Autoblog de la La quadrature du net

Ce site n'est pas le site officiel de la Quadrature du net.
C'est un blog automatisé qui réplique les articles de laquadrature.net

QSPTAG #297 — 16 novembre 2023

Fri, 17 Nov 2023 17:10:59 +0000 - (source)

Campagne 2024 : c’est le moment de soutenir La Quadrature !

Comme chaque fin d’année à l’approche de l’hiver, nous lançons notre campagne de soutien pour financer l’année qui vient. Si vous pouvez faire un don pour nous aider à travailler en 2024, c’est maintenant, et c’est ici !

Pour nous, c’est bien sûr aussi un moment important pour réfléchir aux chantiers qui nous attendent, en plus de ceux qui nous occupent déjà beaucoup. Sans cesse il faut faire des choix, décider où mettre le temps et l’énergie qui ne sont pas illimitées. Alors on se donne une sorte de « feuille de route » pour garder le cap, sans s’interdire bien sûr de se consacrer aux surprises bonnes ou mauvaises de l’actualité quand elles se présenteront. Cette « feuille de route » est ici.

Nous porterons plus haut que jamais l’idée et la nécessité d’obliger les services web à l’interopérabilité, seul moyen de lutter contre la recentralisation du Web et la tyrannie de l’économie de l’attention. Nous lutterons autant que nécessaire contre les algorithmes utilisés par les administrations pour criminaliser et punir les bénéficiaires des services sociaux. Nous défendrons le droit au chiffrement des communications, attaqué de toutes parts par les gouvernements français et européens sous prétexte de lutter contre le terrorisme, au mépris du droit fondamental qu’est le secret des correspondances, vital pour les démocraties. Et enfin, nous réfléchirons à ce que le numérique fait au monde, non seulement selon les points de vues sociaux et politiques qui sont les nôtres depuis toujours, mais aussi du point de vue écologique, dans le contexte bien connu de la destruction de l’écosystème par les activités humaines. Quels usages faut-il promouvoir et lesquels abandonner ? Il nous semble que La Quadrature à quelque chose à en dire : « l’écologie sans la politique, c’est du jardinage », dit le dicton.

Nous aurons donc beaucoup à faire dans l’année qui vient. Alors si vous le pouvez, soutenez-nous ! Tous les dons sont les bienvenus, même les tout petits, et les dons mensuels même minimes auront toujours notre prédilection parce qu’ils nous permettent d’envisager le budget de l’année avec plus de sérénité. Merci pour tout ce que vous pourrez faire, et merci aussi de faire connaître cette campagne de soutien sur vos réseaux sociaux !

Lire notre feuille de route pour 2024 : https://www.laquadrature.net/2023/11/15/de-nouveaux-combats-pour-2024/
Faire un don pour soutenir La Quadrature : https://www.laquadrature.net/donner/

Révélation : la police nationale utilise de manière illégale les logiciels de VSA de la société Briefcam

C’est l’association Disclose qui a publié l’information après une enquête approfondie : la police nationale utilise en toute illégalité et en toute connaissance de cause les logiciels de la société Briefcam, qui appliquent un traitement algorithmique aux photos et aux flux de vidéosurveillance pour analyser les images et identifier des personnes par reconnaissance faciale.

Nous avons documenté depuis quelque temps l’utilisation de ce logiciel ou d’outils similaires par les polices municipales, mais nous n’avions pas de preuves concernant les pratiques de la police nationale. C’est aujourd’hui chose faite>. Nous rappelons dans un article de réaction à cette publication de Disclose les éléments juridiques qui posent l’illégalité du dispositif, et nous en appelons aussi à la CNIL, beaucoup trop conciliante jusqu’à présent avec les usages illégaux de la reconnaissance faciale et de logiciels d’analyse par les forces de police.

Lire l’article de Disclose : https://disclose.ngo/fr/article/la-police-nationale-utilise-illegalement-un-logiciel-israelien-de-reconnaissance-faciale/
Notre réaction : https://www.laquadrature.net/2023/11/14/videosurveillance-algorithmique-a-la-police-nationale-des-revelations-passibles-du-droit-penal/

Une coalition d’associations européennes attaque le Règlement Terro en France

Le 8 novembre denier, six organisations européennes — La Quadrature du Net, Access Now, ARTICLE 19, European Center for Not-for-Profit Law, EDRi et Wikimedia France — ont déposé devant le Conseil d’État un recours contre le décret qui doit adapter dans le droit français les dispositions du « règlement Terro » européen (ou TERREG) adopté en 2021.

Mais en quoi ce contentieux français concerne-t-il nos partenaires européens ? C’est que ce recours en France est pour nous un point d’entrée : nous demandons au Conseil d’État de transmettre à la Cour de justice de l’Union européenne (CJUE) une « question préjudicielle » sur la validité du TERREG. Nous pensons que ce règlement, qui permet aux forces de police d’un pays de l’UE d’ordonner à un site web de bloquer dans un délai d’une heure (oui, une heure) tout contenu supposé être à caractère terroriste, contrevient au regard des droits fondamentaux protégés par le droit de l’UE.

La procédure durera plusieurs mois, avant que le gouvernement français produise sa réponse, et probablement plusieurs années avant que la CJUE ne rende sa décision. Mais comme nous rejetons les dispositions numériques du TERREG depuis sa première ébauche en 2018, on peut dire que La Quadrature a les idées longues. On suit l’affaire et on vous tiendra au courant !

Lire l’article : https://www.laquadrature.net/2023/11/09/une-coalition-de-6-organisations-attaque-en-justice-le-dangereux-reglement-de-lue-sur-les-contenus-terroristes/

La Quadrature dans les médias

Reconnaissance faciale et VSA

JO et VSA

Surveillance

Recours contre le TERREG

Loi SREN

Procès du 8 décembre

Divers

Agenda


De nouveaux combats pour 2024

Wed, 15 Nov 2023 13:40:27 +0000 - (source)

La Quadrature du Net défend depuis quinze ans les droits et les libertés fondamentales de toutes et tous à l’ère du numérique. Ces quinze années de combat n’auraient pas été possibles sans vous, merci beaucoup ! Et nous avons besoin de vous pour continuer la lutte en 2024 !

Les chantiers que nous suivons depuis quinze ans déjà, vous les connaissez sans doute : contre la criminalisation du partage de la culture depuis la loi Hadopi de 2008, pour la neutralité du Net, contre l’exploitation des données personnelles et la tyrannie de la publicité en ligne, contre la censure et la surveillance du Web par les États, contre la Technopolice, les drones et la vidéosurveillance algorithmique.

Mais de nouvelles questions surgissent, de nouveaux fronts se réactivent, où nous sentons que nous pouvons jouer un rôle utile. On a vu les administrations publiques s’armer d’algorithmes dans la guerre aux pauvres et aux « fraudeurs », avec pour effet l’amplification des discriminations structurelles, le tout sous sous prétexte de modernité caricaturale, de pseudo-efficacité et de « dématérialisation ». On a vu la logique de la surveillance s’immiscer partout et s’étendre à tous les aspects de nos vies publiques et intimes. D’abord pour les besoins d’une surenchère publicitaire qui a transformé le Web en gigantesque galerie marchande, où chacune de nos curiosités, chacun de nos intérêts et chacune de nos relations amoureuse ou amicale devient l’enjeu d’une vente, d’un produit, ou d’un « service » toujours plus inutile et farfelu. Ensuite, et surtout, pour les besoins d’un pouvoir politique et étatique friand de fichage et toujours plus intrusif, beaucoup trop content d’exploiter nos innombrables traces numériques pour mieux nous surveiller, nous connaître, et anticiper nos comportements politiques et sociaux. Face à ces défis, nous voulons amplifier de nouveaux chantiers — sans pour autant oublier ceux sur lesquels nous travaillons déjà.

