Temps de lecture: 5 minutes
Longtemps, ils n'ont pas fait de politique, considérant qu'ils étaient d'abord des techniciens. Et puis il a fallu se rendre à l'évidence: la technique a un impact direct sur la survie (ou non) de nos vies privées sur le réseau. Et ça commence par les tuyaux. Réunis jusqu'à vendredi à Vancouver au Canada, les ingénieurs du Net ont d'ores et déjà annoncé la couleur de la feuille de route des années à venir: répondre à la surveillance de masse en sécurisant le réseau. La question est aussi au menu de la réunion annuelle de l'organisme de standardisation du web, la semaine prochaine en Chine.
Alors qui fait quoi? A quoi pourrait ressembler un Internet plus sûr, dans deux ou cinq ans? Qu'est-ce que ça va changer pour nous, internautes? Tâchons d'y voir plus clair.
1. Qui est à la manœuvre?
Même si la gouvernance du réseau fait plus que jamais l'objet d'âpres débats, si plusieurs Etats –pas les plus «Net-friendly», comme la Chine, l'Iran ou la Russie– militent pour une reprise en main par les Nations Unies, et si les pays du Sud contestent de plus en plus fortement la prééminence américaine, la gestion d'Internet dans ses aspects techniques relève toujours de plusieurs entités, toutes basées aux États-Unis, selon le modèle dit multistakeholder (multipartite).
Ainsi, l'Icann (Internet Corporation for Assigned Names and Numbers) coordonne la gestion des adresses IP et des noms de domaine, tandis que l'IETF (Internet Engineering Task Force) définit les protocoles de l'Internet –basiquement, la manière dont les machines et les programmes communiquent entre eux– et que le W3C (World Wide Web Consortium) s'occupe des standards du web (notamment les langages). Ce sont surtout ces deux dernières entités qui ont les mains dans le cambouis de la sécurisation.
Ouverte à tous, informelle et transparente, l'IETF est souvent considérée comme plus indépendante que le W3C, largement constitué d'entreprises du secteur (notamment les éditeurs de navigateurs). Ceci étant, le fondateur du W3C et «papa du web», Tim Berners-Lee, a clairement pris position, à titre personnel, contre la surveillance.
2. Qu'est-ce qu'ils fabriquent?
La principale leçon à tirer des documents Snowden, selon l'expert en sécurité Bruce Schneier, qui les épluche pour le Guardian et qui s'est exprimé mercredi lors de la séance plénière de l'IETF, est que «la NSA a transformé l'Internet en une gigantesque plateforme de surveillance». Concrètement, elle a surtout eu besoin de positionner les «caméras»: les tuyaux du Net sont, par définition, transparents pour les machines, car le réseau a été conçu pour qu'y transite le maximum d'informations.
Tout l'enjeu aujourd'hui est de les rendre opaques, ou plus précisément de rendre illisibles les données qui y circulent. Et, pour ça, de chiffrer au maximum –et, à terme, par défaut– les protocoles existants. Ainsi, sur le web, le «https» et le cadenas qui s'affichent parfois dans votre barre de navigation ne seraient plus l'exception (pour des achats en ligne, la consultation de votre compte bancaire ou celle de votre profil Facebook) mais la norme. Idem pour la messagerie instantanée ou l'échange d'e-mails.
Du côté du W3C, un groupe travaille depuis un an et demi à l'intégration d'outils de chiffrement directement à l'intérieur des navigateurs: une «couche cryptographique» grâce à laquelle «toutes les applications web pourront construire leur propre modèle de sécurité», explique la responsable du groupe, Virginie Galindo – par exemple, des plates-formes de discussion en ligne à la Cryptocat (qui fonctionne aujourd'hui via une extension), mais aussi des plates-formes de streaming (chez Netflix, on serait ainsi très demandeur de ce genre de fonctionnalité, pour protéger les films).
L'objectif est que, sur les «autoroutes de l'information», tout le monde circule à terme en voiture blindée. Ce qui a, pour les opposants à la surveillance, deux avantages: toutes les données seront mieux protégées, et celles qui l'étaient déjà attireront moins l'attention.
3. Qu'est-ce que ça changerait pour les internautes?
Si les données illisibles devenaient la norme plutôt que l'exception, leur interception indiscriminée et leur stockage perdraient de leur intérêt puisqu'elles seraient inexploitables, sauf à les décrypter –en «cassant» le chiffrement, ce qui nécessite, pour le coup, beaucoup de temps et d'argent. (Sauf, bien sûr, à ce que des faiblesses aient été délibérément introduites dans les logiciels.) Ce pourrait être un sérieux coup de frein à la surveillance de masse et, pour les défenseurs de la vie privée, un bénéfice net.
