Une importante décision du Conseil constitutionnel est attendue dans trois mois. Elle concerne l’obligation pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie, de fournir cette information dans le cadre d’une procédure judiciaire. À défaut, son refus serait lourdement sanctionné.
L’article 434-15-2 du Code pénal est clair : celle ou celui qui a connaissance d’une convention de déchiffrement et qui refuse de la transmettre aux autorités judiciaires (ou refuse de la mettre en œuvre sur réquisition) risque aujourd’hui trois ans d’emprisonnement et 270 000 euros d’amende dans le cadre d’un crime ou d’un délit.
Mieux. Si ce refus est opposé alors que « la remise ou la mise en œuvre de la convention aurait permis d'éviter la commission » de ces infractions, alors les peines sont portées à cinq ans d'emprisonnement et 450 000 euros d'amende.
Ce quantum des peines avait ainsi été multiplié par six à l’occasion du projet de loi sur la réforme pénale. Un texte qui vise ici tous les « organismes détenteurs ou fabricants de moyens de cryptologie » comme l’expliquait le 11 mai 2016, le député Pascal Popelin, rapporteur pour l’Assemblée nationale.
Cette disposition présente cependant une fragilité juridique, estime un certain Malik X. Celui-ci a en effet soulevé une question prioritaire de constitutionnalité (QPC). Devant la Cour de cassation, étape préalable avant saisine du Conseil constitutionnel, il avance qu’elle ne permet pas au mis en cause de faire valoir de son droit au silence et du droit de ne pas s’auto-incriminer.
Droit de se taire, droit de ne pas s'auto-incriminer
Et pour cause, les alternatives ne sont pas bien denses : ou bien cette personne transmet la convention de déchiffrement, ou bien elle est condamnée lourdement.
Le 10 janvier, la chambre criminelle de la Cour de cassation a jugé que cette QPC présentait effectivement un caractère « sérieux », l’un des critères auscultés avant toute transmission : l’article « pourrait porter atteinte au droit de ne pas faire de déclaration et à celui de ne pas contribuer à sa propre incrimination qui résultent des articles 9 et 16 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789 ».
Elle l’a donc transmise au Conseil constitutionnel, qui a désormais trois mois pour jauger la conformité de l’article 434-15-2 au bloc de constitutionnalité.
Après la CEDH, la Cour de cassation avait déjà consacré le droit de se taire et celui de ne pas s’incriminer soi-même dans un arrêt d’assemblée le 6 mars 2015. Dans sa décision du 30 juillet 2010, le Conseil constitutionnel avait fait de même avec le droit au silence.
Commentaires (59)
#1
On a un exemple de contexte où ça pourrait s’appliquer ?
#2
#3
Comme ça, je dirais que ça a plus vocation d’obliger les entreprises à communiquer en cas d’enquête. Style une communication via telle appli, la justice demande l’accès aux messages, l’entreprise doit donc fournir un moyen de déchiffrer le message.
Je me trompe ?
#4
Ce que je me demande c’est comment prouver que la dite personne a la convention de chiffrement?
Comment distinguer une personne qui a oublié son mot de passe d’une personne qui ne veut pas le donner ? (hormis en cas d’aveux).
#5
#6
Les entreprises de qui fournissent des services de chiffrement, ne connaissent pas la convention de déchiffrement. Si c’était le cas, ça voudrait dire qu’ils transmettent et stockent la clef de chaque utilisateur et leur service serait abandonné par tous à cause des vulnérabilités que ça induirait …
Une belle perte de temps que cette loi…
#7
…articles 9 et 16 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789 »….
" />
elle existe encore “cette Cours des DH” ?
#8
Dans le cas de VeraCrypt (anciennement Truecrypt), il suffit donc de configurer un hidden volume avec le vrai mot de passe et un volume classique protégé par une deuxième clé ‘leurre’ qui contient des photos du chat sur le canapé pour être pépère.
#9
oui c’est d’ailleurs tout le but de cette fonctionnalité: le “Plausable Deniability”.
#10
tout dépend du cas.
mais si ton PC perso est chiffré PGP et que t’es le seul nerd de la famille, on peut raisonnablement penser que c’est toi qui as le password. par exemple.
#11
Il faut donc, pour chaque application qui contient une clé de chiffrement, en mettre une deuxième avec du texte/contenu bidon.
#12
Il y a déjà eu des cas où une personne (ou une société) devait remettre cette convention en France ?
Ce monsieur X peut-être ? Ou bien c’est un avocat qui défend son client dans cette situation ?
