Étiquette : Edward Snowden

Safe harbour - Ntic

Invalidation du Safe Harbor (Schrems c/ Facebook): Recommandations pour la Suisse

I.  Introduction

Dans une décision datée du 6 octobre 2015, (Décision C-362/14 – Affaire Max Schrems c/ Facebook ou “Schrems I”) la Cour de Justice de l’Union Européenne (CJUE) a invalidé la décision 2000/520/CE qui considérait le “Safe Harbor” comme une base suffisante pour le transfert de données personnelles aux États-Unis. Depuis cette décision, les 4’500 entreprises qui ont transféré des données personnelles vers les USA sur la base du Safe Harbor doivent vérifier que leur politique de protection des données est conforme au droit européen.

Comment en est-on arrivé là, quelles sont les répercutions pour les entreprises et pour les données des individus ? Un début de réponse dans les recommandations du Groupe de l’Article 29 et dans celles du Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT).

II.  Résumé de l’affaire

Maximilian Schrems, un utilisateur de Facebook en Autriche, considère que Facebook ne respecte pas les principes de la protection des données lorsqu’elles sont transférées par Facebook aux Etat-Unis. En effet, ces données peuvent être accessibles par les autorités américaines sans que la personne concernée ne puisse s’y opposer. Comme beaucoup d’entreprises actives dans le domaine de l’informatique, le siège européen de Facebook est situé en Irlande qui sert de pont avec les USA; dans notre cas pour le rapatriement des données personnelles.

Cet utilisateur de Facebook dépose donc une plainte auprès de la Commissaire irlandaise à la protection des données pour interdire à Facebook le transfert de ses données aux USA. La Commissaire refuse d’entrer en matière puisque, selon elle, il découle de la décision 2000/520/CE instituant le Safe Harbor que les Etats-Unis disposent d’une niveau de protection adéquat pour garantir le respect des principes de la protection des données des individus européens.

Après cet échec, Max Schrems porte l’affaire devant la High Court of Justice of Ireland, qui renvoie l’affaire à la CJUE pour lui poser une question à titre préjudiciel. La Cour irlandaise demande alors si les autorités nationales disposent de la compétence de se saisir d’une plainte d’un individu alors que la décision 2000/520/CE garantit déjà, au niveau européen, que les Etats-Unis sont considérés comme un pays sûr concernant la protection des données.

La CJUE répond de manière claire et sans appel que le Safe Harbor ne permet plus, au vu des méthodes de surveillance massives américaines, de garantir aux citoyens européens une protection adéquate de leurs données lorsqu’elles sont transférées aux Etats-Unis. Elle donne donc raison à M. Schrems et juge que la décision 2000/520/CE est invalidée.

Il appartiendra dès lors à la Commissaire irlandaise à la protection des données d’examiner, dans le cas concret, si les mesures de sécurité mises en place par Facebook sont suffisantes pour garantir un niveau de protection adéquat des données des utilisateurs.

III.  Conséquences en Europe

Suites de l’affaire Snowden

Cette décision de la CJUE est une conséquence directe des révélations de l’Affaire Snowden sur les programmes de surveillance PRISM/US-984XN et  XKeyscore. Sans ces révélations, il est probable que la CJUE ne soit jamais parvenue à décréter que cet accord cadre n’était plus suffisant. Les quelques 4’500 entreprises qui se sont basées sur le Safe Harbor pour transférer leurs données aux USA sont placées dans un flou juridique.

Depuis le 6 octobre 2015, tout transfert de données aux Etats-Unis par des entreprises ayant basé ce transfert sur le Safe Harbor est illégal. Actuellement, les entreprises peuvent poursuivre le transfert des données aux Etats-Unis si :

  • des conventions intra-groupe intégrant des “clauses contractuelles types” reconnues par l’Union européenne sont mises en places
  • en ‘intégrant de “Binding Corporate Rules” (BCR), dont les lignes directrices peuvent être consultées ici
  • lorsque les conditions pour déroger aux conditions légales sont réunies (consentement préalable explicite de l’utilisateur, transfert des données en respect d’une obligation contractuelle, etc.).
  • Il existe également des modèles de conventions pour le transfert de données garantissant le respect des principes légaux (“Transborder Data Flow Agreement”).

