Qu’est-ce qui fait courir Framasoft ? De la campagne Dégooglisons à l’initiative C.H.A.T.O.N.S quelles idées ont en tête les acteurs et soutiens de l’association ? Vous reprendrez bien une tranche de Léviathan ?

Pour vous inviter à aller au-delà des apparences (la sympathique petite tribu d’amateurs gaulois qui veut modestement mettre son grain de sable dans la loi des entreprises hégémoniques) nous vous proposons non seulement un moment de réflexion, mais pour une fois une série de considérations nourries, argumentées et documentées sur l’état de bascule que nous vivons et dans lequel nous prétendons inscrire notre action avec vous.

Jamais le logiciel libre et les valeurs qu’il porte n’ont été autant à la croisée des chemins, car il ne s’agit pas de proposer seulement des alternatives techniques, c’est un défi économique et politique qu’il doit relever.

Entre les États qui nous surveillent et les GAFAM qui nous monétisent, jamais le refuge du secret, celui de l’intime, n’a été aussi attaqué ni menacé. Pour représenter le monstre à plusieurs têtes, Christophe Masutti qui est l’auteur de cette série de réflexions, a choisi la figure emblématique du Léviathan, forgée déjà par Hobbes en particulier pour désigner l’État toujours plus avide de domination.

C’est donc une série de Léviathans nouveaux et anciens que nous vous invitons à découvrir par étapes, tout au long de cette semaine, qui vous conduiront peut-être à comprendre et adopter notre démarche. Car une fois établies les sources du mal et posé le diagnostic, que faire ? Les perspectives que nous proposons seront peut-être les vôtres.

(suite de la section précédente)

Trouver les bonnes clés

Cette logique du marché, doit être analysée avec d’autres outils que ceux de l’économie classique. L’impact de l’informationnalisation et la concentration des acteurs de l’économie numérique ont sans doute été largement sous-estimés, non pas pour les risques qu’ils font courir aux économies post-industrielles, mais pour les bouleversements sociaux qu’ils impliquent. Le besoin de défendre les droits et libertés sur Internet et ailleurs n’est qu’un effet collatéral d’une situation contre laquelle il est difficile d’opposer seulement des postures et des principes.

Il faut entendre les mots de Marc Rotenberg, président de l’Electronic Privacy Information Center (EPIC), pour qui le débat dépasse désormais la seule question de la neutralité du réseau ou de la liberté d’expression¹. Pour lui, nous avons besoin d’analyser ce qui structure la concentration du marché. Mais le phénomène de concentration dans tous les services de communication que nous utilisons implique des échelles tellement grandes, que nous avons besoin d’instruments de mesure au moins aussi grands. Nous avons besoin d’une nouvelle science pour comprendre Internet, le numérique et tout ce qui découle des formes d’automatisation.

On s’arrête bien souvent sur l’aspect le plus spectaculaire de la fuite d’environ 1,7 millions de documents grâce à Edward Snowden en 2013, qui montrent que les États, à commencer par les États-Unis, ont créé des systèmes de surveillance de leurs populations au détriment du respect de la vie privée. Pour beaucoup de personnes, cette atteinte doit être ramenée à la dimension individuelle : dois-je avoir quelque chose à cacher ? comment échapper à cette surveillance ? implique-t-elle un contrôle des populations ? un contrôle de l’expression ? en quoi ma liberté est-elle en danger ? etc. Mais peu de personnes se sont réellement interrogées sur le fait que si la NSA s’est fait livrer ces quantités gigantesques d’informations par des fournisseurs de services (comme par exemple, la totalité des données téléphoniques de Verizon ou les données d’échanges de courriels du service Hotmail de Microsoft) c’est parce que ces entreprises avaient effectivement les moyens de les fournir et que par conséquent de telles quantités d’informations sur les populations sont tout à fait exploitables et interprétables en premier lieu par ces mêmes fournisseurs.

Face à cela, plusieurs attitudes sont possibles. En les caricaturant, elles peuvent être :

• Positivistes. On peut toujours s’extasier devant les innovations de Google surtout parce que la culture de l’innovation à la Google est une composante du story telling organisé pour capter l’attention des consommateurs. La communication est non seulement exemplaire mais elle constitue un modèle d’après Google qui en donne même les recettes (cf. les deux liens précédents). Que Google, Apple, Microsoft, Facebook ou Amazon possèdent des données me concernant, cela ne serait qu’un détail car nous avons tous l’opportunité de participer à cette grande aventure du numérique (hum !).
• Défaitistes. On n’y peut rien, il faut donc se contenter de protéger sa vie privée par des moyens plus ou moins dérisoires, comme par exemple faire du bruit pour brouiller les pistes et faire des concessions car c’est le prix à payer pour profiter des applications bien utiles. Cette attitude consiste à échanger l’utilité contre l’information, ce que nous faisons à chaque fois que nous validons les clauses d’utilisation des services GAFAM.
• Complotistes. Les procédés de captation des données servent ceux qui veulent nous espionner. Les utilisations commerciales seraient finalement secondaires car c’est contre l’emploi des données par les États qu’il faut lutter. C’est la logique du moins d’État contre la liberté du nouveau monde numérique, comme si le choix consistait à donner notre confiance soit aux États soit aux GAFAM, liberté par contrat social ou liberté par consommation.

Les objectifs de cette accumulation de données sont effectivement différents que ceux poursuivis par la NSA et ses institutions homologues. La concentration des entreprises crée le besoin crucial d’organiser les monopoles pour conserver un marché stable. Les ententes entre entreprises, repoussant toujours davantage les limites juridiques des autorités de régulations, créent une logique qui ne consiste plus à s’adapter à un marché aléatoire, mais adapter le marché à l’offre en l’analysant en temps réel, en utilisant les données quotidiennes des utilisateurs de services. Il faut donc analyser ce capitalisme de surveillance, ainsi que le nomme Shoshana Zuboff, car comme nous l’avons vu :

• les États ont de moins en moins les capacités de réguler ces activités,
• nous sommes devenus des produits de variables qui configurent nos comportements et nos besoins.

L’ancienne conception libérale du marché, l’acception économique du contrat social, reposait sur l’idée que la démocratie se consolide par l’égalitarisme des acteurs et l’équilibre du marché. Que l’on adhère ou pas à ce point de vue, il reste qu’aujourd’hui le marché ne s’équilibre plus par des mécanismes libéraux mais par la seule volonté de quelques entreprises. Cela pose inévitablement une question démocratique.

Dans son rapport, Antoinette Rouvroy en vient à adresser une série de questions sur les répercutions de cette morphologie du marché. Sans y apporter franchement de réponse, elle en souligne les enjeux :

Ces dispositifs d’« anticipation performative » des intentions d’achat (qui est aussi un court-circuitage du processus de transformation de la pulsion en désir ou en intention énonçable), d’optimisation de la force de travail fondée sur la détection anticipative des performances futures sur base d’indicateurs produits automatiquement au départ d’analyses de type Big Data (qui signifie aussi une chute vertigineuse du « cours de l’expérience » et des mérites individuels sur le marché de l’emploi), posent des questions innombrables. L’anticipation performative des intentions –et les nouvelles possibilités d’actions préemptives fondées sur la détection des intentions – est-elle compatible avec la poursuite de l’autodétermination des personnes ? Ne faut-il pas concevoir que la possibilité d’énoncer par soi-même et pour soi-même ses intentions et motivations constitue un élément essentiel de l’autodétermination des personnes, contre cette utopie, ou cette dystopie, d’une société dispensée de l’épreuve d’un monde hors calcul, d’un monde où les décisions soient autre chose que l’application scrupuleuse de recommandations automatiques, d’un monde où les décisions portent encore la marque d’un engagement subjectif ? Comment déterminer la loyauté de ces pratiques ? L’optimisation de la force de travail fondée sur le profilage numérique est-il compatible avec le principe d’égalité et de non-discrimination ?²

Ce qui est questionné par A. Rouvroy, c’est ce que Zuboff nomme le capitalisme de surveillance, du moins une partie des pratiques qui lui sont inhérentes. Dès lors, au lieu de continuer à se poser des questions, il est important d’intégrer l’idée que si le paradigme a changé, les clés de lecture sont forcément nouvelles.

Déconstruire le capitalisme de surveillance

Shoshana Zuboff a su identifier les pratiques qui déconstruisent l’équilibre originel et créent ce nouveau capitalisme. Elle pose ainsi les jalons de cette nouvelle « science » qu’appelle de ses vœux Marc Rotenberg, et donne des clés de lecture pertinentes. L’essentiel des concepts qu’elle propose se trouve dans son article « Big other : surveillance capitalism and the prospects of an information civilization », paru en 2015³. Dans cet article S. Zuboff décortique deux discours de Hal Varian, chef économiste de Google et s’en sert de trame pour identifier et analyser les processus du capitalisme de surveillance. Dans ce qui suit, je vais essayer d’expliquer quelques clés issues du travail de S. Zuboff.

Sur quelle stratégie repose le capitalisme de surveillance ?

Il s’agit de la stratégie de commercialisation de la quotidienneté en modélisant cette dernière en autant de données analysées, inférences et prédictions. La logique d’accumulation, l’automatisation et la dérégulation de l’extraction et du traitement de ces données rendent floues les frontières entre vie privée et consommation, entre les firmes et le public, entre l’intention et l’information.

Qu’est-ce que la quotidienneté ?

Il s’agit de ce qui concerne la sphère individuelle mais appréhendée en réseau. L’informationnalisation de nos profils individuels provient de plusieurs sources. Il peut s’agir des informations conventionnelles (au sens propre) telles que nos données d’identité, nos données bancaires, etc. Elles peuvent résulter de croisements de flux de données et donner lieu à des inférences. Elles peuvent aussi provenir des objets connectés, agissant comme des sensors ou encore résulter des activités de surveillance plus ou moins connues. Si toutes ces données permettent le profilage c’est aussi par elles que nous déterminons notre présence numérique. Avoir une connexion Internet est aujourd’hui reconnu comme un droit : nous ne distinguons plus nos activités d’expression sur Internet des autres activités d’expression. Les activités numériques n’ont plus à être considérées comme des activités virtuelles, distinctes de la réalité. Nos pages Facebook ne sont pas plus virtuelles que notre compte Amazon ou notre dernière déclaration d’impôt en ligne. Si bien que cette activité en réseau est devenue si quotidienne qu’elle génère elle-même de nouveaux comportements et besoins, produisant de nouvelles données analysées, agrégées, commercialisées.

Extraction des données

S. Zuboff dresse un inventaire des types de données, des pratiques d’extraction, et les enjeux de l’analyse. Il faut cependant comprendre qu’il y a de multiples manières de « traiter » les données. La Directive 95/46/CE (Commission Européenne) en dressait un inventaire, déjà en 1995⁴ :

« traitement de données à caractère personnel » (traitement) : toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction.

Le processus d’extraction de données n’est pas un processus autonome, il ne relève pas de l’initiative isolée d’une ou quelques firmes sur un marché de niche. Il constitue désormais la norme commune à une multitude de firmes, y compris celles qui n’œuvrent pas dans le secteur numérique. Il s’agit d’un modèle de développement qui remplace l’accumulation de capital. Autant cette dernière était, dans un modèle économique révolu, un facteur de production (par les investissements, par exemple), autant l’accumulation de données est désormais la clé de production de capital, lui-même réinvesti en partie dans des solutions d’extraction et d’analyse de données, et non dans des moyens de production, et pour une autre partie dans la valorisation boursière, par exemple pour le rachat d’autres sociétés, à l’image des multiples rachats de Google.

Neutralité et indifférence

Les données qu’exploite Google sont très diverses. On s’interroge généralement sur celles qui concernent les catégories auxquelles nous accordons de l’importance, comme par exemple lorsque nous effectuons une recherche au sujet d’une mauvaise grippe et que Google Now nous propose une consultation médicale à distance. Mais il y a une multitude de données dont nous soupçonnons à peine l’existence, ou apparemment insignifiantes pour soi, mais qui, ramenées à des millions, prennent un sens tout à fait probant pour qui veut les exploiter. On peut citer par exemple le temps de consultation d’un site. Si Google est prêt à signaler des contenus à l’administration des États-Unis, comme l’a dénoncé Julian Assange ou si les relations publiques de la firme montrent une certaine proximité avec les autorités de différents pays et l’impliquent dans des programmes d’espionnage, il reste que cette attitude coopérante relève essentiellement d’une stratégie économique. En réalité, l’accumulation et l’exploitation des données suppose une indifférence formelle par rapport à leur signification pour l’utilisateur. Quelle que soit l’importance que l’on accorde à l’information, le postulat de départ du capitalisme de surveillance, c’est l’accumulation de quantités de données, non leur qualité. Quant au sens, c’est le marché publicitaire qui le produit.

L’extraction et la confiance

S. Zuboff dresse aussi un court inventaire des pratiques d’extraction de Google. L’exemple emblématique est Google Street View, qui rencontra de multiples obstacles à travers le monde : la technique consiste à s’immiscer sur des territoires et capturer autant de données possible jusqu’à rencontrer de la résistance qu’elle soit juridique, politique ou médiatique. Il en fut de même pour l’analyse du courrier électronique sur Gmail, la capture des communications vocales, les paramètres de confidentialité, l’agrégation des données des comptes sur des services comme Google+, la conservation des données de recherche, la géolocalisation des smartphones, la reconnaissance faciale, etc.

En somme, le processus d’extraction est un processus à sens unique, qui ne tient aucun compte (ou le moins possible) de l’avis de l’utilisateur. C’est l’absence de réciprocité.

On peut ajouter à cela la puissance des Big Data dans l’automatisation des relations entre le consommateur et le fournisseur de service. Google Now propose de se substituer à une grande partie de la confidentialité entre médecin et patient en décelant au moins les causes subjectives de la consultation (en interprétant les recherches). Hal Varian lui-même vante les mérites de l’automatisation de la relation entre assureurs et assurés dans un monde où l’on peut couper à distance le démarrage de la voiture si le client n’a pas payé ses traites. Des assurances santé et même des mutuelles ( !) proposent aujourd’hui des applications d’auto-mesure (quantified self)de l’activité physique, dont on sait pertinemment que cela résultera sur autant d’ajustements des prix voire des refus d’assurance pour les moins chanceux.

La relation contractuelle est ainsi automatisée, ce qui élimine d’autant le risque lié aux obligations des parties. En d’autres termes, pour éviter qu’une partie ne respecte pas ses obligations, on se passe de la confiance que le contrat est censé formaliser, au profit de l’automatisation de la sanction. Le contrat se résume alors à l’acceptation de cette automatisation. Si l’arbitrage est automatique, plus besoin de recours juridique. Plus besoin de la confiance dont la justice est censée être la mesure.

Entre l’absence de réciprocité et la remise en cause de la relation de confiance dans le contrat passé avec l’utilisateur, ce sont les bases démocratiques de nos rapports sociaux qui sont remises en question puisque le fondement de la loi et de la justice, c’est le contrat et la formalisation de la confiance.

Qu’implique cette nouvelle forme du marché ?

Plus Google a d’utilisateurs, plus il rassemble des données. Plus il y a de données plus leur valeur predictive augmente et optimise le potentiel lucratif. Pour des firmes comme Google, le marché n’est pas composé d’agents rationnels qui choisissent entre plusieurs offres et configurent la concurrence. La société « à la Google » n’est plus fondée sur des relations de réciprocité, même s’il s’agit de luttes sociales ou de revendications.

