Le chiffrement des données personnelles et des communications privées est désormais une obligation éthique
(blog.tripu.info)- Protéger les conversations privées et les données grâce au chiffrement de bout en bout n’est plus une simple préférence personnelle, mais une pratique qui protège aussi celles et ceux pour qui la vie privée est une condition de survie
- Comme dans l’analogie où l’on imposerait des murs en verre à tous les bâtiments, l’argument de la lutte contre la criminalité peut vite se transformer en une structure de surveillance permanente par l’État et par autrui
- Le projet de règlement européen contre les abus sexuels sur les enfants, connu sous le nom de Chat Control, est un exemple de mesure pouvant mener à la surveillance de toutes les communications, et les cas de répression politique et d’accès illégal à l’information au sein de l’UE aggravent le risque
- Il faut banaliser dans la vie quotidienne des outils et des habitudes comme PGP, SSL, les VPN, Tor, le tunneling SSH, IPFS, Linux, les distributions Android libres, Protonmail, Matrix, Signal, le blocage des publicités, le nettoyage des URL et le refus des cookies tiers
- Si un nombre suffisant de citoyens protègent leurs données et leurs communications, l’application de lois de surveillance de masse devient difficile et un écran de fumée collectif se crée pour les personnes les plus vulnérables
Pourquoi le chiffrement dépasse le cadre du choix personnel
- Chiffrer les données personnelles et les communications privées de bout en bout est désormais moins un simple choix éthique qu’une quasi-obligation
- Une loi fictive imposant des murs en verre à tous les bâtiments pourrait être justifiée au nom de la difficulté accrue à dissimuler des crimes
- Selon cette logique, des drogues illégales, l’impression de fausse monnaie, les violences domestiques ou la maltraitance d’enfants deviendraient visibles depuis l’extérieur
- Mais, à part un rideau de douche, un cache pour la chambre ou une couverture, cela reviendrait à permettre à l’État, aux passants et potentiellement à n’importe qui de voir la vie quotidienne de chacun
- Au lieu d’accepter une nouvelle loi au motif qu’on n’aurait “rien à cacher”, l’argument est qu’il faut s’opposer à de tels projets et, s’ils sont effectivement appliqués, désobéir
- La vie privée est indispensable à certaines professions et à certains groupes
- Les lanceurs d’alerte, journalistes d’investigation, médecins cliniciens, psychologues, professionnels de santé, avocats, tribunaux, police, armée et services de renseignement ont besoin, dans le cadre de leur travail, de différents niveaux de secret
- Les scientifiques et ingénieurs qui travaillent sur des infrastructures critiques ou des technologies sensibles comme le réseau électrique, l’infrastructure backbone d’Internet, la recherche sur le gain de fonction, la technologie nucléaire ou la cybersécurité ont eux aussi besoin d’une forte protection de la vie privée
- Les minorités poursuivies, les personnes non conformes aux normes sexuelles, les dirigeants de l’opposition, les militants, les penseurs non conventionnels et les personnes différentes à divers titres ont besoin du secret pour leur sécurité physique
Les risques de surveillance révélés par Chat Control
- Le “projet de règlement établissant des règles pour prévenir et combattre les abus sexuels sur les enfants” de la Commission européenne est présenté comme un cas de Chat Control
- Mullvad VPN avertit que l’“UE cherche à mettre en œuvre une loi qui lui permettrait de surveiller toutes les communications”
- Patrick Breyer, député européen, traite de cette proposition dans “Chat Control: The EU's CSEM scanner proposal”
- L’UE est un ensemble hétérogène de 27 pays, et la Hongrie comme la Pologne y sont mentionnées comme des “flawed democracies”
- Dans ces deux pays, il y avait l’an dernier de fortes preuves que des agences de sécurité nationale avaient tenté d’accéder illégalement aux données téléphoniques d’opposants politiques
- La position défendue est que même les démocraties les plus solides ne devraient pas se voir confier une loi fondamentalement contraire à l’éthique comme Chat Control
