Not only would removing anonymity fail to consistently improve online community behavior – forcing real names in online communities could also increase discrimination and worsen harassment.
Catégorie : Identité numérique
-
[Lecture] The Real Name Fallacy
-
Citation et opacité
Version courte : Je vous remercie de ne pas mettre mon nom complet si je me présente avec un pseudonyme ou un nom de famille tronqué dans le document cité, si je ne suis pas un intervenant officiel à un événement, ou sur des photographies sans mon accord. En cas de doute la bonne pratique est de tronquer mon nom de famille à l’initiale.
Gardez le pseudonyme ou le nom que j’utilise sur la ressource que vous référencez, ou à défaut ne gardez que mon prénom accompagnée si nécessaire de l’initiale du nom. J’y tiens même si j’y fournis moi-même un lien vers une page avec mon nom complet. Vos lecteurs pourront eux-même suivre les liens nécessaires s’ils cherchent à en savoir plus sur mon état civil.
Vous pouvez toutefois faire un lien vers la page de l’écrit que vous citez, vers la page adéquate de l’organisation ou de l’événement auquel vous faites référence, ou à défaut, si vraiment rien d’autre n’est pertinent, vers la page de mon profil en ligne. Un tel lien est même encouragé afin de donner le contexte nécessaire.
Je vous remercie de prendre contact avec moi si vous pensez que votre contexte nécessite absolument de publier un état civil complet. (suite…)
-
Données personnelles de twitter
En marge de ma volonté d’effacer mes tweets après 48h, j’en ai profité pour faire une demande formelle que me permet la loi : obtenir l’intégralité des informations personnelles qu’ils connaissent sur moi.
Pour ceux qui veulent s’y essayer aussi il y a une procédure assez claire. Il suffit globalement de recopier les courriers pré-rédigés et suivre les étapes. Bon, j’ai dit claire mais pas simple. On voit bien la volonté de ne pas proposer quelque chose de simple : mail, fax (??), copie de carte d’identité (pourquoi ? ils ne la connaissent pas de toutes façons), reconfirmation par mail.
Toujours est-il que j’ai passé les étapes, voilà ce que j’ai reçu après 9 jours accompagné d’un zip de 2,6 Mo :
We're responding to your request for information about your Twitter account @edasfr. We've attached the following files: - USERNAME-user.txt: Basic information about your Twitter account. - USERNAME-email-address-history.txt: Any records of changes of the email address on file for your Twitter account. - USERNAME-tweets.txt: Tweets of your Twitter account. - USERNAME-favorites.txt: Favorites of your Twitter account. - USERNAME-dms.txt: Direct messages of your Twitter account. - USERNAME-contacts.txt: Any contacts imported by your Twitter account. - USERNAME-following.txt: Accounts followed by your Twitter account. - USERNAME-followers.txt: Accounts that follow your Twitter account. - USERNAME-lists_created.txt: Any lists created by your Twitter account. - USERNAME-lists_subscribed.txt: Any lists subscribed to by your Twitter account. - USERNAME-lists-member.txt: Any public lists that include your Twitter account. - USERNAME-saved-searches.txt: Any searches saved by your Twitter account. - USERNAME-ip.txt: Logins to your Twitter account and associated IP addresses. - USERNAME-devices.txt: Any records of a mobile device that you registered to your Twitter account. - USERNAME-facebook-connected.txt: Any records of a Facebook account connected to your Twitter account. - USERNAME-screen-name-changes.txt: Any records of changes to your Twitter username. - USERNAME-media: Images uploaded using Twitter's photo hosting service (attached only if your account has such images). - USERNAME-profileimg: Your avatar and background image, if uploaded. - other-sources.txt: Links and authenticated API calls that provide information about your Twitter account in real time. All our records are maintained in UTC, which is the same as GMT for time zone purposes. Any files or fields that are blank, or any files that have no content between the PGP header and signature block, indicate that no responsive records were found. No records were found of any disclosure to law enforcement of information about your Twitter account. It is our