Interview : "Simplifier l'identification en ligne" par B. Ourghanlian
Microsoft a annoncé deux solutions technologiques très importantes pour le Secteur Public. Quelles sont-elles ?
Il s’agit d’une part d’Infocard, annoncé à l’occasion de la conférence Digital ID World le 12 mai dernier (voir le contenu de la conférence en PDF et wma), et d'autre part de deux standards clés d’interopérabilité des services Web XML avec Liberty Alliance, une technologie initiée par Sun et désormais développée, standardisée et promue au sein du Liberty Alliance Project 
. Ces deux annonces sont d’ailleurs toutes deux liées à la gestion des identités numériques.
Infocard ? Qu’est-ce que c’est ?
Il s’agit, en quelque sorte, de la métaphore logicielle d’une carte électronique, comme un badge d’accréditation ou une carte nationale d’identité électronique… Cet objet logiciel correspond, dans la réalité, à un sous-système sécurisé permettant d’accéder, sous le contrôle de l’utilisateur, à des informations qui sont stockées de manière chiffrée sur son propre disque dur. Concrètement, il existe deux types d’Infocard. La première peut être créée et signée par l’utilisateur du PC lui-même. Son imgif est de stocker les informations (âge, adresse email…) qui sont généralement demandées pour aller naviguer sur un site Web. Le second type d’Infocard (on parle ici d’Infocard managée qui est signée par le tiers fournisseur de l’Infocard) peut être fourni à l’internaute soit par des acteurs de la sphère privée, soit par des acteurs de la sphère publique. En ce qui concerne la sphère privée, il pourrait s’agir par exemple de la métaphore logicielle d’une carte Fnac qui vous permet d’enregistrer vos données de connexion pour ne plus avoir à les saisir : l’énorme avantage de cette solution, est que vous n’avez pas besoin de stocker sur le site marchand des informations telle que votre nom, votre adresse email ou votre numéro de carte de crédit si vous ne le souhaitez pas. Dans la sphère publique, le principe reste similaire et pourrait s’appliquer, par exemple, à un dossier fiscal ou aux informations que vous avez besoin de saisir sur le Web à l’occasion d’un changement d’adresse. L’imgif étant de faire en sorte que l’internaute soit en permanence maître des informations relatives à sa vie privée, informations qui sont stockées de manière chiffrée sur son disque dur. La crainte d’un Big Brother n’a, dès lors, plus lieu d’être, puisque l’utilisateur fait ce qu’il veut de ses données personnelles : s’il a l’intention de divulguer toutes ses informations, il le peut, mais si cela ne lui convient pas, il ne communique que les informations qu’il désire à qui il veut.
La communication entre le PC de l’utilisateur et le site Web concerné se fait de manière sécurisée en utilisant les standards des services Web XML tels que SOAP, WS-Addressing, WS-MetadataExchange , WS-Policy , WS-Security , WS-SecurityPolicy , WS-Transfer, WS-Trust, XML Signature, XML Encryption.
Infocard tire les leçons du passé, en particulier de l’expérience Passport. Nous avons compris qu’une technologie unique de gestion des identités numériques avec un fournisseur unique de solution ne constituait pas une approche acceptable. Ainsi, pour qu’une solution soit admissible, il faut qu’elle accepte plusieurs technologies d’identité, plusieurs opérateurs et plusieurs implémentations. C’est pour cela qu’Infocard est ce que nous appelons un « métasystème d’identité » qui permet aux utilisateurs de gérer leur(s) identité(s) dans un monde hétérogène ou chacun d’entre eux exerce un contrôle complet sur la façon dont est utilisée son identité sur l’Internet.
Est-ce que cette solution peut être mobile ?
On peut imaginer, pourquoi pas, d’exporter ces informations sur des supports différents, comme une clé USB ou sur la puce d’une carte à puce, et transporter ainsi son identité avec soi.
La seconde annonce porte sur la disponibilité de deux standards clé d’interopérabilité avec Liberty Alliance. Qu’est-ce que cela signifie, concrètement ?
