Vecam

Le terme « cybercriminalité » a été inventé à la fin des années quatre-vingt-dix, alors qu’Internet se répandait en Amérique du Nord. Un sous-groupe des pays du G8 fut formé suite à une réunion à Lyon, en France, afin d’étudier les nouveaux types de criminalité encouragés par, ou migrant vers, internet. Ce « groupe de Lyon » employait alors « cybercriminalité » pour décrire, de manière relativement vague, tous les types de délits perpétrés sur internet ou les nouveaux réseaux de télécommunications dont le coût chutait rapidement.

En même temps, et à l’initiative des membres du groupe de Lyon, le Conseil de l’Europe commença à rédiger un projet de Convention sur la Cybercriminalité [1]. Cette convention, rendue publique pour la première fois en 2000, prévoyait un nouvel ensemble de techniques de surveillance que les organismes chargés de l’application de la loi estimaient nécessaires pour combattre la « cybercriminalité ». Comment la cybercriminalité était-elle définie? La version finale de cette convention, adoptée en novembre 2001 après les évènements du 11 septembre, n’en proposait pas de définition. Le terme était plutôt utilisé comme une sorte de fourre-tout pour désigner les nouveaux problèmes auxquels se trouvaient confrontés la police et les agences de renseignement, et découlant des performances toujours meilleures des ordinateurs, de la baisse du coût des communications, et du phénomène Internet. La convention énumère les différentes dispositions et les domaines exigeant une nouvelle législation :

Titre 1 - Infractions contre la confidentialité, l’intégrité et la disponibilité des données et systèmes informatiques.

Titre 2 - Infractions informatiques [falsification et ¬fraude].

Titre 3 - Infractions se rapportant au contenu [pornographie].

Titre 4 - Infractions liées aux atteintes à la propriété intellectuelle et aux droits connexes.
Titre 5 - Autres formes de responsabilité et de sanctions [aide et complicité, responsabilité des personnes morales].

Cybercriminalité : la boîte de Pandore

Les dispositions relatives aux crimes sont en réalité très brèves, la majeure partie de la Convention traitant de droit procédural et de coopération internationale. Pour que les poursuites aboutissent, il fallait trouver de nouvelles techniques pour réunir des preuves, assurer leur intégrité, et les partager par delà les frontières. Les injonctions de conservation rapide de données stockées, les mandats électroniques, le recueil de données en temps réel, l’archivage des données relatives au trafic : autant de mesures qui impliquaient une intrusion dans les libertés civiques. Une dépendance croissante des traités mutuels d’assistance légale, même quand il ne s’agissait pas d’un cas de double incrimination, ouvrait une boîte de Pandore d’accusations criminelles possibles selon tous les régimes du monde. Alors que la Convention sur la Cybercriminalité énumère clairement les problèmes propres aux enquêtes criminelles au niveau mondial, elle ne propose toujours pas de solution pour protéger la vie privée et les droits humains.

À l’origine, il régnait une grande confusion. La notion de cybercriminalité était appliquée à de nouveaux types de criminalité, comme la cyberpornographie - c’est-à-dire la diffusion de photographies violant les lois de certains pays (mais pas tous) relatives à la pornographie inacceptable et l’exploitation des personnes. Comme internet ignore les frontières, il était devenu beaucoup plus facile de diffuser des contenus à l’étranger, parfois de manière complètement anonyme. Pénétrer dans les systèmes informatiques, ou les « pirater », constituait aussi un nouveau crime, alors que de nombreux pays ne le considérait pas encore comme une infraction criminelle. La Convention sur la Cybercriminalité visait entre autres à établir et harmoniser les dispositions qui devaient être intégrées dans la législation des pays signataires, afin de lutter de manière bien coordonnée contre cette nouvelle activité criminelle. Les jeux d’argent en ligne soulevaient un autre problème : des champs de courses virtuels fleurissaient sur internet, et bien que les pays aient des approches très différentes, suffisamment de pays développés intégraient les revenus tirés des jeux d’argent dans les budgets nationaux et les économies du tourisme, de sorte que l’émergence de concurrents virtuels, opérant depuis des paradis fiscaux, suscitait une réelle inquiétude.

