Il existe de nombreux problèmes persistants en matière de sécurité des données. C'est l'un d'entre eux.
TL; DR: Blâmez l'industrie des cartes de crédit.
La cause première est le concept erroné qu'en donnant votre identité vous accordez également votre autorisation . C'était la base horrible sur laquelle les cartes de crédit ont été construites, et c'est pourquoi la situation est aussi mauvaise qu'aujourd'hui.
Votre identité (numéro de carte de crédit, SSN, etc.) ne devrait jamais avoir besoin d'être gardée secrète, car qui vous êtes n'est pas un secret . Vous ne pouvez pas rester secret vis-à-vis d'un commerçant en ligne, car il doit vous expédier les articles que vous achetez. Vous ne pouvez pas rester secret vis-à-vis d'un commerçant possédant une carte de crédit, car il souhaite que votre banque lui donne de l'argent. Vous ne pouvez jamais réussir à garder le secret du fisc. Et vous ne voulez pas rester secret de votre fournisseur de soins de santé, qui a besoin de vos antécédents médicaux pour traiter vos problèmes.
Lorsque le crédit a été inventé, ce n'était pas un gros problème. Les gens se connaissaient et les deux parties se faisaient confiance dans la transaction. Mais le système était si incroyablement facile à abuser que la fraude était devenue incontrôlable.
Les transactions par carte de crédit sont extrêmement rentables. Désespérée d'empêcher les gens d'avoir peur d'utiliser leurs cartes de crédit non sécurisées, l'industrie des cartes de paiement (PCI) a réussi à rejeter le blâme sur les commerçants, en disant "qu'ils ne gardent pas vos numéros de carte de crédit en sécurité", tout en évitant le fait que le tout le système a été construit sur une prémisse erronée de confiance. (J'attribue tout le blâme à l'industrie des cartes de crédit pour avoir perpétué ce gâchis de sécurité afin de préserver leurs profits.)
La solution est de séparer votre identité de votre autorisation. Les gens n'ont pas à craindre de divulguer leur identité si l'identité est sans valeur sans autorisation.
Mais comment accorder une autorisation lorsqu'il y a la possibilité d'un intermédiaire non fiable? Il y a une mauvaise et une bonne manière. La mauvaise façon est le mot de passe. En prouvant que vous connaissez un secret, vous pouvez autoriser l'utilisation de votre identité. Mais les mots de passe simples sont aussi problématiques que les numéros de carte de crédit simples le sont aujourd'hui. Si vous dites votre secret au commerçant qui le transmet ensuite à la banque, un homme du milieu n'importe où le long de cette chaîne peut copier votre secret et falsifier votre autorisation.
Le seul bon moyen de donner votre autorisation en toute sécurité est d'utiliser challenge-response. Cela résout tout le problème, sauf que nous, les humains, ne pouvons pas faire de défi-réponse efficace dans notre tête. Ceci a été brillamment surmonté par l'introduction des cartes à puce et des protocoles EMV. La carte fait tout le travail acharné pour accepter le défi et générer la réponse. Pour plus de sécurité, la carte peut être conçue pour ne pas générer de réponse valide sans code PIN.
Dans ce monde teinté de rose, non seulement vous n'avez plus besoin de protéger les numéros de carte de crédit, mais vous n'avez pas besoin de protéger la réponse car elle est propre à relever le défi.
Nous y arriverons peut-être un jour. Mais pour le moment, EMV n'est toujours pas parfait. Parce qu'il ne peut utiliser que les petits contacts dorés pour communiquer (ou parfois RF), et que les téléphones et les ordinateurs n'ont pas la capacité universelle de parler aux cartes à puce, il n'y a pas de bon moyen d'utiliser EMV pour autoriser une transaction sur un navigateur Web ou par téléphone. (Certaines banques européennes utilisent des lecteurs de puces de poche, mais ce sont des dispositifs peu pratiques qui obligent l'utilisateur à effectuer les étapes supplémentaires consistant à taper un tas de chiffres comme défi et à saisir sa réponse.) Donc, pour l'instant, les transactions Web sont s'appuyant toujours de manière non sécurisée sur des numéros CVV statiques, qui sont l'équivalent des mots de passe.
Et cela ne résout pas non plus les problèmes non liés au crédit. L'accès aux dossiers médicaux, aux sites Web et à tout ce qui nécessite une autorisation pose le même problème et nécessite une bonne solution. Il existe de nombreuses solutions à mi-chemin comme OAuth, mais comme la violation de Yahoo! L'a démontré, ce ne sont pas de bonnes solutions. Et quelles que soient les solutions qui sortiront, elles seront combattues dans les comités de normalisation par des entreprises qui réclament toutes une part rentable du gâteau; les gouvernements concurrents qui veulent contrôler et obtenir un accès détourné; les entreprises techniques qui veulent construire l'infrastructure, etc. identité du site, etc., nous pouvons voir la fin de la boîte de mot de passe masquée. Je lui donne au moins 50 ans avant d'y arriver, si jamais.