La nouvelle proposition d'amendement à l'eiDAS donne à l'UE un mandat légal pour surveiller les sites HTTPS

En 2018, l'Union européenne a introduit les services d'identification, d'authentification et de confiance électroniques (eiDAS), un ensemble de règlements qui établissent une base de référence pour la confiance et la sécurité dans le cyberespace par le biais de signatures électroniques, de sceaux, d'horodatages, de services de livraison et d'authentification de sites web. Certains règlements ont dû être révisés avec l'émergence de la pandémie, et l'eiDAS réformé pourrait bientôt inclure un article 45 qui permet essentiellement aux gouvernements de l'UE de surveiller les citoyens et les résidents de l'UE par divers moyens d'interception du trafic Internet crypté sur le protocole HTTPS. Cet article a été modifié sans le consentement du public et plus de 300 universitaires et experts en technologie tentent aujourd'hui de dénoncer ces graves atteintes aux droits de l'homme en publiant une lettre ouverte qui préconise l'adoption de normes web établies.

Comme le rapporte ComputerWeekly, Steven Murdoch, professeur d'ingénierie de la sécurité à l'University College London (UCL), fait partie des signataires de la lettre ouverte qui ont été surpris de trouver des mentions de la surveillance des navigateurs web dans l'eiDAS réformé. Si l'article 45 est adopté en l'état, les gouvernements de l'UE pourront insérer à volonté de nouveaux certificats HTTPS racine sous prétexte qu'ils améliorent la sécurité des utilisateurs de sites web. Toutefois, ces nouveaux certificats pourront également être utilisés pour intercepter le trafic web dans l'ensemble de l'UE et recueillir des données confidentielles. Les signataires demandent à la Commission européenne de "reconsidérer d'urgence ce texte et de préciser que l'article 45 n'interférera pas avec les décisions de confiance concernant les clés cryptographiques et les certificats utilisés pour sécuriser le trafic web".

Murdoch souligne que l'article 45 "pourrait être interprété comme un moyen de retirer du pouvoir aux grandes entreprises technologiques pour le donner aux gouvernements", mais "ce n'est pas le bon mécanisme pour cela", car il est toujours préjudiciable à tous les citoyens de l'Union européenne. En outre, les clauses relatives au portefeuille européen d'identité numérique https://commission.europa.eu/strategy-and-policy/priorities-2019-2024/europe-fit-digital-age/european-digital-identity_en dans les articles 6 bis et 7 bis proposés permettent essentiellement aux gouvernements et aux fournisseurs de services technologiques de contrôler la manière dont les identifiants numériques sont utilisés au niveau individuel.

Achetez SSL/TLS Under Lock and Key : Un guide pour comprendre la cryptographie SSL/TLS sur Amazon