PROJET AUTOBLOG


BUG BROTHER

Site original : BUG BROTHER

⇐ retour index

Valls tragique à Milipol : 100 morts (pour l’instant)

vendredi 25 septembre 2015 à 15:52

Fin 2013, j’avais accepté de m’auto-censurer. Manuel Valls était ministre de l’Intérieur, et j’avais la preuve qu’il courtisait (et cherchait à commercer avec) des ministres de l’Intérieur de pays autoritaires (sinon totalitaires), dont un au moins, le ministre de l’Intérieur du Bahreïn, avait, sinon du sang sur les mains, tout du moins près d’une centaine de morts à son « actif« .

J’avais écrit un article à ce sujet, et finalement accepté de ne pas le publier pour ne pas alerter les autorités sur ce que nous voulions révéler. Je travaillais en effet avec Jean-Pierre Canet, Benoit Bringer et Arthur Bouvart pour un numéro de #CashInvestigation consacré aux marchands de (soi-disant) « solutions » de sécurité surfant sur le « business de la peur« .

Entre autres révélations, nous avons également découvert que des gendarmes français ont formé les policiers de Bahreïn pendant les émeutes de 2011, et réussi à franchir le sas de sécurité reposant sur le passeport biométrique avec de fausses empreintes digitales.

album-cover-large-27005Notre enquête est désormais (et enfin) disponible, Manuel Valls a depuis été nommé Premier ministre, le prochain salon Milipol aura lieu du 17 au 20 novembre 2015, occasion de publier l’enquête que j’avais accepté de ne pas publier, ainsi que l’édifiant supplément vidéo de ce n° de Cash Investigation, qui n’a été diffusé que sur le web.

Vous y entrapercevrez notamment les responsables d’Advanced Middle East SYStem, le faux-nez qui a racheté le système de surveillance de masse Eagle d’Amesys, au sujet duquel j’ai longuement écrit sur ce blog & pour OWNI, et que Futuropolis m’a permis de raconter dans une BD sortie cet été, Grandes oreilles & bras cassés, et dont FranceTV vient de publier les bonnes feuilles.

Valls tragique à Milipol : 100 morts (pour l’instant)

article écrit en novembre 2013

Les organisateurs de Milipol, le principal « salon mondial de la sécurité intérieure des Etats« , co-organisé par le ministère de l’Intérieur, fin novembre, en banlieue parisienne, étaient fiers d’annoncer que Manuel Valls avait inauguré son édition 2013 en présence de « pas moins de 17 ministres de l’Intérieur en provenance d’Europe, d’Asie, du Proche-Orient ou d’Afrique« . Ils se sont par contre bien gardés de préciser leurs pedigrees.

La photographie affichée en « une » de « Milipol News » (le journal diffusé auprès des visiteurs du salon) ainsi que les images partagées par Milipol sur Facebook, Twitter, Flickr puis YouTube, montrent, à la droite de Manuel Valls, trois moustachus aux crânes plus ou moins dégarnis, dont un en costume gris.

Capture du 2013-11-23 22:21:05
1311MilipolFacebook1311MilipolYoutube

« Honte au gouvernement français d’avoir invité le ministre de l’intérieur du Bahreïn pour faire du shopping d’armements à Milipol »

La photographie partagée par Milipol sur Twitter a fait bondir l’ONG Bahrain Watch, et permis d’identifier le monsieur moustachu en gris comme étant Rashid bin Abdulla Al Khalifa, ministre de l’Intérieur du Bahreïn, un des 12 pays estampillés « ennemis de l’Internet » par Reporters Sans Frontières, classé 165e (sur 179) dans son classement mondial de la liberté de la presse, qui bloque l’accès à plus de 1000 sites web et qui, depuis juin 2012, a infligé 118 mois de prison cumulés à 13 internautes en raison de ce qu’ils avaient écrit, notamment sur les réseaux sociaux.

Dans ce tout petit royaume du Golfe persique, la répression ne vise pas que les internautes : les policiers anti-émeutes (formés par des CRS français) dispersent les manifestants à coups de plombs de chasse (type chevrotine), tirent des grenades lacrymogènes en visant la tête de manifestants et/ou « à l’intérieur » des maisons (quitte à tuer des gens), torturent & embastillent les défenseurs des droits de l’homme; entre autres :

Si le « printemps arabe » bahreïni a fait bien moins parler de lui que ceux qui ont (eu) lieu dans d’autres pays, c’est notamment parce que l’armée américaine y dispose d’une énorme base militaire et qu’elle préfère donc fermer les yeux sur les exactions qui y ont lieu. Mais aussi parce que 220 journalistes, représentants d’ONG, défenseurs des droits de l’homme ou personnalités politiques se sont vus refuser le droit d’entrer dans le pays, d’après le recensement de Bahrain Watch, qui documente aussi les fournisseurs de chevrotines et de grenades lacrymogènes utilisés par les policiers anti-émeutes.

L’ONG avait ainsi découvert que les policiers « anti-émeutes » utilisaient des gaz lacrymogènes fournis, en partie, par une entreprise française, Alsetex, qui se présentait comme le « Leader des produits pour la gestion démocratique des foules« .


Je découvrais de mon côté, dans le rapport sur les exportations d’armement de la France, que la France avait vendu pour plus de 26M€ d’armes au Bahreïn en 2011, dont 16M€ de « bombes, torpilles, grenades, pots fumigènes, mines, missiles, produits « pyrotechniques » militaires (et) cartouches« , et 421 000 € d' »agents chimiques ou biologiques « antiémeutes » » (cf A quoi servent les « agents antiémeutes toxiques » français au Bahreïn ?).

Suite à mon enquête, Alsetex effaçait le terme « démocratique » de son site web, et retirait les fiches signalétiques de ses grenades lacrymogènes.

Dans la foulée, une source gouvernementale expliquait au Point que « suite à l’affaire tunisienne, l’exportation de l’ensemble des produits pour le maintien de l’ordre vers Bahreïn a cessé le 17 février 2011 » (date du « Bloody Thursday« , qui avait réuni 150 000 manifestants -sur 600 000 habitants-, et qui s’étant soldé par 4 morts et 300 blessés, marqua le début du « printemps arabe » bahreïni, NDLR), tout en rappelant que la France avait été parmi les premiers pays à prendre cette mesure unilatérale.

Interrogé sur les autorisations d’exportation de matériel de guerre vers le Bahreïn, le gouvernement avait assuré qu’il s’agissait « uniquement de matériel d’alerte biologique et de détection chimique« .

Or, et comme le révélait la semaine passée Intelligence Online, seul média français à s’être fait l’écho de la visite de Rashid Abdullah al-Khalifa à Milipol, dans un article intitulé « Bahreïn : Paris continue d’épauler la police« , le rapport annuel 2013 sur les exportations d’armes indique que la France a de nouveau autorisé l’exportation d' »agents chimiques ou biologiques » (pour un montant de 251 347€ en 2012), et révèle aussi et surtout un très net accroissement des exportations d’armement vers le Barheïn, la France ayant enregistré 4.4M€ de prises de commandes en 2012 (contre 0.7 en 2011 et 0.3 en 2010), et 76.7M€ de matériels livrés en 2012 (contre 26.8 en 2011, et 9.8 en 2010).

A Milipol pour… « défendre la liberté d’expression »

1311intriorMilipolbr_frSeuls les médias bahreïnis se sont faits l’écho de la rencontre des deux ministres de l’Intérieur. On les retrouve ainsi, en tête à tête, sur le site de la Bahrain News Agency, ainsi que dans l’édition .pdf du Gulf Daily News (quotidien pro-gouvernemental sous-titré « La voix du Bahreïn« ) avec d’autres personnalités non encore identifiées (commentaires bienvenus).

1311MilipolGulfNews2

Étrangement, l’article de l’agence de presse bahreïnie est intitulé « Le Bahreïn s’engage pour la liberté d’expression« … comme si un ministre de l’Intérieur venait à Milipol, temple du maintien de l’ordre et des technologies de surveillance, pour y acheter des outils de défense de la « liberté d’expression« .

L’article rapporte que cette rencontre a permis à Rashid Abdullah al-Khalifa de rappeler que son pays défendait la « liberté d’expression et les droits humains qui sont protégés par la constitution« , le ministre bahreïni précisant cela dit qu' »il est regrettable que certains abusent de cette liberté pour se livrer à des activités en violation de la loi« , et que la police de son pays ne faisait pas face à des « manifestants« , mais à des « émeutiers, vandales et terroristes« .

La Voix du Bahreïn précise par ailleurs que Rashid Al Khalifa était à Milipol à l’invitation de Manuel Valls, qui aurait accepté l’invitation d’aller, en retour, visiter le Bahreïn, au nom de la coopération bilatérale entre leurs deux pays.

D’après Intelligence Online, et en dépit de la répression qui sévit au Bahreïn, « Paris continue cependant de détacher des coopérants auprès du ministère bahreïni de l’intérieur« .

« Pour que cesse l’impunité au Bahreïn »

wanted23En tout état de cause, c’est avec un sens du timing étonnant que Manuel Valls a décidé d’inviter Rashid bin Abdulla Al Khalifa à Milipol, et de poser à ses côtés, alors que deux ONG de défense des droits de l’homme, plus un rapport parlementaire, viennent de rappeler l’ampleur des violations des droits de l’homme dans cette petite monarchie pétrolière dirigée par la famille Al Khalifa depuis… 1783.

Evoquant « un soulèvement maté dans le sang et l’indifférence générale« , le rapport de la mission d’information sur les Révolutions arabes, réunissant des députés de la majorité et de l’opposition, rendu public le 14 novembre (5 jours avant l’inauguration de Milipol), déplore ainsi les « nombreuses perquisitions nocturnes et traitements inhumains et dégradants manifestement destinés à faire régner la terreur » depuis la violente répression du « Bloody Thursday » de 2011.

Le Bahrain Center for Human Rights venait quant à lui de lancer une campagne « pour que cesse l’impunité au Bahreïn, et mis en ligne les posters de 59 personnalités « Most Wanted« , dont Rashid bin Abdulla Al Khalifa.

1312AlKhalifa

L’ONG lui reproche notamment, en tant que ministre de l’Intérieur, de couvrir les violations des droits de l’homme imputables aux forces de l’ordre : passages à tabac de manifestants et citoyens, institutionnalisation de la torture dans les commissariats et les « centres de torture clandestins« , recours excessif aux gaz lacrymogènes -qui auraient entraîné plus de 40 de la centaine de morts recensée par l’opposition depuis le début de la contestation (dont plusieurs nouveaux nés et personnes âgées, asphyxiés)-, le recours tout aussi excessif à la chevrotine pour disperser les manifestants (14 morts, plus de très nombreux blessés, et éborgnés), plus une douzaine d' »exécutions extra-judiciaires d’enfants et adultes« .

Dans le cadre de son opération 10 jours pour signer, Amnesty International, de son côté, revient sur les 13 prisonniers d’opinion condamnés à des peines allant de 5 ans d’emprisonnement à la prison à perpétuité (et pour certains torturés), pour avoir osé défendre les droits de l’homme et la démocratie.

J’avais eu l’occasion de raconter l’histoire poignante de plusieurs d’entre eux (voir Arabes en colère, sur OWNI), des tortures infligées à Abdulhadi al-Khawaja, le fondateur du Barhain Center for Human Rights au courage de sa fille, AngryArabia, qui n’hésitait pas à manifester, seule (elle a depuis été incarcérée), en passant par la condamnation de Nabeel Rajab, son successeur.