D’abord, nous continuerons de porter toujours plus loin et toujours plus haut (ça tombe bien, on entre dans une année olympique) l’idée d’un Web interopérable. L’Internet ouvert et horizontal des débuts, qui fut une réalité incontestable, s’est retrouvé ces quinze dernières années mis en « silos » par les grandes plateformes et les réseaux sociaux privés (Facebook, Twitter, Instagram bien sûr, mais aussi YouTube, etc.). Aujourd’hui, quitter un de ces réseaux c’est perdre les relations et les échanges qui sont tout le sel du Web. Alors que si les différents services sont interopérables, on peut déménager sans perdre de vue personne, et choisir l’environnement dans lequel on se sent libre de s’exprimer sans être soumis à l’hostilité qui fait vivre les plateformes et détruit le tissu des sociétés. Nous porterons avec entêtement cette idée simple, qui a déjà une réalité technique (dans le Fédivers par exemple), jusqu’à ce que les lois européennes et françaises en fassent un principe de base du Web et de l’Internet en général.

Nous allons aussi continuer notre travail d’enquête et de lutte contre les algorithmes de contrôle social, jusqu’à leur disparition. Aujourd’hui, des algos de « scoring » ou de profilage traquent les bénéficiaires des minima sociaux, que ce soit à la CAF, à Pôle Emploi ou ailleurs, pour transformer en enfer la vie des personnes les plus précaires, sous prétexte de lutter contre les abus. En réalité, ici comme ailleurs, l’outil numérique n’a servi qu’à introduire une surveillance très fine des vies les plus ordinaires pour contester les droits des personnes et criminaliser les comportements marginaux. Le numérique ne doit pas être l’instrument complaisant d’une politique sociale qui déresponsabilise la société dans son ensemble et déshumanise les personnes. Nous ferons tout pour que ces outils dangereux soient remplacés par une volonté d’humanité et le désir d’une société plus aimante et plus juste.

Ensuite, nous défendrons partout où il le faudra le droit au chiffrement des données et des communications. C’est une vieille lune des États, quels qu’ils soient : accéder aux correspondances des citoyens pour des raisons de police. Le « cabinet noir », c’était autrefois ce lieu secret métaphorique où la police lisait discrètement les lettres des opposants avant de les remettre en circulation. Alors que le numérique menace de rendre tout transparent aux yeux du pouvoir, le chiffrement des données a rétabli un peu de l’équilibre perdu entre le secret des correspondances et la prétention du « cabinet noir » à tout voir. Sans le chiffrement des communications, n’importe qui d’un peu déterminé peut accéder aux photos et aux blagues que vous échangez avec votre famille, aux échanges scientifiques inaboutis des chercheurs, aux discussions des groupes politiques ou syndicaux, etc. Le secret des communications est un des piliers de la démocratie bien tempérée : la transparence totale des opinions aux yeux de l’État est exactement la définition d’un régime policier. Pour mille raisons, dont le fait qu’il s’agit d’un droit fondamental, nous devons donc défendre notre droit au chiffrement et au secret contre tous les sophismes sécuritaires et policiers. Et plus les États voudront forcer ce droit au secret, plus nous aurons de raisons urgentes de le protéger.

Enfin, nous ne pouvons plus longtemps faire l’impasse sur les dangers immédiats et majeurs que notre mode de vie numérique fait collectivement peser sur les conditions de notre survie, et celle d’innombrables autres espèces. L’écosystème dont nous faisons partie craque de toutes parts, on le sait, on le voit, et la surproduction numérique a largement sa part dans ce désastre. Porté par le culte incontesté de la croissance et de la nouveauté permanente, le numérique entraîne avec lui une industrie colossale et polluante, qui détruit des territoires et des vies, pour alimenter notre ivresse d’écrans et de connectivité. Des mines de cobalt et de lithium jusqu’aux entrepôts des géants de la distribution mondiale, de la frénésie consumériste à l’économie de l’attention qui nous retient avec des procédés d’addiction, le numérique est aujourd’hui sans conteste un facteur de destruction autant que d’échanges, de liberté et de savoir. Il faut donc rendre au « digital » le poids de son corps physique, et à la « dématérialisation » sa matérialité, pour réfléchir aux outils et aux usages qui nous paraissent devoir être sauvés, préservés, cultivés ou inventés, et ceux auxquels ils nous faut renoncer.

Vaste programme ! Et on ne s’arrêtera pas à cela. Notre campagne Technopolice va connaître des rebondissements avec l’expérimentation prochaine de la vidéosurveillance algorithmique légalisée par la loi relative aux Jeux Olympiques. Nous voulons aussi participer de manière plus résolue à lutter contre la surveillance numérique croissante à laquelle font face les groupe militants. Enfin, nous envisageons d’ouvrir un front contre l’« intelligence artificielle », qui déferle partout sans qu’une résistance organisée puisse y faire face.

Tout cela pour vous dire à quel point votre soutien et vos dons seront précieux pour cette nouvelle année qui s’annonce !

Faire un don !

L’équipe de La Quadrature du Net


Vidéosurveillance algorithmique à la police nationale : des faits passibles du droit pénal

Tue, 14 Nov 2023 18:23:47 +0000 - (source)

Dans un article publié aujourd’hui, le média d’investigation Disclose révèle que depuis des années, en se sachant dans l’illégalité la plus totale, la police nationale a recouru au logiciel de l’entreprise israélienne Briefcam, qui permet d’automatiser l’analyse des images de vidéosurveillance. Cette solution comporte une option « reconnaissance faciale » qui serait, d’après Disclose, « activement utilisée ».

Cela fait désormais près de cinq ans qu’à travers la campagne Technopolice, La Quadrature du Net, en lien avec des collectifs partout dans le pays, documente l’usage illégal de la vidéosurveillance algorithmique (VSA) par les forces de police municipale. De fortes présomptions existaient quant à son utilisation par la police nationale. Nous l’évoquions d’ailleurs dans notre dossier sur la VSA publié lors de la campagne contre la loi sur les jeux olympiques et paralympiques (voir page 20). La confirmation faite aujourd’hui n’en est pas moins choquante. Non seulement compte tenu de l’échelle du déploiement de cette technologie, avec des licences Briefcam couvrant plusieurs départements. Mais aussi en raison des dissimulations dont ce marché public hautement sensible a fait l’objet de la part de hauts fonctionnaires et de responsables politiques.

Il faut se souvenir de Gérald Darmanin qui, l’an dernier en préparation des débats sur l’article 10 de la loi Jeux Olympiques, reconnaissait qu’il n’existait aucune base légale pour l’utilisation policière de ces technologies d’analyse automatisée. L’intelligence artificielle transforme radicalement l’économie politique de la vidéosurveillance, raison pour laquelle nous refusons la VSA. Même dans le cadre d’enquêtes judiciaires, l’État se devrait au minimum de prévoir une base juridique claire pour l’encadrer.

Tout aussi choquant est le sentiment d’impunité généralisé que révèle cette affaire. Les cadres de la Direction Générale de la Police Nationale, de même que les ministres successifs, ont sciemment organisé le secret par peur de la controverse, se sachant hors du droit.

Rappelons-le : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (cf. art. 226-18 et -19 du code pénal). Par ailleurs, tout·e fonctionnaire est tenu·e de signaler sur le champ une infraction dont il ou elle aurait connaissance au procureur (article 40 du code de procédure pénale). Enfin, Disclose explique que pour financer le renouvellement des licences Briefcam, « la hiérarchie policière a pioché dans le « fonds concours drogue » ». Ce qui pourrait s’apparenter à du détournement de fonds publics.

Ces faits sont extrêmement graves. L’impuissance chronique à laquelle se condamnent les contre-pouvoirs institutionnels, de la CNIL à l’IGPN, est elle aussi symptomatique d’une crise systémique de l’État de droit. L’actualité donne d’ailleurs une nouvelle et triste illustration de cette coupable inaction : la CNIL s’est contentée d’un « rappel à l’ordre » à l’encontre de deux ministères après le détournement de fichiers et l’envoi au printemps dernier de 2 millions de messages de propagande destinés à manipuler l’opinion au sujet de la réforme des retraites.


Une coalition de 6 organisations attaque en justice le dangereux règlement de l’UE sur les contenus terroristes

Thu, 09 Nov 2023 11:15:34 +0000 - (source)

Le 8 novembre 2023, une coalition de six organisations – La Quadrature du Net (LQDN), Access Now, ARTICLE 19, European Center for Not-for-Profit Law (ECNL), European Digital Rights (EDRi) et Wikimedia France – a déposé un recours devant la plus haute juridiction administrative française, le Conseil d’État, contre le décret français adaptant le règlement européen relatif à la lutte contre la diffusion des contenus à caractère terroriste en ligne (également connu sous le nom de « TERREG »).

