Identité décentralisée : prouvez qui vous êtes sans compter sur une plateforme unique

Aujourd’hui, la majeure partie de notre identité numérique est empruntée. Vous êtes celui que LinkedIn prétend être, celui que la banque a authentifié, celui que l'opérateur a validé par numéro. Chacune de ces identités vit au sein d’une plateforme, et en dehors de celle-ci, elle perd de la valeur. Quittez LinkedIn et votre historique professionnel devient un texte non sécurisé. Changez de banque et votre réputation de bon payeur ne vous accompagnera pas.

Ce modèle a fonctionné parce que la centralisation de l’identité a résolu un vrai problème : quelqu’un devait être le garant de la confiance. Le coût, qui a mis du temps à se manifester, est la dépendance. Celui qui conserve votre identité contrôle votre accès, voit vos données et peut modifier les règles unilatéralement.

L'identité décentralisée propose d'inverser cette propriété. L’idée, en substance, est simple à énoncer : vous téléchargez vos informations d’identification, choisissez ce que vous souhaitez révéler lors de chaque interaction et le destinataire peut vérifier l’authenticité sans avoir à demander la permission à la plateforme d’origine. L’accent ici est mis sur le concept et ce qu’il change pour ceux qui décident, et non sur la promesse de révolution qui accompagne habituellement le thème.

Qu'est-ce qui ne va pas dans le modèle actuel

Le problème central n’est pas technique, c’est incitatif. Lorsqu'un intermédiaire protège votre identité, il dispose de trois pouvoirs que vous ne contrôlez pas : il peut refuser l'accès, il peut divulguer vos données et il peut les utiliser d'une manière que vous n'avez pas explicitement autorisée.

Ajoutez à cela la fragmentation. Votre identité est répartie sur des dizaines de silos qui ne se parlent pas. Chaque service refait le même contrôle, conserve une autre copie de vos documents et crée une autre surface de fuite. Plus il y a de copies de vos données, plus le risque que l’une d’entre elles soit compromise est grand.

Et il y a l’asymétrie de la preuve. Lorsque vous dites quelque chose sur vous-même, « j'ai travaillé ici », « j'ai ce certificat », « j'ai l'âge légal », celui qui reçoit la déclaration ne peut la confirmer sans vous faire confiance ou faire confiance à un intermédiaire. Il vous fait généralement confiance, ce qui laisse place à la fraude, ou demande des preuves excessives, ce qui fait fuir trop de données.

Le contenu synthétique ne fait qu’empirer la situation. Les faux documents plausibles, les profils fabriqués et les usurpations d’identité vocales ou vidéo s’attaquent au point même de faiblesse : la vérification d’identité basée sur l’apparence. Le modèle actuel n’a pas été conçu pour un monde où l’apparence est trivialement falsifiable.

Les trois rôles : qui délivre, qui porte, qui vérifie

Les informations d’identification vérifiables organisent la confiance en trois rôles, et comprendre cette division constitue la moitié de la compréhension du sujet.

L'expéditeur est celui qui affirme quelque chose avec autorité. Une université délivre un diplôme, un organisme public délivre une identité, un employeur délivre une caution, un certificateur délivre une certification. L'émetteur signe le justificatif de manière cryptographique, afin que sa paternité soit vérifiable.

Le porteur, c'est vous. Vous recevez les informations d'identification et les conservez, idéalement sous votre contrôle, et non au sein de la plateforme de l'émetteur. Vous décidez quand le présenter et à qui.

Le vérificateur est celui qui doit faire confiance. Un employeur vérifiant votre diplôme, un service vérifiant votre âge, un établissement vérifiant une autorisation. Le point central : le vérificateur peut vérifier l'authenticité du titre directement grâce à la signature de l'émetteur, sans avoir à contacter l'émetteur et sans que l'émetteur sache que la vérification a eu lieu.

C’est cette dernière propriété qui change la donne. Aujourd’hui, vérifier, c’est généralement appeler le collège, consulter la plateforme, s’en remettre à un intermédiaire. Avec des informations d’identification vérifiables, la preuve voyage avec vous et se valide d’elle-même. L'émetteur ne devient pas un goulot d'étranglement ou un point de surveillance.

Révélez moins, prouvez assez

Une propriété peu intuitive et très précieuse est la divulgation sélective. Vous pouvez prouver un fait dérivé d’un titre sans révéler l’intégralité du titre.

