PROJET AUTOBLOG


BUG BROTHER

Site original : BUG BROTHER

⇐ retour index

« Sur Internet, on est tous pirates, et ça c’est bien »

vendredi 19 septembre 2014 à 16:33

traces26_revuesdotorg-small280Quand j’étais chargé de sensibiliser les étudiants d’e-juristes.org, le Master 2 Professionnel spécialité « droit des nouvelles technologies et société de l’information » de l’Université Paris Ouest Nanterre La Défense (Paris X), qui « vise à former des spécialistes sur les questions juridiques posées par les nouvelles technologies de l’information et de la communication (TIC)« , je prenais un malin plaisir à commencer mes cours en leur demandant :

« Qui n’a jamais « piraté » un logiciel, film, série ou fichier .mp3 -sans le payer ? »

Et personne ne levait le doigt -à l’exception (notable) du gendarme commis d’office-, ce qui me permettait de leur lancer un « Bienvenue sur Internet ! Ou pourquoi, et comment, on a là un problème avec la loi, et la notion de « droit »…« .

Lauréate du 5ème Prix de thèse Informatique et Libertés -décerné par la CNIL- pour ses travaux sur les architectures pair-à-pair (P2P), membre de la Commission de « réflexion sur le droit et les libertés à l’âge du numérique » récemment créée à l’Assemblée nationale, Francesca Musiani (@franmusiani sur Twitter) m’avait interviewé il y a quelques mois.

Pirater, le nouvel opus de la revue Tracés de recherche en sciences humaines et sociales, a publié ladite interview… mais en accès payant.

Au vu du sujet, et de ce que j’avais pu expliquer à Francesca, je ne pouvais que mettre en ligne la version « brute de décoffrage » de ladite interview, enregistrée le 26 novembre 2013 (sachant par ailleurs qu’au vu des révélations Snowden, certaines de mes réponses auraient probablement été différentes depuis) :

« Sur Internet, on est tous pirates, et ça c’est bien »

A l’aune des révélations d’Edward Snowden sur les pratiques de surveillance mises en œuvre par les services de renseignement américains – pratiques illégales pour la loi américaine elle-même – les questions de cyber-conflit et de cyber-surveillance n’ont jamais été autant d’actualité. Les technologies de l’information et de la communication, Internet en tout premier lieu, sont de plus en plus utilisées à des fins économiques et militaires – du vol de données stratégiques aux détournements de systèmes industriels. La montée en puissance de l’espionnage, du traquage et de la surveillance numériques, de manière de plus en plus pervasive, est dévoilée non seulement par les récentes révélations Snowden ou par les activités de WikiLeaks, mais par la construction et l’organisation d’un marché des technologies et des équipements de surveillance qui est de plus en plus répandu et lucratif.

Dans ce contexte, le terme “piratage” acquiert des nouvelles facettes: si d’un côté, l’une des réponses des internautes et citoyens à ces pratiques de surveillance massive est celui de fabriquer, « bidouiller », voire détourner ou pirater des artefacts techniques pour sécuriser leurs connexions Internet et empêcher des tiers d’accéder à leurs données, il est aussi question de se rappeler à quel point le développement des techniques de surveillance et de déchiffrage a été un puissant vecteur de développement de l’informatique dans une perspective de “bien commun”.

Enfin, pour comprendre le phénomène du piratage à l’ère numérique, ses définitions, ses cadrages, ses réconfigurations, il est important de comprendre à quel point les pratiques qui ont été qualifiées comme “pirates” par tel ou tel autre acteur de la chaîne de valeur Internet sont de facto diffusées et répandues chez les utilisateurs – ce qui nous met, peut-être pour le plus grand bien de la société du partage et de la connaissance, dans la condition d’être “tous pirates”. Nous avons discuté de surveillance et de ses détournements, de bricolage informatique et de piratage avec le « journaliste hacker » Jean-Marc Manach, le 26 novembre 2013.

Jean-Marc Manach est un journaliste d’investigation spécialiste de questions de surveillance et de protection de la vie privée sur l’Internet : pour des raisons qu’il détaille au cours de notre conversation, il se définit désormais un « journo-hacker ». Jean-Marc est surtout connu pour son blog, Bug Brother, et pour ses contributions présentes et passées sur des sites web comme, par exemple, Internet Actu et OWNI.

Parmi ses enquêtes compte notamment celle sur Amesys, l’entreprise française qui, on l’apprend en 2011, a vendu au régime de Kadhafi les technologies de surveillance qui lui ont permis de surveiller ses opposants. Jean-Marc est membre fondateur des Big Brother Awards France, une cérémonie de remise de prix à « [des] gouvernements et [des] entreprises… qui font le plus pour menacer la vie privée » organisée par Privacy International (full disclosure : je n’en suis plus).

Il siège au comité de déontologie de Nos oignons, association qui promeut le développement du réseau de communications électroniques Tor afin de « garantir les libertés d’information, d’expression et de communication ». Il dispense divers enseignements dans des écoles de journalisme, sur des thématiques de sécurité informatique et protection des sources. Son projet le plus récent (depuis la rentrée 2013) est, toutes les deux semaines, le mardi à 14h42, l’animation d’une émission filmée de type Web TV sur le site web Arrêt sur images, où les invités interviennent via le logiciel Skype. Sa maison sur le Web est à l’adresse http://jean-marc.manach.net/.

Francesca Musiani : Partons de la plus stricte actualité. La firme Pogoplug annonçait hier la sortie de Safeplug, une « boîte à 49 dollars » censée sécuriser la connexion Internet des utilisateurs via un Tor plug-and-play. D’après votre expérience au sein de « Nos oignons », que pensez-vous de cette initiative ? La boîte Safeplug peut-elle marcher techniquement, et être largement adoptée par les utilisateurs ?

Jean-Marc Manach : Techniquement, il s’agit de quelque chose qui a été fait par les hackers depuis pas mal de temps. Là on arrive à la commercialisation d’un produit, à l’étape après le prototype. Je ne me rends pas bien compte du potentiel économique de la chose, si une boîte peut vraiment gagner de l’argent en faisant ça. Ce qui est sûr, c’est qu’en pleine affaire Snowden, cela n’arrive certainement pas à un moment anodin. Un des problèmes avec l’affaire Snowden est qu’il y a plein de gens qui disent deux choses : soit que « on le savait déjà », soit que « on ne peut rien faire ».

Or, le premier point est sans doute faux, il y a plein de choses que cette affaire a fait éclater au grand jour ; et pour le deuxième, bien sûr que non, on peut faire des choses et on pouvait même avant les révélations Snowden. Celles-ci ont incité les gens à fabriquer ou « bidouiller » des choses, soit au niveau micro, soit en organisant des ateliers, pour sécuriser leurs connexions Internet et empêcher des tiers – la NSA en tête – d’accéder à leurs données et pratiquer des écoutes massives.

Entre temps, on voit Twitter, Microsoft, qui passent en HTTPS… Ce petit gadget participe d’un mouvement mondial, un effort pour re-sécuriser Internet. Ce qui est intéressant avec ce boîtier, Safeplug, c’est qu’il va être entre l’ordinateur et le routeur, donc quel que soit le protocole utilisé, tout le trafic est censé passer par Tor – pas que le trafic Web.

Francesca Musiani : La sortie de Safeplug est la toute dernière occasion de réfléchir à une question qui me tient particulièrement à cœur, y ayant consacré plusieurs années de mes recherches : la mise en place d’alternatives décentralisées aux services Internet actuellement répandus, comme manière d’améliorer la protection de la vie privée et la sécurité de son identité en ligne. Que pensez-vous de cette approche « par la technique » à la sécurité et la vie privée, et de son efficacité par rapport à d’autres stratégies, telles que la loi écrite ou l’éducation des utilisateurs ?

Jean-Marc Manach : Une des influences géopolitiques majeures des Etats-Unis par rapport à Internet c’est d’arriver à propager dans le monde entier l’idée qu’on ne peut pas faire confiance à la loi. Les Etats-Unis sont un pays qui n’a pas confiance en ses institutions : donc, par exemple, c’est beaucoup plus facile d’obtenir de l’information, via le Freedom of Information Act. C’est un instrument très puissant, des documents de la NSA peuvent être déclassifiés grâce à ça. A fortiori, avec l’affaire Snowden, on a vu que NSA viole effectivement la loi américaine.

En France, cette défiance de l’Etat n’est pas inscrite dans le système. Mais avec Internet, de plus en plus de personnes apprennent à se méfier. La solution est bien évidemment technique. Si l’on aborde l’enjeu d’un point de vue législatif, ça prend toujours plus de temps. L’approche de la « privacy by design« , c’est à la fois technique, culturel et financier. Cela fait des années que des gens se battent pour ça, mais il y a plein d’entreprises qui ne font pas ça. Là encore, avec l’affaire Snowden, de nombreux Etats et entreprises vont augmenter leurs budgets de sécurité, donc il se peut que Snowden accélère l’adoption plus à large échelle de la « privacy by design« .

Il expliquait que la raison fondamentale à la base de ses révélations est qu’on est à un tournant dans notre conception des droits de l’homme. Il pense que s’il avait encore tardé, cela aurait été trop tard pour savoir si c’est la matrice qui contrôle les hommes ou vice-versa, s’il y a de l’accountability, de la responsabilité, de la transparence. Peut-être que, d’ailleurs, il est déjà trop tard. Mais en tout cas, on est à un tournant.

En matière d’éducation, on peut commencer par un exemple. Un enfant de deux ans va savoir comment utiliser un iPhone, tandis que quelqu’un de plus de cinquante ans va lire le mode d’emploi. Or, la raison du succès de l’iPhone, c’est qu’il n’y a pas de mode d’emploi pour s’en servir.

On est dans une situation où les enseignants en savent moins que les élèves, parce qu’ils ne sont pas nés avec les outils ; en plus, les premiers ont grandi dans une situation où l’enseignement, c’est quelqu’un qui parle et quelqu’un qui écoute, pas une logique de co-participation et de partage à laquelle l’internet nous a habitués.

Le Danemark est à ma connaissance le seul pays qui autorise les étudiants à avoir un accès Internet pendant leur bac. Ils se sont posés la question de pourquoi le seul jour de leur vie où ces élèves n’auront pas accès à l’Internet devrait être le jour de leur bac. Ils ont compris que le plus important n’est plus d’apprendre par cœur, mais de savoir comment trouver l’information la plus utile au bon moment. Je suis assez sceptique qu’on arrive à incorporer cette vision dans notre éducation et rendre son objectif principal celui d’améliorer le savoir commun.

Mais il y a quelques îles : par exemple, le travail de François Taddéi et son Centre de recherche interdisciplinaire. Mais en général je reste sceptique, surtout quand je vois quelle a été la stratégie du législateur, il y a quelques ans, pour sensibiliser les enfants aux questions relatives à la violation du droit d’auteur sur Internet : ils envoient des gens dans les écoles, pour dire aux élèves de ne pas faire ceci et cela – et une approche semblable pour les réseaux sociaux : ne partage pas n’importe quoi, c’est dangereux ! Ce qui, bien sûr, est la meilleure manière de s’assurer qu’ils le fassent. Parler à la fois des dangers et des opportunités du partage me semble plus constructif.

Un point final peut être fait sur la différence entre fournir un équipement informatique, et fournir l’infrastructure qui permette effectivement de l’utiliser. Cela ne sert à rien d’équiper des écoles entières avec des ordinateurs portables si on n’équipe pas les salles de cours avec des prises électriques et du haut débit. Il faut dépasser le rapport à l’informatique en mode gadget pour que l’éducation devienne un véritable instrument par rapport aux enjeux de surveillance, sécurité, vie privée.

Francesca Musiani : Revenons un peu en arrière. Vous êtes reconnu pour votre travail de journalisme d’investigation sur les thèmes de surveillance et privacy en ligne, mais vous m’avez dit lors de notre premier contact que vous êtes devenu journaliste « par hasard ». En effet, votre parcours de « journo-hacker », comme vous vous définissez, est loin de se résumer à ça. En 2001, vous publiez un ouvrage sur le cinéma expérimental français des années 70. En 2008 et 2010 sortent vos deux ouvrages « Big Brother Awards » et « La vie privée, un problème de vieux cons ? », sur des thèmes de surveillance et privacy respectivement. Qu’est ce qui vous a amené, progressivement j’imagine, à vous intéresser à ces deux thèmes ?

Jean-Marc Manach : En effet, je ne voulais pas être journaliste : je voulais faire du cinéma. J’arrive à la fac, je découvre le cinéma expérimental et les documentaires et je me passionne pour ça. Je commence à faire des films qui étaient vraiment hors cadre : les festivals de cinéma n’en voulaient pas parce que cela faisait trop documentaire, et les festivals de documentaires n’en voulaient pas parce qu’ils étaient trop cinéma expérimental. J’ai commencé à écrire un petit peu pour « défendre » mon cinéma.

La Cinémathèque française élaborait à ce moment un catalogue à l’occasion d’une grande rétrospective sur le cinéma expérimental, et j’ai suggéré d’y inclure un chapitre sur un épisode qui n’avait jamais été raconté : le fait qu’on avait décidé de ne pas aider financièrement le cinéma expérimental. Cet article a été censuré du catalogue, pour d’obscures raisons de manque de place. J’étais dégoûté par le fait que dans le monde du cinéma, 30 ans après les faits que je racontais, on arrivait encore à censurer des choses (rapport censuré que, pour le coup, j’avais mis en ligne sur le web).

Entre temps, je découvrais Internet – par hasard, j’écrivais à ce moment pour un journal qui avait un accès Internet à haut débit, ce qui était encore très rare : ceux qui avaient accès à Internet à l’époque étaient majoritairement limités par leurs modems à 56Kbit/s. Je commençais à bricoler mes sites Web, une page perso. C’est là que le basculement a eu lieu : en 1999-2000, j’ai un accès haut débit, je commence à m’intéresser à l’Internet, et voilà que sort le rapport de Duncan Campbell sur le système anglo-saxon ECHELON de surveillance et d’espionnage des télécommunications.

