Version du 24 avril 2022
Depuis plusieurs années il est confirmé que les données qui circulent sur les réseaux sociaux sont regroupées dans des centres de traitement (Big Data) et utilisées ou revendues par des sociétés qui ne cachent pas leur activité et se félicitent même publiquement de leur réussite financière (1) et (2).
S’ajoutent à cela les données collectées lors des surveillances incluses dans les systèmes propriétaires privateurs, c’est-à-dire non libres, dont on ne dispose pas des sources du code pour en vérifier l’honnêteté (Windows de Microsoft, macOs et iOs d’Apple, Android de Google, ...) (14), (15) et (16).
Les data-brokers, comme ils se qualifient eux-mêmes, se targuent de pouvoir, grâce au « Big Data », identifier rapidement un grand nombre d’acheteurs potentiels pour un produit donné (3).
Mais cette activité ne se limite pas au commerce des produits de consommation. L’affaire de la société Cambridge Analytica a révélé que des données venant de Facebook ont été utilisées à la connaissance du responsable du réseau social, Mark Zuckerberg, pour essayer d’influencer les électeurs américains lors de l’élection de Donald Trump (4) et (13).
Et, selon les journalistes du Nouvel Obs, une opération similaire a été faite pour manipuler les électeurs anglais lors du référendum sur le Brexit(5).
Christopher Wylie est un informaticien américain « décalé », qui s’est transformé il y a quelques mois en lanceur d’alerte pratiquant l’auto-dérision. Il fait ses débuts dans la campagne d’Obama en 2008, pour ensuite aller travailler dans une société militaire britannique, SCL, où il fait la connaissance de Steve Bannon, un des leaders de l’altright (droite extrême américaine). Il a écrit un livre : « Mindfuck », dont l’édition originale a été publiéeen 2019 par Random House,et dont une traduction française est sortie aux éditions Grasset (31), dans lequel il raconte « le projet qui changea l’Histoire, fit voter le Brexit, élire Donald Trump, et signa la mort du droit à la vie privée ».
Il y détaille comment il a détourné des dizaines de millions de données laissées par les utilisateurs de Facebook. Une fois le système terminé, « tout ce que l’on pouvait savoir à propos d’une personne apparut à l’écran » : sa photo, son adresse, son lieu de travail, ses amis, ses préférences, ses votes, etc.
Avec ce butin, Cambridge Analytica développa sur Facebook « de fausses pages qui ressemblaient à des vrais forums, des vrais groupes et des vrais sources d’information ». Facebook, soupçonné d’avoir partagé trop facilement ses données, a déjà été condamné à payer 5 milliards d’amende. Mais l’affaire est loin d’être terminée : plusieurs actions judiciaires sont en cours contre Facebook.
En France, des adeptes du « Big Data » au service des gens au pouvoir, proposent des choses similaires à la société Cambridge Analytica, comme Sebastian Huempfer, de la société Echobox, qui était prestataire de services pour l’équipe En Marche ! lors de la campagne électorale de 2017 (6) et (7).
De même, Igor Lys, fondateur de la société Gambit Delys, raconte dans un article sur l’analyse des données en politique, que dans les cercles autorisés, la victoire d'Emmanuel Macron à l'élection présidentielle de 2017 est souvent symbole de « success story » du « Big Data » en politique (8).
Afin de convaincre ses futurs clients, il a publié en février 2019, chez Amazon, au format numérique, quasiment réservé aux initiés, un livre intitulé "Néopolitique : les nouvelles façons d'acquérir et d'exercer le pouvoir", dans lequel on trouve des arguments comme : « Sachant que des sociétés privées génèrent plus d'argent que beaucoup de pays du monde industriel; que tant d'influences pèsent, à autant de niveaux, sur le corps électoral; que les votes ne sont plus attribués aux votants eux-mêmes mais aux calculs sophistiqués de grandes agences, les brokers de l’influence; que des individus situés en-dehors de la sphère politique ont souvent plus de pouvoir que ceux qui trônent au sommet de la pyramide électorale, etc. etc. » (9) et (10).
Le nom de sa société, « Gambit », vient du nom d’un personnage Marvelde bande dessinée, dont les descriptions trouvées dans Wikipédia, disent qu’ « il est un voleur et un pickpocket accompli, ... et qu’il semble posséder ... une sorte de charme hypnotique surnaturel qui lui permet d’influencer grandement les esprits conscients»(11). Ce qui en dit long sur l’état d’esprit du personnage.
