Se souvenir d’un nième mot de passe...

Qui n’a vécu, peut-être même ces jours-ci, l’irritation, l’horreur de devoir se souvenir d’un nième mot de passe, exigé par un de ces sites web ou une de ces applications certes fort utiles, mais dont le nombre et la fréquentation épisodique défient notre capacité à inventer et à nous souvenir de ces sésames modernes ?

Au point où la sécurité finit par combattre la sécurité : qui n’est pas coupable d’utiliser le même mot de passe pour toutes ou presque ses applications, concentrant ainsi le risque de piratage de toutes ses données sur la découverte de ce seul secret bien fragile ? Non, même un gourou de la sécurité ne saurait jurer qu’il n’est pas tombé dans ce travers.

Mais faut-il culpabiliser l’utilisateur ou l’internaute pour autant ? Je pense que non, je pense qu’il faut au contraire pousser le marché pour voir l’informatique évoluer au plus vite pour in fine adopter les mécanismes sociaux que l’humanité libre a adoptés depuis des millénaires, et que seule cette piste est porteuse de la véritable solution à cette problématique dont on ne fait qu’entrevoir les enjeux.

Il faut bien voir que dès qu’un système nous impose des contraintes de fonctionnement qui s’éloignent de nos pratiques, la motivation existe alors à contourner ses sécurités. Les problèmes de mots de passe ne sont pas la faute des utilisateurs, mais bien celle des informaticiens, c’est un informaticien qui ose le dire. Un système mal conçu est un système qu’on contourne. L’immense majorité des défauts de sécurité, à commencer par l’emploi de mot de passe dits faibles, ne vient pas de la malveillance des pirates, ni de la négligence des utilisateurs, mais tout simplement de leur réticence à se mouler dans un modèle d’organisation sociale qui ne correspond pas à leur réalité. Par exemple, combien de patrons sont obligés de donner leur mot de passe à leur secrétaire, rompant aussitôt avec la capacité des systèmes à assurer une quelconque traçabilité ? Est-ce la faute des patrons ou des secrétaires ? Non bien sûr, c’est celle des systèmes qui avaient oublié les secrétaires.

En fait, le problème n’est pas celui de la multiplicité des mots de passe, non, car il cache en réalité celui de l’absence d’identité de vous et moi sur Internet. C’est parce que nous n’existons pas en tant qu’individu sur le Net que chaque site, chaque système, chaque application a besoin de nous identifier à sa manière avant de décider de nous accepter comme utilisateur ou non. Le Net n’est pas comme notre village ou notre quartier où chacun de nos voisins et de nos commerçants nous reconnaît. Nous y sommes totalement anonyme et il faut en permanence rebâtir la confiance avec des machines qui ignorent ce concept.

Au passage, n’occultons pas l’aspect entreprise de cette problématique. Car si nous devons nous présenter à un site web pour qu’il nous reconnaisse, c’est aussi le cas d’une entreprise envers une autre, et de plus en plus. Un système comptable qui souhaite virer une somme sur une banque doit se présenter à elle, la logique est la même, quoi que avec des besoins de sécurité souvent bien supérieurs. La question n’est donc pas juste celle de l’identité des humains, mais bien celle de toutes les personnes, physiques et morales, hier, aujourd’hui et demain.

Ce phénomène du paradoxe des mots de passe n’est qu’un cas particulier d’un enjeu bien plus vaste auquel l’informatique moderne est confrontée, avec son réseau mondial et demain la disparition complète et définitive du cloisonnement entre les milliards d’ordinateurs de par le monde. Celui de sa capacité à reconnaître l’utilisateur non plus comme un simple compte technique aux multiples droits d’accès, mais bien comme un individu à plein titre, libre de naviguer de service en service, inconnu un jour et client ou employé demain. Ce qui suppose que le Net évolue peu à peu d’un réseau purement technique et cloisonné par autant de besoins de se faire reconnaître par une machine à un avatar numérique de société humaine et de libre marché où chacun décide de ses interactions avec tel ou tel service ou entité. Le Net comme société et non comme simple réseau.

Comment en sommes-nous arrivés là ? Comment se fait-il qu’une informatique plus que cinquantenaire soit encore aussi éloignée de notre fonctionnement naturel ? Et vers où peut-on penser que les années prochaines vont l’emmener ?

Ne jetons pas trop fort la pierre sur les informaticiens, cette réalité s’explique et n’est que le reflet de la grande jeunesse de l’informatique. Larry Page, patron de Google, se plaignait il y a quelques mois sur Ted du « mess » (bazar) que l’informatique est encore. Concernant les mots de passe, tout vient du fait que les ordinateurs – enfin, les informaticiens – à leur début, ont évité le problème de la reconnaissance des individus en imposant deux astuces : c’est à l’utilisateur de se présenter et non à l’ordinateur de le reconnaître, et on le suppose ne pas être tout à fait n’importe qui, mais un employé ou du moins quelqu’un qui a le droit d’interagir avec le système.

