Autoblog de BugBrother

La loi renseignement, adoptée dans la foulée des révélations Snowden sur la « surveillance de masse« , a été présentée par ses opposants comme permettant « une interception de l’ensemble des données des citoyens français en temps réel sur Internet« . La DGSE espionne-t-elle tous les Français ? En a-t-elle le droit, les moyens techniques, et financiers ? #Oupas…? [tl;dr : non]

C’est le sujet du dernier n° de What The Fact, la websérie qu’IRL (la chaîne des « nouvelles écritures » de France Télévisions) m’a proposé de consacrer au fact-checking.

La vidéo, diffusée sur Rue89, dure 6’30, mais du fait de la complexité du sujet, je ne pouvais pas (vu le format, la durée) y partager toutes les informations (et liens) que j’avais compilé à ce sujet, ce que je vais donc tenter de faire dans ce billet.

Les (très nombreux) opposants à la loi renseignement dénonçaient une « surveillance généralisée d’Internet« , et plus particulièrement une « surveillance massive de l’ensemble de la population » française, au motif que « le projet de loi Renseignement contient deux articles qui permettent une interception de l’ensemble des données de tous les citoyens français en temps réel sur Internet, dans le but de faire tourner dessus des outils de détection des comportements ‘suspects’« .

De fait, je fus l’un des tous premiers journaliste à avoir mentionné les deux articles en question, dans un article intitulé « Pourquoi le projet sur le renseignement peut créer une « surveillance de masse » (j’avais alors mis en gras les passages litigieux) :

Le nouvel article 851-3 du code de la sécurité intérieure autoriserait ainsi, « pour les besoins de la détection précoce d’actes de terrorisme, la collecte, en temps réel, sur les réseaux des opérateurs, de la totalité des données, informations et documents relatifs aux communications de personnes préalablement identifiées comme des menaces« .

L’article 851-4 prévoit de son côté, toujours « pour les seuls besoins de la prévention du terrorisme« , de pouvoir « imposer » (sic) aux intermédiaires et opérateurs techniques la mise en œuvre « sur les informations et documents traités par leurs réseaux d’un dispositif destiné à révéler, sur la seule base de traitements automatisés d’éléments anonymes, une menace terroriste« .

Dit autrement, il s’agit de pouvoir installer des « boîtes noires » -pour reprendre l’expression formulée au Figaro par des conseillers gouvernementaux- au coeur des réseaux de télécommunications, chargées d’identifier les « comportements suspects« … expression vague s’il en est.

Tout juste sait-on que l’article 851-4 précise que « si une telle menace est ainsi révélée, le Premier ministre peut décider de la levée de l’anonymat sur les données, informations et documents afférents« .

De la « surveillance de masse » à la « paranoïa généralisée »

Dans la foulée des révélations Snowden, Le Monde avait déjà affirmé, en « Une », que « la Direction générale de la sécurité extérieure (DGSE, les services spéciaux) collecte systématiquement les signaux électromagnétiques émis par les ordinateurs ou les téléphones en France, tout comme les flux entre les Français et l’étranger : la totalité de nos communications sont espionnées« , ce que j’avais alors fact-checké, pour en arriver à la conclusion qu’une telle « surveillance de masse« , sur le territoire national, serait techniquement improbable, financièrement impossible, et légalement interdite (nonobstant le fait que la DGSE est en charge de l’espionnage… à l’étranger).

Depuis, j’ai été amené à effectué cinq autres factchecks d’autres « Unes » du Monde tendant à valider différentes formes de « surveillance de masse » des Français, qui toutes se sont révélées être fausses, en tout cas biaisées, pour en arriver à la conclusion que les révélations Snowden sur la « surveillance de masse » avaient également eu pour contre-coup de créer un climat de « paranoïa généralisée« , qui n’avait pas forcément lieu d’être (cf De la surveillance de masse à la paranoïa généralisée).

Je n’en ai pas moins continuer à creuser, pour tenter de comprendre si la loi renseignement pouvait permettre, comme l’affirmaient ses opposants, l' »interception de l’ensemble des données de tous les citoyens français en temps réel sur Internet« , #oupas.

