Login.gov: les revendications d'assurance identité, un test de responsabilité fondé sur la preuve de contrôle

Résumé

• La conclusion centrale confirmée provient de l'évaluation de mars 2023 du Bureau de l'inspecteur général du GSA. Elle a révélé que Login.gov n'avait jamais inclus la comparaison physique ou biométrique requise pour le service IAL2 qu'il représentait aux agences clientes, que le GSA n'avait pas divulgué rapidement la non-conformité connue, et que le GSA avait facturé plus de 10 millions de dollars aux clients IAL2 jusqu'en mai 2022.
• L'échec n'était pas que Login.gov a pris en compte l'équité, la vie privée ou les alternatives à la correspondance faciale automatisée. Ce sont des contraintes légitimes de service public. L'échec était que la décision de ne pas mettre en œuvre un contrôle requis n'a pas déclenché un changement simultané de la déclaration d'assurance, des accords interagences, du traitement de facturation, des représentations de financement et des décisions de risque des clients.
• Les preuves de réparation sont substantielles. Le GSA a corrigé les descriptions publiques, élargi la vérification en personne, piloté la correspondance faciale un-à-un, obtenu une évaluation indépendante NIST SP 800-63-3 IAL2 en octobre 2024, séparé la vérification de base non-IAL2 de la vérification améliorée IAL2, élargi les vérifications de registres autorisés, et documenté les pratiques de confidentialité actuelles. Les dossiers de surveillance montrent également les cinq recommandations de l'OIG de 2023 comme closes.
• La réparation n'est pas la même chose qu'une responsabilité complète. Le dossier public ne quantifie pas les candidats aux prestations admis ou refusés sous une hypothèse d'assurance incorrecte, n'identifie pas chaque décision de rectification client, ne publie pas les résultats client par client de l'examen de facturation, n'établit pas de remboursements ou de restitution, ni ne divulgue les résultats longitudinaux de réussite, d'échec, de fraude et de réparation par parcours de vérification et population affectée.
• Le test durable est de savoir si chaque assertion d'assurance peut être retracée, au moment où elle est faite, à une norme versionnée, des contrôles déployés, des preuves indépendantes, des conditions client précises, une facturation correspondante, une divulgation rapide des exceptions, des mesures de résultats utilisateur, et un chemin documenté pour le changement de norme. Un certificat ultérieur prouve un état de service ultérieur; il ne peut pas valider rétroactivement une déclaration antérieure.

Un label d'assurance est une promesse opérationnelle

Les discussions sur l'identité numérique confondent souvent l'authentification, la justification d'identité, l'éligibilité et l'autorisation en une seule idée: la connexion. Login.gov ne prend pas de décisions de prestations ou d'éligibilité, et son explication publique actuelle le précise. Une personne crée un compte, s'authentifie avec un mot de passe et un autre facteur, et peut ensuite effectuer une vérification d'identité si l'agence partenaire l'exige. L'agence partenaire décide de ce que la personne peut accéder et si elle est éligible à un service.

Cette division du travail est importante, mais elle ne rend pas la représentation d'assurance de Login.gov accessoire.

Un niveau d'assurance d'identité décrit la confiance qu'un demandeur est associé à une identité réelle. Il est différent d'un niveau d'assurance d'authentification, qui concerne la confiance que la personne présentant un authentifiant le contrôle. Un service peut exiger une authentification multifacteur forte et ne pas parvenir à établir l'identité réelle revendiquée au niveau promis.

Le rapport de l'OIG de 2023 a également trouvé un problème de configuration AAL2 distinct que le GSA a corrigé plus tard, mais le problème de responsabilité déterminant ici est l'IAL2: si les preuves d'identité ont été non seulement collectées et validées, mais liées au demandeur en direct de la manière requise par la norme en vigueur.

Ce label avait au moins cinq publics opérationnels. Les personnes ont rencontré les étapes de vérification et ont remis des informations sensibles. Les agences partenaires ont utilisé les assertions résultantes pour concevoir des chemins d'accès aux prestations, dossiers, transactions financières et informations protégées. Les responsables des achats et des programmes ont utilisé des accords interagences pour définir ce que le GSA livrerait. Le Conseil du Fonds de modernisation technologique a évalué une proposition de financement importante.

Les auditeurs et les responsables d'autorisation avaient besoin d'une piste de preuve montrant que le service de production correspondait à son ensemble de contrôles déclaré.

Pour chaque public, « IAL2 » portait plus d'information que « nous effectuons plusieurs vérifications d'identité ». Cela impliquait la conformité à un ensemble d'exigences publiées. Si le service fournissait plutôt un ensemble utile mais différent d'authentification de documents, de vérifications de registres, de confirmation d'adresse et de contrôles antifraude, le nom de produit véridique devait le dire. Login.gov fait maintenant exactement cela: sa description de service actuelle distingue la vérification d'identité de base non conforme à l'IAL2 de la vérification d'identité améliorée qui l'est.

Cette séparation ultérieure illustre la discipline de gouvernance manquante pendant la période examinée.

Ce que la norme en vigueur exigeait à l'époque

La conduite historique doit être évaluée par rapport à la norme alors en vigueur, pas rétroactivement par rapport à une révision ultérieure. Pendant la période couverte par l'évaluation de l'OIG, la norme NIST SP 800-63-3 et son volume compagnon SP 800-63A régissaient la revendication pertinente. Les exigences de justification d'identité de la Rév.3 décrivaient l'IAL2 comme exigeant des preuves soutenant l'existence réelle de l'identité revendiquée et la vérification que le demandeur était bien associé à cette identité. Pour les preuves d'identité les plus fortes utilisées à l'IAL2, la vérification nécessitait une force classée comme forte.

La voie acceptée était une comparaison physique du demandeur avec la photographie sur les preuves les plus fortes ou une comparaison biométrique utilisant les preuves.

La ressource de mise en œuvre de la Rév.3 de NIST sur la vérification d'identité rendait la frontière de contrôle particulièrement claire. La validation d'identité demande si les preuves et attributs sont authentiques et exacts. La vérification d'identité demande si les preuves valides appartiennent réellement au demandeur se présentant à la vérification. Comparer les données d'une carte d'identité aux registres autorisés ou commerciaux peut soutenir la validation. Cela ne lie pas, par lui-même, la carte à la personne vivante qui la présente. La comparaison physique ou biométrique manquante n'était donc pas un défaut de documentation mineur.

C'était l'étape qui reliait les preuves au demandeur.