J’arrive donc sur Internet au moment où je découvre que la totalité d’Internet est sous surveillance. Je commence à m’intéresser à ça du point de vue du journaliste : pour protéger mes sources. Les journalistes n’avaient pas de mode d’emploi pour gérer cela ; par contre, en me tournant vers le monde des hackers, je me suis rendu compte qu’eux, ils en avaient, ils savaient comment protéger leur vie privée, utiliser les logiciels et systèmes de sécurité informatique. J’ai commencé à lire, puis à traduire et publier des documents et modes d’emploi. Voilà comment j’ai commencé à m’intéresser à ces questions.

Francesca Musiani : Le documentaire « Une contre-histoire de l’Internet » réalisé par Sylvain Bergère, dont vous êtes co-auteur, met l’accent sur développeurs et/ou activistes et montre comment ceux-ci ont rendu l’Internet ce qu’il est aujourd’hui. Quelle a été la genèse de ce projet ? Quel est l’avantage de cette approche à l’histoire, voir aux histoires, de l’Internet ?

Une très grande majorité des personnes qui retracent l’histoire d’Internet expliquent que le réseau a été conçu à la demande des militaires US pour résister à une attaque nucléaire. Or, Internet a aussi été conçu par des hippies qui prenaient du LSD ! Cette histoire n’avait jamais été racontée, et les documentaires sur l’Internet étaient souvent anxiogènes, assimilant les internautes à des pirates, les hackers à des criminels… Ce qui m’intéressait, c’était de montrer que c’est grâce aux hackers qu’on a Internet. C’est vrai, il a été initialement financé par l’armée américaine, mais c’est aussi le cas de Tor, auquel on attribue aujourd’hui tous les vices. Il y a tellement de choses qu’on doit aux hackers – au sens large : les militants pour le partage, l’ouverture du code source, le logiciel libre, l’intérêt pour la transparence et le souci aigu de la vie privée…

Francesca Musiani : Cela passe aussi par une reconfiguration, aux yeux du grand public, de la définition même de hacker…

Bien sûr. Et tout particulièrement en France d’ailleurs, où on a longtemps diabolisé la figure du hacker. C’est la DST (Direction de la surveillance du territoire) qui a constitué le premier groupe de hackers, au début des années 90, et quand on l’a su, plus personne n’a voulu se définir comme hacker. En 2001, je participais au premier symposium sur la sécurité informatique, et la moitié des gens étaient en uniforme : le congrès avait lieu dans l’enceinte même de l’Ecole militaire des transmissions… Il a fallu attendre 2007 pour avoir le premier festival de hackers en France, et des « coming out » de gens qui se définissaient comme hackers. L’année dernière, la France a accueilli près d’une dizaine de congrès de sécurité informatique réunissant des hackers internationaux de très haut niveau. Chose qui était impensable il y a quelques années. La diabolisation du hacker explique aussi beaucoup de choses sur ce dont on discutait avant, l’approche du système d’éducation à l’informatique. Et ça explique aussi pourquoi, au début des années 90, un dirigeant de France Télécom déclarait qu’ils allaient « interdire Internet ». Cela explique aussi pourquoi on nous a bassiné, à la TV, dans les années 90, avec le fait qu’Internet serait un nid de pédophiles et de nazis. C’est tellement aberrant ! Mais cela se passe beaucoup plus en France que dans d’autres pays, et je pense que c’est lié à la manière top-down dont notre Etat est organisé. Aux Etats-Unis, ils ont bien des défauts, mais si on a déjà essayé de monter des boîtes et qu’on s’est planté, on a plus de chance de lever des fonds pour en monter d’autres ; en France, si on s’est planté, c’est fini. C’est ça aussi, la culture hacker : intégrer l’échec au développement.

Francesca Musiani : A propos des « histoires dominantes » et du formatage des discours qui en découle, on a souvent l’impression, de par son traitement dans la presse, que l’histoire de la surveillance Internet tourne autour des Etats-Unis. Est-ce vraiment le cas, ou au moins, est-ce le cas jusqu’à ce point ? Est-ce que cette histoire cache des discours et des pratiques – étatiques, privées, un mélange des deux – dont on devrait avoir plus conscience ?

On ne peut pas comprendre le développement de l’informatique sans comprendre qu’elle vient aussi des efforts entrepris pour casser les codes secrets pendant la seconde guerre mondiale. Le programme Enigma, qui avait donné lieu au développement du premier prototype d’ordinateur par Alan Turing, en est un exemple. Le développement de l’industrie des télécommunications s’est accompagné par le développement de la surveillance des télécommunications. Enormément d’argent a été destiné à ce développement pendant la guerre froide, aussi. Internet, c’est la queue de comète de tous ces épisodes-là. Aujourd’hui, le marché des systèmes d’espionnage et de surveillance des télécommunications est estimé à cinq milliards de dollars par an. Ces systèmes espions étaient autrefois l’apanage des services de renseignement de grands pays comme les Etats-Unis, la France, la Chine ou la Russie. Plus maintenant. De nombreuses PME le proposent aussi.

Francesca Musiani : Vous pensez notamment à l’affaire Amesys ? Pour rappel, il s’agit de la société française qui – on l’a appris en 2011 grâce à une de vos enquêtes ainsi qu’un reportage successif du Wall Street Journal – a vendu au régime de Kadhafi les technologies de surveillance qui lui ont permis de surveiller ses opposants, et de monitorer l’ensemble des communications sur Internet ainsi que les réseaux de téléphonie mobile et satellite en Libye.

Oui, tout à fait. Aujourd’hui, n’importe quel dictateur, tout comme n’importe quel shérif de comté américain, peut acheter sur étagère des dispositifs d’interception des télécommunications. Des personnes, des bibliothèques, des institutions, des pays. Il y a un véritable complexe militaro-industriel qui s’est mis en place, y compris plein de contractants privés – Snowden en était un. C’est un business qui n’existait pas du tout à ce niveau-là avant 2001. Donc, pour en revenir à votre question, on parle démesurément des Etats-Unis et de la NSA, mais c’est parce-que paradoxalement, c’est un pays qui a une culture de méfiance envers les institutions, il y a des choses comme les lanceurs d’alertes et le droit à déclassifier des documents. On peut se permettre de dénoncer les pratiques du gouvernement, aux Etats-Unis. Ce n’est pas le cas en Russie, ni en Chine… ni en France ou en Grande Bretagne, qui pourtant violent la loi exactement de la même façon ou au moins en sont fortement soupçonnés. Donc, c’est paradoxal : les Etats-Unis, c’est une grande démocratie, avec de gens qui veulent défendre les droits individuels, et c’est pour ça qu’on arrive à avoir ces documents ; ailleurs on n’a pas cette chance, faute de documents, on ne sait pas vraiment quel est l’ampleur de la surveillance chez nous. Une des leçons Snowden est probablement qu’en ce sens-là, les Etats-Unis sont une meilleure démocratie que la France.

Francesca Musiani : Dans mes propres recherches, je m’intéresse de plus en plus à la « privatisation » de la gouvernance de l’Internet, le rôle accru que joue l’industrie, volontairement ou obligatoirement, dans la régulation du contenu et de la liberté d’expression. A part Amesys, est-ce un thème que vous rencontrez dans vos enquêtes, et comment ?

Dès le début des années 2000, on parlait déjà d’auto-régulation, à la fois par la société civile et les acteurs privés. Un exemple intéressant en France était le Forum des Droits de l’Internet (FDI), où justement on réunissait des représentants des ministères avec la société civile et des industriels. Et cela a permis d’éviter de faire certaines erreurs, et qu’un certain nombre de projets de loi ne soient pas débattus que par des députés qui, souvent, ne comprennent pas le fonctionnement ni la portée des technologies qu’ils veulent “réguler”. Depuis, on a fermé le FDI, et créé la Hadopi…

Francesca Musiani : Le modèle multi-parties-prenantes est également celui du Forum sur la Gouvernance de l’Internet. L’idée est justement qu’on ne fait « que » dialoguer, mais que ce dialogue…

Empêche de faire des bêtises ! OK, le FDI a servi à bien plus qu’à ne pas faire des bêtises, mais comme disait l’un de nos invités pour le documentaire, « ceux qui parlent ne se balancent pas des bombes ». Si on parle, on va éviter la vision complètement caricaturale de l’autre – ce qui ne s’est pas passé, par exemple, lors des déclarations de notre ancien Président qui voulait « civiliser Internet ». Comment peut-on penser que ce point de vue colonisateur est applicable à l’Internet ? La mesure de cette impossibilité est bien mise en lumière par les effets pratiques de la loi Hadopi. Une condamnation, à 150 euros d’amende, et ce n’était même pas la faute de l’individu condamné, mais de son ex-femme qui avait utilisé la connexion à son insu. Il suffisait que l’abonnement soit à son nom.

Francesca Musiani : C’est d’ailleurs l’un des points que les ingénieurs auditionnés lors du parcours parlementaire Hadopi avaient mis en lumière : ce n’est pas possible, pour les utilisateurs, que d’avoir la certitude technique et matérielle qu’ils ont bien sécurisé leur connexion Internet…

Oui, c’est ce que j’avais dit aussi : votre projet de loi ne tiendra pas parce qu’on ne peut pas demander à quelqu’un d’avoir les compétences techniques pour vraiment sécuriser sa connexion. Des entreprises spécialisées et avec les grands moyens n’y arrivent pas. La réponse qu’ils m’ont donné a été : puisqu’on est une économie capitaliste, on va créer un marché, et les entreprises vont trouver une solution. Or, quatre ans après, dans cette économie de marché, il n’y a pas encore une solution de sécurisation qui a été labellisée par la Hadopi. Il semblerait que ce soit plus complexe qu’une vision ultra-libérale et capitaliste de l’Internet.

Francesca Musiani : Après WikiLeaks, notamment, le métier du journaliste d’enquête et du « whistleblower », le lanceur d’alerte, semble être entré dans une nouvelle ère. Est-ce le cas ? Je pense notamment à une problématique croisée entre journalisme et recherche, celle du rapport aux sources. Comment abordez-vous cette question dans votre travail ?

Depuis 1999-2000, j’ai commencé à faire des « modes d’emploi » pour sécuriser mes sources. Je n’ai pas eu tant que ça besoin de le déployer. Par contre, un certain nombre d’informations et de scoop que j’ai pu avoir, c’est parce que je savais comment protéger mes sources, elles avaient confiance en moi et elles savaient comment me contacter en toute confidentialité et sécurité. Ce que WikiLeaks a changé consiste surtout en deux aspects : primo, ça a relancé le journalisme d’investigation, en premier lieu sur papier. Avant, les patrons de presse nous expliquaient qu’à cause d’Internet, où tout est gratuit, il y a moins d’argent pour les journaux. Julian Assange et WikiLeaks arrivent, proposent d’avoir accès à des documents, et le Guardian, le New York Times, etc. arrivent à mobiliser des dizaines de journalistes pendant des mois pour travailler avec WikiLeaks et compléter l’investigation. A cause d’Internet, le journalisme d’enquête ne marchait plus ; maintenant, grâce à Internet, c’est reparti. Secundo, on a vu la montée en puissance du data journalism. C’est d’ailleurs ce qui m’est arrivé, je suis devenu journaliste parce que j’ai commencé à traiter des données, même si l’étiquette n’existait pas encore. Là encore, c’est la relance du journalisme d’enquête, des lanceurs d’alerte, et j’espère qu’il y aura de plus en plus de ces derniers, parce que nos démocraties en ont grand besoin.
A un moment, dans notre documentaire, Assange reprend l’expression d’un lanceur d’alertes de la NSA qui expliquait qu’on est à un « turning point », à un moment charnière, et qu’il n’y a plus qu’à tourner la clé. Et si on tourne la clé, on passe dans une société totalitaire, parce que toutes les technologies, tout le système, est en place. Si Snowden n’avait pas fait ce qu’il a fait, on peut raisonnablement penser que dans deux, cinq, dix ans, ils auraient été dans la position de surveiller absolument tout. Ce qui relevait d’une légende hollywoodienne, aux temps de « Ennemi d’Etat », devient de plus en plus concret : aujourd’hui, on a tous un petit dispositif de traçage dans nos poches – le smartphone. Traquable par les services de renseignement, traquable par les policiers, traquable par les entreprises parce qu’on leur a donné la permission de le faire. C’est le rêve de la Stasi ! Voilà toute l’importance de ce qu’ont fait Assange et Snowden. Le premier peut être enfermé dans une ambassade à Londres, mais il a provoqué un débat mondial et a eu des effets géopolitiques importants, notamment dans le printemps arabe ; à deux, ils ont révolutionné les pratiques journalistiques ; les journalistes reprennent le quatrième pouvoir, qui est celui de demander des comptes. L’éthique d’Assange et de Snowden est en fait la philosophie des hackers, celle qui a été conceptualisée au début des années 80 aux Etats-Unis : hacker, c’est militer pour la vie privée des citoyens, et pour la transparence des institutions, pour pouvoir les contrôler plutôt qu’être contrôlés et manipulés par elles : les institutions sont à notre service, pas le contraire. Ce programme est au cœur de ce qu’est WikiLeaks, et de ce qu’il veut aider les journalistes à faire.

Francesca Musiani : Est-ce quelque chose a changé dans l’éthique du journaliste, face à cette pléthore de données et de sources ?

