Introduction

Le gouvernement a présenté un projet de loi sur le renseignement qui comporte plusieurs volets problématiques, notamment pour ce qui concerne le numérique.

Son ambition est double : donner explicitement de nouveaux pouvoirs aux services spéciaux et, par la même occasion, encadrer l'usage de technologies sans doute déjà utilisées sur le terrain par les «espions».

Cette courte note traite plus spécifiquement des dispositifs d'écoute de masse, comme les «IMSI catcher» (pour les téléphones mobiles), les techniques d'analyse du trafic en profondeur et autres projets de «boîte noire» en cœur de réseau.

Un peu de technique

Les protocoles numériques de communication sont typiquement organisés en «couches».

La couche la plus basse, dite «physique», donne un sens aux signaux électriques. Une tension de 5V signifiera « 1», une tension de -5v «0», etc.

Des exemples de la plus haute, dite «applicative», sont le protocole HTTP, utilisé pour naviguer accéder aux pages web, les protocoles de téléphonie sur IP, etc.

Entre ces deux couches extrêmes en existent d'autres définissant comment les données doivent être transportées d'un point à un autre, comment elles doivent être éventuellement compressées ou chiffrées. On utilise souvent le modèle OSI simplifié, en 7 couches, pour décrire cet empilement.

Tout équipement réseau analyse nécessairement tout ou partie de ces couches dans son fonctionnement. Un routeur s'arrêtera aux couches les plus basses pour diriger correctement un paquet de données. Les fonctions de communication en réseau intégrées à un système d'exploitation comme Windows, iOS ou GNU/Linux analyseront la plupart des couches supérieures afin de fournir des données «en bon ordre» aux applications.

Les techniques «d'analyse de paquet en profondeur» ou «deep packet inspection» ne sont ni plus ni moins que des outils capable de faire le travail de reconstitution des échanges entre applications à partir de données captés à un niveau bien plus bas, comme des paquets de 0 et de 1 transitant par un routeur.

Ces outils, ces techniques ne sont pas fondamentalement mauvaises. Elles peuvent être utilisées pour bloquer des attaques malveillantes contre un réseau, pour réguler du trafic, etc.

Quels sont les problèmes ?

Des capacités d'analyse sans précédent

Depuis une quinzaine d'années, les capacités de calcul croissent beaucoup plus rapidement que les capacités de communication. Pour simplifier : la plupart des français sont toujours connectés à Internet via l'ADSL alors que les ordinateurs dont nous disposons sont bien plus puissants. Des solutions de calcul dédiées se sont également développées. Il n'est pas déraisonnable d'estimer que l'on peut facilement disposer aujourd'hui d'une capacité d'analyse 100 à 1000 fois plus élevée qu'il y a 15 ans pour le même coût.

Les capacités de stockage croissant également bien plus rapidement que celles de communication, il devient donc possible, ou il le sera prochainement, d'analyser non pas uniquement une partie du trafic d'un pays mais tout le trafic d'un pays, pour peu que son réseau comporte suffisamment de points de passage obligé.

Des acteurs commerciaux qui analysent déjà beaucoup de nos communications électroniques

Les pratiques des acteurs privés nous permettent d'émettre quelques hypothèses. Google, avec son service Gmail, dispose déjà d'une infrastructure d'analyse de masse de l'ensemble des communications de ses utilisateurs. Cette infrastructure est utilisée aujourd'hui à des fins commerciales, publicitaires, qui requièrent une grande finesse d'analyse.

Plus près de nous, la société Criteo fournit des solutions de ciblage analysant notre navigation sur le web afin de recommander des produits. Leurs solutions sont forts efficaces et leurs préconisations souvent pertinentes. Qui recherche une trottinette sur tel site se verra fort opportunément proposer des modèles de trottinettes dans les publicités sur d'autres site, par exemple.

Arte diffusera le 24 mars à 20:50 le documentaire «Un oeil sur vous - Citoyens sous surveillance». Cette émission comporte une séquence où un medium fait des révélations stupéfiantes à des cobayes ayant décliné leurs identité quelques minutes auparavant. Le «medium» est ici un acteur épaulé par une équipe collectant des informations personnelles sur les volontaires avec leurs nom, prénom et photo...

La quantité d'information que les individus fournissent volontairement sur eux-mêmes est déjà considérable.

Certains estiment que ces personnes doivent être protégées d'elle-mêmes et les acteurs privés être plus encadrés dans leurs activités. D'autres, comme Daniel Kaplan dans «Informatique, libertés, identités», estiment que la plupart des utilisateurs de ces (plus si) nouveaux services font un compromis d'exposition de leur vie contre les bénéfices attendus. Le consentement des utilisateurs est avéré, à défaut d'être toujours éclairé.

Une analyse à plus grande échelle, sans notre consentement

Alors que des voix s'élèvent, non parfois sans raison, pour critiquer les atteintes à la vie privée que commettraient les opérateurs de certains services en ligne ou de certains réseaux sociaux, il est regrettable que le gouvernement fasse sien le projet d'analyse à grande échelle des communications, à l'aide de «boîtes noires algorithmiques».

