- il y a 1 jour
La fraude prospère sur les failles de la vérification d'identité. Avec eIDAS 2, l'Europe mise sur le portefeuille d'identité numérique. Ce qu'il fera, ce qu'il ne fera pas, ce qu'il impose aux entreprises et comment se protéger sans attendre : Romain Santini (Docaposte) et Bruno Buffenoir (KIPMI) font le point.
Catégorie
🗞
NewsTranscription
00:04Aujourd'hui Smartech s'arrête sur le futur portefeuille d'identité numérique européen,
00:08le UDI Wallet. Alors est-ce que ce sera efficace contre la fraude numérique ?
00:13Ça fait partie des questions qu'on va se poser aujourd'hui avec mes invités.
00:15Bruno Buffenoir, directeur général de Keep Me Digital Trust Continuity.
00:20Bonjour, merci beaucoup d'être avec nous.
00:22Et Romain Santini, directeur du programme Wallet chez DocaPost filial du groupe La Poste,
00:27il faut-il le rappeler. Merci aussi d'être ici.
00:30Je compte sur vous pour nous expliquer ce qu'il y a derrière cette dénomination de Wallet,
00:36de portefeuille d'identité numérique européen.
00:39Qui veut commencer par me donner une définition déjà générale ?
00:43Oui, Romain.
00:44Alors je peux commencer effectivement.
00:46Donc le portefeuille européen d'identité numérique ou Wallet,
00:49il faut le voir comme une identité numérique enrichie.
00:52C'est-à-dire qu'on connaît tous l'identité numérique de La Poste,
00:54tout plus récemment France Identité, qui nous permet de prouver notre identité en ligne,
00:58d'accéder à des services sensibles.
01:00Eh bien le Wallet, c'est la même idée, avec deux différences majeures.
01:04La première, c'est une véritable interopérabilité à l'échelle européenne,
01:08pouvoir s'en servir auprès d'organisations publiques, privées, dans toute l'Union européenne.
01:12Et la deuxième nouveauté, c'est la capacité de partager des données certifiées,
01:16attestées, un justificatif de revenu, une preuve de majorité, une preuve d'adresse.
01:21Donc c'est ce que j'allais dire, dans ce portefeuille, on a quoi comme papier ?
01:25Alors vous avez ce que vous décidez d'y mettre, c'est-à-dire que par défaut, vous avez votre
01:28carte d'identité,
01:30et ensuite, en fonction de ce que les États veulent mettre à disposition,
01:33ou ce que des émetteurs privés veulent fournir,
01:35vous pourrez avoir absolument tout ce que vous pouvez imaginer.
01:38Un permis de conduire, une carte grise dans le domaine public par exemple,
01:42ou une attestation de sécurité sociale, un justificatif de revenu,
01:46une carte de membre à une salle de sport,
01:48tout ce que vous pouvez imaginer qui a de la pertinence à être présenté à autrui.
01:51Bruno, quelque chose à rajouter ?
01:53En fait, on s'appuie aujourd'hui sur une technologie qui préexiste,
01:56qu'on connaît tous, parce qu'on a déjà des wallets dans nos téléphones depuis un petit moment,
02:00qui sont proposés par des acteurs américains.
02:02Et en fait, la communauté européenne saisit cette opportunité,
02:05cette nouvelle technologie, pour apporter un espace de confiance
02:09qui permet de distribuer une identité digitale à tout le monde,
02:13d'authentifier by design cette identité,
02:17et ensuite de pouvoir mettre en place les véhicules qui vont permettre de la transmettre
02:21dans le cadre de toutes les transactions.
02:23L'objectif étant, in fine, la lutte contre la fraude.
02:27Alors, en France, on a effectivement, parce que vous parlez des wallets américains,
02:31qu'on connaît bien surtout pour payer, en fait, c'est surtout très commercial.
02:34Ce qui a été...
02:35Pas simplement, pour héberger d'autres documents aussi, des documents de transport.
02:40Mais on a effectivement nos billets de voyage, tout à fait.
02:41Là, on parle d'un contexte peut-être plus régalien,
02:45en tout cas sur vraiment des papiers d'identité numérique
02:48qu'on serait obligé de présenter à des administrations.
02:51On doit travailler dans un cadre de confiance supérieur.
02:54En France, on a effectivement, vous avez cité l'identité numérique de La Poste,
02:58mais on a aussi France Identité.
