4 comments

• 

  Katchina

  4 years ago

  En tant qu'informaticien je partage les inquiétudes sous-jacentes à ce post. Je pense tout de même qu'il est bon de s'intéresser à cette technologie et de l'adopter avec prudence, afin d'en connaitre "first hand" les forces et faiblesses, et donc les limites.
  
  Pour ceux que ça intéresse, la rumeur voudrait que le lecteur personnel de carte banquaire "C-ZAM" USB (~50 EUR) voie prochainement la sortie d'un update du firmware pour supporter l'eID. A confirmer en passant par la case Google.
  
  Quelques infos sur l'eID, et surtout des liens, se trouvent sur ma page consacrée au sujet et dont je posterais bien l'adresse si elle ne provoquait l'activation du filtre anti-spam !
  
  Je signale quand même pour être complet que notre ami Bill a reçu une fausse carte sans certificats ni autres fonctions électroniques... Et qu'il était loin d'être le premier, (ma carte date du 14 décembre 2004) ;-)
  reply
• 

  Katchina

  4 years ago

  Ma page c'est dont www POINT info POINT fundp POINT ac POINT be SLASH ~jbuyle
  Sorry for the mess ;-)
  reply
• 

  Promethee

  4 years ago

  Je ne partage pas ton enthousiasme sur la question des liens étroits entre la firme de Redmond et les données du registre national. Si je comprends que la logique sous jacente soit utile dans les liens entre les citoyens et les administrations (l'Etat et ses administrés, liens numériques ou non), je ne vois pas pourquoi une firme privée, voire plus, viendrait à utiliser des données confidentielles pour faire tourner ses activités, fusse l'une ou l'autre bonne idée derrière cela comme la lutte contre la pédophilie sur les forums de chat. Et si je n'ai pas envie de communiquer mes données personnelles à tout crin, je ne puis accéder à Windows de demain ? Si mes droits me permettent de ne donner mon identité qu'aux agents assermentés de l'Etat, pourquoi devrais-je battre en brèche pour Microsoft ou une autre firme ? Tout cela parce qu'un secrétaire d'Etat croit que Microsoft est "THE" boîte ? Je suis sur Mac déjà....mais bon, c'est un autre débat...
  reply
• 

  Katchina

  4 years ago

  Je ne suis certainement pas très enthousiaste à l'idée d'un lien étroit entre l'eID et Microsoft. Je ne pense pas d'ailleurs avoir manifesté un enthousiasme à ce sujet.
  
  Voici quelques éléments de débat...
  
  Le middleware fourni par le Fedict est basé sur un projet open source (OpenSC). les changements apportés par le Fedict sont re-distribué sous licence GPL et (en train d'être) intégrés au projet d'origine. Ce middleware est disponible sous forme de code source pour OS X, Linux et Windows, et sans doute adaptable à d'autres plateformes. Donc derrière la façade "regardez, on fait copain-copain avec Microsoft" il y a quand même une certaine volonté de "faire bien".
  
  Le contenu "de base" de l'eID est contenu sur la puce en "clair". Donc tout lecteur où on insérera sa carte sera susceptible de garder une copie de votre nom, prénom, adresse, date de naissance, photo, etc. Ca me dérange un peu, mais d'un autre côté c'est très similaire à la pratique fort répandue de photocopier la carte d'identité lors d'une location, d'une commande, etc... ce qui semble choquer peu de Belges.
  
  Les données contenues sont également signées par une autorité (i.e. signature électronique) ce qui garanti leur authenticité. C'est typiquement le genre de fonction dont on parle avec un logiciel de chat :
  
  age_utilisateur = (date_du_jour - date_de_naissance)
  si (age > 18 ans) alors (interdire accès à la chatroom pour mineurs)
  si (age < 18 ans) alors (interdire accès à la chatroom pour majeurs)
  
  Bref, ceci est assez facile à violer en empruntant la carte d'un copain, ou simplement en passant par des systèmes de chat sans contrôle de l'âge.
  
  L'élément suivant est l'authentification du propriétaire de la carte au moyen d'une signature électronique. La signature est entièrement gérée dans la carte. La carte n'accepte de créer cette signature que lors de la présentation d'un code PIN.
  
  Il est en théorie impossible de créer une fausse signature sans disposer de la clé contenue dans la carte (et inexctractible). J'ai personellement une bonne confiance dans les algorithmes utilisés. Je connais mal les mécanismes physiques de protection de la clé dans la carte, mais j'ose espérer que c'est assez sérieux.
  
  Je doute beaucoup plus de l'implantation qui sera faite de ce système et de la capacité de l'utilisateur moyen à vérifier ce qu'on lui fait faire.
  
  Scénario : Je suis un commerçant qui vend des chaises de bureau sur mesure. Monsieur Jean insère sa carte dans mon lecteur afin de signer électroniquement le bon de commande de sa chaise. Le lecteur lui demande son PIN afin de signer le bon de commande électronique. Comment M. Jean peut-il savoir que le lecteur ne demande pas en réalité la signature d'un tout autre document (par exemple une reconnaissance de dette ;-) ) ? C'est d'autant plus inquiétant que le PIN employé pour la signature d'authentification et pour la signature de non-répudiation sont un seul et même PIN.
  reply