Chiffrement : la charge de la preuve

Le coût économique d’une porte dérobée · Volet 7 sur 7

Une obligation d’accès aux messages chiffrés se juge sur les informations qu’elle rend utiles, les risques qu’elle ajoute et les moyens nécessaires pour la contrôler. De la collecte statistique du FBI aux évaluations chinoises, en passant par les attentes des Européens, le dernier volet examine les preuves dont une décision publique a besoin.

Le 21 octobre 2026, la police fédérale américaine (FBI) publie un avis administratif sur le renouvellement de sa Lawful Access Data Collection. Son objet : recueillir les signalements d’enquêtes affectées par le chiffrement. Les commentaires sont ouverts jusqu’au 20 novembre. Un mois auparavant, l’agence reconnaissait encore une participation limitée et peu de données remontées. Au cœur d’un débat chargé de certitudes, la mesure du besoin reste un chantier. ^X01

L’avis porte sur une collecte statistique volontaire. Il permet d’entrer dans la question qui ferme cette série : sur quelles preuves décider d’imposer une capacité d’accès aux données chiffrées ? Une difficulté d’enquête, une solution technique et un avantage collectif sont trois objets à examiner successivement. Leur rapprochement demande du travail, des hypothèses explicites et des institutions capables de vérifier les résultats. ^{X01 X04}

Dans cette analyse, la charge de la preuve désigne cette exigence d’évaluation publique. Une obligation d’accès devrait pouvoir être décrite, confrontée aux solutions disponibles et réexaminée à la lumière de son fonctionnement. C’est la proposition éditoriale du dernier volet, nourrie de documents américains, européens et chinois. Elle concerne autant les bénéfices recherchés que les risques imposés à d’autres.

Compter les obstacles, suivre les affaires

Le FBI a commencé à recevoir les signalements LADC le 1er janvier 2024. Son bulletin de lancement constatait alors l’absence d’un décompte national représentatif. Le dossier méthodologique initial décrivait des remontées volontaires par incident, avec des informations sur les appareils et les tentatives d’accès. Les avis de 2026 confirment le volontariat ; ils apportent surtout un avertissement sur la faiblesse de la participation. ^{X02 X01}

Cette limite change la lecture d’un chiffre. Les services les mieux équipés pour déclarer peuvent aussi traiter les dossiers les plus complexes. Un même dossier peut comporter plusieurs appareils. Un obstacle technique peut retarder une enquête, laisser une question ouverte ou être contourné par une autre preuve. Pour passer du signalement au diagnostic, il faut connaître l’unité comptée, la couverture de la collecte et la suite donnée à l’affaire. Le guide du Government Accountability Office (GAO), l’organisme d’audit du Congrès américain, résume cette discipline par l’exactitude, l’exhaustivité et l’adéquation des données à leur usage. Nous appliquons ici sa méthode ; le document du GAO n’audite pas LADC. ^{X04 X06}

Un précédent américain justifie cette attention. Dans une note ajoutée à un discours de 2017 sur le chiffrement, le ministère de la Justice reconnaît qu’un total de 7 800 appareils avait été cité à tort, à la suite d’une erreur de méthode du FBI. Il annonce un nombre sensiblement inférieur, sans donner le chiffre corrigé. La date d’insertion du rectificatif demeure inconnue dans la page consultée. L’épisode montre combien un nombre peut peser dans le débat avant que son mode de fabrication soit stabilisé. ^X03

L’indicateur décisif serait le gain supplémentaire attribuable à une mesure précise. Imaginons une catégorie d’enquêtes définie à l’avance : mêmes infractions, délais comparables, ressources documentées. Une capacité nouvelle permet-elle d’obtenir une information utile plus tôt ? Modifie-t-elle une décision, confirme-t-elle une piste ou permet-elle d’innocenter une personne ? Quelle part de ce résultat aurait été obtenue avec les moyens existants ? Ces questions prolongent le cadre d’évaluation des National Academies, qui distingue déjà appareil inaccessible, accès utile et conséquence pour l’enquête. ^X04

La comparaison sera imparfaite. Les affaires changent, les services apprennent et les personnes visées peuvent adapter leurs pratiques. Une évaluation crédible doit montrer comment elle traite ces écarts. Elle peut mobiliser des dossiers rétrospectifs anonymisés, des tests techniques contrôlés et une revue contradictoire des hypothèses. Le choix de la méthode dépendra du dispositif et des contraintes juridiques.

