Les débats au sujet du projet de Loi sur le Renseignement sont très intéressants ces jours-ci. Sans doute un peu bousculé par une inhabituelle fronde incluant les journalistes et les entreprises, le gouvernement propose des arguments et justifications qui ne sont pas toujours très au point. Mais des paroles contradictoires et du flou entourant les déclarations des défenseurs du projet, on retiendra quelque chose qui ne fait aucun doute: chiffrer ses communications est maintenant devenu suspect.

Une communication désastreuse et des demi-aveux en cascade

Tandis que le projet de loi collectionne les opposants et les surnoms (Frenchiot Act, loi scélérate…), Le Monde est revenu sur un hypothétique dispositif de surveillance de masse de la DGSE: le PNCD. En plus d’être totalement hors contrôle, les bases de données constituées seraient à la disposition des services intérieurs. Alors que la chose avait déjà été évoquée il y a plusieurs années, c’est en plein débat sur la collecte massive de données que resurgit cette enquête.

Invité le dimanche 19 avril au court de l’émission Le supplément sur Canal+, François Hollande a tenté d’éclairer nos lanternes:

« Maïtena Biraben : La PNCD, ce n’est pas encadré…
– François Hollande : Avant il y avait des choses qui n’étaient pas encadrées… Qui fonctionnaient… Personne ne s’en inquiétait…
– Vous le saviez ?
– On a découvert quand même un certain nombre de choses. […] – Je précise, PNCD pour “plateforme de cryptage et de décryptement”, un système complexe et occulte mis en place par la DGSE depuis 2007…
– Oui ! Ben justement, ça existait… ça existait… et il n’y avait pas de loi pour le contrôler.
– Mais ça n’est pas encadré par la loi sur le renseignement…
– Mais si, ce sera encadré par la loi ! Puisque la DGSE… Tout ce qu’elle fait à l’extérieur… C’est à l’extérieur…
– Ce n’est pas du ressort de la loi française…
– Mais tout ce qui est fait à l’intérieur est contrôlé… »

De deux chose l’une: soit François Hollande vient de faire une putain de boulette en avouant l’existence d’un programme dont son propre ministre de l’Intérieur avait nié la réalité quelques jours auparavant, soit le Président ne pipe pas un mot de ce qu’il raconte. Ceux favorables à la deuxième option pourraient rétorquer: « quand on entend François Hollande nous expliquer qu’un algorithme est une machine, la question se pose »; et ils n’auraient pas tout à fait tort. 😉

C’est probablement vers la synthèse de ces deux points de vue qu’il faut creuser pour y comprendre quelque chose.

De son côté, Médiapart est allé chercher les propos du Ministre de la Défense Jean-Yves Le Drian:

Le 15 avril, Jean-Yves Le Drian ajoutait qu’il existait bien depuis 1999 un PNCD pour « Pôle national de cryptanalyse et de décryptement » mais qu’il s’agit uniquement d’un outil « consacré au déchiffrement » « nécessaire pour bien maîtriser la surveillance des communications internationales »

Bon, on en saura pas beaucoup plus sur le fond de cette affaire pour l’instant tant les déclarations sont brouillonnes. Notons tout de même que Jean-Marc Manach, journaliste spécialiste de ces questions, doute de la possibilité d’une surveillance de masse opérée par la DGSE.

Si l’utilisation qui est faite du PNCD reste pour l’instant mystérieuse, l’existence du programme était en fait un secret de polichinelle. Le Parisien a en effet retrouvé sa trace dans des documents publics de la commission de la Défense sur le projet de loi de finances 2006, et des journalistes avaient déjà traité la question à plusieurs reprises.

Par Tor, les VPN, le chiffrement des mails: tout le monde est suspect

Outre ces cafouillages plus ou moins contrôlés, il reste tout de même une certitude: le chiffrement des communications est aujourd’hui clairement visé par le pouvoir. Que la DGSE travaillait sur la question n’était pas un secret. Que cela emmerdait clairement les renseignements intérieurs ne surprend pas d’avantage. Mais ce qui est tout de même un peu nouveau, c’est l’affirmation publique que les techniques garantissant la confidentialité ou l’anonymat en ligne sont en soi suspectes.

Le retour sur le devant de la scène du PNCD n’a pas été la seule sortie anti-chiffrement de la semaine. Dans le projet de Loi sur le Renseignement, il est en effet question de pouvoir accéder « sans délais » aux clés de chiffrement. Cela signifie que l’État pourrait accéder en temps réel à ces clés permettant de lire le contenu des communications des internautes. Déjà, ça fait peur.

Si le chiffrement s’est démocratisé, c’est bien pour permettre à chacun de disposer d’une vie privée. N’en déplaise à Bernard Cazeneuve pour qui ce droit n’est pas une liberté, il est affirmé notamment dans l’article 12 de la Déclaration universelle des droits de l’homme de 1948, et dans la sphère numérique, on beau chercher, seule la cryptographie le garantit.

Malgré ça, le Ministre de l’Intérieur l’a bien fait comprendre dans l’hémicycle, le chiffrement est suspect. En tirant à nouveau sur les grosses ficelles des discours anxiogènes développés aux premiers jours du net, il diffuse lentement l’idée que le chiffrement pourrait cacher n’importe qui, surtout des terroristes:

« Mes services de renseignement ont pu, par des échanges d’informations, savoir que des terroristes procédaient, sur le darknet, à des communications cryptées donnant des éléments précis sur leur intention de commettre des actes terroristes. […]

 

[Les terroristes utilisent] une multitude d’adresses IP qui se masquent les unes les autres, à partir de messages postés depuis différentes boîtes situées partout sur la planète. »

Il s’agit là d’un raisonnement au moins aussi « fouillé » que celui qui consistait il y a peu à expliquer que 90% des terroristes sont allés sur Internet pour se radicaliser avant de passer à l’acte, mais on reconnaît sans aucune ambiguïté une charge contre le réseau Tor et les techniques d’anonymisation sur Internet.

La question qui se pose alors est celle de la présomption d’innocence. Devra t-on renoncer à ce droit si l’on utilise des techniques de chiffrement? Comme bien d’autres, j’ai interrogé Bernard Cazeneuve le 16 avril lors de sa session questions/réponses sur Twitter:

Après plusieurs relances de différents internautes, la réponse se fait toujours attendre. Probablement encore un sujet qui nécessite de lever le secret défense!

Vers la transparence pour tous (enfin presque)

Ce que l’on peut déceler derrière ces discours et ces pratiques, c’est le glissement vers les citoyens de la nécessité de transparence. En appliquant les exigences de transparence demandées à l’État aux citoyens, le gouvernement se place dans la droite ligne de la mythologie libertarienne du tout privatisable d’un Facebook, ou du Darwinisme technologique d’un Google. Quand Facebook affirme que la vie privée appartient au passé, le gouvernement la réduit à néant en faisant mine d’être dans la norme. Et quand Google défend la transparence radicale au nom du progrès technologique, le gouvernement le fait au nom de la lutte contre le terrorisme. Des arguments différents pour des effets similaires.

Bernard Cazeneuve a d’ailleurs lui-même évoqué la politique des GAFA à l’Assemblée (Google, Amazon, Facebook, Apple),en s’étonnant que l’on puisse faire des reproches au gouvernement alors que leurs pratiques n’émouvaient personne (ce qui est un mensonge grotesque puisque les CNIL européennes ne cessent de s’attaquer aux géants du net sur la question de la vie privée).

Partant de l’exigence de transparence à l’égard de l’État, c’est maintenant le peuple qui doit montrer patte blanche face au pouvoir. Avec la mise hors jeu du pouvoir judiciaire dans le contrôle des interceptions, c’est le deuxième hold up de cette loi: faire en sorte que ce ne soit plus à ceux à qui nous confions les manettes de rendre des comptes, mais à nous. Nous le constatons, c’est une vision assez asymétrique de la transparence qui nous est imposée ici.