L’« uberisation » de la société (voir le début de cet article) qui nous transforme tous en employés ou la transformation des citoyens en purs consommateurs, c’est exactement le cauchemar d’Hannah Arendt que S. Zuboff cite longuement :

Le dernier stade de la société de travail, la société d’employés, exige de ses membres un pur fonctionnement automatique, comme si la vie individuelle était réellement submergée par le processus global de la vie de l’espèce, comme si la seule décision encore requise de l’individu était de lâcher, pour ainsi dire, d’abandonner son individualité, sa peine et son inquiétude de vivre encore individuellement senties, et d’acquiescer à un type de comportement, hébété, « tranquillisé » et fonctionnel. Ce qu’il y a de fâcheux dans les théories modernes du comportement, ce n’est pas qu’elles sont fausses, c’est qu’elles peuvent devenir vraies, c’est qu’elles sont, en fait, la meilleure mise en concept possible de certaines tendances évidentes de la société moderne. On peut parfaitement concevoir que l’époque moderne (…) s’achève dans la passivité la plus inerte, la plus stérile que l’Histoire ait jamais connue.⁵

Devant cette anticipation catastrophiste, l’option choisie ne peut être l’impuissance et le laisser-faire. Il faut d’abord nommer ce à quoi nous avons affaire, c’est-à-dire un système (total) face auquel nous devons nous positionner.

Qu’est-ce que Big Other et que peut-on faire ?

Il s’agit des mécanismes d’extraction, marchandisation et contrôle. Ils instaurent une dichotomie entre les individus (utilisateurs) et leur propre comportement (pour les transformer en données) et simultanément ils produisent de nouveaux marchés basés justement sur la prédictibilité de ces comportements.

(Big Other) est un régime institutionnel, omniprésent, qui enregistre, modifie, commercialise l’expérience quotidienne, du grille-pain au corps biologique, de la communication à la pensée, de manière à établir de nouveaux chemins vers les bénéfices et les profits. Big other est la puissance souveraine d’un futur proche qui annihile la liberté que l’on gagne avec les règles et les lois.⁶

Avoir pu mettre un nom sur ce nouveau régime dont Google constitue un peu plus qu’une illustration (presque initiateur) est la grande force de Shoshana Zuboff. Sans compter plusieurs articles récents de cette dernière dans la Frankfurter Allgemeine Zeitung, il est étonnant que le rapport d’Antoinette Rouvroy, postérieur d’un an, n’y fasse aucune mention. Est-ce étonnant ? Pas vraiment, en réalité, car dans un rapport officiellement remis aux autorités européennes, il est important de préciser que la lutte contre Big Other (ou de n’importe quelle manière dont on peut l’exprimer) ne peut que passer par la légitimité sans faille des institutions. Ainsi, A. Rouvroy oppose les deux seules voies envisageables dans un tel contexte officiel :

À l’approche « law and economics », qui est aussi celle des partisans d’un « marché » des données personnelles, qui tendrait donc à considérer les données personnelles comme des « biens » commercialisables (…) s’oppose l’approche qui consiste à aborder les données personnelles plutôt en fonction du pouvoir qu’elles confèrent à ceux qui les contrôlent, et à tenter de prévenir de trop grandes disparités informationnelles et de pouvoir entre les responsables de traitement et les individus. C’est, à l’évidence, cette seconde approche qui prévaut en Europe.

Or, devant Google (ou devant ce Big Other) nous avons vu l’impuissance des États à faire valoir un arsenal juridique, à commencer par les lois anti-trust. D’une part, l’arsenal ne saurait être exhaustif : il concernerait quelques aspects seulement de l’exploitation des données, la transparence ou une série d’obligations comme l’expression des finalités ou des consentements. Il ne saurait y avoir de procès d’intention. D’autre part, nous pouvons toujours faire valoir que des compagnies telles Microsoft ont été condamnées par le passé, au moins par les instances européennes, pour abus de position dominante, et que quelques millions d’euros de menace pourraient suffire à tempérer les ardeurs. C’est faire peu de cas d’au moins trois éléments :

1. l’essentiel des compagnies dont il est question sont nord-américaines, possèdent des antennes dans des paradis fiscaux et sont capables, elles, de menacer financièrement des pays entiers par simples effets de leviers boursiers.
2. L’arsenal juridique qu’il faudrait déployer avant même de penser à saisir une cour de justice, devrait être rédigé, voté et décrété en admettant que les jeux de lobbies et autres obstacles formels soient entièrement levés. Cela prendrait un minimum de dix ans, si l’on compte les recours envisageables après une première condamnation.
3. Il faut encore caractériser les Big Data dans un contexte où leur nature est non seulement extrêmement diverse mais aussi soumise à des process d’automatisation et calculatoires qui permettent d’en inférer d’autres quantités au moins similaires. Par ailleurs, les sources des données sont sans cesse renouvelées, et leur stockage et analyse connaissent une progression technique exponentielle.

Dès lors, quels sont les moyens de s’échapper de ce Big Other ? Puisque nous avons changé de paradigme économique, nous devons changer de paradigme de consommation et de production. Grâce à des dispositifs comme la neutralité du réseau, garantie fragile et obtenue de longue lutte, il est possible de produire nous même l’écosystème dans lequel nos données sont maîtrisées et les maillons de la chaîne de confiance sont identifiés.

Confiance et espaces de confiance

Comment évoluer dans le monde du capitalisme de surveillance ? telle est la question que nous pouvons nous poser dans la mesure où visiblement nous ne pouvons plus nous extraire d’une situation de soumission à Big Other. Quelles que soient nos compétences en matière de camouflage et de chiffrement, les sources de données sur nos individualités sont tellement diverses que le résultat de la distanciation avec les technologies du marché serait une dé-socialisation. Puisque les technologies sur le marché sont celles qui permettent la production, l’analyse et l’extraction automatisées de données, l’objectif n’est pas tant de s’en passer que de créer un système où leur pertinence est tellement limitée qu’elle laisse place à un autre principe que l’accumulation de données : l’accumulation de confiance.

Voyons un peu : quelles sont les actuelles échappatoires de ce capitalisme de surveillance ? Il se trouve qu’elles impliquent à chaque fois de ne pas céder aux facilités des services proposés pour utiliser des solutions plus complexes mais dont la simplification implique toujours une nouvelle relation de confiance. Illustrons ceci par des exemples relatifs à la messagerie par courrier électronique :

• Si j’utilise Gmail, c’est parce que j’ai confiance en Google pour respecter la confidentialité de ma correspondance privée (no comment !). Ce jugement n’implique pas que moi, puisque mes correspondants auront aussi leurs messages scannés, qu’ils soient utilisateurs ou non de Gmail. La confiance repose exclusivement sur Google et les conditions d’utilisation de ses services.
• L’utilisation de clés de chiffrement pour correspondre avec mes amis demande un apprentissage de ma part comme de mes correspondants. Certains services, comme ProtonMail, proposent de leur faire confiance pour transmettre des données chiffrées tout en simplifiant les procédures avec un webmail facile à prendre en main. Les briques open source de Protonmail permettent un niveau de transparence acceptable sans que j’en aie toutefois l’expertise (si je ne suis pas moi-même un informaticien sérieux).
• Si je monte un serveur chez moi, avec un système libre et/ou open source comme une instance Cozycloud sur un Raspeberry PI, je dois avoir confiance dans tous les domaines concernés et sur lesquels je n’ai pas forcément l’expertise ou l’accès physique (la fabrication de l’ordinateur, les contraintes de mon fournisseur d’accès, la sécurité de mon serveur, etc.), c’est-à-dire tous les aspects qui habituellement font l’objet d’une division du travail dans les entreprises qui proposent de tels services, et que j’ai la prétention de rassembler à moi tout seul.

Les espaces de relative autonomie existent donc mais il faut structurer la confiance. Cela peut se faire en deux étapes.

La première étape consiste à définir ce qu’est un tiers de confiance et quels moyens de s’en assurer. Le blog de la FSFE a récemment publié un article qui résume très bien pourquoi la protection des données privées ne peut se contenter de l’utilisation plus ou moins maîtrisée des technologies de chiffrement⁷. La FSFE rappelle que tous les usages des services sur Internet nécessitent un niveau de confiance accordé à un tiers. Quelle que soit son identité…

…vous devez prendre en compte :

• la bienveillance : le tiers ne veut pas compromettre votre vie privée et/ou il est lui-même concerné ;
• la compétence : le tiers est techniquement capable de protéger votre vie privée et d’identifier et de corriger les problèmes ;
• l’intégrité : le tiers ne peut pas être acheté, corrompu ou infiltré par des services secrets ou d’autres tiers malveillants ;

Comment s’assurer de ces trois qualités ? Pour les défenseurs et promoteurs du logiciel libre, seules les communautés libristes sont capables de proposer des alternatives en vertu de l’ouverture du code. Sur les quatre libertés qui définissent une licence libre, deux impliquent que le code puisse être accessible, audité, vérifié.

Est-ce suffisant ? non : ouvrir le code ne conditionne pas ces qualités, cela ne fait qu’endosser la responsabilité et l’usage du code (via la licence libre choisie) dont seule l’expertise peut attester de la fiabilité et de la probité.

En complément, la seconde étape consiste donc à définir une chaîne de confiance. Elle pourra déterminer à quel niveau je peux m’en remettre à l’expertise d’un tiers, à ses compétences, à sa bienveillance…. Certaines entreprises semblent l’avoir compris et tentent d’anticiper ce besoin de confiance. Pour reprendre les réflexions du Boston Consulting Group, l’un des plus prestigieux cabinets de conseil en stratégie au monde :

(…) dans un domaine aussi sensible que le Big Data, la confiance sera l’élément déterminant pour permettre à l’entreprise d’avoir le plus large accès possible aux données de ses clients, à condition qu’ils soient convaincus que ces données seront utilisées de façon loyale et contrôlée. Certaines entreprises parviendront à créer ce lien de confiance, d’autres non. Or, les enjeux économiques de ce lien de confiance sont très importants. Les entreprises qui réussiront à le créer pourraient multiplier par cinq ou dix le volume d’informations auxquelles elles sont susceptibles d’avoir accès. Sans la confiance du consommateur, l’essentiel des milliards d’euros de valeur économique et sociale que le Big Data pourrait représenter dans les années à venir risquerait d’être perdu.⁸

En d’autres termes, il existe un marché de la confiance. En tant que tel, soit il est lui aussi soumis aux effets de Big Other, soit il reste encore dépendant de la rationalité des consommateurs. Dans les deux cas, le logiciel libre devra obligatoirement trouver le créneau de persuasion pour faire adhérer le plus grand nombre à ses principes.

Une solution serait de déplacer le curseur de la chaîne de confiance non plus sur les principaux acteurs de services, plus ou moins dotés de bonnes intentions, mais dans la sphère publique. Je ne fais plus confiance à tel service ou telle entreprise parce qu’ils indiquent dans leurs CGU qu’ils s’engagent à ne pas utiliser mes données personnelles, mais parce que cet engagement est non seulement vérifiable mais aussi accessible : en cas de litige, le droit du pays dans lequel j’habite peut s’appliquer, des instances peuvent se porter parties civiles, une surveillance collective ou policière est possible, etc. La question n’est plus tellement de savoir ce que me garantit le fournisseur mais comment il propose un audit public et expose sa responsabilité vis-à-vis des données des utilisateurs.

S’en remettre à l’État pour des services fiables ? Les États ayant démontré leurs impuissances face à des multinationales surfinancées, les tentatives de cloud souverain ont elles aussi été des échecs cuisants. Créer des entreprises de toutes pièces sur fonds publics pour proposer une concurrence directe à des monopoles géants, était inévitablement un suicide : il aurait mieux valu proposer des ressources numériques et en faciliter l’accès pour des petits acteurs capables de proposer de multiples solutions différentes et alternatives adaptées aux besoins de confiance des utilisateurs, éventuellement avec la caution de l’État, la réputation d’associations nationales (association de défense des droits de l’homme, associations de consommateurs, etc.), bref, des assurances concrètes qui impliquent les utilisateurs, c’est-à-dire comme le modèle du logiciel libre qui ne sépare pas utilisation et conception.

Ce que propose le logiciel libre, c’est davantage que du code, c’est un modèle de coopération et de cooptation. C’est la possibilité pour les dynamiques collectives de réinvestir des espaces de confiance. Quel que soit le service utilisé, il dépend d’une communauté, d’une association, ou d’une entreprise qui toutes s’engagent par contrat (les licences libres sont des contrats) à respecter les données des utilisateurs. Le tiers de confiance devient collectif, il n’est plus un, il est multiple. Il ne s’agit pas pour autant de diluer les responsabilités (chaque offre est indépendante et s’engage individuellement) mais de forcer l’engagement public et la transparence des recours.

Chatons solidaires

Si s’échapper seul du marché de Big Other ne peut se faire qu’au prix de l’exclusion, il faut opposer une logique différente capable, devant l’exploitation des données et notre aliénation de consommateurs, de susciter l’action et non la passivité, le collectif et non l’individu. Si je produis des données, il faut qu’elles puissent profiter à tous ou à personne. C’est la logique de l’open data qui garanti le libre accès à des données placées dans le bien commun. Ce commun a ceci d’intéressant que tout ce qui y figure est alors identifiable. Ce qui n’y figure pas relève alors du privé et diffuser une donnée privée ne devrait relever que du seul choix délibéré de l’individu.

Le modèle proposé par le projet CHATONS (Collectif d’Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires) de Framasoft repose en partie sur ce principe. En adhérant à la charte, un hébergeur s’engage publiquement à remplir certaines obligations et, parmi celles-ci, l’interdiction d’utiliser les données des utilisateurs pour autre chose que l’évaluation et l’amélioration des services.

Comme écrit dans son manifeste (en version 0.9), l’objectif du collectif CHATONS est simple :

L’objectif de ce collectif est de mailler les initiatives de services basés sur des solutions de logiciels libres et proposés aux utilisateurs de manière à diffuser toutes les informations utiles permettant au public de pouvoir choisir leurs services en fonction de leurs besoins, avec un maximum de confiance vis-à-vis du respect de leur vie privée, sans publicité ni clause abusive ou obscure.

En lançant l’initiative de ce collectif, sans toutefois se placer dans une posture verticale fédérative, Framasoft ouvre une porte d’échappatoire. L’essentiel n’est pas tant de maximiser la venue de consommateurs sur quelques services identifiés mais de maximiser les chances pour les consommateurs d’utiliser des services de confiance qui, eux, pourront essaimer et se multiplier. Le postulat est que l’utilisateur est plus enclin à faire confiance à un hébergeur qu’il connaît et qui s’engage devant d’autres hébergeurs semblables, ses pairs, à respecter ses engagements éthiques. Outre l’utilisation de logiciels libres, cela se concrétise par trois principes

1. Mutualiser l’expertise : les membres du collectif s’engagent à partager les informations pour augmenter la qualité des services et pour faciliter l’essaimage des solutions de logiciels libres utilisées. C’est un principe de solidarité qui permettra, à terme, de consolider sérieusement le tissu des hébergeurs concernés.
2. Publier et adhérer à une charte commune. Cette charte donne les principaux critères techniques et éthiques de l’activité de membre. L’engagement suppose une réciprocité des échanges tant avec les autres membres du collectif qu’avec les utilisateurs.
3. Un ensemble de contraintes dans la charte publique implique non seulement de ne s’arroger aucun droit sur les données privées des utilisateurs, mais aussi de rester transparent y compris jusque dans la publication de ses comptes et rapports d’activité. En tant qu’utilisateur je connais les engagements de mon hébergeur, je peux agir pour le contraindre à les respecter tout comme les autres hébergeurs peuvent révoquer de leur collectif un membre mal intentionné.

