 |
Un journalisme exigeant demande du temps, des enquêtes approfondies et du travail, invisible et non rémunéré. Si nos articles vous sont utiles, votre abonnement est un vrai soutien. En retour, vous accéderez à des contenus exclusifs et participerez directement à l’indépendance de L’ECLAIREUR.
|
%26stroke%3Dnone%26strokeWidth%3D3.6){kind=small}
| ||
Portefeuille numérique européen: la normalisation du risque systémique
Le portefeuille numérique européen ne répond pas aux exigences de sécurité et de protection de la vie privée posées par le règlement européen qui l'a rendu possible. Bienvenue en Absurdie.
|
| |||||||||||||||
 |
Le cryptographe Jaap-Henk Hoepman, professeur à l'université Radboud aux Pays-Bas, est l'un parmi plusieurs centaines d'experts qui alertent depuis 2022 la Commission européenne sur les failles du portefeuille électronique européen (EUDI Wallet). Son diagnostic est sévère : un système techniquement pas conforme au le règlement qu'il est censé appliquer, dépendant de Google et d'Apple, aveugle à la menace quantique, et porteur d'un risque de surveillance de masse à l'échelle d'un demi-milliard de citoyens.
Prévu pour une distribution par la Commission européenne d'ici fin 2026, le portefeuille d'identité numérique européen — l'EUDI Wallet — est présenté comme une avancée majeure vers la souveraineté numérique du Vieux Continent. La réalité que décrit Jaap-Henk Hoepman est tout autre : un projet précipité, lacunaire sur le plan cryptographique, et dont l'architecture actuelle enfreint certaines exigences du règlement eIDAS 2.0, notamment en matière de protection de la vie privée.
Une réglementation qui se trahit elle-même
Le problème originel est structurel : pour la première fois, un règlement européen a définit en langage juridique un artefact technique. La traduction entre ces deux idiomes — celui du droit et celui de l’ingénierie — s’est révélée défaillante. Principalement parce que les bureaucrates qui ont rédigé le règlement et qui sont en charge de sa mise en oeuvre n’entendent rien à la technique. Rajoutons les déclarations tonitruantes des dirigeants politiques, et le piège se referme.
Les spécifications techniques du portefeuille électronique ont été développées quasi en vase clos, avec une consultation insuffisante des (vrais) experts techniques, de la communauté universitaire et des ONG. Le Parlement européen lui-même n’a eu que peu de prise sur les choix d’architecture.
Le nœud du problème porte sur la traçabilité des utilisateurs. Dans la version initiale du projet, chaque identification laissait une empreinte cryptographique unique à chaque utilisateur — un identifiant stable qui permettait, en croisant les données des différents vérificateurs, de reconstituer les activités numériques d’un individu. Un mécanisme de surveillance de masse by design - à dessein - , en violation directe du eAIDS 2.0 et la jurisprudence de la Cour de justice de l’Union européenne.
La bataille des preuves à divulgation nulle
Face aux alertes répétées de la communauté cryptographique — dont Jaap-Henk Hoepman fait partie —, la Commission a tenté d’esquisser une parade : plutôt qu’un seul identifiant, délivrer à chaque utilisateur un carnet d’identifiants à usage unique, rechargeable. L’idée : présenter chaque fois un coupon différent pour brouiller les pistes. Insuffisant, juge Hoepman : l’émetteur de ces identifiants, une autorité publique, en connaît la totalité, ce qui maintient la possibilité de surveillance centralisée et généralisée.
Une solution robuste et éprouvée existe pourtant depuis 2004 : les signatures BBS+, fondées sur les preuves à divulgation nulle de connaissance (zero-knowledge proofs¹). Elles permettent de prouver qu’on possède un attribut — « j’ai plus de 18 ans » — sans jamais révéler l’information elle-même (sa date de naissance) ni aucun identifiant ni empreinte cryptographique traçable dans les métadonnées.
Mais ce protocole de signatures ne figure pas encore sur la liste des standards cryptographiques certifiés. Les institutions sont conservatives par nature : elles n’utilisent que ce qui est officiellement homologué. Orange, entreprise européenne, a par exemple développé un prototype de mise en œuvre BBS+ pour l’EUDI — la Commission européenne n’a pas daigné l’examiner.
La souveraineté numérique, sacrifiée à Google et Apple
L’ironie est cruelle : l’un des moteurs du projet EUDI était précisément d’éviter que des géants privés américains — Apple et Google, qui émettent déjà des permis de conduire numériques aux États-Unis — ne s’emparent du marché de l’identité numérique en Europe.