Je ne sais pas si cela change quelque chose à l’éthique des journalistes. Moi, j’ai eu des problèmes éthiques quand je me suis trouvé à manipuler, avec WikiLeaks, les mails syriens. Là, j’étais vraiment un peu comme la NSA : c’était quand même des millions de mails de citoyens syriens. Mais je n’ai pas trouvé grand-chose, à part les blagues que Bachar el Assad envoyait à son assistante…
Sinon, récemment, j’ai changé mon statut sur Twitter et je me présente comme « journaliste hacker » : il y a quelques années, je n’aurais pas pu faire ça. Maintenant, on peut se qualifier comme hacker et dire qu’on fait des choses bien. J’ai quand même souvent la question « mais alors, tu es hacker, cela veut dire que tu peux pirater les boîtes aux lettres ? » alors que je n’ai rien fait d’illégal sinon ce qu’ont fait des autres journalistes d’investigation, du recel – avoir des informations que je ne suis pas censé avoir. Mais c’est mon boulot. Je suis l’éthique des hackers, je ne sais même pas trop ce qu’on enseigne à l’école de journalisme d’ailleurs en termes d’éthique. Peut-être qu’avec les Big Data, avec toujours plus d’informations à disposition, le journalisme va être confronté à encore de nouveaux défis éthiques.
Ce qui est intéressant est que cette situation donne plus de pouvoir aux développeurs et aux hackers. Et donc il y a aussi un débat pour savoir si un hacker qui va travailler pour les services de renseignement « passe du côté sombre de la force ». Mais travailler pour la NSA, est-ce que c’est du bien ou du mal ? C’est compliqué. A priori, si l’on est américain, c’est légitime de créer un service de renseignement dont les informations vont servir à protéger les américains. Mais est-ce que pour cela c’est légitime d’espionner tout le monde ?
Les profils des hackers sont de plus en plus recherchés, à la fois par les gouvernements et les entreprises, surtout à la suite de l’affaire Snowden, et c’est sûr que cela confronte le hacker à sa propre éthique.

Francesca Musiani : Comme vous le savez, cet entretien se déroule dans le cadre d’un numéro sur le « piratage ». Comment l’appellation « pirate » entre-t-elle dans les questions qui vous préoccupent ? Quelles pratiques y sont associées, aussi bien du côté des pratiques réprimées que de celles appropriées, voire récupérées (par les gouvernements, les entreprises, à travers l’espionnage, la surveillance, etc.) ?

Pendant quelques années, j’ai fait un cours à la fac de Nanterre dans un département où l’on formait des juristes aux enjeux Internet. J’avais la mission de les sensibiliser sur les usages et sur leur perception d’Internet. La première question que je posais aux étudiants était la suivante : « Que ceux qui n’ont jamais piraté un logiciel, ‘rippé’ un DVD, téléchargé MP3, lèvent la main. » Il n’y avait qu’un seul qui levait la main – le gendarme qui était envoyé là en formation continue. Personne d’autre. Et moi : « Bienvenue sur Internet. Si on ne comprend pas ça, on ne peut pas comprendre ceux qu’on appelle les pirates informatiques : on est tous des pirates informatiques. » On est tous des pirates, ou on l’a tous été.
En 2005, le Parlement a voté la loi DADVSI, dans le but de lutter contre le piratage – cette loi punissait le fait de contourner les DRM, les méta-fichiers qui empêchent de copier des contenus numériques. J’ai pensé que c’était hallucinant : j’utilise Linux depuis des années, donc je ne peux pas lire les DRM pour lesquels on doit passer par Microsoft ou Apple, donc si je veux lire un DVD que j’ai légitimement acheté, le seul moyen que j’ai pour le faire, c’est de le pirater. Cette loi fait de moi un pirate, alors qu’à priori, je suis un utilisateur de logiciel libre, et que je fais donc partie de cette petite minorité de gens qui ne “piratent” jamais de logiciels…
Donc à ce jour, on ne peut pas comprendre Internet, la société du partage et l’accès à la connaissance, si on ne prend pas conscience de ça. La quasi-totalité des gens, sur Internet, s’est trouvée à un moment ou à l’autre à violer la loi, ce qui est quand même un phénomène inédit dans l’histoire de l’humanité. Et si on interdit quelque chose sur Internet, il réapparaît généralement ailleurs, autre part, autrement. Bien sûr, on peut à nouveau parler de l’Hadopi, qui a pensé que pour faire sécuriser leurs ordinateurs aux gens il fallait « créer un marché ».
Le terme de pirate, c’est fort. C’est du criminel, c’est du violent, c’est du sanguinaire… et de l’illégal. En même temps, dans quelle mesure Gutenberg a été harcelé par les autorités quand il a sorti l’imprimerie ? Est-ce qu’il a eu autant de soucis ? Je pense que celui qui en parle le mieux, c’est Eben Moglen. Pour lui, ceux qui luttent contre le piratage, luttent aussi pour l’ignorance, l’analphabétisme, la pauvreté, l’interdiction de solutions alternatives, de résolution de problèmes en mode bottom-up. C’est l’interdiction économique avant l’empowerment économique. Comme l’Internet permet de faire autant de choses, les Monsanto, les Vivendi et les Sarkozy de ce monde le lisent comme une perte du pouvoir qu’ils ont (encore) à ce moment. Mais je ne vois pas comment on pourrait faire marche arrière : on ne pourra pas empêcher aux gens de se renseigner et de partager, quitte à pirater des fichiers – ce qui, souvent, s’avère plus simple que de les acheter.
Après il y a aussi le côté sexy du pirate, et je pense que les hackers ont joué sur ça, sur le côté du jeu et de l’adolescent. Mais au fond, on peut vraiment résumer à ça : sur Internet, on est tous pirates, et ça c’est bien.

Francesca Musiani : A quoi doit-on s’attendre en termes des évolutions de la surveillance, selon vous, dans les prochaines années ? Est-ce que l’information – la capacité de s’en approprier, de l’agréger, de la contrôler, d’en « faire sens » – est désormais, comme le président américain Barack Obama a affirmé il y a quelques jours, l’arme du 21ème siècle ?

A moyen terme, je pense qu’on peut espérer une redéfinition du paysage légal, et de ce que les services de renseignement peuvent faire. Ça, ce n’est que les américains qui peuvent le décider, malgré les « pressions » que l’Europe et les autres peuvent faire. On peut aussi s’attendre à une redéfinition, dans l’IETF et les autres instances de gouvernance de l’Internet, des normes de sécurité et de protection de la vie privée pour qu’il y ait plus de privacy by design, voire de security by design. Pas seulement à cause de Snowden, mais simplement parce que de plus en plus de choses dépendent de notre connexion à l’Internet et du fait qu’elle soit sécurisée. Il y a le SCADA, tous ces systèmes industriels qui sont connectés via les réseaux, et cela pose d’énormes problèmes, parce que si on coupe l’électricité et donc la connexion, on pourra aussi couper l’approvisionnement d’eau ou d’autres infrastructures critiques. On assiste à une militarisation d’Internet, pas seulement la surveillance, mais aussi au travers de ce qu’on appelle la “lutte informatique offensive”, et donc le piratage de systèmes à des fins d’espionnage, voire de destruction. On parlait depuis des années des risques de la cyberguerre, je pense qu’on y est en plein à présent.
Assange est renfermé à Londres, Manning a pris trente-cinq ans, plusieurs hackers proches d’Anonymous ont écopé de plusieurs années de prison, sans oublier le suicide d’Aaron Swartz, qui avait devant lui une machine politico-légale qu’il ne pensait pas pouvoir contrer. En face on a un président américain Prix Nobel de la paix dont l’administration a lancé une véritable “chasse aux sorcières” contre les lanceurs d’alerte. Mais ma conviction reste quand même que les hackers ont déjà gagné. Au sens où, même si on est encore minoritaires, même si on est encore diabolisés, on a gagné parce le sens de l’Histoire ne peut plus être inversé, et l’éthique hacker est là comme jamais auparavant.

Pour en savoir plus

Aigrain, P. (2010). Declouding Freedom: Reclaiming Servers, Services and Data. In 2020 FLOSS Roadmap (2010 Version/3rd Edition).

Auray, N. (1997). Ironie et solidarité dans un milieu technicisé : Les défis contre les protections dans les collectifs de hackers. Raisons pratiques, 8: 177-201.

Brevini, B., Hintz, A. & McCurdy, P. (coord., 2013). Beyond WikiLeaks. Implications for the Future of Communication, Journalism and Society. Londres: Palgrave-Macmillan.

Campbell, D. (1988). Somebody’s Listening. New Statesman, 12 août 1988.

Cavoukian, A. (coord., 2010). Special Issue: Privacy by Design: The Next Generation in the Evolution of Privacy. Identity in the Information Society, 3 (2).

Garnier, J.-P., Manach, J.-M., Martenot, A.-L., Thorel, J. & Treguier, C. (2008). Big Brother Awards : Les surveillants surveillés. Paris: Zones.

Himanen, P. (2001). L’éthique hacker et l’esprit de l’ère de l’information. Paris: Exils.

Jesiek, B. (2003). Democratizing software: Open source, the hacker ethic, and beyond. First Monday, 8 (10).

Manach, J.-M. (2010). La vie privée, un problème de vieux cons? Limoges: FYP Editions.

Moglen, E. (2010). Freedom In The Cloud: Software Freedom, Privacy and Security for Web 2.0 and Cloud Computing. Discours aux Rencontres de l’Internet Society (ISOC), New York, 5 février 2010.

Musiani, F. (2013). Nains sans géants. Architecture décentralisée et services Internet. Paris: Presses des Mines.

Musiani, F. (2011). Privacy as Invisibility: Pervasive Surveillance and the Privatization of Peer-to-Peer Systems. tripleC, 9 (2): 126-140.

Une entreprise de terrorisme médiatique (notamment)

lundi 15 septembre 2014 à 15:00

120px-Terrorisme_insideL’examen, au Parlement, du Projet de loi renforçant les dispositions relatives à la lutte contre le terrorisme soulève un tollé du côté des défenseurs des libertés, notamment sur Internet. L’examen de ces principaux articles révèle en effet une instrumentalisation de la menace terroriste (cyber)djihadiste visant non pas tant -ou pas seulement- à lutter contre les dérives auxquelles on assiste en ce moment en Syrie et en Libye et les effets de bord que cela pourrait avoir, en France, mais à élargir les pouvoirs d’écoute et d’investigation des services en charge de la lutte contre la délinquance et la criminalité organisée, « notamment« .

Au lendemain des attentats du 11 septembre 2001, la presse du monde entier relaya un article qui révélait que Ben Laden était passé maître dans l’art d’utiliser la cryptographie, et que les terroristes islamistes cachaient leurs messages secrets dans des photos… pornos. Une affirmation pour le moins étonnante concernant des personnes connues pour imposer le port du niqab ou de la burqa, et interdire aux femmes de laisser transparaître les formes de leurs corps.

A l’époque, dans une contre-enquête intitulée Terrorisme : les dessous de la filière porno, j’avais tenté d’expliquer qu’il s’agissait plus probablement d’une tentative de désinformation, et m’étonnait de voir le crédit porté à cette histoire véhiculée par un journaliste qui, interrogé sur la notion d’objectivité journalistique, n’hésitait pas à déclarer : « Je ne peux séparer ma foi de ma profession« , et de préciser :

« Je pense que c’est un don, les histoires tombent comme ça sur mes genoux quand je suis en phase avec Dieu. C’est probablement parce que Dieu sait que je suis trop bête pour sortir et les trouver par moi-même. C’est tout bonnement incroyable. »

Jack Kelley, le journaliste en question, n’en fut pas moins viré en 2004 lorsque son employeur, USA Today, découvrit qu’il bidonnait, depuis des années, ses reportages, y compris celui qui avait failli lui valoir un Pulitzer en 2001.

Plus c’est gros, plus ça passe

En attendant, cette histoire de terroristes islamistes adeptes de photos porno (plus c’est gros, plus ça passe) contribua à diaboliser la cryptographie en particulier, et l’Internet en général, contribuant à l’adoption de mesures sécuritaires prises dans la foulée des attentats de 2001. La Loi sécurité quotidienne (LSQ), adoptée dans la foulée et sous le coup de l’émotion, en octobre 2001, obligea en effet les fournisseurs d’accès à conserver les traces de ce que font leurs abonnés sur Internet… quand bien même il n’a jamais été démontré que les terroristes du 11 septembre 2001 s’en étaient servis pour préparer leurs attentats.

En matière de cryptographie, elle entraîna la création d’un Centre Technique d’Assistance (ou CTA) visant à permettre aux services de renseignement d’essayer de décrypter les mails chiffrés qu’ils auraient interceptés. La LSQ considéra par ailleurs l’utilisation de logiciels de chiffrement comme une circonstance aggravante, la loi prévoyant en effet de punir de trois ans d’emprisonnement et de 45 000 euros d’amende « le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités« .

A l’époque, nous avions tenté d’expliquer aux parlementaires qu’un terroriste préférerait passer trois ans en prison pour refus de déchiffrer un mail que de risquer la prison à vie en le déchiffrant… rien n’y fait. Un sénateur socialiste, Michel Dreyfus Schmidt, tenta de rassurer l’opinion publique en déclarant qu' »il y a des mesures désagréables à prendre en urgence, mais j’espère que nous pourrons revenir à la légalité républicaine avant la fin 2003« .

Le Parlement espérait en effet en avoir fini avec le terrorisme en 2003, et prévu que ces mesures attentatoires à la « légalité républicaine » feraient l’objet d’un rapport d’étape, et qu’elles seraient réexaminées tous les 3 ans. De fait, la conservation des données de connexion a depuis été renouvelée tous les 3 ans, sans qu’aucun rapport d’étape ne vienne cela dit nous permettre de mesurer sa pertinence, ni son efficacité.

Plus c’est gros, plus ça passe, et repasse : un attentat terroriste, c’est très pratique pour permettre aux responsables politiques de bomber le torse, montrer qu’ils mesurent l’ampleur du problème, et faire passer, de façon très opportuniste, des mesures qu’il aurait été probablement très difficile de faire adopter autrement.

