L'évolution de la confiance numérique

In today’s interconnected world, we can rely on all kinds of connections – from typical use at home, where we have computers, smartphones, and household appliances, to enterprises, where there are servers containing sensitive customer data or a multitude of controllers that are mission critical for manufacturing or provide revenue-generating services. 

Pour tous ces exemples, nous comptons sur nos appareils pour savoir avec qui nous communiquons et pour avoir l'assurance de l'intégrité et de la confidentialité des données - encore une fois, qu'il s'agisse du calendrier d'allumage de nos appareils domestiques intelligents ou des instructions données à la machine de l'usine sur ce qu'elle doit faire, et de tout ce qu'on peut imaginer entre les deux. Notre vie moderne dépend de la confiance que nous pouvons accorder aux systèmes et aux appareils dont nous dépendons pour rendre notre vie plus confortable, accomplir des tâches spécifiques et permettre à notre société de fonctionner plus efficacement à bien des égards.

As usual, I reflect on the core of all this stuff: mathematics and applied cryptography. For some folks, it is scary stuff. But for others like me, it is a passion I like to spend my time on, 30+ years and counting. Nevertheless, the important thing for all of us to remember is that many talented people have developed the concept of digital trust over the past four decades. These folks, the cryptographers, have developed algorithms and protocols that create the fabrics of trust and several security mechanisms that most of us use every single day, sometimes knowingly/intentionally, while many times it is all done for us automatically and “it just works.” Funny, math sometimes allows us to imagine things that are yet impossible to implement – back in the day, computers were computationally too weak, and we did not have developed infrastructure that would allow us to connect to just about anyone, anywhere. 

L'émergence de la confiance, des navigateurs aux cartes d'identité

Nous qui sommes nés avant l'apparition des smartphones, avant même que Google ou Facebook n'existent, nous nous souvenons de la dernière décennie du XXe siècle, lorsque tout cela a commencé à être mis en pratique. 

It all started with browsers. As people started to use browsers to consume information available on the internet, it became imperative to ensure that we could trust what we saw in the browser and that others could not easily know what we were looking at. The browser that changed the world was Netscape, where a team led by brilliant cryptographer Tahel El Gamal gave us the capability to provide security in internet communication. It was called SSL protocol, and the modern-day iteration is called TLS. The SSL protocol is based on the use of so-called digital certificates and public key cryptography. This invention gave users on the internet the capability to connect securely to websites, thus providing trust in the internet, and it is safe to say it was one hugely important contributing factor towards the digital transformation of our societies. For instance, e-commerce was practically non-existent before this innovation. 

Les premières mises en œuvre de la "confiance publique" et des services associés aux systèmes de confiance étaient maladroites, n'étaient pas du tout conviviales et n'ont souvent pas atteint les objectifs visés. Simplement, les produits étaient encore immatures et, comme la plupart des bonnes intentions des marchés publics, la plupart d'entre eux n'ont abouti qu'à un gaspillage de l'argent des contribuables. 

Lentement mais sûrement, des succès et des leçons précieuses ont été tirés. Les services B2C ont été introduits par certaines banques, étant donné que les banques, de par la nature même de leur activité, connaissaient l'importance de la confidentialité. Bien qu'efficaces à l'époque, ces systèmes n'étaient pas très évolutifs. Les utilisateurs devaient disposer d'un appareil spécial connecté à un ordinateur (lecteur de carte à puce). C'était un véritable cauchemar que de (ré)installer le pilote software à chaque mise à jour de Windows. 

Certains gouvernements avaient l'ambition de fournir des services G2C. Outre les difficultés techniques, nous avons également obtenu des "normes" et des réglementations spécifiques à chaque pays qui, au mieux, protégeaient les fournisseurs nationaux ou privilégiés et, au pire, n'étaient pas suffisamment sûres. Cependant, nous avons beaucoup appris - alors que les premières cartes d'identité à puce émises par les gouvernements ont été des échecs il y a plus de 20 ans, nous avons aujourd'hui de merveilleux exemples où la majorité de la population utilise des cartes d'identité électroniques pour accéder à la fois aux services gouvernementaux et aux services commerciaux. 