160px-Nabeel_Rajab_at_his_officePar ailleurs secrétaire général délégué à la Fédération internationale des ligues des droits de l’homme (FIDH), Rajab avait réussi à déjouer la surveillance des autorités pour aller accorder une interview à Julian Assange, à Londres. Il savait qu’il risquait la prison mais il n’en décida pas moins de retourner se battre dans son pays, et fut interpellé à son retour en avion. Il croupit depuis deux ans en prison pour un tweet « insultant« . Suite à la visite du premier ministre dans un village, Nabeel Rajab avait en effet avoir osé écrire, sur Twitter :

« chacun sait que vous n’êtes pas populaire et que, n’était le besoin d’argent, vous n’eussiez pas été le bienvenu chez eux. »

Détenu à l’isolement, enfermé avec des animaux morts, Nabeel Rajab, qui n’a droit qu’à 6 litres d’eau par semaine (alors que, souffrant de calcul biliaire, il aurait besoin de boire beaucoup d’eau), vient de voir sa condamnation confirmée en appel.

Les pudeurs de violette de Milipol

Evoquant un « bilan très positif, le communiqué de presse de clôture de Milipol se félicitait d’avoir accueilli « 25 834 visiteurs de 150 pays dont 45% venaient de l’étranger« , ainsi que « 161 délégations officielles » de 97 pays (« contre 53 en 2011« ) :

Outre le nombre, la composition de ces délégations était de très haut niveau
(16 Ministres de l’Intérieur, 18 Directeurs Généraux)
.

Interrogé sur les pays d’où provenaient ces délégations « de très haut niveau« , et notamment sur la nationalité des « 16 Ministres de l’Intérieur et 18 Directeurs Généraux« , Milipol s’est contenté de mentionner les noms de 4 ministres de l’intérieur : Jérôme Bougouma (Burkina Faso), Ranko Otojic (Croatie), Bajram Rexhepi (Kosovo) et Marwan Charbel (Liban), et 3 directeurs généraux : Abdulla Mohammed Al-Sowaidi (Qatar), Miroslav Veljovic (Serbie), Wieslaw Lesniakewicz (Pologne), omettant soigneusement de mentionner la présence de Rashid Abdullah al-Khalifa, ainsi que de 11 autres ministres de l’intérieur, et 15 directeurs généraux.

Voir aussi :
Calais : un « État policier en situation de guerre »
3300 migrants sont morts à Lampedusa depuis 2002
La guerre aux migrants a fait 18 000 morts (au moins)
A quoi servent les « agents antiémeutes toxiques » français au Bahreïn ?
« L’Internet est libre »… mais pas notre pays. Lettre ouverte au président de l’Azerbaïdjan

De la surveillance de masse à la paranoïa généralisée

samedi 3 janvier 2015 à 19:02

BYmYLrlIl y aura un avant et un après Snowden. Avant, ceux qui dénonçaient la montée en puissance de la société de surveillance passaient pour de doux paranoïaques (alors que les paranos, c’était pas eux, mais la NSA, ce que Snowden a amplement démontré).

Depuis, tout le monde ou presque est persuadé d’être espionné par la NSA, ou encore que la DGSE espionnerait toutes les télécommunications, en France… ce dont je me permets de douter : la NSA ou la DGSE (& Cie) ont certes les moyens de tenter d’espionner n’importe qui, mais les documents Snowden ne permettent aucunement de conclure qu’ils espionneraient tout le monde, a fortiori tout le temps, façon « Big Brother« .

Mise à jour, juin 2015 : vous trouverez plus bas la vidéo de la suite de cette conférence, donnée à Pas Sage en Seine 2015, où j’ai tenté d’expliquer pourquoi je n’avais pas particulièrement peur des « boîtes noires » du Projet de loi relatif au renseignement, et pourquoi le problème me semble être ailleurs…

MaJ, septembre 2016 : voir aussi Pour en finir avec la « surveillance de masse », décryptage/fact-checking encore plus contextualisé.

C’est ce que j’avais tenter d’exposer, en juin 2014, lors d’une conférence à Pas Sage En Seine (PSES), De la surveillance de masse à la paranoïa généralisée (vidéo), que l’association de défense et de promotion des logiciels libres APRIL m’a récemment fait l’honneur de retranscrire (un travail de titan, <3) :

« Non, la NSA, le GCHQ ou la DGSE, Google, Facebook, Microsoft & Cie ne sont pas Big Brother, et ils n’espionnent pas tout le monde tout le temps.
Et notre boulot, aujourd’hui, est aussi de comprendre et d’expliquer ce qu’ils font exactement, plutôt que d’entretenir le #FUD ambiant. »
« Fear, Uncertainty and Doubt » (FUD) : Peur, Incertitude et Doute

Alors que la Library of Congress vient de publier une étude de droit comparé reprenant l’article du Monde qui affirmait (à tort) que la DGSE collecte systématiquement les méta-données de toutes les communications téléphoniques et électroniques, en France, il m’a semblé important, à l’heure des bilans de fin d’année, de reprendre sur ce blog cette conférence résumant ce que m’ont appris les factchecks que j’ai fait de plusieurs des « révélations » du Monde à ce sujet :

La DGSE a le « droit » d’espionner ton Wi-Fi, ton GSM et ton GPS aussi mais non, rien n’indique qu’elle collecte « systématiquement les signaux électromagnétiques émis par les ordinateurs ou les téléphones en France« ;
La NSA n’espionne pas tant la France que ça : non, la NSA n’a pas espionné 70M de communications téléphoniques de Français; il s’agissait de 70M de méta-données captées par la DGSE à l’étranger, et partagées avec la NSA;
DGSE/Orange : joue-là comme SuperDupont (#oupas) : pourquoi je doute qu’Orange soit le partenaire « non identifié » de la DGSE et du GCHQ mentionné dans un document Snowden;
Cher Edward Snowden, il ne faut pas croire tout « Le Monde » (réservé aux abonnés d’Arrêt sur images) : de fait, il ne s’agit pas d’Orange, mais de QOSMOS, leader mondial (et français) de l’analyse des protocoles et de l’extraction des méta-données.
MAJ, avril 2015 : le PNCD, soi-disant « « Big Brother » dissimulé au cœur du renseignement », qualifié de « dispositif de surveillance de masse des services français« , n’est pas un « secret sur lequel la République a réussi, depuis 2007, à maintenir un silence absolu » : j’en avais parlé en… 2005, et il date de 1999; et son objet n’est pas de faire de la « surveillance de masse » des internautes français : le gouvernement venait de légaliser l’utilisation de logiciels de chiffrement, et en profita donc pour légaliser le fait que la DGSE disposait de supercalculateurs utilisés pour décrypter les messages chiffrés qu’elle avait interceptés (à l’international, la DGSE n’étant pas, par ailleurs, autorisée à surveiller les Français, en France);
MaJ, avril 2016 : la DGSE n’a pas surveillé ni espionné Thierry Solère, mais découvert qu’il l’avait été, en toute illégalité, par un ou plusieurs de ses analystes du renseignement, et mis fin à cette surveillance. Reste que c’est moins vendeur que de laisser entendre que « la DGSE a surveillé Thierry Solère« …
MaJ, septembre 2016 : les « boîtes noires » avaient cristallisé le débat autour de la loi renseignement, mais la DGSE espionne-t-elle tous les Français ? tl;dr : non, ce que j’ai tenté d’expliquer en version longue : Pour en finir avec la « surveillance de masse »

De la surveillance de masse à la paranoïa généralisée

Vous pouvez lancer la vidéo de la conférence et l’écouter comme une émission radio (vous pouvez aussi en retrouver les slides là), ou encore lire, plus bas, la version résumée que j’ai faite de la (longue) retranscription faite par APRIL.

Voir aussi la suite de cette conférence, donnée à Pas Sage en Seine 2015, où j’ai tenté d’expliqué pourquoi les termes du débat posés par le très décrié Projet de loi relatif au renseignement me semblent avoir bien mal été posés (et compris). La conférence commence à 2’20 (voir aussi les slides) :

Avant j’avais deux problèmes : c’était, faire comprendre aux gens ce que c’était que la société de surveillance, sans être traité de parano ; et ce n’était pas facile.

Avec les révélations Snowden, mon problème a un petit peu changé : c’est arriver à faire comprendre ce que c’est que la société de surveillance à des paranos. C’est-à-dire que le problème auquel je suis confronté c’est qu’avant, les gens comme moi, qui s’intéressaient à ces histoires-là, était facilement brocardées comme paranos. Le problème, aujourd’hui, c’est que tout le monde est devenu parano. C’est ce que je vais essayer de vous montrer et ce pourquoi ça me semble dangereux, ou problématique en tout cas, de passer de la société de la surveillance à la société de paranoïa.

Pour ceux qui ne me connaissent pas (cf ma fiche sur WikiPedia), ça fait une dizaine d’années que je travaille sur ces questions de technologies de surveillance, de protection des libertés, de vie privée, etc., aux sujets desquelles j’ai consacré des centaines d’articles (et d’interview), plus deux bouquins (La vie privée, un problème de vieux cons ?, et Au pays de Candy – enquête sur les marchands d’armes de surveillance numérique).

J’ai aussi bossé avec WikiLeaks sur les Spy Files, ces marchands d’armes de surveillance numérique qui se réunissent tous les trois mois un peu partout dans le monde dans un salon dont l’entrée est interdite aux journalistes, car réservée aux marchands d’armes et aux services de renseignement, aux flics et aux militaires, et plus particulièrement sur Amésys, cette PME française qui avait conçu un système de surveillance massive de l’Internet à la demande du beau-frère de Kadhafi (voir Barbouzeries au pays de Candy).

En 2007, j’étais journaliste au monde.fr, et il y a eu le scandale autour du fichier Edvige en France. C’était un fichier de renseignements qui autorisait les services de renseignement à ficher les mœurs sexuelles, les opinions philosophiques, politiques, des gens à partir de l’âge de treize ans. Il y a eu des manifestations dans la rue, des hommes politiques qui sont montés au créneau, qui ont protesté contre cette société de surveillance, en tout cas cette volonté de ficher les gens. Lemonde.fr m’a dit  « Écoute tes trucs, là, la surveillance, les fichiers policiers, etc, jusqu’à présent ça n’intéressait que les droit-de-l’hommiste, là visiblement ça commence à intéresser les gens, donc fais-nous un blog là-dessus ».

Et donc j’ai créé  »Bug Brother », où j’ai essayé de suivre un petit peu l’actualité de ces technos et où, en même temps, je sais que jusqu’à l’année dernière il y a des gens, même y compris à la rédaction du Monde qui disaient  « Ouais mais Manach il est un peu parano quand même ». Ce à quoi, moi, ça fait des années je répondais  « Mais ce n’est pas moi le parano. Le parano ce sont des gens comme les clients d’Amésys qui veulent surveiller l’intégralité de leur population ».

Amésys c’est cette boîte française qui a développé un système de surveillance de l’Internet à la demande d’Abdallah Senoussi, qui était le beau-frère de Kadhafi, accessoirement un terroriste, recherché par la justice française. Les paranos, c’est la NSA qui veut surveiller tout, ou en tout cas être capables de tout surveiller.

Moi je ne suis pas parano : je suis journaliste, j’essaye de comprendre comment ça fonctionne. Le problème c’est que maintenant, je suis à peu près persuadé que si on fait un sondage dans la rue  « Est-ce que vous êtes espionné par la NSA ? », la majeure partie des gens vont dire oui. Ce qui est complètement faux : la NSA (entre autres services de renseignement) a autre chose à faire que d' »espionner » l’intégralité de la population… même si elle cherche, de fait et hélas, à surveiller toutes nos télécommunications.

