Par Hicham Bouali (*)
Photo d'illustration
DR
Nous sommes désormais définis par de nombreuses identités numériques : cartes de paiement, numéros de téléphones portables, sites web et médias sociaux, applications d'entreprises... on peut dire sans risque que nos informations personnelles sont stockées partout. Et d'une certaine manière, ces identités numériques sont devenues partie intégrante du tissu social, à tel point qu'il est difficile d'imaginer qu'elles disparaissent.
Mais la question de la maîtrise de ces nombreuses identités numériques se pose désormais : comment s'assurer qu'une entité à qui l'on confie son identité ne l'utilisera pas de façon détournée, ou ne se la fera pas dérober à l'avenir ? Plusieurs projets en cours évaluent la technologie de la blockchain dans le cadre de la gestion des identités. Le principe de base est que ces dernières doivent être portables et vérifiables partout et à tout moment, et que chacun doit pouvoir créer librement des identités numériques chiffrées, sans avoir besoin d'un tiers de confiance qui détiendrait toutes ces informations de manière centrale. Car aucun dépôt central ne peut aujourd'hui garantir que des pirates informatiques ne le pilleront pas.
A l'inverse, la blockchain permet d'envisager une preuve dite "zéro connaissance". Il s'agit d'un concept selon lequel une personne peut prouver à une autre qu'elle connaît une certaine information ou qu'elle satisfait à une certaine exigence sans avoir pour autant à divulguer des informations réelles. Par exemple, avec un systèmes "zéro connaissance", un internaute peut prouver qu'il a plus de 21 ans sans avoir à révéler sa date de naissance. La personne disposerait d'un indicateur lié à son identité indiquant qu'elle a plus de 21 ans. L'entité chargée de vérifier cette information n'aurait pas besoin de connaître la date de naissance réelle mais devrait seulement valider la signature numérique de l'autorité, qui a émis et attesté l'information (et qui n'a pas besoin d'être une autorité centrale). Tout cela peut se faire grâce à la technologie de la blockchain sans nécessiter de répertoire central unique vulnérable.
Cependant, dans un monde décentralisé, il existe plusieurs exemples de cas où une identité numérique centrale est le meilleur moyen de relever certains défis spécifiques, telles des situations d'urgence. Ainsi, récemment, certains gouvernements ont pu utiliser les données de localisation des téléphones portables comme identité numérique ad hoc pour suivre les mouvements de la population dans un contexte épidémique.
Dans de telles situations, il peut donc sembler très utile d'avoir une identité numérique unifiée, adossée à un répertoire central (et gouvernemental, donc). Mais cela crée toute une série de nouveaux défis en termes de vie privée et de droits de l'homme. Car il sera difficile (et des exemples récents le confirment) de conserver la confiance des populations face à ce qui peut être perçu comme un suivi invasif rattaché à une identité unique dont il est difficile de se défaire.
L’actualité qui compte pour vous, chaque jour dans votre boîte mail.
D'autant qu'une même technologie peut aussi être utilisée de manière abusive. Ainsi le gouvernement chinois a-t-il déjà commencé à utiliser des logiciels de reconnaissance faciale pour identifier les personnes qui sortent en pyjama, ce qui est considéré comme un comportement non civilisé. Les photos des personnes, qui enfreignent les règles ont été mises en ligne, dans un principe d'humiliation publique. Mais cet exemple est "anecdotique" si l'on considère les raisons plus évidentes pour lesquelles un gouvernement autoritaire aurait intérêt à mettre en place une identité unifiée pour traquer ses citoyens.
À mesure que nos identités numériques évoluent, il est nécessaire de trouver un équilibre entre les avantages qu'elles procurent et les risques qu'elles créent. La première étape pour y parvenir est d'éviter les systèmes monolithiques, qui peuvent présenter un point de défaillance unique. Ces systèmes offrent une grande assurance quant à l'identification d'un individu mais peuvent aussi être une arme à double tranchant et entraîner une sur-identification. C'est notamment ce qui s'est passé aux États-Unis avec les numéros de sécurité sociale et le système de crédit.
Ces informations personnelles se sont avérées beaucoup trop faciles à obtenir par les escrocs, ce qui a fait naître toute une industrie du vol d'identité (un problème moins présent en Europe, où de telles informations simples à obtenir ne peuvent provoquer un tel impact sur la vie quotidienne).
L'une des clés pour aborder ce problème est le concept d'intégrité contextuelle, telle que proposée par Helen Nissenbaum, professeur de sciences de l'information à Cornell Tech. L'idée est que seules les informations d'identité minimales requises sont fournies au demandeur en fonction du contexte de la demande. Par exemple, un prestataire de soins de santé peut avoir besoin de connaître le sexe et le poids d'une personne, mais pas un commerçant en ligne. À l'inverse, un comparateur de crédits en ligne peut avoir besoin de connaître les revenus d'une personne tels qu'ils figurent sur les formulaires fiscaux, mais un prestataire de soins de santé n'aura pas besoin de le savoir.
À lire également
Tout ceci milite pour la création d'une identité auto-souveraine ainsi que le concept d'intégrité contextuelle. Une personne devrait pouvoir posséder et contrôler tous les aspects de son identité. Elle devrait pouvoir contrôler quelles informations sont partagées, où elles sont détenues et - surtout - quand elles sont effacées. Il ne faut pas demander aux individus de céder le contrôle de leur identité à une seule organisation, de manière permanente. Cela était évident avant l'ère moderne de la technologie - nous possédons ce que nous sommes, et nous nous devons de prendre cette question très au sérieux.
Par Hicham Bouali (*)
