Brevet FR2823930A1 — publié le 20021025

PROCEDE ET DISPOSITIF DE CERTIFICATION La présente invention concerne un procédé et un dispositif de certification. En particulier, la présente invention concerne la transmission de données en ligne, par exemple sur le réseau Internet. Du fait de sa nature ouverte, Internet a augmente les besoins de sécurité de transmission de données. En effet, l'architecture même de l'Internet le rend particulièrement vulnérable: le protocole IP, totalement décentralisé, fait circuler les datagrammes,'ou paquets sans qu'ils soient protégés. Les adresses IP elles-mémes, gérées par les DNS (Domain Name Servers pour serveurs de noms de domaines), ne sont pas à l' abri d'actions de malveillance. Les systèmes d' exploitation ont des failles de sécurité. D'o une liste impressionnante de menaces: - écoute de paquets ou "sniffing"; - substitution de paquets ou "spoofing"; - piratage de DNS; - déni de service; - intrusions; et - dissémination de programmes malveillants, virus et chevaux de Troie. La cryptologie n'a pas réponse à toutes ces questions. En cryptologie, une clé est insérée au moment du chiffrement des données afin d' as surer la confidential ité de celles-ci. Les différentes normes de sécurité disponibles, pour le courrier électronique, pour les sessions de communication du web (SSL ou Secure Socket Layer pour couche de sécurité), pour le protocole IP lui-méme (IPsec), mettent en oeuvre tout l'arsenal des méthodes modernes: authentification et signature, échange de clé conventionnelle, chiffrement symétriqẻ. Des centaines de millions de clés RSA ont ainsi été produites. I1 se pose alors de nouveaux problèmes: comment gérer ces clés ? Comme le note Jacques Stern, D irecteur du Département Informatique de l' Eco le Normale 2 2823930 Supérieure "il est illusoire d'utiliser un chiffrement RSA en laissant traner ses clés secrètes sur un disque dur mal protogé contre les intrusions" (Dans un article publié dans Le Monde daté du 12 septembre 2000). En outre se pose la question de lier une clé publique RSA à son propriétaire légitime. La présente invention entend remédier à tout ou partie de ces inconvénients. A cet effet, la présente invention vise, selon un premier aspect, un procédé de certification, caractérisé en ce qu'il comporte: une opération de transmission de données depuis un système informatique émetteur à un système informatique récepteur, sur un premier support de 1 0 communication, - une opération de génération d'une trace desdites données représentatives desdites données, par le système informatique récepteur, - une opération de transmission d'une partie de ladite trace à un dispositif de communication, sur un deuxième support de communication différent du premier support de communication, - une opération de réception de ladite partie de trace par le système informatique émetteur, - une opération de transmission de ladite partie trace depuis le système informatique émetteur au système informatique récepteur, et - une opération de vérification de la correspondance de la partie de trace recue par le système informatique récepteur avec la trace générée par le système informatique récepteur. Grâce à ces dispositions, la partie de trace est liée auxdites données et peut servir à détecter une modification ultérieure desdites données. Selon des caractéristiques particulières du procédé tel que succinctement exposé ci-dessus, ladite trace est représentative d'un condensatdesdites données. Grâce à ces dispositions, la partie de trace permet de détecter toute modification ultérieure desdites données. Selon des caractéristiques particulières, le procédé tel que succinctement exposé ci-dessus comporte une opération de transmission d'un identifant d'un utilisateur du système informatique émetteur. Grâce à ces dispositions, une authentifcation de l'utilisateur du système informatique émetteur ou une signature électronique peuvent être effectuces. 3 2823930 Selon des caractéristiques particulières, le procédé tel que succinctement exposé ci-dessus comporte une opération de mise en correspondance dudit identifiant avec une adresse du dispositif de communication sur le deuxième support de communication. Grâce à ces dispositions, l'adresse du dispositif de communication est une adresse qui correspond à l'utilisateur du système informatique émetteur. Selon des caractéristiques particulières du procédé tel que succinctement exposé ci-dessus, ladite trace est représentative d'une clé privée conservée par le système informatique récepteur. Grâce à ces dispositions, le système informatique récepteur effectue une signature desdites données. Selon des caractéristiques particulières, le procédé tel que succinctement exposé ci-dessus, comporte une opération de mise en correspondance dudit identifiant avec ladite clé privée. Grâce à ces dispositions, le système informatique récepteur effectue une signature desdites données au nom de l'utilisateur du système informatique émetteur. Selon des caractéristiques particulières, le procédé tel que succinctement exposé ci-dessus, comporte une opération de troncature de ladite trace, et en ce que au cours de l'opération de transmission d'au moins une partie de ladite trace, le résultat de ladite troncature est transmis. Grâce à ces dispositions, la partie de ladite trace comporte moins de symboles que ladite trace. Selon des caractéristiques particulières du procédé tel que succinctement exposé ci-dessus, le premier support de communication est l'Internet. Grâce à ces dispositions, les données peuvent être transmises depuis n'importe quel système informatique relié à l'Internet. Selon des caractéristiques particulières du procédé tel que succinctement exposé ci-dessus, le deuxième support de communication est un réseau sans fil. Grâce à ces dispositions, l'authentification de l'utilisateur du système informatique émetteur peut étre effectuée en tout lieu. Selon des caractéristiques particulières du procédé tel que succinctement exposé ci-dessus, au cours de l'opération de transmission desdites donnces, un identifiant d'un système informatique destinataire est transmis, ledit procédé comportant une 4 2823930 opération de transmission desdites données depuis le système informatique récepteur à un système informatique destinataire. Grâce à ces dispositions, le système informatique récepteur peut servir d'intermédiaire dans une