xChk: Bring Your Own Identity -- Heterogeneous Assurance with Verifier-Determined Sufficiency

Le dilemme de l'identité numérique

Imaginez Internet comme une ville immense et trépidante où chaque magasin, banque ou parc possède son propre garde de sécurité. Certains gardes demandent simplement un nom ; d'autres exigent un acte de naissance, un selfie en direct ou une lettre de votre patron. Dans le monde réel, c'est agaçant mais gérable. Dans le monde numérique, c'est un cauchemar. Actuellement, lorsque vous vous connectez à un site web, le « fournisseur d'identité » (le service qui vérifie qui vous êtes, comme Google ou Microsoft) se contente généralement de crier : « Oui, cette personne est réelle ! » Il ne dit pas au magasin à quel point elle est réelle. Ont-ils juste tapé un mot de passe ? Ou ont-ils présenté une pièce d'identité gouvernementale et un scan facial en direct ? Pour le magasin, les deux se ressemblent exactement, ce qui pose problème lorsque vous essayez d'acheter un billet d'avion ou d'accéder à un compte bancaire.

Ce document s'attaque à cette confusion en proposant une nouvelle façon de gérer l'identité numérique appelée « Bring Your Own Identity » (BYOI - Apportez votre propre identité). Au lieu d'une vérification unique et rigide, imaginez votre identité numérique comme un sac à dos rempli de différentes « preuves ». Vous pourriez avoir une pièce d'identité gouvernementale, un badge d'entreprise, une vérification de réseau professionnel, ou même un historique d'activité à long terme sur une plateforme. Le document présente un système appelé xChk, qui agit comme un coursier intelligent pour ce sac à dos. Il ne décide pas si vous êtes autorisé à entrer dans le magasin ; il transporte simplement votre collection spécifique de preuves vers le magasin, et le garde du magasin décide quelle combinaison de preuves est suffisante pour vous laisser entrer. Ceci est crucial car, à mesure que les agents d'Intelligence Artificielle (IA) commencent à accomplir des tâches pour nous — comme acheter des courses ou gérer des fichiers — nous avons besoin d'un moyen de prouver non seulement qu'un humain existe, mais qu'un humain spécifique a autorisé un robot spécifique à agir, et que l'humain est bien celui qu'il prétend être.

Le sac à dos xChk : Une nouvelle façon de prouver qui vous êtes

Le document présente xChk, un système de référence conçu pour résoudre le problème du « taille unique » de l'identité numérique. Considérez xChk comme un traducteur universel et un sac à dos sécurisé combinés. Dans l'ancien système, si vous vous connectiez avec un e-mail d'entreprise, le site web savait seulement que vous étiez un employé. Si vous vous connectiez avec un compte de réseau social, il savait seulement que vous aviez un profil. xChk change cela en vous permettant de vous inscrire en utilisant n'importe quel mélange de méthodes en lesquelles vous avez confiance. Vous pourriez utiliser une pièce d'identité gouvernementale, une connexion d'entreprise, une clé de sécurité matérielle (comme une clé FIDO2), une vérification de réseau professionnel, ou même un entretien vidéo en direct avec un agent d'assistance.

Une fois que vous avez rassemblé ces « preuves », xChk les emballe dans un ticket numérique standard (appelé jeton OAuth/OIDC). Voici le tour de magie : xChk ne décide pas si vous êtes autorisé à entrer. Il livre simplement le ticket. Le magasin (la « Partie de Confiance » ou Relying Party) détient le livre de règles. Si le magasin exige une pièce d'identité gouvernementale et un scan facial en direct, xChk leur montre exactement ces deux éléments de votre sac à dos. Si le magasin n'a besoin que d'un e-mail d'entreprise, xChk ne montre que cela. C'est ce qu'on appelle la « Suffisance Déterminée par le Vérificateur » (Verifier-Determined Sufficiency). Le magasin prend la décision finale, et non le fournisseur d'identité. Cela signifie que vous pouvez porter un historique riche et détaillé de qui vous êtes, mais que vous ne montrez que les parties spécifiques nécessaires pour la tâche précise, préservant ainsi votre vie privée.

Humains, Robots et la chaîne d'« Attestation »

Le document aborde également un problème croissant : les agents d'IA. Ce sont des assistants numériques capables d'accomplir des tâches pour les humains, comme envoyer des e-mails ou déplacer des fichiers. Mais qui est responsable si le robot commet une erreur ? xChk réside dans la résolution de ce problème en créant un « graphe de vérification » où les humains et les robots sont liés.

