Google publie en open source sa technologie de « zero-knowledge proof » (ZKP)

• Le Zero-Knowledge Proof (ZKP) est une technique cryptographique qui permet de prouver un fait précis (par ex. avoir plus de 18 ans) sans exposer d’informations personnelles
• Cette technologie devrait accélérer la mise en œuvre des services de nouvelle génération liés à l’authentification d’identité et à la protection de la vie privée, notamment le portefeuille d’identité numérique de l’Union européenne (EUDI Wallet)
• Développeurs, entreprises et chercheurs peuvent tous l’utiliser librement, ce qui devrait grandement aider à construire des services renforçant la confidentialité dans les secteurs public et privé
• Google espère qu’avec cet open source autour du ZKP, tout le monde pourra progresser vers un écosystème numérique plus sûr

---

Now open source: our Zero-Knowledge Proof (ZKP) libraries for age assurance

• Google a publié en open source plusieurs bibliothèques majeures liées au Zero-Knowledge Proof (ZKP)
  • Disponibles sur GitHub - Longfellow ZK
  • Elles posent les bases du support de la vérification de l’âge dans l’UE

Qu’est-ce que le Zero-Knowledge Proof ?

• Le ZKP est un algorithme moderne fondé sur la protection de la vie privée, qui permet à l’utilisateur de prouver un fait sans révéler directement ses informations personnelles
  • Exemple : lorsqu’un utilisateur visite un site web, il peut prouver qu’il a plus de 18 ans sans divulguer des informations précises comme son âge exact ou son identité
• Les bibliothèques fournies par Google sont conçues pour résoudre des cas d’usage concrets, comme la vérification d’âge (assurance), avec un fort potentiel pour les services soumis à des restrictions d’âge, comme les jeux en ligne, la finance ou les communautés

Sens et effets attendus de la publication en open source

• Le passage du ZKP en open source apporte des bénéfices à différentes parties prenantes
  • Utilisateurs web et mobiles : ils peuvent évoluer dans un environnement numérique plus sûr et davantage centré sur la vie privée
  • Entreprises et fournisseurs de services : ils peuvent s’appuyer sur une solution open source pour répondre aux exigences de confidentialité et renforcer la confiance
  • Développeurs : le code source ZKP facilite le développement de diverses applications et services centrés sur la confidentialité
  • Chercheurs : ils peuvent étudier et expérimenter de nouveaux cas d’usage à partir d’implémentations ZKP efficaces et plus performantes
• La technologie peut être appliquée à de nombreux domaines, comme l’identité numérique, la vérification de l’âge ou la validation du consentement légal

Lien avec la réglementation européenne et le portefeuille d’identité numérique

• Le règlement européen eIDAS, qui entrera en application à partir de 2026, encourage chaque État membre à intégrer des technologies renforçant la confidentialité dans son système d’identité numérique (EUDI Wallet)
• La publication en open source du ZKP par Google aidera les États membres à intégrer rapidement cette technologie dans l’EUDI Wallet

La vision de Google

• Google affirme vouloir contribuer, grâce à cette publication en open source, à un environnement où tous les acteurs de l’écosystème numérique bénéficient d’un cadre plus sûr et plus respectueux de la vie privée

[GN⁺]