La norme permettait aux agences de s'écarter d'un ensemble complet d'exigences normatives dans certaines circonstances, mais cette flexibilité venait avec une charge de preuve. L'OIG a cité le SP 800-63-3 comme exigeant la comparabilité d'une alternative, la documentation de l'écart et les détails des contrôles compensatoires. L'OIG a constaté que le GSA n'avait pas d'alternative comparable, pas de contrôles compensatoires et pas de justification documentée pour l'exigence de vérification manquante. Il a rejeté des descriptions telles que répondre à l'« esprit » ou à la « saveur » de l'IAL2 comme équivalentes à la conformité à la norme.

Le contexte politique comptait également. Le mémorandum M-19-17 de l'OMB, publié en mai 2019, dirigeait les agences fédérales à mettre en œuvre le NIST SP 800-63-3 avec l'ensemble plus large de politiques fédérales de gestion d'identité. Une agence utilisatrice devait encore effectuer sa propre évaluation des risques d'identité numérique et choisir un niveau d'assurance approprié pour chaque application. Mais cette responsabilité présupposait des informations de service précises. Une agence ne peut pas faire un choix de risque éclairé si le label du fournisseur et le contrôle déployé diffèrent.

Cette distinction empêche deux erreurs opposées. Il serait faux de dire que l'ancien service n'effectuait aucune vérification d'identité; les dossiers officiels décrivent l'authentification de documents, les vérifications de registres, la confirmation d'adresse et les contrôles antifraude. Il serait également faux de dire que ces vérifications rendaient le contrôle de vérification manquant sans importance. Le problème confirmé n'était pas de savoir si Login.gov faisait quelque chose d'utile. C'était de savoir s'il délivrait le service défini qu'il disait délivrer.

La chronologie confirmée montre une divergence répétée entre déclaration et contrôle

Login.gov a été lancé en 2017 en tant que service de connexion partagé. L'évaluation de l'OIG, ouverte en avril 2022 après que le Bureau du conseiller juridique du GSA a signalé une faute potentielle, a examiné l'activité du programme de mai 2016 à décembre 2022. Sa chronologie montre que le décalage n'a pas été découvert seulement après un changement soudain de norme.

En septembre 2018, les responsables de Login.gov discutaient des services IAL2 en interne et avec des clients potentiels. Le langage des accords interagences a commencé à indiquer que le service IAL2 répondait au NIST 800-63-3 pour AAL2 et IAL2 et que TTS fournirait ces services sur une base remboursable. L'OIG a constaté que 18 des 22 accords exécutés du 18 septembre 2018 au 7 juillet 2021 disaient qu'ils incluaient des services IAL2 qui répondaient ou étaient cohérents avec les exigences IAL2.

En juillet 2019, le directeur de l'information du GSA a déclaré dans l'autorisation d'exploitation FedRAMP de Login.gov que le système pouvait supporter la validation à IAL1 ou IAL2. En novembre 2019, le DSI a permis le déploiement client de l'IAL2 sous conditions. Pourtant, selon l'OIG, le service de production disponible pour les clients n'a jamais inclus de comparaison physique ou biométrique. Il utilisait un tiers pour comparer les cartes d'identité aux informations dans les registres commerciaux. Cela pouvait valider les preuves et attributs, mais cela n'effectuait pas la vérification de propriété requise.

La connaissance de l'écart a circulé dans l'organisation. L'OIG a rapporté des discussions sur l'incapacité à atteindre l'IAL2 au moins dès 2019. Il a dit qu'un conseiller principal de TTS a informé l'équipe en janvier 2020 qu'un composant biométrique était requis. Un consultant a donné le même avertissement en août 2020. Les discussions internes ont également reconnu les préoccupations concernant la technologie des selfies, la détection de vivacité et les taux de rejet différentiels associés à des traits physiques tels que la couleur et le teint de la peau. Ces préoccupations étaient des contributions réelles à la gouvernance;

elles ne rendaient pas le service conforme.

Le 24 juin 2021, le directeur de TTS et le sous-commissaire de la FAS ont annoncé en interne que TTS suspendait les efforts pour répondre à l'exigence de comparaison biométrique, citant des préoccupations d'équité avec la technologie de vivacité et de selfie. L'OIG a constaté que les agences clientes n'ont pas été informées lorsque cette décision de produit a été prise. Cette date est la charnière de responsabilité la plus claire.

Une fois que la direction a décidé de ne pas déployer le contrôle alors compris comme nécessaire, l'état de la déclaration aurait dû changer partout: catalogue de produits, preuve d'autorisation, accord interagences, code de facturation, discussion commerciale, proposition de financement et avis client.

Au lieu de cela, en septembre 2021, le GSA a soumis une proposition au Fonds de modernisation technologique qui disait que Login.gov fournissait des services d'identité conformément à M-19-17 et se conformait au NIST 800-63-3 pour AAL2 et IAL2. La proposition a finalement obtenu environ 187 millions de dollars pour 2022 à 2025. L'OIG n'a pas traité la totalité de la subvention comme une perte mesurée; les fonds avaient des objectifs plus larges incluant l'adoption, l'équité, la cybersécurité et la capacité antifraude. Il a constaté que la déclaration de conformité utilisée pour obtenir le financement était inexacte.

La notification des clients est venue en février 2022. L'OIG a enregistré des réactions de clients montrant que les agences avaient compris qu'elles recevaient un service IAL2 conforme et devaient maintenant déterminer ce que le changement signifiait pour les systèmes de production. Certaines ont demandé si le service venait d'être supprimé. Une a conclu de la clarification que son système de production n'avait pas été conforme à l'IAL2 depuis le lancement parce que la comparaison faciale n'avait jamais été en production. Ces réactions sont une preuve directe de dépendance et de risque de retravail.

Elles ne prouvent pas qu'une personne spécifique inéligible a reçu une prestation ou qu'un demandeur nommé en a été privé.

Le GSA a également examiné ses représentations AAL2, notifié 51 clients en mars 2022 et un autre en avril, et modifié les paramètres pour corriger ce problème distinct. Pour l'IAL2, il n'avait pas encore la capacité d'effectuer le même genre de correctif de configuration. L'évaluation d'impact sur la vie privée de Login.gov de janvier 2024 a ensuite utilisé un langage précis: le service de vérification d'identité ne répondait pas à l'IAL2 du NIST à ce moment-là, tout en énumérant les contrôles qu'il fournissait. C'était un modèle de divulgation matériellement meilleur.

