IDéNum, une mauvaise idée ?

— quel jeu de mots vaseux

— certes mais le terme coolo franchouille l’appelait aussi quelque peu non ? Mais on peut préférer « Orchidée fixe » (RroseSélavy) par exemple, c’est vrai ..

Enfin bref, donc :

Au sujet de la présentation et proposition ci dessous :

Lancement du label IDéNum (copie locale)

Disponible sur :

http://www.telecom.gouv.fr/actualites/1-fevrier-2010-label-idenum-identite-numerique-multi-services-2311.html

Pour résumer en quelques mots :

• Les « internautes » ont aujourd’hui besoin de multiples login/passwords pour se connecter à de multiples services, privés ou administratifs
• De multiples usurpations d’identités, piratages d’ordinateurs, 33% même mot de passe pour plusieurs services, 55% mots de passe écrits quelque part
• 27% des internautes n’utilisent pas l’administration électronique de peur de piratage des données personnelles
• 56 000 sites de phishing à l’international (faux sites permettant, si un utilisateur s’y connecte, de récupérer un de ses login/passwrd usuels)
• Pour améliorer tout ça il faut utiliser des « certificats » (sorte de mots de passe choisis par une machine (du service) puis enregistrés sur une machine ou carte de l’ « internaute » en vue de future connections), très bien
• Principe proposé : la liste des certificats de l’internaute stockée sur clé USB, carte à puce, ou téléphone mobile !!
• Or tout cela se casse, se perd, se change, se vole, se transfère, se fusionne, se sépare, se backup, se débackup, se rebackup, un peu comme si la liste des actions achetées sur un compte titre était écrite sur votre carte bleue et uniquement là !! Quel délire .. Et en plus pour des « certificats », que l’on utilise genre une fois par an pour déclarer ses impôts, en essayant de retrouver le dit certificat sur le PC ou Mac de l’an dernier ..
• Image :

• Solution idéale et « dématérialisée » ! Pourquoi pas « virtuelle » ? Curieux …

— Il est clair que cela ne fonctionnera pas (7eme bullet avant l’image), sans compter que beaucoup de gens ne comprennent pas ces histoires de « certificats ». Quoi « certificats » ? Certificat d’études ?
— Par contre les constats et le besoin sont clairement là.

— Ça ne peut fonctionner qu’avec une notion de tiers de confiance pour ces informations (écritures), c’est à dire quelque chose comme les « m accounts » et organisations associées, qui ne font que ça, et ont une interdiction stricte d’y regarder ou bien sûr d’en vendre le contenu.

D’autre part :

• Vu que ça ne fonctionnera pas les listes de login/passwords se retrouveront chez facebook, Google, OpenID ou autre (déjà plus ou moins le cas si on le souhaite), si ce n’est l’utilisation directe d’un compte de ces organisations.
• Les certificats très bien, mais plutôt appeler ça « comptes », « login-infos » ou autre (enfin à voir)
• Le but ne doit être — en aucune manière — d’utiliser un même ID pour chaque utilisateur sur tous les services (ça n’est pas forcément ce que suggère la proposition, mais le nom le laisse plus ou moins entendre, et est compris comme cela, pareil pour OpenID d’ailleurs (où pour le coup c’est plus ou moins vraiment le cas, aussi pour facebook)), et voir « position statement IEEE » mentionné dans la page à propos.
• Le numéro d’un compte « m account » n’a besoin d’être utilisé dans aucune transaction (exemples), par contre les infos de comptes de services et login/passwrd ou certificats associés sont écrites sur le compte (le compte est la clé USB ou téléphone dans le cas de la proposition)

En d’autres termes sans doute des choses valides dans cette proposition (et concepts/normes/code(logiciel) existants autour des certificats et accès aux sites associés), ainsi que vrais besoins et nécessité de solution.

Mais le fait de croire que les listes d’infos de comptes peuvent être écrites uniquement sur un quelconque appareil, constitue de toute évidence un défaut rédhibitoire à sa mise en place (et nom à revoir).

D’autre part la proposition n’adresse en rien le véritable point critique de la problématique, c’est à dire  la mise en place des tiers de confiance et comptes associés. C’est à dire la définition d’un nouveau rôle/licence de rôle, et non d’un label.

De manière générale, l’urgence est dans une séparation claire entre entités maintenant les données personnelles des utilisateurs, et entités fournissant les services associés à ces données, et cela ne nécessite en aucune manière la normalisation de tous ces services (ni l’interdiction que les entités fournissant les services aient aussi des données personnelles).

Sans oublier que ne pas avoir d’ID unique n’empêche en rien des actions légales envers les personnes si nécessaire, bien au contraire, exemple :

Un exemple d’utilisation des « m accounts » : réparer l’email