Le FBI n’est pas satisfait des dernières versions d’iOS et d’Android utilisant le cryptage par défaut. Le directeur du FBI, James Comey, a fait exploser Apple et Google. Microsoft n’est jamais mentionné, mais Windows 8.1 utilise également le cryptage par défaut.
Le FBI ne semble pas s’inquiéter de la fonctionnalité de «chiffrement de périphérique» par défaut de Windows 8.1. Le cryptage de Microsoft fonctionne un peu différemment – Microsoft détient les clés et pourrait les remettre au FBI.
Pourquoi le FBI fait exploser Apple et Google
Annuaire du FBI James Comey a dit Apple et Google créent « un trou noir pour les forces de l’ordre ». Le cryptage «menace de nous conduire tous dans un endroit très sombre», selon le FBI.
Les dernières versions d’iOS d’Apple et d’Android de Google chiffrent automatiquement le stockage d’un smartphone ou d’une tablette par défaut. Auparavant, ce n’était qu’une option que la plupart des utilisateurs n’activeraient pas. En raison du fonctionnement du chiffrement, seule une personne connaissant la clé peut la déchiffrer et accéder aux fichiers non chiffrés. Si Apple ou Google recevaient un mandat – ou une sorte de «lettre de sécurité nationale» secrète – ils ne seraient pas en mesure de décrypter les fichiers même s’ils le voulaient. Ils n’ont pas la clé de cryptage. (Une lettre de sécurité nationale est une ordonnance secrète qui peut contenir une exigence de «non-divulgation», empêchant la personne qui a reçu la lettre de sécurité nationale d’en parler pour le reste de sa vie sous la menace de poursuites pénales.)
C’est le principal problème du FBI – le cryptage qui empêche les voleurs d’accéder à vos données après avoir volé votre appareil est très bien. Cependant, le FBI souhaite avoir un moyen de forcer Apple ou Google à fournir l’accès aux données cryptées. En d’autres termes, ils veulent qu’Apple et Google disposent d’une clé qu’ils peuvent utiliser pour accéder aux données cryptées.
Le chiffrement de périphérique de Windows 8.1 donne une clé à Microsoft
Les nouveaux appareils Windows 8.1 sont livrés avec quelque chose appelé «cryptage de l’appareil» activé par défaut. Ceci est différent de la fonctionnalité de chiffrement BitLocker, qui n’est disponible que dans les éditions professionnelles plus chères de Windows et n’est pas activée par défaut.
Si vous disposez d’un appareil pris en charge, le stockage de l’appareil est pré-chiffré, mais il utilise une clé de chiffrement vide. Lorsque vous vous connectez avec un compte Microsoft, le chiffrement est activé et une clé de récupération est téléchargée sur les serveurs de Microsoft. (Si vous vous connectez sur un domaine, la clé de récupération est téléchargée vers les services de domaine Active Directory, de sorte que votre entreprise ou école l’a à la place de Microsoft.) Si vous utilisez un compte local, il n’y a aucun moyen d’activer le chiffrement de l’appareil.
En d’autres termes, le chiffrement de l’appareil ne peut être utilisé que si vous téléchargez une clé de récupération sur les serveurs de Microsoft (ou sur le serveur de domaine de votre organisation). Si un voleur volait votre appareil, il ne pourrait pas y accéder. Cependant, si les forces de l’ordre envoyaient un mandat (ou une lettre secrète de sécurité nationale) à Microsoft, Microsoft serait obligé de donner au gouvernement votre clé de récupération.
C’est exactement ce que le FBI attend d’Apple et de Google – ils veulent qu’ils détiennent une clé de récupération qu’ils peuvent divulguer. Apple et Google sont en train de creuser, mais Microsoft a déjà donné au FBI ce qu’il voulait.
Microsoft peut avoir d’autres raisons, mais…
Maintenant, il ne s’agit pas de fournir une porte dérobée au FBI. Les utilisateurs Windows moyens qui oublient leur mot de passe pourront obtenir une clé de récupération de leur compte Microsoft en passant par un processus de réinitialisation de mot de passe. Ils auraient juste à visiter http://windows.microsoft.com/recoverykey et connectez-vous avec le même compte Microsoft – en utilisant une procédure de récupération de compte s’ils ne se souviennent pas du mot de passe. En règle générale, le chiffrement ne peut pas être contourné – si un utilisateur oublie son mot de passe, il perdra l’accès à tous les fichiers de son ordinateur. Microsoft semble considérer cela comme inacceptable.
