Article mis en ligne le 15 juillet 2008

***

Le besoin d’en connaître (need to know), principe de sécurisation de l’information issu du monde militaire, serait-il un principe de nature à favoriser la conciliation de la sécurité et de la protection de la vie privée dans l’univers des réseaux ? L’actualité économique de l’année 2008 plaiderait en faveur de cette thèse.

Le besoin d’en connaître (ou need to know en anglais) est un principe de sécurisation de l’information dont l’origine se situe dans l’univers militaire. Le soldat reçoit de sa hiérarchie uniquement les informations dont il a besoin pour réaliser sa mission. Seule un nombre très réduit de personnes dispose d’une vue d’ensemble sur une opération et cela permet d’éviter les fuites par négligence ou par recours à la pression. Une personne qui ne sait pas ne sera pas en mesure de gaffer ou d’avouer.

Le concept est désormais également utilisé dans l’univers de la sécurité informatique et de la protection des données. Ce n’est pas étonnant dans la mesure où il est finalement assez proche des principes juridiques de limitation de la collecte des données à caractère personnel (data minimization).

Appliqué concrètement au cas du commerce électronique (1), l’application de ce principe permet de considérer que la banque du client n’a pas besoin de connaître ce qui a été acheté en ligne mais uniquement le montant et les références du compte à créditer. La société de livraison a uniquement besoin de l’identité et de l’adresse du destinataire (qui n’est pas forcément le client). Il n’est pas non plus nécessaire de savoir ce qu’il y a dans le colis au-delà de quelques caractéristiques comme la fragilité du bien. Enfin, pour aller au bout du raisonnement, le commerçant n’a pas forcément besoin de connaître l’identité de l’acheteur mais simplement obtenir des assurances sur sa solvabilité, sur la validité de son paiement.

Dans un billet (2) publié sur son blog le 6 mars 2008, Kim Cameron, le monsieur identité de Microsoft s’enthousiasme devant les perspectives ouvertes par le « Need-to-Know-Internet ». Pour l’auteur des lois de l’identité, Internet n’oublie pas et les informations ne se dissipent pas ; un peu à la manière de la radioactivité dans l’environnement. S’y ajoute la tendance naturelle du réseau à favoriser l’interconnexion (linkage). Le fait qu’il ne s’agit pas, forcément, d’une volonté délibérée d’organisations intrusives n’en diminue pas pour autant les risques pour les utilisateurs. Il est du devoir de ceux qui travaillent sur l’architecture des réseaux d’œuvrer pour contrecarrer cette pente vers l’interconnexion des données. La divulgation minimale des informations participerait de cette ambition et permettrait de concilier, et non d’opposer, les objectifs de sécurité et de protection de la vie privée.

 Accréditations anonymes et carte d’identité blanche

Les domaines d’application du besoin d’en connaître dans le monde des nouvelles technologies appartiennent schématiquement à deux grandes familles. Pour l’univers des réseaux, il s’agit des accréditations anonymes (anonymous digital credentials). Dans le monde physique, on parlera de « carte d’identité blanche ».

Les réalisations en matière d’anonymous digital credentials ne sont pas récentes puisqu’elles remontent aux années 90 et aux travaux fondateurs du spécialiste américain de la cryptologie David Chaum en matière d’argent liquide numérique (digital cash). Des travaux qui ont été par la suite approfondis par un autre gourou de la cryptologie, le néerlandais Stefan Brands. L’argent liquide numérique constitue une illustration exemplaire de l’application du principe du besoin d’en connaître puisque le commerçant en ligne ne connaît pas l’identité de l’acheteur mais obtient l’information selon laquelle il sera réellement payé.

