Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

Cette seconde vidéo est une conférence menée par Jean-Marc Manach, Bluetouff et Kitetoa, journalistes d’Owni et de Reflets.info. Pendant 1h20, les trois intervenants reviennent sur l’affaire Amesys, soit la vente par la France d’un système de surveillance des communications à la Lybie de Kadhafi. Toujours aussi intéressants, les trois hommes rappellent l’historique et les tenants et aboutissants de cette histoire ahurissante…

La Tunisie est à « l’honneur » ces temps-ci! Après le passage décalé de Richard Stallman dans les locaux de Bull, c’est anonymous qui s’en prend aux censeurs du pays qui avait lancé le grand mouvement de révolte des pays « arabes » l’année passée.

Selon le collectif de hackers, le même système qui espionnait les opposants sous Ben Ali, mais également en Libye et aujourd’hui encore au Maroc, serait toujours opérationnel.

Notons que début avril, nous apprenions par le gouvernement tunisien que l’Agence Tunisienne d’Internet, par ailleurs accusée d’avoir participé à la censure pendant la dictature, serait maintenue.
Autre annonce: la prise en charge de la « sécurisation » du Net par les experts du ministère de l’Intérieur.
Et oui, maintenant que la Tunisie est une démocratie, il faut adopter des justifications démocratiques à la censure et à la surveillance! Et pour ça, rien de mieux qu’une bonne menace « criminelle » (chez nous « terroriste » passe encore mieux), et ça plait à tout le monde!

Ceci étant fait, il devient beaucoup plus aisé de justifier le reste:

« Il s’agit seulement de surveiller les informations qui circulent pour empêcher la propagation des campagnes de diffamation et autres dangers virtuels »

« … pour empêcher la propagation des campagnes de diffamation »

Samir Dilou, ministre des droits de l’homme et de la Justice transitionnelle

Visiblement, les affaires ont bien vite repris dès que la colère populaire s’est apaisée!

Site d’Anonymous Tunisie: https://www.anonymous-tunisia.org/

En tournée en Tunisie, Richard Stallman, l’une des grandes figures historiques du mouvement du logiciel libre, s’est dit qu’un petit passage par les locaux de Bull s’imposait. Pour rappel, Bull est l’entreprise française qui s’est illustrée par le biais de sa filliale Amesys, dans l’affaire de la vente à Kadhafi d’armes numériques pour la surveillance massive des communications à l’échelle d’un pays.

Accompagné de militant-e-s, il revêt ses habits de St-Ignucius afin d’exorciser les locaux de Bull, truffés de logiciels privateurs et de machines servant à la surveillance des Tunisien-ne-s. #QuartDheureRigolade !

(Sous-titres français disponibles)

Jean-Marc Manach a sorti hier « Au pays de Candy », un e-book sur le travail qu’il effectue notamment pour Owni sur l’affaire Amesys. Pour rappel, celle-ci mêle l’industrie de la surveillance numérique française et l’État à la Libye de Kadhafi, ainsi qu’à quelques unes des pires dictatures qui ont connu la résistance dans le « monde Arabe » depuis un an.

Après la diffusion d’un reportage sur Canal + décortiquant la même affaire, beaucoup braquent à nouveau leur regard sur ce scandale politico-financier rendant la France soutien et complice des crimes commis par plusieurs dictateurs.

Nous apprenons d’ailleurs aujourd’hui l’arrestation de Abdallah Senoussi, terroriste, chef de la répression sous Kadhafi et… client d’Amesys pour le contrat passé avec la Libye. Une demande d’extradition de ce personnage (représentant une menace certaine pour les hauts responsables de notre belle « démocratie ») a rapidement été effectuée par la France.

Autre info de ces derniers jours: la plainte contre X déposée en septembre dernier par l’association de défense des droits de l’Homme Sherpa (visant Amesys), a été classée sans suite par le tribunal de Aix-en-Provence. Surprenant?

Je l’ai évoqué dans le dernier article, un documentaire sur l’implication de la France dans la construction et la vente de systèmes d’interception des communications à grande échelle, est en ce moment diffusé sur Canal +. Réalisé par Paul Moreira, il semble être un excellent pas en avant dans la diffusion d’une information encore honteusement occultée en France. Savoir que les personnes qui dirigent la France ont pu armer des dictatures, et que les outils utilisés étaient exportés dans le but de les tester (pour la France?), ne doit probablement pas être suffisamment vendeur pour la plupart des médias…

Plusieurs extraits longs sont mis à disposition pour celles et ceux qui n’auraient pas encore eu les moyens de visionner l’intégralité du document. C’est tout simplement glaçant, et une fois encore, les interventions révèlent l’extrême gravité de l’affaire et le cynisme des responsables économiques et politiques.