55M d’internautes, 70M de cartes SIM, 9327 grandes oreilles

La France compterait quelques 55 millions d’internautes, près de 37 millions de lignes de téléphonie fixe, plus 70 millions de cartes SIM, dont 22 millions de cartes 4G, permettant de surfer sur Internet depuis son mobile, et dont le succès est tel que le volume de données consommées a presque doublé l’an passé (source ARCEP).

Pour mieux mesurer l’ampleur que représenterait une telle tâche, il faut savoir que le volume de données échangées sur Internet, en France, correspondait à l’équivalent du contenu de 4 milliards de DVD (par an), 308 millions (par mois), soit près de 422 346 DVD (par heure), que le trafic de données mobiles, de son côté, représentait l’équivalent de 13 millions de DVD (par mois), ou 148 millions de SMS (par seconde). A quoi il faudrait rajouter le trafic téléphonique… celui qui, accessoirement, intéresse le plus les « grandes oreilles« .

Parlons-en, des « grandes oreilles » : d’après l’académie du renseignement, la DGSE dénombrerait quelque 6000 employés, 3200 à la DGSI, et 127 au Groupement interministériel de contrôle (le GIC, chargé de procéder aux « interceptions administratives« , du nom donné aux écoutes téléphoniques effectuées à la demande des services de renseignement).

Admettons que tout ce beau monde, faisant fi de la vague d’attentats qui touchent la France (notamment) depuis janvier 2015, ainsi que de toutes les autres menaces qu’ils sont pourtant censés tenter de contrer, décide de ne plus surveiller les terroristes (et plus si affinités) à l’étranger, de ne plus écouter djihadistes, dealers et proxénètes en France, pour se focaliser sur l' »interception de l’ensemble des données de tous les citoyens français en temps réel sur Internet« .

Dans l’hypothèse improbable où ils travailleraient 24h/24 7j/7, ils devraient, chacun, surveiller 5 896 internautes, et se taper le contenu de 45 DVD, par heure, ou de 15 868 SMS, par seconde… S’ils ne travaillaient qu’aux 35h, ils devraient, chacun, surveiller 28 300 internautes, et vérifier l’équivalent de 216 DVD par heure, ou 76 166 SMS par seconde. Une paille, pour nos SuperDupont.

Les « boîtes noires » n’existent (toujours) pas

Certes, ce qui intéresse le plus les services de renseignement, ce sont les méta-données (qui communiquent avec qui, d’où, quand ?), et la surveillance pourrait être automatisée. Encore faudrait-il que les services puissent intercepter, stocker et analyser toutes ces données. Sauf qu’en France, le trafic Internet est particulièrement décentralisé. En l’espèce, et pour pouvoir surveiller tout le trafic Internet en France, il faudrait, « au bas mot« , déployer… 50 000 « boîtes noires« .

MaJ : réagissant à la mise en ligne de la vidéo, ledit ingénieur précise que « Ça dépend vraiment de ce que tu veux capter. Disons qu’en 12 points tu chopes 70%, le reste est diffus« . Ce qui reste à fact-checker, nonobstant le fait que surveiller massivement 70% du trafic Internet franco-français coûterait une blinde (le placement sous surveillance des télécommunications internationales via la vingtaine de câbles sous-marins aurait coûté quelque 500M€), serait a priori illégal, sauf à passer par les fameuses « boîtes noires, qui… n’existent toujours pas (voir plus bas), qui sont limitées à la seule lutte anti-terroriste (contrairement aux systèmes de « collecte de masse » sur les câbles sous-marins), et qui ne permettent de désanonymiser que des « menaces » avérées (contrairement -bis- aux systèmes de « collecte de masse » sur les câbles sous-marins).

Cherchant à estimer le coût d’untel système bouzin, un ingénieur travaillant au cœur des réseaux avait calculé que, pour pouvoir surveiller -et stocker- 1% du trafic Internet français, il faudrait investir, sur 10 ans, quelque 6 milliards d’euros en matériels de stockage, électricité, sondes d’interception, datacenter… et hors frais de personnel. Pas de soucis : le budget annuel de la DGSE est de 700 millions d’euros (dont 60% en frais de personnel), et puis c’est pas comme si c’était la crise.