Pour les cartes d’identités blanches, il n’est pas utile de faire référence à un américain, puisque ce concept est défendu de longue date par Yves Deswarte, chercheur français du LAAS-CNRS et expert reconnu des technologies de protection de la vie privée. Yves Deswarte décrit (3) ainsi une carte nationale d’identité électronique sur laquelle ne figure aucune donnée relative à l’identité de la personne. Dans son esprit, il devrait être juste possible de prouver d’une part que l’on possède bien la nationalité revendiquée et d’autre part que l’on est bien le titulaire de la carte émise par une autorité. Il devient superflu de faire figurer des éléments tels que le nom ou la photo du titulaire. Dans le même registre un permis de conduire électronique permettrait de prouver aux autorités de contrôle que l’on est bien en possession d’un droit à conduire sans qu’il ne soit nécessaire de décliner son identité. Dans cette approche, la biométrie qui assure le lien entre le porteur de la carte et les droits qui y figurent devient paradoxalement une technologie de protection de la vie privée. « Pour réaliser tout cela, les technologies existent déjà. Il suffit de vouloir en développer l’usage » conclut Yves Deswarte.

 A la recherche d’un modèle économique

En d’autre terme, le problème n’est pas celui de la faisabilité technologique de ces solutions mais de l’existence d’un modèle économique permettant d’en diffuser l’usage. Bruce Schneier, autre gourou américain de la crypto, ne dit pas autre chose quand il analyse les credentials cryptographiques de Stefan Brands : l’idée est séduisante, la réalisation semble irréprochable mais il manque un business model viable.

C’est dans ce contexte qu’il faut revenir sur le papier enthousiasme et pas totalement désintéressé de Kim Cameron puisqu’il est consécutif à l’acquisition par Microsoft, en février 2008, de la société Credentica crée par Stefan Brands et de sa technologie U-Prove. L’association de la puissance de Microsoft et de la technologie de Credentica permettrait de réaliser des plateformes et produits de gestion de l’identité à même de faire obstacle aux déviances naturelles du réseau. Cela vaut des milliards affirme Kim Cameron qui semble considérer que la question du modèle économique est désormais réglée.

Pour ceux qui suivent les questions de privacy depuis plusieurs années, cette acquisition est singulière si l’on se remémore le contexte du début des années 2000. A cette époque, Microsoft s’attirait une volée de bois vert de la part des défenseurs de la vie privée avec son projet Passport perçu comme une entreprise menaçante pour les données personnelles des internautes. A peu près au même moment, Stefan Brands rejoignait les équipes de la bien nommée société canadienne Zero-Knowledge qui entendait devenir un acteur majeur de l’économie numérique sur le créneau des technologies de protection de la vie privée (PETs Privacy Enhancing Technologies).

A l’époque, la société menait une politique de recrutement de prestige. Outre Stefan Brands, la société comptait dans ses rangs Stephanie Perrin qui avant d’être Chief Privacy Officer de la société, représentait le Canada au comité Security and Privacy de l’OCDE ou encore l’écrivain cyberpunk Tom Maddox.

Ni Passport, ni Zero-Knowledge n’ont atteint leurs objectifs initiaux et ces retrouvailles de 2008 obligent à l’évidence à revisiter quelques certitudes sur le paysage économiques des PETs.

Dès mars 2008, Joe Wilcox indiquait (4) dans eWeek que l’acquisition de Credentica fournissait une preuve que Microsoft était parfois à même de dépenser intelligemment son argent. Il ajoutait que l’opération lui semblait finalement bien plus pertinente que les grandes manœuvres entreprise par la firme de Redmond pour tenter d’obtenir le contrôle de Yahoo !

L’avenir dira si Microsoft – et la cause de la protection de la vie privée sur Internet – tireront profit de cette opération.

Arnaud Belleil

Ces exemples sont tirés d’une présentation réalisée par Yves Deswarte le 22 mai 2008 lors de la journée Sécurité des Systèmes d’Information organisée par l’OSSIR :
http://www.ossir.org/jssi/jssi2008/1A.pdf

2 Microsoft to adopt Stefan Brands’ Technology, Kim Cameron’s Identity Weblog, 6 mars 2008
http://www.identityblog.com/?p=934