La fin de l’ère du selfie : pourquoi l’IA générative exige une identité déterministe

Au cours de la dernière décennie, la vérification d’identité numérique (IDV) s’est appuyée sur un substitut visuel : scanner un permis de conduire physique, capturer une vidéo selfie, et espérer que la personne sur le scan et celle de la vidéo correspondent. Elle reproduisait suffisamment bien la poignée de main en présentiel, à une époque où les images étaient relativement fiables et où il n’existait pas encore d’alternatives.

Mais cette époque est bel et bien révolue. Les progrès de l’IA générative et la démocratisation des outils de deepfake ont fait disparaître la frontière de confiance autour des méthodes de vérification visuelle, transformant ce qui était autrefois un contrôle pertinent en une source de risque croissante.

Nous avons atteint la limite pratique de ce que l’IDV traditionnelle peut offrir. Le secteur est désormais engagé dans une véritable course à l’armement : les fraudeurs créent des faux de plus en plus convaincants, tandis que les fournisseurs réagissent en renforçant les contrôles de détection de preuve de vie, souvent plus intrusifs, ce qui accroît la friction sans rétablir la confiance.

La vérification d’identité traditionnelle est par nature probabiliste, elle procède par déduction. Des algorithmes automatisés tentent de déterminer si une image est authentique. Mais lorsque l’IA peut générer des « preuves » hyperréalistes en quelques millisecondes, se fier à l’intuition devient une stratégie de sécurité intenable. Le déploiement des permis de conduire mobiles (mDL) à travers les États-Unis offre une solution pour sortir complètement de cette course.

Dans cet article, nous expliquons pourquoi le secteur doit passer des vérifications visuelles probabilistes à la vérification cryptographique déterministe, non seulement pour contrer les nouveaux vecteurs d’attaque basés sur l’IA, mais aussi pour simplifier considérablement l’expérience utilisateur, et pourquoi les mDL, la solution à la grande majorité des attaques visant la vérification vidéo par selfie, représentent la technologie la plus performante pour la prochaine génération de systèmes d’identité numérique modernes.

Remarque : nous aborderons ce sujet en partant du principe que vous avez d’importants besoins en vérification d’identité et que vous souhaitez répondre aux exigences d’assurance de l’identité IAL2 du NIST, que nous considérons comme le seuil minimal pertinent pour les cas d’usage en ligne.

Rappel

Pour comprendre pourquoi les selfies sont inutiles pour les mDL, il faut d’abord saisir pourquoi les vérifications par selfie ont été introduites pour les pièces d’identité physiques.

Internet a évolué trop rapidement pour que les documents et systèmes d’identité civile puissent s’adapter. À mesure que nos vies sont passées en ligne, la nécessité de vérifier à distance s’est elle aussi accrue. En l’absence de justificatif numérique natif, les entreprises ont dû s’appuyer sur des documents conçus pour des interactions physiques en présentiel. Les premières approches demandaient simplement aux utilisateurs de charger une photo de leur permis de conduire physique. Mais il s’agit d’images statiques, faciles à copier, à modifier et à contrefaire. À l’ère de l’IA générative, créer un faux permis convaincant n’est pas seulement possible, c’est d’une facilité déconcertante.

Lancer les vérifications par selfie

Même lorsque les données provenant d’une image d’identité statique sont vérifiées auprès d’une base de données de référence, comme le service de vérification AAMVA DLDV, cela ne fait que confirmer que les données sont exactes et ont été délivrées par un DMV. Cela ne permet pas de confirmer que la personne présentant la pièce d’identité est bien celle à qui elle a été délivrée. Ces attaques sont bien réelles : des données de licence authentiques sont superposées sur des cartes vierges à côté d’une image sans rapport, puis utilisées pour réussir les contrôles de vérification. 

Pour combler cette lacune, le secteur a adopté la liaison biométrique au détenteur, plus connue sous le nom de « selfie check » ou « contrôle de vivacité » : si l’on vous a demandé de placer votre caméra face à votre visage, de bouger la tête de gauche à droite, de cligner des yeux, etc., il s’agit d’une capture biométrique visant à prouver que vous êtes bien la personne détentrice du justificatif d’identité présenté.