TL;DR Ca fait 6G€ d'argent public (avec le MTBF stockage) pour voir ma bite. Il suffisait pourtant de demander 16/. pic.twitter.com/bcga8Kds1V

— Jérôme Nicolle (@chiwawa_42) April 8, 2015

Depuis les révélations Snowden, la « surveillance de masse » fait certes peur, mais elle est aussi et de plus en plus rendue impossible, le trafic Internet étant de plus en plus chiffré : Google vient ainsi de révéler que 90% des requêtes effectuées depuis la France étaient chiffrées, tout comme 86% des messages gmail à destination d’autres fournisseurs (et 100% des messages d’utilisateurs de Gmail à d’autres utilisateurs de Gmail), et donc a priori indéchiffrables par la NSA, la DGSE & Cie…

Nonobstant le fait que, et au-delà de ces défis logistiques et techniques, une note de bas de page du rapport 2015 de la délégation parlementaire au renseignement (DPR), publié en février 2016, précise que « les techniques de suivi en temps réel des personnes préalablement identifiées comme présentant une menace et de l’algorithme » (les fameuses « boites noires« ) sont « très compliquées à mettre en oeuvre et (qu’)actuellement, aucun de ces deux instruments n’est mis en oeuvre« … information confirmée par Le Monde, qui écrivait

L’an passé, des milliers d’articles ont été consacrées à ces fameuses « boîtes noires« , qui avaient cristallisé l’opposition au projet de loi renseignement. Le fait qu’elles « n’étaient pas encore opérationnelles » n’a eu les faveurs que de deux articles : un dans Le Monde, un autre dans NextInpact, après que la mission d’information sur les moyens de Daech a elle-même appris que « ces algorithmes destinés à filtrer les communications sont en cours d’élaboration par les services« .

6 mouchards, en 5 ans

La DGSE dispose bien, cela dit, de systèmes de « collecte de masse » déployés sur la vingtaine de câbles sous-marins qui relient les réseaux de télécommunication français à l’étranger, afin de pouvoir surveiller les communications internationales), via un système mis en place à partir de 2008 et qu’avait très bien décrit le journaliste Vincent Jauvert, dans L’Obs. Il est en effet plus simple de surveiller les communications lorsqu’elles sont ainsi centralisées que d’installer 50 000 « boîtes noires« , et puis c’est moins coûteux : 500M€, quand même…

La loi du 30 novembre 2015 relative aux mesures de surveillance des communications électroniques internationales, qui légalise la « surveillance des communications qui sont émises ou reçues à l’étranger » prévue par la loi renseignement, n’en précise pas moins que « lorsqu’il apparaît que des communications électroniques interceptées sont échangées entre des personnes ou des équipements utilisant des numéros d’abonnement ou des identifiants techniques rattachables au territoire national, y compris lorsque ces communications transitent par des équipements non rattachables à ce territoire, celles-ci sont instantanément détruites. »

La question reste de savoir comment, et plus particulièrement de savoir si ces procédures de « minimisation » sont réellement efficaces. Un rapport vient ainsi de révéler que le BND, le pendant allemand de la DGSE, filtrait bien les n° de téléphone commençant par +49 et les adresses mails de type .de, mais qu’elle serait incapable de proprement « minimiser » les données des Allemands utilisant des serveurs situés à l’étranger, avec des adresses en .com ou .org, et communiquant en anglais… Reste que, et comme l’a montré la prétendue « affaire » de surveillance de Thierry Solère, la DGSE a bien identifié, et mis un terme, à ce qui constituait un « détournement frauduleux des moyens techniques » de la DGSE.

La loi renseignement légalisait par ailleurs l’installation de mouchards, ou logiciels espion, par les services de renseignement, à l’instar de ceux qui avaient été légalisés en 2011 avec la LOPSSI de Nicolas Sarkozy, mais à l’époque pour le seul bénéfice des officiers de police judiciaire. Or, une autre note de bas de page du rapport de la DPR précise que ce dispositif « n’a été que très rarement mis en oeuvre (…) en effet, le passage préalable devant une commission administrative pour autoriser les logiciels entraîne des délais tels que ce dispositif n’a été mis en oeuvre que six fois depuis 2011« . 6 fois, en 5 ans… ça ne nous dit pas combien de logiciels espions ont été exploités par les services de renseignement, mais ça relativise aussi quelque peu la « surveillance de masse« .