Pour en revenir aux révélations Snowden, je pense que la façon dont a été révélée l’existence de PRISM, présenté comme un des systèmes les plus utilisés par la NSA a, paradoxalement, fait beaucoup de mal à la compréhension de comment fonctionne la NSA, et de comment fonctionnent les systèmes de surveillance, avec des slides qui montraient que, en fait, l’essentiel du trafic sur Internet passe par les États-Unis. Et donc c’est plus simple pour la NSA de surveiller ce qui passe par leur territoire. Et puis surtout, ça a eu énormément de succès, parce qu’on avait la date et les logos de Gmail, Facebook & Cie.

Prism_slide_2

Sauf qu’un des gros problèmes des révélations Snowden, c’est qu’il s’agit d’un gigantesque puzzle dont Glenn Greenwald ne nous en dévoilait que quelques pièces, par à-coups, et qu’il est très difficile d’arriver à comprendre ce que révèle un puzzle quand on en voit que quelques pièces.

En l’espèce, et pour ce qui est de PRISM, on a donc découvert depuis qu’il ne s’agissait pas d’un système donnant à la NSA un accès direct aux serveurs de Google, Facebook & Cie, lui permettant de faire ce qu’elle voulait des données de leurs abonnés, mais de l’acronyme utilisé par la NSA pour désigner le fait de demander au FBI d’aller demander à Google, Microsoft ou Facebook d’accéder aux données de certains de leurs abonnés…

Donc quand on a eu Google, Facebook, Microsoft qui disaient  « Mais nous on n’était pas au courant ! On n’était pas au courant qu’on travaillait comme ça avec la NSA ! », ben c’était vrai, ils n’étaient pas au courant parce qu’ils répondaient à des sollicitations du FBI, et qu’ils ne savaient pas que c’était in fine pour la NSA.

Google puis Microsoft ont demandé à la justice américaine d’avoir le droit de dire combien de personnes ont été concernées par l’utilisation de PRISM, et grosso modo, c’est entre 0 et 1000 demandes, concernant entre 2000 et 12 999 comptes chez Google, et moins de 16 999 comptes chez Microsoft, par semestre. Comparez 1 000 ces chiffres avec le nombre d’utilisateurs des services proposés par Google et Microsoft : ce n’est pas vraiment du « massif« , au sens où la NSA espionnerait absolument tout le monde. Non, c’est de la surveillance ciblée.

EMBWlbpÇa fait quelques années que Google avait entamé ce qu’il appelle les  »transparency reports », à savoir le fait de publier, régulièrement, le nombre de demandes d’accès à des données qu’ils ont reçues de la part de tels ou tels pays, et le nombre de demandes auxquelles Google a refusé de leur confier les données. Suite à ça, Twitter, Facebook, Microsoft ont eux aussi, suite aux révélations Snowden, commencé à publier leurs propres  »transparency reports », et si on regarde la liste du nombre de total de requêtes qui ont été faites de 2009 à 2012, en France, on en est à moins de 40 000…

Sachant, bien évidemment, qu’il y en a certaines qui portent sur un seul et même individu, et sur le compte Facebook, Tweeter et Google de ce même individu. Donc ce n’est probablement pas 40 000 personnes, c’est probablement moins, en l’espace de trois, quatre ans. Ça c’est pour les demandes d’entraide judiciaire légales, qui passent par les circuits légaux.

Un autre truc qui m’a fait bizarre, quand Vodafone a sorti son « transparency report », assez impressionnant, où il révélait qu’il collaborait avec les autorités de 28 pays, dont certains bénéficiant d’un accès direct à leurs serveurs. J’avais vu sur Twitter des gens crier aux loup : « Regardez, la France est dans la liste des 28 pays, on est espionné par la NSA !!! ».

Or, quand on regarde dans le rapport, il y a eu trois demandes qui ont été faites concernant la France à Vodafone ! En comparaison ce sont des dizaines, voire des centaines de milliers, à Malte ou en Italie. C’est comme si les gens avaient une sorte de prescience  « Ah, ouais on est espionné, on veut être espionné ». Une sorte de fantasme, comme ça, qui fait que la NSA ça existe. Ce serait quand même injuste quelle ne m’espionne pas moi !

Ensuite on a eu le #Fail en Une du Monde sur la DGSE, avec ses « Révélations sur le Big Brother français » qui expliquaient que la DGSE intercepte et espionne l’intégralité des communications, mails, SMS, fax, comptes Twitter en France. Le scoop citait un des articles de mon blog, Frenchelon: la DGSE est en « 1ère division ».

Bernard Barbier, qui était le directeur technique de la DGSE jusqu’à il y a quelques mois, y révélait, entre autres choses, que la DGSE surveillait les réseaux grands publics et enregistrait tous les mots de passe pour, notamment, pouvoir identifier le gentil étudiant en chimie le jour, qui, le soir, devient un terroriste djihadiste, mais qui utilise le même mot de passe…

L’article du Monde mentionnait le mien, mais les journalistes ne m’avaient pas contacté pour me demander ce que je pensais de leurs « révélations« . Et moi, le fait que la DGSE espionne absolument toutes les télécommunications en temps réel et en tous temps, en France, ça me semblait quand même un peu bizarre.

Donc j’ai creusé, j’ai interrogé un certain nombre d’acteurs qui sont au cœur des réseaux, et tous sont arrivés à la conclusion que si la DGSE est capable d’espionner ce qu’elle veut, par contre, elle n’est pas en mesure d’espionner absolument tout, en temps réel, ni de tout archiver ; non seulement elle n’a pas le droit de le faire, mais en plus ça se verrait.

Parce que vu l’architecture décentralisée des réseaux, en France, pour arriver à ce qu’on intercepte tout le trafic Internet il faudrait placer des boîtes noires sur tous les DSLAMs. Or, il y a beaucoup de DSLAMs, ça coûterait beaucoup d’argent et ça finirait forcément par se voir.

Ensuite on a eu le #fail concernant la NSA. Tout est parti d’un article du Spiegel cosigné par Laura Poitras, la journaliste qui travaille sur les révélations Snowden avec Greenwald, qui révélait que les services de renseignement allemands avaient partagé avec la NSA des dizaines de millions de méta-données qu’elle avait capté à l’étranger.

En guise de preuve, Laura Poitras publiait une capture d’écran de Boundless Informant, un des systèmes de visualisation de données utilisé par les analystes de la NSA, montrant combien de métadonnées Internet et téléphoniques avaient été collectées.

Problème. En octobre, Le Monde fait sa Une sur des « Révélations sur l’espionnage de la France par la NSA américaine », basées sur ce même type de capture d’écran, révélant que la NSA a espionné 70M de communications téléphoniques en France.

Peter Koop, un Hollandais dont le blog  »electrospaces » est probablement un de ceux qui décrypte le plus et le mieux les documents Snowden, a remonté la piste et conclue qu’il ne s’agissait pas de conversations téléphoniques espionnées en France, mais bien de méta-données interceptées par les services français, à l’étranger, et partagées avec la NSA…

Finalement, une semaine après, Le Monde a reconnu, à mots couverts, qu’il ne s’agissait pas de communications téléphoniques espionnées par la NSA en France, mais bien des données espionnées à l’étranger par la DGSE et confiées à la NSA. mais le mal était fait, très peu de gens ayant entendu parler de cette mise à jour. Le problème c’est que ça laisse des traces sur la durée et que ça brouille l’écoute, si je puis me permettre.

Ensuite, il y au le #fail sur Orange et le GCHQ, qui est un peu l’équivalent de la NSA en Grande Bretagne, et qui serait d’après Snowden encore plus puissante que la NSA, non seulement parce qu’il y a plein de câbles de télécommunications sous-marins qui atterrissent en Grande Bretagne et que, apparemment, ils sont très forts dans l’interception massive de ces câbles-là, mais également parce que les lois, le cadre juridique réglementaire en Grande Bretagne fait qu’il est plus simple d’attenter à la vie privée, de faire des opérations d’espionnage que ça ne l’est aux États-Unis.

Donc Le Monde, toujours une Une, révélait « Comment Orange et les services secrets coopèrent ». Evoquant des « relations incestueuses » entre France Télécom et la DGSE, Le Monde avançait également que les services de renseignement français autorisaient également leurs homologues britanniques à accéder aux données des clients français d’Orange…

Les révélations du Monde se basaient sur un document Snowden mentionné dans un article du  »Gardian » en octobre dernier, et qui révélait que la DGSE avait mis le GCHQ en contact avec une entreprise française de télécommunications, partenaire privilégié de la DGSE. Mais ce que je n’ai pas compris, c’est pourquoi l’article disait les services britanniques ont accès aux données des clients français d’Orange. Pourquoi ce serait les clients français ?

Je me mets à la place du GCHQ. Un des gros avantages d’Orange c’est qu’il contrôle 20 % des câbles de fibre optique dans le monde. 20 % c’est énorme ! Le GCHQ, un de ses gros boulots, c’est d’espionner les fibres optiques. Donc ce qui intéresse probablement le GCHQ, c’est probablement les câbles sous-marins. Ce qui intéresse également le GCHQ c’est probablement le fait qu’Orange a une centaine de filiales à l’étranger, dont un certain nombre dans des pays du Golfe, dans des pays africains où il y a la guerre, le Mali, le Niger.

Mais ça, le papier du Monde n’en parle pas. Il ne parle pas des 20 % de câbles de fibre optique, il ne parle pas des filiales à l’étranger. Il ne parle uniquement que des clients français d’Orange. Pourquoi ? Moi je suis journaliste, en termes de probabilités, ce qui intéresse le GCHQ c’est plus les câbles de fibre optique et puis le Mali que les communications téléphoniques à Romorantin.

Qu’est-ce qu’il en a à foutre des communications téléphoniques à Romorantin ou à Marseille, le GCHQ ? Pourquoi il ferait du massif en France ? Et pourquoi la DGSE autoriserait un service de renseignement étranger à faire du massif en France ? Nonobstant le fait qu’un bon nombre de ministères, dont celui de la Défense, qui est-ce qu’ils payent pour passer leurs appels téléphoniques ou pour utiliser Internet ? C’est Orange. Ce serait bizarre que la DGSE accepte qu’un service de renseignement étranger espionne des ministères français…

Je suis blogueur au Monde. Systématiquement, j’en ai référé à ma hiérarchie, qui n’a pas voulu rendre compte de mes factchecks sur le journal papier, me laissant les publier sur mon blog. En attendant, les lecteurs du Monde papier, eux, ne savent pas qu’ils ont été induits en erreur, pas plus que tous les médias qui ont repris, en France et à l’étranger, ces « révélations« …

En attendant, un autre truc que j’ai découvert en enquêtant sur ces histoires, c’est le programme National Insider Threat Task Force, créé pour identifier et neutraliser la « menace intérieure« , et donc aussi les lanceurs d’alerte. Il faut savoir qu’il n’y a jamais eu autant de whistleblowers poursuivis par la justice américaine, et même incarcérés, que sous Obama. L’Espionage Act de 1914, avait été utilisé trois fois jusqu’à Obama. Depuis qu’Obama est là je crois qu’on en est à la sixième ou septième fois.

Il y a une véritable chasse aux sorcières qui a été lancée, et ce programme-là incite les fonctionnaires américains à surveiller leurs collègues, et si il y en a un qui commence à devenir un peu alcoolique, qui commence à devenir dépressif, qui vient de divorcer, qui va voir de la famille à l’étranger, qui arrive tard, qui a des problème d’argent, il faut impérativement le dénoncer tout de suite aux fonctionnaires de sécurité du ministère, parce qu’il pourrait devenir un whistleblower ou un espion.

