Le nouveau portefeuille d’identité américain stocke les preuves biométriques sur les téléphones, et non sur des serveurs d’entreprise.
Alberto Leon, ingénieur principal en charge du portefeuille porte-clés, fait la démonstration de l’application. Crédit : Grace DuVal
Dans nos vies de plus en plus connectées, la facilité d’utilisation a un prix. En moyenne, chaque personne possède plus de 100 comptes en ligne, et la création d’un nouveau compte nécessite souvent de fournir des informations personnelles telles qu’une adresse électronique ou une date de naissance. Les chercheurs du « Applied Social Media Lab (ACML) at the Berkman Klein Center for Internet & Society » ou « Laboratoire des médias sociaux appliqués du Centre Berkman Klein » pour l’Internet et la société affirment que le système actuel met en péril la vie privée et accroît la vulnérabilité au vol d’identité ; ils proposent donc une solution.
Une nouvelle approche de l’identité numérique
Dans le cadre d’un symposium sur l’identité numérique en avril, les ingénieurs d’ASML ont lancé Keyring , un portefeuille numérique open source permettant la vérification d’identité. Au lieu de confier leurs données personnelles à des bases de données d’entreprise, Keyring permet aux utilisateurs de conserver leurs informations sur leur mobile et de ne divulguer que les données strictement nécessaires à leur vérification.
« L’identité est en réalité profondément personnelle », a déclaré James Mickens, chercheur principal du projet ASML et professeur Gordon McKay d’informatique à la Harvard John A. Paulson School of Engineering and Applied Sciences. « Votre âge, votre nom, votre lieu de résidence, votre sexe – tous ces éléments vous sont indissociables en tant qu’utilisateur, et non d’une entreprise ou d’une technologie particulière. »
Pourquoi le système actuel est-il si risqué ?
Lors du symposium, des chercheurs ont décrit ce qu’ils perçoivent comme un écosystème d’identité numérique de plus en plus vulnérable. Meg Marco, directrice principale d’ASML, a déclaré que les individus possèdent trop de données dispersées sur un trop grand nombre de comptes qu’ils ne contrôlent pas pleinement.
« Ce n’est pas seulement agaçant, c’est aussi dangereux », a déclaré Marco. Elle a cité l’exemple du piratage de la base de données cloud du gestionnaire de mots de passe LastPass en 2022, au cours duquel des pirates informatiques ont obtenu des copies des données chiffrées de dizaines de millions d’utilisateurs.
Comment fonctionne le porte-clés portefeuille
Keyring, développé en collaboration avec le groupe de travail Decentralized Trust Graph de la Linux Foundation, repose sur un portefeuille d’identité géré par l’utilisateur. Ce dernier peut y partager un aspect spécifique, mais limité, de son identité. Il peut s’agir, par exemple, de révéler son âge sans divulguer sa date de naissance, ou encore de mentionner qu’il possède un compte chez un fournisseur de messagerie particulier sans révéler son nom d’utilisateur.
Pour utiliser le portefeuille numérique, les utilisateurs prouvent leur identité grâce à des données biométriques telles qu’une empreinte digitale ou une reconnaissance faciale, stockées uniquement sur leur téléphone portable. Ils peuvent également y ajouter des justificatifs d’identité vérifiables, comme une version numérique de leur permis de conduire ou une attestation d’emploi.
Construire un réseau de confiance décentralisé
Keyring permet également de vérifier les rencontres en personne sans qu’une entreprise agisse comme intermédiaire ; par exemple, deux personnes qui se rencontrent lors d’une conférence professionnelle peuvent vérifier en toute sécurité leur identité et confirmer qu’elles se sont rencontrées en personne sans transmettre leurs données à un service comme LinkedIn.
Chaque connexion vérifiée de manière sécurisée contribue à ce que les chercheurs appellent un graphe de confiance décentralisé : il n’existe pas de base de données centralisée des données d’identité, mais chaque utilisateur peut être sûr des informations d’identification de toutes les personnes de son réseau.
« Notre hypothèse est que ce type de graphe de confiance peut aider à relever d’importants défis dans les médias sociaux, tels que la distinction entre les personnes et les agents d’IA, la garantie de l’âge ou la détermination de l’origine de certains contenus », a déclaré l’ingénieur principal Brendan A. Miller.
Nicole Brennan, conceptrice UX senior, a déclaré que l’un des principaux objectifs de Keyring était la facilité d’utilisation. « On nous a confié un problème que personne n’avait résolu. Nous n’avions aucun modèle UX, aucun gabarit, aucun précédent. Et nous avons créé un outil qu’une personne lambda peut prendre en main et utiliser en quelques secondes », a-t-elle expliqué.
L’obstacle de l’adhésion institutionnelle
Selon Yajaira Gonzalez, responsable produit chez ASML, le principal défi de cette technologie réside dans l’adhésion des institutions, des gouvernements et des entreprises, car ces derniers devraient émettre et reconnaître des identifiants vérifiés. Sans leur participation, le système se limite à un usage pair-à-pair ou expérimental.
« Les incitations pour que toutes ces entités adhèrent à ce modèle sont mal alignées », a déclaré Gonzalez, « car actuellement, elles tirent un grand profit de la possession et du contrôle de vos données, puisqu’en fin de compte, elles les monétisent. »
Gonzalez a déclaré qu’il pourrait y avoir des solutions techniques, mais son principal espoir résidait dans un mouvement citoyen exigeant un plus grand contrôle sur les données des utilisateurs.