Nous avons récemment « fêté » dans l’allégresse les un an des révélations Snowden sur la surveillance des canaux de communication opérée par la NSA. Depuis l’été 2013, les questions de vie privée et de surveillance des communications font désormais partie du paysage médiatique (bien plus qu’avant en tout cas), et les discours portant sur la protection des données personnelles deviennent audibles.

Afin de ne pas en rester aux généralités et de pouvoir construire son argumentation sur des faits avérés, et non pas uniquement des vérités générales sur « big brother », un petit bilan de ce qui a été établi s’avère très instructif.

La stratégie du feuilletonnage choisie par Snowden et Greenwald est efficace en ce qui concerne le maintien de la pression sur les médias, mais elle n’influe malheureusement que très peu sur le côté indigeste de la masse de révélations proposées.

Framablog propose une traduction d’un récapitulatif de l’Electronic Frontier Foundation. J’ai toujours rêvé de faire ce bilan, mais la tâche est ardue. Donc, cela n’arrive que très rarement, mais là je vais le faire: un gros repompage d’article, un bon vieux copié-collé style DM de maths fait à la dernière minute. 😉 (mais c’est l’autre qui avait copié en premier m’sieur jvous jure!)

65 choses sur la surveillance par la NSA que nous savons maintenant mais que nous ignorions il y a un an

Article original sur le site de l’Electronic Frontier Foundation

par Nadia Kayyali et Katitza Rodriguez

Traduction Framalang : hack, Diab, teromene, r0u, Thérèse, goofy, mrtino

Voilà un an que le journal The Guardian a publié pour la première fois le Foreign Intelligence Surveillance Court order, révélé par Edward Snowden, ex-sous-traitant de la NSA. Le document démontrait que la NSA avait mené des opération de surveillance généralisée sur des millions de personnes innocentes. Depuis lors, toute une vague de révélations choquantes, de divulgations, d’aveux partiels des autorités gouvernementales, d’appels aux lois qui garantissent la liberté de l’information, et de poursuites judiciaires, a déferlé sans interruption. Pour l’anniversaire de cette première révélation, voici 65 choses sur la surveillance par la NSA que nous savons maintenant mais que nous ignorions il y a un an.

1. Nous avons vu un exemple des décisions de justice qui autorisent la NSA à récolter potentiellement tout appel téléphonique aux USA – ce qui veut dire qui vous appelez, qui vous appelle, quand, pendant combien de temps et quelquefois même où.

2. Nous avons découvert les diaporamas en Powerpoint de la NSA qui détaillent comment est menée la récolte « en amont », par la collecte d’informations captées directement dans l’infrastructure des opérateurs de télécoms.

3. La NSA a conçu une vaste « drague du Web » en s’assurant qu’elle peut intercepter non seulement les communications d’une cible lorsqu’elle fait partie d’une communication mais aussi celles qui « concernent une cible, même si la personne ciblée ne participe pas à une communication ».

4. La NSA a confirmé qu’elle recherche des données collectées selon les clauses de la section 702 des amendements à la FISA (FISA Amendments Act) pour avoir accès sans mandat aux communications des citoyens des USA, grâce à ce que le sénateur Ron Wyden a appelé « le vide juridique de la recherche via porte dérobée ».

5. Même si la NSA a déclaré de façon répétée qu’elle ne ciblait pas les citoyens des États-Unis, ses propres documents montrent que les fouilles de données menées sous l’égide de la section 702 sont conçues pour déterminer avec un degré de confiance de 51% seulement si la cible est étrangère.

6. Si la NSA n’établit pas l’origine étrangère d’une cible, elle ne va pas arrêter d’espionner cette cible pour autant. Au lieu de ça, la NSA va présumer que la cible est étrangère tant qu’elle ne peut être « identifiée positivement comme une personne des États-Unis ».

7. Un audit interne de la NSA révélé par une fuite a donné les détails de 2776 violations de règles ou de décisions judiciaires en une seule année.

8. Les hackers de la NSA ciblent les administrateurs systèmes, indépendamment du fait que ces administrateurs systèmes peuvent eux-mêmes être totalement innocents de tout acte répréhensible…

9. La NSA et la CIA ont infiltré des communautés de jeu en ligne comme World of Warcraft et Second Life pour récolter des données et mener leur surveillance.

10. Le gouvernement a détruit des preuves dans des procès pour espionnage intentés par l’EFF contre la NSA. Comble de l’ironie, le gouvernement a également prétendu que les clients de l’EFF avaient besoin de ces preuves pour établir la recevabilité de leur plainte.

11. Le directeur du renseignement national, James Clapper, a menti au Congrès lorsqu’il a été interrogé directement par le sénateur Ron Wyden pour savoir si la NSA était en train de rassembler des données de quelque nature que ce soit sur des millions d’habitants des USA.

