La loi IPA ayant une port\u00e9e extraterritoriale, elle permet au gouvernement britannique d\u2019imposer des exigences \u00e0 des entreprises dans d\u2019autres pays, et pour des utilisateurs situ\u00e9s dans le monde entier, tout en ayant la possibilit\u00e9 d\u2019interdire aux fournisseurs d\u2019informer leurs utilisateurs.<\/p>\n\n\n\n
Cette affaire \u00ab\u00a0Apple \/ loi IPA\u00a0\u00bb pourrait bien constituer une rupture, le d\u00e9but d\u2019une remise en cause du chiffrement de bout en bout. <\/strong>Elle n\u2019a d\u2019ailleurs pas de pr\u00e9c\u00e9dent connu \u00e0 ce jour dans d\u2019autres d\u00e9mocraties. C\u00e9der sur le chiffrement revient \u00e0 ouvrir la porte \u00e0 une surveillance syst\u00e9mique, consid\u00e9r\u00e9e comme incompatible avec les valeurs d\u00e9mocratiques. Explications.<\/p>\n\n\n\n L’Investigatory Powers Act (IPA)<\/strong> est une loi britannique de 2016 \u00e9tablissant un nouveau cadre pour r\u00e9gir l’utilisation et la supervision des pouvoirs d’enqu\u00eate par les forces de l’ordre et les agences de s\u00e9curit\u00e9 et de renseignement. <\/p>\n\n\n\n Cette loi a rassembl\u00e9 de nombreux pouvoirs d’enqu\u00eate existants du Royaume-Uni en une seule l\u00e9gislation. Ses opposants voient en elle une extension des pouvoirs des agences de renseignement britanniques. Edward Snowden a qualifi\u00e9 l\u2019IPA comme \u00e9tant l\u2019une des pires l\u00e9gislations en mati\u00e8re de renseignement du monde occidental.<\/p>\n\n\n\n La technologie et les types de menaces auxquelles le Royaume-Uni fait face ayant rapidement progress\u00e9 et \u00e9volu\u00e9, l’Investigatory Powers Act a \u00e9t\u00e9 r\u00e9vis\u00e9 en 2023 et 2024, avec pour objectif de permettre aux agences de s\u00e9curit\u00e9 et de renseignement de faire face \u00e0 une gamme de menaces en pleine \u00e9volution.<\/p>\n\n\n\n L\u2019une des critiques les plus fortes envers le texte porte sur les pouvoirs \u00e9tendus accord\u00e9s au Home Office. Le minist\u00e8re de l\u2019Int\u00e9rieur britannique b\u00e9n\u00e9ficie, avec l\u2019IPA, de la possibilit\u00e9 de transmettre des ordres aux entreprises technologiques et d\u2019exiger un acc\u00e8s pour les services de renseignement britanniques. <\/p>\n\n\n\n Les entreprises recevant des demandes de coop\u00e9ration se voient imposer un r\u00e9gime de secret, puisqu\u2019elles sont dans l\u2019interdiction l\u00e9gale de divulguer l\u2019existence de ces demandes sans autorisation explicite du ministre de l’Int\u00e9rieur. Or cette exigence de secret et l\u2019absence de notification aux utilisateurs emp\u00eache les citoyens de comprendre l\u2019\u00e9tat de s\u00e9curit\u00e9 des outils de communication qu\u2019ils utilisent.<\/p>\n\n\n\n SecNumCloud : label de confiance<\/p> Le r\u00e9f\u00e9rentiel qui garantit le plus haut niveau de s\u00e9curit\u00e9 pour la protection de vos donn\u00e9es sensibles.<\/p> Enfin, l\u2019IPA permet de forcer l\u2019ajout de backdoors, m\u00eame en cas de chiffrement de bout en bout. La loi IPA donne ainsi la capacit\u00e9 au gouvernement d’obliger les entreprises \u00e0 cr\u00e9er des portes d\u00e9rob\u00e9es <\/strong>dans leurs syst\u00e8mes pour permettre aux services de renseignement de contourner le chiffrement. C\u2019est ce qui s\u2019est pass\u00e9 avec Apple au d\u00e9but de l\u2019ann\u00e9e 2025, l\u2019entreprise ayant re\u00e7u un \u00ab\u00a0avis de capacit\u00e9 technique\u00a0\u00bb s\u2019appuyant sur l\u2019article 253 de l\u2019Investigatory Powers Act et lui demandant d\u2019introduire une porte d\u00e9rob\u00e9e dans sa fonctionnalit\u00e9 optionnelle \u00ab\u00a0Advanced Data Protection\u00a0\u00bb, destin\u00e9e \u00e0 s\u00e9curiser les donn\u00e9es<\/a> sauvegard\u00e9es via iCloud.