Le projet de loi renforçant les dispositions relatives à la lutte contre le terrorisme, débattu à l’Assemblée ce 15 septembre, en est une nouvelle et parfaite illustration.

Un coup de com’

Prenons l’une des mesures phares du projet de loi, qui permettra de bloquer l’accès à des sites djihadistes. D’un point de vue technique, c’est très compliqué, voire irréaliste (voir L’impossible et controversé blocage des sites Internet djihadistes). D’un point de vue antiterroriste, ce pourrait être contre-productif, dans la mesure où la fréquentation de ces sites peut précisement permettre aux services de renseignement d’identifier des apprentis terroristes, avant qu’ils ne passent à l’acte, ou qu’ils ne reviennent en France.

En réponse à la publication de l’avis (très critique) du Conseil National du Numérique, le cabinet du ministre de l’Intérieur explique que « chaque demande de blocage sera émise après avis des services spécialisés, lorsqu’ils n’en seront pas eux même à l’origine« .

Nous voilà rassurés : c’est donc un coup de com’, voire un pis aller, une manière de détourner l’attention qui ne changera donc pas grand chose en matière de lutte contre le terrorisme mais qui agite beaucoup les médias (c’est probablement l’article qui fait le plus de bruit dans ce projet de loi), tout en permettant opportunément de détourner l’attention sur d’autres articles, autrement plus problématiques.

Ces 8 affaires qui paralysent la Justice

L’article 11 du projet de loi, relative à « la mise au clair de données chiffrées« , propose quant à lui de permettre aux officiers de police judiciaire de requérir eux-mêmes une personne qualifiée dans le décryptage de données informatiques, opération qui relève à ce jour de la seule compétence des magistrats. L’objectif affiché : gagner du temps, dixit : « Si l’OPJ disposait du pouvoir d’adresser lui-même la réquisition, cela permettrait un gain de temps dans le traitement des demandes« .

Or, l’étude d’impact du projet de loi révèle que « pour l’année 2013, les saisines du CTA s’élevaient à 31, contre 26 en 2012 » :

« 8 dans le cadre d’affaires de terrorisme, 4 pour des homicides, 5 pour du vol et recel de vol, 3 pour de la pédopornographie, 2 pour escroqueries, 3 pour du trafic de stupéfiants, 1 pour une affaire de viol et 5 pour des infractions diverses). Pour la période de janvier à juin 2014, les saisines du CTA s’élèvent à 13 affaires. »

Les magistrats sont peut-être débordés, mais il est permis de douter, vu le nombre de cas, de douter que cet article fera gagner énormément de temps aux policiers. A contrario, on peut raisonnablement estimer que cela permettra aux policiers de demander à décrypter des données sans contrôle judiciaire, et pas que dans des affaires de terrorisme. Une mesure clairement opportuniste, qui n’a pas grand chose à voir avec la menace terroriste.

Terroriser #Anonymous

Rappelant que « les attaques informatiques réalisées contre les systèmes de traitement automatisé de données mis en œuvre par l’Etat sont des armes que peuvent utiliser les terroristes » :

« Ce « cyberterrorisme » peut alors revêtir plusieurs formes : atteintes à la disponibilité des réseaux ou des services (attaques en « déni de service » ou « saturation d’un réseau »), à la confidentialité (cyberespionnage) ou à l’intégrité des données ou des matériels (modifications de programmes, suppressions de données…). »

L’article 12 espère ainsi « renforcer le caractère dissuasif des incriminations actuelles » et « appliquer le régime de la criminalité organisée à ces infractions aggravées lorsqu’elles sont commises en bande organisée et au préjudice de traitement mis en œuvre par l’Etat« .

L’étude d’impact avance ainsi que les statistiques du casier judiciaire révèlent que, « en 2008, 111 infractions de cette nature avaient donné lieu à condamnation« , contre « 182 infractions de cette nature » en 2012 :

« Cette augmentation significative traduit bien évidemment la multiplication de cette forme de délinquance.
On peut néanmoins relever à l’examen des condamnations que les infractions le plus souvent associées aux STAD sont les faux et les escroqueries ce qui consolide l’analyse faite par les praticiens. »

On parle bien là d' »infractions« , pas du tout de terrorisme… sauf à imaginer vouloir ainsi criminaliser #Anonymous et les faire passer pour des « cyberterroristes« . On est, une fois de plus, bien loin des cyberdjihadistes qui recrutent sur Facebook.

De l’identification des terroristes simples délinquants

L’étude d’impact prend acte, par ailleurs, du fait que « les services d’enquête éprouvent à l’heure actuelle une grande difficulté à obtenir des éléments d’identification des délinquants sur internet » :

« L’identification d’une personne par son adresse IP devient en effet de plus en plus difficile, en raison notamment des techniques d’anonymisation utilisées par les internautes. L’utilisation de l’enquête sous pseudonyme est parfois la seule possibilité d’identifier un délinquant. »

L’article 13 du projet de loi entend ainsi « généraliser cette technique d’enquête à l’ensemble des infractions relevant de la criminalité organisée, y compris donc les infractions à caractère terroriste« . Une fois de plus, on agite la menace cyberdjihadiste pour, en fait, étendre les pouvoirs de police en matière d’identification des « délinquants« .

« Y compris donc les infractions à caractère terroriste »

L’article 14 propose quant à lui d’étendre les captations des données informatique, limitées aujourd’hui à la collecte des images apparaissant à l’écran et aux frappes sur le clavier, à la captation du son et des images émis ou reçus par un ordinateur, et donc de pouvoir espionner les conversations sur Skype & Cie.

L’étude d’impact précise à ce titre que « les captations de données informatiques sont possibles pour l’ensemble des infractions relevant de la criminalité organisée, y compris donc les infractions à caractère terroriste« . Il s’agit donc là aussi d’une mesure opportuniste prise au nom de la lutte contre le terrorisme, mais qui vise in fine à élargir les possibilités de mise sur écoute et d’installations de logiciels espions dans le cadre d’affaires « relevant de la criminalité organisée, y compris donc les infractions à caractère terroriste« .

+82% d’écoutes téléphoniques depuis 1991

Evoquant l’article 15, qui vise à allonger la durée de conservation des enregistrements des interceptions de sécurité (du nom donné aux écoutes téléphoniques et Internet effectuées pour le compte des services de renseignement), l’étude d’impact explique que « le volume des communications à exploiter a augmenté sous l’effet conjugué de plusieurs facteurs« , à commencer par l’augmentation des quotas d’interception (du nom donné au nombre de cibles que les services de renseignement sont autorisées -par le Premier ministre- à mettre sur écoute en simultané), passés de 1180 en 1991 à 1840 en 2009, puis à 2150 cette année (soit +82% depuis que la loi encadrant les écoutes a été adoptée, en 1991).

De plus, souligne l’étude d’impact, la doctrine a changé : depuis 2010, « ce contingent s’applique à des « cibles », c’est-à-dire des personnes visées par une interception, et non plus à des lignes téléphoniques » comme c’était le cas auparavant :

« La plupart des « cibles » disposent aujourd’hui de deux à trois moyens différents de communication qui doivent être interceptés. Il en résulte une augmentation sensible de la quantité de communications à exploiter.

En outre, internet, qui représente aujourd’hui 14 % des demandes d’interceptions, génère un volume de communications considérable (échanges de messages, réseaux sociaux, etc), nécessitant un temps d’exploitation accru par rapport à de simples conversations téléphoniques. »

Ce pour quoi l’article 15 propose donc d’étendre à 30 -et non plus 10- le nombre de jours avant que les enregistrements des écoutes soient automatiquement détruits.

A toutes fins utiles, le rapport rappelle qu' »en 2012, 6 145 interceptions de sécurité ont été sollicitées (4 022 interceptions initiales et 2 123 renouvellements) » et que, « au total, 6095 interceptions de sécurité ont été autorisées« . On est loin d’une surveillance généralisée.

Il n’en reste pas moins que cette demande d' »accroissement des informations à traiter s’effectue dans un contexte global marqué par une activité accrue des services, notamment en matière de prévention du terrorisme avec le suivi d’un nombre, en plein essor et hors de toute proportion avec des références antérieures, d’individus impliqués dans des filières terroristes notamment« .

34 « notamment », 13 « y compris »

Le mot « notamment » revient 34 fois dans l’étude d’impact, « y compris » 13 fois. Or, les porteurs de ce « projet de loi renforçant les dispositions relatives à la lutte contre le terrorisme » ne parlent, eux, que du seul « terrorisme« , n’hésitant pas à évoquer, avec beaucoup de trémolos, les décapitations d’otage (notamment).

Il eut été intéressant d’avoir un vrai débat, avec des policiers, des responsables des services de renseignement, mais aussi et surtout au Parlement, évoquant la réalité de ce dont il est question : un accroissement des pouvoirs d’écoute et d’investigation (notamment) à destination des policiers et membres des services de renseignement en charge de la lutte anti-terroriste (notamment).

Las : vous n’entendrez probablement parler que des seuls (cyber)djihadistes, et de ces atrocités qui ont lieu en ce moment en Irak et en Syrie. Fort pratiques, j’en conviens, pour faire passer la pilule plus simplement. Cynique, aussi. Notamment. Une véritable entreprise de terrorisme médiatique consistant à faire peur aux gens en espérant détourner l’attention de ce dont il est réellement question.

Je ne sais pas en quelle mesure ce projet de loi facilitera la tâche aux policiers, civils et militaires engagés dans la lutte contre le terrorisme. Je sais par contre qu’il servira aussi et surtout à élargir les pouvoirs des enquêteurs n’ayant strictement rien à voir ni à faire avec le terrorisme.

Pour en savoir plus, vous pouvez également aller consulter le site presumes-terroristes.fr, créé par la Quadrature du Net, voire téléphoner à votre député grâce à leur PiPhone pour lui en parler, et réclamer que le débat porte sur ce dont il est réellement question : un accroissement des pouvoirs d’écoute et d’investigation en matière de lutte contre la criminalité organisée, notamment.

Voir aussi:
CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET
Scanners : terrorisme, sexe et démagogie
La NSA n’espionne pas tant la France que ça
Les terroristes sont des ratés comme les autres
Le 11 septembre 2001 fut un « cadeau fait à la NSA », dixit… le n°3 de la NSA

CONFIDENTIEL — NE PAS DIFFUSER SUR INTERNET

mercredi 20 août 2014 à 14:51

FredRaynalgameboy« pappy » a des pudeurs de jeunes filles. Fin mai, il s’étonnait, sur Twitter, de découvrir que Google avait répertorié 1150 fichiers .pdf à « ne pas diffuser » sur les sites en .gouv.fr, et invitait l’ANSSI (l’agence en charge de la cyberdéfense) et TadaWeb (une plateforme de veille qui permet d’automatiser, très facilement, l’extraction et le filtrage de documents disponibles en ligne, voir ljourne mode d’emploi) à creuser le filon :

<script async src="//platform.twitter.com/widgets.js" charset="utf-8">

Ne cherchant pas particulièrement à voir son identité mentionnée dans Le Canard Enchaîné -qui a publié, début août, un article à ce sujet-, « pappy » y est pudiquement décrit comme « un internaute facétieux« . Co-fondateur du SSTIC et de MISC, le symposium et le magazine de référence, en France, en la matière (je vous conseille ses éditos truffés de calembours et de bons mots), Frédéric Raynal — son vrai nom –, est aussi et surtout un vieux briscard de la sécurité informatique, ex-responsable R&D en sécurité informatique chez EADS puis Sogeti, passé par l’École de Guerre Economique, avant de créer QuarksLab, une entreprise de sécurité informatique défensive « et » offensive, choisie pour auditer la sécurité de Chatsecure, la messagerie instantanée sécurisée d’IOS.

Sur le millier de documents qu’il a pointé du doigt, aucun ne révèle de secret d’État. Il n’empêche : plusieurs dizaines d’entre eux n’auraient jamais du se retrouver, ainsi, « à poil sur le web« , et quelques-uns ont d’ailleurs été prestement retirés du www suite à l’intervention de votre serviteur. Petit tour d’horizon.

« Document de travail à usage interne, ne pas diffuser »

En 2007, l’Agence française de sécurité sanitaire des aliments consacrait un rapport à la « Place des lipides dans l’alimentation » recommandant de « réduire de 30% au moins la consommation de certains aliments contributeurs d’acides gras trans (viennoiseries, pâtisseries, produits de panification industriels, barres chocolatées, biscuits) de faible intérêt nutritionnel« . Signe du caractère sensible de ce dossier, chacune des 51 pages de ce rapport était estampillée, en rouge, « Document de travail, ne pas diffuser« , et tamponnée d’un énorme « Document à usage interne« .

NePasDiffuserLipides2

Il n’en est pas moins librement téléchargeable sur le site web du ministère de la santé, tout comme un questionnaire sur les personnes en situation de handicap âgées de 40 ans et plus, une grille d’évaluation interne des établissements d’hébergement pour personnes âgées dépendantes (EHPAD), ou encore un rapport du groupe de travail du Conseil supérieur d’hygiène publique de France sur le « Risque de contamination horizontale au sein de collectivité d’enfants en cas de présence d’un porteur du virus de l’hépatite B (VHB) et opportunité de vacciner la population contact« , eux aussi estampillés « Document de travail, ne pas diffuser« .

Le ministère de la Santé n’est pas le seul à baver de la sorte. Il suffit en effet de chercher « ne pas diffuser » site:gouv.fr filetype:pdf dans Google pour faire remonter des centaines de fichiers .pdf, disponibles sur les sites web de l’administration française.

