devloop :: blog

Le gouvernement a pris l'habitude de faire passer ses lois liberticides aux périodes où il se fera le moins remarquer, que ce soit pendant les fêtes de fin d'année, durant les vacances ou, pour ce décret d'application de la LCEN, en pleine période électorale. Comme le faisait remarquer Moustic c'est un coup à se retrouver sans le droit de vote le lendemain d'une victoire en coupe de monde de football.

Ce décret d'application sur la loi sur la confiance dans l'économie numérique, dont j'ai d'abord eu vent par Le Journal du Net, semble plus correspondre à une nouvelle réglementation anti-terrorisme plutôt qu'à un plan d'aide au commerce électronique tellement elle se concentre sur la surveillance généralisée des individus sur le réseau Internet.

Ce projet de décret rajoute une dimension Orwellienne à la loi actuelle en obligeant tout les systèmes informatiques ouverts à contribution à garder des informations sur les visiteurs. Pour cela le decret différencie 5 catégories de données à conserver.

La première catégorie concerne les fournisseurs d'accès à Internet (et les opérateurs téléphoniques ?)
Ceux-ci devront conserver pour chacune des connexions établies par chaque abonné :

• l'identifiant de la connexion
  
• l'identifiant attribué par le système d’information à l’abonné
  
• les date et heure de début et de fin de la connexion
  
• les caractéristiques de la ligne de l’abonné
  

Ce qui fait beaucoup de mots pour dire qu'ils veulent absolument obtenir l'adresse IP attribuée à l'abonné à chacune de ses connexions, d'ailleurs, comme écrit noir sur blanc dans le decret, l'objectif est d'obtenir "les données permettant d'identifier l'origine de la création des contenus".
Quand aux caractéristiques de la ligne, elles doivent correspondre à l'offre d'abonnement (cable ? téléphone ? satellite ? 56k ? ADSL ? dégroupé ?) et probablement aussi au numéro de téléphone de l'abonné et à l'identité de son opérateur.

Viennent ensuite les services offrant "le stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature" et autres "services de communication au public en ligne". Cela touche aussi bien les sites Internet communautaires que les forums, les services comme ImageShack, les pastebins, les webmails ou les blogs permettant de poster des commentaires sans oublier les systèmes d'hébergement.
A noter tout de même la notion de "prestataire technique" qui fait que seul le ou les responsables techniques du service sont tenus de conserver des logs. Cela signifie qu'une personne qui a un blog chez Blogger n'a pas à conserver de logs. En revanche Blogger qui fournit le service a pour obligations de les conserver (en supposant que Blogger soit français).
Tous ces services, qui correspondent à un nombre incalculable de sites ou de serveurs (les Usenet, eDonkey, Jabber, SMTP, FTP... sont à priori concernés) sont tenus de conserver :

• l'identifiant de la connexion à l'origine de la communication
  
• l'identifiant attribué par le système d'information au contenu, objet de l'opération
  
• l'identifiant attribué par le système d'information à la connexion
  
• le type de protocole ou de réseau utilisé
  
• la nature de l'opération
  
• les date et heure de l'opération
  
• les pseudonymes utilisés
  

Même si ça manque de clarté on peut facilement deviner à quoi peuvent correspondre ces éléments en fonction de la communication.
Ainsi dans le cas d'un téléchargement sur un réseau P2P, cela correspondrait respectivement à l'adresse IP, le nom ou le hash du fichier téléchargé ou envoyé, le nom de login de l'internaute sur le réseau P2P, la nature du réseau (eDonkey, BitTorrent, FTP...), l'opération effectuée (téléchargement, mise à disposition)...

Dans le cas d'un message posté sur un forum il s'agirait de l'adresse IP du visiteur, l'id du post/message/thread, l'id du visiteur, le protocole (HTTP, NNTP...), l'opération (envoi, lecture, modification), la date et l'heure et le pseudo de l'internaute.

Ensuite, l'ensemble des services précédemment cités sont tenus, dans le cas de souscription d'un contrat ou de la création d'un compte utilisateur, de demander et de conserver l'ensemble des données suivantes dans le cas où ils les conservent habituellement :

• nom et prénom ou raison sociale
  
• adresses postales associées
  
• pseudonymes utilisés
  
• adresses de courrier électronique associées
  
• numéros de téléphone
  
• mot de passe et informations associées
  

Dans le cas où la souscription ou la création du compte est payante, doivent aussi être conservées :

• type de paiement utilisé
  
• montant
  
• numéro de référence du moyen de paiement
  
• date et heure de la transaction
  

L'article 1 se termine par la note suivante :
La contribution à une création de contenu comprend les opérations portant sur :

• des créations initiales de contenus
  
• des modifications des contenus eux-mêmes
  
• des modifications de données liées aux contenus
  
• des suppressions de contenus
  

L'ensemble de ces données doivent être conservées pour une période d'un an et pouvoir être mises à disposition "des services de police et de gendarmerie nationales chargés des missions de prévention des actes de terrorisme" (d'où les termes "économie numérique", c'est pourtant évident...)
Pour obtenir ces données la police doit, en dehors de prouver son identité, donner certains renseignements sur les données à récupérer à savoir :

• la nature des données
  
• la période concernée
  
• la motivation de la demande
  

Aucune information supplémentaire n'est donnée, notamment aucune limite n'est précisée rendant ainsi possible la récupération de la totalité des logs pour simple raison de "lutte anti-terrorisme". Le principe de "nature des données" est plus que flou mais pourra certainement correspondre à un nom de fichier dans le cas d'un téléchargement sur un réseau P2P.