Le meilleur argument pour l’accès

Le contenu d’un échange peut faire basculer une enquête. Dans sa contribution publiée le 4 mai 2026, la délégation parlementaire française au renseignement explique que le contenu d’échanges peut être indispensable pour établir le rôle d’un commanditaire ou d’un complice éloigné. Les relations entre correspondants ne donnent pas toujours le sens de leurs instructions. Selon la délégation, les techniques informatiques ciblées mobilisent du temps, des compétences et des moyens qui en limitent le déploiement, particulièrement dans l’urgence. ^X11

C’est un argument matériel. Si une information décisive arrive après une échéance opérationnelle, sa valeur peut s’effondrer. Une évaluation qui compterait seulement le coût informatique d’un dispositif manquerait le préjudice lié à une enquête retardée ou à une menace insuffisamment comprise. Le cadre des National Academies inclut précisément la disponibilité de l’accès dans les délais utiles et à l’échelle nécessaire. ^X04

La communication parlementaire repose toutefois sur des travaux dont une partie est classifiée. Sa version publique ne fournit pas un échantillon permettant d’estimer le nombre d’affaires supplémentaires qu’une architecture déterminée résoudrait. Elle établit une demande opérationnelle et défend un accès ciblé et encadré. Le passage de cette demande à une politique suppose encore de décrire la capacité technique, ses bénéficiaires et son périmètre. ^X11

Cette précision protège aussi la qualité du débat. Obtenir des données déjà détenues par un fournisseur, accéder à un terminal et modifier un service pour rendre certains contenus accessibles engagent des chaînes techniques différentes. Le mot « accès » laisse ces différences ouvertes. Le chapitre d’évaluation des National Academies recommande d’examiner chaque proposition selon ses capacités, ses effets sur la sécurité, les droits, les coûts et le contexte international. ^X04

Du composant à l’architecture

Pour juger une proposition, il faut suivre les autorisations autant que la cryptographie. Qui peut déclencher l’accès ? Sur quels appareils et quelles versions ? Comment détecter un ordre erroné, un compte d’administration compromis ou un usage dépassant le périmètre autorisé ? Quel contrôle subsiste lorsque le service évolue ? Ce sont des questions d’intégration et d’exploitation, à examiner avec la capacité technique promise. ^{X04 X08}

La FAQ de l’Institut américain des normes et de la technologie (NIST) sur la validation des modules cryptographiques fournit un repère précis. Un module est évalué dans un périmètre de validation défini. Son intégration dans un produit ne valide pas automatiquement ce produit ni la manière dont il utilise le module. La validation demeure utile ; elle répond à une question délimitée. Notre déduction est qu’un mécanisme d’accès doit aussi être évalué dans le système qui l’entoure, avec ses décisions d’autorisation, ses traces et ses procédures de maintenance. ^X05

Le Comité européen de la protection des données formulait une exigence voisine en novembre 2024 : définir et évaluer les mesures techniques concrètes pour apprécier leur nécessité, leur proportionnalité et leur efficacité. Il souligne qu’une intervention juridiquement ciblée peut demander une modification technique dont la portée est plus large. Il demande des éléments objectifs, y compris statistiques lorsque pertinents, tout en reconnaissant l’enjeu de l’impunité de certaines infractions. ^X08

Le calendrier européen confirme que ce travail reste une étape à documenter. La communication de juin 2025 prévoyait une feuille de route technique sur le chiffrement. Une note du Conseil de janvier 2026 situe ses résultats attendus au quatrième trimestre 2026, après une échéance initialement annoncée au deuxième trimestre. Au 7 novembre, nous n’avons pas trouvé de confirmation publique de la publication finale. Une échéance politique renseigne sur le programme de travail ; la démonstration technique dépend des résultats effectivement accessibles. ^X09

Les hypothèses derrière les 250,6 milliards estimés pour AES

L’économie du chiffrement dispose d’un exemple particulièrement instructif. Une étude réalisée pour le NIST, publiée en septembre 2018, évalue les effets du programme ayant conduit au standard AES, une méthode de chiffrement. Elle obtient 250,6 milliards de dollars de bénéfices bruts estimés, cumulés de 1998 à 2017, en dollars constants de 2017. Ce montant concerne le programme AES sur la période étudiée, 1996–2017. ^X19

Pour comprendre le résultat, il faut entrer dans son scénario de comparaison. Les auteurs cherchent les dépenses de développement, d’adoption et d’interopérabilité que les acteurs auraient engagées sans le programme du NIST. Leur contrefactuel imagine le chemin qu’aurait pris l’industrie vers un autre standard. Cette histoire alternative permet d’estimer des coûts évités ; elle exige des hypothèses sur les choix et le calendrier des entreprises. ^X19

L’enquête fournit des éléments pour des estimations directes auprès de 74 répondants. Un modèle complète les résultats pour 95 autres, portant le premier ensemble à 169. Les auteurs extrapolent ensuite à certains secteurs selon la part de leur emploi représentée par les répondants, en retenant les secteurs comptant au moins dix répondants. Les bénéfices passés sont cumulés à 2017 à un taux réel annuel de 7 %. Chaque étape ajoute une convention au calcul. ^X19

Méthode et périmètre

Leech, Ferris et Scott, NIST GCR 18-017, septembre 2018. Programme étudié : 1996–2017 ; bénéfices élémentaires : 1998–2017. Enquête du 26 février au 9 avril 2018 : 74 répondants fournissent des éléments d’estimation directe, 95 autres sont estimés par modèle, soit 169. L’extrapolation s’appuie sur la part d’emploi représentée, dans les secteurs comptant au moins dix répondants. Bénéfices bruts estimés de 250,6 milliards USD constants de 2017, cumulés à 2017 au taux réel annuel de 7 %. Les flèches décrivent les étapes, sans proportionnalité de largeur ou de surface. L’annexe E reconnaît une incertitude initiale non quantifiable, avec des résultats potentiellement beaucoup plus faibles ou plus élevés. Le résultat concerne le programme AES ; il ne mesure ni tout le chiffrement, ni une perte imputable à une porte dérobée.

