La Hadopi vient de rendre public sur son site internet, le rapport d’expertise privé qu’elle a commandé à mon confrère David Znaty.

J’en suis heureux, car j’avais demandé le 30 décembre 2011 sur Twitter à M. Eric Walter, secrétaire général de la Hadopi, s’il était possible d’avoir accès au rapport de M. Znaty. Celui-ci m’avait gentiment répondu comme le montre ce petit échange, mais sans donner suite:

En tout cas, le rapport est maintenant disponible et je l’ai dévoré avec beaucoup d’intérêts. Je me permets de faire quelques remarques, à chaud, et en tant que citoyen:

– il s’agit d’un rapport d’expertise privé, et non d’un rapport d’expertise judiciaire demandé par la justice.

Un expert ayant le titre protégé “d’expert judiciaire près la Cour d’Appel de Paris”, et celui “d’expert judiciaire près la Cour de Cassation” peut réaliser des expertises demandées par une partie. Ce travail peut être joint aux documents déposés par la partie au procès, mais le juge peut demander une expertise, contradictoire celle-ci, qui sera cette fois revêtue du sceau “d’expertise judiciaire”.

Mon confrère David Znaty étant agréé auprès des plus hautes Cours de France, j’ai parfaitement confiance en sa capacité de suivre les règles déontologiques des experts judiciaires, et en particulier la 6ème: “L’expert doit remplir sa mission avec impartialité. Il doit procéder avec dignité et correction en faisant abstraction de toute opinion subjective, de ses goûts ou de ses relations avec des tiers.”

C’est pour cela que ce rapport m’intéresse tant, car il va répondre à un certain nombre de questions que je me pose sur les moyens techniques utilisés par Hadopi.

– 1ère déception: le rapport de 29 pages n’est pas publié avec ses annexes.

Dès qu’un point devient très technique dans le rapport, l’expert renvoie à la lecture d’une annexe contenant les détails techniques intéressants. En particulier, dans le cas présent, les algorithmes de calculs des empreintes numériques et la collecte des adresses IP… Cela vide particulièrement l’intérêt de ce rapport. Après une petite recherche sur internet, il semblerait que les annexes soient gardées dans un coffre de la Hadopi pour être présentées dans le cadre d’un procès à la demande du juge ou de l’expert qu’il aura désigné. Frustrant. Il va falloir attendre un procès où l’internaute mis en cause mettra en ligne toutes ces informations (ce qui ne manquera pas d’arriver). La transparence a des limites.

– Les missions confiées par la Hadopi à M. Znaty concernent a méthode utilisée pour créer l’empreinte numérique d’une œuvre, la comparaison de cette empreinte avec l’œuvre originale, le processus de collecte des adresses IP, les processus entre les différents acteurs.

Il ne s’agit donc pas de remettre en cause le fait que l’internaute est responsable de la sécurisation de son accès internet, clef de voute de la riposte graduée. Si vous n’êtes pas capable de prouver que vous avez déployé l’état de l’art en matière de surveillance de votre propre accès internet, ET que votre adresse IP est flashée par Hadopi en lien avec un téléchargement illégal, le titulaire de l’abonnement est coupable.

– la première partie du rapport décrit de manière particulièrement succincte les réunions effectuées chez les différents acteurs du processus.

Je suis surpris de n’avoir que finalement assez peu d’informations: seuls quelques noms de sociétés (par exemple ALPA, Gaumont, Pathé, SCPP, SACEM, SPPF, TMG…) sont cités. Les deux principales sociétés impliquées dans les algorithmes de création d’empreintes numériques sont cachées derrières les deux acronymes inventés FPA et FPM.

Les informations intéressantes ont été reportées dans les annexes… confidentielles. Dommage.

– le secret des algorithmes.

L’expert mentionne dans son rapport (bas page 17): “FPA n’a pas souhaité, tout comme FPM, exposer son savoir faire“.

Puis, page 23, dans sa réponse aux questions qui font l’objet de sa mission, il écrit “Pour répondre à cette partie de la mission et compte tenu du fait que FPM et FPA ont refusé de dévoiler leur savoir faire, je me suis attaché à vérifier la robustesse de leurs méthodes par les exposés qui m’ont été faits (cas pour FPA) et par un complément de test dans le cas de FPM (cf. Annexes 2.2.1 et 2.2.2)“.

Là, je dois dire que je tique un peu. Comment peut-on apporter un avis indépendant quand celui-ci n’est basé que sur les affirmations des entreprises, celles-ci se retranchant derrière le sceau du secret?

– Les faux positifs.

Sans être moi même un mathématicien hors pair, je sais qu’il n’est pas possible d’affirmer une règle en ayant simplement effectué quelques essais. Je suis très réservé sur les tests qui montrent la robustesse des algorithmes et en particulier sur le côté péremptoire de la conclusion du bas de la page 24: “les algorithmes de calcul d’empreintes de FPA sont robustes et garantissent la non existence de faux positifs”.

Idem pour la conclusion de la page 25: “les algorithmes de comparaison d’empreintes de FPA et les algorithmes de comparaison d’empreintes de FPM sont robustes et garantissent la non existence de faux positifs“.

Je rappelle qu’en informatique, on appelle robustesse la capacité d’un programme informatique à fonctionner dans des conditions non nominales, comme les erreurs de saisie, etc.

– Collecte des adresses IP: rien sur les fichiers fakes.

J’utilise à titre personnel pas mal les réseaux P2P pour permettre le partage de fichiers ISO de distributions GNU/Linux, BSD et en particulier d’anciennes versions de logiciels open source. Je reste un partisan du logiciel Emule et je gère une base de partage assez importante.

Il m’arrive, lorsque je cherche une distribution un peu rare, de télécharger un fichier sur les réseaux P2P, puis de me rendre compte que les informations à ma disposition étaient erronées (souvent le nom du fichier): pensant télécharger une distribution Yggdrasil, je me retrouve avec une copie d’un film pornographique, de très belle facture certes, mais très loin de l’objet désiré. Il y a plusieurs parades pour cela, mais pendant quelques minutes, voire quelques heures, j’ai malgré moi partagé un fichier illicite (à l’insu de mon plein gré) avant de me rendre compte du problème et de supprimer le fichier de mon disque dur.

CONCLUSION:

Ce rapport me fait me poser beaucoup plus de questions, principalement à cause des annexes gardées confidentielles. C’est dommage, d’autant plus que ces annexes seront probablement rendues publiques lors des procès qui auront lieu sous peu.