Les médias de masse annoncent que le «iCloud» n’offre aucune sécurité

Article d’Icaros d’Essentiel News

Le Washington Post, journal détenu par le milliardaire américain et fondateur d’Amazon Jeff Bezos, une publication notoirement proche des services de renseignement américains, vient de l’annoncer en grande pompe: le gouvernement britannique a fait parvenir un «ordre secret» à Apple, contraignant l’entreprise à installer une «backdoor» (porte dérobée) dans son système de stockage de fichiers en ligne (iCloud).

Cette porte dérobée doit permettre au gouvernement britannique d’accéder, de façon intempestive, indiscriminée et sans mandat judiciaire, au contenu personnel de n’importe quel utilisateur Apple dans le monde.

Le journal américain l’annonce en ces termes:

Le bureau du ministre de l’Intérieur a signifié à Apple un document appelé avis de capacité technique, lui ordonnant de fournir un accès en vertu de la loi britannique sur les pouvoirs d’investigation de 2016, qui autorise les forces de l’ordre à obliger les entreprises à fournir une assistance lorsqu’elles en ont besoin pour recueillir des preuves, ont déclaré les personnes concernées.

La loi, connue par ses détracteurs sous le nom de «Charte des espions», considère comme une infraction pénale le fait de révéler que le gouvernement a formulé une telle demande. Un porte-parole d’Apple s’est refusé à tout commentaire.

Apple peut faire appel de l’avis de capacité du Royaume-Uni auprès d’un groupe technique secret, qui examinerait les arguments relatifs au coût de l’exigence, et auprès d’un juge qui déterminerait si la demande est proportionnelle aux besoins du gouvernement. Mais la loi n’autorise pas Apple à retarder sa mise en conformité pendant la durée de l’appel. […]

L’une des personnes informées de la situation, un consultant qui conseille les États-Unis sur les questions de cryptage, a déclaré qu’il serait interdit à Apple d’avertir ses utilisateurs que son cryptage le plus avancé n’offre plus une sécurité totale. Cette personne a jugé choquant que le gouvernement britannique demande l’aide d’Apple pour espionner des utilisateurs non britanniques à l’insu de leur gouvernement. Un ancien conseiller à la sécurité de la Maison Blanche a confirmé l’existence de l’ordre britannique.

Cette nouvelle a été reprise par tous les médias de masse dans le monde anglophone: de Forbes au Guardian, de CNBC à la BBC.

Avant de se pencher sur la raison probable pour laquelle une telle annonce a été orchestrée, on revient d’abord sur le contenu de la nouvelle elle-même, et des révélations qu’elle contient.

iCloud et sécurité

iCloud est le service de stockage en ligne d’Apple, conçu pour synchroniser et sauvegarder automatiquement les données des utilisateurs de l’iPhone, iPad, iMac, MacBook, etc.

Les fidèles clients d’Apple le savent: ils peuvent facilement synchroniser leurs données d’un appareil à l’autre. Contacts, messages, photos, calendriers, fichiers personnels, etc. La façon dont cela se produit est simple: toutes ces données sont par défaut envoyées vers (et stockées sur) les serveurs d’Apple.

Selon Apple toutefois, aucune raison de s’inquiéter, car ces données sont cryptées. Des cas de fuite systémique comme celui de 2014 (depuis baptisé «The Fappening») ne seraient que des anecdotes, et aucunement imputables à un défaut de sécurité de leur part.

Pour le chiffrement de ces données, Apple distingue deux niveaux de sécurité:

• Le niveau de protection standard, qui signifie qu’Apple dispose des clés de chiffrement, et peut donc aider un utilisateur (ou à fortiori les «forces de l’ordre») à récupérer ses données.
• Le niveau de protection avancé, qui implique un chiffrement bout en bout. Cela signifie qu’en théorie personne ne peut accéder à ces données, même pas son propriétaire s’il perd l’accès à son dispositif et sa clé de recouvrement.

Ce dernier niveau de protection doit être explicitement activé pour fonctionner. Or puisque l’iCloud lui-même fonctionne par défaut, cela signifie que quiconque n’a pas explicitement fait le choix contraire, a déjà de facto autorisé Apple à accéder à toutes ses données privées.

Guerre contre la cryptographie

Il existe aux États-Unis, pays où Apple est basé, de sévères restrictions légales à l’exportation commerciale de technologies de chiffrement fiables.

Par exemple, les produits, logiciels et composants de chiffrement commercialisés en masse et dépassant une certaine performance (par exemple, cryptage symétrique de 64 bits, courbe elliptique de 128 bits ou cryptage asymétrique de 768 bits) doivent être enregistrés auprès du «Bureau of Industry and Security» (BIS) et sont soumis à autorisation.

