Résumé

  • RFC 3739 permettait à une autorité de certification d’indiquer qu’un certificat de personne physique avait une finalité qualifiée, et d’associer cette déclaration à des attributs d’identité et à une politique dans le profil X.509.
  • Le document ne définissait ni les conditions de qualification prévues par chaque droit national ni l’effet juridique que le destinataire devait attribuer au certificat : une signature valide authentifie des octets, pas leur interprétation légale.

Une catégorie technique ne fait pas le droit

Un destinataire reçoit un certificat dont la signature est valide. L’émetteur le présente comme un « certificat qualifié ». Il serait tentant de lire le mot comme une conclusion déjà acquise : la personne est identifiée, la procédure est conforme, la signature produira l’effet attendu. Or la vérification cryptographique porte sur une question bien plus étroite. Elle permet de vérifier que l’émetteur a signé ces données et qu’elles n’ont pas été modifiées. Elle ne décide pas quelle loi gouverne l’acte, si la personne satisfait aux exigences de cette loi, ni si le destinataire peut s’appuyer sur ce certificat.

Le RFC 3739, publié en mars 2004, a inscrit cette limite dans le profil Internet X.509. Il révisait le RFC 3039 et s’appuyait sur le RFC 3280. Sa cible était le certificat d’identité délivré à une personne physique. Le texte définissait des conventions pour les certificats susceptibles d’être qualifiés dans un cadre juridique défini, tout en précisant qu’il ne fixait aucune exigence juridique à leur sujet. L’objectif était de permettre un profil utilisable malgré la diversité des règles locales, pas d’encoder un droit uniforme dans la syntaxe du certificat.

Cette distinction donne au document son intérêt historique. Un standard peut rendre les champs prévisibles, établir les règles de représentation d’une extension et offrir à l’émetteur une manière de déclarer son intention. Il ne transforme pas cette déclaration en vérité par le seul fait qu’elle possède un identifiant de champ et qu’elle est signée.

Ce que l’émetteur pouvait faire apparaître

Le profil prévoit deux voies complémentaires pour exprimer la finalité du certificat. L’extension des politiques de certification peut contenir l’identifiant de la politique suivie. L’extension facultative des Qualified Certificate Statements peut transporter des déclarations identifiées par un OID, éventuellement accompagnées de données qualificatives. L’émetteur peut ainsi indiquer que le certificat est délivré à titre qualifié selon un système juridique donné, ou faire figurer une limite de responsabilité ou de confiance liée à une juridiction.

La différence est importante entre rendre une déclaration inspectable et lui conférer un effet universel. L’OID identifie une politique ou une déclaration; il n’explique pas à lui seul les pratiques de l’autorité. Le RFC suppose que la CA responsable suive une politique cohérente avec ses engagements, ses pratiques et ses procédures. Le destinataire peut devoir consulter cette politique ou la Certification Practice Statement de l’émetteur pour comprendre les noms et valeurs inscrits au certificat.

Deux décisions restent donc séparées. L’autorité émettrice déclare à quelle fin elle a créé le certificat. Le destinataire décide s’il accepte cet émetteur, cette politique, cette preuve et cette finalité pour l’opération envisagée. La signature protège la déclaration contre une modification silencieuse; elle ne contraint pas tous les destinataires à l’accepter et ne tranche pas ses conséquences juridiques.

Des attributs normalisés, pas une identité démontrée

Le RFC 3739 organise aussi les informations de la personne. Le nom du sujet peut correspondre à un nom réel ou à un pseudonyme. Une extension peut contenir la date et le lieu de naissance, le sexe, la citoyenneté ou le pays de résidence. Mais le texte prévient qu’un countryName dans le nom distinctif donne un contexte d’interprétation; il ne désigne pas nécessairement le pays de citoyenneté, de résidence ou de délivrance.

La comparaison de deux certificats pour déterminer s’ils concernent la même personne dépend du sens que leurs émetteurs attribuent aux noms et aux attributs. Sans cette sémantique, des champs identiques ou proches peuvent induire en erreur. Le profil standardise la forme et certaines valeurs possibles; il ne certifie ni la qualité du contrôle d’identité, ni l’exactitude d’un attribut, ni le fait que deux noms renvoient au même individu.

Le traitement biométrique rend cette limite concrète. L’extension biométrique peut contenir un type de donnée, l’algorithme de hachage, l’empreinte et éventuellement un URI vers la source. Le RFC recommande des données dont la vérification peut être faite par une personne et avertit qu’un URI peut lui-même révéler l’identité concernée. Il impose que cette extension ne soit pas critique. Une empreinte lie une comparaison future à des données précises; elle ne prouve pas que l’échantillon a été recueilli licitement, correctement associé au sujet ou interprété avec autorité juridique.

Une nouvelle version qui reconnaît l’ancienne

Le RFC 3739 a remplacé le RFC 3039 sans rendre son passé invisible. L’identifiant QC statement de la version 1 pouvait servir à reconnaître les anciens certificats conformes au RFC 3039. Le profil révisé définit un identifiant distinct pour la version 2 et interdit l’ancien identifiant dans les nouveaux certificats émis selon le RFC 3739. La révision s’aligne également sur le RFC 3280 : elle ajoute domainComponent et title au nom du sujet, retire postalAddress et assouplit certaines contraintes d’usage de clé afin de rendre le profil plus général.

Ce mécanisme documente une stratégie de compatibilité, pas le succès d’une migration. L’exemple de certificat en annexe illustre la structure; il ne démontre ni l’ampleur des émissions, ni l’interopérabilité des implémentations, ni l’acceptation par une juridiction ou un service. Le RFC Editor classe aujourd’hui le document comme Proposed Standard et indique qu’il obsolète le RFC 3039. Ce statut de publication n’est pas une mesure d’adoption.

Un détail de maintenance rappelle enfin que les définitions normatives exigent elles aussi une lecture précise. L’erratum 7802, signalé en 2024 puis « held for document update », relève une faute de frappe dans le module ASN.1 normatif de 1988 : semanticsIndentifier au lieu de semanticsIdentifier. Il ne s’agit pas d’une preuve de panne en production. C’est un erratum technique maintenu à part du texte normatif publié et des comportements réellement déployés.

La contribution du RFC 3739 n’était donc pas de décider la loi à la place des États ou des juridictions. Il a standardisé l’endroit où l’autorité pouvait exprimer sa finalité, ses politiques et certaines informations sur la personne. Le sens de « qualifié », les pratiques effectives de la CA, la vérité des attributs et la décision du destinataire sont restés hors de cette enveloppe. Une déclaration signée demeure une déclaration vérifiable, non un jugement juridique automatique.

Sources