Apple retire un outil de protection des données après une controverse sécuritaire avec le gouvernement britannique

• Apple a pris la mesure sans précédent de retirer à ses clients britanniques son outil de sécurité des données le plus avancé, à la suite de la demande du gouvernement britannique d’accéder aux données des utilisateurs
• Advanced Data Protection (ADP) repose sur un chiffrement de bout en bout permettant uniquement au titulaire du compte de voir les éléments stockés en ligne, comme les photos ou les documents
• Le gouvernement britannique a exigé le droit de consulter ces données, tandis qu’Apple maintient depuis longtemps qu’il ne créera pas de porte dérobée
• Apple a désormais décidé qu’il ne sera plus possible d’activer ADP au Royaume-Uni
• Les données protégées par un chiffrement standard restent accessibles à Apple et peuvent être partagées avec les forces de l’ordre sur présentation d’un mandat
• Apple s’est dit « profondément déçu » que cette fonctionnalité de sécurité ne soit plus proposée aux clients britanniques

Qu’est-ce que le chiffrement ?

• Le service ADP fonctionne sur la base du volontariat : les utilisateurs doivent s’y inscrire pour bénéficier de cette protection
• À partir de vendredi à 15h00 GMT, les utilisateurs d’Apple au Royaume-Uni qui tenteront de l’activer verront s’afficher un message d’erreur
• L’accès des utilisateurs existants sera désactivé ultérieurement
• Le nombre d’utilisateurs britanniques inscrits à ADP n’est pas connu

Exigences du Royaume-Uni

• Cette demande a été émise par le Home Office en vertu de l’Investigatory Powers Act (IPA), qui permet d’imposer la transmission d’informations
• Apple n’a pas commenté cette notification, et le Home Office ne confirme ni ne dément son existence
• Des défenseurs de la vie privée y voient une « attaque sans précédent » contre les données personnelles
• Will Cathcart, à la tête de WhatsApp, a exprimé ses inquiétudes face à cette demande du gouvernement, avertissant qu’elle pourrait menacer la sécurité de tous les pays
• Deux responsables politiques américains affirment que cette demande pourrait représenter une grave menace pour la sécurité nationale des États-Unis et estiment que Washington devrait réévaluer ses accords de partage de renseignements avec le Royaume-Uni
• Apple souligne qu’il est plus urgent que jamais de renforcer la sécurité du stockage cloud et dit espérer pouvoir continuer à proposer cette protection au Royaume-Uni

Apple rejoint l’opposition au scan des applications de messagerie

• Rani Govender, du NSPCC, estime qu’Apple doit renforcer les mesures de protection de l’enfance en modifiant son approche du chiffrement
• Les services de chiffrement de bout en bout peuvent entraver les efforts de sécurité et de protection de l’enfance, comme l’identification du partage de contenus pédopornographiques (CSAM)
• Aux États-Unis, la contestation monte contre l’impact des réglementations d’autres pays sur le secteur technologique
• Le vice-président américain JD Vance a exprimé ses inquiétudes face aux initiatives de gouvernements étrangers visant à durcir la régulation des entreprises technologiques américaines

[unsure4000]

Tout le monde va sûrement s’empresser de faire la même demande. C’est vraiment très regrettable.

[GN⁺]

Avis Hacker News

• Le fait que le gouvernement britannique ait demandé à Apple une porte dérobée pour les données iCloud était un problème extrêmement grave

  • Cela aurait pu compromettre la fonctionnalité de protection avancée des données d’Apple
  • Il existe des scénarios où des agents de sécurité à l’aéroport peuvent fouiller un appareil
  • Toute personne passant par le Royaume-Uni peut faire l’objet d’une fouille
  • Apple est la seule à exprimer publiquement son opposition
  • Il est possible que Google ou Microsoft aient déjà accepté
  • La plupart des authentifications à deux facteurs passent par les grandes entreprises technologiques ou par le mobile
  • Nous sommes en train de perdre la guerre pour la vie privée et la sécurité

• L’illettrisme technique de la classe politique est au cœur du problème

  • Il s’appuie sur la croyance erronée que « si l’on n’a rien à cacher, on n’a rien à craindre »
  • Le Royaume-Uni est un pays autoritaire et tous les partis le soutiennent
  • Les lois sont rédigées de manière à pouvoir être appliquées de façon ambiguë
  • Le gouvernement croit qu’une porte dérobée peut distinguer le bien du mal
  • En réalité, la sécurité est protégée par son opacité
  • Il est illégal de révéler l’existence d’une porte dérobée
  • C’est une opportunité pour les hackers d’attaquer le gouvernement

• Apple publie les demandes gouvernementales concernant les données, pays par pays

  • Le nombre de demandes du Royaume-Uni a fortement augmenté ces dernières années
  • Il est très probable que ce soit le résultat de l’accord d’accès aux données entre les États-Unis et le Royaume-Uni au titre du CLOUD Act

• Le retrait du produit par Apple est sans précédent

  • Fournir une porte dérobée nuirait aux utilisateurs du monde entier
  • Certains craignent que d’autres opérateurs télécoms retirent aussi leurs produits

• Il est dit que l’accès des utilisateurs existants sera désactivé plus tard

  • On se demande comment les données déjà téléversées pourraient être déchiffrées
  • Apple pourrait demander la suppression complète des données d’iCloud ou l’envoi des clés à Apple

• La demande initiale du gouvernement visait un accès par porte dérobée aux comptes cloud chiffrés E2E dans le monde entier

  • On se demande comment le chiffrement E2E peut être « supprimé » sans perte de données
  • La défense d’Apple repose sur le principe américain selon lequel on ne peut pas forcer quelqu’un à effectuer un travail

• Même si l’on n’est pas utilisateur d’Apple, on peut être concerné par ce problème

  • Si quelqu’un d’autre sauvegarde une conversation sur le cloud d’Apple, cet échange devient susceptible d’être fouillé

• La fonctionnalité ADP existe depuis plusieurs années

  • On se demande pourquoi les gens se mettent en colère seulement maintenant
  • On se demande pourquoi iCloud est soudainement considéré comme à risque immédiat

• J’utilise actuellement un service de sauvegarde tiers

  • Il promet que les sauvegardes sont chiffrées, mais je me demande si on peut lui faire confiance
  • L’étape suivante consiste à garantir que les fichiers n’arrivent pas dans le cloud sans être chiffrés
  • Je n’ai pas trouvé de service aussi pratique que ma solution de sauvegarde actuelle
  • Je dépends de sauvegardes hors site, qui incluent aussi les données des clients
  • Je me demande comment tout cela va fonctionner avec ces portes dérobées