À la lumière des attaques terroristes actuelles, les accusations contre les communications en ligne cryptées se font à nouveau plus fortes. Mais les solutions proposées en même temps pourraient causer encore plus de problèmes.
Les gouvernements du monde entier - de la Russie aux États-Unis et de la Chine à la France - semblent prêcher un mantra commun. Les gens cryptent leurs communications si étroitement que les gouvernements ne peuvent pas les lire même en cas d'urgence. On dit que c'est la principale raison pour laquelle la police ne peut pas enquêter efficacement sur les cas de pédophiles ou de terroristes et donc "il faut faire quelque chose".
Les solutions proposées par les gouvernements partent généralement du principe que les systèmes de cryptage existants devraient comporter certaines failles de sécurité, de sorte que les organismes gouvernementaux puissent suivre les communications s'ils le jugent nécessaire.
Un article récent du Washington Post a utilisé un terme plutôt poétique pour désigner cette approche : Clavis Aurea - la clé d'or. Les autorités citent divers cas d'enlèvements et d'autres crimes pour lesquels elles n'ont pas progressé dans leurs recherches parce qu'il n'existait pas de système de Clé d'Or. Les auteurs de l'article estiment que toutes les entreprises technologiques, y compris les géants comme Google, Apple, Facebook et Telegram, devraient donner aux autorités une telle Clé d'Or.
La Clé d'Or dans la vie réelle
En dehors de la discussion éthique (qui pourrait s'éterniser), si les policiers nobles peuvent posséder une telle clé, il est toujours possible que des criminels puissent également mettre la main sur cette clé. Il existe déjà quelques exemples de l'idée de la Clé d'Or dans la vie réelle. Ne prenez que les cas les plus évidents : serrures TSA développées par la Transportation Security Administration. Le concept est simple. Les voyageurs utilisent des serrures de valise approuvées par la TSA avec un trou de serrure pour les autorités (ils n'ont donc pas besoin de détruire les serrures attachées pour fouiller une valise). Il existe dix passe-partout ("golden keys") qui peuvent être utilisés pour ouvrir la plupart des serrures de valises. Cela repose sur l'hypothèse que seule la TSA a accès aux passe-partout, alors que les criminels ne peuvent pas crocheter les serrures aussi facilement.
Cependant, des photos de toutes les clés TSA ont récemment été rendues publiques, suivies de leurs modèles 3D. Et maintenant, de nombreux revendeurs chinois proposent des jeux complets de clés d'or de la TSA - pour tous ceux qui le souhaitent. Que pouvez-vous faire dans cette situation ? Malheureusement rien - après tout, on ne peut pas échanger toutes les serrures de valises du monde. Il existe un autre bon exemple d'un tel système : les App Stores comme celui d'Apple. Leur sécurité totale repose sur le principe selon lequel seuls les employés peuvent publier une application. Ils sont d'abord contrôlés pour détecter les logiciels malveillants, puis signés avec leur certificat numérique.
Contrôle de sécurité: les criminels le contournent
Bien sûr, les clés d'Apple n'ont pas été compromises, mais les cybercriminels ont trouvé d'autres moyens de contourner les contrôles de sécurité stricts. Certains développeurs ont été trompés par des criminels et ont utilisé involontairement une version modifiée du cadre de développement Xcode, qui a injecté un code malveillant déguisé dans les applications. Le problème n'a pas été découvert à temps par les experts en sécurité d'Apple, et l'App Store, autrefois une forteresse numérique imprenable, a été inondé de dizaines d'applications malveillantes, dont une pour un messager très populaire.
On va approfondir l'histoire de la technologie et rappeler une technologie de cryptage de DVD autrefois célèbre. À la fin du XXe siècle, les DVD contenaient une protection par cryptage basée sur le tristement célèbre algorithme CSS. Il a été conçu pour limiter l'accès au DVD à certaines régions. On peut encore se souvenir de la fin peu glorieuse de cette technologie. Les activistes du numérique ont décrypté un certain nombre de ces clés et les ont rendues accessibles gratuitement. Aujourd'hui, tout le monde peut regarder des DVD n'importe où, quel que soit le code de région dans l'algorithme CSS.
La clé de décryptage des DVD a même été imprimée sur des T-shirts
La morale de toutes ces histoires est simple : le système basé sur l'hypothèse que les gentils ont les informations dont ils ont besoin et que les méchants ne les ont pas, échouera - tôt ou tard. Une fois que les criminels mettent la main sur les clés, ils peuvent compromettre les données des citoyens ordinaires de toutes sortes de façons, et les possibilités pour les auteurs seraient absolument les mêmes que pour la police ou le gouvernement.
C'est un résultat tout à fait indésirable, car il est tout aussi difficile d'échanger le micrologiciel sur tous les smartphones du monde que de changer les serrures de toutes les valises. Les dommages que peuvent causer les Clés d'or compromises dépasseraient de loin les bénéfices des Clés d'or, que seul le gouvernement peut utiliser.
Il est également possible que ces clés dorées ne soient pas aussi efficaces qu'on le suppose : Les terroristes et les criminels utilisent souvent des systèmes de cryptage de niche inhabituels et réussissent ainsi à se cacher des autorités. Les gouvernements devraient donc trouver d'autres moyens - plus efficaces et moins approfondis pour les citoyens - de surveiller les criminels.