- Pour rendre les communications quotidiennes réellement privées, il faut sortir des protocoles opaques et des chevaux de Troie pratiques des réseaux sociaux et services de messagerie populaires
Des moyens de résistance au quotidien
- Les outils et habitudes à adopter ne doivent pas rester l’apanage des techniciens, mais se diffuser aussi auprès du grand public
- PGP, SSL ou des outils équivalents
- VPN, Tor, tunneling SSH
- IPFS ou d’autres systèmes de fichiers distribués
- Linux ou de véritables distributions Android libres plutôt qu’un OS propriétaire
- Des webmails comme Protonmail, des messageries comme Matrix ou Signal
- Blocage des publicités, nettoyage des URL, refus des cookies tiers
- Si l’on a accès à des ressources informatiques, à des logiciels libres et à des tunnels chiffrés, la résistance est possible, et ces trois éléments constituent les conditions minimales pour préserver un environnement numérique humaniste
- À l’avenir, développer ou utiliser certains logiciels, ou échanger certaines suites de bits, pourrait devenir illégal, mais de telles lois seraient mauvaises et injustes
- Il y a une vingtaine d’années, face aux discussions sur l’analyse de toutes les communications numériques après la “war on terror”, certaines personnes ajoutaient à la fin de leurs e-mails des mots comme “iraq”, “bomb” ou “attack” ; indépendamment de l’efficacité réelle de la démarche, l’intention était jugée juste
- Si aujourd’hui tout le monde peut communiquer de manière sûre et privée, cela peut désorienter les dispositifs de surveillance de masse et créer un écran de fumée collectif qui protège les personnes les plus vulnérables
Une revendication plus large de droits numériques
- Pour les mêmes raisons, cela inclut aussi l’idée de choisir les logiciels libres quand c’est possible, d’exiger des institutions publiques l’open source, des standards ouverts et des formats de documents ouverts, et de défendre la blockchain, les cryptomonnaies et le droit à la réparation
- Cela dit, il peut être stratégiquement préférable, pour bâtir la plus large coalition possible, de se concentrer pour l’instant sur un minimum de revendications communes
- La désobéissance civile tire sa force du nombre, et la conclusion est que si une part significative des citoyens européens prend conscience de la gravité de la situation et protège ses données et ses communications, il n’y aura tout simplement aucun moyen d’appliquer des lois comme Chat Control
- Sont proposés comme ressources de référence le Surveillance Self-Defence Guide de l’EFF, “The Value of Privacy” de Bruce Schneier, et StopChatControl.eu
1 commentaires
Avis de Hacker News
J’ai suivi autrefois un cours de droit pour informaticiens avec un QC, un avocat de haut rang britannique, qui nous expliquait en « philosophie du droit » la grande différence entre « l’État de droit » (The Rule of Law) et « la loi » (the law)
L’État de droit était présenté comme une sorte de point de référence permanent, par opposition au droit positif du moment
Cela me reste encore comme une réflexion profonde et contre-intuitive : si l’on croit sincèrement à la nécessité du droit et des institutions sociales, cela implique aussi que, lorsque ce droit devient l’instrument de tyrans, d’imbéciles ou de lois absurdes, il faut le violer avec la même conviction et jeter des pierres sur la police
Aujourd’hui, il me semble que l’attitude face à la tyrannie technologique est devenue la marque du véritable conservatisme, tandis que les personnes qui veulent défendre le bon sens et la dignité humaine se retrouvent reléguées dans une position « radicale »
Les grands idéaux ont un coût très élevé
Certains philosophes l’admettent et l’appellent « droit naturel », mais beaucoup de philosophes estiment que cela n’a pas de sens
Par exemple, de nombreux anthropologues rejetteraient probablement cette idée, car ce qui est moral ou immoral varie extrêmement d’une culture à l’autre. Une obligation dans une communauté peut être une interdiction dans une autre
