L’examen indépendant de la loi britannique sur la sécurité nationale avertit que développer des applis chiffrées pourrait être considéré comme une « activité hostile »

• Le rapport d’examen indépendant de la loi sur la sécurité nationale au Royaume-Uni souligne que les développeurs d’applications utilisant le chiffrement de bout en bout pourraient être classés comme des « acteurs hostiles »
• Le rapport précise que des applications comme Signal et WhatsApp pourraient, selon la définition juridique, relever d’une « activité hostile » au motif qu’elles compliquent la surveillance des communications par les services de renseignement
• Il mentionne aussi que les journalistes ou les personnes détenant des informations confidentielles pourraient faire l’objet d’une surveillance similaire
• Ces dernières années, des initiatives comme l’Online Safety Act et l’Investigatory Powers Act visent de plus en plus à affaiblir les technologies de chiffrement
• Des organisations de défense des droits numériques critiquent cette approche gouvernementale, affirmant que le chiffrement est essentiel à la fois pour la vie privée et pour la sécurité nationale

---

Principaux points de l’examen indépendant de la loi sur la sécurité nationale

• L’examinateur indépendant Jonathan Hall KC estime que les pouvoirs conférés par la loi sur la sécurité nationale et la législation antiterroriste sont excessivement larges
  • Il avertit que, parce que le chiffrement de bout en bout complique la surveillance des services de renseignement britanniques, les personnes ayant développé cette technologie pourraient être considérées comme des « acteurs hostiles »
  • Il écrit qu’« on peut raisonnablement supposer que de telles technologies servent les intérêts de gouvernements étrangers »
• Le rapport précise également que des journalistes en possession d’informations confidentielles ou des personnes détenant des documents défavorables au Premier ministre pourraient aussi devenir des cibles de surveillance

Pression sur les technologies de chiffrement au Royaume-Uni

• Ces dernières années, le gouvernement britannique a maintenu une pression continue sur les technologies de chiffrement
  • Apple a reçu des exigences techniques au titre de l’Investigatory Powers Act, ce qui l’a conduit à désactiver au Royaume-Uni la fonction de chiffrement de bout en bout d’iCloud (Advanced Data Protection)
• L’Online Safety Act a suscité la controverse avec ses dispositions de vérification de l’âge, et des experts craignent que cette loi n’affaiblisse encore davantage le chiffrement
  • Le Parlement a examiné une pétition demandant l’abrogation de cette loi, mais a au contraire cherché à en renforcer l’application
  • Lors des débats, des députés ont demandé un examen des VPN et d’autres outils de chiffrement

Réactions des experts et de la société civile

• Olivier Crépin-Leblond, de l’Internet Society, s’est dit déçu du résultat des débats parlementaires
  • Il a souligné que l’idée, défendue par certains députés, selon laquelle le Client Side Scanning pourrait aider les forces de l’ordre, est erronée
  • Il a insisté sur le fait que cette technologie pourrait devenir une cible pour les pirates
• Jemimah Steinfeld, d’Index on Censorship, avertit que si le gouvernement considère le chiffrement de bout en bout comme une menace, le casser pourrait au contraire constituer une menace pour la sécurité nationale
  • Elle rappelle que le chiffrement est indispensable pour les journalistes, les dissidents, les victimes de violences domestiques, et plus largement comme moyen fondamental de protection de la vie privée pour le grand public

Perspectives

• Signal et WhatsApp maintiennent leur position : plutôt que de compromettre la sécurité des utilisateurs, ils quitteraient le marché britannique
• Le conflit entre le gouvernement et les entreprises technologiques autour du chiffrement a de fortes chances de se poursuivre en 2025
• Le rapport est perçu comme un nouvel exemple de l’aggravation du conflit entre droits numériques et politique de sécurité au Royaume-Uni

[GN⁺]

Réactions sur Hacker News

• Les développeurs d’applications ont été avertis qu’ils pourraient être qualifiés d’« actes hostiles » simplement parce qu’ils créent des messageries chiffrées comme Signal ou WhatsApp
  Avec cette logique, Let’s Encrypt pourrait aussi être concerné
  Si l’on veut empêcher les crimes, il faut réprimer les actes illégaux eux-mêmes, pas supprimer les routes
  Autrefois, il était difficile de trouver des personnes prêtes à se révolter, mais aujourd’hui un simple message de groupe Telegram peut rassembler des milliers de personnes
  On peut comprendre que le gouvernement veuille protéger la population, mais qualifier la construction de routes d’acte hostile n’a aucun sens
  Étant revenu en Suède après 12 ans, je compte voir quels partis ont une position raisonnable sur les politiques d’infrastructure technologique

  • Si le gouvernement prend ce genre de mesures, ce n’est pas pour protéger la population, mais pour conserver son pouvoir
    Rendre plus difficile la connexion et l’organisation entre les gens est l’un de ses moyens de contrôle
    C’est d’ailleurs pour cela que les gouvernements autoritaires coupent souvent les réseaux de communication
    On peut aussi le voir dans ce billet
  • Avec cette logique, il faudrait aussi considérer les rideaux et les murs comme des actes hostiles, puisqu’ils compliquent la surveillance
    C’est un argument si absurde qu’il devrait faire honte
  • Le gouvernement ne cherche pas à protéger les citoyens, mais à éliminer la possibilité d’une révolte contre ses politiques
    Si toutes les communications sont surveillées, il devient difficile de s’organiser, et on finit par glisser vers un autoritarisme à la nord-coréenne
  • Parmi les partis suédois, je recommanderais de regarder les positions du Pirate Party sur Internet et la protection de la vie privée
    Voir leur politique de confidentialité et leur politique Internet
  • Le manque de compréhension technologique dans la classe politique britannique est grave
    Les services de sécurité en sont presque à piloter le gouvernement, avec au bout du compte un risque réel de ruiner l’industrie du logiciel et la finance
    Même des projets comme l’identité numérique sont quasiment hors de portée des capacités de l’État

