[Chronique] Apple Vs FBI, la guerre du chiffrement ne fait que commencer

Depuis mardi dernier, la bataille entre Apple et le FBI est donc terminée. Le FBI a réussi à déverrouiller le téléphone de Syed Farook sans l’aide d’Apple grâce à l’intervention providentielle d’une tierce partie. Selon Reuters, rapportant les indiscrétions d’un journal israélien, il s’agit de la société Cellebrite, spécialisée dans la sécurité mobile et notamment dans la récupération et l’analyse de données mobiles.

Si les deux belligérants peuvent souffler, évitant un long combat judiciaire à l’issue incertaine, mais au précédent potentiellement dévastateur, aucun ne peut crier victoire. La guerre contre le chiffrement semble loin d’être terminée.

L’administration, pressée par ses agences de renseignement, lui mène une guerre depuis que les entreprises high-tech se sont mises en tête de renforcer la sécurité de leurs services et terminaux, à l’orée des révélations dévastatrices d’Edward Snowden sur le système d’écoutes et de surveillance de la NSA.

Éclaboussée par le scandale, plus ou moins contrainte de coopérer avec les autorités grâce aux injonctions délivrées par la très secrète FISC (Foreign Intelligence Surveillance Court), la Silicon Valley n’a pas tardé à réagir pour restaurer la confiance de ses utilisateurs au grand dam des autorités qui ont vu leur travail se compliquer.

Toutefois, les agences gouvernementales américaines patinent plus par manque de coopération entre elles que par déficit de compétences. Pour beaucoup, la NSA a déjà les moyens de casser les chiffrements du FBI, encore faudrait-il qu’elle partage ses compétences… Quant au FBI, il serait bien surprenant qu’il n’ait pas les moyens techniques de le faire.

Le FBI, soutenu par le Département de la Justice (DoJ), a-t-il vu dans cette affaire de terrorisme le moyen de faire pression sur Apple et l’ensemble du secteur pour se faciliter la tâche à l’avenir ? Testait-il l’opinion pour s’attacher son soutien en cas d’offensive plus musclée ? Le gouvernement a abandonné l’idée d’imposer législativement des backdoors, mais jusqu’à quand ?

Il serait illusoire de croire que le FBI entend se satisfaire de cette parade fortuite (ou non) du chevalier blanc volant à son secours quand 12 autres iPhone attendent d’être débloqués. Comme l’a révélé le Wall Street Journal et contrairement à ce que prétendait le FBI, le Département de la Justice voulait contraindre Apple « à aider les enquêteurs à extraire des données d’iPhone dans une dizaine d’affaires en cours à travers le pays ».
Lors de l’abandon de la procédure, la procureure Eileen Decker, a d’ailleurs tenu à préciser que la « décision de mettre fin à la procédure est basée seulement sur le fait qu’avec l’assistance récente d’un tiers, nous sommes maintenant capables de débloquer cet iPhone sans compromettre les informations dans le téléphone ».

Le DoJ a quant à lui précisé que « c’est une priorité pour le gouvernement de veiller à ce que les forces de l’ordre puissent obtenir des informations numériques cruciales pour protéger la sécurité nationale et la sécurité publique ».

Par ailleurs, Apple aimerait bien connaitre l’identité et la méthode employée par cette tierce partie. Mais le FBI n’est pas tenu de lui fournir ces informations. Informations que la firme aurait pu obtenir si le Bureau avait rendu son rapport d’évaluation (de la méthode) à la juge avant d’abandonner la procédure en cours. Désormais, ces informations pourraient être classées secret-défense.

Le mutisme du FBI concernant la méthode employée laisse part à toutes les suppositions. Il détient, seul (exception faite de la NSA), le pouvoir de déverrouiller ce type de téléphone, avec ce type de sécurité. Mais qu’en sera-t-il lorsqu’il sera confronté à des appareils plus récents fonctionnant sous un OS plus sécurisé, comme iOS 8 lancé en même temps que l’iPhone 6 ?

Il pourrait en être de même puisque le FBI a récemment accepté d’apporter son aide au procureur de l’Arkansas pour débloquer l’iPhone 6 et l’iPod d’un suspect de meurtre. Encore une fois, aucune mention n’a été faite concernant la méthode qui sera privilégiée. Le FBI, ou la « tierce partie » a-t-elle trouvé LA méthode imparable pour contourner la sécurité des iPhone de la firme ? Cela parait peu probable. Mais le doute subsiste.

Apple sait désormais qu’il est possible de contourner la sécurité de l’iPhone 5C, mais sans avoir connaissance de la vulnérabilité qui a rendu cela possible. C’est une aubaine pour les hackers et services de renseignement, moins pour les utilisateurs qui sont exposés à « un risque plus élevé d’être piraté », estime l’expert en technologie Robert Enderle. Les utilisateurs pourraient choisir d’aller voir ce qui se fait du côté de la concurrence.

Toutefois, l’iPhone 5C de Farook est beaucoup moins sécurisé que les modèles actuels roulant sous iOS 9 et les futurs terminaux de Cupertino.

Dans cette affaire, Apple avait de toute évidence tout intérêt à se poser comme le héraut du chiffrement, c’est bon pour son image de marque et son business. Ne nions pas pour autant la sincérité de Tim Cook et son combat pour la protection de la vie privée.
D’autant que de nouvelles révélations publiées par l’ACLU (Union américaine pour les libertés civiles) apportent un éclairage nouveau. Les agences fédérales requièrent l’aide d’Apple mais également de Google dans au moins 63 affaires. En invoquant, à chaque fois, le All Writs Act, censé n’être utilisé qu’en dernier recours.
Un échec d’Apple aurait pu créer le redoutable « précédent juridique » tant craint par Tim Cook.

Comme toutes les entreprises qui l’ont soutenu dans son litige l’opposant au FBI, de Google, en passant par Facebook, Whatsapp, Microsoft ou Twitter, Apple coopère avec les autorités quand celles-ci sont munies d’un mandat et que les données sont hébergées. La volonté d’imposer le chiffrement de bout-en-bout est également une réponse à ces demandes qui suivent une courbe ascendante. Sans clé de chiffrement, pas de données à transmettre.

La bataille se jouera certainement là-dessus. Et potentiellement au Congrès. Les sénateurs Dianne Feinstein (ancienne présidente de la Commission du Renseignement) et Richard Burr (actuel président de la Commission) avancent sur un projet de loi prévoyant de sanctionner les entreprises qui fabriquent des appareils dont les données seront inaccessibles même sous mandats des autorités. Une idée qui fait son chemin en France.

Le président Barack Obama n’a-t-il pas lui-même prévenu lors du dernier festival SXSW qu’en l’absence de consensus entre l’administration et l’industrie high-tech le législateur pourrait choisir d’édicter une loi « dangereuse » et « non réfléchie » ?

Des questions se poseront irrémédiablement. Une entreprise, toute multinationale qu’elle soit, peut-elle dire non à un gouvernement ? Peut-on laisser à un gouvernement le pouvoir d’accéder à l’ensemble des données des citoyens du monde entier pour peu qu’il le requière pour des impératifs de sécurité nationale ? Doit-il interférer dans les affaires d’une société privée ?

Cette première injonction en verra certainement d’autres. Peut-être demain, dans une autre affaire de terrorisme aussi tragique que celle de San Bernardino, peut-être avec une autre société qu’Apple. Et peut-être que cette fois-ci, dans l’opinion publique et pour les juges, ce sera la fois de trop.