Le modèle CHATONS n’est absolument pas exclusif. Il constitue même une caricature, en quelque sorte l’alternative contraire mais pertinente à GAFAM. Des entreprises tout à fait bien intentionnées, respectant la majeure partie de la charte, pourraient ne pas pouvoir entrer dans ce collectif à cause des contraintes liées à leur modèle économique. Rien n’empêche ces entreprises de monter leur propre collectif, avec un niveau de confiance différent mais néanmoins potentiellement acceptable. Si le collectif CHATONS décide de restreindre au domaine associatif des acteurs du mouvement, c’est parce que l’idée est d’essaimer au maximum le modèle : que l’association philatélique de Trifouille-le-bas puisse avoir son serveur de courriel, que le club de football de Trifouille-le-haut puisse monter un serveur owncloud et que les deux puissent mutualiser en devenant des CHATONS pour en faire profiter, pourquoi pas, les deux communes (et donc la communauté).

Conclusion

La souveraineté numérique est souvent invoquée par les autorités publiques bien conscientes des limitations du pouvoir qu’implique Big Other. Par cette expression, on pense généralement se situer à armes égales contre les géants du web. Pouvoir économique contre pouvoir républicain. Cet affrontement est perdu d’avance par tout ce qui ressemble de près ou de loin à une procédure institutionnalisée. Tant que les citoyens ne sont pas eux-mêmes porteurs d’alternatives au marché imposé par les GAFAM, l’État ne peut rien faire d’autre que de lutter pour sauvegarder son propre pouvoir, c’est-à-dire celui des partis comme celui des lobbies. Le serpent se mord la queue.

Face au capitalisme de surveillance, qui a depuis longtemps dépassé le stade de l’ultra-libéralisme (car malgré tout il y subsistait encore un marché et une autonomie des agents), c’est à l’État non pas de proposer un cloud souverain mais de se positionner comme le garant des principes démocratiques appliqués à nos données numériques et à Internet : neutralité sans faille du réseau, garantie de l’équité, surveillance des accords commerciaux, politique anti-trust affirmée, etc. L’éducation populaire, la solidarité, l’intelligence collective, l’expertise des citoyens, feront le reste, quitte à ré-inventer d’autres modèles de gouvernance (et de gouvernement).

Nous ne sommes pas des êtres a-technologiques. Aujourd’hui, nos vies sont pleines de données numériques. Avec Internet, nous en usons pour nous rapprocher, pour nous comprendre et mutualiser nos efforts, tout comme nous avons utilisé en leurs temps le téléphone, les voies romaines, le papyrus, et les tablettes d’argile. Nous avons des choix à faire. Nous pouvons nous diriger vers des modèles exclusifs, avec ou sans GAFAM, comme la généralisation de block chains pour toutes nos transactions. En automatisant les contrats, même avec un système ouvert et neutre, nous ferions alors reposer la confiance sur la technologie (et ses failles), en révoquant toute relation de confiance entre les individus, comme si toute relation interpersonnelle était vouée à l’échec. L’autre voie repose sur l’éthique et le partage des connaissances. Le projet CHATONS n’est qu’un exemple de système alternatif parmi des milliers d’autres dans de multiples domaines, de l’agriculture à l’industrie, en passant par la protection de l’environnement. Saurons-nous choisir la bonne voie ? Saurons-nous comprendre que les relations d’interdépendances qui nous unissent sur terre passent aussi bien par l’écologie que par le partage du code ?

Qu’est-ce qui fait courir Framasoft ? De la campagne Dégooglisons à l’initiative C.H.A.T.O.N.S quelles idées ont en tête les acteurs et soutiens de l’association ? Vous reprendrez bien une tranche de Léviathan ?

Pour vous inviter à aller au-delà des apparences (la sympathique petite tribu d’amateurs gaulois qui veut modestement mettre son grain de sable dans la loi des entreprises hégémoniques) nous vous proposons non seulement un moment de réflexion, mais pour une fois une série de considérations nourries, argumentées et documentées sur l’état de bascule que nous vivons et dans lequel nous prétendons inscrire notre action avec vous.

Jamais le logiciel libre et les valeurs qu’il porte n’ont été autant à la croisée des chemins, car il ne s’agit pas de proposer seulement des alternatives techniques, c’est un défi économique et politique qu’il doit relever.

Entre les États qui nous surveillent et les GAFAM qui nous monétisent, jamais le refuge du secret, celui de l’intime, n’a été aussi attaqué ni menacé. Pour représenter le monstre à plusieurs têtes, Christophe Masutti qui est l’auteur de cette série de réflexions, a choisi la figure emblématique du Léviathan, forgée déjà par Hobbes en particulier pour désigner l’État toujours plus avide de domination.

C’est donc une série de Léviathans nouveaux et anciens que nous vous invitons à découvrir par étapes, tout au long de cette semaine, qui vous conduiront peut-être à comprendre et adopter notre démarche. Car une fois établies les sources du mal et posé le diagnostic, que faire ? Les perspectives que nous proposons seront peut-être les vôtres.

Techniques d’anticipation

On pense habituellement les objets techniques et les phénomènes sociaux comme deux choses différentes, voire parfois opposées. En plus de la nature, il y aurait deux autres réalités : d’un côté un monde constitué de nos individualités, nos rapports sociaux, nos idées politiques, la manière dont nous structurons ensemble la société ; et de l’autre côté le monde des techniques qui, pour être appréhendé, réclamerait obligatoirement des compétences particulières (artisanat, ingénierie). Nous refusons même parfois de comprendre nos interactions avec les techniques autrement que par automatisme, comme si notre accomplissement social passait uniquement par le statut d’utilisateur et jamais comme producteurs. Comme si une mise à distance devait obligatoirement s’établir entre ce que nous sommes (des êtres sociaux) et ce que nous produisons. Cette posture est au plus haut point paradoxale puisque non seulement la technologie est une activité sociale mais nos sociétés sont à bien des égards elles-mêmes configurées, transformées, et même régulées par les objets techniques. Certes, la compréhension des techniques n’est pas toujours obligatoire pour comprendre les faits sociaux, mais il faut avouer que bien peu de faits sociaux se comprennent sans la technique.

L’avènement des sociétés industrielles a marqué un pas supplémentaire dans l’interdépendance entre le social et les objets techniques : le travail, comme activité productrice, est en soi un rapport réflexif sur les pratiques et les savoirs qui forment des systèmes techniques. Nous baignons dans une culture technologique, nous sommes des êtres technologiques. Nous ne sommes pas que cela. La technologie n’a pas le monopole du signifiant : nous trouvons dans l’art, dans nos codes sociaux, dans nos intentions, tout un ensemble d’éléments culturels dont la technologie est censée être absente. Nous en usons parfois même pour effectuer une mise à distance des techniques omniprésentes. Mais ces dernières ne se réduisent pas à des objets produits. Elles sont à la fois des pratiques, des savoir-faire et des objets. La raison pour laquelle nous tenons tant à instaurer une mise à distance par rapport aux technologies que nous utilisons, c’est parce qu’elles s’intègrent tellement dans notre système économique qu’elles agissent aussi comme une forme d’aliénation au travail comme au quotidien.

Ces dernières années, nous avons vu émerger des technologies qui prétendent prédire nos comportements. Amazon teste à grande échelle des dépôts locaux de produits en prévision des commandes passées par les internautes sur un territoire donné. Les stocks de ces dépôts seront gérés au plus juste par l’exploitation des données inférées à partir de l’analyse de l’attention des utilisateurs (mesurée au clic), les tendances des recherches effectuées sur le site, l’impact des promotions et propositions d’Amazon, etc. De son côté, Google ne cesse d’analyser nos recherches dans son moteur d’indexation, dont les suggestions anticipent nos besoins souvent de manière troublante. En somme, si nous éprouvons parfois cette nécessité d’une mise à distance entre notre être et la technologie, c’est en réponse à cette situation où, intuitivement, nous sentons bien que la technologie n’a pas à s’immiscer aussi profondément dans l’intimité de nos pensées. Mais est-ce vraiment le cas ? Ne conformons-nous pas aussi, dans une certaine mesure, nos envies et nos besoins en fonction de ce qui nous est présenté comme nos envies et nos besoins ? La lutte permanente entre notre volonté d’indépendance et notre adaptation à la société de consommation, c’est-à-dire au marché, est quelque chose qui a parfaitement été compris par les grandes firmes du secteur numérique. Parce que nous laissons tellement de traces transformées en autant d’informations extraites, analysées, quantifiées, ces firmes sont désormais capables d’anticiper et de conformer le marché à leurs besoins de rentabilité comme jamais une firme n’a pu le faire dans l’histoire des sociétés capitalistes modernes.

Productivisme et information

Si vous venez de perdre deux minutes à lire ma prose ci-dessus hautement dopée à l’EPO (Enfonçage de Portes Ouvertes), c’est parce qu’il m’a tout de même paru assez important de faire quelques rappels de base avant d’entamer des considérations qui nous mènerons petit à petit vers une compréhension en détail de ce système. J’ai toujours l’image de cette enseignante de faculté, refusant de lire un mode d’emploi pour appuyer deux touches sur son clavier afin de basculer l’affichage écran vers l’affichage du diaporama, et qui s’exclamait : « il faut appeler un informaticien, ils sont là pour ça, non ? ». Ben non, ma grande, un informaticien a autre chose à faire. C’est une illustration très courante de ce que la transmission des savoirs (activité sociale) dépend éminemment des techniques (un vidéo-projecteur couplé un ordinateur contenant lui-même des supports de cours sous forme de fichiers) et que toute tentative volontaire ou non de mise à distance (ne pas vouloir acquérir un savoir-faire technique) cause un bouleversement a-social (ne plus être en mesure d’assurer une transmission de connaissance, ou plus prosaïquement passer pour quelqu’un de stupide). La place que nous occupons dans la société n’est pas uniquement une affaire de codes ou relations interpersonnelles, elle dépend pour beaucoup de l’ordre économique et technique auquel nous devons plus ou moins nous ajuster au risque de l’exclusion (et la forme la plus radicale d’exclusion est l’absence de travail et/ou l’incapacité de consommer).

Des études déjà anciennes sur les organisations du travail, notamment à propos de l’industrialisation de masse, ont montré comment la technologie, au même titre que l’organisation, détermine les comportements des salariés, en particulier lorsqu’elle conditionne l’automatisation des tâches¹. Souvent, cette automatisation a été étudiée sous l’angle des répercussions socio-psychologiques, accroissant les sentiments de perte de sens ou d’aliénation sociale². D’un point de vue plus populaire, c’est le remplacement de l’homme par la machine qui fut tantôt vécu comme une tragédie (l’apparition du chômage de masse) tantôt comme un bienfait (diminuer la pénibilité du travail). Aujourd’hui, les enjeux sont très différents. On s’interroge moins sur la place de la machine dans l’industrie que sur les taux de productivité et la gestion des flux. C’est qu’un changement de paradigme s’est accompli à partir des années 1970-1980, qui ont vu apparaître l’informatisation quasi totale des systèmes de production et la multiplication des ordinateurs mainframe dans les entreprises pour traiter des quantités sans cesse croissantes de données.

Très peu de sociologues ou d’économistes ont travaillé sur ce qu’une illustre chercheuse de la Harvard Business School, Shoshana Zuboff a identifié dans la transformation des systèmes de production : l’informationnalisation (informating). En effet, dans un livre très visionnaire, In the Age Of The Smart Machine en 1988³, S. Zuboff montre que les mécanismes du capitalisme productiviste du XX^e siècle ont connu plusieurs mouvements, plus ou moins concomitants selon les secteurs : la mécanisation, la rationalisation des tâches, l’automatisation des processus et l’informationnalisation. Ce dernier mouvement découle des précédents : dès l’instant qu’on mesure la production et qu’on identifie des processus, on les documente et on les programme pour les automatiser. L’informationnalisation est un processus qui transforme la mesure et la description des activités en information, c’est-à-dire en données extractibles et quantifiables, calculatoires et analytiques.

Là où S. Zuboff s’est montrée visionnaire dans les années 1980, c’est qu’elle a montré aussi comment l’informationnalisation modèle en retour les apprentissages et déplace les enjeux de pouvoir. On ne cherche plus à savoir qui a les connaissances suffisantes pour mettre en œuvre telle procédure, mais qui a accès aux données dont l’analyse déterminera la stratégie de développement des activités. Alors que le « vieux » capitalisme organisait une concurrence entre moyens de production et maîtrise de l’offre, ce qui, dans une économie mondialisée n’a plus vraiment de sens, un nouveau capitalisme (dont nous verrons plus loin qu’il se nomme le capitalisme de surveillance) est né, et repose sur la production d’informations, la maîtrise des données et donc des processus.

Pour illustrer, il suffit de penser à nos smartphones. Quelle que soit la marque, ils sont produits de manière plus ou moins redondante, parfois dans les mêmes chaînes de production (au moins en ce qui concerne les composants), avec des méthodes d’automatisation très similaires. Dès lors, la concurrence se place à un tout autre niveau : l’optimisation des procédures et l’identification des usages, tous deux producteurs de données. Si bien que la plus-value ajoutée par la firme à son smartphone pour séduire le plus d’utilisateurs possible va de pair avec une optimisation des coûts de production et des procédures. Cette optimisation relègue l’innovation organisationnelle au moins au même niveau, si ce n’est plus, que l’innovation du produit lui-même qui ne fait que répondre à des besoins d’usage de manière marginale. En matière de smartphone, ce sont les utilisateurs les plus experts qui sauront déceler la pertinence de telle ou telle nouvelle fonctionnalité alors que l’utilisateur moyen n’y voit que des produits similaires.

L’enjeu dépasse la seule optimisation des chaînes de production et l’innovation. S. Zuboff a aussi montré que l’analyse des données plus fines sur les processus de production révèle aussi les comportements des travailleurs : l’attention, les pratiques quotidiennes, les risques d’erreur, la gestion du temps de travail, etc. Dès lors l’informationnalisation est aussi un moyen de rassembler des données sur les aspects sociaux de la production⁴, et par conséquent les conformer aux impératifs de rentabilité. L’exemple le plus frappant aujourd’hui de cet ajustement comportemental à la rentabilité par les moyens de l’analyse de données est le phénomène d’« Ubérisation » de l’économie⁵.

Ramené aux utilisateurs finaux des produits, dans la mesure où il est possible de rassembler des données sur l’utilisation elle-même, il devrait donc être possible de conformer les usages et les comportements de consommation (et non plus seulement de production) aux mêmes impératifs de rentabilité. Cela passe par exemple par la communication et l’apprentissage de nouvelles fonctionnalités des objets. Par exemple, si vous aviez l’habitude de stocker vos fichiers MP3 dans votre smartphone pour les écouter comme avec un baladeur, votre fournisseur vous permet aujourd’hui avec une connexion 4G d’écouter de la musique en streaming illimité, ce qui permet d’analyser vos goûts, vous proposer des playlists, et faire des bénéfices. Mais dans ce cas, si vous vous situez dans un endroit où la connexion haut débit est défaillante, voire absente, vous devez vous passer de musique ou vous habituer à prévoir à l’avance cette éventualité en activant un mode hors-connexion. Cette adaptation de votre comportement devient prévisible : l’important n’est pas de savoir ce que vous écoutez mais comment vous le faites, et ce paramètre entre lui aussi en ligne de compte dans la proposition musicale disponible.

