Signature numérique des compléments
Les compléments d'ArcGIS for Desktop peuvent être numériquement signés afin d'optimiser la sécurité lorsque les fichiers de compléments doivent être publiés et partagés entre les utilisateurs. Lorsque les fichiers de compléments sont numériquement signés, vous pouvez contrôler la source du fichier et vérifier que le contenu initial du fichier n'a pas été modifié après l'application de la signature. Toutefois, la présence d'une signature numérique sur un fichier de complément ne signifie pas que le complément est exempt d'erreurs de programme. Dès lors qu'un fichier de complément a été numériquement signé, la modification ou la suppression d'une partie de son contenu, de quelque nature que ce soit, brise la signature numérique. Les signatures brisées sont mises en évidence dans l'interface utilisateur lors de l'installation des fichiers de compléments et lors de l'examen des fichiers de compléments existants au moyen du Gestionnaire de compléments. Chaque signature numérique est liée à un certificat numérique ITU X.509 standard, qui est utilisé pour appliquer la signature au cours du processus de signature. Les signatures dignes de confiance sont celles qui ont été créées au moyen d'un certificat numérique émanant d'une autorité de certification de confiance. Le système d'exploitation Windows gère une base de données de certificats autorisés dans le magasin Autorités de certification racines de confiance. Vous pouvez examiner les certificats enregistrés dans ce magasin à l'aide du composant logiciel enfichable Certificats de la console MMC ou à partir d'Internet Explorer, en sélectionnant Outils > Options Internet > Contenu.
Pour plus d'informations sur les certificats numériques, consultez le document Utilisation de certificats.
Installation de fichiers de compléments comportant des signatures numériques
Pour installer des fichiers de compléments, vous pouvez les copier dans un dossier approprié connu. Il est cependant déconseillé de le faire sans avoir au préalable vérifié la source et le contenu du fichier. Si vous double-cliquez sur le lien d'un fichier de complément à partir d'un navigateur Web, d'un client de messagerie ou de l'Explorateur Windows, la boîte de dialogue Utilitaire d'installation des compléments Esri ArcGIS, représentée ci-dessous, s'ouvre automatiquement.
Cette boîte de dialogue affiche toutes les informations relatives au complément (nom, date, auteur, version et description). Si le fichier de complément est numériquement signé, les informations relatives à la signature apparaissent également dans cette boîte de dialogue. Si certaines des informations présentées ne sont pas satisfaisantes, l'utilisateur peut annuler la procédure d'installation, auquel cas le fichier de complément n'est pas installé.
Les fichiers de compléments peuvent être signés avec plusieurs signatures numériques, selon la stratégie interne de l'organisation à l'origine de leur création. Le signataire, la date et la validité de la signature sélectionnée s'affichent dans la zone Signature numérique/s de la boîte de dialogue Utilitaire d'installation des compléments Esri ArcGIS, qui indique également si le certificat associé provient d'une source de confiance. Cliquez sur le bouton Afficher certificat pour afficher des informations détaillées sur le certificat associé à la signature sélectionnée.
Un fichier de complément sécurisé doit comporter au minimum une signature numérique à la fois valide et fiable. Une signature non valide indique que le contenu du fichier de complément a fait l'objet d'une modification depuis l'application de la signature.
Gestion de la stratégie de sécurité des compléments d'ArcGIS for Desktop
La boîte de dialogue Gestionnaire de compléments, accessible à partir du menu Personnaliser de chaque application bureautique, dresse la liste des fichiers de compléments installés sur votre ordinateur.
Le statut de la signature numérique, parallèlement à d'autres informations relatives au fichier de complément, s'affiche dans la zone indiquée dans la capture d'écran suivante :
Le statut de la signature est déterminé comme indiqué dans le tableau suivant :
Etat | Description |
|---|---|
Aucun | Le fichier de complément sélectionné ne contient aucune signature numérique. |
Non approuvé | La signature numérique appliquée au fichier de complément ne provient pas d'une source de confiance. |
Non valide | La signature numérique a été invalidée suite à la manipulation du contenu du fichier de complément, ou le certificat a expiré. |
Authentifié | Le fichier est numériquement signé avec une signature valide provenant d’une source de confiance. |
Vous pouvez afficher et modifier les options relatives à la gestion de la sécurité des fichiers de compléments à partir de l'onglet Options de la boîte de dialogue Gestionnaire de compléments. Ces options, de la plus sûre à la moins sûre, sont les suivantes :
- Charger et utiliser uniquement des compléments publiés par Esri ; autrement dit, ne pas charger ni exécuter de fichiers de compléments personnalisés dans cette application.
- Charger et utiliser uniquement les fichiers de compléments signés numériquement par une autorité de certification de confiance.
- Charger tous les compléments, qu'ils comportent ou pas des signatures numériques.
Remarque :Les utilisateurs qui ne disposent pas de droits d'administrateur ne peuvent pas modifier ces paramètres si cela aboutit à un niveau de sécurité inférieur à celui qu'un administrateur a déjà établi sur l'ordinateur. Les options qui ne sont pas accessibles aux non-administrateurs n'apparaissent pas sur cet onglet.
Application de signatures numériques à des fichiers de compléments
L'utilitaire ESRISignAddIn.exe, fourni avec le téléchargement de l'Assistant de complément Python, permet de signer les compléments d'ArcGIS for Desktop.
Pour utiliser cet utilitaire, vous devez le copier dans le dossier bin du répertoire d'installation d'ArcGIS, et vous devez posséder un certificat ITU X.509 contenant des clés de chiffrement publiques et privées. Les certificats numériques peuvent être émis par les autorités de certification d'une organisation ou par une autorité de certification publique comme VeriSign ou Thawte. Une fois le fichier de complément source sélectionné, une liste de certificats autorisés pour signature vous est présentée. Une fois un certificat valide sélectionné, le fichier de complément est signé et publié, soit en écrasant le fichier d'origine, soit en l'enregistrant sous un nouveau nom. L'utilitaire permet également d'afficher ou de supprimer des signatures numériques existantes.
Informations techniques
Les fichiers de compléments sont des fichiers d'archives compressés (.zip) contenant plusieurs fichiers et sous-dossiers et conformes aux spécifications ECMA Open Packaging Conventions. Le format de la signature numérique est conforme à la norme W3C XML Digital Signature (XMLDsig). Pour plus d'informations, consultez les liens suivants :