L’objectif était de lier un document statique à une personne réelle. Lorsque des documents physiques et analogiques sont utilisés en ligne, cette étape devient incontournable. Sans cela, les systèmes sont exposés à des attaques par présentation basiques : captures d’écran, rejeux et documents volés.

C’est ainsi que cela est devenu le modèle standard. Prenez une photo de votre permis de conduire (devant un fond à fort contraste, en veillant également à bénéficier d’un bon éclairage), puis effectuez une série de gestes en vidéo. Après toutes ces difficultés, la personne chargée de la vérification n’obtient toujours pas de réponse définitive, seulement un score de confiance. Ce n’est pas une réponse binaire, mais une probabilité. Et pour couronner le tout, la probabilité pourrait être trop faible et nécessiter malgré tout une méthode de vérification alternative.

Pourquoi les mDL se distinguent

Un permis de conduire mobile n’est pas une simple photo d’une carte sur un téléphone. Il s’agit d’un ensemble d’attributs vérifiables, encodés dans un document signé numériquement, ou identifiant numérique vérifiable, reposant sur une vaste bibliothèque de normes sectorielles. En termes simples : il s’agit d’une version numérique du permis de conduire physique délivré par le service des véhicules de votre État. Lorsque l’on compare les mDL aux pièces d’identité physiques, trois différences fondamentales apparaissent.

1. Signature de l’émetteur

Les pièces d’identité physiques aux États-Unis, qui ne comportent généralement pas d’éléments sécurisés intégrés, reposent sur des hologrammes et des fonctionnalités visibles sous lumière UV pour dissuader la contrefaçon. Les mDL reposent sur une cryptographie robuste. 

Chaque mDL comporte une signature numérique émise par l’autorité émettrice (par exemple, DMV pour les permis de conduire). Lorsqu’une partie utilisatrice reçoit les données, elle vérifie cette signature. Si même un seul bit a été modifié, la vérification échoue. Aucune supposition ni estimation n’est nécessaire, l'utilisateur sait de façon certaine que l’identifiant provient du DMV. En outre, la cryptographie fait en sorte qu’il soit pratiquement impossible de falsifier une mDL.

2. Possession (appairage de l’appareil)

La capacité pour un utilisateur ou une utilisatrice de prouver de manière cryptographique la possession d’une mDL est totalement inédite et fondamentalement différente de la présentation d’une pièce d’identité physique. Avec les documents physiques, la possession est implicite. Avec les mDL, c’est vérifiable.

Chaque mDL est liée à un élément cryptographique non extractible, stocké dans l’élément sécurisé de l’appareil. Les clés privées utilisées pour présenter l’identifiant ne peuvent pas être exportées, réutilisées ou même copiées sur un autre téléphone. La preuve de possession est appliquée au niveau matériel, ce qui en fait l’un des facteurs d’authentification les plus robustes actuellement disponibles. 

Ce n’est pas une heuristique. C’est un fait cryptographique. 

Remarque : les émetteurs appliquent activement la rareté. Par exemple, le Colorado limite strictement la délivrance des mDL à deux appareils actifs par personne résidant dans l’État. Vous ne pouvez pas « générer » ces identifiants de manière automatisée.

3. Activation de l’utilisateur (déverrouillage du portefeuille)

Dans le monde physique, la « liaison au détenteur » s’effectue visuellement : une personne compare la photo figurant sur la carte au visage de la personne présente devant elle. Dans le monde numérique, le wallet facilite la liaison au détenteur en authentifiant l’utilisateur au moment de l’utilisation, souvent grâce aux fonctionnalités biométriques de la plateforme. 

Ce processus, appelé activation de l’utilisateur, nécessite généralement une authentification au niveau de la plateforme, comme FaceID ou le déverrouillage par empreinte digitale. Le fait de déverrouiller le portefeuille permet d’accéder à la clé de signature du justificatif et autorise son utilisation pour une présentation spécifique. 

Parce que les mDL établissent une chaîne de possession cryptographique solide depuis l’émetteur jusqu’au terminal, puis jusqu’à l’utilisateur, l’autorité émettrice (par exemple, le DMV) fait confiance au portefeuille pour appliquer le lien avec le ou la titulaire en son nom.

