Le projet de loi C-22 et le droit de WebCull de créer des logiciels incapables d’espionner
Le projet de loi C-22 du Canada a suscité des avertissements de la part de certains des plus grands fournisseurs de technologies chiffrées. Signal a averti qu’elle pourrait se retirer du Canada si on lui demandait de compromettre la vie privée de ses utilisateurs en vertu du projet de loi. Apple a déclaré que le projet de loi pourrait permettre au gouvernement de forcer les entreprises à casser le chiffrement en insérant des portes dérobées dans leurs produits. Meta a averti que la partie 2 du projet de loi pourrait obliger les entreprises à créer ou maintenir des capacités qui cassent, affaiblissent ou contournent le chiffrement ou d’autres architectures de sécurité à connaissance nulle. Le gouvernement canadien a répondu que le projet de loi n’obligerait pas les entreprises technologiques à introduire des vulnérabilités systémiques dans le chiffrement. (The Globe and Mail) (Reuters) (Meta)
Pour WebCull, l’enjeu central est simple : les entreprises de logiciels devraient être autorisées à créer des produits incapables d’espionner leurs utilisateurs. Un service qui ne détient pas les clés de chiffrement ne cache pas des données à la loi. Il choisit une architecture dans laquelle les données appartenant aux utilisateurs restent sous leur contrôle. Cette distinction est importante, car il existe une grande différence entre produire des données qu’une entreprise possède réellement et forcer une entreprise à repenser son produit pour qu’elle puisse accéder à des données qu’elle n’était jamais censée contrôler.
Le projet de loi C-22 n’est pas une loi définitivement établie au moment de la rédaction. Il est actuellement étudié en comité à la Chambre des communes après la deuxième lecture, ce qui signifie que la forme finale du projet de loi peut encore changer. C’est important parce que le débat ne porte pas seulement sur ce que le gouvernement dit vouloir faire avec le projet de loi. Il porte aussi sur ce que le texte pourrait permettre une fois la loi en vigueur et lorsque des règlements ou des arrêtés ministériels commenceront à être utilisés. (Parlement du Canada)
Le gouvernement canadien affirme que le projet de loi C-22 vise à moderniser l’accès légal et à aider les forces de l’ordre et le SCRS à accéder à l’information lorsqu’ils disposent déjà de l’autorité légale pour le faire. Selon la présentation du gouvernement, le projet de loi ne crée pas de nouveaux pouvoirs permettant d’intercepter des communications ou d’obtenir de l’information, mais crée plutôt un cadre permettant aux fournisseurs de services électroniques de se conformer aux autorités légales existantes. Cela semble plus limité que certains éléments du débat public autour du projet de loi. Mais la préoccupation pratique est de savoir ce que signifie « être en mesure de se conformer » lorsqu’on applique cette exigence au chiffrement, aux systèmes à connaissance nulle et aux logiciels conçus pour que le fournisseur ne puisse pas voir les données des utilisateurs. (Canada)
La position de WebCull est que les données chiffrées de favoris appartenant aux utilisateurs devraient rester illisibles pour nous. Lorsqu’un utilisateur de WebCull chiffre ses données de favoris enregistrés, WebCull stocke des données chiffrées appartenant à l’utilisateur, et non des données de favoris lisibles. Nous ne détenons pas les clés pour les utilisateurs ayant activé le chiffrement de bout en bout (E2EE). Nous ne disposons d’aucun chemin de récupération caché qui nous permettrait de transformer un coffre-fort de favoris chiffré en texte clair. Ce n’est pas une politique de service client ajoutée par-dessus le système. C’est la forme même du système.
C’est important parce que le chiffrement est souvent présenté comme si les entreprises refusaient simplement de coopérer. C’est une mauvaise façon de décrire les systèmes à connaissance nulle. Un produit à connaissance nulle est conçu de manière à ce que le fournisseur ne possède pas ce qui est demandé. Si WebCull ne détient pas la clé des données de favoris chiffrées d’un utilisateur, alors WebCull ne peut pas fournir le contenu en texte clair de ces données. Nous pouvons seulement fournir ce que nous avons réellement. Pour le stockage chiffré des favoris, cela signifie des blobs chiffrés et des dossiers opérationnels limités. Cela ne signifie pas des URL enregistrées lisibles, des structures de dossiers, des icônes, des notes, des étiquettes, des descriptions ou d’autres données de favoris stockées dans la charge utile chiffrée.
C’est précisément le but. La confidentialité ne devrait pas dépendre uniquement du fait qu’une entreprise dise non. La confidentialité devrait être construite de telle sorte que l’entreprise ne puisse pas dire oui à quelque chose auquel elle n’a jamais eu accès en premier lieu.
