Mise à jour de la base de données, veuillez patienter...

Une révision du règlement eIDAS, qui régule les procédures électroniques transfrontières pour l’identification, l’authentification et la certification de sites web au sein de l’UE, est en ce moment étudiée par l’Union européenne. L’article 45 de la proposition concerne l’un des mécanismes clés de la sécurité web pour vérifier si un site sécurisé est celui qu’il prétend être. Chaque navigateur web possède une liste d’ « Autorités de certification racine » (appelées « Root Certificate Authorities » ou « Root CAs » en anglais) jugées dignes de confiance pour, dit simplement, valider les certificats TLS (pour « Transport Layer Security », certificats destinés à garantir la sécurité de la connexion Internet) utilisés par les sites. Chaque éditeur de navigateur web – tel que Mozilla, Google, Apple et Microsoft – dirige son propre programme d’audit indépendant pour valider ces Autorités de certification.
Problème : l’article 45.2 du règlement eIDAS révisé obligerait ces programmes à valider et intégrer automatiquement certaines Autorités de certification soutenues par les États membres de l’Union Européenne, qu’elles remplissent ou non les critères de sécurité exigés jusque-là par les navigateurs web. L’adoption de cette proposition créerait un dangereux précédent mondial : le risque, bien réel, est ni plus ni moins que de rendre possible l’abaissement du niveau de sécurité web pour les internautes.

Naviguer sur un site sécurisé sur Internet est rendu possible grâce à une série d’opérations de vérification et d’audits de sécurité. Ceci permet de s’assurer que le site est bien celui qu’il prétend être et que les informations qui transitent entre le navigateur et le site en question sont chiffrées de manière confidentielle.

Pour cela, le navigateur web vérifie deux choses :
1) que le certificat TLS d’authentification utilisé par le site sécurisé est valide et digne de confiance.
2) que l’Autorité de certification qui a validé et signé ce certificat est digne de confiance.

Si ces conditions ne sont pas réunies, le navigateur vous préviendra que le site est peut-être malveillant. Ce sont les fameux messages que vous avez sans doute déjà rencontrés : « Attention risque probable de sécurité » sur Firefox ou « Votre navigation n’est pas privée » sur Chrome.

Si une Autorité de certification rencontre des défaillances en termes de sécurité, il devient possible pour des acteurs malveillants d’émettre des faux certificats TLS, par exemple pour des sites très fréquentés comme www.google.com. Les attaquants peuvent ensuite consulter le trafic des internautes qui tapent leur requête sur le site malveillant qui se fait passer pour www.google.com. Ce type d’attaque a été conduit par le passé contre de multiples Autorités de certification en raison de failles de sécurité sur leurs systèmes (par exemple DigiNotar CA et Comodo CA en 2011).

Des acteurs étatiques malveillants qui veulent mener des opérations de surveillance de masse dans leur pays peuvent aussi créer et contrôler une Autorité de certification pour contourner les protocoles de sécurité sur Internet. Tous les certificats émis par l’Autorité de certification en question peuvent alors potentiellement être utilisés pour espionner les communications des internautes ciblés.

Pour limiter les risques pour leurs utilisateur·rice·s, les navigateurs web auditent et sélectionnent de manière indépendante les Autorités de certification qui sont jugées dignes de confiance. Les critères de validation sont consultables en ligne, tel le « Root Program » de Mozilla ou celui d’Apple.

En cas de problème de sécurité, les navigateurs peuvent décider de ne pas inclure ou de retirer une Autorité de certification de leurs listes. Par exemple, une Autorité de certification gérée par le gouvernement du Kazakhstan a été bloquée de concert par Google, Apple et Mozilla en 2019. Autre exemple en 2014, lorsque Google avait détecté des faux certificats pour des noms de domaines de Google émis par le centre national d’informatique du gouvernement indien suite à une faille de sécurité : ceux-ci étaient alors inclus dans le « Root Store » de Microsoft, qui a dû les révoquer.
Le processus d’évaluation pour révoquer ou rejeter une Autorité de certification est particulièrement transparent dans le cas des programmes publics à but non lucratif : Mozilla documente ainsi publiquement les audits et les problèmes rencontrés, comme dans le cas de la révocation en 2019 du CA français Certinomis.

Que propose la nouvelle révision du règlement eIDAS ?

La version initiale du règlement eIDAS a été adoptée en 2014 pour fournir « la base des procédures électroniques transfrontières pour l’identification, l’authentification et la certification de sites web au sein de l’UE » (dossier de presse).
Concrètement, le règlement a pour ambition de réguler la manière dont les transactions électroniques s’effectuent au sein de l’Union Européenne, en établissant, pour citer l’ANSSI, un « socle commun pour les interactions sécurisées entre les citoyens, les entreprises et les autorités publiques ».

La section 8 du règlement est dédiée à l’ « Authentification de site internet ». L’article 45 présente les « Exigences applicables aux certificats qualifiés d’authentification de site internet » qui sont fixées à l’annexe IV. Ces certificats qualifiés (« Qualified Web Authentication Certificates », ou QWAC en anglais) sont délivrés par des prestataires de service de confiance (« Trust Service Providers » ou TSP) régis par le règlement eIDAS et qui sont des Autorités de certification soutenues par les gouvernements des États membres de l’Union Européenne.

L’article 45.2 de la proposition de révision pose que « Les certificats qualifiés d’authentification de site internet visés au paragraphe 1 sont reconnus par les navigateurs internet. À cette fin, les navigateurs garantissent que les données d’identité fournies au moyen de l’une des méthodes s’affichent de manière conviviale. À l’exception des entreprises considérées comme des micro et petites entreprises au sens de la recommandation 2003/361/CE de la Commission pendant leurs cinq premières années d’activité en tant que prestataires de services de navigation sur internet, les navigateurs acceptent les certificats qualifiés d’authentification de site internet visés au paragraphe 1 et garantissent l’interopérabilité avec ces derniers. »

Ceci implique que les navigateurs webs sont légalement tenus de reconnaître ces certificats qualifiés comme valides, et donc d’intégrer dans leur liste de confiance les prestataires de service de confiance régis par eIDAS.

Quelles sont les conséquences de cette révision pour les internautes ?

Malheureusement, ces certificats qualifiés d’authentification posent plusieurs problèmes de sécurité et d’interopérabilité dans leur modèle d’implémentation. Depuis leur introduction en 2014, ils n’ont donc pas été adoptés dans l’écosystème web. La Common CA Database, une initiative rassemblant plusieurs éditeurs de navigateurs web autour de la gestion des Autorités de certification et gérée par la fondation à but non-lucratif Mozilla, expose en détails les problèmes techniques rencontrés par les navigateurs avec les spécifications proposées pour les certificats qualifiés : notamment son absence de compatibilité avec le fonctionnement technique des navigateurs web et du déploiement de TLS sur les site, ainsi que ses manques en terme de respect de la vie privée des internautes.

Concrètement, l’article 45.2 reviendrait à obliger les navigateurs web à accepter des prestataires de service de confiance régis par eIDAS, même s’ils ne remplissent pas les critères de sécurité exigés habituellement par les navigateurs. Le risque que des certificats soient émis et utilisés à des fins malveillantes par des cybercriminels serait accru. C’est sur quoi alertent trente-cinq experts mondiaux en cybersécurité et en cryptographie dans une lettre ouverte adressée aux membres du Parlement Européen et publiée sur le site de l’organisation à but non lucratif Electronic Frontier Foundation en mars 2022.

Pire, si une Autorité de certification intégrée à la liste de confiance des navigateurs est vulnérable à des problèmes de sécurité, les navigateurs web ne seraient pas légalement en mesure de refuser ou de retirer l’Autorité de certification de leur liste de confiance pour protéger les internautes.

