Google accueille favorablement « Sign in with Apple », le nouveau système d’authentification d’Apple, même s’il juge sa présentation à la WWDC 2019 diffamatoire envers « Google Sign-In ».
Dans une interview accordée à The Verge, le responsable de la sécurité des comptes Google estime d’abord que le plus important est de réduire le nombre de mots de passe utilisés par les internautes. Puisque « Sign in with Apple » poursuit cet objectif, il applaudit l’initiative.
Mark Risher sait que des gens voient d’un mauvais œil ces systèmes d’authentification centralisés, car cela revient à mettre tous ses œufs dans le même panier, selon eux. Il affirme pourtant qu’un système comme « Google Sign-In » est plus sûr qu’utiliser des mots de passe pour deux raisons.
D’une part, du côté des éditeurs de sites web et d’applications, cela évite de devoir gérer une base de données d’authentification, avec tous les risques que cela représente. C’est l’équipe de sécurité de Google (ou d’Apple), supposément plus chevronnée, qui prend en charge cette problématique.
D’autre part, côté utilisateur, le responsable de « Google Sign-In » répond à la métaphore des œufs dans le panier par une autre métaphore, plus juste d’après lui :
Vous avez deux façons de mettre à l’abri vos cent dollars : vous pouvez les répartir dans toute votre maison, en mettant des pièces d’un dollar dans chaque tiroir et sous le matelas. Ou vous pouvez les mettre à la banque, qui est un panier unique, mais un panier protégé par des portes en acier de 30 cm d’épaisseur.
Mark Risher est moins content de la façon dont Apple a présenté « Sign in with Apple ». Lors du keynote, Craig Federighi a déclaré que « Google Sign-In » et « Facebook Login » pouvaient partager des informations personnelles en cachette et servir à pister les utilisateurs. Le cadre de Google n’a pas apprécié que « Sign in with Apple » soit décrit comme le seul système intègre en matière de confidentialité, tandis que les autres seraient corrompus. Il avance d'ailleurs, sans en être certain, que le système d'Apple pourrait être plus invasif que celui de Google, car il consignerait les mails envoyés par les entreprises, ce dont Apple se défend.
Il reconnait que « certains concurrents », en premier lieu Facebook, même s’il ne le nomme pas, ont pu entraîner les systèmes d’authentification dans la mauvaise direction et conduire à une suspicion de la part des utilisateurs : « Vous avez peut-être cliqué sur ce bouton qui informe tous vos amis que vous venez de vous connecter à un site embarrassant. » Et d’enfoncer le clou en parlant de ce concurrent — Facebook, encore — qui se servait apparemment des numéros de téléphone destinés à l’authentification en deux étapes pour ajuster son ciblage publicitaire. « C’est mauvais pour l’ensemble de l’écosystème, car les gens ne nous font plus confiance », se désole-t-il.
Mark Risher assure que Google ne détourne pas « Google Sign-In » de son usage principal : « Nous enregistrons seulement le moment de la connexion. Ce n’est utilisé pour aucun type de reciblage. Ce n’est utilisé pour aucune sorte de publicité. Ce n’est partagé avec personne. Et c’est en partie sous le contrôle de l’utilisateur afin qu’il puisse revenir en arrière et voir ce qui s’est produit. »
Ce que le dirigeant ne dit pas, c’est qu’outre ses mauvaises habitudes concernant le respect de la vie privée, Facebook a aussi donné le pire des exemples en matière de sécurité. En septembre dernier, l’entreprise a révélé qu’un pirate avait pu voler les tokens d’accès (l’équivalent d’une clé qui maintient la connexion à Facebook) de 50 millions de membres, lui permettant ainsi d’usurper leurs comptes sur le réseau social, mais aussi dans les apps tierces utilisant « Facebook Login ».
La vulnérabilité venait de la fonction « Voir en tant que » qui révélait ce token privé dans un cas précis. Facebook a dû réinitialiser les tokens de tous les utilisateurs concernés. Les portes en acier de 30 cm qui protègent le panier à œufs ne servent à rien si on peut les crocheter avec un trombone…
