Encore une expertise où je regarde, encore et encore, des photos de petites filles violées. Je les trie par thème de torture, par catégorie d’âge supposé, par poses pornographiques.

Et il y a cette petite fille qui revient souvent. Je l’ai appelé Yéléna.

Le décor est sordide : des pièces sombres à l’ameublement minimaliste, avec des papiers peints d’un autre temps. Les fenêtres sont sales, le matelas du lit est bosselé, les meubles abîmés. Parfois sur les photos, j’aperçois un texte en alphabet cyrillique qui me fait imaginer que tu es peut-être russe, ou bulgare, ou serbe, enfin slave quoi. D’où le prénom que je t’ai donné, Yéléna.

Depuis le temps que je trie ce type de photos, d’une expertise judiciaire à une autre, je t’ai croisée plusieurs fois, toi et ton regard triste au sourire forcé. Dans le meilleur des cas, tu es en mini bikini moulant, prenant des poses de strip clubs. Dans les pires, tu manipules des sexes d’hommes bien trop grands pour ton corps.

Et ces photos tournent, tournent, reviennent et repartent, d’un serveur à un autre, détournant cette magnifique liberté d’échange offerte par internet. Et plutôt que de lutter plus efficacement contre les tortionnaires, les politiciens prennent le prétexte de la présence de tes photos pour restreindre les libertés de tous au profit d’un petit nombre, avec des lois scélérates.

Mais de tout cela, tu n’en as cure, et je le comprends.

Le flicage d’internet, c’est en ton nom, mais ce n’est pas pour toi.

Mon rôle se limite à découvrir la trace de la présence de tes photos et films sur le disque dur d’un internaute, qui sera ensuite probablement condamné pour possession d’images pédopornographiques. Je sais aussi que des policiers traquent les pédophiles, les réseaux assouvissant leurs penchants, ceux qui prennent les photos, ceux qui vendent les corps de fillettes de ton âge. Avec un certain succès. Le droit à l’oubli, ce n’est pas pour toi.

Lors de mes premières missions en recherche d’images pédopornographiques, j’étais un jeune papa découvrant les joies et l’amour de ses enfants. La vision de ces photos et de ces
films me touchait profondément. J’ai souvent raconté sur ce blog ces moments douloureux, parce que pour moi, c’était une façon d’évacuer toute l’horreur que je ressentais.

J’ai souvent pleuré en silence devant mon écran.

Je serrais plus fort mes enfants le soir en les couchant, et je ne pouvais pas m’empêcher de penser à toi, de temps en temps. Qu’es-tu devenu ? Quel âge as-tu maintenant ? As-tu survécu à cette enfance infernale ?

Bien sur, je ne le saurai jamais.

Je continue à apporter mon aide aux enquêteurs, je fais ma petite part du labeur, avec un constat qui me fait peur : aujourd’hui, quand je regarde tes photos, Yéléna, je ne ressens plus rien. Je ne pleure plus devant mon écran. Je me suis endurci, insensibilisé. Je les trie par thème de torture, par catégorie d’âge supposé, par poses pornographiques.

Et il y a cette petite fille qui revient souvent. Je t’ai appelé Yéléna.

Cela signifie, en russe, « éclat du soleil ».

————————————————–

Source photo @thereaIbanksy

Les litiges entre un prestataire informatique et son client peuvent trouver naissance dans des détails de méthodologie qui prennent toute leur importance quand il faut répartir les responsabilités.

Et souvent, c’est la mission de l’expert judiciaire.

Dans cette affaire, que je romance à titre d’exemple, le contrat est clair : le prestataire s’engage à développer un site web « avec une gestion rigoureuse et transparente en sept étapes » :

– Lancement du projet
– Spécifications fonctionnelles et techniques
– Conception graphique du site
– Prototypage
– Réalisation du site
– Tests d’intégration et de qualification
– Mise en production et lancement du site

La brochure annexée au contrat de prestation détaille chaque étape, les mérites et le savoir faire du prestataire.