Signal a averti qu’elle pourrait se retirer du Canada à cause du projet de loi C-22, ce qui nous importe parce que Signal applique, au niveau du contenu, un principe similaire à celui de WebCull. Signal ne peut normalement pas remettre des messages en texte clair, car elle ne détient pas le contenu des messages sous forme lisible. Signal a également conçu des systèmes pour réduire au minimum les métadonnées qu’elle stocke. Signal affirme que son service est conçu pour ne pas conserver de dossiers tels que les contacts, le graphe social, la liste des conversations, la localisation, le nom de profil, les appartenances à des groupes, les titres de groupes ou les avatars de groupes. (Signal Messenger) Signal a également publié des exemples de demandes judiciaires où les données pouvant être produites se limitaient à l’heure de création du compte et à l’heure de la dernière connexion. (Signal Messenger)
Cela explique pourquoi ce débat ne concerne pas seulement le texte des messages. Une application de messagerie peut protéger le contenu des messages tout en devenant dangereuse si elle est forcée de conserver des métadonnées fiables sur qui a contacté qui, quand les personnes ont communiqué, quels comptes se trouvaient dans des groupes, quels appareils étaient impliqués ou quelles informations réseau étaient associées à ces interactions. Pour les journalistes, les avocats, les militants, les lanceurs d’alerte, les organisateurs politiques, les victimes de violence et les personnes ordinaires, l’existence même d’une communication peut être sensible même lorsque les mots ne sont jamais lus.
WebCull n’est pas une application de messagerie, et le stockage de favoris n’est pas la même chose qu’un réseau de communications en direct. Il n’existe pas, dans WebCull, de graphe social de personne à personne comme dans une messagerie privée. Mais la leçon architecturale est la même. Un produit axé d’abord sur la confidentialité devrait éviter de créer des dossiers sensibles dont il n’a pas besoin. Plus un service collecte, indexe, journalise et conserve de données, plus ces données peuvent ensuite être exigées, divulguées, compromises ou utilisées abusivement. Les données les plus sûres sont celles que le service n’a jamais eues.
Le langage général du projet de loi C-22 est la raison pour laquelle ce débat dépasse le cas de Signal. Le projet de loi crée un cadre impliquant les fournisseurs de services électroniques, et son résumé indique que la partie 2 vise à garantir que les fournisseurs puissent faciliter l’accès à l’information en vertu des pouvoirs prévus dans le Code criminel et la Loi sur le Service canadien du renseignement de sécurité. (Parlement du Canada) Le projet de loi définit également les services électroniques de manière suffisamment large pour que de nombreux services logiciels modernes doivent y prêter attention, et pas seulement les entreprises de télécommunications ou les applications de messagerie.
La préoccupation n’est pas que le projet de loi C-22 interdise clairement les logiciels chiffrés. Il ne semble pas dire que le Canada interdit les produits à connaissance nulle, interdit le chiffrement de bout en bout ou oblige chaque entreprise de logiciels à détenir les clés des utilisateurs. Si tel était le texte du projet de loi, le problème serait beaucoup plus grave. La préoccupation est que le projet de loi pourrait créer une pression sur les systèmes préservant la confidentialité au moyen de règlements futurs, d’obligations de conservation des métadonnées, d’exigences de capacités d’accès ou d’ordres visant des fournisseurs précis, ce qui demeure très préoccupant et pourrait constituer un pas vers un internet moins sûr.
C’est pourquoi des entreprises comme Apple et Meta se sont opposées au projet de loi. Leur préoccupation est que le projet de loi pourrait être utilisé pour obliger les entreprises à casser, affaiblir ou contourner le chiffrement ou d’autres architectures de sécurité à connaissance nulle. Sécurité publique Canada a répondu que le projet de loi n’obligerait pas les entreprises à introduire des vulnérabilités systémiques dans les protections électroniques comme le chiffrement. Le désaccord ne porte pas sur l’importance du chiffrement. Il porte sur la question de savoir si les garanties du projet de loi sont suffisamment claires et solides pour empêcher l’accès légal de devenir une refonte forcée. (Reuters)
Le projet de loi C-22 contient un libellé concernant la « vulnérabilité systémique ». Le projet de loi traite le chiffrement comme une forme de protection électronique et indique que les fournisseurs ne sont pas tenus de se conformer à certains règlements ou ordres si cette conformité exigeait l’introduction d’une vulnérabilité systémique ou les empêchait d’en corriger une. Cette garantie est importante. Un système qui obligerait WebCull à commencer à détenir des clés de déchiffrement, à intercepter le texte clair avant le chiffrement ou à repenser silencieusement le produit afin que les données de favoris chiffrées deviennent lisibles ne serait pas une simple fonctionnalité de conformité. Cela changerait le modèle de sécurité du produit. (Parlement du Canada)
La difficulté est que cette distinction peut devenir un argument juridique plutôt qu’un fait technique. Un gouvernement peut dire qu’une capacité d’accès demandée est limitée, légale, ciblée ou non systémique. Une entreprise axée sur la confidentialité peut dire que cette même capacité d’accès brise l’architecture qui protège tout le monde. C’est pourquoi l’architecture technique doit être défendue clairement. Si un produit est conçu de manière à ce que le fournisseur ne puisse pas lire les données chiffrées appartenant aux utilisateurs, forcer le fournisseur à créer un moyen de lire ces données n’est pas une conformité ordinaire. C’est une refonte forcée du produit.
