Apple refuse de créer une backdoor et désactive le chiffrement iCloud au Royaume-Uni (màj)

Apple a abandonné sa fonction de sécurisation des données iCloud au Royaume-Uni, une décision motivée par un mandat gouvernemental secret exigeant un accès illimité aux données utilisateur cryptées dans le monde entier, comme le rapporte Bloomberg. Cette ordonnance, émise en vertu de la loi sur les pouvoirs d'enquête (IPA) par le biais d'un « avis de capacité technique », visait à forcer Apple à mettre en place une porte dérobée dans ses systèmes, démantelant ainsi le cryptage de bout en bout fourni par ADP. Cette fonctionnalité, nommée Advanced Data Protection (ADP) et lancée pour protéger les données iCloud telles que les sauvegardes de photos, de notes, de messages et d'appareils, garantit que seul l'utilisateur peut décrypter son contenu sur des appareils de confiance.

Un coup dur pour les clients

Un coup dur pour les clients britanniques, d'autant que pour ceux qui utilisent déjà l'ADP, la transition ne sera pas automatique. Ils devront désactiver manuellement la fonctionnalité pendant une période de grâce non spécifiée pour conserver leurs comptes iCloud, selon les informations partagées par nos confrères.

La firme de Cupertino a déclaré qu'elle ne disposait pas des moyens techniques pour désactiver ADP à distance au nom des utilisateurs et prévoit de fournir prochainement des instructions détaillées aux personnes concernées :

Nous sommes profondément déçus que les protections fournies par ADP ne soient pas disponibles pour nos clients au Royaume-Uni compte tenu de l'augmentation continue des violations de données et d'autres menaces à la confidentialité des clients.

ADP protège les données iCloud avec un chiffrement de bout en bout, ce qui signifie que les données ne peuvent être déchiffrées que par l'utilisateur qui en est propriétaire, et uniquement sur ses appareils de confiance.

La demande du Royaume-Uni était particulièrement controversée car elle s’étendait au-delà de ses frontières, obligeant Apple à déverrouiller les données des utilisateurs du monde entier sans en informer leurs gouvernements respectifs. Pire, l’IPA interdisait à Apple de reconnaître publiquement la demande. Cette décision oppose les priorités de sécurité du Royaume-Uni à celles des États-Unis, où des agences comme le FBI et la NSA font pression pour un chiffrement plus fort pour contrer les cybermenaces, en particulier celles de la Chine. Apple a souligné cette tension en déclarant vendredi :

Améliorer la sécurité du stockage dans le cloud avec un cryptage de bout en bout est plus urgent que jamais.

Le refus d’Apple de se conformer reflète sa résistance de longue date aux portes dérobées (un accès spécial pour les autorités), une position qu’elle a maintenue à l’échelle mondiale. L’entreprise a prévenu que de telles vulnérabilités ne profiteraient pas seulement aux gouvernements, mais pourraient être exploitées par des pirates informatiques ou d’autres acteurs malveillants, sapant la confiance des utilisateurs.

Après la demande initiale du gouvernement britannique, Apple avait menacé de retirer complètement des services plutôt que de compromettre la sécurité. Finalement, elle a opté pour la suppression du chiffrement ADP, évitant de perdre des clients et de créer une porte dérobée. Malgré cette dégradation de la sécurité des données sur iCloud, Apple assure que les clients anglais conserveront le chiffrement de bout en bout pour d’autres services comme iMessage, FaceTime, la gestion des mots de passe et les données de santé.

Apple reste déterminé à offrir à ses utilisateurs le plus haut niveau de sécurité pour leurs données personnelles et espère que nous serons en mesure de le faire à l’avenir au Royaume-Uni.

Voici les services Apple qui restent chiffrés de bout en bout par défaut au Royaume-Uni :

• Messages dans iCloud
• Communications iMessage
• Appels FaceTime
• Mots de passe et trousseau
• Données d'applications de santé
• Données du journal
• Données du domicile
• Informations de paiement et transactions Apple Pay
• Plans
• Vocabulaire appris avec le clavier QuickType
• Safari (historique, groupes d'onglets et onglets iCloud)
• Temps d'écran
• Touches Bluetooth W1 et H1
• Mots de passe Wi-Fi
• Informations Siri
• Memoji

La sécurité avant tout

Apple avait donc raison depuis longtemps, la sécurité numérique est bien l'une des grandes préoccupations de notre temps. Depuis l'iPhone X, la société dirigée par Tim Cook n'a de cesse de protéger ses clients et d'en faire la publicité. Les données de Face ID, Santé, Apple Intelligence et autres sont verrouillées, traitées en local (sauf quelques exceptions pour l'IA) et visibles uniquement par leur propriétaire.

Apple dépose plainte

Mise à jour du 5/03 :
Le Financial Times rapporte qu’Apple a déposé une plainte auprès du tribunal qui pourrait entraîner l’annulation de l’ordonnance du gouvernement britannique.

Le fabricant d’iPhone a fait appel auprès du tribunal des pouvoirs d’enquête, un organe judiciaire indépendant qui examine les plaintes contre les services de sécurité britanniques, selon des personnes au courant du dossier.
Le recours en justice de l’entreprise de la Silicon Valley est considéré comme la première fois que les dispositions de la loi de 2016 sur les pouvoirs d’enquête permettant aux autorités britanniques de casser le cryptage sont testées devant le tribunal. Le tribunal des pouvoirs d’enquête examinera si la notification du Royaume-Uni à Apple était légale et, dans le cas contraire, pourrait ordonner son annulation.

Le FT ajoute que la plainte légale d’Apple a été déposée le mois dernier et que l’affaire pourrait être portée devant le tribunal ce mois-ci.