Cloud et vie privée : comment protéger ses données

Je n'ai pas beaucoup pu suivre de sessions à Mix-IT 2015 mais je vais revenir sur la keynote de Tristan Nitot (fondateur de Mozilla Europe et aujourd'hui salarié chez Cosy Cloud).

Loi sur le renseignement

Revenons sur la semaine de nos politiques et la loi sur le renseignement. Cette loi qui touche la liberté des citoyens, a été votée dans une assemblée vide (25 votants en faveur de la loi, sur 30 présents!!!). Nous avons des politiques qui ne comprennent rien aux nouvelles technologies mais qui n'hésitent pas à pondre des lois qui seront inefficaces contre les terroristes qui veulent nuire à notre pays. Je vous laisse lire sur le même sujet, mon aticle qui a fait suite à la keynote à Devoxx de Eric Filiol directeur de recherche du laboratoire Confiance Numérique et Sécurité (CNS) ESIEA.

Il est important de comprendre que cette loi remet en cause un fondement de notre démocratie, la séparation des pouvoirs de l'état entre

• ceux qui votent les lois, les législateur (assemblée nationale, sénat)
• ceux qui les font respecter, le gouvernement via les forces de police
• ceux qui condamnent les personnes qui enfreignent la loi, la justice

On peut reprendre rapidement la classification des régimes de gouvernance de Montesquieu.

	Caractéristique	Principe
Despotisme	Confusion des pouvoirs	Crainte (du peuple envers le despote)
Monarchie	Séparation des pouvoirs limitée	Honneur (des nobles et du roi)
République	Séparation des pouvoirs	Vertu (de tous)

Une commission composée de magistrats, députés et d'un expert sera mise en place. Mais la police pourra intervenir sans passer par cette commission car elle n'a qu'un avis consultatif. Autant dire qu'elle ne sert à rien et que l'on fait tout pour détourner la justice et notamment le rôle du juge d'instruction.

Au niveau des recours, les citoyens pourront saisir le conseil d'état (qui a plus un rôle lié à l'exécutif) s'ils estiment faire l'objet d'une surveillance illégale… Si le texte de loi autorise la surveillance généralisée elle ne sera plus illégale... Et je n'ose pas penser aux délais pour la prise en charge d'une telle plainte.

Il faut des garde fous pour éviter les dérives. Ces garde fous avaient par exemple permis de mettre fin aux écoutes téléphoniques illégales il y a quelques années. La loi sur le renseignement renforce le pouvoir de la police qui peut intervenir sans l'aval d'un juge pour écouter quiconque…

Evolution de l'informatique familiale

Tristan Nitot a commencé sa keynote en se penchant sur l'historique de l'informatique dans les foyers français. Les personnes sont passées en quelques années de l'ordinateur familial au cloud computing avec différents devices connectés entre eux (téléphone, tablettes, PC…). Au départ un ordinateur était déconnnecté. Internet et le mail sont apparus et les personnes ont commencé à échanger des données numériques. Les réseaux ont évolués et sont devenus plus rapide. Cette rapidité a fait exploser le volume de données échangé, les logiciels sont aujourd'hui dématérialisés. Un utilisateur lambda n'a plus besoin d'acheter un CD avec un logiciel dans une grande surface pour l'installer sur son poste. Il peut directement trouver un service gratuit sur Internet vu que nous sommes passés au tout gratuit mais avec publicité ciblée…

Tout est une question de perspective dans la vie mais le client est celui qui paie. Quand on ne paie pas nous ne sommes pas clients.

On peut se poser la question sur le coût de nos données personnelles… Niveau business, ces données sont récupérées pour afficher de la publicité personnalisée. Le CA annuel de la publicité en ligne s'élevait à 1440 milliards en 2014 en France. Si on ramène au nombre de citoyens nous obtenons une somme de 21 euros par an. Personnellement je préférerai payer 30 euros par an pour qu'on me laisse tranquille et que l'on n'exploite pas mes données.