Pouvoir surveiller « tout le monde », ou « n’importe qui » ?

Enfin, le rapport 2014 de la Commission nationale de contrôle des interceptions de sécurité (CNCIS), chargée d’autoriser (#oupas) les écoutes téléphoniques « interceptions administratives » réclamées par les services de renseignement, explique que « dans son souci de conserver un caractère exceptionnel aux interceptions de sécurité, le législateur a opté pour une limitation sous forme d’un encours maximum, protecteur des libertés publiques, dans le but d’ «inciter les services concernés à supprimer le plus rapidement possible les interceptions devenues inutiles, avant de pouvoir procéder à de nouvelles écoutes »« , et qui prend la forme d’un quota, ou « contingent maximum« , de cibles écoutables, fixé par le Premier ministre.

De 1180 lignes écoutables en simultané en 1991, ce quota est passé à 1540 en 1997, 1670 en 2003, puis en 2008 à 1840 « cibles » (une « cible » pouvant correspondre à plusieurs cartes SIM utilisées par un seul et même individu), 2190 en 2014 et, suite aux attentats de janvier 2015, à 2700 cibles écoutables en simultané. La CNCIS n’en précisait pas moins que « le nombre d’abonnés à des services mobiles en France était de son côté passé de 280 000 en 1994 à 78,4 millions en juin 2014« , mais également qu' »il convient en outre de souligner l’absence de cas récent de l’emploi de la totalité du contingent général« . En clair : le quota n’a jamais été atteint, sinon dépassé.

En moyenne, ces dernières années, on dénombre ainsi un peu plus de 6000 « interceptions administratives« , par an, et encore : plusieurs d’entre-elles sont des renouvellements, les autorisations étant de 4 mois renouvelables. On est, là encore, bien loin d’une « surveillance de masse« .

En juin dernier, alors que l’on venait tout juste de tourner le module vidéo, Reflets & Mediapart révélaient que le GIC avait déployé, dès 2009, plusieurs milliers de « boîtes noires« . J’en avais entendu parler, mais je n’avais pas réussi à le recouper.

Leur nom de code, « Interceptions Obligations Légales » (IOL), laisse entendre qu’elles seraient encadrées, sinon par la loi, tout du moins par la désormais fameuse jurisprudence créative » de la CNCIS, expression qualifiant ce qu’elle a vérifié, et validé, quand bien même aucun texte de loi, discuté au Parlement, ne l’ait autorisé : je ne peux que le déplorer, et n’ait de cesse de tenter de le documenter, mais en matière de renseignement (ainsi que de fichiers policiers), les « techniques de renseignement » sont généralement mises en oeuvre avant que d’être légalisées.

En tout état de cause, ni la loi renseignement, ni l’infrastructure décentralisée de l’Internet en France, ne permettent (techniquement et financièrement) ni n’autorisent (légalement) une « interception de l’ensemble des données de tous les citoyens français en temps réel sur Internet« , a fortiori par la DGSE, chargée de l’espionnage à l’étranger.

Pour autant, et comme j’ai tenté de l’expliquer en commentaires d’un autre article de Reflets consacré à IOL, une chose est de se doter des moyens susceptibles de permettre au GIC de pouvoir « surveiller n’importe qui« , une autre est de vouloir « surveiller tout le monde« … La vidéosurveillance n’a pas pour vocation de faire de la « surveillance de masse« , et je ne vois pas ce pourquoi les techniques de renseignement en iraient autrement.

Pourquoi la DGSI surveille peut-être votre papa (#oupas)

En juillet dernier, une énième loi anti-terroriste a autorisé le recueil en temps réel des données de connexion des personnes, non seulement « préalablement identifiée comme présentant une menace » comme ce fut le cas avec la loi renseignement, mais aussi des personnes « préalablement identifiée (comme) susceptible d’être en lien avec une menace« .

