{"id":2361,"date":"2021-05-17T23:51:00","date_gmt":"2021-05-17T21:51:00","guid":{"rendered":"https:\/\/signal.eu.org\/blog\/?p=2361"},"modified":"2021-05-20T18:49:47","modified_gmt":"2021-05-20T16:49:47","slug":"boites-noires-urls-et-poudre-de-perlimpinpin","status":"publish","type":"post","link":"https:\/\/signal.eu.org\/blog\/2021\/05\/17\/boites-noires-urls-et-poudre-de-perlimpinpin\/","title":{"rendered":"Boites noires, URLs et poudre de perlimpinpin"},"content":{"rendered":"\n
Tweet<\/a><\/div>\n\n

En raison de l’actualit\u00e9 — r\u00e9vision de la loi renseignement de 2015 –, on parle \u00e0 nouveau des boites noires, dispositifs que les services de renseignement ont souhait\u00e9 installer d\u00e8s 2015 sur Internet dans l’espoir d’op\u00e9rer un \u00e9quivalent des \u00e9coutes t\u00e9l\u00e9phoniques.<\/p>\n\n\n\n

Ce billet se veut une r\u00e9flexion purement th\u00e9orique sur les aspects juridiques et possibilit\u00e9s techniques des boites noires [pour les aspects techniques r\u00e9els voire a-l\u00e9gaux, on peut se r\u00e9f\u00e9rer \u00e0 cet article de Reflets sur IOL<\/a> et j’y reviendrai peut-\u00eatre ; pour le juridique, \u00e0 cet article tr\u00e8s d\u00e9taill\u00e9 de F\u00e9lix Tr\u00e9guer<\/a>].<\/p>\n\n\n\n

Les boites noires ont \u00e9t\u00e9 cr\u00e9\u00e9es, au titre de la loi renseignement vot\u00e9e en juillet 2015, par l’article L851-3 du code de la s\u00e9curit\u00e9 int\u00e9rieure<\/a>. Extrait : <\/p>\n\n\n\n

il peut \u00eatre impos\u00e9 aux op\u00e9rateurs et aux personnes mentionn\u00e9s \u00e0 l’article L. 851-1 <\/a>la mise en \u0153uvre sur leurs r\u00e9seaux de traitements automatis\u00e9s destin\u00e9s, en fonction de param\u00e8tres pr\u00e9cis\u00e9s dans l’autorisation, \u00e0 d\u00e9tecter des connexions susceptibles de r\u00e9v\u00e9ler une menace terroriste.<\/p><\/blockquote>\n\n\n\n

Le l\u00e9gislateur ne dit rien ici des moyens \u00e0 mettre en \u0153uvre. En th\u00e9orie, il peut s’agir de traitements purement logiciels — utilisant donc les moyens existants de l’op\u00e9rateur –, ou de mat\u00e9riel d\u00e9di\u00e9 \u00e0 cet usage — ce que l’on entend en g\u00e9n\u00e9ral par “boites boires” –.<\/p>\n\n\n\n

C’est la CNCTR<\/a> (Commission nationale de contr\u00f4le des techniques de renseignement) qui se charge de la mise en \u0153uvre administrative des boites noires : proc\u00e9dures d’autorisation, etc.<\/p>\n\n\n\n

La CNCTR et l’\u00ab algorithme \u00bb<\/h3>\n\n\n\n

Dans le rapport d’activit\u00e9 2019 de la CNCTR<\/a>, les \u00ab boites noires \u00bb sont plaisamment baptis\u00e9es \u00ab technique de l’algorithme \u00bb. On peut lire page 51 :<\/p>\n\n\n\n

“S\u2019agissant enfin de l\u2019algorithme52<\/sup> sur des donn\u00e9es de connexion en vue de d\u00e9tecter des menaces terroristes, aucune nouvelle autorisation de mise en \u0153uvre n\u2019a \u00e9t\u00e9 sollicit\u00e9e en 2019. \u00c0 la fin de l\u2019ann\u00e9e 2019 trois algorithmes avaient \u00e9t\u00e9 autoris\u00e9s depuis l\u2019entr\u00e9e en vigueur du cadre l\u00e9gal et continuaient \u00e0 \u00eatre en fonctionnement.”<\/p>

