Jérôme Letier, directeur de l’Agence nationale des titres sécurisés, revient dans nos colonnes sur le projet Alicem ou « Authentification en ligne certifiée sur mobile ». Un projet biométrique en passe de devenir réalité, mais qui subit plusieurs critiques liées déjà à l’usage de la reconnaissance faciale.

S'identifier sur un service en ligne officiel avec une application biométrique. Voilà l’ambition d'Alicem, qui a fait l'objet d’un décret publié le 16 mai dernier au Journal officiel. Le projet est cependant critiqué par CNIL et même attaqué devant le Conseil d'État par la Quadrature du Net. Tour d'horizon avec le directeur de l'agence en charge de ce dispositif biométrique.

Quel est l’objectif d’Alicem et son historique ?

L’objectif d’Alicem est de protéger son identité sur Internet et s’identifier quand on fait une démarche en ligne de façon hautement sécurisée. Ce projet a plusieurs années et c’est en mai 2019 qu’on a obtenu la publication d’un décret en Conseil d’État.

La solution a été préparée à notre demande par l’entreprise Gemalto qui fait partie du groupe français Thales. Nous avons signé un marché public avec elle en décembre 2016. Cela fait longtemps qu’on travaille avec nos partenaires, l’ANSSI, l’agence nationale pour la sécurité des systèmes d’information et la CNIL. Elle a du coup rendu son avis. Souvent on insiste sur les divergences entre nous et la commission, on pourra y revenir, mais globalement l’autorité a validé le principe.

Pour que ce système fonctionne, il faut un passeport, ou un titre de séjour si vous êtres un étranger, et un téléphone Android avec lecteur NFC. Cela ne marche donc pas pour l’instant avec Apple car l’entreprise a refusé jusqu’ici d’ouvrir son lecteur.

Quand vous choisissez de télécharger l’application, il suffit ensuite de poser le téléphone sur le titre. Il lit la puce qui intègre la photo et la compare avec une espèce de « selfie » que vous faites de vous-même. Concrètement, cette petite vidéo de votre visage est envoyée en même temps que la photo sur un serveur central qui procède à une comparaison par algorithme de reconnaissance faciale. Si cela correspond, on vous autorise à continuer l’installation de l’application. Vous choisissez enfin un code PIN de 6 chiffres que vous utiliserez.

Y a-t-il un croisement effectué d’une manière ou d’une autre avec le fichier TES sur les titres électroniques sécurisés ?

Le fichier TES n’est absolument pas impliqué là-dedans. C’est une contrevérité qui a circulé récemment. Comme expliqué, quand vous commencez à installer l’application, il y a deux flux qui partent vers un serveur central. L’un avec la photo qu’il y a dans votre titre, l’autre avec la vidéo de votre visage. Il y a une comparaison instantanée puis les données sont effacées. Il n’y a donc aucun stockage de données biométriques liées à l’application Alicem. La photo est stockée dans le téléphone de l’utilisateur de façon cryptée et sous son seul contrôle. Si quelques jours plus tard vous effacez l’application, la photo est également supprimée.

Il y a d’autres contrevérités qui circulent, des amalgames entre une sorte de reconnaissance faciale à la volée qu’on voit dans certains pays non démocratiques et cette solution préparée au sein de l’agence. Il n’y a pas de stockage, de plus c’est une comparaison faite à la demande et au moment où l’usager le choisit. C’est un algorithme de reconnaissance classique avec comparaison des points caractéristiques du visage.

Vous évoquiez les divergences d’appréciation avec la CNIL...

La CNIL aurait souhaité que nous fassions dans Alicem une alternative à la reconnaissance faciale. Pourquoi ne sommes-nous pas allés sur ce terrain-là ? C’est parce qu’aujourd’hui, vous avez une multitude d’autres façons de vous identifier en ligne. Avec FranceConnect, vous pouvez utiliser Impot.gouv.fr ou Ameli.fr.

Un citoyen qui n’aurait pas envie de recourir à la reconnaissance faciale a donc d’autres solutions. Cela a été une divergence d’appréciation avec la CNIL, mais finalement nous avons été suivis par le Conseil d’État qui a constaté l’existence de ces alternatives. Nous partageons les soucis de la CNIL, protéger les données et minimiser au maximum l’utilisation ou le stockage.

L’objectif d’Alicem est de permettre aux gens de faire une démarche dématérialisée, de justifier de leur identité sans avoir à se déplacer notamment dans un lieu public. Il est important pour l’État de proposer cette option et une alternative par rapport aux fournisseurs d’identité privée voire de multinationales qui ne s’embarrassent pas toujours du RGPD.

La non-disponibilité d’Alicem sur d’autres OS qu’Android n’est-elle pas un frein ?

Notre objectif est la recherche de la plus grande accessibilité possible. Depuis qu’on a appris il y a quelques semaines qu’Apple envisageait d’ouvrir à partir d’IOS 13 l’utilisation de son lecteur NFC au-delà de son écosystème, nous avons commencé à voir la façon dont on pourrait traduire le code développé initialement sur Android. Cela arrivera nécessairement avec un décalage qui ne nous est pas imputable, mais qui est dû au choix de la multinationale Apple.

Alicem ne sera-t-il réservé qu’aux services publics, ou bien sera-t-il exploitable par des sites privés ?

