Le 7 mars, les Suisses seront appelés à voter sur l’identité numérique

Cette année 2021 sera marquée par un vote important en Suisse sur l’identité numérique. Voici mon point de vue sur cette votation concernant ses avantages et concernant les missions à venir pour une bonne transition vers un tout digital et une administration moins bureaucratique.

Avant de commencer, je tiens à préciser que j’ai un intérêt privé sur le sujet des titres et de l’authentification digitale. Sujet que je traite en tant qu’expert en sécurité informatique depuis bientôt une décennie et qui a abouti en une société, dénommée Signderiva (patent pending) dont l’incorporation devrait être concrétisée fin Janvier 2021. Mon avis bien qu’orienté offre un point de vue approfondi et pose sur la table de vrais problèmes techniques affectant notre vie que j’ai pu côtoyer intimement au fil de mes recherches.

Je tiens aussi à féliciter les Suisses de porter ce sujet au niveau fédéral par une votation et je félicite également le Conseil fédéral de prendre ce sujet à bras le corps sans superflu, rendant ainsi le besoin et l’intérêt immédiat.

Avec cette votation, une personne de nationalité suisse peut être assurée, à terme, d’avoir son permis de conduire, son ID ainsi que tout autre document divers d’offices étatiques officielles dans son natel en ayant la garantie que ses données ne seront pas stockées dans des “cloud”.

Cette votation pourrait changer la vie de tout un chacun dans ses démarches administratives professionnelles et personnelles.

Pour débuter, je vais extraire les quelques phrases qui composent cette votation avant d’en expliquer les risques techniques et sociaux. Avant de lancer ma première citation, je tenais à préciser que le sujet est complexe (vous allez vite le comprendre). Mais, surtout, à mettre en avant le fait que la moindre erreur aura nécessairement des effets en chaîne, comme par exemple une aversion de l’utilisateur (plus ou moins complexe à traiter), qui ralentiront à coup sûr la transformation vers le digital.

Ce qui est dit

“Le rôle de l’État est de vérifier et de reconnaître les applications […]”

Il ressort des textes du Conseil fédéral, concernant la votation sur la loi fédérale sur les services d’identification électronique, notamment la vérification et la reconnaissance des applications qui permettront de créer et vérifier un titre ou document digital (sans distinction) de valeur étatique. A cet effet, il est mis en avant que la Confédération suisse encadrerait un service, assuré par des fournisseurs d’e-ID reconnu par la Confédération, mais toujours vérifié, reconnu et contrôlé par l’Etat de bout en bout.

Il y a deux termes importants dans ces phrases qui seront particulièrement complexes à mettre en exécution. Et cela, du simple fait de la conception des logiciels et solutions cryptographiques actuellement utilisés. Ainsi, “vérifier” et “bout en bout” me semblent être des points centraux de cette votation et la technique me paraît être la clé de voûte de la réussite de la mise en œuvre d’un tel projet.

La raison de l’importance de la technique est relativement aisée à comprendre. Que tout le monde puisse réussir à vérifier de bout en bout une donnée digitale sous-entend une conception particulière de la technique qui n’existe actuellement pas et cela malgré bon nombre de tentatives.

“L’État assume, par conséquent, le rôle qui lui est traditionnellement dévolu : il fixe des règles claires et en surveille la mise en œuvre, à toutes les étapes. Deux nouveaux organismes verront le jour à cette fin :

le service d’identité, rattaché à l’Office fédéral de la police (fedpol), qui sera chargé de contrôler l’exactitude des données d’identification personnelle avant l’établissement de l’e-ID.”

Plusieurs points sont à noter ici. L’Etat prend tout son rôle régalien et doit engager sa responsabilité au service du public et dans son unique bénéfice. La création d’un service spécifique à l’identité est une belle chose mais peut aussi être un frein au développement. Typiquement La Poste, que l’on retrouve un peu partout dans les RS possède déjà un pouvoir autoritaire en matière de reconnaissance de document et notamment de pièce d’identité. Il serait intéressant de pouvoir l’utiliser ou à défaut de le réformer car l’e-ID peut rendre obsolète certains articles. Avec l’existence d’un service d’identité rattaché à FEDPOL, un document certifié conforme par La Poste ne deviendrait pas moins conforme du simple fait qu’il ne soit pas délivré par ledit service ?