Elles demandent au Conseil d’État de saisir la Cour de justice de l’Union européenne (CJUE) d’une question préjudicielle sur la validité du TERREG au regard des droits fondamentaux protégés par le droit de l’UE.

Ce règlement permet aux forces de police d’un pays de l’UE d’ordonner à un site web, à un réseau social ou à tout fournisseur de services en ligne hébergeant des contenus créés par les utilisateurs de bloquer, dans un délai d’une heure, tout contenu supposé être à caractère terroriste – et cela dans tous les États membres de l’UE. Ces fournisseurs de services peuvent également être contraints de mettre en œuvre des « mesures spécifiques » pour prévenir la publication de contenus terroristes. Ces « mesures spécifiques » – dont la nature reste à la discrétion des fournisseurs de services – peuvent inclure, par exemple, des dispositifs de filtrage automatisé, afin d’analyser l’ensemble des contenus avant leur publication. Ces systèmes automatisés sont incapables de prendre en compte le contexte de la publication et sont notoirement prédisposés à commettre des erreurs, entraînant la censure de contenus protégés tels que le travail de journalistes, la satire, l’art ou les contenus documentant les violations des droits humains. En outre, l’obligation d’adopter des « mesures spécifiques » peut violer l’interdiction d’imposer une obligation générale de surveillance en vertu du règlement sur les services numériques (Digital Services Act, ou DSA).

Depuis que la proposition législative a été publiée par la Commission européenne en 2018, les organisations de la société civile parties au litige – comme beaucoup d’autres – ont dénoncé le risque de violation des droits fondamentaux qu’implique le TERREG. Bien que la lutte contre le terrorisme soit un objectif important, le TERREG menace la liberté d’expression et l’accès à l’information sur internet en donnant aux forces de l’ordre le pouvoir de décider de ce qui peut être dit en ligne, sans contrôle judiciaire indépendant préalable. Le risque d’excès et d’abus des forces de l’ordre en matière de suppression de contenu a été largement décrit, et augmentera inévitablement avec ce règlement. Cette législation renforce également l’hégémonie des plus grandes plateformes en ligne, car seules quelques plateformes sont actuellement en mesure de respecter les obligations prévues par le TERREG.

« La question de la modération des contenus en ligne est grave et la réponse ne peut être une censure policière technosolutionniste, simpliste mais dangereuse », déclare Bastien Le Querrec, juriste à La Quadrature du Net, l’ONG cheffe de file de la coalition.

La défense de l’affaire par le gouvernement français est attendue pour les prochains mois. La décision du Conseil d’État n’est pas attendue avant l’année prochaine.

La Quadrature du Net (LQDN) promeut et défend les libertés fondamentales dans le monde numérique. Par ses activités de plaidoyer et de contentieux, elle lutte contre la censure et la surveillance, s’interroge sur la manière dont le monde numérique et la société s’influencent mutuellement et œuvre en faveur d’un internet libre, décentralisé et émancipateur.

Le European Center for Not-for-Profit Law (ECNL) est une organisation non-gouvernementale qui œuvre à la création d’environnements juridiques et politiques permettant aux individus, aux mouvements et aux organisations d’exercer et de protéger leurs libertés civiques.

Access Now défend et améliore les droits numériques des personnes et des communautés à risque. L’organisation défend une vision de la technologie compatible avec les droits fondamentaux, y compris la liberté d’expression en ligne.

European Digital Rights (EDRi) est le plus grand réseau européen d’ONG, d’expert·es, de militant·es et d’universitaires travaillant à la défense et à la progression des droits humains à l’ère du numérique sur l’ensemble du continent.

ARTICLE 19 œuvre pour un monde où tous les individus, où qu’ils soient, peuvent s’exprimer librement et s’engager activement dans la vie publique sans crainte de discrimination, en travaillant sur deux libertés étroitement liées : la liberté de s’exprimer et la liberté de savoir.

Wikimédia France est la branche française du mouvement Wikimédia. Elle promeut le libre partage de la connaissance, notamment à travers les projets Wikimédia, comme l’encyclopédie en ligne Wikipédia, et contribue à la défense de la liberté d’expression, notamment en ligne.


QSPTAG #296 — 13 octobre 2023

Fri, 13 Oct 2023 12:15:27 +0000 - (source)

Parmi les mesures contestables et contestées de la loi « visant à sécuriser et réguler l’espace numérique » (SREN), l’obligation des filtres anti-arnaques n’est pas la moindre. L’article 6 du projet de loi oblige les navigateurs web à bloquer les sites identifiés par les autorités administratives (la police) comme étant des arnaques (phishing, mineurs de Bitcoin, usurpation d’identité, etc.).

Aujourd’hui déjà, la police peut exiger que les plateformes et les fournisseurs d’accès à Internet (FAI) censurent les contenus terroristes ou pédocriminels. Dans ce cas, les FAI paramètrent leurs serveurs DNS, chargés de traduire les URL des sites (www.laquadrature.net) en adresses IP (185.34.33.4). Après cette modification, le site n’est plus trouvable à partir de son URL et se trouve donc hors d’atteinte pour la grande majorité des internautes. Sauf si.
Sauf si l’internaute sait choisir son DNS et contourner l’interdiction en passant par un autre serveur. Il est donc tout à fait possible, et pas très difficile à vrai dire, de contourner une censure par DNS. C’est un procédé utilisé lorsque certains États bloquent les DNS nationaux, comme cela s’est vu lors des révoltes du Printemps arabe en 2011 par exemple.

Mais la solution choisie dans le projet de loi pour les « arnaques » implique directement le navigateur web de l’internaute. Les navigateurs incluent déjà des listes de sites ou de pages web malhonnêtes, sur lesquelles les utilisateurs pourraient croiser des virus ou des scripts malveillants. Si le navigateur détecte une tentative de connexion à l’une de ces pages « dangereuses », il prévient l’internaute, qui a le choix de passer outre à ses risques et périls. L’outil est donc envisagé à l’heure actuelle comme un service que les navigateurs choisissent de rendre à l’utilisateur, qui garde la main sur la décision finale.

Avec ce que le projet de loi SREN propose, les listes seraient non seulement tenues par la police, mais s’imposeraient surtout aux navigateurs. Une pratique très différente dans sa philosophie, et qui ouvre la porte à tous les excès possibles, à la censure de sites politiques par exemple, quand le fait sera installé et qu’il suffira de l’étendre pour censurer à discrétion tous les sites « gênants ».
Plus de détails dans notre article paru le 5 octobre dernier, avant le vote de l’article 6 à l’Assemblée ce mercredi 11 octobre.

Lire l’article : https://www.laquadrature.net/2023/10/05/projet-de-loi-sren-et-filtre-anti-arnaque-les-navigateurs-comme-auxiliaires-de-police/

La Quadrature dans les médias

Vidéosurveillance algorithmique

Divers

Agenda


QSPTAG #295 — 6 octobre 2023

Fri, 06 Oct 2023 14:03:50 +0000 - (source)

Sensivic, couic

Voilà déjà deux ans que nous avons attaqué en justice et devant la CNIL l’initiative de la mairie d’Orléans qui voulait installer dans certaines rues les micros de surveillance de l’entreprise Sensivic pour détecter « des sons anormaux ». Des cris de misère, des ventres qui gargouillent, des protestations contre la suppression des services publics ? Non : des bruits de bombe de peinture, de bagarre, de verre brisé ou des éclats de voix. Petit problème : le système implique « d’analyser en permanence le son ambiant pour pouvoir détecter des anomalies ». N’allez pas raconter votre dernier secret amoureux dans les rues d’Orléans.

Suite à notre action, Sensivic (aujourd’hui en redressement judiciaire) et la ville d’Orléans ont reçu la visite de la CNIL qui a étudié de près cette surveillance. Finalement, par un courrier du 27 septembre dernier, l’autorité nous a informé qu’elle considère illégal le couple maléfique constitué par les caméras et les micros dans les rues. On détaille dans l’article pourquoi cette position est insatisfaisante à nos oreilles – les micros tout seuls seraient-ils donc plus acceptables ?