transmission entre le système informatique émetteur et le système informatique destinataire. I1 peut, en outre, assurer des fonctions de datage, de notarisation ou de certification de remise en main propre au destinataire desdites données. Selon des caractéristiques particulières, le procédé tel que succinctement exposé ci-dessus comporte une opération de mise en correspondance desdites données avec une clé publique et en ce que au cours de l'opération de transmission desdites données audit système informatique destinataire, ladite clé publique est transmise. Grâce à ces dispositions, Le destinataire desdites données peut vérifier l'identité de l'émetteur desdites données, par la mise en oeuvre de la clé publique. Selon des caractéristiques particulières, le procédé tel que succinctement exposé ci-dessus comporte une opération de génération d'une information confidentielle par le système informatique récepteur et une opération de transmission à un deuxième dispositif de communication d'une information confidentielle à une dispositif de communication sur le deuxième support de communication, par le système informatique récepteur, une opération de réception de ladite information confidentielle par le système informatique récepteur, sur le premier moyen de communication et une opération de vérification de correspondance entre l' information confidentielle transmi se par l e système informatique récepteur avec l'information confidentielle re$ue par le système informatique récepteur. Grâce à ces dispositions, le destinataire desdites données est authentifié. La présente invention vise aussi un dispositif de certification, caractérisé en ce qu'il comporte: - un moyen de transmission de données depuis un système informatique émetteur à un système informatique récepteur, sur un premier support de communication, - un moyen de génération d'un trace desdites données représentatives desdites données, par le système informatique récepteur, - un moyen de transmission d'au moins une partie de ladite trace à un dispositif de communication, sur un deuxième support de communication différent du premier support de communication, - un moyen de réception de ladite trace par le système informatique émetteur, 2823930 - un moyen de transmission de ladite trace depuis le système informatique émetteur au système informatique récepteur, et - un moyen de vérification de la correspondance de la trace reçue par le système informatique récepteur et de la trace générée par le système informatique récepteur. Les caractéristiques particulières et les avantages dadit dispositif correspondent aux caractéristiques particulières et avantages du procédé tels que succinctement exposé ci-dessus. D'autres avantages, buts et caractéristiques de la présente invention ressortiront de la description qui va suivre faite en regard du dessin annexé dans lequel: - la figure 1 représente une succession d'opérations effectuées par un terminal utilisateur et un serveur de certification, dans un mode de réalisation particulier de la présente invention; - la figure 2 représente une succession d'opérations effectuées par un terminal utilisateur et le serveur de certification, dans un autre mode de réalisation particulier de la présente invention; - la figure 3 représente une succession d'opérations effectuées par un terminal utilisateur et le serveur de certification, dans un autre mode de réalisation particulier de la présente invention; et - la figure 4 représente un organigramme de mise en oeuvre d'un autre mode de réalisation de la présente invention. En figure 1 sont représentés un poste utilisateur ou système informatique émetteur 100, une application Internet 110, une salle blanche 120, une mémoire de stockage 130, un deuxième réseau de comrnunication 140 et un récepteur 150 sur le deuxième réseau de communication 140. La salle blanche 120 comporte une protection pare-feu (en anglais "firewall") 160, un serveur de sécurité 170 et un générateur de certificats 180. Les opérations effectuées dans le mode de réalisation particulier illustré en figure 1 sont représentées dans des rectangles et numérotées de 1 à 12. L'application Internet 1 10 et la salle blanche 120 sont conjointement appelé système informatique récepteur. Le poste utilisateur 100 est. par exemple, un ordinateur personnel (PC), un ordinateur de réseau (C) ou un assistant numérique personnel (en anglais Personal Digital Assistant ou PDA). Le poste utilisateur 100 est doté d'un logiciel de corumunication à distance pour mettre en oeuvre l'application Internet 110, coujointement 6 2823930 avec le serveur de sécurité 170. Ce logiciel de communication à distance peut être un logiciel de navigation ou un logiciel de courrier électronique, par exemple. L'application Internet 110 permet la communication entre le poste utilisateur 100 et le serveur de sécurité 170 et la transmission de données depuis le poste utilisateur 100 vers la mémoire de stockage 130, par exemple par l'intermédiaire du serveur de sécurité 170. La salle blanche 120 est un espace protégé contre toute intrusion physique, telle qu'une salle de coffre d'une banque. La mémoire de stockage 130 est une mémoire adaptée à conserver des données pendant une longue période, qui dépasse une année. Le deuxième réseau de communication 140 est. par exemple, un réseau téléphonique et, encore plus particulièrement un réscau de téléphonie mobile ou de récepteurs alphanumériques communément appelés "pageurs". Le deuxième réseau 140 est appelé "deuxième" par comparaison avec le réseau lnternet, que l'on nomme aussi "premier" réseau dans la suite de la présente demande de brevet. Le deuxième réseau 140 est adapté à transmettre une clé ou certificat depuis le serveur de sécurité 170 jusqu'au récepteur 150. Le récepteur 150 sur le deuxième réseau 140 peut, selon le type de deuxième réseau 140, étre un télophone mobile, un pageur ou un récepteur quelconque. Le récepteur 150 permet à l'utilisateur du poste utilisateur 100 de prendre connaissance d'informations transmises par le serveur de sécurité 170. La protection pare-feu 160 est de type matérielle et/ou logicielle et interdit toute intrusion logicielle dans le serveur de sécurité 170. Le serveur de sécurité 170 est un serveur informatique de type connu. Enfin, le générateur de certificats 180 est adapté à générer des certificats jetables, par exemple de type conforme à