policy to notify users of requests for their information prior to disclosure unless we are prohibited from doing so by statute or court order. For more information, please see our Guidelines for Law Enforcement at http://support.twitter.com/articles/41949-guidelines-for-law-enforcement#section9 We searched for the specific information identified in your request and have also provided other information associated with your Twitter account. We have not provided all information that may be related to you because of the difficulty of providing it, or because it may not be specific to you or may reveal the nonpublic information of another user or of Twitter. If there is other information that you are looking for, please let us know so that we can consider your request. Our Privacy Policy at http://twitter.com/privacy describes the information that Twitter may collect and use and the limited circumstances in which your private personal information may be shared. Regards, The Trust & Safety Team Twitter, Inc., 1355 Market Street, Suite 900, San Francisco, California 94103
Vous noterez qu’ils s’autorisent à ne pas tout donner, parce que c’est difficile (?). Je vais faire suite pour avoir l’intégralité, la loi ne les autorise pas à sélectionner ce qu’ils retournent. Je suis entre autre très intéressé par les données de profiling qu’ils peuvent avoir (et sur lesquelles seront basées les pub) et sur les entreprises partenaires à qui ils diffusent leurs données.
-
Ce tweet s’auto-détruira en 48 heures
J’ai commencé à effacer mes productions twitter. C’est un vieux projet mais j’ai toujours résisté, par peur de regretter cette dépublication et de ne pas pouvoir revenir en arrière. Pour un obsédé des données, c’était un pas difficile à franchir. Des événements récents m’ont incité à sauter le pas et à considérer mes tweets comme ce qu’ils sont : des échanges éphémères qui ne doivent pas survivre hors de leur contexte.
Je sais qu’il existe différentes archives, que mes messages pourront probablement être retrouvés sur Google ou ailleurs. L’objectif n’est pas de les faire disparaître, j’assume tout ce que je dis. L’objectif est de ne pas les faire apparaître, de garder une certaine opacité sur des échanges de comptoir.
Ce tweet s’auto-détruira en 48 heures
Hier environ 3000 tweets ont été effacés (et sauvegardés en local avant). J’ai fait un petit script qui tournera désormais régulièrement et qui effacera tout ce qui a plus de 48 heures. La durée de rétention elle-même sera certainement adaptée avec l’expérience. Il est tout à fait probable que les réponses finissent avec une durée de vie plus courte que les messages publics, tout ceci est encore en réflexion et je suis preneur de vos retours. Je réfléchis aussi à prévoir une marque discrète qui informerait mon script qu’il doit effacer le message plus tôt, par exemple après une heure, ou plus tard, par exemple après une dizaine de jours, pour gérer les cas particuliers.
Le code source de mon petit script est publié, j’ai oublié de préciser la licence mais je me vois mal appliquer autre chose qu’une WTFPL à ce type de code. Si vous souhaitez suivre mon chemin, ça ne demande pas plus d’une petite heure. David avait aussi publié un code similaire en python (qui lui garde les 50 derniers au lieu des dernières 48 heures).
Dans la limite de l’accès qu’autorise Twitter
J’ai effacé 3000 tweets parmi les plus récents mais il en reste plus du décuple. Je me retrouve avec une plateforme qui ne me permet en fait pas d’accéder ou d’effacer plus que les 3000 derniers messages sans supprimer mon compte. C’est là la première leçon : Je ne contrôle pas la plateforme, et elle se permet de ne pas me laisser accéder à mes propres données. Ce que j’avais pris comme une raison de retenir mon geste, ne pouvant revenir en arrière, aurait au contraire du renforcer ma motivation.
Pour aller plus loin Twitter ne propose rien. Je peux effacer mes tweets si j’en connais les identifiants mais les API proposées ne me retourneront jamais les tweets (et donc les identifiants) plus vieux que les 3200 derniers. Tout laisse à penser que passé ce quota les messages sont archivés sur une autre plateforme, qui n’a pas la même souplesse ou la même performance.
