Ils n'ont pas piraté iCloud. Ils ont juste deviné le nom de votre chien.

Ils n'ont pas piraté iCloud. Ils ont juste deviné le nom de votre chien.

Fin août 2014, des photos privées de dizaines d'actrices et de mannequins célèbres ont commencé à apparaître sur 4chan, puis Reddit, puis partout. Les gros titres disaient qu'iCloud avait été « piraté ». Apple a enquêté et publié un communiqué plus précis — et plus dérangeant — que les gros titres : les comptes avaient été compromis par « une attaque très ciblée contre les noms d'utilisateur, les mots de passe et les questions de sécurité ».

Relisez bien. Pas une faille du chiffrement d'Apple. Pas un défaut du cloud. Des noms d'utilisateur, des mots de passe et des questions de sécurité.

Personne n'a crocheté la serrure. On a simplement posé les bonnes questions au concierge, et il a remis la clé.

La clé sous le paillasson

Chaque compte en ligne a deux portes. Il y a la porte d'entrée — votre mot de passe, peut-être l'authentification à deux facteurs, ce à quoi vous pensez quand vous pensez « sécurité ». Et puis il y a la porte de service : la récupération de compte. Mot de passe oublié ? Répondez à quelques questions. Vérifiez votre e-mail de secours. Recevez un SMS.

La porte de service existe parce que les entreprises savent que les gens oublient leurs mots de passe. C'est une fonction de service client. Et c'est, structurellement, le point le plus faible de tout le système — parce qu'elle doit l'être. Un processus de récupération qu'un utilisateur légitime peut accomplir un mauvais jour, depuis un téléphone emprunté, avec une mémoire floue, est aussi un processus qu'un attaquant peut accomplir avec un peu de recherche.

Réfléchissez à ce que les « questions de sécurité » vous demandent vraiment. Le nom de jeune fille de votre mère. Le nom de votre premier animal. La rue où vous avez grandi. Le modèle de votre première voiture. Ces questions ont été conçues à une époque où de tels faits étaient privés — des choses que vous seul et votre famille connaissiez. Cette époque s'est terminée à peu près quand Facebook a commencé.

Le nom de jeune fille de votre mère est sur les sites de généalogie. Le nom de votre premier animal est dans vos légendes Instagram de 2016 (« Souvenir de Biscotte ! »). La rue de votre enfance est dans le groupe de votre réunion d'anciens élèves. Votre première voiture figure sur une photo publiée il y a dix ans. Les réponses à vos questions « secrètes » sont, pour la plupart des gens, à trente minutes de recherche. Pour une célébrité — dont la biographie a été documentée par des milliers d'inconnus — c'est plutôt trois minutes.

Ce que les attaquants de 2014 ont vraiment fait

Les récits publics de l'incident de 2014 décrivent une opération patiente et sans glamour. Certains attaquants ont envoyé des e-mails d'hameçonnage déguisés en alertes de sécurité d'Apple et de Google, dirigeant leurs cibles vers de fausses pages de connexion. D'autres ont exploité le fait que le service « Localiser mon iPhone » d'Apple, à l'époque, ne limitait pas le nombre de tentatives de mot de passe — permettant à des scripts automatisés d'essayer des milliers de mots de passe courants contre des identifiants Apple connus, sans être bloqués.

Rien de tout cela n'a nécessité de casser un chiffrement. Rien n'a nécessité un accès interne. Il a suffi de savoir que la porte d'entrée a une porte de service, et que la porte de service est gardée par des questions dont les réponses sont publiques.

La réponse d'Apple est révélatrice. Ils n'ont pas annoncé un chiffrement plus fort — le chiffrement allait très bien. Ils ont commencé à notifier les utilisateurs chaque fois qu'iCloud était consulté depuis un nouvel appareil, et ont poussé l'authentification à deux facteurs. Autrement dit : ils ont essayé de rendre la porte de service plus bruyante, pour que vous l'entendiez s'ouvrir.

Mais la porte de service est toujours là. Elle doit l'être. Chaque service cloud qui propose « mot de passe oublié » en a une.

Le paradoxe de la récupération

Voici le paradoxe qu'aucun fournisseur de cloud ne peut résoudre : plus un compte est facile à récupérer, plus il est facile à voler. C'est la même propriété. Un flux de récupération est, par définition, un moyen d'entrer sans le mot de passe. Chaque étape qui le rend plus accueillant pour vous — moins de questions, réinitialisation plus rapide, support client serviable — le rend plus accueillant pour quelqu'un qui se fait passer pour vous.

En France, la vie privée n'est pas un simple réglage : c'est un droit. La loi « informatique et libertés » de 1978 — la première au monde — est née ici, bien avant que le reste de la planète ne s'y intéresse. Et ce qui frappe dans les questions de sécurité, c'est qu'elles traitent le jardin secret comme une méthode d'authentification, à une époque où le jardin secret a été labouré pour en faire du contenu. Les choses qui étaient censées prouver que vous êtes vous sont devenues les choses qui prouvent que n'importe qui peut être vous.

Ce n'est pas un argument contre le cloud. Les services cloud sont des outils extraordinaires, et pour la plupart des usages, la commodité vaut le compromis. Mais autant voir le compromis en face : tout ce qui est protégé par un lien « mot de passe oublié » est protégé par un processus conçu pour laisser entrer des inconnus, pourvu qu'ils racontent une histoire convaincante.

Ce qui mérite un endroit sans porte de service

La plupart de votre vie numérique peut tolérer ce risque. Votre file de lecture en streaming, votre historique d'achats, vos conversations de groupe — si quelqu'un y accédait, ce serait désagréable, pas catastrophique.

Mais chacun a une catégorie de choses pour lesquelles « désagréable » n'est pas le bon mot. Des photos de famille qu'on ne pourra jamais reprendre. Des journaux intimes. L'archive du travail d'une vie. Des choses irremplaçables et, dans certains cas, des choses que vous préféreriez que personne ne voie jamais. Pour ces choses-là, la question n'est pas de savoir si la porte d'entrée est solide. C'est de savoir s'il existe une porte de service.

La serrure la plus forte n'est pas une meilleure promesse. C'est l'absence de porte.

Un disque hors ligne, chiffré par vous, posé dans un coffre sans aucune connexion réseau, n'a pas de lien « mot de passe oublié ». Il n'y a aucun agent du support client à charmer pour réinitialiser votre accès. Il n'y a aucune question de sécurité sur le nom de votre chien, parce qu'il n'y a aucun écran de connexion. Le seul chemin d'entrée, c'est le mot de passe dans votre tête — et s'il disparaît, les données disparaissent aussi. C'est le coût honnête de cet arrangement, et autant le dire franchement.

Nous avons appris que les gens ne veulent pas vraiment de « l'imp piratable ». Ils veulent arrêter de faire ce calcul anxieux — et si, et si, et si — chaque fois qu'ils lisent parler d'une nouvelle fuite. Le calme qui naît de savoir qu'il n'existe tout simplement aucun chemin distant vers ce que vous avez de plus intime a un nom. Les Grecs l'appelaient l'ataraxie. Nous, nous appelons ça toute la raison d'être.