#13
sinon tu as la technique qui consiste à chiffrer avec une clé aléatoire l’intégralité du disque au bout de X tentatives infructueuses, de façon à ce que plus personne ne puisse le lire. ^^
mais sans vouloir trop m’avancer, je pense qu’au moins une partie du texte français sera flinguée par le CC.
#14
L’article de Rue89 aborde plusieurs cas. Seul le 3ème correspond à la QPC.
L’exemple de départ du serveur de communications chiffrées n’entre pas dans ce cadre.
Dans les 2 premiers cas, même si les questions sont intéressantes, il y a un certain biais du journaliste.
#15
à mon avis le Malik X est justement le lycéen lyonnais de l’article cité par Marc. ^^
Sinon ça doit arriver tous les jours, mais ça doit être la première fois que le suspect refuse de donner la clé et fait une QPC.
#16
Il y a sûrement ce monsieur X et aussi le cas cité par Marc dans son premier commentaire.
#17
À mon avis, non, parce qu’il ne serait pas dans le cas de l’auto-incrimination. Il s’agit dans son cas de incrimination de tiers.
#18
En fait, tu as peut-être raison, je lis sur Numerama qui cite Le Monde qu’il a par ailleurs refusé de fournir aux enquêteurs les clés de cryptage de son ordinateur.
Les infos de l’article de Marc ne permettent pas de trancher.
#19
#20
Il a raison, au moins en partie. Cela oblige aussi les entreprises.
En fait cela oblige “quiconque”, c’est-à- dire tout le monde.
#21
#22
Le déni plausible c’est bien en théorie mais c’est compliqué à mettre en œuvre, car les fichiers présents sur la partie visible doivent être régulièrement modifiés sans quoi leur ancienneté parait immédiatement suspecte, or modifier la partie visible met en péril le conteneur qui est caché dans la partie prétendument vide. C’est une technique intéressante pour transporter ponctuellement des données sur un périphérique usb ou à long terme sur un disque (prétendument) d’archives mais certainement pas pour du stockage local à usage courant.
#23
#24
Une dénonciation c’est quand on connaît les faits. Donc, s’il ne connaît pas le contenu, ce n’est pas une dénonciation.
#25
Tu te places dans un cas particulier de chiffrement de bout en bout avec clés inconnues du fournisseur de service. Il y a des cas où l’entreprise peut fournir les clés. Et dans ce cas, la loi Française les y oblige.
Le cas que tu cites est effectivement le plus protecteur de secret puisque seul l’utilisateur est en possession du moyen d’accéder aux clés.
#26
Sur la partie : “pourrait porter atteinte au droit de ne pas faire de déclaration” , cela ne vaut techniquement que pour les personnes incriminées et non les témoins qui ont d’ailleurs une obligation de déclaration selon les cas (notamment en cas de connaissance de la preuve de l’innocence).
Sur la partie: “à celui de ne pas contribuer à sa propre incrimination”: dans son esprit, le texte semble viser surtout les personnes extérieures à l’infraction mais sa rédaction parait incomplète: il eut été utile de rajouter une précision du style “dans le respect des droits de la défense”.
Toutefois, en l’absence de mention, le droit pénal s’interprétant strictement, il n’y a pas de possibilité d’interprétation extensive. Il semble alors difficile de réclamer à un suspect les clés de cryptage, celui-ci pouvant s’y opposer en invoquant le droits évoqués ci-dessus et le juge étant là pour faire respecter ces droits.
La garantie des droits me semble donc bien assurée. Du coup, je vois mal ce que pourrait censurer le CC.
#27
#28
#29
#30
#31
Le droit à ne pas s’auto-incriminer fait partie de la déclaration des droit de l’homme. Je ne vois pas comment (du moins j’espère) le conseil constitutionnel peut laisser passer ce point.
#32
S’il n’y a que soupçon, ce n’est pas une dénonciation.
#33
#34
Affaire a suivre …
" />
De toute facon, il doit y avoir d’autre éléments pour les enquêteurs …
#35
il ne faut aussi pas oublier que cette technique fonctionne correctement dans le cas d’une menace qui ne sait pas vraiment ce qu’elle cherche (d’où le “plausible”).
l’enquêteur qui fait des recherches ciblées dans le terminal d’un geek ayant chiffré son disque avec Veracrypt ne ferait pas son taf s’il ne prenait pas en compte la possibilité d’une telle technique.