Par ailleurs, les connaissances techniques en sécurité peuvent vite évoluer : la découverte d’une nouvelle faille de sécurité peut requérir une réponse rapide de la part des éditeurs de navigateurs web afin de protéger les internautes, par exemple en retirant une Autorité de certification du « Root Store ». De plus, les règles de gestion des « Root Store » sont mises à jour régulièrement afin de suivre les évolutions technologiques et se protéger contre les tentatives des acteurs malveillants qui tentent de les contourner. Cette réactivité (quelques semaines) n’est malheureusement pas compatible avec les délais requis pour des changements législatifs (un an ou plus).

Enfin, si elle était adoptée, cette proposition de révision du règlement eIDAS créerait un précédent au niveau mondial. Les navigateurs web pourraient dès lors difficilement refuser ou retirer une Autorité de certification racine provenant d’un autre gouvernement qui ne respecterait pas les critères de sécurité requis. Des tentatives précédentes, au Kazakhstan comme mentionné précédemment ou en Iran comme l’explique l’ONG Article19, prouvent qu’il s’agit d’un danger bien réel. Autre exemple plus récent : suite au retrait de plusieurs Autorités de certification en Russie pour sanctionner la guerre qu’elle mène en Ukraine, le gouvernement russe a dû mettre en place une Autorité de certification de remplacement pour assurer le fonctionnement de plusieurs de ses sites web et a demandé aux internautes d’autoriser manuellement cette Autorité au sein de leur navigateur. Si cette opération peut être justifiée par un motif légitime et qu’il n’y pour l’instant aucune preuve qu’elle ait été rendue obligatoire et utilisée à des fins de surveillance, elle a aussi pour conséquence de rendre possible, justement, la surveillance de masse de la population russe comme le souligne l’Electronic Frontier Foundation.

Bien que cela ne soit clairement pas l’intention visée, la proposition du règlement eIDAS risque de normaliser des dispositifs jusque-là largement condamnés au sein de l’Union Européenne et hors de ses frontières.

Par ailleurs, ce n’est pas la première fois que l’Union Européenne cherche à intervenir directement sur les technologies et l’infrastructure d’Internet. Les controverses autour de la nouvelle directive Network and System of Information Security (NIS2), de la proposition d’établissement d’un DNS européen DNS4EU ou même du Digital Service Act témoignent de cette nouvelle volonté d’intervention directe de l’UE sur les technologies/l’infrastructure et de sa légitimation à travers des biais sécuritaires et économiques, mais qui peuvent aussi avoir des conséquences dommageables sur l’interopérabilité des systèmes et la sécurité des internautes.

Nous nous joignons donc à Mozilla et à l’Electronic Frontier Foundation pour alerter sur les dangers introduits par l’article 45.2 de la proposition de révision du règlement eIDAS.
Nous appelons en conséquence le gouvernement et les élus français à demander la modification ou le retrait de l’article 45.2 afin que les navigateurs web restent en mesure de protéger les internautes en appliquant des standards élevés en termes de sécurité et de transparence.

Comme nous l’avons expliqué dans notre premier article, Internet est une collection de connexions entre des ordinateurs. Alors, quand ces connexions cassent, la première chose évidente à faire est donc de réparer des câbles, d’en tirer de nouveaux ! Mais comment faire ?

Avant toute chose, il faut considérer quel est votre domaine d’intervention, et la raison de la coupure (pour ça on vous renvoie à notre article précédent). Si c’est une coupure logicielle, une censure, il est possible de la contourner en utilisant un VPN, ou de tenter une connexion via le logiciel TOR. Si vous savez faire, vous pouvez même mettre en place un serveur VPN.

Mais parfois ce sont les câbles qui sont endommagés, comme l’actualité récente nous le rappelle. Et, même si ces câbles sont toujours présents, il se peut que des militant·es ou des résistant·es aient décidé de s’attaquer à des infrastructures contrôlées par le gouvernement, auquel cas il ne faut pas forcément s’attendre à ce que la connexion soit rétablie rapidement.

Alors, en fonction de votre contexte, il faudra décider quelle serait la marche à suivre la plus utile : vous reconnecter à l’Internet mondial directement, ou plutôt créer un réseau de communication Internet local. Créer un réseau de communication local, sous le contrôle de votre communauté, peut être réalisé avant la coupure, pour l’anticiper, et il pourra être raccordé dans un second temps à l’Internet global, si vous vous trouvez dans un contexte ne le permettant pas dans l’immédiat.

Nous allons donc étudier comment nous ferions pour créer un réseau Internet local sous notre contrôle dans un premier temps. Puis nous verrons comment nous raccorder au reste de l’Internet. Au passage, nous verrons des solutions qui nous permettent de nous reconnecter à l’Internet global en urgence, sans avoir besoin de créer un nouveau réseau de toutes pièces.

Pour créer un réseau, le plus utile serait d’interconnecter votre quartier, votre village ou votre immeuble. Vu qu’il est rare d’avoir accès à de la fibre optique et que trouver une quantité de câbles suffisante sera compliqué dans l’urgence, il s’agit plutôt ici d’une tactique à moyen-long terme. Évidemment, faire des stocks au cas où n’est peut-être pas une mauvaise idée.

L’Internet n’étant qu’un assemblage de réseaux (Inter-Net), construire votre partie d’Internet n’est pas si difficile : vous en avez déjà un bout chez vous aujourd’hui. En cas de coupure, vous pouvez jeter un câble par la fenêtre, le brancher chez votre voisin·e, et vous voilà reparti·e.

Une solution possible serait d’aménager des points d’accès dans votre quartier, reliés entre eux par des câbles Ethernet, eux-mêmes reliés par des routeurs, le tout complété par des bornes Wi-Fi et des serveurs pour héberger des services de stockage et d’échange de données. Un bon exemple est la PirateBox, un système que n’importe quel ordinateur peut héberger et qui contient un forum, un tchat en temps réel et un service d’échange de fichiers.

C’est cette solution qui a été mise en place à Cuba, où l’Internet a été posé dans les villes par les habitant·es. Avec des switchs Ethernet, de vieux PCs et des câbles Ethernet courant d’une maison à une autre, les cubain·es ont installé ce qu’iels appelaient le Street-Net.

Et en Europe ?

L’AMAP des Internets

Pour des raisons de rentabilité et à cause de choix de politique industrielle, les quatre gros Fournisseurs d’Accès Internet français laissent de côté certaines personnes, notamment les personnes dont le droit au logement est bafoué. C’est là que les FAI associatifs jouent un rôle essentiel. Les FAI associatifs, en France comme ailleurs dans le monde, fonctionnent sans une logique de profit, mais en répondant aux besoins de leurs adhérent·es. Pour la petite histoire, le plus ancien fournisseur d’accès à Internet en France qui soit encore en activité aujourd’hui est un FAI associatif fondé en 1992 : il s’agit de French Data Network.

Nous avons rencontré Sacha, membre d’Aquilenet, un Fournisseur d’Accès Internet associatif bordelais. Aquilenet fait partie d’une fédération de FAI, dont FDN fait également partie, ce qui leur permet de partager une partie de leur infrastructure technique. Si un FAI a des soucis, la solidarité entre les membres de la fédération lui permettra de continuer à exister. C’est en contraste total avec la compétition entre FAI commerciaux. Les AMAP (Associations pour le Maintien d’une Agriculture Paysanne) fonctionnent également sur une principe de coopération entre fournisseurs et consommateurs, d’où ce rapprochement.

L’auto-organisation commune des FAI associatifs, des militant·es du logement et des personnes dont les droits au logement ne sont pas respectés, leur permet d’être en ligne malgré tout. Eux vivent au quotidien la coupure que nous redoutons tou·tes, voyons comment iels font face à cette situation.

