La déclaration des revenus en ligne semble fonctionner à
merveille pour la plupart des utilisateurs (windows+IE).
En revanche avec Linux et Mozilla, je ne m'en serais pas tiré
sans les conseils des utilisateurs qui ont essuyé les plâtres
les années précédentes:
- Upgrader le JRE.
- chmod a+w /usr/java/jre*/lib/ext/ (sauf pour les courageux
qui naviguent sous root...)
- LANG=en_US.ISO-8859-1 (l'applet ne sait pas signer l'UTF-8 ?)
- Toujours exécuter Mozilla dans le même répertoire, sinon
l'applet ne retrouve pas ses fichiers.
D'où quelques interrogations sur cette infrastructure lourde qui
mélange cookies, javascript, java et SSL, alors que les banques
et sites marchands se contentent de SSL et de mots de passe.
- A t-elle une autre utilité que de garantir la non-répudiation
des déclarations ?
- Est-ce raisonnable, sachant que l'utilisateur doit installer
une applet opaque (voire obfusquée) et lui donner accès en
lecture et écriture au disque, alors que la non-répudiation
exigerait que la DGI n'ait strictement aucun moyen d'accéder
à la clé privée de l'utilisateur ?
- Que sait-on de teleir_cryptolib.jar ?
- Pourquoi le document à signer n'est-il jamais présenté
à l'utilisateur sous un format neutre et non ambigu ?
Il est vrai qu'on peut voir du XML (sans DTD) au milieu des
traces de débug dans la console Java.
- Pourquoi l'accusé de réception n'est-il pas signé, lui ?
- Ne pouvait-on pas obtenir les mêmes propriétés de sécurité
avec seulement SSL et les fonctions de gestion de certificats
du navigateur ? Un enregistrement d'un HTTP POST SSL avec
authentification forte du serveur et du client ne fournirait-il
pas à la fois la confidentialité, la signature non répudiable,
et l'accusé de réception également non répudiable ?
L'intérêt est de proposer enfin une application grand public qui utilise réellement de la crypto, des certificats X.509, une PKI, pour offrir les mêmes garanties que la même déclaration faite sur papier. Ca fait des années qu'on attend que les navigateurs intègrent des fonctions de signature générique utilisables par script, et rien n'est proposé. [...]
Il faut bien évidemment féliciter la DGI pour son rôle de pionnier dans le développement des téléprocédures en France.
D'un autre côté il est dommage que l'implémentation soit si opaque. Au moindre problème on se retrouve sur la page "erreur proxy", sans aucun détail pour débugger. Nombreuses NullPointerExceptions dans la console (pas très rassurant de la part d'une appli crypto... heureusement que ce n'est pas du C).
Pour la déclaration des revenus, les enjeux sont faibles. Mais cela m'ennuierait que la même infrastructure soit généralisée à des applications plus sensibles (santé ?) et que la presse continue à présenter la signature électronique comme un progrès pour l'usager, alors qu'ici au contraire c'est un élément de preuve qui lui est opposable et qui finira par avoir davantage de poids juridique qu'une signature manuscrite.
Je suggère donc les améliorations suivantes:
- Une procédure qui me permet de générer mon certificat avec le logiciel (ou token) de mon choix. Concrêtement: un formulaire web où je saisis mon nom, mon numéro, le montant de mon dernier impôt et mon certificat en upload, et qui me renvoie mon certificat signé par la DGI. D'ailleurs on peut probablement déjà faire ça en décortiquant teleir_cryptolib.jar et les échanges avec le serveur.
- Une procédure de déclaration par email. Logiquement c'est par là que la PKI devrait se développer. En pratique: J'édite ma déclaration en ligne avec des jolis formulaires en HTML, de l'aide en ligne etc. Puis le serveur me l'envoie par email dans un format non ambigu (XML, ascii). Je signe et je renvoie l'email signé. Idéalement, le serveur m'envoie un accusé de réception signé.
Y a t-il des impossibilités techniques ?
AC
Erwann ABALEA wrote:
L'intérêt est de proposer enfin une application grand public qui utilise
réellement de la crypto, des certificats X.509, une PKI, pour offrir les
mêmes garanties que la même déclaration faite sur papier. Ca fait des
années qu'on attend que les navigateurs intègrent des fonctions de
signature générique utilisables par script, et rien n'est proposé. [...]
Il faut bien évidemment féliciter la DGI pour son rôle de
pionnier dans le développement des téléprocédures en France.
D'un autre côté il est dommage que l'implémentation soit
si opaque. Au moindre problème on se retrouve sur la page
"erreur proxy", sans aucun détail pour débugger.
Nombreuses NullPointerExceptions dans la console (pas très
rassurant de la part d'une appli crypto... heureusement que
ce n'est pas du C).
Pour la déclaration des revenus, les enjeux sont faibles.
Mais cela m'ennuierait que la même infrastructure soit
généralisée à des applications plus sensibles (santé ?)
et que la presse continue à présenter la signature électronique
comme un progrès pour l'usager, alors qu'ici au contraire c'est
un élément de preuve qui lui est opposable et qui finira par
avoir davantage de poids juridique qu'une signature manuscrite.