Réactions au niveau européen

Après l’arrêt Schrems c. Facebook, les autorités européennes de protection des données n’ont pas tardé à réagir. Dans un communiqué du 16 octobre 2015, le Groupe de travail de l’Article 29 (le G29 est institué par l’article 29 de la directive européenne sur la protection des données personnelles – Directive 95/46/CE) a émis des recommandations dans lesquelles il impartit un délai de 3 mois aux institutions européennes et aux gouvernements pour renégocier un Safe Harbor compatible avec les principes européens de la protection des données. Les autorités nationales, dont notamment la CNIL, sont prêtes à se coordonner pour entreprendre des actions répressives concertées (par exemple exiger la suspension de tout transfert de données aux Etats-Unis) si un accord n’est pas trouvé d’ici au 31 janvier 2016 !

IV.  Recommandations du Préposé en Suisse

Recommandations aux entreprises

Comme on peut le lire dans sa dernière communication datée du 22 octobre 2015, le Préposé Fédéral à la Protection des Données et à la Transparence (PFPDT) se calque sur la décision européenne et considère que l’équivalent suisse du Safe Harbor européen (le US-Swiss Safe Harbor Framework) n’est plus une base légale suffisante tant que la Suisse n’aura pas renégocié un accord suffisant avec les Etats-Unis.

A la différence de l’Europe, la Suisse n’a pas dénoncé le Safe Harbor alors que la situation est connue depuis longtemps, aucune décision judiciaire n’a été rendue et l’analyse du PFPDT n’est parue que via son site web, relève Me Sylvain Métille sur son blog. Selon le Préposé Fédéral suppléant à la protection des données, M. Jean-Philippe Walter, “La Suisse est liée par la décision d’adéquation et ne peut faire cavalier seul au risque que l’UE revoie sa décision“. De plus, il revient au Conseil Fédéral de dénoncer, cas échéant, le Safe Harbor et non au Préposé. Tout en rappelant qu’il ne s’agit que de  recommandations, le Préposé suppléant précise que cette prise de position s’adresse aux entreprises qui devraient suivre les recommandations du Préposé, soit :

  • Informer de manière claire et aussi exhaustive que possible les personnes dont les données sont transmises aux États-Unis des accès possibles des autorités, afin de leur permettre d’exercer leurs droits. Le contrat d’échange de données personnelles devrait prévoir un engagement des parties contractantes dans ce sens
  • Prévoir un engagement des Parties à mettre à la disposition des personnes concernées les outils nécessaires à une protection juridique efficace conformément à l’article 6, al. 2, let. a, LPD, à exécuter réellement les procédures correspondantes et à accepter les décisions qui en résultent.

Qu’en est-il des individus ?

En Europe, tout dépendra des résultats de l’enquête menée par la Commissaire irlandaise. Si elle constate que Facebook ne garantit pas une sécurité suffisante aux utilisateurs pour le transfert de leurs données aux USA, tout détenteur européen d’un compte pourrait requérir de Facebook l’interdiction du transfert de ses données. Une situation bien improbable. En effet, dans une telle hypothèse Facebook s’empressera de modifier ses conditions générales, informera les utilisateurs d’une potentielle atteinte à leurs droits par les autorités américaines et recueillera, le cas échéant, leur consentement pour continuer à utiliser la plateforme sociale.

En Suisse, tout individu qui se considère qu’une entreprise viole les règles de la protection des données à son égard peut s’adresser aux tribunaux civils pour faire constater, cesser ou interdire toute atteinte. Les mesures repressives qui existent en Europe n’ont pas d’équivalent en Suisse et le PFPDT ne peut qu’émettre des recommandations, sans possibilité d’agir directement. Il ne peut qu’inciter les entreprises à respecter les principes de la LPD ou les utilisateurs à agir par la voie civile.

VI.  Conclusion

Même si les entreprises suivent les recommandations émises en Europe ou en Suisse, le droit américain, notamment le FISA Act, ne sera pas pour autant modifié et on connait les difficultés concrètes permettant de changer la législation américaine tant du point de vue politique que juridique. Seuls les gouvernements pourraient avoir de l’influence dans le cadre de la mise en place du Safe Harbor 2.0 dont nous devrions avoir des nouvelles d’ici au 31 janvier 2016. Il appartiendra aux entreprises américaines de faire l’effort ou non d’améliorer les conditions de sécurité des données dans leur convention intra-groupe ou, pourquoi pas, de créer leur data center en Europe, tant on sait que le Big Data est devenu aujourd’hui le pétrole du XXIe siècle.

