Cher père noël, je voudrais un état totalitaire

La DLPAJ (Direction des Libertés Publiques et des Affaires Juridiques) vient de faire sa liste au père noël et autant dire qu’elle est chargée. Très chargée. Et qu’elle présage des jours encore plus sombres si le père noël débarque avec de tels cadeaux.

Un article publié sur Le Monde (édition abonnés) présente une liste de courses d’un document interne du ministère de l’Intérieur que le journal a pu consulter, on y découvre une série de souhaits exprimés par la police et la gendarmerie pour 2016, souhaits qui pourraient se retrouver dans différents projets de loi qui devraient être présentés début 2016.

Voici quelques éléments de cette liste.

Interdiction de TOR… sur le papier.

Paf ! Terminé TOR ! La DLPAJ souhaite interdire l’utilisation de ce réseau d’anonymisation, au motif, sans doute, qu’il permet aux terroristes d’être très difficilement traçables lorsqu’ils utilisent ce réseau.

A ce titre-là, autant interdire les voitures également, puisqu’elles permettent aux terroristes de s’enfuir. Puis autant interdire les téléphones portables également, puisque nous savons qu’au moins un terroriste des attentats de Paris a envoyé un SMS non chiffré, depuis un smartphone jetable.

Si le réseau TOR permet effectivement à des terroristes de se planquer, il permet aussi à des journalistes de travailler, il permet de protéger certaines sources aux informations particulièrement sensibles, il permet à des activistes de pouvoir en aider d’autres. TOR n’est, en soi, ni bien ni mal, comme Internet. TOR est un réseau, un outil, par définition il est neutre. L’attaquer ou l’interdire ne supprime pas le mal, il le déporte ailleurs, sur d’autres réseaux encore plus profonds, plus masqués.

Si la DLPAJ pense qu’interdire TOR va compliquer la préparation d’actes terroristes, ils se trompent. Comme lorsqu’on souhaite interdire TOR pour lutter contre la pédophilie, les efforts sont louables mais ne visent pas la bonne cible.

D’un point de vue plus « technique », interdire complètement TOR relève de l’impossible, il y aura toujours quelqu’un pour contourner le blocage, les mesures instaurées, la France devrait s’inspirer de la panoplie d’outils de contournement disponible en Chine pour comprendre en quoi cette mesure est absurde.

Plus de Wi-Fi public

Alors, oui, on dit Wi-Fi et pas Wifi, pour commencer. La DLPAJ souhaite interdire ces réseaux publics pendant toute la durée de l’état d’urgence… partant du principe que certains souhaitent rendre cet état permanent, ça promet…

Résumons-donc : pour lutter contre des gens qui savent parfaitement s’adapter à de très nombreuses situations, qui savent protéger leurs communications, qui sont entrainés pour passer sous les radars, cette mesure sera, autant le dire, sans doute inefficace.

Cette mesure va profondément déranger de nombreuses personnes qui ne disposent pas d’un accès Internet fixe et qui se servent de ces points d’accès publics pour rester connectés, ça c’est certain. Mais rien n’est moins sûr quant au fait que ladite mesure soit d’une efficacité quelconque contre le terrorisme.

Fournir les clefs de chiffrement

La DLPAJ souhaite également obtenir les clefs de chiffrement des services et applications de VoIP (Voice over Internet Protocol, la voix sur Internet si vous préférez).

Il est assez étrange de croiser une telle demande ici, lorsqu’on sait que la loi relative au renseignement le permet déjà. Ladite loi impose aux fournisseurs d’outils de chiffrement de remettre les clefs de chiffrement dans un délai de 72 heures.

Autre point, peut-être évident pour moi mais pas pour la DLPAJ : l’utilisation de solutions « perso ». J’ai les compétences de monter un serveur de VoIP et d’y connecter des personnes où qu’elles soient sur la planète. Si j’ai cette capacité, d’autres l’ont et il serait absurde de croire que des terroristes ne l’ont pas.

Je me souviens avoir été surpris la première fois que j’ai traqué des pédophiles, parce qu’ils utilisaient les mêmes outils de chiffrement que moi, qu’ils disposaient de FAQ et de notices extrêmement claires et précises, parfois plus que les nôtres, parce qu’en résumé, ils maîtrisaient des outils de protection et d’anonymisation depuis déjà très longtemps, bien avant nous, petits libristes naïfs que nous sommes.

Pourquoi cela serait différent avec des terroristes ?