Je suggère donc les améliorations suivantes:
- Une procédure qui me permet de générer mon certificat avec
le logiciel (ou token) de mon choix. Concrêtement: un
formulaire web où je saisis mon nom, mon numéro, le montant
de mon dernier impôt et mon certificat en upload, et qui me
renvoie mon certificat signé par la DGI.
D'ailleurs on peut probablement déjà faire ça en décortiquant
teleir_cryptolib.jar et les échanges avec le serveur.
- Une procédure de déclaration par email.
Logiquement c'est par là que la PKI devrait se développer.
En pratique: J'édite ma déclaration en ligne avec des jolis
formulaires en HTML, de l'aide en ligne etc. Puis le serveur
me l'envoie par email dans un format non ambigu (XML, ascii).
Je signe et je renvoie l'email signé.
Idéalement, le serveur m'envoie un accusé de réception signé.
L'intérêt est de proposer enfin une application grand public qui utilise réellement de la crypto, des certificats X.509, une PKI, pour offrir les mêmes garanties que la même déclaration faite sur papier. Ca fait des années qu'on attend que les navigateurs intègrent des fonctions de signature générique utilisables par script, et rien n'est proposé. [...]
Il faut bien évidemment féliciter la DGI pour son rôle de pionnier dans le développement des téléprocédures en France.
D'un autre côté il est dommage que l'implémentation soit si opaque. Au moindre problème on se retrouve sur la page "erreur proxy", sans aucun détail pour débugger. Nombreuses NullPointerExceptions dans la console (pas très rassurant de la part d'une appli crypto... heureusement que ce n'est pas du C).
Pour la déclaration des revenus, les enjeux sont faibles. Mais cela m'ennuierait que la même infrastructure soit généralisée à des applications plus sensibles (santé ?) et que la presse continue à présenter la signature électronique comme un progrès pour l'usager, alors qu'ici au contraire c'est un élément de preuve qui lui est opposable et qui finira par avoir davantage de poids juridique qu'une signature manuscrite.
Je suggère donc les améliorations suivantes:
- Une procédure qui me permet de générer mon certificat avec le logiciel (ou token) de mon choix. Concrêtement: un formulaire web où je saisis mon nom, mon numéro, le montant de mon dernier impôt et mon certificat en upload, et qui me renvoie mon certificat signé par la DGI. D'ailleurs on peut probablement déjà faire ça en décortiquant teleir_cryptolib.jar et les échanges avec le serveur.
- Une procédure de déclaration par email. Logiquement c'est par là que la PKI devrait se développer. En pratique: J'édite ma déclaration en ligne avec des jolis formulaires en HTML, de l'aide en ligne etc. Puis le serveur me l'envoie par email dans un format non ambigu (XML, ascii). Je signe et je renvoie l'email signé. Idéalement, le serveur m'envoie un accusé de réception signé.
Y a t-il des impossibilités techniques ?
AC
Erwann ABALEA
On Mon, 4 Apr 2005, Laurent Blume wrote:
Sur ces quatre points: oui, c'est vrai, mais: a) les utilisateurs lambdas, qui vont reformater leur disque après le prochain ver/virus (j'exagère, je sais, mais pas tellement), ne sont pas aptes ni à comprendre, ni à gérer leurs clefs privées.
Tu n'exagères pas tellement... La dernière CRL qu'on ait généré pour la DGI fait environ 23Mo. C'est monstreux, et ça ne contient que les certificats révoqués non expirés (les certificats DGI ont une durée de 3 ans). Cela représente 682463 certificats révoqués. Une proportion supérieure aux 10% qu'on peut attendre classiquement. La population visée et l'utilisation qu'on fait du certificat (1 fois par an) fait que Mme Michu soit: - oublie son mot de passe - oublie de sauvegarder son certif lors de la réinstallation de son PC
Il faut toujours fournir un certificat au client. Et, d'après ce que j'ai entendu dire, il est *nettement* plus difficile de le faire de manière fiable, chaque navigateur ayant sa propre méthode pour les importer (et je ne suis pas sûr du tout que les navigateurs sachent s'authentifier, en tout cas, je ne l'ai jamais vu faire).
Pas exactement. On sait fournir un certificat à l'usager final quel que soit son navigateur (en gros). Ca ne pose aucun problème depuis plusieurs années. Mais ici, on a besoin d'utiliser le certificat pour un usage non prévu par les navigateurs, et ça coince. Pas moyen d'aller causer facilement à la bibliothèque PKCS#11 interne de Netscape/Mozilla à partir d'une applet Java, ni à la CAPI de Windows. Pas moyen de demander au navigateur de faire une signature PKCS#7 avec un formulaire, une heure, et tout le bazar. Donc tout est fait en Java, y'a pas tellement le choix.
-- Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5 ----- J'ai essayé de creer un news un alt.west.virginia ou sur d'autres alt.west.wirginia.xxx mais quand je vais sur ces forums rien n'apparait? l'emetteur d'un new recoit il un avertissement si celui ci est censuré? -+- LM in: Guide du Neuneu d'Usenet - Bien sansurer ses news sur C-I -+-
On Mon, 4 Apr 2005, Laurent Blume wrote:
Sur ces quatre points: oui, c'est vrai, mais:
a) les utilisateurs lambdas, qui vont reformater leur disque après le prochain
ver/virus (j'exagère, je sais, mais pas tellement), ne sont pas aptes ni à
comprendre, ni à gérer leurs clefs privées.
