France : l'ANSSI se dit en faveur du chiffrement et contre l'installation de portes dérobées

Dans une missive adressée à plusieurs ministères

Le chiffrement est au cœur des débats politiques de nombreux pays. Aux États-Unis, ce débat a été alimenté par le bras de fer opposant le FBI à Apple sur l’affaire San Bernardino. En Russie, les autorités ont mis en place un cadre juridique dans lequel les entreprises technologiques seraient contraintes d’ajouter des portes dérobées sur le chiffrement de leurs services. En France, les parlementaires et ministres ont envisagé de modifier la législation en vigueur, notamment pour rendre obligatoires les portes dérobées.

Quel que soit le pays, le leitmotiv évoqué reste le même : renforcer les mesures antiterroristes, aussi bien dans la prévention que pour le bon déroulement des enquêtes. Cependant, par le biais de son directeur général, Guillaume Poupard, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a exposé par écrit aux ministères de la Défense, de la Justice, de l’Intérieur et de l’Économie ses arguments contre une telle réforme.

Guillaume Poupard a tout d’abord rappelé que les attaques informatiques ont progressé en nombre, mais également en sophistication. Avec des motivations diverses (gains financiers, revendication politique ou religieuse, espionnage, volonté de détruire des infrastructures informatiques, etc.), la menace est considérée comme une priorité en France.

Guillaume Poupard soutient que « parmi les outils de protection indispensables figurent au premier rang les moyens de cryptographie et notamment les technologies de chiffrement de l’information. Eux seuls permettent d’assurer une sécurité [des] données numériques sensibles ». Pour étayer son affirmation, il rappelle que les échanges couverts par le secret de défense nationale, les données de santé, les données stratégiques des entreprises et les données personnelles des citoyens sont quelques exemples d’éléments auxquels profite le chiffrement. Raison pour laquelle il estime que le développement et l’usage généralisé de ces moyens défensifs doivent être systématiquement encouragés, voire réglementairement imposés dans les situations les plus critiques.

C’est pourquoi l’ANSSI estime que « toute évolution de la législation vers une mesure générale “d’obligation de résultat” visant à garantir la possibilité d’accéder à des informations protégées aura pour effet désastreux d’imposer aux concepteurs de produits et de services de sécurité un affaiblissement des mécanismes cryptographiques employés ». Cet affaiblissement est « susceptible d’être exploité par des attaquants aux profils variés ».

De plus, l’ANSSI rappelle que les technologies robustes de chiffrement sont aujourd’hui largement diffusées et relativement aisées à implémenter. Par conséquent, « le développement de logiciels non contrôlables, faciles à distribuer et offrant un niveau de sécurité très élevé est à la portée de n’importe quelle organisation ». C’est pourquoi l’ANSSI estime « qu’imposer un affaiblissement généralisé des moyens cryptographiques serait attentatoire à la sécurité numérique et aux libertés de l’immense majorité des utilisateurs respectueux des règles tout en étant rapidement inefficace vis-à-vis de la minorité ciblée ».

Quelle solution l’ANSSI préconise-t-elle ? L’agence appelle à privilégier la coopération avec les fournisseurs de services et produits de sécurité. Dans le cas où cette approche s’avère insuffisante, l’agence propose que soient développées des techniques d’interception et d’intrusion informatiques d’ores et déjà prévues par la loi, bien que l’agence reconnaît que cette démarche est « complexe et coûteuse ».

Source : note de l'ANSSI sur le chiffrement

Voir aussi :

Russie : un amendement oblige les éditeurs à fournir un moyen de déchiffrer les communications au FSB, les services secrets russes

Angleterre : le ministre d'État à la Défense admet que la nouvelle législation permettra de demander la suppression du chiffrement de bout en bout

Chiffrement : le Sénat alourdit les peines encourues par les entreprises qui refusent de coopérer avec la justice, mais pas suffisamment