PRISM : la NSA accèderait en direct aux données d'Apple, Facebook ou SkypePublié par Alexandre Laurent
le vendredi 07 juin 2013 Dans le cadre d'un programme baptisé PRISM, la NSA et le FBI auraient accès à la plupart des données utilisateur émanant de grands services en ligne tels que ceux de Google, Facebook, Apple ou Microsoft. À ce scandale naissant s'ajoutent d'autres révélations : les deux organismes archiveraient également les métadonnées relatives à l'ensemble des appels téléphoniques passés sur les réseaux des opérateurs américains. Le renseignement national a finalement réagi vendredi matin.
Le scénario qui plait tant dans un film ou un roman d'espionnage prend soudainement une toute autre saveur lorsque des éléments tangibles donnent à penser qu'il correspond à des pratiques réelles. Jeudi, le Washington Post et le Guardian ont mis en ligne des extraits d'un programme classé confidentiel baptisé PRISM, qui révèlent que les autorités américains ont un accès aux directs aux données utilisateurs stockées par des acteurs incontournables du Web : Apple, Facebook, Microsoft, Google et AOL sont du nombre. Ces informations seraient exploitées par la NSA, l'agence de sécurité nationale américaine, sur requête du FBI.
Ces révélations, accablantes pour qui se soucie de respect de la vie privée, s'accompagnent d'un autre scandale en puissance : mercredi, un ordre de justice en fuite a révélé que l'opérateur américain Verizon laissait la NSA accéder aux données relatives aux appels passés par ses clients. Jeudi, d'autres documents ont montré que les deux autres grands opérateurs mobiles américains, AT&T et Sprint, étaient soumis à la même requête sous la contrainte du Patriot Act, le texte de loi américain qui dote les Etats-Unis d'un arsenal d'outils et de mesures de surveillance censés permettre de lutter contre le terrorisme.
Apple, Facebook et Skype sur écoute ?
L'essentiel des révélations est porté par une présentation à usage interne classée top secret datée d'avril 2013, qui aurait été transmises à la presse par un ex-NSA « horrifé » par la teneur des informations qu'elle contient. Les deux quotidiens affirment avoir pu attester l'authenticité du document. Il décrit la nature des données accessibles par la NSA : contenu des emails, logs de connexion, photos, vidéos, activité sur les réseaux sociaux, appels voix sur IP ou transferts de fichier ; et fournit le calendrier des accès établis vers les neuf sociétés ou services en ligne incriminés. Les portes vers Microsoft seraient ouvertes depuis 2007. Apple aurait été le dernier ajout en date, fin 2012.
D'après l'analyse faite par le Washington Post, il ne s'agirait pas d'une collecte totale des gigantesques bases de données concernées, mais plutôt d'un accès ouvert sur requête dans le cadre d'une enquête, via un portail Web permettant de lancer des recherches. Les documents évoquent tout de même un accès direct aux serveurs des sociétés concernées.
Dès lors qu'un individu est considéré comme suspect dans une affaire touchant à la sécurité de l'Etat (terrorisme, espionnage), les analystes de la NSA auraient la possibilité via ces outils de chercher ses traces, et l'historique de son activité sur l'ensemble des services connectés, décrit le Post.
Les intéressés ont tous réagi quelques heures après ses révélations. D'une même voix, ils nient en bloc leur participation à un tel programme. « Quand une demande de données ou d'informations à propos d'un utilisateur spécifique est envoyée à Facebook, nous analysons avec attention chacune de ces requêtes de façon à vérifier sa conformité avec les lois applicables, et nous ne fournissons d'informations que dans le périmètre défini par la loi », déclare par exemple le responsable de la sécurité du réseau social. Des porte-paroles de Google, Yahoo ou Microsoft ont rapidement tenu des propos similaires.
Cet accès aurait-il pu être ouvert et maintenu au fil du temps à leur insu via des backdoors ? Difficile à croire lorsqu'on parle de services en ligne régulièrement audités et très souvent mis à jour. Des sources proches du dossier laissent entendre au Post que ces accès auraient plutôt été « négociés » via différents moyens de pression, sur la base d'un ordre émis par le département de la Justice.
