La société canadienne de technologies de la vie privée Psiphon se prépare à déplacer ses opérations hors du Canada en raison d’un projet de loi qu’il estime susceptible de compromettre la sécurité de millions d’internautes à travers le monde.
L’entreprise basée à Toronto, qui aide les gens à contourner la censure gouvernementale et à accéder à des sites bloqués, affirme ne pas pouvoir accepter des exigences qui pourraient l’obliger à intégrer des capacités de surveillance dans son logiciel. Son avertissement concerne le projet de loi C-22, une législation visant à étendre l’accès des forces de l’ordre à l’information numérique.
Psiphon a débuté en 2006 comme un projet au Citizen Lab de l’Université de Toronto avant de devenir une entreprise indépendante. Aujourd’hui, sa technologie sert environ 20 millions d’utilisateurs mensuels, y compris des personnes dans des pays comme l’Iran, la Chine, la Russie et le Myanmar, où l’accès à Internet est fortement restreint.
La loi canadienne proposée établirait de nouvelles obligations pour certains fournisseurs de services électroniques, les obligeant potentiellement à maintenir des capacités techniques pour aider les services de police et de renseignement dans les enquêtes légalement autorisées.
Psiphon soutient que ces exigences pourraient entrer en conflit avec son approche open source, qui permet aux chercheurs et aux utilisateurs d’examiner ses logiciels pour détecter des faiblesses de sécurité.
La vice-présidente de l’entreprise, Kenzie Elsworthy, a averti que l’introduction d’une fonctionnalité de surveillance pourrait exposer les utilisateurs à des risques supplémentaires. Parce que le code de Psiphon est accessible publiquement, tout mécanisme conçu pour fournir un accès spécial pourrait potentiellement être découvert et exploité par les gouvernements cherchant à surveiller les personnes utilisant le service.
L’entreprise aurait commencé à préparer des plans de relocalisation plutôt que de risquer de compromettre les protections dont dépendent ses utilisateurs.
Psiphon n’est pas seul à s’opposer à cette législation. Des entreprises axées sur la vie privée, telles que Signal, NordVPN et Windscribe, ont également averti qu’elles pourraient réduire ou mettre fin à leurs activités canadiennes si la loi menaçait leurs engagements en matière de sécurité.
Les responsables canadiens soutiennent que le projet de loi C-22 est nécessaire pour moderniser les enquêtes impliquant des crimes graves et des menaces à la sécurité nationale. Le gouvernement soutient que la législation n’autoriserait pas la surveillance sans restriction ni l’accès direct de la police aux systèmes des entreprises.
Les législateurs ont déjà modifié la proposition pour renforcer les protections du chiffrement de bout en bout et réduire la période maximale de conservation des métadonnées de 12 mois à six mois. Cependant, les critiques estiment que les dispositions restantes pourraient encore créer des risques de sécurité et de vie privée.
Le projet de loi C-22 a été adopté par la Chambre des communes du Canada et est actuellement examiné par le Sénat. Il n’est pas encore devenu loi, ce qui signifie que d’autres changements restent possibles.
Pour Psiphon, le résultat pourrait déterminer si un service de confidentialité développé au Canada il y a deux décennies peut continuer à fonctionner depuis le pays sans modifier la technologie utilisée pour protéger ses utilisateurs.