Lire l’article : https://www.laquadrature.net/2023/09/30/audiosurveillance-algorithmique-a-orleans-la-cnil-donne-raison-a-la-quadrature-sur-lillegalite-du-dispositif/

Affaire du « 8 décembre » : le chiffrement mis en procès

C’est un sujet grave dont nous parlons depuis le mois de juin dernier. Un groupe de sept personnes est inculpé du chef de terrorisme, pour diverses raisons sans lien apparent, et surtout sans trace d’un projet terroriste avéré. Mais les enquêteurs de la DGSI et le parquet national antiterroriste ne doutent pas de leur intuition et pensent que les intentions terroristes des inculpé·es sont d’autant plus certaines qu’elles sont cachées.

Et ce n’est même pas une blague : pour l’accusation, le fait que les accusé·es utilisaient des messageries chiffrées (Signal par exemple) et des disques durs chiffrés est la marque évidente d’une « culture de la clandestinité ». Encore plus fort : alors qu’elle a saisi tous les appareils électroniques des accusé·es, ordinateurs et téléphones, et qu’elle a pu lire 80 à 90 % de leur contenu, l’accusation prétend que les preuves d’un projet terroriste se cachent forcément dans les 10% restants, qui sont chiffrés. Comme le dit l’un des avocats d’une inculpée, « l’absence de preuve devient une preuve ».

L’histoire serait absurde si elle n’était pas très grave. D’abord, des vies ont été détruites : surveillance, prison, procès, emplois perdus, désastre psychologique. Et pour nous, les prémisses et les conséquences du raisonnement policier et judiciaire concernent tout le monde : tout le monde utilise des messageries chiffrées. Whatsapp par exemple, qui est le moyen de communication utilisé pour un très grand nombre de conversations amicales et familiales, est une messagerie chiffrée. Les journalistes, les lanceur·euses d’alerte, les militant·es politiques et syndicales, les chercheur·euses, les industriel·les, ont besoin de protéger leurs communications. Au quotidien, le secret des correspondances est protégé par le droit, comme principe de base de libertés civiles et du débat démocratique. Le droit à la vie privée est la condition sine qua non à l’exercice d’autres libertés fondamentales.

Si l’utilisation d’outils de chiffrement devenait, lors de ce procès et de son verdict, un élément incriminant ou aggravant, alors nous serions toutes et tous des terroristes, des malfaiteurs ou des comploteurs en puissance. Et si les outils de chiffrement était interdits, alors nos échanges numériques seraient accessibles à toutes les personnes malintentionnées et à toutes les polices. Cela n’est pas envisageable. C’est pourquoi nous suivons de très près ce procès, pour les droits de toutes et tous.

Lire l’article : https://www.laquadrature.net/2023/10/02/affaire-du-8-decembre-le-droit-au-chiffrement-et-a-la-vie-privee-en-proces/

La Quadrature dans les médias

Technopolice (reconnaissance faciale)

Technopolice (audiosurveillance algorithmique)

Technopolice (police prédictive)

Loi SREN (Espace numérique)

Règlement CSAR (Chat control)

Chiffrement et « 8 décembre »

Agenda


Projet de loi SREN et filtre « anti-arnaque » : les navigateurs comme auxiliaires de police

Thu, 05 Oct 2023 15:37:33 +0000 - (source)

Le projet de loi visant à sécuriser et réguler l’espace numérique (« SREN », parfois appelé projet de loi « Espace numérique »), qui est actuellement débattu en hémicycle à l’Assemblée nationale, comporte un article 6 qui crée une nouvelle excuse pour imposer un mécanisme de censure administrative : la protection contre les « arnaques » en ligne. Cet article ne se contente pas de créer un nouveau prétexte pour faire retirer un contenu : pour la première fois, il exige également que les fournisseurs de navigateurs Internet participent activement à cette censure.

L’article 6 du projet de loi SREN prévoit en effet d’obliger les navigateurs Internet à censurer les sites qui proposeraient des « arnaques ». Cette censure administrative se ferait sur demande de la police (c’est-à-dire sans passer par un juge) si celle-ci estime qu’un contenu en ligne constitue une « arnaque ». Il faut entendre par « arnaque » les contenus qui usurperaient l’identité d’une personne, collecteraient de manière illicite des données personnelles, exploiteraient des failles de sécurité pour s’introduire dans le terminal de l’internaute ou tenteraient de tromper l’internaute par une fausse page de paiement ou de connexion (phishing, ou hameçonnage). Pour comprendre ce texte, présentons d’abord comment la censure se passe aujourd’hui en France.

La faible efficacité de la censure par DNS

Aujourd’hui, lorsqu’une censure d’un site est demandée, soit par un juge, soit par la police, elle passe par un blocage DNS. Pour simplifier, le DNS est le système qui traduit un nom de domaine en une adresse IP (par exemple www.laquadrature.net correspond à l’adresse IP 185.34.33.4). Quand un internaute veut consulter un site Internet, son périphérique interroge un service appelé « serveur DNS » qui effectue cette traduction. Chaque fournisseur d’accès Internet (FAI) fournit des serveurs DNS, de manière transparente pour l’abonné·e, qui n’a pas besoin de configurer quoi que ce soit : les serveurs DNS du FAI sont paramétrés par défaut.

Les injonctions de censure jouent aujourd’hui sur ce paramétrage par défaut : les FAI soumis à une obligation de censurer un site font mentir leur service DNS. Ainsi, au lieu de retourner à l’internaute la bonne adresse IP, le serveur DNS du FAI répondra qu’il ne connaît pas l’adresse IP du site censuré demandé, ou répondra par une adresse IP autre que celle du site censuré (par exemple pour rediriger l’internaute vers les serveurs du ministère de l’intérieur, comme c’est le cas avec la censure des sites terroristes ou des sites pédopornographiques).

La censure par DNS menteur a deux problèmes majeurs. Premièrement, elle est facilement contournable : il suffit à l’internaute de changer de serveur DNS. L’internaute peut même, lorsque sa box Internet le permet, paramétrer des serveurs DNS différents de ceux de son FAI, pour ne pas avoir à faire ce changement sur chaque périphérique connecté à son réseau. Deuxièmement, cette censure n’est pas précise : c’est tout le nom de domaine qui est bloqué. Il n’est ainsi pas possible de bloquer une page web seule. Si un FAI voulait bloquer avec un DNS menteur l’article que vous êtes en train de lire, il bloquerait aussi tous les autres articles sur www.laquadrature.net.

Lorsque le principe de la censure sur Internet a été introduit en droit, les législateurs dans le monde ont tâtonné pour trouver un moyen de la rendre effective. Différentes techniques ont été expérimentées avec la censure par DNS, et toutes posaient de sérieux problèmes (voir notamment l’article de Benjamin Bayart sur le site du FAI associatif French Data Network). Finalement, la censure par DNS menteur, lorsqu’elle ne consiste pas à renvoyer vers les serveurs d’un ministère1Lorsque les serveurs DNS d’un FAI répondent par une adresse IP qui n’appartient pas au site demandé mais à un tiers, ce tiers, qui recevra le trafic ainsi redirigé, sera capable de savoir quels sites censurés un·e abonné·e a voulu consulter. Ainsi, lorsqu’un serveur DNS répond par une adresse IP du ministère de l’intérieur lorsqu’on lui demande un site terroriste ou pédopornographique censuré (dans le but d’afficher le message d’avertissement du gouvernement), le ministère de l’intérieur sait que tel·le abonné·e a voulu accéder à tel site censuré. Qu’un gouvernement puisse connaître les détails d’une partie de la navigation d’un·e internaute pose d’évidents problèmes de vie privée., a l’avantage de ne poser que peu de restrictions aux libertés fondamentales. Et le status quo aujourd’hui est de préférer cette technique de censure peu efficace à d’autres qui poseraient des problèmes techniques ou conduiraient à devoir surveiller tout le trafic.