• Je ne comprends pas pourquoi les gouvernements, au Royaume-Uni comme partout ailleurs, sont à ce point incompétents
  C’est pareil aux États-Unis, et les autres pays ne valent guère mieux
  On en vient à se demander si l’être humain n’est pas simplement une espèce incapable de bien se gouverner elle-même

  • Les compétences nécessaires au leadership et celles qui permettent d’accéder au pouvoir n’ont absolument rien à voir
  • Quand on voit les salaires des postes techniques dans l’administration britannique, on comprend vite
    Un stagiaire dans la finance gagne plus que le plus haut poste technique du gouvernement
  • En démocratie, on choisit les dirigeants par concours de popularité, en monarchie par la lignée, et en dictature par la violence et la corruption
    Il n’y a aucune raison qu’un tel système produise des dirigeants compétents
  • Ce n’est peut-être pas simplement de l’incompétence, mais un comportement délibéré
    On pourrait penser qu’il est impossible d’interdire Signal sans interdire aussi TLS, qui est également du chiffrement, mais si le gouvernement le veut, c’est tout à fait faisable

• Si les développeurs d’applications utilisant le chiffrement de bout en bout peuvent être classés comme auteurs d’actes hostiles, alors HTTPS ne devrait-il pas l’être aussi ?
  Les gens qui rédigent ce genre de lois sont des politiciens âgés qui ne comprennent absolument rien à la technologie

  • Ce n’est plus seulement une question d’ignorance
    Le gouvernement en est au point de faire pression sur les développeurs pour installer des backdoors
    Autrefois, il adoptait des lois absurdes parce qu’il ne comprenait pas Internet ; aujourd’hui, il sait très bien ce qu’il fait et pousse quand même des lois dangereuses
  • La situation est tellement satirique qu’on en arrive à des blagues comme « baking sites, the most secure source of cookies »
  • On voit aussi des réactions cyniques du type : « Et qui va les en empêcher ? »
  • Il est aussi possible que le gouvernement puisse déjà obtenir des certificats ou des clés privées via des CA ou des mandats secrets

• Ce genre de loi finit surtout par nuire aux citoyens ordinaires, tandis que les criminels continueront à agir dans l’ombre

  • En réalité, n’importe qui peut chiffrer ses messages avec des outils de chiffrement en ligne de commande
    Au final, le grand public utilisera un chiffrement plus faible, tandis que ceux qui ont vraiment quelque chose à cacher continueront d’utiliser un chiffrement robuste
  • Le gouvernement finira par traiter comme des criminels les personnes qui utilisent ce type d’applications
    C’est déjà le regard porté sur les utilisateurs de GrapheneOS
  • Il y a même un risque que le gouvernement profite de cette situation pour mener du phishing ou des opérations-pièges

• En tant que résident britannique, je sens que le gouvernement devient de plus en plus autoritaire
  On assiste à l’augmentation de la capacité carcérale, à l’effondrement des services publics, à la militarisation de la police et à la surveillance par drones
  À ce stade, le gouvernement me fait plus peur que les groupes armés locaux
  Dans un tel contexte, je pourrais finir par pencher en faveur de la réunification de l’Irlande

  • Par « système à deux vitesses », il est question de militants de Palestine Action détenus plus de deux ans sans procès
  • Mais certains rétorquent qu’en réalité les prisons sont pleines et qu’on multiplie déjà les libérations anticipées, donc qu’il s’agit simplement d’augmenter la capacité
  • Des mesures comme la suppression du jury populaire sont vraiment inquiétantes
  • D’autres estiment qu’une réunification de l’Irlande est irréaliste
    La manipulation de l’opinion en ligne est devenue telle qu’il est difficile de distinguer la véritable opinion publique

• Beaucoup trouvent le titre de l’article exagéré, donc on cherche un titre plus neutre et plus précis
  En se référant à cet article connexe

  • « Independent review of UK national security law warns of overreach » est le titre le plus proche de la formulation originale
  • « Broadly-defined ‘hostile acts’ in UK national security law » fonctionne aussi bien
    Cela cite le rapport original, State Threats Legislation in 2024
  • « Creating apps like Signal could be considered ‘hostile activities’ under new laws, UK watchdog warns »
    Cette formulation reflète le mieux le contenu et le contexte de l’article

• Un projet de loi similaire est aussi en cours au Canada
  La lettre ouverte sur le Bill C-2: Strong Borders Act montre une situation comparable

  • Il faut aussi noter que cette loi pourrait affecter des projets basés au Canada comme OpenBSD ou OpenSSH

• Il se pourrait qu’on se dirige vers un avenir satirique du genre : « Cette photo a beaucoup trop de bruit, vous n’avez pas caché des données dedans par hasard ? »

  • On pourrait bientôt entendre : « Les données transmises ont l’air suspectes, envoyez le SWAT ! »
    Nous vivons désormais dans un monde où la vie privée est traitée comme un outil du terrorisme
  • C’est une blague, mais on finira peut-être par devoir développer des capteurs d’image sans bruit pour échapper à la surveillance de l’État

• Le débat sur le chiffrement ressemble à celui sur les armes à feu
  Il devient un outil de récupération politique facile pour des responsables qui veulent donner l’impression d’agir
  Mais en pratique, ce genre de loi ne produit que des effets négatifs
  Même en interdisant les armes, on n’empêchera pas le GRU de se promener avec du parfum Novitchok