utiliser certificat impots pour signer mail

Erwann ABALEA

17/01/2005 à 00:49

On Sun, 16 Jan 2005 wrote:

1/ quelqu'un a t-il réussi à utiliser le certificat teleIR délivré
par le service des impots français pour signer un mail, dans outlook
par exemple?

Il devrait être utilisable sans trop de problème: il n'y a aucune
extension bizarre (à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique. Normalement, tu peux faire de la
signature avec, sauf avec certains descendants de Netscape/Mozilla. J'ai
vérifié mon certificat de 2002, pas celui que j'ai obtenu l'an dernier.

Pourquoi cette question? Tu n'as pas réussi à l'importer dans ton Outlook?

2/ ma question est elle stupide ? - lol

Non. C'est un certificat que tu as payé (par tes impôts), valable 3 ans,
et qui te donne une garantie somme toute assez bonne.

En 2006 (donc pas la prochaine campagne, celle d'après), tu devrais avoir
un certificat qui autorise aussi le chiffrement. Royal. ;)

--
Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5
-----
Il y a un festnoz retransmis en realaudio. La transmission est, sauf erreur
assurée par oleane:impossible d'avoir image ou son...Que passa ????
Trop de bretons connectés en même temps ? Ou bien pb avec ci ???
-+-TS in : GNU - Ils ont plein de connexions, vive la bretagne -+-

Jean-Marc Desperrier

17/01/2005 à 13:38

Erwann ABALEA wrote:

On Sun, 16 Jan 2005 wrote:
1/ quelqu'un a t-il réussi à utiliser le certificat teleIR délivré
par le service des impots français pour signer un mail, dans outlook
par exemple?

Il devrait être utilisable sans trop de problème: il n'y a aucune
extension bizarre (à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique. Normalement, tu peux faire de la
signature avec, sauf avec certains descendants de Netscape/Mozilla.

Comme il n'y a pas d'adresse mail dedans, il est plutôt inutilisable
pour la signature demail.

Je ne suis pas sûr que Outlook accepte de l'importer, Mozilla oui, mais
cela te fait envoyer des message dont la vérification signalera
systématiquement au minimum une erreur de non correspondance de l'adresse.

ersatx

17/01/2005 à 18:26

pour info, n'ai réussi à l'importer ni dans outlook express, ni dans
mozilla thunderbird

Erwann ABALEA

18/01/2005 à 01:26

On Mon, 17 Jan 2005, Jean-Marc Desperrier wrote:

Tiens, salut JieM.

Erwann ABALEA wrote:
On Sun, 16 Jan 2005 wrote:
1/ quelqu'un a t-il réussi à utiliser le certificat teleIR délivré
par le service des impots français pour signer un mail, dans outlook
par exemple?

Il devrait être utilisable sans trop de problème: il n'y a aucune
extension bizarre (à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique. Normalement, tu peux faire de la
signature avec, sauf avec certains descendants de Netscape/Mozilla.

Comme il n'y a pas d'adresse mail dedans, il est plutôt inutilisable
pour la signature demail.

Exact. C'est vrai qu'il n'y a pas d'adresse email, j'avais oublié. Je
viens de regarder dans la RFC2312, l'adresse email est obligatoire pour un
end-user. A mon avis, c'est par soucis de simplification pour
l'utilisateur final. Cette contrainte n'existe pas dans PGP, et je suis
certain que je peux utiliser mon certificat DGI pour signer du courrier
avec mutt. Dans les 2 cas, l'utilisateur ne saura pas si c'est bien mon
compte mail qui a envoyé ce message, mais ça n'a aucune importance, ce qui
compte, c'est bien que le contenu du message soit lié à mon identité.
D'ailleurs, un attaquant qui aurait réussi à me faire signer un message
quelconque serait bien con pour ne pas arriver à placer mon adresse dans
le 'From:' du courrier...

J'ai donc bien l'impression que cette contrainte sur l'adresse email est
artificielle.

Je ne suis pas sûr que Outlook accepte de l'importer, Mozilla oui, mais
cela te fait envoyer des message dont la vérification signalera
systématiquement au minimum une erreur de non correspondance de l'adresse.

Ce qui est bien inutile... mutt ne devrait rien dire sur ce coup là, je
suis certain qu'il se fout de savoir qui a soit-disant envoyé le
message... (et il a bien raison).

--
Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5
-----
J > Y sont pas normaux chez Teaser. Ils refusent les abonnements.
JRV> Mais si. Nous avons tous 5 bras, 2 tetes et 4 oreilles :-)
Manque juste les yeux et quelque autre outil fort utile.
-+- Wolf in GNU : À la queue comme tout le monde -+-

On Mon, 17 Jan 2005, Jean-Marc Desperrier wrote:

Tiens, salut JieM.