Tu n'exagères pas tellement... La dernière CRL qu'on ait généré pour la
DGI fait environ 23Mo. C'est monstreux, et ça ne contient que les
certificats révoqués non expirés (les certificats DGI ont une durée de 3
ans). Cela représente 682463 certificats révoqués. Une proportion
supérieure aux 10% qu'on peut attendre classiquement. La population visée
et l'utilisation qu'on fait du certificat (1 fois par an) fait que Mme
Michu soit:
- oublie son mot de passe
- oublie de sauvegarder son certif lors de la réinstallation de son PC
Il faut toujours fournir un certificat au client. Et, d'après ce que j'ai
entendu dire, il est *nettement* plus difficile de le faire de manière fiable,
chaque navigateur ayant sa propre méthode pour les importer (et je ne suis pas
sûr du tout que les navigateurs sachent s'authentifier, en tout cas, je ne l'ai
jamais vu faire).
Pas exactement. On sait fournir un certificat à l'usager final quel que
soit son navigateur (en gros). Ca ne pose aucun problème depuis plusieurs
années. Mais ici, on a besoin d'utiliser le certificat pour un usage non
prévu par les navigateurs, et ça coince. Pas moyen d'aller causer
facilement à la bibliothèque PKCS#11 interne de Netscape/Mozilla à partir
d'une applet Java, ni à la CAPI de Windows. Pas moyen de demander au
navigateur de faire une signature PKCS#7 avec un formulaire, une
heure, et tout le bazar. Donc tout est fait en Java, y'a pas tellement le
choix.
--
Erwann ABALEA <erwann@abalea.com> - RSA PGP Key ID: 0x2D0EABD5
-----
J'ai essayé de creer un news un alt.west.virginia ou sur d'autres
alt.west.wirginia.xxx mais quand je vais sur ces forums rien n'apparait?
l'emetteur d'un new recoit il un avertissement si celui ci est censuré?
-+- LM in: Guide du Neuneu d'Usenet - Bien sansurer ses news sur C-I -+-
Sur ces quatre points: oui, c'est vrai, mais: a) les utilisateurs lambdas, qui vont reformater leur disque après le prochain ver/virus (j'exagère, je sais, mais pas tellement), ne sont pas aptes ni à comprendre, ni à gérer leurs clefs privées.
Tu n'exagères pas tellement... La dernière CRL qu'on ait généré pour la DGI fait environ 23Mo. C'est monstreux, et ça ne contient que les certificats révoqués non expirés (les certificats DGI ont une durée de 3 ans). Cela représente 682463 certificats révoqués. Une proportion supérieure aux 10% qu'on peut attendre classiquement. La population visée et l'utilisation qu'on fait du certificat (1 fois par an) fait que Mme Michu soit: - oublie son mot de passe - oublie de sauvegarder son certif lors de la réinstallation de son PC
Il faut toujours fournir un certificat au client. Et, d'après ce que j'ai entendu dire, il est *nettement* plus difficile de le faire de manière fiable, chaque navigateur ayant sa propre méthode pour les importer (et je ne suis pas sûr du tout que les navigateurs sachent s'authentifier, en tout cas, je ne l'ai jamais vu faire).
Pas exactement. On sait fournir un certificat à l'usager final quel que soit son navigateur (en gros). Ca ne pose aucun problème depuis plusieurs années. Mais ici, on a besoin d'utiliser le certificat pour un usage non prévu par les navigateurs, et ça coince. Pas moyen d'aller causer facilement à la bibliothèque PKCS#11 interne de Netscape/Mozilla à partir d'une applet Java, ni à la CAPI de Windows. Pas moyen de demander au navigateur de faire une signature PKCS#7 avec un formulaire, une heure, et tout le bazar. Donc tout est fait en Java, y'a pas tellement le choix.
-- Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5 ----- J'ai essayé de creer un news un alt.west.virginia ou sur d'autres alt.west.wirginia.xxx mais quand je vais sur ces forums rien n'apparait? l'emetteur d'un new recoit il un avertissement si celui ci est censuré? -+- LM in: Guide du Neuneu d'Usenet - Bien sansurer ses news sur C-I -+-
Erwann ABALEA
Bonsoir,
On Mon, 4 Apr 2005, A. Caspis wrote:
A. Caspis wrote:
Un enregistrement d'un HTTP POST SSL avec authentification forte du serveur et du client ne fournirait-il pas à la fois la confidentialité, la signature non répudiable, et l'accusé de réception également non répudiable ?
Honte à moi, c'est évidemment faux ; et même si on voulait modifier SSL pour signer des hash de la session, il serait
Hmmm? Signer un tcpdump en quelque sorte? Et on parlait de trucs bizarres? *Ca* c'est bizarre comme idée... :)
certainement maladroit de le faire avec une clé qui est utilisée également pour l'authentification...
Si ça n'est pas le serveur qui impose son hash, je ne vois pas de problème.