La lecture de l’annexe d’incertitude est aussi importante que celle du résultat. Les auteurs reconnaissent que l’incertitude des estimations initiales, la plus importante à leurs yeux, ne peut être quantifiée. Les bénéfices pourraient être beaucoup plus faibles ou plus élevés. Le cadrage en « minimum » s’appuie sur des catégories de bénéfices et des secteurs laissés hors champ ; il ne constitue pas une borne statistique garantie. ^X19

On peut tirer de cette étude une leçon de méthode : une infrastructure commune peut éviter à chaque acteur de reconstruire les mêmes solutions, mais mesurer cet avantage demande un scénario de remplacement. Le total AES reste lié à ce scénario, à cette période et à cette enquête. Lui appliquer un pourcentage arbitraire pour annoncer le coût d’une porte dérobée produirait un nombre sans fondement.

Pour une obligation d’accès déterminée, le même effort de définition serait nécessaire : décrire les changements imposés, les ressources qu’ils mobiliseraient et les événements susceptibles de produire un dommage. Les coûts de conception peuvent être documentés par des devis et des temps de travail. Une perte attendue demanderait en plus des hypothèses sur la probabilité d’incidents et leur gravité. Lorsque ces paramètres sont inconnus, une analyse de sensibilité clairement hypothétique éclaire les dépendances ; un total présenté comme observé serait trompeur.

La confiance résiste à la conversion en euros

Une enquête de l’Agence des droits fondamentaux de l’Union européenne (FRA), publiée le 11 mai 2026, apporte un autre type de preuve. Interrogées du 6 au 30 novembre 2025, 26 453 personnes de 15 ans et plus dans l’Union européenne ont répondu à des questions sur leurs communications privées en ligne. Parmi l’ensemble des répondants, non-utilisateurs compris, 77 % jugent le chiffrement très ou assez important. Les résultats sont pondérés. ^X07

La question sur les inquiétudes précise les acteurs envisagés et un accès à l’insu de la personne ou sans sa permission. En France, 64 % des répondants se déclarent inquiets à l’égard de personnes ayant une activité criminelle, 50 % à l’égard des entreprises et 33 % à l’égard des forces de l’ordre. Le graphique permet de lire les six catégories avec le même périmètre, à côté de l’agrégat européen dont la France fait partie. ^X07

Méthode et périmètre

FRA, publication du 11 mai 2026, Eurobaromètre 104.2 ; terrain du 6 au 30 novembre 2025. Pourcentages pondérés de personnes de 15 ans et plus, non-utilisateurs compris, donnant une note de 5 à 7 sur une échelle d’inquiétude de 1 à 7. L’échantillon UE27 compte 26 453 répondants ; ce total ne désigne pas l’échantillon français. France puis UE : personnes ayant une activité criminelle 64/62 %, gouvernements étrangers 49/49 %, entreprises 50/47 %, renseignement national 37/42 %, gouvernement national 41/42 %, forces de l’ordre 33/37 %. L’axe commun va de 0 à 100 %. La France appartient à l’agrégat européen ; les réponses se recouvrent et ne s’additionnent pas. Comparaisons descriptives, sans intervalles de confiance fournis pour ces écarts. La question ne mesure ni le soutien à une obligation judiciaire définie ni un consentement à payer.

Ces réponses décrivent des attentes et des inquiétudes. Elles ne mesurent ni un consentement à payer, ni l’opinion sur une obligation judiciaire définie. Une personne peut attacher une grande importance à la confidentialité et approuver certains accès sous conditions. Les écarts de quelques points entre France et UE restent descriptifs : le rapport consulté ne fournit pas d’intervalles de confiance pour ces comparaisons. ^X07

Le passage à l’économie exige donc une étape supplémentaire. Pour établir qu’une architecture ferait perdre des clients à un fournisseur, il faudrait observer ou estimer leur comportement face à cette architecture, avec une comparaison crédible. Le sondage ne donne pas cette élasticité. Il aide à poser la question des garanties attendues, qui doit ensuite rencontrer les décisions d’achat, les usages et le cadre des droits.

