Les identificateurs décentralisés (DID) sont désormais une norme Web officielle, selon un communiqué de presse du World Wide Web Consortium (W3C).

Les DID sont des identifiants numériques cryptographiques qui ne sont liés à aucune autorité centrale. Ils offrent aux particuliers et aux organisations une sécurité et une confidentialité accrues, ainsi qu’un meilleur contrôle sur leurs informations en ligne.

Au lieu d’avoir votre identité liée à une adresse e-mail ou à un compte de réseau social contrôlé par une grande entreprise de technologie, vous pouvez avoir un DID qui peut être stocké et transféré sur différents types d’infrastructures numériques, y compris les chaînes de blocs.

Les DID peuvent représenter des individus, des organisations, des communautés en ligne, des gouvernements, des appareils IoT ou tout autre élément nécessitant une identité en ligne.

Une meilleure sécurité d’identité

« Je résumerais l’impact global des DID sur la cybersécurité en rendant la signature numérique et le cryptage beaucoup plus largement disponibles que l’infrastructure à clé publique (PKI) conventionnelle basée sur X.509 d’aujourd’hui », a déclaré Drummond Reed, directeur des services de confiance chez Avast et co-éditeur. de la spécification DID, dit La gorgée quotidienne.

« En effet, la génération et l’utilisation d’une ou plusieurs paires de clés publiques/privées qui peuvent être vérifiées comme vous appartenant ne nécessiteront plus l’utilisation d’une autorité de certification (CA). »

Selon Reed, un domaine fréquemment abordé dans lequel les DID peuvent faire une énorme différence est le phishing.

« L’une des causes profondes des attaques de phishing est que la plupart des adresses de communication électroniques aujourd’hui (identifiants de l’appelant, SMS, adresses e-mail) ne sont pas vérifiables par cryptographie », ont-ils déclaré. «Ils sont faciles à usurper. En revanche, le contrôle d’un DID est cryptographiquement vérifiable – l’expéditeur d’un message peut prouver qu’il contrôle la clé privée du DID.

Les DID permettent à un agent de messagerie de vérifier plus facilement l’authenticité des messages entrants en vérifiant s’ils proviennent vraiment du contrôleur d’un DID. Ils permettent également de vérifier le DID d’envoi par rapport à votre propre liste de confiance DID, à une liste de confiance DID d’entreprise ou à des listes de confiance DID gérées publiquement, explique Reed.

Intégrations déjà en cours

« Une partie importante de la communauté pense que les gens utiliseront des applications qui utilisent des DID dans les coulisses – c’est-à-dire que les DID auront à peu près le même niveau de visibilité que

les clés cryptographiques et les adresses IP ont aujourd’hui dans le navigateur (ce qui n’est pas du tout visible) », a déclaré Manu Sporny, fondateur et PDG de Digital Bazaar et éditeur principal des normes pour DID au W3C. La gorgée quotidienne.

« Il existe une variété de travaux en cours d’incubation qui permettraient l’utilisation des DID via le navigateur Web (et au-delà) », a déclaré Sporny.

Certains de ces efforts comprennent la API du gestionnaire d’informations d’identification (CHAPI), intégrations avec OIDC et Messagerie DIDCommune méthodologie de communication sécurisée et privée construite sur la conception décentralisée des DID.

« Tout ce travail est actuellement incubé et exploré avant de passer à la voie des normes, de la même manière que WebAuthn a été incubé dans l’Alliance FIDO avant d’être suivi dans la voie des normes au W3C », a déclaré Sporny.

Défis à venir

Le statut de recommandation étant officiel, le travail de normalisation se poursuivra sur les technologies DID par le biais du nouveau groupe de travail W3C Verifiable Credentials 2.0, qui se concentrera sur l’expansion des fonctionnalités en fonction des commentaires du marché.

« La prochaine étape consistera à normaliser les méthodes d’identification décentralisées », a déclaré Sporny. « Les méthodes DID utilisent une variété de technologies modernes pour fournir aux DID différents degrés de décentralisation. »

Par exemple, a fait : clé est une méthode DID véritablement décentralisée, et n’importe quel système logiciel peut la créer sans avoir besoin d’un emplacement de stockage. « Ils sont aussi décentralisés que possible, mais vous ne pouvez pas mettre à jour le matériel cryptographique (clés publiques) une fois qu’ils sont créés », a déclaré Sporny.

D’autre part, fait:web permet à toute personne disposant d’un site Web de publier ses clés publiques sur ce site Web. Vous pouvez mettre à jour vos clés publiques avec fait:web. « Ils sont aussi décentralisés que le Web, ce qui n’est sans doute pas aussi décentralisé que certaines personnes le souhaiteraient », a déclaré Sporny.

Ensuite, il existe d’autres méthodes DID basées sur des blockchains, qui sont plus décentralisées que le Web mais qui sont encore des technologies relativement nouvelles et encore un peu trop expérimentales pour certaines personnes.

Résoudre les conflits

La spécification DID Core avait été débattue pendant plus d’un an et a été poussée au statut de recommandation en juin, malgré les objections de Mozilla et Google.

« Les principales objections de Google et de Mozilla étaient principalement centrées sur leur désir de voir au moins quelques méthodes DID normalisées, car ils considèrent les plus de 120 méthodes DID actuellement enregistrées comme un obstacle à l’interopérabilité », a déclaré Reed.

« Le groupe de travail DID n’est pas d’accord – dans l’ensemble, nous avons toujours pensé qu’une approche axée sur le marché pour un tri des méthodes DID est préférable, à la fois pour encourager l’innovation et pour laisser le marché juger quelles méthodes DID répondent le mieux à ses besoins. »

Le groupe de travail a développé un outil, le Rubrique DIDqui aidera à sélectionner les meilleures méthodes DID et leurs cas d’utilisation les plus pertinents.