Avis Hacker News

• Je cherche une explication intuitive des preuves à divulgation nulle de connaissance non interactives (non-interactive zero-knowledge proofs). Comme l’analogie du « mélange de peinture » pour l’échange de clés Diffie-Hellman, j’aurais besoin d’une explication qui rende ces techniques mathématiques plus concrètes. Il existe de bonnes ressources d’introduction sur les ZKP interactives, mais je n’ai pas encore trouvé l’équivalent pour les non interactives. J’ai aussi lu un billet de blog comparant les ZK-STARKs à l’erasure coding, mais cela ne m’a toujours pas vraiment parlé
  • On peut l’expliquer comme une manière de prouver qu’on sait où se trouve Waldo sans révéler sa position exacte. Un wallet numérique construit la structure de signature non pas avec une clé publique, mais avec un « commitment C » émis par un tiers. Une preuve non interactive peut être réalisée via la transformation de Fiat-Shamir. Par exemple, on peut partir d’une simple range proof montrant qu’une valeur binaire vaut 0 ou 1, puis étendre cela à des plages sur plusieurs bits. Grâce aux Bulletproofs, la taille des preuves peut être fortement réduite, ce qui améliore leur viabilité pratique. En revanche, si le même commitment est réutilisé plusieurs fois, il peut devenir un identifiant traçable et poser un problème de confidentialité
  • L’exemple de la « grotte d’Ali Baba » sur Wikipedia a été décisif pour m’aider à comprendre le concept de preuve à divulgation nulle de connaissance lien
  • Si vous cherchez un exemple intuitif au niveau « pots de peinture », je recommande l’explication « crayons and hats » de Matthew Green, très accessible lien
  • Il existe une vidéo d’introduction aux preuves à divulgation nulle de connaissance réalisée par mon collègue Amit avec Wired. Elle n’entre pas dans le fonctionnement concret en détail, mais c’est un bon point de départ vidéo
  • Si STARKS et SNARKS sont puissants, c’est grâce aux propriétés des polynômes. Le lemme de Schwartz-Zippel permet de distinguer facilement des polynômes différents avec seulement quelques échantillons aléatoires. C’est ce qui fait le lien avec la comparaison aux erasure codes. Le passage au non interactif via Fiat-Shamir simule aussi un dialogue challenge-réponse, et le principe lui-même reste intuitif. Il est également remarquable qu’on puisse obtenir des preuves extrêmement courtes, comme avec les zk snarks de type Groth16. Cela repose sur une théorie mathématique avancée liée aux fonctions de pairing sur courbes elliptiques
• La vérification de l’âge semble appelée à devenir la porte d’entrée d’une autorisation d’utiliser Internet délivrée par l’État, et par les entreprises agissant comme ses mandataires
  • En Ouganda, un système fiscal facture automatiquement l’accès aux réseaux sociaux depuis 2018. C’est de l’ordre de 2,7 centimes par jour, et tous les internautes se connectent via des ISP contrôlés par l’État. Combiné à une tarification à l’usage, un système de permis d’accès à Internet n’a donc rien de techniquement difficile. Une telle infrastructure fiscale permet naturellement de relier un utilisateur et sa connexion Internet en 1:1 article
  • Si on y ajoute une garantie d’unicité, on pourra vraiment confirmer qu’Internet est un espace vivant, sans même relancer le débat sur sa « mort »
  • Ce type de système ressemble en pratique davantage à un outil de construction d’un régime mêlant incompétence au pouvoir et techno-féodalisme (kakistocracy-technofeudalism)
  • C’est vrai, mais je pense aussi qu’il y a bien un problème dans le fait qu’un enfant de 10 ans puisse ouvrir un navigateur et tomber immédiatement sur des contenus inappropriés. Il est difficile d’attendre du seul secteur pornographique qu’il propose une alternative réaliste par autorégulation
• Je me demande si le rapport final et les documents liés aux failles de sécurité (CVE) seront rendus publics, et si un système d’audit par des tiers sera mis en place à l’avenir pour renforcer la confiance
• Les preuves à divulgation nulle de connaissance pourraient permettre un monde où toutes sortes de vérifications seraient possibles sans surpartage de données personnelles, notamment pour mieux protéger des informations sensibles comme le numéro de sécurité sociale (SSN)
• Je m’interroge sur la manière d’empêcher les acteurs malveillants. Par exemple, ne pourrait-on pas contourner le système en achetant un laptop ou un téléphone contenant une clé privée autorisée, en téléchargeant un fichier de clé privée divulgué, ou en utilisant un VPN pour contourner les restrictions juridiques ?
