Données de connexion, métadonnées, données…

Au Conseil constitutionnel avait lieu, hier, un rendez-vous important : l’analyse de la QPC déposée par la Quadrature du Net et FDN. Ladite QPC porte sur l’accès administratif aux données de connexion.

Qu’est-ce que quoi ?!

Derrière « données de connexion », il y a beaucoup de flou. La définition, présente dans la Loi de Confiance en l’Econimie Numérique (LCEN), est la suivante : des « données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont elles sont prestataires. » Il est également question de ces données de connexion ici, de manière un peu plus précise.

Les prestataires mentionnés ici sont les personnes ou sociétés qui mettent à disposition du public des services de communication en ligne.

C’est large comme définition, tellement large que la définition stricte de ces données me semble assez compliquée. On résumera donc l’actuelle « donnée de connexion » à  « tout ce qui permet d’identifier le créateur d’un contenu» :

  • une adresse IP visitant tel site, à telle heure,
  • une géolocalisation,

Dans les faits, il y a aussi…

  • une fréquence d’appel sur tel numéro, la durée d’une communication au téléphone,
  • le détail des relevés téléphoniques, les « fadettes »,
  • le numéro des personnes appelées, les contacts les plus fréquents et ceux les moins fréquents,
  • le destinataire d’un mail, la fréquence de contact avec cette personne, le fait que le mail contienne des pièces jointes,

A y regarder de près, on peut comparer les données de connexion aux « métadonnées » qui font tant débat en ce moment, certains déclarant que les métadonnées sont des données, d’autres déclarant l’inverse.

D’accord, mais c’est quoi le problème ?

Le problème soulevé par la QPC est le suivant : est-ce que l’accès à ces « données de connexion » peut porter atteinte au secret des communications est-ce que cela représente une menace pour la vie privée des utilisateurs ?

De nombreux pays en Europe considèrent que oui : la Slovaquie, l’Autriche, l’Irlande, la Slovénie, la Roumanie, les Pays-Bas, la Bulgarie, plus récemment la Belgique et enfin il y a quelques jours, la Grande-Bretagne, considèrent que la conservation de ces données de connexion pose problème, que ce n’est pas strictement encadré, que cela permet d’identifier une personne d’une façon très précise.

Pourquoi ?

Les opposants à ces accès considèrent qu’il y a préjudice au respect de la vie privée des citoyens, la QPC de la Quadrature / FDN souligne également deux aspects très précis : les données de connexion face aux avocats et aux journalistes.

Dans le premier cas, les opposants considèrent que l’utilisation des données de connexion ne respecte pas le secret professionnel : si la loi ne permet pas de récupérer le contenu d’un échange, elle permet en revanche de savoir qu’un avocat discute, au téléphone ou par la voie électronique, à son client. Il est également possible de savoir combien de fois le client et l’avocat parlent ensemble, comment, s’ils se transmettent des documents… Bref, de nombreux éléments qui, bien qu’ils ne soient pas du contenu, peuvent trahir le secret professionnel.

Le second point est bien plus affirmé et direct : observer les données de connexion d’un journaliste, c’est cartographier tout son travail : où va-t-il chercher sa matière pour travailler ? Avec qui le journaliste parle ? Comment ? Combien de fois ?

Il devient aisé de deviner les sources du journaliste en analysant des données de connexion, ce qui met en péril la protection des sources d’un journaliste et peut potentiellement nuire à son travail : si un journaliste et une source ne peuvent plus échanger d’informations en toute sécurité, certaines sources arrêteront tout simplement la liaison.

Les griefs contre cette collecte et ces accès administratifs aux données de connexion sont avérés, assez sérieux pour être pris en compte par le Conseil d’Etat puis par le Conseil constitutionnel.

Dans un monde idéal…

On devrait considérer que les données de connexion ainsi que les métadonnées sont des données permettant l’identification précise d’une personne, elles permettent d’ailleurs bien plus que ça. Elles devraient être protégées de la même manière que le contenu d’une communication et l’accès à ces données devrait être strictement encadré, ce qui n’est pas le cas actuellement.

Je ne sors pas cette idée de mon chapeau, de nombreuses personnes vont dans ce sens, de nombreux rapports également, d’ailleurs, la Cour de Justice de l’Union Européenne considère que ces données « prises dans leur ensemble, sont susceptibles de fournir des indications très précises sur la vie privée des personnes dont les données sont conservées, comme les habitudes de la vie quotidienne, les lieux de séjour permanents ou temporaires, les déplacements ». Et la CJUE de rajouter que cela représente donc une menace sur le respect de la vie privée.