Si vous avez suivi l’actualité ou mes « tweets » sur identi.ca, vous aurez noté que l’affaire Bull / Amesys refait surface. Bien que beaucoup se donnent du mal pour limiter la diffusion de l’information, notamment dans les grands médias télévisuels, un documentaire diffusé par Canal + relance la polémique autour de l’implication d’entreprises françaises et de l’État, dans la vente d’un système de surveillance des communications à grande échelle. Quels en étaient les clients? Notre ami le colonel Kadhafi et son armée! (ouais ouais, les droits de l’homme, toussa toussa…)

Donc autant dire que ça siffle un peu dans les oreilles à Nicolas en ce moment!
Mais reflets.info a remarqué aujourd’hui qu’une vidéo humoristique de leurs confrères de Fhimt s’est retrouvée mystérieusement censurée sur Youtube, uniquement lorsque l’on se connecte avec une IP française:

Du coup, la question que je me pose suite à cette constatation, c’est: comment Google a t-il pu cautionner cette censure? Ne sont-ils pas d’ardents défenseurs de la liberté d’expression? On l’a bien vu avec la Chine: ils avaient refusé la censure sur demande de l’État non? (ok ils étaient pour si c’était de la part d’un tribunal chinois, mais faudrait pas non plus abuser hein! xD )

Si vous connaissez Reflets.info, vous n’êtes pas sans savoirs que ce sont des pénibles professionnels, et qu’ils ne cessent d’importuner de braves entreprises comme Amesys ou encore Qosmos, uniquement parce qu’ils ne sont pas très bons en politique étrangère, notamment en ce qui concerne la connaissance des dictatures africaines!

Ils nous proposent donc un lien vers la vidéo censurée en mp4, afin de l’uploader où vous chante. Vous pouvez également suivre la création des miroirs de cette vidéo sur le pad de Fhimt.

Voici l’objet du crime (notez le haut degré de sulfuritude interdisant tout autre réaction que la censure!):

Contacté par une journaliste du site de débat Newsring (lancé sous la direction éditoriale de Frédéric Taddeï) pour participer à un sujet sur « Nouvelles technologies : peut-on échapper à l’emprise américaine ? », je me suis plié à l’exercice.
C’est à partir de l’annonce du retrait de Dassault du projet de Cloud computing « à la française » que la journaliste s’est posé la question de la possibilité pour la France de développer son indépendance face à des services majoritairement américains.
Le débat et sa présentation sont disponibles à cette adresse.

Le point de vue développé ici s’attardera davantage à se demander s’il est possible d’échapper à l’emprise des États et des entreprises qui font fortune sur la surveillance des communications.

Il est coutume de dire qu’internet n’a pas de centre, et c’est vrai. En tant que réseau de réseaux décentralisé, il est en théorie conçu pour pouvoir fonctionner quelles qu’en soient les parties amputées. Mais il est aussi fréquent d’entendre que s’il devait y en avoir un, il serait aux États-Unis.

Avec le développement de la toile, de nombreuses entreprises américaines ont acquis un statut dominant voire quasi monopolistique dans certains domaines. Plus de neuf français sur dix utilisent des logiciels Microsoft et surfent sur le net grâce à Google, et près d’un sur trois a un profil Facebook.

Lorsque l’on parle de stockage des données en ligne (cloud computing), cela pose de façon évidente la question de la conservation et de la concentration des informations, et interroge sur le cadre juridique duquel elles dépendent.

Cette concentration pose problème dans plusieurs domaines :

La confidentialité des données

Concernant la confidentialité des données, et le respect à la vie privée, la constitution de supers bases de données contenant des quantités parfois astronomiques de détails sur nos habitudes de navigation, nos goûts, nos achats, nos symptômes, nos préoccupations, nos désirs etc., pose de sérieux problèmes.
Pour prendre le cas Google, il a été le premier groupe à dépasser le milliard de visiteurs uniques en mai dernier (selon comScore), et Youtube (appartenant à Google) annonce ce mois-ci les mille milliards de vidéos vues en 2011. Chacune de ces visites est l’occasion pour l’entreprise de peaufiner le profil des utilisateurs en fonction de leurs comportements.