• La présence de l’utilisateur est obligatoire. Une mDL ne peut pas être partagée discrètement ni rejouée en arrière-plan. L’utilisateur doit déverrouiller activement l’appareil ou le justificatif pour autoriser chaque présentation.
• La biométrie reste locale. La clé qui déverrouille le mDL — liée lors de l’émission — nécessite généralement le profil biométrique de la personne détentrice de l’appareil pour être déverrouillée. Aucune donnée biométrique n’est transmise à l’entité de confiance ni stockée par celle-ci.

Au minimum, le portefeuille a pour rôle d’authentifier l’utilisateur et de s’assurer de sa présence, ce qui constitue un avantage important en matière de confidentialité et de sécurité. Elle s’éloigne de l’authentification biométrique côté serveur, qui est fragile (la biométrie ne peut pas être révoquée), intrusive pour la vie privée (elle impose le stockage des données biométriques dans la base de données de l’entité de confiance) et constitue un immense vecteur d’attaque à distance évolutif (un attaquant peut obtenir les profils biométriques de tout le monde).

Le flux se présente ainsi :

Le DMV délivre l’identifiant au portefeuille → Le portefeuille protège la clé de signature de l’utilisateur ou de l’utilisatrice (également appelé·e titulaire de l’identifiant), qui est stockée dans une enclave sécurisée, protégée par l’authentification de la plateforme (généralement la biométrie) → L’utilisateur ou l’utilisatrice déverrouille la clé pour la présenter.

En résumé, la liaison au détenteur s’effectue désormais au niveau de l’appareil et de l’utilisateur, et non plus au niveau du partenaire de confiance. Le vérificateur n’a plus besoin d’effectuer de contrôles biométriques, car il fait confiance à l’émetteur — et, par extension, au wallet — pour avoir réalisé ces vérifications correctement.

L’évolution du SP 800-63-4 du NIST

NIST Special Publication 800-63-4 est rapidement devenue la référence de facto en matière d’identité, d’authentification et de fédération aux États-Unis. Plus qu’une simple checklist d’exigences, il offre un framework permettant de modéliser le risque lié à l’identité et le niveau de confiance sur l’ensemble du cycle de vie de l’utilisateur.

La révision 4, finalisée en juillet 2025, a apporté des évolutions significatives dans la manière dont les preuves d’identité sont évaluées, notamment en intégrant officiellement la prise en compte des permis de conduire numériques sur mobile. Les détails complets sont nombreux, mais une évolution est particulièrement importante : l’introduction d’une classification de preuve « Supérieure » permettant de prendre en charge la vérification d’identité IAL2 au niveau le plus élevé. Fait notable, dans ce framework, les mDL sont classés comme preuve supérieure, tandis que les documents d’identité physiques restent classés comme preuve « forte ».

Preuve forte (pièce d’identité physique)

Dans SP 800-63A-4, le NIST classe les documents d’identité physiques (comme les permis de conduire physiques) comme des preuves solides. Bien qu’ils soient fiables, ils restent fondamentalement statiques.

« Preuve qui… résiste raisonnablement à la falsification, mais dont le lien avec la personne abonnée peut être contrefait ou imité (par exemple, à l’aide d’une photocopie de haute qualité ou d’une injection vidéo). »

Comme les pièces d’identité physiques ne sont pas liées à leur détenteur de manière mathématiquement vérifiable (p. ex., il est possible de présenter une pièce d’identité volée), les parties de confiance doivent effectuer une comparaison biométrique supplémentaire, généralement une correspondance faciale et une vérification de la preuve de vie, afin d’associer ce justificatif à la personne qui le présente.

Preuve supérieure (mDL)

En revanche, le NIST classe les identifiants cryptographiques, en particulier ceux détenus dans des portefeuilles contrôlés par les personnes abonnées, comme les mDL, comme des preuves de niveau supérieur.

« Une preuve qui… contient une signature numérique ou un code d’authentification de message (MAC) appliqué aux données de la preuve, permettant de valider l’intégrité de la preuve… et qui est liée à un authentificateur détenu par la personne abonnée. »

La définition correspond directement au fonctionnement des mDL : 

• L’intégrité cryptographique est assurée par la signature numérique de l’émetteur
• La liaison au titulaire est appliquée à l’aide de clés liées à l’appareil
• La présence de l’utilisateur est exigée au moment de la présentation

Aucun rapprochement probabiliste. Aucune inspection visuelle. Pas de selfie.

