Microsoft remet les clés BitLocker au FBI, exposant les utilisateurs à une faille de confidentialité majeure

Microsoft a remis les clés de récupération BitLocker au FBI après avoir reçu un mandat valide, exposant la confidentialité des utilisateurs de Windows. La divulgation fait suite à une enquête du FBI à Guam, où Microsoft a fourni des clés de chiffrement pour déverrouiller les ordinateurs portables de trois suspects dans une affaire de fraude à Guam.

Les enquêteurs fédéraux à Guam estimaient que les ordinateurs portables contenaient des informations qui prouveraient que les personnes responsables du programme d’aide au chômage lié au COVID-19 de l’île étaient impliquées dans un scheme de détournement de fonds.

La divulgation des clés BitLocker de Microsoft suscite des préoccupations mondiales en matière de confidentialité 

Microsoft a fourni les clés de récupération aux enquêteurs du FBI car les données étaient protégées par BitLocker. Ce logiciel protège toutes les données du disque dur de l’ordinateur et est activé automatiquement sur de nombreux PC Windows contemporains. Les données sont brouillées par BitLocker de sorte que seuls ceux qui possèdent la clé peuvent les déchiffrer.

Bien que les utilisateurs puissent conserver leurs clés sur un appareil personnel, Microsoft conseille aux clients BitLocker de stocker leurs clés sur ses serveurs pour une gestion plus facile. Cela expose les personnes à des poursuites judiciaires et des mandats d’enquête, même si cela signifie également qu’ils peuvent accéder à leurs données s’ils oublient leur mot de passe ou verrouillent l’appareil après plusieurs tentatives de connexion infructueuses.

La société de Redmond, Washington, n’avait jamais auparavant remis de clé de chiffrement aux forces de l’ordre, autant que l’on sache, jusqu’à l’affaire de Guam, où elle a remis les clés de chiffrement aux enquêteurs. Cependant, Microsoft a confirmé qu’elle propose des clés de récupération BitLocker en cas d’ordre judiciaire légitime. 

« Bien que la récupération de clés offre une commodité, elle comporte également un risque d’accès non désiré, donc Microsoft estime que les clients sont dans la meilleure position pour décider… comment gérer leurs clés », 

-Charles Chamberlayne, porte-parole de Microsoft.

Chamberlayne a ajouté que Microsoft reçoit environ 20 demandes de clés BitLocker par an. Dans de nombreux cas, les clients n’ont pas enregistré leurs clés dans le cloud, laissant l’entreprise incapable d’assister.

Cependant, la remise des clés aux forces de l’ordre a suscité des préoccupations en matière de confidentialité. Dans un déclaration fait par le sénateur Ron Wyden à Forbes, il est « tout simplement irresponsable pour les entreprises technologiques de livrer des produits d’une manière qui leur permet de remettre secrètement les clés de chiffrement des utilisateurs. Il a ajouté que permettre à ICE ou à d’autres sbires de Trump de voler les clés de chiffrement d’un utilisateur met la sécurité personnelle et la sécurité des utilisateurs et de leurs familles à risque et leur donne accès à l’intégralité de l’existence numérique de l’utilisateur.

Ce problème ne se limite pas aux États-Unis. Jennifer Granick, conseillère en surveillance et cybersécurité de l’ACLU, a noté que les pays aux dossiers des droits de l’homme douteux demandent également des données aux géants de la technologie comme Microsoft. Elle a ajouté que le stockage des clés de déchiffrement à distance peut être très risqué.

Un participant sur Hacker News a affirmé que le problème était que Microsoft avait déjà ces clés. Si la clé est accessible et gratuite à utiliser, à quoi sert le chiffrement ? iCloud Email est la même chose, a ajouté l’utilisateur.

L’utilisateur a également fait valoir que les lois et réglementations faites par les humains ne peuvent pas fournir de confidentialité car elles sont abusées et sujettes à changement. La source de la confidentialité est les mathématiques, qui ignorent les règles et réglementations.

Les gouvernements du monde entier poussent les entreprises technologiques à créer des portes dérobées de chiffrement

Les forces de l’ordre demandent fréquemment des clés de chiffrement, un accès par porte dérobée ou d’autres failles de sécurité aux entreprises informatiques. Apple a été à plusieurs reprises demandée pour accéder aux données chiffrées dans son cloud ou sur ses appareils. En octobre de l’année dernière, le gouvernement britannique a renouvelé son affrontement avec Apple concernant l’accès aux données des clients. Le gouvernement a exigé une porte dérobée dans les serveurs de stockage cloud de l’entreprise technologique, ciblant uniquement les utilisateurs britanniques.

Dans un affrontement largement rapporté avec le gouvernement en 2016, Apple a résisté à un ordre du FBI pour aider à ouvrir les téléphones des terroristes qui ont abattu et tué 14 personnes à San Bernardino, en Californie. À la fin, le FBI a réussi à obtenir qu’un entrepreneur pénètre dans les iPhones.

Dans un rapport séparé en avril de l’année dernière, les législateurs de Floride à l’unanimité ait approuvé un projet de loi qui obligerait les entreprises de médias sociaux à fournir aux agents des forces de l’ordre l’accès aux comptes utilisateurs par des portes dérobées de chiffrement.