Depuis peu, Google met des clés de sécurité physiques à la vente sur sa boutique en ligne. La firme de Mountain View a chargé une entreprise chinoise de la fabrication des dispositifs Titan utilisés pour la connexion sécurisée à des services en ligne. La manœuvre inquiète des experts du domaine.
À San Francisco lors de sa conférence Next cloud du mois dernier, le géant technologique a procédé à la présentation desdites clés sans nommer le fabricant. Une publication de la CNBC fait état de ce que Google joue ce rôle d’un point de vue légal. Elle mentionne ensuite Feitian comme responsable du volet fabrication des clés dans la pratique. Motherboard rapporte que Google lui a confirmé que Feitian fabrique effectivement les dispositifs de sécurité et que le géant de la Tech ne trouve aucun problème à travailler avec l’entreprise chinoise basée à Beijing.
En début d’année, Google a finalisé avec l’acquisition des activités hardware de HTC. L’acquisition d’une équipe du constructeur taïwanais de smartphones est une indication de la volonté de Google de mettre le paquet sur ses projets de production de son propre hardware. La décision du géant de la Tech de confier la fabrication de ces nouveaux dispositifs de sécurité à une entreprise chinoise est donc aux antipodes de la précédente manœuvre. Bien plus, elle inquiète des experts de la sphère de la cybersécurité.
Ces derniers appellent à plus de transparence autour des clés. « Je crois que ce serait une bonne chose s’ils documentent les processus de leur chaîne d’approvisionnement », déclare Alex Stamos – responsable de la sécurité des systèmes d’information de l’université de Standford. Pour le moment, les clés sont à la vente aux USA et au sein de la communauté de la cybersécurité du pays, il y a des craintes que le gouvernement chinois en tire des bénéfices. « En Chine, la chaîne d’approvisionnement est souvent dictée par la politique gouvernementale », rapporte Motherboard des propos d’un autre expert.
Les experts évoquent la possibilité que le gouvernement chinois force l’entreprise chargée de la fabrication à introduire des portes dérobées au sein des dispositifs. Leur posture est compréhensible quand on se souvient que l’Agence nationale pour la sécurité des États-Unis (NSA) serait parvenue à introduire des backdoors dans des produits de l’équipementier réseau Cisco. En réponse à ces inquiétudes, Google répond que le firmware de la puce qui fournit les clés de sécurité est développé par ses soins et que le chip est scellé avant son acheminement au fabricant.
Cette situation pose le problème plus général de cette dépendance à la Chine. Apple, Samsung, etc. disposent de chaînes de montage sur le sol de l’empire du Milieu. Le problème est connu : il faut minimiser les dépenses en s’appuyant sur une main-d’oeuvre abondante et très peu coûteuse. Seulement, cela se fait avec des risques de compromission de la sécurité des consommateurs desdits produits. Dès son entrée en fonction, Donald Trump a décidé d’attraper le taureau par les cornes en incitant les géants de la Tech étasuniens à construire des usines sur place.
Sources : CNBC
