WhatsApp se bat pour la vie privée des citoyens de la plus grande démocratie du monde. Cette semaine, la plate-forme de messagerie appartenant à Facebook a poursuivi le gouvernement indien dans le but de contester les nouvelles règles informatiques qui demandent aux applications de messagerie de retrouver le «premier expéditeur» d’un message. Cela pourrait obliger WhatsApp à affaiblir son cryptage de bout en bout, révélant l’identité des expéditeurs et affectant la sécurité de ses 400 millions d’utilisateurs en Inde – et peut-être des milliards d’autres dans le monde.
Bien qu’il soit difficile d’évaluer les résultats possibles du procès, cela pourrait potentiellement dicter le type de technologie de communication et d’espaces de sécurité en ligne disponibles pour les Indiens à l’avenir, et pourrait créer un précédent pour ce que d’autres gouvernements exigeraient non seulement de WhatsApp, mais aussi d’autres applications de messagerie. Se conformer à ces règles mettrait en danger le droit fondamental à la vie privée, disent les experts, car saper le cryptage pour l’un signifierait le faire pour tous. La traçabilité et le chiffrement de bout en bout ne peuvent pas coexister.
Les réglementations Internet de l’Inde pour les plates-formes de médias sociaux, les applications de messagerie, les médias en ligne et les services de streaming vidéo ont été adoptées décret exécutif en février. Les plates-formes ont eu trois mois pour se conformer, la date limite pour laquelle s’est terminée plus tôt cette semaine. L’une des nouvelles directives exige des plates-formes de messagerie comptant plus de 5 millions d’utilisateurs dans le pays – qui comprend non seulement WhatsApp mais également Signal – pour permettre l’identification du premier émetteur d’informations si un tribunal ou une décision gouvernementale l’exige. Pour le contenu qui a commencé en dehors du pays, ces services sont tenus d’identifier sa première instance en Inde.
Actuellement, les fournisseurs de plates-formes cryptées de bout en bout telles que WhatsApp et Signal ne peuvent pas voir ce que les messages contiennent, ce qui signifie qu’ils ne peuvent pas suivre la trace d’un contenu spécifique. Devoir maintenir la traçabilité des messages signifierait non seulement traiter chaque individu comme un sujet criminel potentiel, mais il serait également une tâche lourde pour l’entreprise de conserver de grandes quantités de données.
«La traçabilité obligera les plates-formes cryptées de bout en bout à modifier leur architecture d’une manière qui aura un impact négatif sur la confidentialité et la sécurité en ligne. Ils devront développer la capacité de suivre qui a envoyé quel message à qui et de stocker ces informations indéfiniment », déclare Namrata Maheshwari, défenseur de la politique technologique. « Il s’agit d’une obligation onéreuse qui compromet gravement le cryptage de bout en bout et met en danger la vie privée, la sécurité et la liberté d’expression des utilisateurs. »
Le gouvernement indien dit son intention n’est pas de violer la vie privée de qui que ce soit, et ce traçage ne sera utilisé « qu’à des fins de prévention, d’enquête ou de punition d’infractions très graves liées à la souveraineté et à l’intégrité de l’Inde, à la sécurité de l’État, aux relations amicales avec des États étrangers, ou l’ordre public, ou d’incitation à une infraction liée à ce qui précède ou en relation avec le viol, du matériel sexuellement explicite ou du matériel pédopornographique.
Mais ces définitions laissent beaucoup de place à l’interprétation. Le gouvernement pourrait retrouver quelqu’un qui diffuse de dangereuses informations erronées, mais il pourrait tout aussi facilement utiliser ce pouvoir pour suivre la circulation du contenu politique entre les individus ou pour traquer les militants et les opposants politiques.
« À la minute où vous créez un système capable de remonter le temps et de démasquer quelques personnes qui envoient un contenu, vous avez créé un système qui peut démasquer quiconque envoie du contenu », explique Matthew Green, cryptographe à l’Université Johns Hopkins. «Il n’existe pas de simple collecte d’informations auprès des méchants. Il est très dangereux de commencer à révéler ces informations, car vous ne savez pas où elles se termineront. «
Ce n’est pas la première fois qu’une telle demande est adressée à WhatsApp. La plateforme est confrontée à un appel similaire du Brésil, son deuxième marché après l’Inde. Autre des pays, y compris les États-Unis, le Canada et le Royaume-Uni ont également fait pression sur WhatsApp pour affaiblir son cryptage. Mais c’est la première fois que l’exigence de traçabilité est officiellement imposée, et sur le plus gros marché de la plateforme.