La seule réponse que l’État veut bien donner à ce sujet est: ayez confiance! Sur le plateau de Canal, François Hollande n’agitait que des garanties de principes, comme l’avait fait Cazeneuve sur les recours possibles des citoyens en cas d’écoutes:

« Cessons de croire qu’il y a un système général d’écoutes. Pourquoi voudriez-vous que l’Etat, même les services, entreprennent de savoir ce que nous faisons, y compris dans notre vie privée ? »..

Il faut le dire, ces arguments ne valent pas mieux qu’un: « m’enfin ma bonne dame? Pourquoi vous méfiez-vous? On est les gentils nous… »

Mais dans une démocratie, ce qui est exigible de l’État, ce ne sont pas des paroles, mais des garanties.
Et la seule chose garantie pour l’instant, c’est que ceux qui protègent leur vie privée seront surveillés.

Fuité par le Figaro, le projet de loi relatif au renseignement a été présenté par Manuel Valls jeudi 18 mars au conseil des ministres. Il doit être voté en procédure accélérée (ça devient une habitude). Élargissant considérablement les capacités de surveillance et d’interception des communications sans passer par une autorité judiciaire, cette loi se voit déjà attribuer le surnom de Patriot Act à la française.

D’après Geneviève Garrigos, présidente d’Amnesty International France: « Par ce projet de loi, la France autorise la surveillance de masse pour la prévention du terrorisme sans contrôle judiciaire ni recours effectif pour les victimes de surveillance ».

Depuis de nombreuses années mais plus encore après les attentats de Paris début février, le discours sécuritaire est omniprésent dans les prises de paroles politiques. Ceux qui considéraient que le rythme était trop élevé sous Sarkozy en ont pour leur compte: la même semaine où la censure de sites présumés terroristes sans intervention d’un juge apparaît en France, le gouvernement tente de passer en vitesse une loi qui légalise les pratiques  obscures des renseignements. C’est l’un des aspects surprenants de la communication officielle: justifier en bloc des pratiques illégales. Les à côté en matière de surveillance pourront maintenant se légitimité par les textes. « Bonne » nouvelle!

Prévenir et prédire les comportements jugés suspects avec le Big Data

Les férus de science-fiction vont encore atteindre le point Orwel ou le point K. Dick. Selon les analyses, il serait question de poser des « boîtes noires » chez les fournisseurs d’accès afin de« détecter automatiquement une succession suspecte de données de connexion ». Des algorythmes devraient donc se charger de faire le tri afin de repérer des schémas ou des empruntes censées correspondre avec l’idée que les renseignement se font d’une communication déviante. Selon quels critères? Mystère.
Le premier ministre pourra demander la levée de « l’anonymat » en cas de suspicion d’une préparation d’un acte de terrorisme.

La première interrogation qui vient en tête concerne alors la taille de la botte de foin. Pour pouvoir dénicher l’aiguille, il faut bien retourner la paille, y jeter un œil… Rien qu’un petit peu. Doit-on donc s’attendre à une surveillance généralisée du trafic? Ou alors y a-t-il une technique miraculeuse permettant de ne surveiller directement que les méchants?

Irrémédiablement, on pense alors à l’utilisation du Deep Packet Inspection, c’est à dire à l’analyse des contenus des communications. Si le gouvernement s’en défend et évoque la seule observation des métadonnées (qui parle avec qui? À quelle heure? Combien de temps? etc.), le passif du gouvernement français vis à vis de cette technologie parfois comparée au nucléaire pour sa grande dangerosité pose question.

Souvenez-vous: 2011, Kadhafi est renversé et on trouve de jolies machines françaises estampillés Amesys. Utilisées pour observer la totalité de la population Libyenne, nous apprenions pour de vrai ce que signifie être leaders dans le domaine de la surveillance, et à quel point la France était compétente en la matière. L’affaire éclaboussa jusqu’au plus hauts lieux du pouvoir français mais aujourd’hui, silence. L’utilisation dans les dictatures aurait-elle servi de phase beta pour une introduction sur notre sol?
Nous ne pouvons tirer des conclusions hâtives mais la chose n’est plus impossible.

Si la méthode reste obscure, c’est aussi le cas pour les raisons qui pourront justifier une surveillance. Jugez par vous-même:

1. L’indépendance nationale, l’intégrité du territoire et la défense nationale
2. Les intérêts majeurs de la politique étrangère, l’exécution des engagements internationaux, la prévention de toute forme d’ingérence étrangère
3. Les intérêts économiques ou scientifiques majeurs
4. La prévention du terrorisme, des atteintes à la forme républicaine et à la stabilité des institutions, de la reconstitution ou du maintien de groupement dissous
5. La prévention de la criminalité et de la délinquance organisées
6. La prévention de la prolifération des armes de destruction massive
7. La prévention des violences collectives de nature à porter gravement atteinte à la paix publique

C’est déjà pas mal…
Qu’on se le dire, les comportements « suspects » seront bien encadrés.

Pour le plat de résistance

Le projet est un véritable chef d’œuvre de la fuite en avant sécuritaire:

• Surveillance des communications internationales et incitation à une collaboration étroite avec les acteurs des nouvelles technologies (Google, Facebook, Skype etc.) dans le cas de suspicion de la préparation d’un acte terroriste.
• Possibilité dans les mêmes cas d’intercepter en temps réel des informations sans passer par l’intermédiaire des fournisseurs d’accès (on se branche directement aux petits tuyaux des Internets).
• Introduction du secret de la défense nationale pour les entreprises devant collaborer en vue d’une surveillance.
• Conservation des enregistrements de 10 à 30 jours minimum et pouvant aller jusqu’à 5 ans.
• Dans le cas d’interceptions de données chiffrées, c’est le moment où elles deviennent lisibles qui marque le décompte
• Possibilité d’installer des mouchards dans l’habitat privé, dans le véhicule ou l’ordinateur (keyloggers), de localiser des individus et d’enregistrer tous types de conversations ou images à cette occasion (privées, confidentielles etc.)
• Utilisation d’IMSI catchers pour récolter des informations sur les téléphones portables situés dans une zone donnée
  

Alors que les précédentes loi anti-terroristes n’ont toujours pas été complètement appliquées, Médiapart évoque déjà une volonté gouvernementale de s’attaquer au chiffrement des communication, dernière garantie d’une vie privée préservée. Il s’agirait d’exiger des acteurs du net que soient remises les clés de chiffrement.

Un projet qui provoque déjà de nombreuses oppositions

Si l’unité nationale semble animer les « représentants » du peuple, ça n’est heureusement pas le cas de nombreuses associations, personnalités et commissions:

« Il ne s’agit plus seulement d’accéder aux données utiles concernant une personne identifiée, mais de permettre de collecter de manière indifférenciée, un volume important de données qui peuvent être relatives à des personnes tout à fait étrangères à la mission de renseignement. »

La CNIL (Commission nationale Informatique et Libertés)

« Il ne suffit pas de répéter qu’il ne s’agit pas d’un Patriot Act à la française. Pour s’en assurer, il faut inclure de manière contraignante le principe selon lequel la surveillance de masse, généralisée et indifférenciée, est étrangère à l’Etat de droit ».

Godefroy Beauvallet, vice-président du CNNum (Conseil National du Numérique)

« Alors que la loi sur le renseignement était annoncée comme une grande loi permettant de protéger les droits fondamentaux, l’instrumentalisation sécuritaire des événements meurtriers de janvier risque d’aboutir à une incroyable dérive du gouvernement en matière de surveillance des citoyens. »

La Quadrature Du Net

[Ces nouveaux moyens sont] «tellement intrusifs qu’ils ne devraient pas être utilisés hors cadre judiciaire. Il est répété qu’il s’agit d’un encadrement, alors que le texte revient à entériner des pratiques des services au lieu de fixer des limites».

Laurence Blisson, Syndicat de la Magistrature

[La surveilance est] «beaucoup trop généralisée sur l’ensemble des individus : on ne peut pas surveiller l’ensemble d’une population sur un lieu donné. Cela pose de vrais problèmes en matière de respect de la vie privée».