Il est intéressant de voir que le texte parle de e-ID dans le sens de l’identité mais ne semble pas intégrer le concept de e-Doc qui pourrait être autant un passeport qu’un extrait officiel des poursuites (ou tout autre chose). Je crois que c’est le principal écueil de cette votation qui pourrait plus se résumer à une question de forme plutôt que de fond. En effet, même si elle est importante, la e-ID n’est pas quelque chose que nous utilisons régulièrement. Mais il y a d’autres choses dont nous avons tous nécessairement besoin et dont la digitalisation serait très utile. Mécaniquement, le fait de ne pas avoir plus que notre identité rend immédiatement la solution rare dans son usage avec un risque d’abandon de l’utilisateur (le cas Belge est intéressant). Finalement, l’utilisateur voudrait avoir un plus grand nombre de choses officielles et digitalisée hormis son identité.

Le texte prévoit de contrôler les données avant établissement de l’e-ID. De ma compréhension, cela voudrait dire que les anciens documents peuvent être reconnus par un service rattaché à la police mais quid des nouveaux ? Vont-ils être livrés directement avec l’outil de digitalisation sur la version papier ? Cette question est primordiale car, dans ce cas, l’utilisateur devra nécessairement se déplacer pour obtenir la moindre preuve. Ici encore, le risque d’abandon est fort alors même que les technologies permettent de simplifier, de manière très sécurisée, cette délivrance de documents. Simplement en vous donnant accès à ces derniers d’abord par la voie digitale qu’il est ensuite possible de transposer en version analogique (de votre smartphone, tablette ou ordinateur en version papier). Ou inversement, de la version papier vers la version digitale.

Je pourrais très bien recevoir mon passeport, mon permis de conduire ou mon extrait de l’Office des poursuites sur un papier que je peux, ensuite, digitaliser et qui ne perdrait pas de valeur. Dès que j’en aurai besoin, je pourrais le partager à qui de droit mais surtout je pourrais également le faire par voie digitale (email, fichier…), ce qui possède l’avantage de grandement simplifier mes démarches.

Il serait intéressant que le Conseil fédéral réfléchisse à étendre les possibilités d’usage en parlant de e-Doc et pas uniquement de e-ID.

sed -i ‘s/e-ID/e-Doc/g’ LSIE

“la Commission fédérale des e-ID (EIDCOM), qui aura pour mission de reconnaître les fournisseurs d’identités numériques et leurs systèmes et de surveiller l’application de la loi.”

D’un point de vue organisationnel, cette phrase prend tout son sens car cette Commission peut agréer des logiciels qui permettront la vérification d’une e-ID mais elle peut aussi agréer ceux qui devront les fabriquer. Ainsi, des règles de sécurité pourraient être imposées et la Commission pourrait, aussi, tout à la fois assister à la mise en œuvre de ces règles. Cependant, encore une fois, le fait que cela soit rattaché à une simple identité (e-ID) et ne soit pas étendu aux e-Docs rend le système moins intéressant et surtout augmente son risque d’abandon par les utilisateurs. Ainsi, une e-Document Commission pour les documents électroniques me semble bien plus adaptée car celle-ci peut couvrir l’ensemble des besoins des confédérés en matière de documents électroniques authentiques et d’identité.

“La nouvelle loi impose des obligations strictes à tous les intervenants s’agissant de la protection des données nécessaires à l’établissement de l’e-ID.”

Dans le meilleur des mondes ces obligations devraient être publiques et les experts en sécurité devraient pouvoir y contribuer. De même, les services d’intelligence économique devraient aussi avoir leur mot à dire dans la mesure où ils sont à l’écoute des risques et des vulnérabilités et notamment par l’Unité de pilotage informatique de la Confédération (UPIC) avec la stratégie nationale de protection de la Suisse contre les cyberrisques (SNPC) qui traite le vaste sujet du cyber risque.

“Ces données ne peuvent pas être utilisées à d’autres fins. Cela signifie notamment que les fournisseurs de services d’identification électronique ne sont pas autorisés à les communiquer à des tiers.”

Il faudra que cela soit présent dans les textes. D’autant plus que le fournisseur et exploitant du service d’identification électronique ne devrait pas avoir besoin de services tiers pour vérifier l’authenticité d’un e-ID. Cependant, le stockage pour traitement sera le même. Ainsi, il faudrait faire attention à ne pas créer des incohérences entre LSIE et la LDP comme cela est le cas avec la LCC qui semble contrer certains engagements de la LDP et rôles de la LP.