Ce que Twitter connaît de nous, et comment le connaître à notre tour
D’autres personnes ont toutefois déjà fouillé ce problème, sans solution technique. Il y a par contre une procédure liée à une loi européenne qui permet d’avoir accès à l’ensemble de ses propres données. C’est un peu l’équivalent du droit d’accès de notre loi « informatique et libertés ». C’est relativement simple, quelques échanges de mail et un fax avec déclaration signée. Pour le même prix on a aussi une visibilité sur ce que le service a collecté sur nous en plus de nos tweets, et à qui il a partagé ces informations.
J’ai lancé la procédure de mon côté, je vous ferai part du résultat. Je ne peux que vous inciter à faire de même. L’étude promet d’être plus qu’intéressante.
-
More Than 55,000 Twitter Account Usernames & Passwords Are Hacked And Leaked
Quand on trouve un article annonçant 55 000 mots de passe de comptes révélés au grand jour, je ne me plains pas de la sécurité des mots de passe ou de celle du service. Dans la liste on trouve des mots de passe complexes, et rien ne permet d’affirmer qu’il y a eu une négligence coupable de la part de twitter.
More Than 55,000 Twitter Account Usernames & Passwords Are Hacked And Leaked
C’est bien joli d’inciter les gens à utiliser un mot de passe différent par service, à ne pas les sauvegarder, d’en utiliser des complexes et en plus de les changer souvent, mais c’est proprement irréaliste
La solution on la trouve dans WebID, dans BrowserID, ou même pourquoi pas dans OpenID, malgré tout les défauts liés à ce dernier. Et si on s’y mettait ?
Ce n’est pas si complexe que ça. Il suffirait d’un mouvement de la part de la communauté pour avoir des outils simples, ergonomiques et utilisables. La base technique est là.
-
Que faire avec les archives Twitter ?
Je suis un paranoïaque de la perte de données. J’archive et je garde tout sans jamais rien supprimer. Par contre je fais très attention à différencier les archives publiques et celles que je garde en privé. En règle générale ce qui s’adresse à un groupe défini ou qui relève de l’instantané est privé, le reste est public.
Twitter me pose quelques problèmes. Son statut est entre le persistant et l’instantané, entre le public et le privé. J’y publie des humeurs, des textes courts rédigés sur l’instant et des discussions partagées publiquement mais avec des gens qui ont choisi de me lire, qui partagent un même contexte de lecture.
Conversations de comptoir
Hors l’instant, pris indépendamment, et lus par un tiers qui ne partage pas le contexte de lecture, ces messages courts sont trop facilement mal interprétés, incompris, ou peuvent être retournés contre mon discours. La forme et le travail des textes ne colle pas non plus avec ce que je l’impose pour une publication permanente.
C’est un peu comme une conversation dans un café, sa publication dans le journal n’aurait pas de sens, sa retransmission trois mois après non plus.
Or c’est justement cette indexation décorrélé de tout contexte de lecture que nous propose Twitter, la pire envisageable. Certains messages publiés gardent un sens dans ces archives, mais ils sont minoritaires. Le ratio bénéfice/problèmes est largement en faveur de problèmes à venir.
Des archives limitées
La seule solution que j’ai vu c’est traiter Twitter comme de la conversation instantanée, et rapatrier les archives en privé. Cela veut dire laisser les messages un moment, parce que c’est ainsi que fonctionne le mode asynchrone de twitter, puis les effacer quand ils deviennent trop vieux.
Qu’est-ce qu’un vieux message ? À partir de quel moment le contexte et la vision de l’instant commence à perdre suffisamment son sens ?
J’ai tenté un petit sondage, et si mes préoccupations sont partagées par quelques uns, elles sont largement minoritaires. Pour quelques rares, l’expiration se situe entre trois et douze mois. J’avoue que j’étais plutôt dans cet état d’esprit au départ.
