Dans une missive adressée à plusieurs ministères, Guillaume Poupard, directeur général de l'ANSSI, affirme que le chiffrement est nécessaire à la protection des données. Pour l'agence, imposer des portes dérobées ne ferait qu'affaiblir leur sécurité, alors que des solutions d'accès aux contenus existent déjà.
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) défend ouvertement le chiffrement. Dans une lettre datée du 24 mars, publiée hier par Libération, son directeur général Guillaume Poupard met en garde les ministères de la Défense, de l’Économie, de l'Intérieur et de la Justice contre la tentation d'imposer des backdoors (portes dérobées) dans les logiciels utilisant du chiffrement.
Éviter d'affaiblir la sécurité des particuliers et entreprises
Pour lui, la cryptographie est un « moyen indispensable » pour protéger les communications, dont les données personnelles des citoyens et les données sensibles des entreprises. Ce serait même la seule garantie de la sécurité de ces contenus, qu'il faut encourager, « voire règlementairement l'imposer dans les situations les plus critiques ». Il estime ainsi que la législation actuelle, qui impose par exemple de fournir les clés de chiffrement aux autorités si besoin, est proportionnée.
L'ANSSI affirme ainsi que vouloir à tout prix garantir l'accès aux données chiffrées, par exemple au moyen d'une backdoor, « aurait pour effet désastreux d'imposer aux concepteurs de produits et de services de sécurité un affaiblissement des mécanismes cryptographiques ». Il serait d'ailleurs impossible de s'assurer que ces portes ne seront pas utilisées par des tiers.
De même, une telle obligation s'appliquerait aux acteurs qui respectent la loi, alors que les criminels peuvent désormais créer leurs propres solutions de chiffrement, estime l'ANSSI. Il faudrait donc privilégier la coopération avec les acteurs du numérique, ou développer les techniques d'interception « et d'intrusion informatique » légales si nécessaire. L'agence, chargée de la sécurité des données de l'État, défend donc surtout les moyens à disposition pour garantir sa mission.
La défense du chiffrement, une position qui s'étend
Comme le rappelle à juste titre Libération, cette lettre suivait une série d'interventions de la DGSI et du procureur de la République François Molins, qui décrivaient le chiffrement comme un problème. Des parlementaires avaient également envisagé d'imposer ces backdoors. La situation a bien changé depuis, la loi Numérique, portée par Axelle Lemaire, affichant une position modérée sur le sujet.
Lors de la consultation publique sur cette fameuse loi Numérique – qui doit être définitivement adoptée fin septembre –des propositions avaient émergé pour imposer le chiffrement de bout-en-bout des communications, y compris des comptes email fournis par les fournisseurs d'accès. Las, Bercy n'a pas donné suite à ces requêtes, indiquant que les FAI se sont déjà engagés à chiffrer les échanges d'emails.
La loi confie tout de même à la CNIL la promotion des technologies à même de protéger la vie privée, chiffrement compris. La commission s'affiche d'ailleurs ouvertement en faveur du chiffrement de bout-en-bout, notamment dans son bilan 2015, présenté en avril. « L’introduction de portes dérobées ou de clés maîtres conduirait à affaiblir la sécurité des solutions techniques aujourd’hui déployées » affirmait-elle.
Au niveau européen, le contrôleur de la protection des données personnels a récemment demandé une modification de la législation actuelle, entre autres pour protéger le chiffrement de bout-en-bout. Selon Giovanni Buttarelli, il ne serait ainsi pas question d'introduire des portes dérobées, ni d'effectuer de rétro-ingénierie sur ces logiciels.
Commentaires (36)
Qu’est ce qui est entendu par rétro ingénierie?
Si un chiffrage peut tomber via retro ingénierie, ca veut dire que la méthode est mauvaise.
La force de tout système de chiffrement se mesure à sa durée de résistance au déchiffrement. Aucun système n’est incassable, seul le temps qu’on mettra à y arriver variera, il pourra être raccourci par un ordinateur extrêmement puissant.
Tous émettre en chiffré,obligera celui ou ceux qui veulent en connaître le contenu en clair à adopter des moyens coûteux, mais accessibles à un état qui lui a les moyens financiers pour atteindre cet objectif.
Un État ou toute autre macro-structure qui peut se le permettre.
[]…procureur de la République Frédric Molins, qui décrivaient le chiffrement comme un problème[/i]
ce n’est pas le chiffrement qui est un problème, ce sont les criminels
…procureur de la République Frédric Molins, qui décrivaient le chiffrement comme un problème
ce n’est pas le chiffrement qui est un problème, ce sont les criminels
“Il estime ainsi que la législation actuelle, qui impose par exemple de
fournir les clés de chiffrement aux autorités si besoin, est
proportionnée.”
