Les applications sécurisées sortent de l’anonymat

Dix-huit mois après qu’Edward Snowden a révélé au monde son identité, force est de constater que la réponse à ses révélations sur les pratiques de l’Agence nationale de sécurité (NSA) américaine n’a pas été politique, mais technologique.

Pas une semaine ne passe sans que ne soit lancée sur le marché une nouvelle application ou un nouveau produit permettant de communiquer de manière sécurisée ou sans qu’un acteur en place n’annonce un renforcement de ses dispositifs anti-surveillance.

WhatsApp, leader mondial de la messagerie sur mobile, a ainsi commencé la semaine du 17 novembre à mettre en place un très robuste mécanisme de chiffrement de ses messages (Le Monde du 20 novembre). D’abord disponible sur Android mais peu à peu généralisé à toutes les plateformes, cette évolution technologique rendra quasiment impossible la lecture du contenu des messages échangés dans l’application par des pirates informatiques ou des gouvernements. Même WhatsApp ne disposera pas de la clé pour déchiffrer les messages stockés sur ses serveurs.

Encombrement du marché

La messagerie, rachetée par Facebook en février, va pour cela utiliser le code informatique développé par Open Whisper Systems, qui développe notamment TextSecure, un outil recommandé par Edward Snowden lui-même.

Cette application n’est pas la seule sur un marché désormais bien encombré. Les entreprises qui avaient lancé la leur avant le début des révélations Snowden se félicitent de l’impact positif de ces dernières sur leur activité et toutes utilisent sans fard l’argument de la protection de la vie privée.

Elles s’appellent Silent Circle, Telegram, Chatsecure, Threema, Cryptocat, Seecrypt Hoccer ou Foilchat. Elles viennent des Etats-Unis, mais aussi d’Allemagne ou de Suisse, pays reconnus pour la robustesse de leur législation sur la vie privée. Certaines sont payantes, d’autres proposées gratuitement, par des entreprises comme produit d’appel ou par des organisations à but non lucratif. Certaines ne sont disponibles que sur l’iPhone d’Apple, d’autres peuvent être installés sur presque tous les smartphones du marché.

Quelques-unes de ces applications sont toutefois très critiquées par certains experts en sécurité informatique. Ces derniers considèrent que l’argument commercial et marketing de la protection de la vie privée dissimule mal de graves manquements techniques. Certaines refusent par exemple de publier leur code source, un prérequis pourtant essentiel aux yeux des experts pour que chacun puisse vérifier la robustesse et la fiabilité des mécanismes de protection.

Les géants s’y mettent aussi

Ce foisonnement, peu lisible pour le consommateur, tente en tout cas de répondre à un marché aussi émergeant que paradoxal : de plus en plus d’internautes se disent soucieux de la sécurité de leurs données, sans pour autant traduire cette méfiance en actes. De fait, ces applications s’adressent pour le moment à un marché de niche et seule l’implication des géants du Web, comme la récente annonce de WhatsApp, pourra généraliser cette dynamique auprès d’un très grand nombre d’utilisateurs.

Ce mouvement commence à prendre forme. Apple et Google, dont les logiciels équipent l’écrasante majorité des smartphones vendus dans le monde, ont tous deux annoncé que les données stockées sur leurs téléphones allaient être chiffrées. Un pas sans précédent qui a fait bondir les autorités américaines et déclencher un affrontement qui rappelle celui qui avait eu lieu à la fin des années 1990. A cette époque où le Web se généralisait, une première vague de technologies de protection était apparue, quittant le domaine militaire pour trouver de nouveaux usages civils.

Facebook, de son côté, a lancé une version de son site accessible uniquement depuis Tor, ce réseau anonyme développé par une fondation. Tor reste encore à ce jour l’outil de protection de l’anonymat et de la vie privée le plus robuste et le plus utilisé.

Dans la même veine, Google a commencé à travailler sur un outil qui permettra, à terme, de chiffrer les courriels envoyés avec son service Gmail. Le tout en utilisant un standard technologique, PGP, qui a fait ses preuves depuis des années. La firme de Mountain View a même publié le code informatique de ce prototype sur Internet, comme preuve supplémentaire de sa bonne volonté. Un code source dont s’est saisi son concurrent, Yahoo!, pour proposer dès 2015 un outil très similaire pour son système de courriels.

Cet effort technologique va de pair avec une vaste offensive de communication, destinée à convaincre les utilisateurs et clients potentiels des grandes firmes de la Silicon Valley que ces dernières prennent la protection des données de leurs utilisateurs au sérieux.

Il faut dire que les enjeux sont de taille. Les révélations sur la proximité des grandes entreprises du Net avec le tentaculaire appareil de renseignement américain (via le programme Prism par exemple) ont été très dommageables pour leur réputation.

La confiance est pourtant un capital crucial pour ces géants du Net, dont certains réalisent déjà une majorité de leur chiffre d’affaires sur les marchés étrangers. Or ces derniers craignent de perdre leurs clients – entreprises et particuliers, en Europe ou dans les pays émergents –, devenus réticents à stocker des données sensibles là où les services de renseignement américains peuvent puiser.