D’autres ont, sans que je le mette en avant, réellement pris le parti de considérer Twitter comme de l’instantané, et proposent de ne laisser en ligne que les 25, 50 ou 100 derniers messages. Je ne n’avais pas réellement envisagé cela comme une solution, mais c’est peut être finalement plus adapté à l’usage que j’en fais.
Retirer des contenus en ligne
Mais ça veut dire retirer des contenus en ligne, et c’est ressenti par principe comme une perte pour beaucoup de mes interlocuteurs, indépendamment de la qualité des contenus.
Le tout pour moi est d’arriver à expliciter ce statut intermédiaire entre privé et public. Si ces archives n’étaient visibles que par ceux qui partagent mes discussions, quand bien même ce partage est en libre accès, cela règlerait en partie mes problèmes.
Il ne resterait plus qu’à assumer avoir dans ces archives semi-publiques des messages dont la forme et la réflexion n’atteint pas la qualité que j’en attends. Mais ça, je n’ai à m’en prendre qu’à moi-même finalement.
Entre temps… je pense de plus en plus à cette suppression des anciens messages. Que le palier soit un, trois ou six mois, considérez mes contenus Twitter comme de l’instantané, appelé à disparaître.
-
J’accepte d’être identifiable, pas d’être identifié
Finalement, pourquoi n’ai-je pas envie d’être identifié ?
Ma réflexion à propos de la vie privée et de mon identité en ligne m’amène à prendre comme ligne directrice par défaut la distinction suivante :
J’accepte d’être identifiable, pas d’être identifié.
Comme une promenade dans mon quartier
Je suis identifiable. Mes voisins me reconnaissent si je m’arrête discuter. Mes amis proches pourront me reconnaître du trottoir d’en face. Quelqu’un pourra prendre une photo et la comparer avec une base de données pour vérifier si je suis bien qui il pense. Un officier de police peut contrôler mon identité s’il a de bonnes raisons pour soupçonner un problème
Mais je ne suis pas identifié. Ma boulangère me reconnaît mais ne me connaît pas, ou juste par le nom que je lui ai moi-même donné quand j’ai récupéré ma dernière commande. Certains voisins me connaissent comme « le voisin du premier » mais finalement seraient bien incapables de donner mon nom. Un tiers dans la rue n’a pas accès à mon identité et n’a aucune raison d’y avoir accès, officier de police compris.
J’ai plusieurs identités
Même quand mon identité est connue, c’est *une* identité qui est connue. Chaque sphère connait finalement une partie de moi différente, liée au contexte et au besoin. Les plus proches finissent forcément par connaitre une grande partie de moi, d’autant que je ne cache rien, et cela inclut forcément l’état civil, mais je n’ai pas que des amis très proches dans la vie. Je discute de façon suivi avec plus d’une centaine de personnes, dont un nombre non négligeable que je peux qualifier de connaissances sérieuses ou d’amis, mais tous ne sont pas dans le cercle des 5 à 10 amis très proches.
Je peux engager la conversation dans un bar, seuls mon attitude et mes dires seront pris en compte, pas qui je suis, qui est mon père ou ma mère, ou qui j’ai pu être ailleurs dans la société. Tout au plus on me demandera mon prénom, mais que je leur réponde Pierre, Paul ou Jacques ne changera rien tant que je répondrai quand on me désigne.
Pourquoi en serait-il différemment en ligne ?
Google+ m’impose de renseigner mon nom complet, civil : Je suis identifié, par principe, et cette identité est unique. Pire, elle est publique.
Pourquoi ai-je besoin de me promener avec ma carte d’identité sur le front si tout ce que je souhaite est de participer à une discussion ? Quelle est la valeur ajoutée pour moi ? pour mon interlocuteur ?
Pourquoi faudrait-il accepter en ligne un comportement qu’on n’accepterait jamais hors ligne ?
