- Le Conseil de l’Union européenne a de nouveau retiré la proposition de Chat Control, qui visait à rendre obligatoire la surveillance des messages chiffrés, une décision considérée comme une victoire pour les organisations de défense des droits numériques
- La proposition cherchait à inspecter les messages avant ou après leur chiffrement via le client-side scanning, mais cette approche a été critiquée car elle affaiblit l’architecture même du chiffrement
- Des chercheurs en sécurité et des organisations de la société civile ont souligné qu’« il n’existe pas de porte dérobée sûre » et ont mis en garde contre les risques en s’appuyant sur le cas d’Apple en 2021
- Ce retrait est perçu comme un exemple où la pression citoyenne continue et la solidarité des experts techniques ont eu un effet concret sur la décision politique
- Toutefois, la pression politique et les malentendus techniques persistent, ce qui montre la nécessité d’une réponse de long terme et de solutions alternatives pour protéger le chiffrement
Les échecs répétés et la controverse autour de la proposition Chat Control
- La proposition Chat Control de l’Union européenne, qui visait à scanner à grande échelle les messages chiffrés, a une nouvelle fois été retirée par la présidence danoise
- Cela s’inscrit dans un conflit persistant entre les défenseurs de la vie privée et les législateurs cherchant à affaiblir le chiffrement au nom de la sécurité publique
- Depuis son introduction en 2022, la proposition a régulièrement refait surface et a été remise à l’ordre du jour à plusieurs reprises malgré l’opposition de la société civile, des experts techniques et du grand public
- L’Electronic Frontier Foundation (EFF) et plus de 80 organisations de la société civile se sont fermement opposées à l’obligation de client-side scanning présentée comme une mesure de lutte contre les contenus pédopornographiques
- La proposition affirme de manière répétée inclure des garanties de protection de la vie privée, mais les experts les considèrent comme des garde-fous illusoires
- Un accès par porte dérobée (backdoor) aux messages chiffrés rend l’ensemble du système plus vulnérable et risque donc d’être exploité aussi par des acteurs malveillants
L’impossibilité technique d’un « scanning sûr »
- Le chiffrement de bout en bout (E2EE) repose sur une architecture dans laquelle seuls l’expéditeur et le destinataire possèdent les clés de déchiffrement, ce qui empêche tout tiers de lire le contenu des messages
- Il s’agit d’un mécanisme de sécurité fondé non pas sur un choix de conception, mais sur une certitude mathématique
- Le client-side scanning consiste à analyser les messages avant ou après le chiffrement, ce qui compromet fondamentalement le modèle de chiffrement
- Si l’appareil de l’utilisateur peut scanner les messages, alors un malware ou un programme de surveillance gouvernemental peut obtenir le même type d’accès
- Le projet d’Apple en 2021 de scanner des images d’abus pédosexuels sur iCloud est cité comme un cas finalement abandonné après une forte contestation des experts
- De tels systèmes ne permettent pas un scanning limité aux seuls « bons objectifs » et comportent inévitablement un risque d’exploitation des failles de sécurité
- Les technologies de surveillance ont de fortes chances de dépasser leur objectif initial pour s’étendre à la surveillance de l’opposition politique ou de l’expression, ce qui pourrait créer un précédent d’abus par des régimes autoritaires
La pression du public et l’influence de la société civile
- Ce retrait est considéré comme un exemple montrant l’importance d’une participation publique continue et du suivi des politiques technologiques
- Contrairement au passé, ce débat a vu une mobilisation massive de la société civile, des entreprises technologiques, des chercheurs en sécurité et des citoyens ordinaires
- Des organisations comme l’EFF et European Digital Rights ont alerté des millions de personnes sur les risques grâce à des explications techniques, des analyses juridiques et des campagnes publiques
- Ce climat d’opposition a créé un environnement dans lequel il devenait difficile pour les responsables politiques de soutenir la proposition
- La position constante des experts techniques, la solidarité entre secteurs et la pression continue sont présentées comme les facteurs clés ayant permis de bloquer cette politique
Les défis et alternatives pour améliorer les politiques publiques
- Le retour récurrent de Chat Control met en lumière un problème structurel lié à la mauvaise compréhension du chiffrement par les décideurs publics
- Certains législateurs pensent pouvoir conserver un chiffrement fort tout en garantissant un droit d’accès aux gouvernements, une idée en contradiction avec l’opposition unanime du monde de la cryptographie
- Pour améliorer réellement la sécurité en ligne, il faut renforcer les capacités d’enquête sans affaiblir le chiffrement, ainsi que développer la coopération internationale et des programmes de prévention sociale