Tu dis avoir installé l’Internet dans un squat, est-ce que tu pourrais nous dire pourquoi est-ce que des FAI classiques ne pouvaient pas le faire ?
Les FAI classiques peuvent le faire, mais leur procédure ne le permet pas, notamment sur les aspects bancaires. Quand tu es en squat, produire un RIB n’est pas forcément évident. D’autre part beaucoup de FAI imposent un engagement sur une durée assez longue pour qu’ils puissent amortir des frais de mise en service qui sont cachés. Et dans les raisons d’annulation de cet engagement prévues par les FAI il n’y a pas la case « mon squat s’est fait expulser »…

Comment avez-vous fait, techniquement ?
Comme notre FAI associatif fabrique des bouts d’Internet nous avons plusieurs solutions. On peut par exemple demander à des voisin·es s’iels veulent partager leur accès, tout en leur garantissant qu’iels ne prennent aucun risque : le squat passera par un VPN, ce ne sera jamais leur adresse IP qui sera vue. Avec cette technique, on a pu fournir de l’Internet avec un relais wifi directionnel et un « partageur » situé à quelques kilomètres… Pour un autre squat, c’est un particulier qui a payé la fibre pour un an : nous avons pris l’abonnement et fait la desserte locale avec un équipement à nous, pour utiliser une adresse IP de Aquilenet qui nous garantit d’être les premiers avertis en cas de recours judiciaire. Et nous en avons profité pour lancer des ateliers de formation numérique aux exilé·es.

Comment s’est faite l’installation, d’un point de vue organisationnel ?
Souvent nous avons des personnes des squats qui nous sollicitent. Cela nous fait un contact avec qui on peut avancer. Nous savons que le matériel que nous installons peut disparaître en cas d’expulsion, généralement nos contacts le mettent de côté au moment voulu. Sinon nous avons des bénévoles qui participent à la mise en œuvre technique, nous affichons en gros sur un des murs du squat le mot de passe du wifi et c’est tout, nous les laissons en avoir l’usage qu’iels souhaitent.

Est-ce qu’il y a eu des soucis que vous n’avez pas réussi à résoudre ?
Je cherche… mais je ne vois pas. Le plus dur dans le cas des partageurs c’est la peur, souvent liée à la méconnaissance. Mais s’iels sont prêts à écouter nos arguments, on arrive à trouver un terrain d’entente et cela tisse des liens entre squatteureuses et partageureuses. Enfin ce sur quoi on n’arrive pas à avancer, c’est que ces squats soient pérennisés, que l’on traite et accueille décemment des demandeureuses de logement. Nous nous rendons compte qu’après l’eau et l’électricité, Internet est important pour aider à s’organiser dans ces situations difficiles.

Penses-tu que, en dehors d’un squat, ce genre d’installation serait possible, et pourquoi ?
On le fait ailleurs, c’est notre activité de FAI associatif : on est une sorte d’AMAP de l’Internet. On fait de l’hébergement associatif, on a un centre d’hébergement où tu peux venir avec ton ordi et le laisser branché sur Internet, on fournit du VPN, de l’ADSL et maintenant la Fibre. Du coup on aide pas mal de petites structures autour du numérique.

Il est donc possible avec un peu de connaissances techniques, peu de moyens et surtout l’entraide en groupe, de monter une infrastructure Internet utile et fonctionnelle. Merci à Sacha d’avoir répondu à nos questions !

Internet, sans câbles et sans électricité

Vous remarquerez que se faire un petit net est donc possible. Mais évidemment, cela demande de l’électricité. Dans les cas où les catastrophes naturelles font tomber le réseau électrique, c’est intéressant de voir comment faire tourner le nouveau réseau sur des sources d’énergie résilientes. Quitte à reconstruire le réseau, autant lui donner une meilleure résilience…

C’est notamment ce sur quoi travaille Télécoms sans frontière, avec qui nous avons également discuté pour écrire cet article. Vous pouvez lire les articles qu’iels écrivent pour rendre compte de leurs missions et vous inspirer par exemple de leurs actions à Haïti, après un tremblement de terre.

Un moyen sur lequel nous pouvons compter dans certains cas, c’est les connexions par satellite. La connexion à Internet via satellite existe depuis longtemps, mais jusqu’à récemment les prix et les performances de ces systèmes les rendaient peu accessibles au grand public. Et bien que les nouveaux systèmes du style Starlink ne soient pas encore totalement au point, ça peut être une solution pour relier son réseau local au réseau mondial. Si vous avez une telle connexion, n’hésitez pas à la partager avec votre communauté.

À votre échelle, vous pouvez déjà construire vous-même une Piratebox solaire en suivant ce guide. Ou même faire un site web solaire, dans une démarche plus low-tech.

Les énergies renouvelables devraient nous assurer une alimentation résiliente pour nos ordinateurs. Mais pour ce qui est de l’interconnexion entre notre ordinateur et le reste de l’Internet, il reste le problème des câbles. Et le gros souci des câbles, eh bien ce sont les câbles eux-mêmes. Un câble, ça coûte cher, ça pèse son poids, c’est difficile à déplacer et à entretenir. La solution évidente à cela est de ne pas utiliser de câbles. Alors utilisons des ondes radio !

Les réseaux « mesh »

Quand le réseau câblé traditionnel fait faillite, des réseaux ad-hoc passant par ondes radio peuvent prendre le relais pour maintenir un minimum vital de communication. Ils peuvent également exister en parallèle. Les réseaux mesh, de l’anglais mesh – filet/maille -, sont, comme ces derniers, des réseaux tissés de nœuds, en proximité les uns des autres. Utiliser des réseaux radio est efficace, plus facile à déployer et plus difficile à démanteler. C’est sur cette technologie que se base un FAI associatif de New York, NYC Mesh.

Utiliser de la radio nous permet d’avoir une grande portée et donc de couvrir de larges zones sans avoir besoin de relier individuellement chaque personne voulant se connecter à un câble. Et la radio nous permet aussi de traverser des endroits qui seraient sinon difficilement franchissables par câble.

Quand on parle de radio, on peut utiliser autant de la FM traditionnelle, dite radio Très et Ultra Haute Fréquence, que de la Wi-Fi. Mais il existe aussi d’autres types d’ondes radio, comme le LoRaWAN, acronyme de long-range wide-area network (« réseau étendu à longue portée »). Et à plus petite portée le Bluetooth peut faire l’affaire. À chaque fois, c’est un compromis à trouver entre la portée et la quantité de données que l’on peut transmettre.

Un des avantage des réseaux mesh c’est qu’ils peuvent être déployés à petite échelle, avec peu de moyens ! Donc si vous vous retrouvez coupé·e d’Internet et qu’il n’existe pas de réseau sous le contrôle de votre communauté, vous pouvez utiliser votre smartphone pour en créer un rapidement.

Un exemple de communication basé sur un réseau mesh est l’application Firechat, qui a été utilisée à travers le monde, par exemple à Hong Kong en 2014. Mais le développeur n’avait pas prévu son application pour de tels cas d’usage, et après avoir averti ses utilisateurices que leur sécurité n’était pas garantie, l’application ne reçoit désormais plus de mises à jour.

Heureusement, entre-temps, la voie ouverte par Firechat a été suivie de façon plus sérieuse par le projet Briar. Disponible pour le moment sur Android et en bêta pour d’autres plateformes, Briar intègre plusieurs canaux de communications pour être « résilitant » face à la censure, aux coupures, mais aussi à la surveillance.

Selon ses créateurices ;

Briar est une application de messagerie créée pour les activistes, journalistes et toute personne désirant une manière de communiquer qui soit sécurisée, simple et robuste. A contrario des applications classiques, Briar n’a pas besoin de serveurs centralisés – les messages sont synchronisés directement en pair à pair. Si l’Internet est coupé, Briar se synchronise via Bluetooth, Wi-Fi, permettant à l’information de circuler en temps en crise. Si l’Internet est disponible, Briar peut se synchroniser via le réseau Tor, afin de protéger les utilisateurices et leurs relations de la surveillance.

Source

Briar intègre des blogs, des forums et de la messagerie instantanée, le tout dans une seule application.

