Microsoft a remis au FBI les clés de récupération nécessaires pour déverrouiller les supports de stockage cryptés sur trois ordinateurs portables dans le cadre d'une enquête fédérale. Cette coopération, révélée par une affaire de fraude à Guam, met en évidence une faille potentielle dans la protection des données par défaut de Windows 11, où les clés BitLocker sont stockées sur le cloud de l'entreprise et accessibles sur réquisition légale.
L’affaire concerne des individus soupçonnés de fraude liée au programme Pandemic Unemployment Assistance, lié au Covid-19, sur l’île américaine du Pacifique. Six mois après la saisie du matériel, le FBI a obtenu un mandat exigeant que Microsoft en donne accès. Microsoft a confirmé Forbes qu'il s'y conforme lorsqu'il reçoit un mandat valide, précisant qu'il traite environ 20 demandes de ce type par an.
Le chiffrement par défaut : confort ou faille de sécurité ?
De nombreux ordinateurs modernes exécutant Windows 11 activent par défaut le chiffrement complet du disque via BitLocker. Cette technologie est censée empêcher toute personne autre que le propriétaire d'accéder aux données lorsque l'appareil est verrouillé et éteint. Cependant, la configuration standard prévoit une sauvegarde automatique des clés de récupération sur les serveurs cloud Microsoft.
Contrairement à Meta, qui chiffre les clés côté serveur afin que seul l'utilisateur puisse y accéder, Microsoft stocke ces informations dans un état lisible par ses services. Cette architecture technique transforme ce qui devrait être une mesure de sécurité en un cauchemar en matière de confidentialité, rendant les clés vulnérables à un accès non sollicité, que ce soit par l'entreprise elle-même ou par les forces de l'ordre.
Microsoft défend cette approche en invoquant la commodité pour l'utilisateur, tout en soulignant que les clients restent les mieux placés pour décider de la manière dont leurs clés sont gérées.
Une politique aux antipodes de celle d'Apple
Cette posture contraste radicalement avec celle des autres géants de la Silicon Valley. Apple s'est distingué par son refus catégorique de créer des portes dérobées pour accéder aux données de l'iPhone, allant jusqu'à se confronter publiquement au FBI par le passé. Le cas le plus connu est celui lié avec San Bernardino.
Microsoft note cependant que sa capacité d'assistance a ses limites : dans de nombreux cas, l'utilisateur n'a pas sauvegardé sa clé dans le cloud, ce qui rend impossible pour l'entreprise d'intervenir pour aider les autorités.
