Le comité judiciaire du Sénat a tenu une audience sur le chiffrement et « l'accès légal » aux dispositifs chiffrés, une situation dans laquelle les fournisseurs de chiffrement peuvent en quelque sorte permettre aux forces de l'ordre d'accéder aux données chiffrées des utilisateurs tout en empêchant aux « acteurs malveillants » d'accéder à ces mêmes données.De nombreux membres du comité semblaient arrivés à l'audience, convaincus qu'ils pouvaient légiférer sur les portes dérobées sécurisées. Entre autres, les sénateurs Graham et Feinstein ont déclaré aux représentants d'Apple et de Facebook qu'ils avaient la responsabilité de trouver une solution pour permettre au gouvernement d'accéder aux données chiffrées. Parlant des portes dérobées sûres, le sénateur Graham a déclaré : « je vous conseille de vous y mettre, car l'année prochaine à la même période, si nous n'avons pas trouvé un moyen [d'accéder aux données] qui vous arrange, nous vous imposerons notre volonté ».
Mais lorsqu'il s'agissait d'interroger des témoins, les sénateurs ont eu du mal à établir la nécessité ou la faisabilité d'un accès général des forces de l'ordre aux données chiffrées. Comme les témoins l'ont souligné, même une discussion de base sur le chiffrement nécessite de faire la différence entre le chiffrement des données sur un smartphone, également appelé « chiffrement au repos», et le cryptage de bout en bout des conversations privées, par exemple.
L'Electronic Frontier Foundation (EFF), une association de défense des droits numériques, a relevé certains éléments qui décrédibilisent le futur apocalyptique dans lequel le monde serait plongé si les forces de l'ordre n'avaient pas un accès privilégié aux données protégées par des dispositifs :
- Un téléphone qui ne peut pas être piraté, cela n'existe pas : le premier témoin était le procureur de district de Manhattan, Cyrus Vance, Jr., qui a appelé Apple et Google à retirer le chiffrement de leurs systèmes d'exploitation mobiles. Pourtant, selon ses propres statistiques, le bureau du procureur est en mesure d'accéder au contenu de la majorité des appareils qu'il rencontre chaque année dans ses enquêtes. Même pour les téléphones verrouillés et chiffrés, Vance a indiqué que la moitié était accessible à l'aide d'outils ou de services internes ou provenant de fournisseurs externes. Bien qu'il ait souligné à la fois le coût élevé et l'incertitude de ces outils, il n'en demeure pas moins que le chiffrement des appareils est loin d'être un obstacle insurmontable pour les forces de l'ordre.
D'ailleurs, le fait que le FBI a considérablement réduit sa propre estimation des téléphones « non piratables » en 2017 est une illustration du fait que le niveau de sécurité de ces appareils n'est pas statique. Même si Apple et Google corrigent des vulnérabilités qui pourraient permettre un accès au système, des fournisseurs comme Cellebrite et Grayshift découvrent de nouveaux moyens de contourner les fonctions de sécurité dans les systèmes d'exploitation mobiles. Bien sûr, aucune technique d'enquête ne sera complètement efficace, c'est pourquoi les forces de l'ordre s'emploient à se servir de tous les moyens mis à leur disposition. Le coût des outils ou services en provenance de fournisseurs externes peut être une préoccupation, mais ces outils ou services font clairement partie d'une variété d'outils utilisés par les forces de l'ordre pour mener à bien les enquêtes dans un monde où le chiffrement est répandu. - Un accès légal aux téléphones chiffrés constitue un retour vers un passé peu glorieux : tandis que Vance se concentrait sur le coût des outils de fournisseurs externes pour accéder aux téléphones chiffrés, il a occulté à plusieurs reprises la raison pour laquelle des entreprises comme Apple ont commencé à chiffrer entièrement leurs appareils en premier lieu. Dans un colloque avec le sénateur Mike Lee, le responsable de la confidentialité des utilisateurs d'Apple, Erik Neuenschwander, a expliqué que l'introduction par la société du chiffrement intégral du disque dans iOS en 2014 était une réponse aux menaces de pirates informatiques et de criminels qui pourraient autrement accéder à une multitude de données sensibles et non chiffrées sur les téléphones des utilisateurs. Sur ce point, Neuenschwander a expliqué que Vance était simplement mal informé : Apple n'a jamais détenu de clé capable de déchiffrer les données chiffrées sur les téléphones des utilisateurs.