Living in Sweden, it is almost impossible to imagine how the world was working before BankID – we access all kinds of services on a daily basis using this service. Another example is the digital identity cards in Estonia, which are widely considered a model of success. Both examples have more than a decade of wide-range use, work for most of the population, and provide society with services that save tons of money for taxpayers. 

Les défis de la confiance numérique à mesure que la technologie évolue

Pourtant, à mesure que les technologies se sont améliorées, les abus et les "attaques" ont suivi. Le problème de l'adaptation à un grand nombre d'utilisateurs est multiple, et je ne mentionnerai ici que quelques exemples. 

Il est simple de valider la validité d'un seul certificat, mais avec des millions de certificats émis, chaque partie a besoin d'un moyen efficace pour s'assurer qu'elle communique avec l'homologue prévu et approuvé. Même pour le système le plus simple, avec une seule hiérarchie de confiance, cela implique d'importants transferts de données uniquement pour fournir à chacun les informations de validation actuelles. 

En outre, nos navigateurs intègrent plus de 100 hiérarchies de confiance, et un utilisateur ordinaire n'a aucune chance de se valider sur chacune d'entre elles, car cela représenterait une tâche énorme. Par ailleurs, certains de ces points d'ancrage de confiance, appelés autorités de certification publiques, ont été la cible d'attaques malveillantes et d'abus subséquents. Si un tel système est compromis et qu'il compte des millions d'utilisateurs, il peut être pratiquement impossible de rétablir la confiance. 

Des améliorations ont été apportées et, aujourd'hui, nous disposons de technologies qui permettent la validation des certificats à la demande, ainsi que de règles et de réglementations interprofessionnelles qui contrôlent la manière dont les certificats de confiance publique sont délivrés. Est-ce parfait ? Non. Cela fonctionne-t-il ? Oui. Le débat est sans fin - il faut constamment s'attaquer aux nouvelles méthodes d'attaque. 

Ici, en Europe, nous avons abandonné les normes spécifiques à chaque pays pour nous orienter vers des normes au moins européennes. Cela a ouvert la voie à une concurrence très importante entre les fournisseurs, mais aussi à la possibilité pour un citoyen d'un pays X d'utiliser des services dans un pays Y. Mais le monde ne s'arrête pas au Svalbard ni à Malte - nous devons communiquer avec "tout le monde". 

Pour le bien de l'humanité (en grande partie), les grandes entreprises technologiques ont joué un rôle important dans la promotion des technologies qui fonctionnent partout (là où elles ne sont pas interdites ou contrôlées par des gouvernements spécifiques). Oui, c'était dans leur propre intérêt, mais qu'importe : cela fonctionne (la plupart du temps) ! 

One example that has been fairly successful is the 3GPP consortium, which brought a bunch of standards within mobile telecommunications. The trust model (related to the digital trust and use of PKI) from the 3GPP standards is arguably one of the best developed and has been used for almost 20 years now worldwide. 

There are so many details that I omit here, but it would be unfair to forget the contributions of companies and individuals towards the creation of the open standards that allow us to enjoy the benefits of the fabric of trust. When the cryptographers come up with some brilliant new discovery, then the engineers make it work in a consistent, interoperable manner. That is so much easier to say than do. The engineers who work on standards must look both back to allow the new systems to work with the old and ahead to allow for future improvements in a field that is rapidly evolving. The unsung heroes of the last 25+ years are the engineers who contributed towards interoperable standards. If I was to pick one organization, then it would be the IETF, where contributors from many companies delivered hundreds of de-facto standards without which the digital age we enjoy would be digital “wild west.”

Check back next week for a look at three trends impacting the evolution of digital trust. In the meantime, explore our white paper.