Or l’architecture actuelle impose, dans des pays comme l’Allemagne et les Pays-Bas, que l’application du EUDI soit installée exclusivement via le Google Play Store ou l’Apple Store et ne fonctionne que sur des terminaux (téléphones, tablettes) Android ou iOS officiels, c’est à dire certifiés par Google et Apple. Impossible, donc, de l’utiliser sur un smartphone tournant sous GrapheneOS, CalyxOS ou /e/OS — ces versions libres d’Android qui préservent précisément la vie privée. La dépendance à la certification matérielle imposée par Google et Apple renforce la vassalité que le projet prétendait abolir.
La faille quantique
EUDI Wallet n'intègre pas de sécurité post-quantique, alors que le NIST Américain a publié les premiers algorithmes résistants aux attaques par des ordinateurs quantiques dès 2024 et que la majorité des acteurs mondiaux ont entamé leur migration. Hoepman relativise néanmoins l'urgence immédiate : pour les signatures (par opposition au chiffrement), les clés sont renouvelées tous les cinq à dix ans — trop tôt pour qu'un ordinateur quantique suffisamment puissant ne puisse les compromettre. La migration vers une sécurité post-quantique reste possible, mais elle suppose une volonté politique d'anticipation qui fait aujourd'hui défaut.
Le risque silencieux : la dérive des usages
Même dans l’hypothèse optimiste d’un système entièrement sécurisé et respectueux de la vie privée conforme au règlement eIDAS 2.0 , subsiste ce que Hoepman nomme le function creep — la dérive fonctionnelle.
Une infrastructure d’identité aussi large et englobante que l’EUDI deviendra naturellement le passage obligé pour tout et n’importe quoi. La vérification d’âge pour les plateformes numériques, déjà dans les tuyaux législatifs, n’en est que le premier exemple. Viendront ensuite la stituation familiale, la situation financière, et tout attribut qu’il est techniquement possible d’attester. Le portefeuille centralisera des documents essentiels dont la dispersion constituait jusqu’ici une protection contre les abus.
Plus subtilement, la généralisation de ces preuves officiellement certifiées mettra fin aux petits arrangements que chacun pratique avec la vérité afin de protéger sa privée. On invente une fausse date de naissance, un faux numéro de téléphone pour s’inscrire à un service qui n’en pas besoin de ces informations.
Demain, ce même service pourra exiger une preuve certifiée, et tous les service agrées pourront exiger ce qu’il veulent, pas seulement ce dont ils ont besoin.
Un déploiement inévitable, une adoption par défaut
À la question de l’adoption du EUDI, Hoepman ne laisse guère d’illusions. Le portefeuille remplacera les systèmes d’identité numérique nationaux déjà en place — DigiD aux Pays-Bas, par exemple, utilisé pour les démarches fiscales. L’usage sera de fait contraint, comme l’est aujourd’hui la possession d’un compte bancaire : théoriquement facultatif, pratiquement incontournable. Les résistants technophiles pourront toujours se tourner vers les VPN ou les systèmes alternatifs — mais ils resteront une infime minorité.
Jaap-Henk Hoepman ne prône pas l’abandon du projet. Il plaide pour son ralentissement raisonné, pour l’adoption obligatoire — et non optionnelle — des preuves zero-knowledge, pour une indépendance réelle vis-à-vis des écosystèmes propriétaires des Gafam, et pour un registre strict des données que chaque vérificateur est autorisé à demander. Des garde-fous qui auraient du être intégrés dès le départ. Dont l’absence transforme un prétendu outil de souveraineté en instrument potentiel de contrôle.
L’heure tourne. Le déploiement est annoncé pour fin 2026. Et comme le note sobrement Japp-Henk Hoepman en conclusion : « Il n’y a aucun plan de contingence. Mais c’est la même chose avec les paiements numériques. » Une normalisation du risque systémique qui, en matière d’identité numérique et de souveraineté et de sécurité numérique, devrait au moins mériter un débat démocratique digne de ce nom.
Une zero-knowledge proof (ZKP) permet à une personne (le prouveur) de démontrer à une autre personne (le vérificateur) qu’elle possède une information secrète (nom, âge, numéro de sécurité sociale etc.) sans révéler cette information elle-même. En d’autres termes : on prouve qu’on possède une information sans la révéler. On prouve qu’on a plus de 18 ans sans révéler sa date de naissance.
Vous êtes abonné gratuit à L'Eclaireur. Pour accéder à l’ensemble de nos contenus, merci de souscrire à la formule d’abonnement payant de votre choix.
| ||||||||||
© 2026 L'Eclaireur - Alpes
Directrice de la publication : Patricia Cerinsek
Aucun commentaire:
Enregistrer un commentaire