Je n'ai rien à cacher - J. Vaubourg - Questions du public

Titre : Je n'ai rien à cacher. Questions du public

Intervenant : Julien Vaubourg

Lieu : Séminaire MathC2+ - Inria Grand Est - Nancy

Date : Avril 2015

Durée : 25 min 12

Lien vers la vidéo - autre lien

00' transcrit MO=

Public : Bonjour. Mais juste, là, d’accord on est surveillé partout et tout le temps, mais qu’est-ce qu’on peut faire ? Enfin c’est trop tard ! De toutes façons la majorité des gens ici ils ont tous un compte Facebook, peut-être Twitter, enfin voilà. Et qu’est-ce qu’on peut faire pour que justement ça s’arrête et qu’on puisse se rebeller face à tout ça ?

Julien Vaubourg : C’est très facile et c’est ça qui est intéressant, c’est qu’on a tous le pouvoir en fait. C’est-à-dire qu’à un moment donné, si tu n’es pas d’accord avec ce que fait Google ou Facebook sur toi, tu n’es pas obligée de les utiliser. Si tout le monde dit « moi Google, Facebook, j’arrête », ça veut dire que eux, à un moment donné, ils vont devoir réagir, parce que ce ne sont que des sociétés qui sont là pour gagner de l’argent, au final. Donc tu as l’entier pouvoir de ce qui se passe. Tu n’es pas une victime, tu ne subis pas. Tu peux te positionner et dire « eh bien moi, Facebook, j’arrête ». Ou alors, faire un compromis, c’est – à-dire que plutôt que d’utiliser Facebook pour tout et n’importe quoi, plutôt que d’écrire en permanence à quelqu’un dans la messagerie instantanée de Facebook, eh bien je vais utiliser plutôt un e-mail, qui soit, de préférence, pas chez Google. Et petit à petit, comme ça, se sortir un peu de ce genre de service qui ne mérite pas notre confiance. On a tous les pouvoirs, sur beaucoup de choses, en fait.

Public : Vous avez dit que la NSA a des profils sur nous. C’est juste la NSA ou il y a aussi quelque chose en France ou en Allemagne ?

Julien Vaubourg : Effectivement on connaît bien la NSA parce qu’il y a eu les révélations d’Edward Snowden là-dessus, de Wikileaks avec Julien Assange avant, et d’autres, et que c’est parce que c’est d’ampleur particulièrement impressionnante. Cela dit, effectivement, il ne faut pas se tromper, tous les pays rêveraient d’avoir plus ou moins ce que fait la NSA. Et ils l’ont à une échelle plus basse. On a eu des révélations, en France, il n’y a pas très longtemps, de ce faisait la DGSE et on sait qu’ils ont quelque chose, qui est, au moins pour l’échelle française, plutôt similaire. En France, en ce moment, on est aussi sur le débat de la loi de renseignement, qui consiste à faire comme les États-Unis mais, en plus, à le faire en légal. Donc, là, c’est ce que proposent nos députés, nos députés qui sont censés nous protéger, eh bien, en ce moment ils sont prêts à voter une loi qui va autoriser l’État à poser des boîtes noires sur tous les matériels des fournisseurs d’accès à Internet. Ça veut dire que l’État va pouvoir, à un moment donné, espionner l’ensemble des communications des citoyens sur Internet.. C’est intolérable dans une démocratie, et pourtant, nos députés vont peut-être voter ça dans quelques jours. Donc oui, en France, effectivement, on a le même problème.

Public : Les données que la NSA a, elles sont stockées où en fait ? Elles sont stockées où ? Où on peut les trouver si on veut, par exemple ?

Julien Vaubourg : Où exactement ça va être compliqué à déterminer. Cela dit il y a quelques centres de données qui sont connus, globalement ça va être dans ce qu’on appelle des « data centers ». Ce sont des grands hangars, remplis d’ordinateurs, qui ont eux-mêmes tout plein de disques durs, et c’est là-dessus que c’est stocké. Donc c’est purement physique. Il y a des endroits, et si on veut aller tout faire sauter on peut, et c’est bien pour ça que ces différents ne sont certainement pas répertoriés sur une carte accessible à tous.

