L’Europe met en place un portefeuille digital centralisé : faut-il croire à ses promesses de sécurité et surtout de respect de la vie privée ?

Atlantico : Le Parlement européen et le Conseil européen sont parvenus à un accord sur le portefeuille d’identité numérique européen pour garantir la sécurité numérique et le respect de la vie privée des citoyens. De quoi s’agit-il ? Quelles informations vont figurer dans ce portefeuille ?

Pierre Beyssac : Le terme de portefeuille est un peu trompeur. En réalité, on est plus proche d'un système de preuve d'identité en ligne. Il s'agit de faciliter l'accès à des services en ligne pour effectuer des transactions sécurisées. Le premier domaine d'application est celui des relations avec l'administration (sécurité sociale, impôts, etc.).

En France, nous avons déjà France Connect, bien connu, qui est un système similaire dans les usages, et bientôt France Identité Numérique qui en est une version technologiquement étendue. Ce dernier a défrayé la chronique pendant les débats sur le projet de loi SREN (Sécuriser et réguler l'espace numérique), car le rapporteur Paul Midy a cru bon de tenter d'en imposer l'usage sur l'intégralité de nos accès aux réseaux sociaux.

Fabrice Epelboin : C’est une évolution assez naturelle de l’organisation du monde, au niveau européen, qui chapeautera puis à terme remplacera ce que l’on appelle France Connect, qui sert de clef numérique. Ce nouveau portefeuille numérique, appelé "wallet" est prévu en 2024 ou 2025. 

S’y trouvent ce que vous mettriez si vous aviez un énorme portefeuille à l’arrière de votre pantalon : vos moyens de paiement, votre carnet de santé, vos feuilles d’impôt, votre permis de conduire, votre carte d’identité, votre passeport, votre contrat de travail, votre dossier médical. Il peut comprendre aussi votre titre de séjour, vos diplômes. Sont ainsi rassemblées une myriade de choses que l’on ne transporte pas au quotidien. Quelle que soit l’information à transmettre, le citoyen est certain de l’avoir avec ce « wallet ». Il permet de disposer de toutes ses données dans un unique portefeuille virtuel, pour échanger avec une multitude de parties prenantes. Elle peut être le médecin traitant avec qui est partagé le dossier de santé. Elle peut être une institution avec qui sont partagés les documents d’identité pour se connecter à un système ou encore un commerçant avec qui un contrat est signé pour payer une voiture. Ce contrat nécessite l’accès à un moyen de paiement, à un permis de conduire, et à un document d’identité nationale. Ce « wallet » le permettra. 

Pour une boîte de nuit, où il faut prouver que l’on est majeur, un QR code à usage unique serait scanné par le videur pour attester automatiquement de la majorité, sans qu’aucune autre information ne soit transmise. Si pour le médecin traitant beaucoup d’informations sont communiquées, le patient est maître de ce qu’il partage. En ce sens-là, c’est un progrès.

Le "wallet" est pour le moment quelque chose de plutôt positif qui rend les démarches et les interactions plus pratiques. De plus, cela sécurise les données du citoyen d’entreprises commerciales qui pourraient en faire ce qu’elles veulent. Il permet une granularité dans la manière de partager de l’information de façon à être économe dans la manière dont on le réalise. Dans un contexte de scandale avec l’usage des données personnelles par des géants du web comme Facebook, il va de la responsabilité de chacun de gérer et de communiquer raisonnablement ses données.

Le problème est la centralisation des données : si le dispositif cède, c’est très problématique pour le citoyen qui n’a plus accès à ses données personnelles. En outre, du fait d’être électronique, le dispositif est traçable, avant tout par l’État, ce qui rend obscure la manière dont cela pourrait être utilisé demain. Nous n’y sommes pas encore, mais c’est un pan important d’une société de contrôle.

Celle-ci ne pourra être comme la Chine qui est régie par un contrôle social, alors que nous sommes encore dans un régime démocratique. Il existe de nombreux autres modèles, avec des similitudes avec la Chine. L’Europe peut avoir son modèle, les USA auront le leur, les pays du Sud aussi. C’est le cas de l’Inde, qui est un pionnier en matière d’identité centralisée, elle qui n’en avait pas du tout à l’origine.

Ce portefeuille digital centralisé va-t-il régler les problèmes de sécurité et de respect de la vie privée ? Thierry Breton affirme que les européens vont disposer d’une identité électronique sécurisée toute leur vie. Vraiment ?

Pierre Beyssac : Un tel portefeuille ne résout pas totalement les problèmes de sécurité et de respect de la vie privée. Il peut, au mieux, être une brique de la solution... et il peut conjointement introduire de nouveaux risques. Son déploiement doit donc être réalisé de manière mesurée, et il ne doit en aucun cas devenir d'usage obligatoire pour les citoyens. Ce serait le meilleur moyen de provoquer méfiance et rejet légitimes. C'était une des erreurs politiques de Paul Midy, et la réaction ne s'est pas fait attendre : son projet a dû être retoqué.

Pour l'essentiel, le projet n'est pas très nouveau : il a été voté dès 2014. Nous assistons aujourd'hui à sa version 2.