Prendre ces dispositions ne va rien arranger et ne va clairement pas déranger les personnes que l’Etat traque. Ces derniers doivent d’ailleurs bien se marrer en lisant tout ça.

En revanche…

Prendre de telles dispositions nous fait un peu plus avancer vers un état numérique totalitaire. Si je comprends parfaitement ce qui pousse les forces de l’ordre à demander de telles mesures, je doute sincèrement de leur utilité et de leur efficacité.

En revanche, je ne doute pas des abus qui arriveront avec tout ceci, des abus qui arrivent déjà, d’ailleurs, depuis la mise en place de l’Etat d’urgence, des personnes interpelées pour des motifs étranges, des perquisitions douteuses dans des milieux activistes ou hacktivistes, des justifications plus que douteuses qui seront fournies par les forces de l’ordre ou par l’Intérieur.

J’en viens même à me demander si je ne vais pas finir par avoir des soucis avec les outils que j’utilise, avec les propos que je tiens, avec les écrits de ce blog qui contient quelques liens vers des outils de chiffrement. J’en viens à me demander si je vais pouvoir continuer à écrire ainsi et à m’opposer à toutes ces mesures prises…

Bref, continuons d’écrire et de lutter pour le Juste, tant que nous pouvons le faire.

Le Parlement Européen, la surveillance et Snowden.

Pendant qu’en France, nos « représentants de la nation » votent des lois décriées par de très nombreuses associations, l’Europe s’inquiète.

Dans un communiqué de presse publié le 29 Octobre 2015, le Parlement Européen (PE) demande à la Commission Européenne de « veiller à ce que tous les transferts de données vers les États-Unis soient soumis à un niveau efficace de protection et demandent aux États membres de l’UE d’accorder une protection à Edward Snowden, en tant que « défenseur des droits de l’homme ». »

Deux informations sont à prendre en compte : la gestion des données personnelles de l’ensemble des citoyens européens suite à la chute du « Safe Harbor » d’un côté et la protection du lanceur d’alerte Edward Snowden, à qui nous devons toutes les révélations sur l’espionnage planétaire des agences du renseignement, NSA en tête de liste.

A cela s’ajoute l’inquiétude du parlement sur « des lois de surveillance dans plusieurs pays de l’UE », qui fait référence au projet de loi relatif au renseignement, au projet de loi de surveillance des communications internationales et à d’autres projets de loi, dans d’autres pays de l’Union.

Concernant le « Safe Harbor » ou « Sphère de sécurité », (administration oblige), le Parlement reste sur la défensive, presse la Commission de s’assurer que les données personnelles des citoyens de l’Union soient réellement protégées et que le transfert de nos données vers les Etats-Unis d’Amérique soit strictement encadré.

Bonne nouvelle, une résolution approuvée d’extrême justesse (285 pour, 281 contre) appelle les états membres de l’Union à « abandonner toute poursuite contre Edward Snowden, à lui offrir une protection et à empêcher en conséquence son extradition ou sa restitution par une tierce partie, en signe de reconnaissance de son statut de lanceur d’alerte et de défenseur international des droits de l’homme. »

Certes, ce n’est qu’un « appel à abandonner » les charges et à protéger Edward Snowden, il faut donc relativiser.

C’est une déclaration, ce sont des mots, les états membres ne sont pas obligés de répondre à cet appel. Je salue donc la déclaration du Parlement, qui ne prend tout de même pas trop de risques avec cette déclaration. J’attends de voir ce qui sera fait au sein de l’Union, dans l’avenir, pour la protection des lanceurs d’alertes comme Assange ou Snowden.

La suite ?

C’est là que ma joie est bien plus mitigée. Le Parlement Européen déclare de bien jolies choses, ses idées, intentions, sa vision… tout ceci mérite le plus grand respect mais, dans les faits, qu’est-ce que cela change ?

Actuellement, rien.

Les états membres continuent de voter des lois particulièrement liberticides, Assange et Snowden ne sont toujours pas en odeur de sainteté au sein desdits pays, les 281 opposants à la résolution en témoignent.

Le Parlement et les eurodéputés pourront continuer d’écrire et de déclarer de bien jolies choses, si elles ne sont pas suivies d’actions, cela revient à « pisser dans un violon ».

Bref, rien de bien nouveau dans notre bonne vieille Europe.

[Hors série] Qui est Axel Loustau ?

Si vous avez suivi l’actualité, vous avez peut-être croisé ce nom : Axel Loustau.

Je n’ai pas lu l’ensemble des articles qui parlent du « lui récent » donc j’ai décidé d’en parler un peu, il y a peut-être du doublon ça et là.

