Dix ans après les révélations Snowden, le panoptique n’est plus celui que l’on croit

Voir sans être vu. Le panoptique informatique érigé par nos gouvernements frappait les esprits il y a 10 ans. Le 6 juin 2013, le journal The Guardian révélait que l’agence de renseignement américaine ne collectait pas seulement les données de suspects criminels, mais de tous les citoyens. Grâce à ces fuites coup-de-poing provoquées par Edward Snowden, l’oeil omniprésent de la surveillance électronique garde aujourd’hui sa paupière mi-close.

« No such agency » [aucune agence de ce type]. Tel était le surnom de la NSA, l’agence de surveillance américaine, avant l’affaire Snowden. Depuis, il faut être bien naïf pour croire que notre présence en ligne ne concerne que soi.

Avant que les Canadiens ne voient le visage de ceux qui les espionnent, le Canada ne comptait que sur une poignée de fonctionnaires politisés pour surveiller les surveillants. Le Comité de surveillance des activités de renseignement de sécurité était constitué a fortiori de personnes aux compétences douteuses. L’ancien premier ministre Philippe Couillard et son interlope ami Arthur Porter en furent notamment membres.

Après l’onde de choc de Snowden, Ottawa a créé deux organismes pour chapeauter son panoptique : l’un technique, l’autre politique. D’un côté, « des experts, des juristes, des mathématiciens », et de l’autre, « des députés » accèdent aux informations secrètes afin de s’assurer que le gouvernement n’outrepasse pas ses droits de surveillance, explique en entrevue au Devoir Stéphane Leman-Langlois, titulaire de la Chaire de recherche du Canada en surveillance et construction sociale du risque.

« On a maintenant deux agences qui surveillent la sécurité nationale across the board [à tous les niveaux]. On fait même rentrer là-dedans des affaires de la Gendarmerie royale du Canada. […] Elles vont se pencher sur les services frontaliers du Canada. Elles vont se pencher sur tous les aspects du gouvernement fédéral qui touchent la sécurité nationale. »

« On sait bien que c’est pas parfait, concède-t-il, mais on a cette tension-là qui n’existait pas avant. […] C’est vraiment une révolution dans la surveillance des activités de renseignement au Canada. Et c’est directement la conséquence des révélations [de Snowden]. »

Ses révélations ont aussi choqué aux États-Unis, où le USA Freedom Act a interdit la collecte massive d’enregistrements téléphoniques.

L’Internet, ce royaume chiffré

Outre le paysage politique, le royaume des 0 et des 1 a lui aussi bien changé depuis 2013, date de sortie de l’iPhone 5 (nous sommes bientôt rendus à l’iPhone 15).

Une protection « chiffrée », cryptée, protège désormais la majorité du milliard de gigaoctets de données qui circulent chaque jour dans le cyberespace. Google affirme que 95 % de son trafic reste ainsi inaccessible aux « écoutes clandestines, aux attaques de tierces personnes et aux pirates ». Son concurrent Mozilla estime que 80 % des sites Internet sont rendus opaques au panoptique des gouvernements.

« Même le moindre site Web qui vend des bagels en ligne est chiffré, on voit plus ce qui se passe, et là, ça va mal [pour les agences de renseignement], caricature Stéphane Leman-Langlois. C’est une porte qui s’est refermée avec un gros “clac” après Snowden. »

Bien des malfaiteurs en ont profité pour devenir invisibles aux yeux des autorités. Cette crainte que les joueurs malveillants échappent à la surveillance alerte les grandes centrales de renseignement. Par exemple, le centre de renseignement britannique plaide depuis des années pour l’installation de « portes arrière » afin de pouvoir intercepter les données de messagerie cryptées. Malheureusement pour eux, les géants du Web ne sont plus aussi complaisants qu’avant. Les Apple, Google et Microsoft de ce monde ont refusé la main tendue en 2019, arguant que cette pratique « menace les droits fondamentaux de la personne, y compris la vie privée et la liberté expression ».

Les Britanniques sont revenus à la charge cette année dans un document stratégique en exhortant les compagnies à collaborer afin de « façonner des normes de comportement responsable ».

Il y aura toujours des failles

Même si l’on admet que notre gouvernement veut nous surveiller pour notre bien, l’enfer est pavé de bonnes intentions. Un exemple de ce détournement de bonnes intentions est arrivé à la NSA « il y a quelques années », lorsqu’elle s’est fait dérober sa banque de vulnérabilités « zero-day », raconte Stéphane Leman-Langlois. « Ce sont des failles dans des systèmes d’exploitation comme Windows. Un bon acteur institutionnel devrait appeler Microsoft et révéler avoir trouvé une vulnérabilité, mais ce n’est pas ça qu’ils ont fait. […] Ils ont gardé ça secret, gardé ça en veilleuse, en pensant qu’ils pouvaient s’en servir potentiellement, à un moment donné, contre un acteur malveillant. […] Mais la NSA s’est fait voler cette banque ! On s’est ramassé avec un paquet [de vulnérabilités] dans la nature, dans la jungle du crime organisé. Ça avait été soigneusement collecté par la NSA, mais c’est maintenant à la disponibilité d’acteurs malveillants. »

Le corset que se sont imposé les gouvernements occidentaux réjouit sans nul doute les gouvernements autocratiques qui, en Chine ou en Russie, usent sans vergogne de filatures abusives. Le bannissement partiel du réseau chinois TikTok chez nous a rappelé en février dernier l’importance de se parer contre les abus des États non démocratiques.

D’ailleurs, les collecteurs de données ne sont plus que gouvernementaux, mais aussi commerciaux. Environ 85 % des entreprises recueillent des données auprès de leurs clients, selon une étude américaine datée de 2021.

Depuis que l’affaire Snowden s’est tassée, « notre attention s’est déplacée davantage vers les entreprises que vers le gouvernement », observe à son tour Michael Geist, titulaire de la Chaire de recherche du Canada en droit de l’Internet et du commerce électronique. « Même si nous faisons confiance à nos gouvernements et croyons qu’ils ont nos meilleurs intérêts à coeur, reconnaissons qu’il y a des pouvoirs que les gouvernements ont que le secteur privé n’a tout simplement pas. […] Je reconnais que les entreprises technologiques sont très grandes, sont riches, fonctionnent au-delà des frontières et ont une certaine maniabilité que nos gouvernements n’ont pas. Mais, vous savez, les entreprises technologiques ne peuvent pas mettre les gens en prison. »

Nul doute que, malgré tout le contrôle démocratique possible, on cherche dans les salles conspiratrices de partout de nouvelles façons de voir sans être vu.