Sauvegardes certifiées

Ce qu’est une sauvegarde certifiée

Chaque sauvegarde Text2Store enregistre déjà une empreinte de tout ce qu’elle a capturé, pour que l’app puisse savoir plus tard si un fichier a changé. Une sauvegarde certifiée ajoute une chose au moment précis où cette empreinte est écrite : elle en envoie une empreinte à une autorité d’horodatage indépendante (DigiCert, selon la norme ouverte RFC 3161) et conserve la réponse signée à côté de la sauvegarde. Cette réponse est un témoin de confiance attestant que la sauvegarde existait, exactement telle que capturée, à ce moment précis. Rien ne change dans la sauvegarde elle-même : mêmes fichiers, même vitesse, tout pareil, avec juste un petit fichier en plus.

C’est une propriété de l’archive (la sauvegarde enregistrée sur votre ordinateur), distincte d’un export vérifié (le .zip que vous remettez à quelqu’un). Les deux fonctionnent ensemble, voir plus bas.

L’activer

La certification correspond à l’interrupteur Sauvegardes certifiées dans les Réglages, et elle est activée par défaut. Elle s’applique à toutes les sauvegardes faites sur cet ordinateur, y compris celles lancées depuis le menu, jusqu’à ce que vous la désactiviez. Avant chaque sauvegarde, la fenêtre de sauvegarde indique si celle-ci sera certifiée, avec un lien pour changer ce réglage. Il n’y a rien d’autre à configurer par appareil ou par sauvegarde.

Il vous faut une connexion Internet au moment où une sauvegarde certifiée est créée ; une petite requête n’envoie qu’une empreinte de 32 octets, jamais vos messages ni vos fichiers. Si vous êtes hors ligne, ou si le service d’horodatage est injoignable, Text2Store ne fait pas échouer la sauvegarde et ne fabrique pas de certificat. Il termine la sauvegarde normalement, la conserve (une sauvegarde a trop de valeur pour être jetée faute d’horodatage) et vous le dit clairement : « Sauvegarde enregistrée, mais non certifiée. » L’archive est complète et en sécurité ; elle reste simplement une sauvegarde ordinaire, non certifiée. Pour en obtenir une certifiée, sauvegardez à nouveau une fois en ligne.

Ce que signifie la coche

La certification apparaît partout sous le même petit badge : un sceau en rosette avec une coche. Il est volontairement discret, c’est un fait sur la provenance de la sauvegarde, pas une alerte, et vous le verrez à trois endroits :

• Dans votre liste de sauvegardes, un petit badge gris coché se trouve à côté de la date d’une archive certifiée, aussi discret que le cadenas d’une archive chiffrée. En le survolant, on lit : « Sauvegarde certifiée : son heure de création est ancrée par un horodatage de confiance. »
• Sous une liste de conversations, quand la sauvegarde ouverte est certifiée, le même badge apparaît en vert avec les mots « Sauvegarde certifiée », sous le nombre de conversations et de messages.
• Dans la fenêtre Export vérifié, le badge apparaît à nouveau, coloré selon ce qu’il affirme : vert et « Issu d’une sauvegarde certifiée » quand l’archive source est certifiée, gris et « Vérifié à la date d’aujourd’hui » sinon. Voir plus bas ce que cette différence signifie vraiment pour l’export.

Ce que cela prouve

Une sauvegarde ordinaire peut déjà vous dire plus tard si un fichier a changé depuis la sauvegarde, mais l’enregistrement qui sert de référence se trouve juste à côté des fichiers qu’il protège. Quelqu’un ayant accès aux fichiers bruts pourrait, en principe, en modifier un et régénérer discrètement cet enregistrement pour qu’il corresponde. Une sauvegarde certifiée comble cette faille en plaçant le témoin hors de portée de tous : l’horodatage est signé par la clé privée de DigiCert, que personne d’autre que DigiCert ne détient, ni vous, ni Text2Store, ni un attaquant. Régénérer l’enregistrement local après coup change son empreinte, qui ne correspond plus à l’horodatage scellé : l’écart est détecté.

C’est ce qui répond à « vous auriez pu modifier les messages après la sauvegarde, puis remettre ceci », de la même façon que l’horodatage d’un export vérifié répond à « vous avez modifié ceci après l’export », simplement ancré deux étapes plus tôt : au moment de la sauvegarde plutôt que de l’export.

Pourquoi cela ne peut se faire qu’au moment de la sauvegarde

La certification ne peut pas être ajoutée après coup à une sauvegarde, et Text2Store ne proposera jamais de le faire. Un horodatage obtenu plus tard ne prouve que l’existence de la sauvegarde plus tard, ce qui est précisément la faille que la certification sert à combler. La case se trouve donc à un seul endroit, la fenêtre de sauvegarde, et nulle part ailleurs. Si une sauvegarde importante n’a pas été certifiée, la seule solution est d’en faire une nouvelle avec la case cochée.