En étant attentif aux discours des hommes politiques, on arrive à faire le lien entre ces activités et leur utilisation sur le terrain. Par exemple, jeudi 12 décembre 2019, le premier ministre français Édouard Philippe s’est rendu à la cellule de crise du ministère des Transports où il a déclaré au cours d’un point presse que « l’impact sur les trafics est conforme aux prévisions du gouvernement » (12).
La veille, très détendu et « droit dans ses bottes », il avait prononcé un discours confirmant la réforme des retraites, et ses conséquences sur les diminutions de pensions pour certains, en faisant fi des menaces de grèves, parce qu’il pensait connaître l’avenir ! Des sociétés telles qu’EchoboxouGambit, lui avaient dessiné les grandes lignes de ce qui allait se passer suite à cette annonce.
Les méthodes utilisées pour prédire l’avenir à partir des données accumulées sont diverses et variées. Une des plus simples à comprendre, et qui est aussi très utilisée car très ancienne, est « le raisonnement par cas », ou CBR en anglais (Case-Based Reasoning). Elle a été développée suite aux expériences de Schank et Abelson en 1977 à l'Université Yale.
Cette méthode « est un type de raisonnement qui copie le comportement humain qui consiste à faire naturellement appel à l'expérience pour résoudre les problèmes de la vie quotidienne, en se remémorant les situations semblables déjà rencontrées et en les comparant à la situation actuelle pour construire une nouvelle solution qui, à son tour, s’ajoutera à l'expérience. » (17).
Autrement dit, dans le passé il y a eu une situation A qui a donné la situation B suite à certains actes et événements. Aujourd’hui la situation est A’. Quelle sera demain la situation B’ si on provoque des actes et événements similaires ou très proches de ceux que l’on a connus dans le passé ?
Cette méthode est parfaite pour prédire des comportements de « consommateurs ». Par contre, dans le cas des retraites, il s’agit d’autre chose. Beaucoup de gens se mettent en grève et manifestent car ils ont eu une « vie de chien » et leur retraite représente pour eux la « sortie du tunnel » : ils espèrent pouvoir commencer à vivre avec cette retraite ! Or les paramètres qui permettent de mesurer jusqu’où ils peuvent aller pour la défendre ne sont pas dans les données de leur vie passée ! Et ces apprentis sorciers le savent très bien. Mais leur objectif principal est de « faire des affaires », et quand leurs clients s’en apercevront, il sera trop tard pour eux.
« The S, in IoT, stands for Security » ! Cette petite phrase qui a fait le tour d’Internet fait un bilan sans appel sur la sécurité dans les objets connectés. Une grande partie des gadgets qui ont été fabriqués à la hâte pour occuper le marché sont à modifier ou à mettre au rebut. En septembre 2016 plus de 150 000 caméras de surveillance ont été détournées pour lancer de manière synchronisée des messages vers un site hébergé par le fournisseur français OVH(25). D’autres objets connectés, comme les montres de type cardio, permettent de relever des valeurs représentant le fonctionnement de notre corps de manière précise (pouls, taux de glycémie, tension, etc). Les données sont ensuite envoyées vers un smartphone et interprétées pour évaluer les performances et l’état global de santé. Beaucoup de ces objets ont été déclarés inaptes à la sécurité, notamment à cause de la liaison Bluetooth(27). Les données risquent d’être détournées pour être ensuite revendues à des marchands de produits pharmaceutiques ou à des assurances malhonnêtes. D’ailleurs, cette industrie pharmaceutique met en place de plus en plus de partenariats avec les acteurs du « Big Data ». Les brassages de données leur permettent de savoir, avant la personne concernée, quelle maladie elle va bientôt avoir, ses réactions aux médicaments et dans certains cas sa mort prochaine (28) et (29). Il existe même des applications pour montre connectée qui permettent d'espionner les frappes de clavier du porteur ! (26)
Le 17 juillet 2009, le journal The New-York Times accusait, dans un de ses articles, la société Amazon d’avoir effacé à distance des documents sur les tablettes Kindle de ses clients, dont, entre autres, ironie du sort, le roman de George Orwell : « 1984 » (32). Ce qui ne faisait que confirmer ce que nous disons depuis longtemps : les Gafams (Google, Apple, Facebook, Amazon, Microsoft, ...) gardent la main mise sur les systèmes qu’ils vendent au grand public.
