CaliOpen Conf Laurent Chemla RMLL 2014

Titre : La réappropriation de nos correspondances privées.

Intervenant : Laurent Chemla

Lieu : RMLL - Montpellier

Date : Juillet 2014

Durée : 1 h 18 min

Lien vers la vidéo : [1]

00' transcrit MO

Alors. Ça fait donc un an maintenant qu'on a eu les révélations d'Edward Snowden sur PRISM et sur le scandale de la NSA. Et depuis un an il faut bien constater que pas grand-chose n'a changé. Il y a eu beaucoup, beaucoup de mots qui ont été échangés depuis, mais voilà. Quand c'est arrivé, moi entre autres, je n'ai pas été particulièrement étonné par le fait que les espions nous espionnent. Je m'attendais à quelque chose de cet ordre, évidemment pas de cette ampleur, ça, ça a été une surprise. Mais la vraie surprise n'est pas tellement venue de l'ampleur des révélations que du fait que d'un seul coup le grand public a été partie prenante. C'est-à-dire qu’il s’est enfin passé quelque chose. On a déjà eu ce type de révélation dans le passé, avec Échelon il y a une petite dizaine d'années, Frenchelon un peu plus tard, et à chaque fois c'est resté très confiné dans les milieux hackers et sans du tout que le grand public n'en soit informé.

Avec Edward Snowden et la façon peut-être dont les révélations ont été faites, d'un seul coup il y a eu cette grosse innovation de la prise de conscience, par le grand public, du fait que la vie privée était devenue quelque chose d'un peu difficile à protéger. Donc on a eu une petite évolution, malgré tout, quand je dis il ne s'est rien passé, il y a eu ça, il y a eu cette prise de conscience au niveau du grand public. Ceci dit, techniquement et socialement, ça n'a pas empêché la NSA de continuer à nous espionner, ça n'a pas empêché les députés français de voter la loi de programmation militaire qui étend la surveillance en France et ça n'a pas non plus modifié le comportement du grand public, même si quelques technophiles se sont penchés sur la façon de protéger un peu mieux leur vie privée, en pratique, leur nombre est tellement réduit, que ça n'a pas changé grand-chose.

Donc j'ai cherché depuis un an, d'abord à réfléchir à ce qui s’était passé, et à essayer de comprendre comment faire pour résoudre cette question de la vie privée sur Internet et ailleurs.

Alors il y a eu quelques évolutions techniques. Il y a eu depuis, donc j'ai dit les techniciens, oh ce n'est pas si mal, les techniciens se sont mis à utiliser un peu plus les outils de sécurité de type PGP, Tor. On a vu très récemment Google, entre autres, annoncer qu'il allait mieux référencer les sites qui protégeaient le mieux la vie privée, c'est-à-dire les sites qui vous affichent un petit cadenas quand vous vous y connectez, seraient un peu mieux référencés que les autres. Et a annoncé aussi que Google mail allait bientôt proposer une solution de chiffrement pour le courrier électronique. Évidemment ça pose le problème de la confiance. Est-ce qu'on a confiance dans Google et surtout dans le cas d'une entreprise dont le modèle économique est basé sur l'exploitation de vos données privées ? Comment faire confiance ? Comment pouvoir imaginer un seul instant que vos courriers chiffrés qui sont chez lui, avec votre clef privée bien sûr, parce que sinon vous ne pouvez plus y accéder facilement, vous ne pouvez plus faire de recherche dedans, comment croire que Google ne va pas, lui, les utiliser pour vous afficher de la pub contextuelle ? Et s'il peut les utiliser lui, comment croire qu’une entreprise américaine, donc soumise au Patriot Act, ne va pas les fournir à la NSA sur demande ? Ce n'est pas parce que Google vous proposera demain une messagerie chiffrée que vous serez mieux protégé qu’aujourd’hui.

Il y a eu aussi une prise en compte politique de cette question, de plus en plus d'ailleurs. Là aujourd'hui, il est question de poser une question au gouvernement sur l'accueil d'Edward Snowden en France, en tant que réfugié. Il y a peu de chance que ça arrive, mais on voit quand même que, pour que des questions au gouvernement soient posées en Assemblée Nationale concernant ce type de sujet, il y a une vraie évolution sociale qui se fait.

Et puis il y a une réflexion un peu plus globale qui se fait au niveau des grands corps, des grands organismes qui gèrent Internet, pour mettre la sécurité un peu plus au centre. C'est vrai que c'est un domaine qui était resté très cadenassé, très fermé dans les milieux spécialisés dans la sécurité, mais en dehors, les développeurs en général sur Internet se préoccupaient assez peu de la sécurité jusqu’à présent. Là il est vraiment question de rendre cet aspect du développement d'Internet fondamental. C'est-à-dire que plus rien ne pourrait se créer sur Internet sans qu'au moins il y ait des questions de sécurité qui se posent voire à ce qu'on essaye de les rendre le plus sures possible. Donc on a vu quelques résultats suite à ces révélations. On a vu que l'utilisation de PGP, GPG, c'est la même chose, plus ou moins, et de Tor qui est un système anonymisation totale, quand vous naviguez avec Tor vous naviguez de façon complètement anonyme sur Internet, elle est augmentée, dans des proportions très limitées, encore une fois.