-
Google+ et Facebook demandent votre vrai nom, tiens donc
Les questions d’anonymat et de vie privée ressortent avec Google+. Comme Facebook, Google+ impose aux participants de révéler leur « vrai nom », c’est à dire grosso modo leur état civile (c’est un peu plus souple que ça mais vraiment à peine).
Plus que de l’imposer, Google a une politique très agressive de désactivation des comptes qui n’ont pas un nom qui semble vrai. Ils ont aussi choisi d’imposer que votre profil et votre nom réel soient publics. C’est d’ailleurs la seule information qu’il est nécessaire de publier.
Google et Facebook défendent férocement leur position
Pour Mark Zuckerberg de Facebook « Vous n’avez qu’une seule identité. Avoir deux identités de vous-même, c’est l’illustration d’un manque d’intégrité. »
Pour Eric Schmidt de Google « La vie privée n’est pas la même chose que l’anonymat. Si vous essayez de commettre un terrible crime, il n’est pas normal que vous puissiez le faire dans l’anonymat le plus complet. »
Ce n’est pas une position morale ou de sécurité
Entendons nous bien, il n’est pas nécessaire de lire entre les lignes. Il ne s’agit pas de positions morales. L’anonymat sur Internet est tout relatif. Il est souvent possible de remonter vers vous à partir de votre adresse IP. C’est d’ailleurs ce qui est fait à chaque fois qu’il s’agit d’un fait chassé par la loi, ou même pour savoir qui a téléchargé tel ou tel morceau de musique à la mode.
Mais surtout Facebook et Google ne peuvent que vérifier la vraisemblance des noms. Rien ne m’empêche d’en donner un faux. C’est un peu comme si on basait les contrôles aux douanes sur les déclarations d’identités à l’oral, sans vérifier de passeport.
Ce n’est pas une position pratique pour l’usage du service
Là aussi il faut chercher ailleurs. Le web s’est développé depuis plusieurs années autour d’identités qui lui sont propres. Si Maître Eolas ou @supercurio indiquent leur nom réel sur Google+, vous aurez bien du mal à les retrouver. Connaître leur nom de m’apportera rien et ne simplifiera en rien l’expérience.
Même quand vous connaissez les noms, que votre mère recherche votre profil par votre nom de naissance est une chose, que vous soyez obligés de donner votre nom complet dans un groupe d’entre-aide de malades ou de victimes en est une autre. En rien la recherche n’impose de devoir montrer votre nom en public.
Plus probablement d’ailleurs, vous voudrez faire deux comptes séparés pour certaines activités, l’un public avec votre nom, et l’autre plus privé, sans, afin de ne pas risquer de mélanger les deux. La politique du vrai nom va rendre plus difficile l’usage.
C’est une pure question commerciale
La raison est plus simple : Votre nom est rémunérateur. Souvenez-vous : Si vous ne payez pas, c’est que c’est vous le produit vendu.
Mais diable, si Google+ impose que le profil soit public, c’est simplement pour pouvoir publier une page qui se retrouvera dans les moteurs de recherche. Si cette page a votre nom complet civil, voilà que Google trustera la première place et centralisera toutes les recherches à votre nom. C’est que ça se monnaye ça d’être le point de passage obligé de votre identité.
Pas la peine de chercher plus loin.
Alors Eric, Mark
Puisque nous avons le même prénom, Eric, laissez-moi vous dire que la ficelle de votre assimilation est grosse. Nous préférons tous un anonyme respectueux des lois qu’un crime horrible dont on connaît le nom de l’auteur. Présenté ainsi, l’anonymat ne peut être qu’une bonne chose, non ? Et j’aimerai bien savoir en quoi imposer un nom complet sur Google+ empêchera mon voisin de faire un crime horrible de façon anonyme, ou en ayant saisit un faux nom, mais vraisemblable, sur votre service.