12. Microsoft, comme d’autres sociétés, a collaboré étroitement avec le FBI afin de permettre à la NSA de « contourner le chiffrement pour avoir accès aux données des utilisateurs ».

13. Pendant la seule année 2013, le budget du renseignement était de 52,6 milliards de dollars — ce chiffre a été révélé par la fuite d’un document, et non par le gouvernement. Sur ce budget, 10,8 milliards de dollars ont été attribués à la NSA. Cela équivaut approximativement à 167 dollars par personne résidant aux Etats-Unis.

14. La Cour fédérale de la surveillance et du renseignement (Foreign Intelligence Surveillance Court) a rendu des décisions qui autorisent la NSA à partager des données brutes — non expurgées des informations permettant d’identifier les personnes — avec le FBI, la CIA et le Centre national de lutte antiterroriste (National Counterterrorism Center).

15. Conformément à un protocole d’accord (memorandum of understanding), la NSA partage régulièrement des données brutes avec Israël sans en expurger les informations personnelles permettant d’identifier les citoyens des USA.

16. Les divulgations de Snowden ont montré clairement que l’administration Obama avait induit la Cour suprême en erreur à propos de questions clés dans le procès intenté par l’ACLU à la NSA pour espionnage, Clapper v. Amnesty International, ce qui a conduit à un renvoi de l’affaire pour manque de preuves.

17. La NSA « a pénétré le système de communication interne d’Al Jazeera ». Les documents de la NSA font état de ce que « les cibles sélectionnés avaient un “fort potentiel en tant que sources de renseignement” ».

18. La NSA a utilisé des cookies soi-disant anonymes de Google comme balises de surveillance, aidant ainsi à pister les utilisateurs individuels.

19. La NSA « intercepte “des millions d’images par jour” – dont environ 55 000 “images de qualité suffisante pour la reconnaissance faciale” » et les traite avec de puissants logiciels de reconnaissance faciale.

20. Le programme de reconnaissance faciale de la NSA « peut maintenant comparer les photos des satellites d’espionnage avec les photos personnelles interceptées prises en extérieur, pour déterminer leur localisation ».

21. Bien que la réforme de la NSA se soit essentiellement focalisée sur la Section 215 du PATRIOT Act, et que la plupart des magistrats aient également poussé à réformer la Section 702 du FISA Amendments Act, certains des pires espionnages de la NSA ont été effectués conformément au décret 12333, que le président Obama pourrait abroger ou modifier dès aujourd’hui.

22. La NSA a collecté les informations de localisation des téléphones mobiles des citoyens des USA durant deux ans sous couvert d’un projet pilote ayant pour but de voir comment pourraient être analysées de telles informations dans ses énormes bases de données.

23. Au cours du seul mois de mars 2013, la NSA a rassemblé 97 milliards de renseignements en provenance de réseaux informatiques du monde entier, dont 3 milliards de renseignements des réseaux propres aux USA.

24. La NSA a ciblé Tor, un ensemble d’outils qui permet aux internautes de naviguer sur le net de manière anonyme.

25. Le programme MUSCULAR de la NSA infiltre des liens entre les data centers mondiaux des sociétés technologiques comme Google et Yahoo. De nombreuses sociétés ont répondu à MUSCULAR en chiffrant le trafic sur leur réseau interne.

27. Le programme XKEYSCORE analyse les courriers électroniques, les conversations en ligne et l’historique de navigation de millions de personnes n’importe où dans le monde.

28. À travers BULLRUN, la NSA sabote les outils de chiffrement auxquels se fient les utilisateurs ordinaires, les entreprises et les institutions financières, cibles ou non, dans un effort sans précédent visant à affaiblir la sécurité des utilisateurs d’Internet, vous y compris.

28. L’opération Dishfire a collecté 200 millions de textos par jour à travers le globe, qui peuvent être utilisés pour extraire des informations intéressantes sur vous : localisation, contacts, données de carte de crédit, appels manqués, alertes d’itinérance (qui indiquent que vous franchissez une frontière), cartes de visite électroniques, informations sur vos paiements par carte, alertes aux voyageurs, et renseignements sur vos réunions.

29. À travers l’opération CO-TRAVELER, les États-Unis collectent des informations de localisation provenant de relais de téléphonie mobile GSM, d’émetteurs Wi-Fi et de concentrateurs GPS, qui sont ensuite analysées en fonction du temps pour déterminer entre autres avec qui une cible voyage.

30. Un mémo de 2004 intitulé DEA – The “Other” Warfighter (DEA – « l’autre » combattant) montre que la NSA et la DEA « profitent d’échanges réciproques d’information ».

31. Quand la DEA agit sur les renseignements que sa division « Opérations spéciales » reçoit de la NSA, ils cachent la source de l’information à travers une « construction parallèle », une mascarade recréant une enquête imaginaire destinée à cacher la source de l’indice, non seulement au défenseur, mais à la Cour. Il s’agit de faire en sorte qu’aucun tribunal ne rende de décision sur la légalité ou la finalité de l’usage qui sont faits des données de la NSA dans les enquêtes ordinaires.

