Connexion
E2EE ou chiffrement de bout en bout… mais de quel « bout » parle-t-on ?
J’suis à bout
Proton affirmait récemment que « toutes les affirmations sur le chiffrement de bout en bout ne se valent pas ». C’est vrai, mais la problématique est plus large : qu’entend-t-on exactement par E2EE ou chiffrement de bout en bout ? Tout le monde n’est pas d’accord.
Coup sur coup, deux affaires sont apparues dans la presse sur la question du chiffrement de bout en bout, ou E2EE pour End-to-End Encryption.
X Chat et caméra pour WC : l’E2EE soulève des questions
Il y a la messagerie X Chat de X dont les clés sont fragmentées sur des serveurs HSM nécessitant un code PIN de l’utilisateur pour être reconstituées. Toute la sécurité du E2EE repose alors sur la confidentialité d’un code à quatre chiffres, ce qui fait dire à Proton que « toutes les affirmations sur le chiffrement de bout en bout ne se valent pas ». C’est vrai, ne serait-ce qu’à cause des implémentations qui en sont faites.
Dans un registre différent, il y a le cas de la société Kohler avec son Dekoda, une petite caméra à fixer sur votre cuvette des WC pour surveiller… l’intérieur de vos toilettes. Plus précisément, il s’agit de proposer un suivi de la santé de votre intestin, de votre hydratation et potentiellement de détecter la présence de sang, le tout évidemment avec de la détection d’image et de l’IA.
Le traitement ne se fait pas en local, mais sur des serveurs gérés par l’entreprise. Cela soulève bien sûr des questions sur le caractère privé des données de santé (on vous laisse imaginer le reste), qui nécessitent donc une grande confidentialité. L’entreprise annonce du « End-to-end Encryption » dans sa politique de confidentialité. Et c’est là que le bât blesse.
Comme le rapporte l’expert, chercheur et développeur Simon Fondrie-Teitler sur son blog (via TechCrunch), « Kohler peut accéder aux données et aux images de la caméra des toilettes qu’elle décrit comme « chiffrées de bout en bout » ». C’est en contradiction avec la promesse généralement admise de l’E2EE qui est que les données ne sont accessibles à aucun tiers.
Kholer a une définition bien particulière de son E2EE : « Nous chiffrons les données sensibles des utilisateurs au repos, lorsqu’elles sont stockées sur votre téléphone portable, votre caméra connectée des WC et sur nos systèmes. Nous chiffrons également les données de bout en bout lors de leur transmission, entre vos appareils et nos systèmes où elles sont déchiffrées et traitées afin de vous proposer nos services et les améliorer ».
Pour TechCrunch, « il est clair que l’entreprise fait référence au type de chiffrement qui sécurise les données lors de leur transmission sur Internet, connu sous le nom de TLS – qui est derrière les sites en HTTPS ». Kholer chiffre donc les données pendant leur transfert sur Internet (encore heureux), ainsi que sur ses serveurs (encore heureux, bis), mais il dispose de toutes les clés nécessaires pour accéder aux données en clair. Est-ce du chiffrement de bout en bout ? Non, en tout cas pas de la manière dont ce terme est généralement utilisé.
Il y a une différence fondamentale entre les deux affaires : XChat est une messagerie entre deux clients qui passent par des serveurs intermédiaires, Kohler est un fournisseur de service avec une relation entre un client et un serveur ; il n’y a pas de communication entre clients.
