Les défis soulevés par la géopolitique du cyberespace sur le droit

Titre : Les défis soulevés par la géopolitique du cyberespace sur le droit

Intervenant·e·s : Jean Peeters - Didier Danet - Francesca Musiani - Stéphane Bortzmeyer

Lieu : Rennes - IODE - Institut de l'Ouest : Droit et Europe - Colloque « Souveraineté numérique »

Date : 16 juin 2022

Durée : 1 h 19 min 30

Vidéo

Licence de la transcription : Verbatim

Illustration : À prévoir

NB : transcription réalisée par nos soins, fidèle aux propos des intervenant·e·s mais rendant le discours fluide.
Les positions exprimées sont celles des personnes qui interviennent et ne rejoignent pas nécessairement celles de l'April, qui ne sera en aucun cas tenue responsable de leurs propos.

Transcription

Jean Peeters : Je vous propose de commencer cette première table ronde. Je suis Jean Peeters  professeur à l’université Bretagne-Sud et aussi titulaire de la chaire Cyber et souveraineté numérique à l’IHEDN [Institut des hautes études de défense nationale].
Le programme est un petit peu modifié. Une personne qui devait parler n’est pas présente donc nous n’auront pas son intervention. C’est Monsieur Rogiers Creemers, qui intervenait demain matin en premier, qui va intervenir sur cette table ronde en quatrième position. On aura aussi des intervenants qui sont distants. Si j’ai bien compris, vous êtes tenus à 15 minutes chacun, je suis le maître du temps.
Je vous propose de commencer tout de suite avec Didier Danet de l’Académie militaire de Saint-Cyr Coëtquidan sur la diplomatie du numérique pour 15 minutes.

Intervention de Didier Danet – Diplomatie numérique : quels enjeux ?

Didier Danet : Merci Monsieur le président.
Le thème que je traite cet après-midi, donc la diplomatie numérique, avec l’idée d’essayer de cerner un peu les enjeux de cette thématique. Je ne suis pas un spécialiste de diplomatie numérique, mon métier c'est plutôt de travailler sur la cyberdéfense et de former des militaires à ces questions-là. Je vais donc avoir une approche qui manquera peut-être un petit peu de nuances par rapport à ce que font les diplomates actuellement. J’aurais plus l’approche du militaire qui met peut-être un petit peu les pieds dans le plat de temps en temps.

Ceci étant, je dis tout de suite que je suis bien évidemment en faveur de la diplomatie numérique. Il est bien évident que l’État a des intérêts à faire prévaloir dans l’ordre international et en matière de numérique, il est bien évident qu’il y a des menaces, etc. Au-delà de cette évidence que tout État a à développer une action dans le domaine numérique, que tout État a des intérêts à défendre, a des positions à faire valoir, doit donc développer une déclinaison de sa politique étrangère en matière de numérique, une fois le constat sur lequel, je pense, tout le monde sera d’accord, il n’y a pas à discuter, j’ai été amené à essayer de me poser deux questions. La première c’est la question du pourquoi : sur quel fondement l’État intervient-il dans la politique étrangère en matière de numérique ? Quelles sont les raisons qui l’ont poussé à le faire ? Quels sont les arguments qui sont régulièrement développés pour appuyer l’intervention de l’État et justifier un certain nombre de mesures qu’il est amené à prendre. C’est donc plutôt la question de la légitimité de l’intervention, les fondements de l’intervention et peut-être les critiques qu’on pourrait adresser, je vais employer le mot, à certains des mythes qui fondent l’intervention de l’État dans les relations internationales.
La deuxième question, une fois qu’on a regardé pourquoi l’État intervient, développe une politique en matière de relations internationales numérique : quels sont les domaines sont couverts ? Dans quels domaines l’État s’investit-il et avec quelle efficacité produit-il son action ?
Il y a donc deux parties dans cette présentation rapide : la partie concernant le pourquoi de l’intervention et la question des résultats.

Cette première diapo était faite pour évacuer une des thématiques possibles quand on parle de diplomatie numérique qui est l’influence du numérique sur la diplomatie, sur les pratiques diplomatiques, sur la manière dont on conduit la diplomatie, donc sur la numérisation de la diplomatie. Il y a beaucoup de choses très intéressantes, mais, compte-tenu du quart d’heure qui nous a été donné, ce n'est pas le thème qui me paraissait le plus important, j’ai préféré le mettre de côté.

Diplomatie numérique : les fondements

La première question c’est évidemment la question des fondements de la diplomatie du numérique dans un État comme la France. Autrement dit, pourquoi faudrait-il avoir une politique étrangère en matière de numérique ? Pourquoi faudrait-il que le ministère des Affaires étrangères se mêle de numérique ?
Tout à l’heure on nous a dit que c’était l’affaire du ministère de l’Économie, donc la dimension intérieure du numérique, mais il y a aussi une dimension extérieure. Déjà, ça veut dire qu’il y a au moins deux ministres qui peuvent revendiquer une responsabilité dans le domaine du numérique et, on le sait, la France a un ambassadeur pour le numérique, ça veut dire que la chose a été institutionnalisée. Ce n’est pas simplement un domaine dans lequel les diplomates interviennent, il y a un ambassadeur pour le numérique, avec des moyens propres, qui développe son action à l’extérieur de nos frontières.