“La loi fixe un cadre essentiel pour les fournisseurs et les utilisateurs de produits et de services en ligne : elle met à leur disposition une solution simple, mais sûre. La situation actuelle n’est pas satisfaisante : les moyens d’identification courants, comme la combinaison adresse électronique et mot de passe, ne sont pas suffisamment sûrs. Ils ne sont pas régis par un cadre strict.”

Stratégies d’authentification Facebook, Google, Microsoft

La futur e-ID remplacerait un système d’authentification login/passe ? Cela voudrait dire que je devrais utiliser mon identité euclidienne pour m’authentifier sur un site/service virtuel ? Cette vidéo lève tout doute.

https://www.youtube.com/watch?v=Oz8S47g9UyE

Ce que propose le texte ci-dessus semble vraiment correspondre à l’intégration du protocole oauth utilisé par la Confédération. Celui-ci est bien connu et est très largement utilisé par les majors de ce monde et on peut dire qu’il est sûr. Cependant, si cette intégration est utilisée cela signifie que la Confédération sera systématiquement informée de l’inscription de tel ou tel utilisateur à tel ou tel site ou application. La Confédération agit ici comme un sésame technique et stockera l’association d’un compte à une application/site. L’intégration de ce protocole présente aussi des avantages comme, typiquement, faciliter la révocation d’accès par la Confédération. Pour cela, il faudra simplement supprimer ledit lien pour enlever les accès d’une application. Ainsi, le protocole oauth tombe les 2 pieds dans le plat de la LDP. Sauf cas où cette stratégie d’authentification ne serait utilisée que par quelques services.

Le protocole oauth est ce qu’on appelle une stratégie d’authentification qui nécessite une intégration technique de la part des applications qui accepteront la fameuse e-ID. Ce n’est pas automatique… Chaque service devra nécessairement effectuer des adaptations à son portail (Etat, office, service..).

La réussite d’un fournisseur oauth tient exclusivement à sa masse d’utilisateurs adjacent. En effet, c’est typiquement parce que j’utilise tous les jours gmail, qu’utiliser son système d’authentification me sera utile par ailleurs. C’est un point très important car sans masse critique adjacente le fournisseur se retrouvera dans une position où il n’a simplement pas d’utilisateur. La Confédération doit absolument surfer sur la vague de l’organique pour évoluer, elle doit éviter à tout prix l’obligation d’usage.

Vous pouvez vous faire une idée sur l’état de l’art en matière de stratégie d’authentification en visitant http://www.passportjs.org/packages/ qui propose pas moins de 500 stratégies. La stratégie de la Confédération pourrait et devrait se retrouver dans ce logiciel.

Vient ensuite ce que j’appelle le problème d’Euclide virtuel. C’est un joli terme pour parler d’une personne qui ne va pas utiliser son identité lorsqu’elle se trouve dans le monde virtuel. Pour être plus précis, il arrive que l’utilisateur veuille bien que sa véritable identité soit utilisée lorsque cela est nécessaire mais très souvent les utilisateurs ne souhaitent pas que ce lien soit fait et cela simplement par principe (et globalement c’est une très bonne chose). Cela pose vraiment la question de l’usage et de la pénétration d’une telle solution auprès des utilisateurs et par rebond de l’intérêt d’une telle solution.

Typiquement, il est courant de lier une vraie identité à un compte (des GAFAM) créé — quand cela est nécessaire. Or, cela n’est pas possible aujourd’hui sans des vérifications manuelles, qui peuvent être aussi très contraignantes. Dans les Fintech, le processus de vérification KYC régule la création de compte de paiement électronique. Ce qui constitue, à ce jour, une véritable réussite. Or, cela n’a pour l’heure rien à voir avec une stratégie d’authentification type oauth.

Il me semble essentiel que la Confédération adapte l’idée selon laquelle elle pourra imposer une “authentification authentique” avec une e-ID. Ainsi, il serait plus à propos d’offrir la possibilité à un utilisateur de prouver son identité lorsque cela est nécessaire et de lier son compte. Cela est possible simplement sur la base de calculs cryptographiques formels, sans connexion et sans compte. Ainsi, la surface de pénétration de la LSIE serait grandement élargie et les utilisateurs auraient plus de chance d’y trouver un bénéfice.

“La solution qu’instaure la nouvelle loi réduit la bureaucratie, ce qui est essentiel pour le développement du commerce électronique et de la cyber-administration.”

