Technique de surveillance: la cryptographie peut-elle aider à prévenir la dystopie de surveillance?

Nous savons très peu de choses sur le volume de données confidentielles transmises aux forces de l’ordre par des entreprises technologiques telles que Google et Facebook, et ceci en partie de par leur conception. Après tout, certaines affaires pénales se désagrégeraient si nous en savions trop sur le fonctionnement de leur partage de données et pourrions jouer avec le système.

Mais à quel point savons-nous vraiment? En 2016, Google a reçu 27 850 demandes de données impliquant 57 392 comptes de leurs utilisateurs. La même année, Microsoft a fait l'objet de 9 907 demandes adressées à 24 288 comptes. Ces chiffres sont alarmants, mais ils représentent également presque tout ce que le public sait sur la façon dont le gouvernement américain déploie actuellement son pouvoir de demander des données en vertu de la loi sur la protection des communications électroniques (Electronic Communications Privacy Act, ECPA). En fait, ces chiffres ne sont même pas ceux du gouvernement; ils proviennent directement des rapports de transparence volontaires de Google et de Microsoft.

"Il est tout à fait raisonnable que les responsables gouvernementaux exigent un certain niveau de secret afin de pouvoir s'acquitter de leurs tâches sans craindre l'ingérence des personnes sous enquête", a déclaré Jonathan Frankle, chercheur au laboratoire d'informatique et d'intelligence artificielle du MIT (CSAIL) dans un rapport. "Mais ce secret ne peut pas être permanent … Les gens ont le droit de savoir si leurs données personnelles ont été consultées, et à un niveau supérieur, nous avons le droit, en tant que public, de savoir combien de surveillance est en cours."

Frankle et d'autres collaborateurs de CSAIL espèrent trouver une solution à ce problème, une solution reposant sur les mêmes clés cryptographiques et les mêmes registres que ceux utilisés pour authentifier les courriers électroniques cryptés et les transactions en bitcoins. Le système qu’ils ont mis au point, appelé AUDIT (pour «la responsabilisation des données non validées pour une transparence améliorée»), sera présenté à la conférence USENIX Security à Baltimore la semaine prochaine.

Voici comment cela fonctionne: lorsqu'un juge rend une ordonnance secrète du tribunal ou que des enquêteurs de police demandent des données à une entreprise de technologie, cette action est combinée à une série de notifications cryptographiques accessibles au public, similaires aux clés publiques PGP permettant aux individus d'envoyer des données cryptées. e-mails les uns aux autres. Cet «engagement cryptographique» est lié mathématiquement à l'action en justice intentée, puis aux données fournies par les entreprises de technologie à l'organisme gouvernemental. Le résultat est que, finalement, lorsque ces archives secrètes sont rendues publiques, elles peuvent être vérifiées par rapport au registre de la cryptographie pour confirmer que ces activités du ministère de la Justice sont secrètes et que les fonctionnaires impliqués faisaient ce qu'ils avaient dit de faire.

AUDIT présente également un autre avantage majeur. Le téléchargement constant des actions dans le registre public des engagements cryptographiques permettra aux groupes de surveillance d'extraire des informations statistiques politiquement importantes du système judiciaire sur la manière dont le système judiciaire et l'application de la loi utilisent les données des utilisateurs privés. Par exemple, quels juges émettent le plus grand nombre d’ordonnances en vertu de la loi ECPA? Quels types d'enquêtes criminelles entraînent le plus grand nombre de ces ordonnances judiciaires et de quelles entreprises?

L'espoir, comme Frankle l'a expliqué à Nouvelles du MIT, doit générer des rapports de transparence crédibles du système judiciaire américain, comparables à ceux du secteur de la technologie, sans compromettre les affaires pénales en cours.

Stephen William Smith, magistrat fédéral du district sud du Texas, a écrit au sujet du dossier ECPA pour le Harvard Law & Policy Review, partage les attentes de Frankle concernant ce que l’AUDIT pourrait accomplir.

"Mon espoir est que, une fois que cette preuve de concept deviendra réalité, les administrateurs des tribunaux comprendront la possibilité de renforcer la surveillance publique tout en préservant le secret nécessaire", a déclaré Smith dans un communiqué. «Les leçons apprises ici faciliteront sans aucun doute la mise en place d'une plus grande responsabilité pour une classe plus large de processus d'informations secrètes, caractéristiques de notre ère numérique.»