Ça y est : Apple bascule enfin dans l’ère du chiffrement de bout en bout pour Apple. En 2023, les sauvegardes dans son cloud auront droit à un niveau de protection bien plus élevé, y compris les photos, les notes et les messages. Cette bascule est cruciale pour la marque et pour l’industrie.
C’est certainement l’une des mesures les plus significatives en matière de vie privée que vient de prendre Apple depuis des années. Une décision de tout premier ordre pour lui-même et ses clients, mais aussi pour toute l’industrie de la tech. La firme de Cupertino va enfin fournir du chiffrement de bout en bout dans la plupart de ses applications iCloud.
iCloud va bénéficier d’un tout nouveau degré de protection des données
Ce mouvement a été officialisé par Craig Federighi, le vice-président d’Apple, à la tête de toute l’ingénierie logicielle, dans le cadre d’un entretien accordé au Wall Street Journal, le 7 décembre. Cette nouvelle protection sera appelée « Advanced Data Protection » (Protection avancée des données, en français) dans le cadre des services et des produits de l’entreprise.
Le chiffrement de bout en bout — surnommé parfois E2EE — est aujourd’hui l’une des protections les plus abouties pour sécuriser des informations. Il s’agit d’un procédé qui mobilise des opérations mathématiques complexes pour cacher des fichiers ou des discussions dans des données dont le sens parait n’avoir ni queue ni tête.
Différents protocoles peuvent être utilisés pour du E2EE et ils peuvent être ouverts ou non. Les détails techniques autour de l’Advanced Data Protection restent flous. L’idée générale est de rendre inaccessibles les données sous E2EE, si l’on n’a pas une clé spéciale (secrète) pour les déverrouiller. Dans le cadre de ce chiffrement de bout en bout, Apple ne la possède pas.
Jusqu’à présent, Apple limitait l’usage du chiffrement de bout en bout à quelques informations, comme les mots de passe et l’historique de navigation web, rappelle Matthew Green, spécialiste en cryptographie et enseignant à l’université Johns-Hopkins. Le reste (les messages écrits, les photos, les notes, etc.) étaient accessibles en clair en cas d’accès au compte iCloud.
C’était un point faible dans la stratégie de protection des données d’Apple
Or, iCloud était considéré ici comme un maillon faible de la politique de vie privée d’Apple. Certes, les données circulant entre l’iPhone (ou l’iPad) et le compte iCloud sont chiffrées pour les protéger pendant le trajet. Elles sont également chiffrées « au repos », sur les serveurs d’Apple. Mais dans ce cadre, l’entreprise a accès aux clés qui ont servi à ce chiffrement.
iCloud est le service de sauvegarde fourni par Apple pour conserver à distance, sur ses serveurs, le contenu des appareils de ses clients. Cela permet, par exemple, de restaurer un iPhone ou un iPad qui aurait perdu toutes ses données. Cela est aussi pratique lorsque l’on migre d’un appareil à l’autre. La synchronisation avec iCloud se fait dès qu’une connexion en Wi-Fi est établie.
Dès lors, iCloud apparaissait comme une sorte de voie détournée pour accéder au contenu d’un iPhone. C’était alors paradoxal compte tenu des efforts manifestes de la part d’Apple pour rendre l’iPhone impénétrable sans le code de déverrouillage du téléphone, même pour lui. Apple a souvent dit qu’il ne pouvait rien faire pour ouvrir un iPhone sans la clé d’accès.
Apple a souvent été critiqué pour cet aspect-là d’iCloud. D’après Craig Federighi, la société n’a pas pu aller plus vite parce qu’il fallait d’abord déployer l’infrastructure adéquate et des briques technologiques spécifiques. Il fallait aussi réfléchir à la façon de permettre la récupération les données des utilisateurs, pour ne pas les priver d’une option de secours indispensable.
L’absence d’avancée sur ce terrain a, pendant un temps, été associée à des fortes pressions venant des autorités américaines, et notamment du FBI. On sait que dès 2016, Apple avait manifestement la technologie pour se lancer. Mais les forces de l’ordre n’y auraient été pas favorables, car cela aurait compliqué, selon elles, leurs capacités d’investigation.
Dans le cadre du chiffrement de bout en bout, il n’est en effet pas possible de voir quoi que ce soit sans la clé de déchiffrement. Apple ne l’a pas et n’a donc rien à livrer aux autorités. Même en forçant les serveurs d’iCloud, un pirate ne verrait que des données illisibles. On a dit d’Apple qu’il a freiné sur ce dossier, pour éviter des soucis plus tard, comme l’obligation d’installer une porte dérobée.
Un déploiement mondial en 2023
Selon le calendrier de déploiement prévu par Apple, une version bêta de ce service de chiffrement de bout en bout est lancé depuis le 7 décembre. Elle sera lancée aux États-Unis d’ici à la fin de l’année 2022. Pour le reste du monde, il faudra attendre 2023. Point notable : Craig Federighi a tenu à préciser que même sa clientèle en Chine y aura droit.
Le virage d’Apple est une excellente nouvelle pour sa clientèle, mais également pour les autres, car, observe Matthew Green, le groupe a une influence considérable dans la tech. « Apple définit la norme de ce à quoi ressemble une sauvegarde sécurisée (grand public) dans le cloud. Même s’il s’agit d’une fonction d’opt-in, cette initiative aura des répercussions sur l’ensemble du secteur. »
Certes, Apple n’a pas été le plus rapide sur ce terrain — WhatsApp propose aussi du chiffrement de bout en bout pour les sauvegardes dans le cloud, par exemple. Mais ce mouvement aura certainement des répercussions considérables à l’échelle de la planète. Exactement comme lorsque WhatsApp a activé le chiffrement de bout en bout par défaut pour tout le monde.