À l’heure où tout se passe en ligne : opérations bancaires, réseaux sociaux, site de casino en ligne Belgique…, il est devenu crucial de pouvoir s’authentifier en toute sécurité. L’exemple du casino en ligne est criant car les utilisateurs souhaitent s’identifier de manière sécurisée et de nombreux casinos en ligne en Belgique proposent des dispositifs d’identificaiton à la pointe de la la technologie pour optimiser la sécurité des données personnelels comme les banques en ligne ou les adminisatrations. En effet, toute personne qui s’authentifie doit être en mesure de démontrer qu’elle est bien l’utilisateur légitime du compte d’accès ou du compte d’opérations concerné. Mais face aux failles des systèmes classiques d’authentification, que sont les mots de passe ou les systèmes d’identification dans de grandes bases de données centralisées, qui sont victimes de piratages massifs, de clonage et de perte de contrôle des données personnelles, la blockchain est annoncée comme une réponse performante permettant de surmonter en toute confiance la fraude. Grâce à une infrastructure décentralisée et des mécanismes de cryptographie, elle présente des garanties surtout de protection contre toute fraude.
Les problèmes des méthodes d’authentification traditionnelles
Actuellement, le fonctionnement de nos systèmes d’authentification repose sur des bases de données (généralement centralisées) administrées par une entreprise ou une institution. Cela présente un défaut principal : un point de défaillance unique. Si un pirate pénètre la base (ce qui fut le cas en 2017 lorsqu’Equifax est victime d’un hack entrainant la fuite de millions d’identités, ou lorsqu’en 2013 Yahoo perd également des millions de mots de passe), c’est plusieurs millions d’identités qui sont alors mises à mal en une attaque.
Au final, les conséquences les plus graves sont : le vol d’identité, le racket, les pertes financières et la vie privée en danger. On l’aura compris, la sécurité des mots de passe, pourtant tellement répandue, n’est pas totalement révélatrice d’un système fiable. Tout au contraire, même s’ils sont souvent complétés par :
- des systèmes d’authentification à deux facteurs (2FA), propriété réclamée de manière très forte par le groupe Facebook, par exemple qui la combine, comme il se doit, avec l’envoi par SMS d’un code de sécurité ou d’une application 2FA –, ce système demeure insuffisant en situation d’attaque. Une fois encore, l’ingénierie sociale peut être exploitée, selon les circonstances ;
- les attaques de phishing, chacune d’elles pouvant exposer l’utilisateur à une usurpation de son identité ;
- le cas d’une victime persuadée de communiquer son code 2FA sur une fausse page de connexion en est l’illustration.
De plus, ne serait-ce que par la complexité grandissante des exigences de sécurité imposées : caractères spéciaux, taille imposée, qui confondent, au moment de la mémorisation, et conduisent par ailleurs les utilisateurs à le restituer entre parents et amis ou à les stocker dans un espace vulnérable. Dans cette stratégie traditionnelle de recouvrement des mots de passe, la problématique de la propriété des données est criante et devient, chaque jour qui passe, de plus en plus pressante. Dans un système où l’information personnelle fournie par l’utilisateur est transférée aux mains de tiers tels les entreprises technologiques ou les États, il n’y a plus aucune possibilité de suivi quant à l’usage qui sera fait et à l’exposition qu’une exploitation de la donnée ne peut que comporter. Cette centralisation, une fois encore, peut également entretenir la scandaleuse pratique de la collecte abusive des données dans le cadre de l’affaire d’enquête qui a embrasé le monde entier en 2018 au sujet des pratiques de collecte abusive de données à des fins politiques dans l’affaire Cambridge Analytica.
Comment la blockchain révolutionne l’identité numérique ?
La technologie de la blockchain sur laquelle se base le Bitcoin propose une alternative prometteuse, notamment du fait de sa décentralisation, autrement dit, un lieu où sont stockés non pas des serveurs uniques, mais des ordinateurs (nœuds) se trouvant à de multiples points de la planète (des fichiers). Et cela supprime les points uniques de défaillance et rend ainsi, par làmême, les attaques beaucoup plus difficiles, un pirate devant parvenir à compromettre la majorité des nœuds en même temps, ce qui est presque impossible à réaliser compte tenu des protections cryptographiques de la blockchain.
Mais c’est surtout l’idée d’identité auto-souveraine (self-sovereign identity, SSI) qui est mise en avant par la blockchain, qui, en effet, transforme l’individu en propriétaire de son identité numérique, qui peut être gérée, dans un portefeuille numérique sécurisé, sans intermédiaire, pouvant notamment choisir librement avec qui partager des données, comme le prouve, par exemple, le cas d’un individu récupérant sa date de naissance auprès d’un service fourni en ligne. Ce qui permettrait à cette personne de prouver au vendeur en ligne qu’elle a bien atteint l’âge requis, sans avoir à fournir son nom ou encore sa date de naissance complète, et cela pourrait être rendu possible par des preuves cryptographiques, appelées « zero-knowledge proofs ».
Conclusion
L’identité numérique s’inscrit au cœur de notre existence connectée et sa sécurisation en constitue l’enjeu principal. Les méthodes traditionnelles nous ayant satisfaits jusqu’ici s’avèrent désormais inopérantes dans un monde où les cyberattaques sont omniprésentes. Alliée à la décentralisation, à l’immuabilité et à l’auto-souveraineté, la blockchain pourrait être l’opportunité pour repenser l’authentification. Si les défis techniques, réglementaires et pratiques sont relevés, elle pourrait redéfinir notre rapport à l’identité numérique et placer la sécurité et la confidentialité entre les mains des utilisateurs eux-mêmes.
