Archives par mot-clé : Vie Publique

J’ai ouvert ce blog il y a 20 ans et un anniversaire est toujours une bonne occasion de regarder un peu en arrière. En 2006, j’avais 43 ans, mes 3 enfants étaient petits, et mon aînée me demandait si elle pouvait ouvrir un blog. J’ai regardé, étudié la question, et fini par répondre par l’affirmative avec les recommandations d’usage et l’encadrement parental approprié.

Et je suis moi-même tombé dedans.

J’ai ouvert le blog avec l’idée d’écrire des billets pour les futurs enfants de mes enfants, pour qu’ils puissent connaître une partie de la vie de leur grand-père. Quand on est un informaticien passionné, un geek, voire un nerd, l’entourage s’ennuie vite des anecdotes techniques. Je souhaitais m’adresser, au pire, au vide d’internet, au mieux, à ma descendance. J’ai surtout écrit pour moi.

A 43 ans, j’avais déjà derrière moi une petite carrière de chercheur en IA (thèse de 1992 sur les réseaux de neurones !), de maître de conférences, de professeur d’informatique dans une école privée d’ingénieurs, doublé de la casquette de responsable informatique. Mais surtout, j’exerçais la noble activité d’expert judiciaire en informatique depuis 7 longues années. Entre ici, Zythom, avec ton terrible cortège... J’avais besoin d’exorciser les longues heures passées à visionner les films et photos pédopornographiques découverts sur les scellés judiciaires confiés par les magistrats ou les officiers de police judiciaire.

J’ai donc créé ce blog en septembre 2006, un peu après "tout le monde", dans une joyeuse explosion de liberté d’expression. Et, alors que les avocats s’emparaient du sujet, et révisaient en profondeur leurs règles de publicité, alors que certains magistrats créaient des blogs et dépoussiéraient la justice, alors que les policiers, les greffiers, les médecins, tous soumis à des obligations de secret et de réserve, dévoilaient à travers des anecdotes ou des histoires à peine romancées, des tranches de la vraie vie qu’ils vivaient, je me suis lancé avec des anecdotes sur les expertises judiciaires.

J’étais persuadé de contribuer à un mouvement d’ouverture et de liberté de parole. J’étais persuadé que de nombreux experts judiciaires allaient ouvrir leurs blogs et décrire avec talent leurs activités. Je ne pouvais pas me tromper car l’ordre des avocats encourageait les avocats dans cette démarche. C’est sûr, les compagnies d’experts judiciaires allaient s’emparer du sujet, et bientôt nous serions 10, puis 100, puis 1000 experts judiciaires à ouvrir des blogs.

Je me suis lourdement trompé.

Je suis resté très longtemps le seul expert judiciaire à avoir ouvert un blog pour y raconter des anecdotes, des détails techniques, des histoires d’humanité.

J’ai découvert que les compagnies d’experts judiciaires n’aiment pas que l’un des leurs prenne la parole (la plume, pardon le clavier) sans passer par le président de la compagnie... Surtout au niveau national. Toute une hiérarchie à respecter. Bah, à 43 ans, tous ceux qui ont plus de 60 ans sont des vieux barbons, plus occupés à regarder derrière eux et à s’accrocher à leurs médailles conquises de haute lutte dans un monde qui n’existe plus. Bref, j’ai fait ce que je voulais, soutenu par mon épouse avocate, et j’ai écrit librement. Yolo.

Puis mon petit blog a été cité par un avocat blogueur, une star des blogueurs, LA star de l’univers numérique du monde judiciaire, aujourd’hui on dirait le pape des influenceurs : Maître Eolas. Mieux, il m’a mis dans sa "blogroll", c’est-à-dire dans sa liste publique des blogs dont il lisait les billets. Ce simple fait a propulsé mon petit blog sur le devant de la scène, sous les feux de la rampe.

Je ne le remercierai jamais assez : ça a changé ma vie, et les 20 années qui ont suivi. Cela m’a permis de rencontrer des gens formidables, connus et inconnus, tous avec des personnalités intéressantes, des intelligences, des tronches, des tranches de vie… Je ne pourrai pas tous les citer, mais une recherche OSINT assistée par IA me permet de retrouver certaines traces du passé :

Presse et médias. Le Monde Informatique dès décembre 2006 — la plus ancienne citation connue, sur un sous-domaine aujourd’hui disparu. Puis Numerama en 2011, Zebulon et UnderNews en 2012, Korben en 2013, l’entretien de ZDNet France en 2016, Next en 2022.

Blogs. Le citant historique le plus important est Maître Eolas, qui le lie le 8 décembre 2007 — Zythom a mesuré l’effet : son audience passe de 131 à 260 visites par jour. Quinze ans plus tard, Eolas le cite comme témoin-expert dans son procès contre l’Institut pour la Justice. S’y ajoutent Stéphane Bortzmeyer, le blog de Cédric « Sid » Blancher (billet invité, blogroll et commentaires de 2008 à 2013), Genma qui l’interviewe, seboss666, Le Hollandais Volant, embruns.net et une quinzaine d’autres.

Communautés. LinuxFr.org est, après Shaarli, le domaine le plus dense — de 2008 à 2024, sur tous les registres du site, jusqu’à une dépêche de la rédaction l’incluant dans les hommages à Cédric Blancher. Puis le forum Ubuntu-fr, Zeste de Savoir, malekal.com, le Journal du hacker.

Juridique. Village de la Justice publie trois de ses articles — celui-ci compte 21 978 lectures — et justice2012.org une tribune signée.

Conférences et médias non textuels. Le podcast NoLimitSecu, sa conférence à Pas Sage En Seine 2014 — « Vous n’avez vraiment rien à cacher ? », 51 minutes, toujours en ligne sur PeerTube —, la table ronde de La Quadrature du Net sur le chiffrement en 2016, et la radio Cause Commune, qui le nomme comme préfacier de Cyberstructure.

Onze travaux savants distincts citent Zythom, en droit, sociologie, linguistique et ingénierie :

Trois usages épistémiques bien différents s’y distinguent. Paveau ne tire pas un fait du blog : elle l’analyse comme cas du passage du numérique au papier. Ternynck en tire une définition, sans employer le pseudonyme. Chez Moutte, Zythom est une donnée de terrain : un enquêté le nomme, et la thèse mesure sa notoriété au lieu de l’utiliser.

Détail savoureux : le mémoire de Biskra lit le sous-titre L’Affaire Zythom comme un prénom. L’appareil bibliographique académique traite mal les pseudonymes.

Et deux de ces travaux sont algériens. La réception n’est pas française : elle est francophone au sens plein.

Les individus du même métier, eux, le citent abondamment. Un support de cours de 506 pages de l’université Toulouse 1 Capitole achève sa dernière page par une « urlographie » de huit références, où le blog figure entre NoLimitSecu et Krebs on Security. Un document de formation en investigation numérique recommande « l’excellent blog de Zythom ». Le dépôt GitHub zbetcheckin/Security_list, 1 900 étoiles, le référence en section Forensic aux côtés du NIST et du SANS.