Public : La loi qui est en cours de vote actuellement, c’est juste une réédition, en fait, de la loi de Sarkozy d’il y a une dizaine d’années quand il était ministre de l’Intérieur, puisqu’il imposait déjà aux fournisseurs d’accès de stocker les informations pour cinq ans sur l’intégralité des clients.

Julien Vaubourg : Ouais, mais il y a une différence qui est fondamentale, c’est qu’effectivement on a nous a toujours demandé, pendant un an, de stocker l’ensemble de ces métadonnées. Et ensuite, c’est le gouvernement qui va faire des requêtes, dans le cadre d’une procédure judiciaire, pour savoir, pour obtenir des informations. Ça veut dire que les fournisseurs savent exactement ce qu’on leur demande, ils n’ont pas le droit de le divulguer, mais il y a une certaine forme de contrôle. Ici on parle de quelque chose de beaucoup plus proactif. Non seulement on va poser des boîtes noires, et vraiment le boîtes noires a été utilisé par Manuel Vals, c’est-à-dire qu’on va poser un équipement dont on n’a aucune connaissance de ce qu’il fait, et c’est le gouvernement qui va pouvoir y accéder quand il souhaite pour espionner l’ensemble des communications. Donc on ne sait pas du tout ce qu’ils font avec, ni dans quelle mesure, et enfin, surtout très important, c’est que tout ça c’est sans juge.

Public : Inaudible.

Julien Vaubourg : C’est ça. Donc là ils font ce qu’ils veulent et, en plus, même s’ils veulent le faire légalement, eh bien ce n’est pas très compliqué parce qu’ils n’ont pas besoin de s’embêter. C’est le principe, presque, d’un État policier.

Public : Est-ce que justement, pour la loi renseignement, là, il y a une lettre type qui existe, qu’on peut envoyer à nos députés, avec les argumentaires que tu as évoqués, avec les arguments que tu as évoqués. Ça, ça se fait assez souvent, ça s’est fait pour d’autres lois. Les députés sont quand même assez réactifs sur ce que les citoyens qui les ont élus racontent.

Julien Vaubourg : Il y a tout un site qui existe qui s’appelle sous tiret surveillance point fr, qui regroupe plein d’informations. Il y a notamment le piphone. En fait c’est une initiative de la Quadrature du Net, qu’ils ressortent malheureusement souvent, avec l’ensemble des députés qui sont référencés. On peut simplement cliquer et on peut appeler un député depuis Internet gratuitement pour lui parler. Après des lettres types, il y en a qui existent. Le souci c’est que ça, ça passe vite dans les spams les lettres-types, parce qu’effectivement un député qui va recevoir cinquante fois la même lettre, c’est comme une pétition, ça perd très vite de sa valeur. Par contre c’est important, les députés c’est censé être notre accès local au gouvernement, donc c’est important d’aller les rencontrer et de leur parler les yeux dans les yeux pour leur demander « eh bien vous, qu’est-ce que vous votez ? Vous vous y êtes intéressé, qu’est-ce que vous en pensez ? » C’est vraiment l’argument de proximité qu’il faut privilégier, je pense.

Public : Les données qu’ils stockent, les profils, ils sont bien protégés alors, sûrement ? Est-ce qu’ils se sont déjà faits cracker une fois par quelqu’un ?