Je trouve cette phrase particulièrement franche et directe et je trouve qu’elle convient assez bien pour pousser la transformation digitale car, indépendamment de notre volonté, le monde devient de plus en complexe et les processus et méthodologies actuelles ne conviennent simplement plus.

Un compte ?

Cette votation n’est pas sans rappeler l’outil SwissID. Or, ce dernier n’a pas réussi à atteindre les attentes escomptées et cela pour plusieurs raisons. Tout le monde peut partir de sa propre analyse. De mon avis, il est parsemé de problèmes de parcours utilisateurs et de soucis de transparence technologique.

Ici, on voit que que SwissID propose une inscription et une connexion. Malheureusement, j’aurais préféré pouvoir simplement “vérifier un document”. En fait, durant mes travaux, je me suis aperçu qu’il n’était pas nécessaire pour le receveur d’avoir une identification digitale au sens d’un compte. Je peux très bien recevoir un document officiel sans avoir besoin de créer un compte quelque part ! Et oui, cela est techniquement possible. Le principal frein à l’acquisition est de pousser les receveurs à créer un compte pour recevoir un document de valeur.

“Vous allez me tracker !…” — Foncièrement, il n’aura pas tort

La carte bancaire de l’identité numérique ?

Il est important aussi de regarder ce que nos voisins font en matière de e-ID. Comme par exemple, la Belgique qui a instauré une e-ID il y a presque 20 ans (en 2003 et l’a généralisé en 2004) mais qui malheureusement ne sert qu’à très peu de chose. Toutefois, l’instauration de cet e-ID a le mérite de permettre la signature d’un document digital qui a valeur juridique. En réalité, il sert surtout à déclarer ses impôts et effectuer quelques tâches. Le bénéfice utilisateur est assez complexe à percevoir.

Vous n’êtes pas non plus sans savoir que cette votation intervient alors même que le 2 août 2021, tous les pays membres de l’Union européenne doivent avoir adopté une carte d’identité au format carte bancaire électronique intégrant deux empreintes digitales et une photo d’identité. Il est important que la Suisse reste leader dans l’innovation.

De mon point vue, la carte bancaire de l’identité est une vraie fausse solution pour améliorer la vie administrative car pour commencer il faudra un lecteur spécifique pour communiquer avec la carte mais encore, il faudra taper le code de déverrouillage. Sachant que ces cartes sont équipées d’un “blow fuse” (ou équivalent) qui s’active et détruit la carte lorsque des PIN sont erronés. En soit, on peut dire que cette carte est plus sécurisée même si plusieurs attaques sont possibles pour extraire les clés privées (telles que les attaques par side-channel). Le no-go complet sur la carte type bancaire prend surtout sa source dans le fait que nous avons déjà des dizaines de cartes de ce genre, que de plus cela nécessite beaucoup d’énergie à fabriquer et que, enfin, dans une transition digitale, le fait que l’Etat se dote de ce type de carte me semble être un très mauvais message à ceux qui pollue énormément de la sorte etqui n’ont pas plus de solutions viables. Je reviendrais sur la partie énergétique et vous verrez que c’est assez surprenant.

Si cela peut vous rassurer, le Conseil fédéral a bien visé en supposant que le support serait le natel et non pas une carte au format bancaire. Cependant, le passage d’un titre digital sur le natel (y compris une e-ID) n’est pas une tâche simple sur un support pluri-applications et pluri-environnements. Il faudra redoubler d’innovations pour arriver à proposer quelque chose d’à la fois sécurisé et utile.

Dois-je voter oui ?

Indiscutablement oui, puisque le matériel légal sera à disposition du Droit et encadrera une pratique actuellement un peu sauvage. Même si des termes tel que e-ID devraient être étendus à tout document officiel étatique. Ici, la Suisse se dote d’une reconnaissance d’une authentification digitale et intègre la Confédération dans le processus.

La Confédération va cependant devoir intégrer les conceptions de parcours utilisateurs et la réalité du marché qui est, en plus, en pleine mutation du fait du COVID-19. Imposer un outil utile passe nécessairement par un système vertueux.

De même, pour faire avancer le bateau, il sera nécessaire de modifier en profondeur la LSIE afin d’adapter le consensus nécessaire au traitement d’un e-Doc et non d’une unique e-ID. Cela permettra de réguler l’archivage légal, ordonnance de justice, extrait et plus dans une loi régissant le besoin commun à ces objectifs. Finalement, si j’ai un e-Doc suffisamment bien pensé (sécurisé), qui s’adapte notamment à une e-ID alors je peux réellement penser à une transition digitale d’Etat.

