France Identité : enjeu de cybersécurité ?

France Identité renforce-t-elle réellement la sécurité en ligne, ou déplace-t-elle le risque vers le smartphone et les usages ? Décryptage des mécanismes, des piliers de cybersécurité concernés, des limites et des gestes concrets pour réduire l’exposition.

France Identité, à quoi ça sert et pour qui

France Identité est un programme gouvernemental destiné à moderniser et sécuriser l’identité numérique des citoyens français et des étrangers en situation régulière. Le dispositif s’appuie sur deux piliers complémentaires : la carte nationale d’identité électronique, ou CNIe, au format carte bancaire intégrant une puce et des données biométriques, et une application mobile permettant de prouver son identité en ligne sans sortir sa carte physique.

Un service qui remplace progressivement le papier

Depuis août 2021, la nouvelle CNIe remplace peu à peu l’ancienne carte d’identité cartonnée. Cette version dite « 2021 » est une condition obligatoire pour créer un compte dans l’application France Identité : sans cette carte biométrique, l’accès au service reste impossible. L’application, disponible sur smartphone et tablette, revendique un accès à plus de 1 400 services en ligne, allant des démarches administratives aux vérifications d’âge sur certaines plateformes.

Des usages qui dépassent la seule carte d’identité

Au-delà de la CNIe, l’application permet d’y renseigner le permis de conduire, quel que soit son format, ancien modèle rose ou carte plastifiée récente. L’objectif affiché est de ne plus avoir à présenter le document physique lors d’un contrôle routier, d’une location de véhicule ou d’une démarche administrative en ligne, tout en luttant contre la fraude documentaire. D’autres évolutions sont annoncées, comme un passeport numérique stocké sur smartphone et l’intégration prochaine du certificat d’immatriculation. Le service ne s’adresse toutefois pas encore aux ressortissants européens souhaitant utiliser un titre de séjour étranger équivalent, la portabilité transfrontalière restant liée au calendrier européen eIDAS. Cette ambition d’universalité pose immédiatement une question centrale : que recouvre concrètement la notion d’identité numérique, et quels risques chacune de ses composantes fait-elle peser sur l’utilisateur ?

Identité numérique : composantes et risques associés

L’identité numérique désigne l’ensemble des éléments permettant d’identifier et d’authentifier une personne dans un environnement dématérialisé. Elle ne se réduit pas à un simple mot de passe : elle englobe des données déclaratives, des attributs biométriques, des traces d’activité et des moyens cryptographiques de preuve.

Les quatre composantes de l’identité numérique

• l’identité déclarative : nom, prénom, date de naissance, adresse, soit les informations que l’utilisateur fournit ou que la CNIe atteste ;
• l’identité biométrique : empreintes digitales et photographie, stockées sur la puce de la carte ;
• l’identité comportementale : habitudes de connexion, appareils utilisés, fréquence d’usage de l’application ;
• l’identité calculée ou dérivée : réputation, historique de transactions, attestations générées à partir des vérifications précédentes.

Chacune de ces composantes porte un risque spécifique. L’identité déclarative peut être usurpée par ingénierie sociale ; l’identité biométrique, si elle fuitait, serait irremplaçable contrairement à un mot de passe ; l’identité comportementale alimente une traçabilité potentiellement intrusive si elle est mal cloisonnée ; l’identité calculée peut être manipulée pour générer de fausses attestations. France Identité tente de répondre à ces risques en limitant le stockage centralisé des données biométriques et en misant sur un stockage local après lecture de la puce NFC de la carte. Cette architecture technique s’inscrit dans un cadre plus large de cybersécurité, structuré autour de plusieurs piliers qu’il convient de détailler.

Les piliers de la cybersécurité appliqués à France Identité

La cybersécurité se décline selon plusieurs référentiels, souvent résumés en trois, quatre ou cinq piliers selon les approches. Appliqués à un service d’identité numérique, ils prennent une dimension concrète.

Les trois piliers fondamentaux

La triade classique repose sur la confidentialité, l’intégrité et la disponibilité, souvent désignée par l’acronyme anglais CIA. Pour France Identité, la confidentialité concerne la protection des données biométriques ; l’intégrité garantit que les informations affichées à l’écran n’ont pas été altérées ; la disponibilité assure que le service reste accessible pour valider une identité au moment où l’usager en a besoin, par exemple lors d’un contrôle.