Le canal dominant est un logiciel de partage de liens. On s’attend à trouver la presse tech en tête. C’est faux.

Le canal le plus volumineux, et de très loin, est Shaarli — un logiciel libre français que chacun héberge sur son propre serveur pour partager des liens. Chaque instance est un site distinct. Huit d’entre elles, interrogées une par une, totalisent 76 citations vérifiées entre novembre 2011 et août 2025 :

À elles seules, ces huit instances dépassent toutes les autres catégories réunies — presse, travaux universitaires, forums, librairies.

Cette recherche OSINT m’a beaucoup surpris car je n’avais jamais vraiment mesuré la diffusion du blog. Je remercie toutes ces personnes, et en particulier Maître Eolas, Stéphane Bortzmeyer, Maître Mô, Cédric "Sid" Blancher et Sebsauvage.

Bien sûr, il n’y a pas eu que des bons moments associés à ce blog durant ces 20 années : le blog a été contesté, le blog a été saccagé par un pirate anonyme et lâche, j’ai été convoqué par une magistrate de ma cour d’appel qui enquêtait sur moi, je suis passé devant la commission disciplinaire de ma compagnie d’experts judiciaires, j’ai été sommé par le procureur de la République de ma cour d’appel de "romancer" mes billets.

Tous ces événements m’ont fortement marqué et blessé… Mais ils m’ont permis aussi d’avoir des sujets de billets sur mon blog ;-)

Je croise encore aujourd’hui des personnes qui me disent avoir été marquées par la lecture de certains de mes billets, parfois jusqu’à influencer leurs choix de métier et leur carrière professionnelle. C’est une grande fierté pour moi et cela efface tous les tourments générés par de petites personnes.

Ai-je tout écrit sur ce blog ? Bien sûr que non. J’ai soigneusement et respectueusement tu des anecdotes peu glorieuses, comme celle sur cette compagnie nationale regroupant des informaticiens si intelligents qu’au virage du 21e siècle elle en avait perdu son nom de domaine par oubli de le renouveler, c’est ballot. Ou celle sur ce scellé judiciaire perdu (ah si j’en ai parlé sur le blog).

Enfin, je glisse dans ce billet anniversaire des 20 ans du blog une pensée pour mon étudiant "Stéphane" qui avait à peu près cet âge (et moi pas beaucoup plus) quand il a décidé de quitter cette terre : bon anniversaire aussi à toi Stéphane, tu auras toujours 20 ans. Le titre du billet d’aujourd’hui est pour toi.

Quand on aime, on a toujours 20 ans.

Merci aussi à toi lecteur.

A 63 ans, je suis devenu un vieux con comme ceux que j’ai troublés pendant 20 ans en tenant ce blog. Il est temps de tuer Zythom et de me tourner vers autre chose. Avec la montée du fascisme, j’ai quelques idées et elles sont particulièrement incompatibles avec la tenue d’un blog.

Après les feux de la rampe, l’armée des ombres.

Parmi les rares abonnements payants auxquels j’ai souscrits, celui de Next INpact arrive loin devant : c’est pour moi une revue tenue par des journalistes spécialisés de très haut niveau et particulièrement compétents. C’est aussi la seule revue dont je lis les commentaires publiés sous les articles, car les abonnés partagent une passion commune, celle de l’informatique.

Si j’écris ce billet, c’est parce qu’après 23 années d’existence, la revue risque de disparaître, et que j’ai la chance de pouvoir atteindre quelques milliers d’internautes à travers ce blog, non seulement pour vous encourager à vous abonner à cette revue qui ne vous imposera aucune publicité, mais surtout pour aller voir les financiers de votre entreprise et leur parler de mécénat et défiscalisation :

Nous pouvons être sauvés grâce au soutien des acteurs du numérique, à l’aide de mécénats défiscalisables – le mécénat d’entreprises ouvrant droit à une réduction d’impôt égale à 60 % du montant du don (IR ou IS) dans la limite de 0,5 % du chiffre d’affaires ou 20 000 euros maximum en cas de dépassement de cette limite.
Je reste convaincu que certains souhaiteraient que nous poursuivions notre aventure aussi longtemps que possible. Une fois que la société INpact mediagroup sera fermée, il ne sera plus possible de revenir en arrière. Si vous souhaitez nous aider, c’est maintenant ou jamais.

Si vous connaissez Bernard Arnaud (ou son conseiller fiscal), ou si vous travaillez dans une entreprise du numérique capable de comprendre les enjeux autour de cette formidable équipe, ne tardez pas.

Je vous souhaite à tous une bonne et heureuse année 2019. J’espère qu’elle vous sera agréable pour vous et vos proches.

De mon côté, je vais tout faire pour remonter la pente et reprendre une vie recentrée sur les choses importantes. Je pose ici une vidéo qui illustre bien cet état d’esprit :

[Vidéo YouTube supprimée par sa source depuis la publication de ce billet. Page d’origine archivée sur la Wayback Machine.]

La suite de la série « 25 ans dans une startup » va reprendre après 3 mois d’interruption, mais à un rythme plus lent (un billet par semaine), toujours dans l’esprit de l’exercice d’écriture dont je parlais dans l’introduction. Je vais aussi intercaler d’autres billets sans rapport avec la série, mais plus près de ce que je fais dans le temps présent.

Comme je le disais dans le billet précédent, 2019 est pour moi une année de grands changements. Le blog va également changer
d’orientation. J’en parlerai dans l’épilogue de la série des « 25 ans dans une startup ». Merci pour votre patience.

2019, c’est aussi un nombre qui a la propriété suivante : quand on l’écrit en binaire et qu’on compte de droite à gauche les nombres de bits identiques, le comptage est une suite strictement croissante :

11111100011 -> 2,3,6

La dernière fois, c’était avec 2017 (1,4,6) et la prochaine fois, ce sera avec 2032 (4,7).

De rien (source).

Zythom

J’ai légèrement modifié les mentions légales du blog et procédé à une analyse des informations que je collecte sur ce blog.

En effet, je suis le responsable du traitement des données personnelles collectées ici, et en tant que tel, je m’engage à respecter le
cadre des dispositions légales en vigueur (et c’est bien normal).

Je suis un simple blogueur, qui tient un journal extime pour son plaisir, éventuellement pour celui de ses lecteurs, et, en particulier, je ne cherche pas à commercialiser vos
données personnelles qui sont uniquement utilisées à des fins
statistiques et d’analyses.

J’utilise Google Analytics pour établir les statistiques de consultation
de ce blog, en plus des outils intégrés à la plateforme Blogger. Les options de monétisation du blog ne sont pas activées,
et je recommande à tous les internautes d’installer un bloqueur de
publicités (par exemple uBlock Origin), même si je crois qu’il n’y en a pas trop qui s’affichent par ici.

Par ailleurs, depuis septembre 2012, j’utilise les services de Feedburner pour proposer aux internautes qui le souhaitent, l’envoi par email des billets de ce blog. Je trouve cela pratique et il y a plus d’une centaine de personnes qui ont fait ce choix.