La chronologie de facturation a couru parallèlement à la chronologie des déclarations. À partir de 2019, le GSA a facturé aux agences des services décrits comme IAL2. L'OIG a trouvé des factures à 22 agences clientes et calculé 10 060 254 $ jusqu'en mai 2022: 459 877 $ en exercice 2020, 4 288 990 $ en exercice 2021 et 5 311 387 $ jusqu'en mai de l'exercice 2022. Sa note de bas de page a précisé que les totaux facturés incluaient des frais de vérification d'identité, de plateforme et d'authentification et que Login.gov ne différenciait pas tous les coûts à un niveau qui isole un montant de contrôle non conforme pur.

Le nombre est donc un total de facturation confirmé, pas un jugement de dommages-intérêts et pas la preuve que chaque dollar n'a acheté aucune valeur.

Le 7 mars 2023, l'OIG a émis cinq conclusions et cinq recommandations. Il a conclu que le GSA a induit les clients en erreur, facturé des services IAL2 non fournis comme représenté, utilisé un langage de conformité inexact dans la proposition de financement et permis des contrôles de gestion inadéquats et une culture de non-intervention. La direction du GSA a accepté les conclusions et les recommandations. Le rapport était une inspection et une évaluation de l'inspecteur général, pas une condamnation pénale ou un jugement civil, et ses conclusions doivent être décrites en ces termes.

Le contrôle pratique était distribué, mais la responsabilité n'était pas diluée

Le dossier soutient une carte de contrôle en couches plutôt qu'un récit à vilain unique.

La direction du produit et du programme Login.gov contrôlait l'état du service.Le programme contrôlait quelles étapes de vérification étaient déployées, quels fournisseurs et sources de données étaient utilisés, comment les preuves étaient liées à un demandeur, quels noms de produit apparaissaient dans la documentation et quelles limitations techniques étaient escaladées. Les équipes produit étaient également les plus proches des preuves que l'ensemble de contrôles ne satisfaisait pas au niveau asserté.

Le Technology Transformation Services contrôlait la commercialisation et l'escalade.La direction de TTS contrôlait la décision de suspendre la mise en œuvre biométrique, les communications avec les partenaires, les modèles d'accords, les opérations commerciales et l'interface entre les faits du programme et les déclarations externes. Une fois que la décision produit et la déclaration d'assurance ont divergé, TTS avait le pouvoir pratique d'arrêter le décalage.

Le Federal Acquisition Service contrôlait la supervision institutionnelle.La FAS supervisait TTS, signait ou supervisait les relations interagences, et était responsable des contrôles de gestion, de la planification financière, des achats et de la gouvernance du programme. L'OIG a spécifiquement rejeté l'idée que l'indépendance du programme relevait la FAS de sa responsabilité. Il a constaté qu'une supervision inadéquate de la FAS a permis la culture de non-intervention et les représentations trompeuses.

Le DSI et le processus d'autorisation contrôlaient l'acceptation formelle des risques.Une autorisation d'exploitation n'est pas une certification de produit indépendante, mais c'est un point de contrôle formel. Lorsque l'autorisation de 2019 disait que le système pouvait supporter l'IAL2, cette déclaration est devenue partie de la chaîne de preuves institutionnelles. Les responsables autorisateurs avaient besoin d'une carte des exigences à la mise en œuvre capable de détecter que la validation était substituée à la vérification.

Les agences clientes contrôlaient l'assurance et l'autorisation au niveau applicatif.Chaque agence utilisatrice devait évaluer le préjudice des erreurs d'identité, choisir un niveau d'assurance, décider quels attributs demander et déterminer ce qu'une assertion réussie de Login.gov permettait. Ces devoirs demeurent. Ils n'excusent pas les représentations inexactes du fournisseur. Les services partagés existent en partie pour que les agences puissent compter sur une mise en œuvre de contrôle commune plutôt que de la reconstruire; des limites de service véridiques sont donc un prérequis à la responsabilité du client.

Le Conseil du Fonds de modernisation technologique contrôlait le financement, pas la vérité du service.Le Conseil pouvait évaluer et conditionner une subvention, mais il dépendait de l'exactitude de la proposition et des documents d'appui. Son approbation n'a pas transformé un service non conforme en service conforme.

Les fournisseurs de composants contrôlaient la performance des composants.Les sources de données commerciales et gouvernementales pouvaient authentifier des documents, valider des attributs, effectuer une correspondance faciale, évaluer des appareils ou fournir des signaux de fraude. Login.gov, en tant que fournisseur de service d'identité présenté aux agences, conservait la responsabilité d'assembler ces composants en un service répondant au niveau revendiqué et d'expliquer les flux de données et les limitations qui en résultaient.

Le NIST, Kantara, l'OIG et le GAO contrôlaient différentes fonctions de preuve.Le NIST définissait les exigences techniques et de processus; il n'exploitait pas Login.gov. Kantara a ensuite évalué un service spécifié par rapport à la Rév.3. L'OIG a reconstruit la réclamation historique et la défaillance de gestion. Le GAO a évalué les capacités, l'expérience des agences, les pilotes, les contrôles de confidentialité et les actions de suivi. Aucun de ces organismes ne se substituait à l'obligation quotidienne du GSA de maintenir l'alignement des déclarations avec les contrôles déployés.

Cette répartition est importante car la responsabilité peut disparaître lorsque chaque entité pointe le rôle d'un autre entité. La meilleure règle est que chaque partie répond des décisions qu'elle pouvait effectivement changer. Le GSA contrôlait la déclaration du produit et le dossier de preuves. Les agences clientes contrôlaient la sélection des cas d'utilisation et l'autorisation en aval. Les évaluateurs contrôlaient l'intégrité et la portée de leurs évaluations. Les utilisateurs ne contrôlaient presque aucun de ces choix institutionnels.

Le préjudice et le coût commencent avant une transaction frauduleuse confirmée

Le dossier public n'établit pas un nombre d'approbations frauduleuses, de refus injustifiés, de prestations volées ou de comptes compromis causés par l'étape de vérification IAL2 manquante. Il serait spéculatif d'en inventer un. Mais l'absence d'une perte de transaction quantifiée ne rend pas la défaillance inoffensive.

Premièrement, les agences ont perdu en qualité de décision. Une partie utilisatrice choisissant un service de vérification a besoin de connaître la probabilité et le type d'erreur d'identité que les contrôles sont conçus pour réduire. Si un service représentait qu'il reliait les preuves à un demandeur en direct mais n'effectuait pas la comparaison requise, l'analyse de risque résiduel de l'agence partait d'une prémisse fausse. Elle pouvait imposer trop peu de protection sur une transaction à haut risque ou passer du temps à concevoir des mesures compensatoires seulement après une divulgation tardive.

