La réglementation des backdoors sur le chiffrement, un casse-tête pour les

Souvent souhaité par les forces de police dans le cadre d'enquête, la mise en place de backdoor pour analyser des communications chiffrées fait l'objet de nombreuses discussions dans différents pays. C'est le cas notamment de l'Union européenne où les débats concentrent beaucoup l'attention. Les fournisseurs sont tout aussi préoccupées par les efforts législatifs de l'Australie, susceptible d'être le premier pays à adopter pleinement ces backdoors. Le Canada, le Japon et d'autres pays envisagent également de telles mesures, de même que certains législateurs aux États-Unis. Mais en Europe, l'absence d'accord entre les pays membres de l'UE, en plus du Royaume-Uni, signifiera probablement que ces pays créeront leurs propres règles en matière de portes dérobées - ou points clairs comme préfère les appeler à une époque l'Anssi -, sans chercher à les rendre cohérentes, que ce soit en termes d'exigences ou de sanctions en cas de non-conformité.

« Nous observons une panoplie variée de lois [sur le chiffrement] dans les pays, les régions et les États », a déclaré Brian Levine, directeur général d'Ernst & Young (E&Y) chargé de superviser les stratégies de cybersécurité. « Il s'agit de trouver un équilibre entre la sécurité et la sûreté, et de se rappeler qu'il ne s'agit pas de la même chose et qu'il y a de la valeur dans les deux cas. »

Un labyrinthe réglementaire inextricable

Audian Paxson, principal stratège technique d'Ironscales, une entreprise spécialisée dans la sécurité des messageries électroniques cloud, a fait une évaluation plus directe. En 2025, la situation de la réglementation mondiale en matière de backdoors relatifs aux applications et services chiffrés s'apparentera à « une blague. Elle sera également, dans une certaine mesure, futile », a déclaré le responsable. « La possibilité pour les pays de l'UE de s'unir est irréaliste. Et les lois fragmentées n'ont pas beaucoup d'adhérence ».

Pour les RSSI, cette question sera délicate, car si les réglementations n'auront pas un impact direct, elles peuvent avoir une effet secondaire potentiellement important. Les règles s'appliqueront directement aux fournisseurs avec lesquels les entreprises passent des contrats sur les applications de messagerie, les environnements cloud, les mobiles, les VPN, les plateformes SaaS et, potentiellement, les terminaux IoT et IIoT. Tout ce qui peut transmettre des données peut être pris dans le labyrinthe réglementaire par au moins certaines de ces zones géographiques. Les RSSI doivent protéger toutes sortes de données sensibles et restreintes, en particulier dans des secteurs verticaux très réglementés tels que la santé et la finance, ainsi que l'aérospatiale et d'autres susceptibles d'avoir des contrats gouvernementaux ou militaires nécessitant des habilitations de sécurité.

Ces règles relatives aux backdoors exigent généralement que certains employés ou sous-traitants du fournisseur aient un accès illimité à la version non chiffrée de toutes les transmissions. Ces employés peuvent ainsi partager les fichiers avec les forces de l'ordre. Le risque pour les RSSI est soit que l'un de ces employés du fournisseur ou des policiers ne soient pas digne de confiance et volent ou vendent ces données, soit que le fournisseur ou l'organisme chargé de l'application de la loi soit victime d'une violation et que les données soient ainsi divulguées. « Il est toujours difficile de prévenir les mauvaises actions d'un utilisateur à privilège », a prévenu Brian Levine.

L'argument du CSAM déficient

Le principal argument des législateurs en faveur des backdoors est qu'elles permettront de s'attaquer à des éléments tels que la pornographie enfantine, connue dans les milieux du chiffrement sous le nom de CSAM (child sexual abuse material). Mais de nombreux spécialistes estiment que cet argument est erroné. « L'analyse des fichiers à la recherche de CSAM et la comparaison de ces hash à ceux de CSAM connus ne constituent pas un moyen efficace de limiter cette forme de contenu illégal, car la plupart des CSAM sont des contenus récents », explique Augustine Fou, chercheur indépendant en cybersécurité qui est sur le point de proposer sa propre application de chiffrement B2B pour les entreprises. « Ceux qui abusent des enfants veulent du nouveau contenu CSAM, pas de l'ancien, donc la comparaison avec des hashs connus ne réduit pas l'activité illégale. Audian Paxson est d'accord, ajoutant que les pédo-pornographes quitteront rapidement les environnements réglementés pour se rendre sur le dark web ou sur divers canaux chiffrés privés. « Toutes les bonnes volontés essaieront de respecter les règles, mais les criminels qu'elles ciblent passeront tout simplement à leur chiffrement décentralisé », selon Audian Paxson. « Les criminels réagiront plus vite que les autres. Les attaquants sont suffisamment intelligents pour passer à un chiffrement de niveau quantique.