Et cela a plutôt bien fonctionné pendant des dizaines d’années, tant que les ordinateurs restaient enfermés dans des salles machines isolées du monde. Jusqu’au moment où, peu à peu, les systèmes ont commencé à échanger entre eux, à se décloisonner et à aller sur le Net. Car ce faisant, ils ont rompus les deux hypothèses historiques : impossible de savoir si on a affaire à une personne déjà connue par ailleurs, et incohérence sociale de la charge de se présenter mise sur l’utilisateur.

Les informaticiens se sont alors trouvés face à deux options. Refondre les logiciels pour s’adapter, ou prendre des positions de compromis. Comme tous les systèmes d’exploitation de tous les ordinateurs au monde ont de toujours été conçus sur ces deux hypothèses, le coût de ce scénario – qui suppose la refonte de tous les logiciels – a eu vite fait de pousser vers l’option du compromis. On a donc adopté les mêmes mécanismes (nom de code et mot de passe) – parfois avec un peu plus de sophistication, comme chez Google ou Facebook, mais sans rien changer en profondeur – au sein d’un environnement social nouveau et qui n’a désormais plus rien à voir. L’informatique s’est recentrée sur l’individu, mais sans encore le traiter comme tel.

Et c’est ce qui a fait qu’une technologie qui était acceptable au sein de la plupart des entreprises est devenue un cauchemar et une source de non-sécurité dès qu’elle a été mise en place sur le réseau des réseaux. C’est un très bon exemple des conséquences de la non cohérence des concepts technologiques avec la réalité sociale et les mécanismes profond de responsabilité. Un système pour être sûr, performant et bien accepté doit être cohérent avec les pratiques sociales de toujours.

Bien sûr, devant les problèmes posés, tout le monde ne reste pas les bras croisés et bien des projets et des technologies sont à l’étude ou en exploitation qui tentent d’améliorer la situation. Un exemple tout à fait représentatif est celui des avionneurs, mais on pourrait parler des banques, de la finance ou de la grande distribution de manière semblable.

Les constructeurs d’avions travaillent dans un environnement complexe. Pour concevoir et produire des avions, ils ont désormais besoin de donner accès à leurs systèmes à trois types de personnes : leurs employés, mais aussi leurs fournisseurs et surtout leurs clients, les compagnies aériennes. Leurs applications doivent donc être capables d’identifier ces différentes populations et d’adapter leurs sécurités – le contrôle d’accès – à chacune : le client ne doit voir que ses avions et pas ceux du concurrent, le fournisseur peut voir les parties de l’avion qu’il produit mais pas les autres, et ainsi de suite.

Là où cela se complique, c’est que chacune de ces trois populations est en réalité bien plus complexe, reflétant la complexité des processus industriels modernes. Ainsi, la notion d’employé doit affronter la complexité d’un grand groupe. L’employé de telle ou telle filiale peut-il ou doit-il être considéré comme n’importe quel autre employé ? Et quid des joint ventures ? Les compagnies aériennes peuvent cacher elles aussi des filiales, des holdings, etc. qui chacune héberge des employés à l’accès légitime – ou pas – aux systèmes de l’avionneur. Et de même pour les fournisseurs, qui cachent le plus souvent toute une « supply chain », une chaîne de sous-traitants travaillant pour ou au nom du fournisseur principal.

Le concept de fédération d’identité a été inventé pour gérer ces nébuleuses. Il s’agit de systèmes dédiés qui assurent la gestion de ces populations et le lien technique entre les différents systèmes de sécurité pour que in fine, vu de l’utilisateur, tout se passe autant que possible comme s’il naviguait au sein d’un système informatique unique.

C’est bien sûr vers cela que l’informatique va, lentement. Mais bien trop lentement, et hélas à mon sens sans avoir intimement pris la mesure des vrais enjeux, qui sont de nature sociale et touchent à la capacité du Net à reproduire les mécanismes de confiance ancestraux. Et de plus, passer des populations d’un processus industriel à celle du monde entier, avec son infinité de combinaisons et de situations, n’est pas de nature à simplifier la tâche. Surtout, la question est celle des acteurs : qui assurera cette fonction d’identification ? Qui pourra attester de l’identité réelle de chacun de nous ?

Car là est une des questions de fond. Depuis toujours, les systèmes intègrent quatre fonctions de sécurité fondamentales. Tous, du moindre PC ou smartphone au centre de calcul le plus puissant : identification (qui est-ce ?), authentification (comment le vérifier ?), le contrôle d’accès (qu’a-t-il ou elle droit de faire ou voir ?) et l’imputation (qu’a-t-il ou elle effectivement fait ?). On comprend que l’identité de l’utilisateur, qui était donc intime à toute machine tout le long de ces contrôles, lui devient externe. Elle passe du niveau de chaque ordinateur à celui de l’ensemble du réseau des réseaux. Mais qui va la prendre en charge ?