La question du droit de l’information

À qui appartiennent les informations publiées par les internautes ? Dans le cas de Facebook par exemple, nous savons que les données « confiées » peuvent être réutilisées dans un cadre publicitaire notamment, et sont à la disposition de l’entreprise, même après suppression du compte (voir l’affaire de l’étudiant autrichien Max Schrems qui a reçu plus de 1200 pages d’informations sur sa personne après 3 ans d’utilisation du réseau et un compte soi disant supprimé).

Le rapport à la justice

C’est également vis à vis de la justice qu’il faut s’interroger, et plus particulièrement de l’État. C’est suite à des « révélations » de Gordon Frazer (directeur général de Microsoft) que la question du Patriot Act a refait surface sur le net. Rédigé suite aux attentats du 11 septembre 2001, le texte impose à toute entreprise américaine de fournir les renseignements dont elle dispose si l’État en fait la demande. Étant dans cette situation, Microsoft a, à l’occasion de la prise de parole de son responsable, avoué avoir déjà été en situation de répondre à cette exigence patriotique. C’est quasiment dans la foulée que le géant Google avait également confirmé avoir fait de même.

Il convient de préciser que le Patriot Act concerne toutes les entreprises américaines, qu’elles soient basées sur le sol américain ou non. Les serveurs de Google en Europe sont par exemple concernés, et toutes les données qu’ils renferment sont donc potentiellement réquisitionnables par les autorités d’outre-Atlantique.

C’est alors que se repose la question de la concentration des données. Avec 900 000 serveurs estimés dans le monde, une utilisation particulièrement élevée de son moteur de recherche en France, et une omniprésence de Google Analytics qui permet d’afficher des statistiques de fréquentation 1 2, Google prend l’allure d’une pieuvre menaçante tant pour la sécurité des internautes que pour celle des entreprises.

Le contrôle du réseau

L’intégrité du réseau ainsi que la garantie d’une circulation libre des contenus dépendent également, du fait de la main mise des entreprises américaines sur le web, du droit états-unien. L’actualité récente braque les projecteurs vers la chambre des représentants et le sénat américains, lesquels discutent deux projets de loi très similaires: Stop Online Piracy Act (SOPA) et Protect IP Act (PIPA). Ces deux Patriot Acts numériques visent à mettre en place des systèmes de contrôle et de censure d’internet dignes des plus grandes dictatures mondiales, et ce afin de préserver les seuls intérêts des ayants droit des industries culturelles américaines. Le passage de tels projets affecterait sans nul doute la totalité de la toile puisque qu’une grande partie des sites en ligne dépendront de ces textes.

Un cloud à la française ?

Cette situation de dépendance à l’égard du droit américain amène divers projets, dont Andromède, présenté comme un cloud à la française, à destination de l’e-administration, puis éventuellement des entreprises de l’hexagone.

Plutôt que de se concentrer directement sur l’administration et les entreprises, il me semble important d’aborder la question de façon plus large, dans le rapport à l’utilisateur en général.

En ce qui concerne la sécurité des données, il conviendrait de désigner clairement celui dont on souhaite se protéger. S’il s’agit de l’État, il n’y a nul doute pour dire que l’État Français ne se montre pas plus vertueux que son homologue américain, en témoignent l’adoption de la très répressive Loppsi II, la troisième position acquise par la France en tant que pays demandant à Google de dévoiler des informations sur ses utilisateurs (octobre 2011), ou encore son implication présumée dans l’affaire d’espionnage d’Amesys (voir ci-dessous).

Mais avec qui ?

Les partenaires associés au projet Andromède laissent perplexes les internautes qui auront rapidement mis le nez dans les questions de sécurité : Orange, Thales et Dassault (qui s’est retiré du projet en décembre).

France Télécom (qui possède la marque Orange), s’est illustré (bien que cela n’ait fait grand bruit), de façon indirecte dans l’affaire Amesys. En effet, l’entreprise possède de nombreuses actions chez Bull, dont Amesys est une filiale.
Cette dernière a été, suite à des révélation des sites Owni, Reflets.info, Wikileaks et le Wall Street Journal, accusée d’avoir vendu au régime de Kadhafi des armes numériques permettant la surveillance du réseau et des dissidents libyens , ainsi que des communications téléphoniques et satellites.

Thales a également été répertoriée par Wikileaks dans les Spy Files, comme étant l’une des entreprises françaises développant des outils de monitoring de masse sur les réseaux téléphoniques et internet.