Une autre difficulté concerne la répartition des conséquences. Ross Anderson et Tyler Moore expliquaient dès 2006 que les incitations de sécurité se déforment lorsque celui qui choisit la protection diffère de celui qui supporte la défaillance. Appliqué ici, ce cadre conduit à suivre séparément l’autorité qui demande une capacité, l’entreprise qui la construit, les services qui l’utilisent et les personnes dont les données pourraient être exposées. C’est une application analytique du mécanisme, sans estimation d’une perte actuelle. ^X20

Un remboursement public peut déplacer une facture entre contribuables et fournisseur. Les heures de travail, elles, restent mobilisées. Et une indemnisation éventuelle des victimes intervient après le dommage. Cette distinction entre transfert financier et ressources consommées évite de confondre budget de l’État, dépenses des entreprises et coût pour la collectivité. Elle conduit aussi à demander qui financerait durablement la réduction du risque. ^{X20 X04}

Les garanties occupent des équipes

En France, le rapport d’activité 2025 de la Commission nationale de contrôle des techniques de renseignement (CNCTR) donne une forme concrète à cette dernière question. La commission décrit une activité plus technique, accomplie à moyens constants, et estime avoir atteint sa limite capacitaire. Son contrôle suit notamment la collecte, l’utilisation, la traçabilité et la destruction des données. Ce constat appartient au contrôle du renseignement, avec son cadre propre ; il éclaire la charge humaine d’une garantie. ^X10

La CNCTR rapporte 120 contrôles et 100 813 demandes de techniques domestiques individuelles pour 2025. Diviser les premiers par les secondes fabriquerait un taux sans signification : une opération de contrôle peut couvrir plusieurs techniques, tandis que les demandes comprennent des renouvellements. Le point économique se trouve dans la profondeur du travail, les accès dont disposent les contrôleurs et les compétences nécessaires. La commission relève d’ailleurs qu’un examen plus approfondi peut faire apparaître davantage d’anomalies. Une hausse des anomalies détectées doit donc être interprétée avec l’intensité du contrôle. ^X10

Le rapport FRA d’octobre 2026 sur la protection des données dans la police et la justice apporte un éclairage complémentaire : des entretiens décrivent des besoins de formation, d’expertise et de moyens chez les contrôleurs. Cette recherche qualitative repose sur 132 entretiens réalisés entre janvier et juillet 2025. Elle ne fournit pas un taux représentatif de non-conformité. Aucun entretien avec un agent opérationnel de la police ou de la justice n’a pu être mené en France ; les constats européens doivent conserver cette limite. ^X13

La Chine offre un autre terrain documentaire, dans un domaine différent : la conformité des usages de la cryptographie. Son règlement de 2023 définit la cryptographie commerciale par la protection et l’authentification d’informations qui ne relèvent pas des secrets d’État. Il prévoit une coordination des évaluations afin d’éviter leur duplication. Une telle prescription indique un objectif d’organisation ; les économies effectivement réalisées resteraient à mesurer. ^X15

Depuis le 1er juillet 2026, de nouvelles règles s’appliquent aux prestataires concernés d’authentification électronique. Elles imposent une évaluation de conformité au moins annuelle, la correction des problèmes et la transmission du rapport à l’autorité compétente. Les personnels techniques et de gestion de la sécurité concernés doivent recevoir au moins 20 heures de formation par an. Les inspections administratives sont, elles, sans frais. Les deux dispositions coexistent : la gratuité de l’inspection laisse à l’opérateur des obligations qui mobilisent du travail. ^X14

D’autres textes précisent la chaîne de contrôle. Pour certains réseaux et systèmes importants soumis aux règles d’usage de la cryptographie commerciale, une évaluation intervient dès la conception, avant la mise en service puis au moins annuellement. L’autoévaluation est admise sous conditions. Les organismes de test sont soumis à des exigences d’indépendance et de conservation des pièces ; l’échec à certaines vérifications impose une correction et la suspension de l’activité de test concernée. ^{X16 X17}

Un avis de Pékin du 21 janvier 2026 ajoute un détail essentiel pour la qualité de l’information : les résultats doivent être déposés même lorsque l’évaluation conclut à un échec, dans les trente jours suivant le rapport. L’administration se donne ainsi un canal de réception des résultats défavorables. Le dépôt ne renseigne toutefois pas sur la publication au public, l’exhaustivité des transmissions ou la correction effective des défauts. ^X18

Ces pièces chinoises décrivent des obligations de sécurité dans des périmètres précis. Elles n’établissent aucune capacité générale de déchiffrer les communications. Leur intérêt comparatif tient au travail récurrent qu’exige un contrôle : produire une évaluation, conserver des traces, traiter les échecs et recommencer. Les garanties, les droits et l’indépendance institutionnelle restent propres à chaque régime. ^{X14 X16 X17 X18}

Une décision qui accepte d’être réexaminée

Un précédent européen montre comment inscrire le suivi dans un texte. Le règlement sur les preuves électroniques prévoit des statistiques sur les injonctions, leur exécution, les refus, les délais, les recours et les frais réclamés ou remboursés. Son évaluation doit intervenir au plus tard le 18 août 2029. Ce règlement porte sur la production de données et précise qu’il ne crée pas d’obligation de déchiffrement. Nous en retenons ici l’organisation du suivi, dans un champ distinct de l’accès exceptionnel. ^X12

Ces statistiques peuvent décrire l’activité et certains coûts. Pour apprécier le gain supplémentaire d’une autre mesure, il faudrait les compléter par des éléments sur son utilité réelle et sur les solutions disponibles. À cette évaluation s’ajouteraient les incidents, les usages contestés et les conséquences pour des personnes étrangères aux enquêtes. La possibilité d’auditer le fonctionnement dans la durée fait partie du cadre des National Academies. ^X04

À partir de ces pièces, l0g propose une règle de décision : ajuster l’étendue d’une obligation à la solidité des preuves disponibles, puis organiser son réexamen. Cette proposition commence par une description technique assez précise pour être discutée indépendamment. Elle exige un besoin documenté, une comparaison avec les autres moyens et une analyse des personnes exposées au risque.

