Le chiffrement fort sans backdoor est « vital » selon le vice-président de la Commission européenne

À la Commission européenne, on goûte visiblement assez peu aux initiatives franco-britanniques autour du chiffrement. En tout cas, son vice-président actuel, Andrus Ansip, qui a par ailleurs la responsabilité du marché unique en matière de numérique, s’est tenu à bonne distance des réflexions évoquant plus ou moins clairement un affaiblissement du chiffrement. En fait, c’est même tout le contraire.

Lors d’un déplacement à Londres en début de semaine pour assister à l’édition 2017 de la conférence Chatham House Cyber, Andrus Ansip a défendu la nécessité d’un chiffrement fort devant l’auditoire. Il s’est aussi opposé à la perspective d’insérer des portes dérobées (« backdoors ») dans les systèmes proposant ce genre de fonction, car ce type d’accès se traduit de facto par un affaiblissement du niveau de protection.

Andrus Ansip a notamment donné deux exemples pour souligner le rôle important joué par ce procédé cryptographique : les transactions financières et l’identité. Sans lui, comment espérer assurer leur fiabilité et leur sécurité ? Car le chiffrement ne vise pas qu’à assurer la confidentialité des correspondances, en empêchant les regards indiscrets de voir ce qui est dit ou partagé.

Il permet aussi de s’assurer de l’intégrité d’un fichier (donc qu’il n’a pas été modifié en cours de route sans autorisation) ainsi que de son authenticité (en clair, de vérifier qui a envoyé ce fichier). Affaiblir le chiffrement, c’est prendre le risque d’affecter le degré de confidentialité mais aussi la confiance que l’on peut avoir dans certaines transactions ou certains documents.

La position prise par Andrus Ansip sur le sujet semble montrer que le vice-président de la Commission européenne a bien saisi les enjeux autour du chiffrement. Mais c’est peut-être aussi en partie parce qu’il est Estonien qu’il considère qu’il est risqué de toucher à ce procédé. Car en effet, l’intéressé, qui a été premier ministre d’Estonie pendant près de neuf ans, sait à quel point son pays s’est tourné vers le numérique.

Réalité estonienne

L’Estonie propose un statut de « e-résident » afin d’attirer les entrepreneurs (le premier statut a été décerné fin 2014). L’apprentissage de la programmation est proposé dès l’école primaire et un quart de la population — une proportion datant de 2014, celle-ci a probablement évolué à la hausse depuis — se sert d’Internet pour voter lors des élections (le code source du système a été ouvert en 2013).

C’est aussi l’un des pays les plus connectés en Europe et, selon l’OCDE, l’un des plus mobilisés sur la fibre optique en comparaison de ses voisins. L’accès au réseau est même devenu un droit de l’Homme, dans la mesure où il fallait adapter le droit à la nouvelle donne : en effet, le pays a rendu une large partie de son administration et de son économie dépendante des nouvelles technologies de communication.

Andrus Ansip.
CC Valerie Kuypers

Naturellement, ce plongeon dans le numérique présente aussi des désavantages. L’Estonie est potentiellement plus exposée et donc plus vulnérable que d’autres en cas d’attaque informatique. L’Estonie a d’ailleurs eu un petit aperçu des menaces qui pèsent sur ses épaules en 2007, lorsque plusieurs cyberattaques ont touché le parlement, les banques, les ministères et les médias.

Malgré cela, le pays n’a visiblement pas décidé d’arrêter sa « numérisation ». Il a même envisagé de se réfugier dans le cloud en cas d’invasion russe, en déplaçant des données clés dans des serveurs installés dans ses ambassades. Et l’idée est justement en train d’être concrétisée, avec l’ouverture à venir d’un centre au Luxembourg pour héberger l’ensemble de son système informatique gouvernemental.

Toutes ces raisons ont sans doute participé à façonner l’avis d’Andrus Ansip sur le chiffrement, l’ex-premier ministre sachant forcément très bien à quel point son pays dépend des technologies, de leur fiabilité et de leur solidité. Reste à savoir si M. Ansip défendra un chiffrement fort européen. C’était en ce sens que plaidait il y a quelques années le directeur général estonien en charge de la sécurité des systèmes d’information, avec de très bonnes raisons.