Vous n'avez pas encore de notification

Page d'accueil

Options d'affichage

Abonné

Actualités

Abonné

Des thèmes sont disponibles :

Thème de baseThème de baseThème sombreThème sombreThème yinyang clairThème yinyang clairThème yinyang sombreThème yinyang sombreThème orange mécanique clairThème orange mécanique clairThème orange mécanique sombreThème orange mécanique sombreThème rose clairThème rose clairThème rose sombreThème rose sombre

Vous n'êtes pas encore INpactien ?

Inscrivez-vous !

Alicem : l’ANTS veut rassurer sur les risques liés au code à 6 chiffres et au clonage des téléphones

Que récolte Alicem ?
Droit 3 min
Alicem : l’ANTS veut rassurer sur les risques liés au code à 6 chiffres et au clonage des téléphones
Crédits : Gilles_Paire/iStock/Thinkstock

Alicem, l’identité numérique par reconnaissance faciale, est attendue pour fin 2019 ou début 2020 selon les présages de l’Agence nationale des titres sécurisés. L’« Authentification en ligne certifiée sur mobile », qui passe par une phase biométrique, soulève toutefois des inquiétudes dans le milieu de la sécurité informatique. 

Dans nos colonnes, Pascal le Digol,  directeur France de WatchGuard, exprime en effet ses craintes à l’égard d’Alicem. Pour le représentant de cette société spécialisée dans les solutions d’authentification multifacteur, « même si je n’ai pu encore tester moi-même cette solution, je trouve très dommage qu’on n’aille pas jusqu’au bout du processus en termes de sécurité. Je ne parle pas d’éthique, qui n’est pas mon propos mais relève plus de la CNIL » (voir les critiques adressées par l'autorité).

Selon l’intéressé, le point névralgique ressort du descriptif de l’application : d’abord la création d’un compte avec phase biométrique (capture d’expression du visage) puis l’obtention d’un code à 6 chiffres à utiliser auprès des sites partenaires pour permettre les authentifications suivantes. « Le pirate ne va pas s’attaquer à la phase compliquée, la biométrie, mais celle considérée comme la plus simple, le mot de passe. On se pose des problèmes éthiques pour la création du compte, mais autant utiliser la biométrie pour ces authentifications puisque de toute manière on a déjà utilisé ce paramètre en amont ».

« La biométrie n’est pas parfaite, aucune technique ne le sera jamais, mais il faut mettre les mécanismes de sécurisation à niveau. Un code à seulement 6 chiffres me semble très léger, insiste le responsable de WatchGuard. Je n’ai même pas vu de mécanisme où ce fameux code serait à modifier dans le temps. »

Trois niveaux de sécurité 

Contacté, Jérôme Letier, directeur de l’Agence nationale des titres sécurisés, veut rassurer. Une fois Alicem mis en circulation, « ce seront les fournisseurs de services qui stipuleront le niveau qu'ils attendent pour valider l'identité d'un utilisateur ». Trois niveaux sont prévus à ce jour : faible, substantiel et élevé.

En pratique, « le cas en test correspond au niveau basique ("faible" au sens du règlement eIDAS), pour les transactions plus sensibles, les fournisseurs de services demanderont un niveau élevé (ou "substantiel"), qui supposera l'utilisation du titre à chaque usage ».

En d’autres termes, l’usage du code à 6 chiffres ne vaut que pour cette phase de test. La sécurité d’Alicem montera en gamme selon les prestataires impliqués, allant jusqu’à demander le titre sécurisé.

Un dispositif anti-clonage de téléphone

Autre point soulevé par Pascal le Digol, la question du clonage des téléphones. En cas de duplication, l’application deviendra-t-elle inopérante ? « Chez nous, c’est effectivement le cas, on sait détecter ce clonage en usant d’une notion d’ADN du téléphone » assure l’intéressé.

Sur cette problématique, le responsable de l’ANTS nous indique que « certains téléphones ont été exclus pour se limiter à ceux disposant d'un Secure Element, en principe protégés contre ce type d'attaque ». Ainsi, « les éléments secrets propres à Alicem étant contenus dans ce SE, cela rend l'application inutilisable avec le compte de l'usager présent sur le téléphone cloné ». « Là encore, insiste Jerôme Letier, dans les usages avec utilisation du titre, le risque sera encore considérablement réduit ».

