Guardtime propose de renoncer aux clés pour la signature des données

La confiance, sans infrastructure à clé publique (PKI). C’est le concept de base de l’offre développée par Guardtime, petite entreprise d’une cinquantaine de personnes, née à Tallinn, en Estonie, et qui dispose aujourd’hui de bureaux à Palo Alto, en Californie, mais aussi à Washington, Pékin, Tokyo ou encore Singapour. 

L’idée part d’un constat simple : avec la PKI, «si vous perdez la clé, vous perdez tout », explique Mike Gault, co-fondateur et Pdg de Guardtime. Et si la clé est compromise... la sécurité de l’ensemble de l’édifice s’effondre. D’où l’idée de signer les documents sans clé publique et en intégrant une traçabilité naturelle, induite par les principes mathématiques à l’oeuvre. Le tout en s’appuyant sur un standard ouvert, géré par le groupe de travail OpenKSI.org. Mike Gault en explique les principes avec simplicité : « il s’agit de produire une métadonnée cryptographique. Car un simple hash de fichier ne prouve rien. Pour lui faire confiance, il faut faire confiance à l’administrateur du système. Alors comment faire confiance à ses données lorsque l’on ne peut pas être sûr de l’administrateur ? Comment faire confiance au Cloud si l’on ne peut pas se fier à son fournisseur de service ?» Les métadonnées produites par Guardtime sont donc plus qu’un simple hash. C’est une signature sans clé qui permet de «prouver l’horodatage, l’intégrité et l’authenticité des données indépendamment de tout individu [...] par les mathématiques formelles ». 

Le système repose sur des arbres de hashage distribués, comme ceux que l’on trouve dans les réseaux d’échanges de fichiers en pair à pair ou encore dans ZFS. A la nuance que ceux utilisés par Guardtime ajoutent une dimension temporelle : jusqu’à 10 puissance 12 signatures peuvent être générées par seconde. 

Les applications potentielles sont très vastes et remettent en question le concept même de tiers de confiance : l’arbre de hashage calendaire devient l’unique tiers de confiance requis pour garantir l’authenticité et l’intégrité des données. De quoi presque laisser entrevoir la disparition de l’huissier pour produire des constats sûrs sur des données numériques originales. 

«Nous n’apportons pas de nouveauté cryptographique », reconnaît Mike Gault. Il s’agit de rendre exploitable à grande échelle quelque chose de déjà connu : «nous apportons l’ingénierie nécessaire à son utilisation à une très grande échelle.» D’où un modèle commercial basé sur l’OEM à destination des fournisseurs de services Cloud, notamment. China Telecom a notamment recours aux services de Guardtime, comme le centre des registres et des systèmes d’information d’Estonie, ou encore l’agence des télécommunications de Thaïlande. Joyent l’a retenu pour sa plateforme de stockage objet Cloud. Au Japon, Crew Systems, fournisseur de services télémétriques en mode Cloud l’a retenu pour éviter l’altération des preuves sur ses rapports quotidiens et mensuels, ainsi que sur ses enregistrements vidéo. Capgemini, Ericsson ou encore IBM comptent parmi ses partenaires stratégiques.