Plus d’appareils, moins de CAPTCHA, des utilisateurs plus satisfaits

En début d’année, nous avons annoncé que nous nous engagions à rendre la vérification humaine en ligne plus facile pour des utilisateurs plus nombreux, partout dans le monde. Nous voulons mettre fin aux interminables boucles de sélection de bus et feux de circulation et aux diagrammes de mots alambiqués – non seulement parce que l’humanité perd 500 ans par jour à résoudre les problèmes d’apprentissage automatique d’autres personnes, mais aussi parce que nous sommes déterminés à construire un Internet rapide, transparent et privé pour tous. Les CAPTCHA ne sont pas très conviviaux, car ils sont difficiles à résoudre, même pour les plus fervents utilisateurs d’Internet. Ils sont en outre extrêmement difficiles à résoudre pour les personnes qui ne parlent pas certaines langues, ainsi que pour celles qui utilisent des appareils mobiles (ce qui est le cas de la plupart des utilisateurs !).

Aujourd’hui, nous prenons de nouvelles dispositions pour contribuer à réduire la dépendance d’Internet aux CAPTCHA visant à prouver que vous n’êtes pas un robot. Nous étendons la portée de notre expérience « Cryptographic Attestation of Personhood » (attestation cryptographique de personnalité) en ajoutant la prise en charge d’une sélection beaucoup plus vaste d’appareils. Cette sélection inclut les systèmes d’authentification biométriques tels qu’Apple Face ID, Microsoft Hello et l’authentification biométrique d’Android. Ceci vous permettra de relever les défis en moins de cinq secondes, d’une simple pression du doigt ou avec une photo de votre visage, sans transmettre vos données biométriques privées à quiconque.

Vous pouvez l’essayer sur notre site de démonstration, cloudflarechallenge.com, et nous faire part de vos commentaires.

Outre la prise en charge des solutions d’authentification biométriques matérielles, nous annonçons également aujourd’hui la prise en charge de nombreux autres jetons matériels dans le cadre de l’expérience Cryptographic Attestation of Personhood. Nous prenons en charge toutes les clés USB et NFC qui sont à la fois certifiées par l’alliance FIDO et ne comportent aucun problème de sécurité connu selon le service FIDO Alliance Metadata (MDS 3.0).

La confidentialité est la pierre angulaire de l’attestation cryptographique de personnalité. Les informations concernant vos données biométriques ne sont jamais partagées avec, transmises à ou traitées par Cloudflare. Nous ne les voyons tout simplement pas, jamais. Toutes vos données biométriques sensibles sont traitées sur votre appareil. Bien que chaque fabricant de systèmes d’exploitation emploie un processus légèrement différent, tous s’appuient sur le concept d’un environnement d’exécution sécurisé (TEE, Trusted Execution Environment) ou d’un module de plateforme sécurisé (TPM, Trusted Platform Module). Les environnements TEE et les plateformes TPM permettent uniquement à votre appareil de stocker et d’utiliser vos informations biométriques chiffrées. Les applications ou logiciels en cours d’exécution sur l’appareil n’ont jamais accès à vos données et ne peuvent pas les transmettre à leurs systèmes. Si vous souhaitez en savoir plus sur la manière dont chaque grand système d’exploitation met en œuvre sa sécurité biométrique, lisez les articles que nous vous proposons en lien ci-dessous :

Confidentialité de Face ID et Touch IDPrésentation de Secure Enclave

Présentation de Windows HelloÉtude technique approfondie de Windows Hello

Authentification biométriqueMesurer la sécurité par déverrouillage biométrique

Notre engagement en faveur de la confidentialité ne se limite pas à l’appareil. L’API WebAuthn empêche également la transmission d’informations biométriques. Si un utilisateur interagit avec une clé biométrique (comme Apple TouchID ou Windows Hello), aucun tiers (comme Cloudflare) ne peut recevoir ces données biométriques : elles restent sur son appareil et ne sont jamais transmises par son navigateur. Pour approfondir encore votre compréhension de la protection qu’offre l’attestation cryptographique de personnalité à vos informations privées, nous vous encourageons à lire la publication de blog de notre annonce initiale.

Pendant le développement de cette technologie, nous nous sommes toujours engagés à offrir les meilleures garanties possibles en matière de confidentialité. Les garanties existantes sont déjà assez solides : comme nous l’avons décrit dans notre précédente publication, lorsque vous utilisez CAP, vous pouvez divulguer une petite quantité d’informations sur votre matériel d’authentification – tout au plus, sa marque et son modèle. Intrinsèquement, ces informations ne vous sont pas exclusives : la norme sous-jacente exige qu’elles soient indiscernables de milliers d’autres, ce qui vous dissimule parmi une foule de matériels identiques.

