A la vue de l’augmentation continue des fraudes et incidents de paiement en ligne ou encore des violations d’accès à nos espaces bancaires théoriquement sécurisés, Barclays finalise le développement et la stratégie de déploiement de son dispositif de contrôle d’accès logique biométrique.

En effet, Barclays a mis au point une passerelle avec ses services en ligne permettant l’authentification de leurs clients via un lecteur biométrique analysant le réseau veineux du doigt. Une technologie très intéressante pour ce type d’accès puisque l’analyse ne peut se faire qu’à partir d’un corps humain vivant.

Qu’en est-il  des organes de contrôle tels que la CNIL à ce sujet. Barclays a bien pris en compte les objections que ces organismes pouvaient lui apporter. En effet aucune donnée biométrique ne sera transmises sur les réseaux (internet, etc…),  ces données seront stockées initialement dans les lecteurs grâce à une puce sécurisée.

Des questions restent cependant en suspens :

Quand et comment l’enrôlement du client va-t-il avoir lieu ?

Quels vont être le/les canaux de distribution, d’installation, le suivi et l’assistance des clients ?

De nombreuses inconnues demeurent encore quant avant la mise en service de cette authentification biométrique par les clients de la banque d’autant plus que la tendance est actuellement à l’utilisation des mobiles et divers tablettes pour se connecter à notre banque, effectuer des opérations et même réaliser nos achats sur internet.

Espérons que Barclays ai anticipé ce phénomène afin que leur projet ne finisse pas mort né.

Lecteur biométrique Barclays

 

Bien que la biométrie soit effectivement un atout majeur, nous ne pouvons nous permettre de laisser s’installer le « cryptage biométrique », qui signifie que nous cédons peu à peu des parties de notre vie privée.

Le FBI a récemment révisé la base nationale américaine de données ADN, et s’est aperçu qu’elle contenait des erreurs.

Même si ces erreurs ne représentent qu’une infime fraction des 13 millions de profils enregistrés, elles n’en sont pas moins significatives puisqu’elles viennent semer le doute dans la fiabilité des preuves ADN apportées notamment en court de justice lorsqu’il s’agit de relier des individus à des crimes.

Ces éléments donnent à réfléchir à ceux qui pensent que l’identification biométrique – la connexion des données morphologiques à l’identité-, que ce soit en Amérique ou en Australie, doit être l’unique réponse aux différentes questions de sécurité auxquelles sont confrontées les sociétés numériques actuelles.

En tant que qu’ancien policier et responsable informatique, j’ai pu observer à quel point on peu succomber à la tentation de rechercher, puis de compter sur une seule méthode pour résoudre un problème de sécurité complexe.

Il est facile de comprendre pourquoi la biométrie est si attrayante. En surface, elle offre la possibilité de confronter le problème d’accès basée sur l’identité une fois pour toute, qu’il s’agisse de déterminer l’accès d’un individu à un réseau informatique, un distributeur automatique ou à un pays à travers ses frontières.

Cependant, bien que l’outil biométrique soit un atout certain et fasse parti de l’avenir des solutions de sécurité, nous ne pouvons pas nous permettre le « cryptage biométrique » une situation dans laquelle nous cédons peu à peu des parties de notre vie privée.

Il est temps à présent d’en débattre pour déterminer à quoi ressemblerait un avenir biométrique acceptable. Ce n’est pas alarmant. Il est concevable que des outils puissants, simples d’utilisation et supportés par une informatique sans précédent, stockage et hyper connectivité, puissent devenir si aléatoirement et « invisiblement » déployés aussi longtemps qu’on puisse vivre dans une société dans laquelle la plupart de nos mouvements et attitudes sont autorisées, ou interdis par notre identité.

La biométrie n’est pas une nouveauté. Les peintres des cavernes identifiaient leurs œuvres avec l’empreinte de leur main.

Les marchands babyloniens utilisaient l’empreinte de leurs pouces pour confirmer leurs transactions. La photo du permis de conduire, c’est de la biométrie. De même pour la signature sur un morceau de papier. Il y a longtemps eu un avantage à connecter les caractéristiques biologiques à l’identification des individus. Les gens peuvent mentir, mais leurs corps diront toujours la vérité.