22 commentaires
Avatar de anonyme_f6b62d162990fde261db0e0ba2db118e Abonné

"La sécurité d’Alicem montera en gamme selon les prestataires impliqués, allant jusqu’à demander le titre sécurisé."
Faudra pas mettre son passeport et son téléphone dans le même sac ^^.

Avatar de jpaul Abonné
Avatar de jpauljpaul- 12/11/19 à 16:56:01

Donc in fine la sécurité du dispositif repose sur le secure element du téléphone... Pourquoi pas en vrai, mais dans ce cas ci tout leur merdier de biométrie ne sert à rien puisqu’il sera probablement moins fiable que, par exemple, FaceID.

Avatar de bilbonsacquet Abonné
Avatar de bilbonsacquetbilbonsacquet- 12/11/19 à 17:21:01

jpaul a écrit :

Pourquoi pas en vrai, mais dans ce cas ci tout leur merdier de biométrie ne sert à rien puisqu’il sera probablement moins fiable que, par exemple, FaceID.

Parce que la France aime bien réinventer 50 fois la roue pour obtenir des roues carrées (cf le super système pour signaler les alertes dont terroristes… ou le "cloud à la française").

Vu à quel rythme les gens change de tél, ça sera drôle, ça me rappelle aussi l'identification par certificat de sécurité sur le site des impôts quand le certificat expirait c'était la mouise pour se reconnecter à nouveau.

Si on peut avoir un système non biométrique via TOTP, ça sera bien mieux !

Avatar de Qruby Abonné
Avatar de QrubyQruby- 12/11/19 à 17:26:40

jpaul a écrit :

Donc in fine la sécurité du dispositif repose sur le secure element du téléphone... Pourquoi pas en vrai, mais dans ce cas ci tout leur merdier de biométrie ne sert à rien puisqu’il sera probablement moins fiable que, par exemple, FaceID.

Cela permet de ne pas être dépendant de FaceID cela dit. On sait jamais, Apple pourrait eux aussi réinventer la roue dans quelques anneés.

Avatar de xillibit Abonné
Avatar de xillibitxillibit- 12/11/19 à 17:40:20

Xiaomi utilise une technologie similaire à faceID mais utilisable qu'en Asie à cause de brevets d'apple ?

Avatar de Wawet76 Abonné
Avatar de Wawet76Wawet76- 12/11/19 à 17:48:44

Si j'ai bien compris l'idée du truc, la phase de biométrie est juste là pour vérifier que c'est bien le propriétaire du passeport qui est en train de l'utiliser.

Donc les commentaire au-dessus par exemple sur FaceId sont à côté de la plaque. FaceId permet d'enregistrer puis reconnaitre son visage. Là il s'agit de reconnaitre le visage de la photo utilisée à la création du passeport...

Avatar de fred42 INpactien
Avatar de fred42fred42- 12/11/19 à 19:14:19

Tu as bien compris.

Avatar de jpaul Abonné
Avatar de jpauljpaul- 12/11/19 à 21:08:55

Wawet76 a écrit :

Si j'ai bien compris l'idée du truc, la phase de biométrie est juste là pour vérifier que c'est bien le propriétaire du passeport qui est en train de l'utiliser.

Donc les commentaire au-dessus par exemple sur FaceId sont à côté de la plaque. FaceId permet d'enregistrer puis reconnaitre son visage. Là il s'agit de reconnaitre le visage de la photo utilisée à la création du passeport...

fred42 a écrit :

Tu as bien compris.

Mon commentaire fait pourtant référence au dernier paragraphe de l'article qui indique de manière très claire que le dispositif sera limité à des téléphones contenant un "Secure Element" (dans lequel Alicem sauvegardera les données biométriques) telle que la "Secure Enclave" d'Apple qui est un dispositif de sécurité hardware dont l'accès aux données est protégé par ... FaceID (ou TouchID). Il y a probablement l'équivalent de cette techno sur les téléphones Android.

Donc à l'usage, et à moins que je ne me trompe, il y aura, sur un iPhone récent tout du moins :

  1. une analyse biométrique du visage avec un capteur dédié pour débloquer les données de comparaison
  2. suivi d' une analyse avec la simple caméra du téléphone pour comparer avec les données stockées dans le SE.

