ANSSI : les stations de base (notamment) soumises à autorisation dès octobre 2021

L’ANSSI a donné sa grille de lecture sur l’arrêté publié jeudi au Journal officiel. Ce texte soumettra aussi à autorisation, tous les équipements réseaux mobiles de nature à permettre la réalisation d’atteintes au secret des correspondances.

Selon l’explication portée par l'Agence nationale pour la sécurité des systèmes d’information, cet arrêté enrichit « la liste des appareils et dispositifs techniques soumis à l’autorisation » comme le prévoit l’article R. 226-3 du Code pénal. Il y intègre « notamment, les stations de base des réseaux de téléphonie, dès lors que leurs caractéristiques sont susceptibles de permettre des atteintes au secret des communications » ajoute-t-elle, laissant donc entendre que ce régime est susceptible de s’étendre à d’autres dispositifs de la téléphonie mobile.

Dans le marbre du texte, rappelons que, via l’article 226-3 du Code pénal, l’ANSSI pourra à l’avenir contrôler l’ensemble des « appareils qui permettent aux opérateurs de communication électroniques de connecter les équipements de leurs clients au cœur de leur réseau radioélectrique mobile ouvert au public, dès lors que ces appareils disposent de fonctionnalités, pouvant être configurées et activées à distance, permettant de dupliquer les correspondances des clients, à l'exclusion des appareils installés chez ceux-ci ».

Dans son communiqué publié hier, l’agence rappelle également que « cette nouvelle mesure, prise notamment afin d’anticiper les évolutions prévisibles des technologies de communication mobile, est assortie d’un délai d’entrée en application de cinq ans, afin de permettre sa prise en compte pour les équipementiers et les opérateurs dans les futures générations d’équipements et de réseaux ».

Ce qu’elle ne précise pas, c’est que le Renseignement ou les services judiciaires pourront alors piocher dans la nasse de ces appareils soumis à restrictions, afin de mener à bien leurs missions. Comme indiqué, l’article 226-3 du Code pénal a un double visage : d’un côté, il pose l’interdiction du commerce de ces produits et services susceptibles de violer la vie privée, mais de l’autre, il permet à ces acteurs sensibles de les utiliser pour réaliser, pourquoi pas, des interceptions de sécurité.

L'expression « 226-3 du Code pénal »

Pour le vérifier, rien de plus simple. Il suffit de se rendre par exemple sur le texte de la loi Renseignement et de rechercher l'expression « 226-3 du Code pénal ». On voit ainsi qu’une disposition autorise les services à recueillir « au moyen d’un appareil ou d’un dispositif technique mentionné au 1° de l’article 226-3 du Code pénal, les données techniques de connexion permettant l’identification d’un équipement terminal ou du numéro d’abonnement de son utilisateur ainsi que les données relatives à la localisation des équipements terminaux utilisés ». Le tout, « directement », spécifie expressément le texte en question.

De même, pour certaines finalités (l’indépendance nationale, l’intégrité du territoire et la défense nationale, la prévention du terrorisme, la prévention des atteintes à la forme républicaine des institutions) « peut être autorisée, pour une durée de quarante-huit heures renouvelable, l’utilisation d’un appareil ou d’un dispositif technique mentionné » au même article et ce, « afin d’intercepter des correspondances émises ou reçues par un équipement terminal ». Comme détaillé encore dans notre actualité de jeudi, concrètement, les appareils installés dans les stations de base pourront permettre de dupliquer à distance des correspondances mobiles, passant dans le spectre des antennes relais.

Selon un autre éclairage donné par Alexandre Archambault, ancien directeur des affaires règlementaires de Free, « ce texte était en gestation depuis quelques années, visant à répondre à une demande des opérateurs au regard de l’évolution technologique. L’architecture des réseaux mobiles de nouvelles générations a considérablement évolué : elle tend à se caler sur ce qui existe en IP. Compte tenu de l’évolution du trafic, notamment data, les opérateurs sont de plus en plus réticents à maintenir en cœur de réseau ces fonctions ».