la norme X509-V3. Le poste utilisateur 100 et le serveur de sécurité 170 sont conjointement adaptés à mettre en oeuvre les opérations indiquées ci-dessous. Par exemple, le serveur de sécurité 170 est adapté à fournir des routines applicatives ou "applets" au poste utilisateur 100. Au début du processus de certification, on suppose que des données sont à transmettre de manière certifiée et signée depuis le poste utilisateur 100 jusqu'à la mémoire de stockage 130. L'utilisateur du poste utilisateur 100 se connecte au serveur de sécurité 120 pour lancer le processus de certification. Au cours de l'opération 1, après identification de l'utilisateur su poste utilisateur 100, l'application Internet 110 télécharge une routine applicative certifiée et signée dans le poste utilisateur 100. On observe que la routine applicative en question 7 2823930 peut n'être téléchargée que dans le cas o une copie de cette routine n'est pas déjà implantée dans le poste utilisateur 100. Cette caractéristique particulière permet de rendre portable le procédé de certification objet de la présente invention, sans ralentir ce processus dans le cas o l'utilisateur met successivement en oeuvre le même poste utilisateur 100, pour plusieurs certifications de données. Au cours de l'opération 2, le générateur de certificats 180 génère un certificat jetable, par exemple sous la forme d'une clé privée conforme à la norme X509-V3. Par exemple, le certificat jetable est généré aléatoirement par le générateur 180. Au cours de l'opération 3, le serveur de sécurité 170 transmet le certificat jetable au poste utilisateur 100. Au cours de l'opération 4, le poste utilisateur 100 met en oeuvre la routine applicative téléchargée au cours de l'opération 1 pour obtenir une trace des données à transmettre, appelé condensâ (en anglais "hash"), trace qui dépend du certificat jetable généré au cours de l'opération 2 et des données à transmettre et qui permet la détection de toute modification ultérieure des données à transmettre. Au cours de l'opération 5, les données à transmettre et le condensâ sont téléchargés depuis le poste utilisateur 100 jusqu'à l'application Internet 1 10. De plus, des coordonnées de chaque destinataire des données à transmettre est transmis par le poste utilisateur 100 à l'application Internet 110. Ces coordonnées peuvent prendre la forme d'adresse de courrier électronique (en anglais "e-mail"), de numéro de téléphone ou de tout autre type d' information permettant de contacter chaque destinataire des donnces à transmettre. Au cours de l'opération 6, l'intégrité des données à transmettre est vérifiée, en mettant en oeuvre la clé jetable générée au cours de l'opération 2 et le condensâ. On observe qu'à la fin de l'opération 6, une copie des données à transmettre à été faite depuis le poste utilisateur 100 dans l'application Internet 110 et que cette copie est certifiée conforme à l'original grâce à la mise en oeuvre d'une clé jetable. Pour éviter que le certificat jetable soit réutilisé, au cours de l'opération 10, le certificat jetable est révoqué, c'est-à-dire qu'il devient inutilisable pour certifier des données. En variante, le certificat jetable généré au cours de l'opération 2 est un certificat à durée de vie très courte, prétérentiellement inférieure à une heure. Dans cette variante, l'opération 10 n'est pas exécutée puisqu'au delà de la durée de vie du certificat jetable, ce certificat n'est pas utilisable pour certifier des données. Les opérations 7 et 8 correspondent à un exemple de signature pouvant étre utilisé en combinaison avec les opérations 1 à 6 ci-dessus. Au cours de l'opération 7, un sccau secret est généré et transmis, par l'intermédiaire du deuxième réseau 140, au 8 2823930 récepteur 150. L'adresse du récepteur 150 sur le deuxième réseau est déterminée en mettant en correspondance l'identifiant de l'utilisateur transmis au cours de l'opération 1 avec ladite adresse, dans une table de correspondance. Prétérentiellement, le sceau secret est calculé sur les éléments de signature du document. Prétérentiellement, le sceau secret dépend des données à transmettre, de leur nombre, de leur contenu, de la date et de l'heure de la génération du sceau secret, de la clé privée de l'émetteur des données déterminée en correspondance avec l'identifiant de l'utilisateur transmis au cours de l'opération 1, de l'adresse internet ("adresse IP") du poste utilisateur 100 et/ou d'un numéro de la session Internet au cours de laquelle les données sont kansmises. Selon un exemple de mise en oeuvre de l'opération 7, le sceau secret est obtenu par calcul d'un condensa des données à transmettre, par exemple sous la forme d'une séquence de vingt symboles, de chiffrement de ce condensâ par la clé privée de l'utilisateur du poste utilisateur 100, et d'extraction d'une partie du résultat de ce chiffrement, par exemple huit symboles sur vingt. Le lecteur pourra se rétérer à la figure 4 et/ou à la demande de brevet PCT/FR98/02348 pour mieux conna^tre des exemples d'étapes mises en oeuvre au cours des opérations 7 et 8. Au cours de l'opération 8, l'utilisateur commun du poste utilisateur et du récepteur 150 saisie le sceau secret et ce sceau secret est transmis au serveur de sécurité 170 o le sceau est vérifié, opération 9. En variante, les opérations 7 à 9 sont remplacées par une opération de signature basée sur l'utilisation d'une carte à mémoire ("carte à puce") ou d'une mesure de biométrie. A la fin de l'opération 8, les données transmises sont donc certifiées intègres et signées par l'utilisateur qui les transmet. L'opération 9 consiste à substituer une signature dite PKI (pour Public Key Infrastructure, soit infrastructure de clés publiques) à la signature effectuée au cours des opérations 7 et 8. Au cours de l'opération 9, les donnces transmises sont signces avec la clé privée de l'utilisateur qui les a transmise (dit "signataire" des donnces) . Enfin, au cours de l'opération 11, les données transmises, certifiées et signées par clé privée sont transmises à la mémoire de stockage 130 avec une date de telle manière qu'elles sont horodatées, archivées et notarisée. Dans une application de la présente invention à une remise en main propre des données transmisès, un destinataire est. à la suite de l'opération 11, averti de la mise à sa disposition des données à transmettre et des opérations similaires aux opérations