On a vu arriver beaucoup de projets orientés vers la protection, sans doute un peu portés par l'air du temps et pour surfer sur la pub faite par Snowden. Je pense à particulier à des sites comme le site suisse ProtonMail, dont on parle aujourd'hui encore parce qu'il pose peut-être des questions de sécurité qui n'ont pas toutes été résolues, mais qui vous garantit, lui, que tous vos mails seront chiffrés, qu'il n'y a aucun moyen de les déchiffrer chez lui, sauf que, on a vu, une faille a été annoncée hier, et puis surtout c'est un système centralisé. Donc si une faille est détectée par un chercheur indépendant, qu'eux la corrigent, c'est très bien, mais c'est centralisé, tout est chez eux, Du coup si la NSA trouve une faille chez eux, tous les mails qui sont stockés chez eux seront déchiffrés par la NSA. Et si le chercheur indépendant les prévient « eh, j'ai trouvé une faille il faut la corriger », c'est bien. Si la NSA trouve une faille, il ne faut pas compter sur eux pour les prévenir. « Eh, J'arrive à lire tout ton mail ! » À partir du moment où on a un système centralisé, la confiance encore une fois, même si c'est en Suisse, et même si c'est totalement du coup indépendant de NSA, en tout cas on peut l'espérer, ça pose quand même des problèmes.

Donc en pratique au quotidien, on voit bien que les résultats en question n'ont pas changé grand-chose au problème. Le problème, c'est quoi en réalité ? C'est une vraie question. Moi depuis des années je me dis que la vie privée est une affaire de vieux cons. Ça a été théorisé, entre autres, par Manach qui a écrit un très bel article là-dessus, et un bouquin même. C'est à-dire que, dans ma génération, l'idée même d'avoir des caméras partout qui nous surveillent, c'était quelque chose d'un petit peu insupportable. Et puis petit à petit, les choses ont évolué, à la fois par le discours politique sur la sécurité, à la fois par le discours médiatique sur toutes les émissions de télé-réalité.

La première émission de télé-réalité en France ça remonte à au moins une génération donc Love Story. Ça avait déclenché à l'époque un tas de réactions très fortes en France, puis aujourd'hui, une émission de télé-réalité, tout le monde s'en fiche, c'est devenu naturel.

Même chose, quand moi j'étais gamin, je n'avais pas un baby-phone qui prévenait ma mère quand j'avais pleuré. Je n'avais pas des caméras de sécurité qui me surveillaient. J'avais à la limite des tickets de métro complètement intraçables, une carte Orange ensuite toujours aussi intraçable. Et puis petit à petit sont venues les caméras de sécurité partout, les systèmes d'abonnement, mais d'abonnement nominatif, aux transports en commun, qui fait que le transport sait en permanence où vous allez, qui vous êtes et ce que vous faites. Les cartes de fidélité des grands magasins aussi, qui savent exactement tout ce que vous achetez pour pouvoir vous envoyer des pubs un peu plus ciblées. Tout ça est devenu quelque chose, bien en dehors d'Internet, d'assez largement accepté. Il n'y a plus de réaction face à ça. Du coup on pourrait se dire, après tout, si la vie privée vaut si peu pour le grand public, à quoi bon ? À quoi ça sert de se battre pour essayer de retrouver une protection ? Et pourquoi ne pas laisser les espions continuer à nous espionner ?

D'autre part Internet, depuis aussi une petite dizaine d'années maintenant, est devenu quelque chose de… Le modèle économique fondamental le plus important sur Internet c'est « je vous offre un service gratuit mais en échange j'utilise vos données confidentielles ». Et le grand public aussi a pris l'habitude de ça. C'est difficile de dire au grand public : « Avant tout, il va falloir maintenant arrêter d'utiliser Gmail parce que c'est gratuit et prendre un service payant qui sera en plus un peu moins pratique à utiliser parce que plus sécurisé ». Et du coup les gens n'ont pas envie. Non seulement c'est compliqué parce qu'il faut changer l’adresse e-mail, mais en plus c'est payant, donc on n'a pas du tout envie de faire ça. Le modèle économique en question est devenu tellement habituel pour le grand public, que lui dire il y en a d'autres possibles, qui eux vous garantiront un peu plus de vie privée, ce n'est pas un geste si simple. Ça pose un autre problème, cette histoire de modèle économique sur Internet, le fait d'échanger la gratuité contre des données personnelles et donc contre de la publicité, c'est quoi ? C'est que les régies publicitaires, elles, ont plutôt avoir tendance à mettre leurs annonces et leurs offres sur les plus gros sites, ceux qui ont le plus de public, bien sûr. C'est toujours plus intéressant de balancer sa pub sur un site qui a un très fort taux d'audience. Seulement, à ce moment-là, quand vous faites ça, vous renforcez le plus gros des sites, et donc, vous renforcez la centralisation sur Internet. C’est-à-dire que Google n'était pas énorme au début, mais petit à petit, comme il était le plus important des moteurs de recherche, toute la pub s'est faite dessus, et du coup, Google gagne beaucoup d'argent, peut racheter tous ses concurrents. On a une centralisation qui se fait comme ça. C'est pareil pour Facebook, c'est pareil pour tous les très gros sites, ce qu'on appelle les GAFA.

