L’identification

L’identification est le fondement de toute la sécurité. Tous, que ce soit un ordinateur ou un consommateur de données, doivent posséder un identificateur158 _{unique qui permet}

d’effectuer l’identification sans ambiguïté. Sans identification, l’entreprise ne sera pas en mesure d’accorder une autorisation ou, le plus critique, d’attribuer les responsabilités. Elle sera aussi en mesure d’assignation des privilèges spécifiques à un usager ou à un ordinateur, de garantir la non-répudiation des opérations, de mettre en oeuvre des décisions sur les contrôles d’accès et de prévenir les accès déguisés par des étrangers159_.

Ainsi, pour éviter les erreurs d’identité, les usagers doivent être clairement identifiés avant d’avoir accès aux données à caractère personnel. Il existe plusieurs types de processus d’identification. Normalement, c’est l’entreprise elle-même qui crée les identificateurs qu’elle a l’intention d’utiliser. Mais, elle peut toujours faire appel à des identificateurs externes (ex. : permis de conduire, carte assurance-maladie), ceux-ci ayant l’inconvénient d’affaiblir la sécurité puisque le processus de création et de révocation n’est pas contrôlé. Dans tous les cas, l’identificateur doit comporter certaines caractéristiques160 _{: il doit être unique, universel,}

vérifiable, infalsifiable, transportable et facile à utiliser. Ainsi, chaque utilisateur ne doit avoir qu’un seul identificateur, même si l’utilisateur joue plusieurs rôles, facilitant tant l’association entre l’identificateur et l’individu que la gestion et la délivrance. Cet identificateur ne doit pas être partagé, surtout pour un contrôle efficace des informations personnelles, faute de quoi, il ne serait plus possible de responsabiliser un individu.

De plus, chaque individu doit utiliser le même type d’identificateur (universalité). On simplifie ainsi le stockage et la gestion. Le processus de vérification doit être le même partout dans l’entreprise pour simplifier les interfaces d’accès et garantir une meilleure acceptabilité. Si

157 _{Voir Partie 2, Chapitre 1, section 2, supra, p. 80.}

158 _{Un identificateur est une entité qui représente un utilisateur pour un système informatique quelconque.} 159 _{G. STONEBURNER, précitée, note 123, p. 15.}

l’identificateur est difficile à utiliser, on peut entraver gravement son acceptation ou même le rendre inutilisable s’il présente une forte dépendance à la structure, surtout lorsque celle-ci est indisponible. De plus, l’identificateur doit être difficile à falsifier. L’utilisation d’hologrammes (comme ceux utilisés sur les cartes de crédit VISA) rend la falsification d’une carte coûteuse. Si l’entreprise utilise les cartes à puces comme identificateur, il faut s’assurer que la carte empêche des méthodes de falsification, notamment l’utilisation de moyens cryptographiques, qui protègent les données stockées. En cas de destruction de la carte, il faudra s’assurer de que la réutilisation après désactivation soit impossible. Le but est de causer des dommages matériels suffisants au support pour prévenir toute récupération des données qui y sont emmagasinées.

De plus, en matière de sécurité informatique, il faut se rappeler qu’un système inutilisé est souvent le plus dangereux. Ainsi, dans le cas des identificateurs, il faut se souvenir que plus il est transportable, plus facilement il sera utilisé par les usagers. Toutefois, dans la majorité des cas, un système ne sera pas utilisé s’il est trop irritant ou compliqué (par exemple, les programmes servant à crypter et signer les messages électroniques, comme P.G.P). La sécurité est un pacte. Cette dernière est plus facile si elle est visible pour l’utilisateur lors de l’interaction et la prise de décisions. D’un autre côté, les utilisateurs ne veulent pas voir les mesures de sécurité.

« […] A smart security designer doesn’t want users to see security. A smart security designer knows that users find security measures intrusive, that they will work around then whenever possible, that they will screw with the system at every turn. People can’t be trusted to implement security policies, just as they can’t be trusted to lock their car doors, not to loose their wallet […] ».161

Une fois l’identificateur choisi, l’entreprise devra se pencher sur les questions de la portée et de l’administration de l’instrument. La portée de l’identificateur dépendra du niveau de confiance dans sa qualité. Si une portée restreinte offre un contrôle plus local des systèmes, en contrepartie, celle-ci oblige les utilisateurs à s’identifier chaque fois qu’ils se servent d’une ressource différente. Un identificateur à portée étendue réduit le nombre d’identifications nécessaires, mais demande un niveau de confiance accru au moment de la délivrance de ce dernier.

Quant à l’administration des identificateurs, soit leur création, leur révocation, leur distribution et leur destruction, on peut adopter un système de gestion centralisé ou décentralisé162. Une administration centralisée permet d’appliquer les mêmes standards de preuve lors de l’identification. On facilite ainsi la gestion des comptes, mais les délais de délivrance et de vérification sont plus grands. Ce type de système s’applique mieux dans une entreprise avec peu d’employés. Toutefois, si l’on prend comme exemple les identificateurs pour le gouvernement, il serait préférable d’adopter un système d’administration décentralisée. Ce dernier facilite l’attribution des identificateurs en réduisant le temps d’attente et le temps de résolution de certains problèmes techniques locaux. Cependant, il est difficile de conserver le caractère universel de l’identificateur et on peut rencontrer des problèmes de synchronisation163.

161 _{B. SCHNEIER, précitée, note 108, p. 261.} 162 _{D. PIPKIN, précitée, note 124, p. 133.}

163 _{Gaston PARADIS, « Authentification dans les environnements de traitement distribués », Journal 13.3}

Association des Professionnels de la Vérification et du Contrôle des Systèmes d’information, Montréal, 2002 en ligne : APVCSI <http://www.apvcsi-montreal.ca/fr/publications/contact133f.htm>.