32. Le produit de la surveillance de la NSA finit régulièrement entre les mains de l’IRS (NdT : le fisc des États-Unis). Tout comme la DEA, l’IRS utilise la « construction parallèle » pour dissimuler l’origine de l’indice.

33. Même le Conseil de surveillance de la vie privée et des libertés civiles (Privacy and Civil Liberties Oversight Board), dont les membres sont triés sur le volet par le président des États-Unis, a recommandé que le gouvernement fasse cesser la collecte massive des enregistrements téléphoniques autorisée par la section 215 [NdT : du PATRIOT Act], cette collecte étant inefficace, illégale, et probablement anticonstitutionnelle.

34. La NSA a des projets pour infecter potentiellement des millions d’ordinateurs en y implantant des malwares dans le cadre du programme Tailored Access Operations (opérations d’accès personnalisé).

35. La NSA a eu un contrat secret de 10 millions de dollars avec la société de sécurité RSA pour créer une « porte dérobée » dans ses produits de chiffrement, largement utilisés par les entreprises.

36. « Dans le cadre d’une proposition visant à salir la réputation de ceux dont l’agence pense que les discours incendiaires radicalisent les autres », la NSA a surveillé leurs accès aux contenus pornographiques et rassemblé d’autres informations d’ordre explicitement sexuel.

37. La NSA et ses partenaires exploitent les applications mobiles, comme le jeu populaire Angry Birds, pour accéder à des informations privées sur les utilisateurs comme la localisation, l’adresse personnelle, le genre, et plus encore.

38. Le Washington Post a révélé que la NSA récolte « des centaines de millions de carnets d’adresses provenant de comptes personnels de courriel ou de messagerie instantanée du monde entier, dont beaucoup sont des citoyens des USA ».

Beaucoup de révélations de Snowden ont concerné les activités de la NSA à l’étranger, ainsi que les activités de certains des plus proches alliés de la NSA, comme son homologue britannique le GCHQ. Certaines de ces activités ont été des entreprises coopératives. En particulier, les « Cinq Yeux » – les États-Unis, la Nouvelle Zélande, l’Australie, le Royaume-Uni et le Canada – se communiquent mutuellement les données concernant leurs citoyens, constituant ainsi des failles susceptibles de saper la législation nationale.

39. La NSA a versé à son homologue britannique, le GCHQ, 155 millions de dollars ces trois dernières années « pour sécuriser l’accès aux programmes de collecte du renseignement britannique et les influencer ».

40. The Guardian a rapporté ceci : « Sur une période de six mois en 2008, [le GCHQ] a collecté les l’images de webcam – y compris une quantité importante de communications explicitement sexuelles – de plus d’1,8 millions de comptes utilisateurs Yahoo à l’échelle mondiale. »

41. Le GCHQ a utilisé des logiciels malveillants pour compromettre des réseaux appartenant à l’entreprise belge de télécommunications Belgacom.

42. Les principales entreprises de télécommunications, y compris BT, Vodafone, et Verizon business ont fourni au GCHQ un accès illimité à leurs câbles de fibre optique.

43. Le GCHQ a utilisé des attaques DDoS et autres méthodes pour interrompre les communications des Anonymous et de LulzSec, y compris les communications de personnes qui n’étaient accusées d’aucun délit.

44. La station Bude du GCHQ a surveillé des dirigeants de l’Union européenne, de l’Allemagne et d’Israël. Elle a également ciblé des organisations non gouvernementales comme Médecins du monde.

45. Partenaires de la NSA aux antipodes, les services de l’Australian Signals Directorate, ont été impliqués dans des violations de communications entre avocat et client couvertes par le secret professionnel, remettant en question un principe fondamental de notre système de justice pénal commun.

46. Les agents du renseignement australien ont espionné les téléphones mobiles du cabinet ministériel indonésien et du président Susilo Bambang.

47. En 2008, l’Australie a offert de partager les données brutes concernant ses citoyens avec ses partenaires du renseignement.

48. Le CSEC a aidé la NSA à espionner les dirigeants politiques durant le sommet du G20 au Canada.

49. Le CSEC et le CSIS ont été récemment réprimandés par le juge d’une cour fédérale pour l’avoir induit en erreur dans une demande de réquisition faite il y a 5 ans, à propos de l’utilisation des ressources des Cinq Yeux pour pister les Canadiens à l’étranger.

Ironie du sort, certaines opérations de la NSA ont ciblé des pays qui avaient collaboré directement avec l’agence en d’autres circonstances. Et certaines semblaient simplement non indispensables et disproportionnées.