Le problème qui se pose quand on centralise Internet, c'est que pour de espions c'est tentant. Si vous allez chez Google et que vous avez un milliards d'utilisateurs qui utilisent son service de mails, vous n'avez pas envie d'aller espionner les petits Protonmail et autres qui se mettent en place autour de la planète. Tout le monde, de toutes façons, va à un moment ou à un autre, échanger avec des gens qui utilisent Gmail. Donc vous lirez leur courrier même si eux ne sont pas chez Gmail. Donc la centralisation c'est tentant, ce sont des bonbons pour les espions. On n'a qu'à mettre nos micros là, et on espionne la terre entière. On n'a pas besoin d'aller déployer des micros et des sondes absolument partout sur Internet. Il suffit de nous mettre chez Google, chez Amazon, chez Facebook, ça y est on a tout le monde. Ça ne coûte pas cher. C'est beaucoup plus simple.

Donc on voit comment le modèle économique de la gratuité sur Internet amène une telle facilité qu'il est difficile d'en vouloir à des espions d'espionner. C'est devenu tellement simple pour eux qu'ils auraient tort de s'en priver.

C'est donc le deuxième problème je dirais économique. C'est, non seulement la vie privée pour la plupart des gens d'aujourd'hui est quelque chose qui n'a pas beaucoup de valeur, mais en plus l'espionnage de masse est devenu très peu cher justement du fait de cette centralisation. Donc on a vraiment un rapport de force économique qui se met en place comme ça.

Au niveau politique, il est normal dans une société démocratique qu'il y ait un équilibre entre la liberté et la responsabilité. Ce sont des choses qui se font naturellement. Par exemple en droit pénal, vous n'avez pas de responsabilité si vous n'avez pas la conscience d'avoir mal agi. C'est important. Mais, du coup, vous voyez bien la liaison entre vous êtes libre d'agir mal mais à ce moment-là vous en êtes responsable. Et de la même façon vous ne pouvez pas être responsable si vous n'avez pas conscience, si vous n'avez pas cette liberté d'avoir mal agi.

Cet équilibre-là implique qu'on doive rendre des comptes quand on s’exprime par exemple. Sur Internet l'expression publique est quelque chose qui doit permettre ensuite, à la justice d'un pays démocratique, de dire non, là vous avez été trop loin, ça n'est plus de l'ordre de la liberté d'expression, c'est de l'ordre du délit, c'est de l'incitation à la haine raciale, c'est autre chose.

13' 16

Pour pouvoir faire ça on comprend bien qu'un état ait besoin d'avoir des moyens de surveillance. Quand on tient ce discours-là on comprend bien que l'état, pour lui c'est facile de dire « je ne peux laisser tout dire sur Internet, donc il faut que j'ai les moyens de surveillance, il faut que je mette en place des systèmes qui surveillent toute la population pour pouvoir savoir quand quelqu'un va trop loin, et donc, il est normal qu’Internet soit surveillé, il est normal que votre vie privée soit mise en jeu de façon à ce que je puisse, moi, vous garantir les libertés publiques et la sécurité publique ». Ce n'est pas très cher pour un politique, encore une fois, de mettre en œuvre des systèmes de surveillance. Encore une fois, l'aspect économique de l’atteinte à la vie privée se pose. Le discours politique qui permet de vous surveiller est un discours qui passe facilement.

D'autre part en période de crise, de toutes façons, et ça historiquement, la défense des libertés n'a jamais été quelque chose de fondamental. En période de crise les gens sont plus intéressés par : « Comment est-ce que je vais manger demain ? Où est-ce que je vais habiter après-demain ? ». On a tellement de mal à se projeter dans l'avenir que défendre ses libertés ce n'est pas la priorité du jour. Donc encore une fois, il est plus facile en période de crise de vous vendre de la sécurité que de vous garantir vos libertés fondamentales. On verra plus tard.