52 – Il s\u2019agit de la technique pr\u00e9vue par les dispositions de l\u2019article L. 851-3 du code de la s\u00e9curit\u00e9 int\u00e9rieure.<\/p><\/blockquote>\n\n\n\n

\u00c0 ce stade, avec 3 mises en \u0153uvre en 2019, le d\u00e9ploiement des boites noires semble assez limit\u00e9. Dans son rapport 2020<\/a> qui vient tout juste d’\u00eatre publi\u00e9, la CNCTR affirme que rien n’a chang\u00e9 cette ann\u00e9e-l\u00e0 : ces m\u00eames 3 boites noires sont toujours en place.<\/p>\n\n\n\n

Malgr\u00e9 de nombreux d\u00e9bats et questions au parlement lors de leur vote, on ne sait rien sur leurs capacit\u00e9s physiques, ni sur les donn\u00e9es et algorithmes utilis\u00e9s, ni sur les emplacements choisis. La raison invoqu\u00e9e est le secret d\u00e9fense.<\/p>\n\n\n\n

Sous le capot : les donn\u00e9es de connexion<\/h3>\n\n\n\n

Un rapide d\u00e9tour technique s’impose. Si cela vous ennuie, vous pouvez passer directement \u00e0 la section suivante.<\/p>\n\n\n\n

C’est un document technique, la RFC 791<\/a>, qui a d\u00e9fini le format des informations \u00e9chang\u00e9es sur Internet, autrement le paquet IPv4 (je ne parlerai pas ici du paquet IPv6, mais les principes sont les m\u00eames). C’est son ent\u00eate qui contient l’int\u00e9gralit\u00e9 des donn\u00e9es de connexion r\u00e9ellement utilis\u00e9es par le fournisseur d’acc\u00e8s. On parle aussi de m\u00e9tadonn\u00e9es<\/em>. Surlign\u00e9es en vert, les donn\u00e9es indispensables \u00e0 l’acheminement du paquet : l’adresse source et l’adresse destination. En orange, d’autres donn\u00e9es \u00e9galement utiles \u00e0 l’acheminement. En jaune, on commence \u00e0 entrer dans les d\u00e9tails des donn\u00e9es transmises : il ne s’agit plus vraiment de donn\u00e9es de connexion au sens strict.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

La RFC 793<\/a>, quant \u00e0 elle, d\u00e9finit les informations de l’ent\u00eate TCP, qui est utilis\u00e9 notamment pour les connexions http (web), et vient s’ajouter aux donn\u00e9es IP pr\u00e9c\u00e9dentes.<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

TCP d\u00e9finit le port source et le port destination (ici en jaune) : ils permettent en particulier de distinguer une connexion web (port 80 ou 443) d’une connexion de courrier \u00e9lectronique (25, 143, 993, 587, etc, suivant le cas). TCP transporte \u00e9galement les donn\u00e9es utiles — l’int\u00e9rieur de l’enveloppe –, c’est le “data” en rouge en bas du paquet.<\/p>\n\n\n\n

L’inspection profonde, ou DPI<\/h3>\n\n\n\n

On appelle Deep Packet Inspection<\/a><\/em> (DPI), en fran\u00e7ais \u00ab inspection de paquets \u00bb, l’acc\u00e8s aux donn\u00e9es au del\u00e0<\/strong> des donn\u00e9es de connexion. C’est un proc\u00e9d\u00e9 beaucoup plus intrusif, et qui sort du cadre de ce qui est permis par la loi m\u00eame au titre des boites noires.<\/p>\n\n\n\n

En mati\u00e8re postale, cela reviendrait \u00e0 ouvrir une enveloppe pour en lire le contenu, ce qui est formellement prohib\u00e9 (secret des correspondances).<\/p>\n\n\n\n

Le terme de DPI \u00e9veille donc l’attention lorsqu’il est utilis\u00e9.<\/p>\n\n\n\n

Que sont les boites noires et o\u00f9 les met-on ?<\/h3>\n\n\n\n

Ce point \u00e0 lui seul m\u00e9riterait un billet complet. Les questions \u00e0 se poser sont, notamment :<\/p>\n\n\n\n