Maîtriser son identité numérique. Michel Futtersack, Faculté de Droit, Université Paris Descartes

Transcription

1 Maîtriser son identité numérique Michel Futtersack, Faculté de Droit, Université Paris Descartes

2 Au début du Web, l utilisateur était passif et se contentait de feuilleter des pages contenant du texte et des données multimédia. Avec le Web 2.0 apparu au début des années 2000, l utilisateur est devenu actif. Dans les réseaux sociaux (Facebook, Twitter, YouTube), il ajoute ses propres contenus, délivre des informations personnelles qui seront visibles à toute une communauté. Pour participer à un forum, un blog, une liste de diffusion ou un site de rencontres, les webmestres nous demandent de nous identifier et de nous décrire. Les informations que nous fournissons ne correspondent pas nécessairement à notre identité "réelle" Nous sommes ainsi amenés à avoir différentes identités numériques et à les utiliser dans un contexte privé (réseaux sociaux, blogs), institutionnel (impôts, organismes de santé) professionnel (forums, réseaux de contacts) ou commercial (ecommerce)

3 Une identité numérique est un ensemble de caractéristiques associées à un nom (un identifiant). Elle est créée : par la personne elle-même, en remplissant un formulaire par induction à partir du comportement de la personne sur le site par le jugement des autres membres de la communauté sur cette personne (sa réputation) L identifiant est soit un pseudonyme, soit une adresse électronique. La création d une identité numérique est le plus souvent un acte volontaire à travers une procédure d inscription sur un site Web. Celle-ci se traduit informatiquement par la création d un nouvel enregistrement dans une base de données Pour se protéger d un programme malveillant qui pourrait s inscrire automatiquement des milliers de fois sur le site et saturer ainsi la base de données, on demande à la personne de lire un texte déformé appelé captcha, incompréhensible (actuellement) par un programme. On exige souvent aussi que l identifiant soit une adresse électronique à laquelle un mot de passe ou une clé d activation est envoyé. L internaute averti dispose donc de plusieurs adresses électroniques, faciles à créer gratuitement sur différents sites (Google, Yahoo, Hotmail)

4 Puisque nous disposons de plusieurs identités numériques, laquelle choisir quand un site nous demande de nous identifier? Il faut séparer autant que possible : la sphère privée, dans laquelle on peut se construire des identités fantaisistes, créer des avatars (dans la religion hindoue, un avatar est une incarnation du dieu Vishnu sous des formes très diverses : poisson, tortue, sanglier). Il est prudent de ne pas dévoiler sa véritable identité pour éviter les harcèlements de toutes sortes la sphère professionnelle, dans laquelle on fait apparaître de vraies composantes de sa personnalité, mais uniquement en rapport avec sa profession (ne pas révéler ses préférences politiques, philosophiques, esthétiques, etc). L adresse électronique professionnelle doit servir d identifiant uniquement sur les sites utilisés dans l activité professionnelle la sphère commerciale, dans laquelle on se limite à donner les renseignements nécessaires au paiement et à la livraison la sphère institutionnelle, dans laquelle les informations fournies doivent être véridiques. Bien souvent, celles-ci ont déjà été collectées par l administration (impôts, sécurité sociale)

5 Les champs obligatoires sont précédés d un symbole spécial (souvent un astérisque). Inutile de renseigner les autres champs!

6 L identification permet de connaître l identité d une entité (une personne physique ou un programme informatique), alors que l authentification permet de vérifier cette identité. Pour être authentifié, l entité doit fournir une ou plusieurs preuves (mot de passe, numéro d identification personnel, caractéristique physique, connaissance très personnelle, geste) On distingue trois types d authentification : authentification simple : elle ne repose que sur une seule preuve (exemple : mot de passe) authentification forte : elle exige au moins deux preuves authentification unique : l entité ne procède qu à une seule authentification pour accéder à différents sites ou services informatiques (protocole SSO pour Single Sign On). L entité s adresse à un serveur d authentification par lequel passent toutes les transactions entre l entité et les applications. L intérêt est que l utilisateur n a plus besoin de mémoriser de multiples login La plupart des sites de e-commerce ne proposent qu une authentification simple, ce qui est insuffisant du point de vue de la sécurité

7 Les traces numériques sont les informations qu un appareil numérique enregistre sur l activité d un usager soit automatiquement, soit en interrogeant directement celui-ci. Sur le Web, les moteurs de recherche, les blogs, les réseaux sociaux, et les sites commerciaux enregistrent nos traces. Mais aussi les cartes à puce (cartes de transports, cartes bancaires, cartes de santé) et les téléphones mobiles mémorisent nos parcours, nos requêtes, nos préférences, nos achats ou les opinions que nous exprimons. Où ces traces sont-elles enregistrées? sur le poste de l usager : certains sites créent un fichier appelé cookie contenant vos traces. Celles-ci sont renvoyées au serveur à chaque fois que vous vous connectez à nouveau sur le site. Cette technique est avantageuse pour le site qui n a pas besoin de mémoriser les données personnelles de tous ses visiteurs. On ne peut pas lui reprocher d autre part de conserver des données nominatives. L usager peut cependant paramétrer son navigateur pour empêcher la création des cookies. sur les serveurs : les traces sont extraites des fichiers journaux (fichiers de logs : ils contiennent toutes les informations relatives à une session, les requêtes, les sites visités, les dates et heures des connexions, les publicités regardées) et mémorisées dans une base de données Le pire danger vient des logiciels espions (spyware) qui s installent sur les machines à notre insu en même temps que certains logiciels "gratuits" et envoient silencieusement à un serveur tout ce que nous saisissons au clavier (y compris nos mots de passe les plus sophistiqués!). Pour lutter contre ce fléau, il faut utiliser un logiciel anti-espion