Le problème ici est que le client n’a pas été satisfait du résultat de son prestataire et refuse de payer le solde de la facture, alors que le site web est en ligne et fonctionnel. Le ton est monté, les courriers en recommandé échangés, puis l’affaire s’est retrouvée devant la justice qui a désigné un expert judiciaire pour tirer les choses au clair…

Et me voilà en charge du dossier.

Il est facile d’imaginer un mauvais client qui, quoiqu’il arrive, ne sera jamais satisfait de la prestation qu’il trouve très chère pour un résultat qui sera toujours insuffisant à ses yeux.

Il est tout aussi facile d’imaginer un prestataire qui vend très chère une prestation basique à un client ignorant des choses techniques, certaines affaires récentes mettent même en avant des sommes considérables englouties dans des développements web où les difficultés techniques sont sans rapport avec les montants facturés…

Cette différence de connaissances entre un prestataire et son client se traduit par des obligations pour le prestataire. Elles sont principalement de deux types : l’obligation de conseil et l’obligation de renseignement.

D’après le « Lamy informatique et réseaux » (en sa version 2010, si quelqu’un veut me sponsoriser pour la version la plus récente, je suis preneur. M. Lamy si vous me lisez…), l’obligation de conseil du professionnel informatique s’inscrit dans une obligation plus large qui est l’obligation d’information. Cette dernière suppose, outre l’obligation de conseil, une obligation de renseignement et une obligation de mise en garde.

Par exemple, certains fournisseurs n’hésitent pas à insérer dans leurs contrats informatiques une clause stipulant que :

« Le client est conscient que le projet informatique qui va être développé entre les parties au sein de son entreprise est complexe et qu’il est susceptible de remettre profondément en cause son organisation et ses méthodes de travail, ainsi que la qualification du personnel et suppose une collaboration étroite entre les parties, un dialogue permanent dans un esprit de confiance et de respect mutuel. »

Le prestataire doit donc, pour se dégager de toute responsabilité, attirer l’attention du client sur les contraintes d’utilisation du système, les exigences de l’environnement du système et de toutes les difficultés éventuelles auxquelles le client pourra faire face durant les phases de démarrage et d’utilisation du système.

Le devoir de conseil est renforcé lorsque le client est profane ou peu expérimenté, ainsi que le rappelait déjà la Cour d’Appel de Paris en 1983 : « (…) ce devoir étant d’autant plus rigoureux que les clients sont mal informés en la matière ».

C’est particulièrement flagrant lors du déroulement de la procédure de recette.

Lors des débats, le prestataire a affirmé que « la mise en ligne du site vaut quasiment (sic) pour acceptation de la recette, puisque le site devient dès lors visible au public », puis ensuite que « le site est en ligne et fonctionne, il est donc officieusement (sic) en phase de maintenance »

Je ne suis pas de cet avis, car s’il est en effet courant de mettre un site internet en ligne alors qu’il est toujours en phase de développement, pour la simple raison qu’il faut faire des tests « grandeurs natures », l’usage est de mettre les codes sources du site sur un serveur dit « de pré-production », avec une adresse web provisoire, commençant par exemple par www4, et paramétré pour ne pas être indexé automatiquement par les moteurs de recherche, pour éviter qu’il ne soit utilisé par les internautes. Le site est donc en ligne pour subir des tests en condition réelle de fonctionnement, avec comme objectif de faire valider le travail par le client. Le fait qu’il soit en ligne et qu’il « fonctionne », ne signifie pas non plus qu’il est en phase de maintenance. Il manque la recette par le client.

L’obligation de réception qui pèse sur le client est la contrepartie de l’obligation de délivrance qui pèse sur le prestataire informatique. Cette obligation de réception existe dans tous les contrats informatiques, qu’ils aient pour objet la vente ou le louage d’un matériel, d’un système informatique, la fourniture d’un logiciel ou d’une prestation informatique. Elle est importante notamment du fait que son exécution conditionne généralement ensuite le paiement du prix (CA Paris, 13 mai 1981, Sté ICL c/ Sté provencale de surveillance, Juris-Data, n°22752), qui est une des obligations majeures du client.

Pour satisfaire à son obligation de réception, le client met généralement en œuvre une procédure convenue à l’avance avec son cocontractant que l’on dénomme « procédure de recette ». Les modalités de sa mise en œuvre par le client varie cependant suivant les contrats et la nature des livrables.