J’ai ainsi trouvé des manuels de détection des espions sur les sites du ministère de l’Agriculture et de l’Éducation nationale, en mode « 101 moyens de reconnaître les espions ». Vous imaginez en France, des autorités qui demanderaient aux profs d’espionner leurs collègues et de rapporter tout comportement déviant à la hiérarchie, parce qu’il pourrait devenir un espion ?…

Pourquoi je vous parle de ça ? Parce que oui, on est vraiment passé à quelque chose de l’ordre de la paranoïa. L’administration américaine est passée en mode paranoïaque, depuis le 11 septembre 2001, depuis WikiLeaks aussi, ce qui pourrait aussi expliquer pourquoi ils ont décidé de tout surveiller.

Un autre truc que j’ai découvert, qui a été beaucoup moins médiatisé que les soixante-dix millions de communications téléphoniques soi-disant interceptées par la NSA, c’est la théorie des  »Three Hops », qui constitue un très bon argument pour clouer le bec à tous ceux qui nous répondent, depuis des années  « Oui mais moi je n’ai rien à me reprocher, donc je n’ai rien à cacher ».

La NSA, quand elle s’intéresse à une cible, va ainsi s’intéresser également à tous les gens qui sont en contact avec elle, plus tous les gens qui sont en contact avec ceux qui sont en contact avec elle, etc, à trois niveaux. Ce qui fait que le frère du voisin de la femme du chauffeur d’Angela Merkel peut être espionné par la NSA, quand bien même il n’a strictement rien à se reprocher, rien à cacher et qu’il n’a aucun secret d’État.

Donc la question n’est pas de savoir si on a quelque chose à se reprocher ; la question c’est de savoir est-ce qu’on connaît quelqu’un qui connaît quelqu’un qui connaît quelqu’un ? Et comme on sait que sur Facebook, sur Twitter, on est tous à quatre niveaux de séparation des autres, entre quatre et cinq niveaux de séparation des autres, oui, virtuellement, les États-Unis se donnent le droit d’espionner un petit peu tout le monde. (voir Le .gif qui révèle la paranoïa de la NSA, et pourquoi elle espionne aussi vos parents & amis)

jcYgBLN

Par ailleurs, les États-Unis ont une technique pour arriver à savoir s’ils ont le droit ou pas de s’intéresser à tel internaute : la théorie des 51 % de probabilités. S’il y a 51 % de probabilités que vous soyez Américain, on ne s’intéresse pas à vous. Mais si 51 % de probabilités que vous soyez un étranger, ils s’octroient le droit d’analyser vos datas, parce que, quand un paquet d’informations transite sur IP, eh bien il n’y a pas sa nationalité dessus. Donc ils ont cette théorie des 51 %. Donc là ce que disait l’ACLU, c’est que si vous avez 40 contacts, virtuellement ça fait 2,5 millions de personnes qui peuvent être espionnées pour vous, pour vous surveiller vous.

Un autre truc qui me semble intéressant, quand même, avec cette histoire de paranoïa généralisée, c’est qu’en fait on n’a pas à être si paranoïaque que ça non plus. Greenwald, toutes les semaines, publie un nouveau document Snowden. Donc ça que veut dire que son ordinateur, l’endroit où les documents Snowden ont été stockés, n’ont pas été piratés par la CIA, la NSA, le GCHQ, le FSB, la DGSE, des méchants pirates, que sais-je…

Ça veut dire qu’il est tout à fait possible, même et y compris pour quelqu’un comme Greenwald qui ne comprenait rien à la sécurité informatique jusqu’à l’année dernière, d’arriver à sécuriser son ordinateur et d’arriver à sécuriser ses communications. C’est tout à fait possible ; il en est la preuve vivante.

Par ailleurs, la majeure partie des gens qui travaillent pour les services de renseignement sont des fonctionnaires à qui on demande de faire un boulot, et qui ne sont pas au courant de ce que font les autres. Les employés de la NSA ont probablement appris beaucoup plus sur la NSA grâce à Snowden qu’ils n’en savaient en étant à l’intérieur de la NSA. C’est le principe de cloisonnement dans les services de renseignement.

Il ne faut pas non plus forcément leur prêter de mauvaises intentions : la majeure partie des gens à la NSA, à la DGSE, leur cible c’est Al-Qaïda, c’est ce qui se passe en ce moment en Libye, c’est ce qui se passe en ce moment en Syrie, c’est ce qui se passe au Mali, c’est ce qui se passe au Niger, pas ce qui se passe à Romorantin, à Paris ou à Numa (là où j’avais fait ladite conférence -NDLR).

Il y a à près deux mille personnes à la direction technique à la DGSE, vu l’ampleur de la guerre au terrorisme, etc, il y en a combien d’après vous qui sont en train d’espionner les gens qui sont ici ? Est-ce que ça fait partie de leurs attributions ? Non. En plus la DGSE, sa mission c’est d’espionner à l’étranger : la DGSE est, comme son nom l’indique, un service de renseignement extérieur. C’est la DGSI, l’ancienne DCRI, en charge du contre-espionnage intérieur qui, effectivement, peut surveiller des gens en France.

Accessoirement, et c’est aussi un truc qui m’énerve, c’est l’expression « Big Brother » : j’en ai marre d’entendre « Big Brother être mis à toutes les sauces : un jour, c’est Google qui est « Big Brother« , le lendemain c’est Facebook, le surlendemain les péages et les radars automobiles, la NSA ou l’assurance maladie… Stop.

A force de mettre « Big Brother » à toutes les sauces, l’expression ne veut plus rien dire, et ne permet plus du tout de comprendre ce pourquoi Google, Facebook, les radars automatiques ou la NSA peuvent poser problème -nonobstant le fait que les problèmes qu’ils posent n’ont généralement rien à voir.

Pour en revenir au sujet qui nous préoccupe, la NSA n’est pas une police de la pensée. Obama n’est pas Hitler, ni Staline. Il faut arrêter avec ce truc-là. Hitler, Staline sont des gens qui tuaient les dissidents. Si vous êtes un dissident aux États-Unis, vous n’êtes pas tué. Certes Laura Poitras vit en exil à Berlin, Jacob Appelbaum vit en exil à Berlin, il y a un certain nombre de personnes qui ont des soucis avec des autorités américaines, mais ce n’est pas comparable avec Big Brother qui était un dictateur.

Ce vers quoi on va c’est beaucoup plus Minority Report. À savoir un monde où il y aura tellement de machines interconnectées et de plus en plus de machines qui vont décider à la place d’êtres humains et où, à des moments, il y a des machines qui vont vous dire non. Et en fait Minority Report ça a déjà commencé. J’avais fait un papier là-dessus, sur ceux que l’on surnomme les « doigts brûlés » de Calais.

À Calais, 25 % des réfugiés se brûlent les doigts pour effacer les empreintes digitales, parce que si les flics les chopent et qu’ils passent leurs empreintes digitales au fichier des empreintes digitales, EuroDac, européen, ils vont être renvoyés en Italie ou en Grèce, là où ils ont été fichés. Or comme leur objectif c’est d’aller en Grande Bretagne, ils n’ont pas envie de se retaper le périple depuis la Grèce ou depuis l’Italie. Donc le seul moyen pour ne pas être renvoyés là-bas, c’est d’effacer leurs empreintes digitales.

Donc Minority Report ça a commencé, c’est maintenant, il y a déjà des gens qui se mutilent pour échapper à des systèmes de fichage utilisant des ordinateurs, sauf que, comme ce sont des réfugiés, sans papiers, à Calais, grosso modo la lie de l’humanité, personne n’en parle.

J’avais participé à une émission il n’y a pas très longtemps avec Alain Bauer, qui était le monsieur insécurité, le monsieur vidéo surveillance sous Nicolas Sarkozy, et non seulement il a reconnu que la quasi totalité des systèmes de vidéo surveillance en France ont été installés n’importe comment. C’était intéressant que ce soit monsieur Alain Bauer qui me dise ça. Et quand j’ai dit  « Mais de toutes façons le problème ce n’est pas Big Brother, c’est Minority Report », lui et le président de l’association des villes vidéosurveillées m’ont répondu que « c’est vrai, on va vers Minority Report »…

Pourquoi j’ai fait cette conférence-là sur la paranoïa ? Parce que je déplore le fait de voir de plus en plus de mes contemporains verser dans la paranoïa, alors qu’on n’a vraiment pas besoin de ça. Pour arriver à mesurer un problème il faut être conscient de ce problème et donc il faut être droit sur pattes, et savoir de quoi on parle, et ne pas raconter n’importe quoi. Le pire est à venir.

Là ce qu’on a vu avec Snowden c’est de la roupie de sansonnet par rapport à ce qui va se passer dans vingt ans. Parce que la NSA ne va pas s’arrêter là. La NSA a semble-t-il commencé à faire du massif sur les câbles sous-marins en 2007-2008, la NSA a commencé à s’attaquer à la crypto il y a quelques années seulement, ce sera quoi dans quinze ans, dans vingt ans ? Je n’en sais foutre rien. Ce que je sais c’est que ce sera très certainement pire que ce qu’on a aujourd’hui. Et donc si aujourd’hui on habitue les gens au fait qu’on vivrait dans « Big Brother« , on va leur dire quoi dans cinq ans, dans vingt ans ?

En plus, ça intériorise complètement la menace, parce que « Big Brother » on ne peut rien faire contre lui ! La NSA, ils sont plus forts que toi ! Ces super Dupont, ils sont magiques, ils ont tous les pouvoirs, de toutes façons, ouais, je ne peux rien faire contre la NSA ! Ce n’est pas vrai ! Greenwald, c’était un noob, et il sait faire maintenant. Donc tout le monde peut le faire. Il faut juste s’en donner les moyens, et apprendre à se protéger.

Je voudrais finir en évoquant un texte que je n’ai pas encore eu le temps de finir, mais où j’essaie d’expliquer ce pourquoi la défense des libertés et de la vie privée est au 21ème siècle ce que l’écologie fut au 20ème, au sens où la vie privée en soi, on s’en fout, c’est juste un moyen. C’est comme Internet, on s’en fout, c’est juste un moyen.

Il n’y a pas de liberté d’expression, il n’y a pas de liberté de circulation, il n’y a pas de liberté d’opinion s’il n’y a pas de vie privée. Parce que si on se sent surveillé on va s’autocensurer, et donc ça va à l’encontre de ce qu’on entend par une démocratie digne de ce nom. Et donc c’est pour ça qu’il faut défendre les libertés et la vie privée, c’est parce que c’est la clef qui permet d’actionner les autres mécanismes. Et je vous remercie.

PS : la conférence datant de juin dernier, je n’y avais pas évoqué l’article relatif à « l’accès administratif aux données de connexion » par les services de renseignement prévu par la loi de programmation militaire, dont le décret d’application vient d’être publié. J’y reviendrai, à tête reposée. En attendant, vous pouvez d’ores et déjà vous faire peur avec l’article du Point, avoir des doutes avec celui de Kitetoa, et vous en faire une idée plus posée avec l’analyse de NextInpact.

NB : et si vous vous intéressez vraiment à ce que font la NSA et le GCHQ, je ne saurais que trop vous encourager à visiter nsa-observer.net, qui recense la quasi-totalité de leurs programmes et systèmes espions, voire à y contribuer : la prochaine session de travail aura lieu ce mercredi 7 janvier à 19h, via IRC.

PPS : et sinon, je ne saurais que trop vous conseiller de lire cet excellent article d’Amaelle Guiton qui revient sur cette paranoïa ambiante qui fait dire à certains que les outils de cryptographie auraient été « cassés par la NSA et le GCHQ et qu’on ne pourrait rien faire pour s’en protéger :

« Laisser penser que la cryptographie « grand public » — celle que des centaines de millions d’internautes utilisent sans s’en rendre compte — est bonne à jeter revient à expliquer à un candidat à une promenade dans la savane qu’il ferait aussi bien d’y aller tout nu et à pied, sous prétexte que ni son pantalon ni sa méhari ne résisteront à un rhinocéros furieux ».

