L’Inde veut forcer Apple à lui fournir le code source d’iOS
Le gouvernement indien prépare un cadre réglementaire strict qui pourrait obliger les constructeurs de smartphones à livrer leur code source aux autorités. Dans le cas d’Apple, cela impliquerait de fournir le code source d’iOS, le système d’exploitation des iPhone. Cette proposition, intégrée dans un ensemble de 83 normes de sécurité, suscite une vive opposition en coulisse de la part des géants comme Apple, Samsung, Google et Xiaomi.
Une envie d’accéder au code source d’iOS
Au cœur des tensions se trouve la volonté de l’Inde d’imposer une analyse de vulnérabilité et une revue du code source dans des laboratoires indiens désignés. Les documents officiels consultés par Reuters indiquent que les fabricants devraient réaliser une évaluation complète de sécurité, vérifiable par l’État via l’examen du code source. L’association industrielle MAIT a réagi fermement dans un document confidentiel, qualifiant cette demande d’impossible pour des raisons de confidentialité et de secret commercial.
Les entreprises technologiques soulignent l’absence de précédent mondial. Selon elles, aucun pays majeur en Europe, en Amérique du Nord ou en Afrique n’impose de telles contraintes. Apple, particulièrement protecteur envers iOS, avait déjà refusé une demande similaire de la Chine entre 2014 et 2016, ainsi que des tentatives des forces de l’ordre américaines. Toutefois, le ministère de l’informatique en Inde nie (officiellement) envisager de réclamer ce code source, malgré ce que suggèrent les documents de travail.
D’autres demandes logicielles par l’Inde
Outre l’accès au code, le projet de loi prévoit des modifications logicielles importantes. Les autorités indiennes souhaitent rendre obligatoire la possibilité de désinstaller toutes les applications préinstallées et bloquer l’accès des applications aux caméras et micros en arrière-plan. Plus contraignant encore, le texte imposerait un stockage local des journaux d’activité pendant 12 mois et des analyses automatiques périodiques contre les logiciels malveillants.
Le groupe MAIT alerte sur l’impact technique de ces mesures : le stockage d’un an de logs saturerait la mémoire des appareils, tandis que les scans antivirus constants auraient un impact sur l’autonomie. De plus, l’obligation de notifier le Centre national pour la sécurité des communications indien avant chaque mise à jour majeure ou correctif de sécurité est jugée « impraticable » par l’industrie qui doit pouvoir réagir instantanément aux menaces.
Un marché stratégique déjà sous tension
Cette initiative s’inscrit dans la stratégie du Premier ministre Narendra Modi visant à renforcer la sécurité des données face à la recrudescence des fraudes en ligne sur le deuxième plus grand marché mondial du smartphone (près de 750 millions d’appareils). Si le secrétaire à l’informatique S. Krishnan promet d’écouter les inquiétudes « avec un esprit ouvert », le passif entre le gouvernement et la tech incite à la prudence.
L’an dernier, l’Inde avait ignoré le lobbying du secteur pour imposer des tests rigoureux sur les caméras de sécurité. Plus récemment, le gouvernement a dû annuler un décret imposant une application de cybersécurité gérée par l’État face aux craintes de surveillance. Des discussions cruciales entre le ministère et les exécutifs de la tech sont prévues demain pour débattre de ces normes rédigées en 2023, que l’Inde envisage désormais de rendre légalement contraignantes.