Le billet pourrait s’appeler « Pourquoi Marine Le Pen n’a pas changé le FN, malgré le gros pot de peinture de ses potes. »

Axel Loustau, c’est celui qui, le jeudi 01 octobre 2015, a été investi sur la liste Front National des Hauts-De-Seine pour les prochaine régionales de décembre.

Axel Loustau, c’est également le prestataire « plan de secours » du FN pour la campagne des régionales, via sa société « Les presses de France ».

« Les presses de France » est une « roue de secours » : il faut comprendre, la société Riwal n’est plus autorisée à travailler pour le Front National, sans doute parce que son créateur, Frédéric Chatillon, rencontre « quelques ennuis avec la justice » :

Mise en examen pour financement illégal du Front National et mise en examen pour escroquerie, Riwal a écopé des mêmes mises en examen que Frédéric Chatillon (mise en examen pour financement illégal de parti politique par personne morale et escroquerie).

Ah, et mise en examen pour faux et usage de faux, abus de biens sociaux et blanchiment.

Bref, « quelques ennuis avec la justice ».

Loustau, c’est aussi un ancien membre du GUD. Mais si, le GUD, souvenez-vous… c’est le Groupe Union Défense, une organisation d’étudiants très très à l’extrême de l’extrême droite, particulièrement réputée pour ses actions violentes. Elle était très active dans les années 70-80 avant de peu à peu sombrer plus ou moins dans l’oubli.

Le GUD, c’est aussi de là que vient – attention surprise – Frédéric Chatillon. Rohhh, mais si, Chatillon, le monsieur qui travaille ou a travaillé avec le régime d’Assad, suivez un peu !

Le même qu’un peu plus haut, le même monsieur qui a « quelques ennuis avec la justice ».

Allez, le GUD de nos jours, c’est aussi la violence, la haine, les agressions, les incitations à la haine homophobe, l’antisémitisme…. Ce n’est pas spécialement reluisant, vous l’aurez compris ! Et il serait bien naïf de croire que Loustau n’a plus rien en commun avec le GUD.

Le GUD, c’est aussi, selon certains journalistes, un organisme financé en partie, pendant un temps, par la Syrie d’Assad.

Loustau était aussi, en 2010, le dirigeant de la société Vendôme Sécurité, qui semble être devenue Colisée Sécurité, gérée par Halvard Couasnon (qui a repris les actifs de Vendôme Sécurité pour tenter de faire oublier la réputation de la société). C’est aussi un proche de Marine Le Pen.

Vendôme Sécurité, c’est la société qui a géré, par exemple, des services de protection pour l’ancien président de la république, Nicolas Sarkozy. On se calme, on se calme, ces sociétés répondent à des appels d’offre qu’il est difficile de refuser par la suite… mais quand-même.

Axel Loustau, c’était aussi, en 2014, le responsable du cercle Cardinal, cercle qui rassemble les patrons des PME et des PMI proches du Front National.

Enfin, Axel Loustau, c’est la personne mise en examen pour escroquerie lors des élections de mars 2015, en qualité de trésorier de « Jeanne », un mouvement qui gravite autour de l’univers FN.

Je ne vais pas plus détailler. Non pas par manque d’envie, mais par manque de garanties. La dernière fois que j’ai parlé du Front National, ça m’a coûté quelques craintes, des mails assez violents mais drôles tant ils étaient débiles et quelques autres très précis et inquiétants…et beaucoup moins drôles.

J’imagine que les mails et ces quelques actes de l’époque ne sont que des initiatives individuelles, mais prudence est mère de sûreté.

En conclusion : Marine le Pen va sans doute avoir besoin de plus de peinture pour refaire la façade du Front National parce que là, c’est définitivement impossible.

[A froid, n°1] Le Conseil constitutionnel a parlé. #PJLRenseignement

Jeudi 23 Juillet 2015, 22h30. La nouvelle tombe : le Conseil constitutionnel a rendu la décision n° 2015-713, relative à la loi sur le renseignement.

Ladite décision est une réponse aux trois saisines, celle du Président de la République, celle du président du Sénat et celle des députés de l’Assemblée nationale.

Cette décision, composée de 93 « Considérant », est accompagnée d’une censure partielle de la loi sur le renseignement, explications partielles.

