slate.fr - 27.12.2014
par Amaelle Guiton
Depuis près de trois mois, les protestations des autorités américaines contre le chiffrement par défaut des données dans les smartphones se multiplient. Une bataille perdue d'avance? Tout dépend du terrain sur lequel elle se joue.
Une loi vieille de 225 ans pourrait-elle contraindre Apple et Google à rétropédaler en matière de chiffrement des données sur les téléphones mobiles?
La question a agité les spécialistes des technologies de confidentialité fin novembre, après que le Wall Street Journal et Ars Technica ont fait état de deux affaires, à New York et en Californie, dans lesquelles le département de la Justice des États-Unis invoque l'«All Writs Act» – un texte voté pour la première fois en 1789, dans les premiers temps de l'indépendance – afin de contraindre des fabricants à apporter leur concours aux enquêteurs pour déverrouiller des smartphones. Dans le cas californien, Apple est nommément citée.
Tel que le décrit l'Electronic Frontier Foundation, l'organisation américaine de défense des libertés sur Internet, l'All Writs Act est une « loi à tout faire, qui permet aux tribunaux d'exiger l'aide d'une tierce partie pour exécuter un ordre préalable du tribunal ».
L'utilisation de l'All Writs Act pour obtenir l'aide d'un tiers dans l'exécution d'un mandat de perquisition n'est pas nouvelle, rappelle l'EFF. Mais son apparition dans des procédures requérant l'accès au contenu de smartphones n'est sans doute pas anodine.
Déclarations fracassantes
Depuis qu'Apple et Google ont annoncé, courant septembre, l'activation du chiffrement par défaut des données dans leurs nouveaux systèmes d'exploitation mobiles iOS 8 et Android Lollipop, les deux entreprises se heurtent en effet à un feu nourri de critiques.
Du procureur général des États-Unis Eric Holder et son adjoint James Cole – pour qui cette technologie « va mener à une tragédie » – à Robert Hannigan, le nouveau directeur du renseignement électronique britannique, les protestations officielles se sont multipliées. La palme de la déclaration fracassante revenant sans doute au chef du services des enquêtes de la police de Chicago, pour qui l'iPhone va devenir « le téléphone préféré des pédophiles».
Le débat a eu des échos jusqu'en France, avec une question écrite posée en octobre par le député UMP Damien Meslot au ministre de l'Intérieur, sur « les mesures qu'il entend prendre pour empêcher que soit rendue plus difficile sinon impossible la lutte contre la criminalité passant par l'utilisation des nouveaux iPhone ». Question restée jusqu'ici sans réponse – on voit mal, il est vrai, quelles « mesures » pourrait prendre Bernard Cazeneuve contre Apple.
Le directeur du FBI bénéficie, lui, de relais autrement plus puissants. Or, depuis près de trois mois, James Comey n'a précisément de cesse d'exhorter Apple et Google à trouver « une solution » pour permettre aux autorités d'accéder au contenu des smartphones. « Solution », à ce stade, inexistante selon la firme de Cupertino, qui indique sur son site qu'elle « ne peut contourner votre mot de passe et ne peut donc accéder à [vos] données ».
À cela, l'All Writs Act ne change rien: à l'impossible nul n'est tenu. À moins, suggère l'expert en sécurité Matt Blaze, que l'objectif ne soit de contraindre Apple à se donner les moyens d'accéder aux requêtes, en installant un logiciel espion – une backdoor, une « porte dérobée »:
Pour l'EFF, qui a publié début décembre une longue analyse à ce sujet, la possibilité de la contrainte judiciaire paraît hautement improbable. Il n'empêche: à première vue, c'est bien cette question des « portes dérobées » qui est en jeu dans l'offensive actuelle du FBI.
« Utiliser la porte d'entrée »
Car d'évidence, la « solution » que réclame l'agence est d'ordre technique, même si le terme qui fâche n'est jamais pleinement assumé. Mi-octobre, lors d'un discours à la Brookings Institution, un think tank basé à Washington, James Comey déclarait: « Nous ne cherchons pas à aborder le problème par la "porte dérobée". Nous voulons utiliser la porte d'entrée, en toute clarté et transparence, dans le cadre d'orientations claires prévues par la loi.»
