La protection de la vie privée dans un système de gestion d'identité

Liste des acronymes

5

AIF : Architecture d'Identité Fédérée.

AOL : America Online.

CC : Cercle de Confiance.

CDM : Contexte Data Model.

CROWds : protocole de communication anonyme.

DAC : Dictionary Access Contril

FI : Fournisseur d'identité.

FS : Fournisseur de Service.

GMT : Greenwich Mean Time

HTTP : Hypertext Transfer Protocol.

HTTPS : Hypertext Transfer Protocol Secure.

IBM : International Business Machines.

IdAS : l'inferieur sont Identité Attribué Service.

Identités : représentation d'une personne pour un service.

IMetS : Identity Meta System

IMS : Identity Management System

IP : Internet Protocol.

OASIS : Organisation for the Advancement of Structured Information

Standards.

OCDE : L'Organisation de Coopération et de Développement Economique.

ONU : Organisation des Nations Unies.

OV : Organisation Virtuelle.

OWL : Ontologie Web Langage.

PET : Privacy Enhancing Technologies.

Proxy : Serveur faisant le lien entre un fournisseur de services et d'identités.

P3P : Platform for Privacy Preferences.

RBAC : Based Access Control.

RDF : Resource Description Framework.

SAML : Security Assertion Markup Language.

SGI : Système de Gestion d'Identités.

SOAP : Simple Object Access Protocol.

SSL : Secure Sockets Layer.

SSO : Single Sign-On.

TOR : The Onion Router.

URL : Uniform Resource Locator.

VoIP : Voice over Internet Protocol.

W3C : World Wide web Consortium.

XML : eXtensible Markup Language.

XUL : XML-based User interface Language.

' +IIH I Ii ii~ i 4'1J ~ ,~,`~ail. oo; J4LL` 1 iinu ¹ ,. ,,,- I~IlN~ II~Î _ ^,Wllt ilt ^I 1

^I~~ u Itl6:,a~Llu Illi hVll~lülmllll~_lillÿj i I~NI~I jy~~ill III .r :ali Illu Ill

IIIIblhl.ol llu I1111 i i~IIII~~IIIIIIid ellIi SIIÏüdllll~lllllf,`a 6. l'Lf111II~11Il11124ilii.ifi laifi lhiiiiNuxud:,,ii fnii

INTRODUCTION GÉNÉRALE

a

~' I~ II.IIIIIIIIIIIIIIIIIIfIf~~J+d~~N l h~i ¹41 1,11`~elllu~.11llllln '_Mfi npl7~uEl l l l~ullllllla y~ illi_gT1_,1*^,r14111 ll~tllll lllllllll llllllll

,.~ dl,l` m )91ui w' ~ ~1Y ~y ~G } I!<, e.¹¹ril ~I~f 11"A Iwi ^III pllll~l_al ÿ

il,~ l )I I ~~I~~I'~~~pppyyy

Ill

flll _~~~IIIUIj ü "hV ill11111' I 4:1:1 3
·^. rl ç N> ' 11il » 1..,...pl

Ilmri~d~Il

III I A H~.. ' .I III d i ll5 ,ddfll # ,:d a Hiu4^q6, .. ~, ~Ifl ^"1111."

^f III

6

Introduction générale

Jour après jour, le nombre de transactions en ligne s'augmente.. Cela a influencé la façon dont les utilisateurs interagissent entre eux et avec d'autres organisations. Une grande partie des services de la vie quotidienne sont accédés de façon numérique. Les exigences concernant l'offre de services en ligne sont de plus en plus fortes en termes de vélocité, disponibilité, mobilité et sécurité. Les entités qui fournissent ces services sont appelées Fournisseurs de Services (FS). Les FS doivent assurer l'intégrité et la confidentialité de l'information échangée dans les transactions en ligne. Quand il s'agit d'information personnelle, les FS devraient offrir des garanties aux utilisateurs que leur information ne sont pas compromises.

Pour chaque service fourni par les FS, les utilisateurs ont besoin d'une identité numérique qui doit être fourni par un fournisseur d'identité FI.

L'existence de multiples identités numériques représente une situation gênante aussi bien pour les utilisateurs que pour les FS. Pour les utilisateurs, il est compliqué de gérer beaucoup d'identités en accédant à plusieurs services en ligne, ils en font souvent l'amère expérience. En ce qui concerne les FS, chacun doit avoir son propre Système de Gestion d'Identités (SGI) pour gérer le cycle de vie des identités numériques, ce qui complique la collaboration quand il s'agit de fournir des services combinés.

