Chiffrement : petite analyse d'un communiqué

Le gouvernement français a récemment annoncé son intention de faire des propositions visant à pister plus facilement les terroristes sur Internet. On ne sait pour l'instant rien de précis mais, sitôt que des restrictions au chiffrement ont été évoquées, le sang des "activistes" n'a fait qu'un tour.

Une idéologie libertaire (ou, disons, libérale-libertaire, car elle s'intéresse plus aux menaces venant des Etats qu'aux emprises de sociétés privées) imprègne la mythologie de l'Internet, de son histoire, et elle anime nombre de ses défenseurs auto-proclamés. Cette idéologie est séduisante car basée sur la défense d'un noble principe (la liberté entendue ici comme absolue, absolument individuelle, et ne souffrant aucune restriction a priori).

Ainsi lorsqu'un Etat émet l'idée de placer des restrictions aux capacités de chiffrement accessibles à tout un chacun, on est sûr de voir refleurir les argumentaires habituels en réaction. Cette fois-ci, c'est le Conseil National du Numérique (une sorte de collège de personnalités recrutées sur des critères semble-t-il hétéroclites...) qui s'y colle, avec ce communiqué : « Chiffrement et lutte contre le terrorisme : attention à ne pas se tromper de cible ».

Il se trouve que nombre de ses arguments sont très discutables, voire carrément faux. Voyons :

« à la fin des années 1990, la France a arrêté de considérer le chiffrement comme une arme de guerre. Elle semble aujourd’hui vouloir renouer avec cette approche, qui a pourtant lourdement handicapé le numérique français par le passé »

La thèse du retard économique est un classique de l'argumentaire anti-règlementation. On la retrouve aussi bien chez les ultra-libéraux que chez les libertaires de l'Internet, à n'importe quel sujet (du droit du travail au chiffrement en passant par les normes environnementales).

Or, les auteurs seraient bien en peine de démontrer que les restrictions au chiffrement auraient « lourdement handicapé le numérique français »... à une époque (les années 90) où le chiffrement était marginal. Contrairement à ce que sous-entendent ces phrases, la France n'a d'ailleurs aucun retard dans le domaine du chiffrement, comparée à d'autres pays développés.

« Pour les entreprises, le chiffrement est aujourd’hui le meilleur rempart contre l’espionnage économique ».

Les auteurs présentent ici le chiffrement comme une sorte de solution efficace contre l'espionnage. Non seulement c'est vraisemblablement faux (ils l'admettent à demi-mot plus loin...), mais c'est dangereux, car croire à la toute-puissance d'un dispositif est le meilleur moyen d'ignorer l'existence de failles (qu'elles soient dans le dispositif ou qu'elles permettent de le contourner).

Concrètement, quand on voit que la récente fuite massive de documents chez DCNS est due à l'employé d'un sous-traitant, on se dit que ce n'est pas l'absence de chiffrement qui a permis la fuite, mais simplement une politique de sécurité défaillante. Le chiffrement n'est qu'un maillon (et probablement le plus facile à sécuriser) de la chaîne de sécurité.

 

security

« Les petites et moyennes entreprises sont les premières victimes de ces cyberattaques car elles n’ont généralement pas les moyens d’un chiffrement robuste ».

On entre dans le n'importe quoi. Un « chiffrement robuste » ne coûte pas cher. Ce qui coûte cher, c'est d'employer des spécialistes en sécurité informatique (et au-delà), qui vont définir et faire appliquer des politiques forcément contraignantes au quotidien. Mais un « chiffrement robuste » ne coûte pas plus cher qu'un chiffrement fragile ou déjà cassé, si tant est qu'on utilise un logiciel ou service existant...

De toute façon, encore une fois, cette idée que les problèmes d'espionnage industriel sont résolus par le chiffrement ne tient pas la route.

« Quelle confiance avoir dans la porte blindée de son domicile si l’on sait qu’il existe une clé universelle pour l’ouvrir, quand bien même  cette clé serait officiellement détenue que par la police ? ».

Les auteurs sont-ils assez naïfs pour croire que la police n'est pas capable d'ouvrir une porte, même sans clé ? Au besoin, ils peuvent même faire sauter la porte ou les murs... ou, plus simplement, utiliser les services d'un serrurier.

En fait, c'est précisément là que se situe la différence entre le monde physique et le monde numérique. Dans le monde physique, un dispositif inviolable, ça n'existe quasiment pas, ou en tout cas ce n'est à la portée de quasiment personne. On peut donc laisser les gens installer des portes et des clôtures blindées, tout en sachant que les forces de l'ordre (mais aussi les serruriers...) réussiront à passer outre en cas de nécessité. Dans le monde numérique, n'importe qui peut utiliser des dispositifs de chiffrement quasiment inviolables (grâce à leurs propriétés mathématiques), contre lesquels les forces de l'ordre ne peuvent à peu près rien directement.

(il faut moduler cette affirmation : si le chiffrement est mathématiquement inviolable, son implémentation peut être perfectible, ou l'application peut éventuellement être attaquée par un autre biais)

« Comment, dès lors, empêcher des terroristes de coder leurs propres applications chiffrées et ainsi bénéficier d’un niveau de sécurité plus élevé que la majorité des utilisateurs ».

