les identités numériques

Dans La présentation de soi (tome I de La mise en scène de la vie quotidienne), Erving Goffman propose d’analyser les interactions microsociales sous l’angle de la dramaturgie. Il s’agit pour l’auteur d’apporter un appareillage théorique à cette notion très répandue que la vie est un théâtre. Il s’agira donc, dans un 1^er temps, de collecter les concepts de cette théâtralisation. Il faudra souligner la spécificité des interactions décrites, due au contexte historique et social dans lequel évolua Goffman. Enfin, dans une 2^ème partie, il s’agira de projeter ces notions dans les interactions en vigueur sur Internet.

Prise de notes au fil de la lecture, non achevée à ce jour : revenez régulièrement au besoin. Certains ajouts sont personnels, des associations d’idées avec d’autres notions extérieures à la thèse.

Résumé

• Individu = acteur qui se met en scène face à autrui : stratégies de face (masque), conscientes ou non.
• Interaction bidirectionnelle : on montre ce que les autres attendent de nous ;
• Permanente et exclusive : on ne peut jouer qu’un rôle avec un public (et un autre rôle avec un autre public).
• Omniprésence du contrôle social, donc spectacle omniprésent.
• la présentation de soi reste fragile, elle peut s’écrouler de manière involontaire comme elle peut être manipulée de manière volontaire.
• MAIS, exemples : activités de service, ou interaction de type serveur-client. Il y a une distance sociale : (serveuse de restaurant = dominée par client) OU (médecin = domine son patient). Solennité toujours de mise aujourd’hui ?
• Interaction de Goffman = projection de soi sur le Web ?
• Prise de notes commentée (pages 2 – 3 – 4 – 5 – 6 – 7 – 8 – 9) + conclusion

Erving Goffman

Mais avant toute chose, un petit mot sur l’auteur.

Erving Goffman (1922-1982) : membre de la 2ème école de Chicago :

• on parle de sociologie pragmatique, appliquée à un écosystème urbain.
• Il s’agit alors d’analyser (observation participante) les interactions (pragmatique, interactionnisme de Mead) dans des microsociétés (urbaine).
• Goffman situe son ouvrage dans les limites physiques d’un immeuble, d’un établissement. Pour sa thèse de doctorat (1953), Goffman se plonge dans les arcanes d’un hôtel des iles Shetland, où il peut observer les interactions entre autochtones et touristes, directeurs et clients, commerçants et habitants. Il en fait beaucoup mention dans cet ouvrage. On atteint presque un niveau nano avec ce système social en miniature que constitue l’interaction face à face.
• A ce sujet, il faut préciser que La mise en scène de la vie quotidienne est publiée dans la collection Sens commun, dirigée par Pierre Bourdieu (habitus de classe, voir plus loin).
• Par ailleurs, les travaux de Goffman empruntent à la phénoménologie (sans la transcendance) et à l’existentialisme : on retrouvera donc un questionnement sur l’intentionnalité de l’acteur.

C’est tous les jours Hollywood !

Tout cet ouvrage est articulé autour de cette lexique théâtral : l’individu est un acteur, qui réalise un spectacle (une présence plus qu’une représentation) devant un public.

Samedi 13/06, à 06h10 heure française : gros rush sur facebook.com/username.

Le célèbre réseau social se lance dans la vanity URL, autrement dit vous pourrez disposer d’une adresse web à votre nom, du genre facebook.com/julienpierre, ce qui est toujours mieux que facebook.com/profile.php?id=501397046.

• Indirectement, on pouvait le faire en créant une page, comme facebook.com/chrismessina
• Il avait été question un temps de faire payer les membres du réseau qui désiraient obtenir une URL à leur nom : les résultats du sondage réalisé par Facebook n’ont pas été diffusés.
• Chris Saad préfère parler d’Addressable Identity. Le Locator dans URL y fait déjà référence, l’Identifier de l’URI aussi. C’est ici un mix qui est proposé, l’UIL :  un Uniform Identity Locator.

Le navigateur comme un miroir : ‘dis-moi que je suis le plus beau fameux’

On imagine tout ceux qui vont mettre leur réveil demain à 06 heures du mat’ pour obtenir leur URL nominative : les VIP, les chargés de comm’ des VIP et entreprises, les stars du net et de l’école, les Sun-Tzu du personal branding et autres accros égomaniaques qui kifferont grave de voir leur nom en URL.

