Selon Reuters, l’organisation internationale de promotion de la coopération policière prévoirait de communiquer officiellement pour donner son avis sur le chiffrement.
Selon une source, il ressortirait que le déploiement du chiffrement dans toutes les directions rend les enquêtes plus complexes et permet une explosion de la prédation sexuelle, tout particulièrement des enfants.
Interpol ne s’est jamais exprimée sur le sujet, mais ce serait un nouveau coup de massue contre le chiffrement, dont le ciel s’assombrit depuis peu. Des lois ont pour rappel été votées, entre autres, au Royaume-Uni et en Australie pour obliger les entreprises concernées à participer.
L’explosion du chiffrement doit beaucoup aux révélations d’Edward Snowden en 2013, qui ont transformé le paysage de la sécurité. Depuis, les grandes entreprises technologiques sont sous pression, comme en témoignait il y a quelques années l’affrontement entre Apple et FBI au sujet d’un iPhone retrouvé après la tuerie de San Bernardino.
Il ne semble pas pouvoir exister de compromis dans ce domaine. D’un côté, les tenants du chiffrement (surtout de bout en bout), pour qui il est impératif de protéger le secret des communications, autant dans les pays sensibles que pour se protéger des pirates.
De l’autre, les forces de l’ordre qui protestent régulièrement contre la complexité d’avancer dans des enquêtes à cause de données inaccessibles. En septembre 2018, les Five Eyes (États-Unis, Royaume-Uni, Australie, Canada et Nouvelle-Zélande) demandaient d’une voix commune aux entreprises d’aider la police à faire son travail.
En France, on retrouve plusieurs sorties sur le sujet, notamment de Bernard Cazeneuve en août 2016, qui « souhaitait impulser une initiative européenne à l'encontre du chiffrement des communications ». La législation n’a toujours pas changé, ce qui n’empêche pas les recherches de pointe pour contourner le chiffrement chaque fois que nécessaire.
Si Interpol prend position, la pression s’accroitra automatiquement pour les entreprises, qui refusent très ostensiblement de pirater leurs propres clients. Le danger exposé est toujours le même : si un chiffrement est affaibli (surtout par l’ajout d’une porte dérobée), toute personne avec les connaissances nécessaires pourra s’engouffrer dans la brèche. Puisqu’il s’agira bel et bien d’une vulnérabilité.
Commentaires (25)
#1
Moi je suis contre le fait de fermer les portes à clefs, je vais donc imposer aux fabricants de portes une deuxième serrure qui permettra à l’État de rentrer chez ses con-citoyens (pour leurs propres sécurités bien sûr) et ainsi s’assurer du bon respect de la législation.
#2
Interpol n’est que l’une des agences dans la très longue liste des agences qui veulent se ménager une backdoor - quelque soit le nom qu’ils leur donne.
Dans la même veine Europol a vivement critiqué le CGNAT :https://www.europol.europa.eu/newsroom/news/are-you-sharing-same-ip-address-crim…
Plus récemment il y a eu pas mal d’agitation cncernant la proposition du GCHQ de créer un protocole ‘ghost’ permettant aux autorités d’espionner TOUTE conversation sur des messageries style whatsapp & autre en ajoutant un utilisateur fantome qui loggerais tout. Ces logs étant ensuite ingérés par un elastic search ou autre pour lever des alertes.
https://www.justsecurity.org/62114/give-ghost-backdoor/
#3
#4
Ou alors ils passent par chez ta voisine et ils profitent d’une fenêtre ouverte chez toi pour rentrer et te laisser un mot d’amour sur la table.
" />
#5
Le terrorisme et la pédophilie, les deux têtes de turc qui justifient tout…
Entre temps l’Australie a passé une loi l’année dernière qui permet à leur service de renseignement de “recruter” secrètement un salarié quelconque dans n’importe quelle entreprise enregistrée sur le territoire et le forcer à installer une backdoor avec obligation stricte de non-divulgation, même à l’employeur, sous peine de sévères poursuites.
Ou comment tirer une balle dans le pied à toutes les entreprises IT du pays. Hello Fastmail, hello Atlassian…
Bon courage pour aller décrocher des contrats sur des données sensibles. Désolé, on ne peut plus vous faire confiance.
#6
#7
Aujourd’hui ils vont peut être enfin remettre les moyens dans le renseignement humain (le seul performant à ce jour) plutôt que de taper sur le chiffrement
#8
Ca limite le développement de nouveaux marchés et de l’innovation qui va avec.
A l’heure où le monde occidental se fait rattraper par les pays en voie de développement, c’est un non sens de brider les leviers de différentiation qui auront un effet dans une génération ou deux.
Mais bon, l’état d’esprit actuel ici, c’est de vendre du charbon.
