Alicem : l’ANTS veut rassurer sur les risques liés au code à 6 chiffres et au clonage des téléphones
Que récolte Alicem ?
Le 12 novembre 2019 à 16h20
3 min
Droit
Droit
Alicem, l’identité numérique par reconnaissance faciale, est attendue pour fin 2019 ou début 2020 selon les présages de l’Agence nationale des titres sécurisés. L’« Authentification en ligne certifiée sur mobile », qui passe par une phase biométrique, soulève toutefois des inquiétudes dans le milieu de la sécurité informatique.
Dans nos colonnes, Pascal le Digol, directeur France de WatchGuard, exprime en effet ses craintes à l’égard d’Alicem. Pour le représentant de cette société spécialisée dans les solutions d’authentification multifacteur, « même si je n’ai pu encore tester moi-même cette solution, je trouve très dommage qu’on n’aille pas jusqu’au bout du processus en termes de sécurité. Je ne parle pas d’éthique, qui n’est pas mon propos mais relève plus de la CNIL » (voir les critiques adressées par l'autorité).
Selon l’intéressé, le point névralgique ressort du descriptif de l’application : d’abord la création d’un compte avec phase biométrique (capture d’expression du visage) puis l’obtention d’un code à 6 chiffres à utiliser auprès des sites partenaires pour permettre les authentifications suivantes. « Le pirate ne va pas s’attaquer à la phase compliquée, la biométrie, mais celle considérée comme la plus simple, le mot de passe. On se pose des problèmes éthiques pour la création du compte, mais autant utiliser la biométrie pour ces authentifications puisque de toute manière on a déjà utilisé ce paramètre en amont ».
« La biométrie n’est pas parfaite, aucune technique ne le sera jamais, mais il faut mettre les mécanismes de sécurisation à niveau. Un code à seulement 6 chiffres me semble très léger, insiste le responsable de WatchGuard. Je n’ai même pas vu de mécanisme où ce fameux code serait à modifier dans le temps. »
Trois niveaux de sécurité
Contacté, Jérôme Letier, directeur de l’Agence nationale des titres sécurisés, veut rassurer. Une fois Alicem mis en circulation, « ce seront les fournisseurs de services qui stipuleront le niveau qu'ils attendent pour valider l'identité d'un utilisateur ». Trois niveaux sont prévus à ce jour : faible, substantiel et élevé.
En pratique, « le cas en test correspond au niveau basique ("faible" au sens du règlement eIDAS), pour les transactions plus sensibles, les fournisseurs de services demanderont un niveau élevé (ou "substantiel"), qui supposera l'utilisation du titre à chaque usage ».
En d’autres termes, l’usage du code à 6 chiffres ne vaut que pour cette phase de test. La sécurité d’Alicem montera en gamme selon les prestataires impliqués, allant jusqu’à demander le titre sécurisé.
Un dispositif anti-clonage de téléphone
Autre point soulevé par Pascal le Digol, la question du clonage des téléphones. En cas de duplication, l’application deviendra-t-elle inopérante ? « Chez nous, c’est effectivement le cas, on sait détecter ce clonage en usant d’une notion d’ADN du téléphone » assure l’intéressé.
Sur cette problématique, le responsable de l’ANTS nous indique que « certains téléphones ont été exclus pour se limiter à ceux disposant d'un Secure Element, en principe protégés contre ce type d'attaque ». Ainsi, « les éléments secrets propres à Alicem étant contenus dans ce SE, cela rend l'application inutilisable avec le compte de l'usager présent sur le téléphone cloné ». « Là encore, insiste Jerôme Letier, dans les usages avec utilisation du titre, le risque sera encore considérablement réduit ».
Alicem : l’ANTS veut rassurer sur les risques liés au code à 6 chiffres et au clonage des téléphones
-
Trois niveaux de sécurité
-
Un dispositif anti-clonage de téléphone
Commentaires (22)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 12/11/2019 à 16h33
“La sécurité d’Alicem montera en gamme selon les prestataires impliqués, allant jusqu’à demander le titre sécurisé.”