Archivage des données informatiques, cryptographie : deux grands problèmes de sécurité en question

Avant que la Convention sur la Cybercriminalité ne soit rendue publique, des défenseurs des libertés civiques du monde entier se battaient déjà contre différentes initiatives nationales visant à introduire l’archivage obligatoire des données informatiques, ou le stockage des données de connexion sur les télécommunications et le trafic Internet, à des fins d’enquêtes criminelles. L’archivage des données de connexion faisait partie d’un ensemble de mesures de contrôle présentées dès 1992 par le FBI comme nécessaires pour combattre le crime sur la nouvelle « autoroute de l’information » - comme on appelait alors Internet. Pendant toutes les années quatre-vingt-dix, des activistes d’internet, des experts techniques, et des entreprises privées avaient œuvré ensemble contre l’imposition de mesures de contrôle de la cryptographie, y compris des projets de dépôt des clés auprès d’un tiers de confiance, dans lesquels le gouvernement aurait détenu une copie de toutes les clés cryptographiques afin d’enquêter et de trouver plus facilement des preuves sur les activités criminelles. Le projet le plus célèbre fut le « Clipper Chip » américain, qui prévoyait non seulement que le gouvernement détienne les clés de chiffrement, mais qui proposait aussi un algorithme fermé ou propriétaire qu’aucun expert n’était autorisé à analyser ni tester. La sécurité est une course aux armements, dont les algorithmes et les mesures de surveillance nécessaires à son succès sont attaqués aussi rapidement qu’ils sont mis en place. En conséquence, les seules mesures de sécurité auxquelles les experts font confiance sont celles qui ont été exposées aux attaques et qui ont survécu. À l’origine, la cryptographie relevait du domaine des experts de l’armée et de la sécurité nationale, mais de plus en plus les civils se sont mis à l’étudier et elle s’est répandue dans l’usage public.

En 1991, le pacifiste et expert en cryptographie Phil Zimmerman déposa sur Usenet un logiciel de cryptographie appelé Pretty Good Privacy, ou PGP, le mettant ainsi à la disposition de pays vers lesquels les États-Unis refusaient d’exporter une cryptographie forte. Le gouvernement américain demanda une enquête du Grand Jury, laquelle dura trois ans avant de se clore en janvier 1996 par un non-lieu. Phil Zimmerman devint un héros au sein de la communauté d’internet, étant donné qu’il avait aidé des dissidents politiques de pays comme la Lettonie à crypter leurs communications et passer outre la surveillance de leur gouvernement. Toutefois, pendant trois ans, il encourut une peine de prison pour avoir exporté un produit cryptographique.

Ce statu quo sur l’exportation des produits cryptographiques se prolongea plusieurs années, parce que l’on se trouvait dans une impasse classique : s’il ne faisait aucun doute qu’un individu pouvait entièrement dissimuler un crime économique à l’aide d’une cryptographie forte et inviolable, il était également vrai qu’une entreprise avait besoin de se protéger de l’espionnage industriel et des intrusions criminelles en utilisant le même type de cryptographie forte. Même Clipper chip fit long feu, et les États-Unis et les autres pays du G8 assouplirent leurs mesures de contrôle de la cryptographie, presque au moment de la naissance de la Convention sur la Cybercriminalité. Toutefois, l’ambiance entre les défenseurs d’internet et les experts s’était quelque peu teintée de méfiance, suite aux tentatives gouvernementales pour mettre fin au respect de la vie privée et au chiffrement sur Internet. Un bras de fer capital venait de s’engager, entre d’une part l’État, qui souhaitait pouvoir prendre connaissance de tout ce qui circulait sur les réseaux de télécommunications, et notamment Internet, et d’autre part l’individu (représenté par les groupes de libertés civiques), qui n’avait pas le sentiment que le gouvernement cherchait vraiment à le protéger, mais qu’il essayait plutôt d’asseoir son pouvoir au commencement de la nouvelle ère de l’information, en mettant en place des systèmes de surveillance qui allaient se multiplier et menacer nos libertés.

La cybercriminalité n’est pas virtuelle

Mais enfin, qu’est-ce que la cybercriminalité? Et tout d’abord, qu’est-ce que le cyberespace? Le terme a été inventé par l’auteur de science-fiction William Gibson en 1982, et appliqué à Internet par Howard Rheingold, de sorte qu’il a fini par désigner cette nouvelle infrastructure de communication. Toutefois, nous oublions parfois que le cyberespace n’a pas d’existence réelle. Concrètement, il existe un réseau, et de nombreux serveurs et équipements divers, mais les communications sur Internet semblent éphémères et insaisissables, et dans l’esprit du public, c’est la gestalt qui agit. Ceci s’explique peut-être par la fragilité de la relation entre l’individu moyen et son ordinateur ou son logiciel de courrier électronique. Qui n’a jamais perdu un document parce qu’il avait oublié de l’enregistrer, ou n’a jamais eu à déplorer la disparition de son agenda et de son courrier électronique? En réalité, un fin limier armé des bons outils peut retrouver et exhumer presque tout, parce que contrairement au monde analogique, le monde numérique laisse des traces pour chaque bit d’information et chaque octet envoyé. Ces outils et compétences ne sont pas à la portée de l’utilisateur de base, ce qui explique pourquoi la notion de cyberspace, une sorte d’hyperespace magique depuis lequel les informations vont et viennent, semble parfaitement convenir.

