Les identités numériques

carnet de recherche vie privée données personnelles identité numérique dispositif identitaire sciences de l'information et de la communication facebook google réseaux socionumériques

PRISM, suite [update inside]

BarackObamaIsCheckingYourEmail

BarackObamaIsCheckingYourEmail.

Glenn Greewald (journaliste du Guardian) affirme que la NSA a un accès direct aux serveurs de Facebook, Google, Amazon, etc. Les responsables de la NSA affirment également que ces entreprises leur fournissent des données uniquement sur injonction. Les responsables de ces entreprises, quant à eux, nient toute collaboration : soit c’est un cas de plausible dénégation (on n’informe pas la hiérarchie pour qu’elle n’ait pas à mentir), soit l’engagement contractuel qui lie ces firmes à la NSA leur interdit de reconnaitre le transfert. Pour dépasser cette impasse, il est intéressant de se plonger dans la dimension technique qui ressort de l’affirmation d’un accès direct.

There was a problem connecting to Twitter.

Complément technique

On est ainsi en droit de se demander comment fonctionne PRISM, et plus largement les dispositifs d’espionnage domestique. Sur Quora, plusieurs ingénieurs répondent.

Pour info, la France (et plus précisément la Délégation générale pour l’Armement) a déployé courant 2009 le programme HERISSON (Habile extraction du renseignement d’intérêt stratégique à partir de sources ouvertes numérisées). Comme son titre l’indique, il s’agit d’interroger les données ouvertes, accessibles via les API et différents protocoles (POP3,P2P, IRC, etc..). Il s’agissait d’un prototype confié à EADS, Bull et Bertin Technologies, prévu dans le cadre de LOPSI2, et qui fait suite au projet avorté PERICLES, développé quant à lui par la Gendarmerie nationale (deux articles du 20 juin 2009 parus dans le Figaro y faisaient référence : A et B). Prévu pour une durée d’essai de 3 ans, nous ne savons pas aujourd’hui à quel résultat a abouti ce prototype, ni s’il est rentré en phase opérationnelle.

En passer par cette couche logicielle est une possibilité envisagée. En niant l’existence d’un backdoor, les éditeurs de service web n’éliminent pas la possibilité d’une API dédiée à la NSA. Toutefois, étant donné la charge des serveurs, l’optimisation des clusters1, et l’accès qu’en ont les techniciens, il n’est pas envisageable qu’un tel système soit resté inaperçu. De même, il n’est pas réaliste d’imaginer que Facebook ait cloné ses données.

The only way I could see this even being possible is if Facebook has invested in a Hadoop cluster dedicated to the NSA that is secret to all other Facebook employees. Of course, that would require a secret data center and hundreds of secret employees to operate, and software engineers sworn to secrecy about that one weird place where they were asked to replicate the data (which would be tough considering all Facebook engineers have access to all Facebook code that runs directly in production). Chris Schrader, Business Intelligence Consultant, sur Quora.

De plus, un tel système couterait bien plus que les $20 millions déclarés à propos de PRISM. Avec un tel budget, le système ne serait capable de traiter que les métadonnées (ce qui est fait avec Verizon) : il faudrait des moyens faramineux pour traiter les contenus. Cela étant, les inférences produites à partir de simples métadonnées sont déjà porteuses de sens, et peuvent permettre de reconstruire (et interpréter ?) des réalités.