Floran Borg, Syndicat des avocats de France

« Ces pouvoirs exorbitants se feront sans contrôle judiciaire. Ne mentons pas aux Français en présentant ce projet comme une loi antiterroriste. Il ouvre la voie à la généralisation de méthodes intrusives, hors du contrôle des juges judiciaires, pourtant garants des libertés individuelles dans notre pays. »

Marc Trevidic, juge antiterroriste

« Le gouvernement français va surveiller tout le monde avec un algorithme. Big Brother devient une réalité »

Tristan Nitot, Fondateur de Mozilla Europe

« Tous ces gens, demain, pourraient entrer chez vous, chez moi, en douce, avec de fausses clés, de jour comme de nuit, pour y placer de minuscules bidules afin de nous surveiller au sein de notre intimité. Avec, je le suppose, des instructions précises : si cela devient trop hard, prière de détourner les yeux. […]

 

Qui va décider que cette manif qui a dégénéré devient ou non de la compétence de la DGSI ? […]

 

Pour mémoire, après Mai-68, la DST, l’ancêtre de la DGSI, a reçu l’ordre de mettre une grande partie de ses moyens pour faire la chasse aux gauchos. C’était De Gaulle. En 1982, Mitterrand a créé son petit service antiterroriste perso pour protéger sa vie privée et faire le ménage autour de lui. En 2015…

 

La Révolution française définissait la loi comme une « protection de la liberté publique et individuelle contre l’oppression de ceux qui nous gouvernent. ». Ce n’était qu’utopie, mais de là à inverser le concept ! »

Georges Moréas, Commissaire honoraire de la Police Nationale

C’est sûr, il y a de quoi s’inquiéter pour demain…

Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

Il en a été question à mainte et mainte reprises ici, le modèle de l’entreprise Google repose quasi exclusivement sur la récolte de données personnelles en vue de personnaliser davantage les publicités et résultats affichés par le moteur de recherche et les sites traitants avec des partenaires. En clair, Google est une régie publicitaire proposant des services qui ont pour fonction d’augmenter ses bases de données sur les utilisateurs et leurs centres d’intérêts.

Hégémonie et coups fourrés

Ses services sont très nombreux, et bien souvent les plus populaires. Le moteur de recherche est de loin le plus utilisé en France et dans de nombreux pays, Android est premier sur le marché des OS mobiles, Youtube draine des flux monstrueux de données, Gmail, Google Maps ou encore Google Drive, sont des références dans leurs domaines. Inutile de parler également des Chrome Books, lesquels ne laissent absolument aucune porte de sortie pour échapper aux serveurs du géant de Moutain View.

Il y a peu, le logiciel libre Firefox tenait le haut du pavé dans le domaine des navigateurs web. Les possibilités en terme de personnalisation offertes par l’ouverture du code ont incontestablement participé à la popularisation d’un web plus ouvert, et adaptés à nos besoins. Mais aujourd’hui, Google Chrome est devenu le premier navigateur, et renforce la domination de Google dans les technologies web.

Supposé plus simple et plus rapide, il n’inquiète que peu de gens, et s’installe parfois sans même prévenir. C’est le cas en particulier avec le très célèbre antivirus gratuit Avast. Notons que cette méthode d’installation liée à un autre logiciel fait irrésistiblement penser aux vieux adwares (programmes publicitaires) et sypwares (programmes espions) qui s’installent sournoisement sur notre machine, ajoutant telle ou telle barre de recherche envahissant notre navigateur, ou ces programmes dont on ignore la présence et qui communiquent bien des informations vers des serveurs dont on ne soupçonne l’existence à priori.

Pourquoi Google Chrome est-il un spyware?

À peine sorti en 2008, le navigateur avait déclenché les foudres de certains internautes, et était accusé de cacher des fonctionnalités malveillantes. La polémique s’était notamment orientée vers un petit programme au fonctionnement louche et qui aurait permis à Google de continuer à tracker les utilisateurs même après avoir desinstallé le navigateur.

Et lorsque l’on jette un œil sur la définition de logiciel espion sur Wikipédia, on tombe là-dessus:

Un logiciel espion (aussi appelé mouchard ou espiogiciel ; en anglais spyware) est un logiciel malveillant qui s’installe dans un ordinateur dans le but de collecter et transférer des informations sur l’environnement dans lequel il s’est installé, très souvent sans que l’utilisateur en ait connaissance. L’essor de ce type de logiciel est associé à celui d’Internet qui lui sert de moyen de transmission de données.

Voyons donc comment se comporte le navigateur de Google, et constatons à quel point cette définition lui sied bien.

Dans l’avis de confidentialité de Google Chrome, on trouve ceci:

Sur les informations récoltées:

« Lorsque vous utilisez un navigateur, y compris Chrome, pour contacter les serveurs Google, Google reçoit par défaut des informations de connexion standards comprenant l’adresse IP de votre système, ainsi qu’un ou plusieurs cookies. »

Chaque copie du navigateur est identifiable également par un numéro unique, facilitant sans nul doute la reconnaissance des utilisateurs en ligne. Des statistiques peuvent également être envoyées à Google concernant l’usage fait du logiciel à l’installation.

Mais Google est aussi partageur:

« Pour accéder à certains contenus, il est possible que le navigateur Chrome pour Windows, Chrome OS ou le Chromecast doive transmettre à divers partenaires de contenu et sites Web un identifiant unique stocké sur votre système, à l’aide d’Adobe Flash Access. »

« Les tiers auxquels votre identifiant unique est transmis peuvent l’associer aux informations personnelles que vous leur communiquez. L’utilisation par Google d’un identifiant unique dans le but de fournir des contenus depuis les serveurs Google est soumise aux règles de confidentialité Google. »

Mais à quoi peuvent-elles bien servir?

« Les informations envoyées à Google lorsque vous utilisez Chrome sont traitées en vue de l’exécution et de l’amélioration du navigateur et d’autres services Google. Les informations envoyées à d’autres opérateurs de sites Web sont soumises aux règles de confidentialité de ces sites. Chrome stocke des informations sur votre système dans le but d’améliorer ses performances, et de vous fournir des fonctionnalités et des services utiles. » [???]

Sur les recherches effectuées:

« Lorsque vous saisissez des URL ou des requêtes dans la barre d’adresse de Chrome (l’omnibox), ou dans le champ de recherche du lanceur d’applications, les premières lettres peuvent être transmises à votre moteur de recherche par défaut afin que des prédictions de termes ou d’URL vous soient automatiquement proposées. »

« De plus, pour les utilisateurs connectés, le texte que vous saisissez dans le champ de recherche du lanceur d’applications peut être envoyé à Google afin que des recommandations vous soient proposées pour vos contacts et les applications que vous recherchez éventuellement. »

Marque pages, Historique de navigation, Téléchargements, et sites consultés sont eux-aussi enregistrés analysés, et bien sûrs mis en relation avec votre compte si vous en avez un:

« Si vous vous connectez au navigateur Chrome, à Chrome OS ou à un appareil Android sur lequel Chrome a été préinstallé avec votre compte Google, la fonctionnalité de synchronisation est alors activée. Nous stockons certaines informations associées à votre compte Google sur nos serveurs, telles que les favoris, l’historique et d’autres paramètres. »

Mais Chrome vous aide à parler toutes les langues…

« Lorsque vous utilisez la fonctionnalité de traduction de Chrome, le contenu que vous saisissez est envoyé au moteur de recherche Google afin d’être traduit. »

… Et aussi à mieux maîtriser la votre…

« Lorsque vous utilisez la fonctionnalité de vérification orthographique de Chrome, qui est basée sur la même technologie que celle de la recherche Google pour détecter les fautes d’orthographe, le texte saisi est envoyé à Google pour vous proposer des suggestions de corrections orthographiques et grammaticales. »

Si vous utilisez des outils de reconnaissance vocale et que vous avez accepté l’envoi de statistiques, « d’autres informations sont envoyées à Google, y compris l’URL du site Web sur lequel vous utilisez la saisie vocale, la version de votre système d’exploitation, ainsi que le fabricant et la marque de l’appareil et du matériel audio que vous utilisez. »

Vous utilisez la fonction de géolocalisation intégrée au navigateur? Google sera heureux d’envoyer vers ses serveurs « certaines informations concernant votre réseau local aux services de géolocalisation de Google afin de déterminer votre position approximative. »

Cela peut comprendre:

« [Des] caractéristiques des routeurs Wi-Fi et les identifiants des antennes-relais les plus proches de vous, la puissance du signal de votre connexion Wi-Fi ou de votre mobile, ainsi que l’adresse IP actuellement attribuée à votre appareil. Nous utilisons ces informations pour déterminer votre position, ainsi que pour améliorer le fonctionnement et la qualité de Chrome et des services de géolocalisation de Google. »

« Dans le but d’aider à améliorer la fonctionnalité de navigation sécurisée, vous pouvez envoyer des données supplémentaires lorsque vous consultez un site qui semble contenir des logiciels malveillants.« 

Et en navigation privée?

