Et encore, la STASI de l’Allemagne de l’Est avec leurs fiches et leurs classeurs, c’était des petites mains comparé à la puissance des systèmes informatiques d’aujourd’hui. Mais on va encore nous dire qu’on est des conspirationistes, paranos et pas cool…

Quand on sait le nombre de « retraités de l’Armée » qui pantouflent dans les « directions sécurité » des entreprises françaises, qu’est ce qui vous garantit que ces messieurs (voir l’Affaire Canal Plus) ne profiteront pas de leurs contacts pour consulter le fichier sur vous, à l’occasion d’un entretien d’embauche ? Et votre CV finira à la poubelle parce que, il y a 10 ans, quand vous étiez lycéen, vous avez écrit « Sarko facho » sur votre Skyblog.

Alors… toujours cool ?

(Note de copinage : on adore tout ce qu’écrit Jean-Marc Manach et son blog BugBrother vaut largement l’abonnement RSS)

[BugBrother – 19/08/2009]

Cybersurveillance : la DGA nie, mais ment

L’armée française, et ses services de renseignement, disposeront, en 2010, d’un système de surveillance des télécommunications leur permettant d’identifier très précisément toutes les fois où, dans une vingtaine de langues et par exemple, « Nicolas Sarkozy » aura été cité, à la radio, la TV ou sur l’internet, qu’il ait été qualifié de « le nouveau président français », « Monsieur Sarkozy », « le Président », « il », « celui-ci », ou « Sarko », ainsi que toutes les photos et vidéos où il apparaîtra (y compris caricaturé). Mais à en croire les ministères de la Défense et de l’Intérieur, il ne s’agit aucunement d’un système espion de surveillance.

En juillet 2008, un internaute anonyme postait, en commentaire d’un billet que j’avais consacré aux problèmes posés par les fichiers des services de renseignement, une information que je regrette de n’avoir pu alors recouper :

On peut également se demander ce qu’il adviendra des innombrables données collectées par le HERISSON (Habile Extraction du Renseignement d’Intérêt Stratégique à partir de Sources Ouvertes Numérisées), un outil informatique commandé par le Ministère de la Défense et la DGA (Délégation Générale pour l’Armement) afin de “pomper” tout média imaginable (des émissions de télévision aux transferts P2P en passant par les réseaux sociaux, les moteurs de recherche ou les tracts sur papier), en extraire les informations pertinentes (identification photographique et vocale de personnes, traduction automatisée…) et les croiser.

Suivait un lien vers l’appel d’offres. Faute de pouvoir accéder au cahier des charges du projet, je n’en faisais rien.

Mars 2009, mon (excellent) confrère Marc Rees met la main dessus, et publie sur PC Inpact un article truculent, qui “laisse entrevoir un système de collecte automatisée, de recherche d’informations et de surveillance de tout ce qui transite sur les réseaux” (radio, TV et internet), et fait le parallèle avec le système de surveillance anglo-saxon Echelon des télécommunications :

Exemple piquant, « Le système offre la possibilité de reconnaître l’entité elle-même de plusieurs manières différentes: Soit par mention explicite. Exemple : « Nicolas Sarkozy », Par mention relative (« le nouveau président français »), par mention partielle (« Monsieur Sarkozy », « le Président »), par anaphore (« il », « celui-ci »), par surnom (« Sarko ») ».

Le cahier des clauses techniques particulières (CCTP) détaille ainsi comment Herisson doit être capable de glaner à peu près tout ce qui passe sur les réseaux, qu’ils transitent sur les chats IRC, mailings listes, forums, réseaux sociaux, newsgroups, flux RSS, blogs, podcasts, flux vidéo, systèmes P2P, FTP… Il doit également être “calibré pour accéder à n’importe quel contenu (texte, image, son et vidéo), quels que soient les langages utilisés (HTML, PHP, ASP, javascript, Flash…), et en prenant en compte la problématique des liens cachés“.

Le système s’attaque aussi bien au web qu’aux radios et aux TV. Ainsi, les langues des documents audio devant être identifiées dans le système HÉRISSON sont :

[P]rimordial : le français, l’anglais, l’arabe, le russe, le farsi.
[I]mportant ; l’espagnol, l’allemand, , le chinois mandarin, l’italien,k le serbo-croate, l’hindi, le japonais, le coréen, le turc, l’ukrainien, l’hébreu, l’urdu, l’albanais, le macédonien.
[S]ouhaitable : le néerlandais, le grec, le portugais, le polonais.

