Discussion :

[Stéphane le calme]

Le Sénat américain veut savoir si le chiffrement peut simultanément protéger les informations
et les révéler à la demande

Dans sa dernière tentative de proposer un système de chiffrement numérique avec des accès accordés aux forces de l'ordre, le comité judiciaire du Sénat américain a entendu mardi des témoignages contradictoires de l'industrie, des universitaires et des forces de l'ordre sur la question de savoir si le chiffrement peut simultanément protéger les informations et les révéler à la demande.

Le président du comité, le sénateur Lindsey Graham (R-SC), a indiqué ceci : « Je pense que nous voulons tous des appareils qui protègent notre vie privée. Cela dit, aucun Américain ne devrait vouloir un appareil qui devient un refuge sûr pour la criminalité ».

La sénatrice Diane Feinstein (D-CA) a rappelé les tirs de masse de décembre 2015 à San Bernardino, en Californie, qui ont fait 14 morts et 22 blessés. Le tireur a détruit tous ses téléphones, à l'exception de son téléphone de travail, un iPhone 5C, qui a été récupéré sur les lieux par le FBI. Apple a refusé d'aider à une réécriture d'iOS, car cela aurait nui au chiffrement de tous ses clients. Et le FBI a finalement payé à un entrepreneur un montant estimé à environ 900 000 $ pour pénétrer dans l'appareil à l'aide d'une vulnérabilité logicielle non divulguée... pour ne rien trouver de pertinent dans la suite de l'enquête. Cela n'aurait jamais dû se produire, a déclaré Feinstein. « En droit américain, aucun "lieu" ne devrait être à l'abri d'une enquête en cas de criminalité », a-t-elle déclaré, sans mentionner les divers privilèges juridiques qui dispensent les gens de témoignages forcés.

Cyrus Vance, Jr, procureur de district de New York, dans son témoignage a émis des arguments similaires sur la nécessité d'un accès légal aux informations sur demande : « Apple et Google ont défini ce problème comme étant deux propositions alternatives. Nous pouvons améliorer la confidentialité des utilisateurs ou accorder un accès légal, mais nous ne pouvons pas avoir les deux, estiment-ils. Et ils ont réussi à propager ce message, même si ce n'est pas vrai ». Pourtant, Vance n'a pas expliqué dans quelle mesure le chiffrement pourrait fonctionner seulement une partie du temps. Il s'est plutôt contenté de rappeler la situation avant 2014, lorsque différents mécanismes de sécurité sur les appareils ont été facilement supprimés.

En fait, il a fait un retour sur l'époque avant que le chiffrement de bout en bout ne soit largement disponible. Anticipant l'argument d'Apple selon lequel « il est impossible de conserver les clés pour ouvrir l'un de leurs appareils sans créer une faille que les cybercriminels pourraient eux-mêmes exploiter pour y accéder », Vance a rappelé que la société a reconnu que son processus de déverrouillage du téléphone d'avant 2014 n'avait jamais conduit à une violation de sécurité connue.

Mais l'élu a omis de citer des exemples où des systèmes d'accès légaux ont été utilisés par des cybercriminels. Comme indiqué dans un document de 2015 traitant de cette question, un mécanisme d'accès légal intégré dans un commutateur téléphonique exploité par Vodafone Grèce a permis à une partie inconnue d'espionner 100 membres du gouvernement grec, y compris le Premier ministre, le ministère de la Défense et le ministère de la Justice, pendant 10 mois en 2004 et 2005. Et lorsque des hackers chinois ont pénétré dans le système Gmail de Google en 2010, ils sont entrés par une porte dérobée créée pour se conformer aux mandats américains de perquisition.

Après avoir implicitement plaidé pour un retour à une époque où le chiffrement de bout en bout n'était pas largement accessible aux consommateurs, Vance a reconnu : « je ne suis pas un technologue, mais je suis convaincu que le problème peut également être résolu par une refonte de l'entreprise ». En bref, sa réponse au chiffrement est de ne pas avoir de chiffrement. Il souhaite un retour à une époque où Apple détenait les clés de ses produits et pouvait ainsi les fournir à la demande, pour le meilleur ou pour le pire.

Erik Neuenschwander, responsable de la confidentialité des utilisateurs chez Apple, a déclaré : « Nous ne connaissons pas de moyen de déployer un chiffrement qui n'offre un accès qu'aux bons, sans faciliter la pénétration des méchants ». Dans le même temps, il a noté qu'au cours des sept dernières années, Apple avait répondu à 127 000 demandes des forces de l'ordre américaines. Apple, a-t-il déclaré, partage l'objectif des forces de l'ordre de rendre le monde plus sûr et publie des conseils pour aider les forces de l'ordre à comprendre les données qu'Apple peut leur communiquer.

