Le 5 avril dernier, le message des ministres de l’Intérieur du G7 était passé sous nos radars. Le texte prévoit des mesures très ambitieuses, sur l’autel de la lutte contre le terrorisme, pour l'instant. Au menu : des hébergeurs appelés à être de plus en plus actifs dans cette lutte et des éditeurs de solutions de chiffrement invités à installer des portes dérobées.
La réunion du G7 organisée en France début avril s’est attachée notamment à la question du terrorisme, mais aussi de l’extrémisme violent. Selon les ministres de l’Intérieur des pays réunis, « la tragédie de Christchurch a mis une fois de plus en lumière l’utilisation qui peut être faite d’Internet à des fins terroristes et d’extrémisme violent ». Avec une vidéo du tueur qui s’est répandue comme une trainée de poudre sur les réseaux sociaux.
Internet n’est pas seulement accusé de faciliter la propagation de ces contenus, il « joue (...) un rôle clef dans les processus de radicalisation terroriste et d’attaques terroristes, notamment celles perpétrées récemment dans les pays du G7 ».
Pour y répondre, les actions de prévention et de lutte « requièrent inévitablement un rôle actif de la part des gouvernements et des entreprises de l’Internet » estime le communiqué. Or, si de nombreux échanges ont eu lieu jusqu’alors, couplés à de multiples engagements, « les résultats et l’efficacité concernant le retrait de contenus demeurent encore contrastés, notamment en ce qui concerne les petites plateformes ».
Autre problématique : l’accès à la preuve numérique par les services d’enquête et les services judiciaires. « Les réquisitions judiciaires de telles preuves numériques sont souvent laissées sans réponse en raison des difficultés rencontrées par les services de sécurité pour accéder aux données, en particulier aux communications électroniques chiffrées ».
C’est à partir de ces différents constats que les ministres de l’Intérieur du G7 se sont engagés à prendre une série de décisions pour répondre à ces difficultés.
Des hébergeurs suractifs
Les services en ligne devront d’abord redoubler d’effort sur leur communication et leur transparence dans la lutte contre ces contenus, aussi bien avec les gouvernements qu’avec les internautes. Ils devront toujours plus rapidement identifier puis retirer les contenus terroristes comme les plateformes s’étaient engagées lors d’un précédent rendez-vous à Toronto. Ces sociétés doivent par ailleurs poursuivre le développement de « moyens technologiques appropriés » permettant d’aiguiser cette lutte.
Le communiqué demande ainsi des mesures proactives à ces hébergeurs, notamment pour éviter la réapparition des contenus. Un vœu qui implique nécessairement l’usage de technologies de filtrage et d’empreintes.
Ce n’est pas tout. En cas de situation d’urgence, il leur est demandé de « mettre en place des protocoles (…) pour retirer les contenus à caractère terroriste ou relevant de l’extrémisme violent, incluant des garde-fous pour préserver les informations légitimes ».
Ils veulent aussi que des chercheurs et des universitaires analysent les meilleures façons de prévenir et lutter contre l’utilisation d’Internet à des fins terroristes ou d’extrémisme violent. Du côté du public, ils réclament une « résilience numérique et médiatique par l’éducation et la formation », afin de développer la pensée critique contre les « fake news ».
Enfin, ils demandent à ce que les services en ligne mettent en avant des contrediscours afin de percer l’enfermement algorithmique autour de contenus extrémistes et terroristes.
Des solutions d'accès autorisé aux données chiffrées
Les ministères veulent surtout encourager les entreprises de l’Internet « à mettre elles-mêmes en place des solutions d’accès autorisé à leurs produits et services, notamment aux données chiffrées ». Ces portes dérobées permettraient ensuite aux forces de l’ordre et aux autorités compétentes (donc y compris les services du renseignement) d’accéder aux preuves numériques.
Le point a visiblement divisé au sein du G8 puisque certains pays membres ont tenu à souligner « l’importance de ne pas interdire, limiter ou fragiliser les procédures de chiffrement ».
S’agissant de l’accès aux preuves, toujours, l’Allemagne, le Canada, les États-Unis, la France, l’Italie, le Japon et le Royaume-Uni, tous les pays du G7 comptent « étudier les opportunités d’une meilleure coopération judiciaire pour faire face à l’évolution du stockage des données en nuage (le « cloud »), en considérant l’adoption d’un deuxième Protocole additionnel à la Convention de Budapest sur la cybercriminalité ». L’idée ? Fluidifier ces accès pour faciliter le travail des services.