Pollution & CO2, les grands absents des débats

Si je devais parler d’un point important mais absent des débats actuellement ce serait bien la pollution et les émissions de CO2 relative. Pour tout vous dire, je faisais énormément de techniques sans trop me soucier de l’énergie dépensée. C’est l’arrivée du Bitcoin qui a commencé à me faire m’interroger sur la consommation d’énergie. Quand on calcule ou que l’on simule l’équivalent Bitcoin en papier, on s’aperçoit que l’an passé il aurait à lui seul englouti pas moins de 600 milliards de feuilles A4 pour 15 transactions par seconde, cela correspond à environ 35 millions d’arbres abattu, soit environ une journée d’abattage d’arbre dans le monde. Pire, cela représente plus de 5 MT (mégatonne!) de CO2. Tourné comme cela, une forme de vertige s’installe en moi. Je souhaite de tout cœur que le débat énergétique puisse être central à l’e-ID ou e-Doc avant même le bénéfice utilisateur.

Voici une synthèse de la chose. Une feuille de papier au format A4 80g aura nécessité l’équivalent de 17Wh pour sa fabrication. Cela représente environ 1 à 2 lampes LED allumées pendant 1 heure. Cela ne prend ni l’impression (y compris avec des ancres sécurisées) ni le transport en considération. On peut tout à fait imaginer cette énergie dilapidée dans des documents très souvent digitalisables.

Voici où nous en sommes. D’un côté, des Blockchain qui consomment outrageusement (centaine de térawatt/h annuel) de l’énergie sous prétexte de construction de la confiance qui, au final, est tout aussi exposé que d’autres systèmes de part leur conception. Faire n’importe quoi avec ordinateur résulte nécessairement d’un gaspillage d’énergie. D’un autre côté, on a des services tels que celui de la justice, service de la population, service des poursuites qui utilisent des tonnes de papier pour produire des documents qui pourraient très bien entrer dans le bilan carbone de la fabrication d’un ordinateur.

Quand l’Etat délivre des passeports, des cartes d’identité, des permis de séjour, des extrait divers, des permis de conduire… elle consomme de l’énergie qui émet du CO2 supplémentaire à celui déjà consommé par des ordinateurs et c’est bien dommage car nous pourrions à la fois réduire notre consommation tout en améliorant notre vie quotidienne.

Vous l’aurez certainement compris, je crois fermement qu’une transition digitale doit être avant tout pilotée par 1) son bilan carbone et puis par 2) son bénéfice utilisateur.

Pas si facile

Les embûches sont nombreuses et les risques techniques sont très importants. Je traite quelques-un de ces sujets importants dans des articles (en anglais) que vous pouvez découvrir :

Voici comment pourrait être idéalement articulée une transition vers le tout digital dans une administration et une société :

1. Une autorité doit pouvoir délivrer des documents de valeur sans que personne ne puisse intervenir au milieu de la chaîne et fabriquer de vrais faux documents. Une preuve mathématique — cryptographique doit être apportée.
2. Recevoir un document de valeur ne doit pas nécessiter de compte en ligne.
3. L’identification formelle (authentification sur un site ou application) en ligne ne doit pas nécessiter de compte en ligne.
4. Le droit à l’autorité ne devrait pas être réservé aux seules administrations, une personne physique ou morale fabrique aussi des documents de valeurs (attestation d’hébergement, fiche de paie,…). La Confédération doit les protéger.
5. Le titre ne doit nécessiter aucun stockage en ligne pour être vérifié ou partagé, rendant ainsi la donnée simplement indisponible et cela va dans le sens de la LPD. En d’autre terme, le titre digital devrait pouvoir se perdre.
6. Adapté à un mode connecté (je vais sur un site) ou non connecté (j’obtiens des information par d’autre biais).
7. Le système central doit être open source et ultra transparent.
8. Un service de surveillance fédéral devrait être mis en place afin de vérifier le bon déroulement du réseau et des autorités.
9. Toute digitalisation doit être accompagnée de mesures carbone. En d’autres termes, la e-ID doit consommer moins d’énergie que la fabrication d’un passeport. Les rapports positifs doivent être encouragés et les rapports négatifs pourraient être taxés.