Le quatrième pilier : l’authentification

À cette triade s’ajoute souvent l’authentification, qui vérifie que la personne se présentant est bien celle qu’elle prétend être. C’est précisément le cœur du métier de France Identité, qui combine lecture NFC de la puce, vérification biométrique et cryptographie asymétrique pour produire une attestation d’identité fiable, exploitable ensuite par FranceConnect ou d’autres services partenaires.

Le cinquième pilier : la traçabilité et la non-répudiation

Certains référentiels ajoutent un cinquième pilier, la traçabilité, parfois associée à la non-répudiation : la capacité à prouver qu’une action a bien été réalisée par tel utilisateur, sans qu’il puisse le nier. Dans un système d’IAM (gestion des identités et des accès) comme celui déployé par France Identité, ce pilier permet de journaliser les vérifications d’identité sans pour autant conserver les données personnelles sur des serveurs centraux, un point que l’équipe du programme met en avant pour limiter la surface d’attaque en cas de compromission d’un serveur. Reste à savoir quels mécanismes concrets soutiennent ces principes théoriques.

Mécanismes de sécurité : ce qui protège réellement vos données

La promesse de sécurité de France Identité repose sur une architecture technique précise, distincte du seul discours institutionnel.

Le stockage local plutôt que centralisé

Selon la conception annoncée du service, les données d’identité ne sont pas conservées sur des serveurs distants. Après lecture de la puce NFC de la CNIe via le smartphone, les informations sont stockées uniquement dans l’application, localement sur l’appareil. En cas de perte ou de vol du téléphone ou de la carte, l’utilisateur peut supprimer son identité numérique depuis un portail internet dédié, ce qui limite l’exposition en cas d’incident. Cette approche réduit la valeur d’une attaque de serveur centralisé, un scénario redouté en matière de cybersécurité des bases de données sensibles.

Chiffrement, hébergement et cloisonnement

Les serveurs qui soutiennent le service sont hébergés sur le cloud interne du ministère de l’Intérieur, dans des data centers présentés comme souverains, avec un cloisonnement strict revendiqué entre France Identité et les autres applications ministérielles. Cette séparation logique vise à empêcher qu’une faille sur un autre service n’affecte l’identité numérique. La cryptographie asymétrique intervient à plusieurs niveaux : signature des attestations d’identité, vérification de l’intégrité de la puce, sécurisation des échanges avec les services tiers via FranceConnect.

Des vérifications indépendantes plutôt que de simples déclarations

Le programme a organisé des campagnes de bug bounty dès 2022 auprès de hackers éthiques, puis en 2024 auprès du grand public. Ces campagnes n’ont révélé aucune faille critique, un résultat qui mérite d’être nuancé : l’absence de faille détectée à un instant donné ne garantit pas l’absence de vulnérabilité future, notamment face à l’évolution rapide des techniques d’attaque mobile. Sur le plan de la conformité, le programme indique avoir travaillé dès l’origine avec l’autorité française de protection des données, avec un avis présenté comme très positif et une conformité revendiquée au RGPD. Le code source de l’application doit également être publié en open source, une démarche qui, si elle se concrétise, permettrait un audit indépendant supplémentaire. Sur le plan européen, France Identité a obtenu le 7 février 2024 la certification eIDAS au niveau de garantie élevé, le plus haut niveau existant, devenant la première identité numérique française à l’atteindre. En septembre 2024, la Commission européenne a notifié ce niveau à l’ensemble des États membres, avec reconnaissance unanime. L’ANSSI joue ici un rôle clé : elle supervise la qualification des prestataires de services de confiance eIDAS, tient à jour la liste nationale de confiance, établit un référentiel national d’exigences de sécurité pour les moyens d’identification électronique et élabore le référentiel PVID pour les prestataires de vérification d’identité à distance. Ces garanties institutionnelles et techniques sont réelles, mais elles ne suppriment pas tous les scénarios de compromission possibles.

Scénarios d’attaque : où la sécurité peut encore céder

Aucun système d’authentification n’est invulnérable, et l’identité numérique déplace une partie du risque vers l’appareil et les comportements de l’utilisateur.