Dans son plaidoyer face au Conseil constitutionnel, le gouvernement ne voit pas de problèmes avec ces données de connexion, se contentant de déclarer qu’il n’y a aucune atteinte au contenu, que « le secret des correspondances n’est en rien affecté » par ces données de connexion. Argumentaire qui sera balayé par Me Spinozi : « comme si la détermination de l’identité du client d’un avocat, de la fréquence de leurs relations ou du lieu de leurs échanges, ne ressortaient pas évidemment des informations confidentielles couvertes par le secret professionnel ! ».

Le Conseil constitutionnel rendra sa décision sur la QPC vendredi 24 juillet 2015, dans la matinée. Il faudra donc patienter encore un peu pour avoir une réponse des sages de la rue de Montpensier.

Le Président, la NSA, la loi renseignement et moi.

Dans quelques heures, la loi sur le renseignement sera votée, puis le conseil constitutionnel sera saisi par la représentation nationale.

Hier, Wikileaks a commencé à diffuser des documents liés à la France et aux décisions des chefs du gouvernement sur divers sujets.

Dans une délicieuse actualité, les documents de Wikileaks attestent de la surveillance des trois derniers présidents de la république, à savoir Jacques Chirac, Nicolas Sarkozy et François Hollande.

La NSA invoque la protection de la sécurité nationale pour justifier la mise sous surveillance de ces trois personnes. Ned Parker, porte parole du conseil de la sécurité nationale, a déclaré :

« Nous n’avons pas visé et ne viserons pas les communications du président Hollande. Comme nous l’avons déjà indiqué, nous ne menons pas d’opérations de surveillance à l’étranger sauf s’il existe un objectif de sécurité nationale spécifique et validé. Cela s’applique aux citoyens et aux dirigeants. Nous travaillons étroitement avec la France sur toutes les questions internationales importantes et les Français sont des partenaires indispensables. »

Résumons donc : la NSA se fiche complètement du status d’une personne, président ou pas, elle surveille qui elle juge nécessaire pour la « protection de la sécurité nationale ».

De son côté, le gouvernement se dit « choqué » et « outré par les pratiques de la NSA » et par cette surveillance :

«Le Conseil de Défense réuni ce jour a examiné la nature des informations diffusées hier soir par la presse, portant sur la période 2006-2012 et qui concernent le comportement de la NSA.

Il s’agit de faits inacceptables qui ont déjà donné lieu à des mises au point entre les Etats-Unis et la France, notamment fin 2013 au moment des premières révélations et lors de la visite d’Etat du Président de la République aux Etats-Unis en février 2014.

Des engagements avaient été pris par les autorités américaines. Ils doivent être rappelés et strictement respectés.

La France, qui a encore renforcé son dispositif de contrôle et de protection, ne tolèrera aucun agissement mettant en cause sa sécurité et la protection de ses intérêts. »

Source : http://www.elysee.fr/communiques-de-presse/article/conseil-de-defense-8/

Il est plaisant, du moins assez drôle, de lire ces déclarations alors que la loi sur le renseignement va être votée, d’ici quelques heures.

Pourquoi ?

Première raison

L’invocation de la sécurité nationale. Il suffit d’invoquer cette sécurité pour justifier à peu près tout et n’importe quoi, cette finalité étant assez vaste pour faire, à peu près à nouveau, tout ce qu’il est possible de faire.

C’est d’autant plus drôle que la loi sur le renseignement prévoit exactement la même chose, puisque dans les finalités qui autorisent la mise en place d’une surveillance, on trouve, en tête des raisons, la fameuse « atteinte à la sécurité nationale ».

Seconde raison

La loi sur le renseignement n’est pas une loi qui s’applique uniquement à la protection des intérêts français. C’est également une loi qui permet la promotion desdits intérets.

L’article 10 de la loi sur le renseignement crée une excuse pénale pour les agents des services. Ces derniers ont carte blanche pour pirater ce que bon leur semble, tant que leurs activités s’incrivent dans une des finalités du renseignement. Ils pourront donc pirater, récupérer des données de n’importe quelle manière, effacer ou copier n’importe quelle chose sans craindre de poursuites.