On trouve ainsi, sur le site web du ministère de l’économie, une « Version provisoire, ne pas citer, ne pas diffuser  » d’une étude sur « les véritables moteurs de la croissance » en Chine, un rapport de la DATAR sur les systèmes urbains de proximité truffé de « cartes de travail non définitives à ne pas diffuser« , une « Enquête sur les pratiques de jeux d’argent et de hasard en ligne » siglée, en rouge et en exergue de chacune de ses 23 pages : « CONFIDENTIEL Ne pas diffuser« , ou encore des communiqués de presse de Pierre Moscovici sur la cession par l’Etat de titres Safran, EADS et Airbus estampillés, en lettres majuscules, en italique et en gras : « NE PAS DIFFUSER NI DISTRIBUER NI PUBLIER AUX ETATS-UNIS, AU JAPON, EN AUSTRALIE OU AU CANADA » (sic – MaJ : en commentaire, un « spécialiste de la finance » précise que cette expression « se retrouve dans la quasi-totalité des documents de bourse publiés en France car non enregistrés ou non conformes aux lois de ces pays »).

NePasDifuserDatar2

Pas bégueule, le site de l’Observatoire des Territoires de la Savoie propose un document encore plus curieux, puisqu’on y trouve une carte du périmètre de protection des captages d’alimentation en eau potable de la forêt de la Caisse des écoles présentée, en vert, comme un « document destiné à la consultation du public« , mais qui n’en précise pas moins, en rouge, qu’il s’agit là de « Données sensibles, ne pas diffuser« …

NePasDiffuser1

Google a également répertorié un « Document à usage interne » sur la « Surveillance des maladies à caractère professionnel » en Auvergne, un « Etat des lieux de la pauvreté en Poitou-Charentes » mentionnant, en haut de ses 114 pages, « Document de travail » et, en bas, « Ne pas diffuser« , un « Document confidentiel » de la CFTC sur la Responsabilité sociale des entreprises (RSE) (qualifiée d' »enjeu primordial parce qu’à l’instar des théories de Karl Polanyi et de Mark Granovetter, nous considérons que l’entreprise est encastrée dans la société« ), une « NOTE SUCCINTE A USAGE INTERNE » sur l’option pelote basque du Brevet d’Etat d’éducateur sportif, ainsi qu’une vingtaine de rapports de commissaires aux comptes estampillés « DOSSIER CONFIDENTIEL« , « NE PAS DIFFUSER » ou « [A usage interne] » sur le site web du Journal Officiel… (MaJ : en commentaire, un responsable de la DILA -en charge de la publication du JO, notamment-, précise qu’il « ne fait qu’assurer son obligation de publier les comptes des associations dans l’état où ils sont transmis et sans retirer aucune mention »).

Plus exotiques, mais néanmoins estampillés « CONFIDENTIEL« , citons aussi une liste des canalisations en Franche-Comté, l’organigramme des services du Conseil Général du Cantal, le cahier des charges du label rouge des « Betteraves rouges cuites sous vide« , un avis de traitement obligatoire de la mouche du brou en Rhône-Alpes, ainsi que la présentation de projets de serres en verre photovoltaïque dont les pages n’en sont pas moins surmontées d’un « CONFIDENTIEL — MERCI DE BIEN VOULOIR NE PAS DIFFUSER SUR INTERNET« … mais dont on se demande bien pourquoi ils sont présentés comme « CONFIDENTIEL« .

ConfidentielPlateauRatatouille

Contacté, le créateur du « Plateau Ratatouille » n’a pas réagi, contrairement à l’Agence nationale de traitement automatisé des infractions (ANTAI) -dont le patron avait démissionné en octobre 2013 après que Mediapart ait révélé qu’il se faisait rembourser ses PV-, et qui a fait retirer du site web de la préfecture du Vaucluse, après en avoir été informé (mais sans lui adresser de PV), la « Présentation aux collectivités territoriales » du procès-verbal électronique (PVE), tamponnée « Document strictement confidentiel, réalisé à l’usage exclusif de l’ANTAI« .

1408ConfidentielPVE

« Diffusion restreinte aux seuls destinataires »

En France, la mention « Diffusion Restreinte » (DR) n’est pas à proprement parler un « niveau de classification » (type « Secret Défense« ), mais une « mention de protection » dont l’objectif principal est de « sensibiliser l’utilisateur à la nécessaire discrétion dont il doit faire preuve dans la manipulation des informations couvertes par cette mention« .

L’arrêté du 30 novembre 2011 « portant approbation de l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale » précise ainsi qu’une information classifiée DR « ne doit pas être rendue publique et ne doit être communiquée qu’aux personnes ayant besoin de la connaître dans l’exercice de leurs attributions« , mais également que l’auteur d’une éventuelle divulgation « s’expose à des sanctions disciplinaires ou professionnelles« .

diffusion restreinte

Google n’en a pas moins répertorié -et archivé- une trentaine de documents estampillés « Diffusion restreinte« , dont la liste des correspondants « canicule » de la préfecture de Haute-Savoie -y compris les n° de téléphones mobiles de la directrice de la Direction Départementale de la Protection des Populations, et de son adjoint-, la description technique d’un logiciel de sécurité informatique développé pour l’Agence nationale des titres sécurisés (ANTS), deux anciens « formulaires d’acceptation d’un rôle de confiance » destinés aux employés du ministère de la Justice chargés de la délivrance des cartes et certificats d’authentification et de signature électronique, ou encore le Plan départemental de prévention de la délinquance du Val de Marne de 2007 -« PDPD » (sic) qui dresse la liste des quartiers à « forte délinquance endogène« .

La palme revient cela dit au Conseil général des Yvelines, qui avait partagé sur son site web une bonne dizaine d’annexes « à diffusion restreinte » de délibérations comportant les noms, prénoms et domiciliations d’Yvelinois à qui il avait attribué des bourses (avec leur montant), mais également de personnes endettées à qui il avait consenti une remise grâcieuse de dettes… ou pas.

Où l’on découvre qu’une bonne partie des personnes « endettées » à qui le Conseil général des Yvelines a réclamé un « trop-perçu » sont en fait les héritiers de personnes âgées décédées, qui n’en ont pas moins continué à percevoir quelques centaines d’euros d’allocations le temps que l’administration s’aperçoivent qu’elles étaient mortes, et enterrées…

1408DRrefus

Contacté, le cabinet de Pierre Bédier -qui a récupéré la présidence du Conseil général des Yvelines en avril dernier, à l’issue de sa condamnation à six ans d’inéligibilité, dans une affaire de corruption- reconnaît avoir fait « une erreur » et a fait retirer ces documents de son site web.

Une telle divulgation de données personnelles, « commise par imprudence ou négligence« , est passible de trois ans d’emprisonnement et de 100 000 € d’amende.

La liste des autres documents « DR » répertoriés par Google :

Voir aussi :
Plus de fichiers = plus de fuites
« Les écoutes made in France », ma 1ère BD
La NSA n’espionne pas tant la France que ça
Internet & données personnelles: tous fichés ?
Pour la CNIL, 18% des Français sont « suspects »

Le 11 septembre 2001 fut un « cadeau fait à la NSA », dixit… le n°3 de la NSA

dimanche 1 juin 2014 à 17:48

aff snowden pte- ALEn introduction de son livre -passionnant- consacré à « L’affaire Snowden : comment les Etats-Unis espionnent le monde« , Antoine Lefébure -un des rares experts français en la matière- explique que ce qui l’a poussé à l’écrire, c’est « l’insupportable métaphore de la « botte de foin » » utilisée par le général Keith Alexander, ex-patron de la NSA. Une métaphore brillamment résumée au Washington Post par un ancien responsable du renseignement américain :

« Plutôt que de chercher l’aiguille dans la botte de foin, son approche était de ramasser toute la botte de foin, de tout ramasser, classer, stocker… pour ensuite pouvoir espérer y retrouver ce que vous cherchez. »

Dans un extrait inédit de son interview à la NBC, Edward Snowden rappelle à ce titre que les services américains avaient des informations qui leur auraient permis d’empêcher les attentats du 11 septembre 2001, mais qu’ils n’ont pas su les exploiter, faute de pouvoir comprendre « cette botte de foin que nous avions collectée« .

Début janvier, dans une lettre ouverte à Obama, quatre autres lanceurs d’alerte également issus de la NSA dénonçaient eux aussi le fait que la NSA, le FBI et la CIA disposaient d’informations précises qui, si elles n’avaient été noyées sous la masse, auraient pu -et du- empêcher les attentats, qualifiés de « cadeau fait à la NSA » par… le n°3 de la NSA.

« La NSA aurait pu empêcher les attentats »

Plutôt que de chercher l’aiguille dans la botte de foin, la NSA a donc décidé de collecter toutes les bottes de foin, ce que démontre l’un des documents révélés dans le nouveau livre de Glenn Greenwald, Nulle part où se cacher.

Sniff it all, Know it all, Collect it all, Process it all, Exploit it all, Partner it all

« Sniff it all, Know it all, Collect it all, Process it all, Exploit it all, Partner it all »

Trop d’infos tue l’info : pour autant, et à tout vouloir espionner, la NSA n’a pas été en mesure d’empêcher les attentats de 2001, pas plus que ceux qui, depuis, ont visé les USA, comme l’a expliqué Edward Snowden à la NBC, qui n’avait initialement diffusé qu’une seule des quatre heures d’interview qu’il lui avait accordé, fin mai.

La chaîne TV vient de rendre publics d’autres extraits, dont un où il évoque la faillite du renseignement américain au regard des attentats du 11 septembre 2001 en particulier, et de la « surveillance massive » telle que pratiquée par la NSA et son homologue britannique (le GCHQ) en général.

Snowden y revient sur le fait que la commission en charge des attentats du 11 septembre 2001 (9/11 -ndlr) avait découvert, post-mortem, en consultant tous les documents classifiés des différents services de renseignement, qu’ils disposaient pourtant de « toutes les informations susceptibles de détecter ce complot » :

« Nous avions des informations sur des appels téléphoniques depuis ou vers les États-Unis. La CIA connaissait ces gars. Le problème, ce n’était pas la collecte de l’information, le fait de ne pas pouvoir les mettre en relation (« have enough dots », en VO), non plus que le fait de ne pas avoir la botte de paille, mais le fait que nous ne comprenions pas cette botte de paille que nous avions collectée.

Sommes-nous en train de gaspiller de l’argent pour une « solution magique » qui, non contente de brader notre sécurité, brade aussi nos droits et notre mode de vie (« way of life », en VO) ? »

Le problème, avec la « surveillance de masse » telle qu’elle est pratiquée par la NSA, c’est qu’elle revient aussi et surtout à empiler toujours plus de bottes de paille dans le ou les entrepôts de bottes de paille que la NSA ne sait pas vraiment analyser, et exploiter.

Cherchant à illustrer ce pour quoi ces programmes « ne nous protègent pas« , Snowden évoque ainsi le fait que les informations partagées par les services de renseignement russes au sujet des (futurs) auteurs de l’attentat terroriste du marathon de Boston n’ont pas permis aux services US d’empêcher ledit attentat.

Pour en revenir à 9/11, on avait ainsi découvert que la NSA ne partageait pas les informations qu’elle avaient interceptées et analysées avec la CIA, et vice versa; Mark Rossini, un agent de liaison du FBI en poste dans la cellule de la CIA dédiée à la traque de Ben Laden, n’avait ainsi pas eu le droit de transmettre à ses collègues le fait que deux des terroristes qui allaient organiser l’attentat suicide venaient d’atterrir aux USA (voir L’espion qui aurait pu empêcher le 9/11); le FBI, par ailleurs, avait reçu des informations évoquant la préparation d’attentats, au moyen d’avions lancés sur plusieurs villes aux USA, mais avait aussi demandé à ses traducteurs de ralentir leurs traductions dans l’espoir de… voir son budget augmenter.

« 9/11 est un cadeau fait à la NSA », dixit… le n°3 de la NSA

En janvier 2014, 4 lanceurs d’alerte issus de la NSA rendaient publique une lettre ouverte à Barack Obama, dénonçant la logique de la surveillance massive pratiquée par leur ex-employeur, au motif qu’elle ne permettrait pas d’empêcher un nouvel attentat type « 9/11« , mais également pour lui expliquer que « la NSA disposait de suffisamment d’informations pour empêcher 9/11, mais préféra s’asseoir dessus plutôt que de les partager avec le FBI » :

« Nous le savons : nous y étions. Nous avons été les témoins de nombreux comportements bureaucratiques indignes qui rendent la NSA au moins aussi coupables que les autres agences US de la faillite du renseignement américain d’avant-9/11. »

William Binney, Thomas Drake, Edward Loomis et Kirk Wiebe connaissent bien la NSA : au total, ils y ont travaillé pendant 144 années, au plus haut niveau, avant d’en démissionner suite aux orientations, dysfonctionnements et pratiques illégales perpétrées par la NSA suite aux attentats du 11 septembre 2001.

Rappelant que Keith Alexander, le directeur de la NSA, s’était d’abord vanté d’avoir contrecarré 54 attentats, avant de reconnaître, finalement, que la NSA n’avait en fait déjoué qu’un seul… virement, les lanceurs d’alertes notaient également qu’elle n’avait pas non plus anticipé les attentats de Boston, Times Square, pas plus que celui du terroriste au slip (voir Les terroristes sont des ratés comme les autres et Scanners : terrorisme, sexe et démagogie).

THINTHREAD (fil mince, en VF), le système d’écoute et d’alerte conçu par Loomis, Binney et Wiebe, bien plus respectueux de la loi et de la vie privée, bien moins cher aussi, et bien plus contrôlé par les autorités, avait été écarté, par les pontes de la NSA, qui préférèrent privilégier la surveillance massive à la surveillance ciblée… trois semaines avant les attentats de 2001.