Cela dit, il n’est pas nécessaire de croire à un point de référence permanent pour « violer la loi et jeter des pierres sur la police ». Il suffit de croire que la loi ou l’administration actuelle est injuste au regard des normes morales locales de ce moment et de ce lieu
https://en.wikipedia.org/wiki/Natural_law
Je pense qu’il est beaucoup plus facile de le comprendre en l’opposant à ce qu’on appelle traditionnellement le « pouvoir arbitraire des hommes »
Le cœur du sujet n’est pas la loi elle-même, mais la manière dont le pouvoir est exercé. Même s’il existe une loi, si certaines personnes n’y sont pas soumises et peuvent l’utiliser à leur guise, on appelle ces personnes des tyrans ; ce n’est pas véritablement le règne du droit, mais celui d’une volonté arbitraire
Pour que l’État de droit existe, la loi elle-même doit être la source du pouvoir et s’appliquer de manière égale à tous
C’est de là que vient la résistance aux lois injustes ou à l’autorité injuste. Lorsqu’une personne investie d’autorité se place au-dessus de la loi, ou utilise la loi de façon injuste et inégalitaire, elle a déjà franchi les limites de l’État de droit. La loi cesse d’être la source d’une autorité légitime et devient un outil d’oppression
Le concept dérivé ici est celui que d’autres ont appelé droit naturel, c’est-à-dire un droit qui existe avant les lois humaines ou qui est donné par une source non humaine, comme Dieu. Mais l’État de droit n’est pas identique au droit naturel et ne dépend pas non plus de ce concept. La notion d’« État de droit » est bien plus ancienne que celle de « droit naturel »
Ce n’est pas une position propre aux conservateurs
La plupart des modes de vie et des lois impliquent des compromis, mais certains paraissent globalement meilleurs ou pires. Autrement dit, il existe une sorte de point de référence dont nous pouvons nous rapprocher, et tout n’est pas relatif
Mais nous sommes humains, et penser « nous y sommes parvenus » ou « je connais l’utopie » relève de l’orgueil et manque d’humilité
L’État de droit est une procédure. Idéalement, elle devrait être procéduralement symétrique pour toutes les personnes auxquelles elle s’applique, selon leurs mérites respectifs. Si l’on vit dans une république, il faut s’efforcer de suivre l’État de droit
Même si la police est devenue un instrument, il n’y a pas d’obligation de lui jeter des pierres. Il faut combattre là où cela compte pour les tyrans : devant les tribunaux et dans les urnes, et faire en sorte que l’État de droit s’applique aussi à eux. Les tyrans se moquent que des policiers soient blessés ; ils s’en serviront même contre vous. Il faut trouver le vrai champ de bataille et y mener le combat
Je suis d’accord avec l’idée générale selon laquelle plus il y a de chiffrement, mieux c’est, mais pas avec l’extrême qui consiste à en faire une obligation. En particulier, l’auteur perd toute crédibilité dans le passage suivant
« Nous devrions tous utiliser PGP, SSL ou des outils équivalents, des VPN, Tor et/ou des tunnels SSH, IPFS ou d’autres systèmes de fichiers distribués, abandonner les OS propriétaires et passer à Linux ou à une véritable distribution Android libre… »
Faire de ces outils une obligation morale pour « tout le monde » est tellement irréaliste et peu pratique qu’il devient difficile de prendre l’ensemble du texte au sérieux
Ce n’est pas une analyse éthique sérieuse qui pèse les avantages et les inconvénients de ce qui est optimal et efficace dans le monde réel, c’est plutôt du rêve éveillé
Si ces outils fonctionnent de manière fluide, sans exiger d’incantations ésotériques, comme s’ils étaient déjà utilisés par tout le monde, alors ce n’est pas du tout irréaliste
Même les développeurs manipulent très rarement TLS ou le protocole Signal directement, alors que des milliards d’utilisateurs non techniques les utilisent implicitement via leur navigateur, Signal ou WhatsApp
Le défi de l’adoption des technologies axées sécurité et vie privée réside, selon moi, dans la simplicité et l’utilisabilité de l’interface, ainsi que dans les fonctionnalités offertes par les outils
