Les futures mots de passe sur internet

L’augmentation des recours aux services en ligne rend nos identités numériques vulnérables. Etats et entreprises rivalisent sur le marché de l’authentification

En juillet dernier, alors qu’elle veut faire une mise à jour sur In­fogreffe, l’assistante d’Arnaud Garnier découvre que AGDI, la société de démolition créée par son patron, a été radiée fin juin.

La demande de radiation, effectuée auprès du tribunal de commerce, a été transmise par Internet avec de faux documents. Cette es­croquerie, relatée dans le « 20 heures » de France 2, mi­-août, est loin d’être un fait isolé.

Selon l’Institut de recherche criminelle de la gendarmerie nationale (IRCGN), pas moins de 200 000 Français seraient victi­mes, chaque année, d’une usurpation d’identité. Certes, la gendarmerie nationale possède de nombreux exemples de docu­ments contrefaits qu’elle analyse et docu­mente pour repérer les techniques utilisées par les faussaires, mais la dématérialisation permise par le numérique facilite la tâche des escrocs et rend plus difficile la vérifica­tion de l’authenticité d’un document. Qu’il s’agisse d’un diplôme, d’un titre de séjour, du résultat d’un test Covid­19, d’un passe­port ou d’un contrat, pas facile de vérifier en ligne qu’un document n’a pas été contrefait.

«On peut difficilement estimer le coût de l’usurpation en France, les mafias ne publient pas leurs résultats! Elles sont devenues très professionnelles, elles industrialisent les frau­des à grande échelle. Et, avec le numérique, vous ne savez pas toujours qu’on vous a volé votre identité puisqu’il n’est plus nécessaire de vous voler le document physique, des don­nées peuvent suffire à produire un faux document numérique », explique Emilie The­ bault, fondatrice et directrice générale de SerendpTech, éditeur d’une application qui vérifie l’authenticité d’un titre et l’identité de son propriétaire. Les conséquences de l’usurpation sont lourdes. Souvent, l’usurpé se retrouve « fiché Banque de France », autre­ment dit, il est interdit bancaire et n’a plus accès au crédit. Et pour longtemps si le titre usurpé a une durée de vie longue.

La nouvelle carte nationale d’identité élec­tronique (CNIE), délivrée dans toute la France depuis le 2 août, devrait contribuer à réduire la fraude et l’usurpation d’identité. Elle met la France en conformité avec un règlement européen dont le but est de renforcer la sécu­rité des titres d’identité des citoyens de tous les Etats membres de l’Union européenne. Au format d’une carte bancaire, la nouvelle CNIE comporte plusieurs dispositifs de sécu­rité, notamment des données biométriques intégrées dans une puce et une signature électronique dans un QR code, rendant diffi­cile sa contrefaçon. Mais il reste un, voire plusieurs pas à franchir pour passer d’une carte d’identité électronique, qui, comme le passeport biométrique, reste un document physique vérifiable par des moyens électro­niques, à une identité totalement numéri­que. Cette dernière certifierait l’identité d’un individu dans l’espace numérique, l’authen­tifierait lorsqu’il se connecte à des services en ligne publics ou privés, et permettrait la signature électronique de documents officiels, le paiement de factures, etc.

IDENTITÉ « PIVOT » ET « SYNTHÉTIQUE »

En juin dernier, Monaco a déployé une telle identité numérique pour les nationaux et les résidents. Elle simplifie les démarches administratives en ligne et donne accès à différents services depuis un ordinateur ou un smartphone. « Les usagers veulent pou­ voir utiliser une identité plus ou moins forte selon qu’ils procèdent à une démarche admi­nistrative ou qu’ils accèdent à des services pri­vés comme leur fournisseur d’énergie, par exemple », souligne Didier Trutt, président­ directeur général d’IN Groupe (Imprimerie nationale), qui a développé et déployé le sys­tème monégasque. « C’est à une solution semblable que nous travaillons avec La Poste pour la future identité électronique fran­çaise », ajoute­t­il.

Le numérique a contribué à démultiplier nos identités, qui varient selon que nous nous connectons en tant que citoyen, con­sommateur, professionnel, étudiant, etc. Et la pandémie a considérablement accéléré le re­ cours à des services en ligne, tant profession­nels, notamment avec le télétravail, que per­sonnels, pour les achats en ligne, l’école et les cours, les loisirs… Dans le monde numérique, l’identité est définie par un identifiant et un mot de passe. Nous en avons ou en créons pour les impôts en ligne, la banque, la cantine du collège, pour accéder aux applications in­formatiques au bureau ou aux réseaux so­ciaux, pour faire des courses en ligne, réser­ver des billets de train ou visionner sa série préférée… Pour qu’ils soient plus faciles à mé­moriser, nous choisissons des mots de passe d’une banalité déconcertante, faciles à « cas­ser » par des pirates quelque peu aguerris. De même, pour justifier de son identité lors de la création d’un compte en ligne, on scanne sa carte d’identité ou son passeport et on l’en­voie par mail sans trop de précaution.

Une identité numérique permettrait à cha­cun de prouver en ligne qui il est en fournis­sant le niveau d’informations nécessaire au service auquel il se connecte. «Il faut distin­ guer l’identité pivot”, les attributs qui nous définissent comme nom, prénoms, naissance, et les “identités synthétiques”, les avatars ou les profils que nous créons nous­ mêmes pour accéder à différents services et qui ne sont pas vérifiés par l’Etat», précise Pierre Lelièvre, vi­ce ­président chargé de l’identité numérique de la société Idemia. Par exemple, une ban­que a besoin de connaître l’identité «réga­lienne» de son futur client pour lui ouvrir un compte en ligne, et de pouvoir vérifier cette identité, ce qui n’est pas nécessaire pour le service de livraison d’un supermarché ou pour l’inscription sur un réseau social.