À plusieurs reprises, les documents publiés soulignent qu'il est d'une importance primordiale de conserver le secret quant à l'identité des acteurs collaborant avec la NSA au travers de ce programme.
Les opérateurs mobiles également concernés
Le dispositif de surveillance élaboré par la NSA dépasserait largement le simple cadre du Web. Mercredi, le Guardian a mis à jour ce qui serait une injonction visant à contraindre la branche Business Services de l'opérateur Verizon à livrer chaque jour un rapport quotidien sur les appels passés depuis les Etats-Unis. Il ne s'agirait pas des communications proprement dites, mais plutôt de toutes les informations connexes : heure d'appel, durée, numéro appelé, numéro IMEI (l'identifiant unique du téléphone mobile utilisé) et même localisation.
Google, Facebook, Microsoft… Comment contourner l'espionnage de la NSA ?
En plein scandale Prism, ce vaste programme d'espionnage élaboré par les Etats-Unis, francetvinfo vous explique comment protéger votre vie numérique.
Microsoft, Yahoo!, Google, Facebook, PalTalk, AOL, Skype, YouTube, Apple... La liste des entreprises compromises dans le scandale Prism, du nom de ce vaste programme d'espionnage élaboré depuis 2007 par la NSA, l'agence de sécurité nationale américaine, a de quoi faire frémir. A travers elles, c'est toute votre vie numérique, et parfois davantage, qui se retrouve dans la ligne de mire de Big Brother. Heureusement, il y a encore une vie en ligne en dehors des services de ces neuf géants du web. Vous saviez déjà comment plaquer Google. Voici comment sortir (presque) entièrement du prisme, quitte à sacrifier votre confort et vos habitudes.
Votre téléphone
Si vous utilisez un smartphone, c'est le moment d'en faire votre deuil. Google (Android), Apple (iPhone) et Microsoft (Windows Phone), les trois fers de lance de Prism, fournissent le système d'exploitation d'une écrasante majorité de smartphones. Considérez donc qu'ils sont bons pour la poubelle, ou assumez votre penchant exhibitionniste. Notez qu'il en va de même pour les tablettes et les ordinateurs personnels... A ceci près que pour ces derniers, le système Linux, qui est open source, offre une solution de rechange assez crédible.
Votre navigateur internet
Inutile de noyer plus longtemps le poisson, votre navigateur internet vous mène en bateau depuis un moment déjà. A commencer par Chrome (Google), Internet Explorer (Microsoft) et Safari (Apple), qui représentent environ 80% du marché.
Vous ne comprenez rien à l'informatique. La solution la plus simple consiste à se passer de leurs services pour leur préférer les navigateurs Opera ou Firefox. Ensuite, vous pourrez utiliser un serveur proxy pour masquer votre adresse IP. Cela n'arrêtera probablement pas la NSA, mais si l'agence en avait après vous, cela pourrait la ralentir. Pour utiliser un tel système, vous n'avez rien à installer et presque rien à faire. Il vous suffit de vous rendre sur une plate-forme dédiée, par exemple ici, et de choisir une adresse de serveur dans la liste qui vous est proposée. Vous êtes ensuite redirigé vers la page du serveur choisi, à partir de laquelle vous pourrez aller consulter n'importe quel site (par exemple nsa.gov) de façon anonyme, c'est-à-dire sans trahir votre véritable adresse IP.
Vous êtes un peu geek sur les bords. Le réseau Tor et son navigateur ont déjà fait leurs preuves, notamment lors du "printemps arabe". Après avoir téléchargé le programme, vous n'avez qu'à décompresser l'archive pour commencer à l'utiliser.
Vous êtes geek et complètement paranoïaque. Dans ce cas, vous avez certainement déjà installé et configuré un réseau privé virtuel (VPN, en anglais). Il permet de vous connecter anonymement à internet, et virtuellement depuis n'importe quel point du globe, au moyen d'un tunnel sécurisé. VyprVPN (payant) est l'un des systèmes les plus populaires dans ce registre et de nombreux tutoriels sont disponibles en ligne pour apprendre à bien l'utiliser.
