Discussion :

[Stéphane le calme]

Russie : le FSB a finalisé la procédure de collecte des clés de chiffrement,
conformément à l'amendement qui oblige les éditeurs à lui fournir un moyen de déchiffrer les communications

Tandis que le bras de fer entre Apple et le FBI autour de la question de chiffrement se terminait aux États-Unis, les autorités russes ont quant à elles ouvert la porte d’un débat sur une nouvelle législation le mois passé : la Russie souhaitait mettre en place un cadre juridique dans lequel les entreprises technologiques seraient contraintes d’ajouter des portes dérobées sur le chiffrement de leurs services.

En juin dernier, le procureur général de Russie Iouri Tchaïka avait estimé nécessaire de filtrer en amont les messages véhiculés à travers les messageries comme WhatsApp, Telegram ou Viber. Certains médias locaux avaient même rapporté que le chef de la justice russe souhaitait amender la loi pour obliger à un tel filtrage, notamment pour éviter la diffusion de messages qui livrent des méthodes de suicide. D’ailleurs, pour rappel, c’est pour ce type de contenus que la Russie avait bloqué tout Github.

Toutefois, interrogé au parlement, le ministre des Communications Nikolai Nikiforov avait expliqué qu’une telle proposition serait inapplicable. Selon lui, « elle est techniquement impossible [à mettre en œuvre] en raison du fait que le trafic est chiffré ». D’où la raison d’être de ce projet de loi qui visait en particulier des applications de messagerie comme Telegram, WhatsApp, Viber et autres étant donné qu’elles proposent à leurs utilisateurs d’avoir accès à des communications chiffrées.

Dans une déclaration, la sénatrice russe Yelena Mizulina, l’un des politiciens derrière ce projet de loi, a indiqué que ce projet devait être voté parce que criminels et terroristes se servent de ces applications pour des activités malveillantes. Elle a évoqué un cas où des criminels ont manipulé des enfants en les incitant à tuer des policiers en se servant du canal de messages de groupes que permettent certaines de ces applications.

Un projet de loi qui avait le support du FSB, le service fédéral de sécurité de la Fédération de Russie et Duma l’a voté le 24 juin dernier. Deux semaines plus tard, le président Vladimir Poutine promulgue la loi et demande au FSB de mettre sur pied un moyen par lequel les clés de chiffrement pourront être collectées afin de déchiffrer le trafic.

En réalité, la loi s’applique au trafic internet dans son ensemble ainsi qu’aux communications effectuées par téléphone portable, elle n’est pas limitée aux applications mobiles.

Deux semaines après cette demande du président, le FSB a annoncé sur son site web avoir finalisé la procédure par laquelle les clés de chiffrement seront obtenues des compagnies internet dans le cadre de la lutte contre le terrorisme. L’organisme a indiqué avoir envoyé ladite procédure au ministère de la Justice qui la ratifiera de façon officielle avant sa mise en application.

Difficile de savoir à l’heure actuelle comment fonctionne cette procédure. Est-ce que les entreprises internet devront fournir une clé maîtresse de leur chiffrement au FSB dont l’organisme pourrait se servir au moment où il le jugera utile ? Est-ce que les entreprises seront sollicitées à chaque fois qu’une enquête sera en cours ? Qu’en est-il des applications qui disposent d’un chiffrement de bout en bout comme WhatsApp ?

Quoi qu’il en soit, les entreprises qui refusent de se soumettre aux requêtes du FSB risquent de payer une amende allant de 800 000 à 1 000 000 de roubles (soit une amende comprise entre 10 840 euros et 13 550 euros).

La loi prévoit également des amendes pour les citoyens ordinaires russes : s’ils sont pris en train de se servir d’un chiffrement et refusent de déchiffrer leur trafic suite à des injonctions des autorités, ils risquent des amendes allant de 3000 à 5000 roubles (soit une amende comprise entre 40 euros et 67 euros) tandis que les fonctionnaires russes risquent une amende comprise entre 30 000 roubles et 50 0000 roubles (soit une amende comprise entre 406 euros et 677 euros).

Source : déclaration du FSB (en russe)

Voir aussi :

Blocage et filtrage des sites : le cadre réglementaire de la France similaire à celui de la Russie peut mettre en péril la liberté d'expression

Facebook, Google et Twitter sous la menace d'une sanction en Russie, proférée par l'organe russe de régulation des médias

La Russie envisage de créer son propre OS mobile dans le but de concurrencer Android et iOS

[GEP007]

Liberté, liberté chérie ...
On est bientôt dans le monde de BIG BROTHER avec ses télécrans et son ministère de la vérité ...

[NSKis]

Liberté, liberté chérie ...
On est bientôt dans le monde de BIG BROTHER avec ses télécrans et son ministère de la vérité ...