Changement de modèle d’association

NIST SP 800-63A-4 (§ 4.2.6.2) précise que, pour une preuve supérieure, lorsque la vérification s’effectue via la voie numérique, l’activation de l’utilisateur ou de l’utilisatrice constitue en elle-même la preuve de possession et de contrôle.

• Pour les justificatifs d’identité physiques : vous avez besoin d’une liaison visuelle (contrôle par selfie).
• Pour les mDL : vous avez besoin d’un lien cryptographique activé par l’activation de l’utilisateur ou de l’utilisatrice (signature numérique et déverrouillage du portefeuille).

Visualiser l’évolution

La situation a évolué

En plus d’introduire la classification de preuve Supérieure, le NIST a également relevé le niveau d’exigence pour satisfaire au standard IAL2 avec la seule preuve Forte.

Selon la Révision 3 de la SP 800-63 (publiée en 2017), une seule preuve forte associée à une vérification par selfie suffisait pour répondre aux exigences de l’IAL2. La révision 4 reconnaît que ce modèle ne reflète plus le paysage des menaces actuel. 

Selon les nouvelles recommandations, le NIST exige désormais deux éléments de preuve de niveau Fort, ou un élément de preuve de niveau Fort et un de niveau Moyen, pour répondre à l’IAL2 en l’absence de preuve de niveau Supérieur.

L’implication est claire : si vous comptez encore sur une simple vérification d’identité par scan et une comparaison avec un selfie en pensant répondre à l’IAL2, ce n’est pas le cas. À compter d’août 2025, ce modèle montre ses limites. 

Même si des solutions provisoires verront probablement le jour — comme l’association de selfies à la vérification du numéro de téléphone — la voie la plus directe et la plus solide vers l’IAL2 reste l’utilisation des mDLs comme preuve supérieure.

Répondre aux préoccupations

Passer de la vérification de l’identité visuelle à la vérification cryptographique constitue un véritable changement de paradigme, et il est naturel d’éprouver du scepticisme. La réaction la plus fréquente est :

« Si les mDL n’impliquent pas de vérification par selfie, cela semble moins sécurisé. Je ne serais à l’aise à l’idée de les adopter qu’avec un selfie. »

Cependant, à la lumière des menaces actuelles (notamment la fraude alimentée par l’IA), les arguments en faveur du maintien du selfie s’effondrent rapidement.

1. Le mDL ne fait-il pas simplement passer la vérification par selfie du moment de la vérification à celui de l’émission ?

Oui, et c’est précisément là qu’est sa place. Il s’agit d’un passage du rapprochement probabiliste à l’assertion déterministe.

Lorsqu’un fournisseur demande aujourd’hui à un utilisateur ou une utilisatrice de prendre un selfie, il effectue une correspondance probabiliste avec la photo d’un document physique. Ce processus est particulièrement vulnérable aux « attaques par injection », dans lesquelles des images ou des flux vidéo générés par l’IA imitent un utilisateur en direct. Se prémunir contre ces attaques implique d’ajuster en permanence les algorithmes de détection du vivant, un jeu du chat et de la souris sans fin.

En revanche, le service des permis de conduire effectue la vérification biométrique une seule fois lors de la délivrance, en la comparant à un enregistrement biométrique de référence recueilli en personne lors d’une visite au service des permis de conduire.

Deux propriétés essentielles en découlent :

• Surface d’exposition réduite pour l’injection d’IA : Le DMV compare la personne à une biométrie de haute fidélité capturée en présentiel (sur un poste de travail spécialisé), et non à des images basse résolution téléchargées depuis un appareil non géré.
• La chaîne de confiance cryptographique : Lorsque vous vérifiez un mDL, vous ne vous contentez pas de « faire confiance » au fait que le DMV a bien accompli son travail. Vous vérifiez de manière cryptographique l’intégrité de cette vérification, en exploitant le résultat d’un événement d’association en présentiel à haut niveau de confiance, plutôt que d’essayer de reproduire un événement à faible niveau de confiance à distance.