Donc on voit d'ailleurs, on l'a revu et j'en reparle à nouveau, la loi de programmation militaire qui aurait, en plein milieu du scandale Snowden et en plein milieu du scandale des écoutes de la NSA, aurait dû déclencher une réaction assez forte du public, n'en a déclenchée presque aucune. C'est-à-dire que les quelques activistes qui s'intéressent à ces dossiers ont dit ce n'est pas normal, on ne peut pas faire ça, on ne pas continuer à étendre les systèmes de surveillance partout sans aucun garde-fou, sans aucune garantie, mais ça s'est arrêté là. Le grand public n'a pas réagi. La loi est passée comme une fleur. Ni le PS, ni l'UMP, ni les Verts, n'ont souhaité amener ce projet de loi devant le Conseil Constitutionnel et voilà. Terminé, c'est passé. Ce n'est pas assez cher politiquement de protéger les libertés. Ça ne vaut pas le coup.

Pourtant, si dans une société, toujours dans un état de droit, la vie privée est si importante, c'est surtout parce que sans vie privée on n'a aucune liberté, en réalité. C'est ça que les gens ont un peu de mal à comprendre. On délègue à l'état la responsabilité de garantir la sécurité publique. Mais en échange de cette sécurité publique, il doit aussi garantir les libertés individuelles. Ça doit être un équilibre entre les deux. La sécurité publique elle doit vous permettre, à vous tous, d'agir librement individuellement. Si en échange de la sécurité publique on doit cesser d'avoir une vie privée, donc cesser, je ne sais pas, imaginez que demain vous ayez visité un site, j'allais dire zoophile, pourquoi pas, on peut inventer n'importe quoi, par erreur ou simplement parce que ça vous amuse, chacun son truc. Imaginons ça. Ça n'a pas d'importance après tout dans votre boulot, tout le monde s'en fiche, vos amis savent exactement que vous aimez les teckels morts, il n'y a pas de problème. Donc vous visitez le site et vous vous dites, après tout, que l'état soit au courant, que la NSA soit au courant, je m'en fous, ça n'a aucune importance. Sauf que vous pouvez avoir des gamins demain qui eux vont avoir envie d'avoir une carrière politique par exemple. Ces données qui pour vous n'ont aucune valeur, peut-être que demain elles pourront être utilisées par des opposants politiques pour les mettre en difficulté. On ne peut pas savoir. Vous prenez un selfie devant une jolie fontaine en vacances en Turquie et derrière vous il y a un opposant que la police recherche. Vous, votre selfie, vous trouvez que ça n'a aucune importance. L’opposant politique que la police va pouvoir repérer sur Facebook, ou là où vous aurez publié la photo, lui pour le coup ça avait une importance.

Donc on voit quand même que sans vie privée, sans garantie de défense de votre vie privée, si vous ne pouvez pas savoir ce que seront fait, enfin bref vous avez compris, il y a un vrai problème, on n'est plus aussi libre qu'avant si on n'a pas la possibilité, à tout instant, d'agir de façon secrète quand on est soi-même dans sa tête. Or aujourd'hui c’est de moins en moins vrai. Donc cette garantie des libertés individuelles en échange de la sécurité publique, elle doit être proportionnelle. Elle ne peut pas, comme aujourd'hui, continuer à dériver de plus en plus vers plus de sécurité et moins de liberté, sinon au bout du compte on n'a plus de liberté du tout.

Pour prendre un exemple un peu plus physique. Imaginons que demain on vous dise vous allez tous porter des lunettes Google, parce que ça va permettre à la police de surveiller absolument tout ce qui se passe tout le temps, partout, y compris chez vous, vous serez parfaitement en sécurité. Est-ce qu'aujourd'hui on est prêts à accepter ça ? Je ne crois pas. Mais vu l'évolution dans laquelle on est depuis une quinzaine d'années, j'ai bien peur que dans cinq, six ans, ce soit tout à fait acceptable, si on continue comme ça. Et du coup, là pour le coup, il n'y a plus du tout ni vie privée, ni liberté quelle qu'elle soit. La liberté individuelle, c'est aussi de pouvoir dire « non, cette loi je ne la respecte pas, je vais me battre contre ». Quand, je ne sais pas, Mediapart dit « moi je ne respecterai pas la loi qui m'impose une TVA à 19,6 » alors qu'elle l'impose aux autres journaux, elle le fait publiquement, mais elle pourrait aussi le faire, un certain temps, sans le rendre public. Si Mediapart est surveillé en permanence, il ne peut pas se battre contre cette loi.

On a besoin d'avoir un espace de vie privée pour pouvoir prendre des décisions et on ne peut pas être libre si on n'a pas cet espace de vie privée.