« Le navigateur communique de plus régulièrement avec les serveurs de Google afin d’estimer à quels moments les personnes se connectent, pendant combien de temps etc. »

 Sous Android

N’oublions pas les terminaux mobiles, qui représentent une part grandissante des moyens d’accès au web. Installé par défaut, Chrome se montre assez gourmand en permissions. Jugez par vous-même:

Parmi les spécificités mobile: si vous avez autorisé l’accès à la géolocalisation par les applications Google, Chrome pourra par exemple s’en servir pour vous présenter des résultats personnalisés. L’un des marchés émergeant développe en effet des propositions de publicités ciblées lorsque l’on passe devant un magasin par exemple.

En bref

Enfin, et quelque soit le type de terminal, n’oublions pas qu’en tant que logiciel privateur (non libre), il n’est possible de connaître le fonctionnement de Chrome que par ce que ses concepteurs veulent bien nous en dire. Seul le logiciel libre nous permet de connaître exactement la manière dont les programmes se comportent.

Firefox sera donc préférable à Chrome, mais il sera tout de même nécessaire d’apporter quelques modifications, car là encore, l’hégémonie de Google en a fait un relais à sa récolte de données personnelles.

Il existe également Chromium, qui est le projet libre sur lequel est basé Chrome.

Droit de réponse…

En droit de réponse et en guise de loyauté, laissons la parole à Éric Schmidt, président du Conseil d’Administration de Google et ancien PDG, lequel défend fort bien la philosophie de ses produits:

« C’est un futur où vous n’oubliez rien. Dans ce futur nouveau, vous n’êtes jamais perdu. Nous connaîtrons votre position au mètre près et bientôt au centimètre près. Vous n’êtes jamais seul, vous ne vous ennuyez jamais, les idées ne viennent jamais à vous manquer. »

« Google a pour règle d’aller jusqu’au bord de ce qui pourrait vous donner la chair de poule et de ne pas aller plus loin. Je dirais qu’implanter des choses dans votre cerveau franchit cette ligne rouge. Du moins pour l’instant, jusqu’à ce que la technologie s’améliore. »

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ?” « .

Le meilleur des monde…

Cette semaine, c’est la stupeur chez les utilisateurs de smartphones Samsung (en tout cas pour ceux qui se sentent concernés par leur vie privée en ligne). Le développeur Paul Kocialkowski, de chez Replicant, un système basé sur Android, alternatif et se voulant entièrement libre, a découvert ce qui est présenté comme une backdoor dans certains terminaux de la marque: Nexus, Nexus S, Galaxy S, S2, Note, ainsi que les tablettes Galaxy Tab 2 de 7 et 10,1 pouces et les Note 2 (détail).

Le problème se situerait au niveau du modem:

« Nous avons trouvé un programme propriétaire tournant sur les applications du processeur en charge du protocole de communication avec le modem. Il s’y trouve une backdoor qui autorise le modem à exécuter des opérations sur le système de fichier. Le programme est présent sur les terminaux Galaxy et il permet au modem de lire, d’écrire et de supprimer des fichiers sur le stockage du téléphone. Sur plusieurs modèles de téléphones, le programme dispose de suffisamment de droits pour accéder et modifier les informations personnelles de l’utilisateur »

Paul Kocialkowski

Autrement dit, ce sont carnets d’adresses, photos, fichiers et mots de passe qui sont concerné, mais aussi l’activation de la caméra ou du micro. Néanmoins, le programme ne se comporterait pas exactement de la même manière selon les appareils et les application installées.

Le débat est ouvert quant aux intentions de Samsung, ou même quant à sa connaissance du problème. Quoi qu’il en soit, nous savons aujourd’hui que l’Internet mobile constitue un élément central des stratégies de ciblage pour la publicité prédictive, mais aussi pour les agences comme la NSA. Volontaire ou non, cette ouverture dans la vie privée des utilisateurs s’avère très inquiétante, d’autant plus qu’elle concerne des terminaux très populaires.

Une fois encore, les technologies privatives prouvent leur incapacité à fonctionner de manière transparente et à assurer la sécurité des utilisateurs. S’il est évidemment possible d’insérer ce genre de fonctionnalité malveillante dans un logiciel libre, nous avons avec eux plus de chances de les repérer et d’y remédier.

La nouvelle n’est donc pas une grande surprise, mais elle a de quoi décourager et pose un certain nombre de questions. Pour Jeremy Zimmermann de la Quadrature du Net, l’un des grands enseignements de l’affaire PRISM est qu’on ne peut plus avoir une confiance aveugle en nos ordinateurs. Le débat sur le logiciel libre, s’il est loin d’être arrivé à son terme, aboutit petit à petit à des avancées. Mais l’urgence imposée par l’ampleur des révélations de cet été nous rappelle toute la complexité qu’entraîne la volonté de contrôler son informatique. Ainsi, les alternatives dans le hardware libre (le matériel), peinent à s’imposer et à rivaliser avec les produits grand public. On pourra jeter un œil ici pour s’en rendre compte.

Cette affaire pose donc pour l’instant plus de questions qu’elle n’apporte de réponses, car l’utilisation de ROM alternatives comme Replicant ou CyanogenMod ne permettraient pas nécessairement de se prémunir de la chose. De plus, il est raisonnable d’envisager que Paul Kocialkowski n’ait peut-être pas été le premier à remarquer la faille. Quel en a été l’usage? Par qui? Vouloir se protéger est-il illusoire? Une fois encore, les utilisateurs sont laissés à l’incertitude, et les nouveaux outils connectés se montrent encore un peu plus comme étant particulièrement sensibles et imprévisibles en matière de sécurité.

Ce n’est pas une grande nouveauté mais le principe de Facebook, c’est de récupérer des informations sur les utilisateurs pour établir leur profil et les orienter vers des services commerciaux, ou d’utiliser directement ces données pour les refiler à des boîtes de pub qui s’en donneront à cœur joie. Rien de nouveau sous le soleil donc, sauf que le réseau a décidé de retoucher un peu le texte qui régit ses droits et responsabilités en la matière.

T’es pas content c’est la même

Le texte a donc été revu pour être explicité, mais surtout pour laisser un peu plus de marge à l’utilisation des données personnelles.

Avant, c’était ça:

« Vous pouvez utiliser vos paramètres de confidentialité pour limiter la façon dont votre nom et votre photo de profil peuvent être associés à du contenu commercial, du contenu sponsorisé ou d’autres contenus (tels qu’une marque que vous indiquez aimer) que nous diffusons. Vous nous donnez la permission d’utiliser votre nom et votre photo de profil en association avec ce contenu, conformément aux limites que vous avez établies« .

