Connexion
Abonnez-vous

Le gendarme du renseignement décrypte les « boîtes noires » algorithmiques

Back in black, I hit the sack

Le gendarme du renseignement décrypte les « boîtes noires » algorithmiques

CNCTR

Alors que le Conseil constitutionnel vient de censurer la surveillance algorithmique des URL, le rapport 2024 de la Commission nationale de contrôle des techniques de renseignement revient sur les garde-fous mis en œuvre afin que les « boîtes noires », qui avaient cristallisé les critiques lors de l'adoption de la loi Renseignement de 2015, ne puisse pas relever de la « surveillance de masse ». Si les trois premiers algorithmes ne traitaient que les seules métadonnées téléphoniques, on peine par contre à comprendre comment les deux autres pourraient analyser des métadonnées Internet.

Le 26 juin à 17h43

Vincent Mazauric, conseiller d’État nommé le 28 mars président de la Commission nationale de contrôle des techniques de renseignement (CNCTR) suite au décès de son prédécesseur, Serge Lasvignes, en a présenté ce mercredi le rapport annuel 2024 à un petit comité de journalistes de l'AFP, AEF, Intelligence Online, Le Figaro, Libération, Le Monde et Next.

Énarque, le haut fonctionnaire a passé la majeure partie de sa carrière aux impôts, avant de devenir directeur général adjoint des finances publiques puis de prendre la direction générale de la Caisse nationale d’allocations familiales. Auditionné à l'Assemblée et au Sénat en prévision de sa nomination, il avait déclaré que « le monde et le droit du renseignement assurément seront nouveaux pour moi », avant de rajouter : « je crois que cela me gardera de l'implicite dans les échanges avec les partenaires de la CNCTR ».

Lors de la présentation du rapport, Vincent Mazauric s'est retranché, plusieurs fois, derrière le secret de la défense nationale pour justifier ce pourquoi il ne pouvait pas répondre précisément à certaines questions posées, telles que le nombre de personnes qui auraient été identifiées par les fameuses « boîtes noires », ou encore combien d'entre-elles moulinent des données téléphoniques, et/ou Internet.

Il n'en a pas moins tenté d'expliciter certains points particuliers, de façon implicite, précisant notamment que « nous évoquons plus, eu égard au secret de la défense nationale, ce que l'algorithme ne fait pas que ce qu'il permet de faire ».

Interrogé sur les contrôles effectués au sujet de ces algorithmes, Vincent Mazauric nous répond, là aussi de manière implicite, que la CNCTR peut être amenée à constater qu'un algorithme ne serait pas très utile. Soit parce qu'il est trop ciblé. Soit parce qu'a contrario, s'il entraîne un nombre très important de signalements, c'est probablement qu'il brasserait trop large.

Toujours pas de surveillance algorithmique des URL et ingérences étrangères

Suite à l'autorisation d'un premier algorithme en octobre 2017, le rapport 2018 de la CNCTR révélait que deux nouveaux algorithmes avaient été autorisés, portant à trois le nombre de « boîtes noires » mis en œuvre depuis l'adoption de la loi Renseignement en 2015. Next relevait par la suite que « seule près d’une dizaine de personnes ont été surveillées individuellement suite au déploiement des trois boîtes noires activées en France ».

Il reste 82% de l'article à découvrir.

Déjà abonné ? Se connecter

Cadenas en colère - Contenu premium

Soutenez un journalisme indépendant,
libre de ton, sans pub et sans reproche.

Accédez en illimité aux articles

Profitez d'un média expert et unique

Intégrez la communauté et prenez part aux débats

Partagez des articles premium à vos contacts

Abonnez-vous

Commentaires (9)

votre avatar
Et aussi, et surtout, parce que la loi fait interdiction au FAIs de conserver les métadonnées Internet qui pourraient révéler le contenu des informations consultés par les utilisateurs finals.

(et accessoirement un routeur de FAI n'a rien à carrer de l'URL, ce n'est pas une information pertinente pour l'acheminement d'un paquet, cette information est directement échangée par les 2 extrémités client / serveur et est totalement inconnue du FAI avec le chiffrement des couches applicatives)

legifrance.gouv.fr République Française
votre avatar
Par défaut, le nom d'hôte (mais pas l'URL complète) est connue du FAI qui héberge son serveur DNS.
votre avatar
Les requêtes DNS ne sont pas historisées. Car comme l'a rappelé le Conseil d'Etat dans son arrêt Free/Scaleway du 30 juin 2023, la réglementation ne saurait s'interpréter comme devant obliger un intermédiaire technique à conserver des données qui ne sont pas nécessaires pour son activité.
votre avatar
En 3 bandes c'est possibles de rapprocher les données et que ça passe pour un besoin en façade pour le Conseil d'Etat :fumer:

Le principe c'est "ce qui n'est pas explicitement interdit est autorisé", et pas l'inverse ;)
votre avatar
Ce n'est pas de cela qu'on parle et pour s'en protéger, il suffit d'utiliser le DoH qui a été créé pour ça.

En TLS, suivant le cas, le nom du serveur peut être transmis en clair ou chiffré (SNI ou ESNI). Il y a aussi une évolution plus récente (ECH) qui chiffre tout ce qui n'a pas besoin d'être en clair, mais je ne crois pas que ça soit normalisé.
votre avatar
Si le serveur DNS du FAI est utilisé, DoH ou non il peut lire les domaines résolus. Il faut changer le DNS par défaut, mais rien que le fait qu'il soit par défaut rends la quasi totalité de la population pistable par ce biais si besoin.
votre avatar
On est bien d'accord qu'il très peu d'intérêt à utiliser DoH avec le serveur DNS de son FAI, mais qui le fait ?
votre avatar
est-ce possible au moins ? DoH est-il disponible via les DNS ? Quand on voit qu'ils ont déjà du mal à faire des mails en IPv6...
votre avatar
Il n'en a pas moins tenté d'expliciter certains points particuliers, de façon implicite […]
Il faut le faire.

Le gendarme du renseignement décrypte les « boîtes noires » algorithmiques

  • Toujours pas de surveillance algorithmique des URL et ingérences étrangères

  • La censure du Conseil constitutionnel n'a pas d'impact sur les algorithmes existants

  • Dissiper les craintes que suscite le terme même d’algorithme

  • Une expérimentation initialement prévue jusqu'en 2018, puis 2028

  • Aucun service de renseignement ne peut accéder aux données traitées

  • Les données non détectées doivent être « immédiatement détruites »

  • Reste l'inconnu des métadonnées Internet

Fermer