Apple refuse de créer une backdoor et désactive le chiffrement iCloud au Royaume-Uni

Apple a abandonné sa fonction de sécurisation des données iCloud au Royaume-Uni, une décision motivée par un mandat gouvernemental secret exigeant un accès illimité aux données utilisateur cryptées dans le monde entier, comme le rapporte Bloomberg. Cette ordonnance, émise en vertu de la loi sur les pouvoirs d'enquête (IPA) par le biais d'un « avis de capacité technique », visait à forcer Apple à mettre en place une porte dérobée dans ses systèmes, démantelant ainsi le cryptage de bout en bout fourni par ADP. Cette fonctionnalité, nommée Advanced Data Protection (ADP) et lancée pour protéger les données iCloud telles que les sauvegardes de photos, de notes, de messages et d'appareils, garantit que seul l'utilisateur peut décrypter son contenu sur des appareils de confiance.

Un coup dur pour les clients

Un coup dur pour les clients britanniques, d'autant que pour ceux qui utilisent déjà l'ADP, la transition ne sera pas automatique. Ils devront désactiver manuellement la fonctionnalité pendant une période de grâce non spécifiée pour conserver leurs comptes iCloud, selon les informations partagées par nos confrères.

La firme de Cupertino a déclaré qu'elle ne disposait pas des moyens techniques pour désactiver ADP à distance au nom des utilisateurs et prévoit de fournir prochainement des instructions détaillées aux personnes concernées :

Nous sommes profondément déçus que les protections fournies par ADP ne soient pas disponibles pour nos clients au Royaume-Uni compte tenu de l'augmentation continue des violations de données et d'autres menaces à la confidentialité des clients.

ADP protège les données iCloud avec un chiffrement de bout en bout, ce qui signifie que les données ne peuvent être déchiffrées que par l'utilisateur qui en est propriétaire, et uniquement sur ses appareils de confiance.

La demande du Royaume-Uni était particulièrement controversée car elle s’étendait au-delà de ses frontières, obligeant Apple à déverrouiller les données des utilisateurs du monde entier sans en informer leurs gouvernements respectifs. Pire, l’IPA interdisait à Apple de reconnaître publiquement la demande. Cette décision oppose les priorités de sécurité du Royaume-Uni à celles des États-Unis, où des agences comme le FBI et la NSA font pression pour un chiffrement plus fort pour contrer les cybermenaces, en particulier celles de la Chine. Apple a souligné cette tension en déclarant vendredi :

Améliorer la sécurité du stockage dans le cloud avec un cryptage de bout en bout est plus urgent que jamais.

Le refus d’Apple de se conformer reflète sa résistance de longue date aux portes dérobées (un accès spécial pour les autorités), une position qu’elle a maintenue à l’échelle mondiale. L’entreprise a prévenu que de telles vulnérabilités ne profiteraient pas seulement aux gouvernements, mais pourraient être exploitées par des pirates informatiques ou d’autres acteurs malveillants, sapant la confiance des utilisateurs.

Après la demande initiale du gouvernement britannique, Apple avait menacé de retirer complètement des services plutôt que de compromettre la sécurité. Finalement, elle a opté pour la suppression du chiffrement ADP, évitant de perdre des clients et de créer une porte dérobée. Malgré cette dégradation de la sécurité des données sur iCloud, Apple assure que les clients anglais conserveront le chiffrement de bout en bout pour d’autres services comme iMessage, FaceTime, la gestion des mots de passe et les données de santé.

Apple reste déterminé à offrir à ses utilisateurs le plus haut niveau de sécurité pour leurs données personnelles et espère que nous serons en mesure de le faire à l’avenir au Royaume-Uni.

La sécurité avant tout

Apple avait donc raison depuis longtemps, la sécurité numérique est bien l'une des grandes préoccupations de notre temps. Depuis l'iPhone X, la société dirigée par Tim Cook n'a de cesse de protéger ses clients et d'en faire la publicité. Les données de Face ID, Santé, Apple Intelligence et autres sont verrouillées, traitées en local (sauf quelques exceptions pour l'IA) et visibles uniquement par leur propriétaire.