Le chiffrement de bout en bout fait régulièrement l’objet de frondes. Le discours est toujours le même : il rend plus complexe le travail des forces de l’ordre, ralentirait la lutte contre la pédocriminalité, bloquerait les enquêtes et permettrait à des groupes criminels de prospérer en se mettant à l’abris des regards.

Plusieurs gouvernements – y compris en France (ici et là) ou ailleurs en Europe – ont affiché leur intention initiale d’affaiblir ce type de chiffrement, notamment dans l’idée d’y inclure des portes dérobées. Le raisonnement était simple : laisser les forces de l’ordre libres de faire leur travail en employant ces portes quand il le faut, si besoin avec un mandat dûment délivré par un juge.

Jusqu’à présent, tous ces projets – notamment au Royaume-Uni et plusieurs fois aux États-Unis (ici et là) – ont échoué, en se brisant sur un ou plusieurs écueils (nous y reviendrons). Cette fois cependant, il ne s’agit pas d’un seul État, mais d’Europol et d’une réunion ayant rassemblé 32 pays.

Une déclaration, deux camps

À l’occasion du sommet réuni à Londres le 18 avril, les chefs de police ont publié une déclaration commune hier, 21 avril. Ils y évoquent un partenariat menacé avec les entreprises technologiques, car les deux piliers qui le composent seraient fragilisés : l’accès légal et l’identification proactive des menaces par les entreprises.

Dans le premier cas, il s’agit de la capacité des sociétés à répondre rapidement aux demandes faites par les enquêteurs, en fournissant les données désirées. Dans le second, on parle de la détection des activités criminelles par différentes technologies. Est mise en avant « la détection des utilisateurs qui ont un intérêt sexuel pour les enfants, échangent des images d'abus et cherchent à commettre des délits sexuels de contact ».

Si la pédocriminalité est mise au premier plan, le communiqué cite également la traite humaine, le trafic de stupéfiants, les meurtres et toutes les formes de criminalité économique.

Or, tout serait remis en question par le chiffrement de bout en bout. « Les entreprises ne seront pas en mesure de répondre efficacement à une autorité légale. Elles ne pourront pas non plus identifier ou signaler les activités illégales sur leurs plateformes. Par conséquent, nous ne serons tout simplement pas en mesure d'assurer la sécurité du public », préviennent les forces de l’ordre.

Europol souhaite « une certaine flexibilité »

Le chiffrement de bout en bout aurait permis l’émergence de nouveaux espaces hors de portée des enquêteurs et des entreprises technologiques, en créant un solide anonymat. « Nous savons, grâce aux protections offertes par le darkweb, avec quelle rapidité et quelle ampleur les criminels exploitent cet anonymat », ajoute Europol.

Souhaitant pouvoir débattre de manière dépassionnée du sujet, l’agence européenne n’accepte pas « qu’il y ait un choix binaire entre la cybersécurité ou la vie privée d’une part, et la sécurité publique d’autre part. L'absolutisme, d'un côté comme de l'autre, n'est pas utile ».

La suite du plaidoyer peut se deviner aisément : « Nous pensons que des solutions techniques existent ; elles nécessitent simplement une certaine flexibilité de la part de l'industrie et des gouvernements. Nous reconnaissons que les solutions seront différentes pour chaque capacité et qu'elles varieront également d'une plate-forme à l'autre ».

« Nos maisons deviennent plus dangereuses que nos rues, car la criminalité se déplace en ligne. Pour assurer la sécurité de notre société et de nos concitoyens, nous devons sécuriser cet environnement numérique. Les entreprises technologiques ont une responsabilité sociale dans le développement d'un environnement plus sûr où les forces de l'ordre et la justice peuvent faire leur travail. Si la police perd la possibilité de recueillir des preuves, notre société ne sera pas en mesure de protéger les personnes contre la criminalité », a ajouté Catherine De Bolle, directrice d’Europol.

Mais en dépit d’une volonté de discussion constructive, ce sont bien les gouvernements qui sont interpelés pour « prendre des mesures contre le déploiement du chiffrement de bout en bout ».

Pourquoi maintenant ?

Ce n’est pas la première fois que les forces de l’ordre dans le monde s’expriment sur le chiffrement de bout en bout. Régulièrement, elles pointent les difficultés croissantes à mener des enquêtes à bout, à mesure que le chiffrement progresse.

On se souvient par exemple des affrontements tendus entre Apple et le FBI après la tuerie de San Bernardino. Le Bureau avait exigé d’Apple qu’elle perce dans ses propres défenses et se préparait à porter l’affaire devant les tribunaux. Il avait finalement utilisé une faille pour contourner la difficulté. La vapeur avait été renversée, Apple exigeant de connaître les détails pour colmater la vulnérabilité.

