Discussion de l'ENISA sur la politique cybernétique : L'utilisateur d'abord

De nombreuses discussions sur les défis techniques et l'importance de convenir d'une norme appropriée ont été abordées la semaine dernière lors du Forum de l'ENISA sur les services fiduciaires à Berlin. Andrew Bud, PDG d'iProov, a présenté la nature évolutive de l'environnement des menaces et l'importance d'une approche centrée sur l'utilisateur pour construire un portefeuille numérique qui soit non seulement accessible et facile à utiliser, mais aussi sûr.

Portefeuille numérique de l'UE 

L'Europe et l'économie européenne ont beaucoup à gagner si le secteur de l'identité numérique, les groupes de consommateurs et les décideurs politiques parviennent à collaborer pour créer, déployer et adopter des plates-formes plus pratiques permettant d'effectuer des transactions numériques sûres et fiables. Un portefeuille numérique a de nombreuses utilisations potentielles et pourrait être un moyen d'effectuer des paiements sécurisés, de faciliter le processus de remplacement des documents officiels, tels que le permis de conduire, et d'accélérer le passage des contrôles aux frontières dans les aéroports et les ports. En voici un exemple, McKinsey estime que les utilisateurs des services publics pourraient économiser jusqu'à 110 milliards d'heures en rationalisant les services publics en ligne de manière sécurisée.

L'UE est à l'avant-garde du monde avec un cadre législatif ambitieux pour un système de portefeuilles numériques européens. Nous sommes ravis de participer au projet NOBID qui vise à obtenir un financement de la Commission européenne pour un projet pilote de portefeuille numérique. La proposition NOBID est bien soutenue, avec des partenaires professionnels expérimentés et un cas d'utilisation attrayant (services de paiement). Cependant, notre rapport de recherche récemment publié sur le portefeuille numérique de l'UE souligne l'importance des obstacles à l'adoption du projet. L'inscription à grande échelle, l'adoption par les organisations et la preuve d'une utilisation continue sont essentielles si l'on veut que les avantages se concrétisent.

L'importance du prix, avec un marché potentiel de 447 millions d'utilisateurs, attirera également les attaquants criminels. 

La menace et le rôle de la biométrie faciale

Pour être acceptable, l'inscription doit être protégée contre toute la gamme des attaques d'usurpation d'identité, de présentation et d'injection numérique. attaques par injection numériqueL'enrôlement doit être compatible avec les types de modèles que nous avons observés grâce à notre capacité unique en matière d iSOC. Les organisations doivent être certaines que l'utilisateur est bien celui qu'il prétend être et qu'il a le droit d'accéder aux informations contenues dans le portefeuille, que l'utilisateur est une personne réelle et qu'il s'authentifie en temps réel.

Les criminels à l'origine des attaques disposent de ressources importantes, sont très compétents et opèrent de manière stratégique lorsqu'ils ont identifié une cible très prisée. Notre propre expérience est conforme aux conseils que nous avons reçus d'une agence de sécurité européenne qui nous a conseillé sur la stratégie de test et d'apprentissage des attaquants criminels, qui attaquent une cible, tirent des leçons de l'expérience et adaptent ensuite leur technique avant d'attaquer leur prochaine cible. 

La fourniture de "deepfakes" sophistiqués constitue également une opportunité commerciale intéressante pour les personnes dotées de capacités d'intelligence artificielle. Europol a récemment fait état de la croissance des deepfakes en tant que service, un acteur menaçant proposant 16 000 dollars pour un deepfake supposé être utilisé à des fins illégales ou préjudiciables. Nous assistons ici à l'évolution de la criminalité en tant que service.

Maintenir la confiance des utilisateurs et l'accessibilité

La manière dont nous nous attaquons aux menaces biométriques est importante si nous voulons conserver la confiance des utilisateurs dans les portefeuilles numériques, et la communauté de la cyberpolitique a un rôle essentiel à jouer pour s'assurer que notre approche est non seulement techniquement robuste et agile, mais aussi qu'elle suit des principes de conception centrés sur l'utilisateur. 

Il est essentiel que nous utilisions l'intelligence des méthodes d'attaque dont nous disposons et notre compréhension des utilisateurs pour veiller à ce que le cadre politique de sécurité en cours d'élaboration, qu'il s'agisse de la loi sur l'IA, de la loi sur la cyber-résilience ou du NIS2, s'articule autour des besoins, des vulnérabilités et des capacités des utilisateurs. Une approche fondée sur l'hypothèse que l'éducation des utilisateurs permettra de combler les lacunes en matière de capacités est vouée à l'échec.  

Chez iProov, nous défendons le principe d'une approche de la conception de solutions centrée sur l'utilisateur, inspirée par les travaux du professeur Angela Strasse dans ce domaine. Les services de vérification et d'authentification de l'identité doivent être construits autour de quelques principes simples, mais essentiels, centrés sur l'utilisateur. La conformité aux WCAG 2.1 AA devrait être une exigence minimale. Personne ne doit être exclu, que ce soit en raison d'un handicap ou parce qu'il n'a pas le dernier smartphone ou la dernière tablette. Les utilisateurs ne doivent pas avoir à subir les inconvénients d'une réinscription chaque fois qu'ils changent ou remplacent leurs appareils.

Nous devons reconnaître que les appareils sont un point faible dans la chaîne de vulnérabilité et éviter de compter sur eux pour la sécurité. De nombreux smartphones utilisés quotidiennement ne sont plus pris en charge et leurs utilisateurs n'installent pas nécessairement les derniers correctifs de sécurité disponibles.  

Quels sont les objectifs de la politique ?

• Inclusion par le choix de l'utilisateur : Pas d'imposition ou d'exigence de matériel ou de capteurs spéciaux. Possibilité de s'authentifier en toute sécurité sur n'importe quel appareil doté d'une caméra orientée vers l'utilisateur.
• L'inclusion par l'accessibilité : L'agnosticisme des appareils et des plateformes pour inclure tous les utilisateurs ; unesurveillance solide des performances et des préjugés ; une livraison basée sur l'informatique dématérialisée.
• Des voies de choix robustes : Les options d'inscription non biométriques doivent être tout aussi sûres... même si la commodité est sacrifiée.
• Atténuation des risques liés aux appareils : La sécurité ne dépend pas des appareils des utilisateurs. Atténuer les risques liés aux appareils synthétiques ou compromis.
• Récupération de l'identité : Les utilisateurs ne doivent pas être obligés de se réinscrire lorsque les appareils sont changés ou remplacés.
• Intégrité de la vérification : Utiliser un traitement inaccessible pour empêcher les attaquants de procéder à une rétro-ingénierie. Atténuer la menace des attaques adverses.
• Décharger les utilisateurs du poids de la responsabilité : La mise en œuvre de nouveaux algorithmes de détection ne doit pas dépendre de l'utilisateur ni l'obliger à mettre à jour son appareil personnel.
• Une réponse agile : Des renseignements continus sur les menaces pour faire évoluer les défenses.

En tant qu'opérateurs, nous devons accepter un devoir de diligence à l'égard des utilisateurs et assumer la responsabilité de leur sécurité dans la mesure du possible.