Au moment de commencer à rédiger le projet de Convention sur la Cybercriminalité, la plupart des organismes chargés de l’application de la loi accusaient aussi un certain retard technologique. Ils ignoraient comment enquêter, comment saisir des preuves sur des ordinateurs sans les contaminer, comment préserver l’intégrité des données dans le cas où leur propriétaire aurait envoyé une commande kill à distance pour les détruire, comment remonter jusqu’aux auteurs d’un message, notamment s’agissant de messages cryptés ou utilisant un anonymiseur. Il s’agit là de problèmes complexes, et le travail des organismes chargés de l’application de la loi se résumait à l’origine à tenter de ralentir la cadence et attirer l’attention sur leurs propres besoins en moyens pour s’attaquer à un nouveau problème. Comme il est souvent plus facile d’obtenir de nouveaux moyens pour combattre un nouveau problème plutôt que l’intensification d’un problème ancien, il n’est pas étonnant que de nouveaux termes aient été créés. Toutefois, on peut s’interroger sur l’utilité du terme « cybercriminalité », et il peut s’avérer trompeur. Les crimes se produisent en effet dans le monde réel, et impliquent généralement des personnes et de l’argent tout aussi réels. Il est important de se concentrer sur cet aspect du problème plutôt que sur les aspects plus éphémères comme les techniques d’envoi des communications.

La « cybercriminalité » se caractérise par trois aspects

Tout d’abord, il y a le nouveau crime consistant à pirater, s’introduire ou espionner les systèmes informatiques d’autres personnes ou organisations. Les opinions divergeaient quant à savoir si le simple fait de regarder était un crime, d’autant que les tout premiers « bidouilleurs » (hackers)[2] détectaient souvent des brèches dans la sécurité des systèmes et avaient le sentiment d’être des citoyens tout à fait respectables en les signalant. Cela n’a de tout évidence rien à voir avec le fait de pénétrer dans un système dans un but criminel.

Ensuite, il y a les cas dans lesquels le crime est ancien mais le système est nouveau, comme dans le cas des tentatives d’escroquerie par internet. Les arnaques commerciales existent depuis toujours, les arnaques téléphoniques depuis des décennies, et nous avons aujourd’hui les arnaques par internet. Il en va de même pour la pornographie et le non-respect du copyright.

Le troisième aspect concerne l’enquête, dans laquelle l’ordinateur sert de réservoir de preuves, indispensables pour que les poursuites engagées dans le cadre de n’importe quel crime aboutissent. Ce qui autrefois était consigné sur le papier a toutes les chances d’être aujourd’hui consigné sous forme numérique, et peut être détruit ou chiffré à distance.

Le chien policier doté d’un bon flair semble habiter un univers parallèle... Il peut vivre avec nous et marcher dans la même rue que nous, mais il ressent les choses d’une manière complètement différente de celle d’un humain et vit dans un monde riche en informations de type chimique. L’homme a désormais construit un monde où les puces de silicium génèrent de nouvelles informations, les envoient autour du monde dans des flux électroniques numériques, et nous sommes incapables de les détecter sans l’aide des ordinateurs. Néanmoins, ce monde numérique parallèle existe, et les bits numériques constituent un nouveau type de preuves. Les bits numériques représentent aussi un nouveau type de danger pour l’individu, parce qu’une personne capable de manipuler les preuves numériques peut créer un nouveau personnage numérique, ou persona. Il s’agit d’un quatrième type de crime, plus subtil que les autres, et que l’on connaît mieux sous le nom d’usurpation d’identité. Si cette tendance persiste, « cybercriminalité » pourrait bien devenir un terme utile pour décrire les infractions commises contre la persona numérique.

La persona numérique

Qu’appelle-t-on « persona numérique », et s’agit-il d’un terme utile? L’expression est employée depuis au moins une dizaine d’années, pour désigner l’impression qu’une personne laisse sur Internet. Le Dr. Roger Clarke l’a très bien expliqué dans le résumé d’un article consacré à ce sujet. [3]

La persona numérique correspond au profil d’un individu établi par la collecte, le stockage et l’analyse des données informatiques lui correspondant. Il s’agit d’un concept très utile et même d’un concept nécessaire pour arriver à comprendre le comportement du nouveau monde en réseau. Cet article présente la notion, retrouve ses origines et apporte des exemples de son application. Nous pensons que cette notion permettra de comprendre, ou de mieux comprendre, de nombreux aspects du comportement du réseau.