Comme le déclarait récemment Axel Pawlik, le directeur du registre européen d'adresses IP, RIPE NCC: «Ceux qui nous surveillent ont des ressources limitées, certes supérieures aux nôtres, mais si des millions d'utilisateurs mettent la barre un peu plus haut, surveiller chaque petit morceau de trafic Internet exigera beaucoup plus de moyens.»
Mais puisque tout a un prix en ce bas monde, il faut s'attendre à quelques difficultés collatérales. Ceux et celles qui ont pris l'habitude, par exemple, d'utiliser un nom de domaine qui leur appartient pour mettre un blog en ligne auront probablement, demain, à se préoccuper d'acquérir –et de gérer– un certificat électronique, ce qui n'amuse pas forcément tout le monde. Et qui dit chiffrement dans tous les sens dit «clés» en pagaille, qu'il faut stocker quelque part et dont il faut gérer l'utilisation.
En résumé (et décodé): tout ce qui va dans le sens de la sécurité et du contrôle accru de l'utilisateur décourage l'espionnage mais rend l'usage plus complexe. Un Internet plus sûr, c'est aussi un Internet plus compliqué à débugger, donc plus fragile, comme l'explique l'ingénieur réseaux Stéphane Bortzmeyer, présent à Vancouver:
«Les mesures qui vont être déployées contre l'espionnage vont rendre plus difficile la lutte contre le spam ou d'autres nuisances. Il y aura plus de pannes mystérieuses: actuellement, l'Internet réussit à bien s'en tirer dans tous les cas, mais là, ce sera le contraire. Si on n'aime pas cela, il faut se plaindre à la NSA, qui oblige tout le monde à durcir sa sécurité.»
Tout à son enthousiasme de voir les techniciens en ordre de bataille, Bruce Schneier, de son côté, relativise: «Si les choses sont bien faites, le coût n'en sera pas trop élevé. En la matière, le diable se niche dans les détails: on ne peut pas savoir tant qu'on n'aura pas essayé.» Certes. Mieux vaut tout de même s'attendre à ne pas avoir forcément le beurre et l'argent du beurre.
4. Ça va prendre du temps?
Difficile à dire. Traditionnellement, l'IETF fonctionne selon un principe ainsi formulé: rough consensus and running code, «consensus approximatif et logiciel qui marche». Et souvent, le consensus, ça prend du temps. Sauf qu'il y a urgence. «D'habitude, l'IETF est très lente, habituée aux projets à long terme, et n'aime pas être bousculée par le monde extérieur. Cette fois, la réaction a été rapide», confirme Stéphane Bortzmeyer.
Les ingénieurs se sont même fixé quelques objectifs précis: atteindre 100% de chiffrement dès l'année prochaine pour le protocole de messagerie instantanée XMPP (utilisé, notamment, par le chat de Facebook et celui de Google), et 90% pour le trafic web en 2016. Ambitieux, quand on sait que le laboratoire de recherche en sécurité informatique NSS Labs évalue la part sécurisée du trafic sur les sites d'entreprises entre 25 et 35%. «L'Internet opaque» dans trois ans? La volonté est manifestement là, reste à savoir si la mise en application suivra le rythme.
5. Est-ce que ça va suffire?
Evidemment non. D'abord parce que, même si les standards utilisés sont transparents, les outils qui les mettent en œuvre ne le sont pas toujours, et ce sont justement ces outils que la NSA cherche à affaiblir. Ensuite, parce que si les informations sont illisibles quand elles transitent, elles ne le sont plus quand elles sont arrivées à destination – typiquement, sur les serveurs d'un réseau social ou d'un gros service de stockage apparaissant dans les diagrammes du programme Prism. On peut espérer une amélioration, pas une solution miracle. Comme le dit abruptement Bruce Schneier :
«Si vous ne voulez pas que Google utilise vos données, ne les donnez pas à Google. Si vous ne voulez pas que Facebook utilise vos données, ne les donnez pas à Facebook. Il faut accepter que le fait que certains problèmes ne peuvent pas être résolus par la technologie, que les solutions sont politiques, donc imparfaites.»
Et d'enfoncer le clou:
«Si vous voulez être absolument certains que vous n'êtes pas surveillés en ligne, jetez votre ordinateur à la poubelle.»
Après tout, quel plombier s'engagerait à ce qu'on n'ait jamais à subir le moindre dégât des eaux? Si au moins les tuyaux sont bien entretenus, c'est toujours ça de pris.
Amaelle Guiton