peut déjà signer un ODT dans OpenOffice si on dispose d'un certificat et si le destinataire dispose de la clé publique.

https://fr.wikipedia.org/wiki/Signature_num%C3%A9rique
https://fr.wikipedia.org/wiki/Certifica … ectronique

Le logiciel qui utilise des certificats pour authentification de signature (x509) va chercher ses informations dans l'espace de stockage des certificats du navigateur internet (les certificats étant distribués le plus souvent en ligne).

Voici ce qui est dit dans l'aide de LibreOffice sur la signature (valable pour tout système de signature) :

Avertissements de sécurité
Même lorsque vous recevez un document signé et que la validité de la signature est confirmée, vous ne pouvez pas être certain que le document reçu correspond au document envoyé. La signature de documents à l'aide de certificats ne constitue pas un procédé totalement sécurisé. Il existe de nombreuses failles exploitables.
Exemple : un expéditeur peut se faire passer pour un employé de votre banque. Il peut en effet se procurer un certificat sous un faux nom, puis vous envoyer un message électronique signé en prétendant travailler pour votre banque. Vous recevez ce message, dont le contenu ou la pièce jointe est associé à l'icône de "signature valide".
Ne vous fiez pas à cette icône. Inspectez et vérifiez les certificats.

Dernière modification par cinaptix (Le 26/06/2013, à 14:07)

Poleta33 · Le 26/06/2013, à 17:37

merci cinaptix pour tes remarques ! (j'utilise un certificat P12 ou quelque chose comme ca...)

tu penses quoi de CACERT ?... en tant que "militant" open source, quel est le site de certification le plus adapté ?...

cinaptix · Le 27/06/2013, à 14:14

Bonjour,

Moi je me fournissais ici > https://www.tbs-internet.com/php/HTML/c … p=2&id=106

Gratuit, et à mon avis, suffisant pour assurer une authentification pour des choses non "sensibles". Sinon il faut du certificat payant !

Pour la petite histoire, cette boîte a absorbé Thawte. Thawte avait été fondée par Mark Shuttleworth :
Wikipédia : https://fr.wikipedia.org/wiki/Thawte
https://fr.wikipedia.org/wiki/Mark_Shuttleworth

En 1995, il fonde Thawte, société spécialisée dans la sécurité internet. Il vend cette dernière en 1999 à VeriSign.

Ma préférence va à un système open-source car les clés sont créées sur ma machine et la clé privée y reste (elle peut aussi être stockée sur une carte à puce ou une clé USB). Pour la signature je peux choisir moi-même mon tiers de confiance.

Pour le reste c'est pareil, et il faut toujours installer sur la machine réceptrice un soft pour vérifier la signature.

Dernière modification par cinaptix (Le 27/06/2013, à 14:24)

Poleta33 · Le 02/07/2013, à 08:46

alors j'ai teste sur ubuntu et ca marche...

par contre, j'ai vu qu'il y avait depuis l'explorateur de fichiers dans le clic droit, une option pour chiffrer, ca c'est OK, et une pour signer et la je n'ai pas compris... si je clique sur signer ca me genere un tout petit fichier qui n'est pas du tout mon fichier avec une signature numerique... c'est quoi ce fichier et c'est utilisable comment ?...

cinaptix · Le 02/07/2013, à 10:30

Bonjour,

De quel standard parles-tu ? (GPG ou autre)

La signature d'un document peut-être détachée (il s'agit du haché du document signé avec la clé privée du signataire). Elle doit voyager avec le document.

Une signature peut également être incorporée au document lui-même, chiffré ou non.

Pour GPG voir dans un terminal (man gpg) les très nombreuses options.

Poleta33 · Le 02/07/2013, à 13:09

cinaptix a écrit :

De quel standard parles-tu ? (GPG ou autre)

ben je ne sais pas, je parle du menu contextuel de la souris qui propose "Signer"... est ce qu'il est possible de modifier le comportement de ce menu contextuel pour qu'il rajoute la signature a mon document plutot que de generer des hash ?

(en tout cas un grand merci pour tout cinaptix )

cinaptix · Le 02/07/2013, à 13:16

L'outil incorporé a Ubuntu est seahorse, c-à-d une interface graphique prenant en charge une partie de GPG (l'essentiel mais pas tout). Ça permet, entre autres fonctions, de chiffrer et signer en local et bien sûr déchiffrer et vérifier une signature.

Il me semble qu'on peut choisir une signature attachée ou détachée du document.

Sous Xubuntu j'utilise GPA, une autre interface graphique, mais c'est en ligne de commande qu'on a le plus de souplesse.

http://doc.ubuntu-fr.org/gnupg?s[]=seahorse

http://doc.ubuntu-fr.org/seahorse?s[]=seahorse

Dernière modification par cinaptix (Le 02/07/2013, à 13:39)

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#26 Le 07/01/2010, à 22:30

Re : Comment signer des PDFs sans Adobe Acrobat?

#27 Le 07/01/2010, à 22:45

Re : Comment signer des PDFs sans Adobe Acrobat?

#28 Le 07/01/2010, à 22:57

Re : Comment signer des PDFs sans Adobe Acrobat?

#29 Le 07/01/2010, à 23:00

Re : Comment signer des PDFs sans Adobe Acrobat?

#30 Le 07/01/2010, à 23:15

Re : Comment signer des PDFs sans Adobe Acrobat?

#31 Le 07/01/2010, à 23:18

Re : Comment signer des PDFs sans Adobe Acrobat?

#32 Le 07/01/2010, à 23:33

Re : Comment signer des PDFs sans Adobe Acrobat?

#33 Le 08/01/2010, à 12:30

Re : Comment signer des PDFs sans Adobe Acrobat?

#34 Le 08/01/2010, à 12:37

Re : Comment signer des PDFs sans Adobe Acrobat?

#35 Le 08/01/2010, à 15:58

Re : Comment signer des PDFs sans Adobe Acrobat?

#36 Le 08/01/2010, à 16:25

Re : Comment signer des PDFs sans Adobe Acrobat?

#37 Le 08/01/2010, à 20:01

Re : Comment signer des PDFs sans Adobe Acrobat?

#38 Le 24/06/2013, à 22:22

Re : Comment signer des PDFs sans Adobe Acrobat?

#39 Le 25/06/2013, à 11:57

Re : Comment signer des PDFs sans Adobe Acrobat?

#40 Le 25/06/2013, à 12:51

Re : Comment signer des PDFs sans Adobe Acrobat?

#41 Le 25/06/2013, à 14:05

Re : Comment signer des PDFs sans Adobe Acrobat?

#42 Le 26/06/2013, à 12:56

Re : Comment signer des PDFs sans Adobe Acrobat?

#43 Le 26/06/2013, à 13:17

Re : Comment signer des PDFs sans Adobe Acrobat?

#44 Le 26/06/2013, à 13:49

Re : Comment signer des PDFs sans Adobe Acrobat?

#45 Le 26/06/2013, à 17:37

Re : Comment signer des PDFs sans Adobe Acrobat?

#46 Le 27/06/2013, à 14:14

Re : Comment signer des PDFs sans Adobe Acrobat?

#47 Le 02/07/2013, à 08:46

Re : Comment signer des PDFs sans Adobe Acrobat?

#48 Le 02/07/2013, à 10:30

Re : Comment signer des PDFs sans Adobe Acrobat?

#49 Le 02/07/2013, à 13:09

Re : Comment signer des PDFs sans Adobe Acrobat?

#50 Le 02/07/2013, à 13:16

Re : Comment signer des PDFs sans Adobe Acrobat?

Pied de page des forums