Accueil > Petite victoire contre La Carte d’identité electronique !

Petite victoire contre La Carte d’identité electronique !

Publie le jeudi 16 juin 2005 par Open-Publishing
3 commentaires

La carte d’identité électronique en question

Dans un rapport publié jeudi, le Forum des droits sur l’internet demande une révision du projet de carte d’identité électronique, prévue pour 2007 en France, afin d’éviter les atteintes à la vie privée.

Exemple de carte d’identité électronique, en Belgique

Le Forum des droits sur l’internet, organisme parapublic, a demandé au ministère de l’Intérieur de revoir son projet de carte d’identité électronique (CNIE), dans un rapport rendu public jeudi 16 mai qui réclame notamment un système protégeant mieux la vie privée.
"Le projet de carte nationale d’identité électronique doit être revu", selon le Forum, qui formule une série de recommandations, en particulier "réaliser des études pour chiffrer la fraude à l’identité, dissocier le projet de CNIE de celui du passeport, mettre la CNIE sous le contrôle opérationnel permanent de la CNIL (Commission nationale informatique et libertés".
Le Forum recommande, sinon une "remise à plat, qu’au moins on revoie certains points fondamentaux du projet", a expliqué le rédacteur du rapport, Jean Gonié, juriste du Forum.
Le ministre de l’Intérieur Nicolas Sarkozy, auquel le rapport a été remis, s’est engagé à en tirer les enseignements pour "approfondir sa réflexion sur le projet Ines (Identité nationale électronique sécurisée, qui concerne aussi bien la carte d’identité que le passeport)", a indiqué la présidente du Forum Isabelle Falque-Pierrotin lors de la présentation à la presse.

L’argument de la sécurité

Mandaté en janvier par le ministère pour lui remettre un rapport avant l’examen du projet par le Parlement, le Forum synthétise les résultats d’un débat public de février à mai, à partir de "plus de 3.000 contributions d’internautes, 6 débats organisés en région, un sondage réalisé par IPSOS".
Selon ce sondage réalisé en mai, les Français sont largement favorables (à 74%) à la carte d’identité électronique.
"L’argument de la sécurité est extrêmement fort pour les Français", a souligné Mme Falque-Pierrotin, et "pourtant le débat public a fait état de réticences fortes".
"Le principal objet du débat a porté sur l’équilibre entre protection des libertés individuelles et sécurité de l’identité", selon le texte.
"Les arguments avancés par le ministère de l’Intérieur (...) n’ont pas convaincu. La fraude à l’identité, présentée comme un argument majeur, n’a pas pu être clairement chiffrée", selon le rapport.
"La préoccupation numéro 1, c’est la préoccupation relative à la vie privée", a précisé la présidente du Forum, ajoutant que celle-ci s’était "exprimée dans certains cas d’une façon presque épidermique".
Certains participants ont ainsi craint que le projet ne vise à "implanter une puce sous-cutanée à l’ensemble de la population française".

Fichier de police national ?

En mai, la Ligue des droits de l’homme, le Syndicat des avocats de France (gauche) et le Syndicat de la magistrature (gauche) avaient d’ailleurs exigé le retrait du projet, lui reprochant de "constituer un fichier de police à l’échelle du pays et de toute la population".
Selon le projet présenté le 11 avril, la CNIE, payante et obligatoire, comporterait les empreintes des deux index, une photo numérisée et une signature électronique. Elle doit entrer en vigueur à partir de 2007.
Le Forum propose que la CNIE soit gratuite à la première délivrance mais payante en cas de perte ou de renouvellement et demande un débat parlementaire sur son caractère obligatoire.
Isabelle Falque-Pierrotin a insisté sur le découplage entre la carte et le passeport, en référence aux réglementations européennes qui n’imposent la biométrie que pour le second titre.

http://permanent.nouvelobs.com/multimedia/20050616.OBS0383.html

Messages

  • NOTRE SYSTEME EST SUR ! disaient-ils... sans l’intervention de nos nombreux militans anti-systems liberticides, le projet serait passé haut la main, en cela je remercie tout le monde.

    et je rajoute une couche toute fraiche concernant leur soit disant securite de signature informatique "infalsifiable" :

    Attaque réussie contre la signature électronique.

    Deux chercheurs sont parvenus à modifier le contenu d’un document signé électroniquement sans altérer la validité de sa signature. Une telle attaque était considérée jusqu’à présent comme purement académique parce qu’il était impossible de contrôler le contenu du document modifié. Les deux chercheurs, eux, peuvent faire signer n’importe quoi et produire n’importe quel autre document... portant la même signature !

    Prenez un document électronique. Signez-le. Il est censé ne plus être modifiable : la clé privée qui a certifié la signature prouve l’identité du signataire tandis que l’empreinte du document, fournie par des algorithmes tels MD5 ou SHA-1, est irrémédiablement liée à son contenu. C’est d’ailleurs là tout l’intérêt de la signature électronique par rapport à son équivalent sur le papier : elle certifie aussi que le contenu du document n’a pas été modifié depuis sa signature.