50. Les documents de la NSA montrent que tous les gouvernements ne sont pas transparents sur leur propre niveau de coopération avec la NSA. Comme le rapporte The Intercept : « Peu de dirigeants élus ont connaissance de cet espionnage, voire aucun ».

51. La NSA intercepte, enregistre et archive chaque communication de téléphone mobile des Bahamas.

52. La NSA a surveillé les communications téléphoniques d’au moins 35 chefs d’États.

53. La NSA a espionné des diplomates français à Washington et aux Nations Unies.

54. La NSA a piraté les réseaux de l’entreprise chinoise Huawei et volé les sources de son code.

55. La NSA a posé des mouchards dans les ambassades de l’Union européenne à New York et à Washington. Elle a copié des disques durs dans les bureaux de l’UE à New York, et a mis sur écoute le réseau informatique interne des ambassades de Washington.

56. La NSA a collecté les métadonnées de plus de 45 millions d’appels téléphoniques italiens sur une période de 30 jours. Elle a également entretenu des stations de surveillance à Rome et à Milan.

57. La NSA a stocké les données d’approximativement 500  millions de connexions des systèmes de communication allemands chaque mois.

58. La NSA a collecté les données de plus de 60 millions d’appels téléphoniques espagnols sur une période de 30 jours, fin 2012 et début 2013, et a espionné des membres du gouvernement espagnol.

59. La NSA a collecté les données de plus de 70 millions d’appels téléphoniques français sur une période de 30 jours, fin 2012 et début 2013.

60. The Hindu, sur la base de documents de la NSA, a rapporté que « Sur une liste exhaustive des pays espionnés par les programmes de la NSA, l’Inde est en cinquième place. »

61. La NSA a pénétré le compte officiel de courriel de l’ancien président mexicain Felipe Calderon.

62. D’après The Guardian : « La NSA a, pendant des années, systématiquement écouté le réseau des télécommunications brésiliennes et et a intercepté, collecté et stocké sans discrimination les courriels et enregistrements téléphoniques de millions de Brésiliens ».

63. La NSA a surveillé les courriels, les appels téléphoniques et les textos de la présidente brésilienne Dilma Rousseff et de ses plus proches collaborateurs.

64. Les agences du renseignement allemand ont coopéré avec la NSA et ont implémenté le programme de la NSA XKeyscore, tandis que la NSA était en train d’espionner les dirigeants allemands.

65. Le quotidien norvégien Dagbladet a rapporté que la NSA a acquis des données sur 33 millions d’appels de téléphones mobiles norvégiens sur une période de 30 jours.

Il ne fait aucun doute que les relations internationales qu’Obama s’était engagé à restaurer, de même que la confiance du peuple des États-Unis dans le respect de sa vie privée et de ses droits constitutionnels, ont été sapées par la surveillance tous azimuts de la NSA. Mais un an après, le gouvernement des USA aussi bien que les gouvernements d’autres pays n’ont pas pris les mesures nécessaires pour faire en sorte que cette surveillance cesse. C’est pourquoi chacun doit se mobiliser – contactez votre député, rejoignez Reset the Net, et apprenez comment la loi internationale s’applique à la surveillance états-unienne aujourd’hui.

Toutes les images sous licence CC BY 2.0, par EFF, JeepersMedia et Richard Loyal French.

Source de la traduction: Framablog

La Quadrature du net a publié ce mardi 11 février une vidéo financée par les internautes et ayant pour ambition de sensibiliser le grand public à la question de la surveillance de masse.

Depuis cet été, cette surveillance remplit quotidiennement les colonnes des journaux (et sites web). Plus de 6 mois après les révélations de l’ancien employé de la NSA Edward Snowden sur les agissements de son employeur, les affaires s’empilent et donnent le vertige.

De très nombreux programmes pensés par l’agence ont aujourd’hui été découverts, et il semblerait qu’il faille envisager la possibilité que toute communication puisse être captée par les renseignements américains.
La collaboration plus ou moins active de nombreux pays européens discréditent largement les larmoiements de certains grand-e-s dirigeant-e-s de l’Union, et laissent les internautes de base bien démuni-e-s devant leur clavier.

Autre enseignement qui ressort de cette affaire: c’est aussi grâce à la collecte de données massive opérée par les géants américains de l’informatique (Google, Facebook, Apple, Microsoft…), et les bases de données centralisées qu’ils ont constituées, que la NSA n’a eu qu’à se baisser pour se servir et mettre à jour ses fichiers. Nos banales pratiques quotidiennes ont donc à leur échelle également favorisé cette surveillance.