Alors quelle réponse donner à ça ? Évidemment il y a une réponse politique qui devrait se mettre en place, on l'espère, mais on ne le voit pas. Au quotidien, encore une fois, on voit des lois de plus en plus répressives arriver les unes derrière les autres. Aujourd'hui une loi est passée qui permet de fermer un site terroriste sans décision judiciaire. C'est une simple décision administrative qui force votre fournisseur d'accès à vous empêcher d'aller sur un site terroriste. Pourquoi pas ? C'est quoi terroriste ? Qui définit ce qu'est le terrorisme ? Aux États-Unis Edward Snowden, pour certains, est un terroriste. Si on ne définit pas plus que ça, demain l'État français peut dire, je ne sais pas moi, l'utilisation du logiciel libre, c'est un acte terroriste. Pourquoi pas ? Je l'ai déjà entendu, ce n'est pas quelque chose qui vient de nulle part. Si on dit ça, à ce moment-là, on doit empêcher, sans décision judiciaire, l'accès à tous les sites de logiciels libres, si on n'a pas défini le terrorisme. Alors qui peut définir le terrorisme ? Encore moins dans un texte de loi.

Donc si on n'a pas une action politique pour éviter ce type de loi, pour se battre contre, ce que fait la Quadrature en permanence. J'en profite pour vous rappeler que la Quadrature est en période de levée de fonds, donc si vous avez quelques sous à lui donner, n’hésitez pas, si on ne se bat contre eux, on va continuer à perdre des libertés, petit à petit comme ça, quotidiennement, jusqu'à n'en avoir plus aucune. Évidemment, il y a aussi la réponse sociale. On peut apprendre à utiliser des logiciels plus sûrs et on peut militer autour de soi. L'exemple que j'aime bien prendre c'est de demander à son docteur comment est-ce qu'il protège vos données médicales qui normalement sont confidentielles. Est-ce qu'il les met sur le cloud sans chiffrement ? Ou est-ce qu'il les garde sur son ordinateur avec un gros mot de passe et chiffrées ? C'est important de le savoir. Et puis en en parlant avec lui ça peut, lui, le motiver à faire un peu plus attention non seulement à ses données mais aussi aux vôtres.

On fait ce travail-là avec les journalistes aussi. On va les voir en leur disant « vous êtes censés garantir l'anonymat de vos sources, comment vous faites ?  Est-ce que vous échangez par mail sur Google Mail avec eux ? Ou est-ce que vous utilisez PGP ? »

On peut faire ça. On peut espérer aussi que les corps dont j'ai parlé tout à l'heure, l'IETF W3C, donc les gens qui organisent Internet, plus ou moins, continuent leurs développements et arrivent peut-être un jour à ce qu'on espère, c’est-à-dire un Internet beaucoup plus sécurisé, mais on en est très loin ! Alors, en tant qu’activiste, il est important aujourd'hui de se poser cette question : « Comment est-ce que moi je vais faire pour améliorer les choses ? »

D'abord je dois apprendre à mieux communiquer. Typiquement je dois venir devant vous, ce n'est pas un acte aussi simple que ça pour quelqu'un comme moi. Je dois, à l'image d'Edward Snowden, apprendre à faire en sorte qu'on parle de mon affaire. Je dois, quand j'ai un scandale que je veux dénoncer, je dois apprendre à le feuilletonner, à trouver les journalistes qui vont faire ça bien, de façon à intéresser le grand public. C'est un vrai boulot d'apprendre à communiquer pour des gens dont ce n'est pas le boulot, mais on est obligés de le faire de plus en plus.

Enfin une réponse technique, qui est peut-être celle dans laquelle je me sens le plus à l'aise, moi, mais qui n'est pas le cas de tout le monde. D'abord il va falloir arrêter de croire que simplement parce qu'on a développé un outil qui permet la confidentialité, tout le monde va se mettre à l'utiliser un jour ou l'autre. Les logiciels libres, après tout, c’était un peu le modèle au départ. On fabrique un logiciel libre, on le met à disposition de tout un chacun, on met la doc en ligne, et puis petit à petit les gens vont l'utiliser. C'est normal, il est meilleur, il est libre, il y a tout intérêt à ce que les gens viennent. Pourquoi est-ce que tout le monde n'abandonne pas Windows ? C'est bizarre ! En même temps, c'est comme ça que ça se passe.

Pour que Linux puisse devenir quelque chose de largement utilisé, il a fallu faire autre chose que simplement le mettre en ligne et laisser les gens s'en emparer. Il a fallu le rendre agréable, facile d'emploi, joli, sexy, quelque chose d'attirant pour le grand public, qui ensuite, que ce soit libre ou pas, il s'en fiche. Ce qu'il veut, lui, c'est que ce soit pratique, sympa, pas difficile. En sécurité, on n'a jamais fait ce travail là. En sécurité on a fabriqué PGP. Qui l'utilise dans la salle ? Au quotidien ? Voilà. Alors un, deux, trois, quatre, cinq. Qui utilise PGP, qui est le logiciel qui permet de chiffrer son mail, au quotidien ? J'ai bien dit au quotidien, c'est-à-dire que tous les jours vous vous rentrez votre password au moins une fois. Voilà ! Et encore on n'est quand même pas dans un public technophobe. Disons que là vous êtes quand même tous un petit peu technophiles. On a cet outil-là. Il existe depuis vingt ans. En vingt ans il a atteint une dizaine de personnes dans la salle ! Ça ne marche pas ! Il va falloir qu'on fasse mieux que ça. On ne peut pas se contenter de dire ça existe, il y a eu le scandale donc les gens vont l'utiliser. Le scandale il a un an, il y a dix personnes dans la salle qui l'utilisent !

