\include{parameters}
\usetheme{AFNIC}
\usepackage[french]{babel}
\usepackage[latin1]{inputenc}
\usepackage{bortzmeyer-utils}

\title{Qu'est-ce qu'un service d'identité}
\author{Stéphane Bortzmeyer\\AFNIC\\\texttt{bortzmeyer@nic.fr}}
\date{13 janvier 2009}

%\setlength{\parskip}{1ex plus 0.5ex minus 0.2ex} 
% \setlength{\parskip}{15pt} 
\setlength{\parskip}{15pt plus 10pt minus 10pt} 

\begin{document}

\maketitle

\begin{frame}
  \titlepage
\end{frame}

\begin{frame}
  \frametitle{L'identité fait du bruit}
  \begin{enumerate}
  \item  Comment je fais pour me souvenir de tous
mes mots de passe ?
  \item Amazon.com peut-il corréler mes achats
de DVD en ligne avec mes déplacements en métro faits avec une carte
Navigo ?
  \item Quels sont les avantages et les inconvénients
de commenter sur un blog avec un pseudonyme et pas avec mon nom de
l'état civil ? 
  \item \ldots
  \end{enumerate}
\end{frame}

\begin{frame}
\frametitle{Dans les bibliothèques}
\begin{enumerate}
\item Contrôle d'accès physique,
\item Contrôle d'accès à des applications Web (documents en diffusion
  restreinte, par exemple),
\item Accès à des applications distantes,
\item Et aussi l'identité des objets, de leur ISBN à la puce RFID.
\end{enumerate}
\end{frame}

\begin{frame}
\frametitle{Service d'identité et identité}
L'\emph{identité} est une notion trop philosophique pour cet exposé
:-)

\only<2->{Un \emph{service d'identité} est une notion pratique et donc
plus apte à être étudiée.}

\only<3->{Conséquence : on ne cherche pas à définir la \emph{vraie}
identité ou bien l'identité officielle. L'identité devient plurielle.}
\end{frame}

\begin{frame}
\frametitle{Proposition de définition}  
Un service d'identité, c'est :
\begin{enumerate}
\item Attribuer un identificateur (ce qui implique en général un registre, pour que l'identificateur soit unique),
\item Authentifier l'utilisateur ou la ressource qui prétend être désigné par cet identificateur,
\item Servir des données sur cet utilisateur ou cette ressource (son nom, son âge, son pays, sa langue),
\item Servir des données externes, à partir d'autres sources,
\item Servir des autorisations sur ce que l'utilisateur a
le droit de faire ou pas.
\end{enumerate}
\end{frame}

\begin{frame}
  \frametitle{1) Identificateurs, exemples}
  \begin{itemize}
  \item \url{160109940400823}, 
  \item Jeanne Durand, née à Chapelle-des-Bois le 1\superscript{er} février 1953,
  \item \url{http://www.bortzmeyer.org/} (avec OpenID, c'est un
    identificateur d'une personne),
  \item \url{bortzmeyer@gmail.com} (avec Jabber/XMPP, c'est un
    identificateur)
  \item \url{http://fr.wikipedia.org/Wiki/Simone_de_Beauvoir}
    (identificateur d'une ressource, ici un article biographique)
   \item \url{978-0-19-507993-7}
  \end{itemize}
\end{frame}

\begin{frame}
\frametitle{Qui attribue les identificateurs ?}

 Un ou plusieurs registres, aux
pratiques parfois contestables (DOI\ldots).

Qui dit identité dit souvent \emph{fournisseur d'identité} (l'État,
Google, Microsoft, Verisign ou les autres Autorités de Certification
X.509, \ldots). 
\end{frame}

\begin{frame}
\frametitle{Confiance dans les fournisseurs ?}
Avez-vous déjà vérifié la liste des Autorités de Certification que
Microsoft ou Mozilla ont installé d'autorité dans votre navigateur ?

\only<2->{Vous faites confiance à l'Association des Notaires
Argentins ?}

\only<3->{Ou bien au gouvernement de Taïwan ?}

\only<4->{Ou bien à RapidSSL qui, en décembre 2008, utilisait encore
MD5, technique cassée depuis des années ?}
\end{frame}

\begin{frame}
\frametitle{Qu'est-ce que fait un fournisseur d'identité ?}
Prenons l'exemple de la vie quotidienne d'une Autorité de Certification (CA) X.509.
\begin{enumerate}
\item Stocker ses clés en un endroit très sûr,
\item Avoir des procédures pour changer les clés de temps en temps (et
pour les grosses tuiles),
\item Vérifier les identités, selon des critères qui dépendent de la
CA,
\item Signer les demandes de certificat.
\end{enumerate}
\end{frame}

\begin{frame}
\frametitle{2) Authentifier}
« Sur Internet, on ne voit pas du premier coup d'\oe{}il que vous êtes
un chien. »

\begin{itemize}
\item Document d'identité officiel, comme
la Carte Nationale d'Identité. Pas pratique sur l'Internet.
\item Avec OpenID, l'authentification est
sous-traitée à un système tiers, nommé l'OP (OpenID Provider).
\item Signatures cryptographiques comme PGP ou X.509.
\end{itemize}
\only<2->{\emph{Attention}, authentification n'est pas autorisation.}
\end{frame}

\begin{frame}
\frametitle{3) Servir des données}  
Un service d'identité permet souvent d'accéder à des données sur
l'utilisateur, et parfois des données sensibles.