Voir aussi la retranscription intégrale de ladite conférence et, sur ce blog :
Une station espion de la NSA, en plein Paris
« Sur Internet, on est tous pirates, et ça c’est bien »
CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET
Surveillance: pourquoi je suis assez optimiste (à moyen terme en tout cas)
Le 11 septembre 2001 fut un « cadeau fait à la NSA », dixit… le n°3 de la NSA

Une station espion de la NSA, en plein Paris

vendredi 12 décembre 2014 à 15:52

1412ObsChineLa semaine passée, L’Obs révélait, en « une« , que la Chine espionnait la France grâce à une station d’écoute installée sur le toit d’une annexe de l’ambassade de Chine à Chevilly Larue, en banlieue parisienne.

De fait, le « scoop » de Vincent Jauvert, intitulé « Comment la Chine espionne le monde depuis la banlieue parisienne« , explique que les antennes pointent vers des satellites permettant des communications entre l’Europe, l’Afrique et le Moyen-Orient, et qu’ils ne ciblent donc pas particulièrement les Français.

Hier, j’en faisais ma chronique pour L’Autre JT, la nouvelle émission hebdo de France4, expliquant que, si les Chinois n’espionnent probablement pas particulièrement les Français, la NSA a, de son côté, installé une station d’écoute sur le toit de l’ambassade des USA, place de la Concorde, à quelques mètres de l’Elysée.

Passée jusque là inaperçue, l’information avait été révélée par le blogueur (et twittos) Zone d’intérêt, puis confirmée par le journaliste Antoine Lefébure (auteur d’un excellent essai sur l’affaire Snowden), avec qui j’avais été, sur place, en compagnie de Duncan Campbell, le journaliste britannique qui avait, le premier, révélé l’existence du système anglo-saxon Echelon de surveillance des télécommunications.

amb-usa

Et on avait bien rigolé en découvrant que les fenêtres avec volets fermées que l’on peut voir sur la photo ont en fait été peintes : ce sont des fausses, à la façon des villages Potemkine, ces trompe-l’oeil créés afin de masquer la pauvreté des villages lors de la visite de l’impératrice Catherine II en Crimée en 1787…

Dans son article (passionnant : Les grandes oreilles américaines à Paris) Zone d’Intérêt explique que cette station a vraisemblablement été installée entre 2004 et 2005, et que ce type de centres d’écoute (Special Collection Service –SCS), opérées conjointement par la CIA et la NSA, est en mesure d’intercepter les signaux dans les gammes de fréquences correspondant à la téléphonie mobile, aux transmissions HF et aux communications satellite, d’assurer la géolocalisation des terminaux, et de recourir à des IMSI catchers pour simuler de fausses antennes-relais et intercepter des communications.

Il souligne également que cette station espion est opportunément située « à seulement 350m du palais de l’Elysée, 450m du Ministère de l’Intérieur, 600m du Ministère de la Justice, 700m du Ministère des Affaires Etrangères et de l’Assemblée Nationale, et 950m du Ministère de la Défense (et qu’)on trouve également dans un rayon d’un kilomètre plusieurs ambassades et des entreprises stratégiques

A noter que la pratique n’a rien de très exceptionnel : on trouve ce type de stations d’écoute sur le toit de nombreuses autres ambassades dans le monde entier (Duncan Campbell en a répertorié plusieurs), et que les Etats-Unis ne sont pas les seuls à le faire, Vincent Jauvert évoquant ainsi les pratiques des services de renseignement israélien et russes en la matière.

Ca a eu l’air d’intéresser l’équipe du Zapping de Canal +, qui a repris l’information, en deux temps :

Le Zapping – 12/12/14

Voir aussi :
La NSA n’espionne pas tant la France que ça
« Sur Internet, on est tous pirates, et ça c’est bien »
CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET
Surveillance: pourquoi je suis assez optimiste (à moyen terme en tout cas)
Le 11 septembre 2001 fut un « cadeau fait à la NSA », dixit… le n°3 de la NSA

Surveillance: pourquoi je suis assez optimiste (à moyen terme en tout cas)

mercredi 26 novembre 2014 à 16:47

risquesDans le prolongement de l’affaire Snowden, la revue Risques de la Fédération française des sociétés d’assurance m’a invité, le 24 juin dernier, à participer à une table ronde réunissant également Philippe Aigrain (@balaitous sur Twitter), co-fondateur de La Quadrature du Net, chercheur et essayiste, Antoine Lefébure (@segalen), auteur de L’affaire Snowden (Ed. La Découverte), Pierre-Olivier Sur, bâtonnier de Paris et Thierry van Santen, directeur général d’Allianz Global Corporate & Specialty SE France.

Le débat était animé par Jean-Hervé Lorenzi, directeur de la rédaction de Risques, qui m’a autorisé à republier cet entretien.

POUR UNE PROTECTION DES LIBERTÉS INDIVIDUELLES ET DES DONNÉES PERSONNELLES

Risques : Tout d’abord, pouvons-nous préciser les enjeux de ce débat, à la fois sur un plan juridique (la protection de l’individu) et un plan technologique ; et enfin, comment peut-on se protéger ?

Pierre-Olivier Sur : Nous sommes aujourd’hui dans un schéma particulier. Face à un double effondrement, celui du Parlement et celui de l’exécutif. Nous avons un pouvoir judiciaire qui représente, avec tous les moyens technologiques existants, un risque, une menace de terreur. C’est-à-dire que, quand tout s’est effondré, il ne reste que le judiciaire. Et le judiciaire en ce moment terrorise, avec des véhicules qui sont les écoutes téléphoniques judiciaires mais aussi les interceptions pirates, et puis les perquisitions tous azimuts, sans contrôle. Nous espérons qu’une loi interviendra bientôt pour réguler tout cela.

Par exemple, d’une bagarre entre deux associés, qui aurait dû se régler au sein de la profession, on arrive à des perquisitions (huit perquisitions de cabinets d’avocats dans la même journée) et des saisies de documents relatives à d’autres affaires. C’est la manifestation de ce qu’on appelle des enquêtes « à filets dérivants ». On arrive ainsi à l’affaire de la campagne présidentielle et du prétendu financement libyen… C’est-à-dire qu’on entre dans le secret d’un cabinet d’avocat pour rechercher une chose précise, et qu’on se sert de cette perquisition pour trouver des éléments qui concernent une affaire d’État qui n’a aucun lien avec l’affaire en cours. Ce sont des procédés qui sont absolument impossibles à accepter dans une société comme la France.

Philippe Aigrain : Je commencerai d’abord par évacuer l’idée que ce serait principalement le numérique lui-même et ses usages qui créeraient des dangers massifs pour la vie privée. Le numérique est une mutation anthropologique considérable qui change ce qu’est penser et interagir avec les autres. Cela nous place face à des défis et on peut attendre des politiques publiques qu’elles n’aggravent pas la difficulté à faire face à ces défis en nous privant des moyens de construire la maîtrise nécessaire. Et là, on a deux autres types de risques : l’ « invocation sécuritaire » et la « société de défiance ». L’invocation sécuritaire, c’est comme l’écrit Mireille Delmas-Marty dans Libertés et sûreté dans un monde dangereux, un concept de sûreté qui serait une promesse infinie de sécurité, le risque zéro dans la sécurité. C’est une promesse non tenable mais qui nous jette dans une trajectoire dangereuse. Et la société de défiance, c’est celle qui fait de chacun de nous un suspect jusqu’à ce qu’il soit prouvé que nous n’avons rien à nous reprocher. Pourquoi ces deux phénomènes se sont-ils développés ?

Il y a une double racine. Une racine historique, qui est celle de l’effondrement de l’affrontement des blocs après 1989. Et une racine qui est la dérive oligarchique ou post-démocratique de nos sociétés. J’insisterai sur un point, c’est qu’il n’y a pas que Septembre 2001. La surveillance diffuse, la promotion des outils techniques de la surveillance diffuse, sont arrivées dans la seconde moitié des années 1990. Septembre 2001 a levé les inhibitions, mais n’a pas été à la source du développement de l’invocation sécuritaire et de la société de défiance.

Un autre phénomène, plus récent, a accentué les risques considérablement. Dans la seconde moitié des années 1990, il y eut la révélation du système Echelon. Les services des « 5 eyes » anglo-saxons espionnent le trafic sur Internet et dans les réseaux non Internet, parce que c’est là alors qu’on peut tout capturer, à la sortie de certains câbles transocéaniques, dans des communications par satellites, etc. Lorsqu’en 2008 (et peut-être avant aussi) on met en place des programmes comme Prism, la NSA et d’autres services tirent les conséquences du fait que l’information non contextualisée, celle qui est simplement des flux d’information, est extrêmement difficile à analyser. Ils ont besoin, pour espérer comprendre quelque chose, d’avoir accès à des métadonnées contextuelles. C’est-à-dire, par exemple, pas seulement votre e-mail mais toute votre liste de contacts ; pas seulement les tweets que vous émettez mais tous vos suiveurs. Et pourquoi, à ce moment-là, peuvent-ils le faire ? Parce qu’entre 2004 et 2008 se passe une gigantesque contre-révolution informatique, qui est celle de la recentralisation des services sur le Web. De très nombreux services, qui étaient « départementalisés », c’est-à-dire distribués en partie dans des petits ensembles, ou franchement distribués, c’est-à-dire distribués au niveau des individus eux-mêmes, vont devenir des services centralisés chez quelques gros intermédiateurs.

Mais ces deux phénomènes clés – l’invocation sécuritaire et la société de défiance, et la centralisation des intermédiaires – sont à mon avis une source des risques, mais montrent également qu’il existe une possibilité de tenter de les domestiquer. Je suis membre de la commission parlementaire sur le numérique qui vient d’être mise en place à l’Assemblée nationale. Le pouvoir du Parlement est fragilisé, mais c’est un geste pour se saisir de ces questions, et j’essaie d’y contribuer.

Jean-Marc Manach : Je suis d’accord avec l’analyse qui vient d’être faite. Au moment de l’affaire Snowden, Prism a été mal présenté et la quasi-totalité des gens l’ont considéré comme un système de surveillance massive de l’Internet mis en place par la NSA. En fait, Prism est un mécanisme mis en place pour que la NSA utilise le mécanisme Fisa (pour « Foreign Intelligence Surveillance Act« , qui décrit les procédures des surveillances physique et électronique, ainsi que la collecte d’information sur des puissances étrangères soit directement, soit par l’échange d’informations avec d’autres puissances étrangère) pour demander au FBI de demander à Google. Donc Google, Facebook, Microsoft, etc. ne connaissaient pas Prism, ne savaient pas qu’ils répondaient à une demande de la NSA, ils répondaient à une demande du FBI.

L’affaire Snowden a mis au jour la notion de construction parallèle. On a découvert que la NSA travaillait en tant que prestataire, notamment pour la DEA (Drug Enforcement Administration). Ils ont mis l’intégralité des Bahamas sur écoute pour lutter contre le trafic de drogue. Quand ils trouvent une information qui peut intéresser la DEA, ils la communiquent à la DEA qui, sachant que les trafiquants de drogue sont à tel endroit, tel jour, comme par hasard fait un contrôle routier cePour une protection des libertés individuelles et des données personnelles jour-là. En fait, il ne faut surtout pas qu’apparaisse dans la procédure judiciaire le fait que c’est la NSA qui a intercepté de façon plus ou moins illégale les données, et qui a donné les informations à la DEA, parce que sinon cela risque d’être cassé en justice.