Le financement des garanties doit entrer dans la décision dès le départ. Désigner un contrôleur lui donne une mission ; ses accès, ses compétences et ses moyens lui permettent de l’exercer. Les modalités de correction, de suspension ou de retrait d’un dispositif devraient également être préparées avant son déploiement. Un changement de produit ou de menace peut modifier l’équilibre initial. Cette dernière étape relève de notre recommandation, inspirée des exigences de suivi et d’évaluation présentées dans les sources. ^{X04 X08 X10}

Méthode et périmètre

Cadre de décision proposé par l0g, inspiré du chapitre 7 des National Academies de 2018, de la déclaration 5/2024 du CEPD et des dispositions de suivi du règlement (UE) 2023/1543. Les branches sont des possibilités à préparer ; elles ne représentent ni une procédure légale universelle en vigueur ni une architecture technique validée. Le règlement européen fournit un exemple distinct de statistiques et d’évaluation de la production de données, avec une échéance au 18 août 2029 ; il n’instaure pas d’obligation de déchiffrement. Le schéma ne reprend aucune fréquence, probabilité ni durée mesurée. Le périmètre technique, les garanties et les conditions d’un déploiement demandent leur propre examen.

Le dossier public étudié permet de documenter des besoins d’enquête, des mécanismes de risque, des obligations et certaines ressources mobilisées. Il laisse ouverts le gain causal d’une architecture encore indéterminée et son coût collectif complet. Pour obtenir un chiffre utile, il faudrait d’abord choisir la proposition à évaluer, son scénario de comparaison, sa durée et les populations concernées.

À celui qui défend une nouvelle capacité d’accès revient la démonstration de son apport et de ses garanties. Celui qui propose d’y renoncer doit examiner le coût des informations perdues et la portée réelle des alternatives. Une décision publique sérieuse rend ces deux raisonnements accessibles, avec leurs hypothèses et leurs limites. Elle se donne ensuite les moyens de reconnaître une promesse tenue, une dépense inutile ou un risque devenu trop lourd.

---

Méthode et clôture documentaire. Enquête sur sources publiques, arrêtée au 7 novembre 2026, heure de Paris. Les vingt notices distinguent dates de publication, événements, périodes et portée des documents. Les déclarations des administrations, du NIST et des parlementaires sont attribuées ; les prescriptions chinoises restent séparées des pratiques observées. La description méthodologique initiale de LADC provient d’un document FBI conservé par le miroir non officiel OMB.report. Le formulaire effectivement utilisé en novembre 2026 reste hors du périmètre vérifié. Les propositions de décision sont celles de cette analyse.

Les six volets précédents

Le débat parlementaire français ouvre la série. Les volets sur les appareils et sauvegardes et les contrôles des accès de l’État suivent les données et les autorisations.

L’analyse d’iCloud et des frontières examine les garanties et les coûts de sortie. Les dommages après un accès détourné et les autres chemins de l’enquête complètent cette comparaison des moyens et des risques.

L’image de partage met en balance un message protégé et des éléments soumis à examen. Cette composition conceptuelle illustre l’exigence de preuve ; elle ne mesure aucun équilibre économique et ne représente aucune procédure judiciaire réelle.

Sources

1. X01 · Federal Bureau of Investigation, Department of Justice ; Federal Register via Government Publishing Office · 2026-10-21 · Consulté le 7 novembre 2026Lawful Access Data Collection : avis de renouvellement du 21 octobre 2026 et avis préalable du 18 septembre
   Passages et périmètre

   Federal Register, avis FBI des 18 septembre et 21 octobre 2026, OMB 1110-0088, rubriques DATES, Abstract et Overview. La collecte LADC reste volontaire ; l’avis de septembre reconnaît une participation et des données limitées. Le dernier avis sollicite le renouvellement PRA et accepte les commentaires jusqu’au 20 novembre. Les estimations de répondants et de charge administrative restent distinctes de cas observés et de résultats d’une politique d’accès. Le dernier avis cite le 19 septembre pour le précédent, dont le numéro officiel porte le 18.

   Document complémentaire

   Document complémentaire

2. X02 · Federal Bureau of Investigation, CJIS/UCR ; document de justification FBI reproduit par l’archive non officielle OMB.report · Consulté le 7 novembre 2026LADC : lancement en janvier 2024 et documents méthodologiques de la collecte initiale
   Passages et périmètre

   FBI, UCR Program Quarterly 24-1, janvier 2024, pages imprimées 3 à 5 : collecte ouverte le 1er janvier et absence alors d’un décompte national représentatif. Le dossier initial Supporting Statement A de juillet 2023 décrit les variables appareil et tentative d’accès, puis un signalement volontaire incident par incident. Cette pièce FBI est consultée dans une copie hébergée par OMB.report, archive non gouvernementale ; sa route Reginfo reste inaccessible. La conception initiale ne garantit ni la version exacte du formulaire de novembre 2026 ni la représentativité des remontées.