Jay Sullivan, directeur de la gestion des produits pour la confidentialité et l'intégrité dans Messenger chez Facebook, a également défendu la nécessité de maintenir un chiffrement efficace. « Nous pouvons être certains que si nous construisons une porte dérobée pour le gouvernement américain, d'autres gouvernements, y compris les régimes répressifs et autoritaires du monde entier, exigeront l'accès ou tenteront de l'obtenir clandestinement, notamment pour persécuter les dissidents, les journalistes et leurs opposants politiques ».

Il a également rejeté l'idée que la mise en œuvre du chiffrement sape l'engagement de Facebook à coopérer avec les exigences des forces de l'ordre. « Par exemple, le chiffrement n'aura aucun effet sur nos réponses aux demandes légales de fourniture de métadonnées, y compris les informations de localisation ou de compte potentiellement critiques », a-t-il déclaré. « Le chiffrement de bout en bout de Facebook n'interfère pas non plus avec la capacité des forces de l'ordre à récupérer les messages stockés sur un appareil ».

Essentiellement, l'accent mis sur le chiffrement masque d'autres façons de surveiller et d'obtenir des informations électroniques, par le biais d'écoutes téléphoniques traditionnelles, de vulnérabilités zero-day et de métadonnées, entre autres options. Matt Tait, professionnel de la cybersécurité et professeur à l'Université du Texas à Austin, a développé cette argumentation, notant dans son témoignage que « des options existent pour mener des écoutes téléphoniques et conserver des "cyber - indices" sans avoir besoin de modifier ou réglementer le chiffrement de bout en bout ».

Source : Cyrus Vance Jr (procureur de district de New York), MIT (2015), CNN (piratage de Gmail en 2010), Erik Neuenschwander (responsable de la confidentialité des utilisateurs chez Apple), Jay Sullivan (directeur de la gestion des produits pour la confidentialité et l'intégrité dans Messenger sur Facebook), Matt Tait (professionnel de la cybersécurité et professeur à l'Université du Texas à Austin)

Et vous ?

Qu'en pensez-vous ? Le chiffrement peut-il simultanément protéger les informations et les révéler à la demande ?
Que pensez-vous de la demande du procureur qui voudrait qu'Apple revienne au mode de fonctionnement consistant à détenir les clés pour accéder aux informations des dispositifs de clients ?

Voir aussi :

Facebook n'a pas l'intention d'affaiblir le chiffrement de ses applications de messagerie, pour donner un accès privilégié aux forces de l'ordre dans le cadre d'enquêtes
Une base de données renfermant des millions de SMS privés a été exposée en ligne sans aucun chiffrement, découverte faite par des chercheurs en sécurité de la société vpnMentor
Interpol envisage de condamner la propagation du chiffrement fort dans une déclaration au sein de laquelle l'Organisation va citer les difficultés à appréhender les prédateurs sexuels
Brian Acton, le cofondateur de WhatsApp, maintient qu'il faut quitter Facebook. Il reste sceptique quant à l'engagement de Mark Zuckerberg en matière de chiffrement

[L33tige]

"Bonjour, nous aimerions un bunker anti-atomique, mais avec une porte ouverte."

[Stéphane le calme]

L'EFF appelle le comité judiciaire du Sénat US à prendre des décisions plus éclairées,
suite à l'audience sur le chiffrement et « l'accès légal » aux dispositifs chiffrés

Le comité judiciaire du Sénat a tenu une audience sur le chiffrement et « l'accès légal » aux dispositifs chiffrés, une situation dans laquelle les fournisseurs de chiffrement peuvent en quelque sorte permettre aux forces de l'ordre d'accéder aux données chiffrées des utilisateurs tout en empêchant aux « acteurs malveillants » d'accéder à ces mêmes données.

De nombreux membres du comité semblaient arrivés à l'audience, convaincus qu'ils pouvaient légiférer sur les portes dérobées sécurisées. Entre autres, les sénateurs Graham et Feinstein ont déclaré aux représentants d'Apple et de Facebook qu'ils avaient la responsabilité de trouver une solution pour permettre au gouvernement d'accéder aux données chiffrées. Parlant des portes dérobées sûres, le sénateur Graham a déclaré : « je vous conseille de vous y mettre, car l'année prochaine à la même période, si nous n'avons pas trouvé un moyen [d'accéder aux données] qui vous arrange, nous vous imposerons notre volonté ».

Mais lorsqu'il s'agissait d'interroger des témoins, les sénateurs ont eu du mal à établir la nécessité ou la faisabilité d'un accès général des forces de l'ordre aux données chiffrées. Comme les témoins l'ont souligné, même une discussion de base sur le chiffrement nécessite de faire la différence entre le chiffrement des données sur un smartphone, également appelé « chiffrement au repos», et le cryptage de bout en bout des conversations privées, par exemple.

