Deepfakes et identité
À présent qu'on a vu que l'on pouvait remplacer un visage dans une scène, on sent venir les problèmes d'identité.
Effectivement, après ce qu'on vient de voir sur les deepfakes, ce genre de vérification d'identité a du souci à se faire.
D'ailleurs, notre agence nationale de sécurité (ANSSI) a édité ce qu'on appelle un référentiel d’exigences à suivre impérativement par les entités qui feront effectivement cette vérification, on les appelle des prestataires de vérification d’identité à distance ou encore PVID ça fait bien dans la conversation.
Si vous aimez les normes, vous pourrez lire la version 1.1 du 1er mars 2021, où l'on découvre les règles à suivre pour assurer un minimum de sécurité, et ce n'est pas gagné d'avance. Je vais vous donner les indices principaux ici et dans les pages suivantes, là où le bât blesse.
Mécanisme du PVID
L'objectif est de réaliser une vérification d'identité avec un smartphone.
Nous n'avons donc pas beaucoup de choix. Il va falloir :
- faire confiance au smartphone
= ce n'est pas un logiciel sur PC qui imite un smartphone - faire confiance à la caméra du smartphone
= le flux vidéo n'est pas détourné, trafiqué)
Mais on n'est pas stupide, ce n'est pas le smartphone qui va réaliser la vérification elle-même, on a une confiance très limitée dans les applications exécutées sur ces bestioles. Alors on va envoyer sur les serveurs du prestataire (en qui on a confiance) les éléments requis pour faire la vérification, à savoir la photo de la pièce d'identité et un selfie (qui seront de courtes vidéos de préférence, plutôt qu'une simple image trop facile à manipuler).
Chez le prestataire (sur ses serveurs), la vérification sera réalisée. Ce sera essentiellement de la reconnaissance faciale pour vérifier que le selfie correspond bien à la carte d'identité, avec un certain nombre de raffinements dont on parlera plus tard (détection du vivant).
Exemple pratique
Comme vous n'avez pas tout bien percuté, la même chose avec des dessins plus parlants :
Et oui, il va falloir faire attention à prendre des vraies scènes avec des vrais visages vivants.
Et aussi, ne pas prendre une simple photo du permis de conduire. Il vaudra mieux lire la photo enregistrée dans la puce de la carte d'identité, car cette photo sera numériquement signée, approuvée par l'administration. On pourra faire ça avec le lecteur NFC du smartphone.
On ne pourra pas se permettre une implémentation naïve d'une vérification d'identité à distance, on voit bien qu'il existe beaucoup d'angles d'attaque.
Le référentiel d'exigences permettra aux prestataires de mettre en place des systèmes assez robustes pour qu'on puisse avoir confiance.
Et comme on est très paranoïaque, on demandera à des organismes indépendants (CESTI) de vérifier que les systèmes sont bien réalisés : ce sont les bras armés de l'ANSSI notre agence nationale de sécurité qui pourra alors délivrer des certificats.
Mais il y a pire.
On peut aussi se servir de l'apprentissage profond pour réaliser d'autres types de manipulation d'images. Par exemple, animer une image.