Comment elle renforce un export vérifié

La certification ne conditionne pas l’export vérifié : vous pouvez toujours exporter, depuis n’importe quelle sauvegarde, certifiée ou non, un .zip qui rend toute modification détectable, et il reste aussi utile qu’avant. Ce qui change, c’est jusqu’où remonte la preuve de l’export.

• Depuis une sauvegarde certifiée : l’export reprend l’horodatage de création de la sauvegarde, si bien que la chaîne de preuve remonte jusqu’au moment de la sauvegarde, et pas seulement de l’export. Le certificat inclus dans l’export l’indique clairement : les pièces jointes sont identiques octet par octet à celles d’une sauvegarde horodatée de confiance à cette date, et la transcription en a été extraite.
• Depuis une sauvegarde non certifiée : l’export est horodaté comme d’habitude au moment de l’export, et rend toute modification tout aussi détectable qu’avant. Il ne peut simplement rien dire de ce qui s’est passé entre la sauvegarde et l’export, puisque rien n’a attesté la sauvegarde elle-même. L’export le dit honnêtement : « Vérifié à la date d’aujourd’hui. Cette sauvegarde n’a pas été certifiée lors de sa création, l’intégrité avant aujourd’hui n’est donc pas attestée. »

Dans les deux cas, l’export est réel et vérifiable de façon indépendante ; la certification ne fait qu’ajouter un ancrage plus ancien, elle ne retire jamais rien.

Cette affirmation « identique octet par octet » n’est pas reprise de confiance depuis la certification d’origine. Avant de construire un export à partir d’une sauvegarde certifiée, Text2Store revérifie de façon indépendante la base de messages de la sauvegarde, son index de fichiers (quelle pièce jointe appartient à quel message) et les autres enregistrements dont dépend l’export, par rapport à la référence d’intégrité de la sauvegarde, à ce moment-là, et pas seulement une fois lors de la sauvegarde. Toute modification de l’un d’eux après la certification est détectée et l’export refuse de se construire, plutôt que de reprendre en silence un badge certifié qui ne correspond plus au contenu réel de la sauvegarde.

Ce que cela ne prouve pas

Les mêmes limites honnêtes que pour un export vérifié s’appliquent ici, une étape plus tôt :

• Que le téléphone n’a pas été manipulé avant la sauvegarde. La certification ancre « inchangé depuis que Text2Store l’a capturé », pas « l’appareil disait vrai au moment de la capture ».
• La façon dont ce sera reçu. Text2Store n’affirme jamais qu’une sauvegarde certifiée ou les exports qui en sont tirés seront acceptés par un destinataire ou une procédure donnés. Le poids d’un document est toujours la décision du destinataire. Voir la page de l’export vérifié pour la discussion complète.
• Quoi que ce soit sur une sauvegarde faite avant l’existence de cette fonction, ou faite alors que la certification était désactivée. La certification n’est jamais rétroactive, à dessein.

L’ancrage technique

La certification utilise la même norme ouverte que l’export vérifié, des horodatages de confiance RFC 3161 signés par DigiCert, et le même vérificateur intégré les contrôle : il recalcule l’empreinte de l’enregistrement d’intégrité de la sauvegarde, confirme que la signature remonte à la racine DigiCert épinglée, vérifie qu’elle était valide à la date attestée et donne le résultat. Le mécanisme, la norme et la façon de tout vérifier à la main avec des outils standard sont entièrement documentés dans la section technique de la page de l’export vérifié, puisque les deux fonctions partagent exactement le même code de vérification et la même ancre de confiance.

Dépannage

« Refus de construire un export vérifié : … ne correspond plus à la référence d’intégrité de cette archive … »

Le contrôle avant export décrit plus haut a constaté que l’un des fichiers dont dépend une sauvegarde certifiée a changé depuis sa certification, peut-être à cause d’une dégradation du disque qui la stocke, peut-être à cause d’une altération. L’export est refusé plutôt que construit à partir d’une archive qui ne correspond plus à ce qui a été certifié. Cliquez sur le bouton Vérifier de cette archive pour le même diagnostic, plus détaillé. S’il s’agit d’une dégradation, une nouvelle sauvegarde vous donne une copie propre, nouvellement certifiée ; l’archive concernée et vos autres archives ne sont pas affectées pour le reste.

« … il n’est plus sur le disque. »

Un fichier attendu par l’enregistrement d’intégrité de la sauvegarde est manquant ; le plus souvent, quelque chose a été supprimé à la main dans le dossier de l’archive. Comme plus haut, lancez Vérifier sur cette archive pour les détails, et sauvegardez à nouveau s’il vous faut une copie certifiée de cet appareil.

Voir aussi

Exporter en PDF, le RSMF pour la revue eDiscovery et les sauvegardes chiffrées.

Des questions ?

Écrivez à hello@text2store.com, nous vous aiderons.