Je reste quand même sceptique sur la confiance que l'on peut avoir dans l'infrastructure de signature des déclarations IR.
Moi pas, mais je suis partial. :)
Un simple échange d'emails signés serait plus transparent.
Avec un traitement manuel des emails derrière? C'est beau le progrès. Certains ici ont déjà utilisé les formulaires mail de NetworkSolutions pour faire procéder à des changements sur leurs noms de domaines. Parfois, ça rate, parce qu'on a oublié un truc, ou mis un espace de trop, ou une virgule de moins. Et pourtant, ces formulaires sont remplis par des administrateurs réseau, en général pas trop manchots. Je n'ose imaginer le nombre d'appels au support utilisateur de la DGI si Mme Michu devait remplir un tel email... Quant on pense à la complexité d'une déclaration d'impôts par rapport aux formulaires cités plus haut, la solution du mail est de loin la pire.
-- Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5 ----- TK> A la rentrée proposer un seul forum jeux vidéo modéré Si c'est le cas je sollicite un droit de regard sur le travail des modérateurs, avec d'autres joueurs volontaires. -+- Spip in Guide du Neuneu Usenet - Modérons les modérateurs --
Bonsoir,
On Mon, 4 Apr 2005, A. Caspis wrote:
A. Caspis wrote:
Un enregistrement d'un HTTP POST SSL avec
authentification forte du serveur et du client ne fournirait-il
pas à la fois la confidentialité, la signature non répudiable,
et l'accusé de réception également non répudiable ?
Honte à moi, c'est évidemment faux ; et même si on voulait
modifier SSL pour signer des hash de la session, il serait
Hmmm? Signer un tcpdump en quelque sorte? Et on parlait de trucs bizarres?
*Ca* c'est bizarre comme idée... :)
certainement maladroit de le faire avec une clé qui est
utilisée également pour l'authentification...
Si ça n'est pas le serveur qui impose son hash, je ne vois pas de
problème.
Je reste quand même sceptique sur la confiance que l'on peut
avoir dans l'infrastructure de signature des déclarations IR.
Moi pas, mais je suis partial. :)
Un simple échange d'emails signés serait plus transparent.
Avec un traitement manuel des emails derrière? C'est beau le progrès.
Certains ici ont déjà utilisé les formulaires mail de NetworkSolutions
pour faire procéder à des changements sur leurs noms de domaines. Parfois,
ça rate, parce qu'on a oublié un truc, ou mis un espace de trop, ou une
virgule de moins. Et pourtant, ces formulaires sont remplis par des
administrateurs réseau, en général pas trop manchots.
Je n'ose imaginer le nombre d'appels au support utilisateur de la DGI si
Mme Michu devait remplir un tel email... Quant on pense à la complexité
d'une déclaration d'impôts par rapport aux formulaires cités plus haut, la
solution du mail est de loin la pire.
--
Erwann ABALEA <erwann@abalea.com> - RSA PGP Key ID: 0x2D0EABD5
-----
TK> A la rentrée proposer un seul forum jeux vidéo modéré
Si c'est le cas je sollicite un droit de regard sur le travail des
modérateurs, avec d'autres joueurs volontaires.
-+- Spip in Guide du Neuneu Usenet - Modérons les modérateurs --
Un enregistrement d'un HTTP POST SSL avec authentification forte du serveur et du client ne fournirait-il pas à la fois la confidentialité, la signature non répudiable, et l'accusé de réception également non répudiable ?
Honte à moi, c'est évidemment faux ; et même si on voulait modifier SSL pour signer des hash de la session, il serait
Hmmm? Signer un tcpdump en quelque sorte? Et on parlait de trucs bizarres? *Ca* c'est bizarre comme idée... :)
certainement maladroit de le faire avec une clé qui est utilisée également pour l'authentification...
Si ça n'est pas le serveur qui impose son hash, je ne vois pas de problème.
Je reste quand même sceptique sur la confiance que l'on peut avoir dans l'infrastructure de signature des déclarations IR.
Moi pas, mais je suis partial. :)
Un simple échange d'emails signés serait plus transparent.
Avec un traitement manuel des emails derrière? C'est beau le progrès. Certains ici ont déjà utilisé les formulaires mail de NetworkSolutions pour faire procéder à des changements sur leurs noms de domaines. Parfois, ça rate, parce qu'on a oublié un truc, ou mis un espace de trop, ou une virgule de moins. Et pourtant, ces formulaires sont remplis par des administrateurs réseau, en général pas trop manchots. Je n'ose imaginer le nombre d'appels au support utilisateur de la DGI si Mme Michu devait remplir un tel email... Quant on pense à la complexité d'une déclaration d'impôts par rapport aux formulaires cités plus haut, la solution du mail est de loin la pire.
-- Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5 ----- TK> A la rentrée proposer un seul forum jeux vidéo modéré Si c'est le cas je sollicite un droit de regard sur le travail des modérateurs, avec d'autres joueurs volontaires. -+- Spip in Guide du Neuneu Usenet - Modérons les modérateurs --
A. Caspis
Erwann ABALEA wrote:
Oui, l'équivalent du cachet de la poste qui fait foi. Le but est que la déclaration par Internet ait la même valeur que la déclaration papier: - cachet de la Poste - signature pour éviter la répudiation
Si je comprends bien, aujourd'hui la DGI reçoit ma signature non répudiable, mais je n'ai pas l'équivalent du cachet de la poste pour prouver que j'ai déclaré à temps. Ou alors je n'ai pas trouvé la signature dans l'accusé de réception PDF.