  • Les justificatifs d’identité comme le permis de conduire contiennent une clé publique, tandis que la véritable clé secrète est stockée dans le secure element du téléphone. Acheter le téléphone ne suffit donc pas à s’authentifier avec la seule clé privée. Il faut à la fois le téléphone et la clé privée. Comme le système repose aussi sur une authentification biométrique telle que l’empreinte digitale, ce n’est pas simple si la délivrance se fait physiquement à un guichet officiel
  • En réalité, ce type de mesure technique est essentiellement un outil de contrôle des citoyens ordinaires et obéissants. Les 0,1 % du haut et les 20 % du bas restent, par principe, impossibles à contrôler. À l’avenir, l’accès à Internet pourrait n’être possible qu’avec des certificats signés adossés à du PII/KYC ; la Chine pousse déjà dans cette direction, et l’Occident suit le même chemin
• Pour les logiciels critiques, il est plus sain de ne pas dépendre de Google
  • Heureusement que c’est open source
• J’étais assez furieux quand David Chaum a verrouillé l’innovation autour des preuves à divulgation nulle de connaissance avec des brevets. L’équipe DigiCash faisait partie des plus cupides de la bulle Internet, et voulait prélever de l’argent sur chaque transaction, ce que le marché n’a pas accepté. Il existait aussi des techniques de micro-paiement rapide et peu coûteux fondées sur le caractère à sens unique du hash MD5, comme l’idée des « micro-cents » d’Andy Birrell, mais c’est dommage que cela n’ait jamais vraiment abouti dans la pratique. J’aimerais voir enfin se concrétiser les cartes d’identité, monnaies et autres objets basés sur les ZKP qu’on imaginait dans les années 1990. Si une monnaie numérique hors ligne impossible à dépenser deux fois avait été réalisable, on comprendrait aussi pourquoi les gouvernements s’y seraient fermement opposés. J’aimerais réessayer aujourd’hui les vieilles idées de ZKP sur la base des technologies actuelles
  • Mais j’hésite face au fait que cette technologie finisse par imposer le traitement des données personnelles par des Big Tech comme Apple, Google ou Microsoft. J’aime bien des solutions comme les passkeys, mais je regrette que le secteur ne sache pas les exploiter correctement. La clé privée de l’utilisateur doit être liée au matériel de sécurité de l’appareil, ce qui crée en pratique une dépendance aux Big Tech
  • Comme projet déjà en cours, je recommande Paygo. Des informations sont aussi partagées sur Twitter
• Les ZKP constituent une bonne solution pour l’identité décentralisée. Avec des wallets d’identité, on peut imaginer une extension à divers domaines, comme des services démocratiques reposant uniquement sur le minimum d’informations personnelles nécessaire, par exemple l’appartenance à un parti, la région ou l’âge. J’apprécie aussi que le comité de politique publique pousse une innovation au niveau protocolaire pour la première fois depuis l’ISDN
• Il existe des cas où de grands sites pornographiques en France et aux États-Unis ont bloqué l’accès par crainte que des règles excessives de vérification de l’âge ne dégradent l’expérience utilisateur et la confidentialité, avant de rétablir le service après un assouplissement réglementaire. La discussion est donc très directement liée à cette situation
• C’est une architecture très intéressante qui combine la multi-show unlinkability et le hardware binding à partir de clés matérielles ECDSA existantes ; elle pourrait servir non seulement à la vérification de l’âge, mais aussi à diverses preuves d’attributs. Cela dit, c’est bien plus complexe que des solutions existantes comme Idemix ou BBS+, donc très peu de gens la comprendront réellement. Il existe aussi diverses tentatives de protection de la vie privée, comme des techniques qui limitent le nombre de fois où un attribut personnel peut être réexposé afin d’équilibrer anonymat et identifiabilité. Mais il est impossible d’empêcher totalement les contournements. En pratique, il faut reconnaître que l’authentification n’est qu’une barrière destinée à décourager les utilisateurs naïfs ; si l’attente d’une prévention parfaite est trop élevée, la première faille de sécurité risque d’enterrer rapidement cette approche open source de la protection de la vie privée document technique 1, document technique 2
  • Au contraire, notre solution peut être comprise par des étudiants de premier cycle. En revanche, les pairings bilinéaires de BBS sont si complexes que très peu de gens les maîtrisent vraiment