A les en croire, une des raisons pour lesquelles leur programme fut délaissé, au profit d’un autre projet, TRAILBLAZER, bien plus intrusif et onéreux (un véritable gouffre financier qui ne marcha jamais et qui fut finalement abandonné) tenait au fait qu’il ne coûtait pas assez cher, et qu’il ne rapportait pas assez d’argent aux sous-traitants privés de la NSA. En clair : le complexe militaro-industriel aurait corrompu les autorités US et responsables de la NSA, et cette « corruption » se serait aggravée après les attentats.

Dans une interview passionnante, intitulée Tout savoir sur tous accordée à Daniel Mermet dans Là-bas si j’y suis, Thomas Drake raconte comment, au sortir de la guerre froide, la NSA s’était retrouvée sans ennemi facilement identifiable à écouter, et révèle que son supérieur direct, n°3 de la NSA, lui avait dit que « le 11 septembre est un cadeau fait à la NSA : maintenant, nous avons un ennemi« .

Il revient également sur la mentalité du complexe militaro-industriel, pour qui les gros problèmes ne peuvent être résolus sans gros contrats (« big problems, big bucks, big contracts !« ).

Thomas Drake explique aussi avoir découvert que la NSA disposait de nombreuses informations concernant les futurs auteurs de 9/11 -dont le contenu de sept appels téléphoniques passés par Khalid al-Mihdhar, l’un des terroristes du 9/11, à l’un des centres d’Al Qaeda au Yémen-, mais qu’elle ne les avait pas partagées avec les autres services de renseignement, et même que ces révélations, qu’il avait faite à la commission d’enquête sur 9/11, a été effacée de leur rapport…

Dans le second épisode de Tout savoir sur tous, Bill Binney explique lui aussi que si son programme THINTHREAD avait été activé avant le 11 septembre 2001, il aurait pu prévenir les attentats, et qu’ils décidèrent finalement de quitter la NSA, le 31 octobre 2001, en raison de « la violation de la Constitution, la corruption, les malversations, les fraudes entre prestataires de service et la NSA« .

Les vétérans y expliquent également que la NSA ne surveillait pas Internet avant les attentats, parce que « tout y circule en clair » et qu’on ne devait pas y trouver, a priori, d’informations si sensibles que ça, mais que le 11 septembre 2001 lui a permis de pouvoir surveiller « toute la botte de foin » : les marchands d’armes de surveillance lui fournissaient la technologie, et l’administration Bush lui en donnait le droit, quitte à violer la loi, au mépris de la Constitution.

Qui surveillera les surveillants ?

Il est certes facile de refaire le match, et rien ne permettra jamais de savoir si, effectivement, une NSA moins paranoïaque, moins dépendante du complexe militaro-industriel, moins motivée par la collecte de toutes les bottes de foin que par l’analyse du renseignement, aurait pu prévenir les attentats.

Il n’en reste pas moins que les trois lanceurs d’alerte -et vétérans- de la NSA interviewés par Daniel Mermet applaudissent ce qu’a fait Edward Snowden, qu’ils le considèrent comme un véritable patriote, et que ce qui les réunit, aussi, c’est la dénonciation de la paranoïa institutionnalisée de la NSA. Non seulement parce qu’elle viole la Constitution américaine, mais également parce que ça ne marche pas, et que les seuls à qui elle profite sont les néo-cons, et le complexe militaro-industriel, ce qu’évoquait également Edward Snowden dans l’extrait diffusé sur NBC :

« Je prends la menace terroriste au sérieux, et je pense que nous le faisons tous. (Mais) je pense que c’est vraiment malhonnête de la part du gouvernement d’invoquer voire d’instrumentaliser nos souvenirs, et d’exploiter le traumatisme national dont nous avons tous souffert, afin de justifier des programmes qui n’ont jamais démontré qu’ils pouvaient assurer notre sécurité, alors qu’ils nous en coûtent en matière d’atteintes aux libertés, que nous ne devrions pas avoir besoin d’abandonner, et auxquelles notre Constitution dit que nous ne devrions pas renoncer. »

Ces lanceurs d’alerte ne sont pas « contre » la NSA, ni la surveillance des télécommunications, Binney, Loomis et Wiebe ayant même contribué à bâtir l’architecture de ses systèmes d’interception. La question n’est pas d’être « pour » ou « contre » le fait que des espions espionnent, mais de savoir « qui surveillera les surveillants« , et comment.

Ce pour quoi, comme le soulignait à juste titre Franck Burlinge -autre spécialiste du renseignement-, « il est urgent et important que nos dirigeants acquièrent une meilleure pratique du renseignement« , et pas que nos dirigeants : les services de renseignement suscitent moult fantasmes, et on ne peut pas débattre sérieusement sur des choses que l’on ne connaît pas, ou mal.

Or, reconnaissait récemment Glenn Greenwald, « il s’est dit tellement de choses dans les médias depuis un an à propos d’Edward Snowden et des documents, et beaucoup de ces choses étaient simplement fausses » (cf, à ce titre, mon fact-checking de certaines des « révélations » du Monde).

On ne compte plus, en effet, le nombre de médias, journalistes, blogueurs, Twittos et Facebookés qui amalgament à l’envi ce que peuvent faire -en théorie- la NSA, le GCHQ & Cie, et ce que l’on sait qu’elles font vraiment. Alors que d’aucuns qualifiaient rapidement de « paranoïaques » ceux qui -avant les révélations Snowden- s’inquiétaient de la montée en puissance de la société de surveillance, (trop) nombreux sont ceux qui, aujourd’hui, sont prompts à affirmer (sur la foi de documents Snowden, souvent mal-interprétés) que Big Brother serait devenu réalité, et que la NSA (& Cie) n’aurait rien à envier à la STASI.

#WAIT : Obama n’est pas Staline, et si son administration a bel et bien lancé une véritable traque visant les whistleblowers (voir Snowden et la nouvelle « chasse aux sorcières »), la paranoïa des USA n’en est pas (encore) arrivée au niveau de celle qui prévalait alors en RDA (mais ça pourrait, et c’est précisément tout l’intérêt des révélations d’Edward Snowden).

« La police nous écoute, écoutons la police »

aff snowden pte- ALLa lecture du livre d’Antoine Lefébure, « L’affaire Snowden : comment les Etats-Unis espionnent le monde« , est à ce titre doublement recommandée. D’une part parce qu’il n’extrapole, n’exagère ni ne sur-interprète les révélations basées sur les documents fournis par Edward Snowden, contrairement à ce qu’on lit parfois dans les médias.

D’autre part parce qu’il contextualise ces révélations : une partie non négligeable de son essai est ainsi consacrée à l’histoire de la NSA, du GCHQ, & de la DGSE -leur équivalent français.

On ne peut pas mesurer l’ampleur du problème, ni comprendre ce pour quoi Snowden et les autres lanceurs d’alerte de la NSA tirent la sonnette d’alarme si on ne connaît pas l’histoire technique et géopolitique du renseignement d’origine électromagnétique (ROEM), non plus que celles de ces journalistes qui avaient commencé, dès les années 70, à enquêter à ce sujet, à l’instar de Duncan Campbell, le journaliste d’investigation britannique à l’origine des révélations sur l’existence du système anglo-saxon Echelon.

Le parcours atypique d’Antoine Lefébure (@segalen sur Twitter) explique aussi la pertinence de son analyse des documents (et de la saga) Snowden. Journaliste, puis responsable des nouvelles technologies et directeur de la prospective chez Havas dans les années 80 (où il contribua à la création de Canal +), il devient consultant en stratégie Internet dans les années 90.

Devenu historien des médias, il écrit plusieurs ouvrages, dont une sur les Conversations secrètes des Français sous l’Occupation, basé sur les interceptions des courriers papiers et communications téléphoniques effectuées par les « grandes oreilles » du régime de Vichy.

Lefébure fut aussi l’un des premiers, en France, à faire le lien entre la contre-culture des années 70 et la montée en puissance de ces technologies.

Étudiant à Nanterre, il participa en effet à toutes les manifestations du mouvement du 22 mars, et bien évidemment aux événements de mai 1968, où il fréquenta Sartre, Virilio, Baudrillard, Godard…

« Spectateur assidu » des principaux rassemblements de l’époque (Woodstock, île de Wight, festival Actuel d’Amougies, en Belgique), il partit ensuite à Berkeley -autre haut lieu de la contestation dans les années 1970- pour y étudier la communication, avant de revenir à la Sorbonne pour y boucler une maîtrise d’Histoire contemporaine sur « Le rôle de la radio en France pendant la seconde guerre mondiale« , puis un doctorat sur « Le monopole d’Etat et l’histoire du télégraphe et du téléphone en France« .

InterferencesAyant donc très tôt associé les mouvements de libération et les systèmes de télécommunications, il y consacra une revue, Interférences, au mitan des années 1970, qui publiera des textes de Jean Baudrillard, Paul Virilio, William S. Burroughs, Philip K. Dick, Richard Pinhas, Maurice Ronai, Norman Spinrad, Philippe Aigrain…

Sous-titrée « pour une critique des appareils de communication« , Interférences révéla dans son n°1 les plans secrets du nouveau réseau téléphonique gouvernemental français Régis, traita dans son n°2 de l’informatisation de la police aux États-Unis, des sabotages informatiques, puis de l’espionnage (et de la surveillance, et de la pollution) électronique, de la cryptographie, de la protection du secret en France et aux États-Unis, de l' »irruption du techno-imaginaire« … ainsi que de la NSA, en 1976.

NSA_AL

Lefébure fut aussi, logiquement, l’un des pionniers de ces radios que, à l’époque, on qualifiait de « pirates« , contribuant à la création de Radio Verte en 1977, la première des « radios libres » à émettre ouvertement -depuis l’appartement de Jean-Edern Hallier- sur la bande FM, défiant ainsi le monopole de l’État sur les ondes. Elle continuera à diffuser ses émissions, en toute illégalité, jusqu’en 1981, malgré les brouillages de la DST.

Lefébure se fit aussi remarquer en se faisant passer pour le garde du corps de Brice Lalonde qui, sur le plateau d’Antenne 2, exhiba un petit transistor afin de faire écouter, devant 5 millions de téléspectateurs, un bêtisier se moquant de RTL, soi-disant diffusé sur Radio Verte (mais en fait pré-enregistré sur un magnétophone et diffusé depuis un petit émetteur par le faux garde du corps), piratage (et coup) médiatique qui contribua à lancer le débat sur la libération des ondes.

Passé par Libération, il découvrit aussi l’intérêt d’écouter les communications de la police « pour être au courant de tout avant tout le monde » et, à la grande fureur des autorités, fit la promotion de ce genre de hobby, écrivant dans les colonnes du quotidien « La police nous écoute, écoutons la police« .

On ne saurait mieux résumer l’intérêt de sa démarche, et donc aussi de la lecture de son essai. Voir aussi sa tribune libre, sur leMonde.fr, Réglementons l’activité des services secrets, et la pétition qu’il vient de contribuer à lancer, avec 53 autres personnalités, appelant la France à accorder le statut de réfugié politique à Edward Snowden.

PS : si quelqu’un a une copie de l’article de Libération, ou des premiers n° d’Interférences, je serais grand preneur/-)

Voir aussi :
La NSA n’espionne pas tant la France que ça
Snowden et la nouvelle « chasse aux sorcières »
« Une journée dans la peau d’Edward Snowden »
DGSE/Orange : joue-là comme SuperDupont (#oupas)
Le .gif qui révèle la paranoïa de la NSA, et pourquoi elle espionne aussi vos parents & amis

DGSE/Orange : joue-là comme SuperDupont (#oupas)

mardi 20 mai 2014 à 15:14

ViveLaFranceLe Sénat organise ce jeudi 22 mai 2014 un colloque intitulé « Numérique, renseignement et vie privée : de nouveaux défis pour le droit » (et qui sera retransmis en direct sur le site du Sénat). Le secret entourant le fonctionnement des services de renseignement est prompt à générer fantasmes & paranoïa. A défaut de pouvoir participer concrètement au débat, j’ai voulu poursuivre mon fact-checking (contre-enquête, en VF) de certaines des révélations du Monde en cherchant à contextualiser celles portant sur la coopération entre Orange, la DGSE et le GCHQ (l’équivalent britannique de la NSA) d’une part, la « mutualisation » des services de renseignement d’autre part et, enfin, le fait que les services de renseignement ne sont toujours pas, en France, clairement bordés par la loi, au point que les parlementaires chargés de les contrôler ont du s’auto-censurer (voir aussi les épisodes précédents : La DGSE a le « droit » d’espionner ton Wi-Fi, ton GSM et ton GPS aussi, et La NSA n’espionne pas tant la France que ça).

MaJ : j’ai fini par identifier (.pdf) le mystérieux « partenaire » de la DGSE et du GCHQ. Et ce n’était pas Orange…

Des « liaisons incestueuses« 

« France Télécom est un acteur important du système de surveillance en France« , avançait en effet Le Monde, en mars dernier, dans un article sur les « relations incestueuses » entre Orange et la DGSE qui, par son intermédiaire, disposerait, « à l’insu de tout contrôle, d’un accès libre et total à ses réseaux et aux flux de données qui y transitent« . Un second article affirme même que « Les services secrets britanniques ont accès aux données des clients français d’Orange« .

Une chose est d’avoir accès à « des » données, une autre est de toutes les espionner… nonobstant le fait que, et par ailleurs, les réseaux de France Télécom-Orange qui intéressent le plus les services de renseignement ne sont pas tant en France qu’à l’étranger.

140321leMondeUne

Les révélations du Monde reposent sur un document interne du GCHQ (le service de renseignement britannique en charge de l’interception, du piratage et du déchiffrage des télécommunications, et principal partenaire de la NSA), dont le Guardian avait révélé l’existence en novembre 2013 (mais que ni le quotidien britannique ni Le Monde n’ont rendu public).

Dans un article intitulé « GCHQ and European spy agencies worked together on mass surveillance » (le GCHQ et les services de renseignement européens travaillent ensemble à la surveillance de masse, en VF), le quotidien britannique écrivait alors que les services allemands, français, espagnols et suédois avaient développé des méthodes de surveillance massive du trafic téléphonique et Internet, notamment via la surveillance des câbles sous-marins, et que le GCHQ en avait bénéficié.