   Document complémentaire

   Document complémentaire

   Document complémentaire

   Document complémentaire

3. X03 · U.S. Department of Justice, Office of Public Affairs · 2017-10-10 · Consulté le 7 novembre 2026Remarks on Encryption at the United States Naval Academy : discours de Rod J. Rosenstein avec rectificatif méthodologique
   Passages et périmètre

   Discours DOJ du 10 octobre 2017, note finale marquée de deux astérisques. Le ministère corrige un ancien total de 7 800 appareils, attribué à une erreur de méthode du FBI, et annonce un nombre sensiblement inférieur sans le fournir. La mise à jour web affichée au 5 février 2025 ne date pas nécessairement l’ajout de cette note. Ce document établit la correction historique ; il ne fournit aucun chiffre final ou taux de surestimation et ne mesure pas l’ampleur actuelle des obstacles d’enquête.

4. X04 · National Academies of Sciences, Engineering, and Medicine ; The National Academies Press · Consulté le 7 novembre 2026Decrypting the Encryption Debate: A Framework for Decision Makers : chapitre 7, A Framework for Evaluating Approaches to Access Plaintext
   Passages et périmètre

   National Academies, rapport de consensus de 2018, chapitre 7, pages imprimées 83 à 92, notamment encadré 7.2 et huit questions d’évaluation. Le cadre distingue capacité, délai, passage à l’échelle, sécurité, droits, coûts, commerce et suivi continu. Il invite à examiner l’intégration des composants et les conséquences d’usages autorisés comme abusifs. Les projections de comportements et les effets additionnels sont difficiles à quantifier. Ce cadre historique analyse les arbitrages ; il ne tranche pas l’obligation d’accès exceptionnel et ne fournit aucun coût global de celle-ci.

   Document complémentaire

   Document complémentaire

5. X05 · National Institute of Standards and Technology, Computer Security Resource Center · Consulté le 7 novembre 2026Cryptographic Module Validation Program : FAQ, périmètre d’une validation FIPS 140
   Passages et périmètre

   NIST, FAQ du Cryptographic Module Validation Program, réponses P-16 à P-18. Le certificat et la politique de sécurité bornent la validation d’un module ; un produit qui l’intègre ne devient pas lui-même validé. L’usage correct du module par le produit dépasse ce contrôle. Ces précisions concernent FIPS 140 et leur périmètre technique. L’exigence d’examiner aussi autorisations, intégration et exploitation d’un accès exceptionnel est une application analytique, soutenue séparément par le cadre des National Academies.

6. X06 · U.S. Government Accountability Office · 2019-12-16 · Consulté le 7 novembre 2026Assessing Data Reliability : GAO-20-283G
   Passages et périmètre

   GAO-20-283G, publié le 16 décembre 2019, présentation officielle Fast Facts et Highlights. Le guide fonde l’évaluation de fiabilité sur l’exactitude, l’exhaustivité et l’adéquation des données à l’objectif d’audit. Son cadre est fondé sur les risques et adapté au contexte. Il s’agit d’une méthode générale : le GAO ne réalise pas ici un audit de LADC ni une validation des nombres du FBI. L’application à la collecte sur le chiffrement relève de la méthode de cet article.

   Document complémentaire

7. X07 · Agence des droits fondamentaux de l’Union européenne (FRA) · 2026-05-11 · Consulté le 7 novembre 2026Encryption and concerns about access to private online communication – people’s views across the EU
   Passages et périmètre

   FRA, publication du 11 mai 2026, méthode pages 4–5 et tableau 1 pages 10–11. Terrain : 6–30 novembre 2025 ; 26 453 personnes de 15 ans et plus, résultats pondérés, non-utilisateurs compris. Importance du chiffrement : 77 %. Inquiétudes France/UE27 : criminels 64/62, gouvernements étrangers 49/49, entreprises 50/47, renseignement 37/42, gouvernement national 41/42, police 33/37 %. Réponses cumulables ; France incluse dans l’UE. Opinions déclarées, distinctes d’un consentement à payer ou d’un soutien à une obligation précise.

   Document complémentaire

   Document complémentaire

8. X08 · Comité européen de la protection des données (EDPB / CEPD) · 2024-11-04 · Consulté le 7 novembre 2026Statement 5/2024 on the Recommendations of the High-Level Group on Access to Data for Effective Law Enforcement
   Passages et périmètre

   Déclaration CEPD 5/2024, adoptée le 4 novembre, pages 2 et 4–6. Le comité demande des preuves objectives et des mesures techniques définies pour apprécier nécessité, proportionnalité et faisabilité. Il distingue le ciblage juridique de la portée d’une modification technique et examine la protection de l’ensemble des communications et terminaux. Position institutionnelle sur les recommandations examinées ; elle ne valide ni ne réfute expérimentalement toute architecture imaginable.