Et maintenant que c’est trop super mieux c’est comme ça:

« Vous nous autorisez à utiliser vos nom, photo de profil, contenu et informations dans le cadre d’un contenu commercial, sponsorisé ou associé (par exemple une marque que vous aimez) que nous diffusons ou améliorons« . […]

Cela implique, par exemple, que vous autorisez une entreprise ou une autre entité à nous rémunérer pour afficher votre nom et/ou la photo de votre profil avec votre contenu ou vos informations sans vous verser de dédommagement« .

C’est pas beau? Heureusement, ils précisent que les données ne sont pas transmises sans votre accord (cf: le clic sur le bouton « oui je m’inscris et je renonce à tout droit, Facebook peut faire ce qu’il veut de mon corps »). Quoi? Vous ne l’aviez pas vu ce bouton? 😉

Reste à savoir ce qu’il adviendra des contenus des profils dits « privés », si l’utilisation sera la même mais éventuellement en direction des « amis » de la personne dépouillée des ses informations.

On pourra se dire mais à quoi bon se casser la tête avec tout ça quand on sait que de toute façon les tuyaux sont branchés sur la NSA, ce qui est bien pire, mais jusqu’à présent, la NSA se situe sur le terrain de la surveillance, alors que Facebook évolue sur celui de l’influence sur les comportements (de consommateurs). NSA ou pas, préservons nos cerveaux de la dangereuse propagande que constitue la publicité contextualisée.

Alors que l’enquête de Médiamétrie révélait hier que 3/4 des Français fréquenteraient les réseaux sociaux, on peut sans prendre trop de risques, affirmer qu’une bonne partie de ces personnes ignore (volontairement ou non), l’implication de ces usages sur la préservation de leur vie privée.

Dans ce domaine, il faut bien comprendre que la gratuité apparente de ces services n’est en fait qu’une façade, masquant la réalité d’un nouveau modèle économique dans lequel la matière première est constituée par les données des utilisateurs (données volontairement renseignées et récoltées en fonction des usages). Sur les réseaux, on dit généralement que le véritable produit c’est VOUS. Mais d’un certain point de vue, on peut aussi affirmer que les usagers sont les producteurs de ce système, puisqu’ils fournissent les informations, les classent, les organisent, les font circuler etc. Et ce service que LES USAGERS fournissent GRATUITEMENT, ça vaut des millions, voire des milliards! Une machine bien huilée en somme!

Une infographie publiée par l’éditeur de logiciel Baynote propose une synthèse exposant la manière dont les données sont récoltées sur six grands sites populaires, ainsi que les objectifs de cette récolte.

Cependant, si j’ai trouvé ça utile pour une comparaison entre les réseaux, c’est pour moi assez illisible pour ce qui est de comprendre ce que chaque site récupère (et je ne serais peut-être pas le seul dans ce cas ^^). C’est pourquoi je vous propose en complément une simple liste pour chacun d’eux.
Note: Selon les cas, d’autres méthodes que celles décrites ici peuvent être employées.

Google +

150 millions d’utilisateurs; $36,38 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, les clics sur les publicités, la localisation, les  informations de profil, les informations de routage sms.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, des dispositifs de traçage, Doubleclick et Adsense.

Récolte des données pour:
La publicité ciblée, localiser, des notifications, intégrer plusieurs comptes.

Facebook

901 millions d’utilisateurs; $3,7 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, localiser, des notifications.

Twitter

140 millions d’utilisateurs; $140 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Linkedin

161 millions d’utilisateurs; $226 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, la localisation, le système d’exploitation, la connexion à des tierces parties, les informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Pandora

52 millions d’utilisateurs; $70,6 millions de recettes publicitaires par an.

Récolte des données sur:
Les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, les vendre aux agences marketing, intégrer plusieurs comptes.

Pinterest

10,4 millions d’utilisateurs; pas de recettes publicitaires.

Récolte des données sur:
Le navigateur, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
Des notifications, intégrer plusieurs comptes.

La nouvelle semble dater du mois dernier, mais ce n’est qu’aujourd’hui que je m’en suis rendu compte : le moteur de recherche Scroogle est mort !

Il s’agissait sans doute de l’une des alternatives à la pieuvre de Mountain View les plus utilisées. Basiquement, Scroogle proposait un proxy permettant de faire tampon entre vos requêtes et les serveurs de Google, et d’empêcher ainsi l’entreprise de vous accabler de publicités et d’espionner vos moindres faits et gestes.

Depuis 2003, Daniel Brandt avait lancé ce service, permettant ainsi à de nombreuses personnes d’assurer une transition en douceur vers des outils plus sains, tout en gardant un accès aux résultats du moteur de recherche le plus utilisé au monde.

Fin décembre, il semblerait que les serveurs de Scroogle aient subi de nombreuses attaques DDoS, lesquelles consistent à saturer de requêtes un serveur, pour en empêcher l’accès.
En février, c’est Google qui est passé à l’attaque en coupant de façons de plus en plus longue et régulière, l’accès à Scroogle. Sous prétexte de lutte anti-spam, la firme américaine a su assiéger le moteur alternatif, jusqu’à lui faire rendre les armes.
Daniel Brandt déclare à Beta Beat que les noms de domaines de ses sites sont tous retirés, et que l’expérience est bel et bien terminée.

Triste nouvelle donc pour les défenseurs de la vie privée sur internet. J’avoue que cette news n’est pas de toute dernière fraîcheur : j’étais depuis ces dernières semaines en train de tester le méta-moteur Seeks. Je vous invite donc à traîner vos guêtres de ce côté, mais aussi à voir Ixquick et Startpage, le second étant un équivalent à Scroogle, ou encore DuckDuckGo, si la vie privée fait encore partie de vos préoccupations numériques…

Article en lien: Mon moteur de recherche

Et oui, ça y est, c’est dit: Facebook va cesser de ficher ses utilisateurs, et même de revendre les infos personnelles aux régies publicitaires sans leur accord! C’est Mark Zuckerberg himself qui l’a annoncé hier sur son blog. C’est que ça doit être vrai!

Facebook renaissance

Enfin! Tous ces médisants, ces pinailleurs qui ne passent leur temps qu’à cracher à la figure de cette grande entreprise sociale qu’est Facebook vont pouvoir refermer leur clapet car, Saint Mark a parlé et s’engage, la main sur le catalogue de la Redoute « à ce que Facebook devienne le leader en termes de transparence et de contrôle de la confidentialité. »
Vous pensâtes qu’il s’agissoit de pipeau?? Vous avez probablement raison!

Que Facebook se repentisse

C’est un peu la tendance en ce moment. Après les nombreuses casseroles dont le réseau s’est paré ces dernières années (reconnaissance faciale activée par défaut sans l’accord des utilisateurs, traçage des utilisateurs déconnectés et conservation indéfinie des informations des utilisateurs désinscrits, constitution de profils fantômes sur les non-inscrits, bouton « j’aime » traçant les internautes etc), l’étau semble s’être resserré autour de la boîte californienne.

Avec l’Allemagne, L’UE, et aujourd’hui la Federal Trade Commission (FTC) sur le dos, il fallait une réaction publique et significative, notamment pour stabiliser son image de marque avant une potentielle entrée en bourse l’été prochain.
Visiblement, l’accord avec la FTC donnerait lieu à des audits sur la sécurité des données des internautes pendant 20 ans! Rien que ça!

Des évolutions en perspective?

Des évolutions, il y en a déjà eu pas mal chez Facebook:

Mais des déclarations, il y en a eu beaucoup aussi! Comment faire confiance à quelqu’un qui est devenu l’une des plus grandes fortunes du monde en revendant, parfois en douce, des informations sur les internautes, lorsqu’il dit qu’il que tout ça c’est fini?

Probablement, si évolution il y a (et cela reste à mon avis tout à fait hypothétique), le but du jeu sera d’obtenir l’accord de l’usager, de la même façon que toutes les données postées sont faites propriété de Facebook par la simple signature des conditions d’utilisation.
Dans ce cas, oui, les utilisateurs seront « d’accord » pour fournir leurs données et participer à la création d’un fichier de plus de 800 millions de personnes, disponible pour les régies publicitaires et les services de renseignement de l’État américain. Et oui, Facebook respectera ses utilisateurs, car la revente des informations aura été approuvée par les utilisateurs.