En France, on n’a pas de pétrole, mais on a des idées

C’est là que le gouvernement français innove avec son idée de censure par les navigateurs Internet. L’article 6 du projet de loi SREN vise à obliger les navigateurs à censurer des sites qui auraient été notifiés par la police parce qu’ils proposeraient des « arnaques ». Pour cela, le gouvernement compte sur une technologie déjà présente dans les principaux navigateurs : les filtres anti-phishing.

Aujourd’hui, les principaux navigateurs protègent leurs internautes en comparant les URL des sites visités avec une liste d’URL connues pour être dangereuses (par exemple, si le site héberge des applications malveillantes ou un faux formulaire de connexion pour tenter de voler des identifiants). Il existe différentes listes d’URL dangereuses, notamment Google Safe Browsing (notamment utilisée par Firefox) ou Microsoft Defender SmartScreen (utilisée par Edge) : le navigateur, à partir d’une copie locale de cette liste, va vérifier que l’internaute n’est pas en train de naviguer vers une URL marquée comme dangereuse. Et si c’est le cas, un message d’avertissement est affiché2Vous pouvez tester vous-même dans Firefox avec cette adresse de test de Mozilla. Rassurez-vous, le site en question n’est pas dangereux, il ne s’agit que d’une démonstration..

Mais cette censure n’est pas obligatoire : l’internaute peut passer outre l’avertissement pour un site et il peut désactiver totalement cette censure dans les paramètres de son navigateur. Celle-ci est également transparente : les listes d’URL bloquées sont téléchargées localement, c’est-à-dire qu’elle sont intégralement connues par l’ensemble des internautes (voir, pour Firefox, l’explication du fonctionnement sur le site de Mozilla).

Or, avec ce projet de loi SREN, le législateur entend s’inspirer de ces filtres, mais en changeant leur esprit. Les navigateurs devront obligatoirement intégrer un mécanisme de censure des sites d’« arnaques » et, même si l’internaute pourra passer outre un avertissement, ce mécanisme ne pourra pas être désactivé dans son ensemble.

Certes, le gouvernement voulait initialement aller plus loin : dans la version du texte présentée en juillet au Sénat, il n’était pas question de laisser la possibilité à l’internaute de contourner un blocage. Exit le bouton « J’ai compris » : si la police avait décidé qu’une URL était dangereuse, il n’était pas envisagé que vous puissiez accéder à cette adresse. En commission spéciale à l’Assemblée nationale, des député·es ont modifié le texte issu des travaux du Sénat pour ajouter la possibilité de contourner un blocage exigé d’un navigateur. Leur élément de langage était tout trouvé : ne parlez plus de « censure », il ne s’agit désormais que de « filtrage ». Bon, peut-être n’avaient-ils pas ouvert un dictionnaire : « Filtrage, n.m. […] Censure des informations jugées non conformes à la loi ou aux bonnes mœurs » nous rappelle le Wiktionnaire.

Malgré cette maigre atténuation des dangers de cette censure par rapport à la version du Sénat, le principe de cet article 6 n’a pas été remis en cause par les député·es en commission spéciale : les navigateurs devront toujours, en l’état actuel du projet de loi, censurer les URL notifiées par la police.

Un texte flou qui sapera la confiance dans les navigateurs

Ce nouveau mécanisme de blocage comporte énormément de parts d’ombre. Par exemple, le texte ne précise pas comment les navigateurs devront l’intégrer. Le décret d’application que devra adopter le gouvernement pour préciser la loi pourrait très bien, en raison du flou de la rédaction actuelle, exiger l’utilisation d’une sorte de boîte noire non-libre pour faire cette censure. Cela aurait comme conséquence que les navigateurs Internet aujourd’hui libres, comme Firefox, ne le seraient plus réellement puisqu’ils intégreraient cette brique non-libre du gouvernement.

Par ailleurs, le projet de loi est également flou sur la question de la transparence des URL bloquées. En l’état actuel du texte, les URL censurées ne doivent être rendues publiques que 72h après une injonction de censure. Autrement dit, la police pourrait exiger des navigateurs qu’ils ne dévoilent pas aux internautes quelles URL sont censurées. Dès lors, à défaut de ne pouvoir embarquer la liste complète des URL bloquées, les navigateurs devraient interroger la police (ou un tiers agissant pour son compte) à chaque fois qu’une page web serait demandée par l’internaute pour vérifier si celle-ci n’est pas soumise à une injonction de blocage. Ce faisant, la police (ou ce tiers) connaîtrait l’intégralité de la navigation Internet de tout internaute.

Au-delà du flou entretenu sur cet article 6, les navigateurs deviendront, avec ce texte, des auxiliaires de police. Ils devront opérer pour le compte de la police cette censure. Ils devront assumer à la place de l’État les cas de surcensure qui, vu la quantité de contenus à traiter, arriveront nécessairement3Cette surcensure arrive déjà aujourd’hui avec les filtres anti-phishing intégrés par défaut. Cela s’est par exemple produit avec des instances Mastodon.. Ils devront engager leur crédibilité lorsque des abus seront commis par la police. Alors que ce filtre anti-arnaque voulait redonner confiance aux internautes lorsqu’ils ou elles naviguent en ligne, c’est bien l’inverse qui se produira : le gouvernement retourne les navigateurs contre leurs utilisateur·rices, en imposant à ces dernier·es des censures possiblement injustifiées et potentiellement arbitraires. Comment, dans ce cas, faire confiance à un navigateur dont le comportement est en partie dicté par la police ?

Et c’est sans parler de cet effet cliquet qui se met en place à chaque nouvelle mesure sécuritaire. Il est impossible de revenir sur de nouvelles formes de contrôle par l’État : initialement présentées comme limitées, elles finissent inévitablement par être étendues. Avec son texte, le gouvernement envoie un signal fort à sa police et aux autres administrations : une fois l’État capable de faire bloquer sans juge les « arnaques » par les navigateurs, tout le monde pourra avoir sa part du gâteau de la censure par navigateur. Demain, la police voudra-t-elle faire censurer les discours politiques ou d’actions écologistes sous prétexte de lutte contre le terrorisme ? Les parlementaires voudront-ils faire bloquer des contenus haineux comme au temps de la loi Avia ? L’Arcom, qui a récupéré les pouvoirs de l’Hadopi en matière de droit d’auteur, voudra-telle bloquer les sites de streaming ?

Prendre les internautes pour des enfants incapables

Une fois encore, la CNIL est brandie en garde-fou qui permettrait de neutraliser et faire oublier tous les dangers de ce texte. Le projet de loi prévoit ainsi qu’une « personnalité qualifiée » de la CNIL sera notifiée des URL censurées et pourra enjoindre à la police de cesser un blocage abusif.

Or, ce « garde-fou » n’est pas sans rappeler celui, similaire et totalement défaillant, que l’on retrouve en matière de censure des sites terroristes ou pédopornographiques : lorsque la police veut faire censurer un contenu à caractère terroriste ou pédopornographique, une personnalité qualifiée de l’Arcom est chargée de vérifier que la demande est bien légitime. Avant l’Arcom, c’était à une personnalité qualifiée de la CNIL, Alexandre Linden, que revenait cette tâche. En 2018, il dénonçait le manque de moyens humains à sa disposition, ce qui a conduit à l’impossibilité de contrôler l’ensemble des demandes de censure. En 2019, il réitérait son appel et rappelait que les moyens nécessaires à son contrôle n’étaient toujours pas là. En 2020, il alertait sur les obstacles techniques mis en place par le ministère de l’intérieur.

Avec la censure des contenus terroristes ou pédopornographiques, ce sont déjà près de 160 000 contenus qui ont été vérifiés en 2022. Or, ce filtre « anti-arnaque » opèrerait un changement d’échelle : avec environ 1000 nouvelles menaces quotidiennes, il faudrait deux à trois fois plus de vérifications. Autant dire qu’il est illusoire de compter sur un tel garde-fou. Pire ! La police n’aura pas à motiver ses décisions de blocage lorsqu’une « mesure conservatoire » est prise, c’est-à-dire dans les cinq jours suivants la détection de l’arnaque, lorsque la police attend l’explication du site concerné. La personnalité qualifiée devra donc vérifier la véracité des « mesures conservatoires » sans connaître la raison pour laquelle la police a ordonné la censure.

