Bonjour à tous,
Avant toute chose, je remercie l’équipe Dolibar, notamment pour son suivi et son travail par rapport à la loi de finance 2016.
Je suis développeur et j’ai particulièrement étudié ces 2 derniers jours le module BlockedLog qui répond aux exigences de la loi de finance 2016.
Je pense avoir bien compris le principe de chaînage des enregistrements de la table llx_blockedlog.
Cette technique consistant à effectuer un hachage du dernier enregistrement de la table avec la ligne précédente semble faire l’unanimité auprès des éditeurs pour garantir l’inaltérabilité et la sécurisation de l’ensemble des données de la table (en effet j’ai retrouvé l’emploi de cette technique chez vos confrères Pastèque.org ainsi que d’autres projets).
Cependant, j’aurais besoin de vos lumières par rapport au scénario suivant: imaginons qu’une personne mal-attentionnée trouve une faille de sécurité sur Dolibarr, notamment via une injection SQL, et que ce dernier parvienne à effacer une ligne du BlockedLog, puis à recalculer tout les hachages en aval de la ligne supprimée (tout en ayant récupéré l’empreinte de Hash). Je sais qu’il s’agit d’un cas empirique mais vous le conviendrez, pas impossible. Dans ce scénario, l’inaltérabilité et la sécurisation ne seraient pas garanties ce qui incomberait la responsabilité de la société qui aurait délivré au préalable l’attestation de conformité ? Qu’en pensez vous ?
Enfin, en parcourant le code, j’ai remarqué une (future ?) fonctionnalité de Dolibarr permettant de stocker les signatures chez un tiers de confiance (je fais référence au module BlockedLogAuthority). Cette solution me parait intéressante, est-elle déjà effective ? Avez-vous une idée de quel tiers de confiance pourrait fournir ce service ?
Merci d’avance pour votre retour.
Jonathan.