Et quand bien même nous n’avons pas ce même prénom Mark, quand vous aurez des enfants j’aimerai bien savoir si effectivement vous leur conseillerez d’inscrire leur nom de famille en toutes lettres quand ils s’inscriront à un jeu en ligne ou sur un forum de discussion, si votre nom ne risque pas de leur attirer pas mal de situations pénibles qu’un pseudonyme ne déclencherait pas. Même vous, s’il vous arrive d’avoir une activité privée en ligne, donneriez vous réellement votre nom complet pour vous inscrire sur un site de rencontre ou pour parler d’une future maladie grave « honteuse » sur un forum ?
Il est facile d’être dans sa bulle et de considérer que parce que vous avez choisi d’être des personnes publiques, que chacun doit forcément faire le même choix, ou peut simplement le faire. N’oubliez-pas que si vous pouvez demander un coach, un expert, un médecin ou un intervenant personnel pour toute question privée que vous pourriez avoir, pour beaucoup de gens il ne reste qu’Internet et les réseaux sociaux. Ne leur coupez pas ça.
À rapprocher de J’accepte d’être identifiable, pas d’être identifié, publié peu après.
-
L’identité avec Mozilla
Mozilla avance sur la gestion de l’identité dans le navigateur, et c’est une bonne chose. Malheureusement je crains qu’ils ne se fourvoient, et ça c’est beaucoup moins bien.
Avant d’en lire ma critique je vous propose de lire l’aperçu initial de Clochix. Bien rédigé, il vous permettra de vous faire une première idée avant que je vous embrouille la tête.
Complexité
Si je résume, pour le serveur email le système se repose sur la création de clefs de chiffrement spécifiques à chaque utilisateur, leur entrepôt et leur gestion, sur un nouveau protocole (qui ne m’a pas semblé décrit dans les spécifications) pour échanger une signature avec le navigateur, et sur le système de découverte WebFinger pour publier la clef publique vis à vis du site qui souhaite authentifier.
Il faudra aussi que le prestataire email mette en place un mécanisme pour révoquer les signatures / autorisations données aux navigateurs afin qu’on ne donne pas un chèque en blanc illimité et qu’on puisse casser une autorisation qui a été divulguée publiquement.
Pour le site qui souhaite authentifier il faut implémenter une API javascript simple avec le navigateur, la découverte et la délégation WebFinger, et la partie algorithmique pour vérifier la signature fournie par le navigateur.
Parce qu’au départ aucun prestataire ne supporte le système, il faut aussi implémenter le système de découverte vers le tiers de confiance Mozilla, via une API que je n’ai pas vu décrite.
Pour gérer les navigateurs qui n’ont pas encore le mécanisme, il faut aussi implémenter une alternative similaire à OpenID qui se base sur des redirections http, des jetons et une authentification standard (le tout n’étant pas décrit dans ce que j’ai pu lire lors de mes recherches).
Que celui qui ose me dire que tout ça est simple se dénonce. Pourtant c’est l’argument présenté initialement. À côté, OpenID qui est jugé complexe par certain, fait presque rêver.
Not invented here
La solution met en avant un argument de simplicité par rapport à OpenID mais j’y vois bien plus un syndrome « not invented here » et une réinvention de la roue.
Au final l’alternative pour ceux qui n’ont pas Firefox ressemble bien à OpenID. On ne fait qu’y ajouter WebFinger. C’est une bonne idée mais il n’y avait pas besoin de recréer la roue pour ça : La liaison entre WebFinger et OpenID existe déjà.
Le tiers de confiance ? quitte à utiliser des tiers de confiance sur des certificats cryptographiques, on a déjà des certificats X.509 qui certifient l’identité par l’adresse email et qui se basent sur des tiers de confiance. Ces tiers de confiance on en a la liste dans tous les navigateurs et même si ça reste centralisé, ça l’est moins que de réinventer une liste de tiers de confiance « Mozilla ».
