Votre empreinte digitale n’est pas un secret

Le célèbre cryptologue Bruce Schneier, s’insurge sur son blog, de la nouvelle fonction «Touch ID» de l’iPhone 5S, présenté mardi dernier par Apple. Si l’empreinte digitale est un bon compromis entre la sécurité et la simplicité d’utilisation de l’appareil, elle pose d’autres problèmes d’autant plus compliqués. Par exemple, le fait que le doigt n’est pas une clé, mais que sa forme demeure la même, quoi que vous touchiez. Il est facilement photocopiable. Un chercheur japonais avait même réussi, il y a dix ans de cela, à fabriquer une empreinte digitale à partir de gélatine, rapporte Bruce Schneier.

Il est également bien plus simple d’authentifier quelqu’un à partir de son empreinte, que de savoir à qui appartient quelle empreinte. Le scientifique voit deux possibilités majeures d’erreur du système: il peut ne pas distinguer un utilisateur non autorisé et lui donner accès, tout comme il peut ne plus reconnaître l’utilisateur principal. Les erreurs pourraient être plus fréquentes lors de grandes périodes de froid.

En résumé, Bruce Schneier nous dit que n’importe qui peut, avec un peu de matériel, copier une empreinte digitale. Plus grave, si les données sont centralisées dans une «banque de données biométriques», celle-ci pourrait se révéler vulnérable aux attaques. Cela ne semble pas être le cas pour l’iPhone, mais cela le sera probablement pour l’iCloud.

Les apps ont-elles accès à l’empreinte digitale?

«Touch ID» a également un détracteur en Allemagne, Johannes Caspar, commissaire à la protection des données, interrogé par le journal Der Spiegel. «Les empreintes digitales ne s’effacent pas, elles ne peuvent pas être supprimées. Elles restent avec vous jusqu’à la fin de vos jours», estime le spécialiste.

Johannes Caspar suggère de ne pas utiliser cette technologie pour les systèmes d’authentification du quotidien. Apple promet certes que cette information demeurera dans l’iPhone et non dans l’iCloud. Mais cela n’est pas encore suffisant pour rassurer l’expert. L’utilisateur n’est pas en mesure de contrôler ce que font les apps installées sur son smartphone, à quelles données elles ont accès et quelles informations elles peuvent lire. Le spécialiste de la protection des données préconise d’utiliser avec parcimonie l’authentification biométrique, et la réserver pour d’autres motifs sécuritaires.