Erwann ABALEA wrote:

On Sun, 16 Jan 2005 ersatx@gmail.com wrote:

1/ quelqu'un a t-il réussi à utiliser le certificat teleIR délivré
par le service des impots français pour signer un mail, dans outlook
par exemple?

Il devrait être utilisable sans trop de problème: il n'y a aucune
extension bizarre (à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique. Normalement, tu peux faire de la
signature avec, sauf avec certains descendants de Netscape/Mozilla.

Comme il n'y a pas d'adresse mail dedans, il est plutôt inutilisable
pour la signature demail.

Exact. C'est vrai qu'il n'y a pas d'adresse email, j'avais oublié. Je
viens de regarder dans la RFC2312, l'adresse email est obligatoire pour un
end-user. A mon avis, c'est par soucis de simplification pour
l'utilisateur final. Cette contrainte n'existe pas dans PGP, et je suis
certain que je peux utiliser mon certificat DGI pour signer du courrier
avec mutt. Dans les 2 cas, l'utilisateur ne saura pas si c'est bien mon
compte mail qui a envoyé ce message, mais ça n'a aucune importance, ce qui
compte, c'est bien que le contenu du message soit lié à mon identité.
D'ailleurs, un attaquant qui aurait réussi à me faire signer un message
quelconque serait bien con pour ne pas arriver à placer mon adresse dans
le 'From:' du courrier...

J'ai donc bien l'impression que cette contrainte sur l'adresse email est
artificielle.

Je ne suis pas sûr que Outlook accepte de l'importer, Mozilla oui, mais
cela te fait envoyer des message dont la vérification signalera
systématiquement au minimum une erreur de non correspondance de l'adresse.

Ce qui est bien inutile... mutt ne devrait rien dire sur ce coup là, je
suis certain qu'il se fout de savoir qui a soit-disant envoyé le
message... (et il a bien raison).

--
Erwann ABALEA <erwann@abalea.com> - RSA PGP Key ID: 0x2D0EABD5
-----
J > Y sont pas normaux chez Teaser. Ils refusent les abonnements.
JRV> Mais si. Nous avons tous 5 bras, 2 tetes et 4 oreilles :-)
Manque juste les yeux et quelque autre outil fort utile.
-+- Wolf in GNU : À la queue comme tout le monde -+-

Vous avez filtré cet utilisateur ! Consultez son message

On Mon, 17 Jan 2005, Jean-Marc Desperrier wrote:

Tiens, salut JieM.

Erwann ABALEA wrote:
On Sun, 16 Jan 2005 wrote:
1/ quelqu'un a t-il réussi à utiliser le certificat teleIR délivré
par le service des impots français pour signer un mail, dans outlook
par exemple?

Il devrait être utilisable sans trop de problème: il n'y a aucune
extension bizarre (à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique. Normalement, tu peux faire de la
signature avec, sauf avec certains descendants de Netscape/Mozilla.

Comme il n'y a pas d'adresse mail dedans, il est plutôt inutilisable
pour la signature demail.

Exact. C'est vrai qu'il n'y a pas d'adresse email, j'avais oublié. Je
viens de regarder dans la RFC2312, l'adresse email est obligatoire pour un
end-user. A mon avis, c'est par soucis de simplification pour
l'utilisateur final. Cette contrainte n'existe pas dans PGP, et je suis
certain que je peux utiliser mon certificat DGI pour signer du courrier
avec mutt. Dans les 2 cas, l'utilisateur ne saura pas si c'est bien mon
compte mail qui a envoyé ce message, mais ça n'a aucune importance, ce qui
compte, c'est bien que le contenu du message soit lié à mon identité.
D'ailleurs, un attaquant qui aurait réussi à me faire signer un message
quelconque serait bien con pour ne pas arriver à placer mon adresse dans
le 'From:' du courrier...

J'ai donc bien l'impression que cette contrainte sur l'adresse email est
artificielle.

Je ne suis pas sûr que Outlook accepte de l'importer, Mozilla oui, mais
cela te fait envoyer des message dont la vérification signalera
systématiquement au minimum une erreur de non correspondance de l'adresse.

Ce qui est bien inutile... mutt ne devrait rien dire sur ce coup là, je
suis certain qu'il se fout de savoir qui a soit-disant envoyé le
message... (et il a bien raison).