Julien Vaubourg : Pour la NSA, c’est dur de savoir, étant donné qu’on n’a aucune information sur ce qu’ils font. Du coup, on n’aura certainement pas l’information s’ils se font voler des choses. Cela dit ils se sont quand même fait voler des choses. Edward Snowden, c’est le principe, c’est qu’il a volé plein d’informations, il les a données. Ça va que c’est un citoyen et qu’il a donné des choses qui protègent les citoyens. J’imagine qu’il aurait pu sortir des choses qui mettent à mal les citoyens. Après, pour tous les intermédiaires, comme Google et Facebook, ça je l’ai dit, eux, par contre, ils se font régulièrement voler des données. Tout ce que vous leur confiez, toutes les choses qui concernent la moindre conversation que vous envoyez sur Facebook, ça arrive qu’ils se fassent voler tout ça. Et là on ne sait pas où ça part.

Public : Si on s’inscrit, la NSA et on se fait recruter par eux, on a accès à toutes ces données ?

Julien Vaubourg : Ça ne peut pas te répondre. J’imagine qu’ils ont des procédures, en interne, qui font que la moindre personne qui est agent d’entretien dans la NSA n’a pas accès à toutes les données. Mais Edward Snowden, qui est un informaticien, qui était un militant, il y a eu accès et c’est une bonne chose pour nous.

Public : ???, il faut monter alors pour avoir accès à plus ou moins de données ?

Julien Vaubourg : Pardon ?

Public : Inaudible.

Julien Vaubourg : Je n’en sais rie du tout. Je ne peux pas. C’est aussi le problème, c’est que finalement tout ça c’est opaque. C’est un souci que je ne puisse pas te donner la réponse. C’est qu’à un moment donné, ils ont toutes les informations et, comme j’ai dit, c’est chez eux. On ne sait pas comment c’est protégé.

07' 48

Public : En fait, dans les révélations de Snowden, il dit qu’il y a six niveaux d’autorisations différents, donc il faut arriver au dernier échelon. Donc il y a six échelons, en fait. Du coup, pour continuer sur la loi de renseignement, il y a un petit argumentaire, l’argument, par exemple, des députés c’est de dire que s’ils ne votent pas cette loi, les prochains événements terroristes, en fait, ça sera de leur faute, parce qu’ils n’auront pas prévu de protéger les gens. Et il y a petit argument qui est juste mathématique, c’est que dans ces boîtes noires, c’est prévu de faire du « Deep Packet Inspection » c’est-à-dire d’inspecter tout ce qui passe, essayer de tirer un peu des profils typiques de terroristes. Et donc, si vous faites un test statistique, qui dit, par exemple, que « je suis sûr que cette personne-là, enfin il y a 99 % de chances qu’elle soit terroriste. Si en France il y a une personne sur mille qui est effectivement terroriste, quelle est la probabilité que la personne dont le test a dit « bon, celui-là c’est peut-être 99 % un terroriste », qu’elle soit vraiment un terroriste. C’est des probabilités, P de A sachant B, la loi de Bayes, et en fait, si vous avez un test qui dit « cette personne-là est peut-être terroriste », en fait elle ne le sera qu’à 9 %, avec une personne sur mille qui est terroriste, donc ça fait quand même 65 000 personnes terroristes en France. Donc les chiffres sont énormes. Comme quoi il y a des arguments. Et sur le site sous-surveillance, il y a un argumentaire pour appeler les députés. Alors ce n’est pas une lettre type. Il y a une lettretype, bien sûr, mais il y a des arguments auxquels on peut répondre quand, par exemple, les députés comme aujourd’hui, il y a Jean-Yves Le Déault, qui est un député de Meurthe-et-Moselle, qui vient de dire que « c’est bien parce que les metadata, de toutes façons, seront anonymes ». Sauf qu’on vient de le voir, les metadata ne sont pas anonymes. Et c’est le député de Meurthe-et-Moselle qui le dit « ah mais les metadata sont anonymes ». Donc qu’est-ce qu’on fait, du coup ?

