Ubuntu-fr

Merenguey

Horodatage des e-mails

Bonsoir à tous,

Pour un projet mi-perso mi-pro, je cherche à savoir s'il était possible de certifier un horodatage lors de l'envoi d'un e-mail en dehors des groupes de certifications officiels (ou Prestataire de Services d'Horodatage Électronique (PSHE) qui satisfont aux exigences l'Agence Nationale pour la Sécurité des Systèmes d'Information (ANSSI).

En effet, actuellement en entreprise, l'e-mail a la même valeur juridique qu'un courrier. Cependant, pour l'envoi d'un e-mail à la même valeur juridique qu'une Lettre Recommandée, il faut utiliser un module d'horodatage. En somme :

• pour une Lettre Recommandée, Laposte fait office d'intermédiaire certifié. Son cachet fait foi.

• pour un e-mail, d'autres entreprises (certigreffe, universign, certinomis, easystamp, etc. (je ne les cite pas pour faire de la pub) c'est le module de certification qui fait foi.

Ces solutions sont payantes et ne me satisfont pas en raison des intermédiaires. À l'exemple d'un chiffrement asymétrique entre deux destinaires, je souhaiterais savoir si une solution sans intermédiaire permettait de certifier un horodatage.

Merci à tous

Merenguey

Dernière modification par Merenguey (Le 17/09/2013, à 07:46)

ssdg

Re : Horodatage des e-mails

Je ne suis pas au fait des techniques les plus poussées (par exemple, je n'ai aucune idée de comment marche un échange diffie-hellman), mais ça me parait gros de faire en sorte de certifier une heure d'envoi sans tiers de confiance.

Toujours sans être un expert (ni même reconnu comme compétent), j'imagine que si le destinataire est à même de signer numériquement le mail reçu et qu'il te dépose le tout, ça doit avoir une certaine valeur aux yeux de la loi. (comme un accusé de réception)

Par contre, je n'ai jamais bien compris comment des médias tels que la poste (qui perd des lettres et que sans AR, tu peux toujours te gratter pour être certain que ton recommandé est reçu) ou le mail toujours sans AR (qui peut aussi perdre des mails avant la lecture via les antispams) pouvaient être aussi valables coté légal.

---

s'il n'y a pas de solution, c'est qu'il n'y a pas de problème... ou pas.

Merenguey

Re : Horodatage des e-mails

Bonjour,

Oui je me demande aussi comment effectuer l'opération entre deux acteurs sans tiers de confiance. Cela revient en somme à prendre un témoin (mariage, duel, etc.). Cependant, ce qui me guide est qu'à supprimer les intermédiaires, on est généralement plus en confiance. Cela revient (un peu loin certes) à la discussion sur la neutralité du réseau : comment être sûr que le contenu qui apparaîsse à l'écran soit intègre ? Ainsi, en tant qu'acteur, je suis obligé de faire confiance à l'ANSSI puis à un Prestataire de Service d'Horodatage Électronique. C'est pourquoi j'aurais aimé développer une solution qui permette d'arriver au même résultat (signature + chiffrement des données + horodatage) sans intermédiaires.

Sans bercer dans la paranoïa, il y a des cas de figure très concret où l'horodatage est important alors même qu'il ne renvoie pas à des opérations économiques (même si c'est bien en vue de cette raison que je poste ce message). Je pense par exemple à la discussion sur ce forum (en anglais) : http://ask.metafilter.com/48839/HT-veri … f-an-email

En gros, c'est l'histoire d'un professeur qui a demandé à ses étudiants de rendre un travail en temps et en heures. L'un de ses étudiants a envoyé le mail 5 jours après. Toutefois, en étudiant plus précisément les informations d'envoi, le professeur a remarqué que l'e-mail de l'étudiant avait été considéré comme en train d'être envoyé (i.e. au moment où il clique sur "envoyer") un vendredi à 20h53 mais que l'e-mail était passé par le serveur le mardi suivant à 20h57.