Mais cela me pose un problème : il s’agit d’une collecte de données personnelles. Or, en tant que délégué à la protection des données de ce blog, je m’engage à prendre toutes les précautions nécessaires afin de préserver
la sécurité des informations et notamment qu’elles ne soient pas
communiquées à des personnes non autorisées.

Malheureusement, je ne souhaite pas endosser cette responsabilité, dans la mesure où je ne vais pas pouvoir surveiller les conditions d’utilisation de vos données personnelles par Feedburner, ni leurs évolutions. J’ai également déjà fait l’objet d’un piratage ciblé de ce blog (lire ce billet) dont j’assume parfaitement les conséquences pour moi-même, mais pas pour les autres.

J’ai donc décidé de supprimer ce widget et de résilier les abonnements aux envois par email des billets du blog pris volontairement par la centaine d’internautes qui avaient souhaité profiter de cette facilité. Une fois que ce billet sera dans leur boite aux lettres, je supprimerai définitivement toutes les données personnelles que j’ai en ma possession (ie leurs emails). Je leur présente mes excuses les plus sincères pour l’arrêt de cette fonctionnalité. Je leur recommande l’utilisation d’un agrégateur de flux RSS et de s’abonner au blog par ce biais.

Il me restera ensuite à franchir le dernier pas, celui de l’auto-hébergement, pour essayer de me sortir de la googlisation de mon environnement de blogueur fainéant. Pour cela, j’attends avec impatience d’être relié à la fibre, ce qui est normalement prévu dans les mois qui viennent. Je mettrai alors en place un serveur web chez moi, avec toute l’administration informatique qui va avec… J’en profiterai aussi pour héberger enfin un nœud Tor un peu plus sérieux que celui que je fais tourner aujourd’hui.

Attendez-vous à quelques changements sur ce blog, qui reste pour moi un lieu d’expression formidable, mais qui est aussi un champ d’expérimentation technique. Je suis en train de tester Cloudflare, WordPress, et d’autres joyeusetés.

Mais si vous connaissez un hébergeur européen qui accepterait de prendre en charge gratuitement mon blog, complètement et sans publicité, je suis preneur !

A bientôt 😉

Et bien voilà, cela fait dix ans que ce blog est ouvert.

Il y a dix ans, mes trois enfants avaient 4 ans, 8 ans et 12 ans, chacun muni de leur ordinateur, et l’aînée me demandait si elle pouvait ouvrir un blog… J’en avais entendu parler, je suivais déjà quelques blogs qui m’intéressaient, alors j’ai dis oui (avec des conditions). Puis, j’ai ouvert ce blog.

Il me fallait un pseudo, alors j’ai pris le dernier mot de mon dictionnaire papier de l’époque, et je me suis trompé dans sa transcription. J’ai écrit « Zythom » au lieu de « Zythum« . Je n’ai jamais corrigé (je me suis rendu compte de l’erreur plusieurs années après !) et ce pseudonyme est resté.

J’avais une vision très « chercheur » de l’univers d’internet que j’ai connu pendant mes années de thèse à Paris à la fin des années 1980. C’était un gigantesque lieu de partage de fichiers, d’idées, de programmes, de codes, d’articles scientifiques, de jeux, de discussions… entre chercheurs. Mais j’étais plutôt content de l’arrivée des entreprises privées dans MON réseau réservé à la recherche, entreprises dont le but était de proposer à tout le monde un accès à ce réseau numérique mondial. Vous connaissez la suite et le résultat magnifique qu’est internet. Parmi toutes les révolutions qui ont été permises par internet, j’ai finalement accroché à celle des sites consacrés aux carnets personnels, que l’on a appelé des weblogs, puis par aphérèse, des blogs.

Fainéant par nature, j’ai cherché une plate-forme proposant un système clef en main, gratuit et si possible stable dans le temps. J’ai choisi Blogger et je n’ai pour l’instant jamais regretté ce choix.

Enthousiasmé par le concept, j’ai publié à un rythme d’environ 10 à 20 billets par mois la première année, pour progressivement diminuer au fil des années à 4 ou 5 billets par mois. Je supprime régulièrement des billets devenus inutiles mais le volume global continue de monter inexorablement et atteint aujourd’hui environ 900 billets.

Vous le savez, je publie sur ce blog plusieurs types de billets :

– des retours d’expériences sur ma modeste participation au monde particulier des experts judiciaires. Ces billets sont regroupés dans la catégorie « Expert » qui regroupe des remarques, des anecdotes (romancées), des partages ou des états d’âme que j’éprouve au fil du temps ;

– des histoires personnelles, parce que j’aime beaucoup parler de moi (et que mes proches saturent un peu, d’où mon refuge dans l’écriture…), que je regroupe dans la rubrique « Privée« . Vous êtes un peu mes thérapeutes 😉

– des partages d’expériences issues de mon travail de responsable informatique et technique dans une grande école d’ingénieurs (rubrique « Professionnel« ) ;

– et enfin des retours (discrets) sur mon activité de conseiller municipal (rubrique « Vie publique« ).

Ce blog a eu des impacts très importants sur ma vie. Il m’a permis de réfléchir sur moi-même, sur mes comportements, sur mon mode de pensée. Il m’a forcé à remettre en cause beaucoup de choses. Lire les commentaires, les réactions des lecteurs m’a obligé à me confronter à d’autres visions, d’autres avis, d’autres sensibilités. Les échanges lors des conférences ont aussi été très enrichissants.

Écrire a également été une thérapie pour des moments sombres de ma vie, en particulier lors de certaines expertises judiciaires sordides. Je pense vraiment que cela m’a permis de franchir ces étapes sans dommage. Écrire est également un plaisir, un jeu, et l’exploration d’un nouvel univers.

Tenir un blog, c’est aussi s’exposer publiquement. J’ai payé durement cette exposition plusieurs fois, en particulier lors du procès intenté par un confrère expert judiciaire (lire les billets de l’affaire Zythom) et lors du piratage du blog par un pseudo confrère haineux. Mais en faisant le bilan, j’ai connu beaucoup, beaucoup de bonheur à tenir ce blog. Tout d’abord, cela m’a permis de rencontrer beaucoup de personnes très bien (connues et inconnues), même si ma vie sociale est un peu particulière. Tous ces échanges m’ont fait grandir, sur un grand nombre de sujets, comme par exemple sur le sexisme.

10 années ont passé, une bonne tranche de vie.

Mes enfants ont maintenant 14, 18 et 22 ans.

Et moi 53 ans. Seule mon épouse a toujours 20 ans.

Parfois je me demande s’il n’est pas temps d’arrêter et de partir sur la pointe des pieds. Ai-je encore quelque chose à dire ? Mais je reçois encore des emails d’encouragements, ou des emails d’enseignants qui m’indiquent utiliser certains billets pour les faire lire à leurs élèves (« Manon 13 ans » a semble-t-il un certain succès). Cela me fait plaisir et je me sens un peu utile.

Alors je maintiens ouvert mon petit bout d’internet, je continue à partager ce que je fais, et à donner mon avis sans me préoccuper des rageux.