Bref, comme la NSA et le Patriot Act américain.

Voir Jean-Jacques Urvoas délarer…

C’est assez déplacé, pour ne pas dire grotesque, pour ne pas dire « Oui, Jean-Jacques nous prend vraiment pour des gros cons. »

Sachant que la loi renseignement permet ce que le gouvernement français reproche au gouvernement des Etats-Unis, sachant que Jean-Jacques Urvoas est le papa de la loi sur le renseignement, sachant que le motif invoqué, à savoir la « sécurité nationale », sert déjà de faux prétexte pour justifier certaines actions des services de renseignement, le pseudo choc de la classe politique est un énorme « allez-vous faire foutre » au peuple français.

Notre représentation politique juge inacceptable cette surveillance mais, dans le même temps, instaure exactement la même sur son propre territoire, en visant son propre peuple.

C’est une insulte au droit à la vie privée dont bénéficie, en théorie, chaque citoyen. Manifestement, ces personnes se pensent au dessus de nous, la plèbe.

J’ai hâte de voir la suite des révélations de Wikileaks…

Loi sur le renseignement : et maintenant ?

Si vous me suivez ou lisez ce blog, vous savez que le projet de loi sur le renseignement a, hier dans l’après-midi, franchi une première étape : celle de l’Assemblée Nationale.

Ils étaient 438 pour, 86 contre et 42 abstentions. Je ne reviendrai pas sur les raisons qui font que je trouve cette adoption parfaitement inadmissible.

…que vais-je faire …

C’est simple : surtout, ne pas perdre sa motivation. Si vous arrêtez de vous battre pour des causes qui vous semblent justes, c’est perdu d’avance car personne ne le fera pour vous. Certains attendent que le temps change, d’autres le saisissent avec force et agissent.

La vraie question est : où vous plaçez-vous, du côté de celles et ceux qui attendent que les choses changent « comme ça, par magie », où du côté de ceux qui essayent, encore et encore, même si cela ne fonctionne pas ou pas toujours ?

de tout ce temps…

Car c’est le seul véritable problème : le temps.

Que va-t-il se passer maintenant ?

Pour commencer, le texte va filer au Sénat, où les sénateurs et sénatrices seront mené.e.s à se positionner sur le texte.

La suite des évènements dépendra des décisions du Sénat, s’il vote le texte parfaitement identique à la version de l’Assemblée Nationale ou non.

Ce qui veut dire que nous disposons encore de temps pour agir, il faut donc agir, continuer le travail de fond avec les sénateurs et leur expliquer les réels dangers de cette loi et les enjeux techniques, parfois bien compliqués à comprendre pour des personnes dont ce n’est pas le coeur de métier.

que sera ma vie ?

Personnellement, j’ai déjà commencé à alerter les sénateurs, depuis quelques semaines.

Comme dit, certains attendent que le temps change, d’autres le saisissent avec force et agissent.

Moi j’ai décidé d’agir. Et vous ?

#PJLRenseignement : 4.74 degrés

Non, ce n’est pas le taux d’alcoolémie des créateurs du projet de loi sur le renseignement, même si on peut se poser la question.

4.74, c’est le « degré de séparation » entre vous et n’importe quel individu qui utilise Internet.

Si vous préférez : vous connaissez quelqu’un, qui connait quelqu’un, qui connait quelqu’un qui connait quelqu’un.

Cette théorie date de 1929 et s’appelait à l’époque la théorie des six poignées de main.

4.74, c’est en prenant Internet et les réseaux sociaux en compte, Internet ayant le pouvoir de rapprocher des gens sans qu’eux-mêmes le sachent.

Si cette théorie vous semble folle, elle est pourtant bien réelle, Facebook ou LinkedIn en sont de parfaits exemples.

Le projet de loi sur le renseignement indique que des écoutes – au sens large, il ne s’agit pas uniquement d’écoutes téléphoniques – pourront concerner les personnes « susceptibles de jouer un rôle d’intermédiaire, volontaire ou non, pour le compte de cette dernière ou de fournir des informations au titre de la finalité faisant l’objet de l’autorisation. »

Vous êtes médecin et un de vos patients est une cible ? Vous entrez, aux yeux du projet de loi, dans ce rôle d’intermédiaire.

Chauffeur de taxi ? Vous aussi, un de vos passagers est peut-être une cible.

