Faut-il s’aventurer dans la voie inconnue du FBiOS ?

FBiOS = version IoS demandée par le FBI

Le cas Apple / FBI ne cesse de faire les gros titres de la presse. Nous ne reviendrons pas sur les détails, mais pour ceux d’entre vous qui ont vécu sur une île déserte pendant ces 2 derniers mois, voici un bref résumé de la situation.

Après la fusillade de San Bernardino, ayant causé la mort de 14 personnes en décembre dernier, le FBI est entré en possession d’un iPhone utilisé par l’un des deux terroristes. Il était possible que le dispositif confisqué contienne des informations utiles dans le cadre de l’enquête. Dans ce sens, le FBI a demandé à Apple de développer une nouvelle version iOS – ou un FBiOS comme les médias l’ont baptisé, capable de contourner certaines fonctions clés de sécurité sur l’iPhone. À la sollicitation du Ministère de la Justice, un juge fédéral a ordonné à Apple d’assister les organismes de la loi dans le déblocage des portables dont les contenus sont protégés avec une clé de chiffrement.

La question a été portée devant les tribunaux et, alors qu’Apple a été sommé d’aider le Bureau Fédéral, le géant a ouvertement refusé de le faire. Soutenu par d’autres acteurs technologiques comme Google et Facebook, Tim Cook, le PDG d’Apple, a clairement confirmé son opposition : «  ce logiciel – qui n’existe pas aujourd’hui – aurait le potentiel de déverrouiller toutes les iPhones. Construire une version d’iOS qui contourne la sécurité permettrait la création d’une porte dérobée (en anglais, backdoor). Le gouvernement nous assure que son utilisation serait limitée à ce cas présent, mais il n’y a aucun moyen de garantir qu’elle ne finisse pas dans de mauvaises mains ». Dans sa campagne de relations publiques, Cook a souligné à plusieurs reprises l’impact que pourrait avoir la décision du tribunal sur la vie privée des utilisateurs d’iPhone. En tenant compte qu’il y a 110 millions d’utilisateurs d’iPhone aux Etats-Unis, soit un tiers de la population totale, nous pouvons comprendre pourquoi ceci est un sujet délicat.

Le FBI tant qu’à lui a plaidé avec conviction son cas, invoquant des situations passées où la vie des civils était en danger et où les mêmes iPhones impénétrables étaient impliqués.

Lorsque l’argument est la sécurité nationale et la lutte contre le terrorisme, la majorité des utilisateurs pourraient succomber. La tendance est, donc, d’abandonner une partie de sa vie privée en faveur de la sécurité. Voilà comment le gouvernement américain a décrit la lutte entre le FBI et Apple : une bataille destinée à déterminer laquelle des deux – la vie privée ou la sécurité – est plus importante. Cette question n’appelle pas une réponse noire ou blanche, la problématique est plus complexe que cela et un aspect ne peut pas en exclure un autre. Moins de vie privée ne signifie pas automatiquement plus de sécurité.

Voici l’avis de Benjamin Benifei, notre conseiller juridique chez ITrust : «Il est de bon ton pour les autorités publiques de s’attaquer au chiffrement en général. Plusieurs voix s’élèvent pour affaiblir le recours au chiffrement, par un encadrement contraignant ou la mise en place de porte dérobée, voire pour l’interdire. Tout affaiblissement du recours à la cryptographie nuirait plus à l’ensemble de la société qu’il ne permettrait de régler le problème du terrorisme».

Nous avons tendance à partager le même point de vue que notre consultant. L’émergence des nouvelles technologies voient apparaître une tension, qui n’a pas été prévue ni par les fabricants, ni par les organismes gouvernementaux. Le véritable dilemme ici n’est pas de définir les cas exceptionnels où la sécurité l’emporte sur la vie privée, mais plutôt de nous demander : comment pouvons-nous conserver à la fois la sécurité et les droits personnels sans risquer ni l’un ni l’autre ?

Avec cette image d’ensemble à l’esprit, FBiOS n’était il pas simplement un prétexte pour avancer la législation autour du cryptage aux Etats-Unis ? La loi du Congrès cité par le FBI au tribunal remonte aux années 1800 et ne devrait plus être valide 200 ans après, au vue de l’air 2.0 dans lequel nous vivons.

Au final, le FBI a abandonné les poursuites contre Apple et a réussi à récupérer les données de l’iPhone grâce à un « tiers » – étant, en fait, une poignée de pirates professionnels payé par le Bureau Fédéral. La méthode utilisée par ce tiers permet de déverrouiller seulement l’iPhone 5C, modèle utilisé par le terroriste.

La façon dont s’est résolu cette affaire jette un sérieux doute sur les réelles motivations du FBI à demander l’aide d’Apple. Le tapage qui suit a déjà commencé à se propager. Récemment, les sénateurs américains ont lancé une proposition de loi visant à affaiblir le chiffrement en forçant les acteurs technologiques à modifier leurs mesures de sécurité pour faciliter l’application de la loi. De l’autre côté, les fabricants et les défenseurs de la vie privée forment un front uni militant contre son approbation au Congrès.

Une chose est claire : la situation n’a pas encore trouvé son équilibre sur le sol américain. Notre juriste, Benjamin explique dans le cas présent comment se serait passé en France : « En France, c’est la Loi pour la confiance dans l’économie numérique (LCEN) qui a permis en 2004 d’instaurer une liberté complète d’utilisation des moyens de cryptologie. Toutefois, cette loi comprend un régime encadrant l’importation, la fourniture et l’exportation de ces moyens (article 30 de la LCEN).  De même, le refus de divulgation de la clef d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit pourrait être passible de trois ans d’emprisonnement et de 75000 euros d’amende (article 434-15-2 du Code pénal). Enfin, un procureur de la République ou un officier de police judiciaire a tout pouvoir pour requérir d’une personne ou d’une entreprise la communication des informations «utiles à la manifestation de la vérité», clef de déchiffrement comprise (article 60-2 du Code de procédure pénale).  Par conséquent, si un cas similaire devait se produire en France, Apple serait légalement tenu de remettre sa clé de chiffrement afin de déchiffrer les données, les rendant ainsi intelligibles ».

La question de la sécurité et de la confidentialité dans le contexte de chiffrement peut être débattue sans fin et, selon votre position, les deux opinions peuvent sembler raisonnables. « La parade est donc de respecter les bonnes pratiques en matière de sécurité de l’information et d’instaurer le chiffrement de bout en bout, sans que le fabricant de téléphone n’ait connaissance des moyens de déchiffrement », ajoute Benjamin.

Cela étant dit, le refus d’Apple est-il réellement un engagement envers la protection de la vie privée des utilisateurs ?

Ou est-ce simplement une manière de détourner l’attention du fait qu’il est le seul à posséder les clés de chiffrement des 700 millions d’iPhones à travers le monde ?

Liens :

https://www.reveelium.com/fr/fbios-rabbit-hole/

https://www.itrust.fr/la-voie-inconnue-FBiOS