Le vol ou la perte du smartphone

Le téléphone devient le coffre-fort de l’identité numérique. S’il est volé ou perdu sans verrouillage biométrique ou code robuste, l’accès à l’application peut être compromis, même si la suppression à distance de l’identité numérique reste possible via le portail dédié. Le délai entre le vol et la suppression constitue une fenêtre de risque réelle.

Phishing, ingénierie sociale et SIM swapping

Le phishing reste le vecteur d’attaque le plus courant : un faux message imitant une administration peut pousser l’utilisateur à communiquer des informations sensibles ou à installer une application frauduleuse. Le SIM swapping, technique consistant à faire transférer frauduleusement une carte SIM vers un appareil contrôlé par un attaquant, menace en particulier les services d’authentification reposant sur des codes envoyés par SMS, souvent utilisés en complément de FranceConnect.

Malware mobile et failles d’écosystème

Un malware mobile capable d’intercepter des écrans ou d’enregistrer des frappes clavier représente une menace pour tout service d’authentification installé sur smartphone, indépendamment de la robustesse de l’architecture serveur. Ce risque souligne une dépendance structurelle : la sécurité globale du système dépend aussi de l’hygiène numérique de l’appareil, du système d’exploitation et des applications tierces installées à côté de France Identité. Ces scénarios ne remettent pas en cause la solidité technique du service, mais rappellent que la sécurité d’une identité numérique se joue autant du côté de l’infrastructure que du côté des usages quotidiens.

Bonnes pratiques et problèmes courants : réduire son exposition

Réduire l’exposition aux risques précédents passe par une série de gestes simples mais souvent négligés.

Sécuriser l’appareil au quotidien

• activer un verrouillage biométrique ou un code complexe sur le smartphone ;
• maintenir le système d’exploitation et l’application à jour pour bénéficier des correctifs de sécurité ;
• éviter d’installer des applications hors des stores officiels, principal vecteur de malware mobile.

Un antivirus mobile ou une solution de sécurité dédiée peut compléter ces réflexes de base.

Adopter les bons réflexes face au phishing

Vérifier systématiquement l’expéditeur d’un message avant de cliquer sur un lien, ne jamais transmettre de code de vérification par téléphone et privilégier la saisie directe des adresses officielles plutôt que les liens reçus par SMS ou courriel restent des règles simples mais efficaces contre le phishing et le SIM swapping.

Gérer les incidents courants

En cas de perte ou de vol du téléphone ou de la CNIe, la priorité est de supprimer immédiatement l’identité numérique via le portail dédié, avant de procéder au renouvellement de la carte. Les problèmes fréquents d’activation ou de bugs applicatifs relèvent généralement d’une version obsolète de l’application ou d’un défaut de lecture NFC, souvent résolus en réessayant à plat, sans coque épaisse sur le téléphone. Le recours au support officiel reste préférable à toute solution trouvée sur des forums non vérifiés. Enfin, l’usage combiné avec FranceConnect doit rester réservé aux services officiels reconnus, jamais à des sites tiers non authentifiés par le portail gouvernemental.

FAQ

Quels sont les 3 piliers de la cybersécurité ?

Il s’agit de la confidentialité, de l’intégrité et de la disponibilité des données, souvent désignés par l’acronyme CIA.

Quels sont les 4 piliers de la cybersécurité ?

Aux trois piliers classiques s’ajoute l’authentification, qui garantit que l’identité revendiquée par un utilisateur correspond bien à la réalité.

Quels sont les 5 piliers de la cybersécurité ?

Certains référentiels ajoutent la traçabilité et la non-répudiation, permettant de prouver qu’une action a bien été réalisée par une personne donnée.

Quelles sont les 4 composantes de l’identité numérique ?

Elles regroupent l’identité déclarative, l’identité biométrique, l’identité comportementale et l’identité calculée ou dérivée.

France Identité illustre un déplacement du risque : moins vers les serveurs centraux, davantage vers le smartphone et les usages quotidiens. Les certifications obtenues attestent d’une solidité technique réelle, mais la vigilance de l’utilisateur reste la dernière ligne de défense.