Quoi qu’il en soit, cela ne répond pas à la question de l’accès : certains évoquent la possibilité que la NSA réalise effectivement du wiretapping, en se branchant directement chez les cablo-opérateurs, soit du côté des répartiteurs, soit du côté des goulets. Autrement dit en se connectant à la racine des câbles intercontinentaux (the cheapest path, comme mentionné dans les slides de PRISM ?). Pour mémoire, les USA avaient un programme de sous-marins capables de rester des mois au fond des océans, greffés aux câbles trans-océaniques (opération Ivy Bell, Pacifique2). Cela expliquerait ainsi la belle unanimité dans les dénégations de Google et Facebook : la NSA n’a pas d’accès direct aux serveurs. Cela n’exclue pas les accès indirects, via les multiples opérateurs d’une transmission par paquet. Ainsi, contrairement aux explications que le Washington Post fournit, la slide qui mentionne les différents fournisseurs de contenus ne parle pas de partenariat avec la NSA, mais du moment à partir duquel la NSA a commencé collecter les données des utilisateurs (dans son article, le Washington Post a d’ailleurs corrigé le tir : lire l’analyse sur ZDNet). La possibilité d’une fourniture par injonction (la NSA demande, la Silicon Valley obéit) reste toujours possible : c’est d’ailleurs une hypothèse défendue par certains blogueurs (Bob Cesca sur Banter Media ; Josh Constine sur TechCrunch). Facebook et al. déclarent d’ailleurs ne fournir des données que sur injonction : ces injonctions étant passées au crible de leur service juridique, on peut alors imaginer que cela ne correspond pas à un accès direct.

BarackObamaIsCheckingYourEmail

BarackObamaIsCheckingYourEmail.

Ainsi, en nous permettant d’identifier certains acteurs du Net (ceux des tuyaux, ceux que Goffman appelait les eavesdroppers, ceux qui écoutent aux portes), PRISM nous rappelle les enjeux liés au traitement des données personnelles. Si Facebook et Google (et les autres firmes exploitées par la NSA) ne sont pas responsables des fuites, leur adoption massive par les usagers, et les pratiques sociales qu’ils permettent (identification et socialisation), en font une proie de choix pour l’espionnage domestique, en plus de l’exploitation commerciale (on se souviendra également qu’Echelon, développé pendant la Guerre Froide, a également contribué à la guerre économique).

Ce n’est pas tant que l’hypothèse de monde clos ne tienne plus, mais la partition des sphères privées, professionnelles et publiques reste artificielle et arbitraire ; si l’être social nait dans l’intersection de ces sphères, c’est aussi parce qu’il a la maitrise à la fois de la partition des espaces sociaux et des transferts d’information entre ces espaces ((ce que j’appelle le cadre privatif)). Ou à tout le moins d’abord la connaissance, et surtout la confiance dans le régime de partitions et de transferts informationnel. Comme le signalait C. Denis à propos de HERISSON3 :

« Étant donné que le système HERISSON constitue un outil neutre de surveillance, ce n’est que par son emploi qu’il pourrait devenir un instrument attentatoire aux droits et libertés fondamentaux. D’une part, les autorités compétentes pour l’utiliser seraient capables de l’instrumentaliser et le détourner contre les droits individuels. Et d’autre part, c’est à travers une loi elle-même dangereuse pour les libertés individuelles, qui encadrerait son usage, que cet outil seulement pourrait constituer un risque pour les droits fondamentaux des citoyens. […] Cependant, la menace que le système HERISSON soit dévoyé reste du domaine de la dénonciation paranoïaque dans un État tel que la France car la garantie première est que celui-ci sera utilisé par les entités étatiques de sécurité nationale, mais surtout encadré de manière démocratique. Bien que le cadre juridique n’ait pas encore été instauré [ni décret ni avis à la CNIL], nous pouvons légitimement penser et espérer que le programme fera l’objet d’un contrôle strict et de garde-fous adéquats, afin d’éviter que celui-ci n’engendre pas de contraintes trop excessives sur les libertés de chacun : il en va ainsi de sa crédibilité sociale et de sa validité démocratique ».

  1. Hadoop, la techno employée, est open source : à priori pas de backdoor repéré, mais les failles de sécurité existent… []
  2. relire également Campbell D., Surveillance électronique planétaire, Paris : Allia, 2001 []
  3. Denis C., « Le système Herisson », in Ségur P., Labrot E. (dir.), Un monde sous surveillance ?, Perpignan : PUN, 2011, p.209-225 []

Laisser un commentaire