Une Promesse Faite et Brisée

Pendant des années, Meta a dit aux utilisateurs et régulateurs que l'implémentation du chiffrement end-to-end sur Facebook Messenger et les messages directs d'Instagram était techniquement difficile — un problème d'ingénierie complexe que l'entreprise travaillait dur pour résoudre. En 2023, l'entreprise a annoncé qu'elle avait résolu ces défis, en déployant une messagerie encrypted end-to-end sur les deux plates-formes avec un grand tintamarre. L'annonce a été positionnée comme une étape importante en matière de confidentialité pour des milliards d'utilisateurs dans le monde.

L'entreprise a maintenant fait un virage complet. Les messages directs d'Instagram, que beaucoup d'utilisateurs croyaient être protégés par le chiffrement end-to-end que Meta affirmait avoir implémenté, semblent ne jamais avoir été complètement chiffrés en premier lieu — ou le chiffrement a été supprimé dans un retrait en arrière que l'entreprise n'a pas expliqué publiquement. La révélation laisse les utilisateurs qui s'appuyaient sur ces assurances dans une position de confidentialité considérablement pire que celle dans laquelle ils croyaient être.

Ce Que Le Chiffrement End-to-End Signifie Réellement

Le chiffrement end-to-end garantit que les messages sont chiffrés sur l'appareil de l'expéditeur et ne peuvent être déchiffrés que par le destinataire prévu. Le fournisseur de services — Meta dans ce cas — ne possède pas les encryption keys et ne peut donc pas lire les messages chiffrés, même s'il y est obligé par les forces de l'ordre ou en cas de data breach affectant les serveurs de Meta.

Sans chiffrement end-to-end, les messages sont protégés en transit par un chiffrement de transport standard (HTTPS/TLS), mais une fois qu'ils arrivent à l'infrastructure de Meta, ils peuvent être déchiffrés par l'entreprise. Cela signifie que Meta peut lire les DMs d'Instagram pour le content moderation, l'advertising targeting ou à d'autres fins, et les forces de l'ordre peuvent obtenir le contenu des messages par un processus juridique dirigé contre Meta. Pour les utilisateurs qui ont partagé des informations personnelles sensibles dans les DMs d'Instagram — informations de santé, discussions financières, communications relationnelles, organisation politique — l'absence de chiffrement end-to-end représente une exposition significative dont ils pourraient ne pas être conscients.

Pourquoi Cela Importe Au-Delà D'Instagram

La situation illustre un problème plus large sur la façon dont les engagements de chiffrement sont communiqués aux utilisateurs. Le chiffrement end-to-end n'est pas un simple binaire qui existe ou n'existe pas sur toute une plateforme. Il peut être implémenté pour certains types de messages mais pas pour d'autres, de manière à avoir des exceptions minant effectivement sa protection. Une entreprise peut faire des déclarations techniquement précises sur l'implémentation du chiffrement end-to-end qui sont néanmoins profondément trompeuses en termes de protection pratique de la confidentialité impliquée.

Les utilisateurs manquent généralement des connaissances techniques pour vérifier de manière indépendante si l'application de messagerie qu'ils utilisent est réellement en train de end-to-end encrypting leurs messages. Ils dépendent de la véracité des communications de l'entreprise, des audits tiers et des chercheurs en sécurité. Lorsqu'une entreprise annule ou échoue à mettre en œuvre le chiffrement qu'elle affirmait fournir, les utilisateurs n'ont aucun moyen pratique de le savoir à moins que les chercheurs n'enquêtent spécifiquement et ne signalent la divergence.

Le Contexte Concurrentiel et Réglementaire

L'inversion du chiffrement de Meta intervient alors que la confidentialité de la messagerie est plus politiquement contestée qu'à tout moment de la dernière décennie. Les agences d'application de la loi aux US, au UK et à l'European Union continuent de faire pression sur les entreprises technologiques pour qu'elles donnent accès aux communications chiffrées. Plusieurs États membres de l'EU ont tenté d'imposer des encryption backdoors par le biais de propositions de Chat Control, bien que celles-ci aient fait face à une opposition juridique et technique importante.

Pour les utilisateurs qui veulent une véritable confidentialité dans les communications numériques, le chemin le plus fiable reste les applications de messagerie chiffrées dédiées comme Signal, développées par une fondation nonprofit avec une mission de confidentialité claire dont l'implémentation du chiffrement a été largement auditée par des chercheurs en sécurité indépendants. L'inversion de Meta est un rappel que les promesses de confidentialité faites par des plateformes soutenues par la publicité ont une tension inhérente avec leurs modèles commerciaux : une entreprise qui génère des revenus en comprenant les intérêts et les comportements des utilisateurs fait face à des incitations structurelles à préserver l'accès au contenu des communications, même lorsqu'elle s'est engagée publiquement à restreindre cet accès par le chiffrement.

Cet article est basé sur des reportages de 9to5Mac. Lire l'article original.