Le nouveau paradigme économique du XXI^e siècle, c’est le rassemblement des données, leur traitement et leurs valeurs prédictives, qu’il s’agisse des données de production comme des données d’utilisation par les consommateurs.

Big Data

Ces dernières décennies, l’informatique est devenu un média pour l’essentiel de nos activités sociales. Vous souhaitez joindre un ami pour aller boire une bière dans la semaine ? c’est avec un ordinateur que vous l’appelez. Voici quelques étapes grossières de cet épisode :

1. votre mobile a signalé vers des antennes relais pour s’assurer de la couverture réseau,
2. vous entrez un mot de passe pour déverrouiller l’écran,
3. vous effectuez une recherche dans votre carnet d’adresse (éventuellement synchronisé sur un serveur distant),
4. vous lancez le programme de composition du numéro, puis l’appel téléphonique (numérique) proprement dit,
5. vous entrez en relation avec votre correspondant, convenez d’une date,
6. vous envoyez ensuite une notification de rendez-vous avec votre agenda vers la messagerie de votre ami…
7. qui vous renvoie une notification d’acceptation en retour,
8. l’une de vos applications a géolocalisé votre emplacement et vous indique le trajet et le temps de déplacement nécessaire pour vous rendre au point de rendez-vous, etc.

Durant cet épisode, quel que soit l’opérateur du réseau que vous utilisez et quel que soit le système d’exploitation de votre mobile (à une ou deux exceptions près), vous avez produit des données exploitables. Par exemple (liste non exhaustive) :

• le bornage de votre mobile indique votre position à l’opérateur, qui peut croiser votre activité d’émission-réception avec la nature de votre abonnement,
• la géolocalisation donne des indications sur votre vitesse de déplacement ou votre propension à utiliser des transports en commun,
• votre messagerie permet de connaître la fréquence de vos contacts, et éventuellement l’éloignement géographique.

Ramené à des millions d’utilisateurs, l’ensemble des données ainsi rassemblées entre dans la catégorie des Big Data. Ces dernières ne concernent pas seulement les systèmes d’informations ou les services numériques proposés sur Internet. La massification des données est un processus qui a commencé il y a longtemps, notamment par l’analyse de productivité dans le cadre de la division du travail, les analyses statistiques des achats de biens de consommation, l’analyse des fréquences de transaction boursières, etc. Tout comme ce fut le cas pour les processus de production qui furent automatisés, ce qui caractérise les Big Data c’est l’obligation d’automatiser leur traitement pour en faire l’analyse.

Prospection, gestion des risques, prédictibilité, etc., les Big Data dépassent le seul degré de l’analyse statistique dite descriptive, car si une de ces données renferme en général très peu d’information, des milliers, des millions, des milliards permettent d’inférer des informations dont la pertinence dépend à la fois de leur traitement et de leur gestion. Le tout dépasse la somme des parties : c’est parce qu’elles sont rassemblées et analysées en masse que des données d’une même nature produisent des valeurs qui dépassent la somme des valeurs unitaires.

Antoinette Rouvroy, dans un rapport récent⁶ auprès du Conseil de l’Europe, précise que les capacités techniques de stockage et de traitement connaissent une progression exponentielle⁷. Elle définit plusieurs catégories de data en fonction de leurs sources, et qui quantifient l’essentiel des actions humaines :

• les hard data, produites par les institutions et administrations publiques ;
• les soft data, produites par les individus, volontairement (via les réseaux sociaux, par exemple) ou involontairement (analyse des flux, géolocalisation, etc.) ;
• les métadonnées, qui concernent notamment la provenance des données, leur trafic, les durées, etc. ;
• l’Internet des objets, qui une fois mis en réseau, produisent des données de performance, d’activité, etc.

Les Big Data n’ont cependant pas encore de définition claire⁸. Il y a des chances pour que le terme ne dure pas et donne lieu à des divisions qui décriront plus précisément des applications et des méthodes dès lors que des communautés de pratiques seront identifiées avec leurs procédures et leurs réseaux. Aujourd’hui, l’acception générique désigne avant tout un secteur d’activité qui regroupe un ensemble de savoir-faire et d’applications très variés. Ainsi, le potentiel scientifique des Big Data est encore largement sous-évalué, notamment en génétique, physique, mathématiques et même en sociologie. Il en est de même dans l’industrie. En revanche, si on place sur un même plan la politique, le marketing et les activités marchandes (à bien des égards assez proches) on conçoit aisément que l’analyse des données optimise efficacement les résultats et permet aussi, par leur dimension prédictible, de conformer les biens et services.

Google fait peur ?

Eric Schmidt, actuellement directeur exécutif d’Alphabet Inc., savait exprimer en peu de mots les objectifs de Google lorsqu’il en était le président. Depuis 1998, les activités de Google n’ont cessé d’évoluer, jusqu’à reléguer le service qui en fit la célébrité, la recherche sur la Toile, au rang d’activité has been pour les internautes. En 2010, il dévoilait le secret de Polichinelle :

Le jour viendra où la barre de recherche de Google – et l’activité qu’on nomme Googliser – ne sera plus au centre de nos vies en ligne. Alors quoi ? Nous essayons d’imaginer ce que sera l’avenir de la recherche (…). Nous sommes toujours contents d’être dans le secteur de la recherche, croyez-moi. Mais une idée est que de plus en plus de recherches sont faites en votre nom sans que vous ayez à taper sur votre clavier.

En fait, je pense que la plupart des gens ne veulent pas que Google réponde à leurs questions. Ils veulent que Google dise ce qu’ils doivent faire ensuite. (…) La puissance du ciblage individuel – la technologie sera tellement au point qu’il sera très difficile pour les gens de regarder ou consommer quelque chose qui n’a pas été adapté pour eux.⁹

Google n’a pas été la première firme à exploiter des données en masse. Le principe est déjà ancien avec les premiers data centers du milieu des années 1960. Google n’est pas non plus la première firme à proposer une indexation générale des contenus sur Internet, par contre Google a su se faire une place de choix parmi la concurrence farouche de la fin des années 1990 et sa croissance n’a cessé d’augmenter depuis lors, permettant des investissements conséquents dans le développement de technologies d’analyse et dans le rachat de brevets et de plus petites firmes spécialisées. Ce que Google a su faire, et qui explique son succès, c’est proposer une expérience utilisateur captivante de manière à rassembler assez de données pour proposer en retour des informations adaptées aux profils des utilisateurs. C’est la radicalisation de cette stratégie qui est énoncée ici par Eric Schmidt. Elle trouve pour l’essentiel son accomplissement en utilisant les données produites par les utilisateurs du cloud computing. Les Big Data en sont les principaux outils.

D’autres firmes ont emboîté le pas. En résultat, la concentration des dix premières firmes de services numériques génère des bénéfices spectaculaires et limite la concurrence. Cependant, l’exploitation des données personnelles des utilisateurs et la manière dont elles sont utilisées sont souvent mal comprises dans leurs aspects techniques autant que par les enjeux économiques et politiques qu’elles soulèvent. La plupart du temps, la quantité et la pertinence des informations produites par l’utilisateur semblent négligeables à ses yeux, et leur exploitation d’une importance stratégique mineure. Au mieux, si elles peuvent encourager la firme à mettre d’autres services gratuits à disposition du public, le prix est souvent considéré comme largement acceptable. Tout au plus, il semble a priori moins risqué d’utiliser Gmail et Facebook, que d’utiliser son smartphone en pleine manifestation syndicale en France, puisque le gouvernement français a voté publiquement des lois liberticides et que les GAFAM ne livrent aux autorités que les données manifestement suspectes (disent-elles) ou sur demande rogatoire officielle (disent-elles).

Gigantismus

En 2015, Google Analytics couvrait plus de 70 % des parts de marché des outils de mesure d’audience. Google Analytics est un outil d’une puissance pour l’instant incomparable dans le domaine de l’analyse du comportement des visiteurs. Cette puissance n’est pas exclusivement due à une supériorité technologique (les firmes concurrentes utilisent des techniques d’analyse elles aussi très performantes), elle est surtout due à l’exhaustivité monopolistique des utilisations de Google Analytics, disponible en version gratuite et premium, avec un haut degré de configuration des variables qui permettent la collecte, le traitement et la production très rapide de rapports (pratiquement en temps réel). La stratégie commerciale, afin d’assurer sa rentabilité, consiste essentiellement à coupler le profilage avec la régie publicitaire (Google AdWords). Ce modèle économique est devenu omniprésent sur Internet. Qui veut être lu ou regardé doit passer l’épreuve de l’analyse « à la Google », mais pas uniquement pour mesurer l’audience : le monopole de Google sur ces outils impose un web rédactionnel, c’est-à-dire une méthode d’écriture des contenus qui se prête à l’extraction de données.

Google n’est pas la seule entreprise qui réussi le tour de force d’adapter les contenus, quelle que soit leur nature et leurs propos, à sa stratégie commerciale. C’est le cas des GAFAM qui reprennent en chœur le même modèle économique qui conforme l’information à ses propres besoins d’information. Que vous écriviez ou non un pamphlet contre Google, l’extraction et l’analyse des données que ce contenu va générer indirectement en produisant de l’activité (visites, commentaires, échanges, temps de connexion, provenance, etc.) permettra de générer une activité commerciale. Money is money, direz-vous. Pourtant, la concentration des activités commerciales liées à l’exploitation des Big Data par ces entreprises qui forment les premières capitalisations boursières du monde, pose un certain nombre répercutions sociales : l’omniprésence mondialisée des firmes, la réduction du marché et des choix, l’impuissance des États, la sur-financiarisation.

Omniprésence

En produisant des services gratuits (ou très accessibles), performants et à haute valeur ajoutée pour les données qu’ils produisent, ces entreprises captent une gigantesque part des activités numériques des utilisateurs. Elles deviennent dès lors les principaux fournisseurs de services avec lesquels les gouvernements doivent composer s’ils veulent appliquer le droit, en particulier dans le cadre de la surveillance des populations et des opérations de sécurité. Ainsi, dans une démarche très pragmatique, des ministères français parmi les plus importants réunirent le 3 décembre 2015 les « les grands acteurs de l’internet et des réseaux sociaux » dans le cadre de la stratégie anti-terroriste¹⁰. Plus anciennement, le programme américain de surveillance électronique PRISM, dont bien des aspects furent révélés par Edward Snowden en 2013, a permit de passer durant des années des accords entre la NSA et l’ensemble des GAFAM. Outre les questions liées à la sauvegarde du droit à la vie privée et à la liberté d’expression, on constate aisément que la surveillance des populations par les gouvernements trouve nulle part ailleurs l’opportunité de récupérer des données aussi exhaustives, faisant des GAFAM les principaux prestataires de Big Data des gouvernements, quels que soient les pays¹¹.

Réduction du marché

Le monopole de Google sur l’indexation du web montre qu’en vertu du gigantesque chiffre d’affaires que cette activité génère, celle-ci devient la première et principale interface du public avec les contenus numériques. En 2000, le journaliste Laurent Mauriac signait dans Libération un article élogieux sur Google¹². À propos de la méthode d’indexation qui en fit la célébrité, L. Mauriac écrit :

Autre avantage : ce système empêche les sites de tricher. Inutile de farcir la partie du code de la page invisible pour l’utilisateur avec quantité de mots-clés…

Or, en 2016, il devient assez évident de décortiquer les stratégies de manipulation de contenus que les compagnies qui en ont les moyens financiers mettent en œuvre pour dominer l’index de Google en diminuant ainsi la diversité de l’offre¹³. Que la concentration des entreprises limite mécaniquement l’offre, cela n’est pas révolutionnaire. Ce qui est particulièrement alarmant, en revanche, c’est que la concentration des GAFAM implique par effets de bord la concentration d’autres entreprises de secteurs entièrement différents mais qui dépendent d’elles en matière d’information et de visibilité. Cette concentration de second niveau, lorsqu’elle concerne la presse en ligne, les éditeurs scientifiques ou encore les libraires, pose à l’évidence de graves questions en matière de liberté d’information.

Impuissances

La concentration des services, qu’il s’agisse de ceux de Google comme des autres géants du web, sur des secteurs biens découpés qui assurent les monopoles de chaque acteur, cause bien des soucis aux États qui voient leurs économies impactées selon les revenus fiscaux et l’implantation géographique de ces compagnies. Les lois anti-trust semblent ne plus suffire lorsqu’on voit, par exemple, la Commission Européenne avoir toutes les peines du monde à freiner l’abus de position dominante de Google sur le système Android, sur Google Shopping, sur l’indexation, et de manière générale depuis 2010.

Illustration cynique devant l’impuissance des États à réguler cette concentration, Google a davantage à craindre de ses concurrents directs qui ont des moyens financiers largement supérieurs aux États pour bloquer sa progression sur les marchés. Ainsi, cet accord entre Microsoft et Google, qui conviennent de régler désormais leurs différends uniquement en privé, selon leurs propres règles, pour ne se concentrer que sur leur concurrence de marché et non plus sur la législation. Le message est double : en plus d’instaurer leur propre régulation de marché, Google et Microsoft en organiseront eux-mêmes les conditions juridiques, reléguant le rôle de l’État au second plan, voire en l’éliminant purement et simplement de l’équation. C’est l’avènement des Léviathans dont j’avais déjà parlé dans un article antérieur.

Capitaux financiers

La capitalisation boursière des GAFAM a atteint un niveau jamais envisagé jusqu’à présent dans l’histoire, et ces entreprises figurent toutes dans le top 40 de l’année 2015¹⁴. La valeur cumulée de GAFAM en termes de capital boursier en 2015 s’élève à 1 838 milliards de dollars. À titre de comparaison, le PIB de la France en 2014 était de 2 935 milliards de dollars et celui des Pays Bas 892 milliards de dollars.

La liste des acquisitions de Google explique en partie la cumulation de valeurs boursières. Pour une autre partie, la plus importante, l’explication concerne l’activité principale de Google : la valorisation des big data et l’automatisation des tâches d’analyse de données qui réduisent les coûts de production (à commencer par les frais d’infrastructure : Google a besoin de gigantesque data centers pour le stockage, mais l’analyse, elle, nécessite plus de virtualisation que de nouveaux matériels ou d’employés). Bien que les cheminements ne soient pas les mêmes, les entreprises GAFAM ont abouti au même modèle économique qui débouche sur le status quo de monopoles sectorisés. Un élément de comparaison est donné par le Financial Times en août 2014, à propos de l’industrie automobile vs l’économie numérique :

Comparons Detroit en 1990 et la Silicon Valley en 2014. Les 3 plus importantes compagnies de Detroit produisaient des bénéfices à hauteur de 250 milliards de dollars avec 1,2 million d’employés et la cumulation de leurs capitalisations boursières totalisait 36 milliards de dollars. Le 3 premières compagnies de la Silicon Valley en 2014 totalisaient 247 milliards de dollars de bénéfices, avec seulement 137 000 employés, mais un capital boursier de 1,09 mille milliard de dollars.¹⁵

La captation d’autant de valeurs par un petit nombre d’entreprises et d’employés, aurait été analysée, par exemple, par Schumpeter comme une chute inévitable vers la stagnation en raison des ententes entre les plus puissants acteurs, la baisse des marges des opérateurs et le manque d’innovation. Pourtant cette approche est dépassée : l’innovation à d’autres buts (produire des services, même à perte, pour capter des données), il est très difficile d’identifier le secteur d’activité concerné (Alphabet regroupe des entreprises ultra-diversifiées) et donc le marché est ultra-malléable autant qu’il ne représente que des données à forte valeur prédictive et possède donc une logique de plus en plus maîtrisée par les grands acteurs.