Le fondateur, et principal actionnaire d’Amazon, Jeff Bezos, se voyant mis à mal par la presse, décide, comme beaucoup d’hommes d’affaires dans cette situation, de posséder son propre journal afin de pouvoir amortir les chocs et contre-balancer les informations en sa défaveur. Il rachète donc le Washington Post en 2017, dont un des journalistes est un certain Jamal Khashoggi, assassiné le 2 octobre 2018 au consulat d'Arabie saoudite à Istanbul.
Et l’on apprend dans plusieurs journaux, dont Le Point (33), que Mohammed ben Salmane, le plus que supposé commanditaire de l’assassinat, aurait hacké le smartphone de son « ami » Jeff lors d’un échange via la messagerie cryptée WhatsApp, qui aurait eu comme conséquence l’ex-filtration de documents confidentiels, dont des photos compromettantes qui ont été publiées, ce qui a contraint ce « pauvre » Bezos à divorcer (34).
Tout récemment, en septembre 2019, le géant américain Google a annoncé sur le site de la Nasa, avoir atteint la « suprématie quantique » (18). En résumé, ses chercheurs prétendent avoir réussi à construire une machine ayant un processeur quantique de plus de 50 qubits, qui aurait mis 3 minutes et 20 secondes pour effectuer un calcul que la meilleure des machines classiques actuelles aurait fait en 10 000 ans. Ceci étant mis au conditionnel car l’annonce a été enlevée du site de la Nasa. Mais tous les spécialistes du sujet savent que cette annonce n’avait pour but que de prévenir ses concurrents (IBM, Intel, Microsoft, ...), et les futurs clients de telles machines, qu’il avait gagné la première étape de la course, tout en confirmant le côté sérieux et scientifique (site de la Nasa). Il l’a ensuite retirée, sans doute pour laisser le temps à ses chercheurs de publier un article dans une revue scientifique de référence.
Certains hommes politiques américains ont salué cette annonce, comme Andrew Yang, en lice pour la primaire démocrate : « Que Google mette en oeuvre l'informatique quantique est une étape importante. Cela signifie, entre autres choses, qu'aucun code n'est indéchiffrable » (21).
Certains disent qu’entre un prototype et un système utilisable facilement, il y a des années. Effectivement si l’on regarde le cas du transistor, qui est à la base de toute l’électronique et informatique actuelles, il s’est passé 18 ans entre son invention aux Bell Labs(1947) (19) et la création du premier ordinateur principalement constitué de transistors (IBM 360 : 1965) (20). Mais en 2019 il ne faudra pas attendre si longtemps pour passer à la production industrielle des machines quantiques.
Ce qui implique que d’ici quelques mois Google et d’autres seront bientôt en mesure de craquer tous les chiffrements utilisés pour protéger les données et les échanges sur Internet.
D’un autre côté, tout est fait, et notamment au niveau de l’Etat, pour accélérer la suppression des services « au guichet » et les remplacer par un accès en ligne via Internet. Pour payer ses impôts, il sera bientôt obligatoire d’avoir un compte email. Le gouvernement a-t-il donc décidé de jeter les Français en pâture aux pirates du Net ?
Beaucoup l’ignorent mais, cerise sur le gâteau, les smartphones de Monsieur Tout-le-monde, qui peuvent valoir plus de mille euro, sont aussi vulnérables. On peut en espionner les communications et transcrire les SMS à l’aide de simples antennes servant à capter la TNT (24) et du logiciel ad hoc (23).
Et pendant que vous lisez ce texte, certains s’ingénient sans doute à mettre au point des choses beaucoup plus sophistiquées !!
Les fondateurs de l’Ecole du Logiciel Libre (E2L) sont bien conscients de tout cela depuis longtemps, et c’est une des raisons pour laquelle ils ont créé cette association en 2015. Tous les samedis après-midi, elle rassemble ses adhérents pour qu’ils apprennent l’utilisation et la programmation des logiciels libres ainsi que les bonnes pratiques dans « la navigation » sur Internet. Tout le monde peut être adhérent et participer à ces cours (30).
Et pour répondre aux interrogations posées par ce texte, elle lance le projet Prosecco (Programmes pour la Sécurité dans les Communications), qui a l’ambition de proposer des solutions pour les échanges sur Internet, mais aussi dans les liaisons sans fil, comme par exemple, les communications avec des téléphones portables via les réseaux GSM ou Bluetooth(22).
