Les blockchains sont-elles la clé de l’avenir du cryptage Web ?

Les sites Web cryptés gèrent désormais plus de la moitié du trafic Web mondial, mais la manière dont les clés de ces connexions sont échangées et vérifiées n'a T beaucoup changé en 20 ans.

Le système actuel repose sur un réseau mondial deautorités de certification(AC) pour vérifier la clé publique et le propriétaire de chaque site web sécurisé. Ce système est depuis longtemps critiqué pour créer des points de défaillance centraux. Or, ces points centraux, les AC, ont parfois échoué.

Certains pensentblockchains – la Technologies qui gère l'échange de clés pour le réseau Bitcoin de 25 milliards de dollars – pourrait être la base d’une alternative sécurisée.

L'idée initiale

À l'instar des blockchains, les autorités de certification ont été créées pour faciliter le commerce connecté. Christopher Allen, développeur chevronné qui a contribué à la création de la première autorité de certification, VeriSign, a déclaré avoir imaginé un système avec plusieurs autorités de certification où les utilisateurs choisiraient celles auxquelles ils feraient confiance.

Cependant, avec l'évolution du système, il est devenu difficile pour les utilisateurs ordinaires de gérer activement leur confiance envers les différentes autorités. La plupart se fient désormais aux paramètres par défaut de leur navigateur. Ce sont désormais les éditeurs de navigateurs qui contrôlent efficacement la confiance, ce qui leur confère une influence considérable au sein du secteur des certificats.

« Nous avons une nouvelle centralité, qui est constituée des grandes sociétés de navigateurs », a déclaré Allen.

Les risques d’aujourd’hui

Alors que le contrôle de la confiance s'est centralisé, le nombre d'autorités de certification a augmenté. Il existe désormais des centaines d'autorités dans le monde, et la défaillance de l' une ONE' entre elles compromet l'ensemble du système.

L’incident le plus grave à ce jour a été leeffondrementde l'autorité néerlandaise DigiNotar en 2011. Le piratage de DigiNotar a permis aux attaquants d'espionner environ 300 000 comptes Gmail iraniens et a forcé la fermeture temporaire de nombreux services en ligne du gouvernement néerlandais.

Depuis, des dizaines de cas d'AC ont été recensés, notamment en train d'émettre des certificats non vérifiés, d'utiliser une sécurité insuffisante ou même de tenter de tromper les éditeurs de navigateurs. Aucun de ces cas n'a eu les mêmes conséquences que DigiNotar, et le secteur a renforcé ses normes de sécurité à plusieurs reprises depuis 2011. Pourtant, certains pensent qu'il est temps de trouver une alternative durable aux AC.

ONEune de ces alternatives a été présentée dans un livre blanc de 2015, rédigé lors d'un atelier organisé par Allen et intitulé « Rebooting Web of Trust ». Ce document définissait les objectifs d'une infrastructure à clés publiques décentralisée (DPKI) destinée à remplacer le système centralisé actuel.

On peut y lire :

« L’objectif de dpki est de garantir que… aucun tiers ne puisse compromettre l’intégrité et la sécurité du système dans son ensemble. »

À la place du système actuel, où la propriété du domaine est enregistrée dans le DNS et la clé est vérifiée par les autorités de certification, Rebooting Web of Trust a imaginé un espace de noms sécurisé où l'enregistrement du domaine et la clé de chaque domaine seraient enregistrés sur une blockchain.

Un nouvel espace de noms

Le Système de noms Ethereum (ENS) tente de créer le même type d'espace de noms sécurisé pour la communauté Ethereum . Cela nous donne un premier aperçu des défis et des opportunités liés à la mise en pratique de ces idées.

Le développeur Alex Van de Sande explique que son équipe utilise souvent l'analogie d'un sandwich pour expliquer la conception ENS . Le « pain » du sandwich ENS est constitué de deux contrats simples. ONEun stipule que si vous êtes propriétaire du domaine, vous avez droit à ses sous-domaines. L'autre gère les paiements.