--
Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5
-----
J > Y sont pas normaux chez Teaser. Ils refusent les abonnements.
JRV> Mais si. Nous avons tous 5 bras, 2 tetes et 4 oreilles :-)
Manque juste les yeux et quelque autre outil fort utile.
-+- Wolf in GNU : À la queue comme tout le monde -+-

Sylvain

18/01/2005 à 01:44

pour info, n'ai réussi à l'importer ni dans outlook express

ça tombe bien, on n'"importe" pas dans outlook.

Outlook et OE parcourt le "magasin de certificats" ou "cert store" (dans
lequel on peut importer) pour dénicher et présenter à la sélection les
certs éligibles.

Outlook étant un mailer (si, si) il ne sélectionne que les certs
contenant un champ e-mail (OID: 1.2.840.113549.1.9.1) pour lesquels
l'adresse correspond au compte mail courant.

Sylvain.

Christophe HENRY

18/01/2005 à 01:58

Comme il n'y a pas d'adresse mail dedans, il est plutôt inutilisable
pour la signature demail.

...
compte, c'est bien que le contenu du message soit lié à mon identité.
D'ailleurs, un attaquant qui aurait réussi à me faire signer un message
quelconque serait bien con pour ne pas arriver à placer mon adresse dans
le 'From:' du courrier...
J'ai donc bien l'impression que cette contrainte sur l'adresse email est
artificielle.

Pas obligatoirement. Lorsque je publie sur une liste, bien souvent les
lecteurs n'ont que mon adresse de courriel pour le premier contact. Et mon
identité est confondue avec cette adresse, que la signature électronique
(gnupg+thunderbird+enigmail) authentifie par la suite.

Tout dépend en fait de la méthode pour relier l'identité au certificat.
Et encore, si tu m'envoies un courriel signé de la sorte je ferais le
lien entre ton adresse de courriel et ton certificat. Mais je ne pourrais
pas vérifier la conformité de ton certificat avec la DGI pour vérifier
ton état civil.

--
Christophe HENRY
(sans lkm)
GnuPG : 3922239E60036EC86BF7268A877C52AC 4883C02A

Sylvain

18/01/2005 à 02:04

On Sun, 16 Jan 2005 wrote:

[..] à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique

plus exactement c'est une "extension" (as per PKCS6) identifiant
"l'énoncé des pratiques de certification de l'autorité signataire",
ici l'extension est dite "critique" (FFh == true) mais aucune valeur de
l'extension n'est fournie.

Non. C'est un certificat que tu as payé (par tes impôts), valable 3 ans,
et qui te donne une garantie somme toute assez bonne.

garantie .. sécuritaire ? un P.12 (une clé et son cert) stocké dans un

cert store logique (sur disque) et donc non protégé par code porteur est
loin d'être sur.

garantie .. d'identité ? vous connaissez réellement des serveurs qui
téléchargent les CRL de la direction générale des impots ??

En 2006 (donc pas la prochaine campagne, celle d'après), tu devrais avoir
un certificat qui autorise aussi le chiffrement. Royal. ;)

euh un second cert/clé j'espère, sinon (chiffrer avec sa clé de
signature) ce sera une bétise de plus.

Sylvain.

Erwann ABALEA

18/01/2005 à 12:00

On Tue, 18 Jan 2005, Sylvain wrote:

On Sun, 16 Jan 2005 wrote:

[..] à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique

plus exactement c'est une "extension" (as per PKCS6) identifiant
"l'énoncé des pratiques de certification de l'autorité signataire",

La norme X.509 ne se réfère pas au PKCS#6, pas besoin. Les extensions des
certificats sont complètement définis dans la norme X.509.

ici l'extension est dite "critique" (FFh == true) mais aucune valeur de
l'extension n'est fournie.

Vous confondez. Il n'y a pas d'extension critique dans les certificats
TeleIR v1. Je parlais de l'extension d'OID 2.16.840.1.113733.1.6.9, qui
n'est qu'un booléen. La branche 2.16.840.1.113733 appartient à VeriSign,
et l'extension en question signifie simplement que le certificat a été
délivré en utilisant leur plate forme "OnSite" (rien de bandant donc). Le
FFh, c'est la valeur du booléen de l'extension, pas la criticité de cette
extension.

Non. C'est un certificat que tu as payé (par tes impôts), valable 3 ans,
et qui te donne une garantie somme toute assez bonne.

garantie .. sécuritaire ? un P.12 (une clé et son cert) stocké dans un

cert store logique (sur disque) et donc non protégé par code porteur est
loin d'être sur.