Vous connaissez quelqu’un qui est médecin et qui a un patient ciblé par le renseignement français ? Vous entrez, aux yeux du projet de loi, dans ce rôle d’intermédiaire.

Vous connaissez quelqu’un qui connait quelqu’un qui connait quelqu’un qui connait quelqu’un qui est médecin et un des patients est ciblé par le renseignement français ? Vous entrez, aux yeux de la loi, dans ce rôle d’intermédiaire.

Le projet de loi sur le renseignement ainsi que ses défenseurs s’évertuent à déclarer que seuls les « méchants », les « bad guys » pour reprendre une expression d’un membre du cabinet de Manuel Valls, seront traqués…

… et les personnes pouvant jouer le rôle d’« intermédiaire, volontaire ou non », puisque le projet de loi le stipule.

Selon-vous, qu’est-ce qui arrive lorsqu’on mêle la théorie des 4.74 degrés de séparation au projet de loi sur le renseignement ?

La réponse, qui n’engage que moi, est relativement simple : un risque de surveillance massive, surveillance opérée par des algorithmes et rapidement contrôlée par des humains en nombre insuffisants.

Obsession sécuritaire, l’état est-il son propre ennemi ?

Posons-nous la question suivante : sommes-nous en train de basculer dans un état sécuritaire ? Y sommes nous déjà depuis bien longtemps ?

Si oui, quelles sont les conséquences futures de cette bascule ?

Si non, en sommes-nous éloignés ?

Afin de répondre à cette question, il faut déjà se demander « c’est quoi un état sécuritaire ? ».

Un état sécuritaire, c’est un des pouvoirs qui donne la priorité, de façon excessive, à la sécurité. Il bascule peu à peu dans une logique d’augmentation des moyens de surveillance, de contrôle et de répression. Dans les pires situations, cette dérive vers un état sécuritaire mène à la dictature, nous verrons ensemble pourquoi.

Attention, mettre en place des mesures ou des lois qui répondent à un réel besoin de sécurité, ce n’est pas aberrant. Tout miser sur la sécurité au motif d’un prétendu danger permanent, ça l’est déjà un peu plus, et c’est très dangereux.

Un bon exemple d’état sécuritaire se trouve de l’autre côté de la Manche : l’Angleterre. Au nom d’une menace invisible, David Cameron souhaite inviter la sécurité à votre table, dans votre vie privée…. Et que dire des Etats-Unis d’Amérique et du traumatisme qu’est le 11 septembre ?

Alors, sommes-nous en train de basculer dans un état sécuritaire ?

Depuis les attentats récents, dont celui de Charlie Hebdo, la poigne du gouvernement est devenue plus sèche, plus dure.

Les forces de l’ordre sont en alerte, nous avons atteint le plus haut niveau du plan Vigipirate jamais atteint depuis sa création.

Les juges et tribunaux également, le pouvoir exécutif a donné des consignes de fermeté dans une circulaire datée du 12 janvier 2015. Il l’emporte donc sur le pouvoir judiciaire et le pouvoir législatif.

Les juges ont un rôle important dans ce pouvoir judiciaire : ils sont dans la mesure, ils doivent arrêter le bras de l’état qui frappe fort et s’assurer que la réponse soit mesurée, proportionnelle.

Moins d’un mois après les attentats, c’est la passion et le dégoût qui animent les cœurs de beaucoup de cesjuges, en témoignent les 234 procédures initiées pour apologie du terrorisme depuis les attentats….

Avant ces actes, le bilan était de 20 condamnations en 20 ans pour apologie du terrorisme. En moins d’un mois, nous sommes presque au record.

Maintenant, on juge un homme ivre qui ne savait pas ce qu’il disaitet un enfant de 8 ans passe devant la police, alors qu’il ne sait pas ce que terrorisme veut dire.

La justice doit être froide, mener des actions sans peine, ni douleur, ni passion. Elle ne le fait pas dans ces dossiers actuellement.

Au-delà de l’idiotie de la chose, j’interprète ceci comme un signal d’alarme : la justice n’a plus la tête froide, l’exécutif prend le dessus sur les autres pouvoir, ce sont des signes alarmants d’une dangereuse bascule.

Mon second indicateur de cette bascule, c’est Internet. Plus on cherche à censurer Internet, plus on bascule dans une politique sécuritaire. Le raccourci est osé mais je vais m’expliquer.

