En plus de transformer l’Internet en une plate-forme de surveillance dans le monde entier, la NSA a subrepticement affaibli les produits, les protocoles et les normes que nous utilisons tous pour nous protéger. Ce faisant, elle a détruit la confiance qui sous-tend l’Internet. Nous avons besoin de retrouver cette confiance.
La confiance est intrinsèquement sociale. Elle est personnelle, relative, situationnelle et fluide. Elle n’est pas uniquement humaine, mais c’est le fondement de tout ce que nous avons accompli en tant qu’espèce. Nous faisons confiance à autrui, mais nous faisons aussi confiance aux organisations et aux processus. La psychologie est complexe, mais quand nous nous reposons sur une technologie, nous croyons fondamentalement qu’elle fonctionnera comme prévu.
Voilà comment nous technologues croyions en la sécurité de l’Internet. Nous n’avions aucune illusion que l’Internet était sécurisé, ou que les gouvernements, les criminels, les pirates et autres ne pouvaient pas pénétrer les systèmes et les réseaux s’ils étaient suffisamment qualifiés et motivés. On ne partait pas du principe que les programmeurs étaient parfaits, que le code était exempt de bogues, ou même que notre mathématique cryptographique était incassable. Nous savions que la sécurité de l’Internet était une course à l’armement, et que les assaillants jouissaient de la plupart des avantages.
Ce que nous croyions, c’était que les technologies perdureraient ou échoueraient en fonction de leurs propres mérites.
Nous savons maintenant que cette confiance était mal placée. Grâce à la coopération, la corruption, les menaces et la contrainte, la NSA -et le GCHQ du Royaume-Uni – ont contraint les entreprises à affaiblir la sécurité de leurs produits et de leurs services, puis de mentir à ce sujet à leurs clients.
Nous avons pris connaissance de quelques exemples de cet affaiblissement. La NSA a convaincu Microsoft de modifier Skype afin de rendre l’écoute les conversations plus faciles. La NSA a également inséré un générateur de nombres aléatoires affaibli dans une norme commune, puis a travaillé pour obtenir que ce générateur soit plus largement utilisé.
J’ai entendu des ingénieurs travaillant pour la NSA, le FBI et d’autres organisations gouvernementales, parler délicatement autour du thème de l’insertion d’une « porte dérobée » dans les produits de sécurité pour permettre l’accès du gouvernement. L’un d’eux m’a dit, « c’est comme aller à un rendez-vous amoureux. Le sexe n’est jamais explicitement mentionné, mais vous savez que c’est sur la table. » Le projet SIGINT de la NSA dispose d’un budget annuel de 250 millions de dollars ; sans doute a-t-elle plus de résultats que les fragments qui sont devenus publics. Reed Hundt réclame au gouvernement de soutenir un Internet sécurisé, mais compte tenu de son passé d’installation de portes dérobées, pourquoi croirions-nous qu’il ait tourné la page ?
Il faut aussi supposer que les autres pays ont fait les mêmes choses. Nous avons longtemps cru que le gouvernement chinois a installé des portes dérobées dans les produits de réseautage de la société chinoise Huawei. Faisons-nous confiance aux matériels et aux logiciels en provenance de Russie ? de France? D’Israël? De n’importe où ?
Cette méfiance est un poison. Parce que nous ne savons pas, nous ne pouvons faire confiance à aucun d’eux. La gouvernance de l’Internet repose en grande partie sur la dictature bénigne des États-Unis parce que tout le monde croyait plus ou moins que nous travaillions pour la sécurité de l’Internet au lieu du contraire. Mais maintenant le système est dans la tourmente. Les sociétés étrangères fuient leurs fournisseurs américains parce qu’elles ne font plus confiance aux garanties de sécurité des entreprises américaines. Bien pire, les gouvernements utilisent ces révélations pour faire pression pour un Internet plus isolé, qui leur donne plus de contrôle sur ce que leurs citoyens voient et disent.
Tout cela pour que nous puissions mieux espionner.
Il y a un terme de la NSA: « nobus », abréviation de « nobody but us » (personne d’autre que nous). La NSA croit qu’elle peut compromettre la sécurité de telle sorte qu’elle soit l’unique bénéficiaire de cette subversion. Quelle arrogance. Il n’y a aucun moyen de déterminer si, ou quand, quelqu’un d’autre découvre une vulnérabilité. Ces systèmes subvertis font partie de notre infrastructure ; les préjudices pour tout le monde, une fois que les défauts sont découverts, dépassent largement les avantages que la NSA en retire tant qu’ils sont secrets.
Nous ne pouvons pas affaiblir les réseaux de l’ennemi tout en protégeant les nôtres. Parce que nous utilisons tous les mêmes produits, technologies, protocoles et normes, soit nous permettons à tous d’espionner tout le monde, soit nous empêchons quiconque d’espionner un tiers. En affaiblissant la sécurité, nous l’affaiblissons contre tous les attaquants. En insérant des vulnérabilités, nous rendons tout le monde vulnérable. Les vulnérabilités que les agences de renseignements utilisent pour s’espionner l’une l’autre sont les mêmes que celles que les criminels utilisent pour voler vos mots de passe. C’est soit la surveillance soit la sécurité, et nous sommes tous logés à la même enseigne.
La sécurité doit gagner. Internet est trop important pour le monde – et la confiance est trop importante pour l’Internet – pour la gaspiller comme cela.
Nous n’arriverons jamais à convaincre toutes les puissances étrangères de ne pas de subvertir les parties de l’Internet qu’elles contrôlent, mais nous pouvons arrêter de subvertir les parties que nous contrôlons. La plupart des sociétés de haute technologie qui font marcher l’Internet sont des sociétés américaines, donc notre influence est disproportionnée. Et une fois que nous arrêtons de subvertir, nous pouvons de façon crédible consacrer nos ressources à la détection et la neutralisation de la subversion par d’autres.
Cet essai est apparu dans la Boston Review.
Texte © 2014 Bruce Schneier, CTO, Co3 Systems, Inc.
Article paru en anglais dans le bulletin d’information Crypto-Gram
Traduction française et mise en forme © 2014 Le Diligent
Portrait de Bruce Schneier © Ann De Wulf
(Sauf mention contraire, tout texte en italique et entre parenthèses est une note de l’éditeur.)