Il s’agit tout de même d’une victoire de principe pour les défenseurs de la vie privée sur Internet, notamment par le biais de la protection des données personnelles. Aujourd’hui, les Etats-Unis ne sont plus considérés, par l’Europe, comme un pays sûr en matière de protection des données, ce qui concrétise les révélations d’Edward Snowden du 9 juin 2013.

L’arrêt Schrems c. Facebook consacre le principe de la compétence des autorités de protection des données pour examiner une plainte d’un individu qui prétend qu’une entreprise viole la loi sur la protection des données (Voir § 47 à  57 de la décision C-362/14). Cet arrêt continuera à s’appliquer même avec un Safe Harbor 2.0 considérant à nouveau les Etats-Unis comme un pays sûr. Dans chaque cas, les citoyens européens pourront demander aux autorités de vérifier si l’entreprise respecte les principes de protections des données ou non.

Un petit pas pour l’individu et la protection des données personnelles en Europe, un tout petit pas pour la Suisse, dont les autorités de protections des données ne disposent d’aucun moyen répressif, et qui suit son homologue européen.

Reset the net

Reset the Net : l’anniversaire des révélations Snowden

I.   Introduction

Un an après les révélations d’Edward Snowden, des sociétés comme Mozilla, Greenpeace, Google, Dropbox, WordPress, Namecheap, Amnesty International, Reddit, Duck Duck Go ou encore le Parti Pirate on lancé l’opération Reset The Net, un mouvement prônant la liberté des utilisateurs face à la surveillance de masse des Etats. Dans la vidéo de présentation du site Reset The Net, les slogans pleuvent. Ainsi, on peut notamment y lire :

“Internet c’est la liberté, la curiosité, l’ouverture, la peur, l’oppression et le contrôle”

“Les gouvernements peuvent hacker n’importe qui, mais pas tout le monde”

“Battez-vous pour un avenir sûr, ouvert et libre”

II.   Objectifs

Le but de ce site : donner des conseils aux développeurs et aux administrateurs  pour proposer et développer des sites et des applications sécurisés, open-source. Cette plateforme propose notamment un “Privacy Pack” qui comprend des logiciels comme HTTPS Everywhere (un plugin pour browser qui crypte les données de communications), Enigmail (un logiciel permettant d’envoyer et recevoir des emails de manière cryptée), Tor, etc. On cherche également à sensibiliser les internautes pour qu’ils utilisent plus de logiciels open-source et se protègent mieux contre la collecte de leur données. Une ligne de conduite proche de celle adoptée dans le multistakeholder statement du Net Mundial lors des 23 et 24 avril 2014 à Rio (voir l’article à ce sujet).

Tails 1.0 : live OS 100% anonyme et confidentiel ?

I.     Tails 1.0

1.1   Sortie de la version 1.0 en français

Depuis le 29 avril 2014, le dernier né du site torproject.org est disponible en téléchargement :

Tails 1.0, un système d’exploitation complet et gratuit, sécurisé, qui vous protège contre la collecte de vos données et augmente l’anonymat sur Internet. Notamment utilisé par Edward Snowden et Glenn Greenwald en juin 2013, il est “all-in-one” et bootable depuis une clef USB ou un DVD.

1.2     Caractéristiques

Son petit nom the amnesic incognito live system.

Tails 1.0 est un système d’exploitation amnésique parce qu’il n’enregistre pas vos données de navigation et les efface à la fermeture du programme. Il est incognito parce qu’il garantit la confidentialité du trafic et des données en cryptant vos fichiers, emails et contenu de chat.

Enfin, comme d’autres logiciels existants (voir Bouldows par exemple), il s’agit d’un système d’exploitation live, c’est-à-dire qu’il peut être lancé simplement depuis une clef USB, une SD card ou un DVD. Il embarque également toute une panoplie de logiciels libres pour que l’utilisateur ait le moins de paramétrages à effectuer après l’installation. Cet OS est distribué sous licence GNU/GPL et comporte des logos sous licence Creative Commons ou provenant de thenounproject, comme pour le logo USB du Tails.

