Le gouvernement fait un point sur l'avancement et la fiabilité d'IDéNum, son projet d'identité numérique

[Katleen Erna]

Mise à jour du 03.06.2010 par Katleen
Le gouvernement fait un point sur l'avancement et la fiabilité d'IDéNum, son projet d'identité numérique centralisée

Nathalie Kosciusko-Morizet (NKM), notre secrétaire d'État chargée de la Prospective et du Développement de l'économie numérique, a lancé en février 2010 le chantier du projet IDéNum (voir news précédente).

Hier, elle avait réuni les 58 organismes partenaires de l'aventure pour une réunion de point d'étape. Parmi les organismes associés, certains souhaitent pour l'instant rester anonymes et garder leur participation secrète. Pour les autres, la liste comprend : ACSEL, AFNIC, Agorabox, Almetis, Agence nationale de la sécurité des systèmes d’information, AriadNEXT, Association Force Ouvrière Consommateurs, Axway, BMS Exploitation - Moneo, BNP Paribas, BPCE, Caprioli & Associés, Caisse des Dépôts et Consignations, CDC-Fast, Certeurope, Chambre de commerce et d'industrie de Paris, ChamberSign France, Conseil Supérieur du Notariat, Cryptolog, CS Communication et Systèmes, Direction générale de la modernisation de l’Etat, Dhimyotis, Dictao, Fédération Bancaire Française, Fédération Française des Sociétés d'Assurances, Fevad, Gixel, Groupe La Poste, Imprimerie Nationale, Infogreffe GIE, In-Webo Technologies, Issy-Les-Moulineaux, Keynectis, Kwift, La Banque Postale, Lasergroupe, Linagora, Ma-residence.fr, Naxfer - J&S Concept, Neowave, Oberthur Technologies, Ordre des Géomètres-Experts, Conseil Supérieur de l’Ordre des Experts-Comptables, OpenTrust, Primobox Resocom, Sagem - Orga, Sealweb, SFR, Société Générale, Viadeo.

NKM a donc profité de cet évènement pour faire quelques annonces officielles sur l'avancement du projet. Déjà, « le référentiel général de sécurité est paru au Journal Officiel », conformément à l'arrêté du 6 mai 2010. D’autres textes sur « le référencement pour l’administration électronique sont attendus pour l’automne ».

Un cahier des charges est également en cours de rédaction et il sera « soumis aux partenaires pour avis pendant l’été ».

Concrètement enfin, «plusieurs partenaires développent des prototypes et testent actuellement l’interopérabilité de leurs solutions ».

Seulement, le projet IDéNum n'est pas encore bien accueilli par l'opinion publique (de même que par certains membres de notre forum), qui craint que sa sécurisation ne soit pas suffisante et que de graves dérives surviennent. Le secrétariat de l’économie numérique répond à ce propos que « la mobilisation de tous les partenaires IDéNum confirme que ce projet répond aux exigences de sécurisation nécessaires au développement de nouveaux services en ligne ».

Puis de vanter les avantages de ce label qui simplifierait et améliorerait les démarches quotidiennes du citoyen. « Plus de sécurité lors de l’accès à ses comptes administratifs, bancaires, à ses abonnements chez les différents opérateurs, à ses factures en ligne et l’accès à de nouveaux services nécessitant une signature, […] comme pour la souscription de services ou de contrats, les démarches administratives… »

Mais, comme l'ont souligné certains de nos lecteurs, IDéNum impliquerait en contrepartie que l'internaute doive dévoiler la totalité de sa vie numérique, ce qui est pris par beaucoup comme une "perte de libertés".

En tous les cas le gouvernement croit dur comme fer à ce dispositif, puisque l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a validé le cahier des charges du projet.

Et pourtant, la soutien n'est pas unanime puisque sur les 4,5 milliards d’euros attribués à l’industrie numérique par le gouvernement au sein du grand emprunt, aucun crédit n’est accordé à la confiance numérique.

Source : Communiqué de presse

Si le projet est si fiable, sécurisé et prometteur, pourquoi ses partenaires n'ont-ils pas tous souhaité rendre publique leur participation ?

Le gouvernement prévoit la fin des mots de passe sur Internet et lance son projet de certificat électronique : IdéNum

Nathalie Kosciusko-Morizet, La secrétaire d'Etat chargée de la prospective et du développement de l'économie numérique, a présenté lundi premier février un nouveau dispositif numérique souhaité par le gouvernement.