Que dit la décision ? (ndlr : ce n’est pas sexy, mais c’est la loi)

Le Conseil des sages censure :

L’article L. 821-6

L’article en question autorisait, en cas d’urgence liée à une menace imminente, l’installation des dispositifs techniques pour collecter des données sans aucune autorisation préalable. Il faudra donc, dans ces cas d’urgences, obtenir l’autorisation préalable d’installer ces dispositifs techniques. Il ne sera pas nécessaire de passer par la CNCTR, le « garde-fou » des services de renseignement mais il faudra au moins l’aval du Premier ministre ou d’une personne faisant autorité.

La dernière phrase du premier alinéa de l’article L. 821-7

« L’article L. 821-6 n’est pas applicable, sauf s’il existe des raisons sérieuses de croire que la personne visée agit aux ordres d’une puissance étrangère, ou dans le cadre d’un groupe terroriste ou d’une organisation criminelle. »

L’article L. 821-6 étant déclaré contraire à la constitution, la dernière phrase de l’article L. 821-7 n’a plus de raisons d’exister, elle tombe donc naturellement.

La deuxième phrase du premier alinéa de l’article L. 832-4.

« Ces crédits sont inscrits au programme “Protection des droits et libertés” de la mission “Direction de l’action du Gouvernement” ».

Pour faire plus explicite, le Conseil constitutionnel a censuré le budget de la CNCTR. Ce budget ne pourra plus relever des crédits du gouvernement, ce qui fait qu’il ne sera plus visible dans la loi de finance.

« les mots : « , à l’exception de ceux mentionnés à l’article L. 854-1 » figurant au troisième alinéa de l’article L. 833-2 »

« 2° Dispose d’un accès permanent, complet et direct aux relevés, registres, renseignements collectés, transcriptions et extractions mentionnés au présent livre, à l’exception de ceux mentionnés à l’article L. 854-1, ainsi qu’aux dispositifs de traçabilité des renseignements collectés et aux locaux où sont centralisés ces renseignements en application de l’article L. 822-1 ; »

L’article L. 854-1 définit les mesures de surveillance internationale, le Conseil constitutionnel censure donc la disposition qui refusait à la CNCTR l’accès aux données issues de la surveillance internationale.

« les mots : « et L. 821-6 » figurant au septième alinéa de l’article L. 833-9 »

L’article L. 833-9 demande à la CNCTR de créer, chaque année, un rapport dressant le bilan de son activité. La censure du Conseil porte sur la publication des situations d’urgence dans ce rapport. Pour faire plus simples, les procédures liées aux situations d’urgence ne figureront pas dans le rapport annuel de la CNCTR.

Reste à espérer que toutes les situations ne seront pas « urgentes », sous peine d’avoir un rapport vide.

« les mots : « Sous réserve des dispositions particulières prévues à l’article L. 854-1 du présent code, » figurant au premier alinéa de l’article L. 841-1 du code de la sécurité intérieure »

Si votre serviteur comprend bien ce point, il s’agit de déclarer que le Conseil d’Etat sera compétent pour les mesures de surveillance internationale, le premier alinéa de l’article L. 841-1 était, avant :

« Sous réserve des dispositions particulières prévues à l’article L. 854-1 du présent code, le Conseil d’État est compétent pour connaître, dans les conditions prévues au chapitre III bis du titre VII du livre VII du code de justice administrative, des requêtes concernant la mise en œuvre des techniques de renseignement mentionnées au titre V du présent livre. »

Il devient, après censure du Conseil constitutionnel :

« Le Conseil d’État est compétent pour connaître, dans les conditions prévues au chapitre III bis du titre VII du livre VII du code de justice administrative, des requêtes concernant la mise en œuvre des techniques de renseignement mentionnées au titre V du présent livre. »

« l’article L. 854-1 du code de la sécurité intérieure »

L’article L. 854-1 fait référence aux mesures de surveillance internationale. Le Conseil constitutionnel déclare ces mesures contraires à la constitution et censure l’article dans son ensemble.

La question est la suivante : qu’est-ce qui est prévu à l’international, puisque les dispositions de surveillance à l’international sont censurées ? Le gouvernement va-t-il écrire quelque chose pour définir un cadre légal ? Est-ce que nous allons nous retrouver dans une situation alégale, c’est-à-dire non prévue par la loi ?

« à l’article 10, les mots : « et de l’article L. 854-1 du code de la sécurité intérieure » figurant à l’article L. 773-1 du code de justice administrative »

Ce passage fait référence aux mesures de surveillance internationale, puisque ces mesures sont déclarées contraires à la constitution, elles tombent et l’article 10 de la loi sur le renseignement est modifié.