9. X09 · Commission européenne ; Conseil de l’Union européenne pour la note de suivi · 2025-06-24 · Consulté le 7 novembre 2026Roadmap for effective and lawful access to data for law enforcement : COM(2025) 349 final ; suivi 5424/26
   Passages et périmètre

   Communication COM(2025) 349 du 24 juin 2025, sections IV–V ; note Conseil 5424/26 du 23 janvier 2026, page 5, ligne D1. La première annonçait une feuille de route au deuxième trimestre 2026 ; le suivi attend des résultats au quatrième trimestre. La page officielle Encryption présente encore un travail à mener. Les recherches officielles au 7 novembre n’ont identifié aucune confirmation de publication finale. Programme et calendrier demeurent distincts d’une solution validée et déployée.

   Document complémentaire

   Document complémentaire

10. X10 · Commission nationale de contrôle des techniques de renseignement (CNCTR) · 2026-06-25 · Consulté le 7 novembre 2026Rapport d’activité 2025 de la CNCTR
    Passages et périmètre

    CNCTR, rapport 2025 publié le 25 juin 2026 : pages 21–25, 38, 58–60. La commission rapporte 100 813 demandes de techniques domestiques individuelles et 120 contrôles ; elle se dit en limite capacitaire à moyens constants. Les demandes comprennent des renouvellements. Le RAP budgétaire 2025, indicateur 5.3 page 148, compte une visite même si plusieurs techniques sont inspectées et ajoute certains contrôles à distance en 2026. Ces unités interdisent un taux de couverture 120/100813. Appréciation institutionnelle propre au renseignement.

    Document complémentaire

    Document complémentaire

11. X11 · Délégation parlementaire au renseignement : Assemblée nationale et Sénat · 2026-05-04 · Consulté le 7 novembre 2026Communication de la délégation parlementaire au renseignement sur le chiffrement et les algorithmes
    Passages et périmètre

    Communication de la délégation parlementaire au renseignement, publiée le 4 mai 2026, pages 2–4. Elle défend l’importance du contenu pour établir certains rôles criminels et décrit le coût humain, la complexité et les limites d’urgence des accès informatiques ciblés. Sa proposition d’accès encadré repose sur des travaux en partie classifiés. Cette position parlementaire documente une demande opérationnelle ; le texte public ne fournit ni architecture démontrée ni échantillon permettant de calculer un bénéfice additionnel.

    Document complémentaire

12. X12 · Parlement européen et Conseil de l’Union européenne : Journal officiel · 2023-07-28 · Consulté le 7 novembre 2026Règlement (UE) 2023/1543 : frais, suivi et évaluation des injonctions européennes de preuves électroniques
    Passages et périmètre

    Règlement (UE) 2023/1543 du 12 juillet 2023, articles 14, 28, 33–34 et considérant 20. Suivi statistique à compter du 18 août 2026, incluant exécution, refus, délais, recours et frais réclamés ou remboursés ; évaluation au plus tard le 18 août 2029. Les données de l’année précédente sont transmises avant le 31 mars. Le règlement vise la production de données et n’instaure aucune obligation de déchiffrement. Échéances et prescriptions restent distinctes de leur exécution observée.

    Document complémentaire

13. X13 · Agence des droits fondamentaux de l’Union européenne (FRA) · 2026-10-09 · Consulté le 7 novembre 2026The Law Enforcement Directive – data protection challenges in practice
    Passages et périmètre

    FRA, publication du 9 octobre 2026 ; conclusions et annexe 1, pages 81–84. Recherche qualitative : 132 entretiens, terrain détaillé janvier–juillet 2025, dont 42 délégués à la protection des données, 61 agents opérationnels et 29 membres d’autorités de contrôle. L’annexe signale l’absence d’entretien opérationnel policier ou judiciaire en France. Les besoins de moyens et de formation décrits ne constituent ni un taux représentatif de non-conformité ni une mesure propre aux portes dérobées.

    Document complémentaire

14. X14 · Administration nationale chinoise de la cryptographie (State Cryptography Administration, SCA) · 2026-06-03 · Consulté le 7 novembre 2026电子认证服务使用密码管理办法（国家密码管理局令第6号） : Règles relatives à l’usage de la cryptographie par les prestataires de services d’authentification électronique, ordre no 6
    Passages et périmètre

    Ordre SCA no 6, publié le 3 juin 2026, applicable le 1er juillet ; articles 2–3, 16–17 et 20. Prestataires licenciés d’authentification électronique : évaluation de conformité au moins annuelle, correction et rapport à l’autorité provinciale ; formation des personnels techniques et de sécurité concernés d’au moins 20 heures par an. Les inspections administratives sont sans frais. Ces obligations concernent un champ défini ; elles ne mesurent ni leur respect, ni leur coût complet, ni une capacité générale de déchiffrement.

