J’ai toujours pensé que le principe « une authentification réutilisée de façon répétée » ne présentait que des avantages, jusqu’à ce que je change de perspective et réalise qu’il y avait, là-dedans, une faiblesse que je n’avais pas remarquée auparavant.
Dans Dusk, ce que fait la Citadel est le suivant : une institution peut permettre à un tiers de prouver un fait concret concernant un cocontractant—par exemple « cette personne répond aux exigences » « cette personne ne figure pas sur la liste des sanctions » « la juridiction où se trouve cette personne est conforme aux règles ». La preuve elle-même peut être réutilisée à plusieurs reprises, sans avoir à redonner les données de base à chaque fois. Au début, je l’avais compris comme un « laissez-passer universel pratique », n’y voyant que des bénéfices.
Mais ensuite, j’ai compris une chose : la crédibilité de ce « certificat » dépend finalement de la fiabilité de l’entité qui l’émet. C’est un peu comme votre rapport de crédit : les banques, les propriétaires et toutes sortes d’institutions s’appuient sur ce rapport. C’est vraiment pratique, vous n’avez pas besoin de prouver à nouveau votre situation à chaque fois. Mais à condition que l’organisme qui produit le rapport de crédit soit lui-même fiable. S’il a un problème—si ses données sont contaminées—alors tous les endroits qui se fient à ce rapport en pâtiront.
Le dispositif de Citadel ne fait pas disparaître la tâche « vérifier l’identité » ; il concentre plutôt, en un seul maillon, des vérifications qui étaient auparavant dispersées ici et là. Le coût de la vérification diminue effectivement, mais le risque se concentre lui aussi sur ce point précis. Je trouve que c’est un compromis assez réaliste : pour gagner en commodité, on paie, dans une certaine mesure, en échange de la sécurité—ce n’est pas un cadeau gratuit.
Ce qui m’intrigue davantage aujourd’hui, c’est de savoir si, quand il y a vraiment un litige et qu’on doit aller au fond des choses devant les tribunaux, ce mécanisme de preuve parviendra à résister à l’épreuve. Pour l’instant, je n’ai pas trouvé d’exemples concrets.
Et si c’était vous, quelle étape vous inquiéterait le plus dans « une authentification réutilisée de façon répétée » ?
@Dusk $DUSK #dusk