Des moyens sûrs de communiquer à l’abri de la surveillance ? Évitons l’illusion de la confidentialité absolue et examinons les points forts et limites des applications…

 

PRÉAMBULE

Nous avons des adversaires, ils sont nombreux. Depuis la première diffusion de Pretty Good Privacy (PGP) en 1991 par Philip Zimmermann, nombreuses furent les autorités publiques ou organisations privées à s’inquiéter du fait que des individus puissent échanger des messages rigoureusement indéchiffrables en vertu de lois mathématiques (c’est moins vrai avec les innovations en calculateurs quantiques). Depuis lors, les craintes ne cessèrent d’alimenter l’imaginaire du bloc réactionnaire.

On a tout envisagé, surtout en se servant de la lutte contre le terrorisme et la pédopornographie, pour mieux faire le procès d’intention des réseaux militants, activistes, anarchistes. Jusqu’au jour où les révélations d’E. Snowden (et bien d’autres à la suite) montrèrent à quel point la vie privée était menacée (elle l’est depuis 50 ans de capitalisme de surveillance), d’autant plus que les outils de communication des multinationales du numérique sont largement utilisés par les populations.

Les libertariens s’enivrèrent de cette soif de protection de nos correspondances. Ils y voyaient (et c’est toujours le cas) un point d’ancrage de leur idéologie capitaliste, promouvant une « liberté » contre l’État mais de fait soumise aux logiques débridées du marché. Dès lors, ceux qu’on appelle les crypto-anarchistes, firent feu de ce bois, en connectant un goût certain pour le solutionnisme technologique (blockchain et compagnie) et un modèle individualiste de communication entièrement chiffré où les crypto-monnaies remplissent le rôle central dans ce marché prétendu libre, mais ô combien producteur d’inégalités.

Alimentant le mélange des genres, certains analystes, encore très récemment, confondent allègrement les anarchistes et les crypto-anarchistes, pour mieux dénigrer l’importance que nous accordons à la légitimité sociale, solidaire et égalitaire des protocoles de communication basés sur le chiffrement. Or, ce sont autant de moyens d’expression et de mobilisation démocratique et ils occupent une place centrale dans les conditions de mobilisation politique.

Les groupes anarchistes figurent parmi les plus concernés, surtout parce que les logiques d’action et les idées qui y sont partagées sont de plus en plus insupportables aux yeux des gouvernements, qu’il s’agisse de dictatures, d’illibéralisme, ou de néofascisme. Pour ces adversaires, le simple fait d’utiliser des communications chiffrées (sauf quand il s’agit de protéger leurs corruptions et leurs perversions) est une activité suspecte. Viennent alors les moyens de coercition, de surveillance et de contrôle, la technopolice. Dans cette lutte qui semble sans fin, il faut néanmoins faire preuve de pondération autant que d’analyse critique. Bien souvent on se précipite sur des outils apparemment sûrs mais peu résilients. Gratter la couche d’incertitude ne consiste pas à décourager l’usage de ces outils mais montrer combien leur usage ne fait pas l’économie de mises en garde.

Dans le texte qui suit, issu de la plateforme d’information et de médias It’s Going Down, l’auteur prend le parti de la prévention. Par exemple, ce n’est pas parce que le créateur du protocole Signal et co-fondateur de la Signal Foundation est aussi un anarchiste (quoique assez individualiste) que l’utilisation de Signal est un moyen fiable de communication pour un groupe anarchiste ou plus simplement militant. La convivialité d’un tel outil est certes nécessaire pour son adoption, mais on doit toujours se demander ce qui a été sacrifié en termes de failles de sécurité. Le même questionnement doit être adressé à tous les autres outils de communication chiffrée.

C’est à cette lourde tâche que s’attelle l’auteur de ce texte, et il ne faudra pas lui tenir rigueur de l’absence de certains protocoles tels Matrix ou XMPP. Certes, on ne peut pas aborder tous les sujets, mais il faut aussi lire cet article d’après l’expérience personnelle de l’auteur. Si Signal et Briar sont les objets centraux de ses préoccupations, son travail cherche surtout à produire une vulgarisation de concepts difficiles d’accès. C’est aussi l’occasion d’une mise au point actuelle sur nos rapports aux outils de communication chiffrée et la manière dont ces techniques et leurs choix conditionnent nos communications. On n’oubliera pas son message conclusif, fort simple : lorsqu’on le peut, mieux vaut éteindre son téléphone et rencontrer ses amis pour de vrai…

Framatophe / Christophe Masutti

 