03:01Ça veut dire que ça va être une identité nouvelle ?
03:03Ça va se rajouter à ce qui existe déjà en France ?
03:06C'est une technologie différente ?
03:07Qu'est-ce que ça va changer pour les Français ?
03:10Alors, c'est effectivement, en France, quelque chose de nouveau.
03:13Alors, en France, c'est un petit peu particulier.
03:15Le wallet français officiel va se construire dans le prolongement de France Identité.
03:19Donc, ce sont des nouveaux usages.
03:21Parce que déjà, aujourd'hui, si je veux me connecter à mon CPF,
03:22mon compte professionnel de formation,
03:24je suis obligé de passer par une identité numérique régalienne ?
03:28Certifiée.
03:28C'est-à-dire, soit l'identité numérique de La Poste, soit France Identité.
03:31Enfin, en tout cas, vous êtes obligé de passer par une identité
03:33dont on a pu vérifier que le niveau de sécurité
03:34était adapté aux enjeux de fraude qui ont pu avoir lieu
03:37contre le CPF ou d'autres services sensibles de l'État.
03:39Donc, est-ce que ça, ça va continuer ?
03:40Ça, c'est vraiment ma question très pratique.
03:42Est-ce que ça, ça va continuer ?
03:44Et on va ajouter une autre solution, un autre wallet,
03:47une autre identité numérique ?
03:48Ou est-ce que l'identité numérique européenne va remplacer celle-ci ?
03:52Alors, elle ne peut pas le remplacer.
03:53Le règlement européen est très clair sur un point.
03:54C'est que l'usage du wallet n'est pas obligatoire pour l'utilisateur final.
03:58Et les organisations qui l'acceptent doivent maintenir une alternative,
04:01quelle qu'elle soit, pour accéder au service.
04:02Donc, c'est par définition un ajout et non pas un remplacement de ce qui existe.
04:06D'accord.
04:07Ce sera le choix d'un certain nombre d'acteurs d'exiger ce type d'authentification, ou pas.
04:14En l'occurrence, plutôt les acteurs privés,
04:17puisque de manière légale, les acteurs publics ne pourront pas imposer
04:21l'utilisation de l'identité digitale à ce stade.
04:25C'est un peu comme les moyens de paiement, finalement.
04:28On doit pouvoir proposer différents moyens de paiement.
04:31Donc, on peut imaginer qu'il y ait beaucoup plus de prestataires
04:35qui proposent, demain, des moyens de s'identifier numériquement
04:39en conformité avec les règles qu'imposera l'Union européenne.
04:44Alors, aujourd'hui, celui qui est porteur de l'identité régalienne,
04:49c'est France Identité.
04:50Demain, comment est-ce que cette identité régalienne,
04:53produite par France Identité ou par la NTS,
04:56va être diffusée par différents acteurs ?
04:59Ça fait partie des choses que la norme est en train de définir,
05:01de manière à s'assurer qu'elle soit véhiculée correctement.
05:04Alors, cette norme, il y a un règlement, en fait,
05:09qui indique, justement, quels sont les standards, les normes,
05:12les techniques à utiliser au niveau européen.
05:15Est-ce que les solutions que nous avons déjà en France
05:18sont déjà conformes, en fait, à ce texte et à ces normes ?
05:22Alors, c'est en train de se construire.
05:24C'est-à-dire que les normes sont restantes.
05:25Pourquoi vous soyez tous les deux ?
05:27Pour le coup...
05:28Un défi ?
05:29C'est un défi, c'est un challenge.
05:31C'est-à-dire que l'ambition qu'on a sur le wallet
05:33est quand même très forte en termes de sécurité,
05:36de protection de la vie privée du citoyen,
05:37de fonctionnalité.
05:38Enfin, l'enjeu est très fort pour l'Europe et les États membres.
05:41Et on a un certain nombre de standards techniques
05:42qui sont encore peu matures.
05:44Certains qui sont sortis tout récemment,
05:45en fin d'année dernière,
05:46d'autres qui sont encore en cours d'élaboration.
05:48Donc, des solutions 100% conformes,
05:50aujourd'hui, on n'en a pas.
05:51Par contre, très clairement,
05:52il y a tout un momentum
05:53qui est porté par la Commission européenne
05:55au travers de grands projets européens,
05:57par l'agence France-Titres
05:58au travers d'une démarche
05:59qui dépasse les frontières françaises
06:01d'animation de l'écosystème
06:03sur lesquelles on les accompagne.
