Pour les solutions low tech, contre les blockchains inutiles

La blockchain, ça ne sert souvent à rien mais c'est à la mode. Le SQL, en revanche, c'est très efficace mais ce n'est pas à la mode. Pour générer des certificats de diplômes, en particulier, la blockchain est inutile. À l'Université de Lille, on a un peu de mal à l'accepter...

Droit de réponse

Samedi 13 janvier, j'ai reçu un avis de passage du facteur et je suis allé chercher le courrier à la Poste aujourd'hui, lundi 15. La société BCDiploma demande un droit de réponse et pour me le faire savoir, elle utilise un dispositif assurant la confiance de basse intensité technologique : le courrier recommandé avec avis de réception. Voilà le courrier en question. Évidemment, je publie leur réponse avec plaisir, le débat est ouvert. Je remarque avec amusement que Luc Jarry-Lacombe, président de BCDiploma, a choisi La Poste et la Loi française pour défendre les intérêts de son entreprise. Comme quoi, le bon sens a de l'avenir... Ci-dessous, le texte que BCDiploma souhaite publier.

BCdiploma, solution de diplômes et attestations numériques, partenaire de l'Université de Lille dans les projets Dem-Attest et EBSI-VECTOR, dénonce la validité du raisonnement présenté sur cette page. La qualification gadget technologique est fausse. Le projet a permis l'automatisation de l'envoi et de la vérification des attestations de diplômes, avec des gains avérés pour les équipes de l'Université et les étudiants : 70% des étudiants trouvent l'attestation utile pour une candidature, 29% l'ont utilisée et 66% sont fiers de cette innovation (enquête 2023 - 2000 étudiants). Le fait que toute page web puisse être recopiée sur un autre domaine web est une banalité appelée phishing, utilisée pour des escroqueries. Cela ne prouve pas que la blockchain est inutile pour sécuriser une page officielle. Pour être valide, une attestation émise par l'Université de Lille doit être consultée sur une adresse "diplome-certificat.univ-lille.fr". Ce critère est accessible à tous sur le site de l'Université et sur la blockchain, permettant une vérification immédiate et automatisée. La sécurité des données affichées est assurée par la blockchain. La méthode de stockage long terme, à valeur probante, respectueuse du RGPD, apportant une réponse opérationnelle à grande échelle aux universités, est brevetée (US20200099511A1). L'usage des dernières générations de blockchain garantit un impact énergétique faible et un stockage long terme écologiquement responsable. La blockchain permet la mise à disposition d'attestations de diplômes à valeur probante, consultables à la demande 24/7 pendant de nombreuses années. Affirmer qu'un développement informatique rapide pourrait assurer ce service se heurte à la réalité de l'absence de solution de ce type déployée à grande échelle à ce jour. Pour réfléchir de façon documentée aux questions soulevées par cette page, une FAQ est accessible ici : https://www.bcdiploma.com/fr/faqBcdiploma.

Cette réponse est intéressante à plus d'un titre.

D'abord, BCDiploma affirme que le raisonnement est invalide parce qu'il s'agit en fait de phishing. Or, il se trouve que le raisonnement que je présente ci-dessous affirme justement que la blockchain ne permet pas de lutter contre le phishing. Si une personne souhaite vérifier la validité d'un diplôme, par exemple un recruteur ou une recruteuse, la blockchain ne l'aide pas, il faut passer par un validateur qui est un service Web fourni par BCDiploma. Ainsi, BCDiploma, une petite entreprise privée, devient de facto le tiers de confiance d'une Université française. Et ce que permet la blockchain dans ce cas, ce n'est pas de faciliter la vérification de l'authenticité des diplômes, mais d'empêcher l'Université de falsifier ses propres diplômes. Est-ce bien utile ?

Passons sur l'automatisation, qui n'a rien à voir avec la blockchain puisque c'est la propriété d'un système informatique que d'automatiser. D'ailleurs, l'auteur le sait bien, puisqu'il écrit que "Le projet a permis l'automatisation". Ce projet a certainement plein d'effets bénéfiques, je ne critique que l'usage de la blockchain dans ce contexte.

Passons aussi sur la satisfaction, même si je suis bien content qu'ils et elles soient contentes.

L'argument développé ensuite est précisément celui que je défends, la confiance s'appuie sur le nom de domaine.

