Technologie : Le système de détection de contenu pédopornographique CSAM promu par Apple ouvre la voie à un contrôle des contenus déchiffrés stockés sur les smartphones des utilisateurs. De quoi aiguiser l’appétit de nombreux acteurs.

Les dirigeants d’Apple ont dû penser, à l’annonce de la mise au point de leur système de détection de contenu pédopornographique, qu’ils allaient recevoir les éloges habituels de l’industrie. L’innovation, du côté de Cupertino, était assez bluffante, avec une philosophie qui pourrait convenir à ses utilisateurs, flattés par des campagnes publicitaires faisant d’Apple le garant de la vie privée.

Apple prétend que son système respecte plus que tout autre la vie privée parce qu’il ne scanne pas ou ne surveille pas les photos téléchargées sur ses serveurs, contrairement à presque tous les autres acteurs du secteur. Mais les critiques contre la mise en place de ce dispositif se sont faites de plus en plus fortes de jour en jour.

Car les conséquences de cette approche unilatérale sont considérables, et elles auront un impact sur tout le monde, pas seulement sur les clients d’Apple.

Inspection du contenu déchiffré sur le terminal

Les gouvernements font pression depuis fort longtemps pour que les grandes entreprises créent des capacités de déchiffrement à leur profit. Une façon de parvenir à un compromis est de disposer d’un système chiffré mais de ne pas autoriser les utilisateurs à chiffrer leurs propres sauvegardes, ce qui permet une certaine visibilité du contenu. Une autre solution consiste à disposer d’un système chiffré de bout en bout et à inspecter le contenu lorsqu’il est déchiffré sur l’appareil de l’utilisateur pour être visualisé.

Alors que le reste de l’industrie a opté pour la première solution, Apple a misé sur la seconde. Au moment même où l’Australie et le Canada, par exemple, mettent en place des outils légaux qui tentent d’affaiblir la sécurité du chiffrement.

« Si le service utilise le chiffrement, le fournisseur du service prendra des mesures raisonnables pour développer et mettre en œuvre des processus permettant de détecter et de traiter le matériel ou l’activité sur le service qui est ou peut être illégal ou nuisible », indique un projet de loi australien. Le Canada va un peu plus loin dans un projet similaire, exigeant un contrôle proactif des contenus et souhaitant créer un nouveau rôle de commissaire à la sécurité numérique pour évaluer si l’intelligence artificielle utilisée par ces systèmes est suffisante, selon le professeur de droit de l’Université d’Ottawa, le Dr Michael Geist.

Si la loi est adoptée, les services de communication en ligne au Canada auront 24 heures pour prendre une décision concernant un contenu préjudiciable. La manière dont cette loi potentielle interagit avec la décision d’Apple de fixer un seuil de 30 images CSAM avant de les faire contrôler par des opérateurs humains et d’inspecter les métadonnées du contenu sera à surveiller.

Et si la proposition canadienne est considérée comme une collection des pires idées en la matière par la EFF, des pays comme l’Inde, le Royaume-Uni et l’Allemagne vont également de l’avant sur ce point.

Apple face à la loi

Par ailleurs, Apple précise que son système CSAM ne concernera que les Etats-Unis à l’arrivée d’iOS 15, iPadOS 15, watchOS 8 et macOS Monterey. Ce qui signifie que l’on pourrait faire valoir qu’Apple sera en mesure d’éviter les réglementations des autres nations occidentales.

Mais en fait non. Le responsable de la protection de la vie privée d’Apple, Erik Neuenschwander, expliquait dans une récente interview que la liste de hachage utilisée pour identifier les MCA sera intégrée au système d’exploitation. « Nous avons un seul système d’exploitation mondial », rappelle-t-il.

Même si Apple a toujours affirmé que ses politiques visaient à prévenir les abus, personne ne sait comme l’entreprise répondra à cette importante question : que se passera-t-il lorsqu’une décision de justice qui va à l’encontre de sa politique sera imposée à la marque à la pomme ?

Pendant des années, Apple a repoussé les demandes des autorités américaines

Il ne fait aucun doute que les législateurs verront d’un mauvais œil que le type de systèmes qu’ils souhaitent soit disponible sur les appareils Apple. « Nous suivons la loi partout où nous faisons des affaires », soulignait Tim Cook en 2017, après que la société a retiré les applications VPN de son App Store chinois.

Si le système d’Apple suscite en lui-même de nombreuses préoccupations et questions dignes d’intérêt, les conséquences de l’existence d’un tel système sont plus préoccupantes.

Pendant des années, Apple a repoussé les demandes des autorités américaines pour aider à déverrouiller les smartphones de personnes impliquées dans des affaires sanglantes. Lorsqu’il a répondu aux demandes du FBI en 2016, Tim Cook a écrit une lettre à ses clients qui réfutait les suggestions selon lesquelles le déverrouillage d’un smartphone permettrait de résoudre le problème : « entre de mauvaises mains, ce logiciel – qui n’existe pas aujourd’hui – aurait le potentiel de déverrouiller n’importe quel iPhone en possession physique de quelqu’un ».

Et bien avec CSAM, ce logiciel existe désormais.

« Apple a choisi unilatéralement d’inscrire ses utilisateurs dans une expérience mondiale de surveillance de masse, a apparemment sous-estimé les coûts potentiels que cela pourrait avoir sur les personnes qui ne sont pas impliquées dans la fabrication ou le stockage de contenu CSAM, et a externalisé ces coûts sur une base d’utilisateurs de plus d’un milliard de personnes dans le monde », signale Christopher Parson, associé de recherche principal du Citizen Lab.

« Ce ne sont pas les activités d’une entreprise qui a réfléchi de manière significative au poids de ses actions mais, au contraire, elles reflètent d’une entreprise qui est prête à sacrifier ses utilisateurs sans équilibrer de manière adéquate leurs besoins en matière de confidentialité et de sécurité. »

Apple a fait le premier pas, tout le monde suivra

Le problème le plus important est celui du reste de l’industrie. La pente glissante existe bel et bien, et Apple a fait le premier pas. Soudain, sous l’impulsion d’Apple, le scan des données de terminaux est devenu quelque chose d’acceptable pour les clients.

Les entreprises véreuses qui veulent télécharger des données sur leurs propres serveurs ont maintenant potentiellement une nomenclature établie pour elles par Apple. Ce qui a pu être considéré comme une forme d’exfiltration est maintenant fait pour protéger les utilisateurs, se conformer aux ordres du gouvernement et rendre le monde plus sûr.

Il est peu probable que les systèmes qui suivront l’exemple d’Apple se soucient autant de la vie privée des utilisateurs, de l’expertise et des ressources techniques, de la capacité à résister aux ordonnances judiciaires ou des bonnes intentions que Cupertino semble avoir.

Même si Apple abandonnait ses plans demain, il serait trop tard. La boîte de Pandore a été ouverte. Si votre appareil analyse du contenu et le télécharge quelque part, et que vous ne pouvez pas le désactiver, qui est le véritable propriétaire ? C’est une question à laquelle il faudra bientôt répondre, notamment parce que le scanning de données côté client n’est pas près de disparaître.

Source : ZDNet.com