Neuenschwander a expliqué qu'il ne pouvait penser qu'à deux approches pour répondre à l'appel de Vance pour un accès légal, qui augmenteraient considérablement les risques pour les consommateurs. Soit Apple pourrait simplement annuler le chiffrement sur ses appareils, laissant les utilisateurs exposés à des menaces de plus en plus sophistiquées d'acteurs malveillants, soit Apple pourrait essayer de concevoir un système où il détiendrait une clé principale pour chaque iPhone du monde. En ce qui concerne la deuxième approche, Neuenschwander a déclaré « en tant que technologue, je suis extrêmement effrayé par les propriétés de sécurité d'un tel système ». Sa crainte est bien fondée ; des années de recherche par des technologues et des cryptographes confirment que le séquestre clé et les systèmes connexes sont très précaires à l'échelle et la complexité de l'écosystème mobile d'Apple. - Le chiffrement de bout en bout n'est pas prêt de disparaître : enfin, malgré la rhétorique passionnée dirigée par le procureur général Barr et d'autres personnes sur le chiffrement de bout en bout dans les applications de messagerie, le comité a trouvé peu de consensus. Vance et le professeur Matt Tait ont tous deux suggéré qu'ils ne pensaient pas que le Congrès devrait imposer des portes dérobées dans les plateformes de messagerie chiffrées de bout en bout. Pendant ce temps, les sénateurs Coons, Cornyn et d'autres ont exprimé leur inquiétude selon laquelle cela ne ferait que pousser les acteurs malveillants vers des applications hébergées en dehors des États-Unis, et aiderait également les États autoritaires qui souhaitent espionner les utilisateurs de Facebook à l'intérieur de leurs propres frontières. Le directeur de Facebook pour la confidentialité des messages, Jay Sullivan, a expliqué comment l'entreprise éliminerait les abus sur ses plateformes tout en supprimant sa propre capacité à lire les messages des utilisateurs.
L'EFF espère que le Congrès va réaliser qu'imposer des portes dérobées serait une très mauvaise idée. En attendant la fin des débats, Facebook a déclaré qu'il n'affaiblirait pas le chiffrement de bout en bout dans ses applications de messagerie, malgré la pression des gouvernements mondiaux. « Il est tout simplement impossible de créer une telle porte dérobée dans un seul but et de ne pas s'attendre à ce que d'autres essaient de l'ouvrir », ont écrit Will Cathcart, responsable de WhatsApp, et Stan Chudnovsky, responsable de Messenger, dans la réponse de Facebook. « Les messages privés des gens seraient moins sûrs et les vrais gagnants seraient ceux qui chercheraient à profiter de cette sécurité affaiblie. Ce n'est pas quelque chose que nous sommes prêts à faire ».
« Nous pouvons être certains que si nous construisons une porte dérobée pour le gouvernement américain, d'autres gouvernements, y compris les régimes répressifs et autoritaires du monde entier, exigeront l'accès ou tenteront de l'obtenir clandestinement, notamment pour persécuter les dissidents, les journalistes et leurs opposants politiques », estime Facebook. « Préserver l'importance des valeurs américaines en ligne nécessite de solides protections de la vie privée et de la sécurité, y compris un chiffrement fort ».
Source : EFF
Voir aussi :
Un rapport de l'EFF révèle comment les trackers de données personnelles de la Big Tech se cachent dans les médias sociaux et les sites Web et attaquent la vie privée des utilisateurs à chaque clic Directive copyright : la version finale est enfin prête. L'EFF explique comment les entreprises US pourraient en profiter, pour écraser la concurrence EFF : la directive sur le copyright est une catastrophe pour la liberté d'expression et la concurrence, l'ONG appelle les Européens à se mobiliser 