Suit une mention du brevet US20200099511A1, déposé aux USA en 2018 et étendu en 2019 au Canada, à Singapour, à la Chine, à la Corée du Sud, à Israël, à l'Espagne, à l'Europe (EPO) et à l'international (WIPO PCT) par Luc Jarry-Lacombe et Vincent Langard. L'étendue du dépôt montre, d'une part, qu'il n'est pas question pour l'entreprise de libérer la technologie en open source pour l'intérêt général, comme l'avait fait Volvo pour la ceinture de sécurité, et d'autre part que ses ambitions ne sont pas limitées à la France, ni même à l'Europe.

La phrase suivante fait la promotion de la qualité écologique de cette blockchain, ce qui est certainement juste si on la compare à d'autres blockchains.

Enfin, le "coup de grâce" de ce droit de réponse, c'est que d'après BCDiploma, il n'existe pas de solution de ce type déployée à grande échelle. Cela me permet donc de citer l'annuaire des entreprises de data.gouv, qui référence toutes les entreprises françaises et sert de tiers de confiance pour un tout petit peu plus que les 56.000 diplômes intégrés dans la blockchain de BCDiploma... En effet, l'annuaire référence toutes les entreprises ayant existé depuis la création du fichier SIRENE en 1973. Les données sont disponibles en open data et le fichier "StockEtablissementHistorique.csv" compte 84 millions d'entrées au 1er janvier 2024. L'application front est développée en Next.js par 19 contributeurs et contributrices, sous licence MIT, et le code est disponible sur github.com/etalab/annuaire-entreprises-site. Cette application interroge une API qui est développée en Python par 3 contributeurs, dont le code est disponible sur github.com/etalab/annuaire-entreprises-search-api et qui s'appuie, pour le traitement des données, sur ElasticSearch. ElasticSearch est une solution sous Server Side Public License, qui s'appuie sur Apache Lucene, un logiciel libre dont le développement a commencé en 1999.

Il existe donc une solution assurant la confiance, à valeur probante, déployée à très grande échelle, consultable à la demande 24/7 pendant de nombreuses années, respectueuse du RGPD. Cette solution s'appuie sur des technologies relativement simples (certes, pas du SQL), sous licence libre, et utilise des données ouvertes.

BCDiploma est une petite entreprise (6 à 9 salariés en 2021) privée, immatriculée en 2017, qui ne publie pas ses comptes. A contrario, cela fait 50 ans que les données SIRENE sont administrées par l'État. Après un regrettable passage en concession de service public à la corporation des greffiers, puis à l'entreprise privée Infogreffe, cela fait 3 ans que la startup d'État "L’Annuaire des Entreprises" a démarré, et le service numérique fonctionne depuis plus d'un an. Tous les coûts sont transparents, et l'on apprend avec intérêt que l'hébergement a coûté 3000 € en 2023. Pour comprendre l'importance de la rente que peut représenter l'appropriation par une entreprise privée de ce type de service, Infogreffe faisait un chiffre d'affaires de 60,9 millions d’euros en 2017, quand le service est rendu en 2023 pour 590 000 €, avec une équipe de 9 personnes. Alors, entre une startup d'État qui utilise de l'argent public pour créer des solutions libres et ouvertes, et BCDiploma, ma préférence est claire. Une solution a fait ses preuves, l'autre pas. Une solution est publique, l'autre pas. Une solution sert l'intérêt général, l'autre pas.

J'en profite pour témoigner mon admiration et ma gratitude à l'équipe Etalab et à la DINUM, qui donnent corps avec intelligence et efficacité à un numérique d'intérêt général, porté par l'État français. Bravo et merci !

Expérimenter

Voir un non-certificat Créer un non-certificat

Le contexte

Le 19 décembre 2023, Perrine de Coëtlogon, Open Education & Digital Identity Officer chez Open Education Global, publie sur le réseau LinkedIn le post suivant, avec un lien vers un communiqué de presse.

Dans les commentaires, je me suis attristé à l'idée que de l'argent public soit dépensé pour mettre en place une solution à base de blockchain afin que des Universités puissent partager des diplômes certifiés.

Ça me laisse rêveur d’imaginer qu’une Université et un État puissent ressentir le besoin de déployer une technologie de blockchain pour attester des diplômes et certificats délivrés. C’est un immense gâchis financier et écologique. Le technosolutionnisme stimulé par les appels à projets est un énorme problème, qui fait d’énormes dégâts à l’Université et ailleurs.

Le propos semble difficile à comprendre techniquement, et à accepter. Ce démonstrateur a pour objectif de le rendre aussi clair que possible.