Sous le nom d'IdéNum, nos gouvernants voudraient créer un label garantissant à chaque citoyen français une «identité numérique multi-services».

Comment ce système fonctionnera-t-il ?

Chaque internaute devra placer sur un seul et unique support (clé USB, carte SIM, etc.) ses coordonnées personnelles. Ces données deviendraient alors un "certifict" unique qui serait reconnu par tous les sites publics et privés adhérant au label IdéNum. Ce dispositif rendrait alors obsolètes et inutiles les identifiants et les mots de passe. De plus, il permettra de remplir automatiquement certains formulaires en ligne. Ce système existe déjà depuis quelques années avec le site des impôts, qui permet de télédéclarer sans s'identifier, grâce au téléchargement d'un certificat permettant d'identifier son ordinateur.

Nathalie Kosciusko-Morizet prédit la fin du «cauchemar des 1.001 mots de passe». Son annonce s'est suivie d'une démonstration pendant laquelle il a été expliqué comment souscrire un prêt bancaire, faire des achats ou déclarer ses enfants à la CAF très simplement en surfant sur le net avec son certificat.

«Plus de simplicité, plus de sécurité, plus de services», tel est le credo d'IdéNum selon elle. Quelques vingts groupes différents (dont La Poste, la Fédération bancaire française et la Fédération française des sociétés d'assurance) se sont déjà portés partenaires du projet en s'engageant à y participer activement.

Une première version test d'IdéNum est attendue pour mi-2010. Sa mise en service définitive devrait s'opèrer en 2011.

Les certificats devraient avoir des durées de vie limitées à 3 ou 5 ans et nos élus réfléchisset déjà à des solutions pour éviter des problèmes de confusions d'homonymes, ou de piratage des codes PIN nécéssaires à leur activitation.

A votre avis, quel sera le tarif pour l'utilisation de ce "sésame" ?

IdéNum vous parait-il être une bonne idée ? Pourquoi ?

IdéNum serat-il fiable en matière de sécurité électronique ?

[Folken Laëneck]

La même info, un autre point de vue

[Khleo]

cauchemar des 1.001 mots de passe

Moi personnellement je n'ai que 2 mots de passe.

Chaque internaute devra placer sur un seul et unique support (clé USB, carte SIM, etc.) ses coordonnées personnelles.

Déjà là, ça risque de freiner l'utilisation de leur service.

Et puis, sur les sites utilisant Facebook connect, même plus besoin d'entrer un mot de passe...

Un peu inutile non ?

[Viish]

Envoyé par Folken Laëneck

La même info, un autre point de vue

Oui un autre point de vue tout à fait intéressant. Et outre l'aspect évoqué dans l'article du "fliquage automatisé", il y a aussi un nouvel aspect sécurité.
Combien de gens perdent, oublient, se font voler leur clé usb / téléphone portable.
Personnellement je préfère avoir un mot de passe, même si long et compliqué. Et puis ça permet l'utilisation par plusieurs personnes d'un même compte, qui dans certains cas s'avère utile et pratique.

[duplo]

Envoyé par Viish

"fliquage automatisé"

c'est clairement l'idée, grace a ce type de systeme on enleve une des idée clé d'internet ... la libertée !!

Envoyé par Viish

Combien de gens perdent, oublient, se font voler leur clé usb / téléphone portable.

voler un telephone portable c'est " accessible a tout le monde " alors que voler un mot de passe reste moin accessible ce qui n'est pas un mal ...

[viking1404]

Qu'est ce que viens faire la clé USB là dedans ?
C'est une sorte de carte d'identité qu'on utilise à chaque fois qu'on vas sur un ordi. ?

Si c'est ca, merci la sécurité !

Ca me fait penser à un autre principe qui existe déjà dans l'administration. Les employés recoivent une sorte de clé qui affiche des nombres "aléatoires". Pour s'identifier sur certains sites, il faut entrer le nombre affiché sur la clé...

[selinav]

Il existe l'identifiant OpenID par encore assez diffusé mais plus pratique qu'un objet à emporter partout.

Vive le piratage !

[sphynxounet]

Envoyé par Katleen Erna

Les certificats devraient avoir des durées de vie limitées à 3 ou 5 ans et nos élus réfléchissent déjà à des solutions pour éviter des problèmes de confusions d'homonymes, ou de piratage des codes PIN nécéssaires à leur activitation.

Si c'est les élus qui réfléchissent à la mise en place de système de sécurité alors jamais je n'adhérerai à leur système. Déjà qu'aucun système n'est ni parfait ni sécurisé à 100% mais là ...