Bref c'est un sujet passionnant et assez perché, mais ça correspond bien à ce que je vois : comment effectuer une transaction entre deux acteurs peut-on s'assurer que l'horodatage se fasse en confiance ? Sur ce même forum, plusieurs personnes évoquent diverses solutions assez intéressantes. Je me demandais simplement si un simple mail de réponse automatique pouvait faire foi ? En mentionnant : "Le serveur du destinaire a reçu l'e-mail à xx/xx/xxxx à xx:xx".

M.

tiramiseb

Re : Horodatage des e-mails

Cela revient en somme à prendre un témoin (mariage, duel, etc.). Cependant, ce qui me guide est qu'à supprimer les intermédiaires, on est généralement plus en confiance.

La base du problème est que personne n'a aucune assurance que l'horloge de quelqu'un d'autre est à l'heure.
Un tiers de confiance validé par un organisme d'état, c'est a minima un tiers dont l'horloge est obligatoirement bien réglée.

Je reprends ton exemple :

c'est l'histoire d'un professeur qui a demandé à ses étudiants de rendre un travail en temps et en heures. L'un de ses étudiants a envoyé le mail 5 jours après. Toutefois, en étudiant plus précisément les informations d'envoi, le professeur a remarqué que l'e-mail de l'étudiant avait été considéré comme en train d'être envoyé (i.e. au moment où il clique sur "envoyer") un vendredi à 20h53 mais que l'e-mail était passé par le serveur le mardi suivant à 20h57.

Qui dit que le mail a été "considéré comme en train d'être envoyé" le vendredi ?
Combien on parie qu'en fait l'étudiant a bel et bien envoyé son e-mail le mardi mais qu'il a réglé le calendrier de son PC sur le vendredi pour que la date d'envoi affichée soit le vendredi ?

Surtout que si on se focalise sur l'heure, on voit un "20h53" et un "20h57", ce qui pourrait montrer simplement un décalage de 4 minutes entre l'horloge du PC et l'horloge du serveur : tu ne trouves pas ça un peu étrange que l'e-mail soit envoyé quasiment pile poil 4 jours après (à 4 minutes près) ? S'il y avait eu un dysfonctionnement technique quelque part, l'heure de passage dans le serveur n'aurait-elle pas été plus éloignée de l'heure d'envoi ? Drôle de coïncidence, non ?

En mentionnant : "Le serveur du destinaire a reçu l'e-mail à xx/xx/xxxx à xx:xx".

Et si le destinataire a intérêt (financier par exemple) que l'e-mail soit reçu plus tard, qui dit qu'il n'a pas simplement changé l'heure ou la date de son serveur de messagerie ?

-----

Sans tiers de confiance qui assure qu'il est bien à l'heure, aucune possibilité d'avoir un horodatage fiable.

Dernière modification par tiramiseb (Le 17/09/2013, à 10:06)

---

Sébastien Maccagnoni - https://www.maccagnoni.eu - https://www.domotego.com

Merenguey

Re : Horodatage des e-mails

Je suis d'accord avec ce que tu dis, d'ailleurs ce n'est pas ce que je contestais Je cherche à savoir s'il était possible de mettre en place des mécanismes pour éviter d'avoir à recourir à un tiers. Après, cela n'exclut pas le recours à un module-tiers (d'où l'idée du mail automatique).

D'après l'exemple soulevé par le professeur et son étudiant, on voit que tantôt l'étudiant a essayé de gruger la date de son envoi, tantôt l'information contenue dans l'en-tête montre que le fonctionnement du serveur est à l'heure (ce qui explique la différence de 4 jours). Mon propos est juste de chercher une réponse (même théorique) à ce problème. En prenant le parallèle du chiffrement asymétrique entre deux acteurs, on voit que les deux parties se mettent d'accord sur un chiffrement. De la même façon, serait-il possible de s'accorder sur un horodatage ?