Comment ça non protégé par code porteur? Tu n'as pas saisi de mot de passe
pour sauvegarder ton PKCS#12? C'est ton problème alors.

garantie .. d'identité ? vous connaissez réellement des serveurs qui
téléchargent les CRL de la direction générale des impots ??

Un utilisateur peut configurer son logiciel de courrier pour télécharger
*la* CRL, mais honnètement, il ne devrait pas le faire. Elle fait 20 Mo
environ, contient 576022 certificats révoqués (aujourd'hui), bouffe
environ 70 Mo de RAM une fois parsée par OpenSSL. Je pense qu'on devrait
atteindre les 40Mo à la fin de la prochaine campagne.
C'est énorme et dérisoire. ;)

En 2006 (donc pas la prochaine campagne, celle d'après), tu devrais avoir
un certificat qui autorise aussi le chiffrement. Royal. ;)

euh un second cert/clé j'espère, sinon (chiffrer avec sa clé de
signature) ce sera une bétise de plus.

Non, un seul bi-clefs. Ca n'est pas une si grosse bétise que ça, tant que
tu choisis une taille de clefs raisonnable.

Mais avec la très bonne remarque de Jean-Marc, le chiffrement tombe à
l'eau, pas d'email non plus dans la v2.

--
Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5
-----
Si, en plus, vous cryptez les messages de la bague en PGP, et
utilisez un réseau de pigeons remailers, vous pouvez garantir votre
anonymat le plus total.
-+- CdO in GNU : Le colombocryptophile anonyme -+-

On Tue, 18 Jan 2005, Sylvain wrote:

On Sun, 16 Jan 2005 ersatx@gmail.com wrote:

[..] à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique

plus exactement c'est une "extension" (as per PKCS6) identifiant
"l'énoncé des pratiques de certification de l'autorité signataire",

La norme X.509 ne se réfère pas au PKCS#6, pas besoin. Les extensions des
certificats sont complètement définis dans la norme X.509.

ici l'extension est dite "critique" (FFh == true) mais aucune valeur de
l'extension n'est fournie.

Vous confondez. Il n'y a pas d'extension critique dans les certificats
TeleIR v1. Je parlais de l'extension d'OID 2.16.840.1.113733.1.6.9, qui
n'est qu'un booléen. La branche 2.16.840.1.113733 appartient à VeriSign,
et l'extension en question signifie simplement que le certificat a été
délivré en utilisant leur plate forme "OnSite" (rien de bandant donc). Le
FFh, c'est la valeur du booléen de l'extension, pas la criticité de cette
extension.

Non. C'est un certificat que tu as payé (par tes impôts), valable 3 ans,
et qui te donne une garantie somme toute assez bonne.

garantie .. sécuritaire ? un P.12 (une clé et son cert) stocké dans un

cert store logique (sur disque) et donc non protégé par code porteur est
loin d'être sur.

Comment ça non protégé par code porteur? Tu n'as pas saisi de mot de passe
pour sauvegarder ton PKCS#12? C'est ton problème alors.

garantie .. d'identité ? vous connaissez réellement des serveurs qui
téléchargent les CRL de la direction générale des impots ??

Un utilisateur peut configurer son logiciel de courrier pour télécharger
*la* CRL, mais honnètement, il ne devrait pas le faire. Elle fait 20 Mo
environ, contient 576022 certificats révoqués (aujourd'hui), bouffe
environ 70 Mo de RAM une fois parsée par OpenSSL. Je pense qu'on devrait
atteindre les 40Mo à la fin de la prochaine campagne.
C'est énorme et dérisoire. ;)

En 2006 (donc pas la prochaine campagne, celle d'après), tu devrais avoir
un certificat qui autorise aussi le chiffrement. Royal. ;)

euh un second cert/clé j'espère, sinon (chiffrer avec sa clé de
signature) ce sera une bétise de plus.

Non, un seul bi-clefs. Ca n'est pas une si grosse bétise que ça, tant que
tu choisis une taille de clefs raisonnable.

Mais avec la très bonne remarque de Jean-Marc, le chiffrement tombe à
l'eau, pas d'email non plus dans la v2.

--
Erwann ABALEA <erwann@abalea.com> - RSA PGP Key ID: 0x2D0EABD5
-----
Si, en plus, vous cryptez les messages de la bague en PGP, et
utilisez un réseau de pigeons remailers, vous pouvez garantir votre
anonymat le plus total.
-+- CdO in GNU : Le colombocryptophile anonyme -+-

Vous avez filtré cet utilisateur ! Consultez son message

On Tue, 18 Jan 2005, Sylvain wrote:

On Sun, 16 Jan 2005 wrote:

[..] à part une extension privée VeriSign qui n'est qu'un
booléen), aucune extension critique

plus exactement c'est une "extension" (as per PKCS6) identifiant
"l'énoncé des pratiques de certification de l'autorité signataire",

La norme X.509 ne se réfère pas au PKCS#6, pas besoin. Les extensions des
certificats sont complètement définis dans la norme X.509.

ici l'extension est dite "critique" (FFh == true) mais aucune valeur de
l'extension n'est fournie.

