Le Single Sign on (SSO, en français "guichet unique") facilite grandement l'accès de tous aux informations. Il permet aussi, plus discrètement, la collecte des traces et signatures personnelles. L'enjeu est celui des identités numériques. C'est un débat plublic essentiel pour assurer la durabilité de la démocratie et l'équité des chances dans les entreprises
.Cet article décrit l'impact des choix de gestion des identités numériques sur la démocratie, et encourage à anticiper l'arrivée d'une nouvelle technologie en définissant les critères éthiques pour son usage commercial.
L'aspect scientifique
Aujourd'hui, parmi les technologies que l'on attend le plus, il y a le fameux guichet virtuel unique, "la carte universelle". C'est un numéro de code donnant accès à tout ce à quoi l'on peut et l'on a choisi d'accéder. Dans les années à venir, le guichet unique ne concernera probablement pas les flux financiers de votre compte en banque.
En effet, cela demande une double sécurisation et il n'est pas prévu de laisser l'accès à tous les organismes souhaitant s'y associer, puisqu'il s'agit directement d'argent. Mais par contre tous les services à moindre valeur pourraient bientôt être reliés à un unique réseau de partage de données: tous les services tels que la carte de bus, les forums sur le web, les portails web des activités socio-professionnelles auxquels nous choisissons de nous affilier du fitness au service de commande de consommables pour la phocopieuse du bureau, en passant par les centres de promotions de produits, ou les services indirects comme la téléphonie mobile, les supermarchés, les caméras de surveillance...
La conscience
Ce réseau unique permettrait à certains experts bien introduits d'accéder à l'ensemble des données nous concernant, de la même manière que les simples utilisateurs d'un PC dans un cybercafé : instantanée, décentralisée, asynchrone, symétrique.
C'est déjà en bonne partie le cas avec Google, qui peut obtenir deshabitudes de consommateurs influant sur les politiques. C'est cela qui a donné naissance à Googlewatch
Auniveau de la vitalité de la démocratie, il est par exemple très probable que la guerre en Irak n'aurait pas pu avoir lieu si les experts en manoeuvres politiques de Washington n'avait pas eu accès aux informations ciblées sur les habitudes de consommation de "mots-clés" fournies par des moteurs de recherches.
Au niveau de l'équité des chances dans l'entreprise, il est par exemple très probable que la concurrence saine dans le marché global ne puisse pas s'exprimer librement si certaines organisations en situation de position dominante ont en permance accès à des informations stratégiques permettant les abus face auxc concurrence.
Car ces "connexion sur un service numérique" que nosu effectuons tous plus ou moins consciemment sont autant de traces pouvant au service à des intérêts privés d'une minorié ou au bien commun d'une majorité.
Oui, toute organisation ayant le budget nécessaire peut dès aujourd'hui, et plus encore demain, accéder facilement à des informations permettant de dégager des statistiques personnelles ou collectives sur des régions, des époques et des centres d'intérêts, en permanence, très rapidement, à l'insu des utilisateurs, pour connaître les habitudes, les réseaux sociaux en jeu, les tendances... Voilà un avenir qui ne me semble pas très gai.
Dans ce contexte, comment alors imaginer la participation à la démocratie, alors que les dés seraient plus que jamais pipés!
La solution optimale est difficilement applicable dans le contexte actuel
Une des solutions simples pour éviter ce marasme, c'est l'Opt in, une mesure qui doit être adoptée par chaque nation, avec ses modalités d'applications plus ou moins solides. L'opt in consiste à ne permettre à personne d'accéder à vos informations personnelles avant que vous n'ayez opté pour ce service. Malheureusement, cette mesure est très majoritairement ignorée. Avec un guichet unique et une carte unique, les dérives s'accentueraient, car l'opinion publique n'en saisit pas les enjeux. Elle a donc du mal à comprendre pourquoi il faudrait que les fournisseurs d'accès à ce guichet soient tous contrôlés d'une manière très précise, par des organes totalement neutres et très performants, avec des peines lourdes prévues en cas d'abus de position dominante. Actuellement, dans les services secrets qui sont de plus en plus au service des grandes entreprises commerciales en complément de leur rôle politique, l'habitude de bafouer les règles de l'éthique est très largement répandue. La presse relaie par ailleurs déjà largement les scandales liés aux fichages des personnes et à des manipulations statistiques à des fins douteuses.