Mais tout cela est un peu bizarre. Il n’y a aucun moyen d’activer le chiffrement de l’appareil sans télécharger une clé de récupération quelque part – pas même une option d’utilisateur avec pouvoir caché. C’est très inhabituel pour le cryptage – Android et iOS ne le font certainement pas de cette façon. BitLocker propose de sauvegarder votre clé de récupération sur votre compte Microsoft, mais cette partie n’est pas obligatoire. C’est l’une des nombreuses façons de créer une sauvegarde de votre clé de récupération, contrairement au cryptage par défaut de l’appareil.
Même en ignorant l’accès des forces de l’ordre, cela rend le cryptage plus faible. Quelqu’un peut passer par le processus de réinitialisation du mot de passe dans votre compte Microsoft pour accéder à vos fichiers cryptés. Nous avons déjà vu des gens abuser des procédures de réinitialisation de mot de passe avec des astuces d’ingénierie sociale pour accéder aux comptes d’autres personnes. C’est juste moins sûr.
L’application de la loi peut tout obtenir, de toute façon
Si le FBI souhaite avoir accès aux SMS et aux appels téléphoniques, il peut l’obtenir auprès des opérateurs de téléphonie mobile. Si le FBI souhaite accéder aux e-mails, aux publications sur les réseaux sociaux et aux fichiers stockés dans le stockage en nuage, il peut l’obtenir en contactant les services Web associés – oui, même Google et Apple devraient répondre et transmettre les données des utilisateurs.
Les États-Unis et d’autres pays ont même d’énormes bases de données secrètes contenant des journaux de qui a appelé qui. Ils essaient même de surveiller tout le trafic sur le Web et de le placer dans une base de données afin qu’il puisse être interrogé plus tard.
Toutes les données sensibles protégées par cryptage sont probablement disponibles ailleurs. Même avec iOS et Android, les appareils sont configurés pour télécharger des données sur les divers services iCloud d’Apple et Google. Ces données téléchargées pourraient être obtenues de leurs serveurs avec un mandat ou une lettre de sécurité nationale.
Adopter une loi si c’est si important
Il existe un moyen pour le FBI d’obtenir ces portes dérobées – le gouvernement devrait simplement adopter des portes dérobées peu contraignantes pour l’application de la loi. Actuellement, la mise en œuvre d’un cryptage sans backdoors pour l’application de la loi est tout à fait légale aux États-Unis. Le FBI en fait abandonné en poussant pour une telle loi:
«Le FBI a abandonné un élément de sa proposition initiale qui aurait obligé les entreprises qui facilitent le cryptage des messages des utilisateurs à toujours avoir une clé pour les déchiffrer si une ordonnance du tribunal leur était présentée. Les critiques avaient accusé une telle loi de créer des portes dérobées pour les pirates. La proposition actuelle permettrait aux services qui chiffrent entièrement les messages entre les utilisateurs de continuer à fonctionner, ont déclaré des responsables.
S’il est si dangereux d’autoriser le chiffrement sans porte dérobée, pourquoi le FBI y a-t-il renoncé? Probablement parce qu’ils savent qu’ils perdraient. Mais, si la rhétorique actuelle du FBI est quelque chose à dire, nous pourrions voir une telle loi recommencer à prendre forme.
Dans l’ensemble, le chiffrement de l’appareil est toujours une fonctionnalité utile dans Windows. Crypter des fichiers mais autoriser le FBI à y accéder est toujours une amélioration par rapport à ne pas crypter ces fichiers. Le cryptage empêche au moins les voleurs d’accéder. Ne mâchons pas nos mots: le chiffrement des appareils est bon. C’est mieux que l’absence totale de cryptage par défaut que Windows offrait, même avec ce souci.
Cependant, les moyens de Microsoft de permettre aux forces de l’ordre d’accéder aux fichiers cryptés sont quelque chose qui passe sous le radar. C’est particulièrement pertinent lorsque nous voyons Apple et Google creuser et refuser d’activer cet accès secret. Apple et Google ne peuvent pas permettre aux forces de l’ordre d’accéder à vos données chiffrées, mais Microsoft le peut.
Crédit d’image: Dave Newman sur Flickr, Mark Fischer sur Flickr