En quoi la protection des internautes justifie-t-elle d’imposer une censure qu’ils ou elles ne pourront que contourner au cas par cas avec un message dont l’objectif est de dissuader de continuer ? Le gouvernement adopte une nouvelle fois une posture paternaliste auprès des internautes qui, pour leur bien, devraient accepter d’être pris·es par la main et de se voir imposer des mesures coercitives.

Reconnaissons un point : ce filtre « anti-arnaques » part d’une bonne intention. Mais l’imposer comme le fait l’article 6 du projet de loi SREN est un non-sens. Ce filtre aurait sa place dans un ensemble de mesures facultatives, mais qui ne relèvent pas de la loi : si le gouvernement est persuadé qu’il peut proposer un filtre « anti-arnaques » complet, fiable et à jour, pourquoi ne confie-t-il pas à la police le soin de maintenir une liste anti-phishing concurrente à celles de Google ou Microsoft ? Si ce filtre est de qualité, les navigateurs seront incités à l’intégrer, de leur plein gré et en laissant la liberté à l’internaute de le désactiver. Non, au contraire, le législateur préfère imposer sa solution, persuadé d’avoir raison et que forcer la main des navigateurs et des internautes serait une bonne chose. Et tant pis si cette censure ne sert à rien puisque, comme pour la censure des sites pornographique, les origines du problème ne sont pas abordées : rien n’est prévu dans ce projet de loi pour éduquer les citoyen·nes aux risques sur Internet, aucun nouveau moyen pour la CNIL ou l’ANSSI et son service cybermalveillance.gouv.fr n’est envisagé.

La vision paternaliste qui se dégage de ce filtre « anti-arnaque » montre bien la philosophie de l’ensemble de ce projet de loi : réguler Internet par l’excès d’autorité. Taper du poing sur la table, montrer que le gouvernement agit même si cela est parfaitement inefficace, et finalement sacrifier les libertés fondamentales sur l’autel du marketing politique en se ménageant de nouveaux moyens de surveillance et de censure. Le législateur ne doit pas tomber dans le piège, tendu par la commission spéciale, d’un « filtrage » qui serait acceptable : ce texte prévoit bel et bien une censure administrative par les navigateurs inacceptable en elle-même. Il est donc fondamental que cet article 6 et, au-delà, l’ensemble du projet de loi soient rejetés. Alors pour nous aider à continuer à défendre un Internet libre, vous pouvez nous faire un don !

References

References
↑1 Lorsque les serveurs DNS d’un FAI répondent par une adresse IP qui n’appartient pas au site demandé mais à un tiers, ce tiers, qui recevra le trafic ainsi redirigé, sera capable de savoir quels sites censurés un·e abonné·e a voulu consulter. Ainsi, lorsqu’un serveur DNS répond par une adresse IP du ministère de l’intérieur lorsqu’on lui demande un site terroriste ou pédopornographique censuré (dans le but d’afficher le message d’avertissement du gouvernement), le ministère de l’intérieur sait que tel·le abonné·e a voulu accéder à tel site censuré. Qu’un gouvernement puisse connaître les détails d’une partie de la navigation d’un·e internaute pose d’évidents problèmes de vie privée.
↑2 Vous pouvez tester vous-même dans Firefox avec cette adresse de test de Mozilla. Rassurez-vous, le site en question n’est pas dangereux, il ne s’agit que d’une démonstration.
↑3 Cette surcensure arrive déjà aujourd’hui avec les filtres anti-phishing intégrés par défaut. Cela s’est par exemple produit avec des instances Mastodon.

Affaire du « 8 décembre » : le droit au chiffrement et à la vie privée en procès

Mon, 02 Oct 2023 13:48:32 +0000 - (source)

Le 3 octobre prochain s’ouvrira le procès de l’affaire dite du « 8 décembre ». Sept personnes sont accusées d’association de malfaiteurs terroriste. Pour construire le récit du complot terroriste, les services de renseignement de la DGSI chargés de l’enquête judiciaire, le parquet national antiterroriste (PNAT) puis le juge d’instruction instrumentalisent à charge le fait que les inculpé·es utilisaient au quotidien des outils pour protéger leur vie privée et chiffrer leurs communications. Face à cette atteinte inédite, que nous documentions longuement il y a quelques mois, le temps de ce procès va donc être crucial dans la bataille contre les velléités récurrentes de l’État de criminaliser des pratiques numériques banales, sécurisées et saines, pratiques que nous défendons depuis toujours.

« Il reconnaissait devant les enquêteurs utiliser l’application Signal »

Comme le souligne le journal Le Monde qui a consacré un long article au « 8 décembre », cette affaire repose « sur des bases fragiles ». Parmi celles-ci, nous sommes particulièrement inquiets de la place donnée à l’utilisation des outils de chiffrement ou, plus largement, des moyens pour protéger sa vie privée. Un des enjeux de ce procès sera donc de savoir si une telle pratique peut être utilisée à charge par la police et la justice pour étayer la la présomption d’un projet terroriste. Un tel parti pris de la part du juge constituerait un passage de cap extrêmement dangereux, puisque toute forme de confidentialité deviendrait alors suspecte par défaut.

Dans ce dossier, protéger sa vie privée et chiffrer ses communications n’est plus seulement suspect mais devient constitutif d’un « comportement clandestin », un moyen de cacher un projet criminel. À travers différentes notes, la DGSI s’est ainsi affairée à démontrer comment l’utilisation d’outils comme Signal, Tor, Proton, Silence, etc., serait une preuve de la volonté de dissimuler des éléments compromettants. Et en plus de cela, comme nous le dénonçions en juin dernier, la DGSI justifie l’absence de preuves d’un projet terroriste par l’utilisation d’outils de chiffrement : les éléments prouvant une intention terroriste sont nécessairement, selon elle, dans ces fameux messages chiffrés et inaccessibles. Le serpent se mord la queue, ce qui amène les avocats d’un des inculpé·es à dénoncer le fait qu’« ici, l’absence de preuve devient une preuve ».

Plus inquiétant encore, l’enquête de la DGSI est parsemée d’approximations voire d’erreurs techniques, qui seront ensuite reprises par le PNAT puis le juge d’instruction. Ainsi, les enquêteurs confondent Tor et Tails dans certaines pièces du dossier. Le résultat de l’enquête pointe également comme un élément de culpabilité le fait que les inculpé·es chiffrent le contenu de leur téléphone ou de leur ordinateur. Toujours avec beaucoup de confusions techniques, la DGSI reproche ainsi aux personnes en cause d’utiliser LUKS, un outil disponible sous Linux pour chiffrer ses disques, pourtant banal et recommandé pour protéger ses données. Mais, de manière générale, l’ensemble du dossier tend à démontrer que la police et la justice ignorent que le chiffrement par défaut des supports de stockage est mis en place par les principaux développeurs de logiciels. Et ces mêmes autorités oublient que leurs périphériques aussi sont chiffrés (en tout cas nous l’espérons pour elles !).

En somme, il est reproché aux inculpé·es de respecter des règles élémentaires de sécurité informatique. Ce qui est parfois appelé « hygiène numérique »1Voir par exemple le guide de l’ANSSI sur l’hygiène numérique. devient le symbole d’un prétendu comportement clandestin.

Les États relancent leur guerre contre le chiffrement

Il existe depuis toujours une tension politique autour du chiffrement des communications électroniques, et cela est bien logique puisque le chiffrement est politique par nature. Martin Hellmann, un des chercheurs en mathématiques ayant participé à la conception du chiffrement asymétrique dans les années 1970, justifiait à l’époque sa démarche par sa crainte que « l’utilisation croissante des outils de traitement automatisés représente une réelle menace pour l’économie et la vie privée ». Pour lui, les techniques de chiffrement fiables constituaient une manière d’empêcher le développement de la « surveillance d’un État policier s’appuyant sur l’informatisation » 2Voir la citation de Corrigan-Gibbs, « Keeping Secrets », dans la thèse de Félix Tréguer, « Pouvoir et résistance dans l’espace public : une contre-histoire d’Internet (XVe-XXIe siècle) » accessible sur https://shs.hal.science/tel-01631122. Voir aussi le livre Contre-histoire d’Internet : Du XVe siècle à nos jours, édition revue et actualisée, Agone, 2023.. On le comprend, l’émergence de cette technologie n’est pas le résultat de découvertes scientifiques fortuites mais bien le fruit d’un rapport de force naissant. Et cela explique pourquoi les États ont toujours opposé une résistance à son développement et à son utilisation, une volonté de contrôle trahie par un discours transformant leurs créateur·rices et les utilisateur·rices du chiffrement en criminels potentiels.

