Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

USA : les amendements au projet de loi EARN IT donnent aux États le pouvoir de restreindre le chiffrement
Des défenseurs des droits numériques appellent les Sénateurs à le supprimer

Le , par Stéphane le calme

45PARTAGES

3  0 
Le comité judiciaire du Sénat a adopté une version modifiée du projet de loi EARN IT. Cette version du projet de loi controversé va maintenant être débattue au sein du Sénat tout entier. Bien que les amendements incluent des changements substantiels, des groupes comme l'ACLU et Free Press Action sont toujours préoccupés par les ramifications que le projet de loi pourrait avoir pour la liberté d'expression et les groupes marginalisés.

En apparence, le projet de loi EARN IT vise à protéger contre la maltraitance des enfants. Mais dans sa forme initiale, le projet de loi menaçait également le chiffrement de bout en bout. La version modifiée du projet de loi EARN IT garantit que les entreprises ne seront pas davantage tenues responsables de la création d'outils de cybersécurité tels que le chiffrement, mais le débat sur le chiffrement n'est pas terminé. Au lieu de cela, les législateurs l’ont déjà déplacé dans le domaine d’un accès légal aux données chiffrées, qui obligerait les entreprises à créer des portes dérobées sur leurs produits pour permettre au gouvernement d’y avoir accès. En théorie, cela pourrait empêcher les criminels et les trafiquants de drogue de communiquer secrètement, mais cela pourrait également menacer les droits fondamentaux à la vie privée.

L'autre préoccupation majeure soulevée par les opposants à la loi EARN IT Act concerne l'article 230 de la Communications Decency Act, qui stipule que les entreprises ne sont pas responsables de la majorité du contenu que les utilisateurs publient. À l'origine, le projet de loi EARN IT proposait d'exiger que les entreprises « méritent » les protections de l'article 230 en suivant les pratiques recommandées décrites par une commission du ministère de la Justice. Sans ces protections, des entreprises comme Twitter ou Facebook pourraient être obligées de retirer tout ce qui pourrait entraîner une contestation judiciaire, ce qui pourrait menacer la liberté d'expression.

Les amendements adoptés privent la commission du ministère de la Justice de toute autorité légale et n'obligeront pas les entreprises à bénéficier de la protection de l'article 230 en suivant les pratiques recommandées. Mais le projet de loi viendrait également apporter des amendements à l'article 230 afin d’autoriser les poursuites des États, et les assemblées législatives des États pourraient restreindre ou interdire les technologies de chiffrement. De plus, cela pourrait conduire à des lois incohérentes qui varient d'un État à l'autre.

« Les auteurs de ce projet de loi veulent évidemment remédier aux véritables préjudices causés par les documents abusifs, mais le projet de loi modifié conduit à une énorme ouverture pour la responsabilité au niveau de l'État », a déclaré Gaurav Laroia, conseiller principal en politique de Free Press Action, dans un communiqué. « Même tel que modifié aujourd'hui, il invite les États à commencer à adopter toutes sortes de lois sous prétexte de protéger contre les abus, mais à reproduire les problèmes qui accompagnaient le texte original du projet de loi EARN IT ».


Des amendements qui ne résolvent pas le problème

L'ACLU, qui affirme que le projet de loi ne fait pas grand-chose pour « aborder de manière significative la question de la maltraitance des enfants », s'oppose également aux nouveaux amendements :

« L'ACLU a toujours soutenu les efforts visant à garantir que ceux qui subissent des abus sexuels, en particulier les enfants, n'aient pas peur de se manifester et que, lorsqu'ils le font, ils soient traités de manière juste et équitable. Bien que les objectifs déclarés de la loi EARN IT de protéger les enfants contre l'exploitation sexuelle des enfants en ligne soient louables, elle ne parvient pas à résoudre de manière significative le problème qu'elle prétend résoudre. Par exemple, le projet de loi ne fait rien du tout pour s'attaquer aux causes profondes de l'exploitation sexuelle des enfants afin d'empêcher que les enfants soient des victimes en premier lieu. Il ne fournit également aucune assistance aux victimes pour qu'elles reçoivent un soutien, des soins et des conseils pour atténuer les préjudices causés par des événements traumatisants ou toute protection contre les éventuelles conséquences négatives en matière d'immigration, criminelles ou autres de dénoncer les crimes contre elles. Le projet de loi ne fera rien pour résoudre ces problèmes fondamentaux, tout en créant une multitude d'autres.

