On parle de plus en plus ces temps-ci de l’identification numérique. Le service d’identité numérique de la Poste, Identic, a beaucoup fait parler de lui et les commentaires sont nombreux. Ce qui m’étonne le plus c’est que contrairement à de nombreux sujets, le consensus n’est pas visible au sein de la communauté compétente.

L’identité numérique ?

Tout d’abord, je vais tenter de résumer succinctement le principe commun aux systèmes d’identité numérique.

Que ce soit MyID ou plus récemment Identic, le principe reste le même. Vos données sont stockées chez un « tiers de confiance » qui certifie votre identité, et grâce auquel vous pouvez vous connecter à un certain nombre de sites qui demandent cette identité. La démocratisation de tels systèmes réside dans la « confiance » que les éditeurs de sites et les utilisateurs mettront dans ces tiers.

Il est facile de s’attendre à un acteur qui deviendra majoritaire par effet de réseau (tout comme le 220 volts qui s’est généralisé pour ces raisons), et gèrera l’identité en ligne sur une majorité de sites.

Voilà pour les prérequis.

Pourquoi veut-on avoir une identité numérique certifiée ?

C’est ça qui me bloque. Je ne trouve pas de problématique suffisamment globale qui justifie de se diriger vers un tel système, mis à part des arguments qui font froid dans le dos. Les deux seules qui obtiennent mon approbation sont les suivantes, mais je n’en conclus pas qu’il faille se diriger vers une centralisation de l’identité.

– Je veux savoir à qui j’envoie un mail

Effectivement c’est un réel problème. Le protocole de mail étant ancestral à l’échelle de l’internet, il n’a jamais été pensé pour identifier avec certitude son interlocuteur. It is not a bug, it’s a feature. Ce n’est pas une « faille » comme on l’entend trop souvent, ça n’a juste pas la prétention de certifier l’expéditeur du mail. Les clients modernes et graphiques empêchant souvent la modification des headers et introduisant des principes abscons (du type l’« accusé de réception »), ils donnent aux utilisateurs non avertis l’illusion de quelque chose de très fiable.

Or ce n’est pas du tout le cas. Il est très simple d’envoyer un mail avec un nom et une adresse d’expéditeur quelconque, et le crédit à accorder à cette information devrait être le même que l’adresse inscrite au dos d’une enveloppe à côté du nom d’expéditeur. Il n’y a pas de raison de faire plus confiance à une adresse mail qu’à l’adresse physique inscrite sur une lettre.

Mais rassurez-vous, on s’en est rendus compte depuis TRÈS TRÈS longtemps, et on a pensé à une alternative qui marche très bien : PGP créé en 1991 qui permet la signature et le chiffrement de tous types de documents, dont les mails. L’avantage est que le système ne s’appuie pas sur un tiers, l’utilisateur partage lui-même sa signature avec son interlocuteur, et c’est un réseau de confiance qui s’organise. On n’a donc pas besoin d’une autre solution, il faut juste faciliter l’adoption du système qui fonctionne.

– Il faut pouvoir s’authentifier avec certitude sur le site de sa banque et sur les sites administratifs (impôts par exemple)

Ok, c’est pas faux. Mais c’est déjà ce qu’il se passe non ? Dans ma banque après avoir tapé mon mot de passe sur le site, j’ai une calculatrice dans laquelle il faut que j’insère une carte à puce puis que je tape un code affiché sur le site, et que je renseigne le résultat renvoyé par ma calculatrice. Plutôt pas mal, non ? Je préfère que ce soit ma banque qui s’occupe de ça et qui ne diffuse pas mes données à tout un tas d’autres services que je veux utiliser anonymement.

Ne perdons pas de vue que la force du Net et sa grande robustesse viennent de son fonctionnement en réseau sans point de centralisation névralgique. Nous nous en éloignons déjà suffisamment pour ne pas remettre une couche en centralisant nos données personnelles.
Je sens déjà venir en commentaires les afficionados d’OpenID. À ma connaissance ce système n’intègre pas de vérification physique de l’utilisateur comme le fait la poste avec Identic. Pour moi ça se résume à un simple aggrégateur de comptes dans lequel une simple fuite mettrait à poil tous les utilisateurs. Le débat n’est donc pas exactement le même, bien que certains arguments soient semblables.

Les dérives de tels systèmes

Ce qui fait la force du net (et qui est aussi la cause du mal absolu des pédonazis qui sévissent sur tous les intertubes, c’est bien connu –MMM), c’est aussi sa possibilité d’y agir anonymement. Ça permet de contourner le flicage dans les dictatures, de s’exprimer librement, d’avoir le droit à l’erreur, de créer librement (voir à ce sujet le ted talk de moot). Ne voyez-vous pas poindre, même dans nos démocraties, le jour où l’on devra s’identifier avant de se connecter au net ? Je voyais ce matin un intéressant débat entre Fabrice Epelboin, Paul da Silva et Charles Nouÿrit dans les commentaires d’un billet de Korben (comme quoi…). Je le paste ici et les morceaux choisis (les fautes d’orthographe sont authentiques) :

Paul a dit :
Version courte : on fait face à un bon vieux passeport numérique à la Coréenne et au rythme où vont les choses, avec des députés comme monsieur Masson pour ne pas le nommer, il sera bientôt obligatoire de poser cette identification pour publier un commentaire sur Youtube…
La centralisation est l’ennemi de la sécurité, ce projet est la centralisation des « identités numériques »…

Charles a dit :
Je parle ici en ma qualité de fondateur de MyID.is Certified
Primo, il n’est pas question de savoir si nos états vont nous équiper d’identité numérique, mais quand et comment ?
Ne méprend pas mes propos, garantir l’accès de manière anonyme à Internet est INDISPENSABLE.
Mais la vraies raisons qui ont pousser ces Etats à réagir comme ça, ne serait-elle pas les abus à répétition de ses citoyens ?
je préfère une solution intermédiaire qui me permette en passant par un tier de confiance, de me connecter sur un site web en disant : « Bonjour, je m’appelle Charles Nouÿrit et je réside à telle adresse », et ces informations ont été vérifiées.
Il n’y a donc aucune possibilité d’usurpation d’identité chez nous pouvant mener à commettre des actes illégaux.

Fabrice a dit :
Franchement, Charles, tu te rends compte de l’absurdité ? Il n’existe pas de système parfaitement à l’abri, le tien ou un autre, peu importe, seront toujours sujet à des usurpations et à des fraudes.
Le problème de fond est bel et bien le glissement qu’un truc en apparence anodin pourrait avoir quelques années après sa mise en oeuvre, je rejoins tout à fait Paul là dessus.
Que tu ai maintenu à flot ton entreprise durant 4 ans avant qu’un marché se pointe à l’horizon, chapeau (et bravo aux investisseurs), mais soit un tantinet honnête, et assume de bosser pour Big Brother.

Vous saurez sans mal distinguer lesquels de ces avis remportent mon approbation

Je refuse qu’on s’oriente vers un système aussi dictatorial d’identification systématique. Si j’étais fan des détournements de proverbes à deux balles, je dirais « Georges Orwell l’a rêvé, la Poste l’a fait »

On parle de plus en plus ces temps-ci de l'identification numérique. Le service d'identité numérique de la Poste, Identic, a beaucoup fait parler de lui et les commentaires sont nombreux. Ce qui m'étonne le plus c'est que contrairement à de nombreux sujets, le consensus n'est pas visible au sein de la communauté compétente. L'identité numérique ...