« Pour 500 millions d'euros, nous mettrions en place une instance indépendante de Tuta Drive sur l'infrastructure de BND, dotée d'un chiffrement résistant à l'informatique quantique. »
Afin de pouvoir échanger plus rapidement des informations classifiées, le Service fédéral de renseignement allemand (Bundesnachrichtendienst, BND), l’Office fédéral pour la protection de la Constitution (Bundesamt für Verfassungsschutz, BfV) et le Service de contre-espionnage militaire (Militärischer Abschirmdienst, MAD) prévoient de mettre en place un système cloud commun, en collaboration avec Google. Qu’en est-il alors de la souveraineté numérique ?
Selon Tagesschau, le Service fédéral de renseignement allemand (BND) souhaiterait verser 500 millions d’euros à Google pour l’hébergement d’informations hautement confidentielles. Source.
Chez Tuta, nous sommes stupéfaits d’apprendre cela. Honnêtement, pour 500 millions d’euros, nous mettrions en place une instance indépendante de Tuta Drive sur l’infrastructure du BND – avec un chiffrement résistant à l’informatique quantique. Le protocole de chiffrement hybride de Tuta garantit que toutes les données sont transmises avec un chiffrement de bout en bout, de sorte qu’aucun tiers – pas même nous chez Tuta (et encore moins Google) – ne puisse accéder à ces informations hautement classifiées. De plus, le code est open source et peut être vérifié par n’importe qui, ce qui garantit l’absence de portes dérobées. Lorsque les autorités parlent de souveraineté numérique, elles doivent joindre le geste à la parole – au lieu de tomber une nouvelle fois dans le piège des géants de la tech. »
Évaluation de sécurité : risque élevé
Le NDR et le WDR indiquent que le cloud s’appuiera sur le Google Distributed Cloud (GDC), plus précisément sur une version dite « air-gapped ». Ce système fonctionnera de manière autonome et ne disposera d’aucune connexion directe avec Google ou Internet. Les données sont censées être stockées en Allemagne au sein d’un réseau informatique distinct et spécialement protégé. Le problème, cependant, comme le souligne Sven Herpig, responsable de la cybersécurité et des menaces émergentes chez Interface, une organisation indépendante regroupant des professionnels de l’informatique et des experts en cybersécurité, réside dans « chaque mise à jour de Google ». Alors que le système sera vérifié et correctement sécurisé lors de son lancement, chaque mise à jour modifie ce système, et ces mises à jour sont effectuées par Google. M. Herpig déclare : « Cela soulève alors la question suivante : quelle doit être l’ampleur des modifications pour qu’une version mise à jour nécessite une réévaluation et une nouvelle homologation ? »
On ignore également si l’infrastructure cloud « isolée physiquement » devra finalement être entretenue et exploitée sur place par des employés de Google, comme c’est le cas, par exemple, avec les systèmes Palantir en Hesse ou en Bavière.
La décision d’acheter Google Cloud expose les données sensibles à des risques. À cela s’ajoute la question de l’indépendance : que se passerait-il si Google décidait (ou subissait des pressions de la part du gouvernement américain) d’intégrer une porte dérobée cachée dans une mise à jour ? Que se passerait-il si le gouvernement américain ordonnait à Alphabet de lui remettre des données spécifiques en vertu du CLOUD Act américain, de la loi FISA ou du décret présidentiel 123333 ? Alphabet refusera-t-il la demande du gouvernement américain ou transmettra-t-il les données allemandes ?
Ce risque reste bien réel et, compte tenu de la valeur des informations sensibles, il doit être considéré comme élevé.
La souveraineté numérique, ça vous dit quelque chose ?
Et enfin, où cela place-t-il l’Allemagne en matière de souveraineté numérique ? N’est-ce que du vent ? Au lieu de mettre rigoureusement en œuvre l’objectif de souveraineté numérique – au moins dans le domaine de la sécurité intérieure –, le gouvernement fédéral allemand tombe dans une nouvelle dépendance et s’en remet aux assurances de l’hyper-scale américain Google.
Mais c’est maintenant l’occasion de soutenir et de développer des alternatives européennes, et les autorités doivent montrer l’exemple ! Privilégier Google aux dépens des fournisseurs allemands est la pire décision que le BND aurait pu prendre dans ce contexte.