Points de vue alternatifs

L'Agence Nationale de Sécurité (NSA) déploie des techniques très avancées pour aspirer et exploiter les métadonnées provenant des échanges de textos et des appels (même manqués). Ces métadonnées permettent d'extraire des données concernant le contenu du message ainsi que l'emplacement, les réseaux de contacts et les détails relatifs aux cartes bancaires, selon des documents top-secrets en date de 2011 révélés par le Guardian. Des documents du GCHQ britanniques montrent une coopération des deux agences sur ce programme. La manière dont le contenu dérive des métadonnées affaiblit encore un peu plus la rhétorique officielle selon laquelle "métadata" est différent de "data".

Une enquête du Guardian et de Channel 4 sur la base de documents fournis par Edward Snowden permet de lever le voile sur les programmes de l'agence américaine en matière de collecte et de décryptage des informations contenues dans les échanges de SMS et les appels manqués. Le document de référence est malheureusement incomplet suite à un probable choix éditorial qu'on pourra discuter (d'autant plus qu'il est indiqué dans la présentation qu'allait être abordée les prochaines étapes du programme).

Ces documents font état de deux programmes. Le programme DISHFIRE est un programme de collecte qui recueille "à peu près tout ce qu'il peut" selon des documents annexes du GCHQ (non dévoilés). Il a la particularité de recueillir des métadonnées de manière indéterminée, non ciblée. Le second programme, PREFER, identifie les types de messages envoyés et extrait des informations de ces messages quotidiennement et automatiquement.

La présentation de la NSA, datée du 9 juin 2011 est intitulée : "Amélioration de l'extraction de contenus pour l'analyse des cibles : Les messages SMS : Une mine d'or à exploiter" (extraits publiés par le Guardian). Elle est extraite d'un "tutoriel façon Wikipédia" à destination des analystes du GCHQ

Les métadonnées incluses dans les SMS sont nombreuses ainsi que le précise la présentation :

Les alertes et messages automatiques résultant de certaines fonctionnalités s'inscrivent aussi dans l'analyse de ces métadonnées (alertes des réseaux d'itinérance, alerte en cas d'utilisation d'un réseau international etc...). Le développement des fonctionnalités et des réseaux de télécommunication décuplent les possibilités d'analyse en permettant d'obtenir plus d'informations et de les croiser plus aisément. Les fonctionnalités et notifications se multipliant, "un riche ensemble de données attend d'être exploité". La NSA accompagne avec bonheur le développement des fonctionnalités offertes par les réseaux de télécommunications toujours plus présents.

En analysant les métadonnées spécifiques de ces SMS ou appels manqués, les agences de renseignement extraient des informations appelées "contenu dérivé des métadata" (content derived metadata) dont l'illustration parfaite est donnée dans la diapositive suivante. (On notera l'effondrement total de la distinction faite entre métadonnées et données pour justifier les programmes de surveillance). 

 

Parmi les données "dérivées" des métadonnées que la NSA peut extraire automatiquement, selon les métadonnées collectées, on trouvera : des plans de voyage, l'identification des personnes, le rattachement d'un numéro de téléphone à une personne, le rattachement d'un numéro de carte bancaire à une personne, le réseau de contact d'une personne, l'extraction d'images, de cartes de vistes, l'identification de la date de réunions etc...

Le programme PREFER a été inséré sur les serveurs DISHFIRE en 2008. La recherche au sein de la base est facilitée par l'insertion de mots-clés de contenus dérivés dont la recherche se fait à travers un outil baptisé SPYDER (il y a d'autres outils).

Le mécanisme général fonctionne ainsi :

D'autres documents suggèrent que les numéros de téléphone basés aux États-Unis sont retirés ou "minimisés" mais pas ceux des autres pays.

Les possibilités offertes par ce programme sont importante comme on peut le voir dans cette diapositive qui dévoile les statistiques relatives à une journée moyenne d'avril 2011 :

Le Guardian estime que cela est de nature à accroitre la pression sur le président Obama à la veille de son discours dans lequel il déclinera des pistes de réforme de la NSA.

