Ça dépends des gens qui comptent, mais selon un consensus observé au doigt mouillé, la France est sur le podium des pays qui subissent le plus de fuites de données.
Depuis la dernière grosse en date (coucou les copains de la DGFiP .. Force à vous !), les merdias n’ont qu’une seule obsession : À QUI LA FAUTE ?
C’est un peu comme les incendies : c’est un peu de la faute du gars avec sa clope par la fenêtre, mais surtout le salaud de politique qui a pas voté un canadair ou l’enfoiré d’écolo qui a laissé pousser l’herbe ou lutté contre une bassine.
Jamais de la faute de Total qui nous éclate du CO² dans l’atmosphère à très haute dose ou le capitalisme qui l’entretient.
Eh ben là, c’est pareil
On s’en bat littéralement les steaks de savoir à qui la faute de la fuite de nos données fiscales. Ça fait bientôt 50 ans que la loi informatique et liberté a été promulguée. A une époque ou il n’y avait ni smartphone ni IA, des gens qui réfléchissaient avaient déjà posé les bases : on ne fait pas des fichiers avec des données perso pour le plaisir (principe de minimisation) et on ne les croise que si on a de très bonnes raisons de le faire.
Aujourd’hui, on a le RGPD, des moyens cryptographiques assez poussés et des IA qui trouvent des failles de sécurité plus vite que des pop-corn qui éclatent dans une poele, mais non, on continue. Les gens sont identifiés par leur numéro de sécurité sociale partout, les bases de données ne sont pas protégées et n’importe qui peut siphonner joyeusement tout ça.
Cherry on the Cake ? Nos sénilateurs ont voté le droit pour France Travail d’accéder aux fichiers de compagnies aériennes, aux relevés téléphoniques et aux données de connexions. C’est proportionné hein, de rendre toutes ces données accessibles à une institution qui s’est déjà faite trouée de multiples fois parce que 1.3% des gens indemnisés resquillent.
Ben voyons .. WHAT COULD GO WRONG ?
Ça suffit
« ouais mais t’es gentil, on fait comment si on a pas de base de données ? »
Question très intéressante, Christiane. Faisons un petit exercice de pensée sur le cas d’actualité qui nous chauffe en ce moment : la déclaration d’impôts.
Tous les ans, tu va sur le site, tu rempli les deux trois cases qui manquent (ou pas hein, parce que bon, pour la majorité des gens, tu clic juste « ouais c’est bon » et tu vérifie même pas, comme les CGU de Facebook, faut être clair) tu valide et zou c’est plié.
Partant de là, il se passe quoi ? Le fisc considère que t’as déclaré et le note dans ses tablettes avec les chiffres qu’il connaissait déjà et éventuellement ceux que tu as ajouté.
Plus tard, un script passe et compare tout ça à d’autres sources de données, et parfois ça allume une loupiotte rouge chez eux et tu as un gentil contrôleur qui vient prendre le café chez toi pour que tu lui explique pourquoi t’as mis ces chiffres là. Ça concerne semble-t-il quelque chose comme 3% des contribuables chaque années. Là dessus, les 2/3 font l’objet d’un redressement.
On va donc simplifier en disant que nous avons 2% de tricheurs. soit 800.000 personnes. Et donc, pour pouvoir les retrouver, on entasse ad-vitam æternam les données de 39 millions de contribuables qui n’ont rien à se reprocher.
Et si ….
Si on faisait tout pareil, sauf qu’à l’issue de la déclaration, le fisc fait passer son script, contrôle que tout va bien, et si c’est le cas, garde la preuve mathématique du dépôt de déclaration (pas le contenu) et la signe avec sa propre clé pour fixer son existence dans le temps et le fait que le contrôle du script n’a rien retourné d’étrange ? Éventuellement elle garde le montant attaché à cet évènement pour une dizaine d’année. Le reste : poubelle.
Pas de fichier gigantesque et historisé : pas de fuite.
Mieux : lors du dépôt de sa déclaration, le contribuable a attaché sa clé publique permettant au fisc de chiffrer l’ensemble du package déclaratif et sa propre signature et de le stocker.
Seul le contribuable peut déchiffrer le fichier et il est légalement contraint de le faire sur demande du fisc pour ré-étudier une déclaration passée au besoin. Mais si elle fuite, personne ne peut rien en faire.
Alors oui, je sais ce que tu va me dire : « tatie Michèle, elle fait comment avec une paire de clé GPG ? ». Elle utilise des appareils modernes. On split les clés avec l’algo de Shamir et on en confie les fragments à des membres de sa famille ou a plusieurs institutions indépendantes les unes des autres pour reconstituer la clé en cas de perte .. bref, on s’adapte.
Les gens ont bien réussi à s’adapter au principe de la clé, de la voiture, du smartphone … je pense qu’il est temps de cesser de dire que l’identité numérique et la gestion technique qui en découle doivent continuer à être confiée à des tiers « parce que sinon c’est compliqué ».
Ton identité numérique est à toi, pas à l’état dont tu dépends, pas à l’UE, pas à un magnat américain ou type dans son garage. Et elle DOIT pouvoir protéger l’ensemble de ta vie numérique, qu’elle soit chez toi, dans ton smartphone, dans le cloud, chez les impôts ou dans le disque dur d’un hacker mal ou bien intentionné.
Et non, personne n’arrivera à faire un « fort knox numérique » ou on pourra continuer à entasser nos vies en étant certain qu’il n’y aura jamais de fuite.
La question n’est pas « si ? » mais « quand ? ».
Rendez-vous dans 15 jours pour les premières fuites de « Plateformes Agrées » qui sauront bientôt la couleur et le nombre de carreaux de carrelage que tu aura cet hiver dans ta cuisine.
Laisser un commentaire