Je ne parle pas des ayants-droits et de la Hadopi. Je parle de la LPM, de la loi contre le terrorisme, des prochaines mesures « exceptionnelles » qui sont tellement fréquentes qu’elles n’ont d’exceptionnelles que le nom.

Bernard Cazeneuve déclarait, il y a quelques jours – 90% de ceux qui s’engagent dans des opérations terroristes s’engagent après avoir consulté des sites sur Internet. Un bel effet cigogne dans l’optique de venir taper sur Internet sans retenue.

De nombreux politiques appellent à un « Patriot Act » à la française. Même si le gouvernement n’est pas pour, il proposera des réformes de la loi, il doit montrer qu’il fait quelque chose et ce même si c’est stupide.

Pour l’état et pour éviter la critique, il vaut mieux faire quelque chose d’inadapté et inefficace que d’être vu comme un gouvernement laxiste.

L’état souhaite également rendre responsable les intermédiaires et les hébergeurs (Twitter, Facebook & Co) des contenus publiés sur leurs plateformes respectives, et balaye d’un revers de la main les dangers que font peser ces décisions sur notre capacité à nous exprimer.

L’état compte également sur vous, sur nous. Sur notre capacité à ne pas se sentir concernés, à ne pas garder la tête froide, pour faire passer ce qu’il pense bon. Nous en revenons toujours à

« Souhaitez-vous protéger vos enfants* contre le terrorisme** ?
– Oui totalement.
– Donc, il faut sévir et censurer.
– Non, je pense qu’il existe d’autres solutions
– Si vous dites non, alors vous êtes pour le terrorisme. »

* : Amis/proches/élèves/employés, ça marche avec tout le monde.
** : pédophilie/violence/rajoutez un truc tant que c’est négatif ça fonctionne

La capacité du gouvernement à entendre la critique est au point mort et se résume à 0 ou à 1. Et c’est dangereux. Un gouvernement avec lequel il n’est plus possible de parler n’est plus représentatif des idées majoritaires de son peuple et bascule dans une logique sécuritaire qui va à l’encontre même de ses intérêts, malgré tout ce qu’il pense.

Pourquoi ?

Parce qu’en combattant « le mal » de cette façon, on crée « le mal ».

En faisant passer de plus en plus de lois qui portent atteinte à l’ensemble des libertés individuelles, les gouvernements successifs poussent des citoyens soucieux de ces libertés à se protéger, à savoir chiffrer des communications, utiliser des outils de protection d’un peu d’intimité, comme un VPN…

Plus l’état sécuritaire se rapproche, moins il y a de différences entre les outils qu’un terroriste et moi utilisons.

Je chiffre certains mails, refuse explicitement d’utiliser Skype au profit de solutions plus respectueuses de mon intimité, parle avec des gens qui font pareil, chiffre mes sms, parfois mes appels et je suis soucieux de mon intimité.

Qu’est-ce qui, aux yeux d’un état devenu incapable de lire mes communications, me différencie d’un terroriste ?

Quelles sont les conséquences de tout ceci ?

Une politique de plus en plus sécuritaire, « pour votre sécurité ».

Les différents gouvernements ne sont pas stupides : ils savent que la loi vient punir des actes, des délits, des crimes… la loi n’empêche en aucun cas que ces actes arrivent.

Alors, que faire ?

C’est là que tout se joue. L’état, conscient que la loi n’empêche rien, souhaite pouvoir anticiper et… pour anticiper, il faut aller fouiller dans la vie de tout le monde. Cette façon de faire rend tout le monde méfiant vis à vis de tout, et de tout le monde.

Et cette attitude mène à quelque chose de bien pire que la censure : l’autocensure. Par peur de peut-être dire quelque chose d’interdit, par peur de peut-être se sentir observés, nous nous taisons. Nous sacrifions notre liberté d’expression pour une prétendue sécurité qui n’a toujours pas montré le bout de son nez et qui ne le montrera jamais. Un acte terroriste, par nature, est imprévisible. Rajoutons à cela que plus on observe tout le monde et plus on censure, plus les vrais terroristes se cachent, sur Internet comme ailleurs.

C’est donc ça, la leçon des attentats de Charlie Hebdo, icône de la liberté d’expression malgré lui ? Plus de censure ?