Tu proposes quoi pour faire la même chose, en t'adaptant le plus possible à l'audience la plus large?
Une API suffisamment documentée pour que je puisse l'utiliser avec des logiciels auxquels je fais confiance. Ensuite, libre à la DGI (ou à des tiers) de proposer une interface interactive au dessus. Pour la télédéclaration de la TVA des entreprises, les éditeurs de logiciels de compta n'ont-ils aucun moyen d'automatiser la procédure ?
La version user-friendly, c'est ce que tu vois à l'écran. La version parsable par une machine, c'est ce que l'applet signe. Il n'y a pas de juste milieu.
C'est pourtant un problème crucial. Que se passe t-il si je signe un document ambigü tel que: <body bgcolor="#E0E0E0"> <font color="#D0D0D0">Revenus 2004: 0 euro</font> <font color="#F0F0F0">Revenus 2004: 1 euro</font> </body> Tout le traitement depuis l'affichage jusqu'à la signature devrait être digne de confiance. Sauf erreur, je ne peux pas avoir cette garantie sans décompiler les applets.
- Pourquoi l'accusé de réception n'est-il pas signé, lui ? Mme Michu pourrait-elle le vérifier?
Son Outlook afficherait un gros warning en rouge clignotant, tout comme IE lorsqu'un site web présente un certificat louche.
Dans le monde papier, est-ce que tu recois quelque chose?
Je suppose que je peux aller faire tamponner mon exemplaire à la recette des impôts (jamais essayé).
AC
Erwann ABALEA wrote:
Oui, l'équivalent du cachet de la poste qui fait foi. Le but est que la
déclaration par Internet ait la même valeur que la déclaration papier:
- cachet de la Poste
- signature pour éviter la répudiation
Si je comprends bien, aujourd'hui la DGI reçoit ma signature
non répudiable, mais je n'ai pas l'équivalent du cachet de la
poste pour prouver que j'ai déclaré à temps. Ou alors je n'ai
pas trouvé la signature dans l'accusé de réception PDF.
Tu proposes quoi pour faire la même chose, en t'adaptant le plus possible
à l'audience la plus large?
Une API suffisamment documentée pour que je puisse l'utiliser
avec des logiciels auxquels je fais confiance. Ensuite, libre à
la DGI (ou à des tiers) de proposer une interface interactive
au dessus. Pour la télédéclaration de la TVA des entreprises,
les éditeurs de logiciels de compta n'ont-ils aucun moyen
d'automatiser la procédure ?
La version user-friendly, c'est ce que tu vois à l'écran. La version
parsable par une machine, c'est ce que l'applet signe. Il n'y a pas de
juste milieu.
C'est pourtant un problème crucial. Que se passe t-il si je signe
un document ambigü tel que:
<body bgcolor="#E0E0E0">
<font color="#D0D0D0">Revenus 2004: 0 euro</font>
<font color="#F0F0F0">Revenus 2004: 1 euro</font>
</body>
Tout le traitement depuis l'affichage jusqu'à la signature
devrait être digne de confiance. Sauf erreur, je ne peux pas
avoir cette garantie sans décompiler les applets.
- Pourquoi l'accusé de réception n'est-il pas signé, lui ?
Mme Michu pourrait-elle le vérifier?
Son Outlook afficherait un gros warning en rouge clignotant,
tout comme IE lorsqu'un site web présente un certificat louche.
Dans le monde papier, est-ce que tu recois quelque chose?
Je suppose que je peux aller faire tamponner mon exemplaire
à la recette des impôts (jamais essayé).
Oui, l'équivalent du cachet de la poste qui fait foi. Le but est que la déclaration par Internet ait la même valeur que la déclaration papier: - cachet de la Poste - signature pour éviter la répudiation
Si je comprends bien, aujourd'hui la DGI reçoit ma signature non répudiable, mais je n'ai pas l'équivalent du cachet de la poste pour prouver que j'ai déclaré à temps. Ou alors je n'ai pas trouvé la signature dans l'accusé de réception PDF.
Tu proposes quoi pour faire la même chose, en t'adaptant le plus possible à l'audience la plus large?
Une API suffisamment documentée pour que je puisse l'utiliser avec des logiciels auxquels je fais confiance. Ensuite, libre à la DGI (ou à des tiers) de proposer une interface interactive au dessus. Pour la télédéclaration de la TVA des entreprises, les éditeurs de logiciels de compta n'ont-ils aucun moyen d'automatiser la procédure ?
La version user-friendly, c'est ce que tu vois à l'écran. La version parsable par une machine, c'est ce que l'applet signe. Il n'y a pas de juste milieu.