C’est dans cette optique que la Quadrature du net (et d’autres bien sûr!) mettent l’accent sur trois éléments fondamentaux permettant d’assainir nos usages numériques:

• L’utilisation de services décentralisés (comme le p2p)
• La chiffrement de point à point (ex GPG pour les mails, OTR pour le chat…)
• L’utilisation de logiciels libres (dont on peut comprendre le fonctionnement et vérifier les failles de façon collaborative et indépendante)

Cliquez sur l’image pour accéder à la vidéo
Licence: CC-BY-SA

Une partie de la solution est entre nos mains, donc au boulot! 😉

L’émission de Canal + a récemment diffusé un reportage sur le Big Data (la collecte et l’analyse de données à grande échelle), et la surveillance privée et étatique.

Pour toutes les personnes qui sont déjà un peu sensibilisées à la question et même celles qui n’en savent rien, je vous conseille de jeter un œil sur cet excellente émission.

Au menu sont abordés:

• La collecte d’information par les géants du web dans une optique publicitaire, utilisant traces d’achats, géolocalisation et données sociales
• La prédiction à l’aide des algorithmes et du Big Data dans le domaine du sport, de la politique, de la prévention du crime etc.
• La vidéo surveillance
• Le lien entre collecte à des fins publicitaires et l’utilisation étatique des données
• …

Ce n’est un secret pour personne, les États utilisent Internet pour en savoir plus sur leurs aimables sujets. Si la surveillance est l’un des moyens utilisés, il serait bien stupide de ne pas profiter des informations récoltées par les entreprises en ligne dont il faut le dire, une bonne partie du travail consiste à ficher!

À partir de là, l’EFF (Electronic Frontier Foundation), les preux chevaliers de la vie privée en ligne, ont établi un tableau comparatif de ces grandes entreprises, en fonction de leur engagement vis à vis de la surveillance d’État.

(Merci à Korben pour la traduction)

Par contre, il me semble important de tout de même calmer les choses de suite: on ne parle bien que des entreprises par rapport à la surveillance d’État, et non à la question de la vie privée en général.

Il est ensuite nécessaire de préciser que les législations sont diverses à ce sujet et sont donc plus ou moins transparentes. Si l’on prend l’exemple du Patriot Act, l’État américain peut récupérer n’importe quelle information traitée par une entreprise du pays, basée sur le sol US ou non, mais il peut aussi exiger le silence sur de telles demandes.
Restons donc prudents sur les conclusions à tirer!

Enfin, notons que cette « éthique » peut varier selon les pays dans lesquels se trouvent les entreprises. Par exemple, un Microsoft en Tunisie, ça a aidé la cyber-police de Ben Ali à se former pour traquer les opposants, et ça a aidé les autorités à trafiquer les certificats de sécurité des moyens de communication…

Si Microsoft ne semble pas culminer dans ce tableau, ne nous leurrons pas sur les premiers de la classe, lesquels ne peuvent que très rarement faire des leçons de morale en la matière.

Lien sur le site de l’EFF et protocole d’enquête.

Contacté par une journaliste du site de débat Newsring (lancé sous la direction éditoriale de Frédéric Taddeï) pour participer à un sujet sur « Nouvelles technologies : peut-on échapper à l’emprise américaine ? », je me suis plié à l’exercice.
C’est à partir de l’annonce du retrait de Dassault du projet de Cloud computing « à la française » que la journaliste s’est posé la question de la possibilité pour la France de développer son indépendance face à des services majoritairement américains.
Le débat et sa présentation sont disponibles à cette adresse.

Le point de vue développé ici s’attardera davantage à se demander s’il est possible d’échapper à l’emprise des États et des entreprises qui font fortune sur la surveillance des communications.

Il est coutume de dire qu’internet n’a pas de centre, et c’est vrai. En tant que réseau de réseaux décentralisé, il est en théorie conçu pour pouvoir fonctionner quelles qu’en soient les parties amputées. Mais il est aussi fréquent d’entendre que s’il devait y en avoir un, il serait aux États-Unis.

Avec le développement de la toile, de nombreuses entreprises américaines ont acquis un statut dominant voire quasi monopolistique dans certains domaines. Plus de neuf français sur dix utilisent des logiciels Microsoft et surfent sur le net grâce à Google, et près d’un sur trois a un profil Facebook.

Lorsque l’on parle de stockage des données en ligne (cloud computing), cela pose de façon évidente la question de la conservation et de la concentration des informations, et interroge sur le cadre juridique duquel elles dépendent.

Cette concentration pose problème dans plusieurs domaines :

La confidentialité des données

Concernant la confidentialité des données, et le respect à la vie privée, la constitution de supers bases de données contenant des quantités parfois astronomiques de détails sur nos habitudes de navigation, nos goûts, nos achats, nos symptômes, nos préoccupations, nos désirs etc., pose de sérieux problèmes.
Pour prendre le cas Google, il a été le premier groupe à dépasser le milliard de visiteurs uniques en mai dernier (selon comScore), et Youtube (appartenant à Google) annonce ce mois-ci les mille milliards de vidéos vues en 2011. Chacune de ces visites est l’occasion pour l’entreprise de peaufiner le profil des utilisateurs en fonction de leurs comportements.