Vos e-mails
En matière de messagerie, c'est officiel, les géants du web vous mettent en boîte. Et subitement, le monde vous paraît nettement plus petit : oubliez Gmail, Hotmail (Outlook), Yahoo! Mail, AOL et les services de messagerie d'Apple. Tous sont compromis.
Vous préférez vous en tenir au gratuit. Les solutions se nomment Voila.fr (France Télécom), LaPoste.net ou encore Zoho Mail. Vous ne bénéficierez sans doute pas des mêmes intégrations de services que chez votre fournisseur précédent (Google Drive, SkyDrive...), mais vous aurez accès à l'essentiel : plusieurs gigas de stockage, une taille de pièces jointes acceptable et un antispam efficace.
Quitte à payer, vous voulez tout maîtriser. Ceux qui possèdent un nom de domaine, par exemple pour héberger leur blog, le savent bien : on est libre d'héberger sa propre messagerie. La bonne nouvelle, c'est que si vous n'avez pas déjà un site et n'en voyez pas l'utilité, vous n'aurez pas à en créer un. Vous pouvez parfaitement vous contenter de déposer un nom de domaine, souscrire à une solution d'hébergement, par exemple chez OVH, et configurer une ou plusieurs adresses e-mail du type votrenom@votrenomdedomaine.fr. C'est beaucoup plus simple à faire qu'il n'y paraît et il ne vous en coûtera pas plus d'une poignée d'euros par an.
Vous préférez vous faire servir en y mettant le prix. Vous avez retenu la leçon, "si c'est gratuit, c'est que vous êtes le produit". Pour un service cinq étoiles et, on l'espère, une politique de confidentialité irréprochable, tournez-vous vers une messagerie payante comme FastMail.
Si vous n'aimez pas utiliser un webmail, vous pouvez également télécharger le logiciel de messagerie open source Thunderbird (gratuit), qui vous aidera à vous passer d'Outlook ou de Windows Live Mail (Microsoft).
Enfin, si les services tout de même bien pratiques que sont Google ou Windows Agenda vous manquent et que votre dernier agenda papier remonte aux années 1990, tournez-vous vers Zoho Calendar, qui remplit très bien cette fonction.
Vos recherches en ligne
Google Search, Yahoo!, Bing (Microsoft) l'auront bien cherché. Ce n'est pas parce qu'ils représentent 98% du marché qu'ils sont indispensables. Vous aurez même un choix assez large pour les remplacer.
Si vous préférez le made in France. Foncez découvrir LeMoteur.fr, un outil 100% français développé par des ingénieurs d'Orange, ou tournez-vous vers Qwant, le dernier-né des moteurs de recherche qu'on avait oublié un peu vite depuis son lancement.
Si vous êtes geek, snob ou les deux à la fois. Optez pour Wolfram Alpha, le moteur scientifique qui a réponse à presque tout, ou osez le retour vers le futur avec Alta Vista, un outil presque aussi vieux que le web, fondé en 1995.
Si votre vie privée passe avant toute autre considération. DuckDuckGo, sous ses airs de vilain petit canard de la recherche en ligne, est l'un des rares services qui vous propose d'effectuer des requêtes anonymes, n'hésitant pas à moquer au passage les pratiques de Google. Le moteur IxQuick affiche le même positionnement.
Une liste exhaustive des moteurs en activité, ainsi que leurs liens avec les géants du web, est consultable sur Wikipédia.
Les réseaux sociaux
Les réseaux sociaux sont sans doute le domaine où le caractère antisocial de Prism transparaît le mieux.
Vous êtes accro. Exit Facebook ou Google+, seul Twitter échappe miraculeusement au scandale à ce stade de l'affaire. Il faut dire que presque tout y est déjà public, à l'exception des rares Direct Messages que les utilisateurs s'y échangent. Les tweets sont même soigneusement archivés depuis 2010 à la bibliothèque du Congrès américain, comme le rapportait Libération à l'époque.
Vous êtes résigné. A moins de revenir d'un long voyage sur Mars, vous savez de toute façon depuis longtemps à quoi vous en tenir avec ce type de sites et avez appris à ne pas trop vous dévoiler sur Facebook.