Le premier problème est celui de la suppression du consentement. Il pourra s'avérer épineux pour certaines professions protégées. Dans un billet sur son blog sur ZDNet, Pierre Col mentionne le cas des journalistes. La confidentialité d'autres échanges, comme ceux des avocats, est nécessairement menacée par un tel projet. Même en laissant de côté ces cas particuliers, le projet ainsi esquissé de surveillance constante et globale est glaçant et implique un renversement dans notre manière de faire société. De protecteur des libertés et de la vie privée, l'État devient surveillant général de toutes nos activités, de plus en plus numériques.

Le second problème est celui de l'inefficacité de cette démarche techno-centrée. Le 11 septembre 2001, les États-Unis disposaient déjà d'impressionnants moyens d'espionnage technologique. Les avions utilisés ce jour la pour commettre les attentats tristement célèbres ont été détournés avec des moyens dérisoires, comme des cutters. Lors de la traque d'Oussama Ben Laden, certaines des personnes remarquées communiquaient en enregistrant des messages comme brouillons dans un service de messagerie en ligne dont elles partageaient les codes d'accès, évitant ainsi tout échange transitant par d'autres serveurs de messagerie. Plus près de nous, les frères Kouachi n'ont laissé aucune signature de leurs projets dans leurs communications. L'adversaire visé par ce projet de loi – les terroristes – sait se prémunir de la surveillance numérique. Encore plus près de nous, M. tout le monde échappe déjà à la surveillance de l'HADOPI en louant les services d'un VPN (réseau privé virtuel) pour quelques euros par mois...

Face à cette dure réalité, quel «algorithme» opposer ? Alors que les frères Kouachi ne laissaient, selon les propos tenus publiquement par les enquêteurs, aucune trace numérique avant de passer à l'acte, quels éléments auraient dû être appréciés ? Les systèmes experts, les «boîtes noires algorithmiques», développés par les géants du web ne produisent des résultats valables que parce que nous consentons, avec plus ou moins de discernement, à nous laisser tracer. Face à un adversaire avançant masqué, l'outil sera inopérant, mais pas sans de dangereux effets de bord. De triste mémoire, ceux de Tarnac avaient été jugés suspects notamment à cause de leur absence d'utilisation de certains outils de communication moderne... Au-delà de cet exemple extrême, le développement insidieux d'une auto-censure, d'un évitement de certains discours ou de certains débats est à craindre, ainsi que la multiplication de faux positifs.

Le troisième problème est économique. Bon nombres d'activités, par exemple commerciales ou bancaires, requièrent une sécurité, une confidentialité des échanges. Le projet gouvernemental implique un affaiblissement de la sécurité des échanges par exemple en utilisant des protocoles dont le gouvernement détiendrait «les clés».

Que faire ?

Anticiper

La loi n'est pas réécrite tous les jours. L'encadrement actuel des interceptions a été pour l'essentiel défini dans les années 90. Il nous faut donc tenter d'anticiper ce que seront les moyens à notre disposition dans 5 ou 10 ans. Estimer que nous aurons alors une capacité d'analyse tendant à l'omniscience n'a rien de déraisonnable.

Encadrer l'utilisation de ces moyens technologiques

Ne faisons preuve d'aucune naïveté : la nature des menaces auxquelles nous faisons face impose le recours à des moyens technologiques puissants. Pour autant, et parce que nous sommes des démocrates et défendons une certaine conception de ce qu'est une société démocratique, de puissants garde-fous doivent être instaurés.

Une autorité judiciaire indépendante doit donner son accord préalablement à l'utilisation de ce type d'outil, sauf urgence absolue. Dans un tel cas, l'accord de l'autorité doit être autorisé dans les 48 heures. L'autorité doit disposer des moyens nécessaires pour sanctionner tout abus.

L'usage de cet outil doit toujours être ciblé et proportionné. Ne doivent, par exemple, être durablement enregistrées que les communications visées par la surveillance, et non la masse bien plus importantes des données analysées pour les reconstituer.

L'échange des données ainsi collecté doit être encadré. Les réseaux de communication n'ont pas de frontière. Les grands nœuds de communication que nous utilisons dans notre navigation quotidienne ne sont pas nécessairement en France. Il nous faut définir des règles en matière de fourniture de données, de ou à des tiers, ce notamment afin d'éviter une sous-traitance de pratiques illégales en France à l'étranger.

Redonner à l'État son rôle de protecteur des libertés

Alors que les acteurs commerciaux connaissent de plus en plus, et peut-être déjà trop de choses sur nous, l'État devrait engager plus de ses moyens dans la restauration de la capacité de chaque citoyen à pleinement contrôler sa vie numérique. Il ferait probablement œuvre utile en amplifiant les politiques d'éducation au numérique et en soutenant le développements de logiciels et de services décentralisés, permettant à chacun de conserver le contrôle de ses données personnelles. Un contrôle plus effectif des collectes de données opérées par les acteurs commerciaux, et plus particulièrement des informations fournies aux utilisateurs lors du recueillement de leur consentement serait par ailleurs sans aucun doute très utile.