Apple et Samsung résistent aux dernières exigences du gouvernement indien

Le gouvernement indien a proposé une refonte majeure des exigences de sécurité des smartphones dans le cadre des « Exigences d'assurance de sécurité des télécommunications indiennes ». Cela inclut un ensemble de 83 normes de sécurité censées renforcer la protection des données des utilisateurs face à la hausse de la fraude en ligne et des cybermenaces dans le vaste marché des smartphones du pays. 

Les géants de la technologie comme Apple et Samsung s'opposent à cette mesure, affirmant que le package ne repose sur aucun précédent mondial et pourrait révéler des détails propriétaires et des secrets commerciaux, en particulier le code source, quelque chose qu'Apple protège farouchement et a par le passé refusé de partager avec des pays comme les États-Unis et la Chine. 

Cependant, le pays affirme que ces exigences font partie de la stratégie plus large du Premier ministre Narendra Modi pour renforcer la cybersécurité en Inde, qui est le deuxième plus grand marché de smartphones au monde.

Le gouvernement indien impose des exigences aux fabricants de téléphones

Voici une liste de certaines des exigences de sécurité que l'Inde propose aux fabricants de smartphones comme Apple et Samsung, ce qui a suscité une opposition en coulisses de la part des entreprises technologiques.

• Divulgation du code source : les fabricants sont tenus non seulement de tester, mais aussi de fournir leur code source propriétaire à des laboratoires désignés par le gouvernement, afin d'identifier les vulnérabilités des systèmes d'exploitation des téléphones qui pourraient être exploitées par des attaquants.
• Restrictions des permissions en arrière-plan : les applications ne peuvent pas accéder aux caméras, aux microphones ou aux services de localisation en arrière-plan lorsque les téléphones sont inactifs. Lorsque ces permissions sont actives, une notification continue dans la barre d'état est requise. 
• Alertes de révision des permissions : les appareils doivent afficher périodiquement des avertissements incitant les utilisateurs à examiner toutes les permissions des applications, avec des notifications continues.
• Conservation des journaux pendant un an : les appareils doivent stocker les journaux d'audit de sécurité, y compris les installations d'applications et les journaux système, pendant une durée maximale de 12 mois.
• Analyse antivirus périodique : les téléphones doivent scanner périodiquement la présence de logiciels malveillants et identifier toute application potentiellement nuisible.
• Option de suppression des applications préinstallées : les utilisateurs peuvent supprimer les applications préinstallées avec le système d'exploitation du téléphone, à l'exception de celles essentielles aux fonctions de base du téléphone. 
• Information d'une organisation gouvernementale avant la publication de toute mise à jour majeure ou correctif de sécurité.
• Avertissements de détection de falsification : détection lorsque les téléphones ont été rootés ou « jailbreakés », et affichage de bannières d'avertissement continues recommandant des mesures correctives.
• Protection anti-rollback : blocage permanent de l'installation de versions logicielles plus anciennes, même si elles sont officiellement signées par le fabricant, afin d'éviter les régressions de sécurité.

Ce que pensent les entreprises technologiques des exigences 

Le Gouvernement indien a défendu les exigences de sécurité en affirmant qu'elles visent à protéger ses citoyens, une mesure qui s'aligne sur la poussée de Modi en matière de sécurité des données. Cependant, les principaux acteurs comme Samsung, Apple, Xiaomi et Google, représentés par MAIT, le groupe industriel indien qui représente ces entreprises, ont exprimé leur opposition, en particulier concernant le partage du code source. 

« Cela n'est pas possible… en raison du secret et de la vie privée », a déclaré MAIT, le groupe représentant les fabricants de smartphones, a déclaré dans un document confidentiel rédigé en réponse à la proposition du gouvernement. « Les grands pays de l'UE, de l'Amérique du Nord, de l'Australie et de l'Afrique n'imposent pas ces exigences. »

Ils affirment qu'il n'existe également aucun moyen fiable de détecter les téléphones jailbreakés ou d'empêcher la falsification, disant que l'anti-rollback manque de normes, et que de nombreuses applications préinstallées doivent être conservées car elles sont des composants système critiques. 

Selon une source ayant une connaissance directe de la question, MAIT aurait demandé au ministère de retirer la proposition. Les documents de l'entreprise indiquent également qu'une analyse antivirus régulière drainerait considérablement la batterie d'un téléphone et qu'il est « peu pratique » de demander l'approbation du gouvernement pour les mises à jour logicielles, car elles sont censées être des correctifs opportuns. 

En ce qui concerne les journaux de téléphone que le gouvernement a demandé de stocker pendant au moins 12 mois sur les appareils, MAIT affirme que la plupart des appareils n'ont pas la capacité de stocker de tels journaux, rendant cette demande impossible à satisfaire. 

En réponse aux points soulevés par MAIT, le secrétaire d'État aux Technologies de l'Information, S. Krishnan, a affirmé que toute préoccupation légitime de l'industrie serait examinée avec un esprit ouvert, tout en ajoutant qu'il était « prématuré d'en lire davantage. »

Pendant ce temps, un porte-parole du ministère a refusé de commenter davantage, affirmant que des consultations étaient en cours avec les entreprises technologiques sur les propositions.