Deuxièmement, les agences ont engagé des coûts d'enquête et de migration. Le GAO a rapporté plus tard que la Small Business Administration a suspendu son adoption après la conclusion de l'OIG et a effectué des appels de données et des examens supplémentaires sur le coût et la sécurité. Le Trésor a dit au GAO qu'utiliser un service non aligné pour des applications nécessitant l'IAL2 l'exposerait à un risque de sécurité. Ces effets sont des coûts opérationnels même lorsqu'ils ne peuvent être réduits à une facture publique.

Troisièmement, la facturation a créé un intérêt vérifiable pour le contribuable. Les 10 060 254 $ confirmés n'étaient pas une mesure nette de trop-payé car les factures groupées incluaient des services qui ont été fournis. C'était néanmoins de l'argent facturé à des clients sous une relation de service IAL2 que l'OIG a jugée non conforme à l'IAL2. Un examen complet de la facturation était donc nécessaire pour déterminer quels frais correspondaient à la capacité livrée, quels termes nécessitaient une correction et si un ajustement financier était dû.

Quatrièmement, les lacunes de capacité peuvent pousser les agences vers des systèmes parallèles. La comparaison du GAO de juin 2025 a constaté que les agences de la loi CFO ont déclaré des dépenses d'environ 32,5 millions de dollars pour Login.gov et 209 millions de dollars pour des solutions commerciales de l'exercice 2020 à 2023. Le GAO a averti que la tarification propriétaire empêchait une comparaison directe. Il a également rapporté qu'une grande partie des dépenses commerciales reflétait des capacités, y compris l'IAL2 et les biométries, que Login.gov n'offrait pas pendant la période.

Ces chiffres montrent l'échelle économique de la vérification d'identité fragmentée; ils ne prouvent pas que la fausse déclaration de Login.gov a causé la totalité des dépenses commerciales.

Cinquièmement, les personnes supportent des coûts d'accès et de confidentialité. Une tentative de vérification échouée peut retarder l'accès aux dossiers, aux demandes ou aux prestations. Un contrôle plus invasif peut nécessiter une image du visage, un document d'identité, un numéro de sécurité sociale, des signaux d'appareil et des vérifications de registres autorisés. Un contrôle moins efficace peut exposer des fonds publics ou des comptes personnels à l'usurpation.

Le problème de responsabilité est donc double: prévenir la fraude sans faire des erreurs de vérification, des biais biométriques, des obstacles documentaires ou un partage opaque de données un mécanisme de refus.

Le rapport du GAO d'octobre 2024 a capturé à la fois la valeur et le fardeau. Sur 21 agences de la loi CFO utilisant Login.gov, 16 ont cité des opérations améliorées, 11 une expérience utilisateur améliorée et sept des économies de coûts. Douze ont cité l'écart d'alignement IAL2, neuf des problèmes techniques et huit l'incertitude des coûts. Une agence a signalé des taux d'échec de création de compte de 30 à 40 % pour ses utilisateurs; le GAO n'a pas attribué chaque échec à la vérification d'identité ou à la revendication IAL2 historique. Ces preuves mitigées sont plus utiles qu'une simple étiquette de succès ou d'échec.

L'identité partagée peut réduire le travail en double et encore imposer des coûts de contrôle et d'accès sérieux lorsque ses preuves sont faibles ou que son workflow échoue.

Enfin, la crédibilité est elle-même une infrastructure. Login.gov demande aux agences de centraliser une fonction de confiance sensible et aux personnes d'utiliser un compte dans toute l'administration. Ce modèle peut réduire la complexité, mais il concentre la dépendance sur les représentations faites par le fournisseur partagé. Lorsque le langage d'assurance s'avère peu fiable, les agences peuvent dupliquer la vérification, retarder l'adoption ou acheter des services parallèles. Le coût qui en résulte n'est pas seulement réputationnel; il peut saper les économies d'échelle que le service a été créé pour apporter.

Les préoccupations d'équité étaient des contraintes valides, pas une permission de mal étiqueter le service

Le dossier de l'OIG ne doit pas être lu comme la preuve que le GSA aurait dû ignorer les taux d'erreur disparates ou déployer toute technologie faciale disponible immédiatement. L'évaluation continue de la technologie de reconnaissance faciale du NIST, mise à jour jusqu'en juin 2026, rapporte des variations démographiques dans les faux positifs et faux négatifs selon les algorithmes. Il explique également que la qualité d'image, l'éclairage, l'exposition et la géométrie de l'appareil photo peuvent affecter les performances de faux négatifs.

Ces faits soutiennent des tests soigneux, des conditions de capture accessibles, des voies alternatives et une mesure continue des résultats.

L'erreur de gouvernance était de coupler une préoccupation de produit défendable avec une pratique de déclaration indéfendable. Si la direction a conclu en juin 2021 que le risque d'équité de l'approche prévue de selfie et de vivacité dépassait son avantage, quatre options honnêtes restaient. Le GSA pouvait étiqueter le service comme non-IAL2. Il pouvait développer une comparaison physique à distance assistée ou en personne. Il pouvait utiliser un service externe conforme pour les applications nécessitant l'IAL2 tout en conservant son propre produit à assurance inférieure.

Ou il pouvait documenter une alternative vraiment comparable avec des contrôles compensatoires et obtenir un examen autorisé avant de revendiquer la conformité. Ce qu'il ne pouvait pas faire, c'était garder le label IAL2 inchangé alors que le contrôle requis était absent.

L'architecture ultérieure démontre la valeur de multiples voies. L'annonce pilote d'avril 2024 du GSA a jumelé la correspondance faciale un-à-un à distance avec une option en personne préalable dans plus de 18 000 bureaux de poste entités. Le GAO a rapporté que, dans un pilote en personne de 1 000 entités de janvier à mars 2024, 57 % de ceux qui ont réussi la vérification ont choisi la voie en personne lorsqu'elle était proposée au début. Le GSA a rendu l'option préalable permanente en avril. Cela prouve qu'un canal alternatif peut être un chemin de service principal plutôt qu'une exception cachée après un échec en ligne.

Le choix, cependant, doit être mesuré plutôt que supposé. La proximité d'un bureau de poste ne prouve pas qu'une personne peut s'y rendre pendant les heures d'ouverture, a des documents acceptables, peut prendre du temps loin du travail ou des soins, ou peut terminer le processus de l'agence après la vérification. Une correspondance faciale à distance ne prouve pas des performances opérationnelles égales entre les appareils et les populations. Un canal en personne ne prouve pas que le personnel applique les règles de comparaison et d'exception de manière cohérente.