Pour lire le document (50 pages) qui suit hors-connexion, ou pour l’imprimer, voici quatre liens de téléchargement :

 

 

 

 

Infrastructures numériques de communication pour les anarchistes

(et tous les autres…)

Un aperçu détaillé et un guide des diverses applications qui utilisent le pair-à-pair, le chiffrement et Tor

Source : The Guide to Peer-to-Peer, Encryption, and Tor: New Communication Infrastructure for Anarchists, It’s Going Down, 06 oct. 2022.
Traduction : Christophe Masutti
Révisions Framalang : ellébore, goofy, Henri-Paul, jums, Sichat, Wisi_eu

Les applications de chat sécurisées avec chiffrement constituent une infrastructure numérique essentielle pour les anarchistes. Elles doivent donc être examinées de près. Signal est un outil de chiffrement sécurisé très utilisé par les anarchistes aujourd’hui. Au-delà des rumeurs complotistes, l’architecture de base et les objectifs de développement de Signal présentent certaines implications en termes de sécurité pour les anarchistes. Signal est un service de communication centralisé. La centralisation peut avoir des conséquences sur la sécurité, en particulier lorsque elle est mise en perspective avec l’éventail des menaces. D’autres applications de chat sécurisées, comme Briar et Cwtch, sont des outils de communication pair-à-pair qui, en plus d’être chiffrés comme Signal, font transiter tout le trafic par Tor (appelé aussi CPT pour communication Chiffrée en Pair-à-pair via Tor). Cette conception de communication sécurisée offre de grands avantages en termes de sécurité, d’anonymat et de respect de la vie privée, par rapport à des services plus courants tels que Signal, malgré quelques réserves. Cependant, les anarchistes devraient sérieusement envisager d’essayer et d’utiliser Briar et/ou Cwtch, pour pouvoir former une infrastructure de communication plus résiliente et plus sûre.

Malgré tout, la meilleure façon de communiquer en toute sécurité demeure le face à face.

Chhhhuuut…

Il est ici question des outils numériques qui permettent de communiquer en toute sécurité et en toute confidentialité. Pour bien commencer, il s’agit d’insister sur le fait que le moyen le plus sûr de communiquer reste une rencontre en face à face, à l’abri des caméras et hors de portée sonore d’autres personnes et appareils. Les anarchistes se promenaient pour discuter bien avant que les textos chiffrés n’existent, et ils devraient continuer à le faire aujourd’hui, à chaque fois que c’est possible.

Ceci étant dit, il est indéniable que les outils de communication numérique sécurisés font maintenant partie de notre infrastructure anarchiste. Peut-être que nous sommes nombreux à nous appuyer sur eux plus que nous ne le devrions, mais ils sont devenus incontournables pour se coordonner, collaborer et rester en contact. Puisque ces outils constituent une infrastructure indispensable, il est vital pour nous d’examiner et réévaluer constamment leur sécurité et leur aptitude à protéger nos communications contre nos adversaires.

Au cours des dix ou vingt dernières années, les anarchistes ont été les premiers à adopter ces outils et ces techniques de communication chiffrée. Ils ont joué un rôle majeur dans la banalisation et la diffusion de leur utilisation au sein de nos propres communautés, ou auprès d’autres communautés engagées dans la résistance et la lutte. Le texte qui suit a pour but de présenter aux anarchistes les nouveaux outils de communication chiffrée et sécurisée. Il s’agit de démontrer que nous devrions les adopter afin de renforcer la résilience et l’autonomie de notre infrastructure. Nous pouvons étudier les avantages de ces nouvelles applications, voir comment elles peuvent nous aider à échapper à la surveillance et à la répression – et par la suite les utiliser efficacement dans nos mouvements et les promouvoir plus largement.

Le plus simple est de présenter les nouvelles applications de chat sécurisé en les comparant avec celle que tout le monde connaît : Signal. Signal est de facto l’infrastructure de communication sécurisée de beaucoup d’utilisatrices, du moins en Amérique du Nord. Et de plus en plus, elle devient omniprésente en dehors des cercles anarchistes. Si vous lisez ceci, vous utilisez probablement Signal, et il y a de fortes chances que votre mère ou qu’un collègue de travail l’utilise également. L’utilisation de Signal a explosé en janvier 2021 (à tel point que le service a été interrompu pendant 24 heures), atteignant 40 millions d’utilisateurs quotidiens. Signal permet aux utilisateurs d’échanger très facilement des messages chiffrés. Il est issu d’un projet antérieur appelé TextSecure, qui permettait de chiffrer les messages SMS (les textos à l’ancienne, pour les baby zoomers qui nous lisent). TextSecure, et plus tard Signal, ont très tôt bénéficié de la confiance des anarchistes, en grande partie grâce au réseau de confiance IRL entre le développeur principal, Moxie Marlinspike, et d’autres anarchistes.