Les services de police se réservent le droit de conserver ces données pour une période supplémentaire de trois ans. Alors que cela peut sembler trop important dans le cas d'une affaire de téléchargement ou de diffamation, ce laps de temps pourrait suffire à mettre en place une surveillance globale du réseau en croisant les données récupérées.

En dehors de la menace que représente ce décret pour la liberté d'expression et la vie privée de chacun, menace notamment dénoncée par l'association IRIS, cela fait enrager les services Internet concernés tellement les dispositions à mettre en place sont techniquement ou économiquement intenables.
Le président du Geste (Groupement des Editeurs de Services en Ligne) a fait part de son mécontentement dans un article du Monde. Pour lui ce décret met en danger l'Internet lui-même.
D'après le Geste, les coûts de stockage, s'il tant est qu'il est possible techniquement, entraîneraient entre plusieurs centaines de milliers et un million d'euros de perte nette à chaque éditeur.

Pour forcer les propriétaires des services à conserver les données, l'Etat promet des ammendes collosales dans le cas où les services refusent de coopérer : 375.000 euros d'amende pour l'entreprise, et un an d'emprisonnement et 75.000 d'amende pour les dirigeants.
Bref ce decret pourrait tuer tous les services de petite et moyenne taille qui sont dans l'incapacité technique ou économique de mettre en place un tel système de surveillance.


D'autres points posent problèmes, par exemple les mots des passes doivent pouvoir être restitués à la police au même titre que les autres données. L'explication officieuse est qu'avec le nom d'utilisateur et le mot de passe de l'internaute ils peuvent s'introduire sur son compte sans avoir à demander une nouvelle fois l'autorisation auprès du service pour récupérer des données supplémentaires.
De plus les utilsateurs, même les plus avertis, utilisent souvent un même mot de passe pour différents comptes, ainsi ils peuvent s'introduire sur d'autres services sans avoir à suivre les démarches administratives.

Pour revenir au principe de "confiance dans l'économie numérique" (parce que c'est difficile de voir le lien), la conservation des données sur un temps aussi long et ce même après fermeture des comptes, est un vrai danger pour l'économie des entreprises et des individus.
Ce projet de décret est du pain béni pour les pirates qui pourront récupérer d'un simple coup autant de données confidentielles permetant le vol d'identité et les fraudes bancaires.

Et bien sûr, sil un beau jour il est jugé illégal de critiquer le gouvernement, alors ce système permettra d'arrêter très rapidement les cyber-dissidents, à l'instar de ce qui se fait actuellement en Chine.

Pour l'instant, la seule chose qu'à trouvé à dire la CNIL est que le décret reste imprécis

Références :
JDN : Un projet de décret pour surveiller le Web participatif et contributif
JDN : Le projet de décret (accès direct)
LegiFrance : LOI n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique
Le Monde : L'Etat veut-il tuer Internet en France ?

Sur ce blog :
Big Brother State
Informatique en vrac : le gouvernement travaille à nous fournir un Internet censuré, commercial et sous surveillance
Création d'un Echelon français ?
Conservation des logs : décret du 24 mars 2006

En ce jour du dimanche 26 mars 2006, un décret du ministère de la Justice oblige dorénavant les "opérateurs de communications électroniques" à conserver des logs de nos communications.

Le decret peut être lu ici mais je vais tenter, malgré mes faibles connaissances en droit, de vous en faire une petite analyse

Art. R. 10-12. - Pour l'application des II et III de l'article L. 34-1, les données relatives au trafic s'entendent des informations rendues disponibles par les procédés de communication électronique, susceptibles d'être enregistrées par l'opérateur à l'occasion des communications électroniques dont il assure la transmission et qui sont pertinentes au regard des finalités poursuivies par la loi.

Faisons le point sur ces "données susceptibles d'être enregistrées par l'opérateur à l'occasion des communications électroniques dont il assure la transmission".
Parmi ces données il y a bien évidemment nos emails. Non seulement ils transitent par le biais du FAI (Fournisseur d'Accès Internet) mais en plus ils sont conservés par les serveurs POP ou IMAP de ce dernier (parce qu'il faut bien que nos emails se "posent" quelque part).
Ensuite pour savoir si nos emails sont "pertinents au regard des finalités poursuivies par la loi" c'est on ne peut plus flou (à ce point du document).

