Palm Vein Reconstruction From Electromagnetic Side-Channel Emissions: Public Perceptions of Privacy Risks

Imaginez que votre corps détienne un ensemble de clés qui ne s'usent jamais, ne se perdent jamais et ne peuvent être oubliées. C'est la promesse de la technologie biométrique, où les systèmes utilisent des traits physiques uniques comme les empreintes digitales ou les motifs des veines à l'intérieur de votre main pour vérifier votre identité. Contrairement à un mot de passe, que vous pouvez changer si un pirate le vole, les caractéristiques de votre corps sont permanentes. Si un verrou numérique est forcé, vous pouvez simplement changer le code ; si un système biométrique est compromis, vous ne pouvez pas échanger votre main ou votre visage. Cette différence fondamentale fait de la sécurité de ces systèmes une question de conséquence personnelle profonde. Bien que les ingénieurs se soient longtemps concentrés sur la manière de rendre ces capteurs plus difficiles à tromper, une nouvelle ligne de recherche a découvert que les dispositifs eux-mêmes pourraient laisser fuiter des informations de manière inattendue. Tout comme une station de radio émet des signaux qui peuvent être captés par un récepteur, certains scanners biométriques émettent de faibles ondes électromagnétiques qui, dans un cadre de laboratoire, pourraient théoriquement être utilisées pour reconstruire les motifs veineux qu'ils sont censés lire.

Une équipe de chercheurs s'est donné pour mission de comprendre non pas la mécanique de cette fuite potentielle, mais la façon dont le public réagirait si un tel risque était révélé. Ils n'ont pas construit de dispositif pour voler des données, et ils n'ont pas testé de scanner spécifique. Au lieu de cela, ils ont posé une question différente : quel est l'humeur actuel du public concernant la vie privée, la confiance et le contrôle ? Pour le découvrir, ils ont examiné une vaste collection de données d'enquêtes provenant de vingt-sept pays européens, recueillies en 2010. Cet ensemble de données, bien qu'ancien, offre un instantané clair de la façon dont les gens percevaient leur vie numérique avant l'ère actuelle de l'intelligence artificielle et de la domination des réseaux sociaux. Les chercheurs ont utilisé l'idée d'une fuite de la nervation palmaire comme un scénario pour tester les attitudes existantes, demandant si les gens se sentiraient en sécurité, sous contrôle ou trahis s'ils apprenaient que les données de leur corps pourraient être volées par des signaux invisibles.

L'étude a commencé par examiner à quel point les gens étaient inquiets d'être surveillés en ligne. Les résultats ont montré un public divisé. Quarante pour cent des personnes interrogées ont exprimé l'inquiétude que leur comportement sur Internet soit enregistré, tandis que le reste se sentait moins troublé ou ne s'en souciait pas. Cette inquiétude n'était pas répartie uniformément ; les jeunes adultes et ceux dans la trentaine et la quarantaine étaient plus susceptibles d'être préoccupés que ceux de plus de cinquante-cinq ans. Cependant, l'inquiétude ne raconte pas toute l'histoire. Les chercheurs ont également examiné si les gens se sentaient capables d'empêcher cet enregistrement ou de gérer l'information une fois qu'elle était diffusée. Parmi ceux qui avaient partagé des détails personnels sur des sites sociaux ou de partage, seulement vingt-six pour cent estimaient avoir un contrôle total sur ces informations. Une partie significative, vingt pour cent, estimait n'avoir aucun contrôle du tout. Ce fossé entre le sentiment d'inquiétude et le sentiment d'impuissance suggère que si une nouvelle menace émergeait, les gens se sentiraient probablement anxieux mais impuissants, incapables de résoudre le problème par un simple changement de paramètre.