C'est pourtant un problème crucial. Que se passe t-il si je signe un document ambigü tel que: <body bgcolor="#E0E0E0"> <font color="#D0D0D0">Revenus 2004: 0 euro</font> <font color="#F0F0F0">Revenus 2004: 1 euro</font> </body> Tout le traitement depuis l'affichage jusqu'à la signature devrait être digne de confiance. Sauf erreur, je ne peux pas avoir cette garantie sans décompiler les applets.
- Pourquoi l'accusé de réception n'est-il pas signé, lui ? Mme Michu pourrait-elle le vérifier?
Son Outlook afficherait un gros warning en rouge clignotant, tout comme IE lorsqu'un site web présente un certificat louche.
Dans le monde papier, est-ce que tu recois quelque chose?
Je suppose que je peux aller faire tamponner mon exemplaire à la recette des impôts (jamais essayé).
AC
Nicolas George
"Tzim [MVS]" wrote in message <42517d5f$0$8373$:
Ensuite, pour la question, du certificat, je ne sais pas ce qu'il en est pour les navigateurs basés sur gecko, mais IE gere très bien l'authentification par certificats clients. Je ne vois vraiment pas pourquoi ceux ci n'ont pas été utilisés...
Les certificats clients authentifient effectivement le client, et même donnent au serveur une preuve que le client s'est bien connecté, mais il n'authentifient pas du tout le contenu de la requête que le client a envoyé. De plus, le navigateur n'a rien pour générer ledit certificat client. Or il semblerait que la transposition au monde numérique du code des impôts impose que la déclaration elle-même soit signée, pas seulement son enveloppe, et que le certificat n'ait pas été généré par le serveur.
Mais bon, de toutes façons, la sécurité de ce machin est une vaste blague, dans la mesure où elle repose entièrement sur deux ou trois nombres des paperasses qu'on a reçues. Nombres dont il n'est d'ailleurs pas indiqué de manière indiscutablement spectaculaire qu'ils sont confidentiels.
"Tzim [MVS]" wrote in message <42517d5f$0$8373$636a15ce@news.free.fr>:
Ensuite, pour la question, du certificat, je ne sais pas ce qu'il en est
pour les navigateurs basés sur gecko, mais IE gere très bien
l'authentification par certificats clients. Je ne vois vraiment pas pourquoi
ceux ci n'ont pas été utilisés...
Les certificats clients authentifient effectivement le client, et même
donnent au serveur une preuve que le client s'est bien connecté, mais il
n'authentifient pas du tout le contenu de la requête que le client a envoyé.
De plus, le navigateur n'a rien pour générer ledit certificat client. Or il
semblerait que la transposition au monde numérique du code des impôts impose
que la déclaration elle-même soit signée, pas seulement son enveloppe, et
que le certificat n'ait pas été généré par le serveur.
Mais bon, de toutes façons, la sécurité de ce machin est une vaste blague,
dans la mesure où elle repose entièrement sur deux ou trois nombres des
paperasses qu'on a reçues. Nombres dont il n'est d'ailleurs pas indiqué de
manière indiscutablement spectaculaire qu'ils sont confidentiels.
Ensuite, pour la question, du certificat, je ne sais pas ce qu'il en est pour les navigateurs basés sur gecko, mais IE gere très bien l'authentification par certificats clients. Je ne vois vraiment pas pourquoi ceux ci n'ont pas été utilisés...
Les certificats clients authentifient effectivement le client, et même donnent au serveur une preuve que le client s'est bien connecté, mais il n'authentifient pas du tout le contenu de la requête que le client a envoyé. De plus, le navigateur n'a rien pour générer ledit certificat client. Or il semblerait que la transposition au monde numérique du code des impôts impose que la déclaration elle-même soit signée, pas seulement son enveloppe, et que le certificat n'ait pas été généré par le serveur.
Mais bon, de toutes façons, la sécurité de ce machin est une vaste blague, dans la mesure où elle repose entièrement sur deux ou trois nombres des paperasses qu'on a reçues. Nombres dont il n'est d'ailleurs pas indiqué de manière indiscutablement spectaculaire qu'ils sont confidentiels.
Jeremy JUST
On 04 Apr 2005 10:46:17 GMT "A. Caspis" wrote:
- chmod a+w /usr/java/jre*/lib/ext/ (sauf pour les courageux qui naviguent sous root...)
Il suffit de télécharger teleir_cryptolib.jar avec un coup de wget, puis de le copier en root à la bonne place (en y ayant jeté un coup d'oeil avec unzip+jad).
- Que sait-on de teleir_cryptolib.jar ?
J'y ai jeté un vague oeil avec http://kpdus.tripod.com/jad.html On y trouve du SSL, et un truc qui rappelle ça: http://www.phaos.com/
Je laisse quelqu'un de plus habitué à la lecture de Java faire des commentaires sur le style (sachant que la décompilation abîme un peu).
-- Jérémy JUST
On 04 Apr 2005 10:46:17 GMT
"A. Caspis" <a_caspis@yahoo.com> wrote:
- chmod a+w /usr/java/jre*/lib/ext/ (sauf pour les courageux
qui naviguent sous root...)
Il suffit de télécharger teleir_cryptolib.jar avec un coup de wget,
puis de le copier en root à la bonne place (en y ayant jeté un coup
d'oeil avec unzip+jad).