Sur le site Internet officiel, on apprend qu’il est destiné aux utilisateurs qui souhaitent :

  • utiliser Internet de manière anonyme et contourner la censure ;
    toutes les connexions sortantes vers Internet sont obligées de passer par le réseau Tor ;
  • ne pas laisser de traces sur l’ordinateur que vous utilisez sauf si vous le demandez explicitement ;
  • utiliser des outils de cryptographie reconnus pour chiffrer vos fichiers, emails et messagerie instantanée.

II.    Tor Project & Cie

Tor Projects (logo)Le Tor Project est un projet qui regroupe des développeurs plaidant pour les logiciels open-source, sécurisés, anonymes, cryptés, non traçables, gratuits, soit en quelques mots non commerciaux, confidentiels et respectant totalement la vie privée de ses utilisateurs. Le terme Tor est un acronyme pour “The Onion Router”, en référence à son système de fonctionnement par couche de routeurs permettant de rendre anonymes tous les échanges Internet basés sur le protocole de communication TCP.

Dans le même registre, et pour ne pas citer tous les autres projets existants, le Guardian Project constitue une bonne ressource complémentaire pour le public, mais surtout pour les  développeurs de logiciels libres et applications du même type pour les Smartphones.

Applications emails cryptées, browser fonctionnant par serveurs proxy fixes ou sautants, Tchat crypté et anonyme, messages codés par procédé de stéganographie; tout un tas de logiciels qui se démocratisent, deviennent plus communs et de moins en moins élitistes.

III.    A qui est-il destiné et quelle utilisation en faire ? (edit: 01.05.14)

Premier test de Tails 1.0 (aperçu rapide)

Au premier abord, Tails semble accessible à tous, que l’on soit Linux, Windows ou Mac OS. L’utilisateur est guidé pas à pas dans l’installation, puis dans son utilisation. On perd un peu sa zone de confort en devant configurer quelques paramètres de départ, tels que le clavier et la souris, la connexion wifi Internet, le mot de passe administrateur, etc, mais rien de bien méchant pour ceux qui savent installer un OS.

Tails desktop

Pour les utilisateurs de XP, vous retrouverez rapidement vos marques avec une option originale : le “camouflage windows“, soit Tails avec le thème de Windows XP.

Pour les utilisateurs de Mac OS, il faudra serrer les dents, car l’utilisation est moins intuitive. Au premier essai, impossible d’accéder aux données stockées sur le disque dur de mon Mac! D’ailleurs, prenez une souris, car le touchpad d’un Macbook devient vite un enfer (Au démarrage, ne pas oublier d’appuyer sur la touche alt pour lancer le démarrage de Tails depuis un DVD par exemple).

Globalement, Tails est plutôt intuitif, avec beaucoup d’options agréables, comme la possibilité d’avoir un système qui se souvienne de vos paramètres ou qui se met à jour (ce qui évite de tout recommencer à chaque démarrage; par contre il faut lancer Tails depuis une clef USB, car un DVD ne se met évidemment pas à jour). On peut aussi créer une zone de stockage persistante (persistant volume) pour des logiciels supplémentaires ou y stocker ses préférences système et ses données personnelles. On se connecte facilement à Internet et le système de proxys sautants n’empêche pas d’aller sur Facebook ou Gmail. Même si VLC n’est pas intégré à Tails, le lecteur vidéo Totem se défend plutôt bien, puisqu’il lit sans trop de problèmes un .mkv contenant du H264 et de l’audio en AAC, en multi-langues avec des sous-titres au choix.

A titre de conclusion intermédiaire, on peut affirmer que Tails 1.0 est destiné à toucher un public large, et pas seulement les amateurs de pingouins. Il n’est pas nécessaire de savoir entrer des lignes de commandes dans un terminal pour utiliser Tails. Néanmoins, il ne sera pas forcément accessible à tout le monde, car il faudra parfois s’armer de patience avant de retrouver ses repères, surtout que si on le lance à partir d’un DVD, car à chaque démarrage : on recommence! Mais en même temps, c’est le principe du live operating system …

Utilisation très polyvalente

Tails 1.0 embarque de nombreux logiciels libres plus ou moins connus tels que Iceweasel pour Internet (version GNU de Firefox), Claws mail pour la messagerie, Pidgin pour le Tchat, Open office pour les documents, Gimp (l’équivalent de Photoshop) pour la bureautique ou encore TrueCrypt pour crypter ses données. Ce système d’exploitation n’est toutefois pas infaillible, l’utilisateur étant averti qu’il décide comment se comporter sur son ordinateur et choisit de publier ce qu’il souhaite sur les réseaux sociaux. Bien choisir ses mots de passe et les changer régulièrement reste indispensable.