Tout est dans le “si besoin”… et qui est ou sera habilité à le valider.
Certes, mais imposer des backdoors serait infiniment pire parce que ça imposerait des failles potentiellement exploitables par n’importe qui.
C’est sûr, en aucun cas je ne cautionnerais les backdoors.
”“Il estime ainsi que la législation actuelle, qui impose par exemple de fournir les clés de chiffrement aux autorités si besoin, est proportionnée.” Si le chiffrement est effectué de bout en bout (et correctement) comme le dit le titre de l’article alors il est impossible de fournir la clé. Cependant le chiffrement de bout en bout n’est pas repris dans l’article, c’est bien la position de l’ANSSI ?
C’est à l’utilisateur qu’on demande la clé.
Par exemple, si tu es soupçonné de quelque chose et que la police a besoin d’accéder à ton gmail, ils ne vont pas demander la clé à google, mais exiger que tu la donnes (avec peut-être contrôle du juge, je ne sais pas).
Si tu refuses, tu es condamnable indépendamment de ta culpabilité sur le fond de l’affaire.
Je ne sais pas ce que l’ANSSI pense de la plausible denyability, qui casse un peu le truc…
L’ANSSI défend toutes les techniques de chiffrement, en intégrant en l’occurrence le bout-en-bout. Quand il parle de l’obligation de données les clés, il précise effectivement que la technique s’applique quand lesdites clés sont disponibles.
Non. Si c’est l’utilisateur qui a la clé, on ne peut pas l’obliger à donner la clé en vertu du droit à ne pas s’auto-incriminer. C’est le même principe que le droit de garder le silence. Pourtant un policier te dira le contraire pour essayer d’obtenir la clé.
Par contre, si un tiers est dépositaire de la clé, lui devra la fournir. C’est ce cas là qui est prévu dans la loi.
Et dès que tu fais du TLS avec un site WEB ou un serveur mail, c’est lui qui connaît la clé privée.
Tu es sûr que ça existe en France, ce droit à ne pas s’incriminer?
Code pénal, Article 434-15-2
Est puni de trois ans d’emprisonnement et de 45 000 euros d’amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale.
Si le refus est opposé alors que la remise ou la mise en oeuvre de la convention aurait permis d’éviter la commission d’un crime ou d’un délit ou d’en limiter les effets, la peine est portée à cinq ans d’emprisonnement et à 75 000 euros d’amende.
(donc effectivement, on peut aller demander à google la clé, mais s’ils ont fait en sorte de ne pas la connaitre, ou si dans ton exemple le serveur efface soigneusement les clés privées au fur et à mesure, on ne peut rien leur reprocher)
le “quiconque” de l’article que tu cites est implicitement “quiconque sauf la personne elle-même” (art 6§1 de la Convention Européenne des Droits de l’Homme)
Lors de la consultation publique sur cette fameuse loi Numérique – qui doit être définitivement adoptée fin septembre –des propositions avaient émergé pour imposer le chiffrement de bout-en-bout des communications, y compris des comptes email fournis par les fournisseurs d’accès. Las, Bercy n’a pas donné suite à ces requêtes, indiquant que les FAI se sont déjà engagés à chiffrer les échanges d’emails.
Ah ? Les e-mails seront prochainement chiffrés de bout en bout chez les FAI ?
Ils sécurisent les échanges, soit TLS en envoi et réception donc :)
Northernlights a écrit :
Si un chiffrage peut tomber via retro ingénierie, ca veut dire que la méthode est mauvaise.
Allez, le retour du chiffrage digital…
J’apprends des choses, merci (je suis persuadé que j’avais lu quelque part le fait que ce droit à ne pas s’incriminer faisait partie des différences de procédure entre la France et les US).
" />
Cela dit, avec l’état d’urgence, les droits de l’homme s’appliquent ils toujours ?
Je pense et ce n’est que mon avis mais avec les supercalculateurs et le quantique, “ils” savent déjà casser à peu près tous les mécanismes de chiffrement. Au moins jusqu’au 2048. Plus loin je ne sais pas.
" />
Au fait pour les commentateurs (et pour l’auteur de l’article), il me semble que le procureur de la république de Paris c’est François Molins et pas Frédéric ^^
Effectivement, merci pour la remontée. 
" /> Pour ce genre de cas, le bouton “Signaler une erreur” en haut de page est plus efficace pour qu’on puisse le voir. :)
effectivement ce droit est inscrit dans la constitution US (5ème amendement je crois) alors que chez nous il découle de la jurisprudence (du fait, comme déjà dit plus haut, de l’article 6 de la CEDH qui garantit un procès équitable… procès équitable dont Valls a prévenu ladite CEDH qu’il pourrait être amoindri pendant l’état d’urgence…)
En effet, c’est ce qui est derrière le masque qui n’est pas vu.
" />