26' 00

Il faut aussi qu'on arrête de fabriquer des services centralisés. J'aime bien l'exemple de Protonmail, je vous ai expliqué pourquoi tout à l'heure ce n’était pas une bonne idée. C'est qu'un service centralisé, il y aura toujours, toujours une faille. Peut-être que lui, que les auteurs du service auront créé le site web parfait qui n'a aucune faille qui ne risque de subir aucune injection SQL, rien du tout, mais de toutes façons il aura utilisé des librairies, il aura utilisé un OJS quelconque, qui lui aura une faille. Même si personne ne l'a vue, personne ne peut savoir si la NSA ne l'a pas vue. Les développeurs du libre ont des moyens restreints. La NSA a d'énormes moyens. Ça n'a rien à voir. Eux, ils ont des gens à plein temps pour trouver des failles. Nous on un programmeur dans un coin qui a un site web à livrer, une application à fabriquer, et qui n'a vraiment pas du tout le temps d'aller chercher des failles dans son truc. On peut demander aux autres, à la communauté de faire des audits. mais la communauté, encore une fois, c'est du bénévolat. Il ne faut pas compter qu'elle soit aussi efficace que des gens qui eux ont des milliards de dollars tous les ans juste pour ça, pour chercher des failles Clairement si vous un servie centralisé, le plus sécurisé possible, vous n’aurez quand même une faille et vous n'aurez aucune confidentialité.

Il faut aussi évidemment trouver des nouveaux modèles économiques, arrêter de dire aux gens venez chez moi c'est gratuit. Si c'est gratuit, soit vous avez quelque chose en échange, eh bien de la pub, a priori je ne vois que ça. Vendre des services autour, mais des services autour, vous les vendez comment si vous n'utilisez pas les données personnelles de vos utilisateurs ? Et si vous les utilisez où est la vie privée ? Donc il faut, en tout cas, je n'ai pas les clefs, mais clairement en tout cas, il y a un modèle économique qu'il faut complètement abandonner, c'est le modèle de la publicité. Celui-là, il va falloir rentrer dans la tête des utilisateurs que ce n'est pas un modèle, que la publicité ne fait que détruire internet parce que ça le centralise de plus en plus, et que du coup ça le rend fragile et trop facile à espionner, et qu'il va falloir accepter soit de faire des efforts, soit de payer, en tout cas de trouver de nouveaux modèles économiques. C'est sûr que ça ne va pas être facile. C'est sûr que ce n'est pas en disant j'ai la même que Google Mail, venez chez moi, la seule différence c'est que vous serez sécurisés, mais c'est payant. Vous allez réussir à faire venir les gens. Vous en aurez, je pense.

Protonmail, la dernière que j'ai eu des chiffres, c’était pas loin de un million d'utilisateurs ; c'est énorme un million d'utilisateurs. Google Mail c'est un milliard d’utilisateurs. Donc sur mille mails échangés entre les utilisateurs pris au hasard, vous en avez 999 qui sont échangés avec Google Mail. Les utilisateurs qui sont chez Protonmail, quand ils veulent parler avec leurs amis, ils ont 999 pour mille chances d'envoyer leurs mails chez Google. Le reste du temps, ouais, ils sont sûrs. Mais un mail sur mille sera sûr. Les 999 autres ils vont chez Google, donc à la NSA. Donc en pratique ça ne sert à rien. Ça ne sert à rien parce que la NSA s'en fiche de ne pas avoir ce un pour mille. Elle a tout le reste donc elle sait ce que vous faites. C'est à 999 pour mille elle le sait. Donc ça lui suffit largement, elle n'a pas besoin d'en savoir plus.

Il faut évidemment maintenant mettre en concret un nouveau projet, mettre la sécurité au centre de ses préoccupations, mais ça, ça devient de plus en plus vrai heureusement.

On a vu l'équation économique, c'est un vrai problème. La valeur de la vie privée est trop basse, donc il va falloir faire en sorte de la remonter. Ce n'est pas simple ! Il va falloir convaincre le grand public que sa vie privée a une valeur. Comment faire ? On y réfléchit. On a essayé, nous, de trouver des idées. Vous en aurez j'espère d'autres. C'est un peu l’objectif de ce type de conf que de dire aux gens, il n'y a pas que CaliOpen. CaliOpen c'est un cas, dont je vais parler plus tard, et j'espère qu'il y aura d'autres idées qui sortiront de mes conférences et de mes discours, parce voilà, CaliOpen va répondre, je crois, à un certain nombre des problèmes que je pose, mais pas à tous.