L’un des problèmes classiques auxquels sont confrontés les internautes c’est d’avoir autant de sites sur lesquels ils se connectent que de noms d’utilisateurs et de mots de passe. Il y a deux façons de résoudre ce problème. La première est d’utiliser des concepts comme celui d’Infocard dont nous avons parlé plus haut. La seconde consiste à créer des relations de confiance entre deux sites Web : on parle alors de fédération de sites Web. L’idée, c’est qu’une fois créée cette relation de confiance, il ne soit plus nécessaire de présenter ses identifiants sur un site B après s’être connecté sur un site A. Il existe deux standards essentiels pour résoudre cette problématique. Le premier s’appelle « WS-Federation » et appartient à la catégorie des standards de services Web XML. La seconde famille de standards s’appelle Liberty Alliance et a été promue au départ par Sun comme alternative à Passport. Jusqu’à présent, ces deux standards n’étaient pas interopérables.
Mais depuis nos annonces – effectuées conjointement avec Sun – les choses ont changé. L’interopérabilité entre standards va désormais permettre de manière simple d’établir un dialogue entre l’internaute et le site Web sur lequel il se trouve en découvrant automatiquement le standard utilisé par ce site et en utilisant ensuite ce standard comme langue du dialogue. Ces deux standards appelés Web Single Sign-On Metadata Exchange Protocol (Web SSO MEX) et Web Single Sign-On Interoperability Profile (Web SSO Interop Profile) sont disponibles librement sur le site de Sun :
Ces deux annonces reposent, en effet, sur des standards des services Web XML qui apportent deux réponses différentes à un même type de problème. L’imgif recherché est d’éviter d’avoir à faire plusieurs procédures d’identification sur un site Web (on parle généralement de « single sign on »). L’un permet de le faire en utilisant des informations stockées sur le PC de l’utilisateur, l’autre en établissant des relations de confiance entre différents site Web. Ces deux cas de figure qui reposent sur l’utilisation des standards des services Web XML montrent notre volonté délibérée de favoriser l’interopérabilité.
. Ces deux annonces sont d’ailleurs toutes deux liées à la gestion des identités numériques.
Infocard ? Qu’est-ce que c’est ?
Il s’agit, en quelque sorte, de la métaphore logicielle d’une carte électronique, comme un badge d’accréditation ou une carte nationale d’identité électronique… Cet objet logiciel correspond, dans la réalité, à un sous-système sécurisé permettant d’accéder, sous le contrôle de l’utilisateur, à des informations qui sont stockées de manière chiffrée sur son propre disque dur. Concrètement, il existe deux types d’Infocard. La première peut être créée et signée par l’utilisateur du PC lui-même. Son imgif est de stocker les informations (âge, adresse email…) qui sont généralement demandées pour aller naviguer sur un site Web. Le second type d’Infocard (on parle ici d’Infocard managée qui est signée par le tiers fournisseur de l’Infocard) peut être fourni à l’internaute soit par des acteurs de la sphère privée, soit par des acteurs de la sphère publique. En ce qui concerne la sphère privée, il pourrait s’agir par exemple de la métaphore logicielle d’une carte Fnac qui vous permet d’enregistrer vos données de connexion pour ne plus avoir à les saisir : l’énorme avantage de cette solution, est que vous n’avez pas besoin de stocker sur le site marchand des informations telle que votre nom, votre adresse email ou votre numéro de carte de crédit si vous ne le souhaitez pas. Dans la sphère publique, le principe reste similaire et pourrait s’appliquer, par exemple, à un dossier fiscal ou aux informations que vous avez besoin de saisir sur le Web à l’occasion d’un changement d’adresse. L’imgif étant de faire en sorte que l’internaute soit en permanence maître des informations relatives à sa vie privée, informations qui sont stockées de manière chiffrée sur son disque dur. La crainte d’un Big Brother n’a, dès lors, plus lieu d’être, puisque l’utilisateur fait ce qu’il veut de ses données personnelles : s’il a l’intention de divulguer toutes ses informations, il le peut, mais si cela ne lui convient pas, il ne communique que les informations qu’il désire à qui il veut.