Pour obtenir un usage grand public, les outils de sécurité doivent aussi rivaliser sur les fonctionnalités. Sans avantage fonctionnel clair, les utilisateurs ont très peu de raisons de changer
Backbone essaie de résoudre une partie de ces problèmes, en créant pour l’utilisateur final une expérience sûre et utilisable, et pour les développeurs une interface de chiffrement de bout en bout simple et robuste
https://backbone.dev/
Aller sur la Lune a un jour été irréaliste. Mettre fin à la guerre maintenant est également irréaliste, mais en même temps absolument nécessaire
Si vous avez déjà essayé d’enseigner quelque chose de simple dans Excel, imaginez ce que donnerait l’enseignement de SSH
Cela ne veut pas dire que c’est impossible, mais cela peut être un processus progressif sur plusieurs années, voire plusieurs générations
Le grand public est la deuxième étape, et pour l’aider, il faut d’abord une tête de pont
Il faut d’abord que les groupes compétents cessent de se cacher derrière l’excuse que les groupes non compétents n’y arriveront pas, pour éviter de faire eux-mêmes ce qu’ils peuvent faire mais ne font pas
En résumé, comme l’UE cherche à introduire une législation permettant de surveiller les communications privées, l’auteur affirme qu’il devient une obligation morale pour chacun de commencer à chiffrer ses communications, notamment via les messageries, et que c’est une forme de désobéissance civile
Cela fonctionne lorsque beaucoup de gens, idéalement la majorité, désobéissent
Du moins, c’est probablement ce qu’ils diraient jusqu’au moment où ils se retrouveraient réellement dans cette situation et essaieraient d’en sortir
La seule raison pour laquelle nous bénéficions aujourd’hui du chiffrement des messages est que quelques entreprises tech ont décidé de lancer des produits protégeant le plus grand nombre possible de personnes, comme iOS, WhatsApp ou les SMS de Google Messages
Toutes les personnes qui utilisent ces produits ne savent pas forcément qu’elles sont protégées, et toutes ne s’en soucieraient pas si le chiffrement de bout en bout était désactivé demain
Il en est résulté beaucoup de choses éthiques et bénéfiques en peu de temps
Pas seulement dans la tech : les rédactions aussi sont devenues beaucoup moins réticentes à traiter les abus de surveillance, du moins pendant un certain temps
La manière la plus simple de répondre à « je n’ai rien à cacher » est de dire que, si un dictateur ou des terroristes prennent le contrôle du pays, ces dirigeants ne seront ni convaincus ni concernés
Ils utiliseront à tout moment les backdoors pour punir les opinions dissidentes ou les comportements qui sortent des règles
Si quelqu’un dit « mais notre pays est libre », il suffit de lui demander comment il compte reconquérir sa liberté si le pays cesse de l’être. Les logiciels et le matériel sont-ils assez libres et ouverts pour le permettre ?
Si l’UE crée vraiment Chat Control, il faudra des DRM empêchant l’exécution d’OS non signés. Dans ces conditions, comment installer du logiciel libre ?
La seule solution est d’empêcher dès le départ la mise en œuvre de matériel verrouillé
Je veux cacher ce que j’ai mangé au petit déjeuner, quels livres je lis, à quelle heure je me suis couché, combien de fois par semaine je vais à la salle de sport
Il y a énormément de choses à cacher. Je ne suis pas la propriété de l’État, mes actions ne sont pas la propriété de l’État, et j’ai beaucoup de choses à cacher
S’ils ne prennent pas le contrôle du pays, l’argument du « je n’ai rien à cacher » reste inchangé
Cette situation hypothétique n’est pas réellement aggravée par l’existence de backdoors
Nous, les geeks, pourrons peut-être utiliser l’OS que nous voulons, mais nous et les utilisateurs non spécialistes qui pratiquent le sideloading représentons statistiquement presque une erreur d’arrondi
L’auteur défend l’usage du chiffrement comme une obligation éthique, ce qui en soi est très bien. Mais cela peut difficilement devenir une forme efficace de désobéissance civile.
« Utilisons PGP, SSL ou des outils équivalents, des VPN, Tor et/ou du tunneling SSH, IPFS ou d’autres systèmes de fichiers distribués, et abandonnons les OS propriétaires » : ce n’est pas réaliste.