« Plutôt que de protéger les enfants contre les préjudices, la loi EARN IT porterait atteinte à la vie privée et aux droits de parole en ligne de chaque personne dans ce pays. En modifiant une loi fédérale clé qui prend en charge le discours en ligne, elle nuira également de manière disproportionnée à la communauté LGBTQ et à la communauté des travailleuses du sexe de manière similaire à SESTA / FOSTA, une loi qui a modifié la même disposition en 2018. SESTA / FOSTA visait à protéger les personnes engagées dans le travail du sexe de la traite contre leur gré. Cependant, les professionnel (le) s du sexe utilisent des plateformes en ligne pour filtrer les clients potentiellement violents, partager des informations concernant la santé et la sécurité, et autrement communiquer en privé et en toute sécurité. SESTA / FOSTA a éliminé de nombreux espaces utilisés par les professionnel (le) s du sexe pour maintenir la sécurité et protéger leur santé et a renvoyé les professionnel (le) s du sexe dans les rues dans des situations dangereuses. Plutôt que de protéger les personnes contre le trafic illégal, SESTA / FOSTA a mis en danger la santé, la sécurité et le bien-être encore plus loin qu'il ne l'avait été. Le représentant Khanna a présenté un projet de loi que l'ACLU soutient en faveur d'une étude fédérale pour quantifier ce préjudice. De plus, SESTA / FOSTA a également provoqué une censure disproportionnée du discours des personnes LGBTQ en ligne ».

Dans une note adressée aux Sénateurs, l’ACLU a noté que :

« Bien que des changements importants aient été apportés à la version modifiée, ces changements ne dissipent pas les craintes selon lesquelles la loi EARN IT compromettra la vie privée de chaque Américain, étouffera notre capacité à communiquer librement en ligne et nuira aux personnes LGBTQ, aux travailleuses du sexe et aux manifestants »

L'Electronic Frontier Foundation, un défenseur des droits numériques, a fait valoir que cet amendement n'était pas une réponse. Alors que la version précédente du projet de loi suggérait que les plateformes en ligne pourraient conserver leur immunité en vertu de l'article 230 si elles suivent les directives de la commission gouvernementale, la version modifiée ne leur donne pas cette opportunité. « Les propriétaires de sites Web - en particulier ceux qui permettent le chiffrement - ne peuvent pas "gagner" leur immunité de responsabilité pour le contenu des utilisateurs selon le nouveau projet de loi. Ils devront simplement se défendre au tribunal, dès qu'un seul procureur, ou même un simple avocat exerçant en privé, décidera que le fait d'offrir un chiffrement de bout en bout était un signe d'indifférence à l'égard des crimes contre les enfants », a regretté l'EFF.

Sources : amendement pour exclure le chiffrement de la responsabilité des fournisseurs de services informatiques interactifs, ACLU (1, 2)

Une erreur dans cette actualité ? Signalez-le nous !

Avatar de Neckara
Inactif https://www.developpez.com
Le 06/07/2020 à 16:41
Citation Envoyé par el_slapper Voir le message
Tous les experts en sécurité m'ont dit la même chose :

  1. une porte dérobée, c'est une porte
  2. une porte, pour un hacker, c'est toujours une porte ouverte


Et j'ai tendance à les croire.
Mmmm.... je serais un peu plus nuancé, c'est juste mon esprit de contradiction et de pinaillage.

Le problème des backdoors est qu'elles sont généralement très peu sécurisées, et se reposent sur une sécurité par l'obscurité (très nul), ou donnent accès à bien trop de données si jamais elles étaient exploitées.

Par exemple, un compte backdoor sur Windows n'a pas de raison d'être moins sécurisé que votre e.g. mot de passe. Le problème c'est que si on vole votre mot de passe, on n'a accès qu'à votre compte, alors que si on exploite la backdoor, on a accès à tous les ordinateurs Windows.