La proposition de Facebook étant sur le mode premier arrivé, premier servi, et vu finalement le peu de diffusion de cette nouvelle (un bandeau à supprimer dans le profil Facebook), il y a fort à parier que le nombre de ‘fakes’ va grossir dans le but d’avoir son facebook.com/britney ou facebook.com/sarkozy !

La guerre des homonymes aura-t-elle lieu ?

On imagine donc sans peine tout le cybersquatting que cela va engendrer, même si Facebook et -déjà- des entreprises se chargent d’authentifier la légitimité à disposer d’une telle URL. Chris Messina rappelle ce que Tim O’Reilly prédisait pour l’ère du 2.0 et du cloud computing : la nécessité du ‘namespace dominance‘, pour les entreprises autant que pour les individus.

Quoi qu’il en soit, en ce qui me concerne, vu le nombre d’homonymes auquel je suis confronté, je crains de devoir m’y coller de bonne heure (tout dépend de l’apéro de ce soir, en fait…)

Mais en fait, il faut se rappeler que nous n’avons aucune visibilité sur l’avenir économique de Facebook, et nous continuons cependant à confier à cette entreprise privée de droit américain la possibilité de disposer de notre nom patronymique ou comme d’un nom de marque. A ce propos, où sont les CGU à propos de ces ‘vanity URL’ ? Dans la FAQ, il est expliqué que la confidentialité de l »username‘ est la même que celle du profil (privacy settings), c’est tout…

Brian Oberkirch racontait à quel point il trouve ridicule aujourd’hui le fait de se présenter par son nom d’utilisateur twitter.

— ‘Hi I’m @jack’

Mais il faut signaler que Google, par exemple, propose depuis peu les Profiles, et l’URL qui va avec (google.com/profiles/artxtra par exemple). La plupart des réseaux sociaux ont cette fonctionnalité dans leurs bagages. Encore avant, il y avait eu la même vanité à ne donner comme identité que son adresse mail. Cette logique est constante dans le web.

Oberkirch préconise d’axer l’essentiel de son identité numérique sur un nom de domaine (comme le conseille Eric Dupin pour nos enfants). Pourquoi ?

• Pour éviter le cybersquatting.
• Parce que c’est plus attractif que n’importe quelle autre URL !
• C’est SEO-friendly !
• Ça permet une plus grande transparence dans les relations connectées (une fois débarassé des fakes)
• Ça limite la fragmentation de l’identité
• Et enfin pour rester maitre d’identifiants qui à terme pourraient devenir aussi universels que le nom de famille.

En Estonie par exemple, les citoyens disposent d’une carte d’identité électronique associée à une OpenID : 1 par habitant ! Pourquoi ne pas imaginer la même chose dans le reste de l’Europe et en France ?

Chris Messina note aussi que le nom patronymique tend à remplacer le pseudonyme dans les logiciels sociaux (réseaux, médias, graphes).

Dans la liste précédente, 2 arguments sont ambigus :

1. la transparence, et donc l’impossibilité de se cacher. Pour vivre heureux, peut-on encore vivre caché ? Happiness only real when shared, dirait Christopher McCandless. Mais si l’on considère les réseaux sociaux comme des dispositifs de surveillance, cette transparence devient dangereuse.
2. l’unicité de l’identité, et donc l’obligation de tenir un seul rôle (cf. Goffman). Or si l’identité non connectée est plurielle (civile, familiale, amicale, professionnelle, etc.) : l’identité connectée devrait l’être aussi (1 rôle = 1 profil).

Article initialement prévu pour l’ebook « Cultivez votre identité numérique », mais trop long

Petit billet sans prétention technique qui vise uniquement à vulgariser et clarifier les questions d’identification et authentification sur Internet. Certains puristes pourraient avoir les cheveux qui se dressent sur la  tête à la lecture de ce qui va suivre : qu’ils ne m’en tiennent pas rigueur, cet article ne leur est pas destiné ;-)

Pourquoi s’identifier ?