Les dommages occasionnés par un non-respect de cette solution sont probablement très lourds
Si un guichet unique sans contrôle au service du bien commun se répandait dans les 10 ans à venir de manière aussi large qu'Internet s'est répandu dans le monde de 1992 (embryon) à 2002, ce déploiement causerait alors probablement à la démocratie les dommages les plus lourds qu'elle a jamais connus.
Internet n'est pas la cause du problème, mais bien la solution
Et malgré cela l'informatique reste un véhicule des valeurs citoyennes, bien davantage que les autres médias, plus que la plupart des politiques et des économies. Sur Internet, les opinions sont plus diverses, les solutions sont plus nombreuses. Un des surnoms qui me semble le plus correspondre à sa réalité, c'est "le royaume des How To" (des mode d'emplois). C'est dire à quel point Internet est un moyen de communiquer qui fait sens, et qui est bien compris par un nombre croissant d'utilisateurs qui deviennent progressivement des utilise acteurs. Toujours est-il que ce n'est ni Internet, ni l'informatique, qui sont menacées dans un futur proche par un guichet universel largement répandu; elles sont au contraire les clés les plus ouvertes, les plus citoyennes, pour combattre un abus de position dominante d'un système de guichet unique sur l'autre.
Le problème n'est pas technologique, il est social.
Ce type de dessein est un objectif sociologique qui semble intrinsèque à l'humanité : nous, homo sapiens de l'ère moderne, serions obsédés depuis un bon moment par l'idée de contrôler nos congénères pour mieux agir à notre guise, avec au coeur le désir de pouvoir. Sociologiquement, la question reste ouverte ; technologiquement, ce n'est qu'une question de temps et d'argent : en effet, pour parvenir à une norme où tous les prestataires pouvant payer puissent développer un service en le reliant au guichet citoyen unique , il faut très probablement entre 10 et 20 ans.
Ces moyens techniques manquaient lors de la révolution française ou bolchevique, ou encore lors du plan Marshall ou lors du new deal, mais l'objectif était déjà là : bien profiler les contributions fournies et perçues par chaque citoyen. Aujourd'hui, ces techniques commencent à être suffisamment évoluées pour appliquer ce projet d'accès à un guichet universel de manière nomade, décentralisée et asynchrone. Il est pensable que nous accédions à toutes les données numériques nous concernant sur un seul tableau de commande unique, de manière techniquement simple et fiable. La question technique étant en passe d'être résolue, reste la question sociale, la notion de conscience.
La question sociale est avant tout écologique : il s'agit du Libre
Si nous restons au coeur de ce sujet, nous constatons qu'il s'agit d'écologie de la communication électronique, un sujet central pour les enjeux de la société, même si il n'est pas très médiatique. Durable dans le matériel est assimilable à Libre dans la communication: on parlera ici d'E-communication libre, générant des E-cultures du libres. Libre signifie ici partage du savoir, éthique de l'échange, dynamiques participatives, citoyenneté active, tel que défini par la Fondation Ynternet.org->http://www.ynternet.org pour la Communication Libre]. De plus, libre s'appuie sur les quatre libertés fondamentales définies pour le logiciel par [Richard Stallman et développé par la Communauté du logiciel libre. Elles l'ont d'abord été sous forme de produits logiciels (1984-1995), et sous forme de méthodologie largement déployable (19984-2000), puis se sont étendues aux domaines de la communication dès 2000 : supports de cours, mode d'emplois et recettes en tous genres, musique, photo, publications scientifiques et enquêtes, art du profil et du carnet de bord type weblog (alias ePortfolios, alias site perso, alias homepage). Tous ces contenus sont sous licences libres, tel que la GFDL et la LAL.