Pour la plupart des actes de la vie courante, une identification de niveau faible suffit largement. Par exemple, un site marchand se contente d’une carte bancaire à votre nom, solvable et d’une adresse de livraison. Alicem n’a pas de vocation hégémonique, il ne s’agit pas de remplacer les solutions qui existent déjà. Il sera disponible dans les services qui s’ouvrent ou peuvent s’ouvrir avec FranceConnect. 

Quel est le calendrier de déploiement ?

Il n’y a jamais eu de date fixée pour la mise en service. Novembre était une option. Le scénario de référence n’est pas non plus établi. Cela pourrait être fin 2019 voire début 2020.

Cédric O secrétaire d’État au Numérique a évoqué le lancement d’un certain nombre de consultations publiques, pour lesquelles il souhaite avoir de premiers retours avant d’envisager une mise en service plus large. Je ne suis pas le décideur en la matière. Ce que je peux vous dire, c’est que nous nous tenons prêts à compter de fin 2019 ou début 2020 à sortir une solution qui soit à la fois robuste techniquement par rapport aux exigences de sécurité et d’un haut niveau de satisfaction des citoyens.

Baptiste Rober, un chercheur en cybersécurité a repéré qu’Alicem reprenait un autre projet (un permis de conduire numérique financé aux États-Unis) outre une démo s’appuyant sur un logiciel non mis à jour...

Je suis en désaccord assez profond avec toutes ces affirmations ou ces allégations, je ne sais comment il faut exprimer les choses. C’est Gemalto qui puis décembre 2016 développe pour le copte de l’État Alicem.

Évidemment, elle n’est pas une entreprise qui n’est jamais intervenue sur ces sujets. Gemalto a probablement développé d’autres projets dans d’autres États. Ce qui est certain, c’est qu’Alicem est une solution développée spécifiquement pour la France, elle est spécifique à son droit national et européen.

La solution est également propriété de l’État. Aucune entreprise ne peut réutiliser cette solution à d’autres fins. À ma connaissance, ces insinuations n’ont aucun fondement.

Concernant la sécurité informatique de l’application, le risque zéro n’existe pas comme vous le savez, mais nous sommes depuis le début du projet avec un objectif de vigilance à 100 % et de sécurité maximale. Nous travaillons étroitement depuis l’origine avec l’ANSSI dans une option de « security by design ».

Il y a tout un processus de qualification et de certification qui se poursuit avec l’agence. L’objectif est ensuite de faire qualifier Alicem au niveau européen comme solution d’identification élevée au sens du règlement e-IDAS. Les allégations de personnes qui prétendent avoir craquée telle ou telle situation sont traitées avec tous les autres, c’est-à-dire avec le plus grand professionnalisme puisqu’encore une fois la finalité même d’Alicem est que nous devons avoir le degré de sécurisation maximale.

Il a aussi été évoqué le chiffre de 3,4 millions d’euros sur ce marché public, pouvez-vous le confirmer ?

C’est en effet le montant maximal octroyé à ce marché. Par rapport à d’autres projets de l’État, c’est une somme très raisonnable surtout lorsqu’on la compare à ce que pourront être l’utilisation et le service rendu.

Envisagez-vous une extension à une future carte d’identité « pucée » ?

Alicem suppose un titre d’identité ou de voyage incluant un composant électronique. En France, nous n’avons que le passeport et le titre de séjour d’étranger en situation régulière. Lorsqu’à l’avenir d’autres titres similaires seront dotés d’une puce, il parait naturel qu’Alicem soit étendu.

Pourrait-on déjà envisager cette extension aux cartes Vitale ?

Les sujets Alicem et cartes Vitale sont séparés, cela n’a pas été évoqué. En lui-même, Alicem est un projet qui est positif pour la lutte contre la fraude puisqu’il permet de garantir l’identité. Mais par rapport au titre particulier que vous évoquez, le système n’a pas été conçu spécifiquement pour cela.

Alicem a été présenté comme une solution unique au monde, est-ce vrai ? 

Cette présentation a été plutôt portée par les détracteurs de la solution qui ont parfois alimenté des amalgames avec la reconnaissance faciale à la volée. On n’a pas du tout le sentiment que la France soit en avance ou innovante sur le sujet de l’identité numérique souveraine.

D’autres pays ont bien avant nous notifié des schémas d’identification à la Commission européenne. Ils font actuellement l’objet d’une revue par les pairs et d’une labellisation par Bruxelles. Nous n’avons pas du tout la prétention d’être en avance, ni même d’être particulièrement avant-gardiste, mais plutôt de mettre en œuvre de solutions éprouvées dans des conditions de sécurité optimale.

Le décret Alicem a été publié en mai 2019. Le ministère de l’Intérieur a publié un billet fin juillet. N’y a-t-il pas eu du retard dans la communication ?

Dès lors qu’on parle d’un produit technique développé par une agence d’État, il est normal qu’il y ait des interrogations ou des inquiétudes. Ce qui est important c’est qu’au travers d’une information objective sur l’état du droit et des technologiques, la façon dont les projets seront implémentés, on arrive à éclairer le débat public et les citoyens et montrer qu’Alicem n’est qu’une solution optionnelle, qui s’ajoute aux autres, et qui doit permettre d’apporter un service nouveau dans des conditions de sécurité optimale.

Quid du recours lancé devant le Conseil d’État par la Quadrature du Net ?

Nous sommes très sereins parce qu’on pense que nos arguments vont être convaincants pour le juge dès lors que notre solution respecte l’intégralité du droit national et du droit européen. Comme nous sommes dans un état de droit, la décision sera appliquée dans son intégralité.