Au début de l’année 2022, Moxie a quitté Signal, ce qui a déclenché une nouvelle vague de propos alarmistes à tendance complotiste. Le PDG anarchiste de Signal a démissionné. Signal est neutralisé. Un article intitulé « Signal Warning », publié sur It’s Going Down, a tenté de dissiper ces inquiétudes et ces hypothèses complotistes, tout en discutant de la question de savoir si les anarchistes peuvent encore « faire confiance » à Signal (ils le peuvent, avec des mises en garde comme toujours). L’article a réitéré les raisons pour lesquelles Signal est, en fait, tout à fait sûr et digne de confiance (il est minutieusement audité et examiné par des experts en sécurité).

Cependant, l’article a laissé entendre que le départ de Moxie établissait, à tout le moins, une piqûre de rappel sur la nécessité d’un examen critique et sceptique permanent de Signal, et qu’il en va de même pour tout outil ou logiciel tiers utilisé par les anarchistes.

« Maintenant que la couche de vernis est enlevée, notre capacité à analyser Signal et à évaluer son utilisation dans nos milieux peut s’affranchir des distorsions que la confiance peut parfois engendrer. Nous devons désormais considérer l’application et son protocole sous-jacent tels qu’ils sont : un code utilisé dans un ordinateur, avec tous les avantages et les inconvénients que cela comporte. On en est encore loin, et, à ce jour, on ne va même pas dans cette direction. Mais, comme tous les systèmes techniques, nous devons les aborder de manière sceptique et rationnelle »

Signal continue de jouir d’une grande confiance, et aucune contre-indication irréfutable n’a encore été apportée en ce qui concerne la sécurité de Signal. Ce qui suit n’est pas un appel à abandonner Signal – Signal reste un excellent outil. Mais, étant donné son rôle prépondérant dans l’infrastructure anarchiste et l’intérêt renouvelé pour la question de savoir si nous pouvons ou devons faire confiance à Signal, nous pouvons profiter de cette occasion pour examiner de près l’application, son fonctionnement, la manière dont nous l’utilisons, et explorer les alternatives. Un examen minutieux de Signal ne révèle pas de portes dérobées secrètes (backdoors), ni de vulnérabilités béantes. Mais il révèle une priorité donnée à l’expérience utilisateur et à la rationalisation du développement par rapport aux objectifs de sécurité les plus solides. Les objectifs et les caractéristiques du projet Signal ne correspondent peut-être pas exactement à notre modèle de menace. Et en raison du fonctionnement structurel de Signal, les anarchistes dépendent d’un service centralisé pour l’essentiel de leurs communications sécurisées en ligne. Cela a des conséquences sur la sécurité, la vie privée et la fiabilité.

Il existe toutefois des alternatives développées en grande partie pour répondre spécifiquement à ces problèmes. Briar et Cwtch sont deux nouvelles applications de chat sécurisé qui, comme Signal, permettent également l’échange de messages chiffrés. Elles sont en apparence très proches de Signal, mais leur fonctionnement est très différent. Alors que Signal est un service de messagerie chiffrée, Briar et Cwtch sont des applications qui permettent l’échange de messages Chiffrés et en Pair-à-pair via Tor (CPT). Ces applications CPT et leur fonctionnement seront présentés en détail. Mais la meilleure façon d’expliquer leurs avantages (et pourquoi les anarchistes devraient s’intéresser à d’autres applications de chat sécurisées alors que nous avons déjà Signal) passe par une analyse critique approfondie de Signal.

Modèle de menace et avertissements

Avant d’entrer dans le vif du sujet, il est important de replacer cette discussion dans son contexte en définissant un modèle de menace pertinent. Dans le cadre de cette discussion, nos adversaires sont les forces de l’ordre au niveau national ou bien les forces de l’ordre locales qui ont un accès aux outils des forces de l’ordre nationale. Malgré le chiffrement de bout en bout qui dissimule le contenu des messages en transit, ces adversaires disposent de nombreuses ressources qui pourraient être utilisées pour découvrir ou perturber nos activités, nos communications ou nos réseaux afin de pouvoir nous réprimer. Il s’agit des ressources suivantes :