« le paragraphe IV de l’article 26 »

Le paragraphe IV de l’article 26 dit :

« L’article L. 854-1 du code de la sécurité intérieure entre en vigueur au lendemain de la publication au Journal officiel du décret en Conseil d’État prévu à l’avant-dernier alinéa du I du même article, et au plus tard le 31 mars 2016. »

L’article L. 854-1 faisant référence aux mesures de surveillance internationale, ce dernier étant contraire à la constitution, le IV de l’article 26 n’a plus de raisons d’exister, il est déclaré contraire à la constitution par les sages du Conseil.

Le Conseil des sages déclare conforme :

L’article L. 811-3

Cet article définit les finalités de la loi sur le renseignement, elles sont donc déclarées conformes à la constitution, pour rappel, les finalités sont :

« 1° L’indépendance nationale, l’intégrité du territoire et la défense nationale ;

« 2° Les intérêts majeurs de la politique étrangère, l’exécution des engagements européens et internationaux de la France et la prévention de toute forme d’ingérence étrangère ;

« 3° Les intérêts économiques, industriels et scientifiques majeurs de la France ;

« 4° La prévention du terrorisme ;

« 5° La prévention :

« a) Des atteintes à la forme républicaine des institutions ;

« b) Des actions tendant au maintien ou à la reconstitution de groupements dissous en application de l’article L. 212-1 ;

« c) Des violences collectives de nature à porter gravement atteinte à la paix publique ;

« 6° La prévention de la criminalité et de la délinquance organisées ;

« 8° 7° La prévention de la prolifération des armes de destruction massive.

L’article L. 811-4

L’article L. 811-4 autorise l’accès aux techniques du renseignement à d’autres services que ceux mentionnés par la loi relative au renseignement. D’autres services pourront donc accéder aux techniques des services du renseignement.

L’article L. 821-1

L’article L. 821-1 autorise la mise en œuvre, sur le territoire national, des techniques des services de renseignement.

L’article L. 821-5

L’article L. 821-5 autorise, en cas d’urgence absolue, à se passer de l’avis de la CNCTR. Il sera donc possible de mettre en place des dispositifs du renseignement sans demander, au préalable, l’avis  de la commission.

L’article L. 821-7

L’article L. 821-7 fait un point particulier sur les parlementaires, magistrats, avocats ou journalistes, ils ne peuvent « être l’objet d’une demande de mise en œuvre, sur le territoire national, d’une technique de recueil de renseignement mentionnée au titre V du présent livre à raison de l’exercice » de leur mandat ou de leur profession.

Le Conseil déclare donc conforme cette disposition, la suite de l’article L. 821-7 explique qu’il sera possible de les mettre sous surveillance, dans des conditions très particulières et un peu plus encadrées que les autres professions.

L’article L. 822-2

L’article L. 822-2 définit les temps de conservation des données ainsi que leur temps de destruction, selon le type de données ou le début de leur date d’exploitation.

Ainsi, les données chiffrées collectées pourront être conservées pendant six ans, le délai court à compter de leur déchiffrement.

L’article L. 831-1

L’article L. 831-1 définit la composition de la Commission Nationale du Contrôle des Technique de Renseignement, la fameuse CNCTR.

Le surplus de l’article L. 841-1

Le surplus de cet article est le suivant :

« Lorsqu’une juridiction administrative ou une autorité judiciaire est saisie d’une procédure ou d’un litige dont la solution dépend de l’examen de la régularité d’une ou de plusieurs techniques de recueil de renseignement, elle peut, d’office ou sur demande de l’une des parties, saisir le Conseil d’État à titre préjudiciel. Il statue dans le délai d’un mois à compter de sa saisine. »

Le Conseil Constitutionnel déclare donc conforme la procédure de recours de la loi relative au renseignement. Toute personne souhaitant vérifier qu’aucune technique de renseignement n’est irrégulièrement mise en œuvre à son égard et justifiant de la mise en œuvre préalable de la procédure pourra saisir le Conseil d’Etat.

Il valide donc le recours à une autorité administrative en lieu et place d’une autorité judiciaire.

Les articles L. 851-1, L. 851-2, L. 851-3, L. 851-4, L. 851-5, L. 851-6

Ces articles édictent les techniques des services du renseignement, ils autorisent le traitement et la collecte des données de connexion, la mise en place des « boites noires », de la collecte d’informations en temps réel, de traitements automatisés destinés à détecter des connexions susceptibles de révéler une menace terroriste.

L’article L. 852-1

L’article L. 852-1 autorise la mise sous surveillance, sous certaines conditions, d’une ou de plusieurs personnes appartenant à l’entourage d’une personne concernée par une autorisation de surveillance.