Certains pensent qu’il suffit d’utiliser un VPN pour être à l’abri de toute malversation. A ce propos, le CSIRO (Commonwealth Scientific and Industrial Research Organisation), qui est depuis 1916 l’organisation fédérale pour la recherche scientifique et industrielle du gouvernement australien, a publié en 2016 un rapport d’expertise (36) dans lequel il a étudié 283 applications VPN pour Android du point de vue de la confidentialité et de la sécurité. Voici sa conclusion : « En dépit des promesses de confidentialité, de sécurité et d’anonymat faites par la plupart des applications VPN, des millions d’utilisateurs peuvent être victimes à leur insu des garanties de sécurité fallacieuses et des pratiques abusives que ces applications leur infligent. »
Dans cet article, on y apprend comment fonctionne un VPN et avec quelle facilité celui qui le contrôle peut faire le lien entre l’adresse IP de l’utilisateur et l’adresse provisoire qu’il lui fournit pendant le temps de sa navigation sur Internet. Et il est très probable que ces informations soient revendues aux Gafam pour qu’ils puissent corriger leurs données en remplaçant les adresses IP dans l’historique des traces. Et comme l’utilisateur, pensant qu’il est à l’abri, se sera « lâché », l’information donnée n’en est que plus importante !
La liste suivante, non exhaustive, est tirée de cet article. Elle répertorie des applications VPN privatrices qui traquent les utilisateurs et portent atteinte à leur vie privée :
SurfEasy
Comprend des bibliothèques comme NativeX et Appflood, destinées à pister l’utilisateur et à lui envoyer des pubs ciblées.
sFly Network Booster
Demande les permissions READ_SMS et SEND_SMS lors de l’installation, ce qui veut dire qu’il a un accès complet aux textos de l’utilisateur.
DroidVPN and TigerVPN
Demande la permission READ_LOGS pour lire les journaux des autres applis, et aussi ceux du système. Les développeurs de TigerVPN l’ont confirmé.
HideMyAss
Envoie du trafic à LinkedIn. De plus, cette appli conserve des journaux détaillés et peut les transmettre au gouvernement britannique sur sa demande.
VPN Services HotspotShield
Injecte du code JavaScript dans les pages HTML renvoyées aux utilisateurs. Le but avoué de cette injection est d’afficher des pubs. Cette appli utilise 5 bibliothèques de traçage environ. En outre, elle redirige le trafic de l’utilisateur par valueclick.com (un site de publicité).
WiFi Protector VPN
Injecte du code JavaScript dans les pages HTML et utilise également 5 bibliothèques de traçage. Ses développeurs ont confirmé que l’injection de JavaScript par la version gratuite de l’application sert au traçage et à l’affichage de pubs, etc.
Le site http://gafam.fr/a-propos/surveillants-privateurs/ répertorie plusieurs autres exemples.
La liste n’est pas exhaustive, maisles principales façons de se protéger peuvent être énoncées de la manière suivante :
Chaque utilisateur doit mélanger, avec ses données quotidiennes, des données fausses.
Ce qui amène les remarques suivantes :
•il sera difficile de convaincre tout le monde,
•il faut bien réfléchir pour fabriquer un bon leurre, qui ne soit pas détecté,
•ça risque de devenir rapidement fastidieux pour chaque utilisateur,
On peut, à l’aide de robots connectés, en détournant par exemple les millions d’objets connectés non sécurisés (25), produire des données aléatoires, qui ferait que les véritables données des utilisateurs ne représenteraient plus qu’une petite partie et seraient diluées dans la masse, et donc ne serviraient que marginalement aux processus de prise de décision.
Cette méthode, très efficace, risque de déclencher des poursuites judiciaires à l’encontre de leurs auteurs, qui se verraient même traités de « terroristes » par ceux qui ne seraient plus en mesure de « faire des affaires » et qui représentent, du fait de leur influence et de leur position proche du pouvoir, la « morale » de la société.
Elle risque également de faire exploser les serveurs des réseaux sociaux. Et, le moins qu’on puisse dire, c’est qu’elle n’est pas « écologiquement correcte » carelle sera consommatrice de grossesquantitésd’énergie.
C’est effectivement la solution qui paraît la plus réaliste. Et qui fonctionnera aux conditions suivantes :
•informer l’ensemble de la population afin que tout le monde soit conscient des enjeux,
•éduquer les personnes qui ont des difficultés à utiliser les logiciels libres,
•proposer des outils de remplacement aux réseaux sociaux, aux « clouds collaboratifs », etc.
Le 26 juin 2021, lors d’un cours de l’E2L, nous avons réalisé une petite expérience qui a montré qu’en ouvrant une seule page sur le site Amazon.fr, pour par exemple y consulter un produit, cela génère plus de 6300 connexions !! L’expérience, dont un extrait est disponible sur notre site, a été faite avec le navigateur Firefox (35).
