URL:     https://linuxfr.org/users/thy--2/journaux/authentification-des-gens-que-jh%C3%A9berge-sur-ma-machine-sms-lcen-et-cnil
Title:   Authentification des gens que j'héberge sur ma machine, SMS, LCEN et CNIL
Authors: thy
Date:    2011-06-26T12:19:11+02:00
License: CC By-SA
Tags:    lcen
Score:   4


En ce beau dimanche, je me décide à me mettre à l'heure de la vie 2.0 et de demander un avis au plus grand nombre:
 
 je suis rendu à travailler un peu sur mon "offre" d'hébergement (bon, heu... disons que je m'auto-héberge, enfin je vais m'auto-héberger, et que je veux bien en faire profiter d'autres, dans l'esprit du [RHIEN](http://www.rhien.org/)) et je m'interroge sur la partie "comment être sur de savoir qui est mon hébergé ?", en deux parties:
1. Comment l'authentifier et lui communiquer son couple login/pass ?
2. Comment être sur que l'état civil qui m'est transmis est correct ? que ce n'est pas une fausse identité endossée dans le but de commette je-ne-sais-quel crime inavouable et ensuite échapper à la justice ?
Question bonus- ce listing de mes hébergés-à-priori-coupables que je tient avec diligence à disposition du premier policier venu, doit-il être déclaré à la CNIL ? en effet je stocke quand même de la données on ne peut plus personnelle et nominative.


Mon petit cerveau fertile pensait à un échange par SMS: Au lieu d'un formulaire classique " nom/prénom/adresse/e-mail/veuillez confirmer votre mot de passe/les champs précédés d'un * sont obligatoires ", le futur hébergé me fait un petit mail avec les infos qui vont bien, et après un adduser, je lui envoie son couple login/pass par SMS au numéro qu'il m'aura préalablement indiqué, ou l'utilisateur devra m'envoyer son login/pass souhaité sur mon portable.

**Les avantages:**
*Canal " a priori infalsifiable", le spoof de numéro pour envoyer/recevoir du SMS doit bien exister, mais est bien, bien moins que du traficottage d'adresse IP, par exemple.

*Coordonnées durables, certains changent d'adresses e-mail tout les 4 matins, les rendant de fait injoignable, changer du numéro de GSM est un acte moins anodin, le risque de ne plus pouvoir contacter un hébergé est dimininué.

*Relié à l'état civil, à priori il n'est plus possible en France de contracter un abonnement à un réseau GSM sans présenter de papiers d'identités (qu'ils soient faux est un autre problème), donc en cas de problèmes, il est toujours possible de balancer le numéro de téléphone, qui est forcément authentique, en plus de l'état civil que hébergé s'est contenté de déclarer (et qui n'est donc qu'hypothétique). La LCEN m'impose t'elle cependant de pouvoir relier (même indirectement) un hébergé et un état civil ? ou voudrais-je faire plus sécuritaire que la loi ne l'exige ?


**Les inconvénients :**
*Le coût: 
  *si je décide d'être l'émetteur des SMS, je fais quoi le jour ou 6 hébergés oublient leurs pass chaque semaine ? j'envoie plus de SMS à mes hébergés qu'à ma propre épouse ? 
  *Si je décide de demander aux hébergés de m'envoyer un SMS je ne pourrais pas prétendre être gratuit, puisque s'inscrire chez moi impliquera de dépenser un SMS (non surtaxé), même si je ne touche pas un kopek dans l'opération.

*Je doit tenir un listing faisant correspondre le login unix/ssh/ftp , un /home/user, un nom de domaine, un état civil déclaré, un e-mail et un numéro de téléphone, ca fait beaucoup de choses dans un même fichier, allô la CNIL ?

*confiance dans le numéro de téléphone: a priori (sauf faux papiers) un numéro de téléphone est relié à une personne physique, et il est passé dans les mœurs que le téléphone portable est un strictement personnel, ceci dit je fait quoi le jour ou l'on découvre que Mr Adolfama Ben DuTrou (le célébre terroriste pédo-nazi) à piqué le portable de son collègue de bureau juste le temps d'envoyer/recevoir le fameux login/pass par SMS?

*et ceux qui refusent de posséder un portable ? je les traite d'imbécile et je leur ferme les portes de mon service ?

Je suis preneur de toute observation de la part de gens ayant réfléchi plus avant à la question, qui ont une autre approche en tête  ou qui ont les bases juridiques nécessaires pour comprendre exactement ce que me réclame la LCEN en terme de conservation de log et de vérification d'identité et ce que m'impose la CNIL en terme de respect de la vie privée et de collecte d'infos.