La suite de l’article, au II, autorise la mise en place d’IMSI Catcher, des équipements de captation de données sur les réseaux mobiles.

Les articles L. 853-1, L. 853-2, L. 853-3

L’article L. 853-1 autorise, s’il n’existe aucun autre moyen légalement autorisé, à installer des équipements de collecte d’informations dans une sphère privée, ceci « permettant la captation, la fixation, la transmission et l’enregistrement de paroles prononcées à titre privé ou confidentiel, ou d’images dans un lieu privé »

Le 853-2 quant à lui, autorise l’installation de Keylogger ou Screenloggers (EN), afin d’accéder à des données informatiques, de les enregistrer, les conserver et les transmettre, « telles qu’elles s’affichent sur un écran pour l’utilisateur d’un système de traitement automatisé de données, telles qu’il les y introduit par saisie de caractères ou telles qu’elles sont reçues et émises par des périphériques audiovisuels »

L’article L. 853-3, enfin, autorise la mise en place de moyens de collecte de données dans des véhicules ou lieux privés, y compris les lieux d’habitation.

Enfin, pour les articles L. 773-2, L. 773-3, L. 773-4, L. 773-5, L. 773-6 et L. 773-7

je ne m’estime pas assez compétent pour les expliquer, je préfère donc inviter à faire vos propres recherches et à commenter ici, j’ajouterai vos entrées dans l’article.

Vous pouvez retrouver la décision du Conseil constitutionnel ici.

Vous pouvez retrouver la dernière version du texte de la loi relative au renseignement ici.

Attention, ma grille de lecture est peut-être fausse, je n’ai pas la prétention de maîtriser la loi, si vous constatez des erreurs, signalez-les.

Je n’ai abordé ici que les décisions, c’est-à-dire la fin du verdict présenté par le Conseil constitutionnel. Marc Rees, de Next Inpact, publiera dans lundi une étude complète, étude que je vous invite à lire dans le détail avant de la partager (et vous la partagerez).

« Nos agences se sont clairement égarées »

Tels étaient les mots prononcés par Eric King, le directeur de Privacy International, une Organisation Non Gouvernementale (ONG) espionnée par le GCHQ, équivalent britannique de la NSA américaine ou de nos services du renseignement, dans cette bonne vieille France.

Mercredi dernier, l’IPT (Investigatory Powers Tribunal), un tribunal britannique chargé d’enquêter sur la légalité des pratiques des services du renseignement, admettait que certaines ONG étaient illégalement surveillées, Amnesty International faisant partie des ONG espionnées.

Retour sur les faits

Mercredi donc, le président de l’IPT a envoyé un mail à Amnesty International, mail dans lequel il explique que des documents ont été portés à sa connaissance depuis le premier jugement et qu’ils viennent modifier ladite décision du Tribunal, rendue le 22 juin 2015.

La première décision rendue par le tribunal faisait suite à une plainte déposée par dix ONG, où le tribunal, dans sa décision initiale, déclarait que deux ONG étaient illégalement surveillées : L’Egyptian Initiative for Personal Rights et le Legal Resources Centre in South Africa.

Dans sa seconde décision, celle du 22 juin, le tribunal déclare qu’il s’est trompé et que ce n’est pas L’Egyptian Initiative for Personal Rights qui était illégalement surveillée, mais bien Amnesty International.

Le GCHQ garde sa ligne de communication

Du côté du GCHQ, la communication ne bouge pas : il n’y a surveillance que lorsque qu’il y a une menace sérieuse sur le pays, la surveillance ne sert qu’à cette finalité, dans le respect de la loi.

On peut se demander en quoi une organisation comme Amnesty International représente une « menace sérieuse pour le pays », leurs méthodes sont éloignées de toute forme de violence, ils préfèrent l’échange et la communication et c’est tout à leur honneur.

La réponse est apportée par la décision du Tribunal : rien ne justifie la surveillance d’Amnesty International, puisque le Tribunal juge cette dernière illégale.

La réaction d’Amnesty

Elle est assez vive, comme vous pouvez l’imaginer : « Il est inacceptable de constater que ce qui est présenté comme étant du domaine des dictatures puisse exister sur le sol anglais, instauré par le gouvernement anglais. »

Au-delà de la vive réaction d’Amnesty International, ces révélations pourraient avoir un impact très négatif sur les relations qu’entretient l’ONG avec d’autres organisations et d’autres individus.