Merci pour tous les petits mots d’encouragement que vous avez pu m’adresser tout au long de ces années.

A bientôt.

Cliquez pour agrandir l’image

J’ai été contacté par l’étudiant journaliste Olivier Levrault qui souhaitait une interview pour son article de la Tribune du Palais de mars 2016 de l’École de Journalisme de Toulouse. Je publie ici, avec son aimable autorisation, la version complète de l’interview.

Olivier
Levrault : Tout d’abord, pouvez-vous expliquer rapidement votre
rôle dans une enquête en tant qu’informaticien expert judiciaire ?

Zythom : Chaque
enquête est effectuée sous la direction d’un magistrat (du moins en
temps normal, c’est-à-dire hors état d’urgence). S’il l’estime
nécessaire, ce magistrat peut demander un avis technique à une
personne qu’il va choisir sur une liste d’experts pré-sélectionnés.
Les personnes inscrites sur cette liste portent le titre d’expert
judiciaire. Le magistrat va alors lui donner des missions et poser
des questions précises auxquelles l’expert judiciaire répondra dans
un rapport dans lequel il donne son avis « en son honneur et en
sa conscience » (c’est le serment de l’expert judiciaire). En
dehors de ces missions pour la Justice, je reste un citoyen comme les
autres, avec un métier, une conscience politique et une liberté
d’expression. Ce qui me permet de répondre à vos questions.

Olivier
Levrault : Entrons dans le vif du sujet.
L’Assemblée
nationale a voté, début mars, un amendement visant à condamner les
constructeurs de smartphones qui refuseraient de coopérer avec la
justice dans les enquêtes terroristes. Trouvez-vous cet amendement
fondé ?

Zythom : Je
suppose que vous parlez de l’amendement n°90 (rect) porté par M.
Goujon etc. et que l’on peut trouver ici :
https://www.assemblee-nationale.fr/14/amendements/3515/AN/90.asp
De quoi parle-t-on ?
Cet amendement modifie trois articles du code de procédure pénale
de la manière suivante (j’ai mis les modifications en gras) :

• Article 60-1 du code de procédure pénale :

Le procureur de la République ou
l’officier de police judiciaire peut, par tout moyen, requérir de
toute personne, de tout établissement ou organisme privé ou public
ou de toute administration publique qui sont susceptibles de détenir
des informations intéressant l’enquête, y compris celles issues
d’un système informatique ou d’un traitement de données
nominatives, de lui remettre ces informations, notamment sous forme
numérique, sans que puisse lui être opposée, sans motif légitime,
l’obligation au secret professionnel. Lorsque les réquisitions
concernent des personnes mentionnées aux articles
56-1 à 56-3, la remise des informations ne peut intervenir
qu’avec leur accord.

A l’exception des personnes
mentionnées aux articles 56-1 à 56-3, le fait de s’abstenir de
répondre dans les meilleurs délais à cette réquisition est puni
d’une amende de 3 750 euros. Cette peine est portée à deux ans
d’emprisonnement et 15 000 € d’amende lorsque la réquisition
est effectuée dans le cadre d’une enquête portant sur des crimes
ou délits terroristes définis au chapitre 1er du titre II du livre
IV du code pénal.

A peine de nullité, ne peuvent être
versés au dossier les éléments obtenus par une réquisition prise
en violation de l’article
2 de la loi du 29 juillet 1881 sur la liberté de la presse.

• Article 60-2
  du code de procédure pénale

Sur demande de l’officier de police judiciaire, intervenant par voie
télématique ou informatique, les organismes publics ou les
personnes morales de droit privé, à l’exception de ceux visés au
deuxième alinéa du 3° du II de l’article 8 et au 2° de l’article
67 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,
aux fichiers et aux libertés, mettent à sa disposition les
informations utiles à la manifestation de la vérité, à
l’exception de celles protégées par un secret prévu par la loi,
contenues dans le ou les systèmes informatiques ou traitements de
données nominatives qu’ils administrent.

L’officier de police judiciaire, intervenant sur réquisition du
procureur de la République préalablement autorisé par ordonnance
du juge des libertés et de la détention, peut requérir des
opérateurs de télécommunications, et notamment de ceux mentionnés
au 1 du I de l’article 6 de la loi 2004-575 du 21 juin 2004 pour la
confiance dans l’économie numérique, de prendre, sans délai,
toutes mesures propres à assurer la préservation, pour une durée
ne pouvant excéder un an, du contenu des informations consultées
par les personnes utilisatrices des services fournis par les
opérateurs.

Les organismes ou personnes visés au présent article mettent à
disposition les informations requises par voie télématique ou
informatique dans les meilleurs délais.

Le fait de refuser de répondre sans motif
légitime à ces réquisitions est puni d’une amende de 3 750 euros. Cette peine
est portée à deux ans d’emprisonnement et 15 000 €
d’amende lorsque les réquisitions sont effectuées dans le cadre
d’une enquête portant sur des crimes ou délits terroristes
définis au chapitre 1er du titre II du livre IV du code pénal. 

Le fait, pour un organisme privé, de refuser de communiquer à
l’autorité judiciaire requérante enquêtant sur des crimes ou
délits terroristes définis au chapitre Ier du titre II du livre IV
du code pénal des données protégées par un moyen de cryptologie
dont il est le constructeur, est puni de cinq ans d’emprisonnement
et 350 000 € d’amende.

Un décret en Conseil d’État, pris après avis de la Commission
nationale de l’informatique et des libertés, détermine les
catégories d’organismes visés au premier alinéa ainsi que les
modalités d’interrogation, de transmission et de traitement des
informations requises.

• Article 230-1
  du code de procédure pénale

Sans préjudice des dispositions des
articles 60, 77-1
et 156,
lorsqu’il apparaît que des données saisies ou obtenues au cours de
l’enquête ou de l’instruction ont fait l’objet d’opérations de
transformation empêchant d’accéder aux informations en clair
qu’elles contiennent ou de les comprendre, ou que ces données sont
protégées par un mécanisme d’authentification, le procureur de la
République, la juridiction d’instruction, l’officier de police
judiciaire, sur autorisation du procureur de la République ou du
juge d’instruction, ou la juridiction de jugement saisie de l’affaire
peut désigner toute personne physique ou morale qualifiée, en vue
d’effectuer les opérations techniques permettant d’obtenir l’accès
à ces informations, leur version en clair ainsi que, dans le cas où
un moyen de cryptologie a été utilisé, la convention secrète de
déchiffrement, si cela apparaît nécessaire.

Si la personne ainsi désignée est
une personne morale, son représentant légal soumet à l’agrément
du procureur de la République, de l’officier de police judiciaire ou
de la juridiction saisie de l’affaire le nom de la ou des personnes
physiques qui, au sein de celle-ci et en son nom, effectueront les
opérations techniques mentionnées au premier alinéa. Sauf si elles
sont inscrites sur une liste prévue à l’article
157, les personnes ainsi désignées prêtent, par écrit, le
serment prévu au deuxième alinéa de l’article
60 et à l’article
160.