LA BASCULE DU TÉLÉTRAVAIL

«Il n’existe pas de solution idéale, nous aurons toujours plusieurs identités. L’identité numérique forte et unique est un mirage. D’ailleurs, il n’y a pas de modèle économique pour une telle identité, qui est le fait des seuls Etats. Ce qu’il faut, c’est pouvoir adapter le ni­veau d’identification selon que vous faites un achat en ligne ou que vous louez une maison ou une voiture sur un site de location», pré­cise Gilles Casteran, expert en cybersécurité. Pour les particuliers, La Poste a lancé au mois de juin son service L’Identité numéri­que. « Numérique et physique sont désormais étroitement liés. Nous n’aurons jamais tout l’un ou tout l’autre. Notre but avec ce service est de permettre à tout un chacun d’avoir une vie numérique saine et sécurisée », affirme Olivier Vallet, président­directeur général de Docaposte, filiale numérique du groupe La Poste. Ce service, disponible gratuitement, peut être souscrit partout en France, en bu­reau de poste ou à domicile. Il dote chacun d’une identité numérique qui lui donne ac­cès à plusieurs centaines de services en li­gne, publics et privés, grâce à un seul identi­fiant et mot de passe. Cet accès se fait via le dispositif public France Connect, sorte de fé­ dérateur d’identités. En trois mois, 400000 personnes ont souscrit au service.

La multiplication de nos identités numéri­ques a favorisé le développement du marché de la vérification en ligne. Le cabinet Market­ sand Markets l’évalue à 6,4 milliards d’euros en 2020 dans le monde et estime qu’il dou­blera en cinq ans pour atteindre 13,4 mil­liards d’euros en 2025. La vérification con­siste à lire un document transmis en ligne et à vérifier certains points, une adresse, la photo, un selfie, la présence de marqueurs de sécurité, etc. Le coût d’une telle vérification est compris entre 50 cents et 1 euro.

Ces services sont devenus nécessaires pour tous types de transactions en ligne, quand l’internaute n’est pas vu physiquement par le fournisseur de la prestation. Les banques et les services financiers, soumis à la réglemen­tation bancaire Know Your Customer («con­naissez votre client »), sont les premiers utili­sateurs de ces vérifications pour les opéra­tions en ligne, notamment pour l’ouverture d’un compte. Selon le cabinet Juniper Re­search, banque et finance représenteraient 62 % des 92 milliards de vérifications d’iden­tité en ligne qui seraient réalisées en 2026.

Les entreprises procèdent également à des vérifications lorsque les employés se connec­tent à des applications ou des données criti­ques. «Le but est de garantir que la personne qui se connecte à l’aide d’un identifiant et d’un code qui lui est envoyé, par exemple, est bien celle qu’elle prétend être. Ce segment du mar­ché a considérablement augmenté lorsqu’il a fallu ouvrir des accès aux employés qui sont passés en télétravail quasiment d’un jour à l’autre », remarque Cyril Patou, directeur gé­néral France de Ping Identity, une solution d’authentification en ligne. La société Onfido, qui fournit un service de vérification en ligne, a d’ailleurs vu son revenu annuel récurrent progresser de 82 % en 2020.

HOLOGRAMMES ET PAILLETTES

Le besoin de vérifier une identité devrait se généraliser au­delà des banques et des en­treprises. «Bientôt, on pourra sécuriser tou­tes les transactions entre particuliers et véri­fier l’identité du vendeur à qui on achète un vélo sur Leboncoin, celle de la personne à qui on loue sa voiture personnelle ou de l’entre­preneur qui vient faire des travaux dans son appartement », prédit Franck Guigan. Il a dé­veloppé et breveté la technologie Optic ­ID, qui permet d’authentifier un document d’identité à l’aide d’un smartphone. L’application vérifie différents points de référence sur le document et peut reconnaître les ho­logrammes et les paillettes qui y figurent, pas toujours vérifiables à l’œil nu.

Pour devenir réalité, l’identité numérique devra être homogénéisée à l’échelle euro­péenne et inspirer confiance. «Le passage à grande échelle n’est pas une question techno­logique mais politique. Pour adopter l’identité numérique, les particuliers ont besoin de transparence et de confiance, c’est ­à ­dire de savoir quelles données peuvent être consultées par quel service», remarque Philippe Vallée, vice ­président identité et sécurité numéri­ ques chez Thales. En juin, la Commission européenne a lancé un projet de portefeuille électronique européen qui vise à harmoniser les initiatives des Etats membres et à les ren­dre interopérables. Le dispositif, gratuit et non obligatoire, a aussi pour ambition de ré­duire l’accès des grandes plates­formes aux données d’identité des Européens. «Il y a aujourd’hui de vrais besoins de disposer d’une identité numérique. L’offre s’améliore et de­ vient plus innovante. Mais il faudra beaucoup de pédagogie pour éviter les solutions de bas niveau. Il faut surtout améliorer la confiance des Français dans les services numériques. Ils se méfient de l’Etat et des pouvoirs publics alors qu’ils vont sans hésiter sur Facebook. Pour devenir une grande nation du numéri­que, ce que nous ne sommes pas encore, nous devons développer des services et l’identité nu­ mérique afin de proposer des alternatives aux GAFA », assure Coralie Héritier, responsable de l’activité identité numérique d’Atos.