Les trois mythes fondateurs

Trois choses me paraissent devoir être questionnées concernant cette intervention de l’État dans le domaine du numérique et, en particulier, dans le domaine extérieur.
Première chose qui me paraît devoir être questionnée, c’est le thème récurrent qui revient systématiquement, notamment dans le discours du ministère des Affaires étrangères qui est : il faut que l’État intervienne parce que nous sommes sous la menace, et ce n’est qu’une question de temps, ça va arriver, d’un effondrement de notre système nerveux numérique, ce qu’on peut appeler le Cyber Pearl Harbor, si on se place d’une attaque extérieure, ou le Cyber Tchernobyl si on se place dans l’hypothèse d’un accident industriel, du Cyber Armageddon, si on veut donner un côté un peu américain et religieux. Bref !, ce premier mythe me parait devoir être quand même beaucoup questionné parce que je ne pense pas qu’on soit sous la menace imminente et inéluctable d’un effondrement total de nos infrastructures et de nos réseaux. Mais, comme c'est un argument qui est constamment employé, je pense qu’il faudrait pouvoir le mettre en débat. Je n’ai pas eu le temps de développer l’idée, je la mets simplement en discussion. Si vous voulez, on pourra revenir sur cette idée d’un Cyber Pearl Harbor permanent qui justifierait l’intervention de l’État en tant que puissance souveraine et capable de défendre la nation contre cet effondrement.

Le deuxième élément qu’on trouve très souvent justement dans le discours MAE c’est la question de la souveraineté numérique. C’est un thème qui est effectivement au cœur du débat, je ne vais pas le développer complètement, là encore je pense que c’est un thème sur lequel il faudrait revenir. Je pense qu’il y a un certain nombre d’erreurs d’analyse dans le domaine des craintes qu’on exprime et on peut les reprendre rapidement, les citer. Si vous prenez, par exemple, le rapport Longuet qui est, me semble-t-il, l’expression paradigmatique des craintes que l’on peut avoir en matière de souveraineté, le rapport Longuet disait que la puissance économique des grands acteurs du numérique – suivez mon regard, évidemment les GAFAM – nous menace dans notre souveraineté militaire, nous sommes sous la dépendance des GAFAM dans le domaine militaire ; on l’est dans le domaine juridique avec cette thématique de l’exterritorialité, etc. ; on l’est dans le domaine économique, c’est-à-dire que les GAFAM sont en mesure de s’approprier toutes les bonnes idées, les startups, etc., dont ils auraient besoin, donc ils abusent de leur puissance économique ; on serait menacé dans le domaine monétaire : les GAFAM seraient en mesure de créer leur propre monnaie, etc. Ce sont donc les quatre grandes menaces qui étaient évoquées dans le rapport Longuet, on pourrait en rajouter, lesdécliner quasiment à l’infini. Avec la crise du Covid on a vu qu’on était menacé dans notre souveraineté sanitaire. Quand les GAFAM nous ont dit « nous n’appliquerons pas, nous ne mettrons pas en œuvre votre application si belle soit-elle », on a bien compris qu’on était un petit peu à leur merci concernant quand même un outil de lutte contre une pandémie. On le ressent aussi dans le domaine culturel. On a vu très récemment une affaire un peu ridicule, de la présidente de France Télévisions s’offusquant que le match Nadal/Djokovic allait être le soir et passer sur Amazon qui avait payé 10 millions, soit plus que France Télévisions, on parle de souveraineté culturelle et sportive.
Il y a un certain nombre de choses qu’il faudrait reprendre parce qu’elles sont, en fait, un petit peu ridicules. Je pense que notre souveraineté n’est pas menacée de manière aussi évidente ou qu’elle l’est depuis très longtemps. Mon épicière bio, à côté de chez moi, menace la souveraineté monétaire, elle participe à un système d’échange local avec une monnaie bizarroïde que je n’utilise pas personnellement, mais, je crois qu’avec le coiffeur ils échangent des coupes de cheveux contre des poires, c’est un truc très compliqué qui est aussi une forme de création monétaire ; bien sûr ce n’est pas Amazon, mais ça fait très longtemps que l’État n’est plus totalement souverain en matière monétaire. On est sorti de ??? quand même depuis un certain temps.
Il faudrait donc revenir sur cette question : dans quelle mesure notre souveraineté numérique est-elle véritablement menacée ? Cette peur panique qu’on a de voir notre souveraineté délitée ne nous amène-t-elle pas à des solutions qui ne sont pas forcément les bonnes ?

Le dernier élément c’est l’argument de la vie démocratique qui est poussé, là aussi, par le ministère des Affaires étrangères, avec l’idée que les algorithmes tout puissants plus l’adhésion des individus à des réseaux sociaux qui les orientent, qui les enferment dans des bulles démocratiques conduit à une menace pour la vie démocratique de ce pays. Là encore, je veux bien tout ce qu’on veut, mais ce n’est pas nouveau. Si vous commencez votre journée le matin par Europe 1, vous passez ensuite sur BFM ou sur CNews et vous terminez par la lecture de Valeurs actuelles le soir, vous êtes aussi dans une bulle, très clairement. Ce n’est pas un algorithme, ce sont des gens, mais il est évident qu’on est aussi dans des bulles d’enfermement. Ces bulles d’enfermement ne me paraissent pas de nature à justifier une intervention de l’État aussi directive dans la vie des médias, dans la vie des réseaux sociaux, etc.

Il y a trois thématiques qui me paraissent effectivement intéressantes à reprendre pour les discuter et voir quel est réellement l’état de la menace. Bien sûr qu’il y a des menaces, mais je ne suis pas sûr qu’en ayant un combiné ces trois menaces-là, finalement qu’il ne nous reste plus qu’à mourir si on écoute ce discours-là, je pense qu’on pourrait avoir une approche plus nuancée, plus focalisée sur des vraies menaces et pas des menaces qui me paraissent un petit peu chimiques.

Diplomatie numérique : les domaines

Ensuite les domaines. C’est l’autre question : dans quels domaines la diplomatie française s’investit-elle le plus ? Quelles sont les thématiques qu’elle traite, avec quelle efficacité ou quel retour ? Il y a un très beau schéma dans le dernier rapport d’activité de l’ambassadeur pour le numérique avec de jolies couleurs, qui fait apparaître en gros cinq grandes thématiques : les questions de sécurité en rouge ; les questions d’influence en bleu à droite ; les questions de gouvernance de l’Internet à gauche et les questions de diplomatie économique en bas.
Là encore, il pourrait être évidemment extrêmement intéressant de reprendre chacun de ces éléments un par un, d’en regarder le contenu, regarder comment ils sont appréhendés, ce qu’on avance comme éléments, quelles sont les positions de l’État français dans le domaine international, etc., et on pourrait évidemment se poser la question de la réussite, la question des objectifs, la question de l’efficacité de cette action.
Je ne prendrais qu’un exemple, qui est celui que je connais le moins mal, celui de la diplomatie économique. Là encore, il est bien évident que tous les États ont des intérêts économiques à défendre, à promouvoir, à débattre avec les autres ; c’est évident. Pour ce qui est de l’action diplomatique française, on voit qu’il y a en gros trois grands domaines, trois grandes déclinaisons : la première c’est le soutien aux acteurs français du numérique ; la deuxième c’est la régulation des grands groupes ; et la troisième c’est la technique, la tech comme on dit, la tech au service du bien commun.
Je vais laisser ce troisième élément qui me parait relever un petit peu de la fantaisie diplomatique. Franchement, je n’en vois pas l’intérêt ! Il faut relire Mireille Delmas-Marty, on aura une idée beaucoup plus claire de ce qu’est la technologie aujourd’hui et du fait que les bons côtés sont inséparables des mauvais, qu’il faut les prendre comme un tout et ne pas essayer de séparer les bons côtés des mauvais. Il faut vraiment que les gens du Quai d’Orsay lisent Mireille Delmas.

Les deux autres questions.
Sur l’efficacité, l’amiral Coustillière a dit, à mon avis, ce qu’il fallait dire : malheureusement, on a une très longue expérience de colbertisme high-tech qui se traduit par un gaspillage des deniers publics absolument effréné aussi bien du côté des très grands groupes – on l’a vu avec le cloud français, le cloud souverain qui a été une parodie de ce qu’il faut faire – qu’avec des petites startups qui sont plus fortes pour décrocher des subventions publiques que pour produire réellement quelque chose. Il faudrait vraiment qu’il y ait une évaluation extrêmement rigoureuse qui soit faite de ce soutien aux entreprises pour ne pas soutenir n’importe quoi n’importe comment. Je pense qu’il y a vraiment un effort à faire pour avoir une approche beaucoup plus stricte de ce qu’il faut soutenir et de ce qu’il n’est pas utile de soutenir.

Pour terminer la régulation des grands groupes, là je pense qu’on est complètement dans une situation de schizophrénie absolue, c’est-à-dire que l’État et l’Europe se sont désarmés totalement face aux grands groupes pour des raisons idéologiques qui ont dominé pendant 40 ans et on s’étonne, maintenant, d’avoir du mal à s’attaquer à des groupes comme Apple, Facebook, Qualcomm ou d’autres. Le Sénat a relayé hier un arrêt pathétique du tribunal de l’Union européenne, ce n’est pas encore en appel, sur Qualcomm ; j’ai lu la décision rapidement hier soir, je suis tombé de ma chaise tellement c’est idiot, franchement ! On pourra en discuter si vous voulez, je ne vais pas empiéter sur le temps de mes collègues.
Là encore, on est en totale schizophrénie, c’est-à-dire qu’on s’est complètement désarmé face aux grands groupes et maintenant on se plaint qu’ils sont en position de force. Eh bien oui ! Ils sont en position de force, c’est à peu près évident et, en plus, quand on les pourchasse pour de mauvaises raisons ! Faire à Apple le procès du fait qu’ils utilisent les avantages fiscaux existants en Irlande, ce n’est pas à Apple qu’il faut s’en prendre, à mon avis c’est plutôt à Irlande. Là, je trouve que l’action diplomatique est un petit peu en retrait.

Jean Peeters : Merci beaucoup. Il y aura un temps pour les questions aux intervenants après.
On va passer à l’intervention suivante de Stéphane Bortzmeyer ici présent, à côté de moi, et de Francesca Musiani qui est distante. Je vous laisse régler ça entre vous.

Intervention de Stéphane Bortzmeyer et de Franscesca Musiani - Internet, entre matériel et logiciel

Francesca Musiani : Bonjour tout le monde. C’est Stéphane qui va commencer.

Stéphane Bortzmeyer : Bonjour. Je laisserai Francesca se présenter.
Pour mon compte, je suis Stéphane Bortzmeyer et je travaille à l’Afnic [Association française pour le nommage Internet en coopération] qui est le registre des noms de domaine en .fr. Je ne suis ni juriste ni universitaire, ça donnera un autre point de vue.

L’infrastructure compte

On va parler d’un sujet aujourd’hui qui est l’infrastructure. La souveraineté numérique, on l’a dit, est un sujet très complexe, il y a beaucoup d’aspects différents. L’infrastructure c’est un peu ce qu’on ne voit pas. Le débat sur la souveraineté numérique se focalise souvent sur ce qui est visible, ce qui est connu des médias, des ministres : on va parler de Facebook, on va parler de YouTube parce que tout le monde connaît YouTube, tout le monde regarde des vidéos sur YouTube. Et, quand on parle de l’infrastructure, de sujets sont moins visibles sur l’écran, c’est souvent pour se focaliser sur un petit nombre d’organismes, parce que c’est souvent une approche institutionnelle. On pense souvent à l’ICANN [Internet Corporation for Assigned Names and Numbers] parce qu’on connaît l’ICANN et ça permet de faire des résumés faciles du genre « c’est le régulateur mondial de l’Internet », ce qui est complètement faux, mais ça donne quelque chose de précis dans un monde qui est flou, mouvant, avec du brouillard, comme le disait l’amiral Coustillière tout à l’heure.
Il y a une exception, l’infrastructure qui intéresse c’est souvent le matériel parce qu’on a l’impression de comprendre le matériel, on peut le toucher, on peut le voir et puis ça se prête bien au sensationnalisme. La guerre en a donné un nouvel exemple avec des titres ridicules comme celui de Franceinfo [« Guerre en Ukraine : la Russie peut-elle couper internet en France en s’attaquant aux câbles sous-marins’ »] sur les câbles sous-marins qui montrait pas tellement une incapacité de ce qu‘est capable de faire Poutine, mais une incapacité complète à comprendre ce qu’est l’Internet.

Mais pourtant, elle compte

Autant l’infrastructure est souvent ignorée, autant elle compte. Des fois, elle compte d’une manière qui est un peu plus subtile. YouTube peut censurer vos vidéos si elles ne plaisent pas. Le rôle de l’infrastructure est moins évident : un câble sous-marin ne peut pas censurer untel ou untel. L’infrastructure, en fait, ne compte pas tellement parce que ce qu’elle fait directement, par ce qu’elle impose, c’est plutôt parce qu’elle va faciliter certaines choses et en rendre beaucoup plus difficiles d’autres. Les être humains étant paresseux, ce qui est difficile risque d’être moins utilisé. Bien qu’elle soit invisible elle a des conséquences.

Tentative de définition de l’infrastructure

Qu’est-ce que c’est exactement que l’infrastructure ? Il y a des tas d’explications possibles.
Une première, c’est ce qu’on ne voit pas sur l’écran, ce qui n’est pas connu des utilisateurs, en tout cas tant que ça fonctionne, parce que quand l’infrastructure est en panne alors là, tout le monde la voit et se plaint, se demande ce que fait ce que le gouvernement et pourquoi ça ne marche pas.
Une autre façon de voir les choses c’est de dire que c’est ce que l’utilisateur ne peut pas modifier facilement. Là c’est complexe. On va dire qu’un utilisateur peut changer de moteur de recherche, mais il ne peut pas facilement faire passer ses communications par un autre câble sous-marin. En fait, c’est plus compliqué que cela mais c’est une première approche possible de dire que l’infrastructure c’est ce qui est incontournable.
Une partie de l’infrastructure est matérielle, Francesca va en parler maintenant, ce sont les câbles, les serveurs, je la laisse en parler ; une partie est logicielle et, du fait qu’elle est logicielle, on l’oublie souvent, on estime que c’est du logiciel, ça peut se modifier facilement, en fait c’est plus compliqué que ça.
Je vais laisser maintenant la parole à Francesca pour la partie infrastructure matérielle et Francesca tu pourras me dire quand est-ce qu’il faut avancer les supports.

L’infrastructure (informationnelle) vue par les Science and Technology Studies

Francesca Musiani : On a préparé ensemble ce talk. Je pense que, dans l’ensemble, tu sais ce qu’il y a.
Merci beaucoup Stéphane et merci à tous. Merci de m’avoir invitée. Je suis Francesca Musiani, je suis chargée de recherche au CNRS, je codirige un labo qui s’appelle le Centre Internet et Société. Avec Stéphane, on avait effectivement décidé de joindre nos forces pour cette présentation, pour ne pas séparer de façon qui aurait sans doute été un peu artificielle l’infrastructure matérielle de l’infrastructure logicielle en ce qui concerne des questions de souveraineté, de gouvernance parce que c’est très souvent un mélange quasi indissoluble.

Ce dont je vais vous parler a plutôt trait au matériel. Avant, je voulais rajouter une couche à comment on définit l’infrastructure, parce que ma disciple, mon domaine, les Science and Technology Studies qui correspondent à la sociologie de l’innovation et des techniques en français, ont dit des choses là-dessus depuis assez longtemps. Elles ont notamment employé des mots pour définir la qualité infrastructurelle de quelque chose, donc d’une technologie et, dans ce cas de l’Internet, comme étant « relationnelle et conditionnelle », disant que les infrastructures, plutôt qu’en termes de forme, peuvent plus utilement être comprises à partir de leur fonction, c’est-à-dire qu’on peut considérer que les objets, les systèmes, les technologies possèdent une fonction infrastructurelle s’ils contribuent à faire quelque chose de notre rapport à l’Internet. Donc ils contribuent à structurer, à façonner à modeler, à permettre certaines choses et en contraindre d’autres. Bref ! Contribuer à définir ce qu’est notre être ensemble par moyen de l’Internet et sur l’Internet.

Tout cela a certaines conséquences politiques et de gouvernance.
D’un part, le fait d’exercer du contrôle sur telle ou telle autre fonction infrastructurelle fournit à certains acteurs le pouvoir, l’opportunité d’agir de certaines façons, notamment à leur avantage.
Par ailleurs, il n’y a que très rarement une seule manière de mettre en œuvre ces fonctions infrastructurelles ou un seul et unique acteur qui soit capable de les contrôler. Il en dérive que les infrastructures de l’Internet sont intinsément politiques, elles sont forcément contestables, donc contestées. Elles peuvent être certes cibles de gouvernance – Stéphane parlait de YouTube et de comment on gère les contenus sur telle ou telle plateforme –, mais aussi des instruments de gouvernance ; avec certaines fonctionnalités de l’infrastructure, on peut faire certaines choses, elles sont donc objet d’intérêts de plusieurs acteurs.

Infrastructure physique

En ce qui concerne l’infrastructure physique, matérielle, on peut l’appeler parfois de bas niveau. On a utilisé des métaphores pour se référer à l’infrastructure physique de l’Internet tel que les autoroutes ou les artères de la société de l’information pour en arriver à nouveau à une définition faite par une importante spécialiste STS, Susan Star : on peut les considérer également comme des égouts, plus sobrement, dit-elle.

Câbles et autres liaisons

Je vais vous donner quelques exemples d’infrastructures matérielles et leurs conséquences, enjeux politiques, on va dire.
En premier les câbles.
Disons qu’il s’agit de beaucoup de kilomètres notamment de fibre optique qui sont posés au fond des océans et des mers.
Ce sont des liens cruciaux entre les réseaux de télécommunications du monde entier, ils font les ponts entre des régions.
Les enjeux géopolitiques de ces câbles ont une histoire très longue, on retient notamment les travaux de Pascal Griset, par exemple.
Ils posent des questions très variées, par exemple le poids des entreprises privées par rapport à celui des États dans leur gestion. C’est un domaine qui est très largement privatisé et le fruit d’alliances entre entreprises.
Ils posent des questions tel que le lien de ces infrastructures au système de surveillance numérique ou encore la question de leur impact environnemental à long terme.

Centres de données

Deuxième exemple : les centres de données, datacenters.
Il s’agit de grands sites physiques sur lesquels sont regroupés des équipements informatiques qui constituent un système d’information. Notamment en termes de sociologie des techniques, ils ont été analysés avec finesse par Clément Marquet dans sa thèse dernièrement et ses travaux suivants.
Ce sont de puissants ordinateurs appelés serveurs qui constituent les archives redondantes des grandes plateformes notamment.
Là aussi il y a plusieurs enjeux : la concentration de ces infrastructures par exemple pour des raisons de liens économiques et politiques ; comment est-ce qu’on territorialise le numérique grâce à ces systèmes et aussi un manque de visibilité institutionnelle de ces points de gestion et aussi d’accès à des masses importantes de données. Là aussi je me permets de citer les travaux de Clément Marquet.

Internet Exchange Points ou IXPs

Troisième exemple : les Internet Exchange Points ou IXPs.
Il s’agit de grands immeubles qui hébergent un certain nombre de commutateurs de réseau. Ils évitent aux opérateurs d’établir des liens directs entre eux parce que le raccordement à l’IXP permet à chaque opérateur d’échanger du trafic avec tous les autres opérateurs présents sans ce lien direct.
Ces structures ont un rôle essentiel surtout dans les marchés numériques émergents – Laura Dana ??? [25 min 30] a consacré un papier à ces aspects –, notamment en promouvant le contenu des utilisateurs, en promouvant la connectivité locale entre les opérateurs et en réduisant les coûts d’interconnexion et la dépendance de la connectivité locale par rapport au point d’échange étrangers.

Résumé sur l’infrastructure matérielle

Pour résumer, ces infrastructures physiques posent des questions de la privation, donc de la stratégie économique de telle ou telle autre entreprise et des alliances qu’elles établissent entre elles, de coût pour l’environnement et de géographie juridique également.
Elles soulèvent des problèmes de gouvernance et de souveraineté, donc, pour en revenir au thème du colloque, qui rejoignent ceux qui sont soulevés par la gestion des protocoles et des ressources internet critiques ainsi que la couche logicielle pour laquelle je rends la parole à Stéphane. Merci.

Stéphane Bortzmeyer : Merci Francesca.

Et le logiciel

L’autre partie importante de l’infrastructure c’est la partie logicielle.
Il y a des logiciels partout, on le voit bien, mais il y a aussi un logiciel qui n’est pas visible sur l’écran, encore moins visible que le matériel, il n’est pas sur l’écran donc ce n’est pas une application web utilisateur, mais ce n’est pas non plus du matériel que l’on peut toucher.
Ce n’est pas toujours clair de savoir ce qui est du logiciel d’infrastructure ou pas. Par exemple, on pourrait considérer que le système d’exploitation ou le moteur de recherche, que l’utilisateur voient, font partie de l’infrastructure puisque, pour la plupart des utilisateurs, c’est obligatoire, on ne peut pas y toucher. Beaucoup d’utilisateurs, par exemple, ne rêveraient même pas d’utiliser un autre moteur de recherche que celui par défaut donc, à certains égards, cela pourrait être considéré comme faisant partie de l’infrastructure. Ceci dit, essentiellement pour des raisons de manque de temps, on ne va pas en parler ici, on va se concentrer sur la vraie infrastructure logicielle, les noms de domaine et le routage notamment.

Les noms de domaine : qu’y a-t-il derrière souvnum.sciences conf.org ?

Les noms de domaine. Vous avez tous vu souvnum.sciences conf.org, le site web du colloque.
Un point important : le système de noms de domaine est arborescent, cela veut dire qu’il y a une racine et ensuite des domaines de premier niveau, de deuxième niveau, etc. Vous savez que les botanistes disent que la racine des arbres est en bas de l’arbre, mais les informaticiens mettent la racine en haut et c’est assez significatif parce que ça indique le pouvoir dont dispose cette racine.
Ceci dit, si vous n’êtes pas déjà connaisseur d’un système de noms de domaine, méfiez-vous c’est aussi un domaine qui suscite beaucoup de fantasmes et les informations qu’on lit dans les médias, dans Wikipédia, même dans beaucoup d’autres endroits, dans les articles, dans les discours officiels, dans des revues ou des livres des fois sérieux par ailleurs, on voit beaucoup d’erreurs sur la gestion des noms de domaine, sur la racine en général. On prête des pouvoirs extraordinaires à la racine ou à l’ICANN qui gère une fonction des parties de la racine. Il faut déjà relativiser cela. Ceci dit c’est quand même important. L’actualité fournit des exemples : le gouvernement ukrainien a envoyé une lettre officielle à l’ICANN pour demander la suppression du domaine de premier niveau .ru, Russie, pour demander son retrait de la racine. L’ICANN a refusé pas avec l’argument qu’ils approuvaient l’action de Poutine et l’invasion de l’Ukraine, mais avec l’argument que l’ICANN n’avait simplement aucun droit de décider ce qui était un pays ou pas, donc de le retirer de la racine. Ça illustre bien les problèmes de la racine, les pouvoirs théoriques, les pouvoirs réels, ce qui peut passer. Dans le cas présent, par exemple, la raison principale pour laquelle l’ICANN a dit non c’est simplement parce que s’ils avaient fait ça, du jour au lendemain les Russes créaient leur propre racine avec les Chinois et on n’était pas plus avancé qu’avant. Ça illustre bien la différence entre les pouvoirs théoriques et les pouvoirs pratiques. Des fois les gens me posent des questions : « Alors l’ICANN, depuis son bureau en Californie, peut supprimer un pays ? ». Non ! Ce sont des racontars de journalistes, la réalité est bien plus complexe.

Et puis la gouvernance de l’Internet, l’ensemble des points de décision sur l’Internet, ne se réduit pas à la racine des noms. Des tas d’autres aspects peuvent être discutés, qui n’ont rien à voir avec la gestion de la racine et qui n’ont rien à voir avec l’ICANN. Par exemple ces domaines de premier niveau comme .ru, .fr, etc. , qui les gère ? Par exemple qui doit gérer .fr ?
En France la réponse est simple : il y a une loi de 2004 qui dit que .fr est une ressource nationale, c’est le sol sacré de la patrie, donc c’est géré par le gouvernement soit directement, soit indirectement par un mécanisme d’appel d’offres, de désignation d’une organisation qui va gérer le domaine, etc., mais l’autorité finale est française et nationale. Ça n’est pas obligatoire et tous les pays ne fonctionnent pas comme ça ; même si on se limite à l’Union européenne la plupart des pays n’ont pas de règles de ce genre-là et ont des mécanismes de gestion de leur domaine national qui sont très différents. Chaque pays est un cas particulier et gère d’une manière particulière son nom de domaine national avec des lois, des règles, des pratiques qui peuvent être extrêmement diverses.

Il y a d’autres exemples dans la gestion des noms de domaine qui sont intéressants du point de vue gouvernance, par exemple le fait que, comme toute interaction sur Internet, quasiment toutes, commence par une utilisation d’un nom de domaine et par ce qu’on appelle une requête DNS, Domain Name System, c'est donc un point de contrôle tentant ; ça peut être intéressant pour exercer un contrôle par exemple de censure. C’est le cas de ce qui est fait avec ce qu’on appelle les résolveurs menteurs, qui sont le premier serveur DNS que votre machine ordinaire interroge, votre petit téléphone, n’importe quelle autre chose de ce genre. Ils commencent quasiment toute opération par poser une question à une machine que vous ne gérez pas, qui est bien plus loin, qui s’appelle le résolveur DNS, et ceux-là, dans beaucoup pays, sont légalement obligés de mentir, c’est-à-dire que, pour un certains noms de domaine, au lieu de donner la vraie réponse de dire «  il n’existe pas », alors qu’en fait il existe, et de renvoyer une information mensongère. C’est une technique de censure qui la plus utilisée notamment dans les pays d’Europe, d’autres pays procèdent différemment.
Ça soulève à la fois les problèmes classiques de l’application de la censure, mais aussi le fait qu’il y a un mélange entre une activité opérationnelle – on a besoin du DNS, on doit passer par lui – et l’application d’une politique. C’est tentant d’utiliser ça pour mettre en œuvre sa politique et ça revient aussi à interférer avec une fonction de base de l’Internet, diminuant sa fiabilité, augmentant les risques.

Un autre sujet politique lié aux noms de domaine, qui a fait l’objet de pas de discussions, qu’on a un peu oubliées, ce sont les noms de domaine internationalisés. Contrairement à une légende tenace, vous pouvez parfaitement mettre des noms avec accent dans un nom de domaine, comme ceux que j’ai mis ici, ou en chinois ou en arabe, ce que vous voulez, mais qui décide ? Il y a plusieurs échelles de décision dans ce cas-là. Il faut le décider techniquement dans les normes techniques, il faut le mettre en œuvre dans les logiciels, il faut le déployer dans les systèmes effectifs. Tout un tas d’acteurs interviennent pour faire en sorte que ça marche ou, au contraire, que ça ne marche pas et ça illustre parfaitement le pouvoir de l’infrastructure dont je parlais. Bien sûr, on peut toujours se débrouiller, l’infrastructure n’impose pas une utilisation particulière, mais elle rend certaines choses faciles ou difficiles donc, si vous ne parlez pas anglais, vous aurez plus de mal à utiliser les noms de domaine si vous n’avez pas cette possibilité. Elle existe maintenant, mais ça a été un long combat.

Le routage

Le routage est l’autre grande infrastructure logicielle qui a des conséquences sur ce que font ou ne font pas les utilisateurs.
Le routage c’est l’ensemble des systèmes qui permettent d’acheminer une communication d’un point A à un point B.
Une grande particularité de l’Internet, et c’est pour ça que le titre de Franceinfo que j’ai cité tout à l’huer était ridicule, ce n’est même pas qu’il est faux, il est ridicule parce qu’il croyait que l’Internet est un truc auquel on accède. C’est le point de vue de monsieur Michu qui accède à son fournisseur d’accès à Internet, mais ce n’est pas le point de vue de l’Internet lui-même : il y a une interconnexion de différents réseaux où chacun peut fonctionner en autonomie, mais, évidemment, c’est leur interconnexion qui fait la valeur de l’Internet. Évidemment, quelqu’un qui est abonné à Orange ne veut pas accéder qu’à Orange, il veut accéder à tout le reste de l’Internet. C’est donc essentiel d’avoir des mécanismes de routage qui permettent que quand l’abonné à Orange veut regarder un site web en Bolivie, ça va arriver jusqu’à l’opérateur bolivien et retour. C’est un domaine, comme souvent dans l’Internet, tout le monde peut participer mais tout le monde n’est pas égal. Les gros opérateurs de routage, ceux qui connectent, qui sont présents sur toute la planète et n’ont besoin pratiquement de personne d’autre s’appellent les Tier-1 et ne sont pas très nombreux, c'est peut-être une dizaine d’entreprises qui ont cette possibilité et qui ont un pouvoir important. On a parlé de la Russie tout à l’heure, deux Tier-1 importants, Cogent et Lumen, ont décidé de couper toutes les liaisons avec leurs clients russes donc, d’un seul coup, une bonne partie de l’Internet russe se retrouvait privé de connexions internationales.

Ces connexions de réseau, dont j’ai parlé, peuvent en effet se faire sur un modèle égalitaire, l’appairage, les deux opérateurs se considèrent comme des pairs, ou sous un mode plutôt client/fournisseur, on achète de la connectivité à quelqu’un et ça entraîne évidemment des rapports de force qui sont très différents.

Le routage pose aussi des tas de problèmes de sécurité amusants : quand un opérateur dit « pour joindre la Bolivie, la Mongolie, etc., passe par moi », comment peut-on lui faire confiance ? Dans un réseau qui est décentralisé, où il n’y a pas de chef – il n’y a pas de régulateur mondial de l’Internet, ne croyez pas ce qui est écrit sur Wikipédia là-dessus, ce n’est pas vrai – qui peut décider que telle annonce est légitime ou pas ?, eh bien c’est très compliqué. Il y a des solutions, je ne veux pas vous désespérer, il y a des solutions, il y a des approches, mais on ne peut pas dire ça marche parfaitement.
Les ressources virtuelles sur lesquelles s’appuie le routage sont donc les adresses IP que vous connaissez, dont vous avez entendu parler, d’autres ressources plus abstraites, comme les numéros de systèmes autonomes. Ces ressources sont attribuées par des organismes qui s’appellent les RIR, Regional Internet Registry, en Europe le RIR-NCC, ceux-là sont également soumis à différentes pressions de gouvernance. Le gouvernement ukrainien, dont j’ai parlé tout à l’heure, avait également envoyé une lettre au RIR-NCC pour reprendre toutes les ressources qui avaient été attribuées à des opérateurs ce qui aurait pu mener, ce que disait la lettre du gouvernement ukrainien, à couper la Russie de l’Internet, en fait ce n’est pas vrai ! Ça ne l’aurait pas coupé, mais ça aurait sérieusement bordélisé – désolé de dire des gros mots, nous sommes à un colloque sérieux –, ça aurait sérieusement perturbé le fonctionnement de l’Internet.

Donc le routage, derrière son aspect technique, avec des protocoles comme BGP, Border Gateway Protocol, pose aussi des enjeux de souveraineté derrière.

Le chiffrement

Il y a aussi un sujet qui touche à l’infrastructure, qui a fait d’innombrables discussions dans le domaine de la gouvernance, de la politique, etc., ce sont les techniques de chiffrement. Comme Internet est une interconnexion de réseaux, vous ne pouvez jamais savoir si vous pouvez faire confiance aux acteurs intermédiaires, donc un chiffrement systématique, c’est-à-dire de toutes les communications et de bout en bout, d’une machine à l’autre, est absolument indispensable si on veut faire sérieusement de la sécurité, sinon pas de sécurité, on peut laisser tomber. Le chiffrement reste régulièrement attaqué et contesté, puisque, régulièrement, des demandes sont faites à tous les acteurs intermédiaires entre le point A et le point B pour qu’ils perturbent le chiffrement, qu’ils le rendent impossible.
Un exemple typique est la controverse qui avait eu lieu sur le système qui s’appelle DoH [DNS over HTTPS], DNS sur HTTPS, qui permet de sécuriser le DNS dont j’ai parlé tout à l’heure, mais cette sécurité gêne certains qui avaient l’habitude d’interférer avec le trafic DNS et ça les embête.
Je vous renvoie là-dessus au dernier dossier de la revue Terminal où il y avait un article justement sur la controverse sur DoH.

La normalisation technique

Autre sujet d’infrastructure qui est politique aussi, la normalisation technique.
L’Internet n’a pas de chef. Le fait qu’il fonctionne, le fait qu’avec ma machine ici je puisse voir un site web qui est géré par toute autre société, qui utilise des tout autres logiciels, des tout autres systèmes d’exploitation, ça ne marche que parce qu’il y a des normes techniques qui font que ça va fonctionner.
Certains des points qu’on a vus comme le chiffrement, comme les noms de domaine internationalisés, dépendent de ces normes techniques. Ces normes techniques sont établies de plusieurs façons, je simplifie, on a un temps limité, le président veille à ce qu’on ne le dépasse pas et il a bien raison. Une des façons de normaliser, c’est par des organismes de normalisation, notamment pour l’Internet l’IETF, Internet Engineering Task Force, et l’IEEE [Institute of Electrical and Electronics Engineers] qui s’occupe notamment de ce qui est matériel, par exemple la norme Wifi ce sont eux.

En conclusion, infrastructure et souveraineté

En conclusion, l’infrastructure compte, est donc un composant de la souveraineté. Il ne faut pas parler que de TikTok, il y a aussi toute une infrastructure en dessous qui est importante.
Par contre, la souveraineté est un problème complexe et qui ne colle pas forcément avec les frontières nationales. On dit souvent, par exemple pour la normalisation technique, « il faudrait que la France soit officiellement plus présente dans des organismes comme l’IETF », mais y dire quoi ? Quelle est la vision nationale sur les protocoles de sécurisation de routage comme BGPsec ?, je n’en sais rien et je ne suis même pas sûr qu’il y ait une vision nationale particulière là-dessus. Sur les noms de domaine internationalisés je vois bien en quoi le point de vue des Français est différent de celui des pays anglophones, mais c’est moins évident pour plein d’autres problèmes.
Et puis souveraineté, il y a aussi, bien sûr, la souveraineté de l’individu. Si on a un fournisseur d’accès national qui contrôle ce qu’on peut faire ou ce qu’on peut voir, l’individu n’est pas souverain, donc la souveraineté a beaucoup d’aspects : la souveraineté des États, celle des entreprises, celle des individus et ça ne coïncide pas forcément.
Je vous remercie. Le point important c’était que l’infrastructure est cruciale et qu’il ne faut pas l’oublier.

Jean Peeters : Merci beaucoup. On va passer à la troisième intervention, celle d’Ophélie Coelho qui est en principe en visioconférence.

Intervention d’Ophélie Coelho – Chaînes de dépendance et territorialisation : des enjeux politiques et environnementaux

Ophélie Coelho : Tout d’abord