Orange, c’est également l’annonce d’un bridage du net à 100 MO pour la fibre (et donc techniquement une remise en cause de l’illimité), ainsi que la volonté de développer le DPI (Deep Packet Inspection), la même technologie d’analyse des flux utilisée par Amesys en Libye, pour des usages courants. Parmi les dernières propositions, on notera la possibilité de faire analyser tout son trafic par Orange afin de pouvoir recevoir des publicités plus ciblées (c’est tout de même grandiose!).
Nombreux sont également ceux qui s’interrogent sur son respect de la neutralité du net, notamment en tant que propriétaire du portail Dailymotion. L’entreprise est en effet suspectée de brider le trafic à destination de son concurrent Youtube.

On ne présente plus non plus Dassault pour ce qui est de la construction et la vente d’armes et de matériel de guerre, pour ses relations commerciales avec Amesys, Thales ou d’autres, et sa complicité par la vente d’armes avec la dictature de Kadhafi.

Bref, on pourrait se demander ce qu’il y aurait à gagner à confier la gestion de nos données et leur sécurisation à de tels énergumènes.

Saucisson pinard ou autonomie ?

Parler de l’information sur le net, au-delà même du cloud (à la française ou non), pose donc un certain nombre de questions qui n’ont finalement pas toujours grand chose à voir avec des problématiques liées à la souveraineté nationale.
Il convient en effet de resituer les contextes d’énonciation : si l’État français peut chercher à gagner en indépendance grâce à Andromède, il n’en reste pas moins extrêmement conciliant (et d’avantage encore : voir l’inauguration des bureaux parisiens de Google par Nicolas Sarkozy) avec une entreprise comme Google, qui évite pourtant sciemment la fiscalité française en se basant en Irlande.
Son indépendance vis à vis de la juridiction américaine, notamment dans le domaine de la sécurité nationale ne semble représenter que peu d’intérêt pour l’internaute moyen, étant données les pratiques auxquelles il semble s’adonner sur son propre territoire ou dans les pays du Maghreb et du Moyen-Orient.

D’autre part, on va de ce fait observer une fuite des militants vers les États-Unis pour échapper à la surveillance et la censure française, comme ce fut le cas pour le site Copwatch Nord Île-de-France par exemple. Pour ces activistes, être « autonome » (hébergé) en France ne signifie pas pour autant liberté.

Héberger ses données à distance amène enfin à prendre en compte d’abord la question du chiffrement, afin de garantir une confidentialité à minima de ce qui est entreposé sur des serveurs tiers, mais aussi celle des outils secondaires qui peuvent être utilisés. Gardons en tête l’exemple de Google Analytics, lequel fait office de véritable cheval de Troie sondant pour le géant de Mountain View, une bonne partie des visites de sites sur la toile.

Finalement, ne serait-ce pas l’occasion de réhabiliter dans certains cas le principe l’auto-hébergement et l’hébergement coopératif, probablement l’une des pratiques la plus en phase avec l’écologie du net ?

Pour celles et ceux qui ont un peu de temps, et qui souhaitent revenir sur l’affaire Amesys et celles qui y sont liées, cette rencontre à l’Assemblée Nationale avec Christian Paul (Député PS), Olivier Laurelli (Reflets.info), Jean-Marc Manach (Owni.fr), Antoine Champagne « Kitetoa » (Reflets.info), Jean-Marc Salmon (Owni.fr), Olivier Tesquet (Télérama), est faite pour vous!

Durée: 1h56

Transcription écrite
Conférence Deep Packet Inspection à l’Assemblée Nationale

Les députés de l’opposition Christian Paul et Daniel Goldberg ont interrogé ce mardi à l’Assemblée Nationale, les ministres Gérard Longuet et Claude Guéant sur le rôle de l’État français dans la vente d’armes de surveillance massive de la population à la Libye.

On le rappelle, depuis la chute du régime de Kadhafi, il est désormais avéré qu’un système nommé Eagle, permettant au dictateur de surveiller ses opposants notamment sur le net, a été vendu par l’entreprise française Amesys en 2007.

Ce type de transactions est bien évidemment soumis à autorisation: l’article 226 du code pénal stipule que « la fabrication, l’importation, la détention, l’exposition, l’offre, la location ou la vente » de systèmes « permettant de porter atteinte à l’intimité de la vie privée et au secret des correspondances »  sont « soumis à une autorisation délivrée par le Premier ministre »…

On pourra aussi noter, histoire de pimenter un peu tout ça, que  Tiphaine Hecketsweiler, directrice de la communication chez Bull (propriétaire de Amesys et en partie détenu par l’État), est aussi la fille de Gérard Longuet, le ministre de la défense… C’est pas la classe ça?

