Passage à la nouvelle e-ID en toute sécurité

Après la débâcle aux votations du printemps 2021, j’aimerais aborder dans cet article plusieurs questions relatives à l’architecture de sécurité ainsi qu’au sentiment de sécurité. Je souhaiterais d’emblée préciser que la deuxième tentative semble être sur une meilleure voie.

Observons tout d’abord ce qui s’est passé après la défaite cuisante subie lors du référendum: à peine six mois plus tard, la Confédération a présenté un «document de travail concernant le projet d’identité électronique (e-ID)». À l’automne 2021, elle lance ensuite une consultation informelle sur les procédures possibles, et reçoit un retour particulièrement positif de la part de la communauté d’experts, tant sur le plan du planning que de la qualité du contenu. Elle soumet à la discussion trois approches techniques différentes pour une version actualisée de l’e-ID. Outre les approches classiques établies, telles que «IdP – fournisseur d’identité central étatique» (techniquement comparable à la première approche de l’e-ID) et «ICP – infrastructure à clé publique» (par ex. SuisseID), une procédure plus moderne et minimisant les données mais moins répandue est également mise sur la table: «SSI – identités souveraines». À travers ces trois niveaux d’ambition stratégique, le rapport lance un nouveau débat, consistant à déterminer s’il faut se contenter de fournir l’e-ID (niveau d’ambition 1) ou s’il est nécessaire de créer un écosystème de preuves numériques. La question sous-jacente est de savoir si, en plus de parties prenantes étatiques (niveaux d’ambition 1 et 2), les parties prenantes privées (niveau d’ambition 3) seront également intégrées dans cet écosystème afin d’élargir considérablement les possibilités d’application.

Après avoir évalué la consultation publique ainsi que les diverses prises de position, le Conseil fédéral a pris une décision de principe peu avant Noël 2021: les SSI doivent fournir la base technique pour le futur écosystème e-ID, et au niveau d’ambition 3, une approche permettant des scénarios d’utilisation bien plus étendus, incluant les fournisseurs privés.

Je souhaiterais à présent illustrer mes propos quant à l’évaluation positive mentionnée ci-dessus à l’aide de trois problématiques relatives à l’architecture de la sécurité et au sentiment de sécurité. Penchons-nous sur des questions liées à des incompréhensions ou des craintes récurrentes lors du référendum ayant eu lieu début 2021:

• Tiers: pourquoi dois-je absolument passer par l’intermédiaire d’un fournisseur d’e-ID (IdP) issu du secteur privé pour fournir mes données lorsque j’utilise l’e-ID étatique?
• Profils d’utilisation: ces fournisseurs d’e-ID transmettent mes données aux services en ligne que je consulte. Ceux-ci obtiennent ainsi des profils d’utilisation supplémentaires. Est-il possible que mes données suscitent alors tout d’un coup des convoitises de la part des fournisseurs d’e-ID ou de l’État et qu’elles soient utilisées à des fins auxquelles je n’ai pas consenti?
• Honeypots: nous ne remettons pas en cause votre vigilance. Toutefois, personne n’est à l’abri d’un vol de données centralisées. Ce risque peut toucher de nombreux utilisateurs et peut concerner, outre les données stockées dans l’e-ID, les profils d’utilisation mentionnés ci-dessus. Et plus ces honeypots contiennent de données d’utilisation, plus ils deviennent une cible attrayante. Il arrive bien trop souvent que ces biens volés soient ensuite vendus sur le darknet. Est-il réellement indispensable de créer des honeypots centralisés dans le cadre d’une e-ID?

La différence cruciale en cas de passage aux SSI est qu’un fournisseur d’e-ID gérant les données et les transmettant si besoin à des services n’est plus nécessaire. Cette fonction est alors assurée par un portefeuille géré par les utilisateurs, généralement sous la forme d’une application mobile. On appelle cela une approche «autosouveraine», car chaque personne contrôle elle-même le transfert de ses données et les transmet directement de son portefeuille au service sans avoir à passer par un intermédiaire. Que cela signifie-t-il par rapport à nos trois problématiques?

• Tiers: plus besoin de faire confiance à un fournisseur d’e-ID, étant donné que l’approche SSI ne requiert pas ce rôle. En revanche, les utilisateurs ont désormais besoin d’un portefeuille et se reposer sur son bon fonctionnement. À l’heure actuelle, nous partons du principe que l’État mettra à disposition un portefeuille en libre-service, mais que d’autres portefeuilles pourront également être utilisés.
• Profils d’utilisation: dorénavant, les utilisateurs transmettent leurs données directement de leur portefeuille autogéré aux services demandeurs. Ainsi, plus besoin d’intermédiaire pour communiquer des données: celles-ci figurent uniquement dans le portefeuille. Dans ce cas, les utilisateurs doivent se fier à une application gérant les portefeuilles, en espérant qu’elle n’exploite indûment les données d’utilisation et surtout qu’elle ne les transmette pas.
• Honeypots: si les fournisseurs d’e-ID n’existent plus, les ensembles de données réunissant dans un même endroit les données personnelles et les données d’utilisation de nombreuses personnes disparaissent également. Les portefeuilles individuels représentent des cibles nettement moins intéressantes, car ils contiennent uniquement les données d’un utilisateur. Il convient toutefois de garder un œil sur les applications de portefeuilles, qui sont un outil récent. Une manipulation du logiciel de portefeuille pourrait tout de même menacer simultanément une grande quantité de données d’utilisation.

Avec sa décision de principe concernant les SSI, le Conseil fédéral adopte une approche qui prend les craintes évoquées au sérieux et s’attelle à en déterminer l’origine. Nous reconnaissons toutefois le portefeuille comme un nouveau composant de taille, qui prend de plus en plus d’importance. Un défi majeur pour tous les participants à l’écosystème des preuves numériques consiste à expliquer ces relations de manière compréhensible, de manière à instaurer une certaine confiance. Nous voulons ainsi établir une base d’une deuxième tentative réussie en ce qui concernant la mise en place d’une e-ID pour la Suisse.