Aujourd’hui, l’appareil par défaut du grand public est un téléphone avec Play Services, et des applis comme WhatsApp sont le moyen de communication.
Il suffit à l’État d’imposer un chiffrement faible aux applis courantes présentes sur le Play Store, et l’écrasante majorité de la population est couverte.
Ici, je donnais des exemples bien connus de nous autres geeks, et il existe pour tous des alternatives plus faciles à utiliser.
Protonmail me semble aussi simple à utiliser que GMail, et les VPN sont aujourd’hui très simples. L’expérience utilisateur de Signal n’est pas spécialement difficile pour l’utilisateur moyen de WhatsApp.
Les techniciens peuvent faire beaucoup pour former les non-spécialistes et les orienter poliment vers de meilleures solutions, mais nous continuons à abandonner cette responsabilité sous prétexte de mauvaise ergonomie, de manque de fonctionnalités ou de confort utilisateur.
Une première ébauche contenait aussi la phrase « il faut un gros effort sur l’ergonomie et la promotion », et c’est clairement nécessaire.
L’idée n’est pas de faire passer tous les citoyens de l’UE au tunneling SSH et à Purism, mais que les professionnels de l’informatique consacrent plus de temps et d’efforts à faire avancer au moins une partie de la population dans la bonne direction pour éviter la catastrophe.
Le tunneling SSH peut envelopper les communications dans une couche de chiffrement supplémentaire, mais qu’est-ce que cela change concrètement ? Les systèmes de fichiers distribués ne sont pas une source magique de confidentialité.
On ne voit pas non plus clairement pourquoi les OS propriétaires seraient mauvais. La télémétrie des OS commerciaux peut être préoccupante, mais ce n’est pas le même problème que de garder mes fichiers privés grâce au chiffrement.
L’auteur glisse vers un activisme à la Richard Stallman sur des sujets liés mais très larges, et cela nuit à sa capacité à convaincre les gens ordinaires.
https://www.fsf.org/blogs/rms
Ils traitent les conséquences plutôt que les causes profondes du problème : la surveillance généralisée, le capitalisme de surveillance et les structures qui cultivent les gens comme des points de données pour des moteurs publicitaires.
Je suis entièrement d’accord avec l’article.
Ma femme et moi sommes passés à un serveur Matrix que je contrôle, et j’ai ajouté le chiffrement du disque par-dessus le chiffrement Matrix. Signal a longtemps été excellent, mais il est temps de passer à autre chose.
J’ai aussi configuré un serveur de chat Matrix pour les « heures de bureau » de mon activité. Les gouvernements du monde entier n’ont aucun droit de voir mes communications avec des clients potentiels.
Dès que j’aurai des clients, je ferai des dons aux opérateurs de Matrix, et je prendrai probablement aussi un contrat de support.
Si vous pouvez créer un serveur Matrix pour vos amis et votre famille, faites-le.
Je crois aussi que les programmeurs ont une obligation plus grande de freiner ce courant autoritaire. Je suis en train d’écrire un texte intitulé « Vos proches sont des prisonniers, et c’est vous qui avez fabriqué leurs chaînes » ; en réalité, c’est en partie notre faute.
Alors c’est à nous d’agir et d’en empêcher davantage.
Comme pour les portes dérobées dans le chiffrement : si vous n’avez rien à cacher, pourquoi ne pas consentir volontairement à un scan corporel complet ?
Beaucoup de commentaires ici disent que la majorité des gens n’utiliseront pas des moyens de protection de la vie privée comme PGP ou Linux. Parce qu’ils ne s’y intéressent pas, parce qu’ils sont idiots, parce qu’ils ont des choses plus importantes à faire, ou pour n’importe quelle autre raison.
Mais l’essentiel, c’est que les personnes technophiles et bien informées bénéficieront toujours d’une meilleure confidentialité. Ce sera le cas tant qu’on n’imposera pas de fait à tout le monde quelque chose comme Linux, et une telle contrainte ne fonctionnerait pas correctement.