Lorsqu’il s’agit d’effectuer la recette d’un matériel informatique, le client doit généralement établir un procès-verbal de réception qui atteste que le matériel livré paraît conforme à ce qui avait été commandé. Les choses deviennent plus complexes lorsqu’il s’agit pour le client de prononcer la recette d’un logiciel spécifique. Il est alors usuellement pratiqué un processus de recette en deux étapes successives : une recette provisoire, suivie d’une recette définitive.

La recette provisoire correspond à la phase initiale de vérification du livrable à satisfaire aux spécifications du contrat (la recette provisoire d’un site web est en générale effectuée en ligne sur le serveur de pré-production), tandis que la recette définitive, qui intervient ultérieurement, permet de vérifier le bon fonctionnement du logiciel ou du système en service régulier (c’est-à-dire, comme dans la terminologie des marchés publics, dans des conditions proches de l’activité opérationnelle, et, en l’espèce, en ligne, sur le site définitif de production).

Toute difficulté considérée par le client comme affectant l’aptitude du logiciel ou du système doit faire l’objet d’une réserve accompagnée de fiches d’anomalies remises au prestataire (voir not. Bitan H., Contrats informatiques, Litec, 2002, n°21). Si les anomalies constatées sont particulièrement bloquantes (c’est-à-dire qu’elles empêchent toute mise en œuvre suffisante du logiciel ou du système durant la phase de recette définitive), le client peut aussi surseoir à prononcer la recette provisoire tant que ces anomalies ne sont pas corrigées.

On voit donc bien que la simple mise en ligne d’un site web et son accès (supposé) au public, ne peuvent pas suffire à justifier l’acceptation de la recette du site (et encore moins tacitement).

Il importe donc que le prononcé de cette recette soit mûrement réfléchi. En cas de difficultés techniques particulières ou d’un niveau d’anomalie trop important, il est prudent pour le client de refuser de prononcer la recette définitive et de réclamer une nouvelle période de tests de validité, voire de réclamer après deux recettes manquées, la réécriture de tout ou partie de l’application, sous peine de demander la résiliation du contrat aux torts du fournisseur.

Je vois trop souvent des dossiers où le client fait une confiance aveugle à son prestataire en refusant de réfléchir sur les aspects pourtant basiques relevant d’une gestion de projet informatique. Certes le prestataire est un sachant technique, mais le client doit prendre sa part dans la gestion de projet, et une bonne procédure de recette en fait partie. Ce que ne peut ignorer le prestataire.

Pour des raisons évidentes de confidentialité, je ne peux pas vous dire quelle était, à mes yeux, la répartition des responsabilités dans ce dossier, mais j’espère vous avoir fait réfléchir sur l’importance de la gestion de projet (des deux côtés de la barrière), sur la procédure de recette en particulier, et enfin sur le rôle d’un expert judiciaire en informatique.

Quot homines, tot sententiae

Autant d’hommes, autant d’opinions

Térence, Le Phormion, v. 454

L’homme qui est en face de moi est souriant. Il m’inspire confiance et coopère complètement avec moi, malgré le stress.

Il
faut dire que ce n’est jamais très agréable de se retrouver avec, dans
son bureau, un expert judiciaire, son patron, un huissier de justice et
un représentant syndical…

Pour lui, tout cela n’était pas prévu.

Je lui pose des questions sur son métier d’informaticien, sur l’entreprise dans laquelle il travaille, sur ses responsabilités.
Je lui pose quelques questions techniques pour lui montrer que je
partage avec lui un intérêt et des compétences similaires. Nous sommes
du même monde, ce monde informatique que peu d’utilisateurs comprennent
vraiment…

Il
est à lui tout seul le service informatique : il gère le réseau, le
serveur, la hotline, les commandes, les réparations, les interventions.
L’entreprise n’est pas bien grande, mais il en est l’homme clef pour la
partie informatique/réseau/télécom.

