Quoi utiliser? Signature numérique?

Question

Désolé de ne pas avoir trouvé le meilleur en-tête pour cette question. Ce qui suit est mon exigence.

Je travaille sur un projet qui traite quelle grande quantité d’argent des transactions sur un compte différent. Le système transfère automatiquement de l’argent sur les comptes A, B, C, etc., mais avant que cela soit fait, une personne de A, B ou C devrait approuver (par voie électronique) le montant à transférer.

Selon vous, quelle est la meilleure façon de le faire? Je souhaite que le système envoie un fichier (PDF de quelque chose) signé numériquement (?). La personne autorisée de A, B et C doit vérifier et confirmer que le montant est correct.

Étant donné que le montant est élevé, je dois m'assurer que le fichier envoyé par le système n'est pas falsifié et en même temps, je veux également m'assurer que le fichier (réponse) envoyé par A, B ou C n'est pas non plus falsifié. Quel est le meilleur moyen d'y parvenir? Des idées?

Answer 1

Digital Signatures est ce que vous recherchez. Adobe PDF (puisque vous avez mentionné pdf) vous permet de signer le pdf dans la version gratuite d'Adobe Reader. La vérification est également effectuée automatiquement dès que vous ouvrez le document pdf.

La différence entre DigSig et les (H) MAC publiés par Noldorin réside dans le fait que les MAC utilisent un cryptage symétrique, où vous avez besoin d’un canal sécurisé pour échanger la clé, alors que dans un Environnement PKI sans canal sécurisé.

Cela dépend de la manière dont vous souhaitez distribuer vos clés.

Answer 2

Vous voudrez vous renseigner sur les MACs (codes d'authentification de message). Il existe un certain nombre de bibliothèques pour diverses langues qui implémentent des algorithmes courants tels que HMAC .

EDIT: voir aussi DSA ( http://en.wikipedia.org/wiki/Digital_Signature_Algorithm), un algorithme populaire pour les signatures numériques, est pleinement implémenté dans le framework .NET standard (espace de noms System.Cryptography).

Answer 3

Ma première réaction serait les signatures numériques - mais elles ont un défaut fatal: ce sont des données numériques qui pourraient être compromises par un utilisateur négligent.

Si cela vous pose problème, vous pouvez utiliser le processus utilisé par les banques sud-africaines, à savoir un mot de passe à usage unique. Ce mot de passe leur est transféré via un moyen qui n’est pas impliqué dans la transaction (en Afrique du Sud, c’est par SMS, ce que je recommande fortement). Nous saisissons d’abord un nom d’utilisateur et un mot de passe, puis nous recevons l’OTP par SMS, qu’il nous faut ensuite saisir pour toute transaction entraînant la sortie d’argent de nos comptes.

Les formes de sécurité fortes (à efficacité croissante) comprennent (je ne suis pas un expert, mais j'en connais quelques-unes):

• Connaissances (mot de passe)
• Possession (une carte SIM de téléphone portable pouvant recevoir des SMS ou une clé USB avec certificat)
• Emplacement (ordinateur doté d'un système de gestion de certificats basé sur le matériel, CellID)
• Heure (OTP expire, la transaction doit avoir lieu à une heure précise)
• Identité (un lecteur d’empreintes digitales - c’est un mot de passe - mais incroyablement long)
• Uniqueness (Un câble à fibre optique codé dans la polarisation des photons)

D'après ce que je sais, si vous en avez trois, vous pouvez être à l'aise avec votre sécurité. Ajouter plus augmente la sécurité de manière exponentielle, mais augmente également le facteur de désagrément. Les banques utilisent Knowledge, Possession and Time en Afrique du Sud - et le phishing ne fonctionne vraiment pas contre les banques sud-africaines.

J'espère que cela vous a un peu aidé.

Answer 4

Pour signer numériquement un fichier, vous pouvez utiliser n’importe quel partenaire Microsoft. Arx, par exemple, vous fournit un outil appelé CoSign que vous pouvez utiliser gratuitement (ou du moins leur version d'évaluation). Cela vous permettra d'ajouter les signatures électroniques aux formats les plus disponibles (word, pdf, xml, etc.).