Le problème

La blockchain est une solution technique permettant, en théorie, de créer de la confiance dans un contexte de défiance généralisé. Mais dans la pratique, la blockchain ne permet pas de créer cette confiance, elle est uniquement mise en œuvre pour obtenir des subventions publiques et des fonds privés. Observons de façon concrète le système présenté comme moderne, permettant d'assurer le caractère authentique des documents.

Dans cette première étape, il s'agit simplement d'une page Web, sur le domaine "diplome-certificat.univ-lille.fr".

Quand on clique sur "Preuves", un volet s'ouvre et nous indique que le certificat est valide, et fournit des liens vers des adresses blockchain permettant, en principe, de le vérifier. Est-ce convaincant ?

Pas vraiment... Quand on clique sur le premier lien de ces supposées preuves, l'adresse blockchain avec un token (la longue chaîne de caractères), l'interface ne permet pas de vérifier quoi que ce soit sans être développeur ou développeuse.

Le démonstrateur

L'application Web sur laquelle vous lisez ce texte a été développée en 2 heures le 21 décembre 2023. Elle s'appuie sur une base PostgreSQL avec une seule table. Le code HTML, CSS et JS du diplôme "sécurisé" a été simplement copié-collé. Les textes ont été changés afin de se connecter aux données de la base et mentionner qu'il s'agit d'un non-certificat. Il ne s'agirait pas que des personnes naïves prennent ce démonstrateur pour un vrai diplôme de l'Université de Lille. L'application tourne sur un conteneur Web taille "S" chez Scalingo, avec une base de données PostgreSQL gratuite limitée à 256 Mo. Tout est hébergé en France. C'est une application absolument basique, qui ne coûte quasiment rien à fabriquer ou à faire tourner. La gestion de l'échelle imposerait bien sûr une infrastructure plus grosse, mais Scalingo (ou un autre prestataire d'hébergement) pourrait assurer cela simplement.

Dans cette première étape, la page Web ressemble en tous points à l'original, avec les mêmes "garanties d'authenticité". Seul le texte est modifié par mes soins afin d'éviter l'utilisation de faux diplômes.

Post-scriptum : À la demande de l'Université de Lille, les non-certificats générés avec ce démonstrateur n'utilisent plus le logo de l'Université, le nom du Président ni sa signature. Il va sans dire (donc mieux en le disant) que ces non-certificats sont des blagues, visant à démontrer une architecture technique absurde.

Quand on clique sur "Preuves", le volet est absolument identique. Rassurez-vous, bonnes gens, le certificat est valide, la blockchain l'atteste ! Sauf que c'est totalement faux.

Quand on clique sur les supposées preuves, l'interface ne permet toujours pas de vérifier quoi que ce soit sans être développeur ou développeuse. La blockchain est inutile au grand public, elle n'a pas permis de démasquer le faux certificat.

La solution

La confiance, dans ce contexte, provient de deux mécanismes : l'État et les noms de domaines. L'État, parce que c'est la base de la loi. Les noms de domaines, parce qu'ils permettent de s'assurer de l'identité d'une personne. L'Université de Lille le sait très bien, comme on le voit dans la capture d'écran ci-dessous, issue de la page détaillant la diplomation. Le nom de domaine "diplome-certificat.univ-lille.fr" est le premier critère d'authenticité. En fait, c'est même le seul accessible à des néophytes.

Les Universités n'ont pas besoin de gadgets technologiques pour être des tiers de confiance. Il suffit de s'appuyer sur leur nom de domaine. Cela permet de déployer des solutions de (relativement) basse intensité technologique.

Et après ?

Il serait bon d'arrêter de financer tous ces projets inutiles sur de la blockchain, ça ne rime à rien dans la plupart des cas. En revanche, augmenter les budgets des Universités et financer une recherche libre serait extrêmement souhaitable. Ainsi que démarrer la discussion démocratique sur la technique qui permettrait de faire atterrir le numérique, à l'Université comme ailleurs, en dénumérisant.

En savoir plus

Arnaud Levy

Co-fondateur de la coopérative noesya, développeur. Maître de conférences associé et directeur des études du Bachelor Universitaire de Technologie (BUT) Métiers du Multimédia et de l'Internet (MMI) à l'Université Bordeaux Montaigne. Chercheur associé au laboratoire de recherche MICA. Référent Approche par Compétences (APC) auprès de l’ADIUT.