Le push d’une authentification avec éventuellement une interface navigateur pour ne pas avoir plein d’aller-retours et un mauvais workflow utilisateur ? j’ai déjà WebID, qui a le bon gout de pouvoir simplement s’interfacer avec WebFinger et ne pas nécessiter un support aussi important du gestionnaire d’identité.
Je ne dis pas que toute cette pile de technos est simple. Elle ne l’est pas, et elle est en bonne partie toujours en conception. Mais en même temps la proposition de Mozilla aussi est complexe et toujours en gestation.
Plutôt que de réinventer la roue, faire une extension qui embarque OpenID dans le navigateur on l’espère depuis longtemps et ça résoudrait une grosse partie du problème.
Mieux, juste améliorer les interfaces qui permettent de gérer les certificats clients dans le navigateur permettrait d’implémenter WebID maintenant, tout de suite. Ça demanderait beaucoup moins de travail à tout le monde, que ce soit côté navigateur, côté gestionnaire d’identité ou côté consommateur d’identité. C’est là que j’attendais Mozilla.
Pour ne rien gâcher il y a une standardisation W3C sur le sujet et la brique qui manque c’est vraiment l’interface navigateur. Se baser sur les travaux de standardisation en cours, ou y pointer dès maintenant ce qui pose problème plutôt que de faire son truc dans son coin, c’est aussi ça parler d’ouverture.
Tiers de confiance
Mais ce qui m’agace le plus c’est ce dont je parlais il y a peu : le web ouvert recule.
Le mécanisme choisit sera difficile à faire implémenter dans beaucoup d’organisations. Dans le meilleur des cas la progression sera lente. Mozilla a donc eu la bonne idée d’implémenter un mécanisme temporaire qui permette de passer par un tiers : le tiers de confiance.
Sauf que comme on le pointe avec pertinence, le système ne fonctionne que si on n’accepte pas n’importe qui comme tiers de confiance, que si la liste est réduite. À court terme le tiers de confiance est quasi obligatoire, donc tout le monde peut et doit se reposer dessus.
Vu le confort d’avoir un tiers de confiance vis à vis la complexité d’aller chercher la clef publique via WebFinger, autant dire que la plupart risquent de se contenter du tiers de confiance. On vient de réinventer le centralisé avec un saupoudrage de décentralisé dont il est évident qu’il ne sera que mineur pendant des années, si ce n’est plus.
La notion de tiers de confiance est un drapeau rouge qui doit immédiatement indiquer qu’on part dans la mauvaise direction. Il aurait fallu une solution décentralisée dès le départ, ou un réseau de confiance, ou un système de délégation, ou d’autres systèmes, mais ne pas encourager le démarrage en centralisé. Il est illusoire de croire qu’on en sortira.
OK, je vais aller plus loin, j’essaierai de passer du temps pour montrer quelles interfaces il manque et où Mozilla peut agir pour s’interface avec ce qui existe, mais il y a déjà un très bon aperçu au W3C. Bref, je vais tenter de décrire la voie qui selon moi serait à suivre histoire d’être aussi constructif.
-
Identifiant utilisateur et message d’erreur
L’utilisateur ou le mot de passe fournis est invalide
Oui mais euh… lequel ?
J’ai un compte sur plus d’une dizaine de services courants, peut être une ou plusieurs centaines si je compte les boutiques et forums en ligne sur lesquelles je vais peu.
Expérience utilisateur à jeter
Malheureusement, comme tout le monde, je n’ai pas pu ou voulu avoir le même identifiant utilisateur partout. Parfois je me trompe, parfois je ne suis même pas capable de savoir lequel est le bon. Bien entendu j’ai aussi pas mal de mots de passe.
Pas de doute, ce message d’erreur rend plus difficile de rentrer sur le compte. En tout cas c’est vrai pour l’utilisateur légitime. Ce qui aurait pu lui permettre de s’identifier en quelques minutes lui prendra un bon quart d’heure le temps de tester toute une combinaison d’identifiants utilisateur et la croiser avec autant de mots de passe.
