Identifiants décentralisés (DIDs)

Les services décentralisés ne se limitent pas aux cryptomonnaies, aux NFT ou aux plateformes d’échange. Ils sont aussi utilisés par les services de streaming, les banques d’images, l’hébergement et bien d’autres. À l’avenir, presque toutes les ressources que nous utilisons aujourd’hui fonctionneront sur des systèmes décentralisés et des registres distribués. Mais l’une des innovations les plus prometteuses et utiles du Web3 reste les identifiants décentralisés, ou DIDs. En réalité, ils existent déjà : il ne manque plus qu’une adoption massive.

Pour faire simple, un DID est un identifiant qui vous donne le contrôle total sur vos informations personnelles, ou votre « identité numérique ». Grâce aux DIDs, vous pouvez facilement vous identifier et décider qui, quand et quelles informations précises les services et organisations tiers peuvent connaître sur vous. Dans le même temps, ces données sont quasiment impossibles à voler, modifier ou exploiter à votre insu. Les organisations peuvent alors vérifier instantanément l’authenticité des informations fournies.

Le problème des données personnelles aujourd’hui

Le vrai souci n’est pas que nos données sont mal stockées, mais qu’elles sont conservées de manière centralisée, dans les bases de données des services auprès desquels nous nous sommes inscrits. En cas de fuite, des attaquants peuvent accéder à nos comptes et, selon le type de compte, lire nos messages ou dérober nos documents, fichiers ou informations bancaires.

Certaines plateformes détiennent de nombreuses informations sur nous : adresses postales, numéros de téléphone, lieux de résidence, données de passeport. Tout cela sert bien sûr à vérifier l’identité des utilisateurs. Mais ces données se retrouvent dans les méandres des systèmes informatiques d’entreprise, et nul ne sait vraiment à quoi elles servent ni qui y accède, en dehors des sociétés elles-mêmes.

Vous vous souvenez peut-être de cette pratique courante où certains services demandent aux utilisateurs de consentir au transfert de leurs données personnelles à des tiers. Ils précisent rarement qui sont ces tiers, pourquoi les données sont transmises, ni comment elles seront protégées par ces destinataires.

Comment fonctionnent les DIDs

Avec un identifiant décentralisé, les données ne sont plus stockées dans la base de données d’une entreprise, mais sur la blockchain ou un registre distribué. Vous n’avez pas besoin de passer par une procédure d’identification lors de l’inscription, ni d’utiliser un nom d’utilisateur ou un mot de passe pour accéder à votre compte. En fait, un DID fonctionne comme un wallet crypto non dépositaire : il possède des clés publique et privée, mais la clé privée sert ici à vérifier votre identité, et non à signer des transactions.

Il faut bien sûr prouver son identité au départ. Cette tâche revient à des tiers de confiance capables d’authentifier les informations personnelles de l’utilisateur, appelés « émetteurs ». Il peut s’agir d’une banque ou d’un organisme public.

Voici comment le processus se déroule :

1. L’émetteur crée son propre DID, qui lui servira à interagir avec les autres acteurs de l’écosystème.
2. L’utilisateur fournit à l’émetteur les informations qu’il souhaite faire vérifier (par exemple, un passeport).
3. L’émetteur vérifie le document, l’authentifie et génère une attestation (credential) signée grâce à son identifiant. Cette attestation est liée au DID de l’utilisateur et stockée dans sa base de données personnelle.
4. Lorsque l’utilisateur doit transmettre ses données à un service, une entreprise ou une administration, il y donne accès via le DID. L’organisation n’a alors qu’à vérifier que les données proviennent d’un émetteur de confiance et que la signature numérique est valide.

Prenons un exemple concret. Imaginez un futur où les DIDs sont omniprésents et où l’émetteur vérifié est, par exemple, l’université dont vous êtes diplômé. Les données de votre diplôme vérifié sont stockées dans un registre décentralisé et incluent tout votre parcours académique.

Ainsi, lors d’une candidature à un emploi, vous n’avez plus besoin de fournir une copie papier de votre diplôme à votre futur employeur pour qu’il en vérifie l’authenticité. Il vous suffit de scanner un QR code contenant une demande d’accès aux données du DID et de sélectionner les informations à partager (ici, le diplôme). L’employeur peut alors s’assurer instantanément de la validité du document.

Quand ce futur deviendra-t-il réalité ?

À première vue, il semble déjà là — du moins en partie. Par exemple, il est possible d’utiliser son compte Google pour s’inscrire et se connecter à des sites ou des applications. Dans certains pays, les services publics fonctionnent sur le même principe, permettant aux utilisateurs d’autoriser le partage de leurs données personnelles entre institutions.

Mais il y a un grand MAIS : les données restent centralisées. Les utilisateurs ne peuvent toujours pas contrôler la façon dont leurs données sont stockées et traitées. De plus, si l’authentification à deux facteurs est désactivée, le seul rempart contre les accès non autorisés reste un mot de passe, qui peut être volé ou deviné. Si un attaquant prend le contrôle du compte, il accède à toutes les applications et sites où ce compte a servi à s’authentifier.

Évidemment, un DID ne garantit pas que les données extraites du registre seront stockées en toute sécurité, mais l’essentiel est qu’elles ne puissent être consultées sans la clé privée de l’utilisateur. Idéalement, les entreprises ne stockeraient plus aucune donnée utilisateur, se contentant de la demander directement au DID.

Si l’adoption de masse est encore lointaine, les entreprises ont déjà compris le potentiel des identifiants décentralisés, et de plus en plus de services proposent une infrastructure compatible DID. Un exemple concret : le projet DOCK. Depuis 2017, cette société développe une plateforme de gestion de comptes utilisateurs basée sur une blockchain construite sur le framework Substrate, avec un mécanisme de consensus proof-of-stake. Le token natif DOCK est coté sur plusieurs plateformes d’échange, dont Binance et Huobi. DOCK propose la création de documents vérifiés (par exemple des diplômes), des certificats pour la protection des chaînes d’approvisionnement, et bien plus encore.