Espionnage : le géant RSA en pleine tourmente

C'est une autre conséquence des révélations Snowden : RSA Security, leader mondial du cryptage informatique, voit sa conférence annuelle (24.000 visiteurs en 2013) risquer le boycott et sa réputation sévèrement compromise. Après des révélations en décembre sur un contrat de complaisance de 10 millions de dollars avec l'agence NSA, une dizaine des spécialistes mondiaux les plus en vue du cryptage informatique ont annoncé qu'ils boycotteraient la conférence annuelle du géant, prévue en février prochain (24 au 28) à San Francisco.

Une partie d'entre eux étaient pourtant prévus au programme des tables rondes de la RSA conference. Et le nombre des opposants pourrait continuer d'augmenter. Mais c'est en fait à la fois le fond de l'accord, et les dénégations maladroites de RSA qui suscitent la critique, alors que les débats continuent, aux USA, sur l'opportunité de mieux encadrer la NSA et sa coopération avec les entreprises privées.

RSA aurait accepté de maintenir un défaut (une « backdoor ») sur un de ses produits de cryptage à clef publique (Dual_EC_DRBG) pour que la RSA puisse déchiffrer à sa guise les messages cryptés avec l'offre commerciale RSA. En septembre, des révélations Snowden dans le New York Times avaient appris au public que la NSA avait travaillé pour insérer des failles dans plusieurs systèmes de cryptage commerciaux. En décembre, on a appris qu'un contrat de 10 millions de dollars aurait été signé en 2004 entre les dirigeants de RSA et la NSA, à l'insu des ingénieurs de l'entreprise, pour maintenir le défaut dans l'offre commerciale.

Le boycott a commencé quand Mikko Hyppönen une figure du cryptage finlandais a annoncé son retrait de la conférence. Hypponen, qui a longtemps coopéré avec les agences d'Etat contre le cybercrime, est l'auteur de cette formule choc à la suite des révélations Snowden : "George Orwell était un optimiste" !

Puis la tension est montée d'un cran : une autre personnalité de la sécurité informatiqu, l'Américain Jeffrey Carr, appelle non seulement à boycotter la conférence mais aussi les produits RSA. Motif ? Il accuse RSA d'avoir violé la confiance de ses clients.

« Il faut un boycott large des produits RSA. Il se suffit pas de dire tout le mal qu'on pense de l'entreprise. La maison mère de RSA, EMC, comme toute autre entreprise, a un Conseil de Direction qui doit répondre aux actionnaires de la maximisation des revenus. Si les clients de RSA commencent à annuler leurs contrats et à refuser les produits de RSA, les revenus de l'entreprise vont baisser, or seul ce type de message fera changer la Direction de cap », déclare Jeffrey Carr sur son blog Digital Dao.

Le 22 décembre, RSA, avait démenti les affirmations du New York Times, mais sans convaincre les spécialistes : car la faille, rappellent Jeffrey Carr,, avait en fait été évoquée dès 2006 ! 

Pendant ce temps, les progrès de régulation européens, qui visent à mieux encadrer les autorités de surveillance, sont dans l'impasse. Et deux camps s'opposent, entre les partisans du respect des droits ancestraux à la vie privée / confidentialité et ceux qui jugent cette "privacy", obsolète.

A propos des conséquences de l'affaire Snowden pour les entreprises, voir mon article pour Novethic
Les télécom aux prises avec l'affaire Snowden .