Organisateur : Je voudrais reprendre son explication qui est très intéressante. Vous avez compris ce qui se passe, c’est que, comme il y a très peu de terroristes, même si le test se trompe rarement, comme c’est un événement rare, eh bien, quand vous faites la multiplication des probabilités, il va se planter. Et donc le problème, c’est qu’il n’y a pas assez de terroristes pour que le test soit efficace. Le deuxième élément, c’est que vous êtes peut-être surpris que, dans un amphi scientifique, il y ait des chercheurs, ou d’autres collègues de la recherche, vous avez vu qu’il n’y a pas que des chercheurs qui se mobilisent. Eh bien, on est un peu concerné, parce qu’effectivement on ne se contente pas juste de faire nos équations. Et alors ensuite, j’ai deux mauvaises nouvelles. J’en ai une troisième, Julien, c’est qu’à mon avis toi maintenant tu vas être surveillé.

Julien Vaubourg : Oui, peut-être comme toi. Tu ne le sais pas !

Orgnisateur : La première mauvaise nouvelle, c’est qu'aujourd’hui, au moment où l'on vous parle, ils sont dans le Parlement en train de discuter la loi, et vous savez ce qui se passe, ils sont trente-cinq ! C’est-à-dire que ce qui se passe de très étonnant, c’est que le Parlement est vide. Et moi, je crois quelque chose, je crois que c’est une catastrophe, parce qu’en fait, ces députés n’ont jamais appris l’informatique à l’école. Et donc, s’ils ne sont que ça, je ne crois pas qu’ils soient plus méchants que les autres, je pense juste qu’ils ne comprennent pas du tout la loi qu’ils sont en train de voter. Une autre question pour continuer de se foutre les boules ?

Public : Inaudible.

Organisateur : Essaye de changer de voix à chaque fois.

Public : OK. Je vais changer de voix. Je voudrais savoir pour la loi en France, alors si elle se fait voter, est-ce qu’on aurait accès, soi-même, au profil reçu ?

Julien Vaubourg : Ça c’est assez compliqué. Je ne sais pas s’il y a cette information-là actuellement dans le projet de loi.

Organisateur : Tu peux résumer sa question parce qu’on n’a pas forcément tous compris vraiment bien.

Julien Vaubourg : C’est si la loi de renseignement, qui est actuellement en cours de débat, est effectivement adoptée, est-ce qu’on aura accès aux profils qui seront faits sur nous par le gouvernement français ? C’est dur à déterminer. Je ne sais pas s’il y a les informations qui sont dans le projet de loi qui permettent d’y répondre. Toujours est-il que, théoriquement, les fichiers comme le STIC que j’ai présenté tout à l’heure, on devrait aussi y avoir accès. Concrètement, ceux qui ont essayé savent que c'est extrêmement compliqué d'y avoir accès. Donc ce sera probablement quelque chose de similaire. On sait aussi que la France, en fait, c’est Le Monde qui l'a révélé il n'y a pas longtemps, a aussi un organisme de surveillance qui est rattaché à la DGSE et à beaucoup d'autres organismes, qui traitent aussi avec la NSA au passage, et qui font, en fait, déjà de la grosse surveillance, mais sans la loi. C'est-à-dire que c'est fait de façon illégale. La loi, d'ailleurs, n’encadrera pas plus que ça et donc tout ça, étant donné que ce n’est pas dans le cadre de la loi, eh bien on n’a accès à rien du tout. Donc probablement que non, tu ne sauras rien de qu'ils font sur toi.

Organisateur : Maintenant Julien ce que j’aimerais c’est qu’on ne quitte pas cette salle sans... Il y a des solutions alternatives. Et sans faire forcément de publicité pour telle ou telle, tu pourrais nous expliquer un petit peu à quel endroit on peut partager ? Il paraît que toi tu fais partie d'une association qui fait ça. Donc est-ce qu’aujourd’hui, pour des gens comme toi ou moi, on a des solutions qui remplaceraient, entre guillemets, Google et qui nous mettraient dans des situations beaucoup plus confortables ?