La bonne question pour une bonne réponse : quelles spécifications fonctionnelles ?
Aujourd'hui la question est donc : quelles spécifications fonctionnelles précises (à la virgule près) aura ce guichet unique ? Plus précisément, quelles seront les modalités pour stocker et faire circuler ces informations ?
Il n'existe pas à ce jour un document complet qui synthétise une réponse largement admise comme "point de ralliement unique" par la communauté des chefs de projets de développement de programmes pour serveur web. Il existe des morceaux très intéressants qui sont encore à réunir pour en faire un tout devenant "bien commun", point de ralliement permettant d'éviter les abus pouvant découler d'un usage inconscient que les citoyens autoriseraient de cette clé universelle.
Un document néanmoins utile est le cahier des charges Multypass que voici.
Quels sont les projets de guichet unique les plus prometteurs ?
Il existe plusieurs projets de guichet unique, dont les plus connus sont passport.net (réservé au réseau privé de Microsoft) et Liberty Alliance (autre conglomérat d'entreprises privées), ainsi que plusieurs applications en java qui sont jugées prometteuses par les industries informatiques dominantes.
Internet paraissait plus petit que le minitel dans les années 80 en France, cependant, il a été reconnu comme point de ralliement des réseaux informatiques parce qu'il était en quelque sorte Libre (on dit "ouvert, qui est une forme édulcorée du mouvement du libre). De même aujourd'hui, il existe des projets semblant plus petits qui pourraient être reconnus comme meilleure modalité technique de guichet unique et être intégrés par divers états et organismes privés et publics.
Ces projets plus libres et moins médiatiques sont décrits ci-dessous, sous la forme d'un échange de courriels à titre de préétude, réalisée par Raphael Rousseau et Marc Van Coillie.
Les solutions technologiques des mouvements du Libre sont décrites ci-dessous.
Les spécifications fonctionnelles de base sont les suivantes :
1. En tant qu'utilisateur, vous accédez à un outil électronique vous donnant accès à Internet et au web (ordinateur, téléphone, écran tactile dans la rue...).
2. Vous saisissez votre nom d'utilisateur universel de type nomdecode@monespace.net
3. Vous saisissez votre code mot de passe et taper "entrer".
4. Vous avez accès à votre boite de courriel qui réunit toutes vos boites en une seule, vos forums, vos achats, vos documents persos (images, son, musique...), vos articles, vos ePortfolios, votre agenda privé et professionnel partagé...
L'effet levier : un système de propagation viral.
Pour chacune des communautés auxquelles vous êtes reliés par votre code d'accès unique, vous avez accès facilement aux informations relative à cette communauté spécifique. Par exemple, les dates des rencontres de vos divers groupes sociaux s'inscrivent dans un seul agenda qui distinguent, par des marques dont vous décidez le graphisme, vos diverses communautés : travail, sport, famille...
Vous pouvez paramétrer de vous auto-inscrire en priorité à certaines, de suspendre par défaut d'autres types d'invitations, d'automatiser certaines priorités et les tâches qui y sont reliées. Vous y avez accès à distance et n'avez ainsi aucun souci en cas de perte des données. En outre, la mise à jour est automatique, vous n'avez aucun travail de maintenance excepté le classement et la publication des données. Vous pouvez travailler sans être connecté, puis vous connecter pour publier les mises à jour.
Pour chaque service, des conseils d'usages, des facilitations (e-mediateur) en proximité (aide pour débutant) ou à distance (hotline pour avancés) sont à disposition.
