Anom Stunt du FBI secoue le débat sur le cryptage

Les succès répétés du FBI à surmonter son problème de « devenir noir » démentent les protestations selon lesquelles il s’agit d’une menace existentielle. À certains égards, Anom montre à quel point les solutions de contournement de l’agence peuvent être créatives. Les chercheurs mettent cependant en garde contre le fait que, alors que de plus en plus de gouvernements dans le monde cherchent le pouvoir d’exiger des portes dérobées numériques – et que certains, comme l’Australie, mettent en œuvre de telles lois – les autorités pourraient également citer l’affaire Anom comme preuve que l’accès spécial fonctionne.

« Il semble qu’à partir de là, ce n’est pas un grand pas en rhétorique de dire : « Cela a si bien fonctionné, ne serait-ce pas bien si chaque application avait une porte dérobée ? » C’est littéralement ce que les forces de l’ordre aux États-Unis ont dit vouloir », a déclaré Riana Pfefferkorn, directrice associée de la surveillance et de la cybersécurité au Center for Internet and Society de l’Université de Stanford. Si être capable de surveiller chaque message sur Anom était si efficace, pourrait dire le FBI, pourquoi ne pas le faire simplement plus, et dans plus d’endroits ?

Circonstances extraordinaires

Il est important de ne pas extrapoler trop largement à partir de l’expérience Anom. Selon les documents publiés cette semaine, le FBI s’est donné beaucoup de mal pour travailler en vertu des lois étrangères et éviter de surveiller les Américains tout au long de l’initiative de trois ans. Et il n’y a pas de menace immédiate que le FBI puisse déployer un système totalement dérobé à l’intérieur des États-Unis. Le quatrième amendement protège contre les perquisitions et saisies « abusives » et établit une base claire pour les exigences de mandat du gouvernement. De plus, les ordonnances de surveillance continue comme les mandats d’écoute électronique sont intentionnellement encore plus difficiles à obtenir pour les forces de l’ordre, car elles autorisent une surveillance massive et étendue. Mais, comme l’a montré le programme PRISM de la National Security Agency, les programmes nationaux de surveillance numérique non contrôlés ne sont pas en dehors du domaine des possibilités aux États-Unis.

Une leçon à tirer d’Anom, cependant, est que bien qu’elle ait été efficace à bien des égards, elle a entraîné des dommages collatéraux potentiels pour la vie privée des personnes qui n’ont été accusées d’aucun crime. Même un produit destiné aux escrocs peut également être utilisé par des personnes respectueuses de la loi, soumettant ces cibles par inadvertance à une surveillance draconienne dans le but d’essayer d’attraper de vrais criminels. Et tout ce qui normalise le concept d’accès gouvernemental total, même dans un contexte très spécifique, peut être un pas sur une pente glissante.

« Il y a une raison pour laquelle nous avons des exigences de mandat et il faut des efforts et des ressources pour mettre le travail dans les enquêtes », explique Pfefferkorn. “Lorsqu’il n’y a pas de frictions entre le gouvernement et les personnes sur lesquelles ils veulent enquêter, nous avons vu ce qui peut en résulter.”

Ces inquiétudes sont étayées par des indications selon lesquelles les gouvernements ont activement recherché de vastes autorités de porte dérobée. Avec l’Australie, d’autres homologues du renseignement américain «Five Eyes», comme le Royaume-Uni, ont également émis des idées sur la manière dont les forces de l’ordre pourraient avoir accès aux services cryptés de bout en bout. En 2019, par exemple, l’agence de renseignement britannique GCHQ a proposé que les services créent des mécanismes permettant aux forces de l’ordre d’être ajoutés en tant que participant silencieux et invisible aux discussions ou à d’autres communications les intéressant. De cette façon, a fait valoir le GCHQ, les entreprises n’auraient pas à casser leurs protocoles de cryptage ; ils pourraient simplement faire participer un autre compte aux conversations, comme ajouter un autre membre à une discussion de groupe.

La réaction contre la proposition a été rapide et définitive de la part des chercheurs, des cryptographes, des défenseurs de la vie privée, des groupes de défense des droits de l’homme et des entreprises comme Google, Microsoft et Apple. Ils ont fermement soutenu qu’un outil permettant d’ajouter des fantômes chargés de l’application de la loi aux discussions pourrait également être découvert et utilisé de manière abusive par de mauvais acteurs, exposant ainsi tous les utilisateurs d’un service à des risques et compromettant fondamentalement l’objectif des protections de cryptage de bout en bout.

Des cas comme Anom, et d’autres exemples d’agences chargées de l’application des lois qui exploitent secrètement des sociétés de communication sécurisée, peuvent ne pas réaliser les rêves les plus fous des forces de l’ordre concernant l’accès aux communications de masse. Mais ils montrent – avec toutes leurs propres escalades, zones grises et implications potentielles en matière de confidentialité – que les autorités ont toujours des moyens d’obtenir les informations qu’elles souhaitent. Le monde criminel n’est pas devenu aussi sombre qu’il y paraît.

« Je suis heureux de vivre dans un monde où les criminels sont stupides et s’entassent dans des applications de chiffrement criminel cryptées à usage spécial », déclare Matthew Green, cryptographe de Johns Hopkins. “Ma crainte réelle est que certains criminels finissent par cesser d’être stupides et qu’ils passent simplement à de bons systèmes de messagerie cryptés.”

Plus de belles histoires WIRED