Art. R. 10-13. - I. - En application du II de l'article L. 34-1 les opérateurs de communications électroniques conservent pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales :

1. Les informations permettant d'identifier l'utilisateur ;
   
2. Les données relatives aux équipements terminaux de communication utilisés ;
   
3. Les caractéristiques techniques ainsi que la date, l'horaire et la durée de chaque communication ;
   
4. Les données relatives aux services complémentaires demandés ou utilisés et leurs fournisseurs ;
   
5. Les données permettant d'identifier le ou les destinataires de la communication.
   

Les "informations permettant d'identifier l'utilisateur" sont bien évidemment votre fiche client : nom, prénom, adresse, numéro de téléphone et plus encore.
"Les données relatives aux équipements terminaux de communication utilisés" : j'avoue avoir des difficultées à comprendre la signification des "équipements terminaux". J'aurais tendance à dire qu'il s'agit soit des relais utilisés dans une communication (par exemple un routeur, voire un proxy du FAI) soit la nature du protocole utilisé dans la communication... Si c'est le cas on peut considérer que cela signifie la conservation des ports source et destination d'une communication (généralement largement suffisant pour déterminer le protocole)
De toute façon ces données doivent être comprises dans les "caractéristiques techniques" citées dans le troisième point.
Le quatrième point c'est le brouillard total mais c'est sûrement rien de bon pour nous
"Les données permettant d'identifier le ou les destinataires de la communication" : à première vue les adresses ip et/ou les noms de domaines. Ca peut aller jusqu'au nom, prénom etc si le destinataire de la communication utilise le même FAI (logique).

II. - Pour les activités de téléphonie l'opérateur conserve les données mentionnées au I et, en outre, celles permettant d'identifier l'origine et la localisation de la communication.

Je crois que tout est dit

On nous apprend ensuite que les opérateurs de communications sont autorisés à conserver d'avantage de données techniques ou de données permettant la localisation s'ils en ont besoin pour la facturation.
Ce qui nous intéresse (en temps que simple internautes) se situe dans le paragraphe suivant :

Les données mentionnées aux I et II du présent article ne peuvent être conservées que si elles sont nécessaires à la facturation et au paiement des services rendus. Leur conservation devra se limiter au temps strictement nécessaire à cette finalité sans excéder un an.

Evidemment on peut se demander qui dans l'histoire va juger de la durée nécessaire de conservation de ces données...
On nous informe ensuite que l'opérateur peut enregistrer plus de données techniques pour les communications relatives à "la sécurité des réseaux et des installations". En fait le seul point rajouté concerne les "données permettant d'identifier l'origine de la communication".

C'est évident que lors d'une enquête, si la police se rend dans les locaux d'un FAI c'est qu'elle connaît probablement déjà l'adresse IP du fraudeur. Cela lui permet ensuite d'obtenir son identité et de savoir qu'elles communications il a effectué.
La conservation de données concernant l'origine de la destination peut être utile si la police ne possède pas d'adresse IP mais à réussi à retrouver quel est le FAI du pirate. En ce qui concerne les lois relatives au téléchargement cela est plus inquiétant. A priori cela ne rentre pas dans le cadre de "la sécurité des réseaux et des installations" mais la conservation de telles données pourrait permettre à la police de prendre totalement au hazard des personnes utilisant des logiciels de P2P.

Les opérateurs de communications électroniques, et notamment les personnes dont l'activité est d'offrir un accès à des services de communication au public en ligne, effacent ou rendent anonyme toute donnée relative au trafic, sous réserve des dispositions des II, III, IV et V.
Les personnes qui, au titre d'une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l'intermédiaire d'un accès au réseau, y compris à titre gratuit, sont soumises au respect des dispositions applicables aux opérateurs de communications électroniques en vertu du présent article.

Traduction : le proxy que vous utilisez ou encore la chaîne de fast-food qui vous propose gentiment un accès wifi doivent suivre les même règle qu'un FAI ou qu'un opérateur téléphonique

La dernière partie du document concerne les interdictions vis-à-vis des opérateurs (utilisation de données à des fins commerciales, spam, litiges etc).
Le plus important dans cette partie est (à propos des données conservées) :

Elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications.

En même temps je vois mal un opérateur stocker sur disque le contenu des communications qui transitent chez lui ^^
Evidemment dans le cadre d'un enquête la justice peut très bien obliger l'opérateur à surveiller de près certaines communications, en particulier leur contenu

Pour résumer : les logs sont conservés pour une durée d'un an aussi bien chez les opérateurs (internet, téléphonie) que sur les serveurs proxy ou fournisseurs de point d'accès WiFi. Vous êtes prévenus

Mise à jour:
Le décret sur la conservation des logs a été validé par le conseil d'état, désormais les logs sont obligatoirement conservés pour une durée d'un an.
Source : ZDNet.fr