Vous êtes curieux. Il existe tout de même quelques solutions de rechange éthiques. On peut citer Reddit, qui ne conserve vos données (notamment votre adresse IP) que 90 jours, mais dont l'interface austère fera fuir plus d'un geek. Ou encore Diaspora, un réseau social open source encore très loin d'avoir atteint la masse critique qui suffirait pourtant à le rendre attrayant.
Les services annexes
La liste des services sur lesquels les révélations d'Edward Snowden ont jeté l’opprobre est encore longue, et touche à vos usages les plus quotidiens et les plus anodins. Dans certains cas, elle nous renverrait presque à la préhistoire du web.
Vos itinéraires et vos plans. Faites une croix sur Google Maps et retournez à vos premières amours, Mappy ou Via Michelin.
Vos messages instantanés. Dites au revoir à Skype et consorts, ce sera l'occasion de découvrir ou de redécouvrir ICQ, une vieille gloire d'internet passée sous pavillon russe depuis longtemps déjà.
Le partage vidéo. On risque de moins entendre ces jours-ci ceux qui dénonçaient avec force le refus du gouvernement de céder Dailymotion à Yahoo!. Cela tombe bien, ce sera votre meilleur substitut à YouTube, avec Vimeo.
L'hébergement de vos photos. Bye-bye Instagram (Facebook), Picasa (Google) ou Flickr (Yahoo!) et bonjour au vide presque absolu laissé derrière eux. En désespoir de cause, essayez donc PhotoBucket, mais ce sera nettement moins beau.
Vos outils collaboratifs. Adieu Google Drive et Microsoft Office 365. Profitez-en pour tester Ulteo, qui offre un accès en ligne à la suite Open Office, ou tournez-vous une nouvelle fois vers Zoho et ses outils maison.
Vos partages de fichiers. Il semblerait que DropBox était le prochain sur la liste à rejoindre Prism au moment où le scandale a éclaté. On peut sans doute faire confiance à Kim Dotcom et son site Mega pour rester le plus longtemps possible à l'écart du FBI et de la CIA.
On peut s'inquiéter des révélations sur la surveillance opérée par les grandes oreilles du NSA sur internet. Mais on peut aussi se protéger contre cette indiscrétion illégale.
Chrome (Google), Safari (Apple) ou Internet Explorer (Microsoft) sont à proscrire. Les informations de navigation collectées par ces navigateurs sont susceptibles d’être transmises à la NSA. A la place, il vaut mieux installer Firefox (un logiciel libre édité par la fondation Mozilla) ou Opera.
Choisissez un moteur de recherche "confidentiel"
Google, Bing ou Yahoo ne sont pas sûrs. Ils peuvent envoyer votre IP et votre historique de navigation aux services américains. Ixquick et Startpage donnent exactement les mêmes résultats de recherche que Google mais n’envoient pas l’adresse IP de l’utilisateur. Ils ont été élu "moteur de recherche le plus confidentiel au monde" par la commission européenne. Et en plus, ils sont sans pub !
Surveillez vos courriels
Les messageries des grandes compagnies américaines sont à éviter. Il existe une foule d’autres messageries tout aussi efficaces comme La Poste.net, Voila.fr, GMX, voire celle du fournisseur d’accès internet ou encore celles des chaînes de télé ou de la grande distribution.
Chiffrez les documents les plus importants
Plus facile à dire qu’à faire quand il s’agit des mails ! Mais c’est encore la meilleure des protections. Le chiffrage des documents peut se faire assez simplement avec un logiciel gratuit comme TrueCrypt. Pour les courriels on peut utiliser GnuPG ou encore PGP. De nombreux autres logiciels sont disponibles sur le net.
Chattez "off the record"
On peut encore chatter en toute confidentialité même sur Google, AOL, Yahoo ou Microsoft. Il suffit d’utiliser OTR (Off the record), un petit logiciel qui chiffre les conversations. La NSA possède peut-être les moyens de craquer OTR mais le temps requis pour y parvenir dépasserait très largement le temps de la conversation.
Méfiez-vous des réseaux sociaux
Tout, ou presque, a déjà été dit sur les risques inhérents aux réseaux sociaux. Mais franchement, ce n’est pas la NSA qui est la plus à craindre sur les réseaux... Précisons que pour l’instant, Twitter ne fait pas partie des compagnies citées par le Washington Post comme collaborant avec les autorités américaines.