Beaucoup de bruit pour pas grand chose en somme…

C’est la fête à Facebook en ce moment! Rumeurs sur la création de profils pour les non inscrits, ultimatum lancé par l’Allemagne concernant la reconnaissance faciale, et aujourd’hui, accusation sur la conservation de données soit disant « effacées » par les utilisateurs.
Avec un nombre toujours croissant d’inscriptions, Facebook revendique 800 millions d’utilisateurs, soit des informations personnelles sur 12,30 fois la population française. Alors? Même pas peur?

Un étudiant de droit allemand a récemment demandé à recevoir les informations que possédait Facebook le concernant. Après avoir reçu plus de 1200 pages d’informations privées récoltées pendant 3 ans, il s’est rapidement rendu compte que certaines qui étaient censées avoir été effacées y figuraient tout de même.

Il semblerait que « supprimer » ne soit pas un terme facile à traduire en langage des affaires. Mais c’est au tribunal que cette affaire risque de se régler…

Source de la vidéo: Le Monde Technologies
(Note: la traduction française est activable)

Entre la validation d’une Hadopi et d’une loppsi II, la CNIL travaille quand même un peu sur les questions de vie privée.
Suite à son enquête, elle révèle que les iPhones communiquent des informations la nuit, sur les relais wifi rencontrés le jour.

Steve Jobs est mort la semaine dernière, mais comme diraient ses fans, son esprit est toujours parmi nous! Suite à la polémique qui avait été lancée en avril dernier puis réactualisée il y a peu, la CNIL a mené l’enquête.

Celle-ci conclue donc que les données de connexions aux bornes WIFI conservées par le smartphone, seraient bien envoyées aux serveurs d’Apple, mais anonymement parait-il.

« L’iPhone envoie à Apple des informations sur les points d’accès WiFi qu’il a « vus » dans les heures ou les jours précédents. Ces points d’accès WiFi sont identifiés par leur adresse MAC associée à la force du signal mesuré et la position géographique (GPS) du téléphone au moment de la mesure (ainsi que d’autres données techniques complémentaires, à l’exclusion du SSID). »

La CNIL précise tout de même que:

« les communications entre l’iPhone et Apple ne contiennent pas d’identifiant unique ou autre information permettant d’identifier le téléphone », et que « ce choix technique, confirmé récemment dans un courrier par Apple, rend cette collecte en principe anonyme et élimine donc largement le risque de traçage des personnes. »

Rappelons que ce qui n’était pas un problème pour la firme de Cupertino dans un premier temps (la collecte d’informations), s’est traduit par une mise à jour du système, et que les questions posées par la CNIL suite à cette affaire n’ayant pas été éclaircies par Apple, l’entreprise s’était vue sanctionnée pour manquement caractérisé à la loi Informatique et Libertés.

La présente affaire n’est probablement pas réglée puisque, si la CNIL annonce vouloir s’assurer que le système ne serve pas à tracer les usagers, c’est qu’il réside toujours un doute.

Elle précise également que « cette analyse technique ne préjuge pas de la conformité de ce dispositif au regard de la loi Informatique et Libertés »

Rien qui ne puisse mettre en confiance…

Comment contourner la censure sur internet est un livre sous licence libre sorti cet été. Il est le fruit d’un booksprint, travail de rédaction coopérative éclair (en 5 jours).

Cet outil se propose de fournir, des pistes pour comprendre la censure et la surveillance sur le réseau, mais surtout des moyens de s’en prémunir.

On retrouve dans l’équipe de rédaction tout un tas d’activistes et de passionnés d’informatique, et notamment des personnes du Projet Tor ou encore de l’Electronic Frontier Foundation, les auteurs respectifs du logiciel d’anonymisation Tor, et de l’extension Firefox HTTPS Everywhere pour le chiffrement de la navigation.

L’ouvrage est disponible à cette adresse: http://www.howtobypassinternetcensorship.org/fr.html#

Vous y trouverez également quelques vidéos de présentation fort agréables pour celles et ceux pour qui tout cela peut paraître un peu technique, et manquant de chaleur humaine. 😉

En fin de semaine dernière, Google confirmait ce dont beaucoup se doutaient: conformément au Patriot Act, l’entreprise fournirait des données sur ses utilisateurs aux autorités américaines.

Tout le monde est suspect

Suite aux attentats du 11 septembre 2001, le gouvernement américain fait passer une loi d’exception: le Patriot Act. Il s’agit de surfer sur la terreur qui gagnait le pays pour renforcer le pouvoir de l’armée, de la NSA, du FBI et de la CIA.

L’argument de la menace terroriste n’a pas seulement justifié les interventions armées à l’extérieur du pays. En effet, cela a également servi de prétexte à un renforcement significatif des pratiques de surveillance à l’intérieur des frontières étasuniennes. Afin de maîtriser un potentiel ennemi intérieur, les pratiques d’écoute et de perquisition de données concernant les citoyens américains se sont amplifiées au détriment des condations d’organisations de défense des droits de l’Homme.

Microsoft, Google et tous les autres

C’est Gordon Frazer, le directeur général de Microsoft qui nous a confirmé fin juin que Microsoft, en tant qu’entreprise américaine, est soumise à cette loi et s’aquite donc de ses obligations de renseignement. Cette nouvelle n’est pas sans conséquences lorsque l’on connait la taille de l’empire monté par Bill Gates. La quasi totalité des possesseurs d’ordinateur sont donc concernés (Windows occupe une part de marché d’environ 90%).

C’est suite à cette « révélation » que Google a également confirmé qu’elle était dans le même cas.
Le moteur de recherche de la firme de Mountain View est lui aussi utilisé par presque tous les internautes dans le monde. L’implantation dans l’univers de la téléphonie mobile par le biais du système d’exploitation Android (majoritaire) et le rachat aujourd’hui de Motorola Mobile étend un peu plus l’emprise de Google sur nos pratiques numériques.

Oui mais nous ne sommes pas aux États-unis!

Certes, mais le point le plus inquiétant de ces révélations est que le Patriot Act concerne également les entreprises américaines implantées à l’étranger! Comme c’est le cas pour Google… Avec ses 900 000 serveurs estimés qui parsèment le monde, l’entreprise est donc susceptible de fournir des informations au gouvernement américain sur des milliards de personnes.

Par extension, tous les sites qui utilisent le service de statistiques de fréquentation de sites, Google Analytics, y sont également soumis (soit une majorité là aussi). Plutôt glaçant!

Plus encore, le Patriot Act concerne toutes les autres entreprises américaines et donc tous les sites et services hébergés aux États-Unis ou par des américains.
Alors que se développe également le phénomène du cloud computing (stockage de données en ligne), je vous laisse apprécier l’étendue des dégâts!

Surprise?

Pas tellement en réalité. Le programme Échelon monté notamment par la NSA était déjà connu ainsi que les tentatives de surveillance de la population mondiale par les agences de renseignement américaines.

No future?

On pourrait se dire qu’il n’y a rien à faire contre de telles puissances. Que Google, Microsoft, Facebook, Apple et tous les autres sont déjà partout.
Même s’il n’y a probablement pas de solution clé en main pour se prémunir contre ces graves atteintes à la vie privée et aux droits de l’Homme, il serait probablement salutaire de s’approprier les nombreuses alternatives disponibles.

Il s’agit de l’un des objectifs de ce site: fournir des outils permettant de développer d’autres pratiques numériques, plus respectueuses de nos droits fondamentaux.

L’une des solutions pour surfer avec un niveau d’anonymat plus important est de passer par ce que l’on appelle un système d’exploitation live. Il s’agit d’un OS (Operating System) qui sera lancé à partir d’un CD (d’un DVD ou d’une clé USB). Il ne sera pas nécessaire de l’installer car il est prévu pour fonctionner « en live ».

