Smartphones verrouillés : le FBI est loin d’en avoir fini

Même si la principale guerre entre Apple et le FBI à pris fin, la bataille sous-jacente contre le chiffrement continue. Non seulement l’agence fédérale mène un autre front contre Google, mais la technique récemment utilisée sur un iPhone va servir dans d’autres affaires.

L’affaire de l’iPhone de San Bernardino a largement cristallisé les tensions qui régnaient entre les forces de l’ordre américaines et la Silicon Valley. Le FBI, en charge de l’affaire, cherchait à récupérer de précieuses informations dans le smartphone. Problème : son contenu était chiffré et Apple était incapable de donner la clé. Depuis iOS 8 en effet, le code de verrouillage, connu normalement du seul possesseur de l’appareil, participe à la création de la clé.

La bataille qui s’en est suivie était entièrement articulée sur l’All Writs Act, permettant à l’agence de réclamer de l’aide à une entreprise. Apple s’était opposée à l’ordonnance délivrée par le tribunal de Riverside, jugeant que non seulement la demande représentant une charge excessive, mais qu’il en résulterait des dégâts certains sur son image et donc son chiffre d’affaires. En outre, elle accusait le FBI de chercher à obtenir par les tribunaux ce qu’il n’avait pu avoir par le Congrès avec le rejet de la loi CALEA II.

Apple veut savoir la technique utilisée par le FBI

Plus que tout, Apple craignait en fait qu’un précédent soit établi. La décision aurait fait jurisprudence et aurait été répercutée sur toutes les autres affaires impliquant des appareils iOS chiffrés. Or, dans un retournement de situation, le FBI avait annoncé qu’un tiers était en mesure d’aider à déverrouiller l’iPhone. Quelques jours plus tard, la méthode était confirmée : le FBI n’avait plus besoin d’aide.

Depuis, Apple cherche à connaître les détails. Et pour cause : il existe très probablement une ou plusieurs failles de sécurité qui ont été exploitées. Comme indiqué régulièrement au sujet des activités de la NSA dans ce domaine, des brèches non signalées peuvent tout autant être trouvées par des pirates et exploitées contre les utilisateurs. Mais le FBI refuse (une inversion ironique des rôles), puisque d’autres affaires sont en cours.

Déjà deux autres affaires où la méthode pourrait servir

On savait ainsi que le seul État de New York avait environ 200 affaires impliquant des iPhone verrouillés. Si le FBI est en possession d’un outil capable de décrypter des données, il n’y a évidemment rien qui l’empêche d’intervenir dans des enquêtes bloquées. On sait ainsi que l’agence interviendra en Arkansas pour déverrouiller un iPhone et un iPod dans le cadre d’une enquête visant deux adolescents accusés d’avoir tué un couple. Le procès devait avoir lieu cette semaine, mais le juge l’a reporté au 27 juin pour laisser au FBI le temps de faire son travail.

Dans une autre affaire, cette fois à Brooklyn, c’est un iPhone 5s qui pose problème dans une affaire de trafic de drogue. Cette fois, le département américain de la Justice doit décider d’ici au 11 avril s’il continue à demander de l’aide à Apple, ou s’il se replie sur une solution visiblement fonctionnelle. Apple « profite » d’ailleurs de l’affaire pour essayer d’en savoir plus sur la fameuse méthode. Mais, comme le rappelle Reuters, le FBI n’a aucune obligation légale de révéler ce qu’il utilise.

Google est également concernée

C’est donc bien un nouveau chapitre qui s’ouvre dans une guerre qui risque d’être longue. Elle durera jusqu’à ce que l’épineuse question du curseur soit réglée : comment établir la limite entre respect de la vie privée et la sécurité ? Apple ne sera d’ailleurs pas la seule entreprise à être touchée, puisque l’on sait désormais que Google a reçu au moins neuf demandes similaires pour déverrouiller des appareils Android.

L’ACLU (American Civil Liberties Union) a en effet dévoilé en fin de semaine dernière des documents montrant ces demandes. Elles sont toutes basées sur l’All Writs Act, exactement comme dans le cas d’Apple. La crainte pour l’association est évidemment que le FBI puisse obtenir avec Google ce qu’elle n’a pu réussir à avoir via Apple. Le problème de jurisprudence serait alors exactement le même.

La fragmentation joue encore un rôle important

Il existe cependant une différence très nette entre Apple et Google : la fragmentation. Comme nous l’avions indiqué en novembre dernier, la firme de Mountain View peut réinitialiser les mots de passe à distance et déverrouiller les appareils dont la version d’Android est antérieure à la 5.0 et qui n’ont pas le chiffrement intégral actif. Cette méthode reste en l’état utilisable sur pratiquement les trois quarts des smartphones en circulation actuellement.

Google a toutefois réagi pour expliquer qu’aucune de ces demandes ne requérait le développement d’un outil spécifique pour percer les défenses de son système, comme cela avait été le cas avec Apple : « Nous examinons soigneusement les assignations et ordonnances des tribunaux afin d’être sûrs qu’ils respectent à la fois l’esprit et la lettre de la loi. Cependant, nous n’avons jamais reçu de demande comme celle faite à Apple de développer de nouveaux outils qui compromettraient activement la sécurité de nos produits. Nous nous opposerions avec force à une telle ordonnance ».

On notera que cette réponse faite par un porte-parole réaffirme au passage le soutien fait à Apple dans son opposition au FBI. Cependant, Google ne nie pas non plus être en capacité de déverrouiller une grande partie des smartphones Android dans le cadre des enquêtes et des procédures juridiques. D’ailleurs, si Apple peut arguer d’une impossibilité technique, son concurrent ne le peut pas.