Après le vote de l’ensemble des articles du projet de loi sur le renseignement, deux hébergeurs annoncent leur déménagement hors de nos frontières. Du côté de Gandi, le choix a été fait d’expliquer le mécanisme des « boites noires », graphisme à l’appui. Seulement, quelques subtilités apparaissent sur les écrans...

EU.org d’abord, indique que suite à cette adoption, « il procèdera au déménagement de tous ses serveurs de noms hors de France ». Il dénonce une « surveillance légale systématique du trafic Internet par les services de renseignement français, dans des conditions d'opacité complète, sous la seule responsabilité de l'exécutif, sans contre-pouvoir ».

Un choix moral

Lors des débats, ces affirmations ont été combattues par le rapporteur et député PS Jean-Jacques Urvoas et surtout Bernard Cazeneuve, ministre de l’Intérieur. Mais au vu de la capacité des services à mettre des sondes pour cibler la surveillance, tout comme des « boites noires » pour anticiper une possible menace terroriste, EU.org considère que le trafic ausculté inclura « notamment des requêtes de résolution DNS des utilisateurs accédant aux 28 000 domaines délégués par Eu.org ». Or, cette structure assure qu’elle « ne peut moralement laisser en toute connaissance de cause le trafic de ses utilisateurs -- incluant des sites d'activisme politique dans le monde entier -- et, par ricochet, le trafic d'accès de leurs propres utilisateurs, exposé à de telles écoutes ».

Des analyseurs dans les infrastructures

Même mouvement de fuite du côté d’Altern.org. Valentin Lacambre indique la fermeture de son service, « le temps de déménager à l'étranger ». Celui qui n’a eu de cesse de défendre la liberté d’expression s’en explique : « on a bien rigolé en les voyant gesticuler à tenter de bloquer la mer avec des lignes Maginot comme l'Hadopi. Mais aujourd'hui ils ont trouvé une parade en nous obligeant par la loi à installer au cœur de nos infrastructures des analyseurs sous le contrôle des services secrets. Ce contrôle sur les télécommunications appelle à l'autocensure de notre expression publique et annihile notre vie privée sur internet. »

« Pour nous un seul jour sous écoute globale est un jour de trop » dénonce Altern qui « refuse la boite noire des services secrets », ferme ses services avant leur réouverture « dans quelques jours dans un pays plus respectueux des libertés individuelles ».

Les explications de Gandi

Gandi a de son côté publié une infographie (voir ci-dessous) afin d’illustrer la mise en place des fameuses « boites noires » chez les hébergeurs, tel qu’il ressort d’un arbitrage gouvernemental pris en compte dans le projet de loi.

Seulement, comme expliqué avant-hier, la rustine gouvernementale ne change pas la donne. Certes, la boîte noire ne pourra plus être mise en œuvre dans le cadre d’une procédure d’urgence (821 - 5), simplement, dans un amendement adopté en séance, il est prévu l’implication des acteurs du net dans les opérations matérielles nécessaires à la mise en place des techniques de surveillance.

La boite noire et les explications du ministre de l'Intérieur

Le gouvernement a prévenu que ces opérateurs pourraient s’assurer que les données de contenu seront exclues de la mise en œuvre de ces traitements. Mais la problématique reste intacte : alors que les réquisitions pouvaient autrefois taper sur l’existant, le statique, (les logs) désormais, le renseignement pourra aspirer le dynamique (les flux) autour d’un site hébergé en France. La problématique prendra sans doute de l’ampleur chez les fournisseurs d’accès où le champ des possibilités dépasse le cadre des prestations d’hébergement.

Que pourra faire cette boite noire ? Lors des échanges à l’Assemblée nationale, Bernard Cazeneuve, ministre de l’Intérieur a donné quelques exemples :

« S’agissant de la détection sur données anonymes, je voudrais citer des cas très concrets auxquels j’ai été confronté dans mes fonctions de ministre de l’intérieur – car la lutte contre le terrorisme amène aussi une expérience, une compétence, un vécu.

Mes services de renseignement ont pu, par des échanges d’informations, savoir que des terroristes procédaient, sur le darknet, à des communications cryptées donnant des éléments précis sur leur intention de commettre des actes terroristes. Par ailleurs, on sait que, et cela a été le cas dans les attentats du mois de janvier, des terroristes utilisent, pour poster des vidéos appelant au terrorisme et faisant la publicité d’actes terroristes qu’ils ont déjà commis, une multitude d’adresses IP qui se masquent les unes les autres, à partir de messages postés depuis différentes boîtes situées partout sur la planète. »

Face à des faits considérés donc comme suspects, les services de la place Beauvau jugent ainsi « possible, grâce à des algorithmes, de détecter des comportements et d’identifier des individus susceptibles de passer à l’acte ». Mais le ministre l’assure : « Il ne s’agit pas de techniques de prélèvement de masse, non, c’est faux ! (…) Nous utilisons ces formules mathématiques pour prendre seulement ce dont nous avons besoin sur le flux ».

Pas de réquisition selon nous et des métadonnées très généreuses

Deux détails complémentaires. Selon Gandi, l’identification des personnes représentant une possible menace devrait impérativement être ordonnée par une réquisition judiciaire, donc par un juge (voir en bas de l’infographie) dans le cadre de la LCEN. Contacté, Gandi nous répond que « c'est ainsi que pour le moment nous l'analysons. »

Seulement, selon nous et comme nous l’avons exprimé à ce prestataire, ce n’est pas le cas. Le projet de loi indique simplement que c’est le Premier ministre qui pourra décider, après avis de la CNCTR, de procéder à l’identification des personnes concernées, le tout dans une stricte procédure administrative. Il n’est pas question de renvoi à une quelconque LCEN ou au juge, au contraire, les services pourront même placer des sondes plus ciblées pour mieux encore aspirer un maximum d’informations.

Autre point, selon des explications qui nous ont été fournies, avec la boite noire, le trafic de tel ou tel data center visant tel site hébergé en son sein, sera dupliqué. Seulement, là est la subtilité : par ce biais, certes le mécanisme se limitera techniquement aux métadonnées (les « informations et documents » mentionnés dans l’article du projet de loi renseignement ou dans la loi de programmation militaire), mais en creux le gouvernement aura nécessairement bien connaissance des URL visitées. Pourquoi ? Tout simplement parce qu'avec la complicité contrainte des hébergeurs, il aura connaissance du trafic d'un site déterminé ! Il y a un menu souci : juridiquement, ces informations-là sont en principe exclues du périmètre des « données de connexion » puisqu’il s’agit de données de contenus. Bref, en feignant ne s’intéresser qu’au contenant, le ministre de l’Intérieur contourne la logique des textes et aura bien une vue plongeante, par-dessus votre épaule.