- Les entreprises technologiques devraient développer des fonctions de sécurité respectueuses de la vie privée, comme l’analyse des métadonnées, les signalements d’utilisateurs et les restrictions de comptes, plutôt que le scanning de contenu
- La protection du chiffrement est présentée non comme une victoire ponctuelle, mais comme un chantier de long terme nécessitant à la fois vigilance continue, éducation et développement d’alternatives techniques
Perspectives et nécessité d’une vigilance durable
- Le retrait de Chat Control ne constitue qu’une victoire temporaire, et une version remaniée pourrait réapparaître sous la prochaine présidence de l’UE
- La pression politique et l’argument de la protection de l’enfance demeurent, ce qui maintient un risque élevé de voir revenir des propositions similaires
- La vigilance continue de la communauté de la vie privée, l’éducation du public et la présentation de politiques alternatives restent indispensables
- Les tentatives d’affaiblir le chiffrement créent des problèmes plus graves qu’elles n’en résolvent pour la sécurité, et l’enjeu central est d’en convaincre les décideurs publics
- Surnommée une « proposition zombie », Chat Control pourrait revenir, ce qui appelle une réponse de long terme de la part des défenseurs des droits numériques
1 commentaires
Avis sur Hacker News
Cette nouvelle fait vraiment plaisir
Il faut maintenant mettre en place des garanties constitutionnelles et développer des systèmes capables de contourner ce genre de tentative si cela se reproduit
Aujourd’hui encore, il existe des régions où seule la communication par sneakernet garantit la vie privée ; il faut donc des outils de confidentialité pour non-spécialistes qui fonctionnent même sans connexion permanente
Chat Control pourrait y être considéré comme un acte de violence idéologique contre le peuple allemand, et serait donc illégal
Le problème, c’est l’indifférence des gens et leur manque de volonté d’agir
Si cette loi revient encore, elle portera probablement un nom du genre « Protecting Children and Countering Terrorism Act »
À chaque nouvelle version du texte, la première chose à vérifier est la présence d’une clause d’exception pour le gouvernement
Si l’État décide de ne pas s’appliquer la loi à lui-même, alors ce texte va directement à la poubelle
Je me demande qui veut vraiment ça et qui pousse avec autant d’insistance
Des forces qui savent bien que la défaite n’est que temporaire continueront à le faire revenir
Cette organisation vend un outil appelé Safer.io, qui permet de vérifier des hachages CSAM sur un site web
Elle a aussi recruté d’anciens responsables d’Europol
Pour plus de détails, voir l’enquête de Balkan Insight
Un paquet incluant Chat Control est proposé et discuté en continu depuis environ 2021
On en est maintenant à un point où il est trop tard pour faire marche arrière
Les politiciens en ont assez d’être ridiculisés anonymement, et cette loi est une pièce du puzzle
Ce sont surtout les forces politiques centristes en Europe qui la poussent pour protéger leur position
Je ne comprends pas pourquoi ce débat revient sans cesse
Il devrait y avoir une incitation à perdre sa réélection pour quiconque pousse des backdoors dans le chiffrement, non ?
La Commission, le Parlement et le Conseil ont chacun des positions différentes, et le processus est long, répétitif et génère donc sans cesse de nouvelles actualités
Les politiciens soumis au lobbying ne considèrent pas cela comme une perte de temps
En plus, cette fois, même l’identité de ceux qui l’ont poussé est protégée par l’anonymat
Ils affaiblissent indirectement le chiffrement sous des prétextes comme la « protection des enfants »
Le grand public ne comprend même pas ce que signifient le chiffrement ou les backdoors, donc il ne perçoit pas le problème
Ce n’est pas simplement le résultat de la pression des 10 % de gens intéressés par la technique
Les politiciens utilisent les mêmes technologies et ont beaucoup plus à perdre en cas de fuite d’informations
Il existe une clause selon laquelle « les responsables politiques de l’UE peuvent être exemptés en raison d’obligations de confidentialité liées à leur fonction »
Voir cet article de blog de Nextcloud
Il n’existe aucune culture de responsabilité, même lorsqu’il y a des fuites
Si l’on compare les discussions électroniques à la censure postale d’autrefois, les gens resteraient-ils passifs si l’État scannait toutes les lettres à la recherche de mots interdits ?
Il n’y a aucune raison que ce soit différent pour le chat
Ils ne peuvent pas être limités sans décision judiciaire
Lien vers le texte de la Constitution
C’est également explicite dans la disposition constitutionnelle suédoise
Il ne devrait jamais être permis à l’État de tout lire
Même la seule collecte de métadonnées est déjà suffisamment intrusive
La vraie question est : « quand, et sous quelle forme cela reviendra-t-il ? »
J’ai cette pensée cynique : « peut-être que ça passera à la 25e tentative »
while True: ProposeChatControl()La prochaine fois que ce texte reviendra, je me demande si l’on verra encore apparaître de nouveaux noms de domaine pour les campagnes d’opposition