Là, je crois qu'il faut revoir ton évaluation... Il y a déjà bien longtemps que l'on a dépassé le monde tel que décrit dans Big Brother (on commercialise maintenant même des téléviseurs qui écoutent en permanence ce que se passe dans le salon de leur propriétaire et envoie les données sur le web... cf. la marque Sam...sung!!!)

[shkyo]

En même temps, si la Russie devenait une démocratie, ce serait vraiment un scoop!!... En Chine aussi, ils durcissent en permanence leur contrôle de tous les canaux d'informations qui peuvent exister...

Et en ayant légalisé le système de "boites noires" chez les FAI l'année dernière, la France ne va pas forcément dans le bon sens non plus...

@NSKis: heureusement je n'ai absolument rien dans cette marque chez moi! Et ma télé n'est pas connectée au web...

[GEP007]

Là, je crois qu'il faut revoir ton évaluation... Il y a déjà bien longtemps que l'on a dépassé le monde tel que décrit dans Big Brother (on commercialise maintenant même des téléviseurs qui écoutent en permanence ce que se passe dans le salon de leur propriétaire et envoie les données sur le web... cf. la marque Sam...sung!!!)

J'ai en effet entendu parler de ce problème sur un langage d'apprentissage vocal de la TV pour les commandes vocales qui ne s'éteint jamais...
Mais on a encore le droit de faire Power-Off ou de tirer la prise... Ouf ...

[MikeRowSoft]

Bientôt les appareils avec un code par défaut qui n'est pas le même pour tous les appareils mais que seul le constructeur, celui qui l'a acheté et le gouvernement connaissent...
Comme il y a encore moyen de le changer... Bien oui, vous réussissez bien à changer les clés wi-fi des modem-routeur propriété des FAI.

P.S. :

En aidant une ancienne voisine à installer sa Freebox et en me renseignent sur les autres FAI que le miens, c'est fou comme une fois je rentré chez moi que sa n'a vraiment plus rien a voir. Sur une échelle de 1 (pas du tous adapté) à 5 (bien adapté), ils sont tous 4 et presque 5, sauf le miens qui est encore 1.

Pourtant niveau Mobile il est 5 (premier nationale) et cela en proposant que le stricte minimum, la puce SIM.

Se qui fait que si mon FAI propose rien que les identifiant d'accès à Internet sans aucuns autres services ou matériels et le voici 5. Pourtant les autres arrivent à être 5 en proposant bien plus...

[Marco46]

c’est pour ce type de contenus que la Russie avait bloqué tout Github.

C'est sérieux ils ont bloqué github au niveau des FAI ?

Ca doit être sympa le développement frontend là bas

[Grogro]

Il est à craindre que si un État (même le grand mangeur d'enfants russe diabolisé) parvient techniquement à collecter les clés de déchiffrement utilisé par ces services de communication sécurisés, les autres suivent comme des dominos. On a vu passer un projet de loi similaire au Royaume-Uni il y a quelques mois. On est bien sûr tentés de railler l'illettrisme technologique de nos dirigeants éclairés, mais un de ces jours un gouvernement pourrait très bien parvenir à ses fins.

[LSMetag]

Je pense que c'est aux hackers russes de travailler. Je ne vois pas comment ils peuvent contraindre des entreprises non Russes (voire Américaines) à saboter leurs programmes pour eux.

Je vois plutôt les applications chiffrées interdites en Russie, ou alors certaines autorisées volontairement pour traquer un dissident qui se serait exilé à l'étranger.

[micka132]

Je ne vois pas comment ils peuvent contraindre des entreprises non Russes (voire Américaines) à saboter leurs programmes pour eux.

Ben comme n'importe quel produit. Sur des produits physiques si tu respectes pas certaines normes tu ne peux pas vendre, la question se pose de savoir si le numérique devrait être traité autrement. Par exemple si netflix ajoute à sa collection tout un tas de film très borderline sans aucune restriction. Soit ton pays accepte ce contenu, soit ca lui semble incorrecte et va donc interdire/bloquer le produit. Une entreprise étant essentiellement accés sur le profit elle préferra "coopérer" et se mettre conforme au norme plutot que se priver de X clients.

[LSMetag]

Ben comme n'importe quel produit. Sur des produits physiques si tu respectes pas certaines normes tu ne peux pas vendre, la question se pose de savoir si le numérique devrait être traité autrement. Par exemple si netflix ajoute à sa collection tout un tas de film très borderline sans aucune restriction. Soit ton pays accepte ce contenu, soit ca lui semble incorrecte et va donc interdire/bloquer le produit. Une entreprise étant essentiellement accés sur le profit elle préferra "coopérer" et se mettre conforme au norme plutot que se priver de X clients.

