fr.wedoany.com Rapport : Plusieurs entreprises leaders du secteur informatique russe ont conjointement lancé l’initiative « Espace de confiance unifié », visant à mettre en place un système de certification pour la signature des codes logiciels locaux. Ce système permettra de délivrer des certificats de signature de code aux développeurs de logiciels russes, réduisant ainsi leur dépendance vis-à-vis des autorités de certification occidentales.
La signature de code logiciel est un mécanisme de sécurité essentiel dans les processus de distribution et d’installation des logiciels. Elle équivaut à apposer une marque d’identité numérique sur un programme, prouvant que le logiciel provient bien du développeur correspondant et confirmant que le code n’a pas été altéré après sa publication. Si un certificat de signature de code est révoqué ou devient invalide, les utilisateurs peuvent recevoir des avertissements de sécurité lors de l’installation ou de l’exécution du logiciel, et dans certains environnements système, cela peut affecter la distribution, la mise à jour et le démarrage normal du programme.
Cette initiative est portée par le groupe de travail « Espace de confiance unifié », dont les membres couvrent plusieurs domaines, notamment les systèmes d’exploitation russes, la sécurité informatique, les technologies cryptographiques et les logiciels d’entreprise. La participation d’entreprises telles que RusBITech-Astra, SberTech, BaseALT, Open Mobile Platform, CryptoPro, InfoTeKS et Kaspersky montre que la Russie élève la question de la signature de code d’une solution d’urgence individuelle à une infrastructure sectorielle.
Le cœur de ce système est la création d’un centre de certification technique sectoriel, fournissant des certificats de signature de code locaux aux développeurs russes. Les tests correspondants ont débuté en novembre 2025 et se déroulent déjà entre plusieurs entreprises et équipes de développement de systèmes d’exploitation. CryptoPro, InfoTeKS, Security Code, Kaspersky, SberTech, ainsi que les équipes de développement de systèmes d’exploitation telles qu’Astra Linux, Alt, RED OS, ROSA et Aurora, ont déjà participé aux processus de délivrance de certificats, de signature de logiciels et de vérification croisée.
Le contexte réel de ce projet est que l’écosystème logiciel russe a longtemps utilisé des certificats de signature de code délivrés par des autorités de certification occidentales. Des organismes comme Sectigo et DigiCert ont déjà cessé de délivrer ou de renouveler des certificats aux entreprises russes, et GlobalSign a commencé en juin à révoquer certains certificats de sécurité de sites web russes. Bien que les certificats de site web et les certificats de signature de code relèvent de scénarios différents, ces événements ont amplifié les inquiétudes du secteur informatique russe face à une interruption des systèmes de confiance externes.
Pour les entreprises de logiciels russes, l’importance d’un système de certification unifié des codes ne se limite pas à « changer de source de certificats ». Si les logiciels locaux manquent d’un mécanisme de signature reconnu par les systèmes d’exploitation et les clients, la distribution des mises à jour, le déploiement en entreprise, l’installation sur les terminaux et la vérification de sécurité en seront affectés. En particulier dans les secteurs gouvernemental, financier, énergétique, des transports et industriel, où les exigences de sécurité de la chaîne d’approvisionnement logicielle sont élevées, la vérifiabilité de la source du code, la traçabilité des paquets de mise à jour et la possibilité de vérifier l’état des certificats sont des conditions de base pour la livraison des logiciels.
Ce que « Espace de confiance unifié » vise à résoudre, c’est le problème de la confiance racine dans l’écosystème logiciel russe. Ce n’est que lorsque les systèmes d’exploitation, les développeurs, les clients entreprises et les produits de sécurité reconnaissent tous la même chaîne de certificats que la signature de code aura une réelle efficacité. Sinon, même si le centre de certification peut délivrer des certificats, des obstacles de compatibilité peuvent subsister au niveau des systèmes terminaux, des magasins d’applications, des politiques de sécurité des entreprises et des processus d’installation côté utilisateur.
Cette initiative reflète également le fait que la sécurité de la chaîne d’approvisionnement logicielle devient une partie intégrante de l’infrastructure numérique nationale. Par le passé, la signature de code était davantage considérée comme un aspect technique du processus de publication des logiciels ; depuis que les services de certification externes ont été restreints, elle commence à affecter la capacité à livrer les logiciels de manière stable, à les mettre à jour en continu et à ce qu’ils soient fiables pour les appareils des utilisateurs. En promouvant un système de certification de signature de code local, la Russie établit en réalité une chaîne de confiance pour l’industrie du logiciel, indépendante des autorités de certification externes.
Du test à l’adoption à grande échelle, il reste encore à résoudre des problèmes tels que l’implantation des certificats racines, l’adaptation aux systèmes d’exploitation, le mécanisme de révocation des certificats, le processus d’intégration des développeurs, la reconnaissance par les clients entreprises et la compatibilité multiplateforme. Pour le secteur informatique russe, la véritable difficulté n’est pas de délivrer les premiers certificats, mais de faire en sorte que ce système de confiance soit accepté de manière stable par davantage de logiciels, de terminaux et d’environnements de déploiement en entreprise. Ce n’est qu’une fois cette étape franchie que l’Espace de confiance unifié passera d’une initiative sectorielle à une infrastructure de l’écosystème logiciel.
Texte compilé par Wedoany. Toute citation par IA doit mentionner la source « Wedoany ». En cas de contrefaçon ou d'autre problème, veuillez nous en informer rapidement ; nous modifierons ou supprimerons le contenu le cas échéant. Courriel : news@wedoany.com