Espionnage des données personnelles

Aujourd'hui avec le cloud computing nous n'avons aucun contrôle sur les logiciels, ni sur nos données, que ce soit sur leur utilisation, ou sur leur emplacement. Certains diront que ces pratiques sont courantes. En juin 2013, Edouard Snowden a révélé au grand public la collecte systématique des données par l'état américain. Légalement ils peuvent le faire sur les personnes non américaines mais là tout le monde était ciblé. Ce robin des bois des temps modernes est considéré comme un terroriste par les américains mais il n'a fait que révéler au monde les pratiques illégales des services secrets américains… C'est tout de même fort d'être considéré comme un terroriste lorsque l'on essaye de jouer son rôle de citoyen et de dénoncer des pratiques illégales…

En France cette loi va permettre de couvrir les services de renseignement et empêcher que des responsables du renseignement soient inculpés dans de pareil cas. Car les pratiques existent déjà. Normalement dans notre démocratie c'est le juge qui donne le droit ou non à une intervention.

Internet peut être vu comme un paquet de datacenters répartis dans le monde et détenu par quelques sociétés américaines : Google, Amazon, Facebook, Microsoft… Ces silos rendent économiquement possible la collecte massive des données. Si le nombre de fournisseurs était plus important cette opération serait beaucoup plus dure.

En France nos gouvernants veulent installer une boite noire chez tous les fournisseurs d'accès afin de faire de la surveillance de masse. Cette boite noire a vocation de détecter les mouvements suspects. Mais elles ne pourront pas interpréter les données cryptées des terroristes… Si vous voulez protéger vos données personnelles vous devenez vous même suspect. Je vous laisse lire les débats à l'assemblée pour voir la teneur des débats et les réponses faites par des gens incompétents sur des sujets qui les dépassent.

Protéger ses données est un comportement suspect 

Si vous voulez sécuriser vos échanges (cryptage de mail) et utiliser des solutions pour ne pas être tracé (Tor, VPN…) vous adoptez un comportement suspect. Demain envoyer une lettre par la poste sera plus sûr que d'envoyer un mail…

Tout le monde a potentiellement quelque chose à cacher. Se cacher n'est pas illégal et c'est souvent nécessaire… Avec cette loi, le secret professionnel est remis en cause (échanges avec les médecins, avocats, journalistes, commerçants, industriels)… En tant qu'entrepreneur je ne veux pas que quelqu'un lise mes échanges sur des projets en cours…

Nous avons besoin d'intimité pour être créatif. Si nous nous savons épiés, nous n'avons pas le comportement naturel qui nous permet de grandir. Il faut donc inventer notre futur et prendre notre destin en main si nous ne voulons pas vivre dans celui que l'on veut nous laisser. Rendons techniquement impossible cette traque systématique.

Comment protéger ses données

Le passage au personnal cloud est peut être une solution. Tristan Nitot a choisi de rejoindre Cozy Cloud dans le but  d'inventer un Système d'Information Redonnant le Contrôle aux UtilisateurS (SIRCUS) avec comme points essentiels

1. Contrôle du matériel (auto-hébergement ? )
2. Logiciel libre (auditable, modifiable)
3. Chiffrement (pas de confiance dans le réseau)
4. Refus du financement par la publicité ciblée car c'est le fond du problème. Quand c'est gratuit on oublie tout raisonnement
5. Ergonomie
6. Interopérabilité via les standards

Si vous voulez changer vous pouvez dans un premier temps couper votre messagerie chez un gros opérateur… Cozy Cloud est peut être une solution mais il faudrait vendre des packages prêt à l'emploi pour que tout un chacun puisse enfin protéger sa vie personnelle numérique.

En tant que citoyen vous pouvez signer la pétition sur change.org ou pour les entreprises sur ni-pigeons-ni-espions. Peut être que nos politiques entendront le message. Pour le moment ce n'est pas gagner puisque le président à demander un avis au conseil constitutionnel. Un gros un conseil des sages où la moyenne d'âge des membres est de 70 ans... Certainement pas les personnes à même de comprendre les enjeux de cette loi sur le numérique.