En effet, dès la publication des travaux d’Hallman et de ses camarades, le gouvernement des États-Unis a fait pression pour que cette technique reste dans le domaine militaire, afin de pouvoir en maîtriser le développement. Ensuite, dans les années 1990, la démocratisation du chiffrement, notamment via le protocole PGP, donne de nouvelles sueurs froides au gouvernement états-unien qui repart à l’attaque. Ce dernier propose alors de mettre en place des « Clipper Chips », c’est-à-dire l’obligation d’installer une puce contenant une « porte dérobée » dans tout système chiffré, permettant un accès aux données pour les autorités judiciaires et administratives.

Commence alors une « crypto-war » qui oppose l’administration Clinton et les nombreux activistes défendant le droit à la cryptographie. Le gouvernement fédéral se défend en expliquant que « si les technologies cryptographiques sont rendues librement accessibles à l’échelle mondiale, elles seraient sans aucun doute largement utilisées par les terroristes, les trafiquants de drogue et autres criminels qui portent préjudice aux Américains sur le territoire national et à l’étranger. » Mais ce discours de criminalisation échoue et le chiffrement est retiré de la liste des « armes et munitions » en 1996, ouvrant la voie à sa libéralisation. En France, bien que poussée par des militant·es, cette libéralisation du chiffrement n’a eu lieu qu’en 1999, faisant de la France un des derniers États à vouloir garder cette technique sous son contrôle.

Les attaques contre le chiffrement ont refait surface dans les années 2010, à un moment où la population a tout à la fois pris conscience des méga-programmes de surveillance étatiques, vécu des épisodes d’attentats donnant lieu à un climat sécuritaire intense, et pu accéder à des messageries chiffrées grand public. Cette conjoncture a ainsi donné de nouvelles occasions aux différents ministres de l’intérieur (Cazeneuve, Castaner puis Darmanin), députés, ou président pour redonner corps à la criminalisation aussi bien des concepteur·rices des outils fondés sur du chiffrement (pensons par exemple à l’affaire de l’iPhone de San Bernardino qui a mis Apple au centre des critiques) que de ses utilisateur·rices.

La crainte d’un précédent irrémédiable

Avec l’affaire du « 8 décembre », nous assistons donc à une matérialisation de ce discours qui tente de faire croire que le chiffrement des communications serait l’apanage des criminels et terroristes. Sauf qu’il ne s’agit plus d’une déclaration politique opportuniste pour étendre des pouvoirs voulus depuis des décennies. Nous parlons cette fois-ci d’une accusation policière et judiciaire aux conséquences concrètes et graves, qui a participé à mettre des personnes en prison. Nos inquiétudes sont grandes face à la possibilité que les juges puissent adhérer à cette narration criminalisant les outils de protection de la vie privée. Cela créerait un précédent aussi bien juridique que politique, en plus d’avoir des conséquences humaines désastreuses pour les principales personnes concernées. La confidentialité, ici numérique mais qui pourrait s’étendre demain à des pratiques physiques, deviendrait alors une présomption de culpabilité. Se protéger, adopter des mesures de sécurité pour soi et les autres serait alors un motif de poursuites.

Isabela Fernandes, la directrice exécutive du Tor Project nous a fait part de son soutien dans cette bataille à venir. Pour elle, « le chiffrement ne doit pas être compris à tort comme un signe d’intention malveillante mais, doit au contraire être vu comme une composante fondamentale du droit à la vie privée et à la sécurité informatique des personnes. Dès lors que de plus en plus d’aspects de nos vies ont lieu en ligne, le chiffrement est garant de la capacité à protéger sa vie privée et ses droits. »

Elle ajoute : « De nombreux outils préservant la vie privée sont utilisés par les membres de la Commission européenne et des organes d’État. Les gouvernements ont la responsabilité d’assurer le droit à la liberté d’expression et à la vie privée pour toutes et tous afin de protéger un fondement des sociétés démocratiques – plutôt que de promouvoir une interprétation biaisée de qui peut bénéficier de ces droits et qui ne le peut pas. »

C’est bien parce que déduire de l’utilisation d’outils pour protéger sa vie privée et chiffrer ses communications un comportement clandestin vient nourrir un dossier pénal très faible que plus de 130 personnes et organisations ont dénoncé cela dans une tribune parue dans Le Monde. À l’heure où l’État étend ses filets de plus en plus loin, autorise la surveillance à distance des objets connectés , y compris ceux des journalistes sous prétexte de sécurité nationale, assimile les revendications écologiques à du terrorisme pour mieux justifier sa débauche de moyens répressifs et intrusifs, perquisitionne les journalistes qui révèlent des crimes de guerre commis avec la complicité de l’État, veut mettre fin à toute idée d’anonymat en ligne ou à tout secret des correspondances, nous assistons actuellement à un emballement autoritaire terriblement inquiétant.

Ce procès est une énième attaque contre les libertés fondamentales, mais surtout un possible aller sans retour dans le rapport que l’État entretient avec le droit à la vie privée. Alors votre mobilisation est importante ! Rendez-vous demain, 3 octobre, à 12h devant le tribunal de Paris (Porte de Clichy) pour un rassemblement en soutien aux inculpé·es. Puis si vous le pouvez, venez assister aux audiences (qui se tiendront les après-midis du 3 au 27 octobre au tribunal de Paris) afin de montrer, tous les jours, solidarité et résistance face à ces attaques.

References

References
↑1 Voir par exemple le guide de l’ANSSI sur l’hygiène numérique.
↑2 Voir la citation de Corrigan-Gibbs, « Keeping Secrets », dans la thèse de Félix Tréguer, « Pouvoir et résistance dans l’espace public : une contre-histoire d’Internet (XVe-XXIe siècle) » accessible sur https://shs.hal.science/tel-01631122. Voir aussi le livre Contre-histoire d’Internet : Du XVe siècle à nos jours, édition revue et actualisée, Agone, 2023.

Audiosurveillance algorithmique à Orléans : la CNIL donne raison à La Quadrature sur l’illégalité du dispositif

Sat, 30 Sep 2023 12:51:22 +0000 - (source)

En 2021, La Quadrature du Net avait attaqué un dispositif d’audiosurveillance algorithmique déployé à Orléans dans le cadre d’une convention avec l’entreprise de surveillance Sensivic. Cette semaine, la CNIL vient de nous donner raison en soulignant l’illégalité de ce dispositif technopolicier.

En 2021, la ville d’Orléans concluait avec une startup locale, Sensivic, un contrat pour expérimenter une nouvelle forme de surveillance policière de l’espace public : l’audiosurveillance algorithmique (ASA). Comme ce qui avait été tenté à Saint-Étienne, le projet consistait à déployer des « détecteurs de sons anormaux » (c’est-à-dire des « mouchards ») sur des caméras de surveillance.

L’ASA est un des composantes de la Technopolice qui s’affirme sur le territoire français, aux côtés de la vidéosurveillance algorithmique (VSA), des drones ou de la reconnaissance faciale. Il est essentiel de la freiner et de la combattre partout où elle se déploie. C’est la raison pour laquelle nous avions donc attaqué la convention entre Orléans et Sensivic, aussi bien devant la justice administrative que devant la CNIL. C’est aujourd’hui que la CNIL, après plus de deux ans d’instruction, vient de nous donner raison.

Pas d’oreilles pour les caméras

La CNIL vient ici rappeler ce qu’elle avait déjà dit à Saint-Étienne. En effet, en 2019, avec l’aide de l’entreprise Serenicity, Saint-Étienne avait envisagé un projet similaire de surveillance sonore : la CNIL avait déjà à l’époque considéré qu’il est illégal de capter des sons dans l’espace public pour améliorer la vidéosurveillance.