Il est également de notoriété publique, dans l’ère dite post-Snowden, que les services de renseignement coopèrent déjà secrètement avec les grandes entreprises technologiques pour insérer des portes dérobées dans les systèmes de chiffrement commerciaux les plus utilisés.

Un article d’Essentiel News daté du 3 juin 2024 revenait également sur les efforts mis en œuvre par les États et leurs services secrets pour s’assurer que les technologies de chiffrement numériques leur soient ouvertes – tout en mentionnant les solutions open source permettant de pallier ce problème.

En d’autres termes: on n’a certes aucune preuve formelle qu’Apple fournissait déjà aux services Five Eyes une porte dérobée dans son chiffrement «avancé» de l’iCloud, mais on peut légitimement en faire l’hypothèse.

Révélation de la méthode

Dès lors se pose la question: quel intérêt aurait un journal américain entièrement acquis à la cause de la propagande publique, notoirement proche des services de renseignement de ce pays, et tout en s’appuyant sur «un ancien conseiller à la sécurité de la Maison Blanche», à révéler un «ordre secret» de cette nature?

On pourrait en effet imaginer qu’une telle annonce serait contre-productive; qu’elle éveillerait les consciences, et qu’elle pousserait tout le monde à mieux protéger ses données privées.

Malheureusement, ce raisonnement optimiste ignore la réalité. La majorité des gens liront la nouvelle et s’en désintéresseront, de la même façon qu’une superproduction Hollywoodienne annonçant les violations flagrantes de leur sphère privée individuelle n’a pas ébranlé leur apathie.

Une telle révélation, comme la superproduction Hollywoodienne susmentionnée, a donc un autre objectif. Cette démarche s’appelle «révélation de la méthode», et fait partie intégrante de l’exercice de manipulation et de propagande. Paradoxalement, on a découvert que d’annoncer l’assujettissement des peuples favorise et facilite leur assujettissement.

L’objectif d’une telle révélation a donc deux buts principaux:

• Cultiver un sentiment d’impuissance apprise: en mettant les gens devant le fait accompli, et en leur donnant subtilement l’impression que d’agir est beaucoup trop compliqué, le pouvoir produit une dissonance cognitive qui les conduit à baisser les bras. Puisqu’ils ne font rien, ils se convainquent qu’ils ne peuvent rien faire. On instille comme cela découragement et résignation; on produit un syndrome de Stockholm, et on renforce la domestication. Les puissants, en exagérant leur puissance, réussissent à créer une catégorie de population qui se trouve prête à justifier et défendre sa propre servitude.
• Obtenir le consentement implicite: les entreprises «Big Tech» sont assoiffées de données pour entraîner leurs modèles d’intelligence artificielle. Or à cet égard les données du cloud représentent un capital immense; sauf que pour les exploiter, on a besoin du consentement des gens, sinon éclairé, du moins implicite. Si on annonce à corps et à cri que les données personnelles du cloud sont accessibles, et si les gens laissent ces données sur le cloud, c’est qu’ils admettent que ces données peuvent être exploitées.

En même temps, cette révélation a heureusement un coût: elle permettra à d’autres, certes encore minoritaires mais dont le nombre grandit, de prendre conscience du problème, de retirer leur consentement, et de mettre en œuvre des mesures simples pour protéger leur sphère privée individuelle.

Quelles solutions?

Heureusement, pour ceux que ça intéresse, la solution n’est pas compliquée. A court terme, les utilisateurs d’Apple peuvent très facilement désactiver la synchronisation de leurs données avec iCloud.

A moyen terme ensuite, il conviendrait d’explorer des solutions libres et ouvertes comme alternative morale, sûre et flexible aux produits des géants «Big Tech» dont Apple fait partie. La présentation ci-dessous donne des idées, cite des solutions, et précise quelques lignes directrices à suivre.

 

Conclusion

Lorsqu’une nouvelle défraie la chronique, comme c’est le cas en ce moment avec cette affaire du chiffrement de l’iCloud, il convient de se demander:

• Qui me donne cette nouvelle?
• Pourquoi me donne-t-on cette nouvelle?
• Pourquoi me donne-t-on celle nouvelle maintenant?

Ainsi, il ne serait pas rigoureux pour un média alternatif comme Essentiel News de régurgiter sans recul les nouvelles du Washington Post, et de participer ainsi à un exercice racoleur et anxiogène d’hyperventilation.

Être «choqué» par une «révélation» sans rien y faire est artificiel et contre-productif. La seule conclusion qui s’impose est donc la suivante: le Washington Post vient d’admettre ce que nous aurions dû déjà savoir depuis longtemps; il est l’heure désormais de s’affranchir du «Big Tech», de prendre en main sa souveraineté numérique, et d’adopter des solutions libres et open source.