Secu
Comment les Etats-Unis légitiment la cybersurveillance mondiale
Par La rédaction, publié le 21 janvier 2013
La loi américaine FISAAA autorise, de facto, une cybersurveillance globale des données du cloud, selon une récente étude du Parlement européen. 01net a interrogé l’un des co-auteurs, Caspar Bowden, pour une explication en détail.
Selon une récente étude du Parlement européen, la loi FISAAA (Foreign Intelligence Surveillance Act Amendments Act) permet aux services américains de puiser de manière large et automatique dans les infrastructures de cloud computing, à des fins d’espionnage.
L’un des co-auteurs de l’étude, Caspar Bowden, un défenseur indépendant des droits de la vie privée, nous explique pourquoi et comment une telle cybersurveillance peut être réalisée.
01net: Selon l’étude que vous avez co-signée, la loi américaine FISA Amendment Act 2008 (FISAAA) est plus dangereuse pour la protection des données européenne que le PATRIOT ACT. Pourquoi?
Caspar Bowden: Les lois PATRIOT et FISAAA sont beaucoup plus longues et complexes que la plupart des lois européennes, et peu d’Européens se sont donné la peine de les étudier avec attention. Les deux lois permettent à des agences de renseignement ou des services de police d’accéder à des données numériques. Pour résumer, PATRIOT permet aux services de polices de récupérer une quantité finie de données, qui doit être spécifiée. La nouveauté de FISAAA – et en particulier de l’article §1881a – est que cette loi 1) ne cible que les données situées en dehors des Etats-Unis et appartenant à des personnes non-américaines, 2) s’applique spécifiquement aux fournisseurs de services cloud (et pas seulement les opérateurs télécoms), et 3) supprime certaines contraintes qui empêchaient jusque-là de réaliser une cybersurveillance continue et de grande ampleur, et de récupérer tout type de données.
Ainsi, FISAAA permet à la NSA (National Security Agency) de demander aux grands fournisseurs Cloud d’installer des dispositifs permanents pour scanner toutes données qu’elles gèrent en dehors des Etats-Unis. Comme cela est réalisé au sein des centres de données, le chiffrement des données entre l’infrastructure cloud et votre ordinateur est vain et n’offre aucune protection. Evidemment, on pourrait se dire “OK, alors je vais chiffrer mes données moi-même avant de l’envoyer”, mais ce type de stockage à distance est un aspect très trivial du cloud computing. Pour tirer avantage des capacités de calcul du nuage informatique, il faut que le fournisseur Cloud puisse travailler avec des données non chiffrées, et le dispositif FISAAA peut se placer là où le déchiffrement se fait. Cette surveillance peut se faire avec du matériel d’inspection des paquets en profondeur (DPI), ou de manière invisible au niveau de l’infrastructure logicielle du cloud. Il y a des précédents techniques et juridiques sur ce type de problématique.
Il y a deux choses que je trouve particulièrement étonnantes. Premièrement que personne n’a remarqué que le cadre d’application de FISAAA est passé de la simple écoute téléphonique à la surveillance des données dans les data center. Rien n’a été écrit là-dessus durant les quatre dernières années. Deuxièmement, tous les articles de presse qui parlaient de FISAAA 2008, expliquaient que cette loi représentait un danger pour les citoyens américains. Or, justement, FISAAA cible toute personne qui n’est PAS américaine – l’indice se trouve dans le mot « foreign » (étranger).
01net: Pourtant, l’Union européenne interdit le transfert de données personnelles en dehors de son territoire. Cela n’est-il pas suffisant ?
Caspar Bowden: C’est de la fiction juridique, car il existe des exceptions à la règle pour justifier des transferts de données et elles sont utilisées d’une manière douteuse. C’est le cas par exemple du Safe Harbor (un ensemble de principes de protection des données personnelles négociés entre les autorités américaines de la Commission européenne en 2001, ndlr) ou des contrats types européens pour la protection des données. Ils ne fournissent aucune protection contre PATRIOT ou FISAAA. Une nouvelle exception à l’interdiction des transferts de données vient d’apparaître. Elle est spécifique au cloud computing et particulièrement poussée la CNIL, pour une raison que j’ignore. Il s’agit des Règles interne d’entreprises (Binding Corporate Rules, BCR). L’idée est que l’infrastructure du fournisseur Cloud soit auditée au niveau de la sécurité par une société privée. Durant ce processus, beaucoup de documents vont être créés et, par la suite, les transferts de données seront automatiquement approuvés. Mais aucune société d’audit privée n’a le pouvoir de révéler officiellement des dispositifs de surveillance secrets, commandités par un autre pays dans le cadre de sa loi de sécurité nationale. D’ailleurs, les sociétés d’audit privées sont très gênées quand vous abordez ce sujet avec elles.