Attention tout de même à l’utilisation de logiciels tels que Tor Browser. Ce dernier reste bien plus lent qu’un navigateur conventionnel. En effet, bloquer les publicités, le contenu de scripts, les logiciels espions, stopper les cookies, passer par des proxys sautants ou encore crypter les données est coûteux en temps d’analyse et de traitement et la plupart des sites Internet ne sont pas adaptés à cette configuration. De plus, la plupart des sites e-commerce ou des plateformes sociales ou même d’autres sites ordinaires ne s’afficheront tout simplement pas si les cookies ne sont pas acceptés, ou si certaines options de cryptages, blocages ou autres sont activées. Il en va de même lorsqu’avec Firefox on navigue avec trop de modules complémentaires tels que Ghostery, Adblock Plus, Donottrackme, etc.

Ainsi, utiliser Tails est relativement simple et les nombreux logiciels qu’il contient permet une utilisation de tous les jours, mais pas pour n’importe qui et n’importe comment.  Les possibilités d’installer certains logiciels supplémentaires et sauvegarder ses préférences sont garantes d’une longévité du projet, mais cela suffira-t-il pour une utilisation grand public? Quant à une utilisation professionnelle à grande échelle dans le secteur privé ou public, ce sera une autre paire de manche…

IV.    Conclusion

De nombreux projets comme le Guardian ou Tor sont indispensables pour aider la communauté du web à respecter la vie privée des utilisateurs. Les développements récents de ces logiciels permettent d’atteindre un public de plus en plus large. A ce titre, il faut saluer l’énorme travail des communautés de développeurs de ce genre de logiciels libres. Ces projets ont le mérite d’inciter les gouvernements à promouvoir et même utiliser de tels logiciels. Le Tribunal fédéral suisse en est le parfait exemple avec son projet “OpenJustitia“.

Cependant, en pratique, peu de ces programmes sont vraiment utilisés par la majorité des internautes. Pour commencer, ces logiciels ne sont pas ou que trop peu connus du public, lequel n’est souvent pas au courant de l’existence même des alternatives et ne cherche souvent pas à le savoir. Ensuite, ces logiciels ont souvent été peu “user friendly”. La difficulté de paramétrage, leur installation ou leur utilisation rebutera plus d’un novice motivé qui souhaite se protéger, mais qui ne maîtrise pas ou ne comprend pas l’outil proposé. Enfin, le design parfois trop geek fait souvent reculer le citoyen lambda, dans un monde de matraquage médiatique ou l’on pense que, parce que c’est joli c’est bien!

En allant faire un tour sur les sites de Tor Project et Guardian Project, on constate alors que de nombreux logiciels libres existent. Ils sont souvent plus simples d’utilisation qu’on ne le croit et permettent déjà de diminuer considérablement nos traces sur Internet (voir l’article sur Panopticlic) et de conserver l’anonymat.

Et vous, avez-vous testé Tails 1.0 ou pensez-vous l’utiliser un jour?

Pour aller plus loin

Parmi les projets intéressants en cours utilisables pour PC, Mac ou Smartphones :

  • Tor Browser;
  • Le site guardianproject.org qui propose toute une palette d’applications web pour rendre son séjour sur Internet plus agréable;
  • Orweb, la version Android de Tor Browser;
  • Orbot : un logiciel pour Android qui utilise des serveurs proxys;
  • Startpage : un moteur de recherche neutre qui ne fournit aucune information à des tiers.
  • JonDo et JonDoFox : des logiciels similaires à  Tor Browser;
  • et des dizaines d’autres … !
Citizenfour - NTIC

Affaire Snowden : quelles leçons en tirer sur la protection de la sphère privée sur Internet ?

Après plusieurs jours de tempête médiatique autour de la sécurité informatique, de l’espionnage et de la protection de la sphère privée sur Internet, un résumé des épisodes précédents s’impose afin de bien cerner l’actualité (Section I et II) et les conséquences des événements de l’affaire Edward Snowden. Afin d’apporter une ébauche de solution, quelques conseils sur la protection de sa navigation sur Internet sont fournis (Actes 3 et 4).

Dans cet article, je parle du film fascinant CitizenFour, le reportage sur Edward Snowden et le moment de ses révélations.

