Une majorité d’entre nous l’ignore sans doute: en Suisse, il n’est pas interdit d’usurper l’identité de quelqu’un sur internet. Un vide législatif qui nous laisse sans défense lorsque des hackeurs malveillants ou des filières auxquelles ils ont vendu nos données agissent à notre place. Le syndic de la ville de Lausanne, Grégoire Junod, en sait quelque chose, lui qui supplie en vain depuis plus de trois ans la société Meta, maison mère de Facebook, de supprimer le faux compte que des criminels ont ouvert à son nom sur Instagram. Non seulement Meta ne réagit pas, mais le malheureux syndic se fait systématiquement rejeter de la plateforme lorsqu’il veut créer son (vrai) compte, au motif que celui-ci existe déjà.
«Les médias en ont parlé et nous publions régulièrement des messages de mise en garde à l’intention du public. Malgré cela, les escrocs sévissent toujours en toute impunité. Concrètement, ils proposent au nom de M. Junod et de la ville des emprunts à un taux de 2% remboursables à long terme. Malheureusement, des gens ont déjà perdu des dizaines de milliers de francs», confie Amélie Nappey-Barrail, responsable de la communication de la ville, avant de préciser: «L’usurpation d’identité n’étant pas considérée comme un délit, ni monsieur le syndic, ni la ville ne peut porter plainte. Pour envisager un début de procédure, il faut qu’une personne arnaquée porte plainte. Et encore...» déplore la communicante.
Tout ça pour rappeler que ce que nous publions sur la Toile, photos, vidéos et données personnelles, lors d’un achat, peut être volé ou usurpé par des personnes malintentionnées. Ou même par des Etats, à votre insu. Exemple: dans sa chasse aux assaillants du Capitole, le FBI américain n’a pas hésité à utiliser un logiciel (Clearview) qui permet d’identifier presque n’importe qui à l’aide d’une simple photo sans que les potentiels suspects figurent dans une base de données. Le hic, c’est que, pour réussir ce tour de force, Clearview a collecté plus de 3 milliards de photos en indexant à son système autant de pages Facebook et Instagram, ce qui, en soi, n’est pas illégal. Parmi elles, la vôtre, la mienne peut-être, puisque dans cette méga-galerie de portraits figurent ceux de millions d’Européens et d’Européennes. «Après plusieurs demandes, la société a reconnu posséder trois photos de moi», raconte une avocate française dans un article du magazine économique «Challenges». Un constat qui, au-delà de son aspect inquiétant, ferait presque sourire Sébastien Marcel, responsable du groupe de recherche en sécurité biométrique et protection de la vie privée à l’Idiap, à Martigny: «C’est tout le paradoxe de l’univers numérique. Beaucoup de gens hésitent à faire confiance à la biométrie mais n’hésitent pas à mettre toutes sortes de données personnelles sur internet. C’est pourtant bien cette démarche, échappant à tout contrôle, qui s’avère la plus risquée pour eux.»
>> Lire aussi: Sosies: même visage, et bien plus encore
Au niveau mondial
Mais ce n’est pas sur ces dérives propres à la Toile que travaillent depuis dix ans le professeur d’origine française et son équipe de 13 scientifiques, installés aux côtés d’une quinzaine d’autres services dans un bâtiment moderne de quatre étages à Martigny. Non, leur mission est de détecter les failles dans les systèmes de sécurité biométrique afin de rendre ces derniers les plus invulnérables possible. Un job dans lequel l’équipe excelle et qui a porté loin sa réputation. «Pour des raisons de confidentialité, je ne peux pas citer les noms de nos clients, mais il est vrai que des entreprises viennent du monde entier faire tester leur matériel avant de le déployer», confirme Sébastien Marcel. Pour mémoire, la biométrie est une technologie permettant la reconnaissance automatisée de l’identité d’un individu grâce à l’analyse de ses caractéristiques physiques ou comportementales propres. Tous les propriétaires d’iPhone savent de quoi on parle. On y reviendra. Il y a quelques années, la technologie biométrique la plus utilisée était la reconnaissance des empreintes digitales. Depuis, d’autres identifiants ont émergé, comme les veines des doigts, celles des paumes, les iris et les visages. L’Idiap est avant tout reconnu pour ses grandes compétences en matière de reconnaissance faciale et vocale.