exposées ci-dessus sont mises en oeuvre pour effectuer une copie certifiée conforme sur 9 2823930 le poste utilisateur du destinataire après avoir recueilli de sa part une signature. Par exemple, une signature telle qu'exposée dans la demande de brevet PCT/FR98/02348 peut, de nouveau être mise en oeuvre pour authentifier le destinataire. Un exemple d'une succession d'opérations mises en oeuvre pour cette remise en main propre est donné en figure 2. En figure 2 sont représentés un poste utilisateur destinataire ou système informatique destinataire 200,1'application Internet 110, la salle blanche 120, la mémoire de stockage 130, le deuxième réseau de communication 140 et un récepteur 250 sur le deuxième réseau de communication 140. Les opérations effectuées dans le mode de réalisation particulier illustré en figure 2 sont représentées dans des rectangles et numérotées de 13 à 25. Ces opérations peuvent suivre les opérations 1 à 12 illustrces en figure 1 et effectuées en relation avec un poste utilisateur 100 généralement différent du poste utilisateur 200. Le poste utilisateur destinataire 200 est. par exemple, un ordinateur personnel (PC), un ordinateur de réseau (NC) ou un assistant numérique personnel (en anglais Personal Digital Assistant ou PDA). Le poste utilisateur destinataire 200 est doté d'un logiciel de communication à distance pour mettre en oeuvre l' appli cation Internet , conjointement avec le serveur de sécurité 170. Ce logiciel de communication à distance peut étre un logiciel de navigation ou un logiciel de courrier électronique, par exemple. L'application Internet 110 permet la communication entre le poste utilisateur 200 et le serveur de sécurité 170 et la transmission de données depuis le poste utilisateur 200 vers la mémoire de stockage 130, par exemple par l'intermédiaire du serveur de sécurité 170. Le récepteur 250 sur le deuxième réseau 140 peut, selon le type de deuxième réseau 140, être un téléphone mobile, un pageur ou un récepteur quelconque. Le récepteur 250 permet à l'utilisateur du poste utilisateur destinataire 200 de prendre connaissance d'informations transmises par le serveur de sécurité 170. Le poste utilisateur destinataire 200 et le serveur de sécurité 170 sont conjointement adaptés à mettre en oeuvre les opérations indiquées cidessous. Par exemple, le serveur de sécurité 170 est adapté à fournir des routines applicatives ou "applets" au poste utitisateur destinataire 200. 2323930 Au début du processus de certification, on suppose que des données sont à transmettre de manière certifiée et signce depuis la mémoire de stockage 130 jusqu'au poste utilisateur destinataire 200. L'utilisateur du poste utilisateur destinataire 200 se connecte initialement au premier réseau, par exemple pour consulter des courriers électroniques. Au cours de l'opération 13,1'application Internet 110 émet à destination du poste utilisateur destinataire 200 un courrier électronique (e-mail) qui indique que de l'information est mise à disposition de l'utilisateur du poste 200. Au cours de l'opération 14,1'utilisateur accède à l'application interne 110 en sélectionnant son adresse Internet. Au cours de l'opération 15, l'application Internet télécharge une routine applicative certifiée dans le poste utilisateur destinataire 200. On observe que la routine applicative en question peut n'être téléchargée que dans le cas o une copie de cette routine n'est pas déjà implantée dans le poste utilisateur 200. Cette caractéristique particulière permet de rendre portable le procédé de certification objet de la présente invention, sans ralentir ce processus dans le cas o l'utilisateur met successivement en oeuvre le même poste utilisateur destinataire 200, pour recevoir plusieurs ensembles données. On observe que les routines applicatives téléchargées au cours des opérations 1 et 15 peuvent étre identiques pour permettre d'une part la transmission de données vers la mémoire 130 et, d'autre part, pour recevoir des données depuis cette mémoire. Les opérations 16 et 17 correspondent à un exemple de signature pouvant étre utilisé en combinaison avec les opérations 13 à 15 ci-dessus. Au cours de l'opération 16, un sceau secret est généré et transmis, par l'intermédiaire du deuxième réseau 140, au récepteur 250. Préférentiellement, le sceau secret est calculé sur les éléments de signature du document. Prétérentiellement, le sceau secret dépend des donnces à transmettre, de leur nombre, de leur contenu, de la date et de l'heure de la génération du sceau, et/ou d'un numéro de la session Internet au cours de laquelle les données sont transmises. Le lecteur pourra se référer à la demande de brevet PCT/FR98/02348 pour mieux connaître des exemples d'étapes mises en oeuvre au cours des opérations 16 et 17. Au cours de l'opération 17,1'utilisateur commun du poste utilisateur destinataire 200 et du récepteur 250 saisie le sceau secret sur le poste utilisateur destinataire 200 et ce sccau secret est transmis au serveur dè sécurité 170 o le sceau est vérifié. A la fin de l'opération 17, les données transmises sont donc certifiées intègres et signces par l'utilisateur qui les transmet. 11 2823930 En variante, les opérations 16 et 17 sont remplacées par une opération de signature basée sur l'utilisation d'une carte à mémoire ("carte à puce") ou d'une mesure de biométrie. Au cours de l'opération 18, le générateur de certificats 180 génère un certificat de retrait, par exemple sous la forme d'une clé conforme à la norme X509-V3. Le certificat de retrait contient la clé publique de l'utilisateur du poste utilisateur 100. Au cours de l'opération 19, le serveur de sécurité 170 transmet le certificat de retrait au poste utilisateur destinataire 200. Au cours de l'opération 20, l'application 110 détermine un condensâ des données à transmettre, qui dépend du certificat de retrait généré au cours de l'opération 18 et des données à transmettre et qui permet la détection de toute modification ultérieure des données à transmettre. Au cours de l'opération 21, les données à transmettre et le condensâ sont téléchargés depuis l'application Internet 110 jusqu'au poste utilisateur destinataire 200. Au cours de l'opération 22, l'intégrité des données à transmettre est vérifée, en mettant en oeuvre la clé publique contenue dans le certificat de retrait généré au cours de l'opération 18 et le condensâ. On observe