___________________________________

ACTE  1 – AFFAIRE EDWARD SNOWDEN : LES FAITS

Le scandale éclate le dimanche 9 juin 2013.

Edward Snowden, ex-consultant pour l’agence américaine de sécurité nationale (NSA), accordait une interview au journal The Guardian depuis un hôtel à Hong-Kong, dans lequel il s’était réfugié depuis le 20 mai 2013. Dans cet entretien, il révèlait l’existence de deux programmes d’espionnage sur Internet et de surveillance des télécommunications élaborés par le gouvernement américain, sous l’administration Bush, puis poursuivie par celle d’Obama.

Le premier programme concerne la récolte, depuis 2006, des données d’appels téléphoniques aux Etats-Unis par l’opérateur Verizon, et vraisemblablement d’autres opérateurs. Le second, appelé PRISM, vise à intercepter les communications d’internautes étrangers, se situant hors des Etats-Unis, sur les neuf grands réseaux sociaux appartenant aux firmes suivantes : Google, Facebook, Microsoft, Apple, Yahoo, AOL, YouTube, Skype et PalTalk.

Edward Snowden, qui s’expose à faire l’objet d’une demande d’extradition vers les Etats-Unis, au même titre que Julian Assange, est considéré depuis quelques jours comme l’un des Whistleblowers les plus recherchés du moment. Depuis 2007, Edward Snowden opérait comme espion basé à Genève pour le compte de la NSA, jusqu’à ce qu’il craque et qu’il révèle au grand jour ce qu’il a pu constater dans le cadre de son rôle.

Un résumé chronologique des événements de cette affaire peut être consulté ici ainsi que des références sur le site de la Radio Télévision Suisse romande.

___________________________________

ACTE 2 – GLENN GREENWALD : SUCCESSEUR DE JULIAN ASSANGE ?

Ces révélations n’auraient pas pu être possibles sans l’intervention de Glenn Greenwald, qui travaille actuellement pour le quotidien britannique indépendant The Guardian. Cet avocat journaliste américain a fait beaucoup parler de lui par ses révélations chocs en dénonçant les pratiques des États-Unis en matière de surveillance d’Internet et du contenu des télécommunications. Depuis les remous de l’affaire Wikileaks, Glenn Greenwald est devenu le nouveau Julian Assange de la presse à scandale sur Internet. Il n’a d’ailleurs pas hésité à publier des articles basés sur des documents confidentiels, fournis par Edward Snowden, et à rendre public des documents permettant de comprendre les possibilités techniques du programme Boundless Informant, logiciel d’analyse de données récoltées grâce au logiciel PRISM par la NSA.

Un résumé du parcours professionnel de Glenn Greenwald et de ses révélations peut être lu ici.

___________________________________

ACTE 3 – SURVEILLANCE  ET PROTECTION DE SES INFORMATIONS SUR INTERNET

Les pratiques d’espionnage des communications par l’Etat américain (PRISM) et leur analyse, posent une fois de plus la question de la sécurité des données personnelles sur Internet, dans le contexte des lois nationales sur la surveillance.

Mais ce que nous apprend Edward Snowden n’est pas nouveau. Cela met toutefois en lumière que les pratiques de certains Etats pour surveiller leurs citoyens, ainsi que des citoyens d’autres nations dépassent parfois le cadre des investigations policières et de la coopération internationale qui reste très limitée. Depuis les événements Snowden, les Etats ont vu leurs pratiques considérablement freinées par des techniques de cryptage par les géants d’Internet.

Vie privée sur Internet. Lorsque l’on parle de vie privée sur Internet, il peut s’agir de données personnelles (adresse IP, fichiers personnels au sens de la loi sur la protection des données “LPD” et du RGPD), du contenu de nos emails (scanné par Google, Microsoft, etc.), de nos fichiers privés ou professionnels stockés dans le nuage (Dropbox, Sugarsync, Skydrive, etc.), ou de nos données de navigation sur Internet notamment par des cookies (date et heure de connexion, langue, fuseau horaire, adresse IP, plug-in utilisés, etc.).