Si la peine encourue est égale ou
supérieure à deux ans d’emprisonnement et que les nécessités de
l’enquête ou de l’instruction l’exigent, le procureur de la
République, la juridiction d’instruction, l’officier de police
judiciaire, sur autorisation du procureur de la République ou du
juge d’instruction, ou la juridiction de jugement saisie de l’affaire
peut prescrire le recours aux moyens de l’État soumis au secret de la
défense nationale selon les formes prévues au présent chapitre.

Le fait, pour un organisme privé, de refuser de communiquer à
l’autorité judiciaire requérante enquêtant sur des crimes ou
délits terroristes définis au chapitre 1er du titre II du livre IV
du code pénal des données protégées par un moyen de cryptologie
dont il est le constructeur, est puni de cinq ans d’emprisonnement
et 350 000 € d’amende.

Pour répondre à
votre question (« Trouvez-vous cet amendement fondé ? »),
je trouve que ce durcissement de notre législation correspond plutôt
à un effet d’annonce permettant de montrer que certains députés
suivent avec intérêt le débat américain qui oppose Apple et le
FBI, mais à mon avis, ils se trompent de cible et surtout ils
montrent encore une fois une incompréhension des concepts techniques
mis en jeu. En effet, Apple souhaite mettre en place un système de
chiffrement où elle-même n’aurait aucun moyen de pouvoir déchiffrer
les données, afin de protéger ses utilisateurs de la curiosité
étatique. Apple ne pourra pas techniquement fournir à l’autorité
judiciaire les données en clair, et ne pourra pas être condamnée
pour cela (sauf à rendre le chiffrement illégal).

Olivier
Levrault : Le phénomène de chiffrement des données lors
d’enquêtes criminelles et/ou terroristes est-il important ?

Zythom : Depuis
les révélations d’Edward Snowden, beaucoup de gens commencent à
chiffrer leurs données (à commencer par les journalistes), ce qui
gêne les grandes oreilles de l’État. Le phénomène va évidemment
augmenter, et rendre moins aisée la surveillance généralisée.

Olivier
Levrault : À quel point le chiffrement d’un smartphone
freine-t-il l’enquête ?

Zythom : Cela
va dépendre du rôle du smartphone dans l’enquête. Si la seule
preuve dont vous disposez se trouve chiffrée dans le smartphone (ou
dans l’ordinateur), votre enquête est définitivement bloquée.
Heureusement, l’activité criminelle se limite rarement au simple
usage d’un smartphone, fut-il chiffré. Une enquête s’appuie sur
beaucoup d’éléments plus classiques comme des filatures, des
fadettes, des éléments financiers, etc. Je n’ai jamais rencontré
de dossiers reposant sur un seul élément technologique même si je
ne nie pas qu’il soit possible que cela arrive. Faut-il pour autant
interdire le chiffrement à tous ? Faut-il demander à tous les
citoyens de vivre dans des maisons de verre pour pouvoir faciliter la
surveillance des faits et gestes de tout le monde, pour détecter les
comportements suspects ?

Olivier
Levrault : Le FBI vient d’annoncer qu’ils n’avaient plus besoin
d’Apple pour déchiffrer les données du smartphone appartenant à
l’auteur de la tuerie. Comment est-ce possible ? Aucun téléphone
n’est donc inviolable ?

Zythom : Je ne
peux pas prétendre connaître le procédé proposé au FBI par une
tierce entreprise, alors même qu’Apple ne le connaît pas. Ce qui
semble probable, c’est qu’une entreprise spécialisée dans la
recherche de failles de sécurité a (peut-être) trouvé une faille
à exploiter pour passer outre le système de blocage d’Apple (qui
efface définitivement les données après 10 tentatives
infructueuses) ce qui pourrait permettre une attaque par force brute
qui est assez facile et rapide sur un code de quelques chiffres.
N’oubliez pas qu’au stade des informations disponibles, certains font
même l’hypothèse que le FBI fait simplement marche arrière pour
éviter une décision de justice qui lui serait défavorable.

Olivier
Levrault : Le fait de donner au gouvernement la clé pour
accéder au contenu d’un téléphone lors d’une enquête terroriste
fragilise-t-il la sécurité de l’ensemble des smartphones ?

Zythom : Oui.
Imaginez un fabricant de serrures (coffres forts, portes de maisons,
etc.) qui serait obligé de créer une clé permettant d’ouvrir
toutes les serrures qu’il fabrique. Vous comprenez bien que cette
fameuse clé devrait être protégé de la manière la plus extrême.
Car il suffirait qu’une seule personne fasse discrètement une copie
de cette clé pour que la sécurité des serrures soit définitivement
compromise. Et si vous ne pouvez pas assurer vous-même la protection
de cette clé, par exemple parce que l’État vous impose de lui en
confier une copie, cela revient à confier toute la sécurité de vos
clients à l’État. C’est ce qui a amené Ladar Levison à fermer
son service Lavabit plutôt que de donner l’accès aux messages
d’Edward Snowden comme la loi américaine le lui obligeait. Le
suicide commercial plutôt que la trahison de ses clients…

Olivier
Levrault : Est-ce que cela créé les fameuses portes dérobées ?
Si oui, quel est le risque ?

Zythom :
Lorsque vous proposez à vos clients un système protégeant votre
vie privée, mais que vous mettez en place d’un accès réservé,
c’est ce que l’on appelle une porte dérobée. On parle également de
cheval de Troie. Le risque est l’utilisation de cette porte dérobée
de manière abusive, soit par l’État, soit par un criminel. Vous
pensez être seul dans l’intimité de votre chambre, alors qu’en fait
un œilleton permet de vous observer, de vous photographier, de vous
filmer, etc. Allez-vous accepter cela parce qu’on vous affirme que
vous serez plus en sécurité ?

Olivier
Levrault : Quelle conséquence pour la population dans son
ensemble ? La protection des données personnelles ne
risque-t-elle pas d’en prendre un coup ?

Zythom : Les
défenseurs de la vie privée tirent la sonnette d’alarme depuis
longtemps (CNIL, Quadrature du Net, etc.). L’État calme le jeu en
prétendant exclure certaines professions de son radar : les
avocats, les politiques et les journalistes. Pour le reste, circulez,
nous nous occupons de votre sécurité, pour votre bien. Le discours
est de dire que de toutes manières, une grande partie de la
population a déjà offert une partie de ses données
personnelles aux GAFAM (Google, Apple, Facebook, Amazon et Microsoft)
en échange de services gratuits et de publicités ciblées. Nous
parlons ici de l’abandon à la demande de l’État par le grand
public de l’ensemble
de ses données personnelles, ce qui est très différent.
Personnellement, j’accepte de donner certaines de mes données
privées à Google. J’accepte aussi de dévoiler beaucoup d’éléments
de ma vie sur mon blog personnel. C’est ma liberté. Pour autant, je
chiffre certains messages, j’utilise parfois un VPN, je protège
certaines parties de ma vie privée. Parce que j’ai une réticence à
tout montrer. Je refuse de faire installer une caméra dans ma
chambre à coucher.