Nous basculons dans un système qui ressemble de plus en plus à une adaptation de « Minority Report », bien plus dangereux que le « Big Brother » que nous avons l’habitude de croiser dans quelques articles çà et là.

Un terroriste, quelqu’un qui a déjà basculé, sait très bien ce qu’il fait ou va faire. Il est pleinement conscient de ses envies et de ses actes, ce n’est pas un arsenal législatif qui va l’arrêter. La seule conséquence directe de tout ceci, c’est qu’il parlera là où il n’est pas observé. L’état aura perdu, et proposera alors un nouvel arsenal législatif encore plus poussé, et ainsi de suite… et pourquoi ne pas proposer d’interdire tout simplement le chiffrement de l’ensemble des communications ?

A forcer dans cette direction, l’état devient lui-même son ennemi et tout ce qu’il combat : un dictateur en herbe, ennemi de la liberté d’expression et potentiel ennemi d’Internet.

Alors, est-ce que l’état devient un état sécuritaire ?

Selon moi, c’est bien parti pour. Tout est là. L’exécutif qui prend le pas dans le difficile équilibre entre les pouvoirs, le législatif qui réagit à coup de mesures d’urgences et exceptionnelles qui deviennent la norme et judiciaire qui perd son sang froid. Tout y est.

Bien évidemment, tout ceci n’est que mon avis de simple citoyen. Et vous, quel est le votre ?

Prism, et après ?

Avant toute chose, je vous invite à lire le très bon billet d’Andréa Fradin, ex journaliste pour OWNI (une petite pensée pour eux au passage), maintenant chez Slate.fr

Pour celles et ceux qui ont la flemme (honte sur vous), Andréa observe les différentes réactions sur l’affaire PRISM et le constat est quasi sans appel : tout le monde ou presque s’en moque.

Alors oui, le monde la politique se saisi enfin du dossier et fait les gros yeux aux Etats-Unis, même si c’est trop tard… mais dans le fond, tout le monde ou presque ne se sent pas concerné par PRISM ni par le danger que ça représente.

Andréa observe donc PRISM avec un œil très lucide et avec une approche très pertinente, je considère l’article comme triste et déprimant parce qu’il explique parfaitement bien la situation.

Un autre constat établi est le manque de solutions viables pour être à l’épreuve de PRISM, c’est la raison de ce billet.

Je vais essayer de pousser jusqu’au bout les différentes pistes qui pourraient nous permettre de se prémunir un peu de PRISM et des autres programmes encore secrets, à cette étape du billet, je n’ai pas encore de constat clair à tirer…mais je sans qu’il ne va pas être très joyeux.

La première des pistes, c’est via la politique.

Si moi, toi derrière l’écran, les autres, voulons garantir au peuple la bonne application des dispositions déjà existantes en matière de protection de la vie privée, alors la politique devient un enjeu majeur. Elle l’est car, officiellement, elle couvre l’ensemble des personnes d’un pays. C’est donc un moyen de garantir que l’intimité des individus qui composent un peuple sera préservée.

Problème : des lois existent déjà, dans différents textes de la législation française ainsi que dans celle européenne et comme vous pouvez le constater, cela n’a pas protégé les personnes au sein de l’UE. Ainsi, peu importe le nombre de lois qui arriveront ou n’arriveront pas, ces dernières ne seront pas en mesure de garantir le respect de la vie privée et de l’intimité des individus.

Cette idée est donc obsolète puisqu’elle présente des garanties théoriques.

Seconde piste : le chiffrement, de tout, partout, tout le temps.

La Crypto anarchie, c’est le nom que certains donnent au fait de tout chiffrer, même pour dire bonjour à quelqu’un d’autre. Le principe est relativement simple : si tout est chiffré, cela augmente le temps de traitement d’une donnée jusqu’à saturation totale du système. L’idée est d’utiliser un chiffrement assez fort pour qu’il ne puisse pas être cassé.

Ce premier point sous-entend qu’il va falloir sortir du cadre de la loi, qui n’autorise pas un chiffrement des plus robustes, il ne sera donc pas suivi par celles et ceux qui ne veulent pas sortir du cadre de la loi.

Chiffrer tout, c’est aussi une chose extrêmement compliquée car il faut penser à tout sans exceptions. Le passage suivant est un tout petit peu plus technique, je vais tenter d’être clair, si ce n’est pas le cas prévenez-moi.