La question n’est plus de savoir si l’on a « rien à cacher » : il suffit en effet de communiquer avec quelqu’un qui communique avec une « cible » pour pouvoir être surveillé. De N+1, on passe à N+2 -la NSA allant, de son côté, jusqu’à N+3 (voir Pourquoi la NSA espionne aussi votre papa (#oupas)).

Comme expliqué sur Slate, l’expression « trois hops » signifie que la NSA peut s’intéresser aux communications de la personne ciblée, plus celles de ses contacts (premier hop), de leurs contacts (two hops), et de ceux qui sont en contact avec ces personnes de 3e niveau (three hops).
Voir aussi le très instructif graphique interactif du Guardian.

« Surveillance de masse » VS « collecte de masse »

Depuis des années, je n’ai de cesse de déplorer la diabolisation d’Internet en général (cf Les internautes, ce « douloureux probleme », ou notre documentaire, Une contre-histoire de l’internet), et du chiffrement en particulier (cf Les terroristes sont des internautes comme les autres, ou Crypto: pourquoi l’ex-chef de la NSA défend Apple).

Je ne peux de même que déplorer la diabolisation des services de renseignement. Pour le coup, et depuis les révélations Snowden, je vois autant de propos biaisés et caricaturaux au sujet du chiffrement que de propos plutôt parano au sujet des services de renseignement.

La notion de « surveillance de masse » a pu laisser entendre que les services de renseignement surveillaient, massivement, des pans entiers de la population. C’est probablement vrai sur certains théâtres d’opération et zones de guerre, quand bien même il est raisonnablement difficile d’imaginer que quelques milliers de personnes puissent réellement surveiller des dizaines de millions d’internautes et d’utilisateurs de téléphone portable.

Ce qui intéresse vraiment les services de renseignement, ce n’est pas de surveiller massivement la population, mais de disposer de systèmes de « collecte de masse » leur permettant de pouvoir « surveiller n’importe qui« , ce « n’importe qui » étant par ailleurs et bien souvent des ordinateurs, plus que des êtres humains.

Bernard Barbier, l’ex-directeur technique de la DGSE, l’explique très bien dans la conférence qu’il avait accordé à Supélec en juin dernier, et où il expliquait notamment comment, en 2008, il avait reçu 500M€ et pu recruter 800 ingénieurs afin de déployer le système français de surveillance de l’Internet, profitant de « la capacité de stocker pas cher, et de calculer pas cher« , ce qu’il qualifie de « bon technologique absolument fondamental » :

« Ce qu’on appelle le ‘Big Data’ amène une capacité d’intrusion énorme sur les citoyens : on peut savoir quasiment tout ce que vous faites avec vos téléphones portables et ordinateurs; effectivement, on est un ‘Big Brother’. Maintenant, c’est aux hommes politiques, et aux citoyens, de décider ce que l’on veut faire.

Moi, en tant qu’ingénieur, j’ai expliqué aux politiques ce que l’on peut faire : jamais l’homme n’a eu une capacité d’intrusion telle, qui n’a jamais existé dans l’histoire de l’humanité, après c’est à vous de décider quelle est la balance entre votre vie privée et votre sécurité. »

« Une des solutions, c’est la guerre informatique »

Dans l’interview parue dans Libé qu’il avait accordée à Pierre-Olivier François pour son documentaire « Cyberguerre, l’arme fatale ? » (que vous pouvez toujours voir sur YouTube et auquel, full disclosure, j’avais contribué), Barbier expliquait que « les Chinois ont bon dos : beaucoup de pays se font passer pour des Chinois !« . Et c’est précisément au sujet des Chinois que vient l’un des passages les plus intéressants. A 49’30, interrogé sur la menace que représenterait la Chine en matière de cyber-attaques, il revient sur ce pourquoi la Chine, au-delà du Big Data, s’était elle aussi lancée dans la guerre et l’espionnage informatique :

« Tout est écrit. Un colonel de l’armée chinoise a écrit un mémoire en 1995 qui explique que la Chine n’arrivera pas à dépasser les Américains, en matière de course à l’armement, avant 50-60 ans, au vu de leur avance technologique, et du coût gigantesque que cela représente.