Hérisson doit également “reconnaître les images transformées (et) lorsqu’une photographie a subi des transformations (rotations, changement d’échelle, compression, modification des contrastes…), reconnaître l’image originale parmi les images qui en sont issues, le contexte d’une image (photo couleur, photo noir&blanc, reproduction artistique, visage, scène intérieur/extérieur, ville/campagne/bord de mer/montagne/…, jour/nuit; présence/absence d’objets manufacturés où d’artefacts d’origine humaine, …)“, mais aussi permettre “la détection et classification d’objets contenus dans une image (personne, véhicule, meuble…)“, ainsi que “la détection et l’identification de personne dans une vidéo“.

Interrogée par ma (tout aussi excellente) consoeur Astrid Girardeau d’Ecrans.fr, la DGA faisait savoir qu’Herisson n’a rien à voir avec le système Echelon, au motif qu’il s’agit d’un “démonstrateur technologique (ou) plus exactement d’un « programme d’étude amont »” :

C’est un peu comme un prototype. Il n’a pas pour but de devenir opérationnel, ça reste à un niveau purement technique. Et son objectif est de tester, d’évaluer les logiciels dans le commerce et les logiciels libres capables de traiter des sources ouvertes. Il en existe plein, mais tous ne sont pas stables. Alors on va regarder lesquels sont les plus performants et pourraient nous être utiles. Et voir si on peut les interconnecter.

Autre argument : “On ne travaille que sur les sources ouvertes, c’est-à-dire tout ce qui est accessible au commun des mortels. C’est d’ailleurs dans le nom même d’HERISSON : Sources Ouvertes Numérisées. On exclut tout ce qui concerne la sphère privée. Ca n’a rien à voir avec Echelon comme j’ai pu le lire.” :

Par exemple, le fait de rechercher des informations sur POP3 (protocole de messagerie), ce n’est pas pour aller espionner les mails des gens, mais pour pouvoir s’inscrire à des mailing-lists qui nécessitent également POP3. Pour le p2p, on ne va pas surveiller qui télécharge quoi, mais typiquement on doit pouvoir savoir que, sur Emule, telle information est disponible en téléchargement.

Par exemple, une vidéo d’Al-Qaida. Autre exemple, pour le « web invisible », il s’agit d’avoir accès à des pages qui ne sont pas ou mal indexées par les moteurs de recherche, mais qui restent encore une fois accessibles à ceux qui savent les chercher.

Marc Rees vient d’en remettre une couche, suite à la réponse faite par le ministère de l’Intérieur à une question du député UMP Pierre Morel-A-L’Huissier :

Herisson (Habile extraction du renseignement d’intérêt stratégique à partir de sources ouvertes numérisées) est un démonstrateur technologique qui n’a pas vocation à devenir opérationnel. Ce démonstrateur vise à automatiser, à l’aide d’outils logiciels libres ou du commerce, des actions de consultation, de téléchargement et de visualisation de données en libre accès sur Internet, que tout internaute peut réaliser.

Herisson ne travaille que sur des sources ouvertes, accessibles à tous, ce qui exclut toute intrusion dans la sphère privée. Il ne fait notamment aucune interception ou surveillance de courriels, de conversations téléphoniques ou de flux de consultations de pages internet. En outre, il ne peut pas collecter des informations à l’insu d’une personne ou au moyen de méthodes intrusives pour connaître l’utilisation qu’elle fait d’Internet (pages consultées, achats réalisés…). Herisson n’est donc pas un système de surveillance.

On y apprend également qu’il a entre autres pour objectifs de “proposer aux entités opérationnelles (direction du renseignement militaire, armées, douanes…) de consolider leurs expressions de besoins pour des systèmes de renseignement de sources ouvertes, adaptés à leurs activités (et que) ce démonstrateur a fait l’objet d’un contrat de trois ans notifié le 7 novembre 2008 aux sociétés EADS, Bull et Bertin Technologies. Il devrait être livré dans sa première version en mars 2010.“

Mais alors, pourquoi la DGA ment ?

Elle ne “ment” pas, mais elle joue sérieusement sur les mots, et cherche à induire les lecteurs en erreur…

D’une part, il faut savoir que 90 à 95% du renseignement exploité par les services du même nom provient de sources ouvertes, c’est-à-dire librement accessible au public, au travers des journaux, livres, revues, et autres médias (radio, TV et internet, bien sûr).