Même si cela marchait, il faudrait encore que les gens l’utilisent correctement pour ne pas ruiner leur vie privée par erreur. À ce stade, tout le monde devrait assez bien connaître les réseaux, la sécurité, les systèmes d’exploitation, etc., ce qui rend les choses beaucoup plus difficiles.
La meilleure voie consiste à rendre les outils de confidentialité plus simples. Mais sans changement massif initié par les entreprises ou les gouvernements, il est impossible que tout le monde gagne soudainement en confidentialité.
Au bout du compte, c’est à soi-même de faire l’effort de se protéger, pas aux autres. Et la plupart des gens s’en fichent. Ce n’est pas grave. De toute façon, la plupart ne sont pas formidables.
Dans le monde moderne, il est assez facile de prendre conscience des problèmes de vie privée, donc les gens ne devraient pas faire comme s’ils ne savaient pas. S’ils s’y intéressent, ils apprendront eux-mêmes comment les résoudre, et les informations ne manquent pas. S’ils ne s’y intéressent pas, il n’y a littéralement rien à faire.
Si on leur proposait réellement des options tout aussi simples entre plus de confidentialité et moins de confidentialité, presque tout le monde choisirait la confidentialité.
Rendre la confidentialité aussi simple que l’absence de confidentialité, c’est exactement ce qu’il faut faire, et cela ne sera probablement possible que par la régulation.
Il suffit de voir à quel point les entreprises s’efforcent d’éviter de se conformer au RGPD et aux lois sur les cookies.
https://www.flurry.com/blog/ios-14-5-opt-in-rate-att-restric...
C’est un peu hors sujet, mais j’ai suivi le lien en bas vers https://stopchatcontrol.eu/.
Je suis d’accord avec le message et j’aimerais prendre le site au sérieux, mais je n’y arrive pas à cause de cette débauche d’emojis qu’on voit en faisant défiler la page.
On dirait plus un site de blague qu’un vrai site de plaidoyer.
Le billet de blog original est bon.
Les lois favorables aux consommateurs commencent à sembler de plus en plus préjudiciables aux fondateurs de startups
Les obstacles, prérequis et exigences qu’un fondateur doit prendre en compte avant le lancement deviennent presque impossibles à gérer
C’est peut-être juste moi, mais je trouve très étrange de devoir tenir compte de la résidence géographique des données dès la conception d’un prototype initial
J’espérais avec optimisme que les fournisseurs de PaaS rattraperaient leur retard et combleraient l’entre-deux, mais nous rédigeons manuellement, pour chaque client Enterprise, des documents déclarant le lieu de résidence des données, le lieu de résidence du fournisseur et les modalités spécifiques d’utilisation de certaines données
Je défends la vie privée, mais cela devient vraiment accablant
On peut faire des lois qui protègent les consommateurs sans toute cette charge. Pourquoi faut-il une déclaration ? Soit on est conforme, soit on ne l’est pas
C’est un peu comme se plaindre que le RGPD a fait apparaître des bannières de cookies sur tous les sites. Ce n’est que la moitié de la raison
La vraie raison, c’est que les sites web ont besoin du consentement des utilisateurs pour faire des choses qu’ils ne devraient pas faire
Bien sûr, la loi aurait dû être conçue en pensant à un système qui refuse automatiquement tous les cookies non essentiels, mais la responsabilité des bannières de cookies incombe toujours aux sites web
Maintenant que ces préoccupations sont évaluées plus sérieusement, il faut un peu d’introspection pour savoir si cela vaut vraiment la peine, financièrement, de suivre le mouvement et d’investir du temps et des efforts dans ce genre d’applications technologiques
Plus tard, une fois qu’elles seront assez grandes, elles pourront se mettre en conformité ou faire changer la loi
Il y a toujours un plus tard
Aux dernières nouvelles, le ministre français de l’Intérieur, Gérald Darmanin, tenterait de se servir de la récente attaque contre un établissement scolaire en France pour interdire le chiffrement, ou du moins pour obliger les services de messagerie chiffrée à intégrer une porte dérobée pour le gouvernement
https://www.numerama.com/tech/1533652-attaque-a-arras-darman...