Or, l’informatique devient quelque chose de prégnant dans tous les systèmes militaires, et une des solutions pour revenir au niveau des Américains, c’est la guerre et l’espionnage informatique, parce que le coût est faible, parce qu’il faut des cerveaux, et qu’il y en a beaucoup plus en Chine qu’aux USA.

L’armée populaire de Chine a donc créé une cyber-army à partir des années 1997-1998. Ils se sont aperçus que les Américains étaient très mal protégés, ils ont recruté des milliers de hackers, et ils ont lancé des attaques extrêmement massives sur toutes les sociétés d’armement. Pour la petite histoire, ils ont par exemple complètement espionné Areva. »

Étrangement, on voit que la vidéo a été coupée à cet instant précis (52’20), sans que l’on sache s’il s’est agi d’un problème technique, ou d’une coupe motivée par les propos tenus par Bernard Barbier, et qui ne sauraient être rendus publics. L’attaque d’Areva avait été révélée le 29 septembre 2011 par L’expansion, qui évoquait alors une « origine asiatique » et, pire, qu’elle durait depuis deux ans.

Je pense que ‘Grandes oreilles’ c’est mieux que ‘Big Brother’ aka ‘Le problème de l’Internet’

Plus tard, un étudiant lui demanda si la DGSE avait repéré l’attaque visant Areva en surveillant Areva : « Non, ce n’est pas en surveillant Areva : si vous avez des « grandes oreilles », vous voyez passer tous les paquets IP, vous prenez les méta-données, que vous analysez pour pouvoir remonter à des attaques informatiques, à des signatures » :

« Beaucoup de malwares (logiciels malveillants -NDLR), pour faire fuir les informations en toute discrétion, vont établir un tuyau avec un serveur de command and control (CC) et les faire remonter de façon chiffrée. Or, le fait de chiffrer les informations apporte une signature, et quand vous avez ces signatures dans votre ‘Big Brother système’, dans vos pétaoctets de données, vous savez que ce malware a été injecté dans un ordinateur à tel endroit.

Quand vous prenez une fibre optique qui transporte des millions de communications, vous prenez toute la fibre optique, donc vous voyez tout passer; après il peut y avoir un débat, nous notre rôle c’était de traiter et d’analyser ces méta-données pour identifier ce qui pouvait représenter une menace pour la France.

Le problème de l’Internet, c’est que les flux IP, ils passent n’importe où, avec les routeurs, le protocole BGP, donc si vous voulez avoir une capacité importante, il faut quasiment tout prendre, et pour la cyberdéfense c’est extrêmement important parce que vous voyez tous les flux qui viennent vous attaquer. »

C’est la première fois qu’est ainsi décrit, succintement mais publiquement, le système de surveillance de l’Internet mis en place par la DGSE, qualifié de « Big Brother » par celui-là même qui l’a mis en place, en 2008, même si, comme il l’explique à 1’05’10, « Je pense que ‘Grandes oreilles’ c’est mieux que ‘Big Brother’ : je suis très très fier d’avoir créé ces ‘grandes oreilles’ françaises parce que c’est quelque chose de fondamental actuellement. »

« On ne conserve que les méta-données »

Revenant sur l’attaque informatique de l’Elysée, Bernard Barbier raconte également qu’alertée par son responsable informatique (un ancien de la DGSE), la direction technique y avait placé des « sondes » sur la passerelle (« gateway« ) reliant le réseau élyséen à Internet, qu’elle y observa des « choses anormales, de faux paquets IP« , et qu’elle y reconnu la signature d’un logiciel espion (« malware« ) qu’elle avait déjà identifié lors d’une précédente attaque informatique visant la Commission européenne, en 2010.

A l’époque, ses équipes de rétro-ingénierie avaient conclu, au vu de la complexité de l’attaque, qu’elle ne pouvait provenir que des Américains ou des Russes. Entre-temps, explique Barbier, les capacités d’interception des flux Internet de la DGSE avait augmenté :

« Dans le système, ce qui est assez redoutable, c’est que quand vous interceptez massivement, vous ne conservez pas le contenu, c’est impossible, avec les conversations téléphoniques, y’a trop de mégabits, on ne conserve que les métadonnées, qui expliquent tout ce que vous faites sur Internet.

