Une action en justice collective contre Coinbase a soulevé des préoccupations concernant la collecte et les pratiques de stockage de données biométriques par les entreprises technologiques. Nanak Nihal Khalsa soutient que s'appuyer sur des identifiants biométriques immuables pose des risques permanents, car ils ne peuvent pas être réinitialisés une fois compromis.
Patchwork de réglementations sur la confidentialité au niveau des États
Une action en justice collective récemment déposée contre la plateforme d'échange de cryptomonnaies Coinbase a de nouveau mis en lumière la collecte et l'utilisation de données biométriques par les entreprises technologiques. Bien que l'action soit fondée sur l'allégation que Coinbase a échoué ou refusé de se conformer à la loi sur la confidentialité des informations biométriques de l'État de l'Illinois, l'action collective met néanmoins en évidence les défis auxquels sont confrontées les entreprises technologiques qui servent des clients ou des utilisateurs dans plus d'une juridiction.
Les entreprises Web3 et technologiques sont souvent confiantes que leur collecte ou utilisation de données biométriques obtenues auprès des clients est conforme à la loi. Cependant, des cas passés où même des géants comme Google ont été contraints de débourser plus de 1,3 milliard de dollars pour régler des violations de la loi sur la confidentialité des données semblent soutenir l'idée d'une loi fédérale complète sur la confidentialité plutôt qu'un patchwork de réglementations au niveau des États.
Cependant, pour les clients ou utilisateurs dont les données biométriques sensibles sont capturées par les grandes entreprises Web3, y compris les échanges de cryptomonnaies, les enjeux sont encore plus élevés. Les incidents croissants où des utilisateurs de cryptomonnaies avec des avoirs substantiels sont ciblés par des gangs armés semblent suggérer que des cybercriminels pourraient être en possession d'informations sensibles sur les utilisateurs, y compris des données biométriques.
Comme le démontre le récent cas de cyberattaque de Coinbase, permettre à des employés non essentiels d'accéder aux données utilisateurs peut s'avérer coûteux sur le plan financier. Pourtant, comme l'a récemment déclaré Michael Arrington, co-fondateur d'Arrington Capital, le coût humain de cela sera probablement bien supérieur aux 400 millions de dollars volés. Cette affirmation semble être soutenue par les incidents toujours plus fréquents où des influenceurs de cryptomonnaies ou des détenteurs d'importants actifs cryptographiques sont ciblés par des criminels armés.
Dans un incident récent, Festo Ivaibi, le fondateur d'une plateforme d'éducation sur la cryptomonnaie et la blockchain basée en Ouganda, a été enlevé par des criminels se faisant passer pour des membres des forces de sécurité du pays. Au cours de l'épreuve, Ivaibi a été agressé par des criminels qui semblaient savoir qu'il détenait une quantité substantielle de cryptomonnaies dans son portefeuille Binance. Le fondateur a finalement perdu 500 000 $, mais a survécu pour raconter son histoire. Tant le cyberattaque sur Coinbase que la rencontre du fondateur africain démontrent comment le stockage des données sensibles des utilisateurs et qui a accès à celles-ci est crucial.
« Confidentialité par architecture, pas par espoir »
Pendant ce temps, l'appel d'Arrington à des sanctions, y compris des peines de prison pour les dirigeants des entreprises qui échouent à gérer correctement les données des utilisateurs, démontre les difficultés auxquelles sont confrontées les entreprises Web3 et technologiques qui collectent et stockent des informations sensibles des clients. Le dilemme auquel sont confrontées des entreprises comme Coinbase et d'autres montre également à quel point les protections pour les entreprises Web3 sont actuellement limitées. Alors, comment les entreprises peuvent-elles garantir la sécurité des systèmes d'identité Web3 ?
Selon certains experts, la solution réside dans une architecture de confidentialité modulaire qui privilégie la flexibilité et le contrôle de l'utilisateur, plutôt que des modèles rigides et lourdement biométriques. Au lieu de forcer les utilisateurs à entrer dans un système où leurs données biométriques sont capturées et stockées de manière centrale, cette architecture permet des paramètres de confidentialité plus adaptables et orientés vers l'utilisateur. Cela signifie que les utilisateurs peuvent choisir comment et quand vérifier des aspects de leur identité sans nécessairement révéler les données sensibles brutes sous-jacentes.
Nanak Nihal Khalsa, le co-fondateur du projet Web3 Holonym, est un fervent partisan de cette approche. Il a déclaré à Bitcoin.com News que le KYC sans conception préservant la confidentialité, en particulier les preuves à knowledge zéro, est une bombe à retardement. Il a ajouté que tant que les plateformes et les échanges entreposent des données utilisateurs sensibles dans des bases de données centralisées, ils créent des cibles qui attirent inévitablement les attaquants. Il a expliqué pourquoi une approche modulaire est révolutionnaire.
« Une approche modulaire de l'architecture de la confidentialité change la donne. Les preuves à connaissance zéro et d'autres identifiants vérifiables permettent aux plateformes de répondre aux exigences de conformité sans jamais stocker ou même voir les informations les plus sensibles des utilisateurs. L'identité devient une preuve, pas un fichier. »
Le co-fondateur insiste sur le fait que de telles solutions comptent de plus en plus car les données collectées par les entreprises Web3 deviennent de plus en plus personnelles. Il soutient que s'appuyer sur des biométries comme les empreintes digitales ou l'ADN pour l'identification pose un risque permanent : une fois compromises, contrairement aux identifiants gouvernementaux, ces identifiants personnels uniques ne peuvent pas être réinitialisés.
Holonym de Khalsa propose une solution d'identité numérique modulaire qui utilise des preuves à connaissance zéro pour la confidentialité et la conformité, plutôt que des biométries. Son protocole Human ID a jusqu'à présent permis à plus de 125 000 utilisateurs pseudonymes dans 180 pays de vérifier leur identité sans révéler leur identité. Avec un design axé sur la confidentialité et décentralisé, Holonym vise à « apporter des droits numériques au monde », en encourageant les sites web et même les gouvernements à adopter son protocole pour la vérification d'identité. Cette approche modulaire, selon Holonym, aide à atténuer les risques de sécurité et renforce la confiance dans l'identité numérique.
Pendant ce temps, Khalsa a reconnu que des incidents comme la récente violation de Coinbase soulignent un problème plus profond dans l'infrastructure crypto et soulignent à quel point les systèmes d'identité défectueux construits sur des architectures centralisées et monolithiques sont.
« L'avenir de la conformité ne consiste pas à collecter plus de données. Il s'agit de prouver plus avec moins. La confidentialité par l'architecture, pas par l'espoir », a déclaré le co-fondateur.