Actions sur le document
Face à TrueCrypt
Zythom - Zythom MEM, 31/03/2015
Il y a un grand nombre de cas où l'on souhaite protéger efficacement des données : c'est vrai pour un journaliste, pour un avocat, pour un activiste des droits de l'Homme, pour un médecin, pour un homme politique... C'est vrai aussi tout simplement pour toutes les personnes qui souhaitent protéger des regards envahissants certaines de leurs données privées.
Car je pense réellement que la vie privée mérite d'être protégée, et qu'il faut que chacun apprenne à sécuriser les données personnelles qu'il souhaite garder confidentielles. Personne ne souhaite voir l’État placer un micro et une caméra dans sa chambre à coucher. Nous avons tous beaucoup de choses à cacher, à commencer par notre vie intime. Je pense d'ailleurs que les choses seraient plus claires si l'on parlait de "vie intime" plutôt que de "vie privée" (c'est à cela que l'on voit que je ne suis pas juriste).
Sur ce sujet, j'ai écris en 2010 un billet consacré à ceux qui ont peur de se faire voler leur ordinateur, et dans lequel je conseillais l'utilisation du logiciel TrueCrypt. Je continue d'ailleurs à utiliser la version 7.1a de ce logiciel pour mes besoins personnels, avec containers cachés (ou pas ;-), malgré l'arrêt brutal du développement de ce logiciel et la sortie d'une version 7.2 bridée. Ceux qui souhaitent apprendre à utiliser ce logiciel, peuvent suivre cette série de billet de la blogueuse Kozlika après avoir téléchargé la version 7.1a sur ce site.
J'utilise TrueCrypt v7.1a pour protéger des disques complets, mais aussi créer de petits espaces de stockage de quelques gigaoctets sous forme de fichiers.
Je suis régulièrement contacté par des lecteurs qui me demandent si je suis déjà tombé sur des fichiers ou des disques chiffrés par TrueCrypt et si j'ai déjà réussi à ouvrir ces fichiers, sans que le propriétaire n'ait fourni le(s) mot(s) de passe.
Avant de répondre à cette question, je tiens à rappeler que je suis un informaticien tout ce qu'il y a de plus normal : je suis salarié dans une entreprise privée de formation où j'occupe un poste d'ingénieur en informatique.
Je n'ai pas suivi de formation particulière en cryptanalyse.
Je n'ai pas accès à des outils secrets.
Aucun gouvernement ne m'a confié l'accès à d'éventuelles portes dérobées.
Je ne suis pas un spécialiste en sécurité informatique.
Bref, je suis parfois déçu quand je me regarde dans une glace, mais je suis un informaticien normal : j'aime bien bidouiller un ordinateur, peaufiner une configuration, installer un nouveau système d'exploitation. J'aime bien les jeux vidéos, la science fiction, l'espace, la spéléo, l'aviron... J'aime les ordinateurs, Windows 98, j'ai fait des concours de calculatrices, je suis vraiment trop con, j'ai fait le concours du robot, qui balancera des balles en haut... (source).
Je n'ai pas plus de moyens qu'un informaticien lambda.
Que se passe-t-il alors lorsque je tombe sur un scellé qui contient des données chiffrées avec TrueCrypt ?
Réponse : rien. Je ne peux rien faire sans avoir le mot de passe. Et encore, je peux avoir un mot de passe qui ouvre le container TrueCrypt, mais pas le container caché. Je n'ai pas de code secret universel, ni de logiciel spécial me permettant d'accéder aux données. Je ne dis pas qu'ils n'existent pas, je dis que je n'y ai pas accès.
Pour autant, je ne baisse pas les bras immédiatement :
- je peux regarder si des données non chiffrées sont présentes et accessibles sur le disque dur (lire le billet intitulé "disque dur chiffré").
- je peux chercher tous les mots de passe de l'utilisateur, mots de passe stockés sur internet ou sur d'autres ordinateurs non chiffrés. Sachant que beaucoup de personnes n'utilisent que quelques mots de passe, la probabilité de trouver des mots de passe ouvrant les containers TrueCrypt est forte. Lire par exemple ce billet intitulé "Perquisition".