Les backdoors deviennent alors très attractives, dont les attaquants, sont bien plus motivés et y mettent bien plus de moyens. Par sûr e.g. que la Chine utilise tous ses super-calculateurs pour trouver mon mot de passe Windows... en revanche, pour trouver une backdoor sur l'ensemble des ordinateurs Windows... c'est tout de suite bien plus intéressant.

Après il existe des technologies de fonctions avec trappes, de dés-anonymisations, qui sont un peu comme des backdoors. Mais quand on le fait, c'est pas des guignols de politiciens qui se penchent dessus. C'est pas une clé globale stockée n'importe où qui donne accès à toutes les données, ni même censée être très utilisée.

Par exemple, un cas d'usage est pour les dossiers médicaux. Seul vous et votre médecin devez pouvoir consulter vos données médicales, donc être chiffrées de sorte à ce que celui vous et votre médecin puissiez y accéder. Le problème est... que se passe-t-il si vous vous retrouvez à l'hôpital inconscient dans un cas urgent ? Votre médecin n'est pas là, et vous êtes inconscient. Il y a alors besoin d'une "backdoor", que certains personnels médicaux pourront utiliser... mais en conservant les traces des accès avec tout un cadre protocolaire et juridique.

Si on reprend la problématique, en soit avoir une backdoor sur nos communications chiffrées, ça peut se faire... il faudrait tout un protocole, avec plusieurs personnes possédant une "partie" de clé personnelle, e.g. un juge, un policier, le FAI, avec un enregistrement des accès, une procédure juridique, et sur un ensemble de données limitées, à la fois temporellement, et cibler une personne précise. C'est compliqué, cela fait intervenir des pans de recherches en crypto, c'est loin d'être trivial.

Pas comme ce qu'ils veulent faire et donner une clé à la NSA pour que ce soit la fête du slip.
2  0 
Avatar de el_slapper
Expert éminent sénior https://www.developpez.com
Le 07/07/2020 à 9:20
oui, on est d'accord. J'ai donné le principe de base, tu rentres beaucoup plus dans les détails.

D'ailleurs, ton histoire de dossiers médicaux, je connais bien. On appelle ça le "bris de glace". Et c'est soumis à autorisation et audité de partout, en effet. Pour moi, ce n'est pas une backdoor, c'est un accès autorisé aux données. Avec des procédures bien particulières. Une backdoor, c'est donner les clefs de la base à quelqu'un. Un bris de glace, c'est tamponner administrativement le droit, via l'interface utilisateur, le droit à quelques professionnels de santé d'accéder à un dossier médical unique.

En hospitalier, il est interdit de faire des delete. On met à jour les données. Si elles sont obsolètes, voire fausses, le système rajoute une date de fin de validité. Mais jamais de suppression. C'est interdit. Ca (plus d'autres mécanismes) permet d’auditer tout ce qui c'est passé. Effectivement, si tu donnes les clefs de la base à quelqu'un, le Delete devient possible. Outre le fait que ça corromprait méchamment la base (conçue pour que jamais rien ne soit supprimé), ça donnerait le droit de faire des choses qui sont clairement illégales(et pas par hasard).

Donc je fais la différence entre une backdoor et un bris de glace. La seconde est propre et maîtrisée. Evidemment, ces crétins ivres de leur pouvoir veulent la première - qui est catastrophique à tous les points de vue, sauf quand on veut faire du dégât.
2  0 
Avatar de el_slapper
Expert éminent sénior https://www.developpez.com
Le 07/07/2020 à 13:19
Citation Envoyé par Neckara Voir le message
Je ne connaissais pas cette terminologie.

Pour une vraie Backdoor sinon, on a les comptes admins sur les ordinateurs professionnels auxquels les sysadmins ont généralement accès. C'est utile, mais c'est vrai que pour le coup faut leur faire confiance.

