Le noyau Linux propose un système d'identité décentralisé pour remplacer la toile de confiance PGP

Défis actuels de l'authentification PGP

Les développeurs du noyau Linux utilisent actuellement Pretty Good Privacy (PGP) avec l'intégration Git pour les balises et les commits signés. Le système nécessite un réseau de confiance amorcé lors d'une session de signature de clés en face à face au sommet du noyau de 2011, après le piratage de kernel.org. Aujourd'hui, les mainteneurs du noyau qui souhaitent un compte kernel.org doivent trouver quelqu'un déjà dans le réseau de confiance PGP, le rencontrer en personne, présenter une pièce d'identité officielle et obtenir la signature de leur clé.

Le mainteneur du noyau Linux Greg Kroah-Hartman décrit ce processus comme un « casse-tête à réaliser et à gérer » car il est suivi par des scripts manuels, les clés deviennent obsolètes et la carte publique « qui vit où » crée des risques de confidentialité et d'ingénierie sociale.

Linux ID : La solution proposée

Linux ID est une couche d'identité décentralisée et respectueuse de la vie privée qui remplace le réseau de signature de clés PGP fragile. Le système a été présenté par les responsables de la confiance décentralisée de la Linux Foundation, Daniela Barbosa et Hart Montgomery, ainsi que par le PDG d'Affinidi, Glenn Gore.

Au cœur de Linux ID se trouvent des « preuves d'identité personnelle » cryptographiques basées sur des normes modernes d'identité numérique. Au lieu d'un réseau de confiance monolithique unique, le système émet et échange des justificatifs d'identité personnelle et des justificatifs vérifiables qui attestent de choses comme :

• « cette personne est un individu réel »
• « cette personne est employée par l'entreprise X »
• « ce mainteneur Linux a rencontré cette personne et l'a reconnue comme mainteneur du noyau »

Mise en œuvre technique

Linux ID est construit autour d'identifiants décentralisés (DID), un mécanisme de style W3C pour créer des identifiants globalement uniques et y attacher des clés publiques et des points de terminaison de service. Les développeurs créent des DID, potentiellement en utilisant les clés existantes basées sur Curve25519 du monde PGP actuel, et publient des documents DID via des canaux sécurisés tels que des points de terminaison « did:web » basés sur HTTPS qui exposent leur infrastructure à clé publique.

Le système est indépendant de l'émetteur et composable. Les justificatifs peuvent être ancrés de plusieurs façons :

• Identifiants numériques délivrés par le gouvernement (lorsqu'ils sont disponibles)
• Vérificateurs d'identité tiers similaires aux centres de demande de visa
• Employeurs
• La Linux Foundation elle-même agissant en tant qu'émetteur

Si deux développeurs font confiance à différents émetteurs, ils peuvent toujours trouver des chemins de confiance qui se chevauchent. Plus il existe d'émetteurs indépendants, plus le système global devient solide.

Calendrier et impact

Linux ID n'est pas encore déployé, mais devrait l'être dans l'année. Le système est conçu pour être utilisé par d'autres projets open-source au-delà du noyau Linux, offrant une manière plus flexible de prouver l'identité des développeurs sans les fragiles sessions de signature de clés ou les appels vidéo ad hoc.