- je peux passer par l'enquêteur pour qu'il demande les différents mots de passe à l'utilisateur.
- je peux suspecter un fichier d'être un container TrueCrypt (avec TCHunt par exemple).
Mais si je découvre un mot de passe ouvrant un container TrueCrypt, je n'aurais pas la certitude qu'il n'existe pas un container caché (ie utilisant un autre mot de passe). J'ai une petite astuce qui me permet de flairer la présence d'un container caché : si les dates des quelques fichiers présents sur le container que j'ai réussi à ouvrir sont toutes anciennes, c'est bizarre...
Vous l'aurez compris, la protection de la vie privée et de la confidentialité assurée par TrueCrypt est exemplaire, sauf révélation surprise de l'audit de sécurité de son code. C'est à double tranchant : cela permet à un innocent de protéger ses données confidentielles, mais cela permet également à un coupable de soustraire des preuves à la justice.
Et comme la protection absolue n'existe pas, le coupable sera toujours démasqué un jour ou l'autre. C'est ce que savent également ceux qui luttent contre des régimes totalitaires et tentent de cacher des documents à des yeux trop curieux... Deux tranchants.
Quelques remarques pour finir :
Est-on obligé de fournir les mots de passe ?
Les députés français ont décidé que oui : article 434-15-2 du Code Pénal
Est puni de trois ans d'emprisonnement et de 45 000 euros d'amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en œuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale.
Si le refus est opposé alors que la remise ou la mise en œuvre de la convention aurait permis d'éviter la commission d'un crime ou d'un délit ou d'en limiter les effets, la peine est portée à cinq ans d'emprisonnement et à 75 000 euros d'amende.
La jurisprudence de la Cour Européenne des Droit de l'Homme sur la Convention de sauvegarde des droits de l'Homme et des libertés fondamentales rappelle, elle, le droit de ne pas participer à sa propre incrimination, et en particulier le droit de garder le silence et de ne pas communiquer des documents s'incriminant.
L'article 132-79 du Code Pénal français, augmente les peines encourues (texte en gras modifié par mes soins pour plus de clarté) :
Lorsqu'un moyen de cryptologie au sens de l'article 29 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique a été utilisé pour préparer ou commettre un crime ou un délit, ou pour en faciliter la préparation ou la commission, le maximum de la peine privative de liberté encourue est relevé ainsi qu'il suit :
1° trente ans de réclusion criminelle → perpétuité ;
2° vingt ans → trente ans ;
3° quinze ans → vingt ans ;
4° dix ans → quinze ans ;
5° sept ans → dix ans ;
6° cinq ans → sept ans ;
7° Il est porté au double lorsque l'infraction est punie de trois ans d'emprisonnement au plus.
Les dispositions du présent article ne sont toutefois pas applicables à l'auteur ou au complice de l'infraction qui, à la demande des autorités judiciaires ou administratives, leur a remis la version en clair des messages chiffrés ainsi que les conventions secrètes nécessaires au déchiffrement.
Enfin, l'article 230-1 du Code Pénal français précise dans son dernier alinéa :
Si la peine encourue est égale ou supérieure à deux ans d'emprisonnement et que les nécessités de l'enquête ou de l'instruction l'exigent, le procureur de la République, la juridiction d'instruction, l'officier de police judiciaire, sur autorisation du procureur de la République ou du juge d'instruction, ou la juridiction de jugement saisie de l'affaire peut prescrire le recours aux moyens de l’État soumis au secret de la défense nationale selon les formes prévues au présent chapitre.
Je précise n'avoir jamais eu accès aux "moyens de l’État soumis au secret de la défense nationale" (en dehors de mon service militaire, mais bon, c'était au millénaire précédent). Je ne vous cache pas que je n'ai aucune idée des moyens en question et que probablement je ne le saurai jamais.
Quand je n'arrive pas à accéder à des données à cause d'un chiffrement trop puissant, je l'indique dans mon rapport.
A l'impossible nul n'est tenu.
Et parfois, ce n'est sans doute pas plus mal, au moins pour moi.