Entretien avec le créateur de PGP, avril 2002

«Imaginez que le système GPS ait été utilisé pour guider les avions vers le World Trade Center... Faudrait-il interdire le GPS? Bien sûr que non.»

Phil Zimmermann, avril 2002

(c) D. McCullagh politechbot 2002

Le créateur du logiciel de cryptage des e-mails Pretty Good Privacy (PGP), dont le niveau de protection est digne des plus gros systèmes militaires, évoque ses «regrets» d'avoir vendu son logiciel à Network Associates. Ce dernier a finalement abandonné totalement la diffusion de PGP début 2002. Actuellement, Phil Zimmermann se relance en participant au projet «Open source» OpenPGP. Il revient aussi sur le malaise provoqué par le 11 septembre, quand les technologies de chiffrement ont été accusées d'avoir été utilisées par les terroristes.

UPDATE: en septembre 2002, un groupe d'investisseurs a racheté la division PGP Security de NAI pour poursuivre l'aventure. Phil Zimmerman a été nommé conseiller technique (membre de son Advisory Board) de la nouvelle société, PGP Corporation Zimmermann cotoie Bruce Schneier, Jon Callas et Will Price.

Quels sont désormais vos liens avec Network Associates, qui avait racheté en 1997 la technologie PGP?

Plus aucun. J'ai quitté cette société en janvier 2001. Plus récemment, en février 2002, Network Associates a fermé les portes de sa division PGP et licencié tout le personnel de cette division. Vous ne pouvez plus vous fournir en PGP auprès d'eux. Ils ont conservé une application plus rudimentaire, intégrée dans leur suite de logiciels e-business.

Vous êtes désormais impliqué dans le projet OpenPGP. Qu'en est-il?

Il y a deux ans, avec des collègues scientifiques, nous avons exprimé notre volonté de constituer un groupe de travail au sein de l'IETF (Internet Engineering Task Force), un organe de normalisation technique du réseau, pour normaliser le protocole utilisé par PGP. Il se nomme &laqno; OpenPGP ». Cela implique que n'importe quel intervenant peut implémenter ce protocole sans payer de droits à qui que ce soit.

Quelles sont les applications qui se basent déjà sur ce protocole?

Il y a par exemple une société belge, Veridis, qui propose un outil professionnel aux potentialités comparables à PGP. Pour le grand public, il y a le service Hushmail, produit par Hush Communications (dont Phil Zimmermann est membre du conseil scientifique, NDLR). Hushmail, c'est du Webmail sécurisé, avec des applets Java qui sont employées pour signer électroniquement ou crypter le contenu d'un message. Vos clefs sont stockées sur le serveur, mais elles sont elles-mêmes chiffrées, de sorte que personne d'autre que vous ne sait que vous en êtes le propriétaire. Cette approche permet de bénéficier des fonctions de PGP où que l'on se trouve avec un ordinateur et une connexion à Internet. D'autres applications sont en cours, comme GNU Privacy Guard, un logiciel de cryptage pour les systèmes de type GNU-Linux.

Avez-vous finalement des regrets d'avoir cédé votre idée à Network Associates?

Cela dépend ce que vous entendez par regrets. Il y a quatre ans, j'ai été obligé de revendre ma société, PGP Inc. En me lançant dans cette aventure, je ne savais pas être président. Alors j'en ai embauché un qui venait d'une grande entreprise. Le problème, c'est qu'il dépensait de l'argent comme s'il travaillait toujours pour cette grosse compagnie. Nous avons donc dû nous résigner à vendre la société. Je ne peux pas regretter d'avoir eu à le faire, mais en revanche je regrette de n'avoir pas su prendre les bonnes décisions pour éviter d'en arriver là...

Après le 11 septembre, il a été question du fait que les terroristes auraient pu utiliser le logiciel PGP pour préparer leur opération. Qu'en pensez-vous?

Oui, en effet, un épisode très délicat... D'abord, j'étais comme tout le monde très déprimé après le 11 septembre, avant tout pour la détresse humaine. Ensuite, personnellement, j'ai eu tout de suite un pressentiment : et si les terroristes d'Al-Qaida avaient utilisé PGP ? Pour l'instant, aucune preuve n'en a fait état, tout est spéculation. Mais il est sûr que si cela était avéré un jour, personnellement, je serais très perturbé. Même s'ils l'avaient utilisé, faudrait-il l'interdire ? Je pense qu'il ne faudrait surtout pas l'interdire... Vous savez, développer PGP a été bénéfique pour le monde, des militants des droits de l'homme l'utilisent tous les jours, c'était ma première motivation. En faisant la somme des avantages et des inconvénients, les avantages pour la société l'emportent largement. Avant les attentats, les Etats-Unis et leurs alliés européens ont adopté une attitude pragmatique : la société démocratique est meilleure avec des outils comme PGP qu'en les interdisant. Il y a plus de bénéfices que d'inconvénients. Imaginez que le système GPS ait été utilisé pour guider les avions vers le World Trade Center... Faudrait-il interdire le GPS ? Bien sûr que non.

Désormais, la protection de la vie privée des individus semble plus difficile à revendiquer?

Le droit au respect de la vie privée a en effet souffert depuis ces événements. Ici, les lois ont été durcies, donnant aux autorités plus de moyens pour faire irruption dans la vie privée. C'est le cas aussi en Europe. Je pense que nous devons tenter de résister contre cette tendance. Si les lois permettent de détecter et de prévenir efficacement les actes de terrorisme, cela vaut sans doute la peine de s'y pencher. Mais si ces lois n'ont pas cette vocation première, c'est néfaste, et cela ne nous donnera qu'une illusion, celle de nous sentir un peu plus en sécurité.

Au micro: Thierry Julien Interview: San Francisco, avril 2002. Publication: Les Echos, 10 juin 2002 p.106

(c) J. Thorel, 1997

Archives Lambda: + 5 ans plus tôt... "Le savant et la grenouille" (Lambda 2.06, 5 avril 1996) + Dégâts collatéraux après le 11 septembre (Lambda 7.04, 24 septembre 2001)

Tout sur OpenPGP et la crypto pour tous: http://www.openpgp.fr.st (OpenPGP en français)-- news, conseils pratiques, références techniques et juridiques...