Un porte parole de la NSA a déclaré que les informations, telle que rapportées par le Guardian, étaient fausses en précisant que les capacités de lagence ont été dirigées contre des "cibles de renseignement étrangers valides" et ont fait l'objet de garantie juridiques strictes (ce que ne nient pas les documents, qui suggèrent plutôt que la collecte se fait en amont de manière non-sélective. Si la finalité est de découvrir des cibles cela implique l'analyse de métadonnées touchant des personnes non-ciblées).

Une note du GCHQ permet d'apprécier la manière dont le GCHQ peut utiliser la base de données ainsi que l'avantage qu'il retire du programme DISHFIRE. La particularité du programme étant le volume de données "non-ciblées" ou "non-sélectionnées" qu'il stocke. : "Contrairement à la plupart des [...] équivalents dont dispose le GCHQ, DISHFIRE contient une grande quantité de trafic SMS non sélectionné", (en gras dans l'original). "Cela le rend particulièrement utile pour le développement de nouvelles cibles, car il est possible d'examiner le contenu des messages envoyés des mois voire des années avant que la cible soit connue pour son intérêt."

Ainsi DISHFIRE offre une base de données commode pour analyser rétroactivement les données concernant les cibles identifiées a posteriori contrairement aux programmes habituels qui placent sous surveillance des numéros spécifiquement ciblés. Divers outils permettent alors de larges recherches en vrac via des mots-clés.

On conseille aux analystes d'être prudents lors de la recherche de contenu pour les termes relatifs aux citoyens britanniques ou à des personnes qui résident actuellement au Royaume-Uni, parce que bien que ces recherches puissent être fructueuses, elle n'en seraient pas moins illégales sans mandat ou surveillance adéquate. Cette recommandation n'est pas absolue et dépend de la nature des données, c'est ce que révèlent d'autres documents internes du GCHQ qui donnent des conseils aux analystes pour l'utilisation des outils.

Un porte-parole du GCHQ a refusé de commenter sur des questions particulières, mais a dit que toutes ses activités de renseignement étaient en conformité avec le droit.

Alors que les agences de renseignement, forte de leur relative certitude quant au cadre juridique qu'ils contribuent à faire adopter depuis des décennies, peuvent se permettre de se retrancher derrière un droit (et leurs avocats au cas où), les socités privées doivent montrer un autre visage.

"C'est la première que nous avons entendu à ce sujet et, naturellement, nous sommes choqués et surpris", selon le responsable de la protection du groupe et responsable juridiques pour la vie privée, la sécurité et le contenu de Vodafon. "Ce que vous décrivez raisonne de manière inquiétante pour nous parce que le régime que nous sommes tenus de respecter est très clair, nous ne devons divulguer des renseignements aux gouvernements que dans les cas où nous sommes légalement obligés de le faire, quand cela ne va pas au-delà de la loi et que cela se conforme à une procédure régulière. Mais ce que vous décrivez semble être un contournement de cela. Et pour nous, comme  entreprise, c'est un anathème parce que toute notre activité est fondée sur la protection de la vie privée comme un impératif fondamental."

Il a dit que la société questionnerait le gouvernement à ce sujet. "De notre point de vue, la loi est là pour protéger nos clients et il ne semble pas que ce ne soit pas toujours le cas".

Un autre point litigieux pourrait provenir de la caractérisation d'un stockage et d'une analyse par la NSA des données concernant des citoyens étrangers sans coordination préalable systématique des autorités nationales compétentes (a minima les agences de renseignement).

Cependant il est difficile de savoir si les règles ont changé depuis cette date. Dans tous les cas la NSA établit une distinction entre la collecte en vrac des communications et l'utilisation de ces données pour surveiller, ou trouver, des cibles spécifiques.

Conclusion : Malgré les gardes-fous procéduraux derrière lesquels se retranchent les agences de renseignement, est ce que l'ensemble des habitants de la planète se doivent ainsi de collaborer indirectement à la politique étrangère de renseignement des États-Unis (car c'est bien de cela qu'il s'agit) au détriment de leurs libertés ? On peut penser que non.