    Document complémentaire

15. X15 · Conseil des affaires d’État ; reproduction officielle par le ministère de l’Écologie et de l’Environnement · 2023-05-29 · Consulté le 7 novembre 2026商用密码管理条例（中华人民共和国国务院令第760号） : Règlement sur la cryptographie commerciale, décret du Conseil des affaires d’État no 760
    Passages et périmètre

    Règlement chinois sur la cryptographie commerciale, décret 760, promulgué le 27 avril 2023, applicable le 1er juillet ; reproduction officielle MEE du 29 mai. Articles 2, 42 et 47 : protection d’informations hors secrets d’État, coordination pour éviter les évaluations redondantes et protection d’informations cryptographiques propriétaires. La coordination prescrite reste distincte d’économies mesurées. Le périmètre juridique ne couvre pas toutes les communications privées et n’établit aucune capacité générale d’accès à leur contenu.

16. X16 · Administration nationale chinoise de la cryptographie (SCA) · 2023-10-07 · Consulté le 7 novembre 2026商用密码应用安全性评估管理办法（国家密码管理局令第3号） : Règles d’évaluation de la sécurité des applications de cryptographie commerciale, ordre no 3
    Passages et périmètre

    Ordre SCA no 3, publié le 7 octobre 2023, applicable le 1er novembre ; articles 6–9 et 12–14. Certains réseaux et systèmes importants : évaluation dès la conception, avant exploitation, puis au moins annuelle. Autoévaluation sous conditions ; dépôt du rapport sous trente jours et contrôle formel. Un échec avant exploitation impose une correction avant mise en service ; pendant l’exploitation, correction et garanties de sécurité. Ces prescriptions ne mesurent ni conformité effective ni coût observé.

17. X17 · Administration nationale chinoise de la cryptographie (SCA) · 2023-10-07 · Consulté le 7 novembre 2026商用密码检测机构管理办法（国家密码管理局令第2号） : Règles relatives aux organismes de test de cryptographie commerciale, ordre no 2
    Passages et périmètre

    Ordre SCA no 2, publié le 7 octobre 2023, applicable le 1er novembre ; articles 15–19 et 23. Les organismes de test doivent préserver indépendance et traçabilité, conserver rapports et pièces brutes au moins six ans, et corriger un échec aux vérifications prévues. La correction dure au moins six mois avec suspension du périmètre de test concerné, puis validation avant reprise. Cette suspension vise l’activité de test, distincte du fonctionnement des réseaux évalués. Aucun taux d’application n’est établi.

18. X18 · Bureau de gestion de la cryptographie de Pékin · 2026-01-21 · Consulté le 7 novembre 2026关于进一步规范商用密码应用安全性评估结果备案工作的通知 : Avis de Pékin sur le dépôt des résultats d’évaluation de la sécurité des applications de cryptographie commerciale
    Passages et périmètre

    Avis du Bureau de gestion de la cryptographie de Pékin, 21 janvier 2026, paragraphes I–II. Les opérateurs concernés déposent les résultats d’évaluation, succès ou échec, dans les trente jours suivant la formation du rapport. Contrôle formel et vérifications par échantillonnage ; nouveau dépôt si le dossier échoue au contrôle formel. Procédure administrative locale, distincte d’une publication au public ou d’une preuve d’exhaustivité des transmissions et de correction effective.

19. X19 · David P. Leech, Stacey Ferris (RM Advisory Services) et John T. Scott (Dartmouth College), étude sous contrat pour le NIST · 2018-09-07 · Consulté le 7 novembre 2026The Economic Impacts of the Advanced Encryption Standard, 1996–2017 : NIST GCR 18-017
    Passages et périmètre

    Leech, Ferris et Scott, étude sous contrat NIST GCR 18-017, septembre 2018, sections 5.3.3 et 6, annexe E. 74 réponses permettent des estimations directes ; un modèle en ajoute 95, soit 169. L’extrapolation par part d’emploi retient les secteurs avec au moins dix répondants. Les 250,6 milliards USD sont des bénéfices bruts estimés, en dollars constants de 2017, cumulés depuis 1998 à un taux réel de 7 %. Le programme évalué couvre 1996–2017. L’incertitude principale reste non quantifiable ; le cadrage de minimum n’est pas une borne statistique garantie. Ce montant ne chiffre aucune perte due à une porte dérobée.

    Document complémentaire

    Document complémentaire

20. X20 · Ross Anderson et Tyler Moore : Science, vol. 314, no 5799, pp. 610–613 · 2006-10-27 · Consulté le 7 novembre 2026The Economics of Information Security
    Passages et périmètre

    Anderson et Moore, Science 314(5799), 27 octobre 2006, pages 610 à 613 ; copie auteur de quatorze pages, introduction et section sur les externalités. L’article analyse les incitations lorsque le décideur de sécurité et la personne supportant une défaillance diffèrent, ainsi que les interdépendances entre investissements. Cette grille économique historique étaye l’analyse de répartition des conséquences. Elle ne fournit aucun prix, risque ou dommage actuel pour une architecture d’accès déterminée.

    Document complémentaire