• Ils ont un accès facile aux sites de médias sociaux et à toutes autres informations publiques.
• Dans certains cas, ils peuvent surveiller l’ensemble du trafic internet du domicile d’une personne ciblée ou de son téléphone.
• Ils peuvent accéder à des données ou à des métadonnées « anonymisées » qui proviennent d’applications, d’opérateurs de téléphonique, de fournisseurs d’accès à Internet, etc.
• Ils peuvent accéder au trafic réseau collecté en masse à partir des nombreux goulots d’étranglement de l’infrastructure internet.
• Avec plus ou moins de succès, ils peuvent combiner, analyser et corréler ces données et ce trafic réseau afin de désanonymiser les utilisateurs, de cartographier les réseaux sociaux ou de révéler d’autres informations potentiellement sensibles sur des individus ou des groupes et sur leurs communications.
• Ils peuvent compromettre l’infrastructure de l’internet (FAI, fournisseurs de services, entreprises, développeurs d’applications) par la coercition ou le piratage¹.

Le présent guide vise à atténuer les capacités susmentionnées de ces adversaires, mais il en existe bien d’autres qui ne peuvent pas être abordées ici :

• Ils peuvent infecter à distance les appareils des personnes ciblées avec des logiciels malveillants d’enregistrement de frappe au clavier et de pistage, dans des cas extrêmes.
• Ils peuvent accéder à des communications chiffrées par l’intermédiaire d’informateurs confidentiels ou d’agents infiltrés.
• Ils peuvent exercer de fortes pressions ou recourir à la torture pour contraindre des personnes à déverrouiller leur téléphone ou leur ordinateur ou à donner leurs mots de passe.
• Bien qu’ils ne puissent pas casser un système de chiffrement robuste dans un délai raisonnable, ils peuvent, en cas de saisie, être en mesure d’obtenir des données à partir d’appareils apparemment chiffrés grâce à d’autres vulnérabilités (par exemple, dans le système d’exploitation de l’appareil) ou de défaillances de la sécurité opérationnelle.

Toute méthode de communication sécurisée dépend fortement des pratiques de sécurité de l’utilisateur. Peu importe que vous utilisiez l’Application de Chat Sécurisée Préférée d’Edward Snowden ^TM si votre adversaire a installé un enregistreur de frappe sur votre téléphone, ou si quelqu’un partage des captures d’écran de vos messages chiffrés sur Twitter, ou encore si votre téléphone a été saisi et n’est pas correctement sécurisé.

Une explication détaillée de la sécurité opérationnelle, de la culture de la sécurité, des concepts connexes et des meilleures pratiques dépasse le cadre de ce texte – cette analyse n’est qu’une partie de la sécurité opérationnelle pertinente pour le modèle de menace concerné. Vous devez envisager une politique générale de sécurité pour vous protéger contre la menace des infiltrés et des informateurs. Comment utiliser en toute sécurité des appareils, comme les téléphones et les ordinateurs portables, pour qu’ils ne puissent pas servir à monter un dossier s’ils sont saisis, et comment adopter des bonnes habitudes pour réduire au minimum les données qui se retrouvent sur les appareils électroniques (rencontrez-vous face à face et laissez votre téléphone à la maison !)

La « cybersécurité » évolue rapidement : il y a une guerre d’usure entre les menaces et les développeurs d’applications. Les informations fournies ici seront peut-être obsolètes au moment où vous lirez ces lignes. Les caractéristiques ou la mise en œuvre des applications peuvent changer, qui invalident partiellement certains des arguments avancés ici (ou qui les renforcent). Si la sécurité de vos communications électroniques est cruciale pour votre sécurité, vous ne devriez pas vous croire sur parole n’importe quelle recommandation, ici ou ailleurs.

Perte de Signal

Vous avez probablement utilisé Signal aujourd’hui. Et Signal ne pose pas vraiment de gros problèmes. Il est important de préciser que malgré les critiques qui suivent, l’objectif n’est pas d’inciter à la panique quant à l’utilisation de Signal. Il ne s’agit pas de supprimer l’application immédiatement, de brûler votre téléphone et de vous enfuir dans les bois. Cela dit, peut-être pourriez-vous le faire pour votre santé mentale, mais en tout cas pas seulement à cause de ce guide. Vous pourriez envisager de faire une petite randonnée au préalable.

Une parenthèse pour répondre à certaines idées complotistes

Une rapide recherche sur DuckDuckGo (ou peut-être une recherche sur Twitter ? Je ne saurais dire) avec les termes « Signal CIA », donnera lieu à de nombreuses désinformations et théories complotistes à propos de Signal. Compte tenu de la nature déjà critique de ce guide et de l’importance d’avoir un avis nuancé, penchons-nous un peu sur ces théories.

