On 2017-08-08 22:17, Cédric Krier wrote: > Mais au vue du point 21-2, s'il faut être robuste contre un "homme de > l'art", il n'y a pas d'autre solution que le tiers de confiance (pour > moi). > Donc j'imagine deux solutions: > > La première serait d'avoir un module qui envoie un hash du mouvement > posté avec l'identifiant du mouvement à un service web gérer par un > tiers de confiance. Ce tiers s'engage à publier à la demande les hash > afin de permettre la vérification que les mouvement n'ont pas été > modifié depuis le postage. > Une variante distribuée serait possible en utilisant un ledger distribué > comme BigchainDB.
En fait, je pense qu'il est possible d'implémenter un service qui ne demandera pas au tiers de confiance de stocker un hash pour chaque mouvement posté (ça peut devenir assez volumineux). De plus une telle solution requière de conserver les données pour au moins 6 ans. Donc le nouveau design serait baser sur une signature asymétrique des hash. On enverrait au service le hash du nouveau mouvement et le hash du dernier qui a été signer. Le service verifie que le dernier hash est bien le même que le dernier qu'il a signé, et retourne une signature qui combine les deux hash. On stockerait cette signature dans la DB avec le hash. La clè publique que le service utilise serait donnée aux utilisateur afin qui puisse vérifier l'intégrité de la comptabilité en vérifiant que la dernière signature, que tous les mouvements postés sont signés et que la chaîne de hash est complète. L'intérêt est qu'il n'y a besoin pour le tiers de stocker que la clè privée et le dernier hash signé. Et en plus, il est possible de changer la clè à tout moment de manière transparent, il faut juste la gardée secrète. > La deuxième est la boite noire (ex: http://www.boîtenoire.be/) qui sert > de tiers de confiance local. Il faudrait voir s'il existe des > fournisseurs en France de telle boîte. Une boîte noire pourrait être crée en utilisant le service ci-dessus et en l'embarquant dans une machine celée. Comme ce serait une solution générique, j'ai proposé à des intégrateur français d'Odoo de collaborer sur cette solution: https://twitter.com/cedrickrier/status/895244882528350209 L'idée serait d'avoir plusieurs fournisseurs de cette solution et ainsi donner le choix aux utilisateurs. Mais aussi d'avoir la plus grande base possible d'utilisateur afin d'assurer un logiciel de qualité. -- Cédric Krier - B2CK SPRL Email/Jabber: [email protected] Tel: +32 472 54 46 59 Website: http://www.b2ck.com/ -- Vous recevez ce message, car vous êtes abonné au groupe Google Groupes tryton-fr. Cette discussion peut être lue sur le Web à l'adresse https://groups.google.com/d/msgid/tryton-fr/20170809132113.GX3742%40kei.