qu'à la fin de l'opération 22, une copie des données à transmettre à été faite depuis la mémoire de stockage 130 jusqu'au poste utilisateur destinataire 200 et que cette copie est certifiée conforme à l'original grâce à la mise en oeuvre d'une clé jetable. Au cours de l'opération 23, un accusé de réception d'intégrité est transmis depuis le terminal utilisateur destinataire 200 vers le serveur de sécurité 170. Cet accusé de réception d'intégrité témoigne que les donnces à transmettre ont été transmises au terminal utilisateur destinataire 200 de manière intègre, c'est à dire que les données à transmettre n'ont pas été modifiées après l'opération 20. Au cours de l'opération 24, une trace de la transmission des données à l'utilisateur destinataire est certifiée et mémorisée dans la mémoire de stockage 13 0. Cette date est associée aux données transmises et est ainsi horodatées, archivées et notarisoe. Au cours de l'opération 25, le serveur de sécurité met à disposition de l'émetteur des donnces transmises un accusé de réception qui l'informe que les données qu'il à transmise au cours de l'opération 4 ont été reçues parl'un de leur destinataire. On observe qu'un accusé de réception est transmis à l'émetteur des donnces pour chacun des destinataires des données. En figure 3 sont représentés le poste utilisateur ou système informatique émetteur 100, une application Internet 310, la salle blanche 120, la mémoire de stockage 12 2823930 , le deuxième réseau de communication 140 et le récepteur 150 sur le deuxième réseau de communication 140. Les opérations effectuées dans le mode de réalisation particulier illustré en figure 3 sont représentées dans des rectangles et numérotées de 31 à 42. L'application Internet 310 et la salle blanche sont conjointement appelées système informatique récepteur. Le poste utilisateur 100 et le serveur de sécurité 170 sont conjointement adaptés à mettre en oeuvre les opérations 31 à 42 indiquées ci-dessous. Au début du processus de certification, on suppose que plusieurs ensembles de données sont à transmettre de manière certifiée et signée depuis le poste utilisateur 100 jusqu'à la mémoire de stockage 130. L'utilisateur du poste utilisateur 100 se connecte au serveur de sécurité 120 pour lancer le processus de certification. Au cours de l'opération 31, après identification de l'utilisateur du poste utilisateur 100, l'application Internet 310 télécharge une routine applicative certifiée dans le poste utilisateur 100. On observe que la routine applicative en question peut n'être téléchargée que dans le cas o une copie de cette routine n'est pas déjà implantée dans le poste utilisateur 100. Cette caractéristique particulière permet de rendre portable le procédé de certification objet de la présente invention, sans ralentir ce processus dans le cas o l'utilisateur met successivement en oeuvre le même poste utilisateur 100, pour plusieurs certifications de données. Au cours de l'opération 32, le générateur de certificats 180 génère un certificat jetable, par exemple sous la forme d'une clé privée conforme à la norme X509-V3. Par exemple, le certificat jetable est généré aléatoirement par le générateur 180. Au cours de l'opération 33, le serveur de sécurité 170 transmet le certificat jetable au poste utilisateur 100. Au cours de l'opération 34, l'utilisateur sélectionne explicitement chacun des ensembles de données à transmettre. Par exemple, l'utilisateur du poste utilisateur 100 sélectionne, un par un, des fichiers à transmettre, chaque fichier constituant un ensemble de données à transmettre. Toujours au cours de l'opération 34, le poste utilisateur 100, met en oeuvre la routine applicative téléchargée au cours de l'opération 31 pour obtenir un condensâ de chacun des ensembles de donnces à transmettre, qui dépend du certificat jetable généré au cours de l'opération 32 et des données dudit ensemble. Chaque condensâ permet la détection de toute modification ultérieure d'un ensemble de données à transmettre. Au cours de l'opération 35, les ensembles données à transmettre et les condensâ sont téléchargés depuis le poste utilisateur 100 jusqu'à l'application Internet 13 2823930 310. De plus, des coordonnées de chaque destinataire de chaque ensemble de données à transmettre est transmis par le poste utilisateur 100 à 1'application Internet 110. Ces coordonnées peuvent prendre la forme d'adresse de courrier électronique (en anglais "e mail"), de numéro de téléphone ou de tout autre type d'information permettant de contacter chaque destinataire des données à transmettre. Au cours de l'opération 36, l'intégrité des ensembles de données à transmettre est vérifiée, en mettant en oeuvre la clé jetable générée au cours de l'opération 32 et les condensâ. On observe qu'à la fin de l'opération 36, une copie des ensembles de donnces à transmettre à été faite depuis le poste utilisateur 100 dans l'application Internet 310 et que cette copie des ensembles de données est certifiée conforme à l'original grâce à la mise en oeuvre d'une clé jetable. Pour éviter que le certificat jetable soit réutilisé, au cours de l'opération 40, le certificat jetable est révoqué, c'est-à-dire qu'il devient inutilisable pour certifier des ensembles de données. En variante, le certificat jetable généré au cours de l'opération 32 est un certificat à durée de vie très courte, préDérentiellement inférieure à une heure. Dans cette variante, l'opération 10 n'est pas exécutée puisqu'au delà de la durée de vie du certificat jetable, ce certificat n'est pas utilisable pour certifier des données. Les opérations 37 et 38 correspondent à un exemple de signature pouvant être utilisé en combinaison avec les opérations 31 à 36 ci-dessus. Au cours de l'opération 37, un sceau secret est généré et transmis, par l'intermédiaire du deuxième réseau 140, au récepteur 150. L'adresse du récepteur 150 sur le deuxième réseau est déterminée en mettant en correspondance l'identifiant de l'utilisateur transmis au cours de l'opération 31 avec ladite adresse, dans une table de correspondance. Prétérentiellement, le sceau secret dépend des donnces à transmettre, de leur nombre, de leur contenu, de la date et de l'heure de la génération du sceau secret, de la clé privée de l'émetteur des données déterminée en correspondance avec l'identifiant de l'utilisateur kansmis au cours de l'opération 1, de l'adresse internet ("adresse