Brian Levine d'E&Y, ancien procureur du ministère de la justice des États-Unis, n'est pas d'accord sur ces deux points. Ce dernier a fait valoir que les entités qui collectent ces hashs, principalement le FBI et le National Center for Missing and Exploited Children, récupèrent constamment de nouvelles images et de nouveaux fichiers et les ajoutent à leurs bases de données. « Ils disposent de la valeur de hachage connue de toutes les images pédopornographiques. Ces bases de données sont mises à jour tous les jours », a-t-il déclaré. Selon Brian Levine, le fait que ces criminels quittent les plates-formes publiques pour le dark web ou leur propre environnement privé est précisément l'objectif recherché. Même si les criminels continueront à créer et à vendre leurs fichiers, ils seront séparés des enfants victimes et ne pourront donc pas préparer ou réaliser de telles vidéos ou photos. C'est là tout l'intérêt car ces enfants ne sont pas sur le dark web ou dans des environnements privés. Georgianna Shea, technologiste en chef chez Foundation for Defense of Democracies, qui se définit comme un groupe de réflexion non partisan axé sur la sécurité nationale et la politique étrangère, a déclaré que le patchwork probable de nouvelles règles sur les portes dérobées deviendrait presque impossible à gérer pour les RSSI des entreprises.

Une complexité de mise en oeuvre à considérer

« Je ne vais pas continuellement réarchitecturer sur la base d'un nombre infini de normes qui apparaissent », a déclaré Georgianna Shea, ajoutant qu'elle s'attend à ce que les RSSI commencent à étiqueter les données pour en retirer les informations européennes. Sa plus grande inquiétude est de perdre le contrôle des données hautement confidentielles. « Quelqu'un doit regarder cette image. Qui la regarde ? Qui y a accès ? Quel est l'impact sur vos clients qui vous ont fait confiance ? » Georgianna Shea a demandé ce qui se passerait si les données tombaient entre de mauvaises mains. « Avez-vous perdu ce client s'il finit par vous poursuivre en justice ? La Chine va-t-elle se retrouver avec votre formule secrète ? Qu'est-ce qui est en cause ? Quels sont les contrôles d'accès ? Les adversaires, les méchants, trouvent toujours un moyen de contourner le problème ». Richard Blech, CEO de la société de chiffrement XSOC, a déclaré que les efforts de mise en conformité des portes dérobées « ne sont pas du tout réalisables ou pratiques. Une fois que la porte est ouverte, elle l'est pour tout le monde. L'Australie s'efforce d'obtenir une sorte de porte dérobée ou au moins la possibilité d'écouter les conversations. Elle pourrait être la première à percer, bien avant que quiconque dans l'UE ne s'en approche », a déclaré Richard Blech.

Une approche pour les RSSI des entreprises consiste à créer leurs propres canaux de communication sécurisés avec les clients et les partenaires commerciaux dans les zones géographiques concernées, a déclaré Richard Blech, par exemple en utilisant un VPN d'entreprise pour se connecter à une zone sécurisée dans l'environnement on prem de l'entreprise. Toutes les communications pourraient alors être théoriquement protégées. Mais, a-t-il ajouté, « à condition que le VPN lui-même ne comporte pas de porte dérobée ». Il y a eu des discussions sur les vulnérabilités de l'AES ». L'une des principales applications de messagerie chiffrée, Signal, a déjà discuté de projets visant à aider ses clients à éviter ces règles de porte dérobée. « Signal propose une fonction intégrée de contournement de la censure et prend également en charge un simple proxy TLS qui peut contourner ces blocages dans de nombreuses circonstances et permettre aux gens de communiquer en privé », peut-on lire dans un billet de blog de Signal qui n'a pas répondu à notre confrère CSO pour commenter. Après avoir lu ce billet, Richard Blech a cependant réagi : « Ils n'en ont probablement pas parlé à leurs avocats mais, aspects juridiques mis à part, cela semble être une approche viable. »