L’article révélait également que la DGSE avait accepté de travailler avec le GCHQ sur une base de « coopération et de partage« , notamment pour ce qui est de la détection du trafic chiffré sur les câbles utilisant la fibre optique, mais aussi et surtout que la DGSE bénéficiait d’une relation privilégiée avec une entreprise de télécommunication française non identifiée, que les services britanniques avaient rencontré, par deux fois, en 2009. D’après Le Monde, ce partenaire privilégié serait France Télécom/Orange.

Dans un troisième article intitulé Les X-Télécoms, maîtres d’œuvre du renseignement, Le Monde évoque la figure tutélaire d’Henri Serres, qualifié de « père des moyens techniques dont disposent les services secrets français« .

Directeur technique au ministère de la défense de 1980 à 1986, ce polytechnicien, passé par l’Ecole nationale supérieure des télécommunications, avait été chargé, en 1981, d' »auditer les services techniques » de la DGSE. En 1983, écrit Le Monde, il y crée une direction technique (DT), et l’équipe « d’ordinateurs puissants, de supercalculateurs capables de casser les codes » afin de « rattraper le retard de la France dans le domaine de l’interception« .

« Dans son sillage, les X-Télécoms trustent cet univers depuis trente ans« , plusieurs d’entre eux ayant effectué des « allers-retours constants entre la DGSE et France Télécom » :

«Les X-Télécoms et la DGSE, c’est la même conception de l’Etat», résume, aujourd’hui, un membre de cabinet ministériel.

D’après Le Monde, « les attentats du 11 septembre 2001 ont accru la coopération entre les services de renseignement et entraîné France Télécom dans cette mutualisation des moyens sur la collecte des données et le déchiffrement« .

Les « grandes oreilles » étaient cachées aux PTT

On pourrait aussi faire remonter les « liens incestueux » entre les deux institutions à 1940, lorsque plusieurs polytechniciens, sous Vichy, « camouflèrent » les agents de l’ancêtre des « grandes oreilles » de la DGSE en les faisant passer pour des employés des PTT.

gcr11Dans un article passionnant sur l’histoire de l’interception des télécommunications par les services de renseignement français, le journaliste Roger Faligot écrivait en effet, en 2001, que le Groupement de Communications Radioelectriques (GCR, ancêtre de la direction technique -et donc des « grandes oreilles« – de la DGSE), créé en 1940, juste après la débâcle, par l’administration Vichy, « travaillait officiellement pour les Postes & télécommunications (P&T)« , afin de donner une couverture à ses agents, et leur permettre de rester camouflés aux yeux des occupants nazis, ainsi que des collaborateurs français.

En 2010, le fils de l’un de ses responsables expliquait (.pdf) en effet que le GCR était « officiellement chargé d’écouter les émissions radio, militaires et civiles, nationales et internationales, pour les différents départements ministériels du Gouvernement de Pétain » mais aussi, et « officieusement« , de « sauvegarder le potentiel d’écoutes radio de l’Armée française en vue de la reprise des hostilités contre l’envahisseur« .

Paul Labat, qui dirigeait le GCR, orchestra cette « extraordinaire opération de camouflage » en faisant signer un accord secret avec le Directeur des télécommunications des PTT, pour que les officiers des Transmissions, bien que démobilisés, puissent continuer à y effectuer leur carrière, sans être estampillés comme militaires. En 1941, le GCR, « véritable opération de résistance institutionnelle« , était ainsi rattaché au Secrétariat d’État à la Communication, comme les PTT.

Plusieurs de ses officiers figurèrent « parmi les tous premiers membres de l’Armée secrète« , et très vite le GCR se mit au service de la Résistance et des Forces alliées, espionnant la Wehrmacht et la Gestapo au profit de la France libre, et du MI6 de l’Intelligence Service, à Londres.

Les écoutes au GCR d’Hauterive (Allier), en 1941 [Archives Roger RICHARD

Les écoutes au GCR d’Hauterive (Allier), en 1941 – Archives Roger RICHARD

Camouflés comme employés des PTT, les espions du GCR continuèrent leurs activités, malgré l’occupation de la « zone libre« , certains préférant quand même passer dans la clandestinité. Traqués par la Gestapo à partir de 1943, 27 d’entre eux furent arrêtés, et déportés; seulement 9 y survivront.

Le GCR fut réactivé en 1945 : pas moins de ses 4 000 agents -en France et dans le monde- assuraient alors « chaque jour l’écoute de 600 émissions de radiophonie en 36 langues, de 30 émissions de radiotélégraphie en 10 langues, et de 92 émissions de trafic privé« . Il sera rattaché en 1948 au Service de documentation extérieure et de contre-espionnage (SDECE), l’ancêtre de la DGSE.

Matthew M. Aid, spécialiste de la NSA, souligne dans un ouvrage consacré au renseignement technique pendant la guerre froide, que la France et le Royaume-Uni n’ont jamais cessé d’échanger des informations, même après le départ de la France de l’OTAN, en 1966. A contrario, les échanges entre le SDECE et la NSA cessèrent dans les années 60 parce que les USA soupçonnaient le SDECE d’avoir été infiltré par le KGB.

D’après Roger Faligot, Alexandre de Marenches, qui prit la tête du SDECE en 1970, profita cela dit de ses bons rapports avec les services de renseignement anglo-saxons pour recommencer à échanger du renseignement SIGINT (pour SIGnal INTelligence) avec la NSA et le GCHQ, et contribuer au pacte UK-USA « sans officiellement en faire partie« .

Les relations entre la DGSE et les PTT d’une part, le GCHQ et la NSA d’autre part, n’ont donc, en soi, rien de très nouveau, même si elles ont connu des soubresauts, et qu’elles ne sont plus aussi « incestueuses » que du temps de l’Occupation.

« Le plus grand réseau voix/données au monde »

Interrogé par Le Monde, Stéphane Richard, le patron d’Orange, a indiqué que « des personnes habilitées secret-défense peuvent avoir à gérer, au sein de l’entreprise, la relation avec les services de l’Etat et notamment leur accès aux réseaux, mais elles n’ont pas à m’en référer. Tout ceci se fait sous la responsabilité des pouvoirs publics dans un cadre légal ».

Dans une interview aux Echos, il rétorque que « sur les écoutes, on n’a pas appris grand-chose » :

« Oui, nous avons des relations avec les services de l’Etat dans le strict cadre légal et sous le contrôle des juges. Je ne me sens pas visé, cela montre plutôt qu’Orange est une entreprise stratégique. »

Qualifiant les révélations du Monde d' »hypothèses farfelues« , Stéphane Richard précisait, mi-mai, que « non, il n’y a pas de collecte de données massive par l’État« , et qu’il fallait poser la question aux services secrets.

Sur Twitter, le service presse d’Orange précise, de façon laconique, avoir, « comme tous les opérateurs, des relations avec les services de l’État en charge de la sécurité du pays et des Français » :

« Ces relations se font dans le strict respect des lois et en toute légalité, sous la responsabilité de l’État et du contrôle des juges. »

Ce qui, in fine, proscrit donc toute surveillance massive de données en France… mais pas à l’étranger.

Or, les télécommunications relayées par Orange ont de quoi fortement intéresser la DGSE : implanté dans 21 pays d’Afrique et du Moyen-Orient (dont la Côte d’Ivoire, l’Irak, la Jordanie, le Mali, le Maroc, le Niger et la Tunisie, notamment), où le groupe revendique plus de 100 millions d’abonnés, ainsi que, via sa filiale Sofrecom, en Syrie, dans la Libye de Kadhafi, la Tunisie de Ben Ali, en Éthiopie (où Human Rights Watch vient de révéler l’existence d’un vaste réseau de surveillance des télécommunications), Orange se vante, via son autre filiale Business Services, d’avoir « le plus grand réseau voix/données sans couture au monde couvrant 220 pays et territoires« , avec 231 millions de clients.

Carte-mondiale-des-cables-sous-marins-edition-avril-2012._820

De plus, France Télécom Marine, filiale à 100% d’Orange, dispose d’une flotte de 6 navires câbliers, et a installé, depuis 1975, près de 170 000 km de câbles sous-marins dans tous les océans -dont 140 000 en fibre optique-, soit 20% des 800 000 kilomètres de câbles sous-marins actuellement en service… de quoi attirer l’attention des services de renseignement.

Pour autant, ces câbles ne transitent pas que les seules communications des abonnés d’Orange. Or, les révélations du Monde ciblaient les seuls « clients français d’Orange« …

« Et toutes ces méta-données, on les stocke »

La question reste pour autant de savoir si la DGSE, comme l’affirme Le Monde, et au mépris de la loi, « puise massivement dans les données de l’opérateur historique français« , et si « les services secrets britanniques ont accès aux données des clients français d’Orange« . Au-delà de l’illégalité d’une telle opération, quelques points méritent d’être précisés.

Les volumes de données qui transitent sur les réseaux depuis la démocratisation de la téléphonie mobile et de l’Internet sont tels que ce qui intéresse de prime abord enquêteurs de police et services de renseignement, aujourd’hui, ce sont les méta-données : qui communique avec qui, à quelles fréquences, quand, pendant combien de temps, d’où, et donc de dresser le réseau -ou graphe- relationnel de leurs cibles.

Comme l’avait expliqué Bernard Barbier, alors directeur technique de la DGSE, dans une conférence à laquelle j’avais assisté (voir Frenchelon: la DGSE est en « 1ère division »), « le contenant devient plus intéressant que le contenu » :

« Et toutes ces méta-données, on les stocke, sur des années et des années, et quand on s’intéresse à une adresse IP ou à un n° de tel, on va chercher dans nos bases de données, et on retrouve la liste de ses correspondants, pendant des années, et on arrive à reconstituer tout son réseau. »

Patrick Calvar, directeur central du renseignement intérieur (DCRI, devenue depuis DGSI) depuis le 30 mai 2012, déclarait de son côté, lors d’un colloque l’an passé qu' »il faut le savoir, aujourd’hui, cela ne sert plus à rien à d’écouter une ligne téléphonique, sauf coup de chance, ce qui peut arriver » :

« Ça n’a qu’un seul intérêt, celui de la géolocalisation. Mais même cela est compliqué, puisqu’il faut des autorisations particulières. Donc la seule chose qui nous importe est de pouvoir pénétrer, sonoriser, attaquer l’informatique. C’est totalement exclus dans le droit français, sauf en matière judiciaire. »

De nombreux documents Snowden montrent à ce titre que les programmes d’interception et de surveillance massive de NSA et le GCHQ portent moins sur l’analyse du contenu des télécommunications (internet ou téléphoniques) que de leurs méta-données.

Si la DGSE faisait du massif avec le concours d’Orange, ce serait plus probablement sur les méta-données que sur le contenu des télécommunications.

Un « Big Brother » français ?

Ce n’est pas la première fois que Le Monde surestime les faits d’armes et capacités des services de renseignement technique, confondant notamment contenu et contenant, télécommunications et méta-données. Dans un article intitulé « Comment la NSA espionne la France« , Jacques Follorou et Glenn Greenwald avaient ainsi révélé en octobre 2013 que « 70,3 millions de communications téléphoniques de Français ont été interceptées entre le 10 décembre 2012 et le 8 janvier 2013 ». On a depuis appris qu’il s’agissait en fait de méta-données interceptées par les services de renseignement français, à l’étranger, et partagées avec la NSA (voir mon factchecking, La NSA n’espionne pas tant la France que ça).

superdupontCielEn juillet 2013, Le Monde avait également révélé, dans un article intitulé « Révélations sur le « Big Brother » français« , que la DGSE espionnait « le flux du trafic Internet entre la France et l’étranger en dehors de tout cadre légal« , ainsi que « la totalité de nos communications » :

« La Direction générale de la sécurité extérieure (DGSE, les services spéciaux) collecte systématiquement les signaux électromagnétiques émis par les ordinateurs ou les téléphones en France, tout comme les flux entre les Français et l’étranger : la totalité de nos communications sont espionnées. L’ensemble des mails, des SMS, des relevés d’appels téléphoniques, des accès à Facebook, Twitter, sont ensuite stockés pendant des années. »

Les professionnels travaillant aux cœurs des réseaux de télécommunications que j’avais interrogés avaient alors émis de très sérieux doutes quant à la faisabilité technique d’une telle surveillance généralisée de nos télécommunications, en France qui, du fait de son réseau décentralisé, nécessiterait l’installation de systèmes d’interception dans près de 16 000 répartiteurs téléphoniques (propriétés exclusives de France Télécom), plus quelques 40 000 DSLAM (qui récupèrent le trafic transitant sur les lignes téléphoniques afin de router les données vers les gros tuyaux des FAI), pour la surveillance du trafic Internet, et ce, sans compter les boucles locales radio et de fibres optiques (voir La DGSE a le « droit » d’espionner ton Wi-Fi, ton GSM et ton GPS aussi)…

En août, Le Monde reconnaissait de fait que les services ne s’intéressaient « pas tant au contenu des messages qu’à leur contenant : qui parle à qui et d’où (les fameuses « métadonnées), et qu' »il est donc possible que la DGSE ne collecte pas « la totalité » des communications électromagnétiques mais elle en intercepte une très large part« .

Ce qui pose la question de la surveillance des câbles sous-marins transitant par la France et gérés, pour une bonne part, par Orange.

La montée en puissance de la DGSI

La DGSE étant un service de renseignement extérieur, la quasi-totalité de ses cibles sont hors de nos frontières, et la DGSE a probablement autre chose à faire que d’analyser, dans son nouveau datacenter, les appels téléphoniques de l’ensemble des abonnés d’Orange France, a fortiori de les rerouter vers le GCHQ.