La persona numérique est aussi un phénomène potentiellement menaçant, dégradant, voire socialement dangereux. Sa dangerosité potentielle réclame une attention particulière dans le domaine de la surveillance des données informatiques, c’est-à-dire l’observation des personnes au moyen de leurs données personnelles. La surveillance des données informatiques constitue un moyen économiquement efficace pour contrôler le comportement des individus et des sociétés. La manière dont la persona numérique participe à la compréhension de techniques particulières de « dataveillance » comme la classification et le profilage par ordinateur fait débat, et nous mettrons en évidence les risques propres à une observation des personae numériques.

Onze ans plus tard, nous avons progressé jusqu’à un point dérangeant annoncé dans l’article. Clarke identifie la persona numérique comme une construction, utile pour comprendre l’ombre que nous projetons dans le monde numérique du cyberespace, et il établit la distinction entre personae passives, actives et autonomes :

La persona numérique est un modèle de la personnalité publique d’un individu basé sur des données informatiques et entretenu par des transactions, et visant à servir de personnalité par procuration à cet individu.

Utiles pour construire l’identité des individus dans le but de s’adresser à eux (les adresses électroniques, par exemple) ou de les identifier comme personnes autorisées à réaliser certaines actions (payer des factures en ligne, préparer un voyage), les bits dessinent rapidement un ensemble d’habitudes et une personnalité aussi réelles que l’être humain qui se cache derrière. Les gouvernements et les entreprises les utilisent désormais pour « connaître leurs clients » et l’on fait quasiment plus confiance aux preuves électroniques et personae numériques qu’aux individus eux-mêmes.

Toutefois, des faiblesses dans la sécurité montrent de plus en plus que cette confiance est peut-être mal placée. Le « hameçonnage » (phishing) [4] et les attaques de pharming, ou la mystification de courrier électronique et de sites web, convainquent les personnes de donner des informations personnelles par internet, et les fraudeurs utilisent ensuite ces informations pour faire croire à un commerçant, un gouvernement, ou une banque qu’ils sont la vraie personne. Les voleurs poussent parfois plus loin la complexité du monde actuel, et il arrive qu’ils amalgament différents groupes de données informatiques pour créer des personnes fictives mais paraissant réelles.

N’importe-où dans le cyberespace, un nombre incalculable de ces personnages fictifs pourrait sévir, généralement avec des intentions criminelles, mais pas toujours. Les représentants des forces de l’ordre se font passer pour des enfants dans des salons de clavardage dans le but d’arrêter les pédophiles potentiels. Des clients fantômes testent les services à la clientèle. Des ¬adultes du monde entier se créent des personae sur les sites de rencontres par internet, pour cacher leur véritable identité jusqu’à ce qu’ils aient suffisamment confiance en les inconnus avec qui ils parlent.

Alors que nous nous acheminons vers un monde où la surveillance numérique des êtres humains se développe de manière exponentielle, il faut nous demander où nous allons. Bientôt, les puces d’identification par radio-fréquence (puces RFID) de nos vêtements et de nos cartes d’identité communiqueront avec notre environnement, et des émetteurs intégrés suivront nos moindres mouvements. Si quelqu’un réussit à imiter ces indices, un être humain réel pourra se retrouver confronté devant les tribunaux à une persona numérique, construite avec soin à l’insu de l’individu concerné. Les tentatives pour établir le rapport entre ces indices et l’individu par la biométrie peuvent aider à résoudre le problème, ou bien l’empirer. Les spécialistes des libertés civiques s’inquiètent de l’omniprésence des lecteurs biométriques dans notre vie quotidienne, affirmant qu’ils ne sont pas fiables et produisent beaucoup trop de faux positifs et de faux négatifs. Une expérience récente consistant à relever des empreintes digitales et à les reproduire sur de faux doigts moulés à partir d’oursons en gélatine a confirmé qu’il était possible de duper les lecteurs d’empreintes digitales, mais elle n’a pas réussi à ralentir l’installation des systèmes [5].

Roger Clarke, dans son article sur la Persona Numérique, se référait à la construction de l’être selon Jung, avec l’anima tournée vers l’intérieur face à l’inconscient, et la persona tournée face au monde. À mesure que la persona numérique acquiert une importance sociale et économique qui ne cesse de croître, elle attire l’attention des criminels. Alors que l’individu se trouve pris dans une course aux armements numériques pour le contrôle de sa propre persona, plutôt que de la laisser aux mains du marché ou des criminels, que devient l’anima? Si l’individu est obligé de se dissocier de sa persona, uniquement en réaction à la surveillance et à la menace constantes qui sont devenues notre lot quotidien, cela n’augure rien de bon pour notre santé mentale collective.