Guides Essentiels
Voir tous les articles de ce guide
Actualites
Cet article fait partie de notre guide: RSA Conference : une édition 2016 centrée sur la réponse aux incidents

Portes dérobées : un débat plus nuancé à RSA Conference

Une table ronde organisée lors de RSA Conference, la semaine dernière, a été l’occasion d’un débat nuancé sur la question des portes dérobées demandées par les gouvernements.

Michael Heller
par
Publié le: 08 mars 2016

Chenxi Wang, directeur stratégique de Twistlock, savait qu’elle s’attelait à une tâche difficile en essayant de structurer un débat nuancé autour des portes dérobées et de la collecte de renseignements par les gouvernements. « Chenxi, avez-vous perdu la tête ? Pourquoi est-ce là même un débat ? » lui a-t-on ainsi demandé.

Mais les échanges lors de sa table ronde ont montré toute la pertinence de ce débat : des désaccords sont apparus, non seulement sur la question de précédent légal mais aussi autour de ce qui constitue ou non une porte dérobée.

De la question des portes dérobées

Pour Michelle Dennedy, directrice confidentialité chez Cisco, le terme de porte dérobée ne s’applique que pour des accès installés délibérément au sein d’un système. De son point de vue, il n’y a ainsi pas eu de porte dérobée dans les systèmes Juniper, mais une faille… parce que le code malicieux autorisant l’accès à distance n’a pas été inséré par l’équipementier mais par des pirates.

Pour Matthew Green, professeur assistant à l’université John Hopkins et experts en cryptographie, l’intention n’importe pas du moment que le code permet un accès non autorisé.

Richard Marshel, Pdg de X-SES Consultants, et ancien de la NSA, semble partager ce point de vue. Pour lui, une porte est dérobée est une vulnérabilité intentionnelle, mais peu importe en fait, car les pirates ne manquent pas de vulnérabilités à exploiter pour accéder à système, sans avoir à compter sur des portes dérobées : « les Etats-nations ne s’inquiètent pas vraiment du chiffrement. Il ralentit le processus, mais ils peuvent entrer. Il n’est pas nécessaire de construire une porte dérobée ; il y a tellement d’autres vulnérabilités exploitées au quotidien ». Dès lors, « à moins que l’on construise un logiciel parfait, et d’ici là, c’est là-dessus [sur les vulnérabilités] qu’il faut concentrer son énergie ».

Une coopération inscrite dans la loi

Outre-Atlantique, la loi impose aux opérateurs de télécommunications de concevoir leurs réseaux de manière pouvoir fournir aux autorités, sur réquisition judiciaire, les détails des communications. Une approche que l’on retrouve notamment en France et qui était au cœur des questions relatives au statut des prestataires de communications électroniques tels que Skype.

Et pour Dennedy, la question de l’extension de ces dispositions légales aux systèmes de communications électroniques actuels dépasse le cadre de quelques pays : « Il y a d’autres pays [que les Etats-Unis]. Je pense que nous pas seulement la possibilité, mais aussi le devoir d’avoir ce débat de manière aussi transparente, publique et ouverte que possible, pour permettre à des voix nuancées de cultures différentes d’apporter leur influence ».

Plus cinglant, Marshall fustige d’ailleurs « l’arrogance » avec laquelle l’industrie IT américaine estime, selon lui, « que nous sommes les seuls à savoir quoi diable faire avec les technologies de communication ». Au final, pour lui, ce sont toutes les législations relatives aux communications téléphoniques et électroniques qui doivent être revues parce qu’elles « ne reflètent pas l’état actuel de la technologie ».

Jouer avec le feu

Pour Green, toutefois, les législateurs devront être prudents, parce que les messageries chiffrées constituent une technologie relativement jeune, et l’on ne sait pas encore quelles seraient les conséquences pour les technologies dans leur ensemble : « ce que l’on a appris au cours des dernières années, depuis les révélations de Snowden, c’est probablement qu’aucun pays ne sait casser le chiffrement. Nous savons que le chiffrement fonctionnement. Si ce n’était pas le cas, ce débat sera bien plus simple pour tout le monde ».

Et pour lui, la seule manière pour les Etats-nation de casser le chiffrement est de l’affaiblir ou de dérober des clés. A ce propos, Green souligne que les clés sont une chose en laquelle il est possible de faire confiance : elles peuvent dérobées si elles sont conservées trop longtemps. Et de suggérer le recours à des clés jetables, tout en concédant une limite : il ne voit pas comment il serait possible de mettre en œuvre un système de passe à usage unique pour porte dérobée à destination des autorités.

Adapté de l’anglais.

Pour approfondir sur Réglementations et Souveraineté