Les précédents May-Macron et Five Eyes
Il y a deux ans, lors d’une conférence de presse commune avec Theresay May, Emmanuel Macron avait déjà exprimé sa volonté d’« améliorer les moyens d’accès aux contenus cryptés (sic), dans des conditions qui préservent la confidentialité des correspondances, afin que ces messageries ne puissent pas être l’outil des terroristes ou des criminels ».
En ce 17 juin 2017, le texte cosigné affirmait que « lorsque les technologies de chiffrement sont utilisées par des groupes criminels, voire terroristes, il doit exister une possibilité d’accès au contenu des communications et à leurs métadonnées (entourage d’un suspect, IP de connexion, sélecteurs techniques de l’utilisateur, etc.) ».
Le programme détaillé par le G7 rappelle furieusement d’autres sorties publiques, en particulier les positions des Five Eyes (Australie, Canada, Nouvelle-Zélande, Royaume-Uni et États-Unis) qui appelaient en septembre 2018 à une coopération poussée des entreprises du secteur, à charge pour elles d’« établir volontairement des solutions d’accès licites à leurs produits et services qu’ils créent ou exploitent dans nos pays ».
Le signal d'alarme du CNNum
En avril 2017, le Conseil national du numérique avait écrit au dernier ministre de l’Intérieur de l’ère Hollande pour l’alerter des « conséquences graves et non anticipées d’une limitation du chiffrement ». Matthias Fekl avait regrettait lors d’un rendez-vous européen l'absence « de base légale obligeant les opérateurs Internet à coopérer avec les autorités ». Il invitait la Commission européenne « à étudier la possibilité de légiférer en la matière ».
Le CNNUM lui répondait alors que la mise en place de « backdoors » ou autres limitations aboutirait « à un affaiblissement dommageable de la sécurité sur l’ensemble des réseaux ». Mieux, « de telles mesures auraient une efficacité toute relative sur l’infime minorité d’utilisateurs ciblés », sachant que « limiter le chiffrement pour le grand public reviendrait alors à en accorder le monopole aux organisations qui sauront en abuser ».
Les mesures déroulées au G7 sont ciblées pour l’heure sur la lutte contre le terrorisme, mais déjà les ministres de l’Intérieur veulent aller plus loin. Ils appellent le Groupe Lyon-Rome (le premier dédié à la lutte contre le crime organisé, le second réunissant des experts de l’antiterrorisme) à évaluer la possibilité d’étendre ces engagements « à d’autres préjudices en ligne conduisant à la violence ».
Commentaires (50)
#1
Le terrorisme a bon dos, une fois de plus…
#2
comprendront jamais que si y’a une ouverture, c’est plus sécurisé
" />
#3
#4
Le terrorisme c’est cracra. Le terrorisme c’est vilain. Le terrorisme cause la fonte des neiges, la mort des ours blancs tout mignons, la faim dans le monde, et Dora l’exploratrice. Vraiment… on en fait pas assez contre le terrorisme. Parce que le terrorisme c’est pas bien. Et ce qui est pas bien, c’est cracra et vilain. Nah !
C’était un message du niveau des anti-libertaires du moment. J’en fais à peine trop.
#5
Mon dieu… mais qui, à un moment, peut se dire c’est une idée qui vaut la peine d’être envisagée ?
#6
Disons que cette fois ci c’est pas la faute des pédo-pirates-nazi violeur de bébé phoques.
Le bouc émissaire tourne.
@KP2
un politicien. What else ©
#7
Ils ne sont pas assez compétents pour s’infiltrer dans un système informatique qu’ils ont besoin d’un tapis rouge ?
#8
Et contre les Fakes news :
“la candidate de LREM aux européennes est une ancienne candidate d’extreme droite”
Est-ce une fake news ?
Ou bien une news que certains aimeraient étouffer ?
Ou bien une vraie news qui doit être connue du plus grand nombre ?
#9
Le terrorisme est bien pratique pour justifier la mise en place d’un État policier…
#10
J’ai cru lire “pensée critique” ?
Mais on va se rendre compte que tous nos politiques nous mentent avec de l’esprit critique !
Il faudra former les gens à résister aux fake news mais en laissant la porte ouverte aux bullshit provenant de nos politiques ?
C’est comme pour le chiffrement, il faut une backdoor, hein ?
#11
#12
Non, non non
" />
" />
Il n’est pas possible de garantir qu’une porte dérobée ne sera utilisée que par la police, et a fortiori d’une police respectueuse des droits de la défense.
#13
C’est bien une idée de bureaucrate…
#14
#15
améliorer les moyens d’accès aux contenus cryptés (sic), dans des
conditions qui préservent la confidentialité des correspondances
#16
Les gouvernements ont l’air d’adorer de passer par l’entrée des artistes.
" />
#17
#18
#19
Par moment, je me dis que les films Idiocraty et V étaient des documentaires.
#20
Dixit les politiques qui utilisent Telegram à longueur de journée. Tellement drôle.
Ils en sortent de belles quand même. Vaut mieux en rire … Ils sont pas là d’y arriver.
#21
#22
“Pire que le précédent”, la devise du ministère de l’Intérieur
" />
#23
Ils vont juste tuer toutes les sociétés proposant des vraies solutions de sécurité sur notre territoire.
Après avoir ruiné la confiance dans nos hébergements nationaux ; ils sont très forts quand-même.
#24
à une coopération poussée des entreprises du secteur
Comme Huawei avec le gouvernement Chinois ?
#25
Je pensais que c’était du domaine réservé du président de la république ?
" />
#26
C’est un prétexte tout ça.
Comment imaginer une seconde qu’un terroriste va utiliser une app avec backdoor ? En même temps que le terroriste en herbe ira apprendre le maniement des armes, il va récupéré une une appli maison, compilée par eux avec des sources fiables et basta.
Non, les seules personnes que ça va INpacter, c’est le quidam moyen. Et à n’en pas douter, ils le savent. Alors pourquoi de telles idées ?
#27
Quelques questions que je me pose
[TROLL]
[/TROLL]
#28
Le chiffrement asymétrique avec la clé publique ou privée ?
" />
#29
Faut pas croire, ils crachent tous sur la Chine et son Great Firewall, mais ils rêvent tous de le mettre en place…
Ainsi, fini les journalistes gênants, fini les news gênantes qui sortent, fini les attaques contres les potes, fini les gilets jaunes, fini les… (la liste est trop longue pour que je la complète, ne serait-ce qu’en France, alors dans le monde…).
#30
#31
Bonjour,
Je suis lent ce matin, tu peux préciser ta pensée?
#32
de fait : http://a51.idata.over-blog.com/4/17/87/33/Videos-arts-et-animations-./Ziya-Azazi.jpg
#33
#34
Les gens qui bossent à la justice pourrait très bien rejoindre le mouvement des gilet jaunes ou simplement organiser leur propre grève au lieu de subir en permanence. Pour le reste je suis entièrement d’accord mais le problème de ce laxisme ambiant est que ça ne donne pas une bonne image pour les gens normaux ce qui pourrais les pousser vers une escalade de la violence vu qu’ils ne risquent rien.
Personnellement j’ai vraiment peur pour l’avenir, de voir le paix sombrer de plus en plus jusqu’a un point de quasi non retour :/ . Rien qu’autour de moi avec mes connaissance proche qui ont fait de hautes études, tout le monde c’est tiré du pays et ne veut pas revenir.
#35
Ceux qui ne comprennent pas qu’on peut chiffrer un message avant de le poster - ce que tous les terroristes savent - et que même avec une porte dérobée, on se retrouve quand même avec un message illisible.
Ou ceux qui font semblant de ne pas le comprendre.
#36
#37
Même si ça se fait, que les solutions de chiffrements sont toutes vendues avec des backdoors, qu’est ce qui empêchera l’utilisation de protocoles de chiffrements libres ?
#38
#39
#40
J’avais entendu dire que l’on ne chiffrait pas avec la clé publique, que c’était uniquement avec les clés privées.
Si je te comprend, en somme, on chiffre avec sa clé privée (générée aléatoirement ou pas) et l’on chiffre de nouveau avec la clé publique que l’on souhaite ?
#41
Il faut bien distinguer l’algorithme de chiffrement asymétrique lui-même, et les protocoles complets mis en œuvre en pratique.
Au niveau de l’algorithme de chiffrement, par construction, la partie publique sert à chiffrer, et la partie privée à déchiffrer. Cela permet à n’importe qui de chiffrer le message, tout en étant certain que seul le destinataire pourra le déchiffrer.
L’inverse signifierait qu’une seule personne peut chiffrer mais que tout le monde peut déchiffrer, ce qui ne permet absolument pas de masquer les communications, mais est très utile dans un autre domaine, celui de la signature cryptographique (ou signature numérique, ou signature électronique, c’est la même chose).
Au niveau du protocole complet, on a généralement un échange du genre:
1- mon message: “coucou”
2- je génère une clé aléatoire: zuibhzcçai
3- je chiffre mon message avec cette clé avec un algo symétrique: ezdoifesdovf
4- je chiffre la clé avec un aglo asymétrique, en utilisant la clé publique de mon destinataire: dzofqrjoe
5- j’envoie le message suivant: clé=dzofqrjoe, message=ezdoifesdovf
6- mon destinataire reçoit le message, il déchiffre la partie ‘clé’ avec sa clé privée et obtient zuibhzcçai, la clé que j’ai générée aléatoirement
7- Il utilise ce résultat pour déchiffrer la partie ‘message’, et retrouve mon “coucou”
Quand tu dis “J’avais entendu dire que l’on ne chiffrait pas avec la clé publique, que c’était uniquement avec les clés privées.”, c’est probablement de zuibhzcçai, la clé de l’algo symétrique qu’il est question, mais pas de la clé privée de l’algo asymétrique.
L’essentiel du message étant chiffré avec cette clé, qui n’est pas publique, ça rend vraie l’affirmation (à un pinaillage vocabularistique près, c’est que généralement on ne parle de clé privée ou publique que pour les algo asymétrique, et plutôt de ‘clé secrète’ pour un algo symétrique).
Pourquoi faire aussi compliqué et ne pas tout simplement tout chiffrer avec un algorithme asymétrique? pour la perf. Les algos symétriques dont beaucoup, beaucoup plus rapides que les algos asymétriques. On les combine donc pour avoir les avantages de l’asymétrique (pas besoin d’échanger les clés à l’avance), tout en chiffrant le gros du volume avec le symétrique.
(en pratique il y a plein d’autres choses à faire d’autre choses, comme se mettre d’accord sur les algos qu’on utilise, s’assurer que la clé publique que j’utilise est bien celle de mon destinataire, qu’un petit rigolo ne change pas le contenu de mon message en chemin…)
#42
#43
#44
#45
Ce qu’ils veulent, ce sera présenté comme une innovation: DRM sur toutes les communications. Du mail aux traitements de texte, pour être sur de la confidentialité. Les droit seront gérés par une procédure de login universelle. Pour le moment, on a 3 candidats possibles vu le nombre de comptes: Microsoft, google ou Facebook.
Ca passera, vous verrez… :-(
#46
#47
#48
#49
Je parlais bien des méfaits des vilains pirates, pas de la gentille RCP. L’usage pour compter les copies privées légales est intelligent, et absolument pas incompatible avec la chasse aux terroristes culturels.
A analyser toutefois au regard du risque important d’aboutir à des résultats moins facilement bidonnables que les études au doigt mouillé pratiquées actuellement. Il serait embarrassant de s’apercevoir que celles-ci surévaluent le réel usage de la copie privée, et d’être par conséquent obligé d’en réduire la compensation.
Edit: Pour couvrir ceci efficacement, je suggère une liste d’acteurs autorisés à utiliser ces accès comme bon leur semble, liste pouvant être étendue par simple décret (pas besoin d’emmerder l’assemblée avec ça)
#50
encore une fois le but ici est d’adresser la problématique du chiffrement MASSIF des communications (post-snowden).
une fois que tu peux déchiffrer massivement, tu peux considérer que la masse est en clair.
il te reste donc uniquement ceux qui resquillent (ie qui utilisent une méthode de chiffrement non backdooré), donc hors la loi, donc pour lesquels tu as une autre législation qui va te permettre de faire du ciblé.
je me répète sur chaque news à ce propos, mais c’est très important: le but est de distinguer entre les échanges chiffrés légitimes et les autres, afin d’identifier automatiquement les échanges intéressants pour les services.
Le fait que tout le monde chiffre apporte en effet une couche de sécurité opérationnelle aux “illégaux” (terros, crime organisé, toussa), car non seulement la communication est chiffrée (sécu des communications ou COMSEC), mais en plus ils sont noyés dans la masse (sécu opérationnelle ou OPSEC).
Si les services peuvent forcer la masse à utiliser du backdooré, ça force les autres à utiliser d’autres canaux de communication, abandonnant ainsi la partie OPSEC (ou la rendant plus difficile).
le souci ici c’est donc le chiffrement DE MASSE, pas le chiffrement.