Olivier
Levrault : Alors que les constructeurs se posent en défenseur
des utilisateurs (pour redorer leur image depuis l’affaire Snowden),
les données personnelles continuent d’être commercialisées. Les
constructeurs de smartphones ne jouent-ils pas à un double jeu ?

Zythom : Il est
relativement fascinant de constater qu’aujourd’hui le combat de la
protection de nos données personnelles soit mené par une
multinationale, contre la curiosité des États. Surtout que je suis
assez âgé pour avoir connu la création de la CNIL (j’avais 15 ans
en 1978) après les débats autour du projet SAFARI. Les
constructeurs jouent double jeu, mais au moins, le consommateur peut
décider d’arrêter d’acheter tel ou tel produit. Il a un certain
pouvoir. Apple peut se ringardiser en quelques années et
disparaître. Qu’en est-il du poids de la voix du citoyen dans le
processus démocratique d’aujourd’hui ? Dans quel état sont les
contre-pouvoirs traditionnels, tels que la justice et les médias ?

Olivier
Levrault : Au final, dans ce débat 2.0 liberté vs sécurité,
pensez-vous que le citoyen est perdant ? Cet épisode ne
risque-t-il pas de limiter encore davantage la vie privée des
citoyens ?

Zythom : Je
vois se mettre en place deux catégories de citoyens : ceux qui
sauront protéger une partie de leur vie privée et les autres. Et
dans chacune de ces deux catégories, vous trouverez toutes les
couches de la population : des riches, des pauvres, des
criminels, des terroristes, des activistes, des journalistes, des
avocats, des informaticiens, des politiques, etc. A chaque fois que
nos libertés seront réduites, avec toujours les mêmes faux
prétextes (lutte contre le terrorisme, contre la pédophilie, contre
le grand banditisme, etc.), vous pouvez être sûr que le citoyen
sera perdant. Mais tant qu’il ne s’en rend pas compte… Le grand
changement d’aujourd’hui est le monde hyperconnecté dans lequel
baigne une partie des citoyens : l’information circule très
vite. J’ai l’espoir que si le bon côté de la Force l’emporte, une
intelligence collective positive émergera de cette hyperconnection
(attention, je ne parle pas d’IA). Le partage des connaissances peut
aboutir à une meilleure information de chaque citoyen, et par là
même à un meilleur contrôle sur nos représentants. Si le côté
obscur l’emporte (il suffit de lire les commentaires haineux postés
sous certains articles de journaux en ligne), alors notre
comportement moutonnier sera exacerbé pour la plus grande joie des
bergers et des loups. L’avenir est entre nos mains, et comme je suis
optimiste, je suis persuadé que l’âge d’or est devant nous.

Merci à vous pour
cet échange.

Quand j’ai vu que la HADOPI continuait son travail de traque au profit des ayants-trop-de-droits,

Quand j’ai vu que la France refusait d’accueillir Édouard Snowden et de le protéger,

Quand j’ai vu la frayeur de nos dirigeants devant l’arrivée des réfugiés irakiens, libyens ou syriens, poussés par des guerres auxquelles nous avons largement contribué,

Quand j’ai vu le budget de la justice rester anémique,

Quand j’ai vu le cumul des mandats perdurer, y compris chez les ministres,

Quand j’ai vu les seuls médias indépendants poursuivis par le fisc,

Quand j’ai vu des lois de plus en plus liberticides être votées, un état d’urgence permanent se mettre en place,

Je me suis recroquevillé sur moi-même, incrédule.

Moi qui rêvais d’une France accueillante, montrant l’exemple, où le partage non marchand de la culture ferait la joie des cours de récréation, où les lanceurs d’alertes pourraient trouver refuge, où les réfugiés pourraient créer de la richesse et de l’emploi, où la justice pourrait faire son travail, où les cumulards seraient montrés du doigt, où la Liberté serait défendue avec des décisions politiques historiques (« A la terreur, nous répondrons par plus de démocratie »)…

Je me suis dit, devant mon écran d’ordinateur, du fond de ma petite vie pénarde : MAIS PUTAIN Y VA BOUGER SON GROS CUL CE CON !

Je
ne sais plus si je pensais à moi-même, au Président de la République,
au Premier Ministre, ou au contraire au caporal encore sournoisement caché
dans une caserne. 

Je suis désespéré par ce ratage historique.

Que vais-je dire à mes enfants ?

Je parle assez peu sur ce blog de mon activité de conseiller municipal. Pourtant, ce qu’elle me permet de découvrir ne lasse pas de me surprendre, tant du point de vue humain que du point de vue technique.

Aujourd’hui, en préparant le prochain conseil municipal, j’ai découvert la notion de populations légales. Je vous propose, sans rire, de devenir expert en calcul de populations légales.

Qu’est-ce que cela peut bien être que cette notion et à quoi sert-elle ?

Je ne suis pas juriste, mais j’ai cru comprendre que le nombre d’habitants d’une commune a son importance dans un grand nombre de domaines, comme par exemple la détermination de l’assiette de certains impôts, ou l’organisation des listes électorales.

Et naïvement, je pensais que le nombre d’habitants d’une commune, et bien c’est le nombre de personnes qui habitent la commune. FAUX.

Le terme générique de « populations légales » regroupe pour chaque commune :

1) sa population municipale

2) sa population comptée à part

3) sa population totale, qui est la somme des deux précédentes.

(j’aime bien ce genre de présentation 😉

C’est comme en algorithmique : nous avons décomposé le problème en sous-problèmes supposés plus simples à résoudre : la population totale d’une commune est la somme de sa population municipale et de sa population comptée à part.

Bien.

Accrochez vous.

La population municipale :

Voyons maintenant comment se compte la population municipale.

La population municipale est la somme de 4 catégories de personnes :

1) Celles ayant leur résidence habituelle sur la commune

2) Celles détenues dans les prisons situées sur la commune

3) Celles sans abri recensées sur la commune

4) Celles résidant habituellement dans des habitations mobiles, recensées sur la commune.

Attention, il y a un piège : la « résidence habituelle » indiquée au point n°1 est à préciser ainsi :

a) si la personne est mineure et réside ailleurs du fait de ses études, la résidence habituelle est la résidence de sa famille.

b) si la personne réside dans l’une des communautés suivantes : établissement de santé, maison de retraite, foyer social ou assimilé, communauté religieuse, caserne, quartier, base ou camp militaire, la résidence habituelle est la communauté.

c) si la personne est majeure et réside dans une communauté appartenant à la catégorie « établissement hébergeant des élèves ou des étudiants », la résidence habituelle est la communauté.

d) si la personne est majeure MAIS que du fait de ses études elle réside hors de la résidence familiale ET hors communauté, la résidence habituelle est son logement.

e) si la personne est mariée (ou en concubinage ou PACSé) et réside pour des raisons professionnelles hors de la résidence familiale ET hors communauté, la résidence habituelle est sa résidence familiale.

f) si la personne ne se trouve dans aucun des cas précédent, la résidence habituelle est la résidence dans laquelle elle réside le plus souvent.