Qu’est-ce qui fait courir Framasoft ?  De la campagne Dégooglisons à l’initiative C.H.A.T.O.N.S quelles idées ont en tête les acteurs et soutiens de l’association ? Vous êtes curieux ? Vous reprendrez bien une tranche de Léviathan ?

Pour vous inviter à aller au-delà des apparences (la sympathique petite tribu d’amateurs gaulois qui veut modestement mettre son grain de sable dans la loi des entreprises hégémoniques) nous vous proposons non seulement un moment de réflexion, mais pour une fois une série de considérations nourries, argumentées et documentées sur l’état de bascule que nous vivons et dans lequel nous prétendons inscrire notre action avec vous.

Jamais le logiciel libre et les valeurs qu’il porte n’ont été autant à la croisée des chemins, car il ne s’agit pas de proposer seulement des alternatives techniques, c’est un défi économique et politique qu’il doit relever.

Entre les États qui nous surveillent et les GAFAM qui nous monétisent, jamais le refuge du secret, celui de l’intime, n’a été aussi attaqué ni menacé. Pour représenter le monstre à plusieurs têtes, Christophe Masutti qui est l’auteur de cette série de réflexions, a choisi la figure emblématique du Léviathan, forgée déjà par Hobbes en particulier pour désigner l’État toujours plus avide de domination.

C’est donc une série de Léviathans nouveaux et anciens que nous vous invitons à découvrir par étapes, tout au long de cette semaine, qui vous conduiront peut-être à comprendre et adopter notre démarche. Car une fois établies les sources du mal et posé le diagnostic, que faire ? Les perspectives que nous proposons seront peut-être les vôtres.

(suite de la première section)

Piller le code, imposer des usages

À la fin des années 1990, c’est au nom de ce réalisme capitaliste, que les promoteurs de l’Open Source Initiative avaient compris l’importance de maintenir des codes sources ouverts pour faciliter un terreau commun permettant d’entretenir le marché. Ils voyaient un frein à l’innovation dans les contraintes des licences du logiciel libre tel que le proposaient Richard Stallman et la Free Software Foundation (par exemple, l’obligation de diffuser les améliorations d’un logiciel libre sous la même licence, comme l’exige la licence GNU GPL – General Public License). Pour eux, l’ouverture du code est une opportunité de création et d’innovation, ce qui n’implique pas forcément de placer dans le bien commun les résultats produits grâce à cette ouverture. Pas de fair play : on pioche dans le bien commun mais on ne redistribue pas, du moins, pas obligatoirement.

Les exemples sont nombreux de ces entreprises qui utilisent du code source ouvert sans même participer à l’amélioration de ce code, voire en s’octroyant des pans entiers de ce que des généreux programmeurs ont choisi de verser dans le bien commun. D’autres entreprises trouvent aussi le moyen d’utiliser du code sous licence libre GNU GPL en y ajoutant tant de couches successives de code privateur que le système final n’a plus rien de libre ni d’ouvert. C’est le cas du système Android de Google, dont le noyau est Linux.

Jamais jusqu’à aujourd’hui le logiciel libre n’avait eu de plus dur combat que celui non plus de proposer une simple alternative à informatique privateur, mais de proposer une alternative au modèle économique lui-même. Pas seulement l’économie de l’informatique, dont on voudrait justement qu’il ne sorte pas, mais un modèle beaucoup plus général qui est celui du pillage intellectuel et physique qui aliène les utilisateurs et, donc, les citoyens. C’est la raison pour laquelle le discours de Richard Stallman est un discours politique avant tout.

La fameuse dualité entre open source et logiciel libre n’est finalement que triviale. On n’a pas tort de la comparer à une querelle d’église même si elle reflète un mal bien plus général. Ce qui est pillé aujourd’hui, ce n’est plus seulement le code informatique ou les libertés des utilisateurs à pouvoir disposer des programmes. Même si le principe est (très) loin d’être encore communément partagé dans l’humanité, le fait de cesser de se voir imposer des programmes n’est plus qu’un enjeu secondaire par rapport à une nouvelle voie qui se dévoile de plus en plus : pour maintenir la pression capitaliste sur un marché verrouillé par leurs produits, les firmes cherchent désormais à imposer des comportements. Elles ne cherchent plus à les induire comme on pouvait dire d’Apple que le design de ses produits provoquait un effet de mode, une attitude « cool ». Non : la stratégie a depuis un moment déjà dépassé ce stade.

Un exemple révélateur et particulièrement cynique, la population belge en a fait la terrible expérience à l’occasion des attentats commis à Bruxelles en mars 2016 par de sombres crétins, au prix de dizaines de morts et de centaines de blessés. Les médias déclarèrent en chœur, quelques heures à peine après l’annonce des attentats, que Facebook déclenchait le « Safety Check ». Ce dispositif propre à la firme avait déjà été éprouvé lors des attentats de Paris en novembre 2015 et cet article de Slate.fr en montre bien les enjeux. Avec ce dispositif, les personnes peuvent signaler leur statut à leurs amis sur Facebook en situation de catastrophe ou d’attentat. Qu’arrive-t-il si vous n’avez pas de compte Facebook ou si vous n’avez même pas l’application installée sur votre smartphone ? Vos amis n’ont plus qu’à se consumer d’inquiétude pour vous.

La question n’est pas tant de s’interroger sur l’utilité de ce dispositif de Facebook, mais plutôt de s’interroger sur ce que cela implique du point de vue de nos comportements :

• Le devoir d’information : dans les médias, on avait l’habitude, il y a encore peu de temps, d’avoir à disposition un « numéro vert » ou un site internet produits par les services publics pour informer la population. Avec les attentats de Bruxelles, c’est le « Safety Check » qui fut à l’honneur. Ce n’est plus à l’État d’assurer la prise en charge de la détresse, mais c’est à Facebook de le faire. L’État, lui, a déjà prouvé son impuissance puisque l’attentat a eu lieu, CQFD. On retrouve la doctrine du « moins d’État ».
• La morale : avec la crainte qu’inspire le contexte du terrorisme actuel, Facebook joue sur le sentiment de sollicitude et propose une solution technique à un problème moral : ai-je le devoir ou non, envers mes proches, de m’inscrire sur Facebook ?
• La norme : le comportement normal d’un citoyen est d’avoir un smartphone, de s’inscrire sur Facebook, d’être en permanence connecté à des services qui lui permettent d’être localisé et tracé. Tout comportement qui n’intègre pas ces paramètres est considéré comme déviant non seulement du point de vue moral mais aussi, pourquoi pas, du point de vue sécuritaire.

Ce cas de figure est extrême mais son principe (conformer les comportements) concerne des firmes aussi gigantesques que Google, Apple, Facebook, Amazon, Microsoft (GAFAM) et d’autres encore, parmi les plus grandes capitalisations boursières du monde. Ces dernières sont aujourd’hui capables d’imposer des usages et des comportements parce qu’elles proposent toutes une seule idéologie : leurs solutions techniques peuvent remplacer plus efficacement les pouvoirs publics à la seule condition d’adhérer à la communauté des utilisateurs, de « prendre la citoyenneté » Google, Apple, Facebook, Microsoft. Le rêve californien de renverser le Léviathan est en train de se réaliser.

Vers le capitalisme de surveillance

Ce mal a récemment été nommé par une professeure de Harvard, Shoshana Zuboff dans un article intitulé « Big Other : Surveillance Capitalism and the Prospects of an Information Civilization »¹. S. Zuboff analyse les implications de ce qu’elle nomme le « capitalisme de surveillance » dans notre société connectée.

L’expression a récemment été reprise par Aral Balkan, dans un texte traduit sur le Framablog intitulé : « La nature du ‘soi’ à l’ère numérique ». A. Balkan interroge l’impact du capitalisme de surveillance sur l’intégrité de nos identités, à travers nos pratiques numériques. Pour le citer :

La Silicon Valley est la version moderne du système colonial d’exploitation bâti par la Compagnie des Indes Orientales, mais elle n’est ni assez vulgaire, ni assez stupide pour entraver les individus avec des chaînes en fer. Elle ne veut pas être propriétaire de votre corps, elle se contente d’être propriétaire de votre avatar. Et maintenant, (…) plus ces entreprises ont de données sur vous, plus votre avatar est ressemblant, plus elles sont proches d’être votre propriétaire.

C’est exactement ce que démontre S. Zuboff (y compris à travers toute sa bibliographie). Dans l’article cité, à travers l’exemple des pratiques de Google, elle montre que la collecte et l’analyse des données récoltées sur les utilisateurs permet l’émergence de nouvelles formes contractuelles (personnalisation, expérience immersive, etc.) entre la firme et ses utilisateurs. Cela induit des mécanismes issus de l’extraction des données qui débouchent sur deux principes :

• la marchandisation des comportements : par exemple, les sociétés d’assurance ne peuvent que s’émouvoir des données géolocalisées des véhicules ;
• le contrôle des comportements : il suffit de penser, par exemple, aux applications de e-health promues par des assurances-vie et des mutuelles, qui incitent l’utilisateur à marcher X heures par jour.

Dans un article paru dans le Frankfurter Allgemeine Zeitung le 24 mars 2016 (« The Secrets of Surveillance Capitalism »), S. Zuboff relate les propos de l’analyste (de données) en chef d’une des plus grandes firmes de la Silicon Valley :

Le but de tout ce que nous faisons est de modifier le comportement des gens à grande échelle. Lorsqu’ils utilisent nos applications, nous pouvons enregistrer leurs comportements, identifier les bons et les mauvais comportements, et développer des moyens de récompenser les bons et pénaliser les mauvais.

Pour S. Zuboff, cette logique d’accumulation et de traitement des données aboutit à un projet de surveillance lucrative qui change radicalement les mécanismes habituels entre l’offre et la demande du capitalisme classique. En cela, le capitalisme de surveillance modifie radicalement les principes de la concurrence libérale qui pensait les individus autonomes et leurs choix individuels, rationnels et libres, censés équilibrer les marchés. Qu’on ait adhéré ou non à cette logique libérale (plus ou moins utopiste, elle aussi, sur certains points) le fait est que, aujourd’hui, ce capitalisme de surveillance est capable de bouleverser radicalement les mécanismes démocratiques. J’aurai l’occasion de revenir beaucoup plus longuement sur le capitalisme de surveillance dans le second volet des Nouveaux Léviathans, mais on peut néanmoins affirmer sans plus d’élément qu’il pose en pratique des questions politiques d’une rare envergure.

Ce ne serait rien, si, de surcroît certains décideurs politiques n’étaient particulièrement pro-actifs, face à cette nouvelle forme du capitalisme. En France, par exemple, la première version du projet de Loi Travail soutenu par la ministre El Khomri en mars 2016 entrait parfaitement en accord avec la logique du capitalisme de surveillance. Dans la première version du projet, au chapitre Adaptation du droit du travail à l’ère numérique, l’article 23 portait sur les plateformes collaboratives telles Uber. Cet article rendait impossible la possibilité pour les « contributeurs » de Uber (les chauffeurs VTC) de qualifier leur emploi au titre de salariés de cette firme, ceci afin d’éviter les luttes sociales comme les travailleurs de Californie qui se sont retournés contre Uber dans une bataille juridique mémorable. Si le projet de loi El Khomri cherche à éliminer le salariat du rapport entre travail et justice, l’enjeu dépasse largement le seul point de vue juridique.

Google est l’un des actionnaires majoritaires de Uber, et ce n’est pas pour rien : d’ici 5 ou 6 ans, nous verrons sans doute les premières voitures sans chauffeur de Google arriver sur le marché. Dès lors, que faire de tous ces salariés chauffeurs de taxi ? La meilleure manière de s’en débarrasser est de leur supprimer le statut de salariés : en créant une communauté de contributeurs Uber à leur propre compte , il devient possible de se passer des chauffeurs puisque ce métier n’existera plus (au sens de corporation) ou sera en voie d’extinction. Ce faisant, Uber fait d’une pierre deux coups : il crée aussi une communauté d’utilisateurs, habitués à utiliser une plate-forme de service de voiturage pour accomplir leurs déplacements. Uber connaît donc les besoins, analyse les déplacements, identifie les trajets et rassemble un nombre incroyable de données qui prépareront efficacement la venue de la voiture sans chauffeur de Google. Que cela n’arrange pas l’émission de pollution et empêche de penser à des moyens plus collectifs de déplacement n’est pas une priorité (quoique Google a déjà son service de bus).

Il faut dégoogliser !

Parmi les moyens qui viennent à l’esprit pour s’en échapper, on peut se demander si le capitalisme de surveillance est soluble dans la bataille pour le chiffrement qui refait surface à l’occasion des vagues terroristes successives. L’idée est tentante : si tous les utilisateurs étaient en mesure de chiffrer leurs communications, l’extraction de données de la part des firmes n’en serait que contrariée. Or, la question du chiffrement n’est presque déjà plus d’actualité que pour les représentants politiques en mal de sensations. Tels certains ministres qui ressassent le sempiternel refrain selon lequel le chiffrement permet aux terroristes de communiquer.

Outre le fait que la pratique « terroriste » du chiffrement reste encore largement à prouver, on se rappelle la bataille récente entre le FBI et Apple dans le cadre d’une enquête terroriste, où le FBI souhaitait obtenir de la part d’Apple un moyen (exploitation de backdoor) de faire sauter le chiffrement d’un IPhone. Le FBI ayant finalement trouvé une solution alternative, que nous apprend cette dispute ? Certes, Apple veut garder la confiance de ses utilisateurs. Certes, le chiffrement a bien d’autres applications bénéfiques, en particulier lorsqu’on consulte à distance son compte en banque ou que l’on transfère des données médicales. Dès lors, la mesure est vite prise entre d’un côté des gouvernements cherchant à déchiffrer des communications (sans même être sûr d’y trouver quoi que ce soit d’intéressant) et la part gigantesque de marché que représente le transfert de données chiffrées. Peu importe ce qu’elles contiennent, l’essentiel est de comprendre non pas ce qui est échangé, mais qui échange avec qui, pour quelles raisons, et comment s’immiscer en tant qu’acteur de ces échanges. Ainsi, encore un exemple parmi d’autres, Google a déployé depuis longtemps des systèmes de consultation médicale à distance, chiffrées bien entendu : « si vous voulez un tel service, nous sommes capables d’en assurer la sécurité, contrairement à un État qui veut déchiffrer vos communications ». Le chiffrement est un élément essentiel du capitalisme de surveillance, c’est pourquoi Apple y tient tant : il instaure un degré de confiance et génère du marché.

Nous pourrions passer en revue plusieurs systèmes alternatifs qui permettraient de s’émanciper plus ou moins du capitalisme de surveillance. Les solutions ne sont pas uniquement techniques : elles résident dans le degré de connaissance des enjeux de la part des populations. Il ne suffit pas de ne plus utiliser les services de courriel de Google, surtout si on apprécie l’efficacité de ce service. Il faut se poser la question : « si j’ai le choix d’utiliser ou non Gmail, dois-je pour autant imposer à mon correspondant qu’il entre en relation avec Google en me répondant à cette adresse ? ». C’est exactement le même questionnement qui s’impose lorsque j’envoie un document en format Microsoft en exigeant indirectement de mon correspondant qu’il ait lui aussi le même logiciel pour l’ouvrir.