La communication entre le PC de l’utilisateur et le site Web concerné se fait de manière sécurisée en utilisant les standards des services Web XML tels que SOAP, WS-Addressing, WS-MetadataExchange , WS-Policy , WS-Security , WS-SecurityPolicy , WS-Transfer, WS-Trust, XML Signature, XML Encryption.
Infocard tire les leçons du passé, en particulier de l’expérience Passport. Nous avons compris qu’une technologie unique de gestion des identités numériques avec un fournisseur unique de solution ne constituait pas une approche acceptable. Ainsi, pour qu’une solution soit admissible, il faut qu’elle accepte plusieurs technologies d’identité, plusieurs opérateurs et plusieurs implémentations. C’est pour cela qu’Infocard est ce que nous appelons un « métasystème d’identité » qui permet aux utilisateurs de gérer leur(s) identité(s) dans un monde hétérogène ou chacun d’entre eux exerce un contrôle complet sur la façon dont est utilisée son identité sur l’Internet.
Est-ce que cette solution peut être mobile ?
On peut imaginer, pourquoi pas, d’exporter ces informations sur des supports différents, comme une clé USB ou sur la puce d’une carte à puce, et transporter ainsi son identité avec soi.
La seconde annonce porte sur la disponibilité de deux standards clé d’interopérabilité avec Liberty Alliance. Qu’est-ce que cela signifie, concrètement ?
L’un des problèmes classiques auxquels sont confrontés les internautes c’est d’avoir autant de sites sur lesquels ils se connectent que de noms d’utilisateurs et de mots de passe. Il y a deux façons de résoudre ce problème. La première est d’utiliser des concepts comme celui d’Infocard dont nous avons parlé plus haut. La seconde consiste à créer des relations de confiance entre deux sites Web : on parle alors de fédération de sites Web. L’idée, c’est qu’une fois créée cette relation de confiance, il ne soit plus nécessaire de présenter ses identifiants sur un site B après s’être connecté sur un site A. Il existe deux standards essentiels pour résoudre cette problématique. Le premier s’appelle « WS-Federation » et appartient à la catégorie des standards de services Web XML. La seconde famille de standards s’appelle Liberty Alliance et a été promue au départ par Sun comme alternative à Passport. Jusqu’à présent, ces deux standards n’étaient pas interopérables.
Mais depuis nos annonces – effectuées conjointement avec Sun – les choses ont changé. L’interopérabilité entre standards va désormais permettre de manière simple d’établir un dialogue entre l’internaute et le site Web sur lequel il se trouve en découvrant automatiquement le standard utilisé par ce site et en utilisant ensuite ce standard comme langue du dialogue. Ces deux standards appelés Web Single Sign-On Metadata Exchange Protocol (Web SSO MEX) et Web Single Sign-On Interoperability Profile (Web SSO Interop Profile) sont disponibles librement sur le site de Sun :
-
Web Single Sign-On Metadata Exchange Protocol (Web SSO MEX)
-
Web Single Sign-On Interoperability Profile (Web SSO Interop Profile)
-
Web Single Sign-On Metadata Exchange Protocol (Web SSO MEX)
-
Web Single Sign-On Interoperability Profile (Web SSO Interop Profile)
Ces deux annonces reposent, en effet, sur des standards des services Web XML qui apportent deux réponses différentes à un même type de problème. L’imgif recherché est d’éviter d’avoir à faire plusieurs procédures d’identification sur un site Web (on parle généralement de « single sign on »). L’un permet de le faire en utilisant des informations stockées sur le PC de l’utilisateur, l’autre en établissant des relations de confiance entre différents site Web. Ces deux cas de figure qui reposent sur l’utilisation des standards des services Web XML montrent notre volonté délibérée de favoriser l’interopérabilité.