IP") du poste utilisateur 100 et/ou d'un numéro de la session Internet au cours de laquelle les données sont transmises. Selon un exemple de mise en o euvre de l'opération 7, le sceau secret est obtenu par calcul d'un condensâ de s do nnces à transmettre, par exemple sous la forme d'une séquence de 20 symboles, de chiffrement de ce condensâ par la clé privée de l'utilisateur du poste utilisateur 100 et d'extraction d'une partie du résultat de ce chiffrement. Le lecteur pourra se rétérer à la figure 4 et/ou à la demande de brevet PCT/FR98/02348 pour mieux conna^tre des exemples d'étapes mises en oeuvre au cours 14 2823930 des opérations 37 et 38. Au cours de l'opération 38,1'utilisateur commun du poste utilisateur 100 et du récepteur 150 saisie le sccau secret et ce sceau secret est transmis au serveur de sécurité 170 o le sceau est vérifié, opération 39. En variante, les opérations 37 à 39 sont remplacées par une opération de signature basée sur 1'utilisation d'une carte à mémoire ("carte à puce") ou d'une mesure de biométrie. A la fin de l'opération 38, les ensembles de données transmis sont donc certifiées intègres et signées par l'utilisateur qui les transmet. L'opération 39 consiste à substituer une signature dite PKI (pour Public Key Infrastructure, soit infrastructure de clés publiques) à la signature effectuée au cours des opérations 37 et 38. Au cours de l'opération 39, les ensembles de données transmis sont signés avec la clé privée de l'utilisateur qui les a transmise (dit "signataire" des données). Enfin, au cours de l'opération 41, les ensembles de données transmises, certifiées et signées par clé privoe sont transmises à la mémoire de stockage 130 avec une 1 S date de telle manière qu'elles sont horodatées, archivées et notarisée. Dans une application de la présente invention à une remise en main propre des ensembles de données transmises, pour chaque ensemble de données à transmettre, un destinataire est. à la suite de l'opération 41, averti de la mise à sa disposition de l'ensemble de données à transmettre et des opérations similaires aux opérations exposées ci-dessus sont mises en oeuvre pour effectuer une copie certifiée conforme sur le poste utili sateur du destinataire après avo ir recuci ll i de sa part une signature. Un exemp le d' une succession d'opérations mises en oeuvre pour cette remise en main propre est donné en figure 2. La figure 4 représente un organigramme de mise en oeuvre d'un autre mode de réalisation de la présente invention. Dans la colonne la plus à gauche de la figure 4 sont représentées des opérations concernant un système informatique dit "émetteur" 401 mettant en oeuvre un premier support de communication. Dans la colonne à droite de la colonne la plus à gauche sont représentées des opérations concernant un premier dispositif de communication 402 mettant en oeuvre un deuxième support de communication. Dans la colonne centrale sont représentées des opérations concernant un système informatique 403 dit "récepteur" mettant en oeuvre le premier, le deuxième, un troisième et un quatrième support de communication. Dans la colonne la plus à droite sont représentées des opérations concernant un système informatique 405 dit "destinataire" mettant en oeuvre le troisième support de communication. Enfin, dans la 2323930 colonne entre la colonne centrale et la colonne la plus à droite, sont représentées des opérations concernant un deuxième dispositif de communication 404 mettant en oeuvre le quatrième support de communication. Le système informatique émetteur 401 et le premier dispositif de communication 402 sont utilisés par un utilisateur qui souhaite transmettre des données à un utilisateur destinataire qui utilise le deuxième dispositif de communication 404 et le système informatique destinataire 405. Par exemple, le système informatique émetteur 401 est un ordinateur personnel, ou un ordinateur de réseau, connecté au réseau Internet. Par exemple, le système informatique destinataire 405 est un autre ordinateur personnel, l O ou un autre ordinateur de réseau, connecté au réseau Internet. Les premier et troisième réseau peuvent étre confondus ou différents. Le premier et le troisième réseaux peuvent ainsi être l'Internet. Les deuxième et quatrième réseaux peuvent, en particulier être des réseaux non filaires. Par exemple, le premier dispositif de communication 402 est un téléphone mobile ou un pageur. Par exemple, le deuxième dispositif de communication 404 est un téléphone mobile ou un pageur. Les deuxième et quatrième réseaux peuvent être confondus ou différents. En revanche, le premier et le deuxième support de communication sont différent. De plus, le troisième et le quatrième support de communication sont différents. Préférentiellement, les dispositifs de communication 401 et 404 possèdent des adresses uniques sur le deuxième et le quatrième réscau de communication, respectivement. Selon un exemple de réalisation, le système informatique récepteur 403 est un serveur de réseau connocté à des interfaces de réseau pour communiquer sur les premier à quatrième réseaux. Dans la suite de la description de la figure 4, on considère que le système informatique récepteur 403 conserve des moyens nécessaires pour obtenir - une clé privée et une clé publique d'un utilisateur du système informatique émetteur 401, - l'adresse du premier dispositif de communication 402 sur le deuxième support de communication, et l'adresse du deuxième dispositif de communication 404 sur le quatrième support de communication. Par exemple, le système informatique récepteur 403 conserve en mémoire: 16 2823930 - la clé privée et la clé publique de chaque utilisateur susceptible de mettre en oeuvre le procédé décrit en figure 4, - une table de correspondance entre des identifiants d'utilisateurs et des adresses sur le deuxième support de communication, et - un moyen d'interroger une base de donnces conservant une table de correspondance entre des identifiants d'utilisateurs destinataires et des adresses sur le quatrième support de communication. Selon une variante, l'adresse de l'utilisateur destinataire sur le quatrième réseau est obtenue de la part de l'utilisateur émetteur, comme dans le cas illustré en figure 4. Les opérations de démarrage et d' initialisation et les opérations d' arrêt des systèmes informatiques et des dispositifs de communication ne sont pas représentées