Donc il faut une vraie envie, pour l'utilisateur, de quitter des services non sécurisés, de quitter des services trop centralisés, et pour ça on ne peut pas se contenter juste de lui dire c'est la même chose mais sécurisé. Ça ne marchera pas, pas plus que pour PGP. Il faut trouver des nouveaux services à lui proposer qui lui donneront envie de venir. Et peut-être qu'une fois qu'il sera là, on pourra le motiver pour utiliser des systèmes un peu plus complexes mais beaucoup plus sécurisés. Les motivations on les trouvera. Il faut donc créer cette envie de migrer. Il faut pour ça évidemment créer des services attirants. Ce n'est pas simple. Il faut aussi arrêter de croire que, simplement parce qu'on se protège soi, on est sûr, on est tranquille. Ce n'est pas en se protégeant soi qu'on est tranquille. C'est en se protégeant nous-même et en protégeant tous ceux qui nous entourent. Si chacun se protège dans son coin, c'est-à-dire moi, mes photos à moi, elles sont sécurisées, mais les photos de moi que quelqu’un d'autre a prises, qui elles ne sont pas sûres, elles en disent tout autant de ma vie.

La vie privée, si on veut la garantir, il faut arrêter de croire qu'en se protégeant soi-même seulement, on va réussir à le faire. En se protégeant soi-même, on va chez Protonmail, on fait partie du un million, mais le milliard en face, il continue à nous exposer. Ça ne sert à rien ! La seule façon de protéger la vie privée, ça n'est pas au niveau individuel, c'est au niveau de la masse. Il faut, pour ça, rendre la surveillance de masse beaucoup chère qu'elle ne l'est aujourd'hui. Encore une fois on en revient à ce modèle économique. Si ça devient beaucoup plus compliqué pour les espions d'espionner, du coup qu'est-ce qu'ils vont faire ? Ils ne vont pas arrêter d'espionner, c'est leur boulot, mais ils vont peut-être être un peu plus pointus dans leurs recherches. Plutôt que de dire j’aspire tout, les informations de la terre entière en permanence, comme ça je suis sûr que quand je cherche, je trouve. dire, bon, lui, j'ai vraiment une bonne raison de le suspecter, donc je vais mettre les moyens dessus. Peut-être pas sur Internet, Internet c'est devenu trop sécurisé, tant pis, mais je vais, je ne sais pas moi, lui envoyer une nana jolie, mettre un micro chez lui. Les espions ont toujours su espionner, ils n'ont pas attendu Internet pour ça.

Donc si on rend la surveillance de masse beaucoup plus chère on a une petite chance que les espions arrêtent de nous espionner en permanence, tous. Il n'y a que comme ça qu'on pourra vraiment retrouver un peu de vie privée. Ce n'est pas en se protégeant soi-même dans son coin qu'on y arrivera. La sécurité globale n'est pas la somme des sécurités individuelles, c'est le mot clef de cette chose. Alors, il y a un autre problème qui se pose quand on veut pousser les gens vers de la sécurité c'est qu'évidemment c'est moins facile. Un mot de passe sûr c'est un mot de passe compliqué. Si vous mettez 1 2 3 4, ce n'est pas compliqué, mais c'est facile. Si vous allez chez Gmail ce n'est pas compliqué, mais ce n'est pas sûr. Si vous voulez être sûr vous allez mettre une passe phrase de au moins trente caractères de long, qui sera difficile à retrouver et il faudra la taper plusieurs fois par jour parce qu'elle ne sera valable qu'un certain temps. Ça va vous compliquer la vie. Mais allez vendre ça au grand public, en lui disant on est un milliard d’utilisateurs qui maintenant vont décider, au lieu de mettre 1 2 3 4 chez Google et avoir un joli service facile à utiliser, ils vont devoir mettre une phrase de trente caractères, compliquée à retrouver, chez un service payant. Comment faire pour motiver autant de gens, suffisamment pour rendre la surveillance de masse assez chère ? C'est un vrai problème, ce n'est pas simple du tout. Pour CaliOpen on a imaginé une solution à ça. CaliOpen est un projet qui a un an maintenant à peu près, mais qui en réalité a plus de dix ans. Il y a dix ans j'avais voulu déjà créer un service de mails, pas spécialement sécurisé, mais au moins gratuit et un peu plus intelligent que ce qui existait à l'époque. On avait bien avancé sur ce projet et puis Google est arrivé avec Google Mail. On a arrêté parce que forcément on avait un peu de concurrence.