Vous l’avez remarqué, dans les cas a) et e) la résidence habituelle n’est pas celle où la personne réside le plus souvent…

Attention, il y a encore un piège : dans le cas a), les élèves internes mineurs recensés dans un établissement scolaire sont comptés dans la population municipale de la commune de leur résidence familiale ET dans la population comptée à part (voir plus loin) de la commune de leur établissement scolaire. Ils seront donc comptés DEUX fois…

J’adore.

Je prends un cachet d’aspirine, naïf que j’étais à vouloir compter les gens de ma commune…

L’INSEE m’explique que la population des ménages est calculée en ramenant les résultats de la collecte en 2013. Il est bien écrit « en 2013 », pas « de 2013 ». Pour ramener les résultats de la collecte « en 2013 », on utilise la tendance observée sur la commune entre la dernière population légale au 1er janvier 2012 et l’enquête de recensement de 2014.

Et, je ne plaisante pas, le paragraphe se termine par : « et on ajoute ensuite la population recensée dans les hôtels ».

Concernant la population des habitations mobiles terrestres (pourquoi « terrestres », vous allez le comprendre au paragraphe qui suit) et les personnes sans abri, le chiffre est maintenu constant entre deux enquêtes de recensement, pendant cinq ans (pour les communes de moins de 10 000 habitants, le recensement se fait tous les cinq ans).

Enfin, ne pas oublier de prendre en compte les mariniers et les personnes vivant sur les bateaux de ces derniers (qui ont, eux, été recensés en 2011) : ils sont comptabilisés dans la commune dans laquelle ils ont déclaré avoir une résidence.

La population comptée à part :

La population comptée à part de la commune comprend les personnes recensées sur d’autres communes et qui ont conservé une résidence sur la commune.

Pour être plus clair, elle comprend :

1) Les personnes se trouvant dans la situation décrite au a), qui résident du fait de leurs études sur le territoire de la commune et qui ont leur résidence habituelle située dans une autre commune.

2) Les personnes se trouvant dans la situation décrite au b), dont la résidence familiale est située sur le territoire de la commune et qui ont leur résidence habituelle située dans une autre commune.

3) Les personnes majeures âgées de moins de 25 ans qui se trouvent dans la situation décrite au c), dont la résidence familiale se trouve sur le territoire de la commune et qui ont leur résidence habituelle située dans une autre commune.

4) Les personnes majeures âgées de moins de 25 ans qui se trouvent dans la situation décrite au d), dont la résidence de la famille se trouve sur le territoire de la commune et qui ont leur résidence habituelle située dans une autre commune.

5) Les personnes sans domicile fixe rattachées à la commune et non recensées sur le territoire de la commune.

Pour ce dernier point, il semble qu’il soit fait usage des listes des préfectures.

Calcul de la population totale de ma commune :

Si vous êtes encore avec moi, voici ce que tout cela donne dans ma commune :

En 2014, le recensement (qui se fait une fois tous les cinq ans car ma commune a moins de 10 000 habitants) nous dit :

– ménages : 5412

– communautés : 380

– sans abri ou résidant dans une habitation mobile terrestre : 9

Total = 5801

Population municipale ramenée au 1er janvier 2013 :

– ménages : 5282 (normal, la population de la commune augmente)

– communautés : 380

– sans abri ou résidant dans une habitation mobile terrestre : 9

– mariniers : 0 (pas de cours d’eau à l’horizon)

Total = 5671

Population comptée à part au 1er janvier 2013 : 142

Population totale au 1er janvier 2013

(chiffre qui sera pris en compte à partir du 1er janvier 2016) :

5671 + 142 =

5813

Le premier qui me dit en conseil municipal que nous sommes 6000, je lui explique gentiment : NON, NOUS SOMMES 5813, RESPECTEZ UN PEU LE TRAVAIL DE CEUX QUI SE DÉCARCASSENT A COMPTER.

Désolé.

Je voudrais adresser tous mes remerciements et encouragements à l’Insee dont la devise est « mesurer pour comprendre ».

Note pour les juristes : ce billet contient toutes les approximations et erreurs habituellement rencontrées chez les novices du droit. Je conjure les étudiants en droit révisant ce type de problème de se référer directement aux textes originaux, et en particulier au décret n°2003-485 du 5 juin 2003 relatif au recensement de la population, publié au Journal Officiel n°132 du 8 juin 2003 et certainement révisé depuis.

Le prochain billet de la rubrique « vie publique » sera consacré à la préparation budgétaire et à ses différentes rubriques. /o

Oyez, oyez, oyez braves gens, le tome 6 de la série « Dans la peau d’un informaticien expert judiciaire » vient de sortir ! Il s’intitule « Yéléna » en référence à la petite fille qui revient souvent dans certaines de mes expertises.

Vous pouvez le commander au format papier chez mon éditeur, et parce que j’aime l’esprit de partage qui règne sur internet, il est également disponible gratuitement sans DRM au format PDF (cliquez sur les liens) :

– Papier (238 pages chez mon éditeur lulu.com)

– Pdf (2967 Ko)

Bien sûr, les tomes précédents sont encore disponibles, en format papier ou électronique sur la page publications.

Avertissements :

Les habitués du blog le savent, mais cela va mieux en l’écrivant : la publication des billets de mon blog, sous la forme de livres, est surtout destinée à ma famille et à mes proches. C’est la raison pour laquelle j’ai choisi la démarche d’une autopublication. J’ai endossé tous les métiers amenant à la publication d’un livre, et croyez moi, ces personnes méritent amplement leurs salaires! Mise en page, corrections, choix des titres, choix des couvertures, choix du format, choix des polices de caractère, marketing, numérisation, etc., sont un aperçu des activités qui amènent à la réalisation d’un livre. Je ne suis pas un professionnel de ces questions, je vous prie donc de m’excuser si le résultat n’est pas à la hauteur de la qualité que vous pouviez attendre. Le fait d’avoir travaillé seul (avec Mme Zythom-mère pour la relecture, merci à elle), explique aussi le faible prix de la version papier pour un livre de 238 pages.

Je me dois également, par honnêteté envers les acheteurs du livre, de dire que les billets en question sont encore en ligne et le resteront. Les billets publiés dans le livre sont identiques, à part l’insertion des liens en clair, la correction des fautes de frappe et la mise en page.

J’espère que ce tome 6 vous plaira. N’hésitez pas à le faire découvrir autour de vous et à le partager.

En tout cas, je vous en souhaite une bonne lecture.

L’interview est un exercice délicat, tant pour le journaliste que pour la personne interrogée. Et, on l’oublie souvent, l’interview est également protégée par le droit d’auteur. En effet, si on la considère comme une œuvre de collaboration, les droits du journaliste sont les mêmes que ceux de la personne interviewée.

