Pourquoi Qypher est nécessaire, maintenant.

Les fuites de données personnelles depuis de grands services ne sont malheureusement plus rares. Les causes invoquées, encore et encore, sont « des mots de passe réutilisés », « des mots de passe trop simples » et « des mots de passe volés par hameçonnage ».

Ce n'est pas seulement une question d'imprudence des utilisateurs. Le mot de passe, en tant que mécanisme, exige d'un être humain un secret « long, complexe, différent pour chaque service — et pourtant mémorisable ». Avec un nombre de services qui ne cesse d'augmenter, y parvenir parfaitement relève presque de l'impossible. Quand un mot de passe fuite depuis un service, les dégâts se propagent en cascade à tous les autres services où ce même mot de passe a été réutilisé — c'est ce qui amplifie tant de fuites.

Chez Qypher, il n'existe tout simplement aucun « mot de passe » susceptible de fuiter

Se connecter avec Qypher ne fait intervenir aucun mot de passe — aucune chaîne de caractères qu'une personne doive mémoriser. Vous n'utilisez qu'une seule Carte Qypher portant un code QR. Les incidents propres aux mots de passe — « un secret mémorisé se fait voler », « un secret réutilisé fuite » — ne peuvent tout simplement pas se produire dans ce système.

Bien sûr, cela ne signifie pas « avec Qypher, rien ne peut jamais mal tourner ». Si vous perdez votre Carte Qypher, la réémettre immédiatement désactive aussitôt l'ancienne. Ce qui compte, c'est cette conception même : qu'aucun être humain n'ait à porter un secret qui poserait problème s'il fuitait. Nous approfondirons cette façon de penser la sécurité plus loin, dans le quatrième volet.

Les connexions sociales comme « Se connecter avec Google » ou « Se connecter avec Apple » sont un mécanisme pratique utilisé sur de nombreux sites. Pouvoir se connecter directement avec un compte que l'on possède déjà est un avantage réel.

Qypher ne cherche pas à rivaliser avec ce mécanisme, mais vise une position différente. La connexion sociale vous rattache à un compte sur une plateforme majeure donnée. Qypher, à l'inverse, est un mécanisme d'authentification indépendant, également utilisable par les personnes qui ne sont membres d'aucune plateforme en particulier, ou qui préfèrent simplement ne pas confier toutes leurs informations d'identification à une seule entreprise.

Ce à quoi Qypher tient

• Neutralité : elle fonctionne comme un moyen de connexion autonome, sans dépendre du compte d'une entreprise en particulier.
• Polyvalence : une seule Carte Qypher peut être utilisée sur plusieurs services indépendants compatibles avec Qypher.
• Transparence : vous pouvez vérifier et choisir, à chaque fois, les données transmises au site où vous vous connectez.

Il ne s'agit pas de savoir lequel est « meilleur ». Nous pensons qu'avoir davantage d'options parmi lesquelles choisir — selon la situation et les valeurs qui comptent pour vous — est une bonne chose, tant pour les utilisateurs que pour les exploitants de sites.

Maintenant qu'utiliser internet fait tout simplement partie du quotidien, les incidents où des enfants accèdent par erreur à des services soumis à des restrictions d'âge, ou effectuent des achats coûteux non intentionnels, sont de plus en plus souvent évoqués comme un enjeu de société.

La vérification de l'âge et l'authentification parentale chez Qypher

Qypher vérifie l'âge à partir d'une date de naissance enregistrée et, pour les utilisateurs n'ayant pas atteint un certain âge, est conçu pour exiger l'authentification ou le consentement d'un parent. Ainsi, un site n'a jamais besoin de « construire lui-même, de zéro, un mécanisme de vérification d'identité et de consentement parental », ce qui facilite grandement la diffusion de mesures de protection des enfants à un plus grand nombre de services.

Pour les parents aussi, il devient plus facile de savoir à quels services leur enfant se connecte, ce qui réduit le risque qu'il ne se retrouve, sans que personne ne s'en aperçoive, dans un endroit inadapté à son âge.

Un seul mécanisme, pour la tranquillité de toute la société

Si la vérification de l'âge et l'authentification parentale peuvent exister comme un mécanisme commun, plutôt que d'être reconstruites séparément par chaque service, l'attention portée à la protection des enfants pourra se diffuser bien plus facilement dans l'ensemble du secteur. Ce que Qypher cherche à devenir, c'est le socle de ce cercle vertueux.

Le simple mot « c'est sûr » ne suffit peut-être pas à vous rassurer. Voici, expliquée le plus simplement possible, la façon de penser qui permet à Qypher de rester robuste.

Aucun « secret » digne d'être volé n'existe, pour commencer

Comme nous l'avons évoqué dans le premier volet, se connecter à Qypher ne fait intervenir aucun mot de passe qu'une personne mémorise. Comme il n'existe tout simplement pas de « secret » à cibler pour un attaquant, les méthodes d'attaque courantes — voler un mot de passe, le deviner, exploiter sa réutilisation — ne s'appliquent pas.

Même dans le pire des cas, rien n'est conservé sous une forme utilisable

La base de données de Qypher ne conserve jamais les informations liées à l'authentification sous une forme réversible vers l'original. Ce qui est conservé, c'est uniquement une donnée ayant subi une transformation à sens unique — dont l'original ne peut pas être recalculé. Les informations personnelles telles que les noms et adresses sont elles aussi conservées sous forme chiffrée. Ainsi, même si une partie des données tombait entre de mauvaises mains, elle ne pourrait être extraite sous une forme directement exploitable.

Une génération confiée à la machine, impossible à deviner

Les informations utilisées pour la connexion ne sont pas générées à partir d'éléments prévisibles comme la date et l'heure : elles proviennent d'un générateur de nombres aléatoires cryptographiquement sûr. N'étant pas une chaîne imaginée par un humain, aucune régularité ne permet de la deviner.

La sécurité de Qypher ne repose pas sur le fait de « garder le mécanisme secret » : elle s'appuie, comme montré ici, sur une conception qui tient bon même une fois rendue publique. Si les détails techniques vous intéressent, consultez aussi notre page pour techniciens, « Sécurité ».