Microsoft a transmis au FBI les clés de récupération nécessaires pour déverrouiller les supports de stockage chiffrés de trois ordinateurs portables dans le cadre d’une enquête fédérale. Cette coopération, révélée par une affaire de fraude à Guam, met en lumière une faille potentielle dans la protection des données par défaut de Windows 11, où les clés BitLocker sont stockées sur le cloud de l’entreprise et accessibles sur réquisition judiciaire.
L’affaire concerne des individus soupçonnés d’escroquerie liée au programme Pandemic Unemployment Assistance, en lien avec le Covid-19, sur l’île américaine du Pacifique. Six mois après la saisie du matériel, le FBI a obtenu un mandat obligeant Microsoft à fournir les accès. Microsoft a confirmé à Forbes qu’il obtempère lorsqu’il reçoit un mandat valide, précisant traiter environ 20 demandes de ce type par an.
Le chiffrement par défaut : confort ou faille de sécurité ?
De nombreux ordinateurs modernes sous Windows 11 activent par défaut le chiffrement intégral du disque via BitLocker. Cette technologie est censée empêcher quiconque, hormis le propriétaire, d’accéder aux données lorsque l’appareil est verrouillé et éteint. Cependant, la configuration standard prévoit la sauvegarde automatique des clés de récupération sur les serveurs cloud de Microsoft.
Contrairement à Meta, qui chiffre les clés côté serveur pour que seul l’utilisateur puisse y accéder, Microsoft stocke ces informations dans un état lisible par ses services. Cette architecture technique transforme ce qui devrait être une mesure de sécurité en cauchemar pour la vie privée, rendant les clés vulnérables à un accès non sollicité, que ce soit par l’entreprise elle-même ou par les forces de l’ordre.
Microsoft défend cette approche en invoquant la commodité pour l’utilisateur, tout en soulignant que les clients restent les mieux placés pour décider de la gestion de leurs clés.
Une politique aux antipodes de celle d’Apple
Cette posture tranche radicalement avec celle d’autres géants de la Silicon Valley. Apple s’est illustré par son refus catégorique de créer des portes dérobées pour accéder aux données des iPhone, allant jusqu’au bras de fer public avec le FBI par le passé. L’affaire la plus connue est celle qui est en lien avec San Bernardino.
Microsoft note toutefois que sa capacité d’assistance a ses limites : dans de nombreux cas, l’utilisateur n’a pas sauvegardé sa clé dans le cloud, rendant impossible toute intervention de l’entreprise pour aider les autorités.
4 commentaires pour cet article :