Lexique · Souveraineté numérique
Client-side scanning
Analyse du contenu d'un message ou d'un fichier directement sur l'appareil de l'utilisateur, avant son envoi, pour le comparer à une base de contenus recherchés. Le chiffrement de bout en bout n'est pas cassé en tant que tel, mais le contenu est examiné en clair sur le terminal avant d'être chiffré.
- Rubrique
- Souveraineté
- Mise à jour
- Articles
- 1
Notions liées
Sources · 4
- [1] EDPB-EDPS Joint Opinion 04/2022 on the Proposal for a Regulation laying down rules to prevent and combat child sexual abuse (Comité européen de la protection des données)
- [2] Bugs in our Pockets: The Risks of Client-Side Scanning (arXiv)
- [3] Apple delays plans to roll out CSAM detection in iOS 15 after privacy backlash (TechCrunch)
- [4] Apple Kills Its Plan to Scan Your Photos for CSAM. Here’s What’s Next (WIRED)
Ce que ça change pour une organisation
Le client-side scanning déplace le point de contrôle : plutôt que d’analyser les messages sur les serveurs du fournisseur, ce qui est impossible lorsque le chiffrement est de bout en bout, l’analyse se fait sur le terminal, avant l’envoi. Dans leur avis conjoint du 28 juillet 2022 sur la proposition de la Commission de mai 2022 visant à prévenir les abus sexuels sur enfants, le Comité européen de la protection des données et le Contrôleur européen de la protection des données ont estimé qu’une telle technique conduirait probablement à un accès et à un traitement substantiels et non ciblés de contenus non chiffrés sur les appareils des utilisateurs. Des chercheurs en cryptographie (rapport « Bugs in our Pockets », 2021) estiment en outre que cette approche peut échouer, être contournée ou détournée de son objet.
Pour une organisation, l’enjeu est double. Les terminaux professionnels deviendraient des lieux où un contenu en clair est examiné par un logiciel dont elle ne maîtrise pas les règles. Et la confidentialité d’une messagerie doit s’apprécier au niveau du terminal, et pas seulement du transport.
Exemple
En août 2021, Apple a annoncé un dispositif de détection de contenus pédocriminels dans les photos destinées à iCloud, reposant sur une comparaison effectuée sur l’appareil. L’entreprise en a suspendu le déploiement début septembre 2021, après les critiques recueillies. En décembre 2022, elle a indiqué à WIRED qu’elle renonçait à cet outil, estimant que les enfants peuvent être protégés sans que les entreprises examinent des données personnelles, et elle annonçait au même moment l’extension du chiffrement de bout en bout de ses offres iCloud.
À ne pas confondre avec
- Le chiffrement de bout en bout, que le client-side scanning ne casse pas mais dont il examine le contenu en amont, avant le chiffrement.
- L’analyse côté serveur, pratiquée sur des contenus que le fournisseur reçoit en clair et que les autorités européennes de protection des données jugent fondamentalement incompatible avec le chiffrement de bout en bout, puisque le canal chiffré devrait être rompu.