La plus répandue nous dit que Signal aurait été développé secrètement par la CIA et qu’il serait donc backdoorisé. Par conséquent, la CIA (ou parfois la NSA) aurait la possibilité d’accéder facilement à tout ce que vous dites sur Signal en passant par leur porte dérobée secrète.

« L’étincelle de vérité qui a embrasé cette théorie complotiste est la suivante : entre 2013 et 2016, les développeurs de Signal ont reçu un peu moins de 3 millions de dollars américains de financement de la part de l’Open Technology Fund (OTF). L’OTF était à l’origine un programme de Radio Free Asia, supervisé par l’Agence américaine pour les médias mondiaux (U. S. Agency for Global Media, USAGM – depuis 2019, l’OTF est directement financé par l’USAGM). L’USAGM est une « agence indépendante du gouvernement américain », qui promeut les intérêts nationaux des États-Unis à l’échelle internationale et qui est financée et gérée directement par le gouvernement américain. Donc ce dernier gère et finance USAGM/Radio Free Asia, qui finance l’OTF, qui a financé le développement de Signal (et Hillary Clinton était secrétaire d’État à l’époque !!) : c’est donc la CIA qui aurait créé Signal… »

L’USAGM (et tous ses projets tels que Radio Free Asia et l’OTF) promeut les intérêts nationaux américains en sapant ou en perturbant les gouvernements avec lesquels les États-Unis sont en concurrence ou en conflit. Outre la promotion de contre-feux médiatiques (via le soutien à une « presse libre et indépendante » dans ces pays), cela implique également la production d’outils pouvant être utilisés pour contourner la censure et résister aux « régimes oppressifs ».

Les bénéficiaires de la FTO sont connus et ce n’est un secret pour personne que l’objectif affiché de la FTO consiste à créer des outils pour subvertir les régimes qui s’appuient fortement sur la répression en ligne, sur la surveillance généralisée et sur la censure massive de l’internet pour se maintenir au pouvoir (et que ces régimes sont ceux dont le gouvernement américain n’est pas fan). Comment et pourquoi cela se produit en relation avec des projets tels que Signal est clairement rapporté par des médias grand public tels que le Wall Street Journal. Des médias comme RT rapportent également ces mêmes informations hors contexte et en les embellissant de manière sensationnelle, ce qui conduit à ces théories complotistes.

Signal est un logiciel open source, ce qui signifie que l’ensemble de son code est vérifié et examiné par des experts. C’est l’application-phare où tout le monde cherche une porte dérobée de la CIA. Or, en ce qui concerne la surveillance de masse, il est plus facile et plus efficace pour nos adversaires de dissimuler des dispositifs de surveillance dans des applications et des infrastructures internet fermées et couramment utilisées, avec la coopération d’entreprises complices. Et en termes de surveillance ciblée, il est plus facile d’installer des logiciels malveillants sur votre téléphone.

De nombreux projets de logiciels open-source, comme Signal, ont été financés par des moyens similaires. La FTO finance ou a financé de nombreux autres projets dont vous avez peut-être entendu parler : Tor (au sujet duquel il existe des théories complotistes similaires), K-9 Mail, NoScript, F-Droid, Certbot et Tails (qui compte des anarchistes parmi ses développeurs).

Ces financements sont toujours révélés de manière transparente. Il suffit de consulter la page des sponsors de Tails, où l’on peut voir que l’OTF est un ancien sponsor (et que son principal sponsor actuel est… le département d’État des États-Unis !) Les deux applications CPT dont il est question dans ce guide sont en partie financées par des sources similaires.

On peut débattre sans fin sur les sources de financement des projets open source qui renforcent la protection de la vie privée ou la résistance à la surveillance : conflits d’intérêts, éthique, crédibilité, développement de tels outils dans un contexte de géopolitique néolibérale… Il est bon de faire preuve de scepticisme et de critiquer la manière dont les projets sont financés, mais cela ne doit pas nous conduire à des théories complotistes qui obscurcissent les discussions sur leur sécurité dans la pratique. Signal a été financé par de nombreuses sources « douteuses » : le développement initial de Signal a été financé par la vente du projet précurseur (TextSecure) à Twitter, pour un montant inconnu. Plus récemment, Signal a bénéficié d’un prêt de 50 millions de dollars à taux zéro de la part du fondateur de WhatsApp, qui est aujourd’hui directeur général de la Signal Foundation. Il existe de nombreuses preuves valables qui expliquent pourquoi et comment Signal a été financé par une initiative des États-Unis visant à dominer le monde, mais elles ne suggèrent ni n’impliquent d’aucune façon l’existence d’une porte dérobée, impossible à dissimuler, conçue par la CIA pour cibler les utilisatrices de Signal.