Sur le web, je mène des transactions très variées : j’achète et je vends sur des sites marchands, je consulte mes comptes bancaires, je télé déclare mon statut auprès de l’administration (impôts, pôle emploi). Au travail, je m’identifie pour ouvrir une session et avoir accès aux applications et aux bases de données. Le reste du temps, il faut encore que je m’identifie pour les mails, les forums, les commentaires et tous les services web que j’utilise (YouTube, Facebook, etc..).

De l’autre côté, j’ai parfois besoin d’avoir une garantie sur l’identité de mon interlocuteur : ce vendeur est-il un escroc, un marchand professionnel ? Qui est ce lecteur qui m’a laissé des commentaires ? Est-ce bien cet homme politique ou cette star de la chanson dont je suis en train de lire la page perso ? S’agit-il d’un fake (faux profil) ou d’un robot ?

Les risques

Préserver son identité, c’est se prémunir contre l’usurpation. Si quelqu’un dispose des informations nécessaires pour se connecter à vos outils, il peut avoir accès à votre boite mail, votre compte en banque, il peut faire de fausses déclarations au fisc, insulter n’importe qui dans des forums ou sur des blogs, et tout ça en votre nom. Il peut vous dépouiller de votre identité, de vos finances et de votre réputation. La sécurisation de l’identification est donc vitale dans une société où de plus en plus d’interactions ou transactions se font par Internet.

Nous allons voir qu’il existe finalement plusieurs façons de se connecter à une application web, avec pour chacune des avantages et des inconvénients. Mais d’abord, un peu de définition…

• Identification : je dis qui je suis
• Authentification : je prouve être celui que je prétends
• Certification : un tiers prouve qui je prétends être
• Autorisation : si l’authentification ou la certification sont valides, je dispose des droits pour pénétrer le système et en exploiter les ressources

Commet s’identifier ?

La façon la plus fréquente de s’identifier sur un site web (authentification simple) est encore de saisir le couple identifiant / mot de passe. Le premier m’identifie, le second m’authentifie : je prouve être le propriétaire de l’identifiant. Je suis moi !

• Evitez les dates de naissance, surnom ou diminutifs ainsi que toute donnée personnelle pour construire vos mots de passe. Au contraire, choisissez un ensemble de lettres, caractères spéciaux et chiffres sans signification. Testez-le ici par exemple !

One password to rule them all

Ensuite la question est de savoir si ce couple sera le même sur tous les sites web auxquels on se connecte.

• Si vous avez la certitude que votre mot de passe est suffisamment complexe, pourquoi pas. Mais gardez à l’esprit que vous mettez tous vos œufs dans le même panier (dans le jargon, on dit ‘donner les clefs du château’). Il existe aujourd’hui des outils en ligne (passpack.com ou clipperz.com) et des logiciels (KeePass) qui vous aident à mémoriser vos mots de passe. Ils sont d’autant plus utiles si vous êtes nomade et que vous vous connectés depuis différents ordinateurs.
• Si ce sont des ordinateurs à accès public (plusieurs personnes peuvent l’utiliser : cybercafé, entreprise, réseau familial), n’oubliez pas d’effacer vos  traces après votre session de navigation (pour que le petit dernier n’aille pas jouer en bourse à votre place, ou que votre collègue n’aille pas draguer vos copines sur MSN).
• Si vous utilisez un seul ordinateur, les navigateurs peuvent mémoriser tous vos mots de passe, avec l’aide d’extension par exemple (Sxipper). Ca n’évite pas de saisir à répétition les identifiants requis par chaque site web que vous visitez.

Aujourd’hui, beaucoup d’organismes (entreprises, associations) proposent ce qu’on appelle l’authentification unique. Avec un couple unique, et saisi qu’une seule fois (Single Sign-On, SSO), vous avez accès à tous services web, sans avoir à vous connecter sur chaque d’entre eux.