L'an dernier donc suite aux affaires, suite au scandale, Jérémie Zimmermann est passé me voir ; il m'a dit tu dois relancer ton projet et en faire quelque chose. D'abord du libre, ce qui n’était pas le cas de la première version, et puis qui permette aux gens de retrouver de la vie privée. Le challenge était lourd puisqu'il fallait répondre à tous les problèmes que j'ai soulevés jusqu'à présent. En tout cas, à force de réflexion, on a imaginé une solution pour pousser les gens d'abord à venir vers CaliOpen et ensuite pour adopter des comportements plus sûrs.

D’abord pour les attirer vers CaliOpen on est sorti du modèle, c'est-à-dire qu'on s'est dit on ne va commencer à développer, on sait faire un service de mails, ce n'est pas difficile, mais on n'a pas envie de le faire comme les autres. Parce que si on fait la même chose, pourquoi les gens viendraient chez nous ? Ça n'a pas d’intérêt. Il va falloir qu'on trouve quelque chose de mieux, encore une fois. Alors on a travaillé, on a travaillé pendant six mois sur une page blanche en disant qu'est-ce que nous on a envie d'avoir ? Et puis, petit à petit, vraiment avant la moindre ligne de code, on a bossé six mois, moi en ergonome et des graphistes. C'est tout. Aucun technicien, à part moi, mais il y a longtemps que je suis dépassé en technique.

On a, petit à petit, imaginé ce qu'on voulait. On ne voulait plus une interface trop difficile, on voit un peu, ouais, on ne voulait plus cette notion de folders à gauche. On voulait quelque chose qui se rapproche un petit peu, je ne sais pas moi, d'une timeline type Twitter ou autre, juste avec la conversation au fur et à mesure.

Puis on s'est demandé c'est quoi une conversation ? Jusqu’à présent une conversation par e-mail c'est un sujet et sous ce sujet on classe les échanges qui se font. Mais la réalité au quotidien, de nos jours, ce n'est plus ça. Quand vous échangez, je ne sais pas, avec votre fils, votre fille, votre mère, vous commencez un mail un jour, avec un sujet, bien sûr, vous devez en rentrer un, et un petit à petit vous continuez à échanger et puis vous faites reply à chaque fois, vous ne changez pas le sujet. La conversation elle dérive. Le sujet reste le même, en tout cas affiché, mais la conversation n'a plus rien à voir.

Donc qu'est-ce qui définit une conversation ? Ça n'est pas son sujet, ce sont les gens qui y participent. Donc on s'est dit on va faire ça, on va oublier cette notion de sujet, on va juste créer une conversation, un échange ce sont les gens qui y participent. Ce qui définit une conversation dans CaliOpen c'est qui participe à la conversation.

On a viré les folders du coup parce qu'on n'en a plus l’usage. On n'a plus besoin de dire ça c'est classé dans tel dossier, ça c'est classé dans tel autre. On n'a pas besoin de ça. On sait de quoi et on parle avec qui on parle, donc on retrouve facilement. On peut mettre des mots-clés et dire ça, cette discussion-là, elle traite de tel sujet ou ce message-là traite de tel sujet. Petit à petit comme ça on s'est orienté vers une jolie interface qui reste à développer, hélas ! On a beaucoup avancé sur le reste, mais pour l'interface, j'y reviendrai, on a besoin de développeurs, Front-end web, et ce ne sont pas des gens faciles à débaucher ceux-là.

Donc on s'est dit ça. On a une nouvelle interface, qui est plutôt sympa, mais ça ne suffira pas à attirer les gens. Au contraire, ça risque de les rebuter. Donc qu'est-ce qui va les attirer ? Si on définit qu'une conversation par son sujet, ça n'a pas besoin d’être forcément une conversation par mail. Ça peut être du SMS, ça peut être du chat en ligne, ça peut être des forums de discussion, ça peut être un peu tout ce qui concerne la correspondance privée. Aujourd’hui on commence une correspondance sur Twitter avec quelqu'un, en 140 caractères, ensuite on passe au message privé ; du message privé c'est trop long, donc on s’échange des e-mails, on passe à l'e-mail, peut-être demain Jabber, mais ça reste la même conversation, ce sont les mêmes personnes. Donc si on arrive à présenter ça sur une interface agréable en disant tous vos échanges, toute votre correspondance privée, regroupés là, quel que soit le protocole, quel que soit le média utilisé, là pour le coup on a quelque chose de nouveau. Là pour le coup on peut peut-être attirer du public vers un nouveau service. On n'a rien résolu au niveau de la sécurité mais on a peut-être trouvé une bonne raison pour que le public dise ça, ça m'intéresse, je vais voir. Ensuite il va falloir le faire venir, le faire rester.

39' 17

Pour ça, et surtout pour qu'il utilise de plus en plus d'outils de sécurité