La confiance jouait un rôle tout aussi critique dans ce tableau. Lorsqu'on leur demandait qui ils faisaient confiance pour garder leurs informations personnelles en sécurité, les gens traçaient une ligne nette entre différents types d'organisations. Les institutions de santé et médicales étaient les plus respectées, soixante-dix-huit pour cent des répondants ayant confiance en leur capacité à protéger les données. Les banques et les autorités publiques jouissaient également d'un haut niveau de confiance. En revanche, les entreprises du Web n'étaient respectées que par vingt-deux pour cent des personnes interrogées. Cette conclusion est cruciale pour comprendre comment un risque biométrique serait reçu. Si le scanner d'un hôpital présentait une faille, le public pourrait l'accueillir avec un certain degré de compréhension ou de patience, étant donné la haute confiance dans les soins médicaux. Mais si une entreprise technologique ou une plateforme en ligne faisait face au même problème, la réaction serait probablement faite de scepticisme profond et de colère, car le public doute déjà de la capacité de ces entités à garder ses secrets personnels.

Les chercheurs ont également observé comment les gens se comportent réellement lorsqu'ils essaient de se protéger. Environ la moitié des personnes utilisant des sites sociaux avaient essayé de modifier leurs paramètres de confidentialité par défaut, montrant une volonté d'agir. Cependant, les actions spécifiques que les gens prenaient se concentraient principalement sur des choses qu'ils pouvaient voir et toucher, comme supprimer des cookies ou vérifier des étiquettes de sécurité sur les sites Web. Ce sont des habitudes utiles pour gérer un navigateur Web, mais elles sont inutiles contre un signal caché fuyant d'un matériel. L'étude a révélé que les gens sentaient qu'ils avaient un certain contrôle sur leurs profils en ligne, mais qu'ils n'avaient pas les outils pour inspecter les machines qui lisaient leurs corps. Cela crée un décalage dangereux : le public est appelé à gérer des risques qui vont bien au-delà de sa capacité d'influence.

La conclusion la plus révélatrice concernait la perception des gens quant à la protection des données liées au corps. Lorsqu'on leur a demandé si les informations génétiques, telles que l'ADN, devraient bénéficier d'une protection spéciale, un écrasant quatre-vingt-huit pour cent a répondu par l'affirmative. Cela suggère que les gens comprennent intuitivement que les informations liées au corps sont différentes d'un nom d'utilisateur ou d'un numéro de carte de crédit. Elles sont perçues comme quelque chose qui mérite un soin particulier. Les chercheurs ont noté que, bien que les veines de la paume ne soient pas un code génétique, l'instinct du public à traiter les données liées au corps comme hautement sensibles s'étendrait probablement à elles. Si une entreprise tentait de présenter une fuite de la nervation palmaire comme un simple incident technique mineur, le public rejetterait probablement cette explication, voyant la brèche comme une violation de quelque chose de profondément personnel.

L'étude a conclu qu'une divulgation technique concernant une fuite biométrique ne tomberait pas dans un environnement neutre. Elle arriverait dans un monde où une grande partie du public est déjà inquiète d'être surveillée, où la confiance envers les entreprises du Web est faible, et où les gens sentent qu'ils manquent de pouvoir pour arrêter la collecte de données. Les chercheurs ont soutenu que dire aux gens d'« être plus prudents » ou de « changer leurs paramètres » ne fonctionnerait pas, car le problème réside dans la conception des machines et les politiques des organisations, et non dans les habitudes des utilisateurs. La solution, suggèrent-ils, doit venir des institutions elles-mêmes. Les entreprises et les gouvernements doivent assumer l'entière responsabilité de la sécurisation du matériel, être transparents sur les risques et offrir de réelles alternatives pour ceux qui ne souhaitent pas utiliser de systèmes biométriques. Le public n'a pas besoin d'un manuel sur la façon d'arrêter un signal ; il a besoin de la garantie que le signal ne sera pas envoyé en premier lieu.

En fin de compte, cette recherche souligne que la sécurité n'est pas seulement un casse-tête pour les ingénieurs cherchant un meilleur code. C'est un contrat social qui dépend de la confiance et du sentiment de contrôle. Lorsqu'un système utilise une partie de votre corps pour vous identifier, les enjeux sont plus élevés qu'avec n'importe quel autre type de mot de passe. Si ce système échoue, vous ne pouvez pas réinitialiser votre main. L'étude suggère que pour que ces technologies soient acceptées, les personnes qui les construisent et les gèrent doivent gagner la confiance du public par des actions qui correspondent à la haute valeur que les gens accordent à leur identité physique. Sans cette confiance, même la technologie la plus sûre sera perçue comme un risque par les personnes qu'elle est censée servir.