Exemple : si vous avez un nom de domaine comme \url{bortzmeyer.org}, le
service \emph{whois} du registre (l'organisme qui gère la base) donne parfois des informations
bien indiscrètes au public.

Certains registres permettent de restreindre la diffusion des données
(mais lisez bien les petites lettres du contrat). C'est le cas avec \url{bortzmeyer.fr}.

\end{frame}

\begin{frame}
\frametitle{4) Accéder à des données externes}  
Avec un identificateur bien choisi, on peut facilement faire des \emph{jointures}
entre services d'identité différents et croiser des fichiers.

\only<2->{Sans un bon identificateur, cela reste possible, avec
diverses heuristiques. Par exemple, il est souvent possible de mettre
un nom sur les entrées d'un fichier pseudonymisé. \url{http://www.wired.com/politics/security/commentary/securitymatters/2007/12/securitymatters_1213}}
\end{frame}

\begin{frame}
\frametitle{5) Servir des autorisations}  
Les autorisations sont une forme particulière de données.

Exemple de différence entre authentification et autorisation : la
lutte contre le spam. Si mon adresse \url{stephane@bortzmeyer.fr} est
authentifiée, suis-je pour autant autorisé à transmettre du courrier
proposant du Viagra ?

\only<2->{Les délinquants, eux aussi, ont des papiers
d'identité. Authentifier n'est pas suffisant. Il faut aussi des
systèmes d'\emph{accréditation} ou de \emph{réputation}.}
\end{frame}

\begin{frame}
\frametitle{Un peu de technique}
\begin{itemize}
\item Cryptographie\only<1>{ : par des opérations mathématiques, on peut
prouver que tel message a été signé par le possesseur d'une \emph{clé}
numérique. À la base de techniques comme TLS, X.509, PGP, \ldots.}
\item X.509\only<2>{ : norme de certificats cryptographiques. C'est ce
qu'utilise votre navigateur Web pour afficher le petit cadenas.}
\item TLS (ex-SSL)\only<2>{ : le protocole d'échange de données chiffrées entre
votre navigateur et le site Web.}
\item OpenID\only<3>{ : une des propositions pour un identificateur multi-sites
sur le Web. La vérification est sous-traitée à un fournisseur
d'identité (OP pour \foreign{OpenID provider}).}
\item Carte d'Identité Électronique\only<4>{ : carte munie d'un processeur
stockant la clé privée et permettant la signature et donc
l'authentification.}
\item Shibboleth\only<5>{  : mécanisme d'identité utilisé notamment par la
Fédération d'identité gérée par le Comite Réseau des
Universités. Cela permet à un employé d'une université
d'accéder aux ressources privées d'une autre, sans avoir de compte sur
cette dernière.}
\end{itemize}
\end{frame}


\begin{frame}
\frametitle{La sécurité est un processus, pas un produit}
\begin{block}
{Les problèmes de sécurité ne sont pas prioritairement techniques}
{Dans tous les cas, la technique ne résout pas tout : il existe
toujours des failles (« ce système est parfaitement sûr ») et la
technique peut être tellement complexe qu'elle est sous-utilisée (cas
de la cryptographie).}
\end{block}
\end{frame}


\begin{frame}
  \frametitle{Questions philosophiques}
Ai-je une identité ou plusieurs ?

\begin{block}{Je considère que
l'identité n'est pas intrinsèque à une entité. Une personne physique,
par exemple, a d'autres identités que celle que l'État lui
attribue.}
{Il est important que l'identité soit maîtrisée par l'utilisateur, pas
par un tiers, même lorsque ce dernier affirme que « toutes les
précautions ont été prises.}
\end{block}

\end{frame}

\begin{frame}
\frametitle{Anonymat et pseudonymat}

« Anonyme » devrait n'être utilisé que lorsqu'il n'y a pas
d'identificateur du tout. C'est rare sur Internet !
(\foreign{Cookies}, adresses IP, \ldots).

« Pseudonyme » laisse entendre qu'il existe des identificateurs moins
bons que d'autres.

Il vaut mieux se méfier de ces termes et parler d'identités multiples.
\end{frame}

\begin{frame}
\frametitle{Questions politiques et juridiques}
Des lois comme la loi Informatique \& Libertés posent des
principes politiques comme le fait que certains droits liés à
l'identité sont inaliénables.

Et le droit à l'« anonymat » ? 

Et à la multiplicité des identités ?

Ne devraient-ils pas faire partie des droits de base de l'utilisateur des NTIC ?

\end{frame}

\end{document}