en figure 4. Au cours d'une opération 408, le système informatique émetteur 401 se connecte au système informatique récepteur 403, par l'intermédiaire du premier support de communication. Au cours d'une opération 409, le système informatique récepteur 403 transmet au système informatique émetteur 401 un programme permettant de déterminer un condensa de données à transmettre. Au cours d'opérations de transmission 410 et 411, le système informatique émetteur 401 transmet au système informatique récepteur 403, sur le premier support de communication: - des données à transmettre au système informatique destinataire 405, - un condensa des donnces à transmettre déterminé avec le programme transmis au cours de l'opération 409, - un identifiant d'un utilisateur du système informatique émetteur 401 ou un identifiant du système informatique émetteur 401, et - un identifiant du système informatique destinataire 405 et une adresse du deuxième moyen de communication 404. Au cours d'une opération de mise en correspondance 412, le système informatique récepteur 403 met en correspondance ledit identifiant avec une clé privoe de l'utilisateur du système informatique émetteur 401. Au cors d'une opération de génération 413, le système informatique récepteur 403 génère une trace des donnces à transmettre. La trace est représentative des données à transmettre. Préférentiellement, ladite trace est représentative d'un condensâ 17 2823930 desdites donnces à transmettre et de la clé privée conservée par le système informatique récepteur 403. Par exemple, ladite trace est obtenue par une opération de signature du condensâ par la clé privée de l'utilisateur du système informatique émetteur 401. Ainsi, ladite trace est liée audites données et toute modification ultérieure desdites données est détectable. De plus, la source desdites données est ainsi authentifiée par la clé privoe de l'utilisateur. Au cours d'une opération de mise en correspondance 414, l'identifiant de l'utilisateur du système informatique émetteur 401 est mis en correspondance avec une adresse du dispositif de communication 402 sur le deuxième support de communication. Au cours d'une opération de transmission 415 d'une partie de ladite trace, au moins une partie de la trace déterminée au cours de l'opération 413 est transmise par le système informatique récepteur 403 au premier dispositif de communication 402. Par exemple, l'opération de transmission 415 comporte au cours de l'opération de troncature 416 au cours de laquelle la trace déterminée au cours de l'opération 413 est trouquce et le résultat de ladite troncature est transmis au premier dispositif de communication 402. Au cours d'une opération de réception 417, ladite partie de trace est re, cue par le système informatique émetteur 401. Par exemple, le premier dispositif de communication 402 affiche ladite trace sur un écran de visualisation et l'utilisateur du premier dispositif de communication 402 tape ladite trace sur un clavier du système informatique émetteur 401. Selon des variantes, l'utilisateur émetteur dicte ladite partie de trace qui est reconnue par un système de reconnaissance de voix ou l'utilisateur émetteur fournit ladite partie de trace au système informatique émetteur 401 par le biais d'une interface utilisateur quelconque. Au cours d'une opération de transmission de ladite partie trace 418, ladite partie de trace est transmise depuis le système informatique émetteur 401 au système informatique récepteur 403. Au cours d'une opération de vérification 419, le système informatique récepteur vérifie la correspondance de la partie de trace reçue par le système informatique récepteur 403 avec la trace générée par le système informatique récepteur 403. La correspondance est. dans l'exemple de la figure 4, une égalité entre la trace émise et la trace recue. S' il n' y a pas correspondance, le système informatique récepteur indique à l'utilisateur émetteur qu'il n'a pas été authentifié, par le biais du premier support de communication ou par le biais du deuxième support de communication et invite l'utilisateur émetteur à recommencer les opérations illustrées en figure 4. 18 2823930 S'il y a correspondance, au cours d'une opération de mise en correspondance 420, le système informatique récepteur 403 met en correspondance lesdites données avec une clé publique de l'utilisateur émeKeur. Au cours d'une opération de communication 421, le système informatique récepteur 403 transmet un message, par exemple un courrier électronique, à 1'utilisateur destinataire l'invitant à se connecter par le biais du troisième support de communication au système informatique récepteur 403. Au cours d'une opération de connexion 422,1'utilisateur destinataire effectue la connexion entre le système informatique destinataire 405 et le système informatique récepteur 403. Au cours d'une opération de génération d'une information confidentielle 423, le système informatique récepteur 403 génère une information confidentielle. Au cours d'une opération de transmission 424, le dispositif récepteur 403 transmet ladite information confidentielle au deuxième dispositif de corumunication 404, par le biais du deuxième support de communication. Au cours d'une opération de réception 425, ladite information confidentielle est reçue par le système informatique destinataire 405. Par exemple, le deuxième dispositif de communication 404 affiche ladite inforrnation confidentielle sur un écran de visualisation et l'utilisateur du deuxième dispositif de communication 404 tape ladite information confidentielle sur un clavier du système informatique destinataire 405. Selon des variantes, l'utilisateur destinataire dicte ladite information confidentielle qui est reconnue par un système de reconnaissance de voix ou l'utilisateur destinataire fournit ladite information confidentielle au système informatique destinataire 405 par le biais d'une interface utilisateur quelconque. Au cours d'une opération de transmission de ladite information confidentielle 426, ladite information confidentielle est transmise depuis le système informatique destinataire 405 au système informatique récepteur 403. Au cours d'une opération de vérification de correspondance 427, le système informatique récepteur 403 vérifie la correspondance entre l'information confidentielle transmise par le système informatique récepteur 403 et 1'information confidentielle reçue par le système informatique récepteur 403. S'il n'y a pas correspondance, le dispositif informatique récepteur 403 indique à l'utilisateur destinataire qu'il n'a pas été authentifié, par le biais du troisième ou du quatrième support de communication et l' invite à recommencer les opérations 422 et suivantes. 