Longtemps connu de quelques seuls initiés, le chiffrement a gagné en notoriété avec les révélations d’Edward Snowden en 2013, présenté alors comme le dernier vrai rempart face aux cyber intrusions. Plus récemment, l’enquête menée suite aux attaques terroristes en France et la bataille entre Apple et le FBI aux Etats-Unis ont amené des interrogations sur le bienfondé de cette technologie. Est-il prudent de miser sur une technologie inviolable que les criminels peuvent utiliser contre nous?
Chiffrement, confiance et réalité des enjeux
Dans les faits, le chiffrement est le processus de transformation de données ouvertes et accessibles en données dites « fermées ». En d’autres termes, il permet de verrouiller des données qui ne peuvent ensuite être lues qu’à l’aide d’une clé ou d’un jeu de clés.
Si l’on en croit les autorités de certains pays, le chiffrement aurait le pouvoir de faire du Web une zone de non-droit en rendant les informations illisibles, et donc incontrôlables. Sur ce point, elles ont partiellement raison car le chiffrement rend toute donnée inaccessible à celui qui n’est pas autorisé à les consulter. C’est vrai pour les espions, les criminels et la police mais également pour le propriétaire des données lui-même s’il oublie le code de déchiffrement par exemple. Cela ne veut pas dire pour autant que les autorités sont impuissantes.
Prenons l’exemple d’un téléphone crypté. Sans clé, son contenu et la teneur des messages envoyés ou reçus sont inaccessibles. Mais il reste possible de savoir grâce aux données dont disposent les opérateurs avec quels numéros de téléphone il correspond, à quelles bornes il s’est connecté, voire même les sites qui ont été consultés. Si le détenteur du téléphone utilise un compte Google ou un réseau social, les données qu’il est possible de récupérer restent nombreuses.
En outre, chacun doit se demander : obliger les éditeurs et constructeurs à fournir une clé générique de déchiffrement permet-il d’arrêter le financement du terrorisme et l’endoctrinement ? Quid des conséquences si ces clés tombent entre de mauvaises mains ?
Une véritable arme contre les cyber criminels
Du côté des utilisateurs, il peut sembler excessif d’avoir recours au chiffrement automatique pour protéger des informations le plus souvent anodines mais la technologie fait de plus en plus d’adeptes. Pour des entreprises comme Apple ou Sony, c’est le moyen le plus simple d’offrir à leurs millions de clients une protection homogène répondant à leurs exigences. Quant aux entreprises, elles sont de moins en moins nombreuses à pouvoir s’en passer, quand on sait que plus de la moitié d’entre elle a été victime d’au moins une cyberattaque en 2015. Bien sûr, le chiffrement n’empêche pas les vols de données, mais il permet au moins de prévenir leur exploitation et de ralentir le travail des cybercriminels.
Dans la pratique, si le temps nécessaire au déchiffrement est excessivement long pour les cybercriminels, le jeu n’en vaut pas la chandelle N’oublions pas que les cybercriminels modernes sont en réalité des hommes d’affaires qui veulent avoir un retour sur investissement le plus rapide possible. Malheureusement pour eux, les données peuvent perdre de leur valeur rapidement une fois volées. Au fil du temps, certaines informations ne valent plus grand-chose, voire plus rien du tout. C’est par exemple le cas de plans stratégiques valables pour une période donnée ou encore de mots de passe qui sont changés régulièrement.
Ainsi, le chiffrement est une barrière de sécurité légitime loin d’être superflue qui permet de protéger aussi bien nos photos de vacances et relevés de comptes que les innovations de nos grandes entreprises. Affaiblir sa force, notamment avec des backdoors, c’est l’affaiblir aussi pour tous les individus et leur vie privée, les entreprises voire les infrastructures critiques et leurs données stratégiques. En d’autres termes, généraliser le chiffrement c’est faire en sorte que le crime ne paie plus.
Le chiffrement selon Whatsapp
Aleks Gostev, Chief Security Expert au sein de l’Equipe Internationale de Recherche et d’Analyse (GReAT) de Kaspersky Lab, partage lui aussi son analyse:
« Depuis toujours, il existe une tension inhérente entre les droits de chaque individu au respect de sa vie privée et les questions de sécurité au sens large. Il est peu probable que la situation évolue à court terme, bien qu’il soit possible que les priorités changent en fonction du contexte géopolitique et sécuritaire. L’important est de trouver un équilibre satisfaisant. Le chiffrement est au cœur des questions de protection des données privées, et comme le montre les dernières actualités le débat est est loin d’être clos.
Est-il possible d’affirmer que des produits plus sécurisés rendent le monde plus sûr ? Je ne le pense pas. Mais nous pouvons saluer les efforts faits par Apple et WhatsApp pour protéger les données privées de leurs utilisateurs en chiffrant leurs services de bout-en bout.
Leurs actions signifient que l’email est maintenant l’outil de communication digitale le moins sûr. Les messageries en ligne gratuites transmettent des messages à travers les réseaux en texte simple et les utilisateurs n’ont aucune garantie que leurs données sont stockées de manière sécurisée.
Sans surprise, l’email est l’un des premiers vecteurs d’attaque pour les cyber criminels. Il permet aux personnes mal intentionnées de récupérer l’accès au réseau d’un individu ou d’une entreprise, à leurs données et à leur argent. Le contenu des emails lui-même est une cible. Chez Kaspersky Lab, nous rencontrons régulièrement des attaques qui ciblent les bases de données de messageries. Nous rencontrons également de plus en plus d’acteurs sinophones s’en prendre aux entreprises dans le but d’accéder à leurs emails. L’un des exemples les plus récents et les plus importants d’exfiltration de données est l’affaire des Panama Papers, qui proviendrait d’une faille de serveur de messagerie survenue l’année dernière. Il est effrayant de constater la simplicité avec lesquels les criminels mettent la main sur des messages en texte simple.
Le chiffrement de bout-en-bout empêche les attaques de type “man in the middle”, où un acteur mal intentionné intercepte un ou plusieurs emails entre l’utilisateur et le serveur. Pourtant, ce niveau de protection est rarement mis en place.
Le chiffrement des emails par défaut, ou au moment de l’envoi, est difficile. Il existe des outils et des plugins mais ils demandent des connaissances informatiques qui les réservent de facto aux utilisateurs les plus expérimentés. La majorité des internautes ne peut pas s’équiper de ces solutions. Il existe également des services de messagerie gratuits et chiffrés, comme ProtonMail, mais tant qu’ils ne compteront pas des milliards d’utilisateurs, ils ne représenteront pas une alternative viable aux solutions de messagerie non sécurisées.
L’email est le moyen de communication pour lequel le chiffrement est le plus indispensable. Et le plus tôt sera le mieux. La solution doit venir des meilleurs développeurs de logiciels de messagerie, comme l’est Outlook Exchange de Microsoft. En chiffrant tout, pour des milliards d’utilisateurs, en une seule fois, WhatsApp a raison. Email, c’est à ton tour, maintenant ! »
