Des lois au Royaume-Uni et en Europe ont été proposées qui donneraient aux autorités le pouvoir de saper le chiffrement fort de bout en bout au prétexte de la poursuite de la justice. Si elles étaient adoptées, ces règles autoriseraient, selon un expert britannique en sécurité informatique, la lecture et l'analyse des communications précédemment privées des personnes dans le but d'empêcher potentiellement la propagation de matériel pédopornographique et de communications terroristes.Des propositions similaires, telles que le projet de loi EARN IT, continuent de faire surface aux États-Unis.
Ross Anderson, professeur d'ingénierie de la sécurité au Département d'informatique et de technologie de l'Université de Cambridge au Royaume-Uni, affirme que ces réglementations proposées (qui reposent sur des solutions techniques telles que l'analyse des messages côté appareil et l'apprentissage automatique pour les algorithmes de chasse au crime à la place de la police, des travailleurs sociaux et des enseignants) conduisent à une pensée magique et à des politiques malsaines.
La position de l'Europe...
Une proposition de la Commission européenne pourrait obliger les entreprises technologiques à analyser les messages privés à la recherche de matériel d'abus sexuel d'enfants (CSAM) et de preuves de pédopiégeage, même lorsque ces messages sont censés être protégés par un chiffrement de bout en bout. La sollicitation d’enfants à des fins sexuelles, ou pédopiégeage, est « une pratique où un adulte se "lie d’amitié" avec un enfant (de manière générale en ligne, mais le pédopiégeage hors ligne existe également) dans le but de commettre des abus sexuels à son encontre ». L'adulte cherche à se rapprocher d'un enfant et à instaurer avec lui une relation affective, voire parfois aussi avec sa famille, pour lever les inhibitions de la victime dans l'intention de perpétrer des abus sexuels.
Les services en ligne qui reçoivent des « ordres de détection » en vertu de la législation en cours de l'Union européenne auraient « des obligations concernant la détection, le signalement, la suppression et le blocage du matériel d'abus sexuel d'enfants connus et nouveaux, ainsi que la sollicitation d'enfants, quelle que soit la technologie utilisée dans les échanges en ligne », indique la proposition. La proposition reconnait que le chiffrement de bout en bout est un outil de sécurité important, mais ordonne essentiellement aux entreprises de casser ce chiffrement de bout en bout par tous les moyens technologiques nécessaires :
« Afin de garantir l'efficacité de ces mesures, de permettre des solutions sur mesure, de rester technologiquement neutres et d'éviter le contournement des obligations de détection, ces mesures devraient être prises quelles que soient les technologies utilisées par les prestataires concernés dans le cadre de la fourniture de leurs services. Par conséquent, le présent règlement laisse au fournisseur concerné le choix des technologies à exploiter pour se conformer efficacement aux ordres de détection et ne devrait pas être compris comme incitant ou décourageant l'utilisation d'une technologie donnée, à condition que les technologies et les mesures d'accompagnement répondent aux exigences de présent règlement.
« Cela inclut l'utilisation de la technologie de cryptage de bout en bout, qui est un outil important pour garantir la sécurité et la confidentialité des communications des utilisateurs, y compris celles des enfants. Lors de l'exécution de l'ordre de détection, les fournisseurs devraient prendre toutes les mesures de sauvegarde disponibles pour s'assurer que les technologies qu'ils emploient ne peuvent pas être utilisées par eux ou leurs employés à des fins autres que le respect du présent règlement, ni par des tiers, et pour éviter ainsi de porter atteinte à la sécurité et la confidentialité des communications des utilisateurs ».
Un document de questions-réponses décrivant la proposition souligne l'importance d'analyser les messages chiffrés de bout en bout : « Le NCMEC [National Center for Missing and Exploited Children] estime que plus de la moitié de ses rapports CyberTipline disparaîtront avec le chiffrement de bout en bout, laissant les abus non détectés, à moins que les fournisseurs ne prennent des mesures pour protéger les enfants et leur vie privée également sur les services chiffrés de bout en bout ».
...et du Royaume-Uni
Le gouvernement britannique propose de donner au régulateur de l'Internet Ofcom de nouveaux pouvoirs pour forcer les plateformes de messagerie et d'autres types de services en ligne à mettre en œuvre des technologies d'analyse du contenu, même si leur plateforme est chiffrée de bout en bout. Ainsi, la mise à jour du projet de loi sur la sécurité en ligne, qui est en cours d'examen au Parlement britannique, stipule que les fournisseurs locaux et étrangers d'un « service réglementé d'utilisateur à utilisateur » doivent signaler tout contenu partagé d'exploitation et d'abus sexuels d'enfants à la National Crime Agency du pays.
Un fabricant d'applications pourrait également concevoir son service et son code de manière à intercepter et à inspecter les messages pendant qu'ils circulent entre les participants d'une conversation. La ministre britannique de l'Intérieur, Priti Patel, a déclaré dans un communiqué que le projet de loi permettra ainsi de lutter contre les abus sexuels sur les enfants. « L'abus sexuel d'enfants est un crime répugnant. Nous devons tous veiller à ce que les criminels ne soient pas autorisés à se déchaîner en ligne et les entreprises technologiques doivent jouer leur rôle et assumer la responsabilité de la sécurité de nos enfants », a-t-elle déclaré.