- Que sait-on de teleir_cryptolib.jar ?
J'y ai jeté un vague oeil avec http://kpdus.tripod.com/jad.html
On y trouve du SSL, et un truc qui rappelle ça:
http://www.phaos.com/
Je laisse quelqu'un de plus habitué à la lecture de Java faire des
commentaires sur le style (sachant que la décompilation abîme un peu).
- chmod a+w /usr/java/jre*/lib/ext/ (sauf pour les courageux qui naviguent sous root...)
Il suffit de télécharger teleir_cryptolib.jar avec un coup de wget, puis de le copier en root à la bonne place (en y ayant jeté un coup d'oeil avec unzip+jad).
- Que sait-on de teleir_cryptolib.jar ?
J'y ai jeté un vague oeil avec http://kpdus.tripod.com/jad.html On y trouve du SSL, et un truc qui rappelle ça: http://www.phaos.com/
Je laisse quelqu'un de plus habitué à la lecture de Java faire des commentaires sur le style (sachant que la décompilation abîme un peu).
-- Jérémy JUST
Emmanuel Florac
Le Mon, 04 Apr 2005 10:46:17 +0000, A. Caspis a écrit :
En revanche avec Linux et Mozilla, je ne m'en serais pas tiré sans les conseils des utilisateurs qui ont essuyé les plâtres les années précédentes:
Ma femme a fait sa déclaration sous Linux en mon absence. Ses capacités aux arcanes informatiques n'allant même pas jusqu'à créer elle-même des dossiers pour ranger ses fichiers, je pense que c'est véritablement sans problème :) J'avais pris soin moi-même de changer seulement les autorisations sur le dossier lib/java/.../ext au préalable, et pour le reste en utilisant des logiciels mis à jour régulièrement (donc toutes les semaines) pas l'ombre d'un lézard.
-- Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando
Le Mon, 04 Apr 2005 10:46:17 +0000, A. Caspis a écrit :
En revanche avec Linux et Mozilla, je ne m'en serais pas tiré sans les
conseils des utilisateurs qui ont essuyé les plâtres les années
précédentes:
Ma femme a fait sa déclaration sous Linux en mon absence. Ses capacités
aux arcanes informatiques n'allant même pas jusqu'à créer elle-même
des dossiers pour ranger ses fichiers, je pense que c'est véritablement
sans problème :) J'avais pris soin moi-même de changer seulement les
autorisations sur le dossier lib/java/.../ext au préalable, et pour le
reste en utilisant des logiciels mis à jour régulièrement (donc toutes
les semaines) pas l'ombre d'un lézard.
--
Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando
Le Mon, 04 Apr 2005 10:46:17 +0000, A. Caspis a écrit :
En revanche avec Linux et Mozilla, je ne m'en serais pas tiré sans les conseils des utilisateurs qui ont essuyé les plâtres les années précédentes:
Ma femme a fait sa déclaration sous Linux en mon absence. Ses capacités aux arcanes informatiques n'allant même pas jusqu'à créer elle-même des dossiers pour ranger ses fichiers, je pense que c'est véritablement sans problème :) J'avais pris soin moi-même de changer seulement les autorisations sur le dossier lib/java/.../ext au préalable, et pour le reste en utilisant des logiciels mis à jour régulièrement (donc toutes les semaines) pas l'ombre d'un lézard.
-- Quis, quid, ubi, quibus auxiliis, cur, quomodo, quando
Fabien LE LEZ
On 04 Apr 2005 22:18:16 GMT, Patrick 'Zener' Brunet :
Je l'avais désactivée sur le PC de mon frangin qui est un hyper-novice et qui se trouve à l'autre bout de la France. Maintenant il faut que je lui explique par téléphone comment la réactiver
Jamais entendu parler de VNC ?
-- ;-)
On 04 Apr 2005 22:18:16 GMT, Patrick 'Zener' Brunet
<use.link.in.signature@ddress.invalid>:
Je l'avais désactivée sur le PC de mon frangin qui est un hyper-novice et
qui se trouve à l'autre bout de la France. Maintenant il faut que je lui
explique par téléphone comment la réactiver
On 04 Apr 2005 22:18:16 GMT, Patrick 'Zener' Brunet :
Je l'avais désactivée sur le PC de mon frangin qui est un hyper-novice et qui se trouve à l'autre bout de la France. Maintenant il faut que je lui explique par téléphone comment la réactiver
Jamais entendu parler de VNC ?
-- ;-)
Erwann ABALEA
On Mon, 4 Apr 2005, Tzim [MVS] wrote:
Sans compter que windows XP SP1 (PCs vendus depuis mi-2003) ne contient plus de machine virtuelle java par défaut.
Ca c'est plus embêtant. Mais bon... Difficile de faire autrement.
Ensuite, pour la question, du certificat, je ne sais pas ce qu'il en est pour les navigateurs basés sur gecko, mais IE gere très bien l'authentification par certificats clients. Je ne vois vraiment pas pourquoi ceux ci n'ont pas été utilisés...