Peut-être devraient-ils eux aussi avoir une procédure "bris de glace", pour déverrouiller l'accès à ce compte admin.
C'est une terminologie médicale, je ne sais pas si ça existe ailleurs. Et c'est complètement contrôlé par l'application. Un admin (au sens fonctionnel, souvent un cadre de santé, pas forcément un admin technique) donne à l'utilisateur des droits bris de glace sur un patient, et le docteur/infirmier/pharmacien a soudain accès aux données concernant le patient en question. Un équivalent pourrait être intéressant en effet, mais il nécessite d'abord d'identifier les besoins réels, et de mettre en place une interface et des procédures qui permettent d'agir sur le domaine ou l'urgence l'exige. Ce n'est pas ça qu'ils veulent. Ce qu'ils veulent, c'est les pleins pouvoirs sur les données.
2  0 
Avatar de tanaka59
Membre expert https://www.developpez.com
Le 06/07/2020 à 14:53
Bonjour

Que pensez-vous des craintes de Mozilla ? Les partagez-vous ?
Tout a fait. A cause d'une minorité qui utilisent de manière peu ragoûtante des messageries cryptées, les utilisateurs de bonnes n'ont pas à pâtir d'un risque de sécurité ... en cassant le chiffrement. Cela reviendrait à exiger que la poste fasse transiter chaque colis et lettre dans des emballages translucides au motif que des petits malins font transiter des choses illicites. On se rend bien compte que pour la sécurité de ce qui est légitime on crée des incendies strictement inutiles ...

Que pensez-vous des amendements apportés au projet de loi ?
Les portes "dérobées légales" n'existent pas . Le jour ou l'on ordonne des portes dérobées pour la police et que la porte est exploitée par des truands qui pompent la data en open bar on fait quoi ? On dit a si on avait su ?

J'espère vraiment que ceux qui essayent de faire passer si type de loi vont se rendre compte que cela concerne aussi des flux de types bancaire/médicaux/financier/judiciaire ... bah oui on peut aussi interagir via MP sur des sites web avec des organismes légitimes ... Cela tombe aussi sous le coup de la loi.

Selon l’EFF, le chiffrement est toujours menacé, malgré les amendements. Qu’en pensez-vous ?
Oui toujours , car on parle d'une porte dérobée "que pour le police". Le jour ou une taupe interne à une administration exploite le filon ou revend l'information ... le mal est déjà fait ... Et il sera trop tard pour dire "si on avait su" car des méconnaissant auront ordonné et voté comme des moutons sur un sujet qu'ils ne maîtrisent pas. Au moins ils sont prévenu. Et le jour ou il y a un problème j’espère qu'ils répondront de leur fautes devant des tribunaux ... et non des informaticiens exécutants ... C'est un peu fort de café de faire porter le chapeau aux autres.
1  0 
Avatar de el_slapper
Expert éminent sénior https://www.developpez.com
Le 06/07/2020 à 15:34
Tous les experts en sécurité m'ont dit la même chose :

  1. une porte dérobée, c'est une porte
  2. une porte, pour un hacker, c'est toujours une porte ouverte


Et j'ai tendance à les croire.
1  0 
Avatar de Neckara
Inactif https://www.developpez.com
Le 07/07/2020 à 9:48
Citation Envoyé par el_slapper Voir le message
Donc je fais la différence entre une backdoor et un bris de glace.
Je ne connaissais pas cette terminologie.

Pour une vraie Backdoor sinon, on a les comptes admins sur les ordinateurs professionnels auxquels les sysadmins ont généralement accès. C'est utile, mais c'est vrai que pour le coup faut leur faire confiance.

Peut-être devraient-ils eux aussi avoir une procédure "bris de glace", pour déverrouiller l'accès à ce compte admin.
0  0 
Avatar de darklinux
Membre éclairé https://www.developpez.com
Le 08/07/2020 à 4:12
Citation Envoyé par el_slapper Voir le message
C'est une terminologie médicale, je ne sais pas si ça existe ailleurs. Et c'est complètement contrôlé par l'application. Un admin (au sens fonctionnel, souvent un cadre de santé, pas forcément un admin technique) donne à l'utilisateur des droits bris de glace sur un patient, et le docteur/infirmier/pharmacien a soudain accès aux données concernant le patient en question. Un équivalent pourrait être intéressant en effet, mais il nécessite d'abord d'identifier les besoins réels, et de mettre en place une interface et des procédures qui permettent d'agir sur le domaine ou l'urgence l'exige. Ce n'est pas ça qu'ils veulent. Ce qu'ils veulent, c'est les pleins pouvoirs sur les données.
Moi non plus j ' ignorais cette terminologie , merci de l ' avoir enseigné
0  0