A envoi à B un e-mail à 17h20 le 01/01/2010
A reçoit une réponse automatique de B à 17h23 le 01/01/2010

En cas de contestation, dans quelle mesure A ne peut-il pas affirmer qu'avec trois minutes de décalage il a la preuve que son courrier a bien été reçu? Car finalement, peu importe que les heures entre A et B soient différentes, tant que A peut apporter la preuve de l'envoi et de l'accusé de réception. Non ?

M.

tiramiseb

Re : Horodatage des e-mails

En cas de contestation, dans quelle mesure A ne peut-il pas affirmer qu'avec trois minutes de décalage il a la preuve que son courrier a bien été reçu? Car finalement, peu importe que les heures entre A et B soient différentes, tant que A peut apporter la preuve de l'envoi et de l'accusé de réception. Non ?

En théorie, comme ça on peut valider que l'e-mail a bien été reçu, mais on ne peut pas attester d'une date ou d'une heure particulière : les deux personnes/sociétés peuvent se mettre d'accord sur une date totalement irréaliste, pour s'arranger par rapport à un tiers (le fisc par exemple).
Les deux peuvent aussi être chacun mal réglé : qui a raison, alors ?

En prenant le parallèle du chiffrement asymétrique entre deux acteurs, on voit que les deux parties se mettent d'accord sur un chiffrement. De la même façon, serait-il possible de s'accorder sur un horodatage ?

C'est ce que fait par exemple Kerberos : si l'horloge du client n'est pas assez proche de l'horloge du serveur, la connexion est refusée.

Mais ce n'est pas implémenté dans le protocole SMTP...

---

Sébastien Maccagnoni - https://www.maccagnoni.eu - https://www.domotego.com

JoelS

Re : Horodatage des e-mails

Tu peux être ton propre tiers de confiance. En fait, héberger en interne un service d'horodatage conforme et certifié. C'est techniquement et juridiquement possible. Mais ça coûte très (trop) cher. D’où l'usage d'un tiers externe.

Pseudo supprimé

Re : Horodatage des e-mails

En effet, actuellement en entreprise, l'e-mail a la même valeur juridique qu'un courrier.

Mais tous les mails, signés ou pas, RGS ou pas, peuvent être exploités dans un procès ! ! Un mail tout simple a aussi une valeur juridique.

pour un e-mail, d'autres entreprises (certigreffe, universign, certinomis, easystamp, etc. (je ne les cite pas pour faire de la pub) c'est le module de certification qui fait foi.

non, il n'y a pas de module spécial certification. C'est le chaînage des x509 qui fait office de confiance et garantie. L'AC confère à tous ses x509 des propriétés qu'elle garantit.

LRAR & La Poste

normalement le RGS suffit

Ces solutions sont payantes et ne me satisfont pas en raison des intermédiaires. À l'exemple d'un chiffrement asymétrique entre deux destinaires, je souhaiterais savoir si une solution sans intermédiaire permettait de certifier un horodatage.

Tu confonds chiffrement et authentification.

"les intermédiaires ,..."
Que vaut une carte d'identité si c'est toi qui la crée ? 0/20
L'intermédiaire est nécessaire pour confronter l'identité à ce qu'elle prétend être.

Le chiffrement fort a un sens que lorsqu'il y a une authentification forte. Le x509 serveur est authentifié et les x509 clients aussi. Lorsque il n'y a pas d'authentification forte côté client, le serveur en x509 considère la connexion comme anonyme/untrusted. C'est le cas le plus courant; https avec un backend quelconque en auth, mais aussi en smtp.

Avant l'horodatage, il y a le DKIM & ADSP, qui assure l'intégrité du mail. Très utile. Amavis et Cie détecte aussi les anomalies de date/time.

Techniquement aussi, il y a les bounces lorsque un serveur smp est inaccessible. Et si il y a un autre mx de relais, le courrier est relayé par l'autre serveur smtp. Donc la position de l'étudiant est indéfendable.

Si tu veux un horodotage d'un tiers, je pense à openssl ts (timestamp).
Faire un script  pour interroger un serveur TSA habilité pour ton x509 client
Appeler le script par un filtre dans postfix.
Ajouter au passage un header genre object_signed_timestamp trusted by ... value: