Qu’est-ce que le cryptage et pourquoi les forces de l’ordre ont-elles un problème avec cela ?

Dans un monde où beaucoup d’entre nous stockent toute notre vie sur nos téléphones, de nos données de santé à nos coordonnées bancaires en passant par notre emplacement immédiat, le cryptage joue le rôle primordial de garder ces données sensibles hors de mains malveillantes.

Mais qu’est-ce que le cryptage, en quoi diffère-t-il du cryptage de bout en bout et pourquoi les forces de l’ordre essaieraient-elles de lutter contre quelque chose d’aussi crucial pour prévenir les cybercrimes ?

Nous avons contacté plusieurs experts en sécurité et la National Crime Agency pour tout savoir sur le chiffrement et les controverses qui l’entourent.

Qu’est-ce que le cryptage ?

Le cryptage consiste à convertir des données en code pour s’assurer qu’elles restent cachées, qu’il s’agisse des messages que vous envoyez depuis votre smartphone, de vos appels FaceTime ou de vos transactions bancaires.

« Le cryptage utilise une formule mathématique sophistiquée pour convertir le contenu numérique en une série inintelligible de nombres apparemment aléatoires », a expliqué Bob Ertl, directeur principal de Kiteworks.

« Lorsque cela est fait correctement, seuls les destinataires prévus disposent de la soi-disant clé privée pour déverrouiller mathématiquement le contenu ».

La forme de chiffrement la plus courante est appelée chiffrement en transit.

Lorsque vous utilisez un service crypté, tel que les applications de messagerie Telegram et Facebook Messenger, cette application utilise un algorithme pour générer des lignes de code apparemment aléatoires à partir de texte brut, empêchant ainsi que votre message ne soit espionné en transit.

Lorsque votre message arrive sur le serveur de l’entreprise, il est déchiffré, avant d’être à nouveau chiffré pour être envoyé au destinataire. Essentiellement, vos données sont cryptées à chaque fois qu’elles sont en déplacement, ce qui les empêche d’être interceptées par quiconque pour les arracher.

Pourquoi le chiffrement de bout en bout est-il meilleur ?

Le cryptage de bout en bout est une forme de cryptage plus avancée et est la version généralement préférée par les experts en confidentialité.

Les messages cryptés de bout en bout sont cryptés à partir du moment où ils quittent votre appareil jusqu’à leur arrivée sur celui du destinataire. Cela signifie que même la société hébergeant le serveur ne peut pas voir ce que vous avez envoyé.

Certains services – comme iMessage, Signal et WhatsApp d’Apple – ont un cryptage de bout en bout appliqué par défaut. D’autres – y compris Telegram et Facebook Messenger susmentionnés – ont des fonctionnalités de « chat secret » qui vous permettent de démarrer une conversation cryptée de bout en bout, mais tout le monde ne saura pas qu’ils doivent activer ce paramètre pour profiter de cette couche supplémentaire de protection.

Cela ne veut pas dire que le chiffrement de bout en bout est sans controverse, cependant.

Alors, quelle est l’importance réelle du cryptage ?

Selon Roger Grimes, un évangéliste de la défense axée sur les données chez KnowBe4, très.

« Presque aucune communication ou transaction importante ne pourrait être effectuée sans elle », a expliqué Grimes.

« Notre système monétaire ne fonctionnerait pas, les cartes de crédit ne fonctionneraient pas, Internet n’existerait pas et chaque e-mail et appel téléphonique pourrait être écouté par n’importe qui d’autre. La seule intimité et confidentialité que vous auriez serait entre des personnes qui se parlaient directement dans une pièce fermée et ce qui était écrit sur papier et stocké dans un classeur verrouillé ».

Bien sûr, le cryptage n’est qu’une méthode parmi d’autres pour assurer la protection des données, a expliqué Trevor Morgan, chef de produit chez comforte AG.

Les entreprises essaieront de protéger les données en les cachant derrière des frontières protégées, en contrôlant l’accès des utilisateurs, des applications logicielles et des ressources, ou en modifiant les données elles-mêmes – d’où le cryptage. Cependant, de nombreuses entreprises utiliseront une combinaison de ces méthodes pour sécuriser vos données.

« La protection des données est importante car toutes les entreprises prospèrent grâce aux données », a déclaré Morgan.

« Une grande partie de nos données d’entreprise contient des informations sensibles, notamment des informations personnelles (clients), des informations financières, des informations sur la santé et d’autres données précieuses. Les acteurs de la menace (hackers) veulent que ces données exploitent leur valeur, soit pour faire chanter l’organisation, pour compromettre les personnes concernées (les personnes sur lesquelles portent les données), soit pour construire une meilleure compréhension des données d’une cible plus large. Cependant, les acteurs de la menace ne peuvent rien faire avec ces informations sensibles s’ils ne peuvent pas les lire et les comprendre. La façon de s’assurer qu’ils ne peuvent pas le faire est d’appliquer une sécurité centrée sur les données aux données ou éléments de données sensibles en utilisant le chiffrement, le chiffrement préservant le format ou la tokenisation ».

Pourquoi les forces de l’ordre ont contesté cela (et Apple)

Les entreprises ont fait la une des journaux au fil des ans pour avoir ignoré les demandes des forces de l’ordre de créer des portes dérobées pour déverrouiller des appareils ou décrypter des messages qui ont été saisis dans le cadre d’enquêtes.

Apple, en particulier, a été critiqué en 2020 pour avoir refusé de se conformer à une demande du FBI qui impliquerait de créer un outil pour déverrouiller les deux iPhones ayant appartenu au tireur lors de la fusillade de la base navale de Pensacola. La fusillade, qui a eu lieu en Floride, s’est soldée par quatre morts dont celui du tireur.

Le procureur général de l’époque, William Barr, a affirmé qu’Apple n’avait pas fourni suffisamment d’aide dans le mois qui a suivi la fusillade.

Alors qu’Apple affirme avoir remis « de nombreux gigaoctets » de données iCloud au FBI, la société a refusé de saper le cryptage de son système d’exploitation en brisant le mot de passe sur l’écran de verrouillage.

Ce n’était pas la première fois qu’Apple se heurtait aux forces de l’ordre. En 2015, l’entreprise a fait face à des demandes similaires du FBI à la suite de l’attaque de San Bernardino. Il a finalement refusé d’aider et le FBI a été contraint de se tourner vers la société israélienne de criminalistique numérique Cellebrite pour le casser.

Plutôt que de céder à ces demandes, Apple a doublé ses fonctionnalités de confidentialité au fil des ans.

Avec iOS 11, il a introduit une fonctionnalité qui a désactivé les communications USB une heure après le dernier déverrouillage du téléphone, obligeant les forces de l’ordre à travailler rapidement si elles veulent extraire des données d’un téléphone saisi.

En 2021, la société a lancé une multitude de nouvelles fonctionnalités de sécurité, notamment Private Relay, qui crypte le trafic Safari en envoyant toutes les demandes de site Web via deux relais distincts, ce qui signifie que personne d’autre que vous et le site Web ne peut voir ce que vous faites.

Bien que de telles fonctionnalités soient une excellente nouvelle pour les défenseurs de la vie privée, il est facile de voir comment les criminels pourraient profiter de ce niveau de cryptage pour échapper aux forces de l’ordre.

Vous vous demandez peut-être pourquoi Apple ne peut pas simplement ouvrir une porte dérobée pour aider spécifiquement dans des enquêtes criminelles graves.

En fin de compte, cela revient au fait qu’ouvrir cette porte à une personne signifie l’ouvrir à tout le monde. Cela créerait une énorme faille dans le système, et il existe d’innombrables groupes et individus – des pirates informatiques aux organismes gouvernementaux corrompus – prêts et attendant dans les coulisses pour exploiter cette vulnérabilité.

En tant qu’entreprise qui a construit sa marque sur la confidentialité, ce n’est pas quelque chose sur lequel Apple est prêt à faire des compromis.

« J’ai une équipe qui travaille 24 heures sur 24, sept jours sur sept, répondant aux demandes urgentes des forces de l’ordre », a déclaré Jane Horvath, directrice principale de la protection de la vie privée dans le monde, au CES 2020. « Nous avons aidé à résoudre de nombreux cas, à prévenir les suicides. Mais construire une porte dérobée au cryptage n’est pas la façon dont nous allons résoudre ces autres problèmes ».

Bien sûr, cela n’a pas empêché les politiciens et les forces de l’ordre aux États-Unis et au Royaume-Uni de souligner les conséquences du chiffrement de bout en bout.

Nous avons contacté Rob Jones, directeur général de la NCA, qui a expliqué comment le cryptage est devenu un obstacle pour les forces de l’ordre dans l’obtention de preuves de crimes graves et ce que cela pourrait signifier alors que des applications plus courantes, comme Messenger et Instagram, sont sur le point de se déployer. chiffrement de bout en bout par défaut.

« Un cryptage fort protège la vie privée des utilisateurs et peut offrir de nombreux avantages, mais tout passage au cryptage de bout en bout (E2EE) doit également inclure des mesures qui maintiennent la capacité de protéger les enfants et d’identifier les images d’abus. Un passage à E2EE sans cette capacité risque d’éteindre les forces de l’ordre dans le monde entier », a expliqué Jones.

« Le cœur du régime CyberTip, utilisé par l’industrie pour signaler les abus sexuels sur des enfants, au National Center for Missing and Exploited Children (NCMEC) aux États-Unis, est le contenu et cela permet une réponse dynamique très rapide des forces de l’ordre, car il nous permet de développer des soupçons, des croyances ou dans d’autres juridictions, une cause probable.

«Ce contenu disparaîtra si le modèle de confidentialité actuel atterrit de la manière dont il a été décrit. Donc, tous ces conseils sont à risque – tous ces conseils.

« La NCA et la police britannique procèdent actuellement à plus de 500 arrestations et protègent plus de 650 enfants chaque mois en conséquence directe des rapports de l’industrie faisant état de matériel d’abus sexuel d’enfants.

« Cela deviendra beaucoup plus difficile sous E2EE. »

Alors que saper sa propre vie privée serait une décision discutable pour n’importe quelle entreprise, pour Apple, cela semblerait presque hypocrite car la société a construit sa marque sur la vie privée au fil des ans. Cependant, selon l’expert en sécurité Grimes, la situation pourrait ne pas être aussi simple qu’elle en a l’air.

« Je pense que le plus gros problème dans cet article/scénario particulier est de savoir pourquoi est-il si important qu’Apple ne sape pas le cryptage inhérent à son propre téléphone, même si cela signifie protéger la vie privée d’un terroriste meurtrier ? C’est parce que montrer qu’il existe des moyens de battre le cryptage… ou même de ne pas faire de leur mieux pour empêcher les autres d’attaquer le cryptage, revient essentiellement à dire qu’il n’y a vraiment pas de bon cryptage… et cela fait que tout le monde soupçonne la qualité du cryptage » , a expliqué Grimes.

« Si le monde pensait que le cryptage d’Apple pouvait être facilement contourné lorsqu’il le souhaitait, cela inciterait les clients d’Apple à acheter auprès d’autres fournisseurs qui accordent plus d’importance à la confidentialité. Ce serait le glas d’Apple en tant qu’entreprise.

« Il est intéressant de noter qu’il existe de nombreuses façons de contourner le cryptage d’Apple. Notez que les forces de l’ordre n’essaient plus d’obtenir des ordonnances judiciaires pour obliger Apple à les aider à contourner le cryptage. Il existe de nombreuses façons de contourner le cryptage et des dizaines d’entreprises qui le feront, moyennant un prix. Vous n’avez même pas besoin d’être un super génie pour le faire, si vous avez le temps. Tout ce que vous avez à faire est d’attendre qu’Apple annonce une grande vulnérabilité qui contourne toutes les défenses de son téléphone (cela se produit plusieurs fois par an), puis d’en utiliser une qui peut être utilisée à distance sans avoir à faire quoi que ce soit au téléphone. Ceux-ci se produisent au moins une fois par an, voire plusieurs fois. Exploitez ensuite cette vulnérabilité avant l’application du correctif. Peasy facile.

« Mais si Apple est considéré comme aidant réellement les personnes ou les organisations à contourner leur cryptage, cela inciterait un plus grand pourcentage de leurs clients à aller ailleurs ».

Que vous choisissiez d’utiliser une application avec un cryptage de bout en bout, comme Signal ou WhatsApp, ou une application qui vous oblige à activer la fonctionnalité, comme Telegram, vous pouvez suivre quelques étapes simples pour vous assurer que vos appareils sont protégés contre les pirates et les logiciels malveillants.

Il s’agit notamment d’installer un logiciel antivirus (notre antivirus préféré actuel est Kaspersky Internet Security) et d’investir dans un bon VPN. À l’heure actuelle, Surfshark est en tête de notre liste des meilleurs VPN pour ses performances rapides et ses offres d’abonnement de grande valeur.

Vous pouvez obtenir Surfshark à partir de 1,82 £/2,49 $/2,07 € par mois (24 mois).