Dès lors, prétendre qu’Herisson ne relève pas de l’espionnage parce qu’il ne s’intéressera qu’aux sources ouvertes est aussi absurde que de prétendre que les services de renseignement ne relèvent pas, eux non plus, de l’espionnage puisque la quasi-totalité de leurs renseignements sont eux aussi de source ouverte.

On parle souvent d’espionnage, terme un peu “007” et tout aussi olé-olé qu’il est en bonne partie, galvaudé. Aujourd’hui, les “services” s’intéressent bien plus au cycle du renseignement, à savoir le fait de répondre, par tous les moyens à la disposition d’un Etat, aux questions posées par les autorités (politiques ou militaires).

Le fait de mettre comme exemple, noir sur blanc, dans un cachier des charges, les différentes façons de qualifier “Nicolas Sarkozy“, indique bien qu’il s’agit là de répondre aux désidératas des pouvoirs en place, et qu’il est donc bel et bien là question de cette guerre de l’information que se mènent les plus grandes puissances au travers, notamment, des espions de leurs services de renseignement.

Guerre de l’information “made in France”

D’autre part, si un “démonstrateur technologique” est effectivement un prototype, ce n’est pas pour autant une maquette en plastique, et le prototypage vise précisément à en tester, et valider, le bon fonctionnement.

Il n’est pas “opérationnel” parce qu’il relève de la R&D et qu’il n’est pas, a priori, utilisé par les unités militaires et services de renseignement en activité, mais il a vocation à répondre à leurs attentes, et préparer un futur déploiement opérationnel.

Pour ne prendre que ces seuls exemples, les quatre microsatellites ELINT (pour “electronic intelligence – écoute des systèmes radars“), les quatre autres micro-satellistes espions Essaim, “aspirateurs d’ondes” et de renseignement d’origine électromagnétique (i.e. d’espionnage des télécommunications) militaire, tout comme ses deux précurseurs, Cerise et Clémentine, grandes oreilles de la France qui lui ont permis de rejoindre les Etats-Unis et la Russie “dans le cercle très fermé des pays qui possèdent de tels systèmes” d’espionnage (depuis l’espace) des télécommunications, ou encore les deux satellites SPIRALE (Système préparatoire infrarouge pour l’alerte destiné à surveiller les tirs de missiles ballistiques, et donc à faire la “guerre des étoiles“)… sont tous, eux aussi, des “démonstrateurs technologiques“.

Et la CNIL, dans tout ça ?

Enfin, oser écrire qu’”Herisson n’est pas un système de surveillance” au motif qu’il n’interceptera pas la correspondance privée, et qu’il ne collectera pas d’informations “à l’insu d’une personne ou au moyen de méthodes intrusives pour connaître l’utilisation qu’elle fait d’Internet (pages consultées, achats réalisés…)” est un argument plutôt spécieux.

Comment, en effet, qualifier autrement un système chargé de scanner l’ensemble des télécommunications afin d’identifier très précisément toutes les fois où, dans une vingtaine de langues, le nom de notre président (et ses nombreuses déclinaisons ou surnoms potentiels) auraient été prononcés, ainsi que toutes les photos et vidéos où il apparaîtrait (y compris caricaturé) ?

Interrogée par Ecrans.fr sur une éventuelle déclaration à la CNIL, le porte-parole de la DGA avait eu beau jeu de répondre que “Non” :

Nous avons regardé, mais elle n’est pas nécessaire car il s’agit d’un démonstrateur technologique et que nous ne constituons pas de bases de données. On va récupérer de l’information mais seulement pour avoir un échantillon représentatif pour pouvoir tester les différentes logiciels. On ne va pas conserver ni classifier l’information dans HERISSON. Ca n’a rien de « folichon », c’est d’ailleurs pourquoi les infos relatives à l’appel d’offres n’ont pas été classées Secret Défense. Si cela avait été un projet de type Echelon, cela aurait été le cas.

Simple question : vous avez déjà vu, vous, un service de renseignement -qui plus est militaire- demander une autorisation de la CNIL avant que de créer un nouveau fichier, ou système de surveillance ?

http://bugbrother.blog.lemonde.fr/2009/08/19/cybersurveillance-la-dga-nie-mais-ment/