Avec le LoRa, un service comme Meshtastic vous permet de créer des groupes de discussion, et d’avoir une très haute portée sans avoir besoin d’Internet, là où Briar nécessite une densité élevée d’utilisateurices pour bien fonctionner. L’idéal serait de combiner les deux.

Vous pourriez aussi simplement créer un réseau Wi-Fi ouvert, sans mot de passe, et rediriger toutes les connexions vers un site web, hébergé localement. Et ensuite relier cet ordinateur au reste du réseau via une connexion satellite.

Lors du Printemps Arabe, un réseau de hackeureuses nommé Télécomix s’est organisé en solidarité avec les révolutionnaires pour leur permettre de rester connectés à l’Internet, épisode raconté dans un article de Médiapart. Ils ont notamment utilisé des ponts radio.

C’est un peu l’esprit du Mycelium Mesh Project, projet d’anarchistes étatsuniens, qui visent à pouvoir déployer rapidement des nœuds de communication sur les zones d’insurrection populaire, grâce à des réseaux mesh.

L’Internet des services

Une fois que vous avez remis en route le réseau physique, il faut maintenant qu’il y ait des sites web et des services auxquels accéder. Une chance pour nous, c’est que beaucoup d’efforts ont été faits ces derniers temps pour rendre cela plus facile.

Sans attendre une coupure, pour peu que vous sachiez héberger des sites web, n’hésitez pas à faire des copies miroir de sites web que vous visitez souvent, ou que vous considérez d’importance. C’est un peu ce que fait https://web.archive.org, mais plus on a de copies, mieux on est protégé. On se souvient des milliers de miroirs de The Pirate Bay qui ont émergés spontanément lors des tentatives de censure, ce qui fait que le site est toujours en ligne aujourd’hui.

Si en temps normal, vous utilisez les services des GAFAMs, style Google Drive, sachez qu’il existe des alternatives comme Nextcloud. Quand on fait son propre Internet, on peut installer des service comme Nextcloud et donc avoir notre « Cloud » hébergé par nos soins, ou le confier à notre communauté. Si vous avez un vieux PC, vous pouvez installer Yunohost dessus et héberger votre site web, ainsi qu’une pléthore de services. Le Collectif des Hébergeurs Alternatifs Transparents Ouverts Neutres et Solidaires propose aussi des services en accès libre, pour vous aider à vous dé-Googliser.

Est-ce possible de construire un internet résilient ?

Oui ! Évidemment, si nous vous en parlons c’est parce que ça existe. Est-ce que c’est possible à grande échelle ? Tout dépend de nos besoins, de notre volonté. Mais quand c’est nécessaire, comme à Cuba, c’est possible, et ça se fait. Sachez qu’en France aussi, c’est déjà le cas dans certains endroits. Par exemple, le 19 novembre 2017, quelques bénévoles d’Illyse, un FAI associatif, se sont rendus du côté de Vaugneray pour apporter une connexion Internet en « zone blanche », grâce à un lien établi par des antennes Wi-Fi haute portée.

Maintenant, tout ceci est bien beau, mais ça demande des savoir-faire, ou d’être en contact avec des personnes sachant faire. Alors, ne faudrait-il pas aussi savoir comment faire sans ? Sans Internet ? Ou comment former des groupes pouvant s’organiser sans ? Ce sera le sujet du troisième article. Aidez-nous à l’écrire en nous rejoignant sur nos groupes de discussions.

Le 26 avril 2022, le Conseil d’État a rejeté nos critiques contre l’utilisation massive de la reconnaissance faciale par la police dans le TAJ (« traitement des antécédents judiciaires »). Il s’agit d’une défaite cinglante, qui affirme encore davantage le Conseil d’État dans son rôle de défenseur de la surveillance de masse, sans plus aucune considération pour le respect des droits des personnes. Nous avons l’habitude de perdre et de ne pas nous résigner : trouvons dans cette défaite les futures pistes de notre lutte.

Surveillance massive et illégale

Il y a deux ans, nous attaquions le décret de 2012 qui avait créé le fichier TAJ en fusionnant le STIC, fichier de police, et le JUDEX, fichier de gendarmerie, relatifs aux enquêtes judiciaires et administratives. Il contient des informations à la fois sur les personnes mises en cause (peu importe qu’elles aient été condamnées ou non), sur les témoins et sur les victimes impliquées dans les enquêtes. Le TAJ est aujourd’hui tentaculaire : 19 millions de fiches sont présentes dans ce méga fichier (chiffres de 2018, dont on redoute qu’ils n’aient pu qu’augmenter depuis).

Surtout, et c’était l’objet de notre recours devant le Conseil d’État, le décret TAJ autorise les policiers à utiliser des logiciels de reconnaissance faciale pour consulter sa base de données. Les policiers peuvent automatiquement comparer une image captée par une caméra de surveillance, un téléphone ou sur Internet aux 8 millions de photographies présentes sur les fiches des personnes mises en cause (chiffres de 2018). Cette comparaison a lieu dans le cadre d’enquêtes comme de simples contrôles d’identité, comme l’expliquait le ministre de l’intérieur en 2021.

Introduit dans le droit en toute discrétion il y a près de 10 ans, à une époque où les outils de reconnaissance faciale n’étaient qu’en gestation, le recours à cette technologie est aujourd’hui généralisé. La police a utilisé le TAJ pour faire de la reconnaissance faciale 375 000 fois en 2019, soit plus de 1 000 traitements par jour partout en France (on en parlait notamment dans notre article récapitulatif sur l’état de la reconnaissance faciale en France, ici). En 2020, ce chiffre montait à 1200 interrogations quotidiennes du TAJ par reconnaissance faciale.

L’utilisation massive de cette technologie est pourtant interdite en application des règles du droit des données personnelles. Seules certaines situations exceptionnelles pourraient autoriser un tel traitement et, même dans ces situations exceptionnelles, la police ne pourrait y recourir qu’en cas de « nécessité absolue » – lorsqu’il n’existe absolument aucun autre moyen de poursuivre l’enquête. Nous avons expliqué au Conseil d’État qu’aucun de ces critères n’était jamais rempli en pratique. Rien ne permet de justifier des moyens aussi intrusifs et dangereux.

La fuite en avant du Conseil d’État

Et pourtant, le Conseil d’État a rejeté nos arguments. Il n’a pas nié les innombrables abus que nous lui pointions, mais nous a invité à les soumettre au cas par cas aux autorités (juges et CNIL) chargées d’en vérifier la légalité, plutôt qu’à lui. Comme si le Conseil d’État pouvait se contenter d’examiner la légalité du TAJ de façon abstraite sans se soucier de sa mise en œuvre pratique. Pourtant, justement, en pratique, le Conseil d’État sait très bien que les abus du TAJ sont si nombreux que la CNIL n’aura jamais les moyens de les détecter et de les stopper un à un. Il lui est matériellement impossible de contrôler a posteriori 1 000 opérations policières par jour. Présenter le contrôle de la CNIL et des juges comme une garantie suffisante pour pallier ces abus est une échappatoire malhonnête pour permettre le maintien de ces pratiques. C’est le propre de la surveillance de masse que d’échapper à tout encadrement crédible, et c’est cette évidence que le Conseil d’État a niée.

Si le Conseil d’État a refusé de prendre en compte dans sa décision les abus concrets du TAJ, il a quand même cherché à justifier la « nécessité absolue » de la reconnaissance faciale. Sa démonstration est si terrible que nous la restituons telle quelle : « eu égard au nombre de personnes mises en cause enregistrées dans [le TAJ], qui s’élève à plusieurs millions, il est matériellement impossible aux agents compétents de procéder manuellement à une telle comparaison » d’images, dont l’automatisation ne peut dès lors que « s’avérer absolument nécessaire à la recherche des auteurs d’infractions et à la prévention des atteintes à l’ordre public ». Autrement dit, le recours à des logiciels d’analyse d’images automatisée serait rendu nécessaire car le TAJ, abandonné à la police depuis 10 ans et sans aucun contrôle externe, est devenu si tentaculaire et absurde qu’il ne peut plus être exploité à son plein potentiel par des humains. Une surveillance de masse (le fichage généralisé) rend nécessaire une autre surveillance de masse (la reconnaissance faciale généralisée).