Un tel service pourrait être disponible dans toutes les organisations sociales et économiques en moins de 10 ans, par système de propagation dit viral : une organisation le teste, cela lui plait, cela fait boule de neige sur ses partenaires, et en peu de temps tout le monde est contaminé. L'effet sera plus ou moins positif selon les spécifications fonctionnelles qui déterminent le degré de contrôle de l'éthique de l'usage de ces informations.
Le guichet unique est un outil, ce qui est donc théoriquement positif
Comme on le voit, la finalité d'un tel projet est très intéressante pour le développement personnel et collectif d'une conscience plus forte, source potentielle de meilleurs choix de société. Il nous permet de nous concentrer sur d'autres priorités, c'est un moyen de nous faciliter la vie. Les seuls défauts sont les dépenses d'énergies non renouvelables qu'induisent ce type de fonctionnement (il favorise le nucléaire, la coupe des arbres...), ainsi que l'impact sur la santé (si on reste planté devant un écran trop longtemps au lieu de faire fonctionner son corps et son esprit de manière plus vive par d'autres moyens).
Les dérives se produisent facilement
Le projet peut néanmoins être détourné de son objectif citoyen par des intérêts privés. C'est facile car les moyens de contrôle manquent.
La question se posant aujourd'hui est : quelles spécifications fonctionnelles précises (à la virgule près) aura ce guichet unique ? Plus précisément: quelles seront les modalités pour stocker et faire circuler ces informations ?
Si ces modalités s'appuient sur les avancées sociales induites pour le mouvement du logiciel libre et plus généralement de la communication libre, telles que décrites plus haut, le guichet virtuel unique, et son code d'accès unique, ne seront que rarement détournés de leur sens.
C'est pourquoi il est essentiel d'anticiper consciemment l'émergence de cette science du guichet unique, en créant les mécanismes d'évaluation et de validation de la qualité éthique du logiciel, source principale de diversité des pratiques humaines.
Le SSO qui s'imposera comme universel sera Libre ou ne sera pas.
SSO est l'abréviation de Single Signe On (en français signature unique). Elle est la base du guichet virtuel unique. C'est le nom donné par la communauté des informaticiens et chefs de projets informatiques aux systèmes techniques de guichet virtuels qui sont développés actuellement.
Ces systèmes ne sont pas tous incompatibles, néanmoins s'ils sont vraiment compatibles, un seul s'impose. Or le plus compatible, c'est le plus libre, comme Internet s'est imposé face au Minitel dans le domaine des réseaux, ou comme GNU/Linux s'est imposé face à Windows dans le domaine des serveurs supportant les applications web.
Les quatre libertés fondamentales seront donc très probablement la base du système émergeant, comme le point de ralliement des diverses initiatives.
Vigilance active ou alors grosse f-r-acture sociale en perspective
Le chemin reste à tracer, et les dérives, en cours de routes, deviendront certes de moins en moins possibles, mais de plus en plus redoutables, à cause de l'effet levier. Un immense travail de sensibilisation des citoyens et des services publics qui les façonnent vers leurs choix aux votations et dans leurs militances est nécessaire. Ce travail sera difficile à accomplir après que la technique du guichet unique sera déjà adoptée par une majorité de consommateurs. Il faut donc le plus possible agir de manière préventive, ici et maintenant.
SSO libre est la partie logicielle, mais reste un outil. Des mécanismes de labellisation basés sur le bien communsont requis. Le label bio en est un exemple: il permet d'atteindre l'objectif d'évaluation de la qualité d'un produit selon les attentes des citoyens; il est en effet communément admis que la santé passe avant tout. Au même titre, assurer que les informations statistiques personnelles et collectives ne soient pas utilisées à des fins privées est une question de santé publique. Mais cela n'est pas communément admis, car les liens de cause à effet sur la santé sont ici indirects, moins faciles à percevoir, alors même qu'elle pourrait être mise à mal plus puissamment. D'où un grand défi mondial : mettre sur pied un moyen d'informer sur la qualité du fonctionnement d'un SSO, afin que le consommateur soit informé des enjeux et des options.