[JoeChip]

Envoyé par duplo

voler un telephone portable c'est " accessible a tout le monde " alors que voler un mot de passe reste moin accessible ce qui n'est pas un mal ...

Mais voler une clé USB... Déjà que ça peut être un gros problème, par les temps qui courent, de prouver son identité (par exemple si on est né à l'étranger). En cas de vol ou de perte, (ou de copie par l'intermédiaire d'un trojan) de cette clé USB, ce sera pire... Et aussi prouver que ce n'est pas l'utilisateur légitime qui a fait ceci ou cela...

Vu l'expertise ambiante dans les commissariats et chez les politiques, vous vous voyez expliquer "désolé yavait un backdoor installé par un trojan, sur la machine du client, qui avait à mon insu désactivé le firewall, du coup quand j'ai mis ma clé, l'autorun a envoyé une image de ma clé je ne sais où" ... Garde à vue de 48h garantie, ça...

En ce qui me concerne, j'en resterai à mes mots de passe le plus longtemps possible... Si vous voulez avoir une idée de l'avance technologique qu'ont les "méchants" sur les "bons", lisez ça : http://fr.readwriteweb.com/wp-conten...rnographie.pdf, c'est une analyse du fonctionnement (technique et commercial) des réseaux de distribution de contenus illégaux (pédopornographie)... A distinguer des réseaux illégaux de distribution de contenus (piratage banal)... Et imaginez les idées que ça leur donnerait, cette histoire ...

[kapok]

complèment inadapté

le net ne se résume pas à la france... alors une identité numérique française...

encore une idée bien étudiée

[Marco46]

Dès que "nos élus" peuvent faire un truc débile franco-français c'est bon ils foncent tête baissé ... Incroyable.

A votre avis, quel sera le tarif pour l'utilisation de ce "sésame" ?

Ah parce qu'en plus il va falloir payer ?!?

IdéNum vous parait-il être une bonne idée ? Pourquoi ?

Si l'idée de départ est bonne (simplifier la vie des gens et leur fournir une meilleure sécurité informatique), sa mise en oeuvre montre à quel point nos hommes politiques les plus au fait du numérique sont complètement à côté de la plaque. J'attendais mieux de NKM, je la pensais plus au jus de ce qui se fait.

En matière de sécurité rien ne vaut les standards ouverts.
Leur protocole est-il librement implémentable ?
Ils utilisent quelle(s) norme(s)/standard(s) ?
Est-il interopérable ?

Quid des sites web internationaux ? Si chaque pays fait à sa sauce, un site web voulant être compatible avec tout le monde devra avoir 195 implémentations différentes ? C'est ça l'esprit d'Internet ?

Franchement ya des boulets qui sont payés plusieurs milliers d'euros par mois pour conseiller des trucs pareils ça me rend dingue.

J'ai lu la documentation présentée ici et il n'y a aucune réponse à ces questions pourtant élémentaires.

Il existe une plateforme standard et ouverte, OpenID, soutenue déjà par les principales entreprises du monde informatique (IBM, Microsoft, Google, Verisign, etc ...) Ca n'aurait pas été mieux de soutenir ce qui existe déjà et qui est ouvert à tous et gratuit ?

...

IdéNum serat-il fiable en matière de sécurité électronique ?

Manquerait plus qu'il ne soit pas fiable ... S'ils utilisent les normes standards alors il sera fiable.

[dams78]

Je trouve que dans le fond c'est une bonne idée, moi aussi j'essaye d'avoir le peu de mot de passe possible, le truc c'est que beaucoup de site sont développés bizarrement je dirai et qu'il arrive que mon mot de passe "internet" ne soit pas accepté parce qu'il est trop long, qu'il contient un caractère spécial, etc. Alors oui cette personne à raison, on se retrouve assez facilement avec 1001 mots de passe (surtout quand on a pas accès à Firefox et/ou Weave).

Ensuite pour ce qui est de la clé usb qui peut être volée, c'est un peu comme la carte bleue, couplez ce système à un code pin facilement mémorisable mais en limitant le nombre d'essais à 3 et vous obtenez un système qui a fait ces preuves.

Donc pour moi l'idée est bonne, est à creuser et peut être qu'il serait bon de l'étendre au commerce électronique, etc.

[LDDL]

Je pense plutôt que le gouvernement voudrait imposser un systeme ! J'imagine qu'il devra y avoir un retour sur investissement. Peut être même est ce une passerelle pour aller vers autre chose. Bref j'espère qu'on aura le choix...

