La Electronic Frontier Foundation (EFF) affirme que les preuves à divulgation nulle de connaissance (Zero-Knowledge Proofs ou ZKPs) n’offrent pas de solution globale au problème de la vérification de l’âge des internautes, bien qu’elles soient parfois présentées comme un moyen de prouver qu’un utilisateur est majeur sans révéler ses données personnelles. La fondation estime que ces systèmes peuvent échouer à atteindre leur objectif principal et créer simultanément de nouveaux risques pour la vie privée, la sécurité et la liberté d’accès aux services.
Ces positions interviennent à une période où les lois sur la vérification de l’âge se multiplient. Selon l’article, près de la moitié des États américains disposent d’une loi concernant la vérification de l’âge des internautes, tandis que des propositions fédérales telles que le KIDS Act et le Kids Online Safety Act (KOSA) progressent. Dans l’Union européenne, les États membres avancent vers la mise en place d’une infrastructure de vérification de l’âge au moyen d’une application centralisée d’ici la fin de 2026, tandis que l’Australie applique déjà une restriction de grande ampleur.
De la vie privée individuelle à un point de contrôle centralisé
L’EFF reconnaît que la vérification de l’âge au moyen de ZKPs semble, dans sa forme idéale, révéler moins de données que les méthodes qui demandent à chaque site ou application d’accéder aux informations de l’utilisateur. Au lieu de partager sa date de naissance ou sa pièce d’identité avec chaque service, une personne pourrait théoriquement recevoir un jeton prouvant qu’elle a dépassé un certain âge sans révéler d’autres informations.
Mais la fondation estime que cette conception n’élimine pas la nécessité d’une entité qui délivre le jeton ou vérifie l’âge de son détenteur. À chaque utilisation, un lien permanent peut se créer entre le jeton et l’entité qui l’a délivré. Si l’entité émettrice peut enregistrer l’utilisation de l’identifiant, un ensemble de métadonnées indiquant les services auxquels l’utilisateur accède peut se constituer. Cette entité peut également subir des pressions gouvernementales pour bloquer l’accès d’une personne à un service donné, ou devenir une passerelle centralisée contrôlant de fait une partie importante de l’accès à Internet.
Comment fonctionne la technologie ?
Les preuves à divulgation nulle de connaissance permettent à un appareil de prouver à un autre appareil qu’une information est exacte sans révéler l’information elle-même. Le premier appareil démontre un engagement mathématique envers l’information, puis le second lui soumet des défis auxquels il n’est possible de répondre correctement que si l’information initiale est exacte. Pour éviter la lenteur des interactions répétées entre les deux appareils, les applications utilisent une version non interactive de ce processus.
La version la plus associée aux cas de vérification de l’âge est le zk-SNARK. Dans ce système, la réponse est convertie en une valeur abrégée au moyen du hachage, de sorte que le résultat soit théoriquement difficile à prédire ou à manipuler. Dans le meilleur scénario, ce mécanisme peut prouver que l’utilisateur est un adulte ou un enfant sans révéler d’informations personnelles supplémentaires. Cependant, l’EFF affirme que les tests en conditions réelles ont montré que les propriétés mathématiques de la technologie ne suffisent pas à elles seules à résoudre les problèmes d’application et de fonctionnement.
Qu’a révélé l’essai de l’Union européenne ?
Les vingt-sept pays européens devraient disposer d’ici la fin de 2026 d’une infrastructure de vérification de l’âge au moyen d’une « mini-portefeuille » intégrée à l’EUDI Wallet, le portefeuille européen d’identité numérique. L’EFF affirme que la version du portefeuille déployée auprès des utilisateurs n’active pas réellement les fonctionnalités des ZKPs, à l’exception d’une version expérimentale fermée ou d’un prototype auquel la plupart des utilisateurs ne peuvent pas accéder.
Selon l’article, un chercheur en sécurité a également trouvé un moyen de contourner le système au moyen d’une simple extension du navigateur Chrome. L’extension a réussi à tromper l’application pour qu’elle accepte à plusieurs reprises le même jeton « plus de 18 ans », sans demander de nouvelle vérification à chaque fois. L’EFF cite également une lettre ouverte signée par plus de 400 chercheurs en sécurité, qui a averti que les points de vérification de l’âge pourraient causer davantage de dommages que de bénéfices, même lorsqu’ils sont conçus dans le respect de la vie privée.
La sensibilité des risques augmente si la mini-portefeuille est entièrement intégrée à l’EUDI Wallet, car une éventuelle défaillance ne concernerait pas uniquement les données relatives à l’âge. Le portefeuille pourrait également contenir des passeports, des permis de conduire, des informations de voyage et des données financières, ce qui élargirait l’impact d’une attaque ou d’un détournement.
Pourquoi ce débat est-il important ?
Le point pratique est que la protection des données ne dépend pas uniquement de l’algorithme ZKP, mais aussi de l’entité qui délivre l’identifiant, de la manière dont il est stocké, de la possibilité de suivre son utilisation et des garanties empêchant sa réutilisation ou le contournement du mécanisme de vérification. L’EFF conclut donc qu’aucun système de vérification obligatoire de l’âge ne peut garantir simultanément la vie privée, l’exactitude et une couverture complète sans introduire d’importants risques de sécurité.
Comme l’article exprime la position de l’EFF, son opposition à la vérification obligatoire de l’âge constitue une opinion politique et technique attribuée à la fondation, et non le résultat d’un consensus général. Cependant, les exemples liés à l’activation des ZKPs et à l’acceptation répétée du jeton fournissent une base pratique pour réexaminer les promesses de ces systèmes avant d’élargir leur champ d’utilisation.