Le dossier de contrôle correct inclut les taux de réussite et d'échec ajustés par type de vérification, les points d'abandon, l'ajustement pour fraude suspectée, le temps d'attente, le temps de réparation, les résultats d'accessibilité et l'analyse démographique effectuée avec des garanties de confidentialité légales.

La révision 4 de 2025 du NIST renforce cette approche. Elle permet les voies IAL2 biométrique, non biométrique et par preuve numérique, exige une assurance agrégée comparable et ajoute des attentes plus fortes pour les options, la confidentialité, l'expérience client et la réparation. Elle dit aussi que les fournisseurs offrant une voie IAL2 non biométrique doivent communiquer son utilisation aux parties utilisatrices. La leçon n'est pas « les biométries sont toujours requises » ni « l'équité prime sur les normes ».

C'est que le fournisseur doit nommer la voie, satisfaire aux exigences applicables, mesurer ses performances et dire exactement aux clients quelle assertion ils reçoivent.

Faits confirmés, inférence étayée et inconnues

Faits confirmésdans le dossier public sont inhabituellement solides. L'OIG du GSA a constaté que le service de production offert aux agences clientes manquait de la comparaison physique ou biométrique requise pour son service IAL2 Rév.3 revendiqué.

Il a constaté que des responsables supérieurs ont appris l'écart à plusieurs reprises, que TTS a suspendu les efforts pour mettre en œuvre le contrôle biométrique en juin 2021 sans avis simultané aux clients, que 18 des 22 accords interagences examinés contenaient un langage IAL2 trompeur, que la proposition de financement de septembre 2021 incluait une déclaration de conformité inexacte, et que le GSA a facturé plus de 10 millions de dollars à des clients IAL2 jusqu'en mai 2022. La direction du GSA a accepté les conclusions et les recommandations du rapport.

Il est également confirmé que le GSA a notifié les agences clientes en février 2022, corrigé les descriptions publiques, et construit ensuite de nouvelles voies de vérification. Le GSA a annoncé un pilote de correspondance faciale à distance et élargi la vérification en personne en avril 2024. En octobre 2024, le GSA a annoncé qu'un service IAL2 Rév.3 évalué indépendamment était entré en disponibilité générale. La liste d'état de confiance de Kantara identifie Login.gov comme un service complet Rév.3 approuvé à l'IAL2 et l'AAL2. Les documents actuels de Login.gov distinguent la vérification de base non IAL2 de la vérification améliorée IAL2.

Il est confirmé que la surveillance a continué après le certificat. La page de recommandations courantes du GAO dit qu'il a vérifié en mars 2025 que le pilote à distance était terminé et qu'un évaluateur tiers a aidé à confirmer que la fonctionnalité fonctionnait comme prévu. Elle marque les recommandations d'achèvement du pilote et de leçons apprises comme closes. Elle indique toujours la recommandation de traiter les défis techniques signalés par les agences avec des délais mutuellement convenus comme ouverte et partiellement traitée.

Séparément, la recommandation de contrôle de sauvegarde de 2025 du GAO est maintenant marquée close après que le GAO a vérifié des tests annuels utilisant des preuves de juin 2025 et juin 2026.

Inférence étayéecommence là où les documents établissent les prémisses mais pas un résultat mesuré direct. Il est raisonnable d'inférer que la déclaration inexacte a altéré les décisions de risque des clients car les agences ont contracté pour un service d'assurance défini et ont exprimé leur surprise lorsqu'on leur a dit qu'il n'était pas disponible. Il est raisonnable d'inférer que certaines agences ont engagé des coûts d'examen, de retard, d'intégration ou de remplacement car le GAO a documenté une adoption suspendue et l'utilisation de produits commerciaux pour des capacités que Login.gov ne possédait pas.

Il est raisonnable d'inférer qu'une porte condition-exigence liant l'état du produit aux accords et à la facturation aurait pu détecter le décalage plus tôt.

Il est également raisonnable d'inférer que la certification actuelle, la séparation des services, le choix en personne, la validation par passeport, la documentation de confidentialité et la surveillance récurrente réduisent matériellement le risque historique de divergence entre déclaration et contrôle. Ce sont des changements observables dans la capacité et la preuve, pas seulement un nouveau langage. Mais il irait au-delà des preuves d'inférer que chaque client historique a été dédommagé, que chaque application affectée a été réévaluée, ou que chaque voie de vérification actuelle fonctionne de manière équitable en production.

Inconnuesdemeurent matérielles. Les sources publiques examinées ici n'identifient pas chaque personne qui a approuvé chaque représentation historique, ne reproduisent pas chaque accord interagences, ne divulguent pas tous les avis juridiques internes, ni ne fournissent les documents de travail complets de l'examen de facturation. Elles n'établissent pas si le GSA a remboursé ou crédité des clients particuliers, quelle méthodologie il a utilisée pour répartir les frais groupés, ou si les agences clientes ont modifié les règles d'autorisation après la notification.

Le dossier public ne quantifie pas non plus la fraude d'identité, l'accès indu, la perte de prestations, la compromission de compte, le faux rejet, l'abandon de service ou le retard dans la réception de prestations causé spécifiquement par la comparaison manquante. Il ne publie pas les résultats de dépendance client par client. Il n'établit pas d'intention criminelle, de jugement en vertu du False Claims Act, ou de responsabilité civile individuelle. Les départs de personnel rapportés dans la chronologie de l'OIG ne sont pas, sans preuve supplémentaire, une preuve de discipline ou de culpabilité pour un acte spécifique.

Pour le service réparé, le dossier public ne fournit pas le rapport d'évaluation indépendant complet, tous les cas de test, les seuils opérationnels spécifiques au fournisseur, les taux d'erreur de production, les tableaux de résultats démographiques, les mesures de résolution des réparations, ou les résultats de réévaluation annuelle. L'évaluation d'impact sur la vie privée de mars 2026 de Login.gov nomme les catégories de données, les tiers, les limites de conservation et les contrôles, mais une PIA n'est pas un audit de performance public. Un label de confiance est une preuve de conformité solide pour sa portée et sa date évaluées;

ce n'est pas une garantie perpétuelle contre la dérive de configuration ni un substitut aux preuves de résultats utilisateurs.

Le suivi de surveillance et juridique est plus large qu'un seul rapport

L'évaluation de l'OIG de 2023 a produit cinq recommandations: établir des contrôles de gestion adéquats de TTS; documenter les politiques, décisions, procédures, transactions essentielles et dossiers; examiner de manière exhaustive les facturations IAL2; établir des examens de conformité internes; et adopter une politique qui indique clairement à chaque client si Login.gov répond aux normes NIST applicables et aux services spécifiés dans l'accord. Oversight.gov marque actuellement les cinq comme closes: contrôles de gestion, documentation et dossiers, examen de facturation, examen de conformité interne, et avis client.