Un éditorial du Washington Post, deux semaines auparavant, appelait de ses vœux l'invention par Apple et Google d'une « clé universelle sécurisée », utilisable uniquement dans le cadre d'un mandat approuvé par un tribunal. Quant à Troels Oerting, le directeur du Centre européen de lutte contre la cybercriminalité, il « déteste parler de portes dérobées », mais juge que la « possibilité » d'accéder aux données « doit exister ».
Un distinguo sémantique qui fait bondir aussi bien les associations de défense des libertés civiles que les experts en sécurité informatique. Sur son blog, le cryptographe américain Bruce Schneier rappelle ainsi que: « Le chiffrement protège des cybercriminels, de la concurrence industrielle, de la police secrète chinoise et du FBI. Ou bien vous êtes vulnérable à l'espionnage de chacun d'entre eux, ou bien vous êtes protégé de l'espionnage de tous. »
L'idée d'un accès réservé aux « good guys » fait fantasmer depuis longtemps le renseignement US, notamment la NSA, explique l'ingénieur réseaux français Stéphane Bortzmeyer : « C'est la théorie du NOBUS, "nobody but us": l'idée selon laquelle on peut avoir une porte dérobée que personne d'autre ne pourrait utiliser. Or c'est très fragile, et surtout ça ne dure pas. Ça peut être vrai à un moment, mais tôt ou tard la possibilité est utilisée par quelqu'un d'autre. Dans le meilleur des cas, ça donne un peu d'avance. »
Le précédent du Clipper Chip
De fait, ce n'est pas la première fois que les autorités américaines militent pour ce type de système. Pour un observateur averti, la controverse actuelle fait curieusement écho aux « Crypto Wars » des années 1990, et plus particulièrement à l'épisode dit du Clipper Chip.
En 1993, alors que la cryptographie commençait à se développer, l'administration Clinton avait tenté d'imposer comme standard pour l'industrie des télécommunications un procédé développé par la NSA. La puce « Clipper » aurait chiffré les conversations téléphoniques, tout en permettant aux autorités de récupérer les clés de chiffrement.
Le peu d'empressement des industriels à adopter un tel standard, la campagne menée par l'EFF et l'Electronic Privacy Information Center , et la découverte par Matt Blaze d'une faille de design majeure rendant le système inopérant eurent finalement raison du projet.
Ce sont, peu ou prou, les mêmes catégories d'acteurs et les mêmes arguments qui s'opposent aujourd'hui, dans un contexte sensiblement différent.
Des données pas hors de portée
Depuis les révélations d'Edward Snowden, les entreprises de la Silicon Valley ont plus que jamais besoin de donner des gages à des utilisateurs méfiants, notamment sur le marché extérieur. L'activation du chiffrement par défaut sur les smartphones va clairement dans ce sens, et il semble impensable qu'elles fassent machine arrière: « Les Allemands ne veulent pas d'un iPhone équipé d'une porte d'entrée ou d'une porte dérobée pour le FBI », estime Chris Soghoian, expert pour l'American Civil Liberties Union, interrogé par Newsweek.
D'où l'appel de James Comey à l'ouverture d'un « débat national », ou la rencontre à huis-clos organisée fin octobre sur ce sujet avec des employés de la Maison-Blanche et des assistants parlementaires. Jusqu'ici, le Congrès américain semble néanmoins peu enclin à le suivre. Pour Jeremy Gillula, expert technique à l'EFF, un retour de bâton est peu probable : « Sur ce terrain, les forces de l'ordre ont montré les dents à plusieurs reprises ces vingt dernières années, et au final il ne s'est jamais rien passé. »
Gillula souligne également le caractère disproportionné des arguments avancés : « Les utilisateurs – y compris les criminels – pouvaient déjà chiffrer des données sur les ordinateurs, et sur les smartphones équipés d'Android. Dire que le chiffrement par défaut encourage la criminalité, c'est assez absurde. Ce que ça change, en réalité, c'est le niveau de sécurité par défaut offert à l'utilisateur lambda, celui qui ne pensait pas forcément à cet aspect-là au moment d'acheter un téléphone. »
D'autant que, comme l'a souligné le chercheur en sécurité Jonathan Zdziarski, spécialiste des produits Apple, les données, même protégées, ne sont pas forcément hors de portée, via la synchronisation avec des espaces de stockage en ligne – le fameux « cloud » dont on a tant parlé dans la foulée du CelebGate – ou avec l'ordinateur de l'utilisateur.