– Alors, Signal c’est bien, en fait ?

Si Signal n’est pas une opération secrète de la CIA, alors tout va bien, non ? Les protocoles de chiffrement de Signal sont communément considérés comme sûrs. En outre, Signal a l’habitude d’améliorer ses fonctionnalités et de remédier aux vulnérabilités en temps voulu, de manière transparente. Signal a réussi à rendre les discussions chiffrées de bout en bout suffisamment faciles pour devenir populaires. L’adoption généralisée de Signal est très certainement une bonne chose.

Thèses complotistes mises à part, les anarchistes ont toutefois de bonnes raisons d’être sceptiques à l’égard de Signal. Pendant le développement de Signal, Moxie a adopté une approche quelque peu dogmatique à l’égard de nombreux choix structurels et d’ingénierie logicielle. Ces décisions ont été prises intentionnellement (comme expliqué dans des articles de blog, lors de conférences ou dans divers fils de discussion sur GitHub) afin de faciliter l’adoption généralisée de Signal Messenger parmi les utilisateurs les moins avertis, mais aussi pour préparer la croissance du projet à long terme, et ainsi permettre une évolution rationalisée tout en ajoutant de nouvelles fonctionnalités.

Les adeptes de la cybersécurité en ligne ont longtemps critiqué ces décisions comme étant des compromis qui sacrifient la sécurité, la vie privée ou l’anonymat de l’utilisateur au profit des propres objectifs de Moxie pour Signal. S’aventurer trop loin risquerait de nous entraîner sur le terrain des débats dominés par les mâles prétentieux du logiciel libre (si ce n’est pas déjà le cas). Pour être bref, les justifications de Moxie se résument à maintenir la compétitivité de Signal dans l’écosystème capitaliste de la Silicon Valley, axé sur le profit. Mise à part les stratégies de développement logiciel dans le cadre du capitalisme moderne, les caractéristiques concrètes de Signal les plus souvent critiquées sont les suivantes :

1. Signal s’appuie sur une infrastructure de serveurs centralisée.
2. Signal exige que chaque compte soit lié à un numéro de téléphone.
3. Signal dispose d’un système de paiement en crypto-monnaie intégré.

Peut-être que Moxie a eu raison et que ses compromis en valaient la peine : aujourd’hui, Signal est extrêmement populaire, l’application s’est massivement développée avec un minimum de problèmes de croissance, de nombreuses nouvelles fonctionnalités (à la fois pour la convivialité et la sécurité) ont été facilement introduites, et elle semble être durable dans un avenir prévisible². Mais l’omniprésence de Signal en tant qu’infrastructure anarchiste exige un examen minutieux de ces critiques, en particulier lorsqu’elles s’appliquent à nos cas d’utilisation et à notre modèle de menace dans un monde en mutation. Cet examen permettra d’expliquer comment les applications CPT comme Briar et Cwtch, qui utilisent une approche complètement différente de la communication sécurisée, nous apportent potentiellement plus de résilience et de sécurité.

Signal en tant que service centralisé

Signal est moins une application qu’un service. Signal (Open Whisper Systems/The Signal Foundation) fournit l’application Signal (que vous pouvez télécharger et exécuter sur votre téléphone ou votre ordinateur) et gère un serveur Signal³. L’application Signal ne peut rien faire en soi. Le serveur Signal fournit la couche de service en traitant et en relayant tous les messages envoyés et reçus via l’application Signal. C’est ainsi que fonctionnent la plupart des applications de chat. Discord, WhatsApp, iMessage, Instagram/Facebook Messenger et Twitter dms sont tous des services de communication centralisés, où vous exécutez une application sur votre appareil et où un serveur centralisé, exploité par un tiers, relaie les messages entre les individus. Une telle centralisation présente de nombreux avantages pour l’utilisateur : vous pouvez synchroniser vos messages et votre profil sur le serveur pour y accéder sur différents appareils ; vous pouvez envoyer un message à votre ami même s’il n’est pas en ligne et le serveur stockera le message jusqu’à ce que votre ami se connecte et le récupère ; les discussions de groupe entre plusieurs utilisateurs fonctionnent parfaitement, même si les utilisateurs sont en ligne ou hors ligne à des moments différents.