[ghoudmon]

Je pense que c'est une bonne initiative. Il sera plus difficile de pirater un compte utilisateur protégé par ce système.

Le certificat peut être protégé par un mot de passe (ou code PIN). Mais celui-ci ne véhicule pas sur internet.

En plus, si l'utilisateur se fait voler ou perd son certificat, il peut à tout moment demander un nouveau certificat qui invalide le précédent. Donc, le pirate aura en main un certificat qui lui servira à rien.

Par contre, si l'utilisateur accède à son certificat via un logiciel malveillant sur le PC, ce dernier pourrait envoyer à l'insu de l'utilisateur la clé privé. Mais n'y a-t-il pas le même problème avec les mots de passe?

Pour ce qui est de les libertés individuelles, je ne trouve pas choquant de proposer un moyen d'identification fort, tant qu'il est facultatif. Libre à chacun d'utiliser le certificat pour se faciliter la vie pour des sites officiels et un compte classique pour des sites qu'il juge plus sensibles.

Pour ce qui est des standards, j'ai l'impression qu'il compte utiliser une infrastructure de gestion de certificats X509 (comme pour les impôts). IdéNum serait une autorité de gestion. Les échanges entre une application et une autorité de certification font déjà l'objet de standard.
En plus, l'utilisation des certificats X509 peut être compatible avec OpenId. Le certificat est un moyen d'authentification (comme un login/mot de passe), tandis qu'OpenId est plus un moyen d'identification (authentification + échanges d'attributs d'identification).

[kmaniche]

Si j'adhère à cette solution, lorsque je me connecte à un site comme "La Poste" il reçoit automatiquement mes infos d'identité. Mais, supposons que je me connecte à un autre site sans me rendre compte que ce dernier lit lui aussi mon identité, donc il y a un risque que certains peuvent faire une copie sur leurs clefs USB ou PC ...

Est-ce que c'est vraiment sûr ce machin ?

[bonano]

Envoyé par Viish

Oui un autre point de vue tout à fait intéressant. Et outre l'aspect évoqué dans l'article du "fliquage automatisé", il y a aussi un nouvel aspect sécurité.
Combien de gens perdent, oublient, se font voler leur clé usb / téléphone portable.
Personnellement je préfère avoir un mot de passe, même si long et compliqué. Et puis ça permet l'utilisation par plusieurs personnes d'un même compte, qui dans certains cas s'avère utile et pratique.

JE suis d'accord, surtout avec une cert elec installé sur un ordinateur, tout le monde peuvent accéder au site ( ceux qui ont accées biensure à l'ordinateur, famille,....) par contre comme dis plus haut, un compte avec mot de passe, le même site peut être acceder par tout le monde mais avec leur propre compte/mot de passe.

Sauf si l'etat vas distribuer des ordinateurs gratos pour tout le monde, comm ça chaqu'un aura son propre et privée ordinateur biensure c'in impossible lol.

[NejNej]

Certainement la première étape avant de faire en sorte que ce sésame soit la clef nécessaire pour accéder au web.

Clef qui sera activée ou non par le gouvernement.

Comme ghoudmon, si ça reste qu'une option et qu'elle n'évolue pas plus que cela pourquoi pas?!

[Marco46]

Envoyé par ghoudmon

En plus, l'utilisation des certificats X509 peut être compatible avec OpenId. Le certificat est un moyen d'authentification (comme un login/mot de passe), tandis qu'OpenId est plus un moyen d'identification (authentification + échanges d'attributs d'identification).

Et quelle est la différence de fond ?

C'est pas plus simple d'utiliser ce qui existe déjà en étendant l'infrastructure plutôt que de pondre un truc proprio, fermé, payant et dont le fonctionnement est obscur ?

[matpush]

Moi personnellement je n'ai que 2 mots de passe.

Mais quelle bonne idée ...

[LittleBean]

Moi ce qui me plait dans l'idée c'est de pouvoir regrouper tous les services public vers une identité ....

La question à 2 euros : Combien d'organismes à informer pour faire part d'un simple changement d'adresse?

Le reste c'est que technique ... (j'ai pas mal pourris de gens pour cette remarque )

La question de la sécurité est importante mais le gouvernement passera la main à des professionnels ... on l'espère

Dans tous les cas l'objectif affiché est de faciliter les manipulations pour nous et pour ceux qui auront hacké les comptes ....