La clôture est importante, mais sa signification probante est limitée. Elle montre que le processus de surveillance responsable a accepté une action de l'agence suffisante pour clore chaque recommandation. Les pages de statut publiques ne publient pas l'examen de facturation lui-même, les ajustements au niveau client, les échantillons de test pour les examens internes, ou tous les nouveaux artefacts de contrôle de gestion. Un dossier de responsabilité durable devrait préserver les deux faits: les recommandations ne sont pas ouvertes, et certaines preuves de résultats sous-jacentes restent non publiques.

Le cadre juridique et politique comprend plus que la conformité NIST. La PIA actuelle identifie les autorités légales incluant les exigences fédérales de cybersécurité, l'E-Government Act, la loi fédérale sur la politique d'information, et l'autorité du GSA à fournir des services aux agences exécutives. Elle mappe le système Login.gov à un avis de système d'enregistrement en vertu du Privacy Act.

Elle dit que la vérification d'identité actuelle peut collecter le nom, la date de naissance, l'adresse, le numéro de sécurité sociale, les données et images de carte d'identité d'État ou de passeport, une auto-photographie lorsque requis, et des signaux d'appareil ou comportementaux pour l'atténuation de la fraude. Elle identifie également AAMVA, le Département d'État, LexisNexis et Socure comme des services ou sources actuels de vérification d'identité.

Ces divulgations font de la gouvernance des données une partie de la responsabilité de l'assurance. Une voie de vérification plus robuste peut réduire le risque d'usurpation tout en élargissant la collecte et le traitement par des tiers. La PIA actuelle dit que Login.gov ne stocke pas les images de carte d'identité d'État après le traitement d'authenticité et que certaines données antifraude et de tiers sont conservées pour des périodes limitées, ne dépassant généralement pas un an sauf si une enquête nécessite plus. Ce sont des descriptions officielles de la pratique actuelle.

Une preuve durable nécessite des preuves d'audit que la suppression, l'accès, la limitation d'usage, la restriction des fournisseurs et les contrôles d'incident décrits fonctionnent comme indiqué.

Le GAO ajoute un dossier de contrôle continu. Son examen de 2024 a identifié des avantages et des défis techniques pour les agences et a recommandé une action datée sur les problèmes signalés, l'achèvement du pilote à distance et des leçons apprises documentées. Au 15 juillet 2026, deux sont closes et la recommandation de défi technique reste partiellement traitée. Son examen de 2025 a constaté que Login.gov avait largement mis en œuvre les pratiques de protection des données sélectionnées mais n'avait pas démontré de test annuel d'intégrité des sauvegardes.

La page actuelle du GAO enregistre la clôture après des preuves de tests en juin 2025 et juin 2026. C'est un modèle utile de preuve de réparation: politique, résultat de test, récurrence et vérification indépendante.

Les preuves de réparation sont réelles, mais doivent être lues par date et portée

La chronologie de la réparation commence avant la certification. Le GSA a corrigé les sites web et les communications avec les clients après la divulgation de 2022. Sa PIA de janvier 2024 disait explicitement que le service n'était pas IAL2 à ce moment-là. Le GSA a achevé un pilote de vérification en personne préalable en mars 2024 et a rendu cette voie généralement disponible en avril. Son annonce d'avril 2024 a décrit un pilote séparé de correspondance faciale à distance devant commencer en mai et a dit que le GSA chercherait une évaluation indépendante.

Le 9 octobre 2024, le GSA a annoncé la disponibilité générale d'une option IAL2 certifiée indépendamment. Le workflow à distance a ajouté la correspondance un-à-un d'un selfie en direct avec la photographie sur une pièce d'identité fournie par l'utilisateur. Le GSA a dit qu'il n'utilisait pas d'identification un-à-plusieurs et n'utilisait pas les images à des fins non liées. La certification couvrait également une option en personne. Cela importe car cela liait une nouvelle déclaration à un contrôle déployé et à une évaluation externe avant une large disponibilité.

Les dates concilient un conflit apparent dans le dossier. Le rapport du GAO du 16 octobre 2024 disait que Login.gov n'était pas encore conforme à l'IAL2 en juillet 2024 et décrivait le pilote à distance comme incomplet sur la base de preuves recueillies avant la certification d'octobre. L'annonce du GSA concerne l'état de service ultérieur. Les sources sont séquentielles, pas contradictoires. C'est exactement pourquoi les déclarations d'assurance ont besoin de dates d'effet et de versions de service.

La séparation actuelle des produits est une autre réparation. Le site partenaire décrit trois services: authentification, vérification d'identité de base qui ne répond pas à l'IAL2, et vérification d'identité améliorée qui est conforme à l'IAL2. Les conseils sur les niveaux d'assurance pour les agences disent aux partenaires d'effectuer une évaluation des risques d'identité numérique et identifient les cas d'utilisation à plus haut risque pouvant justifier l'IAL2. Il dit aussi que le GSA ne choisit pas le niveau pour le partenaire.

Cela rend la frontière de décision du client plus visible qu'elle ne l'était dans le langage historique des accords.

La documentation actuelle destinée aux utilisateurs montre également plusieurs voies. La page d'aide sur la vérification d'identité dit que les utilisateurs peuvent fournir un permis de conduire, une carte d'identité d'État ou un livret de passeport, un numéro de sécurité sociale, et un numéro de téléphone américain ou une adresse postale; certains utilisateurs se voient demander un selfie, et une voie en personne au bureau de poste peut être disponible. L'annonce de vérification basée sur le passeport d'août 2025 du GSA décrit la vérification des attributs du passeport via une interface du Département d'État préservant la confidentialité.

Ce sont des améliorations de capacité et d'accès, bien que chacune introduise ses propres questions de disponibilité, de confidentialité et d'erreur.

L'échelle rend la durabilité du contrôle plus conséquente. La feuille de route de décembre 2025 du GSA a rapporté plus de 100 millions de comptes, plus de 500 millions de connexions annuelles, plus de 700 sites et services actifs, et 54 partenaires d'agences et d'États. Ce sont des mesures rapportées par le programme, pas des comptes audités indépendamment dans cet article. À cette échelle, même un faible taux d'échec ou de fausse acceptation peut affecter de nombreuses personnes, tandis qu'un contrôle correctif commun peut bénéficier à de nombreuses agences.