<\/p>\n\n\n\n Le principe m\u00eame de la cr\u00e9ation d\u2019une porte d\u00e9rob\u00e9e \u00e0 destination des autorit\u00e9s britanniques pose un probl\u00e8me fondamental. Une fois qu\u2019une faiblesse existe dans un syst\u00e8me de chiffrement, elle peut potentiellement \u00eatre d\u00e9couverte et utilis\u00e9e par n\u2019importe qui, en particulier \u00e0 des fins malveillantes, pour acc\u00e9der aux donn\u00e9es des utilisateurs. Il s\u2019agit d\u2019une atteinte grave \u00e0 la protection de la vie priv\u00e9e et des libert\u00e9s civiles.<\/p>\n\n\n\n Les experts en cybers\u00e9curit\u00e9 ont fait part de leur d\u00e9sapprobation quant \u00e0 l\u2019obligation d\u2019ajouter des portes d\u00e9rob\u00e9es. Ils d\u00e9plorent \u00e9galement la possibilit\u00e9 accord\u00e9e au minist\u00e8re de l\u2019Int\u00e9rieur de retarder ou de bloquer des propositions de changements en mati\u00e8re de s\u00e9curit\u00e9 faites par les fournisseurs de services. L\u2019ONG TechUK craint de son c\u00f4t\u00e9 que l\u2019IPA serve de mod\u00e8le \u00e0 des gouvernements moins d\u00e9mocratiques d\u00e9sireux de renforcer leurs contr\u00f4les sur les citoyens.<\/p>\n\n\n\n Le patron d\u2019Apple, Tim Cook, a affich\u00e9 publiquement ses craintes quant au fait de cr\u00e9er \u00ab un dangereux pr\u00e9c\u00e9dent \u00bb. L\u2019entreprise a toujours refus\u00e9 de cr\u00e9er dans ses produits ou services des portes d\u00e9rob\u00e9es destin\u00e9es \u00e0 contourner le chiffrement. De leur c\u00f4t\u00e9, les dirigeants de WhatsApp et de Signal ont d\u00e9clar\u00e9 qu\u2019ils pr\u00e9f\u00e9reraient quitter le Royaume-Uni plut\u00f4t que d\u2019affaiblir leur chiffrement de bout en bout en y introduisant des portes d\u00e9rob\u00e9es.<\/p>\n\n\n\n Dans le cadre de l\u2019affaire Apple, les organisations de d\u00e9fense des libert\u00e9s \u2013 l\u2019Electronic Frontier Foundation, l’American Civil Liberties Union, Amnesty International, le Projet TOR, Mozilla \u2013 ont fait part de leur soutien \u00e0 la marque \u00e0 la pomme.<\/p>\n\n\n\n De port\u00e9e extraterritoriale, l\u2019Investigatory Powers Act ne se contente pas d’op\u00e9rer sur le territoire britannique. Le gouvernement britannique serait donc en mesure d\u2019imposer des exigences secr\u00e8tes aux fournisseurs situ\u00e9s dans d\u2019autres pays<\/strong>, et qui s\u2019appliqueraient \u00e0 leurs utilisateurs situ\u00e9s dans le monde entier.<\/p>\n\n\n\n L\u2019IPA n\u2019est pas la seule loi qui d\u00e9passe les fronti\u00e8res du pays qui l\u2019a vu na\u00eetre. De l\u2019autre c\u00f4t\u00e9 de l\u2019Atlantique, le Cloud Act <\/a>permet aux autorit\u00e9s am\u00e9ricaines d’acc\u00e9der aux donn\u00e9es relatives aux communications \u00e9lectroniques stock\u00e9es sur des serveurs situ\u00e9s aux \u00c9tats-Unis ou dans d\u2019autres pays. Toujours aux \u00c9tats-Unis, la loi FISA<\/a> (Foreign Intelligence Surveillance Act), prolong\u00e9e jusqu\u2019en 2026, constitue l\u2019un des outils de surveillance les plus \u00e9tendus du gouvernement am\u00e9ricain. Elle permet aux services de renseignement du pays d\u2019acc\u00e9der aux communications de non-Am\u00e9ricains \u00e0 l\u2019\u00e9tranger, sans avoir \u00e0 passer par un juge.<\/p>\n\n\n\n IPA, Cloud Act, loi FISA, ces trois l\u00e9gislations revendiquent toutes la capacit\u00e9 d’acc\u00e9der aux donn\u00e9es au-del\u00e0 de leurs fronti\u00e8res nationales. Elles imposent des obligations de coop\u00e9ration aux entreprises technologiques, et op\u00e8rent dans le secret, emp\u00eachant souvent ces entreprises d’informer leurs utilisateurs.