Summary

  • BrowserID, devenu Persona, permettait à un site de recevoir une adresse e-mail vérifiée sans demander à chaque visiteur un mot de passe propre au site.
  • Mozilla a cessé d’assurer le service le 30 novembre 2016 et fermé son infrastructure Persona à la fin de l’année. Son guide proposait de faire confirmer une dernière fois l’adresse par Persona avant de créer, si le site le choisissait, un mot de passe local.

Un compte peut survivre à son bouton de connexion. Dans la base d’un site équipé de Persona, l’adresse e-mail désignait toujours le bon dossier. Mais désigner un dossier et prouver que la personne devant l’écran en est titulaire sont deux opérations différentes. La fermeture de Persona a séparé brutalement les deux.

Dans sa présentation de BrowserID en 2011, Mozilla parlait à la fois d’un protocole d’identité et d’un service d’authentification. Elle estimait alors que près de mille sites l’utilisaient. Cette estimation d’époque ne mesure pas l’usage en 2016. L’annonce de la première version bêta de Persona en 2012 formulait l’offre faite aux sites : ne plus conserver un mot de passe supplémentaire, tout en gardant une relation directe avec l’utilisateur grâce à son adresse e-mail.

La mise en œuvre explique la fragilité de cette promesse. Le récit technique publié par Mozilla en 2013 décrit la recherche du fournisseur de l’adresse. Si ce fournisseur prenait en charge Persona, il pouvait authentifier son utilisateur. Sinon, le service de secours de Mozilla intervenait, par une passerelle vers un compte existant ou par confirmation envoyée par e-mail. Le billet traite d’une faille corrigée dans une passerelle ; il sert ici à comprendre l’architecture, pas à inventer une cause de l’arrêt.

Le retrait s’est annoncé par étapes. Un compte rendu de réunion Mozilla de mars 2014 indiquait que le projet passait à la communauté : Mozilla continuait l’exploitation, mais arrêtait de financer de nouvelles fonctions. Son guide de fermeture destiné aux sites précise ensuite les engagements de support de 2014 et 2015. Mozilla y attribue la sortie à une utilisation faible et déclinante et au coût d’un service d’authentification exigeant disponibilité et sécurité. Le support s’est arrêté le 30 novembre 2016 ; le service a fermé à la fin de 2016.

La liste des pièces condamnées est plus instructive que le seul nom du produit : site persona.org, script JavaScript fourni aux sites, fournisseur d’identité de secours, passerelles et vérificateur hébergé. Mozilla a gardé le domaine afin qu’un tiers ne puisse pas récupérer le trafic de sites en retard, et annoncé la destruction des données détenues par son service. Le code ouvert pouvait rester disponible ; un dépôt de code ne répond pas à la place d’un vérificateur fermé.

Mozilla avait choisi de transmettre l’adresse e-mail aux sites plutôt qu’un identifiant opaque. C’était une vraie porte de sortie : un autre dispositif capable de vérifier la même adresse pouvait rattacher la personne au compte existant. Le guide suggérait, pour un site voulant des mots de passe locaux, une dernière authentification avec Persona, puis la création de ce mot de passe. Il citait aussi les liens de connexion par e-mail et une autre authentification déléguée.

Héberger soi-même toute la pile restait techniquement possible, mais Mozilla le déconseillait à la plupart des sites, compte tenu de sa complexité et de l’absence de futures mises à jour de sécurité par Mozilla.

La dernière connexion n’était donc pas un détail de calendrier. Tant que l’ancien dispositif répondait, le site pouvait relier une preuve valable à son compte. Après la fermeture, il lui fallait une nouvelle preuve ou une procédure de récupération. Aucun des documents consultés ne chiffre les comptes effectivement migrés ou perdus ; il faudrait les journaux de connexion et de migration des sites concernés pour le savoir.

Sources originales