Ainsi, on peut penser que l’avenir est à une séparation de l’identification de l’utilisateur de celle du service qui lui est rendu au sein même des architectures informatiques. Autrement dit, les ordinateurs de demain seront certains en charge de nous reconnaître et d’autres en charge de travailler pour nous, cessant ainsi tous de tenter de faire (mal) les deux choses. L’idée générale étant de se rapprocher le plus possible du fonctionnement social immémorial et de la liberté des uns et des autres dans le choix des mécanismes leur donnant confiance en l’autre.

Car en effet, comme cela se passe-t-il dans la société humaine ? A chaque instant, chacun de nous est confronté à des inconnus. Parfois, il faut obtenir des services de leur part. Pour beaucoup de ces services, pas besoin de se faire connaître, du moins pas formellement. Il suffit juste d’échanger monnaie contre produit et service et tout le monde est content. Pour d’autres interactions, on peut avoir besoin de présenter et d’attester d’une identité – noter que je ne dis pas « son identité ». Pour ce faire, il y a de nombreux moyens, mais tous s’appuient sur les gens qui nous connaissent déjà, pris comme témoins : témoin, ami, famille, mais aussi certificat, passeport, carte de membre, permis de conduire, etc. Notre identité numérique supposera donc elle aussi diverses formes de témoins.

Ainsi, que peut-on imaginer se dégager comme solutions ou comme services demain – si tant est que cela soit possible ? On peut imaginer des prestataires de services d’identification qui recensent chacun de nous, chaque individu. Et pour chacun, attestent qu’il est bien tel ou tel avatar technique sur le web. Et pour chacun, mémorise ses préférences, son job et son entreprise, ses clubs de sport et les associations auxquelles il collabore, etc. Mais ce n’est qu’une option. On peut aussi imaginer des prestataires qui délivrent des certificats d’identité, obtenus après un ou des dizaines de tests pour confirmer qui on est. Ou autre encore.

Allons-nous vers des services d’identification centralisée, comme ci-dessus, ou au contraire non centralisée ? Si on imagine un système centralisé, unique, on peut penser qu’un tel monopole serait bien trop dangereux. L’option décentralisée, concurrentielle ou du moins multiple, semble donc la plus probable, sans être certaine. Mais même dans ce cas, ces prestataires de services Internet d’identité ne vont pas émerger juste en claquant des doigts. Il faudra que ces prestataires apportent une confiance et des services qui sinon interdiront à leur marché de voir le jour. Et que ces services soient performants, par exemple en intégrant la gestion des délégataires, ayants droit, tuteurs ou autres pour que cela fonctionne vraiment.

Mais ce qui importe, c’est que ce soit l’individu ou le marchand qui aient le choix du ou des prestataires et des exigences de vérification. Un banquier sera sûrement plus exigeant qu’un vendeur de livres sur la réalité de ses clients. Donc il faudra que cela soit négociable et donc que cela fonctionne comme un marché. Car il s’agira bien d’un marché, comme toutes les activités d’ordre économique – il s’agit ici de confiance. Une fois encore, on voit que c’est en adoptant les mécanismes sociaux de la société libre que les solutions informatiques pourront être efficaces et pérennes. Ce n’est pas un effet d’élégance, c’est une nécessité.

Dans cette évolution, il n’y aura – presque – aucun rôle pour les états, ce sont des sujets n’ayant de réalité qu’entre entreprises et entre individus, internautes. Je dis « presque » car on peut cependant imaginer que telle ou telle agence étatique voudra proposer ses services, basés sur son image donnant confiance à certains, pour identifier X ou Y ou confirmer leur nationalité, par exemple. Libre aux internautes de leur faire confiance, Leur avenir ne fait cependant guère de doute.

Ainsi, l’ordinateur de demain n’a pas besoin de savoir pour qui il travaille, ou plutôt n’a pas à gérer ses propres utilisateurs. L’ordinateur de demain – qui en réalité sera tout un système constitué d’une multitude de machines banalisées – fera des tâches pour ou au nom de personnes qui auront été identifiées par d’autres systèmes. Demain, les architectures informatiques reposeront sur des ordinateurs dont les systèmes d’exploitation auront séparé les fonctions de sécurité des fonctions de traitement. Le système d’exploitation, ce sera Internet soi-même. La sécurité sera renforcée parce qu’elle sera prise en charge par des systèmes dédiés et en ligne avec le fonctionnement social. De ce fait, elle sera transparente et bien mieux acceptée. Demain, Internet sera organisé, structuré comme la société humaine, car c’est la seule façon pérenne de fonctionner pour et avec des humains, un fonctionnement adapté à notre réalité.