Conclusion : notre intention est de contribuer à définir les spécifications fonctionnelles permettant un contrôle du SSO au service du bien commun.
Ce sont tous ces constats que nous faisons depuis plusieurs années avec Raphaël Rousseau et quelques collègues d'Ynternet.org. L'idée est née de bosser plus en détail sur ces spécifications fonctionnelles et techniques, sous la forme d'une coalition d'institutions d'intérêts publics, dans ce que l'on pourrait nommer "le plan du véhicule". Plan, car cela désigne les fonctions "point de ralliement", et non pas les produits qui en découlent.
Références :
Véhicule pour désigner le coeur des systèmes de transports de l'information :
1 - univers
2 - biosphère
3 - humain
4 - informatique
5 - Internet
6 - web
7 - Covi (communautés virtuelles)
8 - guichet universel
Les spécifications fonctionnelles fondamentales sont les suivantes (tout début d'un doc en construction, embryonnaire
Articles de références :
1. Mon intervention sur le wiki d'Autrans, que j'ai complétée au travers de cet article.
2. Multypass, un guichet citoyen
3. Multypass version 2 le cahier des charges 100% web 2.0.
La préétude de Raphael Rousseau
Extrait d'un courriel que nous nous sommes échangés à trois, de Raphael à Marc Van Coillie et moi :
.. à part LASSO suggéré par Marc, il y a aussi lemonldap : une autre projet de SSO-Web français.
http://lemonldap.sourceforge.net/
Il y a quelques mois, j'ai fait pas mal de recherches sur les Web-SSO
et je ne suis tombé que sur Lasso et Lemonldap...
J'ai trouvé un dernier truc :
http://zwook.ecolevs.ch/zwook/informations/zwo_modules/news/read_news?id=110
6518887.85&instid=news
Zwookedu serait potentiellement intéressé par ce type de projets,
selon leurs dires...
En refaisant rapidement une recherche sur les SSO Web libres, je me
suis rappelé que ma recherche avait exclu les implémentations en Java.
Autant hors Java elles sont en faible nombre (2?), autant en Java, il
y en a apparemment plusieurs, dont :
Raph
Marc Van Coillie writes, en réponse à Raphael (puis Raphael lui répond entre les lignes):
> Bonjour,
Bonjour,
> Vous avez effectivement fait un bon tour d'horizon.
Merci !
> J'aurai à rajouter dans la liste pour les technos :
> - Oasis XDI/XRI
> - Oasis SAML (le coeur de Liberty Alliance et Shibboleth)
Comme il s'agit ici de standards, je ne les ai pas citées, vu que je me suis concentré sur les implémentations.
> et pour les implémentations :
> - Shibboleth
Pas très libre, si vous voulez mon avis... ou disons «libre dans la lettre», mais pas «libre dans l'esprit».
Cf. : http://shibboleth.internet2.edu/license.html
mais surtout
Internet2 Contributor License Agreement ( http://www.internet2.edu/working-groups.html#ICLA )
> - PHPCAS supporté au début pour le projet d'ENT ESUP Portal puis par des
> universitaires de Rennes je crois.
Il s'agit d'une bibliothèque cliente pour CAS dont je parlais.
(Cf. : http://esup-phpcas.sourceforge.net/ )
> - Opensaml http://www.opensaml.org/
Toujours par Internet2. Mêmes réserves concernant la licence.
> - Outre LemonLDAP il y a aussi InterLdap mais ce dernier semble moins avancé...
... et InterLDAP est en Java, ce qui explique qu'elle m'ait échappé.
> L'un d'entre vous connait-il OASIS XDI/XRI ?
> Cela semble très ouvert et très intéressant comme approche pour préserver la
> représentation de l'individu sur le web...
Oui, en effet, je partage votre enthousiasme.
Concernant Java :
Raph