06:06Et globalement, un effort collectif,
06:07public-privé,
06:08pour travailler ensemble,
06:09tester ensemble
06:10et être prêts tous ensemble
06:12à relever ce défi-là.
06:13Donc, conforme aujourd'hui à 100% non,
06:15mais clairement en bonne voie pour l'être.
06:17Après, il y a un agenda
06:18qui a été défini,
06:19qui est assez clair.
06:20L'agenda, c'est que les États européens
06:23se sont engagés, à fin 2026,
06:25à fournir un véhicule
06:27qui permet d'héberger
06:28l'identité digitalisée.
06:31Et à fin 2027...
06:33Quand vous dites un véhicule, c'est-à-dire ?
06:35Un wallet, sur son téléphone,
06:37une application.
06:37Une application.
06:38Qui porte cette identité régulière.
06:40Les différents pays ont pris des...
06:42D'ailleurs, ont fait des choix
06:43assez différents
06:44dans la manière dont cette identité
06:45est produite.
06:46En France, il y a un acteur,
06:48France Identité.
06:49En Allemagne, il y en a plusieurs.
06:50Il y a eu des délégations de services
06:52qui ont été mises en place.
06:56À fin 2027,
06:57un certain nombre d'acteurs
06:59listés, réglementés,
07:00vont devoir accepter le wallet
07:02dans le cadre de preuves d'authentification
07:04qui peuvent être demandées.
07:06Pas seulement des acteurs publics ?
07:08Non, des acteurs privés
07:09de type institutions financières
07:12ou des acteurs qui ont
07:13des très gros volumes
07:14de transactions digitales.
07:15par exemple.
07:16C'est la question
07:16de la lutte contre la fraude.
07:19Est-ce que ça vous semble
07:20aujourd'hui
07:21la bonne démarche
07:23pour lutter contre
07:24la fraude documentaire,
07:25la fraude numérique ?
07:27Alors, il y a plusieurs éléments
07:30dans la fraude.
07:32Il y a la fraude à l'identité.
07:35Il y a la fraude documentaire.
07:37Documentaire au sens large.
07:38Oui, je fournis des faux papiers.
07:40Exactement.
07:41Et il y a aussi,
07:43dans la logique de lutte contre la fraude,
07:46l'architecture qui sous-tend
07:47la manière dont on gère les données.
07:50historiquement,
07:51on a mis en place
07:51des systèmes d'information
07:53qui créent
07:54une très grande centralisation
07:56dans la gestion
07:57de l'information.
07:58Oui.
07:59C'est ce que...
08:00On crée finalement
08:01des pots de miel
08:02dans lesquels
08:03les acteurs
08:03malveillants
08:04se servent.
08:06L'opportunité
08:07avec le wallet,
08:08et Romain pourra
08:10enrichir ça,
08:11c'est finalement
08:12de traiter
08:12ces trois sujets.
08:13parce que l'architecture
08:14qui est proposée
08:15est une architecture
08:15qui distribue
08:17l'information.
08:18Donc, il devient
08:19beaucoup plus compliqué
08:20pour un acteur
08:20d'aller se servir
08:22dans un seul
08:23et même pot de miel
08:24et de réconcilier
08:25l'information
08:26potentiellement demain.
08:27Et en plus de ça,
08:28ça peut permettre
08:29de traiter les autres.
08:30Enfin, effectivement,
08:32en phase avec ça,
08:33et puis ce qu'il faut voir
08:34aussi avec le wallet,
08:34je vais prendre l'exemple
08:35du justificatif de revenu
08:36pour illustrer.
08:37Aujourd'hui,
08:38on peut avoir par exemple
08:39de la fraude
08:39qui est liée
08:40au fait de déclarer
08:42des revenus
08:42qui ne sont pas
08:42ce dont on dispose réellement,
08:45qui passent par du maquillage
08:46de la modification
08:47de fiche de paie,
08:47par exemple.
08:49Avec le wallet demain,
08:50on pourrait imaginer
08:51de récupérer directement
08:52d'une source fiable,
08:53donc soit directement
08:54l'employeur,
08:56soit l'administration fiscale,
08:57un justificatif de revenu
08:59qui n'est pas une fiche de paie,
09:00qui est vraiment un justificatif,
09:01qui dit voilà,
09:01depuis moins de trois mois,
09:03mon salaire,
09:04c'est temps
09:04et je suis en CDI.
