Notes produit
Où vivent les données personnelles
Cette conception est née d’un malaise quotidien : enquêter sur un échec de connexion et tomber sur des informations que l’on n’avait pas besoin de voir.
Quand une enquête affiche l’identité
Quand on exploite une plateforme d’identité, cette demande revient : « Un utilisateur n’arrive pas à se connecter. » Pour comprendre, on ouvre l’environnement du client et on retrouve le compte.
Les informations nécessaires sont précises : le compte est-il verrouillé ? Quand et où la dernière tentative a-t-elle échoué ? Quel parcours de connexion a été utilisé ? La clé d’accès est-elle toujours enregistrée ?
Aucune de ces questions ne demande de connaître la personne. Pourtant, en ouvrant le compte, on voit son nom, son adresse e-mail, son téléphone et ses comptes liés. On cherchait un état technique ; on découvre une identité.
« Ne regardez pas » ne protège rien
si l’information est déjà affichée.
Personne n’a contourné la procédure. Le client a demandé l’intervention, le technicien a suivi les règles, et les données sont apparues. C’est la structure qui les expose.
Régler cela uniquement par des consignes et des formations revient à dépendre de la mémoire et de la vigilance de chacun. Authrim sépare les données personnelles pour traiter ce problème dans la structure même du système.
Deux bases, dès la conception
Les informations directement identifiantes résident dans une base physiquement distincte. Cette séparation existe dès la couche d’accès aux données.
Cette séparation répond au problème initial. Verrouillage, échecs de connexion, appareils : les informations nécessaires sont à gauche. On peut autoriser une enquête sans donner accès à la base de droite. Il n’est plus nécessaire de détourner les yeux.
La même structure facilite aussi les audits. On peut indiquer où résident les noms et les adresses e-mail, et délimiter les données à supprimer. La réponse à un problème d’exploitation rend aussi le système plus facile à expliquer.
Les données personnelles ne se limitent pas à la base PII
Cette distinction est importante : la séparation ne constitue pas une frontière juridique entre données personnelles et non personnelles.
Core DB contient des adresses IP, des informations sur les appareils, l’historique des sessions, les événements d’authentification, des métadonnées d’identifiants et des identifiants utilisateur internes stables. Selon le contexte, ce sont aussi des données personnelles. Leur rapprochement avec d’autres informations peut identifier quelqu’un.
Authrim sépare les données directement identifiantes des données d’identité nécessaires à l’exploitation. L’objectif est de pouvoir enquêter sur les secondes sans consulter les premières, pas de dispenser les secondes de protection.
Il serait donc inexact de dire que les données personnelles sont uniquement dans PII DB. Les noms et adresses e-mail y sont isolés afin d’accorder des droits d’investigation sans ouvrir ce stockage.
La suppression n’est que la première étape
Supprimer un compte est simple à déclencher. Les deux demandes qui suivent le sont moins.
Il faut parfois prouver la suppression : quand, par qui et pourquoi. Il peut aussi falloir empêcher une nouvelle inscription pendant une durée définie.
Ces deux besoins demandent de reconnaître une personne dont on vient de supprimer les données. Conserver les informations qui l’identifient directement irait à l’encontre de cette suppression.
L’implémentation exprime ce choix : ne garder que l’empreinte nécessaire pour éviter les doublons, puis l’effacer à l’échéance, avec la date, l’auteur et le motif de suppression.
Les conditions de la non-récupération
Une précision technique : les adresses e-mail ont une faible entropie. Avec un simple hachage, une attaque par dictionnaire peut retrouver une adresse. La non-récupération n’est pas inconditionnelle.
Authrim utilise un index aveugle HMAC-SHA256 avec une clé secrète et un numéro de génération pour permettre la rotation des clés. Sans cette clé, on ne peut pas tester les adresses candidates en recalculant leurs empreintes.
L’isolement de la clé est donc une condition de cette protection. Stocker la clé avec les empreintes fait perdre cette garantie.
Donner à l’enquête uniquement ce dont elle a besoin
Revenons au signalement de connexion impossible. Il faut trouver où l’authentification s’est arrêtée, sans avoir généralement besoin du nom ou du téléphone.
Authrim sépare les informations directement identifiantes pour accorder l’accès au diagnostic sans ouvrir leur stockage. Lorsqu’une enquête exige ces informations, une personne disposant des droits supplémentaires appropriés intervient.
Le chiffrement et le contrôle d’accès protègent les données ; les journaux d’audit retracent leur utilisation. Le technicien doit aussi pouvoir terminer une enquête courante sans ouvrir les données personnelles inutiles. La séparation du stockage en fait le point de départ de l’exploitation quotidienne.
Implémentation. Séparation du stockage et des accès en place.
Validation. Vérification par les tests automatisés du dépôt.
Maturité opérationnelle. Renforcement en cours. Authrim est en version pré-1.0.
Cette conception facilite les procédures de suppression ; elle ne constitue pas une garantie de conformité juridique. Celle-ci dépend aussi des procédures et des contrats de l’organisation.