« Comment mener à bien un travail crucial, à travers le monde, si les défenseurs des droits de l’Homme et les victimes d’abus encourent le risque de voir nos échanges confidentiels tomber dans les mains du gouvernement ? »

Le fonctionnement de l’IPT

Les copains de Next Inpact l’expliquent très bien : « Le tribunal n’a l’obligation de révéler une surveillance donnée à la personne morale ou physique que s’il conclut au caractère illicite du processus. »

En résumé : si le GCHQ n’a avait pas commis des erreurs, constatées ensuite par l’IPT, les ONG n’auraient jamais été informées qu’elles étaient sous surveillance et que cette surveillance n’était pas légale et cela aurait perduré, des années qui sait.

Sans sombrer dans la paranoïa, on peut tout de même imaginer que d’autres personnes, d’autres groupes ou ONG sont également surveillées. Que cette surveillance est tout autant illégale que la surveillance d’Amnesty International, à la différence que le GCHQ n’a pas fait la même erreur.

Qu’est-ce qui me prouve que le GCHQ n’espionne pas d’autres personnes ou d’autres ONG ? Rien.
Nous savons qu’Amnesty International était espionné à cause d’une erreur et j’imagine que des erreurs, c’est rare.

On peut imaginer que la Fédération Internationale des ligues Droits de l’Homme (FIDH) est espionnée, que RSF l’est, que n’importe quelle organisation l’est, en fait.

Les déclarations du GCHQ sont des mensonges, comment leur faire confiance pour la suite ?

Et en France ?

La loi sur le renseignement est actuellement au conseil constitutionnel pour une quadruple saisine (Assemblée Nationale, Président du Sénat, Président de la République et AFDEL) mais, dans les finalités de ladite prochaine loi, des choses similaires au fonctionnement du GCHQ existent.

Ainsi, il n’est pas inconcevable d’imaginer que les services du renseignement français se mettent à espionner une ONG. Si ce n’est pas une organisation terroriste, il n’en reste pas moins que certaines ont une influence politique. Il suffira de dire que telle ONG est surveillée pour tel motif afin qu’elle n’en sache jamais rien et que tout ceci soit jugé conforme à la loi.

ONG, membres d’associations, sortez couverts.

GoLeaks : les leaks de l’Ouest.

J’ai décidé de vous parler de GoLeaks, une plateforme de leaks comme son nom l’indique, suite à une conférence très intéressante lors du festival « Pas Sage en Seine 2015 », où j’ai rencontré @Datapulte, hacker en charge de la partie technique du projet.

Le projet semble bien parti, solide et pas décidé sur un coup de tête. Les personnes qui vont s’occuper du projet sont fiables et de confiance.

La première plateforme régionale de récolte et de diffusion d’information, de « leaks », par des sources anonymes, va donc prochainement voir le jour.

Petit tour d’horizon de GOLeaks.

Le GO, c’est pour Grand Ouest, les leaks porteront sur l’ensemble de la Bretagne et on peut déjà imaginer des leaks en lien avec Notre-Dame-des-Landes par exemple, mais pas que. De la fuite très locale, du village à la ville, de l’élu local à beaucoup plus, il y a là, à mon avis, beaucoup de choses à récupérer.

Ce sont ces raisons qui ont entrainé la création de GOLeaks.

Le projet

Le besoin est le suivant : partager une information sensible ou compromettante, une information qui mérite d’être connue du grand public. Cette information, en raison de son caractère sensible, ne peut pas être partagée via des outils « classiques », par mail, SMS, au téléphone …

Il faut être capable de protéger et d’anonymiser au maximum la source de l’information, clef de la réussite des sites de leaks. Nous reviendrons sur ce point un peu plus loin dans le billet.

Protection des sources, travail avec les journalistes et les maisons de presse, gestion des échanges entre source et journaliste pour sécuriser au maximum la source, telles sont les ambitions du projet.

Techniquement

La plateforme est découpée en deux parties, l’une servant de vitrine, l’autre étant la réelle plateforme d’échange.

« Les deux sites sont séparés et hébergés à des endroits différents, chez un opérateur de confiance, afin de sécuriser au maximum les plateformes. S’il y a une faille de sécurité sur un site, elle ne permettra pas de remonter jusqu’à l’autre », m’explique @Datapulte, hacker en charge du projet.

Sur le site web « classique », on découvre les raisons du projet ainsi que ses ambitions. D’ici à son lancement, la vitrine de Goleaks changera, pour indiquer aux utilisateurs qu’il faut un protocole de connexion et de contact spécifique pour déposer une information sur la plateforme.

