Parler de déambulations dans les providers cryptés fait à nouveau le tour après Les rapports ont émergé que le gouvernement britannique cherche à forcer Apple à s’ouvrir L’offre de sauvegarde de l’appareil chiffré de bout en bout (E2EE) d’Icloud (E2EE). Les fonctionnaires auraient appuyé sur Apple pour créer une «porte dérobée» dans le service qui permettrait aux acteurs de l’État d’accéder à des données claires.
Le Royaume-Uni a eu des pouvoirs de balayage pour limiter l’utilisation des entreprises technologiques MISE À JOUR 2016 des pouvoirs de surveillance de l’État. Selon les rapports par le Washington Put upLes responsables britanniques ont utilisé la Loi sur les pouvoirs d’enquête (IPA) pour placer la demande sur Apple – recherchant un accès «couverture» aux données que son service de safety avancée (ADP) iCloud est conçu pour protéger contre l’accès tiers, y compris Apple lui-même.
L’structure method du service ADP d’Apple a été conçue de telle manière que même le géant de la technologie ne contient pas de clés de chiffrement – grâce à l’utilisation de Encryption de bout en bout (E2EE) – Permettre à Apple de promettre qu’il a une «connaissances zéro» des données de ses utilisateurs.
UN porte arrière est un terme généralement déployé pour décrire une vulnérabilité secrète insérée dans le code pour contourner ou saper autrement les mesures de sécurité afin d’activer des tiers. Dans le cas iCloud, la commande permet aux brokers du renseignement britanniques ou aux forces de l’ordre d’accès aux données cryptées des utilisateurs.
Alors que le gouvernement britannique refuse régulièrement de confirmer ou de nier les rapports des avis émis en vertu de l’IPA, les specialists en sécurité ont averti qu’une telle ordonnance secrète pourrait avoir des ramifications mondiales Si le fabricant d’iPhone est obligé d’affaiblir les protections de sécurité, il offre à tous les utilisateurs, y compris ceux situés en dehors du Royaume-Uni.
Une fois une vulnérabilité dans le logiciel, il existe un risque qu’il puisse être exploité par d’autres varieties d’brokers, disons des pirates et d’autres mauvais acteurs souhaitant accéder à des fins néfastes – telles que le vol d’identité, ou d’acquérir et de vendre des données sensibles, ou Même pour déployer des ransomwares.
Cela peut expliquer pourquoi le phrasé prédominant utilisé autour des tentatives axées sur l’État pour accéder à E2EE est cette abstraction visuelle d’une porte dérobée; demander un vulnérabilité être intentionnellement ajouté au code rend les compromis plus clairs.
Pour utiliser un exemple: en ce qui concerne les portes physiques – dans les bâtiments, les murs ou similaires – il n’est jamais garanti que seul le propriétaire ou le porte-clés de la propriété aura une utilisation unique de ce level d’entrée.
Une fois qu’une ouverture existe, elle crée un potentiel d’accès – quelqu’un pourrait obtenir une copie de la clé, par exemple, ou même forcer son chemin en décomposant la porte.
L’essentiel: il n’y a pas de porte parfaitement sélective qui existe pour laisser passer une personne en particulier. Si quelqu’un peut entrer, il s’ensuit logiquement que quelqu’un d’autre pourrait également utiliser la porte.
Le même principe de risque d’accès s’applique aux vulnérabilités ajoutées aux logiciels (ou, en fait, au matériel).
Le idea de Nobus («Personne d’autre que nous») Les déchets ont été lancés par les providers de sécurité dans le passé. Ce sort spécifique de porte dérobée repose généralement sur une évaluation de leurs capacités strategies pour exploiter une vulnérabilité particulière supérieure à toutes les autres – essentiellement une porte dérobée ostensiblement plus sécurisée qui ne peut être exclusivement accessible que par leurs propres brokers.
Mais par nature, les prouesses et la capacité technologiques sont un exploit cell. L’évaluation des capacités strategies des autres inconnus n’est pas non plus une science exacte. Le idea «Nobus» se trouve sur des hypothèses déjà douteuses; Tout accès tiers crée le risque d’ouvrir de nouveaux vecteurs d’attaque, tels que des strategies d’ingénierie sociale visant à cibler la personne ayant l’accès «autorisé».
Sans shock, de nombreux specialists en sécurité rejettent Nobus comme une idée fondamentalement erronée. Autrement dit, tout accès crée des risques; Par conséquent, la poussée pour les délais est antithétique à une sécurité solide.