Le projet orléanais que nous avons attaqué prévoyait bien lui aussi une analyse automatisée de tous les sons de l’espace public dans l’objectif d’aider les caméras à repérer certains comportements suspects. Malgré tout ce qu’a pu baratiner Sensivic dans le cadre de notre contentieux, la CNIL rappelle le droit : ce dispositif de micros, couplé à la vidéosurveillance, est illégal car le droit existant ne permet en aucun cas une telle surveillance.

Après Saint-Étienne, une telle décision à Orléans permet au moins de clarifier les choses et de mettre un frein, aussi petit soit-il, à l’industrie de la surveillance qui cherche par tous les moyens à revendre ses logiciels de surveillance de masse.

La CNIL relègue l’ASA au rang de technologie inutilisable

Cette position de la CNIL est néanmoins décevante.

D’une part, alors qu’il ne s’agissait que de l’application stricte d’une décision déjà prise dans le passé à Saint-Étienne, la CNIL a mis presque trois ans à instruire ce dossier et à prendre une décision. Trois ans pendant lesquels l’ASA a pu se normaliser et se développer. Trois ans de gagnés pour la Technopolice. Notons que nous sommes d’ailleurs toujours en attente de la décision du tribunal administratif sur ce même dossier.

D’autre part, la CNIL limite son raisonnement à la question du couplage de l’ASA avec la vidéosurveillance. A contrario, elle considère que, lorsque l’ASA n’est pas couplée à de la vidéosurveillance, il pourrait ne pas y avoir de traitement de données personnelles. Cette analyse de la CNIL, bien que sans conséquence pratique, reste très contestable juridiquement. En bref, elle semble laisser une marge à l’industrie de la surveillance sur la question de l’analyse automatisée des sons.

Considérer qu’il n’y a de traitement de données personnelles que lorsque l’ASA est couplée avec un dispositif de vidéosurveillance (ou n’importe quel un mécanisme d’identification des personnes) est juridiquement contestable. Mais cela n’a pas de conséquence pratique directe : l’objectif de l’ASA est bien de connaître la source d’un bruit, c’est-à-dire d’être couplée à un autre dispositif. Ce « complément naturel à l’image dans les systèmes de sécurité et de vidéosurveillance », pour reprendre les mots de Sensivic, est bien illégal.

Cette victoire devant la CNIL est une bonne nouvelle. Au tour de la justice administrative, désormais, de rendre sa décision. Il est urgent, aujourd’hui, de mettre un terme définitif à ces projets de surveillance sonore. Alors pour nous aider à continuer la lutte, vous pouvez participer à documenter cette surveillance ou faire un don.

Mise à jour du 24 octobre 2023 : nous venons d’informer le tribunal administratif d’Orléans de la position de la CNIL (notre mémoire est consultable ici).


QSPTAG #294 — 22 septembre 2023

Fri, 22 Sep 2023 16:19:56 +0000 - (source)

Loi SREN : un catalogue de mauvaises nouvelles

Le projet de loi « visant à sécuriser et réguler l’espace numérique » (SREN), voté en juillet dernier par le Sénat mais actuellement en discussion à l’Assemblée, est dans son état actuel un grand fourre-tout de mesures pour « civiliser » le « Far-West » qu’est encore aujourd’hui le web dans l’esprit des politiques.

De nombreux faits divers sont venus alimenter cette vision noire d’internet, coupable de tous les maux de la société : après le terrorisme, la pédophilie, la désinformation, les mouvements sociaux spontanés ou les émeutes de banlieue, les maux qui justifient une action énergique sont aujourd’hui le harcèlement scolaire et la pornographie accessible aux enfants. Et comme à chaque fois, on n’imagine rien d’autre que davantage de répression, de censure et de surveillance, confiées à des acteurs privés (les grandes plateformes de réseaux sociaux, en général) sans contrôle de la justice et avec les encouragements des services administratifs et policiers de l’État.

Bien sûr, personne ne songe à nier ou à minimiser les problèmes ni les faits de société qui sont à l’œuvre. En revanche, il est de notre rôle de prendre la parole quand les moyens imaginés pour les résoudre sont démesurés, inefficaces, ou carrément dangereux : surveiller tout et tout le monde présente beaucoup de risques pour une société démocratique… Nous avons donc publié le 12 septembre un long article d’analyse — aussi dense et copieux que la loi — pour présenter les points qui nous inquiètent.

Le projet de loi aborde la problématique du harcèlement en ligne par la manière autoritaire : une personne condamnée, donc bien connue et punie en proportion de ses actes, serait désormais bannie des réseaux sociaux. À charge aux plateformes de se débrouiller pour identifier les nouveaux comptes créés par une personne condamnée. Comment y arriver, si chacun ne doit pas fournir son identité civile pour créer le moindre compte ?
Même logique encore contre les arnaques en ligne (phishing et autres) : une liste de sites identifiés à bloquer serait fournie par l’État et intégrée directement dans les navigateurs web. Un moyen parfait pour créer des listes à tout faire où se retrouveraient des sites à teneur politique ou contestataire.

Par ailleurs, le projet de loi ne propose aucune solution favorisant l’autogestion des contenus en ligne, comme l’interopérabilité des réseaux sociaux que nous défendons depuis plusieurs années. En permettant la création d’instances spécifiques, gérées par une communauté qui se dote de règles, elle permettrait pourtant aux internautes jeunes et vieux d’évoluer dans des espaces modérés où les contenus haineux et pédopornographiques seraient exclus, et au pire cantonnés à des espaces plus faciles à identifier et à isoler. La promotion des plateformes géantes entraîne le recours à des moyens massifs qui attentent aux droits du plus grand nombre.

Le texte présente enfin des mesures contre l’accès jugé trop facile des enfants et des jeunes à la pornographie en ligne. L’obligation faite aux sites depuis 2020 de filtrer l’entrée aux mineurs n’ayant rien changé, le projet de loi SREN introduit une nouvelle obligation de prouver son âge. Devoir faire usage de son identité civile pour naviguer sur Internet, voilà une nouveauté très dérangeante. Comme chaque point de cette loi mérite une analyse particulière, nous avons également publié le 19 septembre un article consacré à la question de l’accès au porno, écrit en partenariat avec l’association Act-Up.

Passé en commission des lois cette semaine, le projet de loi sera discuté en séance par l’Assemblée à partir du 4 octobre prochain.

L’analyse complète de la loi : https://www.laquadrature.net/2023/09/12/projet-de-loi-sren-le-gouvernement-sourd-a-la-realite-dinternet/

L’article sur l’accès au porno : https://www.laquadrature.net/2023/09/19/projet-de-loi-sren-et-acces-au-porno-identifier-les-internautes-ne-resoudra-rien/

Règlement CSAR : la fin des échanges confidentiels ?

Les instances de l’Union européenne travaillent en ce moment sur un projet de règlement contre la pédopornographie intitulé « Child Sexual Abuse Regulation » (CSAR) et souvent appelé « Chat control » par les acteurs européens. Idée forte du texte : pour lutter contre les violences sexuelles faites aux enfants, il est demandé aux hébergeurs de contenus en ligne de détecter les contenus pédopornographiques et de surveiller les conversations des utilisateurs.

En réalité, l’analyse des images postées par les utilisateurs de services en ligne existe déjà, pratiquée par Meta, envisagée par Apple, et encouragée à titre expérimental, pour 3 ans, par un précédent règlement européen de 2021. Le CSAR doit justement prendre le relais et inscrire cette obligation d’analyse et de filtrage dans le marbre. L’enjeu est colossal. Dans ce cadre comme dans celui de la loi SREN, la lutte contre la pédopornographie, totem inattaquable et légitime, justifie l’abolition de la confidentialité de tous les échanges en ligne.

Le pseudonymat, le chiffrement des échanges, le secret des correspondances, la vie privée qui va de pair avec la liberté d’expression, tout disparaît devant une seule cause élevée en absolu — et pour des résultats que des études et des services de police ne jugent même pas probants.

Lire l’article complet :
https://www.laquadrature.net/2023/09/18/reglement-csar-la-surveillance-de-nos-communications-se-joue-maintenant-a-bruxelles/

La Quadrature dans les médias

Loi SREN

VSA et JO

Divers

Agenda


Powered by VroumVroumBlog 0.1.31 - RSS Feed
Download config articles