Faudra pas mettre son passeport et son téléphone dans le même sac ^^.
Le 12/11/2019 à 16h56
Donc in fine la sécurité du dispositif repose sur le secure element du téléphone… Pourquoi pas en vrai, mais dans ce cas ci tout leur merdier de biométrie ne sert à rien puisqu’il sera probablement moins fiable que, par exemple, FaceID.
Le 12/11/2019 à 17h21
Le 12/11/2019 à 17h26
Le 12/11/2019 à 17h40
Xiaomi utilise une technologie similaire à faceID mais utilisable qu’en Asie à cause de brevets d’apple ?
Le 12/11/2019 à 17h48
Si j’ai bien compris l’idée du truc, la phase de biométrie est juste là pour vérifier que c’est bien le propriétaire du passeport qui est en train de l’utiliser.
Donc les commentaire au-dessus par exemple sur FaceId sont à côté de la plaque. FaceId permet d’enregistrer puis reconnaitre son visage. Là il s’agit de reconnaitre le visage de la photo utilisée à la création du passeport…
Le 12/11/2019 à 19h14
Tu as bien compris.
Le 12/11/2019 à 21h08
Le 12/11/2019 à 23h00
Bon, on va faire court. Parler de FaceID pour une application disponible uniquement pour Android est hors sujet.
Après, comme déjà expliqué dans les articles précédents sur ce sujet et même rappelé ici, la reconnaissance faciale n’est utilisée qu’une fois lors de la création de compte et lors de cette phase sont stockés les éléments secrets qui serviront ensuite mais la photo du titre d’identité (passeport) qui ne sera donc pas comparée ultérieurement. Donc, oui, tu n’as pas tout compris.
Si tu veux mieux comprendre le fonctionnement, va lire les autres articles sur le sujet, celui-ci n’est pas le plus explicite, parce que ce n’est pas le sujet.
De toute façon, cet article gratuit est un peu bâclé : on ne comprend pas bien cette histoire de code à 6 chiffres qui sort de nulle part faute d’explication claire de son utilisation. Et il y a ensuite des réponses sans plus de contexte du directeur de l’ANTS, tout ça retranscrit par Marc qui n’est pas spécialisé en technique de sécurité, ça donne un article dont on ne peut pas tirer grand chose.
Le 12/11/2019 à 23h01
C’est justement ce que fait alicem : la reconnaissance faciale sert uniquement à valider que le porteur du smartphone est bien celui de la photo du passeport (c’est comme la validation du facteur dans l’idn v2). Cela valide le smartphone lui-même (ou sa puce TPM) comme facteur d’authentification.
L’appli agit alors de la même façon qu’un authenticator, protégé selon le niveau demandé par un code pin ou par un round-trip NFC avec le passeport sans refaire cette authentification biométrique.
Par ailleurs rien n’interdit de remplacer rapidement le code pin du niveau “faible” par la sécurisation native du téléphone (face id, empreinte, yubikey, windows hello…), mais pour une certaine catégorie de personne c’est juste trop compliqué à utiliser.
Par ailleurs, j’ai du mal avec le fait que les médias considèrent alicem comme un outil de pistage biométrique, quand il s’agit concrètement uniquement de la remise du “passeport électronique” par un agent (semi-auto) effectuant UNE FOIS une vérification visuelle de l’identité de la personne.