L'objectif de ce mémoire et d'augmenter la protection de la vie privée des utilisateurs des systèmes de gestion d'identité par l'élimination de toutes les connections et les transactions entre les FI et FS. tout échange entre ces deux entité se fait par l'intermédiaire du navigateur client.

Le reste du document est organisé comme suit : le premier chapitre explique d'une façon générale, le concept de la vie privée sur internet, les attaques relatives ainsi que les techniques de protection. Le 2^eme chapitre présente un état de l'art sur les systèmes de gestion d'identité numérique, il concentre particulièrement sur la notion d'OpenID et les liens de confiances entre le FS et FI. le 3^eme chapitre introduit l'approche proposée, une amélioration du système OpenID qui se base sur l'idée de remplacer les liens de confiances par une processus automatique implémenté au niveau de navigateur. Enfin, une conclusion générale qui résume l'ensemble de notre travail, et présente quelques perspectives.

Les annexes A, B et C présentent des informations complémentaires, éclaircissant certains aspects de notre travail.

__i IÎ III~ 1 t dxdlllll IIIII^pid^qN^.at,`Î $ÎÎÏ^wü^1Qd ll⁰l 0II0IIfI,ell~R3 Ill'

tllihlll~l,..,elNl,nüi~IIIIIIidh~HIIIINuxud!,d'~illlln.l I _ ~I:HIIII ~I lulu,IÎu ~~ llltl1Jüi!!lüiOIIIIRIIIIInndNa

~t\Y..-l" 1.~ ~I %¹ T T T T T T1 T T ~._: rI'.ii

l' I~ II.IIIIIIIIIIIIIIIIIIfIf~~f+d~IN l h~{ 141 IIR+III°_'.IIIIIP°` C,411IN I! t_i .:_j; ir/, °IIIII '~~_,1::_,: 1141~tlllllkITI ~II101119l ^11:111.14lll 1 '~

~ m, .r nn h liln ,w m ~ ,,,,, 'i! ~5 } IcentsI
·. Nll w

Ilmt~d~~~

1¹⁰ WPM _I nu,i ll~ ' ? ~ t t ' I~!' "

,! -~I l'q~VT II

III I I A I H1.. ~ ' ~Ill~i 1I i 111' . lil,3. .a' aai a Hü, '4^q6, .. I I^, ~Ifl "1111." I III

I.

Chapitre I La protection de la vie privée

7

I. Introduction

Depuis l'apparition de l'humanité, les personnes essaient toujours de conserver leur vie privée. Avec le développement de la technologie et l'apparition des services d'internet et leur contrôle semi-total sur les domaines de la santé, de finance et de politique...., a affecté pleinement la vie privée des utilisateurs. Les personnes essaient d'être plus prudentes lors de l'utilisation de ce type de technologie.

Dans ce chapitre nous présentons une vue générale sur la vie privée sur internet, les risques relatifs, ainsi que les solutions proposées pour lutter contre la violation de la vie privée des utilisateurs.

II. Définition de la vie privée

Cette partie définie d'une façon générale le concept de la vie privée, la notion de la vie privée sur internet, ainsi que les enjeux et les défis relatives. Nous terminons par la présentation de quelques lois relatives à cette notion.

II.1. La vie privée

La vie privée est la capacité, pour une personne ou un groupe, de s'isoler afin de se recentrer sur sa vie et de protéger ses intérêts. Les limites de la vie privée ainsi que ce qui est considéré comme privé diffèrent selon les groupes, les cultures et les individus, bien qu'il existe toujours un certain tronc commun.

L'atteinte à la vie privée peut résulter de la diffusion d'un écrit ou d'une image concernant la personne. C'est souvent autour de contentieux liés à la diffusion d'informations par les grands médias, presse écrite et audiovisuelle que l'on a pu tenter de classifier les atteintes à la vie privée.

Différentes composantes de la vie privée sont abordées dans les procès, qui correspondent aux aspects principaux de la vie :

La vie familiale, la vie sentimentale, les loisirs, la santé, les moeurs, les convictions philosophiques et religieuses, les circonstances de la mort, le droit à l'image.

Le numéro de sécurité sociale et les références bancaires faisaient partie de la vie privée de chacun, à l'encontre de toute personne dépourvue de motif légitime à en connaître.

Chapitre I La protection de la vie privée

8

Autrement dit, seules les personnes qui en ont besoin (administrations, employeurs...) sont habilitées à les connaître. [1]

Il est bien de noter qu'il y a aussi des limites de la vie privée dont on cite :

y' Les activités professionnelles ne font pas partie de la vie privée. y' La personne concernée est décédée.

y' Les informations révélées sont anodines. [1]