La définition du NIST de la preuve supérieure exige explicitement que l’émetteur ait réalisé une étape de vérification d’identité en présentiel. Les workflows d’émission basés sur le portefeuille interviennent volontairement en aval de la visite sur place à niveau d’assurance élevé au DMV. 

Accepter un mDL ne revient pas à déléguer votre décision en matière de sécurité, c’est bénéficier du résultat de l’événement de vérification offrant le plus haut niveau d’assurance dans l’écosystème. Cela déplace la charge de sécurité vers le point où la friction est la plus forte et où la fidélité des données est maximale, c’est-à-dire l’émission, ce qui réduit considérablement la surface d’attaque pour toutes les autres personnes concernées. Il s’agit du passage d’un modèle transactionnel de l’identité à un modèle fondé sur les justificatifs.

2. Une photo d’identité n’est-elle pas encore utile dans une stratégie de défense multiniveau ?

La véritable défense en profondeur consiste à superposer des types de contrôles de sécurité distincts, et non simplement à empiler des contrôles redondants. La position du NIST est claire : la preuve cryptographique de possession et l’activation par l’utilisateur (déverrouillage du portefeuille) inhérentes aux mDL offrent une preuve « supérieure » par rapport au niveau de confiance apporté par une simple vérification visuelle par selfie.

Ajouter un selfie à un flux mDL n’augmente pas le niveau de confiance ; cela accroît surtout la friction. Les selfies ont été conçus pour empêcher une personne de présenter une carte physique volée, mais les mDL résolvent ce problème grâce à la vérification de l’utilisateur. Vous ne pouvez pas « présenter » ou afficher à distance le mDL d’une autre personne, car il est impossible de l’extraire de son appareil. De plus, les recommandations du NIST ont évolué précisément parce que les vérifications par selfie sont de plus en plus vulnérables aux attaques par injection d’IA générative. Ajouter un contrôle vulnérable à l’IA par-dessus un contrôle déjà sécurisé de manière cryptographique n'ajoute pas de sécurité.

Si vous craignez qu’un utilisateur légitime puisse transmettre la session à une personne malveillante immédiatement après la vérification, un selfie ne vous protégera pas : il s’agit d’un problème de sécurité de session , et non d’un problème de vérification d’identité. Pour résoudre ce problème, il faut recourir à la liaison de tokens (comme OAuth DPoP), et non à davantage de gestes vidéo.

3. Que se passe-t-il si les données biométriques de mon partenaire peuvent également déverrouiller mon téléphone ?

Cette question aborde le concept de « collusion intime ». Il existe une distinction importante entre la fraude criminelle à grande échelle et la délégation autorisée au niveau local. 

Les mDL éliminent la fraude à grande échelle (bot farms, attaquants à distance), car les identifiants ne peuvent pas être exploités en masse. Il reste donc les scénarios locaux : un conjoint ou un enfant qui connaît le code PIN de l’appareil ou dont le visage ou l’empreinte digitale est enregistré.

Pour de nombreux services concrets, la délégation d’autorité est courante et indispensable : un parent qui gère le portail de santé de son enfant, ou une personne adulte qui aide un membre âgé de sa famille à accéder à des services publics. Les systèmes « scan + selfie » hérités échouent souvent dans ces scénarios légitimes impliquant des personnes tutrices. 

La menace existentielle qui pèse aujourd’hui sur l’identité numérique ne réside pas dans une utilisation abusive locale ou ponctuelle. Il s’agit d’une fraude évolutive pilotée par l’IA : des fermes de bots créent des milliers d’identités synthétiques, et des attaques à distance reposent sur des deepfakes. Les mDL neutralisent directement cette menace, car les identifiants sont liés au matériel et ne peuvent pas être exportés.

Le scénario du « conjoint qui déverrouille le téléphone » correspond à un événement local, non reproductible à grande échelle, et la vérification par selfie n’apporte de toute façon que peu de protection contre ce type de situation. Une personne prête à déverrouiller son téléphone pour quelqu’un d’autre est tout aussi susceptible de le tenir d’abord pour prendre un selfie.