#9
Après le fiasco des serrures TSA, j’aimerai les voir proposer un système où ils ont des clés universelles.
#10
Il n’empèche que ce qu’ils disent reste vrai.
Hélas.
#11
Dans un monde normal on ne devrait pas avoir à chiffrer quoi que ce soit. Mais comme il est plus simple de chiffrer plutôt que d’enseigner l’informatique alors il faut bien un éboueur pour ramasser les merdes que la bêtise technologique actuelle génère.
#12
C’est pathétique. Le chiffrement fonctionne difficilement sans authentification donc je ne vois pas l’intérêt ni pour eux ni pour le politique de récupérer des données sans être vu… sauf à vouloir mettre la pression sur les personnels de police et de justice qui eux opèrent à visage découvert et empochent de ce fait plus d’assentiment que lorsqu’ils travaillent dans l’ombre.
Soit c’est du troll politique pour faire réagir en ne changeant rien, soit c’est une méthode d’analyse. Dans les deux cas c’est un faux-débat tenu par des responsables aussi médiocres qu’inutiles.
#13
#14
Le problème de fond c’est qu’on le touche, en fait.
" />
" />
Mais la seconde étape est à mourir de rire alors on creuse.
Plus sérieusement.
C’est bien pour ces raisons que la crypto a été inventée…
Car passer d’un modèle de responsabilité individuelle avec comme contrepartie l’impossibilité d’un déchiffrement tiers à un modèle de partage de toutes données c’est clairement une régression dans ce cas précis.
Mais peut-être est-ce aussi plus simple de laisser miroiter un avenir commun par cette promiscuité numérique en ne changeant rien aux violences déjà présentes sans internet.
#15
#16
C’est ironique de se dire que l’informatique est né entre autre pour décrypter (casser) les messages caché par Enigma….
#17
#18
C’est l’échange de clé qui est visé par leur proposition. Il serait donc plus cohérent de s’en tenir à authentifier les correspondants mais de les laisser échanger leurs clefs sans intervenir outre mesure sur le contenu des messages (ou la clé de déchiffrement, c’est pareil).
Le réel problème politique des messageries privatives est de mettre à disposition un serveur d’identité numérique qui n’appartient pas à une gestion publique… c’est la seule chose qui déconne avec le chiffrement alors que tous les protocoles même les plus anciens intègrent cette notion d’authentification.
Le chiffrement même implémenté sans code source dispo ne peut fonctionner sans authentification. On est donc dans un cas où la méta-donnée suffit à satisfaire la condition de vérification d’identité qui peut effectivement incomber aux autorités publiques (c’est déjà le cas dans d’autres domaines).
Après bah casser du chiffrement avec comme arrière pensée une frustration due à la crypto war cela finit par devenir réellement con… d’autant qu’il est incohérent de définir des cybermenaces alors que le chiffrement permet justement d’en limiter drastiquement la portée… bref, ils sont dans le contre-sens total.
Enfin sur riot ou xmpp qui sont structurés de la même façon, il est bien évident qu’en confiant un ID à un particulier la question de la confiance IRL est posée… mais disons que là encore c’est raisonner à coup de marteau côté autorités si c’est pour aboutir à du filtrage qui sera toujours inefficace… ou alors qu’ils définissent les spécifications techniques de A à Z… mais je doute qu’ils aillent aussi loin.
#19
Vu le degré de sensibilité d’une partie des décideurs en la matière je doute que se tirer une balle dans le pied les fassent réagir.
" />
#20
#21
Le contenu des conversations sert surtout à collecter ce qui les intéresse déjà… c’est bien le problème de cette méthode de surveillance par mots-clefs et méta-analyse aux axiomes peu clairs présentée comme moderne alors qu’elle ne change rien et même aggrave les biais de leur direction….
" />
Dans rapport minoritaire, la nouvelle de Dick, c’est un cas typique de prophétie auto-réalisatrice. Donc pas besoin de numérique ou de science fiction pour comprendre que le problème n’est pas technique loin de là…
Par contre sur les serveurs d’identité cela ne me choque pas de contracter. C’est la moins pire des solutions qu’ils ont à disposition mais encore faut-il pouvoir assumer qu’au FBI tout le monde ne peut pas être Fox Mulder ou au CGHQ James Bond hein… c’est pas gagné.
#22
#23
Centralisé non, mais il faut bien un tiers de confiance. Après on est d’accord que dans ton exemple c’est assez solide mais il n’en reste pas moins que la communication de bout en bout nécessite une méta-donnée préalable qui est l’annonce de la communication… donc rien ne sera jamais parfait. Donc autant l’accepter afin d’évacuer la question de l’identité (un chien qui ronge son o.s (
" />) c’est mieux qu’un chien qui mord). 
" />
#24
#25