« Des éléments tels que le chiffrement de bout en bout réduisent considérablement la capacité des plateformes à détecter les abus sexuels sur les enfants. Le projet de loi sur la sécurité en ligne établit une obligation légale claire de prévenir, d'identifier et de supprimer les contenus pédopornographiques, quelles que soient les technologies utilisées. Personne ne peut raisonnablement nier qu'il s'agit d'un impératif moral », a-t-elle ajouté. Le communiqué affirme également : « la vie privée et la sécurité ne s'excluent pas mutuellement. Nous avons besoin des deux, et nous pouvons avoir les deux et c'est ce que cet amendement offre ».
Cependant, l'amendement compromettrait la nature même du chiffrement de bout en bout. Et ce qui n'est pas chiffré de bout en bout peut être surveillé au choix de l'application ou du fournisseur de services. Si la législation est adoptée par le Parlement, l'Ofcom aura le pouvoir de contraindre les entreprises technologiques à payer des pénalités si ce système d'inspection n'est pas mis en œuvre. « Il incombe aux entreprises technologiques de développer ou de se procurer des technologies permettant d'atténuer les risques, quels que soient leurs choix de conception », a expliqué la ministre britannique de l'Intérieur.
Mais un professeur d'ingénierie de la sécurité s'inquiète
Dans un article intitulé Chat Control or Child Protection?, Anderson réfute des arguments avancés par Ian Levy, directeur technique du UK National Cyber Security Centre, et Crispin Robinson, directeur technique de la cryptanalyse au Government Communications Headquarters (GCHQ), l'équivalent britannique de la NSA.
Le document pro-surveillance, rédigé par Levy et Robinson et intitulé Thoughts on Child Safety on Commodity Platforms, a été évoqué plus tôt ce mois-ci par la commissaire européenne aux affaires intérieures, Ylva Johansson, devant la commission des libertés civiles du Parlement européen en soutien au règlement similaire de l'UE.
L'article de Levy et Robinson, étant lui-même une réponse à un article s'opposant à l'analyse côté appareil qu'Anderson a coécrit avec 13 autres experts en sécurité en 2021, décrit les différents types de préjudices que les enfants peuvent rencontrer en ligne : partage d'image indécente; partage d'images virales; partage d'images/vidéos indécentes entre délinquants; préparation d'une future victime par un délinquant; communication entre délinquants; et le streaming d'abus à la demande.
Anderson soutient que cette taxonomie des préjudices reflète les intérêts des enquêteurs criminels plutôt que le bien-être des enfants. « Du point de vue de la protection de l'enfance et des droits de l'enfant, nous devons examiner les préjudices réels, puis les priorités pratiques des interventions policières et de travail social qui peuvent les minimiser », estime-t-il.
Anderson remet en question les données utilisées pour alimenter l'indignation des médias et les inquiétudes politiques concernant les préjudices causés aux enfants. Citant les 102 842 rapports du Centre national pour les enfants disparus et exploités (NCMEC pour National Center for Missing and Exploited Children), l'organisation américaine à but non lucratif coordonnant les rapports sur la maltraitance des enfants des entreprises technologiques, à la National Crime Agency (NCA) du Royaume-Uni, il estime que cela a conduit à 750 poursuites pour images indécentes, « bien moins de 3% du total de 2019 de 27 233 poursuites pour délits d'image indécente, dont 26 124 concernaient des images d'enfants ». Et le nombre de ces poursuites a culminé en 2016 et a depuis diminué, dit-il.
« En bref, les données ne corroborent pas les allégations de dommages croissants à grande échelle initiés en ligne et évitables par la numérisation d'images », déclare Anderson.
Le danger de s'appuyer sur des preuves douteuses
Cependant, le vrai mal est causé par les faux positifs, observe-t-il, en désignant Operation Ore, une répression de la maltraitance des enfants sur Internet qui a commencé il y a deux décennies et a conduit à de fausses accusations.
Levy et Robinson proposent « d'avoir des modèles de langage exécutés entièrement localement sur le client pour détecter le langage associé au toilettage ». Ils comparent cette approche à l'analyse CSAM sur l'appareil proposée par Apple (et par la suite abandonnée, du moins pour le moment) aux États-Unis. Bien qu'ils reconnaissent les problèmes soulevés à l'époque - faux positifs, dérive de la mission, vulnérabilité à la falsification - ils affirment : « Grâce à nos recherches, nous n'avons trouvé aucune raison pour laquelle les techniques de numérisation côté client ne peuvent pas être mises en œuvre en toute sécurité dans de nombreuses situations rencontrées ».
Anderson affirme que les forces de l'ordre ont depuis longtemps renoncé à analyser les e-mails à la recherche de mots-clés tels que « bombe », car cela ne fonctionne pas et parce que l'analyse du trafic, pour laquelle l'accès au contenu n'est pas requis, est...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par Math71
Scanner toutes les conversations privées pour lutter contre la pédopornographie : pour ou contre ? De quel bord êtes-vous ?