Pourtant, indépendamment de ces problèmes de sécurité clairs et présents, Les gouvernements continuent de faire pression pour des délais. C’est pourquoi nous devons continuer à en parler.
Le terme «porte dérobée» implique également que ces demandes peuvent être clandestines plutôt que publiques – tout comme les déambulations ne sont pas des factors d’entrée qui sont orientés publics. Dans le cas iCloud d’Apple, une demande de compromis le chiffrement faite en vertu de l’IPA du Royaume-Uni – par le biais d’un «avis de capacité method» ou du TCN – ne peut pas être divulgué légalement par le destinataire. L’intention de la loi est que de telles délais sont secrètes par conception. (La fuite des détails d’un TCN à la presse est un mécanisme pour contourner un bloc d’info, mais il est necessary de noter qu’Apple n’a pas encore fait de commentaire public sur ces rapports.)
Selon le groupe de droits, le Fondation de frontière électroniquele terme «porte dérobée» remonte aux années 1980, lorsque la porte dérobée (et «trapdoor») a été utilisée pour se référer à des comptes secrets and techniques et / ou des mots de passe créés pour permettre à quelqu’un inconnu un accès dans un système. Mais au fil des ans, le mot a été utilisé pour étiqueter un massive éventail de tentatives de dégrader, de contourner ou de compromettre autrement la sécurité des données activée par le chiffrement.
Bien que les déambulations soient à nouveau dans l’actualité, grâce au Royaume-Uni après les sauvegardes ICloud chiffrées d’Apple, il est necessary de savoir que les exigences d’accès aux données remontent à des décennies.
Dans les années 1990, par exemple, la US Nationwide Safety Company (NSA) a développé du matériel chiffré pour le traitement des messages vocaux et des données qui ont fait cuire une porte dérobée – dans le however de permettre aux providers de sécurité d’intercepter les communications cryptées. La «puce Clipper», comme on l’appelait, a utilisé un système de séquestre clé – ce qui signifie qu’une clé de chiffrement a été créée et stockée par les agences gouvernementales afin de faciliter l’accès aux données cryptées dans le cas où les autorités de l’État voulaient.
La tentative de la NSA de fouetter les jetons avec des portes de most important de la boulangerie a échoué au sujet d’un manque d’adoption à la suite d’un contrecoup de sécurité et de confidentialité. Bien que la puce Clipper soit créditée d’avoir aidé à déclencher les efforts des cryptologues pour développer et diffuser un logiciel de cryptage solide dans le however de sécuriser les données contre le gouvernement de la lutte contre le gouvernement.
La puce Clipper est également un bon exemple de la façon dont une tentative d’accès au système a été effectuée publiquement. Il convient de noter que les délais n’ont pas toujours à être secrètes. (Dans le cas iCloud du Royaume-Uni, les brokers de l’État voulaient clairement accéder sans que les utilisateurs d’Apple le sachent.)
Ajoutez à cela, les gouvernements déploient fréquemment de la propagande émotive autour des demandes pour accéder aux données dans le however de stimuler le soutien public et / ou de faire pression sur les fournisseurs de providers pour se conformer – par exemple en faisant valoir que l’accès à E2EE est nécessaire pour lutter contre la maltraitance des enfants ou le terrorisme ou empêcher un autre crime odieux.
Les délais peuvent cependant avoir un moyen de revenir pour mordre leurs créateurs. Par exemple, Hackers soutenus par la Chine étaient à l’origine du compromis des systèmes d’écoute électronique mandatés par le gouvernement fédéral l’automne dernier – Apparemment, accéder aux données des utilisateurs des télécommunications américaines et des FAI grâce à une loi fédérale de 30 ans qui avait obligé l’accès de la porte dérobée (quoique, dans ce cas, des données non E2EE), soulignant les risques de couverture intentionnellement cuite Factors d’accès dans les systèmes.
Les gouvernements doivent également s’inquiéter des délais étrangers créant des risques pour leurs propres citoyens et la sécurité nationale.
Il y a eu plusieurs cas de matériel et de logiciels chinois soupçonnés de détenir des délais au fil des ans. Les préoccupations concernant les risques potentiels de porte dérobée ont conduit certains pays, y compris le Royaume-Unipour prendre des mesures pour supprimer ou limiter l’utilisation de produits technologiques chinois, tels que les composants utilisés dans les infrastructures de télécommunications critiques, ces dernières années. Les craintes de la baisse peuvent également être un puissant motivateur.