L'Electronic Frontier Foundation (EFF), une association de défense des droits numériques, a relevé certains éléments qui décrédibilisent le futur apocalyptique dans lequel le monde serait plongé si les forces de l'ordre n'avaient pas un accès privilégié aux données protégées par des dispositifs  :

• Un téléphone qui ne peut pas être piraté, cela n'existe pas : le premier témoin était le procureur de district de Manhattan, Cyrus Vance, Jr., qui a appelé Apple et Google à retirer le chiffrement de leurs systèmes d'exploitation mobiles. Pourtant, selon ses propres statistiques, le bureau du procureur est en mesure d'accéder au contenu de la majorité des appareils qu'il rencontre chaque année dans ses enquêtes. Même pour les téléphones verrouillés et chiffrés, Vance a indiqué que la moitié était accessible à l'aide d'outils ou de services internes ou provenant de fournisseurs externes. Bien qu'il ait souligné à la fois le coût élevé et l'incertitude de ces outils, il n'en demeure pas moins que le chiffrement des appareils est loin d'être un obstacle insurmontable pour les forces de l'ordre.
  
  D'ailleurs, le fait que le FBI a considérablement réduit sa propre estimation des téléphones « non piratables » en 2017 est une illustration du fait que le niveau de sécurité de ces appareils n'est pas statique. Même si Apple et Google corrigent des vulnérabilités qui pourraient permettre un accès au système, des fournisseurs comme Cellebrite et Grayshift découvrent de nouveaux moyens de contourner les fonctions de sécurité dans les systèmes d'exploitation mobiles. Bien sûr, aucune technique d'enquête ne sera complètement efficace, c'est pourquoi les forces de l'ordre s'emploient à se servir de tous les moyens mis à leur disposition. Le coût des outils ou services en provenance de fournisseurs externes peut être une préoccupation, mais ces outils ou services font clairement partie d'une variété d'outils utilisés par les forces de l'ordre pour mener à bien les enquêtes dans un monde où le chiffrement est répandu.
  
• Un accès légal aux téléphones chiffrés constitue un retour vers un passé peu glorieux : tandis que Vance se concentrait sur le coût des outils de fournisseurs externes pour accéder aux téléphones chiffrés, il a occulté à plusieurs reprises la raison pour laquelle des entreprises comme Apple ont commencé à chiffrer entièrement leurs appareils en premier lieu. Dans un colloque avec le sénateur Mike Lee, le responsable de la confidentialité des utilisateurs d'Apple, Erik Neuenschwander, a expliqué que l'introduction par la société du chiffrement intégral du disque dans iOS en 2014 était une réponse aux menaces de pirates informatiques et de criminels qui pourraient autrement accéder à une multitude de données sensibles et non chiffrées sur les téléphones des utilisateurs. Sur ce point, Neuenschwander a expliqué que Vance était simplement mal informé : Apple n'a jamais détenu de clé capable de déchiffrer les données chiffrées sur les téléphones des utilisateurs.
  
  Neuenschwander a expliqué qu'il ne pouvait penser qu'à deux approches pour répondre à l'appel de Vance pour un accès légal, qui augmenteraient considérablement les risques pour les consommateurs. Soit Apple pourrait simplement annuler le chiffrement sur ses appareils, laissant les utilisateurs exposés à des menaces de plus en plus sophistiquées d'acteurs malveillants, soit Apple pourrait essayer de concevoir un système où il détiendrait une clé principale pour chaque iPhone du monde. En ce qui concerne la deuxième approche, Neuenschwander a déclaré « en tant que technologue, je suis extrêmement effrayé par les propriétés de sécurité d'un tel système ». Sa crainte est bien fondée ; des années de recherche par des technologues et des cryptographes confirment que le séquestre clé et les systèmes connexes sont très précaires à l'échelle et la complexité de l'écosystème mobile d'Apple.
  
• Le chiffrement de bout en bout n'est pas prêt de disparaître : enfin, malgré la rhétorique passionnée dirigée par le procureur général Barr et d'autres personnes sur le chiffrement de bout en bout dans les applications de messagerie, le comité a trouvé peu de consensus. Vance et le professeur Matt Tait ont tous deux suggéré qu'ils ne pensaient pas que le Congrès devrait imposer des portes dérobées dans les plateformes de messagerie chiffrées de bout en bout. Pendant ce temps, les sénateurs Coons, Cornyn et d'autres ont exprimé leur inquiétude selon laquelle cela ne ferait que pousser les acteurs malveillants vers des applications hébergées en dehors des États-Unis, et aiderait également les États autoritaires qui souhaitent espionner les utilisateurs de Facebook à l'intérieur de leurs propres frontières. Le directeur de Facebook pour la confidentialité des messages, Jay Sullivan, a expliqué comment l'entreprise éliminerait les abus sur ses plateformes tout en supprimant sa propre capacité à lire les messages des utilisateurs.