Ce qui est nouveau, cependant, c’est la facilité et l’ampleur des dispositifs biométriques d’aujourd’hui.  On va déjà bien plus loin que la fiction. Le scan de l’iris qui apparaissait tellement futuriste dans les films tels que Minority Report est aujourd’hui presque dépassé alors que de nouvelles technologies biométriques émergent sans cesse.

A New York, par exemple, les développeurs ont adopté des solutions qui sont volontairement conçues pour ne pas être visibles par les personnes identifiées. Ces technologies n’utilisent pas seulement le visage d’une personne mais prennent en compte également d’autres paramètres tels que sa carrure, sa démarche et sa voix afin d’autoriser l’accès à un building. L’accès sera refusé à un inconnu dont les caractéristiques ne sont pas dans la base de données.
Les journalistes tendent à se focaliser sur le fait que la biométrie facilite la vie, mais ces dispositifs biométriques « discrets » supprime la permission individuelle de l’équation biométrique. En d’autres termes, les process d’identification qui seraient rejetés aujourd’hui pourraient devenir les règles de demain.

Combien de personnes accepteraient de présenter un permis de conduire pour récupérer leurs vêtements à la laverie ou pour commander au fast food ou encore pour répondre à l’appel en salle de classe ?

Pourtant, toutes ces activités pourraient avoir recours à la biométrie. En ce qui concerne les écoles, la biométrie a déjà été implémentée. Qui détiendrait toutes ces données biométriques ? Quelles règles seraient appliquées à leur destruction et leur utilisation ? Il est facile d’oublier ce pourquoi les bases de données centralisées sont utilisées lorsqu’elles sont entre de mauvaises mains. Mais l’histoire témoigne des abus en matière de collecte de données sur les citoyens. En tant que société, nous devons sans cesse prouver que nous ne créons pas de nouveaux mécanismes qu’un gouvernement ou toute autre entité commerciale impitoyable pourrait utiliser a des fins de discrimination ou d’oppression sur un individu en fonction de sa race, son sexe, sa religion, son obésité ou toute autre critère…

Lorsque j’étais policier, j’avais besoin de mandats pour obtenir des informations détenues par diverses organisations et autorités afin de monter mes dossiers.

Même pour obtenir des rapports des services du gouvernement, on n’avait pas carte blanche lorsqu’il s’agissait d’information sur des citoyens privés. Je ne pouvais pas simplement accéder à ce que je voulais sur un individu.

Même si cela rendait mon travail difficile, cela me rassurait car ces mesures témoignaient d’une société saine et sûre pour tous. Alors dans quelle mesure la biométrie du futur serait-elle acceptable ?

La biométrie utilisée avec d’autres formes d’identification constituerait une partie de la réponse. Cela permettrait non seulement d’empêcher les abus et d’assurer que la biométrie reste une partie consciente de la problématique de sécurité, mais également de prévenir des défauts éventuels dans la technologie biométrique elle-même.

Les approches déjà « banales » telles qu’une sécurité à deux ou trois facteurs (c’est-à-dire quelque chose que seul l’utilisateur connait, que seul l’utilisateur possède, que seul l’utilisateur est, dans laquelle chaque facteur doit être validé avant authentification,  pourrait aider à définir le modèle. Un lecteur de la géométrie de la main, avec lequel un code PIN est requis en est un exemple. Ce qui est important, c’est d’avoir un cadre qui va définir ce que peut faire une technologie et ce qu’elle doit faire.

Etant donné les différentes menaces de cybersécurité auxquelles sont aujourd’hui confrontés les gouvernements, les organisations et les individus, et la santé à long terme de notre économie numérique et notre société, un tel débat est plus que jamais urgent. Il est nécessaire de définir ce que nous voulons vraiment faire avec la biométrie.

 

Neil Campbell est un ancien agent de police fédérale Australien spécialisé dans le cybercrime, et actuellement directeur des solutions à Dimension Data.