Tribunes

FranceConnect : quelle sécurité pour nos données et nos identités numériques ?

Agathe Daloz, consultante MC2I Groupe, revient sur les apports de France Connect

FranceConnect, le SSO (Single Sign-On) d'État, entend bien poser la première pierre de l'État plateforme et permettre, à terme, non seulement une fédération de l'identité numérique des citoyens, mais aussi une fédération de leurs données.

PublicitéDéveloppé fin 2014 et expérimenté dès 2015, FranceConnect, porté par le Secrétariat Général à la Modernisation de l'Action Publique (SGMAP), a pour ambition de concrétiser l'ambitieuse politique numérique de l'État français, en permettant à chaque citoyen de bénéficier d'une identité numérique, porte d'entrée unique de toutes les démarches administratives en ligne. L'objectif à terme ? La fédération non seulement des identités numériques des citoyens, mais aussi des données produites et détenues par les administrations ou par des entreprises du secteur privé. Le projet est ambitieux, et déjà les questions sont nombreuses : quel cadre légal encadrera l'initiative ? Quel mécanisme d'identification et d'authentification d'identité seront mis en place afin de garantir aux usagers une sécurité optimale ? Comment seront protégées les données échangées, et surtout, quels sont les risques potentiels ?

Un échange de données reposant sur le protocole OpenID

Selon le cadre stratégique produit par la DISIC d'avril 2015 "État plateforme et France Connect ou comment concevoir les services publics autrement", FranceConnect doit "permettre à l'usager la maîtrise des données échangées quand il s'agit d'informations personnelles". Dans ce sens, l'adhésion au service FranceConnect est strictement libre : pour chaque démarche faite en ligne, l'usager peut toujours choisir une authentification classique : un jeu d'identifiant par fournisseur de services, indépendamment de FranceConnect.

Dans le cas où l'utilisateur choisit de s'identifier via FranceConnect, les données dites "confidentielles" sont au centre d'un dispositif de protection particulier.

Pour chaque démarche entreprise en ligne par un usager recourant à FranceConnect, l'échange de données entre le fournisseur de données et le fournisseur de service sera encadré. L'utilisateur se verra systématiquement demander son consentement avant le moindre échange. Si celui-ci l'accorde pour un échange de données, FranceConnect agira comme un réel tiers de confiance en dialoguant de façon distincte et hermétique avec les deux fournisseurs : de cette façon le fournisseur de données ne pourra pas connaître la nature du fournisseur de service pour lequel la donnée de l'utilisateur est sollicitée.

Ce mécanisme est possible grâce à la mise en oeuvre du protocole OpenID : celui-ci permet à des applications ou services d'accéder à l'identité d'utilisateurs finaux par l'intermédiaire d'un serveur d'autorisation opéré par un tiers dit fournisseur OpenID Connect. Ce protocole est basé sur la confidentialité des échanges. Afin de garantir cette confidentialité, le fournisseur de service doit notamment utiliser des certificats serveurs conformes au Référentiel Général de Sécurité.

PublicitéA titre d'exemple, le mécanisme mis en place par les fournisseurs d'identité ne permettrait pas, à un individu malveillant, de retrouver l'identité d'une personne : les données liées à cette identité passent par un algorithme d'anonymisation (non réversible), protégeant ces données.

La sécurité des données et du mécanisme d'authentification au coeur des préoccupations !

Bien que la protection des données fasse l'objet d'une attention marquée dans le dispositif FranceConnect, des questions sont encore soulevées : qui serait responsable en cas d'usurpation d'identité ou de d'utilisation illégitime des données collectées ?

En effet, un dispositif tel que FranceConnect qui permet une fédération des fournisseurs d'identité et des services implique une centralisation des risques pour chaque personne utilisant le service. En cas d'usurpation d'identité auprès d'un fournisseur d'identité, il existe un risque d'accès aux autres services utilisant FranceConnect. Ce point a notamment été soulevé lors des derniers OpenLabs FranceConnect.

Selon les dispositions de l'annexe sécurité du cahier des charges à destination des fournisseurs d'identité, la responsabilité en cas de manoeuvres frauduleuses incombe aux fournisseurs d'identité, garants de la protection technique des données et de l'architecture, en plus des dispositions classiques légales auxquelles ils sont soumis : par exemple l'engagement à ne pas céder ou mettre à la disposition de tiers toute donnée utilisée pour identifier ou authentifier les usagers.

Malgré ces interrogations, FranceConnect représente une avancée en termes de sécurité et de vérification de l'identité. Avec ce dispositif, des fournisseurs de service tels que les collectivités locales pourront vérifier l'identité des citoyens grâce à d'un système d'authentification clé en main, particulièrement sécurisé et simple à mettre en place. L'intégration de l'API FranceConnect pourra ainsi se faire en seulement quelques jours de développement. Plutôt que de se lancer dans des chantiers coûteux et à la sécurité plus hasardeuse, les fournisseurs de services seront ainsi capables de proposer aux usagers des démarches sécurisées et un plus grand contrôle de leurs données. Par ailleurs, l'échange de données entre administration, qui facilitera les services rendus à l'usager, sera encadré par la CNIL (Commission Nationale de l'Informatique et des Libertés). En aucun cas les données ne pourront être utilisées à d'autres fins qu'à l'accomplissement de certaines démarches : Il est notamment interdit d'utiliser ces données pour alimenter d'autres fichiers ou pour constituer un fichier de la population.