En ce qui concerne l’anonymat, cela comporte plusieurs avantages:

• Les OS que je vous propose sont basés sur GNU/Linux. Ces distributions sont réputées sécurisées et sont testées par de nombreux utilisateurs qui préviennent lorsque quelque chose ne fonctionne pas.

• Votre configuration est portable. Quel que soit l’endroit où vous connectez, vous pouvez utiliser vos outils et garder vos préférences (si cela n’est pas préjudiciable à votre anonymat).

• Tout est géré par la mémoire vive, rien n’est stocké sur l’ordinateur.
  Vous ne laissez donc (presque) aucune trace sur l’ordinateur utilisé (intéressant pour les agents secrets 🙂 ). À priori, le seul moyen de récupérer des infos sur ce que vous avez fait est une intervention du GIGN dans les secondes qui suivent la fin de votre session, et de congeler votre ordinateur (sérieux! 😛 ). En réalité, il y a un résidu d’informations dans la mémoire vive mais elle est très volatile et s’efface rapidement d’elle même (d’où le frigo pour ralentir ça!).
• La plupart de ces OS utilisent le réseau Tor pour les surfs ce qui en théorie est l’une des façon les plus sécurisée de naviguer (en terme d’anonymat).

Voici quelques systèmes live que vous pouvez tester:

Tails (The Amnesic Incognito Live System): basé sur l’OS GNU/Linux Debian. Utilise Tor pour le net.
https://tails.boum.org/

—————————————————————————————————————————

Odebian: Idem.
http://www.odebian.org/

—————————————————————————————————————————

Privatix: Toujours sous Debian, avec comme objectif de sécuriser les fichiers sensibles.
http://www.mandalka.name/privatix/index.html.en

—————————————————————————————————————————

Ubuntu Privacy Remix/ Un OS cette fois basé sur Ubuntu.
https://www.privacy-cd.org/

—————————————————————————————————————————

Note: Pour les personnes qui n’ont jamais lancé un OS en live. Il sera nécessaire de redémarrer votre ordinateur avec le CD de l’OS dans le lecteur (ou la clé USB branchée) et d’aller dans le BIOS tout au début du redémarrage (la façon d’y accéder est indiquée sur votre écran, la touche à presser dépend des modèles). Il faudra ensuite au clavier aller dans le menu (quelque chose comme « BOOT device ») qui permet à votre ordinateur de démarrer sur le CD ou la clé.

Une fois encore, je vous propose une extension de Firefox sous licence libre…
Et oui, sans même considérer les questions politiques (ou philosophiques, n’ayons pas peur des mots :P) qui peuvent motiver l’utilisation de logiciels libres, il me semble que du point de vue de la sécurité, il est toujours préférable de pouvoir comprendre comment les choses fonctionnent. C’est grâce à la mise à disposition de tous du code source que les différentes communautés du libre ont la capacité d’analyser les programmes, d’en déceler plus facilement les failles, mais aussi les éventuelles fonctionnalités nocives pour les usagers et leur vie privée.

La présence de cette extension pour Firefox dans le projet Tor Browser est à mon sens un certain gage de qualité et permet je pense d’accorder un certain crédit à l’initiative. L’Electronic Frontier Foundation (EFF) qui développe cet addon est de plus réputée pour le travail qu’elle effectue sur la question des libertés numériques des internautes. Le projet Tor auquel elle participe en est une illustration.

HTTPS Everywhere vous permettra donc de naviguer sur le web en privilégiant les sessions sécurisées SSL (d’où le https).
Quel intérêt? Et bien l’immense majorité de vos connexions sur le net sont en général en « clair ». Cela signifie qu’il est tout à fait possible de les intercepter et de les lire, surtout si vous êtes sur du Wifi.
Contrairement à ce qui se raconte et ce que peut sous-entendre le site de l’EFF à première vue, ce programme ne chiffre rien du tout. Si vous voulez parler anglais avec quelqu’un, il sera plus productif de vous adresser à une personne qui comprend cette langue… C’est la même chose pour le dialogue entre votre ordinateur et un serveur. Si le site n’est pas prévu pour proposer une connexion sécurisée, envoyer des données chiffrées ne mènera nul part!
L’extension se contente donc de vous rediriger sur les pages de sites chiffrées lorsqu’elles existent, et c’est déjà pas mal.

Elle fonctionne par défaut pour Google Search, Wikipedia, Scroogle, Mozilla, Amazon, Twitter, Facebook, bit.ly, GMX, WordPress.com blogs, The New York Times, Paypal, EFF, Tor, Ixquick et bien d’autres. La liste sera évidemment trop courte pour les explorateurs de la toile mais elle constitue un bon point de départ.
Grâce à cette page, il vous sera possible d’élargir la liste des sites pris en charge par HTTPS Everywhere. On regrettera cependant la relative difficulté de l’opération pour les novices ainsi que les explications uniquement disponibles en anglais. Mais bon, on peut pas tout avoir!

Pour télécharger HTTPS Everywhere: rendez-vous sur le site de l’Electronic Frontier Foundation.

Fondé en 1998 par Larry Page et Sergey Brin, Google est aujourd’hui le premier moteur de recherche au monde. Plus de 90% des internautes français l’utilisent pour surfer sur le web. Simple, efficace, gratuit, il semble être le plus proche compagnon de nos virées numériques. Les plus de 150 services proposés par l’entreprise de Mountain View (Californie) lui ont assuré il y a peu, le milliard de visiteurs uniques. Environ une personne sur six dans le monde a donc eu des contacts avec un service Google.
Au premier trimestre 2011, l’entreprise a engrangé 6,54 milliards de dollars, soit une hausse de 29% par rapport à la même période une année auparavant. En ces temps de crise, Google fait office de modèle économique dans le monde entier, et le net n’est plus son unique domaine de compétences : chaque jours, un demi million de téléphone sous androïd sont activés !

La firme est également reconnue pour les conditions de travail qu’elle fournie à ses employés de Googleplex (le siège social) : repas gratuits, ambiance de détente, salles de sport, jeux… Les salariés disposent également 20%  de temps alloués au développement de leur projets personnels. L’innovation est au cœur de la politique de Google.

L’entreprise finance et promeut les logiciels libres. Par exemple, elle soutien financièrement le navigateur web Firefox à 80% et a elle même lancé son propre browser open source: Chrome (pour être plus précis, c’est Chromium qui lui sert de base qui est open source).
Récemment, l’un des projets développé par l’un de ses salariés pendant ces fameux 20% de temps libre a donné naissance à Swiffy, un service permettant de convertir les fichiers Flash en HTML 5 ce qui, sans rentrer dans le détail est également une avancée pour les utilisateurs de logiciels libres.

Google serait-il donc le bien incarné? Pas si sûr…

« Don’t be evil »

Le modèle mis en place est bien d’un nouvel âge, mais ses ambitions vieilles comme le monde. La vocation première de Google est de faire du profit. La gratuité ne nourrissant pas son homme, les deux créateurs de la firme ont dû trouver un autre moyen: la publicité. Ainsi, tous les services proposés ont cet unique objectif: donner du « temps de cerveau disponible » aux les annonceurs. La stratégie n’est ici pas comparable à celle des patrons de TF1 à l’origine de cette « philosophie ». On endors plus avec des programmes de seconde zone, on endors avec le meilleurs de la technologie!  Ainsi, les produits proposés sont bien souvent les plus performants, les plus accessibles, les plus simples, les plus chouettes… Comment pourrait-on critiquer cela?

La méthode principale utilisée par Google est le profilage. L’ensemble de ses services lui garantissent le développement d’une base de donnée gigantesque sur les habitudes, les envies, les préoccupations, les symptomes (voir Google Health) etc… des internautes. Tout est stocké, conservé, analysé, catégorisé pour créer les profils les plus proches des utilisateurs. Le mot d’ordre est personnalisation: personnalisation des applications, mais aussi des publicités.
Google Adsense et Google Analytics sont quelques uns des outils déployés pour sonder le web et répertorier les habitudes de chacun. Le premier sert à gérer cette masse d’informations pour la confronter directement avec les publicités en relation (cette dernière est faite par le service Adwords qui grosso modo consiste a vendre des mots clés publicitaires). Le second s’appuie sur des web bugs pour analyser le plus finement possible les comportements des internautes sur les différents site de la toile. Ces deux services sont des piliers du fonctionnement de Google.

