Identifiants décentralisés (DIDs)

Les services décentralisés ne se limitent pas aux cryptomonnaies, aux NFT et aux plateformes d’échange. Ils sont également utilisés par les services de streaming, les banques d’images, les hébergeurs et bien d’autres. À l’avenir, presque toutes les ressources que nous utilisons aujourd’hui fonctionneront sur des systèmes décentralisés et des registres distribués. Mais l’une des innovations les plus intéressantes et utiles qui nous attendent dans le Web3 est l’identifiant décentralisé, ou DID. En réalité, ils existent déjà : seule l’adoption à grande échelle fait encore défaut.

En résumé, un DID est un identifiant qui vous donne le contrôle total sur vos informations personnelles, c’est-à-dire votre « identité numérique ». Grâce aux DIDs, vous pouvez rapidement prouver votre identité et choisir qui, quand et quelles informations précises des services ou organisations tiers pourront être consultées. Par ailleurs, ces données sont quasiment impossibles à voler, modifier ou exploiter à votre insu. Les organisations peuvent ainsi vérifier instantanément l’authenticité des informations fournies.

Le problème des données personnelles aujourd’hui

Le souci n’est pas tant la mauvaise conservation de nos données, mais leur stockage centralisé, dans des bases de données spécifiques aux services auprès desquels nous sommes inscrits. En cas de fuite, des attaquants peuvent accéder à nos comptes et, selon le type de compte, lire nos échanges ou dérober nos documents, fichiers ou coordonnées bancaires.

Certaines plateformes détiennent de nombreuses informations sur nous : adresses postales, numéros de téléphone, lieux de résidence, données de passeport, etc. Bien sûr, cela permet de s’assurer que les utilisateurs sont bien ceux qu’ils prétendent être. Mais le problème est que ces données se retrouvent dans les méandres des systèmes informatiques des entreprises, et personne, à part elles, ne sait comment elles sont exploitées ni qui y accède.

Vous vous souvenez peut-être de cette pratique courante où certains services demandent aux utilisateurs d’accepter le transfert de leurs données personnelles à des tiers, sans préciser qui sont ces tiers, pourquoi les données sont transmises, ni comment elles seront sécurisées.

Comment fonctionnent les DIDs

Avec un identifiant décentralisé, les données ne sont pas stockées dans la base de données d’une entreprise, mais sur la blockchain ou un registre distribué. Vous n’avez pas besoin de passer par une procédure d’identification lors de l’inscription, ni d’utiliser un identifiant et un mot de passe pour accéder à votre compte. En réalité, un DID fonctionne comme un wallet crypto non dépositaire : il possède des clés publiques et privées, mais ici, la clé privée sert à vérifier votre identité plutôt qu’à signer des transactions.

Bien entendu, il faut prouver son identité à l’origine. Cette étape doit être assurée par des parties de confiance capables d’authentifier les informations personnelles de l’utilisateur, appelées « émetteurs ». Ce rôle peut être tenu par une banque ou une institution publique.

Voici comment cela se déroule concrètement :

1. L’émetteur crée son propre DID, qui lui servira à interagir avec les autres participants de l’écosystème.
2. L’utilisateur fournit à l’émetteur les informations qu’il souhaite faire vérifier (par exemple, un passeport).
3. L’émetteur effectue la vérification, authentifie le document et crée une attestation (credential), signée avec son identifiant. Cette attestation est liée au DID de l’utilisateur et stockée dans sa base de données personnelle.
4. Lorsque l’utilisateur doit transmettre ses données à un service, une entreprise ou une administration, il donne accès à ces informations via le DID. L’organisation n’a alors qu’à vérifier que les données proviennent d’un émetteur de confiance et que la signature numérique est valide.

Illustrons avec un cas concret. Imaginez un futur où les DIDs sont généralisés et où l’émetteur vérifié est, par exemple, l’université dont vous êtes diplômé. Les données du diplôme vérifié sont stockées dans un registre décentralisé et incluent tout votre parcours académique.

Ainsi, lors d’une candidature à un emploi, vous n’avez plus besoin de fournir une copie papier de votre diplôme à votre employeur potentiel pour que le service RH en vérifie l’authenticité. Il suffit de scanner un QR code contenant une demande d’accès à certaines données du DID et de sélectionner les informations à partager (ici, le diplôme). L’employeur saura instantanément que le document est authentique.

Quand ce futur deviendra-t-il réalité ?

À première vue, il semble déjà là — du moins partiellement. Par exemple, il est possible d’utiliser un compte Google pour s’inscrire et se connecter à des sites ou applications. Dans certains pays, les services publics fonctionnent sur un principe similaire, permettant à l’utilisateur d’autoriser le partage de ses données personnelles entre différentes institutions.

Mais il y a un grand MAIS : les données restent centralisées. Les utilisateurs ne peuvent toujours pas contrôler la façon dont leurs données sont stockées et traitées. De plus, si l’authentification à deux facteurs est désactivée, le seul rempart contre les intrusions reste un mot de passe, qui peut être volé ou deviné. Si un attaquant s’empare du compte, il accède à toutes les applications et sites où ce compte a servi à s’authentifier.

Il va de soi qu’un DID ne garantit pas que les données récupérées via le registre seront parfaitement sécurisées, mais l’essentiel est qu’elles ne peuvent être consultées sans la clé privée de l’utilisateur. Dans l’idéal, les entreprises ne stockeraient plus aucune donnée utilisateur, mais les demanderaient directement via le DID.

Bien que l’adoption massive soit encore lointaine, les entreprises ont déjà compris les opportunités offertes par les identifiants décentralisés, et de plus en plus de services mettent en place des infrastructures compatibles DID. Un exemple concret est le projet DOCK. Depuis 2017, cette société développe une plateforme de gestion de comptes utilisateurs basée sur une blockchain construite sur le framework Substrate, avec un mécanisme de consensus proof-of-stake. Le jeton natif DOCK est coté sur plusieurs plateformes, dont Binance et Huobi. L’entreprise propose la création de documents vérifiés (par exemple, des diplômes), des certificats pour la protection des chaînes d’approvisionnement, et bien plus encore.