L’enjeu est éthique. Dans la Règle d’Or, c’est la réciprocité qui est importante (« ne fais pas à autrui ce que tu n’aimerais pas qu’on te fasse »). Appliquer cette règle à nos rapports technologiques permet une prise de conscience, l’évaluation des enjeux qui dépasse le seul rapport individuel, nucléarisé, que j’ai avec mes pratiques numériques et que le capitalisme de surveillance cherche à m’imposer. Si je choisis d’installer sur mon smartphone l’application de géolocalisation que m’offre mon assureur en guise de test contre un avantage quelconque, il faut que je prenne conscience que je participe directement à une mutation sociale qui imposera des comportements pour faire encore davantage de profits. C’est la même logique à l’œuvre avec l’ensemble des solutions gratuites que nous offrent les GAFAM, à commencer par le courrier électronique, le stockage en ligne, la cartographie et la géolocalisation.

Faut-il se passer de toutes ces innovations ? Bien sûr que non ! le retranchement anti-technologique n’est jamais une solution. D’autant plus qu’il ne s’agit pas non plus de dénigrer les grands bienfaits d’Internet. Par contre, tant que subsisteront dans l’ADN d’Internet les concepts d’ouverture et de partage, il sera toujours possible de proposer une alternative au capitalisme de surveillance. Comme le phare console le marin dans la brume, le logiciel libre et les modèles collaboratifs qu’il véhicule représentent l’avenir de nos libertés. Nous ne sommes plus libres si nos comportements sont imposés. Nous ne sommes pas libres non plus dans l’ignorance technologique.

Il est donc plus que temps de Dégoogliser Internet en proposant non seulement d’autres services alternatifs et respectueux des utilisateurs, mais surtout les moyens de multiplier les solutions et décentraliser les usages. Car ce qu’il y a de commun entre le capitalisme classique et le capitalisme de surveillance, c’est le besoin centralisateur, qu’il s’agisse des finances ou des données. Ah ! si tous les CHATONS du monde pouvaient se donner la patte…

Qu’est-ce qui fait courir Framasoft ? De la campagne Dégooglisons à l’initiative C.H.A.T.O.N.S quelles idées ont en tête les acteurs et soutiens de l’association ? Vous êtes curieux ? Vous prendrez bien une tranche de Léviathan ?

Pour vous inviter à aller au-delà des apparences (la sympathique petite tribu d’amateurs gaulois qui veut modestement mettre son grain de sable dans la loi des entreprises hégémoniques) nous vous proposons non seulement un moment de réflexion, mais pour une fois une série de considérations nourries, argumentées et documentées sur l’état de bascule que nous vivons et dans lequel nous prétendons inscrire notre action avec vous.

Jamais le logiciel libre et les valeurs qu’il porte n’ont été autant à la croisée des chemins, car il ne s’agit pas de proposer seulement des alternatives techniques, c’est un défi économique et politique qu’il doit relever.

Entre les États qui nous surveillent et les GAFAM qui nous monétisent, jamais le refuge du secret, celui de l’intime, n’a été aussi attaqué ni menacé. Pour représenter le monstre à plusieurs têtes, Christophe Masutti qui est l’auteur de cette série de réflexions, a choisi la figure emblématique du Léviathan, forgée déjà par Hobbes en particulier pour désigner l’État toujours plus avide de domination.

C’est donc une série de Léviathans nouveaux et anciens que nous vous invitons à découvrir par étapes, tout au long de cette semaine, qui vous conduiront peut-être à comprendre et adopter notre démarche. Car une fois établies les sources du mal et posé le diagnostic, que faire ? Les perspectives que nous proposons seront peut-être les vôtres.

Techno-capitalisme

Longtemps nous avons cru que le versant obscur du capitalisme était le monopole. En écrasant le marché, en pratiquant des prix arbitraires, en contrôlant les flux et la production à tous les niveaux, un monopole est un danger politique. Devant la tendance monopolistique de certaines entreprises, le gouvernement américain a donc très tôt mis en place une stratégie juridique visant à limiter les monopoles. C’est le Sherman Anti-Trust Act du 2 juillet 1890, ce qui ne rajeunit pas l’économie moderne. Avec cette loi dont beaucoup de pays ont adopté les principes, le fameux droit de la concurrence a modelé les économies à une échelle mondiale. Mais cela n’a pas pour autant empêché l’apparition de monopoles. Parmi les entreprises ayant récemment fait l’objet de poursuites au nom de lois anti-trust sur le territoire américain et en Europe, on peut citer Microsoft, qui s’en est toujours tiré à bon compte (compte tenu de son placement financier).

Que les procès soient gagnés ou non, les firmes concernées dépensent des millions de dollars pour leur défense et, d’une manière ou d’une autre, trouvent toujours un moyen de contourner les procédures. C’est le cas de Google qui, en août 2015, devant l’obésité due à ses multiples activités, a préféré éclater en plusieurs sociétés regroupées sous une sorte de Holding nommée Alphabet. Crainte de se voir poursuivie au nom de lois anti-trust ? Non, du moins ce n’est pas le premier objectif  : ce qui a motivé cet éclatement, c’est de pouvoir rendre plus claires ses différentes activités pour les investisseurs.

 

Investir dans les sociétés qui composent Alphabet, ce serait donc leur permettre à toutes de pouvoir initier de nouveaux projets. N’en a-t-il toujours pas été ainsi, dans le monde capitaliste ? Investir, innover, produire pour le bien de l’humanité. Dans ce cas, quel danger représenterait le capitalisme ? Aucun. Dans le monde des technologies numériques, au contraire, il constitue le moteur idéal pour favoriser toute forme de progrès social, technique et même politique. Dans nos beaux pays industriels avancés (hum !) nous n’en sommes plus au temps des mines à charbon et des revendications sociales à la Zola  : tout cela est d’un autre âge, celui où le capitalisme était aveugle. Place au capitalisme éclairé.

Convaincu ? pas vraiment n’est-ce pas ? Et pourtant cet exercice de remise en question du capitalisme a déjà été effectué entre la fin des années 1960 et les années 1980. Cette histoire est racontée par Fred Turner, dans son excellent livre Aux sources de l’utopie numérique. De la contre-culture à la cyberculture, Stewart Brand un homme d’influence¹. Dans ce livre, Fred Turner montre comment les mouvements communautaires de contre-culture ont soit échoué par désillusion, soit se sont recentrés (surtout dans les années 1980) autour de techno-valeurs, en particulier portées par des leaders charismatiques géniaux à la manière de Steve Jobs un peu plus tard. L’idée dominante est que la revendication politique a échoué à bâtir un monde meilleur ; c’est en apportant des solutions techniques que nous serons capables de résoudre nos problèmes.

Ne crachons pas dans la soupe ! Certains principes qui nous permettent aujourd’hui de surfer et d’aller sur Wikipédia, sont issus de ce mouvement intellectuel. Prenons par exemple Ted Nelson, qui n’a rien d’un informaticien puisqu’il est sociologue. Au milieu des années 1960, il invente le terme hypertext par lequel il entend la possibilité de lier entre eux des documents à travers un réseau documentaire. Cela sera formalisé par la suite en système hypermédia (notamment avec le travail de Douglas Engelbart). Toujours est-il que Ted Nelson, en fondant le projet Xanadu a proposé un modèle économique d’accès à la documentation et de partage d’informations (pouvoir par exemple acheter en ligne tel ou tel document et le consulter en lien avec d’autres). Et il a fallu attendre dix ans plus tard l’Internet de papa pour développer de manière concrète ce qui passait auparavant pour des utopies et impliquait un changement radical de modèle (ici, le rapport livresque à la connaissance, remplacé par une appropriation hypertextuelle des concepts).

La conversion des hippies de la contre-culture nord-américaine (et d’ailleurs aussi) au techno-capitalisme ne s’est donc pas faite à partir de rien. Comme bien souvent en histoire des techniques, c’est la convergence de plusieurs facteurs qui fait naître des changements technologiques. Ici les facteurs sont :

• des concepts travaillés théoriquement comme l’hypertext, l’homme augmenté, l’intelligence artificielle, et tout ce qui sera par la suite dénommé « cyber-culture »,
• des innovations informatiques : les réseaux (par exemple, la commutation de paquets), les micro-computers et les systèmes d’exploitation, les langages informatiques (Lisp, C, etc.),
• des situations politiques et économiques particulières : la guerre froide (développement des réseaux et de la recherche informatique), les déréglementations des politiques néolibérales américaines et anglaises, notamment, qui permirent une expansion des marchés financiers et donc l’émergence de startups dont la Silicon Valley est l’emblème le plus frappant, puis plus tard l’arrivée de la « bulle Internet », etc.

Le logiciel libre montre la faille

Pour tout changement technologique, il faut penser les choses de manière globale. Ne jamais se contenter de les isoler comme des émergences sporadiques qui auraient révolutionné tout un contexte par un jeu de dominos. Parfois les enchaînements n’obéissent à aucun enchaînement historique linéaire et ne sont dus qu’au hasard d’un contexte favorable qu’il faut identifier. On peut se demander quelle part favorable de ce contexte intellectuellement stimulant a permis l’émergence de concepts révolutionnaires, et quelle part a mis en lumière les travers de la « contre-culture dominante » de la future Silicon Valley.

Tel l’œuf et la poule, on peut parler du logiciel libre dont le concept a été formalisé par Richard Stallman². Ce dernier évoluait dans le milieu high-tech du M.I.T. durant cette période qui vit l’émergence des hackers – voir sur ce point le livre de Steven Lévy, L’Éthique des hackers³. Dans le groupe de hackers dont R. Stallman faisait partie, certains se disputaient les programmes de Machines Lisp⁴. Deux sociétés avaient été fondées, distribuant ce type de machines. Le marché tacite qui était passé : faire en sorte que tous les acteurs (l’université et ces entreprises) puissent profiter des améliorations apportées par les uns et les autres. Néanmoins, une firme décida de ne plus partager, accusant l’université de fausser la concurrence en reversant ses améliorations à l’autre entreprise. Cet événement, ajouté à d’autres épisodes aussi peu glorieux dans le monde des hackers, amena Richard Stallman à formaliser juridiquement l’idée qu’un programme puisse non seulement être partagé et amélioré par tous, mais aussi que cette caractéristique puisse être virale et toucher toutes les améliorations et toutes les versions du programme.

En fait, le logiciel libre est doublement révolutionnaire. Il s’oppose en premier lieu à la logique qui consiste à privatiser la connaissance et l’usage pour maintenir les utilisateurs dans un état de dépendance et établir un monopole basé uniquement sur le non-partage d’un programme (c’est-à-dire du code issu d’un langage informatique la plupart du temps connu de tous). Mais surtout, il s’oppose au contexte dont il est lui-même issu : un monde dans lequel on pensait initier des modèles économiques basés sur la capacité de profit que représente l’innovation technologique. Celle-ci correspondant à un besoin, elle change le monde mais ne change pas le modèle économique de la génération de profit par privatisation de la production. Or, avec le logiciel libre, l’innovation, ou plutôt le programme, ne change rien de lui-même : il est appelé à être modifié, diffusé et amélioré par tous les utilisateurs qui, parce qu’ils y participent, améliorent le monde et partagent à la fois l’innovation, son processus et même le domaine d’application du programme. Et une fois formalisé en droit par le concept de licence libre, cela s’applique désormais à bien d’autres productions que les seuls programmes informatiques : les connaissances, la musique, la vidéo, le matériel, etc.

Le logiciel libre représente un épisode disruptif dans le story telling des Silicon Valley et des Steve Jobs du monde entier. Il correspond à un moment où, dans cette logique de conversion des techno-utopistes au capitalisme, la principale faille fut signalée : l’aliénation des utilisateurs des technologies. Et le remède fut compris : pour libérer les utilisateurs, il faut qu’il participent eux-mêmes en partageant les connaissances et la contrepartie de ce partage est l’obligation du partage. Et on sait, depuis lors, que ce modèle alternatif n’empêche nullement le profit puisque celui-ci se loge dans l’exercice des connaissances (l’expertise est monnayable) ou dans la plus-value elle-même de programmes fortement innovants qui permettent la production de services ou de nouveaux matériels, etc.

Économie du partage ?

Il faut comprendre, néanmoins, que les fruits de l’intellectualisme californien des seventies n’étaient pas tous intentionnellement tournés vers le dieu Capital, un peu à la manière dont Mark Zuckerberg a fondé Facebook en s’octroyant cette fonction salvatrice, presque morale, de facilitateur de lien social. Certains projets, voire une grande majorité, partaient réellement d’une intention parfaitement en phase avec l’idéal d’une meilleure société fondée sur le partage et le bien commun. La plupart du temps, ils proposaient un modèle économique fondé non pas sur les limitations d’usage (payer pour avoir l’exclusivité de l’utilisation) mais sur l’adhésion à l’idéologie qui sous-tend l’innovation. Certains objets techniques furent donc des véhicules d’idéologie.

Dans les années 1973-1975, le projet Community Memory⁵ véhiculait de l’idéologie. Ses fondateurs, en particulier Lee Felsenstein (inventeur du premier ordinateur portable en 1981), se retrouvèrent par la suite au Homebrew Computer Club, le club d’informatique de la Silicon Valley naissante parmi lesquels on retrouva plus tard Steve Jobs. La Silicon Valley doit beaucoup à ce club, qui regroupa, à un moment ou à un autre, l’essentiel des hackers californiens. Avec la Community Memory, l’idée était de créer un système de communication non hiérarchisé dont les membres pouvaient partager de l’information de manière décentralisée. Community Memory utilisait les services de Resource One, une organisation non gouvernementale crée lors de la crise de 1970 et l’invasion américaine du Cambodge. Il s’agissait de mettre en place un accès à un calculateur pour tous ceux qui se reconnaissaient dans le mouvement de contre-culture de l’époque. Avec ce calculateur (Resource One Generalized Information Retrieval System – ROGIRS), des terminaux maillés sur le territoire américain et les lignes téléphoniques WATTS, les utilisateurs pouvaient entrer des informations sous forme de texte et les partager avec tous les membres de la communauté, programmeurs ou non, à partir de terminaux en accès libre. Il s’agissait généralement de petites annonces, de mini-tracts, etc. dont les mots-clé permettaient le classement.

Pour Lee Felsenstein, le principal intérêt du projet était de démocratiser l’usage de l’ordinateur, en réaction au monde universitaire ou aux élus des grandes entreprises qui s’en réservaient l’usage. Mais les caractéristiques du projet allaient beaucoup plus loin : pas de hiérarchie entre utilisateurs, respect de l’anonymat, aucune autorité ne pouvait hiérarchiser l’information, un accès égalitaire à l’information. En cela, le modèle s’opposait aux modèles classiques de communication par voie de presse, elle-même dépendante des orientations politiques des journaux. Il s’opposait de même à tout contrôle de l’État, dans un climat de méfiance entretenu par les épisodes de la Guerre du Vietnam ou le scandale du WaterGate. Ce système supposait donc, pour y accéder, que l’on accepte :

1. de participer à et d’entrer dans une communauté et
2. que les comptes à rendre se font au sein de cette communauté indépendamment de toute structure politique et surtout de l’État. Le système de pair à pair s’oppose frontalement à tout moyen de contrôle et de surveillance externe.