Fabrice Epelboin : L’aspect de la vie privée est complexe. L’outil permet de contrôler la manière dont nos données personnelles sont partagées avec une multitude de tiers, mais toutes nos données sont centralisées par l’État. Le citoyen devient transparent aux yeux de l’État. Si nos données sont sécurisées vis-à-vis des GAFAM, elles ne le sont pas par rapport à l’État. Il va pouvoir collecter l’ensemble de nos informations et regarder la manière dont nous l’utilisons et donc nos interactions. C’est une pierre angulaire pour un potentiel système autoritaire demain. Ce régime n’existe pas, mais ce dispositif n’en demeure pas moins une belle pierre angulaire. 

L’État sait en permanence ce que l’on fait avec son portefeuille. Cela interroge sur ce que pourrait devenir demain l’Europe en rendant les citoyens aussi transparents, pour le meilleur ou pour le pire. Ce dispositif ne fera certainement pas pencher l’opinion en faveur des libertés individuelles.

Pour réagir à Thierry Breton, qui est ingénieur, il a raison lorsqu’il parle d’identité à vie, mais pas d’une identité sécurisée toute sa vie. Même si d’énormes moyens ont été investis dans la sécurisation, ce sera piraté, comme l’exemple indien le montre. Un produit impiratable n’existe pas en cybersécurité : c’est simplement un concept marketing. L’Union Européenne a besoin d’y recourir pour faire accepter un tel outil.

La question n’est pas de savoir si c’est piratable mais quand. En Inde, un système équivalent a été piraté la semaine dernière alors que Bill Gates avait fait les louanges de sa sécurité il y a quelques années. Notre système sera peut-être piraté dans 5 ans, dans 10 ans ou avant, mais il sera piraté. Le système indien va montrer quelles sont les conséquences d’un piratage : de l’usurpation d’identité ou toute autre chose. Il est encore trop tôt pour réaliser quelles sont les conséquences de ce piratage. Les données sont aujourd’hui sur le « dark net ». Elles peuvent être rachetées par une multitude de personnes qui peuvent en faire ce qu’ils veulent. C’est aussi bien intéressant qu’effrayant.

Les opposants au projet dénoncent un flicage à grande échelle. Tout gouvernement européen sera en mesure d’espionner les citoyens européens en fournissant les moyens techniques d’intercepter le trafic web crypté ; disent-ils. Est-ce le cas ?

Pierre Beyssac : En effet, EiDAS 2 oblige les éditeurs de navigateurs web à accepter d'office les autorités de certification promues par les gouvernements de l'UE. Une autorité de certification est prise en compte par l'installation d'un certificat spécial, dit "racine", dans nos navigateurs.

Ces autorités de certification se portent ensuite garantes pour le petit cadenas du navigateur qui indique que notre communication avec un site web est à l'abri des écoutes, correctement chiffrée. Elles le font en émettant des certificats pour les sites visités. Le système est assez fruste et permet à n'importe quelle autorité de distribuer des certificats pour n'importe quel site.

L'article 45 du nouveau texte permet aux États de l'UE d'imposer aux éditeurs de navigateurs d'y inclure des certificats d'autorités ayant la bénédiction de ces États, sans que les éditeurs aient leur mot à dire sur leur sérieux. En clair, lesdits États seront techniquement en mesure, s'ils le souhaitent, de s'interposer entre le navigateur web et le service accédé en émettant de "vrais-faux" certificats de sites ; donc de briser la confidentialité de la communication. Voire, encore mieux, de réaliser des sites totalement bidons ayant l'apparence du vrai site, y compris avec le cadenas de sécurité.

Il ne s'agit pas forcément à ce stade d'une volonté explicite des États, mais l'article 45 leur en ouvre la possibilité technique. Au rythme où se déploient les lois sécuritaires, il est légitime de penser que cette nouvelle capacité d'écoute sera rapidement utilisée.

Quel rôle jouent les navigateurs web dans la mise en place de ce contrôle ? Les internautes pourront-ils y échapper ?

Pierre Beyssac : Les éditeurs de navigateurs sont très vigilants et prennent énormément de précautions pour ne pas autoriser n'importe quel certificat racine qui serait susceptible de mettre en péril la sécurité de nos usages de tous les jours. En effet, un seul certificat racine malveillant suffit pour que tout l'édifice s'écroule.

Et il existe des précédents étatiques. Ainsi, un certificat racine de l'ANSSI (l'autorité nationale française de sécurité des systèmes d'information) qui avait été utilisé en interne pour intercepter des connexions avec Google a promptement été supprimé de Firefox en 2013.

On peut rappeler également que le déploiement quasi-généralisé du chiffrement sur le web fait suite à l'affaire Snowden, qui avait révélé des écoutes massives par la NSA (donc, déjà, l'État) des États-unis. Le chiffrement permet de dresser une barrière sérieuse contre ces écoutes totalement illégales.

L'article 45 introduit donc hélas, au bénéfice des États, une faille sérieuse dans ces protections de nos communications.

Il restera probablement possible de supprimer ces certificats racines "à la main" pour les utilisateurs qui le souhaitent, au prix de ne pouvoir vérifier les sites probablement eux-mêmes étatiques légitimement certifiés par ces autorités. Bien sûr, la plupart des utilisateurs ne le feront pas, n'ayant pas connaissance du problème potentiel, ou ne souhaitant pas se compliquer la vie.

Toute cette affaire met en évidence la nécessité d'améliorer sensiblement le modèle de distribution des certificats pour le web.