La question du droit de l’information

À qui appartiennent les informations publiées par les internautes ? Dans le cas de Facebook par exemple, nous savons que les données « confiées » peuvent être réutilisées dans un cadre publicitaire notamment, et sont à la disposition de l’entreprise, même après suppression du compte (voir l’affaire de l’étudiant autrichien Max Schrems qui a reçu plus de 1200 pages d’informations sur sa personne après 3 ans d’utilisation du réseau et un compte soi disant supprimé).

Le rapport à la justice

C’est également vis à vis de la justice qu’il faut s’interroger, et plus particulièrement de l’État. C’est suite à des « révélations » de Gordon Frazer (directeur général de Microsoft) que la question du Patriot Act a refait surface sur le net. Rédigé suite aux attentats du 11 septembre 2001, le texte impose à toute entreprise américaine de fournir les renseignements dont elle dispose si l’État en fait la demande. Étant dans cette situation, Microsoft a, à l’occasion de la prise de parole de son responsable, avoué avoir déjà été en situation de répondre à cette exigence patriotique. C’est quasiment dans la foulée que le géant Google avait également confirmé avoir fait de même.

Il convient de préciser que le Patriot Act concerne toutes les entreprises américaines, qu’elles soient basées sur le sol américain ou non. Les serveurs de Google en Europe sont par exemple concernés, et toutes les données qu’ils renferment sont donc potentiellement réquisitionnables par les autorités d’outre-Atlantique.

C’est alors que se repose la question de la concentration des données. Avec 900 000 serveurs estimés dans le monde, une utilisation particulièrement élevée de son moteur de recherche en France, et une omniprésence de Google Analytics qui permet d’afficher des statistiques de fréquentation 1 2, Google prend l’allure d’une pieuvre menaçante tant pour la sécurité des internautes que pour celle des entreprises.

Le contrôle du réseau

L’intégrité du réseau ainsi que la garantie d’une circulation libre des contenus dépendent également, du fait de la main mise des entreprises américaines sur le web, du droit états-unien. L’actualité récente braque les projecteurs vers la chambre des représentants et le sénat américains, lesquels discutent deux projets de loi très similaires: Stop Online Piracy Act (SOPA) et Protect IP Act (PIPA). Ces deux Patriot Acts numériques visent à mettre en place des systèmes de contrôle et de censure d’internet dignes des plus grandes dictatures mondiales, et ce afin de préserver les seuls intérêts des ayants droit des industries culturelles américaines. Le passage de tels projets affecterait sans nul doute la totalité de la toile puisque qu’une grande partie des sites en ligne dépendront de ces textes.

Un cloud à la française ?

Cette situation de dépendance à l’égard du droit américain amène divers projets, dont Andromède, présenté comme un cloud à la française, à destination de l’e-administration, puis éventuellement des entreprises de l’hexagone.

Plutôt que de se concentrer directement sur l’administration et les entreprises, il me semble important d’aborder la question de façon plus large, dans le rapport à l’utilisateur en général.

En ce qui concerne la sécurité des données, il conviendrait de désigner clairement celui dont on souhaite se protéger. S’il s’agit de l’État, il n’y a nul doute pour dire que l’État Français ne se montre pas plus vertueux que son homologue américain, en témoignent l’adoption de la très répressive Loppsi II, la troisième position acquise par la France en tant que pays demandant à Google de dévoiler des informations sur ses utilisateurs (octobre 2011), ou encore son implication présumée dans l’affaire d’espionnage d’Amesys (voir ci-dessous).

Mais avec qui ?

Les partenaires associés au projet Andromède laissent perplexes les internautes qui auront rapidement mis le nez dans les questions de sécurité : Orange, Thales et Dassault (qui s’est retiré du projet en décembre).

France Télécom (qui possède la marque Orange), s’est illustré (bien que cela n’ait fait grand bruit), de façon indirecte dans l’affaire Amesys. En effet, l’entreprise possède de nombreuses actions chez Bull, dont Amesys est une filiale.
Cette dernière a été, suite à des révélation des sites Owni, Reflets.info, Wikileaks et le Wall Street Journal, accusée d’avoir vendu au régime de Kadhafi des armes numériques permettant la surveillance du réseau et des dissidents libyens , ainsi que des communications téléphoniques et satellites.

Thales a également été répertoriée par Wikileaks dans les Spy Files, comme étant l’une des entreprises françaises développant des outils de monitoring de masse sur les réseaux téléphoniques et internet.