Quant au fait de payer quelques cents pour écrire (entrer des informations), cela consistait essentiellement à couvrir les frais d’infrastructure. Ce don participatif à la communauté finissait de boucler le cercle vertueux de l’équilibre économique d’un système que l’on peut qualifier d’humaniste.

Si beaucoup de hackers avaient intégré ce genre de principes et si Internet fut finalement conçu (pour sa partie non-militaire) autour de protocoles égalitaires, la part libertarienne et antiétatiste ne fut pas toujours complètement (et aveuglément) acceptée. L’exemple du logiciel libre le montre bien, puisqu’il s’agit de s’appuyer sur une justice instituée et réguler les usages.

Pour autant, combinée aux mécanismes des investissements financiers propres à la dynamique de la Silicon Valley, la logique du « moins d’État » fini par l’emporter. En l’absence (volontaire ou non) de principes clairement formalisés comme ceux du logiciel libre, les sociétés high-tech entrèrent dans un système concurrentiel dont les motivations consistaient à concilier le partage communautaire, l’indépendance vis-à-vis des institutions et la logique de profit. Le résultat ne pouvait être autre que la création d’un marché privateur reposant sur la mise en commun des pratiques elles-mêmes productrices de nouveaux besoins et de nouveaux marchés. Par exemple, en permettant au plus grand nombre possible de personnes de se servir d’un ordinateur pour partager de l’information, l’informatique personnelle devenait un marché ouvert et prometteur. Ce n’est pas par hasard que la fameuse « Lettre aux hobbyistes » de Bill Gates fut écrite en premier lieu à l’intention des membres du Homebrew Computer Club : le caractère mercantile et (donc) privateur des programmes informatiques est la contrepartie obligatoire, la conciliation entre les promesses d’un nouveau monde technologique a-politique et le marché capitaliste qui peut les réaliser.

C’est de ce bain que sortirent les principales avancées informatiques des années 1980 et 1990, ainsi que le changement des pratiques qu’elles finirent par induire dans la société, de la gestion de nos comptes bancaires aux programmes de nos téléphones portables.

Le chiffrement, s’il n’est pas encore dans tous nos usages — et loin s’en faut, chez la plupart des utilisateurs, est nettement devenu un argument marketing et une priorité pour les entreprises qui distribuent logiciels et services. En effet, le grand public est beaucoup plus sensible désormais à l’argument de la sécurité de la vie privée. Donc les services qui permettent la communication en ligne rivalisent d’annonces pour promettre et garantir une sécurité toujours plus grande et que l’on puisse activer d’un simple clic.

Que faut-il croire, à qui et quoi pouvons-nous confier nos communications ?

L’article de Hannes Hauswedell que nous avons traduit nous aide à faire un tri salutaire entre les solutions logicielles du marché, pointe les faux-semblants et les failles, puis nous conduit tranquillement à envisager des solutions fédérées et pair à pair reposant sur des logiciels libres. Des réseaux de confiance en somme, ce qui est proche de l’esprit de l’initiative C.H.A.T.O.N.S portée par Framasoft et qui suscite déjà un intérêt grandissant.

Comme d’habitude les commentaires sont ouverts et libres si vous souhaitez par exemple ajouter vos découvertes à ce recensement critique forcément incomplet.

 

Préserver sa vie privée, au-delà du chiffrement

par Hannes Hauswedell

d’après l’article publié sur son blog : Why Privacy is more than Crypto

Traduction Framalang : egilli, Lumi, goofy, roptat, lyn, tchevalier, touriste, Edgar Lori, Penguin

Au cours de l’année dernière on a pu croire que les poules avaient des dents quand les grandes entreprises hégémoniques comme Apple, Google et Facebook ont toutes mis en œuvre le chiffrement à un degré ou un autre. Pour Facebook avec WhatsApp et Google avec Allo, le chiffrement de la messagerie a même été implémenté par rien moins que le célèbre Moxie Marlinspike, un hacker anarchiste qui a la bénédiction d’Edward Snowden !
Donc tout est pour le mieux sur le front de la défense de la vie privée !… Euh, vraiment ?

Sommaire

1. Le chiffrement
2. Logiciels libres et intégrité des appareils
3. Décentralisation, contrôle par les distributeurs et métadonnées
4. En deux mots (pour les moins courageux)

J’ai déjà développé mon point de vue sur la sécurité de la messagerie mobile et j’en ai parlé dans un podcast (en allemand). Mais j’ai pensé qu’il fallait que j’y revienne, car il existe une certaine confusion sur ce que signifient sécurité et confidentialité (en général, mais particulièrement dans le contexte de la messagerie), et parce que les récentes annonces dans ce domaine ne donnent selon moi qu’un sentiment illusoire de sécurité.

Je vais parler de WhatsApp et de Facebook Messenger (tous deux propriétés de Facebook), de Skype (possédé par Microsoft), de Telegram, de Signal (Open Whisper systems), Threema (Threema GmbH), Allo (possédé par Google) et de quelques clients XMP, je dirai aussi un mot de ToX et Briar. Je n’aborderai pas les diverses fonctionnalités mêmes si elles sont liées à la confidentialité, comme les notifications évidemment mal conçues du type « le message a été lu ». Je n’aborderai pas non plus les questions d’anonymat qui sont connexes, mais selon moi moins importantes lorsqu’il s’agit d’applis de substitution aux SMS, puisque vous connaissez vos contacts de toutes façons.

Le chiffrement

Quand on parle de confidentialité ou de sécurité des communications dans les messageries, il s’agit souvent de chiffrement ou, plus précisément, du chiffrement des données qui se déplacent, de la protection de vos messages pendant qu’ils voyagent vers vos contacts.

Il existe trois moyens classiques pour faire cela :

1. pas de chiffrement : tout le monde sur votre réseau WIFI local ou un administrateur système quelconque du réseau internet peut lire vos données
2. le chiffrement en transit : la connexion au et à partir du fournisseur de service, par exemple les serveurs WhatsApp, et entre les fournisseurs de services est sécurisée, mais le fournisseur de service peut lire le message
3. le chiffrement de bout en bout : le message est lisible uniquement par ceux à qui la conversation est adressée, mais le moment de la communication et les participants sont connus du fournisseur de service

Il y a aussi une propriété appelée « confidentialité persistante » (perfect forward secrecy en anglais) qui assure que les communications passées ne peuvent être déchiffrées, même si la clef à long terme est révélée ou volée.

À l’époque, la plupart des applications, même WhatsApp, appartenaient à la première catégorie. Mais aujourd’hui presque toutes les applications sont au moins dans la deuxième. La probabilité d’un espionnage insoupçonné en est réduite (c’est toujours possible pour les courriels par exemple), mais ce n’est évidemment pas suffisant, puisque le fournisseur de service peut être malveillant ou forcé de coopérer avec des gouvernements malveillants ou des agences d’espionnage sans contrôle démocratique.

C’est pour cela que vous voulez que votre messagerie fasse du chiffrement de bout en bout. Actuellement, les messageries suivantes le font (classées par taille supposée) : WhatsApp, Signal, Threema, les clients XMPP avec GPG/OTR/Omemo (ChatSecure, Conversations, Kontalk).

Les messageries qui disposent d’un mode spécifique (« chat secret » ou « mode incognito ») sont Telegram et Google Allo. Il est vraiment dommage qu’il ne soit pas activé par défaut, donc je ne vous les recommande pas. Si vous devez utiliser l’un de ces programmes, assurez-vous toujours d’avoir sélectionné le mode privé. Il est à noter que les experts considèrent que le chiffrement de bout en bout de Telegram est moins robuste, même s’ils s’accordent à dire que les attaques concrètes pour récupérer le texte d’un message ne sont pas envisageables.

D’autres programmes populaires, comme la messagerie de Facebook ou Skype n’utilisent pas de chiffrement de bout en bout, et devraient être évités. Il a été prouvé que Skype analyse vos messages, je ne m’attarderai donc pas sur ces deux-là.

Logiciels libres et intégrité des appareils

Donc maintenant, les données sont en sécurité tant qu’elles voyagent de vous à votre ami. Mais qu’en est-il avant et après leur envoi ? Ne pouvez-vous pas aussi tenter d’espionner le téléphone de l’expéditeur ou du destinataire avant qu’elles ne soient envoyées et après leur réception ? Oui c’est possible et en Allemagne le gouvernement a déjà activement utilisé la « Quellen-Telekommunikationsüberwachung » (surveillance des communications à la source) précisément pour passer outre le chiffrement.

Revenons à la distinction entre (2) et (3). La différence principale entre le chiffrement en transit et de bout en bout est que vous n’avez plus besoin de faire confiance au fournisseur de service… FAUX : Dans presque tous les cas, la personne qui fait tourner le serveur est la même que celle qui fournit le programme. Donc forcément, vous devez croire que le logiciel fait bien ce qu’il dit faire. Ou plutôt, il doit y avoir des moyens sociaux et techniques qui vous donnent suffisamment de certitude que le logiciel est digne de confiance. Sinon, la valeur ajoutée du chiffrement de bout en bout est bien maigre.

La liberté des logiciels

C’est maintenant que le logiciel libre entre en jeu. Si le code source est publié, il y aura un grand nombre de hackers et de volontaires pour vérifier que le programme chiffre vraiment le contenu. Bien que ce contrôle public ne puisse vous donner une sécurité parfaite, ce processus est largement reconnu comme étant le meilleur pour assurer qu’un programme est globalement sûr et que les problèmes de sécurité sont découverts (et aussi corrigés). Le logiciel libre permet aussi de créer des versions non officielles ou rivales de l’application de messagerie, qui seront compatibles. S’il y a certaines choses que vous n’aimez pas ou auxquelles vous ne faites pas confiance dans l’application officielle, vous pourrez alors toujours en choisir une autre et continuer de chatter avec vos amis.

Certaines compagnies comme Threema qui ne fournissent pas leurs sources assurent évidemment qu’elles ne sont pas nécessaires pour avoir confiance. Elles affirment que leur code a été audité par une autre compagnie (qu’ils ont généralement payée pour cela), mais si vous ne faites pas confiance à la première, pourquoi faire confiance à une autre engagée par celle-ci ? Plus important, comment savoir que la version vérifiée par le tiers est bien la même version que celle installée sur votre téléphone ? (Vous recevez des mises à jours régulières ou non ?)

Cela vaut aussi pour les gouvernements et les entités publiques qui font ce genre d’audits. En fonction de votre modèle de menace ou de vos suppositions sur la société, vous pourriez être enclins à faire confiance aux institutions publiques plus qu’aux institutions privées (ou inversement), mais si vous regardez vers l’Allemagne par exemple, avec le TÜV il n’y a en fait qu’une seule organisation vérificatrice, que ce soit sur la valeur de confiance des applications de messagerie ou concernant la quantité de pollution émise par les voitures. Et nous savons bien à quoi cela a mené !

La confiance

Quand vous décidez si vous faites confiance à un tiers, vous devez donc prendre en compte :

• la bienveillance : le tiers ne veut pas compromettre votre vie privée et/ou il est lui-même concerné
• la compétence : le tiers est techniquement capable de protéger votre vie privée et d’identifier et de corriger les problèmes
• l’intégrité : le tiers ne peut pas être acheté, corrompu ou infiltré par des services secrets ou d’autres tiers malveillants

Après les révélations de Snowden, il est évident que le public est le seul tiers qui peut remplir collectivement ces prérequis ; donc la mise à disposition publique du code source est cruciale. Cela écarte d’emblée WhatsApp, Google Allo et Threema.

« Attendez une minute… mais n’existe-t-il aucun autre moyen de vérifier que les données qui transitent sont bien chiffrées ? » Ah, bien sûr qu’il en existe, comme Threema le fera remarquer, ou d’autres personnes pour WhatsApp. Mais l’aspect important, c’est que le fournisseur de service contrôle l’application sur votre appareil, et peut intercepter les messages avant le chiffrement ou après le déchiffrement, ou simplement « voler » vos clés de chiffrement. « Je ne crois pas que X fasse une chose pareille. » Gardez bien à l’esprit que, même si vous faites confiance à Facebook ou Google (et vous ne devriez pas), pouvez-vous vraiment leur faire confiance pour ne pas obéir à des décisions de justice ? Si oui, alors pourquoi vouliez-vous du chiffrement de bout en bout ? « Quelqu’un s’en apercevrait, non ? » Difficile à dire ; s’ils le faisaient tout le temps, vous pourriez être capable de vous en apercevoir en analysant l’application. Mais peut-être qu’ils font simplement ceci :

si (listeDeSuspects.contient(utilisateurID))
 envoyerClefSecreteAuServeur() ;

Alors seules quelques personnes sont affectées, et le comportement ne se manifeste jamais dans des « conditions de laboratoire ». Ou bien la génération de votre clé est trafiquée, de sorte qu’elle soit moins aléatoire, ou qu’elle adopte une forme plus facile à pirater. Il existe plusieurs approches, et la plupart peuvent facilement être déployées dans une mise à jour ultérieure, ou cachée parmi d’autres fonctionnalités. Notez bien également qu’il est assez facile de se retrouver dans la liste de suspects, car le règlement actuel de la NSA assure de pouvoir y ajouter plus de 25 000 personnes pour chaque suspect « originel ».

À la lumière de ces informations, on comprend qu’il est très regrettable que Open Whisper Systems et Moxie Marlinspike (le célèbre auteur de Signal, mentionné précédemment) fassent publiquement les louanges de Facebook et de Google, augmentant ainsi la confiance en leurs applications [bien qu’il ne soit pas mauvais en soi qu’ils aient aidé à mettre en place le chiffrement, bien sûr]. Je suis assez confiant pour dire qu’ils ne peuvent pas exclure un des scénarios précédents, car ils n’ont pas vu le code source complet des applications, et ne savent pas non plus ce que vont contenir les mises à jour à l’avenir – et nous ne voudrions de toutes façons pas dépendre d’eux pour nous en assurer !

La messagerie Signal

« OK, j’ai compris. Je vais utiliser des logiciels libres et open source. Comme le Signal d’origine ». C’est là que ça se complique. Bien que le code source du logiciel client Signal soit libre/ouvert, il dépend d’autres composants non libres/fermés/propriétaires pour fonctionner. Ces composants ne sont pas essentiels au fonctionnement, mais ils (a) fournissent des métadonnées à Google (plus de détails sur les métadonnées plus loin) et (b) compromettent l’intégrité de votre appareil.

Le dernier point signifie que si même une petite partie de votre application n’est pas digne de confiance, alors le reste ne l’est pas non plus. C’est encore plus critique pour les composants qui ont des privilèges système, puisqu’ils peuvent faire tout et n’importe quoi sur votre téléphone. Et il est particulièrement impossible de faire confiance à ces composants non libres qui communiquent régulièrement des données à d’autres ordinateurs, comme ces services Google. Certes, il est vrai que ces composants sont déjà inclus dans la plupart des téléphones Android dans le monde, et il est aussi vrai qu’il y a très peu d’appareils qui fonctionnent vraiment sans aucun composant non libre, donc de mon point de vue, ce n’est pas problématique en soi de les utiliser quand ils sont disponibles. Mais rendre leur utilisation obligatoire implique d’exclure les personnes qui ont besoin d’un niveau de sécurité supérieur (même s’ils sont disponibles !) ; ou qui utilisent des versions alternatives plus sécurisées d’Android, comme CopperheadOS ; ou simplement qui ont un téléphone sans ces services Google (très courant dans les pays en voie de développement). Au final, Signal créé un « effet réseau » qui dissuade d’améliorer la confiance globale d’un appareil mobile, parce qu’il punit les utilisateurs qui le font. Cela discrédite beaucoup de promesses faites par ses auteurs.