Avec ce stock de données, on peut faire plein de choses, et on a pu retracer la signature de ce malware, les pays où il avait été utilisé, et j’en ai conclu, compte tenu de sa complexité, que ça ne pouvait être que les Etats-Unis. »

Der Spiegel a depuis révélé, en 2013, que l’attaque émanait en fait du GCHQ, le partenaire et homologue britannique de la NSA, avec qui il partage cette suite de logiciels espions, qu’Edward Snowden nous a permis de découvrir qu’elle répondait au nom de code Quantum.

En tout état de cause, le système présenté par Barbier s’apparente plus au système XKeyscore de la NSA, à savoir un système de « collecte de masse » des méta-données permettant aux analystes du renseignement de rechercher des signatures, des traces, des identifiants, qu’à un système de « surveillance de masse » de la population, façon « Big Brother« .

Placés dans de mauvaises mains, détournés par des individus mal intentionnés, de tels systèmes pourraient bien évidemment être utilisés pour espionner des quidams lambda. Il est à ce titre plutôt étonnant de voir qu’il a fallu attendre ce mois d’août, trois ans après le début des révélations Snowden, pour que The Intercept publie la première histoire d’un quidam lambda espionné par la NSA, au motif qu’il participait à des réunions pro-démocratie aux îles Fidgi.

« Rien à cacher » ?

Les révélations Snowden montrent l’ampleur des moyens techniques déployés par la NSA et ses pairs pour pouvoir « collecter » un maximum de données, à la manière des « experts » de la police technique et scientifique, pas qu’elles « surveillent » massivement des pans entiers de la population façon « Big Brother« .

Ce que n’expliquent pas, ou mal, les révélations Snowden, c’est que si la NSA ou la DGSE peuvent être ainsi amenées à chercher, de leurs propres chefs, les « signatures » de tels ou tels ordinateurs ou malwares, impliqués dans des attaques cyber telles que celle qui avait visé le réseau informatique de l’Élysée, les êtres humains qui sont « ciblés » (et donc surveillés, voire espionnés) par les services de renseignement, le sont parce qu’ils ont été désignés comme tels par leur hiérarchie et, in fine, par le pouvoir exécutif.

Dit autrement : le problème, ce n’est pas tant la NSA, ou la DGSE, que ce que les pouvoirs publics leur demandent de faire. En l’espèce, le Parlement a donc autorisé, en juillet dernier, nos services de renseignement à surveiller les N+2, et donc ceux qui communiquent avec ceux qui communiquent avec les « cibles » validées par les autorités.

Pour autant, il ne s’agit pas d’une « surveillance massive de l’ensemble de la population » française, de façon indiscriminée. Mais d’une potentielle « surveillance de masse » des méta-données de tous ceux qui communiquent avec des personnes qui communiquent avec les quelque 20 000 personnes fichées S, voire plus si affinités, les « cibles » des services de renseignement ne se bornant pas aux seuls « fichés S« .

Reste que la probabilité que vous communiquiez avec quelqu’un qui communiquerait avec une « cible (ou) menace) » résidant à l’étranger est moindre que celle que vous communiquiez avec une « cible » résidant sur le territoire national, que vous risquez donc plus d’être surveillé par la DGSE que par la DGSI, et que vous risquez encore plus d’être surveillé par la NSA, le GCHQ & Cie (qui n’ont pas à respecter le droit français), et encore plus d’être espionné par vos conjoints, employeurs, collègues et parents qui, eux, disposent d’un accès physique à vos ordinateurs et téléphones, et pourraient donc y installer un logiciel espion.

Mai 2008, mon tout premier tweet : « Vous êtes en état d’interception. Toutes vos télécommunications pourront être retenues contre vous. »

"Vous êtes en état d'interception : toutes vos télécommunications pourront être retenues contre vous"

— jean marc manach (@manhack) May 9, 2008

2015, la dernière planche de ma BD, « Grandes oreilles et bras cassés » (voir les bonnes feuilles) :