La non-répudiation désigne, en cybersécurité, l’impossibilité pour l’auteur d’une action numérique de nier l’avoir accomplie. Ce mécanisme lie de façon vérifiable une personne ou une entité à un événement précis : envoi d’un message, signature d’un document, exécution d’une commande sur un serveur. La non-répudiation repose sur des preuves techniques suffisamment robustes pour qu’aucune des parties impliquées ne puisse contester sa participation après coup.
Différence entre traçabilité, imputabilité et non-répudiation
Ces trois notions sont souvent confondues. Elles interviennent pourtant à des niveaux distincts de la chaîne de preuve.
Lire également : Qu’est-ce que la cyber-vulnérabilité ?
La traçabilité consiste à enregistrer les actions dans un journal horodaté : qui s’est connecté, quel fichier a été modifié, à quelle heure. C’est une brique passive, un historique brut.
L’imputabilité va plus loin : elle attribue chaque action enregistrée à un compte utilisateur identifié. Un journal qui note « l’utilisateur admin a supprimé la table clients à 14 h 12 » fait de l’imputabilité.
Lire également : Qu'est-ce qui consomme le plus, le wifi ou le 5G ?
La non-répudiation, elle, ajoute une garantie : l’auteur ne peut pas contester la preuve. Pour y parvenir, un simple journal ne suffit pas. Il faut un mécanisme cryptographique (signature numérique, horodatage de confiance) qui rend l’enregistrement infalsifiable. Sans cette couche, un utilisateur peut toujours prétendre que le journal a été modifié ou que quelqu’un d’autre a utilisé son compte.
Signature numérique et certificat : le socle technique de la non-répudiation
Le mécanisme le plus répandu pour garantir la non-répudiation repose sur la signature numérique associée à un certificat électronique. Le principe est asymétrique : le signataire utilise sa clé privée pour signer, et n’importe quel destinataire peut vérifier cette signature avec la clé publique correspondante.
Une distinction technique mérite d’être posée clairement. La signature numérique ne prouve pas, à elle seule, l’identité civile du signataire. Elle établit qu’une clé privée précise a servi à signer un contenu donné. L’attribution à une personne physique dépend ensuite de la qualité du certificat et de la chaîne de confiance qui le soutient. Le NIST documente cette distinction, notamment dans FIPS 186-5.
Le certificat électronique joue le rôle de tiers de confiance. Il associe une clé publique à une identité vérifiée par une autorité de certification. Sans ce lien, la signature reste orpheline : on sait qu’une clé a signé, mais pas à qui elle appartient.
Horodatage de confiance : prouver le « quand »
Un point souvent négligé concerne la preuve temporelle. Un champ de date inscrit dans un document peut être modifié ou antidaté. Pour démontrer qu’une signature existait à un moment donné, il faut un horodatage de confiance délivré par un tiers, qui lie l’événement à une référence temporelle vérifiable et indépendante du signataire. Le NIST SP 800-102 distingue explicitement l’heure déclarée par le signataire d’une preuve temporelle fiable.
Failles courantes qui neutralisent la non-répudiation
Mettre en place une signature numérique ne suffit pas si l’environnement autour est fragile. Plusieurs pratiques courantes en entreprise fragilisent, voire annulent, la non-répudiation.
- Les comptes ou clés de signature partagés entre plusieurs personnes empêchent d’attribuer une action à un individu précis. La signature prouve alors qu’une organisation a agi, mais pas quelle personne au sein de cette organisation. Le NIST SP 800-53 (révision 5) recommande l’attribution individuelle des sessions et l’élévation de privilèges juste à temps pour compenser ce risque.
- Des journaux stockés sur le même système que celui qu’ils surveillent peuvent être altérés par un administrateur malveillant. Le stockage indépendant des journaux est une mesure compensatoire documentée dans les référentiels de sécurité.
- L’absence de synchronisation horaire entre serveurs (protocole NTP mal configuré, horloges décalées) rend les horodatages incohérents et contestables devant un auditeur ou un tribunal.
Ces failles ne sont pas théoriques. Elles apparaissent régulièrement lors d’audits de conformité, où l’on découvre que la preuve technique existe mais ne résiste pas à une contestation formelle.
Non-répudiation et règlement eIDAS : le cadre juridique européen
La dimension technique ne prend sa pleine valeur que si elle s’inscrit dans un cadre juridique reconnu. En Europe, le règlement eIDAS encadre les signatures électroniques, les services de confiance et la création de signatures à distance.
eIDAS distingue trois niveaux de signature électronique. Seule la signature électronique qualifiée bénéficie d’une présomption légale d’équivalence avec la signature manuscrite. Elle repose sur un certificat qualifié délivré par un prestataire de services de confiance supervisé, et sur un dispositif de création de signature sécurisé.
Ce cadre a une conséquence directe sur la non-répudiation : une signature qualifiée au sens d’eIDAS rend la contestation juridiquement très difficile. Le signataire ne peut pas simplement affirmer « ce n’était pas moi » sans apporter la preuve que sa clé a été compromise.
Signatures à distance et prestataires de confiance
eIDAS encadre aussi les prestataires qui hébergent les clés de signature pour le compte des utilisateurs, un modèle de plus en plus courant avec la dématérialisation. Dans ce cas, la non-répudiation repose sur la fiabilité du prestataire et sur les mécanismes d’authentification forte qui protègent l’accès à la clé distante.
Lien entre non-répudiation et triade CIA en cybersécurité
La triade CIA (confidentialité, intégrité, disponibilité) constitue le socle classique de la sécurité des systèmes d’information. La non-répudiation prolonge ce modèle en s’appuyant sur l’intégrité : si les données ou les journaux peuvent être altérés, la preuve s’effondre.
Elle ajoute une dimension que la triade ne couvre pas directement : la responsabilité individuelle vérifiable. Un système peut être parfaitement confidentiel et intègre tout en étant incapable de prouver qui a fait quoi. La non-répudiation comble ce manque.
Dans les organisations soumises à des obligations de conformité (secteur financier, santé, administrations), cette propriété n’est pas un complément optionnel. Elle conditionne la recevabilité des preuves numériques en cas de litige ou d’incident de sécurité, et transforme un simple journal d’événements en pièce opposable.