La feuille de route de décembre 2025 dit aussi que Login.gov a achevé l'évaluation indépendante Rév.3 et travaille vers la norme NIST SP 800-63-4 nouvellement publiée. C'est une déclaration limitée de manière appropriée: travailler vers une norme plus récente n'est pas la même chose qu'être déjà certifié à celle-ci. La feuille de route est prospective et étiquette les estimations comme sujettes à changement.

Ses plans pour les permis de conduire mobiles, la vérification héritée, les voies alternatives, des fournisseurs supplémentaires et le partage de signaux de fraude ne sont pas la preuve que ces capacités sont complètes jusqu'à ce que la publication et les preuves d'exploitation existent.

Le dossier de réparation a donc plusieurs forces. Les plus fortes sont le langage de revendication corrigé, la séparation des services déployée, un pilote achevé, une évaluation indépendante Rév.3, une documentation publique sur la confidentialité, des recommandations de l'OIG closes et des tests de sauvegarde récurrents vérifiés par le GAO. Moins solides mais utiles sont les feuilles de route, les communiqués de presse de l'agence et les capacités planifiées.

Les preuves manquantes incluent les résultats détaillés de facturation client, l'évaluation complète de certification, les mesures de production longitudinales, les résultats démographiques pour le service réel, l'efficacité de la réparation et un dossier de conformité Rév.4 achevé.

Le contrefactuel était la divulgation plus la séparation des services

Un contrefactuel crédible ne suppose pas que le GSA aurait pu produire un service biométrique parfait et équitable du jour au lendemain. Il demande quels contrôles étaient disponibles lorsque les dirigeants savaient que le service existant ne correspondait pas à la déclaration.

Au plus tard, la décision du 24 juin 2021 de suspendre l'exigence biométrique prévue aurait dû déclencher un incident de déclaration-contrôle. Le propriétaire du service aurait pu geler les nouvelles représentations IAL2; changer le catalogue en « vérification d'identité, pas IAL2 »; notifier les agences existantes; modifier les accords interagences; examiner le langage d'autorisation; arrêter ou séparer la facturation IAL2; corriger la proposition de financement en cours; et donner à chaque agence utilisatrice un package de transition.

Ce package aurait pu offrir une utilisation continue pour les transactions à moindre risque, un service IAL2 externe pour les transactions à plus haut risque, une alternative assistée ou en personne en développement, et un calendrier documenté pour la réévaluation.

Une porte de conformité indépendante avant le premier déploiement client IAL2 aurait été encore plus robuste. L'évaluateur aurait tracé chaque exigence Rév.3 à un contrôle de production, une preuve de mise en œuvre, un résultat de test, une exception et une analyse de contrôle compensatoire. La comparaison manquante demandeur-preuves serait apparue comme un contrôle obligatoire non résolu plutôt que d'être obscurcie par une longue liste d'autres vérifications d'identité.

Le coût de ce contrefactuel n'aurait pas été nul. Le GSA aurait pu perdre ou retarder des clients, supporter des coûts d'amendement et d'examen, accélérer un canal en personne, ou financer une capacité commerciale. Les agences auraient pu devoir modifier leurs intégrations. Mais ce sont les coûts d'une allocation précise d'un risque connu. La voie réelle a transféré une partie de ce coût aux agences plus tard, après qu'elles avaient fait des plans et conclu des accords sous le label plus fort.

La taxonomie de service actuelle valide l'idée de conception centrale. Le GSA offre maintenant un produit de base non IAL2 et un produit amélioré IAL2 distinct. Il présente maintenant des options en personne et à distance. Cela ne prouve pas que l'architecture exacte actuelle était réalisable en 2021, mais cela montre que l'utilité n'exigeait pas de fusionner chaque service en une seule déclaration d'assurance. Un service à assurance inférieure véridique peut coexister avec un service à assurance supérieure séparément prouvé.

Le comparateur plus large n'est pas un fournisseur privé particulier. Les alternatives commerciales ont des prix, des modèles de confidentialité, des populations, des sources de données et une transparence différents. La comparaison utile est procédurale: un fournisseur qui conditionne les déclarations à une preuve indépendante et divulgue immédiatement un écart de contrôle matériel donne aux clients la possibilité de choisir. Un fournisseur qui préserve la déclaration tout en modifiant le contrôle fait le choix à leur place.

Un test durable de responsabilité contrôle-preuve

Login.gov ne doit être jugé ni par l'échec historique seul ni par le dernier certificat seul. Un test de responsabilité durable demande si le système d'assurance maintient les déclarations, les contrôles, les décisions client et les résultats utilisateur alignés dans le temps.

1. Test de déclaration versionnée.Chaque déclaration d'assurance doit identifier la révision de norme, la variante de service, la voie de vérification, la date d'effet et les exclusions matérielles. « IAL2 » sans « Rév.3 amélioré à distance » ou un identifiant de service équivalent est trop grossier une fois que plusieurs normes et voies coexistent. Le NIST a publié SP 800-63-4 en août 2025, remplaçant la Rév.3. Un label de confiance Rév.3 reste une preuve de ce qui a été évalué; il ne doit pas être présenté comme une preuve silencieuse de conformité à la Rév.4.

2. Test d'exigence à contrôle.Une matrice maintenue doit mapper chaque exigence normative au code déployé, processus, composant fournisseur, propriétaire responsable, test, emplacement de preuve, exception et dernière date de validation. La validation et la vérification doivent occuper des lignes séparées de sorte qu'une vérification de registres ne puisse être confondue avec un liage du demandeur. Les modifications de tout composant mappé doivent déclencher une analyse d'impact.

3. Test de porte de pré-déclaration.Aucune page publique, modèle d'accord, déclaration d'autorisation, proposition de financement, artefact de vente ou valeur de protocole ne devrait affirmer un niveau d'assurance jusqu'à ce qu'un responsable responsable et un évaluateur indépendant aient approuvé le dossier de preuves pour la configuration de production. La porte devrait échouer en position fermée lorsqu'un contrôle obligatoire est suspendu.

4. Test de parité contrat-facturation.Les identifiants de produit dans la demande technique, l'accord interagences, le catalogue de services, la facture et le rapport client devraient résoudre à la même définition d'assurance. Les systèmes de facturation devraient séparer l'authentification, la vérification de base, la vérification améliorée, la plateforme et les frais de support suffisamment pour soutenir l'examen et la correction. Une dégradation de contrôle devrait automatiquement arrêter la facturation d'assurance supérieure jusqu'à ce que les clients acceptent des conditions modifiées.