Certes. Cependant, c'est un argument assez spécieux : c'est comme si on disait qu'il ne sert à rien d'empêcher la vente d'armes à des terroristes sous prétexte qu'ils peuvent fabriquer leurs propres armes eux-mêmes. Sauf que fabriquer des armes, tout comme coder des systèmes de communication correctement chiffrés et protégés, requièrent un certain niveau d'expertise. Les spécialistes du sujet le savent bien : le meilleur moyen d'être vulnérable, c'est de coder un système de chiffrement soi-même au lieu de prendre un système existant et éprouvé.

(Derrière cet argument, je sens la patte du geek qui est persuadé qu'avec un peu d'huile de coude il peut créer un système inviolable. C'est bien présomptueux.)

« il est souvent possible de contourner le chiffrement, même s’il est très robuste, en exploitant des failles techniques ou en s’introduisant directement dans l’équipement de la personne ciblée. »

C'est vrai. Toutefois, « souvent » n'est pas « toujours ». De plus, les auteurs se tirent ici une balle dans le pied. Car s'il est possible de contourner le chiffrement, alors une backdoor (porte dérobée) n'est qu'une vulnérabilité potentielle de plus et ne change rien fondamentalement à la sécurité des communications des citoyens et entreprises. Après tout, si les délinquants peuvent déjà exploiter des failles techniques, ils n'ont pas besoin d'une hypothétique backdoor étatique dont les codes auraient été volés et diffusés (à supposer qu'un simple jeu de codes soit suffisant pour l'exploiter).

« Les spécialistes, à commencer par ceux de l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI), sont unanimes : il est techniquement impossible de s’assurer que de tels accès ne soient disponibles qu’au profit des personnes autorisées »

La même affirmation vaut pour les dépôts d'armes ou toute autre ressource sensible : dans le monde physique non plus, la sécurité absolue n'existe pas. En fait, l'argument ici est pur sophisme, tarte à la crème rhétorique.

En guise de comparaison, des entreprises comme Google ont construit des silos de données personnelles gigantesques : une même entreprise peut ainsi centraliser les données personnelles de centaines de milliers de personnes (parmi lesquelles, je suis sûr, des membres du CNNum, ou des PME dont certains seraient dirigeants). Pourtant, on n'a pas vu le CNNum émettre de communiqué critiquant le fait que Google n'est pas invulnérable et qu'il est « techniquement impossible qu'un accès ne soit disponible qu'au profit des personnes autorisées ». En fait, les risques que prend hypothétiquement un Etat sont inadmissibles auprès des rédacteurs de ce texte, mais cela passe très bien quand c'est une entreprise privée qui prend le même genre de risques. Curieuse mentalité.

« Avant d’envisager de se doter de nouveaux instruments législatifs, peut-être serait-il judicieux de s’assurer que les services de sécurité exploitent pleinement les nombreuses possibilités qui leur ont été offertes par le législateur. »

C'est un argument sérieux, mais un argument de circonstance. S'il permet de renvoyer le gouvernement français dans les cordes, il ne règle pas la question de fond.

« Il serait en effet opportun de travailler à renforcer les règles de coopération judiciaire, en particulier les mutual legal assistance treaty (MLAT) – accords bilatéraux entre États qui permettent l’échange d’informations et de données lors d’enquêtes en cours – afin de réduire ces délais de transmission. »

Exemple typique de faux dilemme : l'un n'empêche pas l'autre. Par ailleurs, concernant les affaires de terrorisme, je me demande si les services de pays « amis » s'encombrent de légalisme avant de s'échanger des informations.

« des autres fondements de notre société : l’égalité, le respect des droits fondamentaux et de notre État de droit. Ces fondements qui ont fait et font de la France un pays à l’avant-poste des libertés. »

Et ici, un exemple typique de grande envolée libertaire qui est en réalité un sophisme. Des restrictions au chiffrement ne violeraient ni l'égalité (puique tous les citoyens seraient soumis aux restrictions), ni les droits fondamentaux (le recours au chiffrement n'est pas un droit fondamental, ce n'est qu'un outil), ni (selon toute vraisemblance) l'Etat de droit. Cette phrase ne sert donc à rien d'autre qu'à se draper dans de grands principes en sous-entendant à tort qu'ils seraient menacés par ce que l'on veut dénoncer.

--

Sur le sujet de l'interaction entre chiffrement, vie privée et libertés individuelles, je ne peux que conseiller l'analyse beaucoup plus critique de Poul-Henning Kamp : More Encryption Means Less Privacy.

L'auteur y détaille un argument que j'ai esquissé ici : plus les moyens de chiffrement seront à la fois sûrs, faciles d'usage et répandus, plus les États seront poussés (par nécessité d'assurer les fonctions régaliennes, pas par vilaine obsession autoritariste, quoiqu'en pensent certains militants libertaires) à imposer des restrictions à l'usage du chiffrement.

--

PS : source du dessin : https://xkcd.com/538/

 

Le Club est l'espace de libre expression des abonnés de Mediapart. Ses contenus n'engagent pas la rédaction.