09:06Une donnée certifiée
09:07que même moi,
09:07en tant qu'utilisateur
09:08possesseur du wallet,
09:09je ne peux pas modifier
09:09et que je peux uniquement
09:11me contenter de transmettre.
09:12Donc ça,
09:12c'est un exemple
09:13qui montre qu'à partir du moment
09:14où j'utilise...
09:14utilisateur,
09:15qui vais chercher
09:16le prestataire capable
09:17de me fournir
09:18cette preuve numérique.
09:20C'est ça.
09:20Je vais chercher la preuve
09:21à la bonne source,
09:22de la même manière
09:22qu'aujourd'hui,
09:23si j'ai besoin de prouver
09:24mon revenu,
09:25je vais chercher
09:25ma fiche de paie
09:26ou une attestation d'emploi,
09:27etc.
09:28Donc là,
09:28je vais chercher la donnée
09:29à la bonne source,
09:29je la prends dans mon wallet
09:31et je la présente.
09:32La seule limite
09:33en termes de lutte
09:34contre la fraude,
09:35c'est que ça reste
09:35une action volontaire
09:36de l'utilisateur.
09:37Si je n'ai pas envie
09:37de me servir de mon wallet,
09:38si j'ai envie de frauder,
09:39je vais plutôt passer
09:40par un autre canal.
09:41Ça reste néanmoins intéressant
09:43pour les organisations,
09:43ce que ça veut dire
09:44que petit à petit,
09:45elles vont avoir
09:45des circuits en parallèle,
09:47des circuits qui s'appuient
09:48sur le wallet
09:48et sur des données vérifiées
09:50où elles vont minimiser
09:51le risque de fraude
09:51et le besoin de contrôle
09:52et potentiellement simplifier,
09:54fluidifier les process associés
09:56et des circuits résiduels
09:57où on reste
09:58sur le contrôle documentaire actuel
09:59où il faut
10:00d'autres solutions technologiques
10:01mais où la fraude
10:02reste potentiellement possible.
10:03Vous nous dites
10:04que ce ne sera pas obligatoire
10:06de se servir de ce wallet,
10:08sauf dans certains cas,
10:10j'imagine,
10:10et je pense notamment
10:11à un sujet
10:12qu'on adresse régulièrement
10:13dans Smartech,
10:14la vérification de l'âge
10:16pour se connecter
10:17à des plateformes sociales.
10:19On comprend que c'est
10:20dans l'ère du temps,
10:21que ça pourrait arriver.
10:23Dans ce cadre-là,
10:24j'imagine que le wallet
10:25sera l'outil privilégié
10:28et pourrait être rendu obligatoire.
10:30C'est ça qui pourrait se passer
10:31?
10:32Ça peut tout à fait
10:32se passer demain.
10:34De même que un certain
10:35nombre d'acteurs privés
10:37peuvent décider,
10:38pour accéder à leur service,
10:40que l'utilisateur,
10:41le client,
10:42doit passer par ce biais
10:43pour s'authentifier.
10:44De manière à être capable
10:45de prouver que son activité
10:47est correctement contrôlée
10:50et que finalement,
10:51il travaille dans un modèle
10:52de transparence
10:53qui est supérieur
10:54à tout le monde.
10:54On pourrait imaginer ça aussi
10:57d'une banque,
10:58d'une assurance,
10:59de ce type de service
11:00qui propose des services
11:01qui sont finalement sensibles,
11:03en manipulant des données
11:04qui peuvent être perçues
11:05comme étant des données
11:07très sensibles
11:08dans l'échange.
11:10Eh bien,
11:10ça peut être demain
11:11perçu par chacun d'entre nous
11:12comme finalement
11:13une valeur ajoutée
11:14et un choix
11:15de cet acteur
11:16d'utiliser ça.
11:17Un service public
11:19qui est dédié
11:20à tous les commandes
11:22et mortels,
11:22il ne va pas pouvoir faire ça
11:23parce qu'il faudra
11:25qui propose une alternative.
11:27C'est quand même
11:29l'arrivée
11:29à priori
11:30de nouvelles obligations
11:32de présentation,
11:34de certificats
11:36sur notre identité en ligne.