Mais si Europol remet cette crainte en avant, c’est à cause de Meta. Lorsque l’entreprise, qui s’appelait alors Facebook, avait promis d’intégrer du chiffrement de bout en bout dans tous ses produits, beaucoup ont adopté une position « qui vivra verra ». Meta était clairement en retard dans son projet, mais lorsqu’il est devenu clair qu’il allait être mené à bien, une coalition de forces de l’ordre (qui regroupait notamment Interpol, Europol et le FBI) a demandé officiellement à la société d’arrêter.

Or, depuis quelques mois, Meta a bel et bien commencé à instaurer le chiffrement de bout en bout dans Messenger, actuellement la messagerie la plus utilisée au monde. Instagram doit y passer dans l’année également. WhatsApp n’est pas évoqué car la messagerie a basculé sur ce mode de fonctionnement il y a des années, lorsque le service a adopté le protocole Signal. Aujourd’hui, face au DMA, Meta réclame même des autres services qu’ils utilisent du chiffrement de bout en bout pour prétendre à l’interopérabilité.

Dans son communiqué, Europol ne s’en cache pas : « La déclaration, publiée aujourd'hui et soutenue par Europol et les chefs de police européens, intervient alors que le chiffrement de bout en bout a commencé à être déployé sur la plateforme de messagerie de Meta ».

Meta, très grand fournisseur de données

La semaine précédente, la National Crime Agency britannique avait déjà publié un communiqué en réponse au déploiement du chiffrement de bout en bout dans Messenger et Instagram. L’agence y annonçait sa grande déception, ainsi que sa crainte de voir une énorme source d’informations se tarir.

La NCA s’attend en effet à ce que disparaisse l’écrasante majorité des rapports sur la détection de maltraitance des enfants, à hauteur de 92 % pour Facebook et de 85 % pour Instagram.

Selon l’agence, c’est d’autant plus regrettable que Meta participait activement dans ce domaine de lutte. L’entreprise n’avait-elle pas indiqué qu’elle mettrait en place des solutions de remplacement ? Si, mais les « mesures de sécurité alternatives mises au point par l'entreprise et reposant sur les seules métadonnées ne produiront que rarement, voire jamais, des preuves suffisantes pour obtenir un mandat de perquisition », indique la NCA. « Cela signifie qu'en pratique, les volumes seront si importants qu'ils n'auront probablement que très peu de valeur ».

Selon l’agence, 1 200 enfants sont protégés actuellement chaque mois et 800 suspects sont arrêtés.

La pensée magique

La déclaration d’Europol ne manquera pas d’interpeler et de tenter à nouveau les gouvernements qui aimeraient affaiblir le chiffrement de bout en bout.

Comment s’y prendraient-ils ? Essentiellement de deux manières : soit en utilisant des algorithmes comportant des portes dérobées ou des mécanismes d’interception, soit en limitant la taille et la complexité des clés. Les moyens pour ces deux méthodes existent, la faisabilité technique n’a jamais fait débat.

Le problème se situe ailleurs : il est impossible d’introduire une faiblesse dans un mécanisme de chiffrement tout en garantissant que seules les forces de l’ordre pourront en profiter. On parle ici de protocoles présents dans des messageries utilisées par des milliards de personnes et exposés à Internet. Une porte dérobée aura beau être bien cachée, elle finira tôt ou tard par être trouvée par un tiers. Croire le contraire relève de la pensée magique.

Les failles de sécurité – puisque c’est bien de cela que l’on parle – font l’objet d’un trafic intense. Des sociétés comme Zerodium sont prêtes à dépenser des millions de dollars pour les acheter et les revendre. Un marché gris s’est développé autour de cette activité. Même le FBI en a profité face à Apple.

D’un point de vue juridique, si une loi devait entériner l’affaiblissement des protocoles de sécurité au bénéfice des forces de l’ordre, l’imbroglio serait colossal. Un nombre croissant de lois et règlements imposent en effet de sécuriser leurs produits. Et ce ne sont pas la loi SREN en France ou la directive NIS 2 en Europe qui vont enrayer cette marche. Pour les grandes entreprises technologiques, l’obligation de sécuriser leurs produits serait incompatible avec celle d’introduire des faiblesses pour les forces de l’ordre.

Pour preuve du caractère ambivalent du sujet, rappelons que l’ENISA, l’agence européenne de sécurité des réseaux et de l’information, avait mis en garde dès 2016 les membres de l’Union qui seraient tentés par un affaiblissement du chiffrement. Les différents cadres juridiques nationaux s’affronteraient pour des services à la portée mondiale. À moins que la totalité des pays se mettent d’accord pour un affaiblissement, voire une suppression du chiffrement de bout en bout. Auquel cas la sécurité des échanges ferait un vaste bond en arrière.