Par Jeremy Cook
En décembre 2022, Apple a annoncé son programme de protection avancée des données, faisant passer de 14 à 23 le nombre de services pouvant être chiffrés de bout en bout. Les services de données chiffrées comprennent désormais iCloud Backup, Photos et Notes. Le chiffrement des données pour iCloud Mail, Contacts et Calendrier n’a pas été inclus dans ce déploiement, en raison de la nécessité d’interagir avec d’autres systèmes qui seraient devenus incompatibles.
La sécurité a toujours été la priorité d’Apple, et ce bien avant 2022, mais ce qui est innovant dans cette annonce, et controversé dans certains cas, c’est le fait qu’Apple n’a plus l’accès ultime à vos données. Auparavant, Apple stockait les clés de sécurité et pouvait déchiffrer vos données en cas de besoin. Cette politique permettait à Apple de récupérer les données si vous en perdiez l’accès, et de les transmettre si la loi l’exigeait. D’un autre côté, cela permettrait aussi théoriquement à un pirate informatique ou à un employé malhonnête d’accéder à des données chiffrées de bout en bout à des fins malveillantes.
Une réponse à cette menace potentielle consiste à stocker les clés de chiffrement uniquement sur l’appareil de l’utilisateur. Même le service qui traite ces données, c’est-à-dire Apple, ne peut pas les consulter sans la clé. Le chiffrement de bout en bout n’est pas une idée nouvelle. Toutefois, comme Apple, l’entreprise la plus chère au monde (en termes de capitalisation boursière à l’heure où nous écrivons ces lignes), est en train de la mettre davantage en pratique, elle est aujourd’hui tout à fait courante.
Les données vous appartiennent
Bien qu’il y ait quelques compromis à faire, le fait qu’Apple n’ait jamais accès à vos données signifie que vous êtes le seul à pouvoir y accéder. Même si sa politique change à l’avenir, ou si Apple décide que l’accès à vos données est nécessaire en cas d’urgence, elle n’a plus aucun moyen d’y accéder. Selon le contexte, il peut s’agir de vos données de navigation, d’informations personnelles identifiables, de données de localisation, de photos, de vidéos et de tout autre élément que vous choisissez de stocker.
Une autre chose importante à noter est que le chiffrement des données n’obscurcit pas en soi la source ou la destination des données lors du transfert. Les transferts peuvent fournir à Apple ou à d’autres parties intéressées des informations sur vos interactions, mais le contenu lui-même est sécurisé.
Sécurité générale des données
Si les données correctement chiffrées sont théoriquement à l’abri des attaques, le danger via d’autres vecteurs reste une menace. Prenons l’exemple de l’application Signal, peut-être le service de messagerie le plus respectueux de la vie privée, qui a annoncé en août 2022 qu’il avait été compromis par une attaque dephishing. Cette infraction a permis à l’attaquant d’accéder temporairement à la console d’assistance de Twilio. Twilio fournit des services de vérification des numéros de téléphone pour Signal, et cette attaque a potentiellement affecté environ 1 900 comptes. Bien que l’attaquant n’ait pu lire aucun message en raison de la forte configuration de chiffrement de Signal, il aurait été possible de réenregistrer un compte et d’usurper l’identité de la victime.
Vous pouvez avoir la meilleure serrure du monde (technologie de chiffrement), mais si quelqu’un vous tend un piège pour vous inciter à lui confier votre clé ou combinaison, elle peut toujours être ouverte. Par ailleurs, si vous laissez vos clés dans une position vulnérable en raison de mauvaises pratiques de sécurité telles que des mots de passe répétés ou faibles, il est beaucoup plus facile de vous attaquer. Du point de vue du fabricant de l’appareil, si quelqu’un peut accéder à la conception du « verrou », la sécurité peut être attaquée sous cet angle.
Compromis pratiques pour le chiffrement de bout en bout
Si l’on met de côté les arguments moraux sur la question de savoir qui doit avoir accès à quoi, le chiffrement de bout en bout sans contrôle présente un énorme inconvénient pratique. Si vous perdez votre clé de chiffrement, vos données sont perdues à jamais. C’est vous qui êtes responsable en dernier ressort, et non Apple ou qui que ce soit d’autre.
Cela dit, pour activer la protection avancée des données, Apple exige que vous mettiez en place une méthode de sauvegarde (un contact de récupération et/ou un code d’accès imprimé) qui vous permette d’accéder à vos données si vous perdez votre appareil. Mais que se passe-t-il si vous n’avez pas mis à jour votre contact de récupération ou si vous avez perdu votre mot de passe imprimé ? Ou si vous avez conservé votre mot de passe dans votre portefeuille, que vous avez égaré ? Ni l’un ni l’autre ne devrait se produire, mais c’est possible si vous ne faites pas attention.
Une sécurité de bout en bout grâce à une protection avancée des données
Le chiffrement de bout en bout via la protection avancée des données d’Apple ou d’autres moyens est-il une bonne chose ? La capacité à la mettre en œuvre l’est certainement. La question de savoir si vous devez la mettre en œuvre vous-même (et comment le faire) nécessitera une réflexion approfondie. Veillez simplement à ne pas perdre votre code de sauvegarde et à rester en bons termes avec vos contacts de confiance !
Pour ajouter une sécurité cryptographique à votre prochain projet de microcontrôleur, découvrez l’authentificateur DS28E50 et le coprocesseur DS2477. Vous trouverez dans cet article des détails sur la façon de procéder.
Voir les produits connexes