Un autre signal faible dans les documents Snowden, c’est la notion de three hops. Jusqu’aux révélations Snowden, la majeure partie de l’opinion publique pensait : « je n’ai rien à me reprocher, donc je n’ai rien à craindre, je n’intéresse pas les services de renseignement ». Sauf que la notion de three hops, c’est trois sauts. Si on a une cible, on va s’intéresser à tous ceux qui sont en contact avec cette personne. Plus tous les gens qui sont en contact avec les gens qui sont en contact avec cette personne-là. Plus tous les gens qui sont en contact avec les gens qui sont en contact avec les gens qui sont en contact avec cette personne. Ce qui fait que la belle-sœur du garde du corps de François Hollande peut faire l’objet d’une interception de la NSA (voir Pourquoi la NSA espionne aussi votre papa (#oupas)).

Un ancien responsable de la NSA a dit : « Les métadonnées tuent ». Un exemple concret : des terroristes ou des djihadistes supposés ont été tués par ses drones au Yémen notamment. Ceux qui se savent traqués par la machine militaro-industrielle américaine n’utilisent pas leur téléphone portable. Mais ils ne peuvent pas empêcher leur femme d’envoyer un e-mail à leurs amies ou à leurs sœurs. Et grâce à l’e-mail envoyé par la femme de quelqu’un qui était sur la kill list d’Obama, ils ont réussi à localiser la maison où il était parce qu’ils ont intercepté un mail qu’elle a envoyé à sa sœur. Je ne sais pas si cette femme est morte dans le bombardement, mais voilà. La question n’est plus de savoir si on a quelque chose à se reprocher mais de savoir si on connaît quelqu’un qui connaît quelqu’un qui pourrait éventuellement intéresser un service de renseignement.

Le chercheur en sécurité informatique britannique Ross Anderson a développé une théorie très intéressante sur l’économie de la surveillance. En fait, la NSA a mis en place une super place de marché, où des services de renseignement de différents pays viennent échanger des métadonnées. Par exemple, la DGSE vient échanger des métadonnées interceptées au Mali, au Niger ou en Afghanistan ; en échange, la NSA lui refile des métadonnées interceptées dans d’autres pays où elle n’est pas aussi présente. Et tout le monde va faire du troc de métadonnées avec la NSA, même les Indiens, pourtant plus proches de Moscou que de Washington. On a vu notamment un cas où les Américains ont financé et contribué à développer les puissances d’interception des télécommunications des Australiens, et où les Australiens s’en sont servi pour espionner un cabinet d’avocats américain qui défendait l’Indonésie dans le cadre d’un conflit commercial entre l’Australie et l’Indonésie. Et la NSA a laissé faire. Alors que la NSA a deux missions : la première, c’est sécuriser les communications des Américains ; la deuxième, c’est intercepter les télécommunications des ennemis des États-Unis. On voit ainsi que ce qui prime c’est la surveillance.

Philippe Aigrain : D’un point de vue technique, ce sont des machines qui écoutent, ou des hommes et des femmes ?

Jean-Marc Manach : Il y a différents moyens. Prism, c’est une requête judiciaire, et ensuite on demande les noms, les carnets d’adresses, éventuellement le contenu des communications, qui sont remontés au FBI, puis à la NSA, qui va faire un traitement manuel. Dans le cas de Tempora, qui est le programme d’interception massive des communications sur les câbles sous-marins en Grande-Bretagne, ils essaient d’intercepter absolument tout. Ensuite, ils stockent pendant trois jours, ils font tourner les machines pendant trois jours avec des filtres pour arriver à sélectionner les informations qui pourraient les intéresser à partir des mots clés, des adresses e-mails ou des adresses IP qu’ils recherchent. Ensuite, ils transmettent les résultats de ces filtres à des opérateurs humains, qui utilisent différents logiciels pour effectuer leur travail d’analyse, et peuvent aussi utiliser Xkeyscore, une sorte de moteur de recherche qui collecte quasi systématiquement les activités des internautes grâce à plus de 700 serveurs localisés dans plusieurs dizaines de pays.

Il faut imaginer que ce que fait la NSA, c’est un peu ce que fait Google. Sauf que Google archive le Web, Tempora et Xkeyscore (entre autres) essaient d’archiver tout ce qui passe dans les câbles sous-marins, les satellites et Internet. Ensuite, les opérateurs du GCHQ (Government Communications Headquarters, l’équivalent – et partenaire historique – britannique de la NSA) ou de la NSA disent : envoyez-moi tous les mails qui ont été envoyés par telle ou telle personne ; donnez-moi toutes les communications téléphoniques par telle ou telle personne ; tous les gens qui, ce jour-là, à 16 heures, étaient dans cette zone-là ou ont visité tel ou tel site, ou chercher tel ou tel mot clé.

On voit aussi de plus en plus ce qu’on appelle des IMSI catchers (système permettant de localiser un téléphone mobile dans un périmètre restreint autour de celui-ci) – c’est une vraie-fausse borne de téléphonie mobile qui permet de capter tous les numéros de téléphone dans un endroit donné. Quand j’ai travaillé avec Wikileaks sur les Spy Files (une enquête sur les marchands d’armes de surveillance numérique), le responsable de l’ISS (Intelligence Support Systems for lawful interception, electronic surveillance and cyber intelligence gathering, le plus gros salon de marchands d’armes de surveillance numérique) expliquait qu’entre 2001 et aujourd’hui, ce marché était passé de 0 à 5 milliards de dollars par an.

Antoine Lefébure : Un an après l’affaire Snowden, le premier bilan qu’on peut tirer c’est, a contrario de ce qui se dit en France, une véritable sensibilité de l’opinion publique sur ce sujet dans les pays où le travail d’information a été fait. C’est-à-dire que, par exemple au Brésil ou en Allemagne, où différents médias ont fait des enquêtes de fond, où les documents Snowden ont été publiés, commentés, etc., on voit une vraie inquiétude de l’opinion publique sur le sujet. Finalement, en France, les deux seules personnes qui ont fait un travail d’information sont Jean-Marc Manach et Philippe Aigrain, et son association La Quadrature du Net.

Les médias français ont été bien peu nombreux à suivre le sujet – il n’y a pas plus de 10 % des documents Snowden dans le Guardian, le Washington Post, qui ont été traduits en français. Si vous ne lisez pas l’anglais, vous ne savez pas ce qu’il y a dans les documents Snowden, ce qui est invraisemblable. Et, à partir de là, est née une légende : l’opinion publique ne s’intéresse pas à la thématique des libertés individuelles. Ce qui est faux. C’est vrai qu’en lisant la presse quotidienne française et en regardant la télévision, vous n’avez aucune raison de vous préoccuper du sujet. Ce que vous dites aussi sur les perquisitions dans les cabinets d’avocats, etc., je ne le lis pas dans le journal ou très peu. Il n’y a pas de détail, alors que c’est pourtant quelque chose d’important. Une amie (journaliste) dit que le mauvais journalisme est une exception culturelle française.

La deuxième chose, encore plus inquiétante, face à cette atonie des médias, c’est l’extraordinaire autonomie de ce système militaro-industriel, qui avait été dénoncé à l’époque par Eisenhower, et qui s’est reconverti et développé dans le domaine de la surveillance, et qu’aucun chef de gouvernement, d’Obama à Merkel, ne peut contraindre. On se rend compte qu’il y a la sphère démocratique, qui est en très mauvais état en raison de la manière dont l’opinion publique est traitée et prise en compte ; il y a l’espace public, qui est loin de la réalité du monde tel qu’il fonctionne ; et puis il y a une chose qui, elle, marche très bien, c’est cette espèce d’internationale des services de renseignement, des élites industrielles et politiques, qui s’entendent extrêmement bien entre eux.

On a découvert très récemment, notamment dans un certain nombre de documents Snowden, que la NSA, en 1983, après un effort (10 milliards de dollars, 30 000 personnes) a dit : on n’arrive pas à faire cette surveillance universelle. Donc on va monter un système, un partenariat, ce qu’on appelle le Third Party Countries, avec trente-cinq pays, y compris l’Inde, donc des pays qui ne sont pas toujours alliés des États-Unis. Et on va leur donner des technologies en échange de quoi on va leur demander des capacités d’écoute régionales – par exemple l’Inde qui écoute la Chine – et des capacités de traduction. Parce qu’un des problèmes de la NSA, c’est la traduction, et en Inde il n’y a pas de problème de traducteur en chinois. Et ils ont monté une espèce de Facebook des services de renseignement. Contrairement à Facebook, il y a un chef qui distribue les informations et les technologies et dirige les échanges réciproques, centralisant pour lui-même l’ensemble des résultats.

Ainsi, les services de renseignement de la France, de l’Italie, de l’Inde, etc. à coût égal ont vu leurs performances multipliées par trois. Pour le plus grand bonheur des dirigeants politiques de ces pays qui, sans bien savoir comment, commencent à avoir des informations très consistantes grâce à l’utilisation des logiciels de la NSA. Cette situation explique que rien ne change sauf du côté des associations, des citoyens, des ingénieurs qui réfléchissent à des moyens techniques pour contrer la surveillance généralisée.

Thierry van Santen : Un mot de synthèse. Tout ce que l’on explique aujourd’hui, est une actualisation contemporaine d’actions qui existaient déjà chez Fouché au cours du Premier Empire, et qui se sont développées de tout temps au niveau des services secrets : échanges entre services, enquêtes de proximité où on faisait déjà les three hops (les enquêtes d’entourage). Aujourd’hui, les outils donnent une force de frappe qui est plus sophistiquée, plus complexe, et probablement moins maîtrisée et maîtrisable, aussi bien par les utilisateurs que par les « victimes ».

Le véritable problème est double : c’est d’une part la gouvernance, tant du politique que du judiciaire, qui ont la tentation, comme les services de renseignement, d’utiliser de nouvelles techniques pour pouvoir atteindre leurs objectifs ; et d’autre part, celle des systèmes et de la régulation des systèmes, parce qu’ils sont interconnectés mondialement. Ceci explique très largement l’absence de réaction des gouverne ments à la déclaration d’Obama. Tout simplement parce qu’on est dans un grand jeu interconnecté.

Par contre, j’ai d’autres inquiétudes qui vont au-delà : c’est la privatisation des systèmes combinée à une évolution technologique sans précédent. Je suis atterré par les projets de Google de pouvoir faire une mémoire virtuelle d’un individu qui permettrait d’accéder à l’immortalité, et a contrario du risque de pouvoir contrôler cette mémoire virtuelle. On arrive là à des limites qui m’intéressent presque plus que l’espionnite, qui a toujours existé sous des aspects beaucoup plus artisanaux (l’ouverture du courrier était pratiquée dans tous les régimes). Aujourd’hui, nous voyons des développements dans les mains de firmes privées, avec des projets impactant la vie quotidienne des individus qui sont totalement incontrôlables. On va bientôt avoir la voiture sans chauffeur. Imaginons simplement que demain il y ait 100 000 voitures qui roulent sans chauffeur. Cela peut être positif ; mais a contrario, cela veut dire aussi que je peux virtuellement infiltrer ces voitures et créer un gigantesque crash.

Risques : Vous travaillez pour une grande société de gestion et de protection du risque. Quelle est la nature de la réflexion que les assureurs peuvent avoir sur ce type de sujet ?