Une surveillance massive des méta-données voire des télécommunications passées en Libye, au Niger ou au Mali (par exemple), et donc -notamment- sur les réseaux ou câbles des filiales d’Orange, serait bien plus plausible, et intéressante pour un service de renseignement.

De plus, une telle opération d’espionnage des télécommunications, en France, déployée par le service de renseignement extérieur, dont les missions sont a priori cantonnées « hors du territoire national« , pourrait déclencher une « guerre des services » avec la nouvelle Direction générale de la sécurité intérieure (DGSI, ex-DCRI, qui avait absorbé la DST et les RG du temps de Nicolas Sarkozy) qui, dans le cadre de ses missions, « contribue à la surveillance des communications électroniques et radioélectriques (…) sur l’ensemble du territoire de la République« .

Signe de la montée en puissance de la DGSI : elle vient de se doter d’un « directeur technique« , Jean-Luc Combrisson, un militaire, ingénieur de l’armement qui était jusque là responsable du pôle télécommunications et sécurité des systèmes d’information à la Délégation générale de l’armement (DGA), secondé du commissaire Stéphane Tijardovic, qui s’était illustré en accédant aux fadettes du journaliste du Monde et qui, pour accéder aux données interceptées par la DGSE, avait du y envoyer 10 de ses hommes, au risque de laisser les « cousins« , comme l’écrivaient les auteurs de L’espion du président « deviner, en fonction des enquêtes, les sujets d’intérêt du moment à Levallois.

Ils auront pour mission d’organiser le renseignement technique à la DGSI, et notamment les interceptions menées au Département de Recherche Technique (DRT) de Boullay-les-Troux, le centre d’interception des télécommunications, et pôle d’investigation numérique, de la DGSI, ainsi que du Centre technique d’assistance (CTA), créé suite aux attentats de 2001 afin de pouvoir décrypter les communications chiffrées, et dont elle vient de récupérer la tutelle.

Autre signe de la montée en puissance de la DGSI en matière de renseignement technique : sa division des systèmes d’information a lancé une quinzaine de procédures de recrutement depuis janvier 2014, comme l’a récemment révélé IOL, dont un responsable de la sécurité des systèmes d’information (.pdf), un ingénieur sécurité expert des analyses « forensics » (.pdf) ou encore un technicien orienté investigation numérique (.pdf)

De la « guerre » à la « mutualisation » des « services »

Auditionné, fin avril, par la commission des lois à l’Assemblée, Bernard Cazeneuve, le nouveau ministre de l’Intérieur, révélait par ailleurs que le plan anti-djihad du Gouvernement ne se réduira pas « à la création d’un numéro vert » :

« Les cyberpatrouilleurs ne peuvent aujourd’hui être assurés de l’efficacité de leur intervention lorsqu’ils s’introduisent sous pseudonyme dans les forums de discussion djihadistes. Notre plan comporte une mesure qui leur permettra d’enquêter en ligne sous pseudonyme.

De surcroît, afin de disposer du temps nécessaire pour conduire les enquêtes jusqu’à leur terme, nous proposerons au Parlement que les données recueillies par ce moyen ou grâce aux interceptions de sécurité puissent être conservées au-delà de dix jours et jusqu’à un mois, de manière à ce qu’elles puissent être exploitées de manière exhaustive, dans le respect rigoureux des libertés publiques et des textes en vigueur.

Enfin, la loi permettra l’interconnexion à distance entre nos services, de manière à disposer de la palette d’informations la plus large possible. »

Cette « interconnexion à distance fait furieusement penser à l’Infrastructure de mutualisation, la base de données de la DGSE, à laquelle ont accès les autres services de renseignement français, dont l’existence avait été révélée par Le Monde, et qu’avait évoqué la Délégation parlementaire au renseignement dans son rapport 2013 :

« La délégation rappelle aussi que la mutualisation des capacités techniques des services de renseignement répond à la fois aux nécessités d’optimisation de la ressource budgétaire et à des besoins opérationnels. Depuis 2008, des progrès ont été réalisés en matière de mutualisation des capacités, notamment en ce qui concerne le renseignement d’origine électromagnétique, opéré par la DGSE au profit de l’ensemble de la communauté du renseignement. »

Visitant la Direction du renseignement militaire en septembre 2013, Jean-Yves le Drian, ministre de la Défense, qualifiait par ailleurs ces « processus de mutualisation » de « maître mot du nouveau Livre blanc et de la LPM en ce qui concerne les services de renseignement et leurs moyens« . Fin novembre 2013, un rapport sénatorial révélait par ailleurs récemment qu' »environ 80 % du budget annuel d’investissement de la direction technique de la DGSE financent des projets intéressant également d’autres organismes« .

Un document budgétaire révélait par ailleurs que la direction du renseignement militaire (DRM) « poursuit les actions de mutualisation avec la direction générale de la sécurité extérieure (DGSE) et d’amélioration des capacités d’interception et de traitement dans les détachements avancés de transmissions » (DAT, les stations d’écoute installées dans les DOM-TOM et à l’étranger qu’elle a entrepris, depuis 2005 au moins, de mutualiser avec la DGSE, cf la carte des stations espions du renseignement français), et qu’elle « renforce en parallèle ses infrastructures de transport et d’hébergement de données, améliore leur interconnexion avec ses partenaires et réalise une salle de serveurs informatiques adaptés à ses besoins au cours des dix prochaines années« .

Dans un article intitulé « Les services de renseignements ont enterré la hache de guerre« , La Tribune écrivait, en mars 2013, que « l’articulation de ma direction générale avec la DCRI n’a jamais été aussi bonne, explique le patron de la DGSE. Nous avons désormais des relations très étroites, qui permettent des échanges quotidiens d’informations sur des cibles ou des individus signalés« , et que « le meilleur exemple de décloisonnement des services est raconté par le patron de la DPSD, le général Bosser » :

« Nous suivons un garçon qui appartient aujourd’hui à la défense, dont le contrat va s’arrêter dans six mois, et qui a tendance à aller passer des vacances dans des endroits peu recommandables (Afghanistan, Pakistan, ndlr). Quand il quitte le territoire national, c’est la DGSE qui le prend en charge ; quand on s’interroge sur la façon dont il finance ses voyages, on s’adresse à TRACFIN ; quand il revient en France, c’est la DCRI qui le reprend et qui le suivra quand il aura fini ses services chez nous ».

Longue vie à l’espionnage du Net !

Un article intitulé Longue vie à l’espionnage du Net ! (accès payant), publié le 4 décembre dernier sur Intelligence Online (IOL), lettre d’information spécialisée sur le monde du renseignement, révélait qu' »en France, la régulation des interceptions effectuées sur le réseau Internet n’est pas pour demain » :

« La Délégation parlementaire au renseignement (DPR), présidée par le sénateur socialiste Jean-Pierre Sueur, est dans une impasse à propos des interceptions électroniques effectuées sur les câbles sous-marins transitant par la France, via Marseille et Penmarch notamment. »

IOL évoquait une réunion entre les parlementaires de la DPR, François Hollande et Alain Zabulon, le coordonnateur du renseignement (CDR), réunion qualifiée d' »entrevue de pure forme puisque les parlementaires ne sont pas autorisés à poser des questions sur les aspects opérationnels des échanges de métadonnées interceptées, pratiquées dans le cadre du protocole Lustre entre la direction technique de la DGSE, la NSA et le GCHQ« .

1665715-superdupont_we_need_youD’après IOL, la Commission nationale de contrôle des interceptions de sécurité (CNCIS) aurait « haussé le ton« , et réclamé « un cadre juridique mieux défini« , de sorte de pouvoir contrôler la collecte et le stockage des données par la DGSE, et leur transmission à des services de renseignement étrangers, et ce « d’autant plus que ce service est dans l’incapacité de trier préalablement les communications interceptées pour déterminer si elles impliquent ou non des citoyens français » :

« Réaction des autorités politiques : impossible de satisfaire cette demande dans l’immédiat, au vu de l’ampleur du travail qu’impliquerait une telle régulation. »

A l’époque, l’attention médiatique était accaparée par le projet de loi de programmation militaire (LPM), qui visait notamment à légaliser des pratiques illégales (ou « a-légales« , pour reprendre l’expression d’un des patrons d’une des agences de renseignement) en matière d’interceptions des télécommunications, et donc à légaliser l' »accès administratif » (par les services de renseignement, à distinguer des services de police judiciaire) aux données de connexion (les « traces » et « méta-données » de nos activités stockées par les opérateurs de télécommunications et de services en ligne).

Le projet de loi a depuis été adopté par le Parlement, et nombreux sont ceux qui, à l’aune des « révélations » Snowden, sont persuadés que la DGSE joue à la NSA.

Comme je l’avais alors écrit, la complexité du dossier, et les subtilités juridiques & syntaxiques du texte, ne permettent pas encore de savoir s’il est plus, ou moins, protecteur de nos libertés, et vies privées (cf Tout ce que vous avez toujours voulu savoir sur la #LPM et que vous avez été nombreux à me demander).

L’analyse d’IOL révèle cela dit que la LPM ne cherchait donc à encadrer que la partie émergée de l’iceberg, mais aussi que la « régulation » des « interceptions électroniques effectuées sur les câbles sous-marins transitant par la France » ne serait donc toujours pas clairement (et légalement) encadrée…

********************************

Le rapport (.pdf) relatif à l’activité de la délégation parlementaire au renseignement (DPR) pour l’année 2013 est à ce titre très instructif.

Evoquant « un cadre juridique en pleine évolution« , la DPR y reconnaît en effet que « notre pays ne dispose pas à ce jour d’un véritable régime juridique complet définissant avec précision les missions et les activités des services de renseignement ainsi que les moyens d’actions dont ils disposent et prévoyant les modalités de leur encadrement et de leur contrôle« .

Elle se félicite ensuite de l’adoption de la LPM, qui permet de « réintégrer dans le droit commun de la loi du 10 juillet 1991 relative au secret des correspondances (à présent codifiée dans le code de la sécurité intérieure) les opérations de collecte de données relatives aux contenants des télécommunications« , et qui « prévoit également un contrôle renforcé en matière de géolocalisation, similaire à celui prévu pour les interceptions de correspondances » :

« Ce nouveau cadre juridique constitue ainsi un progrès indéniable. »

DPR_LPMIl reste encore cela dit quelques progrès à faire : suivent en effet deux pages anonymisées (voir la capture d’écran, ci-contre) qui, au vu de la conclusion du chapitre en question, montrent bien que le contrôle parlementaire, et juridique, des services de renseignement français, est encore loin de donner satisfaction, les parlementaires de la DPR ayant été contraints de s’auto-censurer :

« L’aboutissement de ces réflexions doit ainsi mener à poursuivre l’amélioration du dispositif juridique d’encadrement et de contrôle des services afin que, solide et bien accepté par nos concitoyens, il contribue à accroître la
confiance de ceux-ci dans l’action des services de renseignement, à diffuser cette « culture du renseignement » qui fait en partie défaut à notre pays et, in fine, à renforcer la sécurité de tous dans le respect des libertés publiques. »

La DGSE a-t-elle accès aux données des clients anglais de British Telecom ?

Enfin, si la DGSE travaille avec le GCHQ sur une base de « coopération et de partage« , cela signifie-t-il qu’elle peut elle aussi accéder « aux données des clients anglais de British Telecom« , ou encore à celles « des clients américains d’AT&T » dans le cadre de son partenariat avec la NSA ?

On imagine mal le GCHQ ou la NSA autoriser une telle surveillance généralisée de leurs propres concitoyens par le service de renseignement extérieur des froggies… Ce pour quoi je peine aussi à imaginer que la DGSE laisse le GCHQ piocher massivement dans les données des « clients français » d’Orange. Mais je peux me tromper.

Mise à Jour, 22/05/14 : en octobre 2013, Orange remportait plusieurs accords-cadres portant sur la fourniture de services de téléphonie fixe au ministère de l’Intérieur; en novembre, Orange remportait le marché de la téléphonie fixe et de l’accès à Internet du ministère des affaires étrangères; en janvier 2014, remportait aussi un marché de 15 millions d’euros, dans le cadre de l’accord cadre « astel G5 » de fourniture de services de télécommunications mobiles, de téléphones mobiles et de leurs accessoires, à la Direction Interarmées des Réseaux d’Infrastructure et des Systèmes d’Information (DIRISI) du ministère de la Défense.

On peine, de même, à imaginer que le ministère de la Défense (et al.) utilise Orange pour communiquer… tout en facilitant l’espionnage desdites communications par des services de renseignement étranger.

NB : vous pouvez aussi tester vos connaissances avec le Quiz: rions un peu avec la DGSE que j’ai publié sur Slate, avec tout plein de .gifs animés (parce que oui, on peut aussi s’amuser et rire un peu avec la DGSE), ou encore y découvrir la carte des stations d’interception des services de renseignement français que je viens d’y publier.

Illustrations du SuperDupont de Marcel Gotlib : Krinen & ComicVine; dites, vous saviez que le logo de son T-shirt s’inspirait de celui de la section antiterroriste des ex-Renseignements Généraux (à moins que ça ne soit l’inverse) ?

Et, sinon, le Musée d’art et d’histoire du judaïsme, à Paris, consacre précisément une exposition à Marcel Gotlib, et donc aussi à SuperDupont, ce « super héros » combattant l' »Anti-France »…

Voir aussi :
Frenchelon: la DGSE est en « 1ère division »
La DGSE recrute, niveau brevet, CAP ou BEP
Snowden et la nouvelle « chasse aux sorcières »
« Une journée dans la peau d’Edward Snowden »
Pour la CNIL, 18% des Français sont « suspects »
La NSA, la DGSE et la DCRI ne disent pas merci à l’Hadopi
Le .gif qui révèle la paranoïa de la NSA, et pourquoi elle espionne aussi vos parents & amis