Alors que le débat autour de la confidentialité numérique prend de l’ampleur, les gouvernements, notamment les États-Unis, cherchent à garantir leur accès aux communications dans le cadre d’enquêtes criminelles ou de sécurité nationale. Bien qu’aucune loi américaine n’impose spécifiquement aux entreprises de fournir des clés de déchiffrement, plusieurs réglementations permettent aux autorités d’obtenir des informations chiffrées dans certaines situations. Cet article examine les législations et politiques américaines, ainsi que les moyens et limites des autorités pour accéder aux données sécurisées  des utilisateurs.

Les législations clés

1. Communications Assistance for Law Enforcement Act (CALEA) :
   Adoptée en 1994, cette loi impose aux fournisseurs de télécommunications de rendre leurs réseaux accessibles à la surveillance légale. Bien que CALEA ne s’applique pas directement au chiffrement de bout en bout (end-to-end encryption), des interprétations élargies de cette loi sont souvent débattues pour envisager l’inclusion de services Internet comme WhatsApp ou Signal.

2. Electronic Communications Privacy Act (ECPA) :
   En vigueur depuis 1986, cette loi permet aux autorités américaines d’obtenir des mandats pour accéder aux communications électroniques, y compris celles chiffrées. Cependant, l’ECPA n’oblige pas explicitement les entreprises à fournir une clé de déchiffrement.

3. USA PATRIOT Act :
   Adoptée après les événements du 11 septembre 2001, cette loi renforce la capacité des agences de renseignement à accéder aux communications pour des raisons de sécurité nationale. Les entreprises peuvent être tenues de fournir des informations accessibles, bien que la remise de clés de déchiffrement ne soit pas spécifiée.

4. All Writs Act :
   Une loi datant de 1789 qui permet aux tribunaux de demander aux entreprises d’assister dans les enquêtes judiciaires, y compris pour des cas de chiffrement. Elle a notamment été invoquée lors de l’affaire Apple-San Bernardino, dans laquelle Apple a résisté à l’obligation de fournir une assistance pour déchiffrer un iPhone.

LE RÔLE DU CHIFFREMENT DE BOUT EN BOUT (E2EE)

Le chiffrement de bout en bout protège les communications en les rendant illisibles pour toute entité extérieure aux utilisateurs concernés. Ce système, utilisé par des plateformes comme WhatsApp et Signal, repose sur des clés privées stockées uniquement sur les appareils des utilisateurs, rendant leur déchiffrement pratiquement impossible par des tiers.

CEPENDANT, LES AUTORITÉS DISPOSENT DE MOYENS ALTERNATIFS POUR CONTOURNER LE CHIFFREMENT DE BOUT EN BOUT :

1. Compromission des appareils : En accédant directement aux appareils (via des logiciels espions comme Pegasus), les agences peuvent capturer des messages avant ou après leur déchiffrement. Des vulnérabilités dans les systèmes d’exploitation ou des logiciels malveillants permettent parfois de récupérer les données directement sur les terminaux des utilisateurs.

2. Accès aux sauvegardes : Bien que les messages soient chiffrés de bout en bout, leurs sauvegardes sur le cloud (iCloud, Google Drive) peuvent être vulnérables si elles ne sont pas chiffrées de manière similaire. Les autorités peuvent ainsi obtenir des mandats pour accéder à ces sauvegardes.

3. Exploitation des métadonnées : Les métadonnées — informations sur qui a communiqué avec qui, à quel moment et d’où — ne sont généralement pas chiffrées. Bien qu’incomplètes, elles peuvent révéler des éléments significatifs sur les interactions entre individus.

4. Pressions légales et initiatives pour des « backdoors » : Le débat sur l’obligation d’inclure des portes dérobées (backdoors) dans les systèmes de chiffrement est récurrent. Les autorités américaines exercent des pressions sur les entreprises technologiques pour qu’elles développent des solutions facilitant l’accès aux données chiffrées en cas de besoin, comme avec l’EARN IT Act. Toutefois, les grandes entreprises s’y opposent fermement, invoquant la nécessité de protéger la sécurité et la confidentialité de leurs utilisateurs.

LES DÉFIS POUR LA SOUVERAINETÉ NUMÉRIQUE EN AFRIQUE

Dans le contexte africain, où des entreprises américaines telles que Google, Facebook (Meta) et WhatsApp dominent les services numériques, cette dépendance soulève des enjeux de souveraineté numérique. En effet, ces entreprises étant soumises aux législations américaines, les utilisateurs africains peuvent être exposés aux demandes d’accès formulées par les autorités américaines, même si celles-ci ne concernent pas leur propre pays.

En conclusion

Bien que le chiffrement de bout en bout constitue une barrière solide contre l’accès non autorisé, il n’est pas infaillible. Les gouvernements, y compris celui des États-Unis, utilisent diverses méthodes indirectes pour contourner cette sécurité. Tandis que les débats se poursuivent sur la mise en place de portes dérobées, la protection de la vie privée des utilisateurs reste une priorité pour les entreprises technologiques.

Pour l’Afrique, la question de la souveraineté numérique se pose avec urgence : il devient crucial de s’assurer que les intérêts et la sécurité des utilisateurs africains soient protégés par un cadre juridique adapté, prenant en compte les spécificités locales tout en garantissant la confidentialité et la sécurité des données.