Utilisez moins votre Smartphone
C’est un choix cornélien: se passer de smartphone ou prendre le risque d’être écouté. Inutile de se raconter des histoires, les smartphones sont difficiles à protéger. Trois systèmes d’exploitation se partagent le marché : Android, iOS, et Windows Phone. Ils appartiennent respectivement à Google, Apple et Microsoft. Il va donc falloir attendre la sortie en France de Firefox OS pour disposer d’un système d’exploitation moins risqué
Réaction en chaîne jeudi : le Wall Street Journal indique que d'après des personnes proches de la NSA, les opérateurs Sprint et AT&T seraient soumis aux mêmes pratiques et ce depuis sept ans : de quoi ficher les appels passés depuis plus de 250 millions de cartes SIM américaines. Sans entrer dans les détails, le quotidien économique évoque également des liens entre la NSA et les fournisseurs d'accès à Internet, les prestataires de paiement et les spécialistes de la carte de crédit.
Les capacités de surveillance et d'espionnage des Etats-Unis ont été très officiellement renforcées à plusieurs reprises par le Congrès ces dernières années au nom de la lutte contre le terrorisme. Le point d'inflexion est bien sûr le 11 septembre 2001, qui a donné naissance au Patriot Act la même année sous la présidence de George Bush. Le Foreign Intelligence Surveillance Act de 1978 a quant à lui été largement amendé en 2008, une fois Obama passé à la Maison Blanche. Parmi les dispositions prises à l'époque figurait la possibilité d'accorder l'immunité à un acteur des télécommunications en échange de sa collaboration avec les services de renseignement.
Au final, rien de bien neuf sous le soleil ? D'aucuns rappellent que la NSA, qui reste toujours très discrète sur ses méthodes de fonctionnement, n'a pas attendu ces outils pour se doter de capacités de surveillance massive (rappelez-vous la controverse liée à la NSAKEY dans Windows...).
Le renseignement national réagit mollement
James R. Clapper, directeur du DNI, le renseignement national américain, a livré vendredi matin un communiqué dans lequel il défend les mesures de surveillance élaborées par la NSA.
Il commence par y souligner la menace que représente la divulgation de ces documents top secrets pour la force de renseignement américaine, avant d'en pondérer les principaux éléments. Sur la partie téléphonie mobile, il confirme l'existence d'un programme de surveillance, qui n'autorise pas à écouter les appels ou intercepter le contenu des communications, mais permet effectivement d'obtenir certaines métadonnées comme les numéros appelés ou la longueur des appels. Il s'engage à faire de son mieux pour qu'une partie de ces informations seront déclassifiées, de façon à éclaircir le fonctionnement du dispositif.
Pour ce qui est des informations relatives à l'accès aux données des géants du Web, le DNI répond de façon beaucoup plus vague, en affirmant tout de même que les rapports faits par le Post et le Guardian comportent de nombreuses erreurs, relatives notamment à la fameuse section 702 du Foreign Intelligence Surveillance Act de 2008, qui définit les modalités de mise en oeuvre de la surveillance électronique dans le cadre du renseignement.
Jamais James R. Clapper ne récuse l'existence d'un tel programme. Bien au contraire : il en justifie l'existence, en évoquant un outil essentiel au maintien de la sécurité des Etats-Unis. « Les informations collectées dans le cadre de ce programme (il parle ici des activités autorisées par la section 702 plus que de PRISM, jamais mentionné dans le communiqué, ndr) font partie des renseignements extérieurs les plus importants et les plus critiques que nous collectons, et elles sont utilisées pour protéger notre nation d'une grande variété de menaces », écrit-il.
Face au scandale naissant, le renseignement national tient à rassurer. Les pouvoirs conférés par le texte de la section 702 « ne peuvent pas être utilisés intentionnellement à l'encontre d'un quelconque citoyen américain, personne américaine ou quiconque se trouve aux Etats-Unis », assure-t-il encore. Pour le reste du monde, c'est une autre histoire.
From : Clubic ,FranceTV info,...