Signal utilise le chiffrement de bout en bout, ce qui signifie que le serveur Signal ne peut lire aucun de vos messages. Mais qu’il soit un service de communication centralisé a de nombreuses implications importantes en termes de sécurité et de fiabilité.

Le bureau de poste de Signal

Signal-en-tant-que-service est comparable à un service postal. Il s’agit d’un très bon service postal, comme il en existe peut-être quelque part en Europe. Dans cet exemple, le serveur Signal est un bureau de poste. Vous écrivez une lettre à votre ami et la scellez dans une enveloppe avec une adresse (disons que personne d’autre que votre ami ne peut ouvrir l’enveloppe – c’est le chiffrement). À votre convenance, vous déposez toutes les lettres que vous envoyez au bureau de poste Signal, où elles sont triées et envoyées aux différents amis auxquels elles sont destinées. Si un ami n’est pas là, pas de problème ! Le bureau de poste Signal conservera la lettre jusqu’à ce qu’il trouve votre ami à la maison, ou votre ami peut simplement la récupérer au bureau de poste le plus proche. Le bureau de poste Signal est vraiment bien (c’est l’Europe, hein !) et vous permet même de faire suivre votre courrier partout où vous souhaitez le recevoir.

Peut-être aurez-vous remarqué qu’un problème de sécurité potentiel se pose sur le fait de confier tout son courrier au bureau de poste Signal. Les enveloppes scellées signifient qu’aucun facteur ou employé ne peut lire vos lettres (le chiffrement les empêche d’ouvrir les enveloppes). Mais celles et ceux qui côtoient régulièrement leur facteur savent qu’il peut en apprendre beaucoup sur vous, simplement en traitant votre courrier : il sait de qui vous recevez des lettres, il connaît tous vos abonnements à des magazines, mais aussi quand vous êtes à la maison ou non, tous les différents endroits où vous faites suivre votre courrier et toutes les choses embarrassantes que vous commandez en ligne. C’est le problème d’un service centralisé qui s’occupe de tout votre courrier – je veux dire de vos messages !

Les métadonnées, c’est pour toujours

Les informations que tous les employés du bureau de poste Signal connaissent sur vous et votre courrier sont des métadonnées. Les métadonnées sont des données… sur les données. Elles peuvent inclure des éléments tels que l’expéditeur et le destinataire d’un message, l’heure à laquelle il a été envoyé et le lieu où il a été distribué. Tout le trafic sur Internet génère intrinsèquement ce type de métadonnées. Les serveurs centralisés constituent un point d’entrée facile pour observer ou collecter toutes ces métadonnées, puisque tous les messages passent par un point unique. Il convient de souligner que l’exemple ci-dessus du bureau de poste Signal n’est qu’une métaphore pour illustrer ce que sont les métadonnées et pourquoi elles constituent une préoccupation importante pour les services de communication centralisés. Signal est en fait extrêmement doué pour minimiser ou masquer les métadonnées. Grâce à la magie noire du chiffrement et à une conception intelligente du logiciel, il y a très peu de métadonnées auxquelles le serveur Signal peut facilement accéder. Selon les propres termes de Signal :

«  Les éléments que nous ne stockons pas comprennent tout ce qui concerne les contacts d’un utilisateur (tels que les contacts eux-mêmes, un hachage des contacts, ou toute autre information dérivée sur les contacts), tout ce qui concerne les groupes d’un utilisateur (les groupes auxquels il appartient, leur nombre, les listes de membres des groupes, etc.), ou tout enregistrement des personnes avec lesquelles un utilisateur a communiqué.  »

Il n’existe que deux parties de métadonnées connues pour être stockées de manière persistante, et qui permettent de savoir :

• si un numéro de téléphone est enregistré auprès d’un compte Signal
• la dernière fois qu’un compte Signal a été connecté au serveur.

C’est une bonne chose ! En théorie, c’est tout ce qu’un employé curieux du bureau de poste Signal peut savoir sur vous. Mais cela est dû, en partie, à l’approche « Moi, je ne le vois pas » du serveur lui-même. Dans une certaine mesure, nous devons croire sur parole ce que le serveur Signal prétend faire…

Bien obligés de faire confiance

Tout comme l’application Signal sur votre téléphone ou votre ordinateur, le serveur Signal est également basé sur du code principalement⁴ open source. Il est donc soumis à des contrôles similaires par des experts en sécurité. Cependant, il y a une réalité importante et inévitable à prendre en compte : nous sommes obligés de croire que le serveur de Signal exécute effectivement le même code open source que celui qui est partagé avec nous. Il s’agit là d’un problème fondamental lorsque l’on se fie à un serveur centralisé géré par une tierce partie.