    Mais cela pourrait bientôt ne plus être tout à fait le cas. Lors de la dernière conférence Eurocrypt 2005, deux chercheurs allemands ont présentés une attaque particulièrement sournoise contre les signatures électroniques générées grâce à l’algorithme MD5. Ils sont parvenus à faire signer un document et à présenter ensuite un autre, totalement différent, portant la même signature... qui était toujours valide !
    Pour le petit monde des passionnés de cryptographie, cela tient de la magie. Mais pour celui de la sécurité informatique, c’est surtout une nouvelle inquiétante.

    Pour parvenir à leur fin, les deux chercheurs ont mis en oeuvre à la fois une obscure caractéristique propre aux documents Postscript et une attaque mathématique connue contre l’algorithme MD5.
    La première phase de l’attaque consiste à glisser deux documents totalement différents au sein du même fichier Postscript. Un seul de ces documents peut-être visible à la fois tandis que l’autre demeure caché dans le fichier. La bascule entre les deux versions se fait en échangeant simplement le nom interne des documents au sein du fichier Postscript. Nous sommes pour l’instant encore loin de l’attaque high-tech, mais cela va venir. Car chaque version du contenu se voit attribuer un nom interne (un label) calculé en utilisant une attaque déjà connue contre MD5, dite "de collision". Cette attaque permet de créer des contenus différents qui généreront pourtant la même signature (le même hash) MD5.
    Jusqu’à présent cette attaque était considérée comme purement académique car il est impossible de l’utiliser pour créer des contenus qui "veulent dire quelque chose". Oui mais voilà : en utilisant cette technique pour créer deux noms différents à la signature identique, peu importe s’ils ne veulent rien dire : ils ne sont destinés qu’à spécifier au sein du document quelle version du contenu doit être affichée. Grâce à cela, les deux chercheurs peuvent ensuite échanger à loisir les labels au sein du fichier signé sans que l’empreinte du document, dans sa globalité, n’en soit affectée. Ils peuvent donc rendre visible la version illégitime du contenu associée à une signature, elle, tout à fait valide.

    Le scénario d’attaque impliquerait donc de réaliser à l’avance un fichier Postscript contenant un premier document -visible- totalement anodin et un second, caché, qui contient le texte à faire signer illégalement. Une fois le texte anodin signé, il suffit alors d’éditer le fichier Postscript pour remplacer le label du document anodin par celui de la version cachée. Puisque les deux produisent la même signature MD5, le fichier Postscript lui-même demeure totalement inchangé aux yeux de l’algorithme. Et sa signature est donc toujours valide.

    Bien sûr, cette attaque ne concerne pour l’instant que des documents Postscript signés avec l’algorithme MD5. C’est plutôt limité, et il ne s’agit bien que d’une attaque, et non d’une nouvelle vulnérabilité des algorithmes de signature. Mais du côté des spécialistes on s’attend à voir apparaître des variantes capables de fonctionner avec l’algorithme SHA-1 (pour lequel des attaques de collision existent déjà) et d’autres formats de documents avancés capables de gérer le support de plusieurs versions d’un même contenu. Voilà de quoi faire de la publicité pour un format simple tel que le XML...

    En attendant les parades éventuelles, si vous devez signer un document électronique, jetez-y un oeil avec un éditeur de texte avant d’aposer votre signature !

    Info ! Plus d’informations :

    Une présentation simplifiée par l’un des auteurs de l’attaque. Le document Postscript piégé peut également être téléchargé sur cette page. http://www.cits.rub.de/MD5Collisions/

    http://www.lesnouvelles.net/article...

    wapasha

    • Ce document est révélateur
      http://actualite.free.fr/actu.pl?do...

      "ce Forum qui rassemble 70 organismes publics, associations et entreprises privées."

      je ne connais pas ce "forum" ( qui est un "organisme", pas un forum internet), mais pourquoi les "entreprises privées" ont elles leur mot à dire ? En revanche, je sais que la ligue des droit de l’homme et le syndicat de la magistrature s’opposent clairement au projet INES, ....

      En fait avec cette histoire de pseudo contrôle de la cnil et des conclusion du Forum,organisme censé légitimer son projet (avec des subtilités qui ne trompe personne), Sarko essai de nous faire quand même avaler INES. En realité il n’y a aucune réelle légitimité démocratique là dedans,

      NON au projet INES !

      Voici l’article en ligne de la LDH qui montre bien que ce forum est de façade et ne barre pas la route à INES
      vous pouvez lire l’article et signer la pétition pour le retrait du projet INES

      http://www.ldh-france.org/actu_dern...

      Et Washapa, on peut aussi télécharger le fichier PDF, l’imprimer et le renvoyer par la poste...

    • j’ai participé au forum des droits sur l’internet et en effet, il y avait apparement, vu le discours, plus d’interets privés en face que de gouvernementeux (teurs).

      ce sont ces entreprises privées qui decident, pas le gouvernement. le gouvernement n’est qu’un pantin qui suit et ramasse ses "com" au passage.

      wapasha