C’est donc avec plaisir que j’ai demandé à Amaelle Guiton, journaliste au pôle Futurs du journal Libération, l’autorisation de reproduire ici l’intégralité de l’échange que nous avons eu lors de la préparation de son article paru dans Libération le 13 septembre 2015 : « Cryptographie, la justice cherche la clé« , que je vous invite à lire à titre liminaire. Amaelle m’ayant donné son autorisation (avec la complicité de sa hiérarchie ;-), je vous livre donc l’intégralité de notre échange.

–oOo–

Bonjour Amaelle,

Je reprends vos questions dans l’ordre, mais gardez à l’esprit que je ne suis qu’un petit expert judiciaire de province, et que je ne dispose pas nécessairement de l’estime de mes confrères (et réciproquement). Je parle donc en mon nom propre.

AG: Le procureur de Paris François Molins a cosigné une tribune dans le NY Times pour protester à son tour contre le chiffrement des données sur les smartphones équipés d’iOS et Android. Est-ce que, dans votre activité d’expert judiciaire, vous avez le sentiment que la cryptographie préoccupe de plus en plus la police et la justice? Ce sont des discours que vous entendez ?

C’est un sujet qui préoccupe de plus en plus de monde, car la cryptographie « pour tous » va potentiellement gêner de nombreux dossiers où les enquêteurs avaient pris l’habitude d’accéder facilement à toutes les données. Sur les listes de diffusion sur lesquelles je suis inscrit, réservées aux enquêteurs et aux experts judiciaires, je vois passer pas mal de messages sur la cryptographie, sur l’impact qu’elle a sur les réponses qu’il est possible d’apporter aux magistrats. Mais ce phénomène est ancien. Les policiers se plaignaient de ne pas avoir assez de voitures puissantes pour poursuivre les malfaiteurs. Jusqu’au moment où ils se sont mis à les attendre aux péages d’autoroute. C’est toujours une course entre le chat et la souris, et les malfaiteurs utilisent depuis longtemps les outils technologiques, et en particulier la cryptographie. Certains sont en avance sur la police, beaucoup non.

AG: Que pensez-vous de l’argument selon lequel le chiffrement freine ou bloque les enquêtes? Est-il légitime (ou jusqu’à quel point est-il légitime) ?

Lorsqu’un enquêteur, ou un expert judiciaire, doit analyser un ordinateur ou un téléphone et que les données sont correctement chiffrées, il est bien évidemment bloqué. Si son enquête ne repose que sur cet élément, il est définitivement bloqué, ce qui est regrettable. Mais dans les dossiers que j’ai eu à traiter, ce cas de figure n’est jamais arrivé : un dossier ne repose jamais uniquement sur le contenu chiffré d’un ordinateur ou d’un téléphone. Il y a toujours d’autres éléments dans le dossier, et il s’agit d’ajouter encore des éléments de preuve (à charge ou à décharge) pour le compléter. L’argument ne me semble pas légitime, sauf dans le sens où le chiffrement complique la recherche de preuve et donc alourdit la facture de l’enquête, ce qui est déjà un problème dans notre pays où le budget de la justice est anormalement bas. Il ne faut pas oublier aussi que si les données sont chiffrées, il faut aussi qu’à un moment elles soient déchiffrées pour être utilisées par leur destinataire. L’enquêteur peut intervenir à ce moment-là.

AG: De quels moyens disposent les enquêteurs et les experts confrontés à des contenus chiffrés ?

Nous disposons des mêmes outils que les cambrioleurs de données : si le système de chiffrement possède une faiblesse (bug, porte dérobée, etc.), elle peut être exploitée. Par exemple, le système de gestion des mots de passe sous Windows 7 peut facilement être cracké avec l’outil Ophcrack en téléchargement libre. Je donne plusieurs exemples dans le billet de mon blog intitulé « Cracker les mots de passe ». De tout temps, les administrateurs informatiques ont développé des outils qui leur permettent de tester la viabilité des protections qu’ils mettent en place sur leurs réseaux. Il existe même un métier pour cela : pentester. Tous ces outils peuvent être utilisés par les enquêteurs pour essayer d’accéder légalement à des données (mal) protégées. Si les données sont bien protégées (par exemple des emails chiffrés correctement avec GPG, ou des données stockées dans des containers TrueCrypt), il n’est pas possible de les déchiffrer sans connaître la clef privée du destinataire. Mais si vous avez accès à l’ordinateur où est stockée la clef privée, tout redevient possible. J’aborde ces sujets dans le billet de mon blog intitulé « Fâce à TrueCrypt ». Je précise que je n’ai jamais eu accès aux moyens de l’État en matière de cryptologie. Je ne connais pas leurs possibilités, et je doute fort qu’ils puissent déchiffrer GPG ou TrueCrypt. Mais je me souviens de mon service militaire au service technique de l’électronique et de l’informatique des armées (je vous parle du millénaire précédent 😉 où certains ordinateurs étaient protégés par des cages de Faraday pour éviter l’interception à distance des données s’affichant sur les écrans. Je suppose que les techniques ont dû évoluer, mais je pense que l’État dispose encore d’outils permettant l’accès distant aux données (et de s’en protéger) par des voies non conventionnelles. Dans le même esprit, je pense que le plus simple pour écouter une conversation utilisant un téléphone chiffré (tel que Teorem de Thales) est encore de placer (légalement) un micro dans la pièce ou dans la voiture… On peut donc toujours surveiller quelqu’un de manière ciblée sans mettre toute la population sur écoute.

AG: Et enfin, comment vous positionnez-vous dans ce débat : en tant qu’informaticien, en tant qu’expert judiciaire, en tant que citoyen (ou les trois à la fois!).

Il m’est difficile de dissocier les trois : je suis un citoyen informaticien expert judiciaire. J’ai l’expérience de ces trois casquettes, expérience dont je fais part sur mon blog (ce qui m’est assez reproché). Ma position personnelle est de placer au-dessus de tout la protection de la vie privée individuelle. Tous les échanges et tous les stockages de données devraient être chiffrés de manière à ce que chacun puisse protéger ses données. Je préférerais d’ailleurs que l’on parle de « vie intime » plutôt que de « vie privée », car ce dernier terme prête à confusion dans un monde où beaucoup de citoyens échangent l’accès à une partie de leur vie privée avec un droit d’usage gratuit à certains services (proposés par les GAFAM). Tous les citoyens doivent pouvoir utiliser des outils garantissant leurs données contre les oreilles de l’État. Les malfaiteurs les utilisent depuis longtemps, sans que cela ne gêne trop l’État, il est temps que les honnêtes citoyens puissent les utiliser en masse. Les enquêteurs disposent d’autres moyens de poursuivre les malfaiteurs sans que l’État n’oblige tous ses citoyens à se mettre à nu. Je refuse d’être obligé de mettre une caméra dans ma chambre à coucher sous le prétexte d’une meilleure sécurité, par exemple pour une lutte soit disant plus efficace contre le terrorisme ou contre les pédophiles. Je ne crois pas en la réalité d’un État bienveillant qui surveille en masse ces citoyens pour le bien de tous. L’Histoire a plutôt démontré que ce type d’État dérive toujours très vite vers des abus en tout genre.

Quis custodiet ipsos custodes ?