La multitude d’autres applications assurera le développement des usages et donc de la récolte d’informations:

• Moteur de recherche: toutes les requêtes sont enregistrées, des cookies dont la durée de vie va jusqu’en 2038 sont déposés sur les ordinateurs…
• La recherche photo ouvre depuis depuis peu la porte à la reconnaissance faciale: glissez une photo dans la barre de recherche, vous verrez!
• Gmail: permet d’analyser le contenu de vos échanges, conversations etc…
• Google Street Views: prises de vue de la quasi totalité du globe. Où étiez-vous hier soir vers 22h?
• Youtube: plateforme d’hébergement de vidéos.
• Chrome: un navigateur web qui transmet tous vos faits et gestes d’internautes sur les serveurs de Google.
• Chrome OS: système d’exploitation fonctionnant entièrement sur des services Google en ligne. Le lundi c’est Google, le mardi c’est Google…
• Google Docs: Traitement de texte collaboratif en ligne.
• Google Books: Numérisation de livre. Ce que vous lisez nous intéresse aussi!
• Google +: Nouveau réseau social. Pour l’instant, Facebook détient le marché de la récolte de données privées dans ce domaine. Jusqu’à quand?
• Une voiture pilote automatique est en cours de commercialisation (nan nan c’est pas une connerie!)
• etc…

De plus en plus de services voient le jour et étendent les possibilités de ficher les internautes, nous aurons le temps de nous y pencher. Les prétentions à posséder l’ensemble des savoirs de la planète, à proposer toujours le produit le plus performant, le plus attrayant, ne doivent pas nous aveugler sur les réelles visées de l’entreprise. Des outils alternatifs sont heureusement à notre disposition pour entamer une nécessaire cure de désintoxication des produits Google, car l’overdose ne criera pas gare…

Et je laisse le mot de la fin à Éric Schmidt, haut responsable et ancien PDG de 2001 à 2011:

« La plus en plus « interconnectivité » des technologies de l’information signifie que de plus en plus de données vont être enregistrées. Sur ce point, il n’y a pas de réponse philosophique parfaite, il n’y a que des compromis pragmatiques  » (2011 dans le London Evening Standard).

« Si je connais suffisamment de vos messages et des endroits où vous vous trouvez, je peux en utilisant une intelligence artificielle prédire où vous allez aller. Montrez nous 14 photos de vous et nous pouvons vous identifier. Vous pensez qu’il n’y a pas 14 images de vous sur l’Internet ? » (2009 lors de la conférence Technonomy).

« Nous savons en gros qui vous êtes, ce qui a de l’importance pour vous et qui sont vos amis. » (2010)

« Seuls ceux qui ont des choses à cacher posent la question de la confidentialité des services Google » (2011, lors d’une émission de télé).

Alors? Vous n’avez vraiment rien à cacher?

Le phishing est une technique d’arnaque sur le web. La plupart du temps, on en entend parler à propos des boîtes mails. Dans ce cadre, le fishing consiste à envoyer un mail à un internaute en lui faisant croire que cela est fait par un interlocuteur de confiance. Par exemple, cela peut prendre la forme d’un faux mail de votre banque, votre opérateur téléphone etc. Le mail envoyé ressemblera traits pour traits à celui dont l’identité est usurpée, avec probablement les mêmes logos, chartes graphiques etc. Le but de la manœuvre est de récupérer des informations sur vous comme vos mots de passe, numéro de carte de crédit, nom, adresse, date de naissance etc. Ces informations, selon le degré de précision pourront ensuite servir pour être revendues puis utilisées pour des achats en ligne.

Les risques d’hameçonnage peuvent également se présenter pendant la navigation sur le web. De la même façon, vous pouvez vous retrouver sur de faux site web créés dans le but décrit précédemment.

Que faire?

• Un principe de précaution raisonnable pour combattre le phishing par mail consiste à ne jamais suivre les liens des messages se présentant comme étant de votre banque, votre opérateur téléphone …etc, et en particulier lorsqu’il s’agit de consulter un compte, d’accéder à un espace sécurisé etc. Attention aux mails alarmistes vous annonçant qu’il est nécessaire de réactiver un compte, de retaper un mot de passe etc. Ne jamais donner suite! En cas de doute, contactez directement le responsable de la structure expéditrice supposée (allez chercher le contact sur leur site par ex).
Pour ce qui est des numéros de cartes de crédits, partez du principe qu’aucun organisme sérieux ne vous demandera jamais cela par mail. Préférez dans tous les cas un accès direct par le site auquel vous vous connectez habituellement.

•Vérifiez bien l’adresse de votre expéditeur et non pas seulement le nom d’expéditeur qui apparaît.

•Si votre boîte mail est infestée de SPAM (ou pourriels), ces messages qui essaient de vous vendre du viagra ou de vous soutirer de l’argent après vous avoir raconté une histoire ahurissante de deux pages; il est possible de la configurer pour activer des filtres qui devraient régler ce problème. Fouillez un peu, vous devriez trouver ça rapidement. Une autre solution particulièrement intéressante pour 1000 autres raison est d’installer le client mail Thunderbird. Ce logiciel libre produit par la fondation Mozilla (comme Firefox) fera une partie du travail, mais vous pourrez également y ajouter des modules comme Adblock Plus que l’on retrouve également comme anti-pub pour le navigateur Firefox.

•Lors de la navigation web, prenez l’habitude de vérifier l’adresse URL (http://www…), les sites malveillants ont en général une adresse similaire au site auquel vous voulez accéder mais comporte une petite erreur. Ex: www.revoltnumerique.herbesfolles.org Dans l’idéal, taper directement l’adresse de votre établissement vous procure davantage de sécurité.

•Lors de sessions sécurisées, certains sites vous demandent d’accepter un certificat. Assurez-vous avant de l’accepter qu’il s’agit du véritable site souhaité (en vérifiant l’URL par ex).

Non non, ça n’est pas une blague ni un scénario de film de science fiction! Les cramés de technologie ne seront pas bien surpris mais tout de même: les technologies de reconnaissance des visages prennent place sur le réseau social Facebook! Déjà réputé pour son entreprise de fichage progressif de la population mondiale (700 millions de profils), le joujou du milliardaire américain Mark Zuckerberg se perfectionne. Les photographies publiées sur le site seront désormais analysées afin de les mettre en correspondance avec les visages déjà « taggués » sur Facebook. Lorsqu’une personne voudra publier une photo sur laquelle vous figurez,  il sera proposé de l’associer à votre nom si les analyses ont été concluantes. Plus de 100 millions de photographies sont tagguées tous les jours sur le réseau.

Le plus incroyable dans cette affaire réside dans la méthode: les paramètres de sécurité des internautes ont été modifiés par Facebook et la fonction activée par défaut!
Il n’y a pas à dire, Zuckerberg a quand même bien réussi son coup pour se permettre une telle négation du droit à la vie privée. Le laxisme d’une majorité des utilisateurs de Facebook en matière de confidentialité de leurs données et de droit à l’image fait qu’il n’est même plus besoin de prendre des pincettes… Après tout, c’est tellement cool le progrès technique!

• Pour remédier à ce problème, allez à paramètres de compte / « Personnaliser les paramètres” / “Ce que d’autres partagent“, et désactivez “Suggérer à mes amis les photos où j’apparais“.
• Vous pouvez également fermer votre compte ce qui sera encore plus efficace pour protéger votre vie privée! 😉

Édit: depuis fin septembre la fonctionnalité a été temporairement désactivée: http://www.numerama.com/magazine/23807-facebook-interrompt-la-reconnaissance-faciale-en-europe.html