5. Test de divulgation et d'escalade.Un écart de contrôle matériel devrait avoir une horloge de notification, des destinataires nommés, des règles de gravité et un dossier de décision préservé. La notification devrait indiquer ce qui a changé, quand, quelles assertions peuvent être affectées, quels contrôles intérimaires existent, ce que les clients doivent réévaluer et comment la facturation sera traitée. Les préoccupations d'équité ou de confidentialité devraient être documentées comme des raisons d'une décision de conception, pas utilisées pour brouiller l'état d'assurance résultant.

6. Test de preuve indépendante et continue.La certification devrait être cadrée, datée, renouvelable et complétée par une surveillance de configuration. Elle devrait couvrir la politique et la mise en œuvre, pas seulement un flux de démonstration. Une réévaluation annuelle, un examen des changements significatifs, un échantillonnage des contrôles et un statut public du label de confiance devraient rendre la dérive visible. La clôture par le GAO de la recommandation de sauvegarde après avoir observé des preuves de deux cycles de test annuels illustre la différence entre une politique écrite et une preuve d'exploitation.

7. Test de décision de la partie utilisatrice.Les agences devraient recevoir suffisamment de preuves pour mener leur propre évaluation des risques: niveau d'assurance, voie, attributs, limites connues, modèle de fraude, allocation de confidentialité, voie de réparation, mesures de performance et historique des changements. Le fournisseur devrait obtenir un accusé de réception client lorsque la frontière de service change. La responsabilité du client est significative seulement lorsque le client reçoit des faits précis.

8. Test de résultat utilisateur et d'équité.Le NIST SP 800-63A-4 appelle à des options, une assurance comparable, des avis, une réparation et des contrôles d'expérience client. La suite Rév.4 plus large identifie des mesures incluant les taux de réussite globaux et par voie, les taux d'échec et les taux d'échec ajustés pour fraude. Login.gov devrait publier ou fournir des agrégats vérifiables indépendamment pour l'achèvement, l'abandon, la fausse acceptation, le faux rejet, l'examen manuel, le temps d'attente, l'accessibilité et la réparation, avec une analyse démographique soigneuse et une protection de la vie privée.

Les résultats de laboratoire du fournisseur seuls n'établissent pas des résultats de service public de bout en bout.

9. Test de gouvernance des données.Chaque attribut collecté, image de document, échantillon biométrique, signal d'appareil et caractéristique comportementale devrait avoir un but, une autorité légale, une carte de partage, une période de conservation, une preuve de suppression, un journal d'accès et une restriction de fournisseur. Les changements dans les modèles de fraude ou les sources de données devraient déclencher un examen de confidentialité et de biais. Les utilisateurs et les agences devraient pouvoir comprendre quelle partie a quelles données et quel recours existe lorsqu'elles sont erronées.

10. Test de correction rétrospective.Lorsqu'une déclaration d'assurance s'avère inexacte, la réparation devrait regarder en arrière aussi bien qu'en avant. Le fournisseur devrait identifier les accords, assertions, applications, factures, déclarations de financement et utilisateurs affectés; notifier les bonnes parties; soutenir la réévaluation des risques; corriger les frais lorsque justifié; préserver les dossiers; et publier une clôture agrégée de manière appropriée. Un nouveau produit conforme est une réparation vers l'avant. Il ne répond pas à toutes les questions sur l'ancien produit.

11. Test de transition de normes.Un fournisseur d'identité partagé a besoin d'un plan de transition public chaque fois que le NIST publie une nouvelle révision: date d'applicabilité, évaluation des écarts, statut temporaire des anciennes certifications, règles de migration client, changements de protocole, formation, réévaluation et preuve de conformité finale. La feuille de route de Login.gov dit que le travail sur la Rév.4 est en cours. La porte durable reste ouverte jusqu'à ce que les déclarations actuelles et les preuves indépendantes soient explicitement mappées à la révision remplaçante.

12. Test de survie de la gouvernance.Les contrôles doivent survivre aux changements de personnel, à l'urgence, aux cycles de financement et à la culture produit. Les registres de décisions, l'examen de conformité interne, l'accès aux audits, la gestion des dossiers et une propriété claire FAS-TTS-programme devraient empêcher qu'une structure de non-intervention ne se reproduise. Un système n'est pas durable si la vérité dépend d'un employé se rappelant de contester une étiquette.

Appliqué au 15 juillet 2026, le résultat est mitigé mais pas ambigu. Le test historique déclaration-contrôle a échoué. Le test ultérieur de capacité Rév.3 et d'évaluation indépendante a réussi pour le service amélioré dans sa portée. L'étiquetage des produits et le choix des canaux se sont améliorés. Les recommandations de l'OIG sont closes, et plusieurs suivis du GAO ont des preuves d'exploitation.

Mais la recommandation actuelle du GAO sur les défis techniques reste partiellement traitée, la transition vers la Rév.4 est toujours décrite comme un travail en cours, et les preuves publiques pour les résultats de facturation rétrospective et la performance utilisateur de bout en bout restent incomplètes.

La responsabilité suit la capacité à maintenir l'assertion vraie

La leçon la plus durable de Login.gov n'est pas que les agences publiques devraient éviter les services partagés ambitieux ou que la correspondance faciale est la seule voie vers une identité digne de confiance. C'est qu'une assertion d'assurance est une sortie contrôlée. Elle doit changer lorsque le contrôle sous-jacent change, et elle doit être soutenue par des preuves avant que les agences, les bailleurs de fonds ou les utilisateurs ne soient invités à s'y fier.

Le dossier de réparation ultérieur du GSA mérite du poids. Le service distingue maintenant les offres non IAL2 et IAL2, soutient les voies à distance et en personne, a un label de confiance Rév.3 indépendant, publie un dossier de confidentialité plus détaillé et avance vers la Rév.4. Ces étapes montrent que la sécurité, l'accès, la confidentialité et les limites honnêtes du produit peuvent être poursuivis ensemble.

La question de responsabilité restante est de savoir si cette discipline est permanente et rétrospective. Les agences et le public ont besoin de preuves non seulement que le flux amélioré d'aujourd'hui contient la comparaison manquante, mais que les déclarations sont versionnées, les conditions client et les factures correspondent à la production, les exceptions déclenchent une divulgation immédiate, les anciennes erreurs sont reconciliées, et les utilisateurs réels peuvent compléter ou contester le processus sans exclusion cachée. C'est le test de preuve de contrôle.

Login.gov ne le réussit que lorsque l'assertion, le service déployé, le contrat, la facture, l'évaluation indépendante et le résultat vécu décrivent tous le même système.