<\/p>\n\n\n\n En vertu de ces lois \u00e0 port\u00e9e extraterritoriale, les entreprises europ\u00e9ennes utilisant des solutions non souveraines se retrouvent expos\u00e9es \u00e0 des juridictions \u00e9trang\u00e8res<\/strong> et perdent la ma\u00eetrise de leurs donn\u00e9es et de leur souverainet\u00e9. <\/p>\n\n\n\n Cette situation expose \u00e9galement les entreprises europ\u00e9ennes \u00e0 des conflits de juridictions, par exemple entre le Cloud Act et le RGPD, le r\u00e8glement europ\u00e9en s\u2019opposant aux transferts de donn\u00e9es personnelles en dehors de l\u2019Union europ\u00e9enne sans niveau de protection ad\u00e9quat.<\/p>\n\n\n\n La localisation des donn\u00e9es<\/a> (via l\u2019emplacement des datacenters) n\u2019est plus un crit\u00e8re suffisant pour assurer la souverainet\u00e9 des donn\u00e9es. Il faut d\u00e9sormais \u00e9galement prendre en compte la juridiction \u00e0 laquelle sont soumises les donn\u00e9es. <\/p>\n\n\n\n Les solutions de stockage de donn\u00e9es fournies par AWS, Microsoft ou Google ne sont pas consid\u00e9r\u00e9es comme souveraines (m\u00eame si elles h\u00e9bergent les donn\u00e9es de leurs clients fran\u00e7ais sur le sol fran\u00e7ais, par exemple), puisqu\u2019elles sont soumises \u00e0 la l\u00e9gislation des \u00c9tats-Unis. \u00c0 l\u2019inverse, dans le cas d\u2019un cloud souverain<\/a>, les donn\u00e9es sont stock\u00e9es sur des serveurs situ\u00e9s en France, mais elles sont surtout g\u00e9r\u00e9es par un acteur fran\u00e7ais et plac\u00e9es sous juridiction fran\u00e7aise.<\/p>\n\n\n\n Dans ce contexte, Oodrive adopte une d\u00e9marche articul\u00e9e autour de la s\u00e9curit\u00e9, de la conformit\u00e9 r\u00e9glementaire et de la souverainet\u00e9 num\u00e9rique<\/a>. <\/p>\n\n\n\n Ses solutions sont conformes aux r\u00e9glementations les plus strictes en mati\u00e8re de s\u00e9curit\u00e9, d\u00e8s leur conception, dans le cadre d\u2019une architecture \u00ab\u00a0Security-by-Design<\/a>\u00a0\u00bb. Les m\u00e9canismes de s\u00e9curit\u00e9 \u2013 chiffrement de bout en bout, authentification forte, etc. \u2013 sont int\u00e9gr\u00e9s nativement et de mani\u00e8re transparente pour les utilisateurs, ce qui leur garantit une exp\u00e9rience fluide. Les donn\u00e9es sont prot\u00e9g\u00e9es, sans impacter la productivit\u00e9. Les cl\u00e9s de chiffrement sont g\u00e9r\u00e9es exclusivement par les clients, stock\u00e9es dans un bo\u00eetier HSM d\u00e9di\u00e9.<\/p>\n\n\n\n Oodrive est 100 % d\u00e9tenu et exploit\u00e9 en France. L\u2019entreprise h\u00e9berge ses solutions collaboratives sur le territoire national (h\u00e9bergement souverain). Les donn\u00e9es de ses clients ne sont pas soumises aux lois extra-europ\u00e9ennes de type Cloud Act ou FISA. Elles sont exclusivement sous juridiction fran\u00e7aise, et donc \u00e0 l’abri de l’espionnage et des ing\u00e9rences ext\u00e9rieures, en conformit\u00e9 totale avec le RGPD.<\/p>\n\n\n\n Oodrive est le premier \u00e9diteur de logiciel \u00e0 avoir obtenu d\u00e8s 2019 la qualification SecNumCloud<\/a>, d\u00e9livr\u00e9e par l\u2019ANSSI, pour ses offres SaaS h\u00e9berg\u00e9es en cloud priv\u00e9. Oodrive est le seul \u00e9diteur qualifi\u00e9 SecNumCloud version 3.2<\/a> de bout en bout, de l’infrastructure au logiciel.