A partir de cette constatation, nous allons donc œuvrer pour bien comprendre comment se produisent ces connexions, et comment les supprimer, ou simplement les détourner.
Et mieux, comment proposer une solution qui puisse permettre au plus grand nombre, qui n’est pas forcément intéressé par la programmation sous GNU/Linux, de naviguer sur Internet sans être espionné à chaque instant.
La seule façon d’être certain que les administrateurs du VPN n’en profitent pas pour nous espionner et revendre nos données, c’est de l’administrer nous-même ! Pour cela nous allons louer quelques VPS dans différentes régions du globe, et y installer, à base de GNU/Linux et de logiciels libres, des serveurs « proxy »(37)c’est-à-dire des serveurs mandataires qui serviront d’intermédiaires pour naviguer sur Internet. Les adresses IP qui apparaîtront sur le réseau seront celles des « proxy » et non celles des clients.
Cette pratique, en changeant de temps en temps de région, permettra non seulement d’échapper à la surveillance, mais également de constater que, selon l’endroit du monde où l’on est identifié, les comportements des serveurs peuvent changer. Par exemple, quand on a une adresse IP qui indique que notre lieu de résidence est aux Etats-Unis, Google, pour ne citer que lui, n’a pas le même comportement que lorsque l’on se présente avec une adresse identifiée en France.
Cela peut aussi servir à contourner les filtrages. Prenons le cas d'un pays qui bloque l'accès à certains sites considérés comme « subversifs », et qui effectue ce filtrage uniquement en se basant sur l'adresse du site que l'on souhaite visiter. Dans ce cas, en utilisant un proxy comme intermédiaire, situé dans un autre pays non affecté par le filtrage, on peut accéder aux informations. Etc.
Ce nom, qui signifie « respirer » dans la langue de Verdi(38)est l’acronyme de « RESeau Privé Intégré avec Routage Aléatoire, Redirections et Encapsulations ».
Ce projet a surtout comme objectif d’aider nos adhérents à comprendre le fonctionnement d’un réseau de type TCP/IP, comme Internet, en développant un nouvel outil basé sur le peer-to-peer, c’est-à-dire du système pair à pair(39).
Actuellement, il estencore en cours d’analyse et sera développé et publié en Logiciel Libre, afin d’être distribué et utilisé par toute personne qui le souhaitera.
Nous vous en donnerons de plus amples détails bientôt. ■しかく
(1) https://www.powertrafic.fr/big-social-data-donnees-reseaux-sociaux/
(3) https://cvpip.wp.imt.fr/2018/06/28/data-brokers-et-marche-de-la-vente-de-donnees/
(6) https://medium.com/echobox/why-macron-will-win-90af797c8954
(8) https://medium.com/dataseries/data-in-politics-an-overview-a66f5464f38f
(11) https://fr.wikipedia.org/wiki/Gambit_(comics )
(14) https://www.papergeek.fr/windows-10-vous-espionne-en-permanence-voici-comment-tout-bloquer-7301
(17) https://fr.wikipedia.org/wiki/Raisonnement_par_cas
(19) https://www.smecc.org/bell_labs_holding_page.htm
(20) http://poincare.matf.bg.ac.rs/~zstanic/uor/Slajdovi/IBM.pdf
(21) https://twitter.com/andrewyang/status/1175200727385464832
(22) https://www.01net.com/actualites/le-piratage-de-bluetooth-a-la-portee-des-petits-curieux-217203.html
(23) https://www.rtl-sdr.com/tag/gsm/
(24) https://www.realtek.com/en/products/communications-network-ics/item/rtl2832u
(25) https://entreprisesnumeriques.co/2016/09/28/les-objets-connectes-detournes-les-cybercriminels/
(29 https://www.inserm.fr/information-en-sante/dossiers-information/big-data-en-sante
(30) https://e2li.org/
(31) https://www.grasset.fr/livres/mindfuck-9782246824732
(32) https://archive.nytimes.com/www.nytimes.com/2009/07/18/technology/companies/18amazon.html
(35) https://e2li.org/ #extrait
(36) https://research.csiro.au/isp/wp-content/uploads/sites/106/2016/08/paper-1.pdf
(37) https://fr.wikipedia.org/wiki/Proxy
(38) https://fr.wikipedia.org/wiki/Giuseppe_Verdi
(39) https://fr.wikipedia.org/wiki/Pair-%C3%A0-pair
A suivre : la descrition du projet RESPIRARE
et l’utilisation des solutions proposées.