11:39Ça veut dire
11:39que ça doit se faire
11:40dans un cadre
11:40de confiance
11:41très important.
11:42Au sujet
11:42de la confiance numérique,
11:44c'est, j'imagine,
11:45votre dada
11:45à tous les deux.
11:46Comment est-ce qu'on fait
11:47pour rassurer
11:49les concitoyens
11:50avec l'arrivée
11:51de ce wallet ?
11:52Alors là,
11:53il y a plusieurs éléments
11:53de réponse.
11:55Le premier,
11:56c'est que par obligation,
11:57le code source
11:58des wallets est ouvert.
11:59À l'exception
11:59de certains dispositifs
12:00de sécurité
12:01qui ne sont pas déployés
12:02sur le téléphone utilisateur,
12:03mais tout ce qui est
12:03sur mon téléphone,
12:04le code source
12:05en est disponible.
12:06C'est une obligation
12:06réglementaire.
12:08Deuxième point,
12:09il est prévu
12:09une certification
12:10de sécurité fonctionnelle
12:12et de respect
12:13de la vie privée
12:14des wallets.
12:15Donc, dans chaque État membre,
12:16on a une ou plusieurs
12:18organisations qui vont être
12:19en charge d'animer
12:19ce processus
12:20et de le réaliser.
12:21En France,
12:22l'ANSI, par exemple,
12:23il y aura toute sa part
12:24aux côtés de la DINUM
12:26et qui ont obligation
12:28de communiquer
12:29leur cadre de certification
12:30à la Commission européenne
12:32et d'en donner visibilité
12:32aux autres États membres.
12:33Donc, on a un cadre
12:34de confiance qui se crée
12:35au sein de l'Union européenne
12:36pour garantir
12:37la certification
12:37des wallets.
12:39Et on a en parallèle
12:40l'Agence de cybersécurité
12:41européenne
12:42qui travaille
12:42à l'harmonisation
12:43de tout ça
12:44et à la construction
12:44d'un schéma
12:46harmonisé commun pour tous
12:47à horizon de quelques années
12:48parce qu'évidemment,
12:49tout ça va continuer
12:50à évoluer.
12:51Donc, ça,
12:52c'est pour la partie wallet.
12:53Et après,
12:54en parallèle de ça,
12:55il ne faut pas non plus
12:55négliger l'écosystème.
12:57C'est-à-dire qu'on a
12:57des organisations
12:57qui vont accepter le wallet,
12:59donc typiquement les auditeurs
13:00qui nous écoutent aujourd'hui,
13:01qui vont également
13:02devoir s'équiper de solutions
13:03pour gérer cette communication
13:05en toute sécurité.
13:07On a des organisations
13:08qui vont émettre
13:09des données dans les wallets,
13:10qu'elles soient publiques
13:11ou privées,
13:12qui là aussi vont devoir
13:13s'équiper de solutions
13:14pour réaliser cette opération-là.
13:16Et à chaque fois,
13:16dans tous ces cadres-là,
13:17on n'a pas toujours
13:18des certifications,
13:18mais on a des standards techniques,
13:20des bonnes pratiques
13:21et effectivement,
13:21la charge à l'écosystème
13:22et aux fournisseurs
13:24de technologies qu'on est
13:25de fournir des solutions
13:26de confiance.
13:27Parce que sinon,
13:27on aura un problème d'adoption.
13:28Ça, c'est certain.
13:29Exactement.
13:30Et après,
13:30il y a un enjeu,
13:31c'est un énorme enjeu
13:32de pédagogie
13:33et de communication
13:33pour que tout le monde comprenne.
13:35Eh bien,
13:35c'est ce que vous êtes venu faire,
13:36justement,
13:37Bruno Bufnoir,
13:38ici sur le plateau de Smartech
13:39et je vous en remercie.
13:40Je rappelle que vous êtes
13:41le directeur général
13:42de Keep Me Digital Trust Continuity
13:44et merci également
13:45Romain Santini,
13:46directeur du programme Wallet
13:47chez DocaPost.
13:48Merci à vous de nous avoir suivis.
13:49J'espère que maintenant,
13:50tout est clair pour vous
13:51sur ce Wallet
13:52et évidemment,
13:53on continuera à le suivre
13:55ce portefeuille
13:56d'identité européen numérique.
13:58Sous-titrage Société Radio-Canada