Orange, c’est également l’annonce d’un bridage du net à 100 MO pour la fibre (et donc techniquement une remise en cause de l’illimité), ainsi que la volonté de développer le DPI (Deep Packet Inspection), la même technologie d’analyse des flux utilisée par Amesys en Libye, pour des usages courants. Parmi les dernières propositions, on notera la possibilité de faire analyser tout son trafic par Orange afin de pouvoir recevoir des publicités plus ciblées (c’est tout de même grandiose!).
Nombreux sont également ceux qui s’interrogent sur son respect de la neutralité du net, notamment en tant que propriétaire du portail Dailymotion. L’entreprise est en effet suspectée de brider le trafic à destination de son concurrent Youtube.

On ne présente plus non plus Dassault pour ce qui est de la construction et la vente d’armes et de matériel de guerre, pour ses relations commerciales avec Amesys, Thales ou d’autres, et sa complicité par la vente d’armes avec la dictature de Kadhafi.

Bref, on pourrait se demander ce qu’il y aurait à gagner à confier la gestion de nos données et leur sécurisation à de tels énergumènes.

Saucisson pinard ou autonomie ?

Parler de l’information sur le net, au-delà même du cloud (à la française ou non), pose donc un certain nombre de questions qui n’ont finalement pas toujours grand chose à voir avec des problématiques liées à la souveraineté nationale.
Il convient en effet de resituer les contextes d’énonciation : si l’État français peut chercher à gagner en indépendance grâce à Andromède, il n’en reste pas moins extrêmement conciliant (et d’avantage encore : voir l’inauguration des bureaux parisiens de Google par Nicolas Sarkozy) avec une entreprise comme Google, qui évite pourtant sciemment la fiscalité française en se basant en Irlande.
Son indépendance vis à vis de la juridiction américaine, notamment dans le domaine de la sécurité nationale ne semble représenter que peu d’intérêt pour l’internaute moyen, étant données les pratiques auxquelles il semble s’adonner sur son propre territoire ou dans les pays du Maghreb et du Moyen-Orient.

D’autre part, on va de ce fait observer une fuite des militants vers les États-Unis pour échapper à la surveillance et la censure française, comme ce fut le cas pour le site Copwatch Nord Île-de-France par exemple. Pour ces activistes, être « autonome » (hébergé) en France ne signifie pas pour autant liberté.

Héberger ses données à distance amène enfin à prendre en compte d’abord la question du chiffrement, afin de garantir une confidentialité à minima de ce qui est entreposé sur des serveurs tiers, mais aussi celle des outils secondaires qui peuvent être utilisés. Gardons en tête l’exemple de Google Analytics, lequel fait office de véritable cheval de Troie sondant pour le géant de Mountain View, une bonne partie des visites de sites sur la toile.

Finalement, ne serait-ce pas l’occasion de réhabiliter dans certains cas le principe l’auto-hébergement et l’hébergement coopératif, probablement l’une des pratiques la plus en phase avec l’écologie du net ?

On ne parle que de ça en ce moment, et en particulier après les déclarations de Nicolas Sarkozy au sommet d’Avignon: le streaming est la nouvelle menace terroriste qui plane sur nos têtes.
Édit : devant la complexité du dossier, le procès a été reporté à mars 2012.

Alors que l’ACTA doit être discuté au niveau européen, que SOPA passe en ce moment au sénat américain, et que les méthodes de censure du web s’orientent de plus en plus sur une stratégie d’étouffement financier (comme ce fût le cas pour wikileaks), les lobbys du cinéma en remettent une louche, et attaquent l’ensemble des opérateurs français en justice pour les obliger à bloquer les sites de streaming…

L’Association des producteurs de cinéma (APC), la Fédération Nationale des Distributeurs de Films (FNDF) et le Syndicat de l’Edition Vidéo Numérique (SEVN) ont hier, assigné en référé les opérateurs français (et leurs sièges américains): Bouygues, Darty, France Télécom, Free, Google France et Google Inc, Microsoft France et Microsoft Corp, Numéricable, Orange, SFR, Yahoo France et Yahoo Inc, afin qu’ils bloquent un certain nombre de sites de streaming proposant du contenu illégal.

Parmi les concernés, on trouve: MegaUpload, MegaVideo, AlloShare, AlloMovie, AlloShowTv (et oui, encore eux!).

D’après Électron libre qui a révélé cette affaire, les associations et syndicats utiliseraient l’article L336-2 du Code de la propriété intellectuelle pour appuyer cette démarche inédite en France:

« En présence d’une atteinte à un droit d’auteur ou à un droit voisin occasionnée par le contenu d’un service de communication au public en ligne, le tribunal de grande instance, […] peut ordonner à la demande des titulaires de droits sur les œuvres et objets protégés […] toutes mesures propres à prévenir ou à faire cesser une telle atteinte à un droit d’auteur ou un droit voisin, à l’encontre de toute personne susceptible de contribuer à y remédier. »

Ce sera l’occasion de voir dans quelle mesure l’arrêt Sabam émis par la Cour de Justice de l’Union Européenne (CJUE) il y a quelques jours, se révèle efficace. En effet, celui-ci interdit toute obligation faite aux fournisseurs d’accès à internet de surveiller les contenus échangés dans un but de blocage des contenus piratés.
Même s’il ne s’agit à priori pas d’une demande de filtrage permanent des communications mais bien d’une demande ponctuelle (pour l’instant), l’interdiction de filtrer des sites ayant un contenu légal (c’est aussi le cas de Megavideo) pourrait jouer en la faveur des sites de partage.