Imaginez un humain principal (vous) comme la racine d'un arbre. Vous pouvez « déléguer » des branches à vos agents d'IA. Mais voici le filet de sécurité : pour les actions à haut risque, le système exige une Attestation avec l'Humain dans la Boucle (Human-in-the-Loop Attestation). Si un agent d'IA veut effectuer une action importante, il ne peut pas simplement la faire. Il doit demander à un humain. L'humain examine la demande, vérifie son identité avec une clé de passage (passkey) sécurisée, et donne un « tampon d'approbation » numérique. Cette approbation est enregistrée dans une chaîne, comme une liste de reçus liés. Si vous révoquez votre accès, toute la chaîne d'agents sous votre contrôle est instantanément coupée, empêchant un robot incontrôlé d'agir en votre nom.

Le système supporte même une vérification « bilatérale ». Avant de partager votre identité avec un magasin, le système vérifie aussi l'identité du magasin. Il demande : « Est-ce que ce magasin est une véritable entreprise ? Ont-ils un domaine vérifié ? » Si le magasin échoue à ce test, vous ne serez même pas sollicité pour partager vos données. Cela empêche les sites de phishing de vous tromper pour vous soutirer votre sac à dos numérique.

Comment cela fonctionne dans le monde réel

Les auteurs ont construit un prototype fonctionnel de xChk, disponible sur un site web en direct. Ils l'ont testé avec une « Partie de Confiance » spécifique (un site web appelé Crabby Editor) qui utilise xChk pour permettre aux utilisateurs de se connecter. Le système gère :

• L'inscription : Les utilisateurs peuvent s'inscrire en utilisant diverses méthodes (pièce d'identité gouvernementale, SSO d'entreprise, passkeys, etc.).
• Le Sac à Dos : Le système crée un « portefeuille » de ces preuves.
• Le Transfert : Lorsque vous vous connectez, le système envoie un jeton contenant vos preuves sélectionnées au site web.
• Le Contrôle du Robot : Si un agent d'IA tente d'agir, il doit passer par une porte d'autorisation où un humain approuve l'action, créant un enregistrement chaîné par hachage de cette approbation.

Le document inclut des « micro-benchmarks » (petits tests de vitesse) montrant que la vérification des signatures numériques et du contenu du « sac à dos » est incroyablement rapide (prenant moins de 0,02 milliseconde pour les vérifications locales). Cependant, l'étape d'approbation humaine prend le temps nécessaire pour qu'une personne voie une notification et clique sur « approuver », ce qui constitue le goulot d'étranglement naturel pour la sécurité.

Ce que ce document fait et ne fait pas

Il est important de comprendre les limites de ce qu'atteint xChk. Le document ne prétend pas avoir résolu tous les problèmes d'identité ou être un système parfait et incassable. Il stipule explicitement qu'il s'agit d'une « implémentation de référence », ce qui signifie qu'il s'agit d'un modèle fonctionnel pour montrer comment cette idée peut être construite, et non d'un produit commercial final prêt pour toutes les banques du monde.

Le document rejette l'idée qu'un seul « Score de Confiance » (un chiffre unique évaluant la qualité de votre identité) devrait être la seule chose qui importe. Au lieu de cela, il soutient que différents magasins ont besoin de différentes combinaisons de preuves. Un café ne se soucie peut-être pas de votre pièce d'identité gouvernementale, mais une banque, si. xChk permet au magasin de demander exactement ce dont il a besoin.

Les auteurs sont confiants que leur système fonctionne comme décrit dans leurs tests. Ils ont mesuré la vitesse des vérifications numériques et démontré que le processus d'approbation « humain dans la boucle » fonctionne correctement. Cependant, ils admettent que l'adoption généralisée par d'autres sites web reste un travail futur. Ils notent également que la fonction d'« ancrage blockchain » (stocker une empreinte minuscule de l'approbation sur un registre public pour une sécurité supplémentaire) est optionnelle et nécessite une configuration spécifique.

En bref, xChk est une proposition ludique mais sérieuse pour cesser de traiter toutes les identités numériques de la même manière. Il suggère qu'au lieu d'une clé unique, nous devrions avoir une boîte à outils de clés, et laisser la personne qui ouvre la porte décider lesquelles elle veut voir. Il comble le fossé entre l'identité humaine et l'action de l'IA, garantissant que lorsqu'un robot agit, nous savons exactement quel humain lui a donné l'ordre de le faire, et que cet humain était bien celui qu'il prétendait être.