La position de la CNIL est qu’un tel dispositif ne doit pas exister, mais si c’est le cas, cela ne remet pas en cause les BCR, mais leur mise en application. Et puis de toute façon, ce serait plutôt à l’Etat de s’occuper de ce type d’affaires, pas la CNIL. D’ailleurs, si un membre du gouvernement américain ou un cadre du fournisseur Cloud se décidait à informer les autorités européennes sur l’existence d’un tel dispositif, il serait passible d’outrage au tribunal fédéral relatif au renseignement étranger (FISC, Foreign Intelligence Surveillance Court) et enfreindrait probablement la loi US Espionage Act, qui interdit la publication d’informations classées sur les méthodes de renseignement.
Il est incroyable que la plupart des représentants européens et des autorités pour la protection des données semblent ignorer ce problème. Cela reflète une attitude plutôt bureaucratique qui privilégie les structures légales sur la réalité technique. Certains représentants ont subi un lobbying intensif de la part des industriels et sont soumis à une pression énorme pour trouver un moyen de rendre le cloud computing légitime, afin de préserver la compétitivité de l’économie européenne. Mais perdre la souveraineté sur les données personnelles des européens n’est pas une solution pour rester compétitif !
Il ne faut pas oublier, par ailleurs, que ce problème ne concerne pas uniquement les data centers sur le territoire américain. PATRIOT et FISAAA peuvent s’appliquer de manière secrète à chaque société de la planète – même européenne – à partir du moment où elle a une activité commerciale aux Etats-Unis. Dans la pratique, il y a néanmoins un plus grand risque quand les données quittent physiquement l’Union européenne. La meilleur garantie, c’est d’utiliser des logiciels libres à tous les niveaux, avec à la clé la création de logs et de traces de tous les patchs, ainsi que des inspections réalisées en local par des experts indépendants et sans allégeance étrangère.
01net: Que faudrait-il faire contre cette cybersurveillance généralisée?
Caspar Bowden: Je n’ai pas encore parlé de l’aspect le plus inquiétant. Je pense que la raison pour laquelle les autorités européennes ont été si complaisantes, c’est qu’ils ont cru les américains quand ils disent que tout cela est pour lutter contre le terrorisme. Mais quelque chose qui n’est presque jamais mentionné dans l’analyse juridique ou politique, c’est que la définition de «renseignements étrangers» (depuis la première loi FISA en 1978) couvre « l’information qui concerne une organisation basée à l’étranger politique ou un territoire étranger (!) qui se rapporte à la conduite des affaires étrangères des États-Unis ».
Il s’agit d’une véritable carte blanche pour la surveillance purement politique, sans lien avec la criminalité ou les menaces de sécurité d’origine. Comme nous l’avons déjà dit, l’article §1881a n’offre aucune protection pour les données de non-Américains, mais en plus l’information qui peut être ciblée pour des raisons politiques est définie de manière plus large pour les non-Américains. C’est une double discrimination en fonction de la nationalité. Ce qui serait incontestablement illégale en vertu de la Convention européenne des Droits de l’Homme (CEDH). Les gouvernements européens sont légalement obligés de protéger leurs citoyens de ce risque. Mais les décideurs européens n’ont pas compris que ce qui est en jeu, ce n’est pas le risque lié à l’interception de communications de données. C’est beaucoup plus que cela. Des sociétés telles que Microsoft ont l’ambition commerciale de gagner des contrats cloud pour des données qui, jusqu’à présent, ne sont jamais sortis de nos pays, même les données administratives sur la vie privée des citoyens.
Je vois trois possibilités pour éviter tout cela. La première est que l’Europe négocie un traité avec les Etats-Unis qui reconnaisse de manière explicite nos droits de la CEDH. Mais au cours de la dernière décennie, les Etats-Unis ont bloqué des demandes européennes qui étaient beaucoup plus modestes que celle-là. La deuxième possibilité est que l’Europe décide de développer de manière stratégique une industrie du cloud computing, sérieuse et autonome. A l’instar d’un Airbus, qui a désormais autant de parts de marché que Boeing. Mais Neelie Kroes investi 15 millions d’euros (sic), quand l’industrie du cloud aux Etats-Unis investi des dizaines de milliards de dollars. Enfin, la troisième possibilité, c’est que l’UE offre une immunité juridique et des récompenses financières pour ceux qui indiquent l’existence d’une surveillance qui ne respecte pas le droit communautaire. Ce peuvent être des ingénieurs ou des avocats qui travaillent pour l’industrie américaine ou le gouvernement. En devenant des dénonciateurs, ils prendraient d’énormes risques, de sorte que les récompenses devront être importantes.
C’est une méthode utilisée dans de nombreuses régions du monde, y compris aux États-Unis, pour lutter contre la corruption publique et l’évasion fiscale. Pourquoi ne pas l’utiliser pour faire respecter la protection des données et le respect des droits de l’homme européens? Les récompenses pourraient être payées grâce aux amendes infligées aux sociétés, et cette méthode pourrait fournir un moyen de dissuasion contre un crime qui est pratiquement indétectable. Ces trois possibilités ne sont pas mutuellement exclusives. Combinées, elles permettraient de créer une industrie européenne du cloud computing qui soit florissante, compétitive et qui respecte la protection des données.