Sur un ordinateur, tout chiffrer revient à chiffrer sa navigation, ses données, sa connexion et tout ce qui va avec, ce qui donne quelque chose comme ça :

  1. être en https partout et encore, ce n’est pas une garantie contre un système d’espionnage
  2. chiffrer le contenu de son disque dur et dans l’idéal disposer d’une partition sécurisée (avec TrueCrypt par exemple)
  3. chiffrer sa connexion Internet en passant par un VPN et pas n’importe quel VPN, un système de confiance sinon passer par un VPN devient totalement inutile, il est également possible de passer par le réseau Tor
  4. chiffrer ses requêtes DNS : hmm, là ça mérite une petite explication.

Internet, ça marche avec des adresses (comme 173.194.40.120 par exemple), ces adresses-là sont des adresses IP. Pour plein de raisons et parce que ce n’est pas facile de retenir une adresse IP, le DNS a été créé. Le rôle du DNS est de donner l’adresse IP correspondante à l’adresse demandée.

Exemple : lorsque vous tapez google.fr dans votre barre d’adresse, votre ordinateur va frapper à la porte du DNS et lui demande « dis, je vais par où pour aller sur ce machin-là ? » et le DNS lui donne alors l’adresse IP correspondante. Ça fonctionne avec tout le reste aussi, ce n’est pas que le Web.

Ce DNS fonctionne et communique d’une façon spécifique, sur un canal qui lui est réservé. Ce canal c’est un port : pour résumer, lorsque vous allez sur http://bidule, c’est le port 80 qui est utilisé, https://bidule sera sur un autre port, vos mails, des mises à jour, logiciels et tout le reste communiquent aussi sur d’autres ports et le DNS lui, communique sur le port 53.

Ces requêtes ne sont pas chiffrées par défaut, ainsi, si le but est de totalement chiffrer sa connexion, il faudra chiffrer ces requêtes-là.

J’oublie sans doute tout un tas de choses qui entrent dans cette logique du chiffrement de tout.

Sur un téléphone, c’est la même chose : chiffrer tout, sa connexion avec Tor, ses données en chiffrant le stockage du téléphone, ses requêtes DNS et, cadeau bonus : chiffrer ses SMS stockés et l’envoi et la réception de ces SMS puis chiffrer ses appels.

Bref vous l’aurez compris, ces solutions demandent du temps, des efforts et un peu de connaissances que l’on acquiert lorsqu’on s’intéresse à tout ceci.

Dans les faits, tout le monde n’a pas le temps, la curiosité et l’envie (ni même ne ressent le besoin) de ça. C’est parfois complexe, il faut parfois mettre ses mains dans le code ou dans l’outil qui ne fonctionne pas comme on veut, puis ce n’est pas très « user-friendly », comparé à ce qui existe déjà.

Donc ça ne concerne que celles et ceux qui savent et comprennent, ce n’est pas le but de ce billet, essayons d’élargir le champ des personnes concernées. Idée suivante.

Troisième piste : Facebook, Apple, tout ça… C’EST LE MAL.

L’idée serait donc de migrer de Facebook vers autre chose, d’Apple vers autre chose (et ne me répondez pas android, c’est Google derrière)… oui, mais vers quoi ?

Parce que c’est bien mignon mais quel site est capable d’offrir autant d’interactions que Facebook ?

Des projets ou d’autres réseaux sociaux existent et l’article d’Andréa en parle d’ailleurs dans son article, comme elle parle du non succès rencontré par ces mêmes réseaux.

J’aime le libre, j’aime crier que tel service c’est mal parce que c’est irrespectueux de votre vie privée où dangereux et j’aime encore plus expliquer pourquoi mais il faut se rendre à l’évidence : les utilisateurs aiment ce qui est simple, rapide, interactif et ils veulent pouvoir retrouver leurs amis sur les différents réseaux sociaux.

Les projets concurrents à Facebook ne sont pas aussi faciles d’accès, pas aussi rapides, pas aussi interactifs et ils ne sont donc pas attractifs.

Paradoxalement, je suis en train de vous dire ça mais ce blog dispose d’une connexion Facebook, d’une fanpage et forcément, d’un compte Facebook. Je suis parfaitement conscient de ce que Facebook fait mais je suis, dans le même temps, conscient que c’est un outil de communication non négligeable.