Donc je maintiens bien qu'il y aura double analyse du visage, l'une avec un capteur "fort" (pour l'instant), l'une avec un capteur "trompable" mais avec des données de visage que pourra certifier l'état.

Je ne dis pas que c'est mal, et c'est d'ailleurs plutôt sain comme fonctionnement afin de protéger les données biométriques, seulement que si un "pirate" arrive à passer l'étape du FaceID (probablement faisable mais tout de même pas à la portée du premier venu : analyse visuelle + mapping 3D du visage), il ne fera qu'une bouchée de l'authentification "visuelle" qui suivra.

Ou alors je n'ai pas tout compris, auquel cas je veux bien qu'on me l'explique.

Mais de fait, dans la mesure où j'ai plus confiance dans le capteur biométrique de mon téléphone que dans une appli développée à coup d'appels d'offres, il aurait probablement été plus efficace et moins cher d'utiliser un standard existant tel que le TOTP avec un token de signature stocké dans la Secure Enclave, combiné, pourquoi pas, avec une signature émise par la puce du titre sécurisé.

En sécurité et plus généralement concernant les techniques de chiffrement, il existe des techniques et des protocoles ouverts qui restent, à ce jour totalement invulnérables aux attaques directes (ici le chiffrement asymétrique fort, les générateurs de tokens temporels) qu'il aurait été judicieux d'implémenter tels quels dans une jolie app "bleue blanc rouge" et pas chercher à faire un truc de biométrie bancale avec une implémentation maison (et, je suppose, fermée, pour que les méchants hackers ne regardent pas le code).

Avatar de fred42 INpactien
Avatar de fred42fred42- 12/11/19 à 23:00:47

Bon, on va faire court. Parler de FaceID pour une application disponible uniquement pour Android est hors sujet.

Après, comme déjà expliqué dans les articles précédents sur ce sujet et même rappelé ici, la reconnaissance faciale n'est utilisée qu'une fois lors de la création de compte et lors de cette phase sont stockés les éléments secrets qui serviront ensuite mais la photo du titre d'identité (passeport) qui ne sera donc pas comparée ultérieurement. Donc, oui, tu n'as pas tout compris.

Si tu veux mieux comprendre le fonctionnement, va lire les autres articles sur le sujet, celui-ci n'est pas le plus explicite, parce que ce n'est pas le sujet.

De toute façon, cet article gratuit est un peu bâclé : on ne comprend pas bien cette histoire de code à 6 chiffres qui sort de nulle part faute d'explication claire de son utilisation. Et il y a ensuite des réponses sans plus de contexte du directeur de l'ANTS, tout ça retranscrit par Marc qui n'est pas spécialisé en technique de sécurité, ça donne un article dont on ne peut pas tirer grand chose.

Avatar de Aloryen Abonné
Avatar de AloryenAloryen- 12/11/19 à 23:01:25

C'est justement ce que fait alicem : la reconnaissance faciale sert uniquement à valider que le porteur du smartphone est bien celui de la photo du passeport (c'est comme la validation du facteur dans l'idn v2). Cela valide le smartphone lui-même (ou sa puce TPM) comme facteur d'authentification.
L'appli agit alors de la même façon qu'un authenticator, protégé selon le niveau demandé par un code pin ou par un round-trip NFC avec le passeport sans refaire cette authentification biométrique.
Par ailleurs rien n'interdit de remplacer rapidement le code pin du niveau "faible" par la sécurisation native du téléphone (face id, empreinte, yubikey, windows hello...), mais pour une certaine catégorie de personne c'est juste trop compliqué à utiliser.

Par ailleurs, j'ai du mal avec le fait que les médias considèrent alicem comme un outil de pistage biométrique, quand il s'agit concrètement uniquement de la remise du "passeport électronique" par un agent (semi-auto) effectuant UNE FOIS une vérification visuelle de l'identité de la personne.
Ce n'est pas une caméra dans l'espace publique qui va te "flasher" en loggant date, lieu, activité, avec qui tu discute, etc...

Par ailleurs, travaillant sur la fourniture de recommandé électronique pour les juristes, la seule solution qualifiée aujourd'hui, c'est la grille de code prépartagée sur page A4 remise en main propre... autant vous dire qu'on attends de pied ferme des solutions dématerialisée...

Il n'est plus possible de commenter cette actualité.
Page 1 / 3