L’exemple classique : prouver que vous êtes majeur sans indiquer votre date de naissance, votre nom complet ou votre numéro de document. Le vérificateur reçoit uniquement la déclaration cryptographiquement validée indiquant que oui, vous avez dépassé le seuil d'âge, sans les données dont il n'a pas besoin.

Cela s’attaque à une faille profonde des systèmes actuels : la collecte excessive. Aujourd'hui, pour prouver une petite chose, on remet généralement un document entier, que le service conserve et qui devient un autre point de fuite. La divulgation sélective renverse la logique standard selon laquelle « tout collecter, juste au cas où » pour « prouver uniquement ce qui est nécessaire ».

Pour ceux qui dirigent, cela a une signification stratégique directe. Chaque donnée que votre organisation n'a pas besoin de conserver constitue un risque qu'elle ne prend pas. Les systèmes qui vérifient sans conserver les données sensibles réduisent la surface d'attaque, simplifient la conformité et réduisent les dommages d'un éventuel incident. La minimisation des données cesse d’être une concession et devient un avantage opérationnel.

Là où le concept rencontre la réalité et ses limites

L’honnêteté quant aux limites est nécessaire, car le sujet suscite un enthousiasme disproportionné.

La première limite est l’adoption du réseau. Un identifiant n'est valide que s'il existe des vérificateurs qui l'acceptent, et les vérificateurs n'apparaissent que s'il existe des identifiants pertinents en circulation. C’est le problème classique de la poule et de l’œuf. Une technologie toute faite sans adoption est une solution qui attend un problème.

La seconde est la récupération. Si vous contrôlez vos informations d'identification, que se passe-t-il lorsque vous perdez l'accès à l'appareil qui les détient ? Les systèmes centralisés disposent d'un bouton de récupération de mot de passe. L’identité auto-souveraine doit résoudre ce problème sans réintroduire un intermédiaire de contrôle, et c’est une question véritablement difficile, qui n’est pas résolue par décret.

Le troisième est la confiance dans l’émetteur. La décentralisation de la vérification ne décentralise pas l’autorité. Un titre vaut autant que vaut la personne qui l’a délivré. Si l'émetteur est faible, frauduleux ou illégitime, le titre hérite de cette faiblesse, aussi élégante que soit la cryptographie. Vérifiable n'est pas synonyme de vrai : cela signifie simplement que vous confirmez qui l'a déclaré, et non que ce qui a été déclaré est correct.

Le quatrième est le risque d’exclusion. Tout système d'identité comporte le risque d'exclure des personnes, celles qui ne disposent pas d'un appareil, celles qui ne peuvent pas se remettre d'une perte, celles qui ne figurent dans aucun dossier. Une conception qui ne considère pas l’exclusion comme une exigence de premier ordre reproduit, sous une forme nouvelle, d’anciennes inégalités.

Lecture pour ceux qui décident

La recommandation est de ne pas adopter une identité décentralisée demain. Il s’agit de comprendre l’orientation et de positionner l’organisation pour ne pas se laisser surprendre.

Commencez par examiner où vous vérifiez actuellement votre identité ou vos informations d’identification de manière coûteuse, fragile ou invasive. Des processus d'embauche qui confèrent manuellement des diplômes, des intégrations qui collectent trop de documents, des vérifications qui dépendent de l'appel à des tiers. Ce sont les points qui bénéficient le plus des informations d’identification vérifiables.

En parallèle, observez ce que votre organisation émet. Toute institution qui certifie, valide des liens ou atteste des faits est, potentiellement, un émetteur d'informations d'identification vérifiables. En y réfléchissant tôt, on évite des décisions qui entravent ultérieurement l’interopérabilité.

Et gardez votre scepticisme calibré. Le sujet est entouré de promesses grandioses, dont beaucoup sont associées à des modes technologiques qui promettaient plus qu’elles ne produisaient. La véritable valeur est concrète et modeste : réduire la dépendance à l’égard des intermédiaires, réduire la collecte de données et rendre la vérification moins coûteuse et plus fiable. Cela suffit, et il n’est pas besoin d’une révolution pour justifier l’attention.

La question fondamentale, la même qui transcende la réputation et la provenance, reste d’actualité : comment prouver qui vous êtes et ce que vous avez fait, sans dépendre de la bonne volonté de ceux qui stockent vos données. L'identité décentralisée est l'une des réponses sérieuses à cette question.