L’identifiant utilisateur n’est pas une sécurité
La raison d’être de ce message est souvent un développeur qui a souhaité améliorer la sécurité. Le fondement est logique, si l’identifiant utilisateur est une inconnue, cela fait une entrée de plus à forcer ou deviner.
Mais en même temps, si en connaissant l’identifiant utilisateur il est possible de forcer le compte relativement simplement, vous avez un vrai problème, et ce problème ne vient pas de l’identifiant utilisateur. Vous venez d’ajouter de cacher le cadenas parce qu’il est trop simple à forcer quand on le trouve. Est-ce réellement la bonne approche ?
Trouver un identifiant utilisateur est simple
S’il s’agit de tester des identifiants communs à l’aide d’un dictionnaire et que nous parlons d’un service grand public, ne nous voilons par la face : Nous savons que « bob », « bob75 » et « greatbob » existent. Il n’est pas besoin de les tester. C’est même à cause de cette pré-existence extrêmement probable que vos utilisateurs ont des identifiants différents partout.
Si à l’inverse vous visez un utilisateur particulier, si vraiment l’ingénierie sociale n’est d’aucune aide à l’attaquant (ce qui serait étonnant), il lui restera à tester quelques variantes les plus probables dans votre robot. Ce qui est extrêmement pénible à faire pour un humain ne changera pas l’ordre de grandeur du problème pour le robot et ne rendra pas beaucoup plus ou beaucoup moins fiable votre système.
Pire, si vraiment il s’agit de découvrir l’existence d’un identifiant, et si vous tentiez une création de compte avec l’identifiant en question ? On ne vous dit pas si l’identifiant est disponible à ce moment là ? Était-ce bien la peine de complexifier l’expérience utilisateur d’un côté si l’information est disponible facilement ailleurs ?
Votre sécurité est ailleurs
Vous voulez augmenter la sécurité ? imposez un mécanisme de double authentification, un nombre d’essai maximum, une temporisation d’une dizaine de secondes, des mots de passe forts, ou même deux caractères de plus dans votre mot de passe. Voilà, votre sécurité est aussi bien voire mieux assurée qu’en cherchant à donner un message d’erreur peu explicite à l’utilisateur.
Si réellement l’identifiant utilisateur était un composant de sécurité, autant le mettre en champ « mot de passe » au lieu d’avoir un champ texte en clair. Mieux, on imposerait une longueur minimale et on interdirait les identifiants courants. En allant au bout de la démarche on pourrait même faire un seul champ « utilisateur et mot de passe » puisque l’identifiant utilisateur ne sert pas à grand chose d’autre.
Je ne sais pas si vous avez vu mais on retombe sur nos pas : pour améliorer la sécurité, ajoutez des caractères au mot de passe, ne prenez pas l’identifiant utilisateur pour un mot de passe.
L’identifiant utilisateur comme donnée de valeur
Vient un dernier problème qu’on m’a soumis : Parfois l’identifiant utilisateur peut lui même être une donnée de valeur.
Je trouve dans cette catégorie des extranet dont l’identifiant utilisateur est prédictible mais où l’appartenance de l’utilisateur au système donne une information importante. Ce peut par exemple être l’extranet d’un avocat pour savoir si une personne précise est cliente.
Ça ne concerne pas les services publics, ça ne concerne pas les services où les identifiants sont non prédictibles, ça ne concerne par les récoltes anonymes (où on ne vise pas un utilisateur précis) et ça ne concerne que les cas où l’identifiant utilisateur a une valeur en soi. C’est rare, plus probablement la solution serait de rendre l’identifiant anonyme ou non prédictible, mais ce sont des cas légitimes.
Par contre, pour votre boutique en ligne, pour votre forum, non, il n’y a aucune raison de gêner l’utilisateur à ce point, vraiment.