La question de savoir si les données cryptées seraient ou non menacées dépend d’une inconnue : cette analyse se produirait-elle uniquement sur l’appareil ?
Le discours prononcé lundi par le Premier ministre britannique Keir Starmer, insistant sur le fait que les entreprises technologiques créent des contrôles sur les appareils pour empêcher les enfants de visualiser ou de créer des images sexuellement explicites, a sonné l’alarme parmi les RSSI, qui craignent que la même technologie ne porte atteinte à la sécurité de l’entreprise. Starmer a donné trois mois aux entreprises technologiques pour créer et mettre en œuvre volontairement de telles restrictions, après quoi il a déclaré qu’il ferait pression pour qu’une législation les rende obligatoires.
Derrière les obstacles techniques et logistiques que doivent surmonter les entreprises technologiques, comme la façon dont un appareil déterminerait qu’une image est inappropriée et comment il pourrait déterminer de manière fiable l’âge du sujet, se cache la question de savoir si ce processus interférerait avec les protections de cryptage des entreprises du monde entier. Et cela dépend si l’analyse des données requise s’effectue sur l’appareil ou dans le cloud.
Starmer n’est pas entré dans les détails, préférant laisser les entreprises technologiques élaborer leurs propres plans, mais dans ce cas, les détails comptent. Les analystes et les consultants ont déclaré qu’il y avait une tendance à ce que tout se passe sur l’appareil, ce qui éviterait tout problème de cryptage ; si les données inspectées ne quittent jamais l’appareil, la protection par cryptage resterait intacte.
Mais ce projet visant à maintenir le processus sur l’appareil semble hautement improbable pour plusieurs raisons. Le premier problème concerne les capacités des appareils et l’âge du matériel. Même si les ingénieurs d’Apple et de Google travaillent avec les appareils les plus récents, une grande partie de la population britannique utilise du matériel beaucoup plus ancien et moins performant, selon les analystes.
Même si un téléphone âgé de 2, 3 ou 4 ans pourrait encore être capable de supporter la charge supplémentaire, il souffrirait probablement d’un ralentissement dramatique suffisant pour rendre les utilisateurs décidément mécontents. Cela signifierait que même si l’exécution de l’analyse des données commençait sur l’appareil, elle devrait probablement être transférée vers le cloud pour des raisons de performances. Et une fois transféré dans le cloud, le problème des données cryptées commence.
Essayer d’effectuer cette analyse sur l’appareil au Royaume-Uni échouerait, a déclaré Flavio Villanustre, RSSI du groupe LexisNexis Risk Solutions. « Cela rendra inutilisables la majorité des appareils utilisés aujourd’hui au Royaume-Uni. Cela ne pourra tout simplement pas fonctionner sur l’appareil. »
Cependant, Villanustre a observé que l’analyse sur l’appareil pour ce type d’effort, qui nécessiterait d’analyser les images téléchargées sur le téléphone à la recherche d’images interdites, pourrait être viable dans quelques années, une fois que l’appareil typique deviendra beaucoup plus puissant. Mais pas aujourd’hui.
Crée de nouveaux risques
Signal, principal fournisseur d’applications de messagerie sécurisée, a également publié une déclaration ferme s’opposant à la proposition de Starmer.
« L’exigence du gouvernement britannique que tout le contenu de tous les appareils vendus ou utilisés au Royaume-Uni soit analysé sous présomption de nudité, en utilisant une combinaison dystopique de vérification de l’âge et d’analyse de contenu, ne protégera pas les enfants. Cela nous met tous en danger, tout en renforçant la domination du marché d’Apple, Google et Microsoft et leur contrôle sur nos informations les plus personnelles », a déclaré Signal. « Une fois créé, (le programme) sera étendu, formant un outil dangereux qui sera utilisé au Royaume-Uni et à l’étranger pour censurer et surveiller tout ce qu’ils pourraient considérer comme des « menaces » ou des « contenus préjudiciables ».
Signal a déjà lutté de manière agressive contre de tels programmes. Des campagnes similaires pour la protection de la vie privée ont également été lancées dans d’autres régions d’Europe.
La crainte de longue date est que le déplacement de données cryptées vers le cloud, qu’elles restent cryptées ou soient converties en texte clair, crée des opportunités pour les attaquants d’accéder aux données sensibles.
« Le mécanisme qui signale une correspondance aux autorités externes crée une nouvelle voie d’exfiltration intégrée », a déclaré Jeff Valdes, directeur du cabinet de conseil Acceligence.
Pourrait faire plus de mal que de bien
Sanchit Vir Gogia, analyste en chef chez Greyhound Research, a fait valoir que la proposition britannique est susceptible de faire bien plus de dégâts que de bien. Il a souligné le court délai de trois mois comme preuve d’un manque de bonne foi.
« Une législation d’une telle complexité ne peut pas être rédigée en un trimestre. Le délai est un instrument de pression, pas un calendrier de livraison. La sécurité des enfants est la destination. L’inspection à l’échelle de l’appareil est le mauvais véhicule », a déclaré Gogia. « Apple et Google effectuent déjà une détection de nudité sur les appareils dans des contextes limités, et cela fonctionne : un enfant peut être averti, une image floue, une tentative de partage interrompue. »
Gogia a souligné un autre problème logistique, à savoir que certains appareils tels que les tablettes sont souvent partagés entre les membres de la famille, ce qui rend pratiquement impossible une détermination fiable de l’âge.