Ce n’est pas une caméra dans l’espace publique qui va te “flasher” en loggant date, lieu, activité, avec qui tu discute, etc…
Par ailleurs, travaillant sur la fourniture de recommandé électronique pour les juristes, la seule solution qualifiée aujourd’hui, c’est la grille de code prépartagée sur page A4 remise en main propre… autant vous dire qu’on attends de pied ferme des solutions dématerialisée…
Le 12/11/2019 à 23h38
Monsieur Jérôme Letier, directeur de l’Agence Nationale des Titres Sécurisés, ferait mieux de s’attaquer aux margoulins qui squattent le mot clef “ANTS” sur Adwords et compagnie, pour arnaquer les gens qui cherchent d’urgence à déclarer volés les papiers d’identité qu’ils viennent de se faire dérober. Il y en a deux à l’heure où j’écris… Leurs pubs sont gentiment affichées au-dessus du résultat naturel (ants.gouv.fr), avec un look tout à fait similaire aux résultats normaux. Maman Michu s’y est faite prendre la semaine dernière. Grrr.
Pourquoi les banques et le eCommerce font-ils ce nettoyage mais pas l’ANTS ? Ça éviterait plus de fraude que de mettre toute son énergie dans des solutions hightech qui ne servent qu’à faire bander les starteupeurs d’état de Macronie : avant d’authentifier les gens avec 50 facteurs, il faut déjà s’assurer qu’ils arrivent sur le bon site !
Le 13/11/2019 à 07h08
Le 13/11/2019 à 07h21
Ahah le code à 6 chiffres… Mais le LOL en barres (désolé) !
Et comme d’habitude en France on fait des usines a gaz qui sont incomplètes, codées sous exta, ou encore avec des trous géants de sécurité.
Alors qu’en Europe, on fait des fois des choses intéressantes.
Par exemple Luxtrust (au Luxembourg, cherchez sur un moteur de recherche), vous avez une identité numérique pour :
Ce truc (un GIE donc) s’ouvre soit lors de l’ouverture d’un compte bancaire soit via une demande personnelle. Dans tous les cas il faut présenter un document prouvant votre existance légale (CNI / Passeport + jutificatifs).
A la fin vous avez un truc “simple”:
Luxtrust fait donc avec ça une carte d’identité virtuelle, quand on “signe” des opérations avec ça, c’est la preuve irréfutable que VOUS êtes bien la personne qui signe l’opération.
Le principe est SIMPLE, efficace et probablement peu piratable…. et surtout tellement pratique. Alors pourquoi réinventer la roue et faire des usines a gaz avec un trou de sécu de la taille d’un 38 Tonnes derrière ?
Le 13/11/2019 à 08h21
Le 13/11/2019 à 08h35
Le 13/11/2019 à 08h55
Le 13/11/2019 à 09h03
“certains téléphones ont été exclus pour se limiter à ceux disposant
d’un Secure Element, en principe protégés contre ce type d’attaque”
En pratique, ça limite l’usage de leur bousin aux téléphones IoS et Android récents et moyen / haut de gamme non ? Ou c’est un peu plus générique / ouvert ?
Le 13/11/2019 à 09h42
Pour être presta immatriculation sur une partie de mon activité, je confirme que l’ANTS c’est un gros trou noir. Même en temps que pro presta, on a du mal a obtenir des humains et de l’information.
Et par expérience on apprend que des éléments sont obligatoires alors que les documentations officielles les décrivent comme optionnels…
Enfin bref… L’ANTS quand son dossier passe sans aucun soucis, il faut penser à jouer au loto.
Le 13/11/2019 à 14h00
En France ça s’appelle France-Connect, dont Alicem sera un fournisseur d’identité “forte”. Comme l’idn de la poste v2, et d’autres.
Le problème c’est qu’aujourd’hui, FC ne fait que des identités faibles (impots, sécu…) car on se touche la nouille sur les données personnelles des fournisseurs d’identité forte.
Quand ce sera disponible, tous les services pourront l’implémenter librement.
Il reste que FC est orienté vers les particuliers, et donc tjrs aucun moyen d’authentifier proprement une personne morale, son role et ses droits dans l’entreprise, etc.
Le 13/11/2019 à 18h46
Le 16/11/2019 à 17h43
Le 17/11/2019 à 11h33
Un code à 6 chiffres est vraiment considéré comme sûr ????????