Et voici le pire : Open Whisper Systems, non seulement, ne supporte pas les systèmes complètements libres, mais a également menacé de prendre des mesures légales afin d’empêcher les développeurs indépendants de proposer une version modifiée de l’application client Signal qui fonctionnerait sans les composants propriétaires de Google et pourrait toujours interagir avec les autres utilisateurs de Signal ([1] [2] [3]). À cause de cela, des projets indépendants comme LibreSignal sont actuellement bloqués. En contradiction avec leur licence libre, ils s’opposent à tout client du réseau qu’ils ne distribuent pas. De ce point de vue, l’application Signal est moins utilisable et moins fiable que par exemple Telegram qui encourage les clients indépendants à utiliser leurs serveurs et qui propose des versions entièrement libres.

Juste pour que je ne donne pas de mauvaise impression : je ne crois pas qu’il y ait une sorte de conspiration entre Google et Moxie Marlinspike, et je les remercie de mettre au clair leur position de manière amicale (au moins dans leur dernière déclaration), mais je pense que la protection agressive de leur marque et leur insistance à contrôler tous les logiciels clients de leur réseau met à mal la lutte globale pour des communications fiables.

Décentralisation, contrôle par les distributeurs et métadonnées

Un aspect important d’un réseau de communication est sa topologie, c’est-à-dire la façon dont le réseau est structuré. Comme le montre l’image ci-dessous, il y a plusieurs approches, toutes (plus ou moins) largement répandues. La section précédente concernait ce qui se passe sur votre téléphone, alors que celle-ci traite de ce qui se passe sur les serveurs, et du rôle qu’ils jouent. Il est important de noter que, même dans des réseaux centralisés, certaines communications ont lieu en pair-à-pair (c’est-à-dire sans passer par le centre) ; mais ce qui fait la différence, c’est qu’il nécessitent des serveurs centraux pour fonctionner.

Réseaux centralisés

Les réseaux centralisés sont les plus courants : toutes les applications mentionnées plus haut (WhatsApp, Telegram, Signal, Threema, Allo) reposent sur des réseaux centralisés. Bien que beaucoup de services Internet ont été décentralisés dans le passé, comme l’e-mail ou le World Wide Web, beaucoup de services centralisés ont vu le jour ces dernières années. On peut dire, par exemple, que Facebook est un service centralisé construit sur la structure WWW, à l’origine décentralisée.

Les réseaux centralisés font souvent partie d’une marque ou d’un produit plus global, présenté comme une seule solution (au problème des SMS, dans notre cas). Pour les entreprises qui vendent ou qui offrent ces solutions, cela présente l’avantage d’avoir un contrôle total sur le système, et de pouvoir le changer assez rapidement, pour offrir (ou imposer) de nouvelles fonctionnalités à tous les utilisateurs.

Même si l’on suppose que le service fournit un chiffrement de bout en bout, et même s’il existe une application cliente en logiciel libre, il reste toujours les problèmes suivants :

métadonnées : le contenu de vos messages est chiffré, mais l’information qui/quand/où est toujours accessible pour votre fournisseur de service
déni de service : le fournisseur de service ou votre gouvernement peuvent bloquer votre accès au service

Il y a également ce problème plus général : un service centralisé, géré par un fournisseur privé, peut décider quelles fonctionnalités ajouter, indépendamment du fait que ses utilisateurs les considèrent vraiment comme des fonctionnalités ou des « anti-fonctionnalités », par exemple en indiquant aux autres utilisateurs si vous êtes « en ligne » ou non. Certaines de ces fonctionnalités peuvent être supprimées de l’application sur votre téléphone si c’est du logiciel libre, mais d’autres sont liées à la structure centralisée. J’écrirai peut-être un jour un autre article sur ce sujet.

Métadonnées

Comme expliqué précédemment, les métadonnées sont toutes les données qui ne sont pas le message. On pourrait croire que ce ne sont pas des données importantes, mais de récentes études montrent l’inverse. Voici des exemples de ce qu’incluent les métadonnées : quand vous êtes en ligne, si votre téléphone a un accès internet, la date et l’heure d’envoi des messages et avec qui vous communiquez, une estimation grossière de la taille du message, votre adresse IP qui peut révéler assez précisément où vous vous trouvez (au travail, à la maison, hors de la ville, et cætera), éventuellement aussi des informations liées à la sécurité de votre appareil (le système d’exploitation, le modèle…). Ces informations sont une grande menace contre votre vie privée et les services secrets américains les utilisent réellement pour justifier des meurtres ciblés (voir ci-dessus).

La quantité de métadonnées qu’un service centralisé peut voir dépend de leur implémentation précise. Par exemple, les discussions de groupe avec Signal et probablement Threema sont implémentées dans le client, donc en théorie le serveur n’est pas au courant. Cependant, le serveur a l’horodatage de vos communications et peut probablement les corréler. De nouveau, il est important de noter que si le fournisseur de service n’enregistre pas ces informations par défaut (certaines informations doivent être préservées, d’autres peuvent être supprimées immédiatement), il peut être forcé à enregistrer plus de données par des agences de renseignement. Signal (comme nous l’avons vu) ne fonctionne qu’avec des composants non-libres de Google ou Apple qui ont alors toujours une part de vos métadonnées, en particulier votre adresse IP (et donc votre position géographique) et la date à laquelle vous avez reçu des messages.

Pour plus d’informations sur les métadonnées, regardez ici ou là.

Déni de service

Un autre inconvénient majeur des services centralisés est qu’ils peuvent décider de ne pas vous servir du tout s’ils le veulent ou qu’ils y sont contraints par la loi. Comme nombre de services demandent votre numéro lors de l’enregistrement et sont opérés depuis les États-Unis, ils peuvent vous refuser le service si vous êtes cubain par exemple. C’est particulièrement important puisqu’on parle de chiffrement qui est grandement régulé aux États-Unis.

L’Allemagne vient d’introduire une nouvelle loi antiterroriste dont une partie oblige à décliner son identité lors de l’achat d’une carte SIM, même prépayée. Bien que l’hypothèse soit peu probable, cela permettrait d’établir une liste noire de personnes et de faire pression sur les entreprises pour les exclure du service.

Plutôt que de travailler en coopération avec les entreprises, un gouvernement mal intentionné peut bien sûr aussi cibler le service directement. Les services opérés depuis quelques serveurs centraux sont bien plus vulnérables à des blocages nationaux. C’est ce qui s’est passé pour Signal et Telegram en Chine.

Réseaux déconnectés

Lorsque le code source du serveur est libre, vous pouvez monter votre propre service si vous n’avez pas confiance dans le fournisseur. Ça ressemble à un gros avantage, et Moxie Marlinspike le défend ainsi :

Avant vous pouviez changer d’hébergeur, ou même décider d’utiliser votre propre serveur, maintenant les utilisateurs changent simplement de réseau complet. […] Si un fournisseur centralisé avec une infrastructure ouverte modifiait affreusement ses conditions, ceux qui ne seraient pas d’accord ont le logiciel qu’il faut pour utiliser leur propre alternative à la place.

Et bien sûr, c’est toujours mieux que de ne pas avoir le choix, mais la valeur intrinsèque d’un réseau « social » vient des gens qui l’utilisent et ce n’est pas évident de changer si vous perdez le lien avec vos amis. C’est pour cela que les alternatives à Facebook ont tant de mal. Mme si elles étaient meilleures sur tous les aspects, elles n’ont pas vos amis.

Certes, c’est plus simple pour les applications mobiles qui identifient les gens via leur numéro, parce qu’au moins vous pouvez trouver vos amis rapidement sur un nouveau réseau, mais pour toutes les personnes non techniciennes, c’est très perturbant d’avoir 5 applications différentes juste pour rester en contact avec la plupart de ses amis, donc changer de réseau ne devrait qu’être un dernier recours.

Notez qu’OpenWhisperSystems se réclame de cette catégorie, mais en fait ils ne publient que des parties du code du serveur de Signal, de sorte que vous ne soyez pas capables de monter un serveur avec les mêmes fonctionnalités (plus précisément la partie téléphonie manque).

La fédération

La fédération est un concept qui résout le problème mentionné plus haut en permettant en plus aux fournisseurs de service de communiquer entre eux. Donc vous pouvez changer de fournisseur, et peut-être même d’application, tout en continuant à communiquer avec les personnes enregistrées sur votre ancien serveur. L’e-mail est un exemple typique d’un système fédéré : peu importe que vous soyez tom@gmail.com ou jeanne@yahoo.com ou même linda@serveur-dans-ma-cave.com, tout le monde peut parler avec tout le monde. Imaginez combien cela serait ridicule, si vous ne pouviez communiquer qu’avec les personnes qui utilisent le même fournisseur que vous ?

L’inconvénient, pour un développeur et/ou une entreprise, c’est de devoir définir publiquement les protocoles de communication, et comme le processus de standardisation peut être compliqué et très long, vous avez moins de flexibilité pour modifier le système. Je reconnais qu’il devient plus difficile de rendre les bonnes fonctionnalités rapidement disponibles pour la plupart des gens, mais comme je l’ai dit plus haut, je pense que, d’un point de vue de la vie privée et de la sécurité, c’est vraiment une fonctionnalité, car plus de gens sont impliqués et plus cela diminue la possibilité pour le fournisseur d’imposer des fonctionnalités non souhaitées aux utilisateurs ; mais surtout car cela fait disparaître « l’effet d’enfermement ». Cerise sur le gâteau, ce type de réseau produit rapidement plusieurs implémentations du logiciel, à la fois pour l’application utilisateur et pour le logiciel serveur. Cela rend le système plus robuste face aux attaques et garantit que les failles ou les bugs présents dans un logiciel n’affectent pas le système dans son ensemble.

Et, bien sûr, comme évoqué précédemment, les métadonnées sont réparties entre plusieurs fournisseurs (ce qui rend plus difficile de tracer tous les utilisateurs à la fois), et vous pouvez choisir lequel aura les vôtres, voire mettre en place votre propre serveur. De plus, il devient très difficile de bloquer tous les fournisseurs, et vous pouvez en changer si l’un d’entre eux vous rejette (voir « Déni de service » ci-dessus).

Une remarque au passage : il faut bien préciser que la fédération n’impose pas que des métadonnées soient vues par votre fournisseur d’accès et celui de votre pair. Dans le cas de la messagerie électronique, cela représente beaucoup, mais ce n’est pas une nécessité pour la fédération par elle-même, c’est-à-dire qu’une structure fédérée bien conçue peut éviter de partager les métadonnées dans les échanges entre fournisseurs d’accès, si l’on excepte le fait qu’il existe un compte utilisateur avec un certain identifiant sur le serveur.

Alors est-ce qu’il existe un système identique pour la messagerie instantanée et les SMS ? Oui, ça existe, et ça s’appelle XMPP. Alors qu’initialement ce protocole n’incluait pas de chiffrement fort, maintenant on y trouve un chiffrement du même niveau de sécurité que pour Signal. Il existe aussi de très bonnes applications pour mobile sous Android (« Conversations ») et sous iOS (« ChatSecure »), et pour d’autres plateformes dans le monde également.

Inconvénients ? Comme pour la messagerie électronique, il faut d’abord vous enregistrer pour créer un compte quelque part et il n’existe aucune association automatique avec les numéros de téléphone, vous devez donc convaincre vos amis d’utiliser ce chouette nouveau programme, mais aussi trouver quels fournisseur d’accès et nom d’utilisateur ils ont choisis. L’absence de lien avec le numéro de téléphone peut être considérée par certains comme une fonctionnalité intéressante, mais pour remplacer les SMS ça ne fait pas l’affaire.

La solution : Kontalk, un client de messagerie qui repose sur XMPP et qui automatise les contacts via votre carnet d’adresses. Malheureusement, cette application n’est pas encore aussi avancée que d’autres mentionnées plus haut. Par exemple, il lui manque la gestion des groupes de discussion et la compatibilité avec iOS. Mais Kontalk est une preuve tangible qu’il est possible d’avoir avec XMPP les mêmes fonctionnalités que l’on trouve avec WhatsApp ou Telegram. Selon moi, donc, ce n’est qu’une question de temps avant que ces solutions fédérées ne soient au même niveau et d’une ergonomie équivalente. Certains partagent ce point de vue, d’autres non.

Réseaux pair à pair

Les réseaux pair à pair éliminent complètement le serveur et par conséquent toute concentration centralisée de métadonnées. Ce type de réseaux est sans égal en termes de liberté et il est pratiquement impossible à bloquer par une autorité. ToX est un exemple d’application pair à pair, ou encore Ricochet (pas pour mobile cependant), et il existe aussi Briar qui est encore en cours de développement, mais ajoute l’anonymat, de sorte que même votre pair ne connaît pas votre adresse IP. Malheureusement il existe des problèmes de principe liés aux appareils mobiles qui rendent difficile de maintenir les nombreuses connexions que demandent ces réseaux. De plus il semble impossible pour le moment d’associer un numéro de téléphone à un utilisateur, si bien qu’il est impossible d’avoir recours à la détection automatique des contacts.

Je ne crois pas actuellement qu’il soit possible que ce genre d’applications prenne des parts de marché à WhatsApp, mais elles peuvent être utiles dans certains cas, en particulier si vous êtes la cible de la surveillance et/ou membre d’un groupe qui décide collectivement de passer à ces applications pour communiquer, une organisation politique par exemple.

 

En deux mots

• La confidentialité de nos données privées est l’objet d’un intérêt accru et les utilisateurs cherchent activement à se protéger mieux.
• On peut considérer que c’est un bon signe quand les distributeurs principaux de logiciels comprennent qu’ils doivent réagir à cette situation en ajoutant du chiffrement à leurs logiciels ; et qui sait, il est possible que ça complique un peu la tâche de la NSA.
• Toutefois, il n’y a aucune raison de leur faire plus confiance qu’auparavant, puisqu’il n’existe aucun moyen à notre disposition pour savoir ce que font véritablement les applications, et parce qu’il leur reste beaucoup de façons de nous espionner.
• Si en ce moment vous utilisez WhatsApp, Skype, Threema ou Allo et que vous souhaitez avoir une expérience comparable, vous pouvez envisager de passer à Telegram ou Signal. Ils valent mieux que les précédents (pour diverses raisons), mais ils sont loin d’être parfaits, comme je l’ai montré. Nous avons besoin à moyen et long terme d’une fédération.
• Même s’ils nous paraissent des gens sympas et des hackers surdoués, nous ne pouvons faire confiance à OpenWhisperSystemspour nous délivrer de la surveillance, car ils sont aveugles à certains problèmes et pas très ouverts à la coopération avec la communauté.
• Des trucs assez sympas sse préparent du côté du XMPP, surveillez Conversations, chatSecure et Kontalk. Si vous le pouvez, soutenez-les avec du code, des dons et des messages amicaux.
• Si vous souhaitez une approche sans aucune métadonnée et/ou anonymat, essayez Tor ou ToX, ou attendez Briar.