Thierry van Santen : Il y a deux axes complètement différents. Le premier axe, c’est comment nous proté- geons les données dans un cadre de compliance, notamment en matière de données médicales. On a créé des procédures, des pare-feu pour éviter le vol de ces données. L’autre aspect, c’est le cybercrime, puisque aujourd’hui le piratage est un véritable problème, avec la quantification matérielle et immatérielle d’un piratage. Mais là aussi il convient de faire une distinction. On l’a vu récemment à plusieurs occasions : un vol de données massif n’a pas toujours un impact dramatique. En revanche, en matière de cybercrime nous voyons aussi apparaître des sabotages ou des potentialités de sabotage. La complexité des systèmes ouvre la voie à toutes sortes de scénarios : sabotages d’appareils de production, d’organisation logistique, etc. On entre là dans des problématiques de cybersécurité compliquées. Donc, pour résumer, nos deux grandes priorités sont de protéger nos données et de travailler sur le cybercrime, tant en prévention qu’en offre de produit de couverture d’assurance pour nos grands clients.

Risques : Je vais faire une remarque et poser trois questions. Quand vous regardez la financiarisation, aujourd’hui il y a dix fois plus de produits dérivés que le PIB mondial. Il ne s’est rien passé depuis la « toute petite affaire » des subprimes. Personne ne prendra plus jamais le contrôle de la finance mondiale qui est une industrie en tant que telle. Sur ce plan-là, il y a une petite comparaison avec les sujets que vous évoquez. Ma première question : est-ce que la technologie peut être maîtrisée, puisque c’est elle qui est à l’origine ? Deuxième question : Il y a cinquante ans, IBM et Xerox tenaient le marché de l’informatique. Aujourd’hui, cinq acteurs semblent décider du sort du monde. La structure même de l’organisation économique mondiale n’est-elle pas indépassable, avec ce contrôle délirant du monde par quatre ou cinq entreprises ? Troisième question : l’idée qu’il y ait plusieurs couches de structures qui mettent en péril la démocratie. Quels sont les contre-pouvoirs ?

Pierre-Olivier Sur : J’ai parlé des perquisitions. Elles sont nourries par les écoutes téléphoniques et les interceptions de toutes natures. Tout cela forme un bloc qui fracture le secret professionnel des avocats et donc la vie privée de tous. Peut-on y mettre des limites ? Techniquement, ce n’est pas à moi de répondre. Institutionnellement, j’ai essayé de dénoncer ces abus à de multiples reprises mais il semble ne pas y avoir de prise de conscience des citoyens. Nous sommes dans une société soumise au diktat de la transparence. C’est terrible. Bien sûr, si un avocat participe au crime, il n’est pas au-dessus de la loi, il faut qu’il soit poursuivi et condamné pour ce que j’appelle un acte détachable. Mais quand on est avant l’acte détachable, il n’est pas question qu’on puisse accepter qu’un avocat soit écouté ou perquisitionné, car c’est le secret de nos clients qui est en danger. Le problème est philosophique et sociétal. La fin ne peut pas justifier les moyens.

Philippe Aigrain : Le concept de transparence a été la réponse anglo-saxonne à la dénonciation de la post-démocratie. Il y a une différence entre Transparency International et Anticor, une organisation qui est plus active chez nous. Une des raisons pour lesquelles le mot « transparence » est partout en ce moment, c’est que la transparence est un concept plus flou que le droit à l’information – qui est dans la Déclaration des droits de l’homme.

Maintenant, peut-on maîtriser les technologies ? Si on pose le problème comme ça, la réponse sera non. Parce que les technologies, on les fait. Le numérique, c’est un objet politique depuis le début. Internet est né d’une bagarre politique d’une petite minorité qui s’opposait aux opérateurs de télécommunications dans le contexte américain, parce qu’ils trouvaient que ces opérateurs voulaient contrôler ce que les gens faisaient avec les réseaux ; alors qu’eux avaient une vision où ce sont les gens – en l’occurrence les scientifiques à l’époque – qui devaient avoir la capacité de contrôler les usages. Le problème, c’est que les instruments de l’orientation du développement des technologies supposeraient, si on voulait que les politiques publiques et pas seulement des acteurs associatifs comme nous y jouent un rôle, une acceptation du politique de gérer deux choses auxquelles il refuse absolument de s’attaquer : les modèles commerciaux et les architectures des technologies. Toutes les évolutions fondamentales des technologies reposent sur des architectures, des protocoles. Or, à l’heure actuelle, que fait le politique ? Quand il crée la plateforme nationale des interceptions judiciaires, il crée une usine à gaz pensée pour protéger la légalité des procédures, mais il fait un partenariat public-privé avec Thalès et il centralise toutes les données correspondantes dans un silo souterrain.

Tant qu’on reste dans ces approches-là de l’orientation des technologies, les politiques publiques ne joueront pas leur rôle de maîtrise. Et qui jouera le rôle de maîtrise ? Ce sont les gens qui se réunissent au sein de Tor, Tails (“The Amnesic Incognito Live System”, est un système d’exploitation spécialement conçu pour préserver la vie privée et l’anonymat de ceux qui l’utilisent), qui font les outils de base avec lesquels on peut continuer à faire un travail ou simplement à s’exprimer en n’étant pas soi-même l’objet de la surveillance. A l’heure actuelle, il y a une grande inertie qui s’est accumulée dans les trajectoires technologiques sur deux points : la centralisation, mais aussi le fait que le modèle dominant est un modèle catastrophique économiquement et très difficile à modifier, c’est-à-dire celui de la monétisation de l’audience, qui a été historiquement le modèle de la télévision, et la télévision n’en est jamais sortie.

Dans la commission parlementaire sur le numérique, il y a le président de l’association française pour la monétisation de l’audience. À partir du moment où de grands acteurs capturent une petite somme macro-économique mais très concentrée, on crée des groupes d’influence puissants qui travaillent pour un intérêt très particulier. Donc je suis pessimiste sur le rôle des politiques publiques mais je reste raisonnablement optimiste sur les capacités de réaction sociétale. J’ai été impressionné par le fait que, parmi les communautés qui ont réagi aux révélations de Snowden avec le plus de compréhension réelle des enjeux, il y a les écrivains – partout sauf en France à quelques exceptions près.

Jean-Marc Manach : Pour préciser, Tor et Tails – deux logiciels qui permettent de sécuriser les communications – sont utilisés par Snowden et par Greenwald. Ils sont très intéressants, parce que Tor et Tails font que l’ordinateur de Greenwald n’a pas été piraté. Cela fait plus d’un an que ni la CIA, ni la NSA, n’ont pu détruire les fichiers de Snowden. Cela montre que si on veut protéger ses données, c’est possible. Et Greenwald, ce n’est pas un hacker, ce n’est pas un informaticien, il n’y connaissait rien, et puis il a appris, donc tout le monde peut apprendre. Et j’en viens à une hypothèse que j’ai formulée il y a quelques années, celle du « quart d’heure d’anonymat », au sens où Warhol avait prédit que tout le monde aurait son quart d’heure de célébrité. La téléréalité et Internet permettent à des anonymes de devenir célèbres (voir Tout le monde a droit à son 1/4h d’anonymat).

Aujourd’hui, le problème, que ce soit par rapport à Google, Facebook, la NSA, etc., c’est d’arriver à avoir son quart d’heure d’anonymat. Si j’ai besoin de confier quelque chose de confidentiel à quelqu’un, jamais je ne le fais par téléphone, jamais je ne le fais par e-mail en clair. Tout simplement parce que cela laisse des traces. Si j’ai besoin d’une communication confidentielle, je m’en donne les moyens techniques, mais c’est à moi de le décider. Là où je suis assez optimiste sur le moyen terme, c’est que, grâce aux révélations de Snowden, il n’y a jamais eu autant de gens qui développent des logiciels, des systèmes pour arriver à avoir ces quarts d’heure d’anonymat, pour arriver à sécuriser leurs données.

En France c’était catastrophique, jusqu’à il y a quelques années le simple mot « hacker » c’était un pirate informatique. Alors que non, ce sont les Snowden, ce sont les hackers qui font Tails, Tor, qui font qu’on peut se protéger et lutter contre la cybercriminalité. Bruce Schneier, un des professionnels de la sécurité les plus respectés et écoutés dans le monde, explique que l’objectif aujourd’hui, c’est de rendre la surveillance généralisée tellement chère que ça ne servira à rien. Et énormément de gens y contribuent. Je suis donc assez optimiste, à moyen terme.

Par contre, le problème c’est qu’il faut arrêter avec la notion de « Big Brother ». J’ai écrit un livre qui s’appelle La vie privée, un problème de vieux cons ?, où j’essayais d’expliquer que les petits cons d’aujourd’hui, les jeunes, bien sûr qu’ils veulent protéger leur vie privée, ils ne sont pas exhibitionnistes, mais ils mènent une vie publique. Ce qui n’empêche pas d’avoir une vie privée. Mais, par défaut, la vie est publique quand on est sur des espaces publics sur Internet. Donc ce n’est pas Big Brother, c’est plutôt Big Mother : la NSA vous surveille pour votre bien. Mais c’est surtout Minority Report.

Et là j’en viens aux voitures sans chauffeur, etc. Ce vers quoi on s’achemine, c’est une multiplication des Big Mother. Google nous surveille, c’est pour notre bien, la NSA aussi. Et, à terme, on va être de plus en plus confrontés à des systèmes informatiques distribués qui vont décider à notre place si on a le droit de faire quelque chose ou pas. On a aujourd’hui un quart des deman- deurs d’asile à Calais qui se brûlent les doigts pour effacer leurs empreintes digitales, pour ne pas être renvoyés en Grèce ou en Italie, là où on les a pris. Minority Report, c’est maintenant (voir Calais: des réfugiés aux doigts brûlés). Demain, ce sera les chômeurs, après-demain les étrangers, etc. On voit aujourd’hui des gens qui sont arrêtés, qui doivent démontrer leur innocence, c’est exactement comme au Procès de Kafka (voir Le vrai danger, ce n’est pas Orwell, c’est Kafka).

L’objectif, à terme, c’est de faire de telle sorte que ce soit l’être humain qui reste au contrôle, qu’on contrôle les machines. Sinon ce sont elles qui vont nous contrôler. D’où aussi la référence aux logiciels libres, qu’il faut promouvoir ; il faut promouvoir la transparence du code, qu’on puisse vérifier ce qu’il y a à l’intérieur. La transparence ne me fait pas peur parce qu’elle rend confiant. Le principe de Kerckhoffs, qui était un ingénieur français au XIXe siècle, dit que pour avoir confiance dans un système de sécurité, il faut qu’on puisse connaître les mécanismes, les plans de son dispositif de sécurité, afin de vérifier qu’il n’y a pas de porte dérobée, qu’il n’y a pas de piège à l’intérieur. Ce qui n’empêche pas d’avoir la clé, et la clé c’est votre vie privée.

Antoine Lefébure : La confiance et la véritable transparence viendront des citoyens, des associations. Elles ne viendront évidemment pas des gouvernements, encore moins des services secrets, pas plus que des grandes entreprises. Google et Facebook ont des ingénieurs qui s’occupent de la sécurisation contre les piratages, mais certainement pas contre le piratage d’État. Il faudrait arriver à déterminer le bon secret d’État du mauvais. À certains moments, le secret d’État se justifie, pas à d’autres. La clé, dans une démocratie, c’est de ne pas utiliser l’arme du secret pour dissimuler des pratiques injustifiables. Dans les grands contrats internationaux, il y a souvent des pots-de-vin que tous les États protègent par un secret absolu. C’est discutable mais justifié. Par contre, quand ce secret sert à cacher le financement des dirigeants au pouvoir, nous sommes dans la sphère du secret d’État ignoble. Au Danemark, ils ont un secret d’État, mais c’est extrêmement limité. Alors qu’en France, tout est secret, tout est transparent, tout se retrouve dans le journal, les conversations de Sarkozy comme les documents pris chez les avocats, etc.

