Antichesse (o ^ω^ o)
Je pense que le rasoir de Hanlon est incomplet. Je cite :
Ne jamais attribuer à la malveillance ce que la bêtise suffit à expliquer.
Robert J. Halon
Que je complète ainsi :
Ne jamais attribuer à la malveillance ce que la bêtise suffit à expliquer. Mais ne jamais attribuer à la bêtise ce que le profit suffit à expliquer.
L'idée m'est venue il y a quelques jours en relisant des shaarlis que j'avais mis de côté et cet article parlant d'Apple et de sa politique anti-interopérabilité/anti-concurrentielle m'y a refait penser.
Rien que le titre de cet article DOIT vous faire sourciller : "L'ère du mot de passe révolue pour l'alliance FIDO, qui propose un nouveau standard pour faciliter et normaliser les systèmes d'authentification"
Qu'est-ce qui cloche ? On est en train de vous vendre de l'identification pour de l'authentification ; en clair on détruit toute forme de fiabilité dans le système.
Pour bien comprendre je vais vous expliquer ci-après la différence fondamentale entre de l'identification et de l'authentification.
L'identification c'est qui vous êtes, par exemple :
- votre ADN ;
- vos empruntes digitales ;
- l'image de la structure du système veineux de votre main ;
- l'image de votre iris ;
- l'emprunte de votre voix ;
- etc.
Tout ceci constitue votre personne, c'est vous.
Vous avez remarqué le double problème ? Non ? C'est simple pourtant, toutes ces choses ne vous quitteront et ne changeront jamais TOUT AU LONG DE VOTRE VIE et en plus ON PEUT VOUS LES VOLER ! Bah oui, on peut copier une emprunte, la photo de votre iris, copier votre ADN à partir des mèches de cheveux que vous laissez traîner partout, etc. Une fois que quelqu'un les a copier, C'EST MORT ! Votre identité peut être falsifiée sans problème.
Mais alors qu'est-ce que l'authentification ? C'est l'action de pouvoir PROUVER que vous êtes bien la personne que vous prétendez être. En clair, une personne se pointant avec mon ADN peut se faire passer pour moi, elle peut me ressembler, etc. Mais si elle ne connaît pas mon mot de passe, ELLE NE PEUT PAS PROUVER QUE C'EST MOI donc elle ne peut pas SE FAIRE PASSER POUR MOI bien qu'elle possède mon ADN ! C'est la différence entre l'identification et l'authentification. L'identification c'est déclaratif, je déclare que je suis moi et on me croit sur parole parce que je ressemble à ce que je prétends être ; mais dans l'univers de la sécurité il faut des preuves et l'authentification c'est la preuve que c'est bien moi.
En 5000 ans, on n'a pas trouvé mieux que le mot de passe alors je vous pose la question, vous êtes toujours prêt à abandonner vos mots de passe pour leur système à la con maintenant ?