Notre identité en ligne
L'attribution des noms de domaines sur Internet était monopolistique et s'est finalement transformé en un système distribué. L'identification des utilisateurs sur les sites en ligne n'utilise pas encore de mécanisme assurant l'unicité. Nous n'avons pas de carte d'identité sur Internet, nous avons de multiples comptes, impossibles à correller. Cette situation, confortable pour notre anonymat et un peu gênante à l'usage, change rapidement à l'initiative de GNU/FreeDeveloppers, AOL, Sun et Microsoft. Quelles solutions nous permettent de franchir cette étape sans hypothéquer nos libertés et notre indépendance ?
Ces derniers mois, des organisations ont lancé des initiatives destinées à fournir une plate-forme technique et/ou un service permettant à des sites de partager leur bases d'utilisateurs. Les enjeux économiques sont clairs: le succès commercial des registrars démontre que l'attribution de noms est une activité lucrative. De plus, comme il s'agit d'attribuer une identité à des individus susceptibles d'acheter des services ou produits, l'accès à cette base devient cruciale pour les sites marchands et les adeptes du mass mailing.
Les enjeux sociétaux demandent une attention particulière. Le risque est d'accorder le contrôle de nos identités à un ou deux acteurs qui ne sont pas des agences gouvernementales mais des multinationales privées. Aujourd'hui AOL et Microsoft regroupent à eux seuls plus de deux cent millions d'identités d'internautes dans le monde. Ils ne sont en aucune manière contrôlés par une instance citoyenne d'envergure similaire.
Ce problème pourrait être relativement bénin si les informations stockées se limitaient à un nom de compte et un mot de passe choisit par l'utilisateur sans corrélation obligatoire avec son identité réelle. Mais ces bases de données visent majoritairement à corréler l'identité sur le réseau à une identité physique. La délivrance d'un certificat par une tierce partie repose sur une vérification de l'identité de la personne. Aujourd'hui seuls le nom de compte et le mot de passe suffisent pour s'identifier auprès d'un site. Demain seuls les détenteurs d'un certificat seront autorisés à passer certaines barrières. Si un système de vote électronique devait un jour être légal, il est probable qu'il prenne appui sur ces certificats. Plus près de nous, la valeur légale d'une signature électronique repose aussi sur l'utilisation d'un certificat délivré par un tiers de confiance.
Les solutions logicielles développées pour bâtir les infrastructures techniques nécessaires sont diffusées sous licence propriétaires ou Logiciel Libre. Les solutions propriétaires donnent tout contrôle à l'éditeur sur les modalités de diffusions, les évolutions techniques et impose à chaque acteur impliqué (individu, gouvernement ou entreprise) d'entrer en relation avec lui. Les solutions Logiciel Libre assurent la transparence du processus d'identification, un contrôle possible par chacun et donnent la liberté de s'approprier la technologie, de l'adapter à ses besoins propres, de la distribuer à des tiers et de l'utiliser pour soi même. Dans le cas du logiciel propriétaire, une entreprise unique détient l'avenir de la solution technique. Cet élément d'infrastructure étant amené à se généraliser, une telle dépendance est problématique.
Les différents acteurs pourraient s'accorder sur des objectifs qui, sans octroyer un pouvoir exclusif, leur permettrait de développer une activité économique lucrative s'ils le souhaitent:
- Établir un système permettant de délivrer une carte d'identité à l'utilisateur, lui permettant de s'identifier lorsqu'il navigue sur Internet. Ce système est répartit afin d'éviter qu'une entreprise ou un gouvernement en ait, de facto, la maîtrise exclusive.
- Assurer que l'ensemble des logiciels utilisés pour bâtir l'infrastructure donnent à tous la liberté de les utiliser, de les modifier, de les redistribuer et d'en étudier le fonctionnement à partir des sources.
- Accréditer plusieurs tiers de confiance certifiant qu'une carte d'identité sur Internet correspond à une personne physique donnée. Cela permet à la permet à la personne d'utiliser le certificat pour signer des documents, crypter des messages, acheter ou vendre des biens ou des services.
Les projets actuels correspondent plus ou moins à ces objectifs:
- DotGNU (GNU/FreeDeveloppers) est un système entièrement répartit. Il n'est pas contrôlé par une ou plusieurs personnes morales. La solution technique est composée entièrement de Logiciel Libre. DotGNU ne préconise pas un tiers de confiance car ceux qui existent n'utilisent pas du Logiciel Libre.
- Liberty Alliance (SUN) est composé d'un ensemble de personnes morales. En l'absence d'informations, on peut seulement supposer que la base de données sera centralisée. On peut aussi supposer que l'infrastructure reposera en partie sur du Logiciel Libre (implication de Apache/O'Reilly) et en partie sur du logiciel propriétaire (machines virtuelles et classes Java).
- Magic Carpet / ScreenName (AOL) et Passport (Microsoft) ont développé une solution centralisé, sous leur contrôle exclusif et à base de logiciel propriétaire.
