Apple conteste une nouvelle demande du gouvernement britannique d'accès aux données iCloud chiffrées

Apple a fait appel d'un nouvel arrêté juridique du gouvernement britannique exigeant que l'entreprise fournisse un moyen d'accéder aux données protégées par sa fonctionnalité Protection avancée des données, un réglage optionnel qui applique un chiffrement de bout en bout aux sauvegardes iCloud de sorte que même Apple ne puisse pas en lire le contenu. Cet arrêté marque un nouveau chapitre dans un différend rendu public pour la première fois lorsqu'Apple avait retiré la Protection avancée des données pour les clients britanniques, plus tôt, en réponse à une précédente exigence gouvernementale.

La Protection avancée des données chiffre des catégories de données iCloud, dont les sauvegardes d'appareils, les photos et les notes, de manière à ce que seul le titulaire du compte détienne les clés de déchiffrement. Apple présente cette fonctionnalité comme une protection contre les violations de données, les ingérences gouvernementales et l'accès non autorisé par quiconque autre que le titulaire du compte, y compris Apple elle-même.

La demande du gouvernement britannique découlerait des pouvoirs conférés par l'Investigatory Powers Act, une loi qui permet aux autorités de contraindre les entreprises de télécommunications et de technologie à apporter leur assistance aux demandes légales d'accès aux données, y compris, dans certains cas, en les obligeant à créer des capacités techniques rendant cet accès possible. Les détracteurs de cette loi soutiennent depuis longtemps que ses dispositions de confidentialité, qui peuvent interdire aux entreprises de révéler publiquement l'existence d'un arrêté précis, rendent difficile tout contrôle indépendant.

La position publique d'Apple, répétée lors des précédents épisodes de ce différend, est qu'elle n'intègre de porte dérobée dans ses produits pour aucun gouvernement, l'entreprise faisant valoir que tout mécanisme créé pour permettre un accès légal à un gouvernement pourrait être découvert et exploité par des acteurs malveillants, ou réclamé par d'autres gouvernements cherchant un accès similaire aux données de leurs propres citoyens. L'entreprise a indiqué que se conformer à de tels arrêtés nécessiterait d'affaiblir le chiffrement pour tous les utilisateurs de la fonctionnalité concernée, et pas seulement pour les comptes basés au Royaume-Uni, selon la manière dont l'implémentation technique serait conçue.

Les responsables britanniques ont défendu cette exigence comme nécessaire aux enquêtes des forces de l'ordre et de la sécurité nationale, faisant valoir qu'un chiffrement fort sans aucun mécanisme d'accès légal peut soustraire à toute enquête des activités criminelles graves, y compris du matériel d'exploitation d'enfants et des communications liées au terrorisme, même lorsque les autorités disposent d'un mandat valide.

Des groupes de défense de la vie privée et des droits numériques se sont rangés du côté d'Apple, soutenant que tout mécanisme de porte dérobée, quelles que soient les garanties juridiques censées en limiter l'usage, représente une faiblesse structurelle qui compromet la sécurité de tous les utilisateurs du produit, et pas seulement de ceux faisant l'objet d'une enquête. Des chercheurs en sécurité ont formulé des arguments similaires par le passé à propos de mécanismes d'accès imposés aux services de messagerie chiffrée.

Le recours juridique devrait être examiné par l'Investigatory Powers Tribunal du Royaume-Uni, l'organe chargé d'examiner les plaintes relatives aux pouvoirs de surveillance, bien que les procédures liées à des questions de sécurité nationale se déroulent souvent au moins en partie à huis clos, limitant la visibilité publique sur les arguments avancés par les deux parties.

D'autres gouvernements ont adopté des approches similaires envers les services chiffrés ces dernières années, notamment une législation proposée au sein de l'Union européenne visant à analyser les messages chiffrés à la recherche de contenus illégaux avant l'application du chiffrement, une approche que ses détracteurs qualifient de porte dérobée sous un autre nom. Des entreprises technologiques, dont Apple, Meta et Signal, se sont opposées à plusieurs de ces propositions pour des raisons techniques et de protection de la vie privée similaires.

L'issue de l'affaire britannique pourrait créer un précédent important quant à la mesure dans laquelle un gouvernement peut contraindre une entreprise technologique à modifier son architecture de chiffrement, et quant à la question de savoir si les tribunaux traiteront une exigence de capacité technique différemment d'une demande portant sur des données existantes précises. Les experts juridiques qui suivent l'affaire estiment qu'une décision favorable au gouvernement pourrait encourager des demandes similaires d'autres juridictions.

Apple n'a pas indiqué si elle retirerait à nouveau entièrement la Protection avancée des données du marché britannique en cas d'échec du recours juridique, comme elle l'avait fait précédemment en réponse à une version antérieure de cette exigence. Pour l'instant, l'entreprise indique que la fonctionnalité reste indisponible pour les nouveaux clients britanniques tant que le différend sur l'arrêté juridique plus large se poursuit.