La proposition américaine qui s'apparente aux processus "Know Your Customer" mettra fin à l'anonymat des utilisateurs du cloud.

Prétextant la lutte contre la cybercriminalité, elle suscite la controverse

En janvier dernier, le Département du Commerce des États-Unis a publié un avis de proposition de réglementation visant à établir de nouvelles exigences pour les fournisseurs d’Infrastructure en tant que Service (IaaS). Cette proposition s’articule autour d’un régime « Know Your Customer » (KYC) pour les entreprises offrant des services cloud, dans le but de contrer les activités de « cyberacteurs malveillants étrangers ».

Depuis longtemps, l'accès à certains services, qu'ils soient en ligne ou non, n'est autorisé que si le client prouve son identité. Souvent lié à des produits financiers, mais dans de nombreux cas de transactions de base d'argent ou de biens effectuées en ligne, le fait de donner son nom, son adresse, sa date de naissance et d'autres informations similaires peut renforcer la confiance dans le fait qu'une transaction se déroulera très probablement comme prévu. Dans certains cas, notamment lors de l'achat de produits à usage restreint, la preuve de l'identité peut être une condition de vente.

Pourtant, pendant de nombreuses années, les entreprises opérant dans l'espace en ligne ont été heureuses de faire des affaires avec des clients sans savoir grand-chose sur eux.

Dans certains cas, lorsque les entreprises comprennent que l'absence de friction est précieuse pour le client, une adresse électronique a longtemps été considérée comme suffisante. Si la carte de crédit ou de prépaiement éventuellement utilisée pour payer un produit dispose d'un crédit suffisant et n'est pas volée, il n'y a guère lieu de s'inquiéter. Pour de nombreux gouvernements, cependant, tout niveau d'anonymat est susceptible de susciter des inquiétudes, et si cela signifie démasquer tout le monde pour identifier quelques mauvais acteurs, qu'il en soit ainsi.

À la récolte des données de tous au nom de la lutte contre les cybercriminels

Le principe est relativement simple. Une procédure d'inscription plus rigoureuse pour les plateformes telles que AWS d'Amazon, par exemple, permet de réduire le risque que des acteurs malveillants utilisent les services américains de cloud pour attaquer les infrastructures critiques des États-Unis ou porter atteinte à la sécurité nationale par d'autres moyens. Le Bureau de l'industrie et de la sécurité a fait la remarque suivante dans son annonce de fin janvier :

En clair, selon la règle proposée, les programmes d’identification des clients exploités par les fournisseurs d’IaaS doivent collecter des informations à la fois des clients existants et potentiels, c’est-à-dire ceux au stade de la demande d’ouverture de compte. Les données minimales comprennent le nom du client, son adresse, les moyens et la source de paiement pour chaque compte client, les adresses e-mail et les numéros de téléphone, ainsi que les adresses IP utilisées pour l’accès ou l’administration du compte.

La définition d’un IaaS est étonnamment large :

Et ce n'est pas tout. Le terme IaaS englobe tous les produits et services « virtualisés » où les ressources informatiques d'une machine physique sont partagées, comme les serveurs privés virtuels (VPS). Il couvre même les serveurs « baremetal » alloués à une seule personne. La définition s'étend également à tout service pour lequel le consommateur ne gère ni ne contrôle le matériel sous-jacent, mais passe un contrat avec un tiers pour y avoir accès.

« Cette définition engloberait des services tels que les réseaux de diffusion de contenu, les services proxy et les services de résolution de noms de domaine », peut-on lire dans la proposition.

La règle proposée, intitulée « National Emergency with Respect to Significant Malicious Cyber-Enabled Activities », cessera d'accepter les commentaires des parties intéressées le 30 avril 2024.


Trop d'informations ?

Compte tenu des implications pour les citoyens ordinaires, dont beaucoup s'accrochent déjà à ce qui reste de leur vie privée, la perspective de devoir fournir des informations très sensibles simplement pour obtenir l'essai d'un produit est une véritable source d'inquiétude. Le risque de fuites augmente avec chaque divulgation, tout comme la possibilité que des informations personnelles se retrouvent en vente sur le dark web.

C'est là que les acteurs de la menace obtiendront les identifiants d'autres personnes pour se faire passer pour des utilisateurs réguliers lorsqu'ils seront soumis à un processus de connaissance du client. En ce qui concerne les services IaaS proprement dits, les plus grandes entreprises n'auront guère de difficultés à mettre en œuvre des programmes d'identification des clients et pourraient même les considérer comme utiles. D'une part, ils peuvent contribuer à arrêter les cybercriminels et, d'autre part, profiter de l'occasion pour constituer une base de données contenant les informations personnelles de chaque client.

« La règle adoptée aujourd'hui signale aux cyberacteurs étrangers malveillants que nous prenons des mesures pour les empêcher d'utiliser notre propre infrastructure cloud afin de porter atteinte à nos intérêts en matière de sécurité nationale », a déclaré Alan Estevez, sous-secrétaire d'État à l'industrie et à la sécurité, lors de sa présentation en janvier. « La règle proposée aujourd'hui donne au secrétaire au commerce les outils dont il a besoin pour faire face aux risques tout en maintenant l'approche globale du ministère en matière de sécurité nationale : innover et faire des affaires partout où nous le pouvons, et protéger ce que nous devons ».

Le contexte de l'IA et de la Chine

En janvier, la secrétaire américaine au Commerce, Gina Raimondo, a expliqué que le gouvernement Biden propose d'exiger des entreprises américaines de cloud computing qu'elles déterminent si des entités étrangères accèdent aux centres de données américains pour...