• Fédération d’ID centralisée et localisée : Microsoft utilise et installe CardSpace dans Windows Vista. Vous saisissez votre Windows Live ID (adresse mail + mot de passe). Celle-ci est ensuite conservée sur votre ordinateur. A chaque sollicitation de la part d’un service web, CardSpace crypte votre identifiant et vous ouvre les portes du service. Mais peu de sites web ont adopté CardSpace (eBay l’a même abandonné). En guise de réponse, Microsoft va lancer Geneva, qui reposera sur OpenID.
• Fédération d’ID décentralisée : OpenID. Il n’y a plus une entreprise seule qui vous authentifie (comme Microsoft) en lisant un fichier sur votre ordi, mais plusieurs qui partagent (plus ou moins) les informations que vous avez saisies sur leurs sites web.
  • Vous utilisez un couple de connexion (identifiant/mot de passe) sur un fournisseur d’identité (OpenID provider : orange.fr, claimID, MyOpenID).
  • Vous obtenez alors une URI, une adresse web (moi.openid.net).
  • Après, chez un fournisseur de service, un site web reconnaissant OpenID, vous tapez comme identifiant cette URI.
  • Vous êtes redirigé vers le fournisseur d’identité qui vous authentifie auprès du site web, le fournisseur de service.
  • Vous pouvez désormais surfez librement.

• OpenID est de plus en plus reconnu par les grands acteurs du web d’aujourd’hui (IBM, Verisign, Google, Yahoo!, Microsoft, MySpace, Facebook, DailyMotion, etc..). Mais cette acceptation d’OpenID n’est pas suivie de contrepartie.Prenons un exemple avec Yahoo! (mais ça marche aussi avec les autres) :
  • vous pouvez créer un compte Yahoo! qui vous servira d’OpenID chez d’autres fournisseurs de service (principalement ceux de la galaxie Y!), mais vous ne serez pas autorisé à vous connecter avec une OpenID qui ne provient pas de chez Yahoo!
  • En échange, chaque grand acteur déploie sa plateforme d’authentification propriétaire, avec notamment le match entre Google Friend Connect et Facebook Connect (et MyBlogLog de Yahoo! en outsider). Ca veut dire que l’identité d’un commentateur est certifiée par Facebook, par exemple. Ca aide aussi à construire une communauté ‘certifiée’ et plus dynamique. Mais ça reste très compliqué techniquement, et encore un peu jeune…
  • Notez aussi qu’avec un peu de technique, et un serveur web, vous pouvez devenir votre propre fournisseur d’identité ! Et ça, ça élimine au moins plusieurs risques.

Les nouveaux risques

• La confiance dans le tiers qui certifie votre identité : ce n’est pas parce qu’une identité est certifiée par un organisme dont j’ignore tout que cette identité est réelle. Le fournisseur doit donc adopter des méthodes de certification de mon identité réelle (par Carte bleue comme MyID.is ou en face à face comme Certinomis). De plus, il faut s’interroger sur l’utilisation de données personnelles par une entreprise commerciale, et sur leur devenir en cas de faillite.
• Le phishing consiste à vous présenter la copie identique d’une page web à laquelle vous avez l’habitude de vous connecter. Quand vous saisissez vos identifiants, ils sont enregistrés dans la base de données pirate. Il n’y a plus qu’à les réutiliser sur le vrai site web pour avoir accès à votre compte en banque, etc..
• Des keyloggers (installés par des virus ou des chevaux de Troie) peuvent enregistrer vos identifiants au moment où vous les saisissez au clavier. Ils sont transmis ensuite au pirate qui s’en servira allègrement.

Il est donc nécessaire de déployer de nouvelles règles d’authentification, ce qu’on appelle l’authentification forte. Il s’agit en fait de rajouter un moyen de certifier l’identité.

• Ce que je sais: un mot de passe, la réponse à une question secrète; ou ce que je sais faire: lire un texte (captcha), une série de geste (ma signature), etc..
• Ce que je suis(biométrie): photo, fréquence de la voix, lecture de l’iris, empreinte digitale ou palmaire, ADN
• Ce que j’ai: une clé, un objet (un token) qui peut aussi me délivrer un mot de passe renouvelé toutes les heures, ou un mot de passe à usage unique One Time Password), une carte à puce (avec code PIN comme la carte bleue; Match on Card, qui dit oui un non sans envoyer d’autre information), un mobile sur lequel je reçois le mot en passe via SMS, etc..

C’est pourquoi, bientôt, peut-être, on se connectera avec des lecteurs de carte à puces, ou après s’être fait scanné les empreintes digitales. Une fois que nous serons authentifiés, le système nous laissera entrer sur le Web et nous pourrons surfer en toute liberté. Savoir si cette liberté sera effective, si ce scénario se réalisera ou si d’autres techniques d’usurpation apparaitront sont autant de questions intéressantes sur lesquelles il faudra débattre ailleurs ;-)