Julien Vaubourg : Alors on a beaucoup de solutions. Elles ne sont pas forcément extrêmement visibles parce que c'est le souci, c'est qu'on n'a pas les moyens de Google pour les rendre aussi visibles. Il y a pas exemple tout l’écosystème d’une association qui s'appelle Framasoft, sur framasoft.org qui va vous proposer d’avoir des réseaux sociaux qui sont respectueux de la vie privée, qui va vous permettre d'éditer des documents de façon collaborative, de façon respectueuse de votre vie privée, etc. Vous allez pouvoir faire tout plein de choses grâce à ces services-là ,qui sont un exemple de ce qu'on peut faire sans Google et Facebook, et ce sont des services qui sont extrêmement performants.

Ensuite pour vos adresses e-mails vous avez aussi des associations. C’est extrêmement important d'avoir confiance en ceux à qui vous filez vos données. C'est-à-dire qu'à un moment donné, si vous partez en vacances, et que vous laissez vos clefs à un voisin pour qu'il consulte votre courrier papier, vous n'allez pas filer vos clefs à n'importe quel voisin. Vous allez avoir envie d'avoir confiance en lui. Eh bien là, c’est la même chose pour vos e-mails. Il faut aller chez des gens qu'on connaît, avec qui on peut avoir confiance. Pour ça il y a des associations locales. Je vous avais donné, tout à l'heure, le lien ffdn.org. Ça c’est une trentaine d’associations en France, et dedans vous pouvez en contacter une, et leur demander »est-ce vous fournissez une adresse e-mail » et du coup ils vous fourniront ce qu'il faut avec le même niveau de service que vous avez sur Gmail. Vous ne retrouverez pas forcément exactement toutes les fonctionnalités, mais en réalité ce n'est vraiment pas très grave. En plus ce sera cool, au lieu d’avoir @gmail.com, vous aurez @ votre nom de famille ou ce que vous voulez, .fr, .com, .net, ce sera beaucoup plus classe

Public : Mais pour que ça soit efficace il faudrait que tout notre entourage ait ce genre de boîte mail, puisque vous avez dit, tout à l’heure, qu’on mettait en danger tout notre entourage, par exemple en ayant une boîte mail Google. Ça veut dire que si on envoie des messages à des personnes qui ont une boite mail Google, même si notre messagerie est protégée, en quelque sorte, nos messages ne le seront pas.

Julien Vaubourg : Effectivement, c’est un vrai problème, c’est une excellente réflexion. C'est qu'à un moment donné, si je suis tout seul à militer, si je suis tout seul à faire attention à ma vie privée, et que je ne communique qu'avec des gens qui sont, de toutes façons, sur des trucs pourris qui surveillent, ça ne sert à rien. Cela dit, ça ne sert pas à rien, parce que toi, ça veut dire que dans ton écosystème, au milieu de tes amis, eh bien tu as une adresse qui n'est pas chez Gmail. Et donc il y a des gens qui vont te poser la question, qui vont te demander « eh bien pourquoi tu n’es pas sur Gmail ? ». Et tu vas pouvoir leur répondre. Et il y en aura peut-être un deuxième qui va finir par faire la même chose, et puis un troisième, et puis un quatrième. C’est un peu le principe des 9)9 % et des |1 %, c’est-à-dire que ceux qui contrôlent tout ce sont les 1 %, et nous, on est tous les 99 %. C'est-à-dire que, à nous tous, on a réellement ce pouvoir-là. Donc toi, tu vas commencer, tu vas être toute seule, tu vas être le 1 %, enfin le 0,001 % dans le 99 %. Mais ce n'est pas grave, parce qu'après, il suffit qu'il y ait une personne qui te suive, deux, s’il y a deux personnes qui suivent, et chacune des personnes qui te suivent de façon exponentielle, très, très vite, tout le monde va quitter Gmail. C’est utopique, mais c’est comme ça, qu’en fait, toutes les grandes révolutions se sont faites, donc c’est aussi intéressant de les tenter.

16' 30

Organisateur : Tu parlais d’utopie.