Sauf que pour Telegram, LastPass, EPIM ou WhatsApp, par exemple, le chiffrement de bout en bout c'est leur coeur de métier et leur principal argument de vente. Si tu préfères vendre en Russie mais plus ailleurs, c'est un choix. Il est facile de dévoiler au monde le poteau rose de nos jours.

Interdire l'accès a certaines pages ou demander certains retraits reste possible au niveau local.

[Marco46]

Ben comme n'importe quel produit. Sur des produits physiques si tu respectes pas certaines normes tu ne peux pas vendre, la question se pose de savoir si le numérique devrait être traité autrement. Par exemple si netflix ajoute à sa collection tout un tas de film très borderline sans aucune restriction. Soit ton pays accepte ce contenu, soit ca lui semble incorrecte et va donc interdire/bloquer le produit. Une entreprise étant essentiellement accés sur le profit elle préferra "coopérer" et se mettre conforme au norme plutot que se priver de X clients.

Sauf qu'il faut tenir compte de la réalité.

Sur un produit physique c'est le vendeur qui rentre le produit dans le magasin du pays du client.

Sur un produit dématérialisé c'est le client qui va chercher le produit sur le serveur (le magasin) du pays du vendeur.

Il ne s'agit donc plus d'interdire à un fournisseur de vendre mais à un client d'acheter.

[micka132]

Sur un produit physique c'est le vendeur qui rentre le produit dans le magasin du pays du client.
Sur un produit dématérialisé c'est le client qui va chercher le produit sur le serveur (le magasin) du pays du vendeur.
Il ne s'agit donc plus d'interdire à un fournisseur de vendre mais à un client d'acheter.

Mwé tu joues un peu sur les mots. Quand tu commandes un truc sur un site chinois et que c'est acheminé via La Poste ou autre UPS le vendeur n'a pas utilisé de magasin physique dans le pays du client.
Est-ce que tu autoriserais un site qui te vends des organes en ligne depuis un pays tiers?
Est-ce que si on t’envoie la marchandise dans un colis piégé qui fait que c'est impossible a ouvrir à la douane tu trouverais ce type de commerce acceptable?
Bref je ne pense pas que la question soit de savoir ou se situe l'entreprise vendeuse ni le moyen de transport, la question c'est juste de savoir ce que l’état se réserve le droit de contrôler ou pas.
Il n'y a aucune considération technique là-dedans.

[Grogro]

Ils peuvent toujours bloquer ces services localement, en Russie. En jouant avec des DNS menteurs comme on le fait parfois en France.

[Marco46]

Ils peuvent toujours bloquer ces services localement, en Russie. En jouant avec des DNS menteurs comme on le fait parfois en France.

Je vous rappelle qu'on parle de mesures destinées à empêcher des terroristes de communiquer entre eux avec du chiffrement. Le blocage par filtrage DNS ça marche contre madame Michu pour qu'elle ne voit pas les sondages des présidentielles dans les journaux belges le jour de l'élection. Pour le reste c'est juste pas du tout adapté.

Mwé tu joues un peu sur les mots.

Pas vraiment non, je ne fais que décrire une réalité technique trop souvent oubliée.

Quand tu commandes un truc sur un site chinois et que c'est acheminé via La Poste ou autre UPS le vendeur n'a pas utilisé de magasin physique dans le pays du client.
Est-ce que tu autoriserais un site qui te vends des organes en ligne depuis un pays tiers?

Comment veux-tu interdire un site qui est hébergé dans un pays qui n'obéit pas à la même juridiction ?

Est-ce que si on t’envoie la marchandise dans un colis piégé qui fait que c'est impossible a ouvrir à la douane tu trouverais ce type de commerce acceptable?

Il n'y a pas de douane sur internet.

Bref je ne pense pas que la question soit de savoir ou se situe l'entreprise vendeuse ni le moyen de transport, la question c'est juste de savoir ce que l’état se réserve le droit de contrôler ou pas.

Justement, le fonctionnement du système détermine ce que l'état est en mesure de contrôler.

Il n'y a aucune considération technique là-dedans.

En résumé, tu dis : peu importe de quoi on parle, peu importe comment ça fonctionne, on va faire comme ça. C'est en fonctionnant à l'aveugle de cette manière que l'on se plante royalement. C'est strictement impossible de prendre des décisions rationnelles avec le raisonnement que tu tiens.

[Grogro]

Je vous rappelle qu'on parle de mesures destinées à empêcher des terroristes de communiquer entre eux avec du chiffrement. Le blocage par filtrage DNS ça marche contre madame Michu pour qu'elle ne voit pas les sondages des présidentielles dans les journaux belges le jour de l'élection. Pour le reste c'est juste pas du tout adapté.

Ne confond pas le prétexte officiel sécuritaire et l'enjeu réel de surveillance globale ! Un DNS menteur c'est déjà dissuasif pour la plus grande partie de la population cible.