En tout cas, une chose est sûre: la guerre est déclarée!
Rendez-vous le 15 décembre pour une confrontation au TGI…

Mise à jour du 1/12/11: La demande ne concernerait finalement que les sites Allostreaming, AlloShare, AlloMovie, AlloShowTv et repose bien sur un blocage ciblé (comme cela a pu être mis en pratique pour Copwatch par exemple) et non un filtrage.

Visiblement, la procédure était prévue depuis au moins cet été et les opérateurs avaient été prévenus.
Outre « l’étonnante » coïncidence qui nous mène à nous demander si cette annonce était calquée sur l’agenda présidentiel, on pourra noter que Google s’était partiellement plié à la notification de cet été en supprimant Alloshare de ses résultats sans même attendre une quelconque décision de justice.

Mise à jour du 23/01/12:
Suite à la brutale fermeture de Megaupload par les États-Unis, Allostreaming, Alloshowtv, Alloshare et Allomovies ferment définitivement de leur propre chef.

En fin de semaine dernière, Google confirmait ce dont beaucoup se doutaient: conformément au Patriot Act, l’entreprise fournirait des données sur ses utilisateurs aux autorités américaines.

Tout le monde est suspect

Suite aux attentats du 11 septembre 2001, le gouvernement américain fait passer une loi d’exception: le Patriot Act. Il s’agit de surfer sur la terreur qui gagnait le pays pour renforcer le pouvoir de l’armée, de la NSA, du FBI et de la CIA.

L’argument de la menace terroriste n’a pas seulement justifié les interventions armées à l’extérieur du pays. En effet, cela a également servi de prétexte à un renforcement significatif des pratiques de surveillance à l’intérieur des frontières étasuniennes. Afin de maîtriser un potentiel ennemi intérieur, les pratiques d’écoute et de perquisition de données concernant les citoyens américains se sont amplifiées au détriment des condations d’organisations de défense des droits de l’Homme.

Microsoft, Google et tous les autres

C’est Gordon Frazer, le directeur général de Microsoft qui nous a confirmé fin juin que Microsoft, en tant qu’entreprise américaine, est soumise à cette loi et s’aquite donc de ses obligations de renseignement. Cette nouvelle n’est pas sans conséquences lorsque l’on connait la taille de l’empire monté par Bill Gates. La quasi totalité des possesseurs d’ordinateur sont donc concernés (Windows occupe une part de marché d’environ 90%).

C’est suite à cette « révélation » que Google a également confirmé qu’elle était dans le même cas.
Le moteur de recherche de la firme de Mountain View est lui aussi utilisé par presque tous les internautes dans le monde. L’implantation dans l’univers de la téléphonie mobile par le biais du système d’exploitation Android (majoritaire) et le rachat aujourd’hui de Motorola Mobile étend un peu plus l’emprise de Google sur nos pratiques numériques.

Oui mais nous ne sommes pas aux États-unis!

Certes, mais le point le plus inquiétant de ces révélations est que le Patriot Act concerne également les entreprises américaines implantées à l’étranger! Comme c’est le cas pour Google… Avec ses 900 000 serveurs estimés qui parsèment le monde, l’entreprise est donc susceptible de fournir des informations au gouvernement américain sur des milliards de personnes.

Par extension, tous les sites qui utilisent le service de statistiques de fréquentation de sites, Google Analytics, y sont également soumis (soit une majorité là aussi). Plutôt glaçant!

Plus encore, le Patriot Act concerne toutes les autres entreprises américaines et donc tous les sites et services hébergés aux États-Unis ou par des américains.
Alors que se développe également le phénomène du cloud computing (stockage de données en ligne), je vous laisse apprécier l’étendue des dégâts!

Surprise?

Pas tellement en réalité. Le programme Échelon monté notamment par la NSA était déjà connu ainsi que les tentatives de surveillance de la population mondiale par les agences de renseignement américaines.

No future?

On pourrait se dire qu’il n’y a rien à faire contre de telles puissances. Que Google, Microsoft, Facebook, Apple et tous les autres sont déjà partout.
Même s’il n’y a probablement pas de solution clé en main pour se prémunir contre ces graves atteintes à la vie privée et aux droits de l’Homme, il serait probablement salutaire de s’approprier les nombreuses alternatives disponibles.

Il s’agit de l’un des objectifs de ce site: fournir des outils permettant de développer d’autres pratiques numériques, plus respectueuses de nos droits fondamentaux.