Si votre modèle de menace ne peut pas tolérer un tel niveau de collusion étroite, la seule solution consiste à recourir à une vérification présentielle supervisée, exigeant que l’utilisateur ou l’utilisatrice soit physiquement présent·e et encadré·e pendant toute la durée de la session.

4. D’accord, mais qu’en est-il de la collusion intime à caractère conflictuel ?

Si vous proposez un produit ou un service dans un environnement où la collusion intime à caractère hostile constitue un risque, vous savez que vous êtes concerné. Votre préoccupation est légitime et le secteur s’efforce de clarifier (1) le type de processus de vérification utilisé pour délivrer une mDL et (2) le type d’authentification locale effectué lorsque l’utilisateur a activé le justificatif dans son portefeuille. De cette façon, si vous exigez un facteur biométrique et qu’aucun n’est présent, vous pouvez effectuer des vérifications supplémentaires.

Il reste préférable d’effectuer la vérification biométrique localement sur l’appareil de l’utilisateur ou de l’utilisatrice (pour des raisons de confidentialité et de fluidité), et l’activation biométrique associée à une mDL constitue le mécanisme permettant d’y parvenir.

Le NIST travaille activement à renforcer la confiance dans l’écosystème mDL, notamment en élaborant un profil spécifique du SP 800-63A-4 pour la délivrance des mDL qui répond à ces préoccupations. Cela crée une base unifiée pour la sécurité sur l’ensemble de l’écosystème, de sorte que lorsque vous acceptez un mDL, la rigueur du processus d’émission réglementé vous est transmise de manière transitive au moment de la vérification, et que les signaux nécessaires sont présents pour alimenter votre moteur de politiques d’autorisation.

La voie à suivre est claire

Les permis de conduire mobiles ne sont pas de simples copies numériques des cartes physiques. Elles représentent une évolution architecturale majeure dans la manière de prouver l’identité. Nous passons d’un monde fondé sur l’approximation visuelle à un monde fondé sur la certitude cryptographique.

Le modèle « scan + selfie » a rempli sa mission, mais il a atteint ses limites techniques. L’IA générative a réduit la confiance que nous pouvons accorder aux preuves visuelles. Continuer à ajouter des vérifications visuelles par-dessus des identifiants numériques ne constitue pas une défense multiniveau, mais relève d’un modèle de sécurité hérité qui devient rapidement obsolète.

Conclusion 

La technologie permettant de contrer la fraude à l’identité moderne existe déjà et elle ne nécessite plus de caméra. C’est l’un des rares cas où une sécurité renforcée et une meilleure expérience utilisateur vont dans le même sens. Profitez-en.

Si vous préparez l’avenir de l’identité, la voie à suivre est claire, et Okta peut vous accompagner. Nous développons la plateforme permettant aux entreprises d’intégrer des identifiants numériques à haut niveau de confiance, vérifiables de manière cryptographique, directement dans leurs workflows d’identité.

• Fiez-vous aux mathématiques, pas à l’image : les signatures cryptographiques ne peuvent pas être contrefaites par des deepfakes. Les clés liées à l’appareil ne peuvent pas être injectées. 
• Adoptez la preuve supérieure : le NIST a clairement exprimé sa position. Les mDL classés comme preuve supérieure offrent, par conception, un niveau d’assurance plus élevé que les pièces d’identité physiques classées comme preuve forte.
• Réduire les frictions sans compromettre la sécurité : Supprimer la prise de selfie élimine l’une des étapes les plus contraignantes de la vérification d’identité, ce qui améliore les taux de conversion et réduit les contrôles manuels sans nuire à la sécurité.

La prise en charge des mDL dans vos workflows de vérification d’identité ne crée aucune faille de sécurité. Elle en referme une. Vous remplacez un processus basé sur l’image, fragile, probabiliste et source de nombreuses frictions, par une interaction fluide reposant sur une preuve cryptographique.

Pour en savoir plus sur la façon dont Okta accompagne cette évolution, explorez notre version bêta d’Okta Digital ID Verification et découvrez comment une identité déterministe et cryptographique peut s’intégrer à votre architecture existante.

Vous en voulez plus ? Tester les VDC dans des conditions réelles grâce à une démo interactive accessible directement depuis votre téléphone.