Vous confondez. Il n'y a pas d'extension critique dans les certificats
TeleIR v1. Je parlais de l'extension d'OID 2.16.840.1.113733.1.6.9, qui
n'est qu'un booléen. La branche 2.16.840.1.113733 appartient à VeriSign,
et l'extension en question signifie simplement que le certificat a été
délivré en utilisant leur plate forme "OnSite" (rien de bandant donc). Le
FFh, c'est la valeur du booléen de l'extension, pas la criticité de cette
extension.

Non. C'est un certificat que tu as payé (par tes impôts), valable 3 ans,
et qui te donne une garantie somme toute assez bonne.

garantie .. sécuritaire ? un P.12 (une clé et son cert) stocké dans un

cert store logique (sur disque) et donc non protégé par code porteur est
loin d'être sur.

Comment ça non protégé par code porteur? Tu n'as pas saisi de mot de passe
pour sauvegarder ton PKCS#12? C'est ton problème alors.

garantie .. d'identité ? vous connaissez réellement des serveurs qui
téléchargent les CRL de la direction générale des impots ??

Un utilisateur peut configurer son logiciel de courrier pour télécharger
*la* CRL, mais honnètement, il ne devrait pas le faire. Elle fait 20 Mo
environ, contient 576022 certificats révoqués (aujourd'hui), bouffe
environ 70 Mo de RAM une fois parsée par OpenSSL. Je pense qu'on devrait
atteindre les 40Mo à la fin de la prochaine campagne.
C'est énorme et dérisoire. ;)

En 2006 (donc pas la prochaine campagne, celle d'après), tu devrais avoir
un certificat qui autorise aussi le chiffrement. Royal. ;)

euh un second cert/clé j'espère, sinon (chiffrer avec sa clé de
signature) ce sera une bétise de plus.

Non, un seul bi-clefs. Ca n'est pas une si grosse bétise que ça, tant que
tu choisis une taille de clefs raisonnable.

Mais avec la très bonne remarque de Jean-Marc, le chiffrement tombe à
l'eau, pas d'email non plus dans la v2.

--
Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5
-----
Si, en plus, vous cryptez les messages de la bague en PGP, et
utilisez un réseau de pigeons remailers, vous pouvez garantir votre
anonymat le plus total.
-+- CdO in GNU : Le colombocryptophile anonyme -+-

Jean-Marc Desperrier

18/01/2005 à 17:32

Erwann ABALEA wrote:

Un utilisateur peut configurer son logiciel de courrier pour télécharger
*la* CRL, mais honnètement, il ne devrait pas le faire.

Si, si, excellent test pour les capacités des logiciels :-)

Elle fait 20 Mo
environ, contient 576022 certificats révoqués (aujourd'hui), bouffe
environ 70 Mo de RAM une fois parsée par OpenSSL. Je pense qu'on devrait
atteindre les 40Mo à la fin de la prochaine campagne.
C'est énorme et dérisoire. ;)

Au moins cela peut servir d'exemple montrant de manière définitive que 3
ans de validités, c'est beaucoup trop pour des certificats destinés au
grand public, et que la bonne solution est un renouvellement automatisé
sans aucun manipulation pour quand ils reviennent l'année suivante.

Patrick Mevzek

18/01/2005 à 17:36

garantie .. d'identité ? vous connaissez réellement des serveurs qui
téléchargent les CRL de la direction générale des impots ??

Un utilisateur peut configurer son logiciel de courrier pour télécharger
*la* CRL, mais honnètement, il ne devrait pas le faire.

Ah tient ? Ce n'est pas à l'utilisateur d'assurer la validité des
certificats utilisés en assurant que son logiciel préféré utilise bien
les CRLs ?
Marrant ca, j'avais cru comprendre le contraire sur fr.comp.securite...

--
Patrick Mevzek . . . . . . Dot and Co (Paris, France)
<http://www.dotandco.net/> <http://www.dotandco.com/>
Dépêches sur le nommage <news://news.dotandco.net/dotandco.info.news>

utiliser certificat impots pour signer mail

10 réponses

Veuillez sélectionner un problème