Parce que tu n'as jamais essayé de faire signer un formulaire par ton navigateur... ;)
-- Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5 ----- j'ai posé une petite annonce dans fr.petites.annonce.immobilier...avec une grande baignoire !! -+- AK in Guide du Neuneu Usenet - Bien poster avec sa baignoire -+-
On Mon, 4 Apr 2005, Tzim [MVS] wrote:
Sans compter que windows XP SP1 (PCs vendus depuis mi-2003) ne contient plus
de machine virtuelle java par défaut.
Ca c'est plus embêtant. Mais bon... Difficile de faire autrement.
Ensuite, pour la question, du certificat, je ne sais pas ce qu'il en est
pour les navigateurs basés sur gecko, mais IE gere très bien
l'authentification par certificats clients. Je ne vois vraiment pas pourquoi
ceux ci n'ont pas été utilisés...
Parce que tu n'as jamais essayé de faire signer un formulaire par ton
navigateur... ;)
--
Erwann ABALEA <erwann@abalea.com> - RSA PGP Key ID: 0x2D0EABD5
-----
j'ai posé une petite annonce dans fr.petites.annonce.immobilier...avec
une grande baignoire !!
-+- AK in Guide du Neuneu Usenet - Bien poster avec sa baignoire -+-
Sans compter que windows XP SP1 (PCs vendus depuis mi-2003) ne contient plus de machine virtuelle java par défaut.
Ca c'est plus embêtant. Mais bon... Difficile de faire autrement.
Ensuite, pour la question, du certificat, je ne sais pas ce qu'il en est pour les navigateurs basés sur gecko, mais IE gere très bien l'authentification par certificats clients. Je ne vois vraiment pas pourquoi ceux ci n'ont pas été utilisés...
Parce que tu n'as jamais essayé de faire signer un formulaire par ton navigateur... ;)
-- Erwann ABALEA - RSA PGP Key ID: 0x2D0EABD5 ----- j'ai posé une petite annonce dans fr.petites.annonce.immobilier...avec une grande baignoire !! -+- AK in Guide du Neuneu Usenet - Bien poster avec sa baignoire -+-
Fabien LE LEZ
On 04 Apr 2005 22:29:27 GMT, Nicolas George <nicolas$:
Les certificats clients authentifient effectivement le client, et même donnent au serveur une preuve que le client s'est bien connecté [...]
Mais bon, de toutes façons, la sécurité de ce machin est une vaste blague, dans la mesure où elle repose entièrement sur deux ou trois nombres des paperasses qu'on a reçues.
Au fait, il y a un truc que je ne comprends pas dans tout ça.
À la rigueur, le système basé sur des numéros vaguement confidentiels (style, numéro de dossier) permet d'assurer à Madame Michu que le Jean-Kevin de base ne pourra pas bricoler sa déclaration.
Par contre, comment l'administration fiscale peut-elle prouver qu'une déclaration donnée a bien été effectuée par un contribuable et pas par l'administration fiscale elle-même ?
Pour l'instant, j'ai l'impression que le système de déclaration par Internet revient à apposer sur ma déclaration, en guise de signature, un tampon envoyé par l'administration en même temps que le formulaire de déclaration.
-- ;-)
On 04 Apr 2005 22:29:27 GMT, Nicolas George
<nicolas$george@salle-s.org>:
Les certificats clients authentifient effectivement le client, et même
donnent au serveur une preuve que le client s'est bien connecté
[...]
Mais bon, de toutes façons, la sécurité de ce machin est une vaste blague,
dans la mesure où elle repose entièrement sur deux ou trois nombres des
paperasses qu'on a reçues.
Au fait, il y a un truc que je ne comprends pas dans tout ça.
À la rigueur, le système basé sur des numéros vaguement confidentiels
(style, numéro de dossier) permet d'assurer à Madame Michu que le
Jean-Kevin de base ne pourra pas bricoler sa déclaration.
Par contre, comment l'administration fiscale peut-elle prouver qu'une
déclaration donnée a bien été effectuée par un contribuable et pas par
l'administration fiscale elle-même ?
Pour l'instant, j'ai l'impression que le système de déclaration par
Internet revient à apposer sur ma déclaration, en guise de signature,
un tampon envoyé par l'administration en même temps que le formulaire
de déclaration.
On 04 Apr 2005 22:29:27 GMT, Nicolas George <nicolas$:
Les certificats clients authentifient effectivement le client, et même donnent au serveur une preuve que le client s'est bien connecté [...]
Mais bon, de toutes façons, la sécurité de ce machin est une vaste blague, dans la mesure où elle repose entièrement sur deux ou trois nombres des paperasses qu'on a reçues.
Au fait, il y a un truc que je ne comprends pas dans tout ça.
À la rigueur, le système basé sur des numéros vaguement confidentiels (style, numéro de dossier) permet d'assurer à Madame Michu que le Jean-Kevin de base ne pourra pas bricoler sa déclaration.
Par contre, comment l'administration fiscale peut-elle prouver qu'une déclaration donnée a bien été effectuée par un contribuable et pas par l'administration fiscale elle-même ?
Pour l'instant, j'ai l'impression que le système de déclaration par Internet revient à apposer sur ma déclaration, en guise de signature, un tampon envoyé par l'administration en même temps que le formulaire de déclaration.