Comme dans un sandwich, la partie la plus complexe d' ENS se trouve au milieu. C'est le contrat qui fixe les règles d'enregistrement des noms. ENS souhaite éviter le problème du squatting de domaine, fréquent lors de l'essor initial des noms de domaine sur Internet.

Ils appliquent également le principe de moindre surprise, selon lequel les gens ne devraient T être trop surpris par l'identité du propriétaire d'un nom. Il peut sembler évident que Bank of America devrait avoir la priorité sur ETH. Mais Van de Sande a déclaré que la conception d'un système pour mettre en œuvre ce principe est très complexe, voire irréaliste.

Il a ajouté que ENS profiterait de la première année suivant le nouveau lancement pour Guides les règles d'enregistrement. Si ces dernières changent, a-t-il précisé, les propriétaires de noms auront le choix de les mettre à niveau ou de les abandonner contre remboursement.

Van de Sande a déclaré qu'il espérait que ENS serait un modèle pour une utilisation plus large d'idées similaires, ajoutant :

« ENS reflète la façon dont nous souhaitons qu'Internet soit. Cela ne signifie T pour autant qu'il en sera ainsi. »

Le modèle de Blockstack

Une autre façon de décentraliser l’infrastructure derrière la communication en ligne sécurisée est de s’assurer que les utilisateurs peuvent vérifier les informations réelles qu’ils reçoivent, plutôt que d’essayer de sécuriser la connexion serveur-client.

L'ingénieur Jude Nelson, qui a collaboré au livre blanc « Rebooting Web of Trust » de 2015, a déclaré à CoinDesk que c'était l'objectif de sa startup, Blockstack, basée à New York.

Le système de Blockstack, qui est actuellementdans une version alpha, permet aux utilisateurs d'enregistrer leur nom et leur clé uniques sur leblockchain Bitcoin, puis recherchez un autre utilisateur afin de vérifier les informations qu'il reçoit.

« Avec Blockstack, nous essayons de permettre aux développeurs de créer des applications décentralisées et sans serveur, où les utilisateurs sont propriétaires de leurs données », a déclaré Nelson. « Il n'y a pas de mot de passe et les développeurs n'ont T besoin d'héberger l'un ou l'autre. »

Cela pourrait, un jour, réduire complètement le besoin de cryptage du site Web.

L'identité souveraine et ses obstacles

Chacun de ces projets reflète le même objectif global : réduire le rôle des tiers et donner plus de contrôle aux utilisateurs.

Allen, qui a réuni le groupe Rebooting Web of Trust tous les six mois depuis 2015, a déclaré qu'il travaillait sur des technologies qui donnentla véritable souveraineté des utilisateurs.

Les nombreuses chaînes de lettres et de chiffres qui représentent les individus en ligne aujourd'hui sont toutes enregistrées auprès de tiers. « Vous ne l'achetez pas vraiment, vous le louez. Vous n'avez T de véritable souveraineté », a déclaré Allen.

Mais Allen entrevoit également de nombreux défis à relever. ONE est la convivialité. Les systèmes adaptés aux utilisateurs techniquement compétents peuvent ne pas s'adapter aux applications où la plupart des utilisateurs s'appuieront sur les paramètres par défaut et ne seront T prêts à choisir à qui faire confiance.

Allen a dit :

« Nous avons appris grâce à la Technologies que donner le choix aux utilisateurs ne fonctionne souvent T . »

Parallèlement, le système centralisé évolue également. Google déploie actuellement sa propre solution pour remédier aux problèmes du système des autorités de certification : une solution appelée « Transparence des certificats », qui oblige les autorités de certification à consigner tous les certificats de confiance à la vue du public.

Google a déclaré qu'il pouvait vérifier l'inclusion des journaux et l'honnêteté du journal avec les arbres Merkle, et le système a déjà permis aux chercheurs de détecter certains mauvais certificats.

L'idée de Google est de KEEP le tiers, mais de supprimer la confiance. Cette approche pourrait s'avérer un concurrent à long terme pour les projets basés sur la blockchain qui souhaitent se débarrasser des deux.

Machine de cryptageImage via Shutterstock