Je
lui pose LA question : « avez-vous utilisé le mot de passe de votre
patron pour vous connecter sur son compte et accéder à des données
confidentielles ? »

Il
me regarde et sa réponse est limpide : « Non. Je n’ai pas accédé au
compte informatique de mon patron. » Son regard est franc, un bon rapport
de confiance s’est établi entre nous, il est jeune, il manque encore un
peu d’expérience, je le crois.

Je
demande au patron l’autorisation d’avoir accès aux différents
ordinateurs utilisés par son informaticien. Il y a un ordinateur de
travail posé sur un bureau encombré de câbles, de post-it, de figurines
de Star Wars. Je passe une heure entouré de tout ce petit monde à
regarder son contenu, à expliquer à l’huissier ce que je fais, ce que je
vois. Je contourne le répertoire marqué « privé », bien que l’ordinateur
soit strictement professionnel.

Il faut dire que nous sommes en pleine période « arrêt Nikon »
et que beaucoup de discussions ont lieu sur la cybersurveillance. Tout
ce que je sais, c’est que pour qu’une fouille soit possible, qu’elle
concerne une armoire personnelle ou un support dématérialisé, elle doit
avoir un fondement textuel, ou être justifiée par des circonstances
exceptionnelles et des impératifs de sécurité, ou être contradictoire,
et respecter le principe de proportionnalité. Je ne suis pas un fin
juriste, mais je n’ouvre les répertoires privés qu’en dernier recours…
Les photos des enfants et de la famille qui trône autour sur les écrans
suffisent déjà à me mettre mal à l’aise.

L’ordinateur
fixe semble clean, je ne trouve rien de suspect. Je demande à
l’informaticien s’il dispose d’un ordinateur portable pour son travail.
Il me répond que oui, qu’il est dans sa sacoche. Le patron fait quelques
commentaires sur le prix de ce joujou qui, à l’époque, coûte plusieurs
fois le prix d’un ordinateur fixe.

J’interroge l’informaticien sur l’utilisation de cet ordinateur portable.
Il m’explique que cela facilite ses interventions sur les actifs du
réseau, ou à distance lorsqu’un problème survient et qu’il est chez lui.
Il est très fier de m’indiquer qu’il dispose d’une ligne ADSL, chose
plutôt rare à l’époque. Nous échangeons sur le sujet quelques commentaires techniques, le courant passe bien entre nous. Je compatis à sa situation embarrassante de premier suspect aux yeux de son patron.

Il
me fournit facilement les mots de passe d’accès aux machines, aux
applications. Il est serein et répond facilement à mes questions. Une
heure se passe encore, et je ne trouve rien de particulier sur son
ordinateur portable.

Je prends dans ma mallette un liveCD (HELIX, distribution gratuite à l’époque. Aujourd’hui j’utilise DEFT) pour démarrer son portable sans modifier son disque dur. Je lance quelques outils d’investigation.

Je
vois son regard intéressé de connaisseur. J’explique ce que je fais
pour que l’huissier puisse rédiger son rapport. Je sens l’attention de
l’assistance remonter un peu après ces deux heures plutôt soporifiques.

Je
demande au patron son mot de passe. Un peu surpris, celui-ci me le
donne. Je le note, et l’huissier aussi. Je fais une recherche du mot de
passe en clair avec une expression rationnelle simple.

Et là, bingo. Je trouve le mot de passe du patron en clair. Stocké dans un fichier effacé.

Je
lève les yeux, je regarde l’homme assis à côté de moi. Sans un mot. Son
visage jovial se transforme. Son regard se durcit. J’y vois de la
haine. La métamorphose est tellement rapide que je reste stupéfait.
Personne autour de nous n’a encore compris ce qu’il vient de se passer.

J’explique à voix haute ce que je viens
de trouver : un fichier effacé contenant le mot de passe en clair du
patron. Une analyse rapide montre la présence du logiciel John The Ripper.

Je me suis fait balader depuis le début.

Le contact amical que j’avais établi était une illusion.

L’innocent vient de devenir coupable.

La suite de l’enquête montrera le piratage du compte du patron, les accès aux données confidentielles et leurs modifications.

Je ne suis pas fait pour mener correctement un interrogatoire : j’ai trop d’empathie. Mais jamais je n’oublierai la transformation de son visage et l’étincelle de haine que j’ai vu dans son regard ce jour là.