Bien que ce soit un excellent début, nous voulions voir si nous pouvions pousser les choses encore plus loin. Serait-il possible pour nous d’apprendre la seule chose dont nous avons besoin, à savoir que vous disposez d’une clé de sécurité valide, sans rien apprendre d’autre ?

Nous sommes heureux d’annoncer que nous avons accompli de grands progrès pour répondre à cette question en utilisant une forme de cryptographie de nouvelle génération, appelée Zero Knowledge Proofs (ZKP). ZKP nous empêche de découvrir quoi que ce soit sur vous, si ce n’est le fait que vous possédez un appareil capable de générer un certificat approuvé qui prouve que vous êtes humain.

Si vous souhaitez en savoir plus sur Zero Knowledge Proofs, nous vous recommandons vivement de lire cette publication de blog.

Au début de ce projet, nous nous sommes fixé trois objectifs :

1. Comment améliorer considérablement l’expérience utilisateur lorsque vous démontrez que vous êtes un être humain ?

2. Comment nous assurer que toute solution que nous développons est centrée sur la facilité d’utilisation et fait progresser l’accessibilité globale sur Internet ?

3. Comment créer une solution qui ne nuise pas à notre système de gestion des bots existant ?

Avant de déployer cette nouvelle évolution de notre solution CAPTCHA, nous avons effectué un test de validation de concept avec des utilisateurs réels, afin de confirmer si cette approche méritait d’être poursuivie (ce n’est pas parce qu’une idée paraît géniale en théorie qu’elle fonctionnera en pratique !) Notre groupe de testeurs a essayé notre solution d’attestation cryptographique de personnalité avec Face ID et nous a fait part de ses impressions. Nous avons appris que les temps de résolution avec Face ID et Touch ID étaient nettement plus rapides que la sélection d’images, que cette méthode n’entraînait presque aucune erreur. Les personnes préféraient largement cette alternative et ont proposé des améliorations de l’expérience utilisateur que nous avons intégrées à notre déploiement.

Ces avantages sont devenus encore plus évidents dans nos données d’utilisation en production. Bien que nous n’ayons pas activé notre solution d’attestation auprès des fournisseurs de données biométriques durant la première phase du déploiement de CAP, nous avons enregistré les tentatives d’utilisation d’un service d’authentification biométrique par les personnes. Outre YubiKeys, les taux les plus élevés de tentatives de résolution sont obtenus par Face ID sur iOS et Android Biometric Authentication. Nous sommes ravis d’offrir à ces utilisateurs mobiles leur premier choix de défi pour prouver leur humanité.

Une des choses dont nous avons entendu parler lors des tests était, sans surprise, les préoccupations concernant la confidentialité. Comme nous l’avons expliqué lors de notre lancement initial, la technologie WebAuthn sur laquelle repose notre solution offre un niveau élevé de protection de la confidentialité. Cloudflare peut visualiser un identifiant partagé par des milliers d’appareils similaires, qui fournit des informations générales concernant la marque et le modèle. Ces informations ne peuvent pas être utilisées pour vous identifier ou vous suivre de manière exclusive – et c’est exactement ce que nous voulons.

Maintenant que nous avons ouvert notre solution à d’autres types d’appareils, vous pouvez également utiliser des lecteurs biométriques. Soyez assuré que les mêmes mesures de protection de la vie privée s’appliquent : nous ne voyons jamais vos données biométriques, qui restent sur votre appareil. Lorsque votre appareil a confirmé une correspondance, il envoie uniquement un message d’attestation de base, comme il le ferait pour n’importe quelle clé de sécurité. Concrètement, votre appareil envoie un message prouvant que « oui, quelqu’un a correctement saisi une empreinte digitale sur cet appareil sécurisé », mais n’envoie jamais l’empreinte digitale elle-même.

Nous avons également examiné les commentaires des personnes qui ont testé CAP sur notre site de démonstration ou à l’occasion d’une navigation habituelle. Nous vous sommes reconnaissants pour les commentaires utiles que vous nous envoyez et nous aimerions beaucoup en recueillir d’autres, afin de pouvoir continuer à effectuer des améliorations. Nous avons publié une enquête sur notre site de démonstration, et vous pouvez également nous contacter à l’adresse askresearch@cloudflare.com. Votre contribution est essentielle pour nous permettre de garantir une ergonomie satisfaisante, alors n’hésitez pas à nous faire part de vos commentaires.