Ainsi il me parait plus “honnête” de refuser directement de donner la clé de déchiffrement plutôt que de se compromettre à moitié en jouant un petit jeu comme celui-là avec un enquêteur. En effet le souci de la technique de déni plausible se retourne directement contre le suspect au moment où elle est découverte: le suspect a là quelque chose à cacher.
Autant le chiffrement cherche à protéger des données, autant le déni plausible cherche bien à cacher des données.
Je préfère donc arriver devant un juge avec un principe à défendre (le droit à la non auto-incrimination, le droit de se taire) qu’avec des choses à cacher…
#36
Je comprends pas pourquoi faire un texte de loi !
Suffit que ledit criminel ait un processeur Intel© Meltdown®, et le tour est joué !
#37
#38
#39
#40
Ça fait très longtemps qu’on sait faire des systèmes de protection par un mot de passe stocké nulle part
(que dans la mémoire du propriétaire, et s’il l’oublie, il perd l’accès à ses données).
J’emploie l’italique pour mettre en lumière quelques points
(et qui donne mal à la tête à la plupart des gens, dont moi, sans garantie de compréhension).
C’est pourquoi c’est si peu employé.
#41
J’ai vu un article je le sais plus où qui disait qu’il était mathématiquement impossible de déchiffrer du contenu uniquement pour un but précis. Donc ici le cas d’une backdoor. En gros c’est tout ou rien.
#42
ben ça peut avoir une utilité.
typiquement à la douane dans un pays étranger si les mecs veulent faire un check rapide et que t’as pas envie de trop te frotter aux services locaux en cas de refus.
mais même dans ce cas il est juste conseillé de ne pas passer la douane avec du matos un peu trop “sophistiqué”.
#43
#44
Euh, si, rien de plus facile : utilisé comme clé de chiffrement un mot de passe demandé à l’utilisateur, à sa charge de le retenir.
Dans le cas de l’iPhone, pour limiter les risques de brute-force du au fait que le mot de passe est un code PIN de 4 à 8 caractères, la clé de chiffrement est composé du code PIN et d’une valeur aléatoire générée à la (ré-)initialisation de l’iPhone, dont l’accès est théoriquement limité au hardware.
#45
#46
#47
merci !
" />
(confusion)
#48
le mec répond surtout à la question: est-ce que ça vaut l’investissement en temps/énergie à développer, en regard du faible nombre de situations ou le déni plausible apporte un réel avantage?
et surtout il le dit au début: c’est un argument faible pour protéger les données.
effectivement. mais le but du déni plausible n’est pas de protéger les données mais de protéger le porteur du contenant (disque, terminal, etc…). la protection des données est opérée par le chiffrement.
On passe de l’INFOSEC à l’OPSEC, c’est pas le même sujet. autrement dit: si t’en es à utiliser la fonctionnalité de déni plausible, t’es déjà bien dans la merde et tu t’es foiré ailleurs. ^^
#49
#50
#51
oui oui, on est bien d’accord là-dessus. ^^
#52
#53
#54
#55
dans le cas d’une enquête, la première chose qu’ils font c’est une image blocs par blocs du disque. donc le chiffrage après X tentatives, ça ne fonctionne que si le matériel est fermé. (comme un smartphone par ex)
#56
Haha.
Ils se basent sur les différences trouvées dans l’espace libre de plusieurs sauvegardes faites par windows shadow copy.
Donc pour les fous qui utiliseraient Truecrypt sous windows : désactivez la restauration système.
En tout cas merci pour celle-là.
#57
Ils se basent sur les différences trouvées dans l’espace libre de différentes sauvegardes faites par windows shadow copy.
Donc pour les fous qui utiliseraient Truecrypt sous windows : désactivez la restauration système.
En tout cas merci pour celle-là.
#58
ah je comprenais pas, il semble que tu ne cite pas le bon post.
mais oui effectivement, ça ne fonctionne bien que sur un téléphone, à moins que le disque dur contienne lui-même les instructions.
et encore, j’ai cru voir passer des histoires de démontage d’iPhones avec récupération des données chiffrées par réinitialisation du compteur pour faire du bruteforce.
#59
Merci (en fait j’avais lu dans les liens donnés), cela dit pour moi la notion de sécurité est antinomique de Microsoft et Windows (l’actualité me le confirme régulièrement depuis la fin du 20e siècle
" /> ), donc je ne risque pas d’utiliser cet OS pour un portable bien sécurisé (ou à l’extrême rigueur, en lisant à fond tous les conseils de sécurisation, dont l’aspect que tu mentionnes).