- Les autorités de certification (tiers de confiance) sont aujourd'hui dominées par VeriSign. C'est le partenaire privilégié de AOL, Microsoft et Liberty Alliance. La PKI (Public Key Infrastructure) utilisée est propriétaire.
En bref, DotGNU répond à tous les critères souhaitables mais ne couvre pas la partie certification par un tiers. Liberty Alliance, en utilisant une partie Logiciel Libre, résoudrait partiellement le problème d'appropriation de la technologie. Par ailleurs, l'ensemble du projet étant contrôlé par ses membres cela résout aussi partiellement le problème d'un contrôle par une entreprise unique. Passport et ScreenName ne répondent pas aux objectifs, l'accès à la base étant centralisé et la technologie étant propriété exclusive d'une entreprise.
Il est possible d'imaginer un scénario permettant d'aboutir aux objectifs souhaitables sur la base de DotGNU et Liberty Alliance et en favorisant l'émergence d'une autorité de certification indépendante utilisant du Logiciel Libre.
Les organisations ou entreprises ayant besoin d'un mécanisme d'authentification unifié pour leurs utilisateurs peuvent rejoindre le groupe de développement DotGNU afin d'implémenter leur solution dans ce cadre. S'ils ont des besoins spécifiques, ils seront tout de même amenés à généraliser les libraires communes (passerelle vers les bases de données, gestion des sessions, accueil des certificats, protocoles d'interrogation, modules de cryptographie etc.). D'autres intervenants pourront aussi capitaliser sur cette base commune, factorisant ainsi les efforts. Les parties purement spécifiques pourront aussi être insérées dans le projet. Même si elles n'ont aucun intérêt apparent hors du contexte d'utilisation envisagé, elles résolvent des problèmes qui ont de grandes chances d'être proches des préoccupations d'autres acteurs. Ces acteurs seront alors en mesure de généraliser la solution et ainsi d'aider à l'évolution et à la maintenance.
Une entreprise investissant dans cette voie doit se garantir contre l'appropriation de son effort par un concurrent. Le choix de la licence GNU GPL est essentiel à cet égard: il impose à un concurrent de fournir les modifications. Chaque acteur doit jouer le jeux du partage et de la liberté. Les organisations à but non lucratif et les individus se garantissent dans le même temps que leur travail ne sera pas diffusé sous des termes restreignant les libertés qu'ils ont choisit de lui associer.
Les composants Logiciel Libre construits par Liberty Alliance pourront servir d'inspiration (les Licences Logiciel libre donnant la liberté d'étudier le fonctionnement du logiciel). Si la licence choisie par Liberty Alliance est compatible avec la licence GNU GPL, des parties de code pourront être dupliquées pour compléter des ensembles fonctionnels.
L'émergence d'une autorité de certification utilisant une technologie Logiciel Libre impose à une organisation de remplir les conditions suivantes:
- Mettre en place une PKI Logiciel Libre, par exemple IDX-PKI.
- Établir et roder une méthode destinée à vérifier l'identité d'une personne physique ou morale demandant un certificat signé.
- Faire les démarches administratives nécessaires pour s'assurer que la solution technique et les algorithmes de cryptographie sont acceptée par les autorités (DCSSI en France, par exemple)
- Engager des négociations destinées à faire accepter l'organisation comme tiers de confiance par les distributeurs de navigateurs web et de serveurs web.
Ce scénario est loin d'être improbable. Nous sommes au tout début d'un mouvement général d'attribution et d'utilisation d'identité sur Internet, le jeux ne sont pas encore fait. Outre les acteurs majeurs cités, de nombreuses organisations développent dans cette direction. En mettant en commun leurs efforts via le projet DotGNU, il est possible de voir apparaître une solution fiable et dynamique sur le modèle d'Apache ou du noyau Linux.
Un organisme de certification parait plus difficile à mettre en place mais ce serait oublier, par exemple, les ISP de dimension internationale. Un ISP identifie déjà ses clients et possède donc une méthode rodée. Identifier un demandeur de certificat reviendrait à utiliser le même circuit. Un ISP dispose aussi de salles machines et de développeurs: la mise en place une PKI Logiciel Libre peut se reposer sur eux. Dans l'intervalle, le service juridique peut engager les démarches auprès des autorités. Dialoguer avec les distributeurs de navigateurs et de serveurs web est ne représente pas une nouveauté car un lien a souvent déjà été établit, par exemple pour fabriquer les kits de connexion.
J'espère vous avoir transmis une image du panorama actuel et des enjeux autour de l'authentification et de la certification. Faire en sorte que la tendance actuelle s'oriente vers des solutions Logiciel Libre, l'indépendance de tous les acteurs et le respect de la vie privée dépend de l'imagination dont nous feront preuve. Un schéma mercantile et aliénant se profile, il dessert les individus à court terme, les entreprises et les états à long terme. C'est à nous qu'il appartient de proposer, d'exprimer et d'implémenter une alternative ou les individus sont libres, les entreprises prospères et les états indépendants.
Loïc Dachary