La position de WebCull n’est pas que les entreprises devraient être au-dessus de la loi. La position est que la loi devrait respecter la différence entre les données qu’un fournisseur contrôle réellement et les données chiffrées appartenant aux utilisateurs qu’un fournisseur ne fait que stocker. Si un fournisseur possède des dossiers de compte, des dossiers de facturation, des journaux opérationnels ou des blobs chiffrés, ceux-ci sont différents du contenu en texte clair des données utilisateur chiffrées. Une demande légale visant des dossiers qui existent est une chose. Une demande visant à modifier le produit afin que l’entreprise puisse accéder à des données qu’elle n’était jamais censée contrôler en est une autre.
L’affaiblissement du chiffrement ne touche pas seulement la cible d’une enquête. Une porte dérobée ou un mécanisme d’accès forcé change le profil de risque pour chaque utilisateur. Il crée une nouvelle chose à voler, à abuser, à mal configurer, à divulguer ou à étendre secrètement. Les systèmes de sécurité ne savent pas si une vulnérabilité est utilisée par un bon acteur ou par un mauvais. Une fois qu’un produit est repensé pour que quelqu’un d’autre que l’utilisateur puisse accéder à des données protégées, le système a créé un chemin qui n’existait pas auparavant.
Cela compte pour les données de favoris parce que les favoris peuvent révéler plus que les gens ne le pensent. Une collection de favoris peut montrer ce qu’une personne recherche, les problèmes médicaux sur lesquels elle lit, le problème juridique qu’elle tente de comprendre, l’entreprise qu’elle construit, les contenus politiques qu’elle suit, la situation personnelle qu’elle traverse et les intérêts privés qu’elle ne veut pas exposer. Un gestionnaire de favoris n’est pas une application de clavardage, mais les liens enregistrés peuvent tout de même être profondément personnels.
La bonne direction pour les logiciels de confidentialité n’est pas de collecter d’abord et de protéger ensuite. La bonne direction est d’éviter de collecter des données lisibles lorsque des données lisibles ne sont pas nécessaires. Pour WebCull, cela signifie que les données de favoris chiffrées devraient rester chiffrées. Cela signifie que l’utilisateur devrait être propriétaire du contenu sensible de sa collection de favoris. Cela signifie que WebCull ne devrait pas créer d’index en texte clair, de chemins de récupération ou de canaux secondaires inutiles autour des données chiffrées simplement parce que cela pourrait être pratique.
C’est aussi pourquoi l’expression « nous ne pouvons pas les déchiffrer » est plus forte que « nous promettons de ne pas les lire ». Une promesse peut changer. Une entreprise peut être vendue. Une politique peut être réécrite. Un outil interne peut être utilisé abusivement. Un serveur peut être compromis. Mais si le fournisseur ne reçoit jamais la clé, ne stocke jamais la clé et ne crée jamais de chemin de récupération autour de la clé, le pouvoir du fournisseur est limité par conception. C’est ce que le chiffrement appartenant à l’utilisateur est censé accomplir.
Le débat sur le projet de loi C-22 pose une question plus vaste que celle de savoir si une entreprise ou une application peut fonctionner au Canada. Il demande si les architectures préservant la confidentialité seront traitées comme légitimes, ou si chaque service numérique finira par devoir conserver suffisamment d’accès pour quelqu’un d’autre. Cette question dépasse Signal. Elle touche chaque produit qui tente de réduire la quantité de données privées qu’il peut voir.
La réponse de WebCull est que le chiffrement devrait rester légal, normal et attendu. Les entreprises devraient pouvoir créer des systèmes dans lesquels les données appartenant aux utilisateurs restent sous le contrôle des utilisateurs. Les gouvernements peuvent utiliser les procédures légales pour les données que les entreprises possèdent réellement, mais ils ne devraient pas obliger les entreprises à repenser des systèmes préservant la confidentialité afin que les données chiffrées appartenant aux utilisateurs deviennent accessibles à l’entreprise.
La position de WebCull est que le droit de créer des logiciels incapables d’espionner devrait être protégé. Un système sécurisé qui ne peut pas lire les données des utilisateurs n’est pas une faille. C’est le but.