Aux Etats-Unis, le Foreign Intelligence Surveillance Act (FISA) a été promulgué. Il s’agit d’une loi du Congrès des États-Unis datant de 1978 et qui décrit les procédures des surveillances physiques et électronique, ainsi que la collecte d’information sur des puissances étrangères soit directement, soit par l’échange d’informations avec d’autres puissances étrangères. Cette loi a été modifiée à plusieurs reprises, notamment suite aux événements du 11 septembre 2001 avec le Patriot Act du 24 octobre 2001 qui permet au gouvernement américain d’utiliser tous les moyens nécessaires à la recherche de personnes susceptibles de commettre un attentat terroriste. Cette loi donne la possibilité au gouvernement américain d’obtenir toute information située sur sol américain qui serait susceptible de représenter une menace pour la sécurité nationale américaine. Cela comprend bien évidement les serveurs qui hébergent des données aux Etats-Unis ou dont les données sont sous-traitées aux Etats-Unis concernant n’importe quel utilisateur dans le monde.

L’article 702 du FISA Act permet au Procureur général des États-Unis et au Directeur du renseignement national d’autoriser conjointement le ciblage des personnes censées être raisonnablement situées à l’extérieur des États-Unis, mais elle est limitée au ciblage des personnes non américaines. Une fois autorisées, ces acquisitions de données (SIGINT) peuvent durer pendant des périodes allant jusqu’à un an. Cet article 702 autorise l’usage des programmes de surveillance utilisés par la National Security Agency (NSA) et le FBI, comme PRISM tel que révélé par Snowden en 2013.

Protection de la sécurité nationale. Si le but des sociétés privées est de récolter nos données à des fins de marketing et de publicité ciblée, le but des Etats est de protéger leur sécurité nationale. L’individu lambda qui n’a que des notions basiques d’informatique peut-il se protéger contre la collecte à son insu de ses données ?

Pour tenter de répondre à cette question, le site Internet de la RTS a Recueilli, notamment de spécialistes des nouvelles technologies, dix conseils pour mieux se protéger contre les atteintes à la vie privée. Voici un résumé de ces conseils avec certains ajouts personnels (intitulés “ndlr”).

___________________________________

ACTE 4 – DIX CONSEILS POUR SE PROTÉGER SUR INTERNET ?

1. Limiter sa présence sur les réseaux sociaux

Un commentaire quelconque au sujet du cannabis ou une mauvaise blague sur le gouvernement américain sur Facebook pourrait rendre plus difficile une demande d’obtention de VISA pour les Etats-Unis.

2. Consommer local

Éviter à tout prix les adresses électroniques sur des serveurs américains, ou sur des serveurs situés aux Etats-Unis à l’instar d’un Hotmail ou d’un Gmail. En optant pour une alternative européenne ou suisse, l’internaute pourra plus facilement et plus rapidement se retourner en cas de violation des données en raison d’une législation plus stricte.

  • ndlr : Il faut également s’assurer que le prestataire suisse qui stocke et traite les données ne sous-traite pas à son tour les données aux USA.
  • ndlr : Le logiciel gratuit Wuala propose des services de cloud computing sécurisés avec stockage des données en Suisse, France, Allemagne. A l’instar de ses concurrents, il offre également des solutions professionnelles payantes.

3. Privilégier l’Open Source

Plutôt que passer par des entreprises tierces (DropBox, SugarSync, Google Drive, Skydrive, etc.), on peut aussi opter pour des alternatives libres telles que OwnCloud ou SeaFile.

  • ndlr : une recherche rapide permet souvent de trouver des logiciels aussi performants que les plus connus, mais bien plus sûrs et souvent gratuits.

4. Protéger sa connexion et ses courriels

Il est possible de surfer en toute discrétion grâce à des logiciels comme Tor qui empêchent de remonter jusqu’à l’adresse IP et donc jusqu’à l’auteur. Autre option: installer des extensions et plugins permettant de le chiffrement des courriels en utilisant GPG/PGP, comme par exemple Enigmail pour Mozilla Thunderbird.

  • ndlr : l’excellent plugin Ghostery permet d’éliminer une bonne parties des logiciels qui traque les informations des utilisateurs lors de leur navigation sur Internet.
  • ndlr : il est également possible de passer par un serveur proxy gratuit, voire un logiciel comme Privoxy, pour surfer sans être limité à une zone géographique.
  • ndlr : le site Internet panopticlick, élaboré par la Electronic Frontier Foundation, permet de calculer le nombre de traces que l’on laisse sur notre passage en surfant sur Internet avec la configuration actuelle de notre navigateur (Mozilla, Internet Explorer, Safari, Chrome, etc.).
  • ndlr : il faut éviter d’enregistrer son mot de passe et ses données de connexion, même sur son ordinateur personnel.
  • ndlr : n’utiliser qu’un seul ordinateur pour effectuer ses paiements sur Internet par eBanking ou cartes de crédit et vérifier que l’adresse que l’on visite est sécurisée (https).
  • ndlr : il faut encore adopter le même comportement sur tous les ordinateurs et smartphones que l’on utilise. Des logiciels pour Firefox permettent de synchroniser ses plugins avec les autres ordinateurs que l’on utilise (p.e. : Siphon).