Un tel raisonnement circulaire permet au Conseil d’État de se détacher de toute considération quant au respect des libertés fondamentales. À aucun moment il ne saisit l’opportunité d’évaluer sérieusement la seule utilisation connue de la reconnaissance faciale en France, pourtant dénoncé depuis plusieurs années partout en Europe pour les graves dangers qu’elle fait peser sur nos libertés. Au contraire, il sort de son rôle pour n’analyser le fichier que du point de vue de sa potentielle utilité pour la police et ne pas corriger les dégâts causés depuis 10 ans. En abandonnant son rôle de gardien des libertés, le Conseil d’État valide et inscrit dans le marbre la croyance selon laquelle il faut toujours plus en connaître sur la population, considérée comme étant suspecte par défaut.

Prochaine étape de notre lutte

Ne nous décourageons pas et, pour préparer la suite de notre lutte, cherchons les leçons à tirer de cette défaite. Premièrement, il semble risqué d’attaquer la reconnaissance faciale en tant que principe théorique sans aussi s’attaquer à ses réalisations concrètes, à défaut de quoi nos adversaires risquent d’esquiver le débat tel que se l’est ici permis le Conseil d’État.

Deuxièmement, il semble risqué d’attaquer la reconnaissance faciale sans s’attaquer en même temps à l’ensemble du système dont elle fait partie et qui la justifie : le fichage généralisé, dont la démesure a servi de prétexte au Conseil d’État, et la vidéosurveillance qui inonde nos villes et dont la démesure, tout autant scandaleuse, sert aussi de prétexte au déploiement de logiciels de détection automatisée sur les caméras déjà installées (voir notre analyse politique de la VSA).

Notre offensive va donc se poursuivre, affinée et ajustée par ces deux leçons. Cette offensive est d’autant plus urgente que l’Union européenne est en passe d’adopter un règlement sur l’IA qui viendrait légitimer les technologies de surveillances biométriques aujourd’hui interdites par le RGPD (revoir notre analyse) et que la France, actuellement présidente du Conseil de l’UE, fait tout pour défendre son industrie et son idéologie technopolicières.

Nous fêterons bientôt les 4 ans de l’entrée en application du RGPD et des règles européennes de protection des données personnelles, le 25 mai. Si ces règles ont été presque inutiles pour nous protéger de la surveillance des GAFAM, elles ont entièrement failli à nous protéger de la surveillance d’État. Peut-être devrions profiter de cet anniversaire pour essayer de renverser la situation.

Qu’est ce qu’une coupure d’Internet ?

Nous commençons aujourd’hui une nouvelle série d’articles qui explorent les perturbations du réseau Internet. Alors que l’Internet est de plus en plus régulé, il se retrouve aussi de plus en plus victime de coupures selon une étude de 2011. C’est une tendance qui s’accroît, selon un rapport très complet d’Access Now. Ces coupures peuvent avoir différentes raisons, allant d’une faille technique à une volonté délibérée de la part des États d’empêcher les habitant·es de communiquer, notamment lors de révoltes ou de périodes d’instabilité politique.

Bien que la légende veuille qu’il ait été conçu pour survivre à un hiver atomique dans son ensemble, localement, l’accès à Internet peut être coupé. Le réseau Internet étant construit autour d’un assemblage de réseaux autonomes mais inter-connectés, il se pourrait qu’une partie de ces sous-réseaux tombent, sans que les autres ne soient sévèrement impactés. L’information pourrait continuer à circuler dans le reste du réseau.

Parce qu’il est un outil souvent central dans la contestation d’un pouvoir illégitime, pour venir en aide aux victimes de catastrophes naturelles ou humaines, il est vital d’étudier comment faire pour maintenir les connexions et ainsi pouvoir disséminer des informations. Dans plus de 140 cas, comme nous l’apprend la page 6 du rapport de Access Now, les gouvernements ont justifié leurs coupures par “la Sécurité Nationale” ou le contrôle des “fausses informations”.

Il est souvent évident pour les observateurs qu’en réalité les autorités peuvent redouter la  contestation, et donc coupent l’accès à Internet pour limiter la capacité du peuple à s’organiser et à s’exprimer, que ce soit en ligne ou non. Les données révèlent que, quand les autorités parlent de “fausse information”, rumeurs ou discours de haine, ils sont en réalité contraints d’agir en réaction à des manifestations, des élections, des violences sociales ou des activités militantes, entre autres. En utilisant ces menaces comme excuse, il semble que les gouvernements utilisent les coupures comme moyen de contrôler le débat politique et le flux d’informations.

Access now, The #KEEPITON Report, 2018

Cela démontre sans équivoque l’importance d’un tel outil. Ainsi, nous allons commencer par étudier quels sont les différents types de coupures dans un premier article. Puis, dans un second temps, nous verrons comment contourner les censures et rétablir les connexions. Enfin, quand rétablir une connexion n’est pas possible, ou pas souhaitable, nous verrons comment s’organiser sans internet, voire sans ordinateurs.

Qui coupe internet ?

Il faut savoir avant toutes choses qu’Internet à une existence physique, à travers différents types d’infrastructures.

Autant les câbles sont importants, autant il existe aussi les entrepôts de données, les opérateurs transnationaux, et des opérateurs locaux, qui ont tous un rôle à jouer. C’est à travers ce mille-feuilles d’acteurs que nos connexions se font, et plus l’opérateur va être en haut de la hiérarchie des interconnexions, plus il aura de pouvoir sur le réseau.

Parlons donc coupure. Une coupure, c’est une interruption dans votre connexion au réseau Internet. Cette interruption peut être totale – rien ne passe – ou bien partielle – vous arrivez à vous connecter à certaines parties mais pas d’autres. Ou bien la connexion est instable, et empêche une utilisation fluide. La  réduction de la vitesse de connexion peut parfois produire des effets comparables à une coupure.

Il existe plusieurs moyens de couper la connexion à Internet. Mais en réalité, il n’existe pas une seule connexion, mais des interconnexions, et de nombreuses manières de les réaliser. Et les coupures sont tout aussi variées. Elles peuvent être longues, sur plusieurs mois, comme assez courtes. Elles peuvent avoir plus ou moins de régularité.

Étudions donc quelles pourraient être les causes de ces coupures.

Le climat

Internet, c’est avant tout une interconnexion entre des ordinateurs à l’échelle du monde. Ces interconnexions se font principalement par des câbles, et à travers d’autres ordinateurs, qui sont sensibles au climat. Ainsi, un incendie peut par exemple sérieusement compromettre le réseau. La crise climatique en cours, qui provoque des inondations, des glissements de terrain, et autant de choses qui peuvent compromettre nos constructions, est une menace extrêmement importante. La Chine, pays où les payements en ligne sont monnaie courante, à dû se confronter à cette situation lors d’innondations récente.

Les animaux

Nos infrastructures ne sont pas sensibles qu’au climat, elles le sont aussi aux animaux avec qui nous partageons la terre et la mer. Ainsi, comme les rongeurs qui peuvent grignoter des câbles, les requins peuvent attaquer le réseau, comme ça a été le cas au large du Việt Nam.

“Principal Ocean Cables in 1917” by Eric Fischer is licensed with CC BY 2.0.

( Si vous voulez voir à quoi ressemble le posage de câbles sous-marins aujourd’hui, cette vidéo vous donne une idée. )

Les humains

Nous autres humains avons aussi une certaine capacité à couper le réseau, que ça soit volontairement, comme par exemple lors de vols de câble, mais aussi parfois sans le vouloir : Une dame en Géorgie a ainsi coupé l’accès d’un pays entier en cherchant à recycler du métal dans le sol. Parfois, on ne sait même pas vraiment ce qui a causé une cassure…

Les industriels

Une mauvaise gestion des infrastructures peut amener à des coupures. On pourrait parler de la façon dont est géré le déploiement de la fibre, fruit d’une politique économie mortifère, mais French Data Network le fera mieux que nous. Même si le réseau est là, pas sûr qu’il soit utilisable, faute d’entretien, comme à Brooklyn, USA. On se retrouve alors avec des coupures, ou une absence de raccordement à des moments critiques. On peut vous le dire, ça nous est arrivé récemment.

Les gouvernements

Les exemples récents de coupures par des gouvernements ne manquent malheureusement pas. Nous pourrions en faire la liste ici, mais laissons Wikipédia s’en charger. Quelques exemples tout de même ; au Myanmar, en Égypte, en Inde, à Cuba, à Cuba encore, en Éthiopie, au Belarus… Il existe aussi un risque d’attaque par un gouvernement hostile, notamment comme les États-Unis en Syrie. Aidés par, entre autres, des entreprises françaises, les États autour du globe s’équipent de moyens leur permettant de couper, filtrer et censurer Internet. N’oublions pas que le gouvernement français n’est pas un ami d’Internet, comme nous avons pu en prendre acte en 2011. Leur usage pour faire face à la contestation n’est plus à craindre : il est là. De là à se dire que ces techniques pourraient se généraliser à travers le monde, il n’y a qu’un pas.

Le temps qui passe

Et quand toute la bonne volonté de la terre et des humains n’y suffit pas, le temps se chargera de dégrader et de mettre à terre toutes les fibres et tours téléphoniques. Si vous habitez dans une région du monde où l’investissement dans les réseaux des télécoms est marqué par des politiques racistes, ou une forte ségrégation sociale, le temps entre deux rénovations peut suffire à vous exclure du réseau. N’oublions pas que seulement la moitié de la population mondiale a accès à Internet, et que cela reste très cher dans un certain nombre de régions du monde.

“time” by Katerina Atha is licensed with CC BY-NC-ND 2.0.

Ce tour d’horizon nous permet de voir ce à quoi nous avons affaire. Réseau omniprésent et d’une importance critique, internet n’en n’est pas moins fragile, et fluctuant.

Il convient que nous nous attardions un peu plus sur les capacités des institutions à couper internet. C’est sur elles que nous allons diriger notre action, vu la difficulté pour nous à prévenir les catastrophes venues d’ailleurs.

C’est principalement à elles que nous aurons à faire face, dans une forme capitalistique ou étatique, à moins que vous ne songiez sérieusement à vous lancer dans la chasse aux requins. ( C’est une mauvaise idée. )

Quant au temps qui passe, ou au manque d’investissement dans les infrastructure, ces sujets ont déjà été traités par d’autres.

Quels genres de coupure?

Voyons techniquement comment s’y prendre pour interrompre certains flux internet.

Le filtrage sur le nom de domaine

En France, la censure de l’Internet est malheureusement monnaie courante. Depuis le début des années 2000, avec notamment les lois LOPPSI et HADOPI, que nous avons combattu, les fournisseurs d’accès à Internet se trouvent obligés de bloquer, sur demande d’un juge ou de la police, des sites Internet. Cette obligation a d’abord été justifiée par le blocage nécessaire de l’accès à des contenus pédopornographiques, et a été utilisée la première fois pour censurer des propos négationnistes, mais a aussi été utilisée pour supprimer des positions et groupes politiques. Son évolution dans le temps est bien documentée. Et dernièrement, la lutte reprend autour de l’accès au porno.

Déjà en 2008, nous avions publié une note sur le blocage des noms de domaine, via le protocole DNS.

Avec cette technique, ce n’est pas le contenu illégal qui est filtré, mais l’intégralité du domaine internet qui l’héberge. […] Les opérations nécessaires au blocage par DNS sont relativement simples, bien que la complexité et la maintenance engendrées, et donc le coût global, dépendent là aussi des configurations actuelles des opérateurs. L’efficacité de cette technique est très limitée. Il suffit d’une manipulation triviale sur l’ordinateur de l’utilisateur pour définitivement passer outre.

La Quadrature Du Net, 2008

En effet, il suffit d’utiliser un autre système de nom de domaine que celui fourni par défaut par votre FAI pour contourner la censure. La procédure est relativement simple, et expliquée dans un article de Numerama. Nous remercions la French Data Network, qui héberge des serveurs DNS accessibles à tous et sans censure ou filtrage.

Censure de services

Parfois, il ne s’agit pas juste de sites web qui sont bloqués, mais aussi de services, comme des applications de messagerie. Ça a été le cas en Russie, où un tribunal a demandé le blocage de Telegram, une application de messagerie. Vu la façon dont Telegram se connecte à ses serveurs (utilisation des serveurs de Google, et donc de leurs adresses IPs), le blocage a eu des conséquences inattendues.

« Alors que le nombre total d’IP bloqués a été fluctuant (bien que majoritairement en hausse) depuis que la Russie a modifié son approche, nous observons quelque chose comme 16 millions d’adresses bloquées en ce moment. Les services concernés incluent Viber, Office 365, les éléments du PlayStation Network, et beaucoup plus. »

Source

En général, les services trouvent des moyens de contourner cette censure, par exemple en utilisant des IPs partagées ou par utilisation de VPNs notamment. Dans ce cas, la censure a eu pour effet de bloquer pleins de services qui n’avaient rien à voir. Par ailleurs, le ban a été levé en 2020 visiblement parce que c’était un bel échec.

Ralentissement de la connexion

Imaginez que vous vous connectiez sur un réseau social pour prendre des nouvelles de la manifestation qui doit avoir lieu dans les prochaines heures. Mais, la page semble prendre beaucoup de temps à charger, et au final, la page s’affiche, mais certains éléments ont pris trop de temps à venir et leur chargement a été annulé. En voulant envoyer un message à vos ami·es, vous vous rendez compte que le message prend plus d’une heure à arriver ; difficile de se retrouver dans la foule.

Ce genre de restrictions est beaucoup plus difficile à répertorier, car plus sournois. Il permet de restreindre l’accès sans toutefois le couper. Il se peut que ce ralentissement ne soit même pas reconnu comme intentionnel, notamment dans les endroits où le service Internet n’est pas très stable de base. Attention, tout ralentissement n’est pas dû à une censure ; on a un bel exemple avec les effets de bords de la panne de Facebook qui a engendré d’autres pannes chez les opérateurs téléphoniques.

Coupure du service 3G/4G

Pour beaucoup d’humains dans le monde, la connexion à Internet se fait d’abord par le service mobile, via des smartphones. Et il apparaît que c’est souvent ce moyen de connexion qui est ciblé, car il est principalement utilisé par les particuliers, alors que les entreprises et services d’état utilisent une connexion filière. Le rapport d’Access Now cité en début d’article offre un panorama édifiant sur la question.

Censure de protocoles

Parfois, la surveillance et la censure vont de pair. Les protocoles que nous utilisons pour sécuriser notre connexion, comme HTTPS, permettent d’échapper à certaines formes de censure et de surveillance. Alors, il paraît logique de bloquer ces protocoles, comme c’est le cas en Chine, où le gouvernement utilise le Grand Firewall pour bloquer les versions les plus sécurisées de HTTPS. C’est un jeu du chat et de la souris, parce que des méthodes de contournement peuvent être mises en place. Cela dit, pour la majorité des gens, ces blocages peuvent être difficiles à contourner.

Le blocage des VPNs est également possible, et courant.

BGP

BGP est le nom du protocole qui permet à Internet de fonctionner en tant que réseau de réseaux. Si l’on regarde une carte de l’Internet, comme celle-ci ;

On peut voir les différentes couleurs, qui représentent différentes réseaux. Entre ces réseaux, les connexions se font au moyen de BGP, qui est en quelque sorte la glue qui permet à l’Internet d’exister.

Hé bien, cette glue, elle peut être dissoute. Ça peut être suite à une erreur, comme au Pakistan où en 2008 un opérateur a annoncé à l’Internet tout entier que c’était chez lui qu’on pouvait accéder à Youtube le plus rapidement. Youtube a été inaccessible dans le monde entier pendant un petit moment à cause de ça. Mais parfois c’est très intentionnel, comme lors du début de l’insurrection en Syrie. Vous pouvez voir quand BGP subit des interruptions sur Twitter d’ailleurs. Récemment, Facebook a eu un soucis similaire.

Des chercheurs ont par ailleurs expliqué qu’il serait possible de casser totalement et de façon grave l’Internet en exploitant des failles du protocole. Bien que compliqué à faire, ça n’en est pas moins possible. Si ça peut vous rassurer, il existe malgré tout des systèmes de surveillance et de contrôle pour éviter que le protocole ne soit abusé, ce qui rend ce genre d’attaques peu susceptibles d’aboutir.

Perquisition

Quand le blocage au niveau du réseau ne suffit pas, il reste encore l’option d’attaquer directement le  serveur sur lequel est hébergé le site web. On pense aux attaques contre The Pirate Bay. C’est une  pratique qui est toujours en cours, bien que moins efficace que par le passé. Cette perte d’efficacité est notamment dûe aux architectures distribuées, type “Cloud”, où les sites web sont répartis sur une multitude de serveurs à travers le monde. Au lieu que les sites web ne soient disponibles que sur un seul serveur, ils vont profiter d’une redondance globale, permettant à leurs bases de données ou des  ressources de ne pas être toutes au même endroit.

Maintenant qu’on voit un peu quelles sont les différentes menaces possibles, je vous invite à lire notre prochaine article dès sa publication, qui explore comment contourner ces cassures, rétablir des liens, et prendre des nouvelles de la liberté à l’autre bout du fil.

Vous pouvez nous suivre en vous rendant sur la page Nous !

“network cables” by pascal.charest is licensed under CC BY-NC-ND 2.0

La vidéosurveillance algorithmique (VSA) s’installe dans nos villes, en toute opacité et surtout, en toute illégalité. Depuis plusieurs années, nous tentons de lutter contre ces dispositifs, notamment en les attaquant devant les tribunaux. Nous pensons que les règles en vigueur permettent de s’opposer au déploiement de ces technologies pour se protéger contre les atteintes aux libertés qu’elles entraînent. Pourtant, la Commission européenne pousse à l’adoption de nouvelles règles, en faveur des industriels, pour réguler les dispositifs « d’intelligence artificielle », comprenant entre autres la VSA. Dans son sillage, la CNIL plaide pour un nouvel encadrement spécifique. Dans notre réponse à sa consultation, nous avons expliqué pourquoi il ne faut en aucun cas abandonner les règles protectrices actuelles pour de nouvelles règles sectorielles. Voici un résumé de nos arguments (voir notre position complète ici).

Les données biométriques, cœur de la protection

Le droit des données personnelles prévoit une protection particulière pour les données qu’on appelle « sensibles » au vu des informations particulièrement intimes qu’elles révèlent (telles que les orientations politiques ou sexuelles). Parmi ces données sensibles, on trouve la catégorie des données dites « biométriques », qui sont « les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique »¹Définitions prévues aux article 4§14 du RGPD et 3§13 de la Directive Police/Justice.<script type="text/javascript"> jQuery('#footnote_plugin_tooltip_18558_2_1').tooltip({ tip: '#footnote_plugin_tooltip_text_18558_2_1', tipClass: 'footnote_tooltip', effect: 'fade', predelay: 0, fadeInSpeed: 200, delay: 400, fadeOutSpeed: 200, position: 'top right', relative: true, offset: [10, 10], });.

Cette définition peut être dissociée en trois éléments que l’on retrouve systématiquement lorsque l’on parle de VSA.

Tout d’abord, il faut que les données fassent l’objet d’un traitement technique spécifique.

Cela permet d’englober les systèmes de VSA puisqu’ils interviennent en addition du traitement général qui consiste à filmer l’espace public et poursuivent un objectif particulier (voir plus bas) . Aussi, le traitement technique est spécifique en ce qu’il consiste en la mise en oeuvre d’un algorithme ou programme informatique appliqué aux flux vidéos afin d’isoler, caractériser, segmenter ou encore rendre apparente une information relative à une personne physique filmée ou à extraire du flux vidéo, même a posteriori, des données concernant cette personne.

Ensuite, les données doivent se rapporter aux caractéristiques physiques, physiologiques ou comportementales d’une personne.
Toutes ces données sont bien celles que la VSA capte :

• les informations physiques ou physiologiques peuvent se rapporter au corps d’une personne filmée au sens large, tels que des visages, des silhouettes ou toute caractéristique isolée du corps, telle que la couleur des cheveux, la couleur de peau, la couleur des yeux, la forme du visage, la taille, le poids, l’âge ;
• les données comportementales visent toute information relative à l’action du corps dans l’environnement et l’espace. Pourront être qualifiés de biométriques un vêtement ou un accessoire porté par la personne à un instant T, un geste, une expression d’émotion, une direction de déplacement, une position dans l’espace et le temps (assis, debout, statique, allure de la marche…).

Enfin, le traitement doit avoir pour but l’identification unique de la personne. D’après le comité européen de la protection des données (CEPD, l’autorité qui regroupe les CNIL européennes), cette fonction ne se limite pas à révéler l’état civil de la personne mais à individualiser celle-ci au sein d’un environnement pour la reconnaître sur plusieurs images²Voir les lignes directrices sur les vidéos contenant des données personnelles 3/201, version 2.0, point 82 p. 19 https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-32019-processing-personal-data-through-video_fr<script type="text/javascript"> jQuery('#footnote_plugin_tooltip_18558_2_2').tooltip({ tip: '#footnote_plugin_tooltip_text_18558_2_2', tipClass: 'footnote_tooltip', effect: 'fade', predelay: 0, fadeInSpeed: 200, delay: 400, fadeOutSpeed: 200, position: 'top right', relative: true, offset: [10, 10], });.

Concernant la VSA, chaque système est programmé pour réunir des éléments spécifiques (silhouette, couleur des habits, position, direction, comportement) pour :

• reconnaître une personne sur plusieurs images ou plusieurs flux vidéos , soit dans le temps, soit dans l’espace, en lui attribuant une empreinte numérique qui permettra de caractériser ses attributs ou son comportement, et l’isoler sur les images. L’exemple le plus typique est le suivi d’une personne dans l’espace public filmé par plusieurs caméras ;
• effectuer une action ciblée sur la personne grâce aux informations sur les caractéristiques physiques ou comportementales obtenues par la VSA. Ces informations pourront être transmises à des agents sur le terrain, elles leur permettront de « reconnaître » de façon unique la personne et d’effectuer une action sur elle (« l’homme au chapeau bleu est dans la rue principale, contrôlez-le »).

Dans les deux cas, la personne est identifiée de façon unique par rapport à son environnement, un groupe de personnes ou une scène.

En conclusion, les fonctionnalités des systèmes de VSA portant sur des personnes impliqueront systématiquement un traitement de données biométriques.

La VSA est toujours disproportionnée

Une fois que l’on a démontré qu’il s’agissait d’un traitement de données biométriques, la protection plus forte accordée aux données sensibles peut s’appliquer. Grâce à ce cadre spécifique, les données sensibles ne peuvent être traitées qu’à condition de respecter une exigence de « nécessité absolue »³Voir article 10 de la Directive Police/Justice.<script type="text/javascript"> jQuery('#footnote_plugin_tooltip_18558_2_3').tooltip({ tip: '#footnote_plugin_tooltip_text_18558_2_3', tipClass: 'footnote_tooltip', effect: 'fade', predelay: 0, fadeInSpeed: 200, delay: 400, fadeOutSpeed: 200, position: 'top right', relative: true, offset: [10, 10], });.

En pratique, cette exigence signifie que le traitement ne sera considéré comme licite que s’il n’existe aucun autre moyen moins attentatoire aux libertés qui permettrait d’atteindre l’objectif poursuivi. Cette exigence de nécessité absolue n’est pas une nouveauté juridique et a déjà permis de limiter ou interdire les technologies les plus intrusives.

Par exemple, lorsque la région PACA avait tenté de mettre en place une expérimentation de reconnaissance faciale à l’entrée de deux lycées, la CNIL avait jugé que la finalité de sécurisation et de fluidification des entrées au sein des lycées « peut incontestablement être raisonnablement atteinte par d’autres moyens », concluant que le dispositif était disproportionné.

De la même manière, dans un avertissement à la ville de Valenciennes révélé par Mediapart, la CNIL avait jugé que le dispositif de VSA mis en place par la ville était disproportionné, notamment car la nécessité n’avait pas été prouvée et l’absence d’alternative n’avait pas été documentée.

Le Conseil d’État avait fait le même raisonnement lorsque nous avions attaqué, aux cotés de la LDH, l’utilisation des drones par la police lors des manifestations. Pour les juges, le ministère n’apportait « pas d’élément de nature à établir que l’objectif de garantie de la sécurité publique lors de rassemblements de personnes sur la voie publique ne pourrait être atteint pleinement, dans les circonstances actuelles, en l’absence de recours à des drones »⁴Conseil d’État, 446155, lecture du 22 décembre 2020, §11.<script type="text/javascript"> jQuery('#footnote_plugin_tooltip_18558_2_4').tooltip({ tip: '#footnote_plugin_tooltip_text_18558_2_4', tipClass: 'footnote_tooltip', effect: 'fade', predelay: 0, fadeInSpeed: 200, delay: 400, fadeOutSpeed: 200, position: 'top right', relative: true, offset: [10, 10], });.

Enfin, ce mécanisme a aussi été efficacement mobilisé contre la vidéosurveillance dite « classique » – et non biométrique – dans la commune de Ploërmel, la ville ne justifiant, selon la Cour d’appel, d’aucune statistique ou de preuves de risques particuliers qui expliqueraient la nécessité de ce dispositif.

En l’occurrence, concernant la VSA policière, il y aura toujours d’autres moyens d’assurer la sécurité autrement que par une technologie automatisée surveillant le comportement des individus dans la rue. Nous en parlions notamment dans notre article expliquant les raisons politiques de s’opposer à la VSA, la sécurité des personnes ne peut être trouvée que dans l’action humaine et sociale, l’attention aux autres, le soin.

La mise en balance exigée par le contrôle de proportionnalité permet donc de limiter et d’exclure tout dispositif de VSA abusif puisque l’atteinte à la vie privée engendrée par le traitement de données biométriques ne pourra être que très rarement, voire jamais, évaluée comme strictement nécessaire pour atteindre l’objectif poursuivi. Ce critère de nécessité absolue est donc aujourd’hui un mécanisme juridique documenté et
efficace pour interdire l’utilisation abusive des technologies par la police dans l’espace public.

Ne pas changer de paradigme

À travers le projet de règlement sur l’intelligence artificielle ainsi que les velléités affichées des dirigeants de modifier le cadre actuel pour favoriser les intérêts industriels et économiques du secteur, c’est une destruction du socle protecteur de nos droits qui est menée.

Ces acteurs tentent de défendre une approche fondée non plus sur la nécessité comme décrite plus haut mais, désormais, sur les risques : le cadre juridique serait non pas unique comme c’est le cas actuellement mais différent en fonction des objectifs et finalités des technologies. Autrement dit, cela impliquerait d’autoriser plus ou moins largement l’usage de certaines technologies en fonction des risques effectifs qu’elles feraient peser sur les droits et libertés de la population.

Par exemple, dans son projet de règlement, la Commission propose une classification des utilisations de la reconnaissance faciale et de la VSA en fonction des circonstances de leur application (dans l’espace public, en temps réel, à des fins répressives…), peu importe qu’elles soient nécessaires ou non. C’est un renversement total de la façon dont nos droits et libertés sont protégées, comme nous l’expliquions il y a quelques mois. Ce serait aux personnes concernées de démontrer le dommage qui leur est causé et non plus aux pouvoirs publics mettant en œuvre ces technologies de démontrer systématiquement que l’usage n’est pas disproportionné. La charge de la preuve serait renversée, à la défaveur de nos libertés.

Or, il ne suffit pas qu’une technologie soit « peu risquée » pour que celle-ci devienne « nécessaire » ni même souhaitable. Surtout, ces acteurs tentent de justifier cette logique en avançant que des garanties permettraient de limiter ces risques. De tels mécanismes sont illusoires et ne pourraient jamais suffire à pallier un traitement non nécessaire.

Nous le voyons depuis plusieurs années, les garanties ne suffisent jamais à limiter des technologies la plupart du temps déjà déployées, parfois à grande échelle, alors mêmes qu’elles ne sont pas légales. Quand bien même elles seraient contestées, elles auront déjà produit leurs effets illicites et nocifs. Les analyses d’impact, les pouvoirs de contrôle de la CNIL, les soit-disant contre-pouvoirs locaux, les droits d’information du public, aucune de ces garanties n’empêche les autorités de violer la loi.

Si l’approche fondée sur les risques finissait par être adoptée, elle donnerait le signal attendu par l’ensemble des acteurs de la VSA pour déployer massivement et au pas de course l’ensemble de leurs systèmes. Demain comme aujourd’hui, seules les mesures d’interdiction, fondées notamment sur la nécessité, pourront nous protéger. C’est d’ailleurs l’avis de autorités européennes de protection des données (Comité européen pour la protection des données et Contrôleur européen pour la protection des données) sur le projet de règlement sur l’intelligence artificielle, qui appellent toutes deux à interdire complètement les technologies de VSA.

En conclusion, remplacer changer de paradigme en remplaçant l’approche actuelle fondée sur la nécessité par une approche nouvelle fondée sur les risques conduira à présenter comme potentiellement licites des traitements dont l’illégalité ne fait aujourd’hui aucun doute. Ce changement de contexte entraînerait le déploiement massif de systèmes de VSA illicites sans qu’aucune garantie ne puisse en limiter les effets nocifs pour la population. C’est pourquoi nous défendons le maintien du cadre juridique actuel, qui permet l’interdiction de ces pratiques et est à même de protéger la population contre les abus des autorités en matière de surveillance.

<script type="text/javascript"> function footnote_expand_reference_container_18558_2() { jQuery('#footnote_references_container_18558_2').show(); jQuery('#footnote_reference_container_collapse_button_18558_2').text('−'); } function footnote_collapse_reference_container_18558_2() { jQuery('#footnote_references_container_18558_2').hide(); jQuery('#footnote_reference_container_collapse_button_18558_2').text('+'); } function footnote_expand_collapse_reference_container_18558_2() { if (jQuery('#footnote_references_container_18558_2').is(':hidden')) { footnote_expand_reference_container_18558_2(); } else { footnote_collapse_reference_container_18558_2(); } } function footnote_moveToReference_18558_2(p_str_TargetID) { footnote_expand_reference_container_18558_2(); var l_obj_Target = jQuery('#' + p_str_TargetID); if (l_obj_Target.length) { jQuery( 'html, body' ).delay( 0 ); jQuery('html, body').animate({ scrollTop: l_obj_Target.offset().top - window.innerHeight * 0.2 }, 380); } } function footnote_moveToAnchor_18558_2(p_str_TargetID) { footnote_expand_reference_container_18558_2(); var l_obj_Target = jQuery('#' + p_str_TargetID); if (l_obj_Target.length) { jQuery( 'html, body' ).delay( 0 ); jQuery('html, body').animate({ scrollTop: l_obj_Target.offset().top - window.innerHeight * 0.2 }, 380); } }