L'EFF espère que le Congrès va réaliser qu'imposer des portes dérobées serait une très mauvaise idée. En attendant la fin des débats, Facebook a déclaré qu'il n'affaiblirait pas le chiffrement de bout en bout dans ses applications de messagerie, malgré la pression des gouvernements mondiaux. « Il est tout simplement impossible de créer une telle porte dérobée dans un seul but et de ne pas s'attendre à ce que d'autres essaient de l'ouvrir », ont écrit Will Cathcart, responsable de WhatsApp, et Stan Chudnovsky, responsable de Messenger, dans la réponse de Facebook. « Les messages privés des gens seraient moins sûrs et les vrais gagnants seraient ceux qui chercheraient à profiter de cette sécurité affaiblie. Ce n'est pas quelque chose que nous sommes prêts à faire ».

« Nous pouvons être certains que si nous construisons une porte dérobée pour le gouvernement américain, d'autres gouvernements, y compris les régimes répressifs et autoritaires du monde entier, exigeront l'accès ou tenteront de l'obtenir clandestinement, notamment pour persécuter les dissidents, les journalistes et leurs opposants politiques », estime Facebook. « Préserver l'importance des valeurs américaines en ligne nécessite de solides protections de la vie privée et de la sécurité, y compris un chiffrement fort ».

Source : EFF

Voir aussi :

Un rapport de l'EFF révèle comment les trackers de données personnelles de la Big Tech se cachent dans les médias sociaux et les sites Web et attaquent la vie privée des utilisateurs à chaque clic
Directive copyright : la version finale est enfin prête. L'EFF explique comment les entreprises US pourraient en profiter, pour écraser la concurrence
EFF : la directive sur le copyright est une catastrophe pour la liberté d'expression et la concurrence, l'ONG appelle les Européens à se mobiliser

[Kazh Du]

-> Qu'en pensez-vous ? Le chiffrement peut-il simultanément protéger les informations et les révéler à la demande ?
C'est absurde, même une clé "magique" peut être volée et copiée. C'est une faille potentielle (et pas des moindres), ce qui par définition ne permet pas de protéger les données.
Je sais que je défonce des portes ouvertes mais face à des argument aussi stupides, je me sens obligé de tout expliquer comme si je m'adressait à un gamin de 5 ans.

-> Que pensez-vous de la demande du procureur qui voudrait qu'Apple revienne au mode de fonctionnement consistant à détenir les clés pour accéder aux informations des dispositifs de clients ?
Il sort d'où celui là ? D'après wikipédia, c'est un procureur démocrate de 65 ans... Il ne peut pas prendre sa retraite ce gars ? Il est tellement à la masse que c'est à ce demander comment il peut poursuivre des criminels...
Comparer la technologie actuelle avec celle des années... 90 ? Il faut vraiment avoir le cerveau fondu pour sortir ce genre d'âneries !

Sinon, faites donc "amis" américains. Ces lois ne peuvent ni s'appliquer à l'étranger ni aux projets open-source. Cela ne fera que menacer leur domination technologique et commerciale sur le reste du monde et on ne s'en portera pas plus mal.
Entre les platistes, les créationnistes et ce genre d'énergumènes, les États-Unis foncent droit dans le mur. Nous on sort le pop-corn et on admire. 5faut tout de même se méfier que les génies qui malheureusement nous gouvernent ne récupèrent pas de "brillantes" idées)

[Voyvode]

Une porte selon le Sénat étasunien : ni ouverte ni fermée, bien au contraire !

[darklinux]

Qu'en pensez-vous ?

Que la non-compétence des politiques est universel

[Orden42]

Tout d'abord ne peux pas opposer les criminel d'un coté et l'état de l'autre car un état peu avoir des agissements criminels. C'est d'ailleurs cela qui a poussé le chiffrement de bout en bout avec les révélations de Snowden. La surveillance de masse pousse les citoyens honnêtes à utiliser les mêmes méthodes que les criminels pour protéger leur vie privée ce qui brouille les carte pour trouver ces derniers. Avant, un type ayant plusieurs cartes SIM et utilisant des VPN était louche, maintenant c'est très courant. C'est un peu comme les résistance aux antibiotiques qui apparaissent suite à l'utilisation abusive des ses derniers.

Alors certes, on parle de mesures d'investigation exceptionnelles, pour des serial killer et autres terroristes, puis on les élargi aux bandits, puis aux voleurs, puis aux fraudeurs, puis au procès civils et aux divorces et enfin cela devient systématique...