5. Utiliser un pseudonyme

La création de plusieurs adresses électroniques sous un pseudo, dont certaines qui servent de “poubelles”, permet de limiter la publicité et la diffusion de ses informations personnelles.

6. Se méfier des homonymes

Taper son nom régulièrement dans des moteurs de recherche ou installer une alerte Google permet de surveiller son identité numérique et de réagir vite en cas de contenu indésirable.

7. Toiletter son identité numérique

Afin d’éviter qu’un homonyme ou quelqu’un de mal intentionné n’utilise votre identité, certains recommandent de créer soi-même des comptes à son nom sur les réseaux sociaux, même ceux qu’on n’utilise pas.

On peut en outre contrôler les premières informations qui apparaîtront sur un moteur de recherche en créant son propre site bien référencé ou même en faisant une utilisation “intelligente” de réseaux sociaux comme LinkedIn.

8. Contourner les moteurs de recherche

Beaucoup d’informations transitent par les moteurs de recherche, qui sont de vrais cafteurs. Mais il est possible d’éviter Google, Bing et Yahoo en utilisant https://duckduckgo.com.

Ce méta-moteur utilise en fond d’autres moteurs mais s’arrange pour ne laisser passer aucun cookie ou autres.

  • ndlr : en complément du logiciel Ghostery, l’installation du module complémentaire pour désactiver Google Analytics limite le risque que l’on soit ensuite ciblé par de la publicité.

9. S’informer

Avant de s’inscrire sur un réseau social ou d’ouvrir une nouvelle adresse électronique, rien ne vaut la lecture des “conditions d’utilisation”.

D’autres informations sont disponibles sur la politique de certaines entreprises en matière de vie privée, comme par exemple ce rapport publié par l’Electronic Frontier Foundation fin avril.

10. Surveiller son smartphone

L’utilisateur n’a pas vraiment la main sur son smartphone, mais il peut limiter la casse.

L’application Clueful de l’éditeur Bit Defender permet d’examiner les applications présentes sur un mobile et alerte sur celles présentant un risque éventuel.

  • ndlr : sur les smartphones récents, il est possible de surfer en navigation privée (Mozilla sous Android, dans les options de navigation pour iOS). Cette manipulation permet de limiter la transmission spontanées de toutes nos données de navigation.

V. Conclusion

Même si l’on sait que les géants d’Internet ont des intérêts financiers, il y a en arrière plan d’autres intérêts bien plus grands, ceux des Etats, ce qui contraint à se poser des questions fondamentales de respect de la vie privée des utilisateurs d’Internet face à la sécurité nationale. De même, de telles questions touchent également au domaine de la souveraineté nationale qui pourrait, le cas échéant être considérée comme violée. Sur cette question, le chef du Département des affaires étrangères en Suisse, Didier Burkhalter, a renoncé à se prononcer sur la question pour le moment.

Bien des moyens existent pour limiter la diffusion de nos informations sur Internet. Toutefois, pour une navigation avertie sur Internet, cela suppose de s’efforcer de chercher les informations nécessaires à se protéger, lire les conditions générales d’utilisations, installer des modules complémentaires ou l’utilisation de logiciels tiers etc. Démarches lourdes qui nécessite un brin de connaissances informatiques si l’on ne veut pas être immédiatement découragé.

Rien que l’installation du logiciel Ghostery contribue déjà à supprimer une parties des informations que l’on transmets lors de notre navigation Internet, toutefois, plus on restreint les informations que l’on donne plus la navigation sur Internet devient difficile. Par exemple, si l’on bloque l’activation des cookies, flash et Java-script l’accès à Internet devient presque impossible.

Une navigation 100% anonyme sur Internet est souvent presque incompatible avec une navigation 100% libre sur Internet.

____

Par Gabriel Avigdor | NTIC.ch