Résumé

  • Le projet de protocole DULT demande d'associer à la balise une identité vérifiable et de rendre accessible, lors de la recherche de son identifiant, au moins un indice masqué : quatre derniers chiffres d'un numéro ou fragment d'adresse électronique.
  • Il avertit aussi qu'un identifiant stable et cet indice peuvent permettre de reconnaître la balise et, par ricochet, son propriétaire. La consultation exige une balise associée mais séparée de son propriétaire ; par Bluetooth, une action de l'utilisateur est requise, alors qu'un contact NFC très proche peut manifester l'intention.

Le petit indice qui change tout

Une alerte de suivi indésirable désigne un risque, pas un responsable. Si la personne trouve la balise, les quatre derniers chiffres d'un numéro peuvent lui rappeler un proche ; une adresse partiellement masquée peut l'aider à comprendre à qui appartient l'objet. La section 3.16 du projet prévoit que l'identité vérifiable du propriétaire soit enregistrée lors de l'association. La réponse du service de recherche doit contenir au moins l'une des deux formes d'indice. Le texte ne prescrit pas la publication du numéro complet et n'impose pas la présence simultanée du téléphone et du courriel.

Le même indice devient dangereux s'il est servi sans limite. Le projet souligne qu'un identifiant unique et stable, combiné à quelques caractères personnels, peut rendre l'accessoire identifiable. Il déconseille donc de livrer directement identifiant et information masquée à tout appareil qui en fait la demande. Un système qui répondrait automatiquement à chaque téléphone alentour transformerait une fonction de protection en annuaire de balises. C'est un risque de conception décrit par le projet, pas un abus constaté chez un fabricant nommé.

Le verrou tient d'abord à l'état de l'objet : associé à un réseau et passé en mode séparé. Vient ensuite la façon de demander. Le Bluetooth peut être capté à distance ; le protocole exige une action de l'utilisateur avant l'accès à l'identifiant et à l'indice. Le NFC oblige à approcher le lecteur du boîtier et cette proximité peut suffire à exprimer l'intention. Le chapitre consacré à la vie privée précise qu'une lecture NFC implique la possession matérielle, conclusion impossible à tirer d'une détection Bluetooth.

Une interface qui nomme ces deux opérations « identification » efface précisément la différence que le protocole essaie de gouverner.

L'accessoire lui-même doit répondre aux appareils non propriétaires avec des données non identifiables. Le projet décrit une voie possible : une charge chiffrée et impossible à relier d'une requête à l'autre, déchiffrée par le service du réseau de la balise. Le serveur peut appliquer des limites de fréquence et des contrôles antifraude. L'authentification et la protection contre la réutilisation d'une ancienne charge évitent qu'un tiers ne conserve une réponse pour observer ultérieurement l'évolution de l'indice.

Le service devient ainsi un décideur de divulgation, avec une responsabilité observable, au lieu de laisser l'onde radio décider seule.

Il existe aussi une durée de conservation. Le registre des propriétaires devrait rester disponible au moins 25 jours après la dissociation, puis être supprimé. Une demande valide des forces de l'ordre, soumise selon une procédure définie, constitue une voie distincte d'accès aux informations disponibles. Ces « devrait » reprennent le langage normatif du projet ; ils ne décrivent ni une loi générale ni la pratique prouvée des réseaux commerciaux.

La fiche IETF classe la révision 01 comme projet actif d'un groupe de travail, sans statut de RFC. Il manque encore une trace publique d'une mise en œuvre donnée reliant alerte, action physique, consultation du serveur, répétition des demandes et effacement du registre. Cette trace permettrait de juger le produit plutôt que son slogan.

Sources