« Le défaut le plus profond est que la politique suppose une cartographie stable entre l’appareil, la personne et l’âge, et que cette cartographie n’existe pas dans les foyers réels », a déclaré Gogia. « Un appareil ne peut pas savoir que son détenteur a changé. La seule architecture qui survit à cela est celle de l’enfant par défaut avec vérification récurrente par l’adulte, c’est-à-dire la surveillance arrivant par la porte dérobée de l’économie domestique. »
En outre, a-t-il noté, « les enfants héritent de manière disproportionnée des vieux combinés non pris en charge que le mandat ne peut pas atteindre. Forcer le désabonnement produit des déchets électroniques et punit les familles les moins en mesure d’en acheter de nouveaux ».
Carmi Levy, une analyste technologique indépendante, a convenu que la charge informatique nécessaire à elle seule à un tel effort pourrait en faire un échec commercial.
« Les besoins en calcul, en particulier à la lumière de la nécessité d’exécuter ce type de filtrage en temps réel, seraient immenses. Il est vain de supposer que cette capacité pourra un jour être déployée à grande échelle sans se heurter à d’énormes problèmes sur plusieurs fronts », a déclaré Levy. « Décider simplement comment régler les filtres est une tâche presque impossible. Bien que la définition générale de la nudité, à savoir ne pas porter de vêtements, soit généralement acceptée, la limite à partir de laquelle cela devient inapproprié pour les mineurs n’est ni statique ni universellement établie. Il est donc extrêmement optimiste de supposer qu’un seuil unique serait réalisable à l’échelle proposée par le Premier ministre Starmer. «
Nidhi Luthra, directeur d’Acceligence, a ajouté que les obstacles logistiques et technologiques constituent également un gros problème.
« Techniquement, certaines parties de cela peuvent fonctionner », a-t-elle déclaré, mais les fournisseurs devraient faire face à des vérifications d’âge, des dérives dans les modèles et des faux positifs, et il y a aussi « le manque d’informations contextuelles qui auraient réellement permis à cela de fonctionner ».
Met les RSSI dans « une impasse impossible »
La proposition britannique place également les RSSI et les directeurs informatiques des entreprises qui doivent protéger les données sensibles dans une situation impossible, a déclaré Gogia.
Ils « peuvent régir la gestion des appareils et l’accès conditionnel. Ce qu’ils ne peuvent pas régir, c’est une capacité d’inspection obligatoire qui se met à jour en fonction de l’appétit politique plutôt que de l’appétit du risque de l’entreprise », a-t-il souligné. « La proposition ne crée pas automatiquement une violation au sein de Signal, WhatsApp ou Teams, mais elle crée les conditions d’une nouvelle classe de violation autour d’eux. La faiblesse ne réside pas nécessairement dans le protocole de messagerie. Elle peut résider dans la couche d’inspection obligatoire, le mécanisme de mise à jour du classificateur, le flux de travail de garantie de l’âge ou les journaux que l’application génère inévitablement. «
Un changement de régime pourrait conduire à des abus
Une autre préoccupation courante est que les gouvernements changent de mains, de sorte que les capacités limitées accordées aujourd’hui à un gouvernement pourraient être utilisées très différemment par un futur gouvernement.
Brian Jackson, directeur de recherche principal chez Info-Tech Research Group, a noté : « Le gouvernement actuel ne l’utilise peut-être que pour détecter des nus, mais qu’est-ce qui empêchera un futur gouvernement autoritaire de l’utiliser pour détecter des commentaires politiques défavorables ? La création d’une porte dérobée signifie qu’il est possible que des tiers – des pirates informatiques – exploitent cette porte dérobée pour accéder aux communications de l’utilisateur. C’est exactement ce que le cryptage et les mesures de sécurité sur l’appareil sont censés empêcher. »
Il a ajouté : « La fonctionnalité de sécurité des communications d’Apple, Family Link de Google et une gamme d’outils de contrôle parental utilisent déjà l’IA sur l’appareil pour détecter et restreindre les images explicites sur les appareils des enfants. Le gouvernement ne comble pas une lacune que le marché n’a pas réussi à combler. Il propose de transférer le contrôle d’une capacité existante du propriétaire de l’appareil à l’État. Les parents peuvent déployer cette protection dès maintenant, selon leurs conditions. C’est là que la décision devrait se situer. »
Ryan O’Leary, directeur de recherche pour la confidentialité et la technologie juridique chez IDC, a déclaré que la proposition actuelle implique uniquement le Royaume-Uni et qu’il n’y a aucun moyen de déterminer si d’autres gouvernements tenteront quelque chose de similaire. Il a noté que l’on s’attendait généralement à ce que le RGPD de l’UE soit mondialisé lors de son lancement en 2016, mais que ce n’est pas le cas depuis dix ans.
O’Leary a déclaré que si cette proposition était adoptée au Royaume-Uni, il conseillerait aux responsables informatiques et de cybersécurité d’être très prudents lorsqu’ils envoient des membres de leur équipe dans la région.
« Il s’agirait essentiellement des ‘règles chinoises' », telles que les systèmes d’espacement d’air et les voyages avec des téléphones jetables à mémoire de données limitée, a déclaré O’Leary. « Si cela se concrétise, c’est un problème exceptionnellement grave », mais, a-t-il ajouté, les chances que cela se produise sont très faibles. « Il semble que les entreprises technologiques vont bluffer. »