8 Des données personnelles peuvent être obtenues non seulement par des programmes qui observent, mais aussi par des programmes qui raisonnent (intelligence artificielle) Le filtrage collaboratif utilisateurs : par exemple, un site de location de films partage ses clients en plusieurs catégories (profils). Chaque film est côté avec la moyenne des notes attribuées par les clients d une même catégorie. On peut alors proposer la liste des films les mieux notés pour un certain type de client. Le filtrage collaboratif objets repose sur le principe "les gens qui ont acheté X ont aussi acheté Y " On peut ainsi deviner les préférences d un usager Plusieurs bases de données personnelles peuvent être achetées et si chacune contient un identifiant universel (numéro de sécurité sociale), on peut les fusionner et en déduire des informations. Par exemple, imaginons qu une enseigne de distribution récupère une base de données médicales, elle pourrait en déduire des conseils nutritionnels et des aliments adaptés à ses clients. Enfin il existe des programmes (qualifiés à tort de "robots") qui parcourent en permanence la toile (réseaux sociaux, blogs, forums) et regroupent les informations concernant telle ou telle personne, construisant ainsi une "réputation". Si celle-ci est mauvaise, il existe une parade : des agences de cyber-guerriers proposent de rectifier la réputation de leur client afin que si on "gooogoolise " celui-ci, les pages les plus compromettantes arrivent les dernières dans la liste!

9 Un profil (ou modèle) utilisateur est un ensemble de données qui concernent l utilisateur d un service informatique. Ces données peuvent être très diverses : caractéristiques personnelles (âge, sexe), intérêt et préférences concernant la tâche à accomplir (par exemple la position des barres d outils), le niveau de savoir-faire, un historique des interactions avec le service, les handicaps éventuels. En général le profil est modélisé sous la forme d une liste de couples (attribut, valeur). On trouve des profils dans : le système d exploitation (chaque compte utilisateur est un profil) les applications de bureau ou Web (mémorisation des préférences) certains moteurs de recherche (pour mieux cibler ensuite les publicités) Le profil est renseigné soit par l utilisateur lui-même, soit par sélection d un profil existant, soit par le programme lui-même qui induit les caractéristiques de l utilisateur à partir de ses choix et de son comportement. Certains programmes autorisent l utilisateur à consulter voire à modifier son profil, mais une part des informations est souvent inaccessible

10 Une machine connectée sur Internet possède un identifiant unique : son adresse IP (Internet Protocol). Celle-ci est attribuée par le fournisseur d accès à Internet (FAI). Quand on utilise le Web, on envoie systématiquement son adresse IP aux serveurs que l on interroge. Les adresses IP contenues dans les requêtes de tous les utilisateurs sont mémorisées sur les serveurs dans les journaux (fichiers de logs). Si un internaute a un comportement condamnable, le FAI peut retrouver le nom de l abonné correspondant à l adresse IP utilisée. Différentes techniques permettent cependant de jouir d un anonymat relatif sur Internet : passer par un serveur intermédiaire appelé proxy anonymiseur qui renvoie votre requête au serveur qui vous intéresse, mais en remplaçant votre adresse IP par la sienne. On peut aller plus loin en utilisant un chaînage de proxys. La requête que vous formulez traverse plusieurs proxys avant d arriver au serveur de destination. En cas d infraction, il faut faire une demande à l administrateur de chacun des proxys afin de remonter à la source. Cette procédure peut être très longue si certains proxys sont installés dans des pays de non-droit. utiliser un réseau anonyme, qui nécessite l installation d un logiciel spécial masquant l adresse IP dans les communications. Ces réseaux ne permettent pas d accéder aux serveurs Web, mais sont utilisés pour échanger des fichiers en peer-to-peer usurper l identité de quelqu un en se servant de sa machine sans qu il le sache (après avoir installé un logiciel espion) ou en ayant obtenu la clé d accès à son réseau WIFI utiliser une machine à accès public sans contrôle d identité (cybercafés)

11 Pendant longtemps l usurpation d identité sur Internet ne constituait pas un délit, sauf si l usurpateur commettait une effraction sous ce faux-nom Article du Code Pénal : "Le fait de prendre le nom d un tiers, dans des circonstances qui ont déterminé ou auraient pu déterminer contre celui-ci des poursuites pénales, est puni de cinq ans d emprisonnement et de euros d amende " La loi Loppsi II votée au Parlement le 8 février 2011 créé le délit d usurpation d identité en ajoutant au Code Pénal l article "Le fait d usurper l identité d un tiers ou de faire usage d une ou plusieurs données de toute nature permettant de l identifier en vue de troubler sa tranquillité ou celle d autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d un an d emprisonnement et de euros d amende" Par exemple, la création d un compte Facebook en utilisant le nom d une autre personne tombe sous le coup de cette loi

12 On fait croire à un internaute qu il est contacté par une organisation sûre (banque, administration) afin qu il fournisse des données personnelles. Celles-ci seront ensuite utilisées pour une usurpation d identité suivie d un délit. Le hameçonnage se fait : par courrier électronique : par exemple vous recevez un mél vous informant qu un incident s est produit sur un site web, que les comptes doivent être réinitialisés et qu il faut que vous envoyiez votre login par site web : vous recevez un mél avec entête de votre banque vous demandant de vous rendre sur votre compte en ligne. Vous cliquez sur un lien se trouvant dans le mél et vous vous retrouvez sur une page Web qui ressemble trait pour trait à la page d accueil du site de votre banque. Par habitude, vous saisissez votre login sans vous méfier et vous avez mordu à l hameçon! Les escrocs récupèrent votre login et vident immédiatement votre compte en banque.