La plateforme centrale sera un service caché dans le réseau TOR (avec une adresse qui se termine en .onion pour faire plus clair). De facto, il faudra obligatoirement utiliser TOR afin de pouvoir envoyer une information au site, @Datapulte m’explique…

« on ne veut pas mettre en danger une source, nous allons donc forcer l’utilisation de TOR pour sécuriser un peu plus les échanges. Notre but est de servir de plateforme de leaks mais pas n’importe comment et surtout pas en compromettant des sources désireuses d’échanger des informations sensibles ».

Qu’on se le dise, @Datapulte sait où il veut mener le projet, ce qui est très rassurant aux vues du projet.

Une fois un leaks déposé sur le site, il sera mis à disposition de journalistes afin qu’ils puissent traiter l’information, nous y reviendrons. Les échanges avec les journalistes exigeront le même protocole de connexion que celui des sources : TOR.

GOleaks permettra aussi l’envoi de mails chiffrés, à la source et au journaliste, en servant d’intermédiaire. « Nous avons choisi d’être l’intermédiaire entre une source et un journaliste pour sécuriser au maximum les échanges. Une source souhaite contacter un journaliste, un mail chiffré est envoyé par Goleaks au journaliste, qui doit passer par la plateforme d’échange afin de pouvoir répondre à la source. ».

Pourquoi servir de plateforme centrale et incontournable ?

A cette question, @Datapulte me répond « nous pensons qu’il est préférable qu’un journaliste et une source ne soient pas directement en contact. En procédant ainsi, s’il y a un problème, la source ne met pas en danger le journaliste et vice-versa. Dans le pire des cas, si une source est grillée ça ne pourra remonter que jusqu’à Goleaks, idem si c’est un journaliste, la piste ne pourra remonter que jusqu’à Goleaks. Nous sommes conscients de notre rôle de fusible ».

Je trouve ce point très positif, dans les explications fournies, je sens réellement la volonté de minimiser les risques et dangers, « le risque zéro n’existe pas, mais on cherche à s’en approcher le plus possible ».

Rajoutons que Goleaks tourne sous Globaleaks, une plateforme open-source dédiée aux leaks. Globaleaks est développé par “Hermes Center for Transparency and Digital Human Rights”, Globaleaks est, par exemple, utilisé par « Le Monde » via https://secure.sourcesure.eu.

C’est un projet très suivi, régulièrement mis à jour et assez sécurisé, considéré comme une excellente initiative par de nombreux journalistes et hackers, comme ceux du CCC ou Jacob Applebaum par exemple.

Serveurs séparés, hébergés chez un acteur de confiance, passage par TOR requis, mails chiffrés, plateforme qui s’impose un niveau de sécurité élevé… les outils ne manquent pas pour faire de Goleaks une réussite.

Reste le problème des sources et de l’utilisation des outils, parfois compliquée pour des utilisateurs néophites.

A nouveau, @Datapulte a les idées claires sur le sujet : « concernant les leaks, nous pensons qu’il peut y avoir beaucoup d’informations, si nous arrivons à faire connaître le projet, clef de notre réussite. Côté formation, nous avons déjà des contacts avec des journaux locaux pour les former à utiliser TOR et nous allons mettre, sur la vitrine publique du site, des informations et explications claires pour pouvoir déposer un leak ».

Le traitement de l’information sera assuré par les journalistes, « nous travaillons déjà avec des journalistes afin d’établir des partenariats. Lors du dépôt d’un leak, le lanceur d’alerte pourra choisir à qui envoyer l’information. Goleak enverra une alerte aux journalistes choisis, qui devront passer par TOR et un lien à usage unique afin de récupérer l’information transmise. »

On s’y met ?

« Pour l’instant, tout n’est pas encore prêt et nous avons besoin de soutiens et de visibilité avant de nous lancer. »

Je ne sais pas de quoi l’avenir est fait, mais Goleaks possède les clefs pour qu’il soit bon.

En revanche, je sais qu’ils auront prochainement besoin d’un financement pour faire tourner la plateforme, @Datapulte m’informe « qu’une campagne de financement verra prochainement le jour, d’ici septembre. »

Souhaitons-leur bon courage.

Vous pouvez retrouver toutes les informations de Goleaks à cette adresse https://goleaks.org/, @Datapulte sur Twitter et @R0aming_, un rédacteur en chef Web, lui aussi impliqué dans le projet Goleaks.

Vous pouvez également retrouver GOLeaks sur Twitter : http://twitter.com/goleaks_