Avec le développement d'Internet, et aujourd'hui celui des smartphones, nous avons énormément perdu en vie privée, rappelle Stéphane Bortzmeyer : « Même si les promesses d'Apple sont vraies – ce qu'on ne peut d'ailleurs pas vérifier –, ça nous ramène, au mieux, à la situation des années 1970. À l'époque la police n'était pas impuissante, elle pouvait enquêter. »
À l'ère de la connexion permanente, il existe un nombre important de vulnérabilités, comme nous l'explique Zythom, expert judiciaire depuis 16 ans et blogueur : « Si l'on m'amène des données chiffrées sans me donner la clé de déchiffrement ni la clé d'une éventuelle "porte dérobée", et que ces données sont chiffrées correctement, il m'est impossible de les décrypter. Mais il est très difficile de chiffrer correctement des données. Il y a toujours un moment, à la source ou à l'arrivée, où les données sont en clair pour les utilisateurs, et elles laissent souvent des traces en mémoire chez le destinataire. »
Aucun logiciel, rappelle-t-il, ne protège contre la déduction et l'« ingénierie sociale » –ainsi, n'utiliser qu'un nombre limité de mots de passe peut grandement faciliter le travail d'un expert judiciaire. Au final, conclut Zythom, les mesures déployées par Apple et Google « compliquent le travail des enquêteurs, mais pas tant que cela. Les criminels utilisent depuis longtemps des moyens de chiffrement, et cela, le patron du FBI le sait très bien ».
La bataille de l'opinion
De quoi finir par s'interroger sur les motivations comme sur les objectifs de l'offensive de communication en cours. À l'EFF, Jeremy Gillula est un peu perplexe : « Pour être honnête, je ne vois pas bien ce que les autorités pensent retirer de cette campagne d'opinion. La seule chose qui me vient à l'esprit, c'est qu'ils croient réellement que s'ils font suffisamment de bruit, Apple et Google vont faire marche arrière. En dehors de ça, l'utilisateur lambda ne s'en soucie pas, et le Congrès est trop bloqué pour faire quoi que ce soit. Donc c'est vraiment une énigme. »
La réponse est peut-être à chercher dans les propos mêmes de James Comey, et notamment dans son discours du 16 octobre à la Brookings Institution : « Il est peut-être temps de suggérer que le balancier post-Snowden est allé trop loin dans une direction –la direction de la peur et de la méfiance. Il est temps d'avoir un débat ouvert et honnête à propos de la liberté et de la sécurité. »
Pour le patron du FBI, nous ne sommes déjà plus dans l'après-Snowden – marqué par un renforcement significatif de la confidentialité des communications, qu'il s'agisse des améliorations mises en place par les géants du Net ou de la multiplication des projets logiciels indépendants – mais dans le moment politique suivant, l'« après-après-Snowden ».
Un moment qui fera, et fait déjà, la part belle à l'utilisation du registre de la lutte contre la criminalité et le terrorisme pour décourager le déploiement par les entreprises du numérique et, partant, l'usage par le grand public des technologies de confidentialité. Au prix, d'ailleurs, de sérieux arrangements avec la réalité, comme l'a montré The Intercept en démontant un à un les exemples mis en avant par Comey à l'appui de son discours.
Ce dernier n'escompte peut-être pas gagner la partie en cours auprès d'Apple et Google, du Congrès américain, ou de la justice. Il espère peut-être, en revanche, remporter à terme la bataille de l'opinion, laquelle ne se joue pas en quelques semaines. De quoi, par exemple, faire oublier l'échec manifeste du pourtant timide projet de réforme de la NSA, comme le suggère l'EFF. Ou préparer le terrain à des législations futures en retour de « balancier ».
À l'heure où la Silicon Valley domine de manière écrasante – et à bien des égards problématique – nos usages en ligne, ce débat ne concerne certes pas les seuls citoyens américains. D'autant que de ce côté-ci de l'Atlantique, les débats autour de la loi de programmation militaire ou de la loi contre le terrorisme ont suffisamment prouvé que les arguments en faveur des libertés individuelles ne pèsent pas forcément très lourd.
(http://www.slate.fr/story/95777/fbi-contre-apple-apres-snowden-commence#xtor=RSS-2)
Portail 