Thierry van Santen : Je suis pour une fois assez pessimiste. Notre plus gros risque, c’est ce dont s’inspire le film Minority Report, à savoir l’intrusion dans la vie privée au travers de la connectivité permanente. Il faut savoir que demain, toutes les cartes d’identité seront basées sur l’iris. À chaque fois que vous entrerez dans un aéroport, ou tout autre lieu public, on saura vous localiser. Dès aujourd’hui, dès que vous payez avec votre carte de crédit, vous avez une alerte sur ce que vous avez dépensé et où. Il faudra s’habituer à vivre avec. Ma seconde inquiétude, c’est l’espionnage en général. Je pense qu’il a échappé petit à petit aux États. On est entré dans un circuit sur lequel on va avoir des guerres technologiques sans fin. Le troisième problème, c’est celui de gouvernance des États, la question de la transparence, de la fin et des moyens, etc. Je pense qu’en matière de gouvernance, les politiques ont encore leur mot à dire mais je crains qu’il y ait de moins en moins de volonté de leur part pour instaurer une véritable discipline, seule garante des libertés fondamentales.

Risques : Pour conclure, je vais ajouter deux petites doses d’optimisme. Comme j’ai essayé de le démontrer dans ce livre, qui s’appelle Un monde de violences, on entre dans une phase assez traditionnelle de stagnation de l’économie mondiale. Évidemment cela crée des difficultés, et les sociétés qui ont une incapacité par exemple à fournir de l’emploi aux uns et aux autres, ont besoin de se surveiller. Cela ne va pas s’arrêter aujourd’hui. Si ce que nous décrivons est exact, c’est-à-dire une sorte de disparition ou d’affaiblissement de la démocratie, une incapacité de réguler des dispositifs de contrôle excessif, cela donne le sentiment d’une société qui utilise la technologie d’une manière assez peu progressiste. La contrepartie, c’est que c’est une société en progression – elle n’est pas progressiste mais elle est en progression. Et l’argument de la modernité technologique, l’intérêt de ces quatre-cinq entreprises (Google, Apple, etc.) n’est pas d’aller contre cela. Ils sont les acteurs du dispositif. L’histoire du grand crash de voitures m’a interrogé. Moi je préfère conduire ma voiture. Quel est l’intérêt de ne pas conduire une voiture ? Je préfère qu’on dise : on fait des transports collectifs. C’est plus sympathique. Tout cela est mis sous la rubrique de la modernité, ce qui n’est pas du tout la société des Lumières.

Voir aussi :
La NSA n’espionne pas tant la France que ça
Pour la CNIL, 18% des Français sont « suspects »
CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET
DGSE/Orange : joue-là comme SuperDupont (#oupas)
Le 11 septembre 2001 fut un « cadeau fait à la NSA », dixit… le n°3 de la NSA

Je suis un « cyberterroriste » : j’ai piraté le compte Twitter de Pascale Clark

lundi 22 septembre 2014 à 15:28

visuterretitreSous couvert de lutte contre les (cyber)djihadistes opérant en Libye et en Syrie, le projet de loi « renforçant les dispositions relatives à la lutte contre le terrorisme » veut (notamment, mais considérablement) étendre les pouvoirs d’investigation, de mise sur écoute et de sanction en matière de (cyber)police judiciaire (voir « Une entreprise de terrorisme médiatique (notamment)« ).

Giv Anquetil, que j’avais rencontré du temps où il travaillait avec Daniel Mermet pour feu « Là-bas si j’y suis » (Mermet a depuis décidé de rebondir sur la Toile), m’a convié à en causer dans « Comme un bruit qui court » (@commeunbruit sur Twitter), un magazine qui veut donner la parole aux « maquisards de la pensée contemporaine« , diffusé le samedi de 16 à 17h sur France Inter.

On a cherché un studio d’enregistrement libre, doté d’une connexion à Internet, Giv m’a installé devant un ordinateur et là, patatras, Giv et moi sommes devenus, en quelques secondes, et sans même nous en rendre compte, des « pirates informatiques« , pire : en vertu de ce projet de loi « renforçant les dispositions relatives à la lutte contre le terrorisme« , nous sommes devenus des « cyberterroristes« .

« Je peux écrire que j’ai piraté le compte de Pascale Clark ? »

Non content de m’obliger à utiliser un ordinateur proposant par défaut le navigateur Internet Explorer (moi qui n’utilise que des logiciels libres), j’ai en effet découvert, en me rendant sur la page d’accueil de Twitter, que l’identifiant et le mot de passe du compte @AliveFI, la nouvelle émission « live » de Pascale Clark sur France Inter, était pré-enregistrés dans le navigateur.

Et j’ai cliqué sur le bouton « se connecter« , sans vraiment réaliser la portée de ce que nous étions en train de faire :

« Moi : Je peux écrire que j’ai piraté le compte de Pascale Clark ? Non, je vais pas faire ça, mais je pourrais…
Giv : Ben tu sais quoi ? On va ajouter ton compte dans les abonnements. Comme ça ils seront abonnés à toi… »

La preuve : dans l’émission, diffusée samedi dernier sur France Inter, Giv a révélé cet échange, et donc que nous avions « piraté » le compte Twitter de Pascale Clark:

Or, l’Article 323-1 du Code pénal punit de 2 ans de prison et de 30 000 euros d’amendes « le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données« . J’ai de la chance : le projet de loi « renforçant les dispositions relatives à la lutte contre le terrorisme« , adopté à l’Assemblée, prévoit de multiplier l’amende par 3,333, et de la porter à 100 000€.

Le fait d’accéder, frauduleusement, au compte Twitter de l’émission de Pascale Clark est une chose; le fait d’avoir abonné @AliveFI à mon propre compte twitter (@manhack) en est une autre.

L’article 323-3 du Code pénal précise en effet que « le fait d’introduire frauduleusement des données dans un système de traitement automatisé ou de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 75 000 euros d’amende« . Là aussi, j’ai de la chance : le projet de loi « renforçant les dispositions relatives à la lutte contre le terrorisme » prévoit de multiplier l’amende par 6,666, et de la porter à 500 000€.

Je suis un « cyberterroriste » (& Giv aussi)

France Inter est un service public. Or, le code pénal prévoit que « lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à cinq ans d’emprisonnement et à 75 000 € d’amende » en vertu de l’article 323-1, et « à sept ans d’emprisonnement et à 100 000 € d’amende » en vertu de l’article 323-3.

Giv et moi avons décidément beaucoup de chances : le projet de loi « renforçant les dispositions relatives à la lutte contre le terrorisme » veut rajouter un nouvel article dans le code pénal, afin de lutter contre le « cyberterrorisme » :

« Art. 323-4-1. – Lorsque les infractions prévues aux articles 323-1 à 323-3-1 ont été commises en bande organisée et à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’État, la peine est portée à dix ans d’emprisonnement et à 1 000 000 € d’amende. »

A en croire le texte adopté la semaine passée à l’Assemblée -et qui doit encore être discuté au Sénat-, ce que Giv et moi avons fait, « en bande organisée« , relèverait du « (cyber)terrorisme« , serait passible de 10 ans de prison, et d’1M€ d’amende.

« La loi est la même pour tous »… #oupas

Nul doute que la Justice sera clémente… ou pas : les deux amendements visant à exclure « les simples actions de « sit-in » informatique de militants souhaitant bloquer temporairement l’accès à un site, sans destruction ni extraction des données« , comme on l’a vu avec certains actions d’#Anonymous, ont été repoussés par le gouvernement :

M. Sébastien Pietrasanta, rapporteur. Quand bien même une personne morale ou physique s’introduirait ou se maintiendrait dans un système de traitement automatisé de données à des fins pacifiques et de manière non-violente, dans le but d’exprimer une opinion, la fraude est nécessairement constituée (…).

Le législateur ne saurait exonérer a priori de sa responsabilité pénale telle ou telle personne, en fonction de la légitimité supposée de ses intentions, au risque de rompre l’égalité des citoyens devant l’application de la loi pénale : la loi est la même pour tous, qu’elle protège ou qu’elle punisse.

M. Pietrasanta reconnaît certes que le « jugement a la possibilité de tenir compte des circonstances de l’infraction et de la personnalité de son auteur, ainsi que de sa situation matérielle, familiale et sociale, conformément au principe d’individualisation des peines« , et je ne doute pas que Giv et moi ne serions pas condamnés à 10 ans de prison et 1M€ d’amende pour avoir cliqué sur le bouton (pré-enregistré) « se connecter » du Twitter de Pascale Clark, mais quid de ces #Anonymous qui participent à des cyber-sit-ins, quid de ces hackers citoyens qui accèdent à des documents sensibles censés être protégés, mais qui le sont d’autant moins qu’on y accède via Google (voir aussi CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET) ?

Le Sénat fera-t-il de moi un (cyber)terroriste ?

Je ne comprends pas le rapport entre cette drastique aggravation des peines en matière d’atteintes aux systèmes de traitement automatisé de données (STAD, le terme juridique officiel désignant les actions de « piratage informatique« ) et la lutte contre les (cyber)djihadistes opérant en Irak et en Syrie, qui motivent pourtant l’adoption, en urgence, de ce projet de loi.

L’étude d’impact associée à ce projet de loi rappelle qu' »en 2012, 182 infractions de cette nature avaient donné lieu à condamnation« , contre 111 en 2008. Si cette « hausse d’environ 60 % en valeur absolue » peut paraître « significative« , l’examen des condamnations montre que « les infractions le plus souvent associées aux STAD sont les faux et les escroqueries« , et qu’en 2008, « 41 % des condamnations donnaient lieu au prononcé d’une peine d’emprisonnement avec ou sursis« , contre 56 % en 2012, et que, « lorsqu’une peine d’emprisonnement ferme est prononcée, le quantum moyen se situe selon les années entre 18 et 24 mois« …

La loi prévoit d’ores et déjà -et depuis des années- que lorsque une atteinte STAD a été commise « à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat« , la peine est de 5 à 7 ans de prison, et de 75 à 100 000€ d’amende. Concrètement, ça changera quoi, de la porter à 10 ans de prison, et à 1M€ d’amende ?

Le gouvernement, et les parlementaires (de la majorité comme de l’opposition), pensent vraiment -sincèrement- que cela permettra de mieux lutter contre le (cyber)terrorisme ?

Cette façon (cyber)opportuniste d’instrumentaliser le terrorisme pour (une fois de plus) diaboliser Internet ne peut que contribuer, a contrario, à faire le jeu de tous ceux qui ne font plus confiance dans nos institutions : je suis consterné de voir que, sur Twitter notamment, nombreux sont ceux qui crient (limite paranos) à la « démocrature« , entre autres manifestations de défiance voire de dégoût face à ce projet de loi coup de com’.

Pascale Clark & France Inter ne porteront probablement pas plainte contre moi & Giv. Il n’empêche : à en croire le projet de loi « renforçant les dispositions relatives à la lutte contre le terrorisme« , adopté par l’Assemblée, et qui va donc prochainement être discuté au Sénat, nous avons commis un acte « cyberterroriste« , « en bande organisée« , pour avoir cliqué un bouton. Ce qui ne plaide pas, ce me semble, en faveur de ce projet de loi, en l’état.

Voir aussi :
La NSA n’espionne pas tant la France que ça
Pour la CNIL, 18% des Français sont « suspects »
« Sur Internet, on est tous pirates, et ça c’est bien »
Une entreprise de terrorisme médiatique (notamment)
CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET