CaliOpen Conf Laurent Chemla RMLL 2014

Titre : La réappropriation de nos correspondances privées.

Intervenant : Laurent Chemla

Lieu : RMLL - Montpellier

Date : Juillet 2014

Durée : 1 h 18 min

Lien vers la vidéo : [1]

00' transcrit MO

Alors. Ça fait donc un an maintenant qu'on a eu les révélations d'Edward Snowden sur PRISM et sur le scandale de la NSA. Et depuis un an il faut bien constater que pas grand-chose n'a changé. Il y a eu beaucoup, beaucoup de mots qui ont été échangés depuis, mais voilà. Quand c'est arrivé, moi entre autres, je n'ai pas été particulièrement étonné par le fait que les espions nous espionnent. Je m'attendais à quelque chose de cet ordre, évidemment pas de cette ampleur, ça, ça a été une surprise. Mais la vraie surprise n'est pas tellement venue de l'ampleur des révélations que du fait que d'un seul coup le grand public a été partie prenante. C'est-à-dire qu’il s’est enfin passé quelque chose. On a déjà eu ce type de révélation dans le passé, avec Échelon il y a une petite dizaine d'années, Frenchelon un peu plus tard, et à chaque fois c'est resté très confiné dans les milieux hackers et sans du tout que le grand public n'en soit informé.

Avec Edward Snowden et la façon peut-être dont les révélations ont été faites, d'un seul coup il y a eu cette grosse innovation de la prise de conscience, par le grand public, du fait que la vie privée était devenue quelque chose d'un peu difficile à protéger. Donc on a eu une petite évolution, malgré tout, quand je dis il ne s'est rien passé, il y a eu ça, il y a eu cette prise de conscience au niveau du grand public. Ceci dit, techniquement et socialement, ça n'a pas empêché la NSA de continuer à nous espionner, ça n'a pas empêché les députés français de voter la loi de programmation militaire qui étend la surveillance en France et ça n'a pas non plus modifié le comportement du grand public, même si quelques technophiles se sont penchés sur la façon de protéger un peu mieux leur vie privée, en pratique, leur nombre est tellement réduit, que ça n'a pas changé grand-chose.

Donc j'ai cherché depuis un an, d'abord à réfléchir à ce qui s’était passé, et à essayer de comprendre comment faire pour résoudre cette question de la vie privée sur Internet et ailleurs.

Alors il y a eu quelques évolutions techniques. Il y a eu depuis, donc j'ai dit les techniciens, oh ce n'est pas si mal, les techniciens se sont mis à utiliser un peu plus les outils de sécurité de type PGP, Tor. On a vu très récemment Google, entre autres, annoncer qu'il allait mieux référencer les sites qui protégeaient le mieux la vie privée, c'est-à-dire les sites qui vous affichent un petit cadenas quand vous vous y connectez, seraient un peu mieux référencés que les autres. Et a annoncé aussi que Google mail allait bientôt proposer une solution de chiffrement pour le courrier électronique. Évidemment ça pose le problème de la confiance. Est-ce qu'on a confiance dans Google et surtout dans le cas d'une entreprise dont le modèle économique est basé sur l'exploitation de vos données privées ? Comment faire confiance ? Comment pouvoir imaginer un seul instant que vos courriers chiffrés qui sont chez lui, avec votre clef privée bien sûr, parce que sinon vous ne pouvez plus y accéder facilement, vous ne pouvez plus faire de recherche dedans, comment croire que Google ne va pas, lui, les utiliser pour vous afficher de la pub contextuelle ? Et s'il peut les utiliser lui, comment croire qu’une entreprise américaine, donc soumise au Patriot Act, ne va pas les fournir à la NSA sur demande ? Ce n'est pas parce que Google vous proposera demain une messagerie chiffrée que vous serez mieux protégé qu’aujourd’hui.

Il y a eu aussi une prise en compte politique de cette question, de plus en plus d'ailleurs. Là aujourd'hui, il est question de poser une question au gouvernement sur l'accueil d'Edward Snowden en France, en tant que réfugié. Il y a peu de chance que ça arrive, mais on voit quand même que, pour que des questions au gouvernement soient posées en Assemblée Nationale concernant ce type de sujet, il y a une vraie évolution sociale qui se fait.

Et puis il y a une réflexion un peu plus globale qui se fait au niveau des grands corps, des grands organismes qui gèrent Internet, pour mettre la sécurité un peu plus au centre. C'est vrai que c'est un domaine qui était resté très cadenassé, très fermé dans les milieux spécialisés dans la sécurité, mais en dehors, les développeurs en général sur Internet se préoccupaient assez peu de la sécurité jusqu’à présent. Là il est vraiment question de rendre cet aspect du développement d'Internet fondamental. C'est-à-dire que plus rien ne pourrait se créer sur Internet sans qu'au moins il y ait des questions de sécurité qui se posent voire à ce qu'on essaye de les rendre le plus sures possible. Donc on a vu quelques résultats suite à ces révélations. On a vu que l'utilisation de PGP, GPG, c'est la même chose, plus ou moins, et de Tor qui est un système anonymisation totale, quand vous naviguez avec Tor vous naviguez de façon complètement anonyme sur Internet, elle est augmentée, dans des proportions très limitées, encore une fois.

On a vu arriver beaucoup de projets orientés vers la protection, sans doute un peu portés par l'air du temps et pour surfer sur la pub faite par Snowden. Je pense à particulier à des sites comme le site suisse ProtonMail, dont on parle aujourd'hui encore parce qu'il pose peut-être des questions de sécurité qui n'ont pas toutes été résolues, mais qui vous garantit, lui, que tous vos mails seront chiffrés, qu'il n'y a aucun moyen de les déchiffrer chez lui, sauf que, on a vu, une faille a été annoncée hier, et puis surtout c'est un système centralisé. Donc si une faille est détectée par un chercheur indépendant, qu'eux la corrigent, c'est très bien, mais c'est centralisé, tout est chez eux, Du coup si la NSA trouve une faille chez eux, tous les mails qui sont stockés chez eux seront déchiffrés par la NSA. Et si le chercheur indépendant les prévient « eh, j'ai trouvé une faille il faut la corriger », c'est bien. Si la NSA trouve une faille, il ne faut pas compter sur eux pour les prévenir. « Eh, J'arrive à lire tout ton mail ! » À partir du moment où on a un système centralisé, la confiance encore une fois, même si c'est en Suisse, et même si c'est totalement du coup indépendant de NSA, en tout cas on peut l'espérer, ça pose quand même des problèmes.

Donc en pratique au quotidien, on voit bien que les résultats en question n'ont pas changé grand-chose au problème. Le problème, c'est quoi en réalité ? C'est une vraie question. Moi depuis des années je me dis que la vie privée est une affaire de vieux cons. Ça a été théorisé, entre autres, par Manach qui a écrit un très bel article là-dessus, et un bouquin même. C'est à-dire que, dans ma génération, l'idée même d'avoir des caméras partout qui nous surveillent, c'était quelque chose d'un petit peu insupportable. Et puis petit à petit, les choses ont évolué, à la fois par le discours politique sur la sécurité, à la fois par le discours médiatique sur toutes les émissions de télé-réalité.

La première émission de télé-réalité en France ça remonte à au moins une génération donc Love Story. Ça avait déclenché à l'époque un tas de réactions très fortes en France, puis aujourd'hui, une émission de télé-réalité, tout le monde s'en fiche, c'est devenu naturel.

Même chose, quand moi j'étais gamin, je n'avais pas un baby-phone qui prévenait ma mère quand j'avais pleuré. Je n'avais pas des caméras de sécurité qui me surveillaient. J'avais à la limite des tickets de métro complètement intraçables, une carte Orange ensuite toujours aussi intraçable. Et puis petit à petit sont venues les caméras de sécurité partout, les systèmes d'abonnement, mais d'abonnement nominatif, aux transports en commun, qui fait que le transport sait en permanence où vous allez, qui vous êtes et ce que vous faites. Les cartes de fidélité des grands magasins aussi, qui savent exactement tout ce que vous achetez pour pouvoir vous envoyer des pubs un peu plus ciblées. Tout ça est devenu quelque chose, bien en dehors d'Internet, d'assez largement accepté. Il n'y a plus de réaction face à ça. Du coup on pourrait se dire, après tout, si la vie privée vaut si peu pour le grand public, à quoi bon ? À quoi ça sert de se battre pour essayer de retrouver une protection ? Et pourquoi ne pas laisser les espions continuer à nous espionner ?

D'autre part Internet, depuis aussi une petite dizaine d'années maintenant, est devenu quelque chose de… Le modèle économique fondamental le plus important sur Internet c'est « je vous offre un service gratuit mais en échange j'utilise vos données confidentielles ». Et le grand public aussi a pris l'habitude de ça. C'est difficile de dire au grand public : « Avant tout, il va falloir maintenant arrêter d'utiliser Gmail parce que c'est gratuit et prendre un service payant qui sera en plus un peu moins pratique à utiliser parce que plus sécurisé ». Et du coup les gens n'ont pas envie. Non seulement c'est compliqué parce qu'il faut changer l’adresse e-mail, mais en plus c'est payant, donc on n'a pas du tout envie de faire ça. Le modèle économique en question est devenu tellement habituel pour le grand public, que lui dire il y en a d'autres possibles, qui eux vous garantiront un peu plus de vie privée, ce n'est pas un geste si simple. Ça pose un autre problème, cette histoire de modèle économique sur Internet, le fait d'échanger la gratuité contre des données personnelles et donc contre de la publicité, c'est quoi ? C'est que les régies publicitaires, elles, ont plutôt avoir tendance à mettre leurs annonces et leurs offres sur les plus gros sites, ceux qui ont le plus de public, bien sûr. C'est toujours plus intéressant de balancer sa pub sur un site qui a un très fort taux d'audience. Seulement, à ce moment-là, quand vous faites ça, vous renforcez le plus gros des sites, et donc, vous renforcez la centralisation sur Internet. C’est-à-dire que Google n'était pas énorme au début, mais petit à petit, comme il était le plus important des moteurs de recherche, toute la pub s'est faite dessus, et du coup, Google gagne beaucoup d'argent, peut racheter tous ses concurrents. On a une centralisation qui se fait comme ça. C'est pareil pour Facebook, c'est pareil pour tous les très gros sites, ce qu'on appelle les GAFA.

Le problème qui se pose quand on centralise Internet, c'est que pour de espions c'est tentant. Si vous allez chez Google et que vous avez un milliards d'utilisateurs qui utilisent son service de mails, vous n'avez pas envie d'aller espionner les petits Protonmail et autres qui se mettent en place autour de la planète. Tout le monde, de toutes façons, va à un moment ou à un autre, échanger avec des gens qui utilisent Gmail. Donc vous lirez leur courrier même si eux ne sont pas chez Gmail. Donc la centralisation c'est tentant, ce sont des bonbons pour les espions. On n'a qu'à mettre nos micros là, et on espionne la terre entière. On n'a pas besoin d'aller déployer des micros et des sondes absolument partout sur Internet. Il suffit de nous mettre chez Google, chez Amazon, chez Facebook, ça y est on a tout le monde. Ça ne coûte pas cher. C'est beaucoup plus simple.

Donc on voit comment le modèle économique de la gratuité sur Internet amène une telle facilité qu'il est difficile d'en vouloir à des espions d'espionner. C'est devenu tellement simple pour eux qu'ils auraient tort de s'en priver.

C'est donc le deuxième problème je dirais économique. C'est, non seulement la vie privée pour la plupart des gens d'aujourd'hui est quelque chose qui n'a pas beaucoup de valeur, mais en plus l'espionnage de masse est devenu très peu cher justement du fait de cette centralisation. Donc on a vraiment un rapport de force économique qui se met en place comme ça.

Au niveau politique, il est normal dans une société démocratique qu'il y ait un équilibre entre la liberté et la responsabilité. Ce sont des choses qui se font naturellement. Par exemple en droit pénal, vous n'avez pas de responsabilité si vous n'avez pas la conscience d'avoir mal agi. C'est important. Mais, du coup, vous voyez bien la liaison entre vous êtes libre d'agir mal mais à ce moment-là vous en êtes responsable. Et de la même façon vous ne pouvez pas être responsable si vous n'avez pas conscience, si vous n'avez pas cette liberté d'avoir mal agi.

Cet équilibre-là implique qu'on doive rendre des comptes quand on s’exprime par exemple. Sur Internet l'expression publique est quelque chose qui doit permettre ensuite, à la justice d'un pays démocratique, de dire non, là vous avez été trop loin, ça n'est plus de l'ordre de la liberté d'expression, c'est de l'ordre du délit, c'est de l'incitation à la haine raciale, c'est autre chose.

13' 16

Pour pouvoir faire ça on comprend bien qu'un état ait besoin d'avoir des moyens de surveillance. Quand on tient ce discours-là on comprend bien que l'état, pour lui c'est facile de dire « je ne peux laisser tout dire sur Internet, donc il faut que j'ai les moyens de surveillance, il faut que je mette en place des systèmes qui surveillent toute la population pour pouvoir savoir quand quelqu'un va trop loin, et donc, il est normal qu’Internet soit surveillé, il est normal que votre vie privée soit mise en jeu de façon à ce que je puisse, moi, vous garantir les libertés publiques et la sécurité publique ». Ce n'est pas très cher pour un politique, encore une fois, de mettre en œuvre des systèmes de surveillance. Encore une fois, l'aspect économique de l’atteinte à la vie privée se pose. Le discours politique qui permet de vous surveiller est un discours qui passe facilement.

D'autre part en période de crise, de toutes façons, et ça historiquement, la défense des libertés n'a jamais été quelque chose de fondamental. En période de crise les gens sont plus intéressés par : « Comment est-ce que je vais manger demain ? Où est-ce que je vais habiter après-demain ? ». On a tellement de mal à se projeter dans l'avenir que défendre ses libertés ce n'est pas la priorité du jour. Donc encore une fois, il est plus facile en période de crise de vous vendre de la sécurité que de vous garantir vos libertés fondamentales. On verra plus tard.

Donc on voit d'ailleurs, on l'a revu et j'en reparle à nouveau, la loi de programmation militaire qui aurait, en plein milieu du scandale Snowden et en plein milieu du scandale des écoutes de la NSA, aurait dû déclencher une réaction assez forte du public, n'en a déclenchée presque aucune. C'est-à-dire que les quelques activistes qui s'intéressent à ces dossiers ont dit ce n'est pas normal, on ne peut pas faire ça, on ne pas continuer à étendre les systèmes de surveillance partout sans aucun garde-fou, sans aucune garantie, mais ça s'est arrêté là. Le grand public n'a pas réagi. La loi est passée comme une fleur. Ni le PS, ni l'UMP, ni les Verts, n'ont souhaité amener ce projet de loi devant le Conseil Constitutionnel et voilà. Terminé, c'est passé. Ce n'est pas assez cher politiquement de protéger les libertés. Ça ne vaut pas le coup.

Pourtant, si dans une société, toujours dans un état de droit, la vie privée est si importante, c'est surtout parce que sans vie privée on n'a aucune liberté, en réalité. C'est ça que les gens ont un peu de mal à comprendre. On délègue à l'état la responsabilité de garantir la sécurité publique. Mais en échange de cette sécurité publique, il doit aussi garantir les libertés individuelles. Ça doit être un équilibre entre les deux. La sécurité publique elle doit vous permettre, à vous tous, d'agir librement individuellement. Si en échange de la sécurité publique on doit cesser d'avoir une vie privée, donc cesser, je ne sais pas, imaginez que demain vous ayez visité un site, j'allais dire zoophile, pourquoi pas, on peut inventer n'importe quoi, par erreur ou simplement parce que ça vous amuse, chacun son truc. Imaginons ça. Ça n'a pas d'importance après tout dans votre boulot, tout le monde s'en fiche, vos amis savent exactement que vous aimez les teckels morts, il n'y a pas de problème. Donc vous visitez le site et vous vous dites, après tout, que l'état soit au courant, que la NSA soit au courant, je m'en fous, ça n'a aucune importance. Sauf que vous pouvez avoir des gamins demain qui eux vont avoir envie d'avoir une carrière politique par exemple. Ces données qui pour vous n'ont aucune valeur, peut-être que demain elles pourront être utilisées par des opposants politiques pour les mettre en difficulté. On ne peut pas savoir. Vous prenez un selfie devant une jolie fontaine en vacances en Turquie et derrière vous il y a un opposant que la police recherche. Vous, votre selfie, vous trouvez que ça n'a aucune importance. L’opposant politique que la police va pouvoir repérer sur Facebook, ou là où vous aurez publié la photo, lui pour le coup ça avait une importance.

Donc on voit quand même que sans vie privée, sans garantie de défense de votre vie privée, si vous ne pouvez pas savoir ce que seront fait, enfin bref vous avez compris, il y a un vrai problème, on n'est plus aussi libre qu'avant si on n'a pas la possibilité, à tout instant, d'agir de façon secrète quand on est soi-même dans sa tête. Or aujourd'hui c’est de moins en moins vrai. Donc cette garantie des libertés individuelles en échange de la sécurité publique, elle doit être proportionnelle. Elle ne peut pas, comme aujourd'hui, continuer à dériver de plus en plus vers plus de sécurité et moins de liberté, sinon au bout du compte on n'a plus de liberté du tout.

Pour prendre un exemple un peu plus physique. Imaginons que demain on vous dise vous allez tous porter des lunettes Google, parce que ça va permettre à la police de surveiller absolument tout ce qui se passe tout le temps, partout, y compris chez vous, vous serez parfaitement en sécurité. Est-ce qu'aujourd'hui on est prêts à accepter ça ? Je ne crois pas. Mais vu l'évolution dans laquelle on est depuis une quinzaine d'années, j'ai bien peur que dans cinq, six ans, ce soit tout à fait acceptable, si on continue comme ça. Et du coup, là pour le coup, il n'y a plus du tout ni vie privée, ni liberté quelle qu'elle soit. La liberté individuelle, c'est aussi de pouvoir dire « non, cette loi je ne la respecte pas, je vais me battre contre ». Quand, je ne sais pas, Mediapart dit « moi je ne respecterai pas la loi qui m'impose une TVA à 19,6 » alors qu'elle l'impose aux autres journaux, elle le fait publiquement, mais elle pourrait aussi le faire, un certain temps, sans le rendre public. Si Mediapart est surveillé en permanence, il ne peut pas se battre contre cette loi.

On a besoin d'avoir un espace de vie privée pour pouvoir prendre des décisions et on ne peut pas être libre si on n'a pas cet espace de vie privée.

Alors quelle réponse donner à ça ? Évidemment il y a une réponse politique qui devrait se mettre en place, on l'espère, mais on ne le voit pas. Au quotidien, encore une fois, on voit des lois de plus en plus répressives arriver les unes derrière les autres. Aujourd'hui une loi est passée qui permet de fermer un site terroriste sans décision judiciaire. C'est une simple décision administrative qui force votre fournisseur d'accès à vous empêcher d'aller sur un site terroriste. Pourquoi pas ? C'est quoi terroriste ? Qui définit ce qu'est le terrorisme ? Aux États-Unis Edward Snowden, pour certains, est un terroriste. Si on ne définit pas plus que ça, demain l'État français peut dire, je ne sais pas moi, l'utilisation du logiciel libre, c'est un acte terroriste. Pourquoi pas ? Je l'ai déjà entendu, ce n'est pas quelque chose qui vient de nulle part. Si on dit ça, à ce moment-là, on doit empêcher, sans décision judiciaire, l'accès à tous les sites de logiciels libres, si on n'a pas défini le terrorisme. Alors qui peut définir le terrorisme ? Encore moins dans un texte de loi.

Donc si on n'a pas une action politique pour éviter ce type de loi, pour se battre contre, ce que fait la Quadrature en permanence. J'en profite pour vous rappeler que la Quadrature est en période de levée de fonds, donc si vous avez quelques sous à lui donner, n’hésitez pas, si on ne se bat contre eux, on va continuer à perdre des libertés, petit à petit comme ça, quotidiennement, jusqu'à n'en avoir plus aucune. Évidemment, il y a aussi la réponse sociale. On peut apprendre à utiliser des logiciels plus sûrs et on peut militer autour de soi. L'exemple que j'aime bien prendre c'est de demander à son docteur comment est-ce qu'il protège vos données médicales qui normalement sont confidentielles. Est-ce qu'il les met sur le cloud sans chiffrement ? Ou est-ce qu'il les garde sur son ordinateur avec un gros mot de passe et chiffrées ? C'est important de le savoir. Et puis en en parlant avec lui ça peut, lui, le motiver à faire un peu plus attention non seulement à ses données mais aussi aux vôtres.

On fait ce travail-là avec les journalistes aussi. On va les voir en leur disant « vous êtes censés garantir l'anonymat de vos sources, comment vous faites ?  Est-ce que vous échangez par mail sur Google Mail avec eux ? Ou est-ce que vous utilisez PGP ? »

On peut faire ça. On peut espérer aussi que les corps dont j'ai parlé tout à l'heure, l'IETF W3C, donc les gens qui organisent Internet, plus ou moins, continuent leurs développements et arrivent peut-être un jour à ce qu'on espère, c’est-à-dire un Internet beaucoup plus sécurisé, mais on en est très loin ! Alors, en tant qu’activiste, il est important aujourd'hui de se poser cette question : « Comment est-ce que moi je vais faire pour améliorer les choses ? »

D'abord je dois apprendre à mieux communiquer. Typiquement je dois venir devant vous, ce n'est pas un acte aussi simple que ça pour quelqu'un comme moi. Je dois, à l'image d'Edward Snowden, apprendre à faire en sorte qu'on parle de mon affaire. Je dois, quand j'ai un scandale que je veux dénoncer, je dois apprendre à le feuilletonner, à trouver les journalistes qui vont faire ça bien, de façon à intéresser le grand public. C'est un vrai boulot d'apprendre à communiquer pour des gens dont ce n'est pas le boulot, mais on est obligés de le faire de plus en plus.

Enfin une réponse technique, qui est peut-être celle dans laquelle je me sens le plus à l'aise, moi, mais qui n'est pas le cas de tout le monde. D'abord il va falloir arrêter de croire que simplement parce qu'on a développé un outil qui permet la confidentialité, tout le monde va se mettre à l'utiliser un jour ou l'autre. Les logiciels libres, après tout, c’était un peu le modèle au départ. On fabrique un logiciel libre, on le met à disposition de tout un chacun, on met la doc en ligne, et puis petit à petit les gens vont l'utiliser. C'est normal, il est meilleur, il est libre, il y a tout intérêt à ce que les gens viennent. Pourquoi est-ce que tout le monde n'abandonne pas Windows ? C'est bizarre ! En même temps, c'est comme ça que ça se passe.

Pour que Linux puisse devenir quelque chose de largement utilisé, il a fallu faire autre chose que simplement le mettre en ligne et laisser les gens s'en emparer. Il a fallu le rendre agréable, facile d'emploi, joli, sexy, quelque chose d'attirant pour le grand public, qui ensuite, que ce soit libre ou pas, il s'en fiche. Ce qu'il veut, lui, c'est que ce soit pratique, sympa, pas difficile. En sécurité, on n'a jamais fait ce travail là. En sécurité on a fabriqué PGP. Qui l'utilise dans la salle ? Au quotidien ? Voilà. Alors un, deux, trois, quatre, cinq. Qui utilise PGP, qui est le logiciel qui permet de chiffrer son mail, au quotidien ? J'ai bien dit au quotidien, c'est-à-dire que tous les jours vous vous rentrez votre password au moins une fois. Voilà ! Et encore on n'est quand même pas dans un public technophobe. Disons que là vous êtes quand même tous un petit peu technophiles. On a cet outil-là. Il existe depuis vingt ans. En vingt ans il a atteint une dizaine de personnes dans la salle ! Ça ne marche pas ! Il va falloir qu'on fasse mieux que ça. On ne peut pas se contenter de dire ça existe, il y a eu le scandale donc les gens vont l'utiliser. Le scandale il a un an, il y a dix personnes dans la salle qui l'utilisent !

26' 00

Il faut aussi qu'on arrête de fabriquer des services centralisés.