Pourquoi l'exigence d'interopérabilité de l'UE menace la sécurité du chiffrement

Une nouvelle loi dans l'Union européenne obligerait les grandes entreprises technologiques à repenser leurs applications de messagerie pour qu'elles fonctionnent de manière transparente avec toutes les autres sur le marché.

En théorie, la loi facilitera la discussion avec vos amis et votre famille, qu'ils utilisent iMessage, WhatsApp ou Signal. Cependant, cette interopérabilité forcée dans les réseaux pourrait causer des problèmes de sécurité importants.

Qu'est-ce que le chiffrement dans la messagerie et pourquoi est-ce important ?

La plupart des messages que vous envoyez à l'aide d'une application de messagerie ne seront pas chiffrés. Cela signifie que des tiers peuvent les lire lorsqu'ils se déplacent entre votre téléphone et la personne à qui vous écrivez.

Si vous souhaitez garder secret le contenu de vos messages, vous devrez utiliser une application qui offre un cryptage de bout en bout (ou E2E). Cela crée une sorte de communication sécurisée qui assure seuls vous et vos interlocuteurs pouvez lire ce que vous vous envoyez.

Le cryptage de bout en bout garantit que tous les messages que vous et votre interlocuteur envoyez restent sécurisés lors de vos déplacements entre vos téléphones, les protégeant contre la lecture ou la modification par des tiers. Ces tiers incluent les fournisseurs de services Internet, les compagnies de téléphone et même l'application de messagerie elle-même.

Par conséquent, l'équipe de développement de l'application ne peut pas transmettre vos messages aux annonceurs, aux forces de l'ordre ou à toute autre personne susceptible de vouloir les lire. Ce cryptage empêche également les tiers de modifier les messages en transit.

La plupart des principales applications de messagerie offrent une sorte de cryptage. Cependant, les fonctionnalités de cryptage spécifiques proposées peuvent varier d'une application à l'autre.

Comment la loi sur les marchés numériques pourrait menacer le chiffrement

Le 24 mars 2022, les organes directeurs de l'UE ont annoncé qu'ils étaient parvenus à un accord sur une nouvelle législation pour régir les Big Tech en Europe. Ça s'appelle le Loi sur les marchés numériques (ou DMA). L'un des changements les plus importants de la nouvelle loi est l'exigence que toutes les grandes entreprises technologiques créent des produits interopérables avec des plateformes plus petites.

Cela signifie que toutes les applications de messagerie des entreprises Big Tech devront pouvoir envoyer des messages, échanger des fichiers et passer des appels vidéo avec toutes les autres applications de messagerie, ce qui est bon à bien des égards. L'interopérabilité signifie que les entreprises Big Tech comme Meta, Google et Apple doivent prendre en compte les plus petites lors de la création de nouvelles applications ou plates-formes.

En 2021, Meta a connu une panne mondiale lorsque son Border Gateway Protocol (BGP) a eu une erreur de configuration, laissant tous ses actifs hors ligne pendant plus de 6 heures. Lorsque des entreprises comme Meta font des erreurs, des milliards d'utilisateurs peuvent en ressentir l'impact.

Cependant, la taille de ces entreprises peut les protéger des conséquences de faux pas, même majeurs. Les exigences d'interopérabilité pourraient obliger les Big Tech à rendre des comptes aux consommateurs et au monde de la technologie dans son ensemble.

De plus, l'exigence d'interopérabilité de la loi sur les marchés numériques peut poser des problèmes pour les applications qui offrent un cryptage E2E.

Pourquoi l'interopérabilité peut rendre le chiffrement plus difficile à mettre en œuvre

Les applications de messagerie implémentent le chiffrement de différentes manières ou utilisent diverses normes de chiffrement. Malheureusement, il est presque impossible de faire fonctionner toutes ces stratégies ensemble.

Les développeurs d'applications devront faire des compromis pour assurer l'interopérabilité. Une approche du « plus petit dénominateur commun » pourrait émerger, où les applications implémenteraient le système de cryptage le plus simple possible. Par exemple, imaginez une application de messagerie qui prend en charge le chiffrement pour les discussions de groupe, mais une autre qui ne le fait que pour les conversations en tête-à-tête.

L'interopérabilité totale peut signifier que les développeurs choisissent d'implémenter le système le plus simple qui fonctionnera avec d'autres applications sur le marché. Cela les obligerait probablement à abandonner des fonctionnalités plus complexes, comme le cryptage des discussions de groupe.

En pratique, cela pourrait rendre les utilisateurs beaucoup plus vulnérables. Les systèmes de cryptage moins sophistiqués peuvent être plus faciles à vaincre ou ne pas fournir une protection complète contre les tiers espions.

Les développeurs d'applications peuvent également créer de nouvelles normes leur permettant de harmoniser leurs pratiques de chiffrement. Par exemple, le Secure Communications Interoperability Protocol (SCIP) est une norme américaine pour la communication sécurisée de la voix et des données. Une norme similaire pour le chiffrement de la messagerie E2E pourrait aider les développeurs à assurer l'interopérabilité sans sacrifier les fonctionnalités.

Certaines applications de messagerie populaires—comme signal– sont suffisamment petits pour que les exigences DMA ne les affectent pas. Cependant, ce n'est pas vrai pour les meilleures plates-formes comme WhatsApp, qui utilise le protocole Signal pour son cryptage. Le DMA pourrait signifier que les fonctionnalités de cryptage de WhatsApp seront affaiblies ou complètement supprimées, ce qui rendra plus difficile pour les utilisateurs de garder leurs communications privées.

Les exigences d'interopérabilité pourraient affaiblir le chiffrement

Les exigences d'interopérabilité, comme celles de la nouvelle loi sur les marchés numériques de l'UE, présentent des avantages. Cependant, l'exiger pourrait également encourager les développeurs à affaiblir les fonctionnalités de chiffrement des applications.

Sous peu, les utilisateurs devront peut-être passer à des applications développées par des entreprises non Big Tech s'ils veulent la meilleure technologie de cryptage possible.

Que signifie crypté et mes données sont-elles sécurisées ?

Lire la suite

A propos de l'auteur