Je suis donc mal placé pour vous demander de ne pas faire ce que je fais. Pour toutes ces raisons, espérer que les utilisateurs Facebook le quittent pour protéger leur intimité, c’est une utopie. Une belle utopie, mais une utopie quand même.

Quatrième piste : l’auto-hébergement de vos données et de vos services.

L’auto-hébergement, c’est le fait d’avoir ses propres services qui tournent, chez vous, pour faire ce que vous faites d’habitude.

En gros, vous disposez d’un serveur de mail avec une adresse que vous avez créé, vous disposez d’un serveur DNS, d’un IRC si vous l’utilisez, d’un serveur comme mumble pour parler, d’un serveur pour faire de la vidéo, d’un serveur qui remplace Twitter si vous êtes client Twitter… puis pour Facebook et le reste, ce n’est tout simplement pas possible.

Je me dirige peu à peu vers cette solution, je suis encore très loin d’avoir les compétences techniques pour tout faire mais ça viendra, j’échoue d’ailleurs sur quelques aspect de paramétrage de mon serveur DNS. Bref, comme tout le monde, je suis humain, je n’ai pas la science infuse et je fais des erreurs. Pour autant, je persiste et ça finira par fonctionner.

Demander aux gens de s’auto-héberger n’est absolument pas une solution envisageable pour l’instant. Il faut du temps, parfois un tout petit peu d’argent et surtout, il faut les connaissances nécessaires pour le faire et ça c’est un problème.

Un problème dans la mesure où beaucoup de gens n’ont tout simplement pas envie de comprendre, ils veulent que ça marche, point. L’idéal c’est d’appuyer sur un bouton et tout fonctionne, comme par magie.

Cette magie n’existe pas et on se rend compte que tout est logique une fois dedans, c’est un ensemble de choses, d’instructions, de lignes de code, qui produisent une chose et une autre, et au final ça fait un service x ou y.

Donc, demander à monsieur et madame « tout le monde » de basculer vers ce système, c’est tout simplement impossible. Ils ne veulent pas, ne comprennent pas l’intérêt puisque ce qui existe fonctionne déjà.

Dernière piste : l’éducation.

La seule solution viable semble être, selon moi, l’éducation. Je ne parle pas de chiffrement, mais d’éducation au numérique, d’explications sur les enjeux de cet outil qu’est Internet, de la protection des données personnelles afin de conserver un peu d’intimité.

Pour les « anciennes » générations, tout comme pour la nôtre, c’est déjà trop tard. Ce n’est pas à 30 ans, à 40 ou plus qu’il faut reposer des bases qui n’existaient pas car l’outil n’existait pas.

Cette solution peut fonctionner, elle peut rendre les gens responsables et conscients de ce qu’ils font sur Internet, elle peut sans doute leur faire prendre conscience qu’Internet est public et que si on veut que quelque chose reste privé, la meilleure solution, c’est peut-être de ne pas le publier tout court.

Derrière ce simple passage, il y a beaucoup de variables et tout ne se fera pas en un jour, ni en un an ni même en 10, c’est une transformation qui prendra une génération, si donné que cette transformation se concrétisait dans le futur…

Et maintenant, pour maintenant ?

Bien maintenant, je ne sais pas, j’ai envie de hausser les épaules et de répondre « à quoi bon, ça ne changera rien ».

Cette tentation de tout abandonner est de plus en plus tentante et j’imagine que d’autres ressentent la même chose que moi en ce moment même, à quoi bon lutter, autant se résigner.

Andréa le disait même dans le titre de son article, autant se résigner.

Sur ce point, j’ai une réponse claire, nette et précise à apporter : si nous nous résignons, c’est perdu.

Si nous n’essayons pas de faire changer les choses, c’est perdu, c’est accepter PRISM et la surveillance de tout, partout.

Si nous essayons, ce n’est peut-être pas gagné, mais nous avons bien plus de chances que ça fonctionne. C’est logique me direz-vous, si nous essayons, ça ne peut que fonctionner plus que si nous n’essayons pas. Vous avez raison.

C’est ce point qui ne me fait pas abandonner ce combat-là, ce point qui me remotive lorsque j’ai envie de tout fermer et d’arrêter d’essayer.

Les retombées de nos efforts ne seront peut-être pas visibles mais elles existeront. Peut-être pour une personne, peut-être pour mille, personne n’a cette réponse… mais tout le monde le sait.

Alors essayons.