On Sat, 2024-06-01 at 12:13 +0200, Xavier Beaudouin via frnog wrote: > > Je prêche que l'état devrait fournir un service de SSO utilisable > > par de > > tierces parties et qu'au lieu de forcer les prestataires à faire son > > boulot (stocker des données sensibles "au cas où"), il devrait > > forcer > > ces prestataires à utiliser cette solution. Cela permettrai > > d'améliorer > > le modèle de sécurité, de simplifier les procédures (pour tout le > > monde: > > l'utilisateur, le prestataire et l'état) et d'être plus efficace. > > > > C'est ma conviction intime, d'expert non-intéressé. Ma (petite) > > boite > > n'a rien à gagner dans cette histoire... mais en tant qu'individuel > > je > > pense que c'est la meilleure solution. > > > Dans d'autres pays il y a des GIE pour ça... Exemple au Luxembourg, > que je connais bien, il y a Luxtrust. > > J'dis pas que ce sont les meilleurs, mais avec le token physique > (hélas en voie de disparition), la carte d'identité Luxo, ou > l'application mobile, se connecter/signer avec truc équivaut a une > signature officielle de l'intéressé. > > Comme d'habitude en France on fait n'importe quoi, chacun dans son > silo, personne ne communique ensemble et chacun fait n'importe quoi > avec les données. > > Entre France Connect, France Connect+ (dafuq?), France Identité > (évidement quand on a une vieille CNI on peux se brosser avec une > brosse métallique), bref tout pour faire mal ce qu'on pourrais fait > mieux. Et je ne parle pas de "truster" laposte avec les 10000 TLD tous > fais pour que tout le monde s'habitue au phishing industriel... > > Xavier
Nous sommes d'accord. Il n'y a aucune vision stratégique et il semble que toutes ces initiatives n'apprennent ni de leur erreurs ni de celles des autres. Pour qu'un tel système fonctionne il faut: - de l'authentification forte (on a déjà payé pour et on sait faire: des smartcards dans les papiers d'identité ou les secure- elements/TPMs) - que ce soit utilisable (features, contraintes de disponibilité, ...) - qu'il y ait une bonne raison de justifier le changement (de toutes les parties: ceux qui implémentent, les utilisateurs, ...) Pour l'instant il n'y a aucune initiative qui traite du troisième point alors que c'est le plus important. Les solutions c'est comme souvent la carotte et le baton... Prenons un exemple précis proche des problématiques que les lecteurs de la liste rencontrent: pour vendre une carte SIM il faut connaître l'identité du client. L'opérateur se contre-fou de à qui il la vend... mais il est obligé de conserver des justificatifs d'identité. Si demain l'état accouche de France Connect++, il n'y aura aucun intérêt pour l'opérateur de l'implémenter (et de remplacer l'existant) si l'obligation de conserver ces justificatifs perdure. Il y a bien entendu la solution de l'y contraindre (on aime bien les obligations sans sanctions en France) mais il serait beaucoup plus simple et sécurisé pour tout le monde d'utiliser une solution de SSO. Le client pourrait être pseudo-anonyme vis à vis de l'opérateur et souscrire plus simplement/rapidement, l'opérateur pourrait réduire ses coûts et la friction pour acquérir de nouveaux clients, l'état conserve la possibilité de faire le lien (et de s'impliquer si besoin - y compris si le client est un mauvais payeur). J'ai pris l'exemple d'une carte SIM mais il y en a bien entendu d'autres (identification des utilisateurs en WiFi, ...). --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