19 2823930 Lorsqu'il y a correspondance, au cours d'une opération de transmission des données au système informatique destinataire 428, le système informatique récepteur 403 transmet au système informatique destinataire 405 les données à transmettre. Prétérentiellement, le système informatique 403 transmet conjointement aux données à transmettre: - une clé publique de l'utilisateur émetteur au système informatique destinataire 405, - la trace desdites données à kansmettre calculée au cours de l'opération, et - un programme permettant de déterminer ledit condensa desdites données. Au cours d'une opération 429, le système informatique destinataire détermine le codensâ desdites données à transmettre calculé au cours de l'opération 413 et utilise la clé publique reçue au cours de l'opération 428 pour déterminer le condensa desdites données qui a servi à générer la trace transmise au cours de l'opération 428. Lorsque les deux condensa sont égaux, l'utilisateur destinataire a l'assurance que c'est l'utilisateur émetteur qui a transmis les données à transmettre et que ces données n'ont pas été modifées depuis qu'elles ont été transmises par l'utilisateur émetteur. Selon des variantes, les opérations présentées en figures 1, 2 ou 3 et les opérations présentées en fgure 4 sont combinces de telle manière que, dans ces variantes, une clé jetable est utilisée pour la transmission des donnces d'un système informatique à un autre et une trace qui dépend des données à transmettre et, éventuellement d'une clé privée de l'utilisateur émetteur, est mise en oeuvre. 1 2823930 REVENDICATIONS 1. Procédé de signature, caractérisé en ce qu'il comporte: - une étape d'attribution d'une signature à un utilisateur, - une étape d'ouverture d'une session de communication, sur un réseau informatique, entre un système informatique émetteur et un système informatique récepteur distant, - une étape d'authentification de l'utilisateur dudit système informatique émetteur, - une étape de transmission, depuis le système informatique émetteur au système informatique récepteur distant, par l'intermédiaire du réseau informatique, d'une information représentative de données à signer, - une étape de signature, par le système informatique récepteur distant, avec la signature attribuce à l'utilisateur, de l'information représentative des données à signer, et - lorsqu'un destinataire du document souhaite vérifier l'authenticité desdites donnces, une étape de vérification de la signature de l'information représentative desdites données. 2. Procédé selon la revendication 1, caractérisé en ce que ladite signature attribuée à l'utilisateur est une clé privée d'une paire de signatures conformes à l'infrastructure à clés publiques PKI. 3. Procédé selon l'une quelcouque des revendications 1 ou 2, caractérisé en ce qu'il comporte une étape de mémorisation, par le système informatique récepteur distant, de ladite signature attribuce à l'utilisateur. 4. Procédé selon l'une quelconque des revendications 1 à 3, caractérisé en ce que l'information représentative des données à signer est un condensat desdites données. 5. Procédé selon l'une quelconque des revendications 1 à 4, caractérisé en ce que l'étape de transmission de l'information représentative desdites données est effectuée en mode crypté. 6. Procédé selon l'une quelcouque des revendications 1 ou 5, caractérisé en ce que au moins une étape de transmission de l'information représentative desdites donnces comporte une étape de transmission, par le système informatique récepteur distant audit système informatique émetteur d'une routine applicative. 7. Procédé selon l'une quelconque des revendications 1 à 6, caractérisé en ce qu'il comporte, pour chaque étape de signature de données, une étape de génération d'un certificat par le système informatique récepteur distant, ledit certifcat étant mis en oeuvre 2 2823930 par le système informatique émetteur, au cours de l'étape de transmission de l'information représentative des données et une étape de révocation dudit certificat après l'étape de transmission de l'information représentative des données. 8. Procédé selon l'une quelcouque des revendications 1 à 7, caractérisé en ce que 1'étape d'authentification de l'utilisateur comporte une étape de transmission, sur un terminal d'un réseau de télécommunication, différent du système informatique émetteur, d'une information non prédictible et une étape de transmission de l'information non prédictible, depuis le système informatique émetteur au système informatique récepteur distant. 9. Procédé selon l'une quelcouque des revendications 1 à 8, caractérisé en ce que l'étape d'attribution de signature et l'étape de signature sont effectuées sur deux sous-systèmes informatiques distants reliés par un réseau informatique. 10. Procédé selon l'une quelconque des revendications 1 à 9, caractérisé en ce que l'étape de signature comporte une étape d'association d'une date et d'une heure aux donnces transmises, et au cours de l'étape de vérification de signature, la date de la signature est mise à disposition du tiers. 8. Procédé de certification selon l'une quelconque des revendications 1 à 7, caractérisé en ce qu'il comporte une opération 11. Procédé selon l'une quelconque des revendications 1 ou 10, caractérisé en ce qu'il comporte une étape de mémorisation de chaque étape de signature effectuce par le système informatique récepteur distant. 12. Procédé de certification selon l'une quelconque des revendications 1 à 11, caractérisé en ce que l'étape de signature comporte une opération de substitution, à un certificat mis en oeuvre au cours de l'étape de transmission de l'information représentative desdites données, la signature attribuée à l'utilisateur pour signer ladite information avec ladite signature. 13. Procédé de certification selon l'une quelconque des revendications 1 à 11, caractérisé en ce que, au cours de l'étape de vérification de signature, le tiers met en oeuvre une signature publique attribuée à l'utilisateur du système informatique émetteur au cours de