<\/p>\n\n\n\n Aux enjeux de s\u00e9curit\u00e9, de conformit\u00e9 et de souverainet\u00e9 s\u2019ajoute \u00e9galement, pour Oodrive, une exigence de transparence vis-\u00e0-vis de ses clients. Fid\u00e8le \u00e0 son engagement en faveur de la confiance num\u00e9rique, Oodrive n\u2019introduira jamais de backdoor ou autre acc\u00e8s cach\u00e9 dans ses solutions. <\/p>\n\n\n\n La s\u00e9curit\u00e9 ne peut pas \u00eatre conditionnelle. C\u00e9der sur le chiffrement reviendrait \u00e0 fragiliser tout l\u2019\u00e9cosyst\u00e8me num\u00e9rique. Plus de 2,5 millions de professionnels ont choisi de collaborer sur leurs projets sensibles au sein de la bulle de confiance Oodrive, t\u00e9moignant de la pertinence de cette approche transparente et responsable.<\/p>\n\n\n\n L’affaire \u00ab Apple \/ loi IPA \u00bb au Royaume-Uni constitue bien plus qu’un simple diff\u00e9rend technique sur le chiffrement entre une entreprise et un gouvernement. Elle soul\u00e8ve une question critique : sommes-nous pr\u00eats \u00e0 sacrifier les fondements de la protection des donn\u00e9es dans le cadre de la surveillance impos\u00e9e par les \u00c9tats ?<\/p>\n\n\n\n Face \u00e0 cette offensive contre le chiffrement de bout en bout, les entreprises europ\u00e9ennes ont un r\u00f4le \u00e0 jouer, qui consiste \u00e0 ne pas c\u00e9der aux solutions non souveraines<\/strong>, \u00e0 ne pas sacrifier la s\u00e9curit\u00e9 pour la commodit\u00e9. Elles risquent sinon de perdre le contr\u00f4le sur leurs donn\u00e9es les plus sensibles et s\u2019exposent \u00e0 des demandes d\u2019acc\u00e8s \u00e0 leurs donn\u00e9es par les autorit\u00e9s \u00e9trang\u00e8res. <\/p>\n\n\n\n Au-del\u00e0 de la localisation g\u00e9ographique des serveurs, c’est la juridiction \u00e0 laquelle sont soumises les donn\u00e9es qui d\u00e9termine leur niveau de protection r\u00e9el. Une donn\u00e9e h\u00e9berg\u00e9e en France mais g\u00e9r\u00e9e par un acteur am\u00e9ricain reste expos\u00e9e aux lois extraterritoriales am\u00e9ricaines. Les entreprises europ\u00e9ennes doivent int\u00e9grer cette r\u00e9alit\u00e9 dans leurs choix technologiques et privil\u00e9gier des solutions v\u00e9ritablement souveraines.<\/p>\n\n\n\n Face \u00e0 cette remise en cause du chiffrement, l’Europe doit affirmer sa vision d’un num\u00e9rique respectueux des droits fondamentaux et soutenir un \u00e9cosyst\u00e8me cloud europ\u00e9en, \u00e9thique et souverain. Par leurs choix technologiques, les entreprises peuvent faire \u00e9merger un mod\u00e8le num\u00e9rique europ\u00e9en respectueux des valeurs d\u00e9mocratiques, en privil\u00e9giant les acteurs transparents.<\/p>\n","protected":false},"excerpt":{"rendered":" En f\u00e9vrier 2025, Apple a pr\u00e9f\u00e9r\u00e9 retirer la fonctionnalit\u00e9 de chiffrement de bout en bout \u00ab\u00a0Advanced Data Protection\u00a0\u00bb pour les utilisateurs de son service de stockage iCloud au Royaume-Uni, plut\u00f4t que de cr\u00e9er une porte d\u00e9rob\u00e9e dans ce syst\u00e8me. Cette demande de backdoor \u00e9tait exig\u00e9e par le minist\u00e8re de l\u2019Int\u00e9rieur britannique via un \u00ab\u00a0avis de […]<\/p>\n","protected":false},"author":21,"featured_media":8929189,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[1218],"class_list":["post-8929029","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-conformite"],"yoast_head":"\nL\u2019Investigatory Powers Act (IPA), une attaque contre le chiffrement<\/h2>\n\n\n\n
![](\"https:\/\/www.oodrive.com\/wp-content\/plugins\/oodrive-blog-banners\/src\/img\/bg-banner_work.svg\")
<\/div>![\"oodrive](\"https:\/\/www.oodrive.com\/wp-content\/plugins\/oodrive-blog-banners\/src\/img\/logo-snc.svg\"){kind=logo}
Chiffrement et backdoors : un faux dilemme<\/h2>\n\n\n\n
L\u2019IPA, une illustration concr\u00e8te des risques de l\u2019extraterritorialit\u00e9<\/h2>\n\n\n\n
L\u2019approche Oodrive : s\u00e9curit\u00e9, conformit\u00e9 et souverainet\u00e9<\/h2>\n\n\n\n
Ne rien c\u00e9der en mati\u00e8re de s\u00e9curit\u00e9, une responsabilit\u00e9 collective<\/h2>\n\n\n\n