Je vous laisse apprécier ce bon nectar de mauvaise foi:

Se reporter au dossier pour aller plus loin

En début de semaine, Bruno Samtmann, le directeur commercial de l’entreprise française Amesys, filiale de Bull, désormais célèbre pour avoir vendu à Kadhafi des systèmes de surveillance de la population, s’est enfin exprimé sur le sujet auprès de journalistes de France 2.

On ne les avait pas encore entendus depuis les premières fuites il y a 3 – 4 mois, mais il faut croire que les documents publiés par Wikileaks ont fait déborder le vase…

Nous apprenons donc enfin que Eagle, le système vendu à la dictature libyenne, était en fait destiné à la traque des pédophiles, des terroristes et des narco-trafiquants!

De plus, les listes d’opposants qui étaient à l’intérieur même des manuels d’utilisation ont été selon lui rajoutées par les libyens. Il ajoute que ce ne sont soi-disant pas des opposants qui ont été observés, mais des pédophiles… xD

Grosso modo, si on prend en compte qu’une bonne partie des personnes qui étaient exilées et sous surveillance, occupent aujourd’hui des fonctions officielles en Libye, on se dit que ça fait un beau gouvernement de pédophiles quand même! (et après ça y’en a qui critiquent encore l’église catholique!)

Leçon de mauvaise foi donc:

Cliquez pour visionner (lien Vimeo)

Pour celles et ceux qui apprécient particulièrement cet exercice de la langue, voir le collègue de chez Qosmo qui tient bien la route aussi!

Suite aux révélations de Wikileaks cette semaine, mais également à l’excellent travail mené par Owni ou encore des sites comme reflet.info, j’ai pensé qu’il serait intéressant de reposter ces vidéos sur l’implication de la France dans cette affaire.

La première revient avec un journaliste de Owni sur l’implication de Amesys, entreprise française, dans la surveillance du peuple libyen. Sont également évoquées, les questions qui se posent vis à vis de la responsabilité de l’État français dans cette affaire, qui lui même est actionnaire de Bull, l’entreprise mère, mais aussi de l’utilisation de ces technologies en France.

La seconde met en scène le patron de Qosmos, l’une des entreprises françaises pointées par Wikileaks comme développant des technologies de surveillance. Même si c’est un peu long, ça vaut le détour: il est pas très à l’aise pépère! 😀

Wikileaks, OWNI et d’autres organismes de presse ont effectué un sérieux travail de recensement des entreprises participant à la surveillance du réseau au niveau mondial, et nous proposent une carte interactive.
De nombreux documents originaux (près de 1100) sont une fois encore mis à disposition du grand public.

Les outils de surveillance utilisés par ces entreprises provenant en grande majorité de démocraties occidentales sont rangés en  5 catégories:

• Les systèmes de surveillance d’Internet (Internet monitoring)
• Les outils de pénétration ou chevaux de Troie (Trojan)
• Les systèmes d’écoutes téléphoniques (Phone monitoring)
• Les outils de captation et d’analyse de la voix (Speech analysis)
• Les systèmes d’interception des SMS (SMS monitoring)
• Les outils de géolocalisation (GPS Tracking).

On remarque une fois de plus que la France n’est pas en reste, notamment « grâce » au travail de l’entreprise Amesys, filiale de Bull dont l’État est actionnaire à 5%, et qui s’est largement illustrée de par sa collaboration avec le régime de Kadhafi.

Rappelons également que la France s’était équipée des mêmes outils de surveillance de masse pour son propre territoire, et que nous apprenions il y a peu que le Maroc fait également partie des clients de la boîte…

Lecture du dossier du site OWNI fortement conseillée!
– Internet massivement surveillé
– Des réfugiés sur écoute
– La carte d’un monde espionné
– Dossier de presse Scoop it

Cliquez pour accéder au site

Depuis quelques semaines, la polémique enfle. La victoire des rebelles libyens laisse se dévoiler peu à peu les secrets de l’ancien régime.
L’un des derniers en date: la filiale Amesys du groupe informatique français Bull a aidé les services secrets de Kadhafi à développer son système de surveillance de la population!
Le dossier est loin d’être clôturé, (voit-on un jour le bout de ce genre d’affaires?).
Mais il semblerait bien que l’État français ne soit pas totalement étranger à cette initiative.

Afin de nous aider à y voir plus clair, le site Hardabud a publié cette infographie sous licence creative commons (CC-by).
Vous pouvez, au cours de la lecture, cliquer sur les sources afin d’aller plus loin dans vos recherches. Profitons-en!

Pour y accéder, cliquer ici!