Mobile ID, Google en passe d’imposer sa vision « secure enclave » ?

LES FAITS

• Google constitue une alliance « Android ready SE » avec des vendeurs de composants sécurisés (Secure Element ou SE).

• Objectif de cette alliance : définir un jeu d’applets « opensource », prêts à l’emploi pour être intégrés par les OEM (Original Equipment Manufacturer) dans tous nos objets connectés : smartphone, TV, voiture.

• Cinq fournisseurs de composants ont déjà rejoint l’alliance et ont des composants référencés :
  • Giesecke+Devrient,
  • Kigen,
  • NXP,
  • STMicroelectronics,
  • Thales.

• Google commence la mise à disposition d'un premier applet software, appelé StrongBox, pour sécuriser les applications Android.

• La prochaine étape est le livrable d’applets pour l’identité numérique des personnes ou des objets (comme les clés numériques des voitures par exemple).

ENJEUX

• Se doter d’un composant hardware sécurisé, résistant aux attaques, pour stocker les secrets que sont ses credentials d’identité numérique.

• Satisfaire les exigences de sécurité mobile ID que ne peuvent adresser ni les environnements TEE (Trusted Executed Environnement) ni les solutions palliatives mises en place pour le paiement avec la HCE et la tokenisation.

• Adresser les cas d’usage de wallet sur mobile aussi bien pour l’identité numérique régalienne (permis de conduire, passeport, carte d’identité), que pour les portefeuilles de monnaie électronique ou les clés numériques (voiture, maison, bureau).

MISE EN PERSPECTIVE

• Google travaille aux applications d’identité sur mobile au moins depuis 2019. Il s'agit d'applications telles que le permis de conduire en vue de la conformité avec le standard international ISO 18013-5.

• Google tente aussi de convaincre les instances internationales ICAO pour un passeport numérique à la même valeur qu’un titre physique.

• Apple, pour sa part, n’est pas en reste : après avoir obtenu un brevet dès 2018 pour dériver une identité sur mobile et stocker les credentials dans le SE, Apple avait  réactivé ses velléités l’an passé avec plusieurs brevets pour positionner l’iPhone comme support de l’identité numérique à part entière.

• En novembre 2020, l’ICAO a publié ses travaux (rapport et guide) pour un Digital Travel Credential (DTC) ; mais pour l’instant l’ICAO n’a pas spécifié l’option « DTC-PC » qui ne nécessiterait plus du tout de document physique en sa possession lors d’un voyage et qui aurait une structure et une sécurité identiques à celles de la puce d’un titre. L’ICAO a également alerté l’industrie pour éviter tout blocage d’interopérabilité avec une solution propriétaire de credentials d’identité numérique.

• Le risque de prise en main propriétaire de notre identité numérique sur mobile par des GAFA, tels que Google ou Apple, est bien réel : la eSE d’Apple est contrôlée par Apple et les applications sur les SE de l’alliance créée par Google seront contrôlées par Google et ses clés-maîtres, via son outil Strongbox.

• En Allemagne, un partenariat entre les autorités régaliennes et Samsung s’oriente vers une autre ouverture de l’écosystème : Samsung met à disposition un SDK pour rendre accessible son eSE à des fournisseurs de services et des développeurs d’applications. L'objectif serait de créer des applets qui pourraient être approvisionnés directement via des TSM sur la plateforme de la puce sécurisée, selon le besoin et la demande des utilisateurs. La démarche allemande adresse des enjeux que les GAFA n’adressent pas : enjeu de souveraineté, de libre concurrence et de protection de la vie privée d’une identité sur mobile.

FOCUS SUR LA SOLUTION STRONGBOX

• Strongbox est une solution software dite HAL (Hardware Abstraction Layer)
• Elle permet avec une simple API de pouvoir recourir au HSM (Hardware Security Module) qui stocke les clés-maîtres gérées par Google.
• Ces clés-maîtres permettent de renforcer la sécurité des clés de stockage des applications d'Android.
• Google a déjà implémenté Strongbox dans un environnement hardware qui pourrait être assimilé au pendant de la Secure Enclave d’Apple : la puce Titan M (du même nom que la clé FIDO Titan dont la sécurité par le wrappring de clé-maître avait fait l’objet de critiques).