Qu'est-ce que c'est quand le FBI vous demande de détourner votre logiciel

Lors d'une récente conférence sur la sécurité de la RSA, Nico Sell était sur scène et a annoncé que sa société, Wickr, procédait à des changements radicaux pour assurer la sécurité de ses utilisateurs. Elle a déclaré que la société passerait du cryptage RSA au cryptage à courbe elliptique et que le service n'aurait de porte dérobée pour personne.

Quand elle a quitté la scène, avant même d'avoir eu la chance de retirer son micro, un homme l'a approchée et s'est présentée comme un agent du Federal Bureau of Investigation. Il a ensuite demandé "avec désinvolture" si elle serait disposée à installer dans Wickr une porte dérobée permettant au FBI de récupérer des informations.

Une pratique commune

Cette rencontre, ainsi que le comportement occasionnel de l'agent, semble se dérouler comme d'habitude, les services de renseignement et les forces de l'ordre cherchant à obtenir un accès plus large aux systèmes de communication protégés. Depuis sa rencontre avec l'agent de RSA, Sell affirme que c'est une histoire qu'elle a entendue encore et encore. "On dirait que c'est comme ça qu'ils le font maintenant", a-t-elle confié à SecurityWatch. "Toujours désinvolte, tester, car la plupart des gens diraient oui."

L'objectif du FBI est de voir dans des systèmes cryptés et sécurisés comme Wickr et d'autres. En vertu de la loi CALEA (Communications Assistance for Law Enforcement Act), les forces de l'ordre peuvent accéder à n'importe quel téléphone aux États-Unis, mais elles ne peuvent pas lire les communications cryptées. Nous avons également vu comment les forces de l'ordre ont suivi l'exemple de la NSA et collecté des données en masse à partir de tours de téléphonie mobile. Alors que la NSA aurait installé des portes dérobées sur du matériel installé dans des installations UPS et s'attaquant prétendument aux normes cryptographiques, il n'est pas étonnant que le FBI opère de la même manière.

La différence

Il était clair que l'agent du FBI ne savait pas à qui il avait affaire, car Sell ne reculait pas. Au lieu de cela, elle lui donna des conférences sur des sujets allant des premier et quatrième amendements à la Constitution, à la création par George Washington d'un bureau de poste aux États-Unis. "Mon ancêtre était un batteur sous Washington", a expliqué Sell. "Washington pensait qu'il était très important d'avoir la liberté d'information et la correspondance privée sans surveillance gouvernementale."

Sa conférence s'est terminée, elle a commencé à griller l'agent. "J'ai demandé s'il avait des documents officiels pour moi, s'il s'agissait d'une demande officielle, qui était son patron", a déclaré Sell. "Il a reculé très rapidement."

Bien qu'elle n'ait pas hésité à parler à l'agent, Sell a bien précisé que la surveillance et la sécurité étaient une affaire compliquée. "Il y a dix ans, j'aurais dit oui", a déclaré Sell. "Parce que si les forces de l'ordre vous demandent d'attraper les méchants, qui ne voudrait pas aider?"

La différence maintenant, at-elle expliqué, réside dans ses expériences chez BlackHat. Parmi ceux-ci, Sell a évoqué un événement BlackHat au cours duquel Thomas Cross a montré comment pénétrer dans des machines d'interception légales - ou des écoutes téléphoniques. "Il était très clair qu'une porte dérobée pour les bons était toujours une porte dérobée pour les méchants."

Comment être un bon gars

"Je ne suis pas contre l'aide aux forces de l'ordre, mais le plus important pour moi est de protéger mes amis et ma famille de la meilleure façon que je connaisse", a déclaré Sell. Elle a suggéré que la NSA et d'autres agences reprennent un modèle où les individus sont ciblés, au lieu de surveiller toutes les communications et de les résoudre plus tard. "Il existe de nombreuses façons de suivre les personnes sans piétiner les droits de l'homme", a-t-elle déclaré.

Sans surprise, Sell a cité Wickr comme exemple de sécurité. Elle a déclaré que sa société ne détenait pas les clés de chiffrement pour déchiffrer les messages des utilisateurs ou voir leur identité. De cette façon, si Wickr est obligé de transmettre les données d'une ordonnance du tribunal, les enquêteurs ne trouveront que des junkies. Et en plus d'employer qui appelle Sell comme "le meilleur personnel crypto", Sell a déclaré que les messages individuels sont liés à l'appareil auquel ils sont destinés. "Même dans 20 ou 100 ans, si la NSA casse miraculeusement ces équations, elle ne pourra toujours pas lire ces messages."

Il est clair que pour Sell, il ne s'agit pas que d'une bonne sécurité. "Je fais la bonne chose ici, et c'est la bonne chose pour eux aussi", a-t-elle déclaré. "Je n'ai pas peur d'eux."