Du papier au masque high-tech
«Au début, pour tromper les systèmes de reconnaissance, nous procédions à des attaques au moyen de photos imprimées sur du papier, que nous présentions à la caméra. Cela fonctionnait très bien. Puis, plus nous améliorions la sécurité, plus les attaques sont devenues sophistiquées. Nous sommes passés du papier à des masques ordinaires coûtant de 300 à 400 francs l’unité, puis à des masques en silicone à plus de 3000 francs la pièce et, aujourd’hui, à des visages en plastique hyperréalistes en 3D fabriqués au Japon approchant les 4000 francs. On peut y installer de faux yeux et de faux iris et ils réfléchissent la lumière et les infrarouges des caméras», détaille Sébastien Marcel. A ce stade, il convient de distinguer deux grands usages de la reconnaissance faciale: l’identification, pour mettre un nom sur une personne, et l’authentification, pour être sûr qu’une personne est bien celle qu’elle prétend être. Lorsque vous déverrouillez votre iPhone, par exemple, c’est de l’authentification.
>> Lire aussi: La reconnaissance faciale, c’est quoi?
Dans l’un des «bunkers» de l’Idiap, la galerie de masques que l’équipe de Sébastien Marcel utilise pour ses recherches depuis la création de l’institut, il y a un peu plus de dix ans.
Blaise KormannMais, face à la qualité de plus en plus élevée des images artificielles, le système de détection est-il vraiment fiable? «Tout dépend du degré de vulnérabilité de votre smartphone, du système de protection que le fabricant a installé. Tromper les appareils de la marque la plus répandue du monde est presque impossible alors que d’autres se font encore avoir une fois sur deux par de simples photos sur papier. Idem pour les caméras de vidéosurveillance, les passages de douane», explique celui qui est également professeur à l’Ecole des sciences criminelles de l’Université de Lausanne. Et qu’en est-il des cartes de crédit et des cartes bancaires? «Votre code étant encrypté dans la puce et ne figurant dans aucune base de données, leur sécurité est très élevée puisque vous êtes censé être le seul à connaître le sésame», poursuit notre interlocuteur.
Et notre passeport?
Enfin, reste le passeport biométrique, que notre pays a introduit il y a treize ans déjà, avec le souci de couper l’herbe sous le pied des faussaires et autres usurpateurs. Vraiment? Une partie de la réponse se trouve sur le site de l’Office fédéral de la police, Fedpol: «Depuis mars 2010, seuls des passeports biométriques sont délivrés. Ils sont pourvus d’une puce électronique sur laquelle sont enregistrées les empreintes digitales et une photo du visage, ce qui rend leur utilisation abusive plus difficile.» Tout est dans le choix des mots. Plus difficile ne signifie pas impossible. Sébastien Marcel le reconnaît. «C’est pour atteindre une sécurité à 100% que nous œuvrons.»
A Martigny, cette marche en avant se poursuit inlassablement. A témoin, les chercheurs du coude du Rhône ont mis au point un capteur capable de lire une image biométrique de la main de manière hygiénique et sans contact. Fini les empreintes digitales. «Une fois les doigts et la paume fixés, on extrait la structure des veines par imagerie infrarouge, qu’on utilise pour l’authentification.» Autant dire que, à l’heure où nous entrons dans l’ère de l’identité numérique, ces recherches s’avèrent capitales pour pouvoir détecter le vrai du faux, séparer le réel du virtuel, tant leur différence devient ténue. Parallèlement à l’utilisation de masques pour tromper l’authentification, la technologie des «deepfakes» a tellement progressé en dix ans qu’il est désormais possible, pour un spécialiste, de faire passer une personne pour une autre presque en temps réel. Sébastien Marcel et son équipe ont encore du grain à moudre…
Décryptage: du Cynar à l’intelligence artificielle
Son nom, d’abord. Lors de sa fondation, en 1991, l’acronyme Idiap signifiait Institut d’intelligence artificielle perceptive. «Depuis, l’organisation a élargi ses compétences et le mot «perceptive » ne suffit plus à décrire nos activités, raison pour laquelle son nom se résume aujourd’hui au seul acronyme», précise Nicolas Filippov, responsable de la communication. L’institut est né sous l’impulsion de la fondation italienne Dalle Molle, du nom d’Angelo Dalle Molle, homme d’affaires qui a fait fortune grâce à son invention du Cynar, un apéritif amer à base de feuilles d’artichaut. Le père de ce spiritueux très à la mode il y a un demi-siècle pensait que la technologie devait être utilisée pour améliorer le bien-être de l’homme et non pas pour le rendre esclave des machines ou dégrader son environnement. Une philosophie à laquelle ont adhéré la commune de Martigny, l’Etat du Valais, l’EPFL, l’Université de Genève et Swisscom, partenaires du projet.