« Nous ne collectons ni ne stockons aucune information sensible sur nos utilisateurs, et cela ne changera jamais. » (blog de Signal)

En tant que grande association à but non lucratif, Signal ne peut pas systématiquement se soustraire aux ordonnances ou aux citations à comparaître qui concerne les données d’utilisateurs. Signal dispose même d’une page sur son site web qui énumère plusieurs citations à comparaître et les réponses qu’elle y a apportées. Mais rappelons-nous des deux types de métadonnées stockées par le serveur Signal qui peuvent être divulguées :

À l’heure où nous écrivons ces lignes, il n’y a aucune raison de douter de ce qui a été divulgué, mais il faut noter que Signal se conforme également à des procédures-bâillon qui l’empêchent de révéler qu’elle a reçu une citation à comparaître ou un mandat. Historiquement, Signal se bat contre ces injonctions, mais nous ne pouvons savoir ce qui nous est inconnu, notamment car Signal n’emploie pas de warrant canary, ces alertes en creux qui annoncent aux utilisateurs qu’aucun mandat spécifique n’a été émis pour le moment [une manière détournée d’annoncer des mandats dans le cas où cette annonce disparaisse, NDLR]. Il n’y a aucune raison sérieuse de penser que Signal a coopéré avec les autorités plus fréquemment qu’elle ne le prétend, mais il y a trois scénarios à envisager :

1. Des modifications de la loi pourraient contraindre Signal, sur demande, à collecter et à divulguer davantage d’informations sur ses utilisateurs et ce, à l’insu du public.
2. Signal pourrait être convaincu par des arguments éthiques, moraux, politiques ou patriotiques de coopérer secrètement avec des adversaires.
3. Signal pourrait être infiltré ou piraté par ces adversaires afin de collecter secrètement davantage de données sur les utilisateurs ou afin que le peu de métadonnées disponibles puissent leur être plus facilement transmis.

Tous ces scénarios sont concevables, ils ont des précédents historiques ailleurs, mais ils ne sont pas forcément probables ni vraisemblables. En raison de la « magie noire du chiffrement » susmentionnée et de la complexité des protocoles des réseaux, même si le serveur Signal se retrouvait altéré pour devenir malveillant, il y aurait toujours une limite à la quantité de métadonnées qui peuvent être collectées sans que les utilisatrices ou les observateurs ne s’en aperçoivent. Cela n’équivaudrait pas, par exemple, à ce que le bureau de poste Signal laisse entrer un espion (par une véritable « porte dérobée installée par la CIA ») qui viendrait lire et enregistrer toutes les métadonnées de chaque message qui passe par ce bureau. Des changements dans les procédures et le code pourraient avoir pour conséquence que des quantités faibles, mais toujours plus importantes de métadonnées (ou autres informations), deviennent facilement disponibles pour des adversaires, et cela pourrait se produire sans que nous en soyons conscients. Il n’y a pas de raison particulière de se méfier du serveur Signal à ce stade, mais les anarchistes doivent évaluer la confiance qu’ils accordent à un tiers, même s’il est historiquement digne de confiance comme Signal.

Mégadonnées

De nombreux et puissants ennemis sont capables d’intercepter et de stocker des quantités massives de trafic sur Internet. Il peut s’agir du contenu de messages non chiffré, mais avec l’utilisation généralisée du chiffrement, ce sont surtout des métadonnées et l’activité internet de chacun qui sont ainsi capturées et stockées.

Nous pouvons choisir de croire que Signal n’aide pas activement nos adversaires à collecter des métadonnées sur les communications des utilisateurs et utilisatrices, mais nos adversaires disposent de nombreux autres moyens pour collecter ces données : la coopération avec des entreprises comme Amazon ou Google (Signal est actuellement hébergé par Amazon Web Services), ou bien en ciblant ces hébergeurs sans leur accord, ou tout simplement en surveillant le trafic internet à grande échelle.

Les métadonnées relatives aux activités en ligne sont également de plus en plus accessibles à des adversaires moins puissants, ceux qui peuvent les acheter, sous forme brute ou déjà analysées, à des courtiers de données, qui à leur tour les achètent ou les acquièrent via des sociétés spécialisées dans le développement d’applications ou les fournisseurs de téléphones portables.

Les métadonnées ainsi collectées donnent lieu à des jeux de données volumineux et peu maniables qui étaient auparavant difficiles à analyser. Mais de plus en plus, nos adversaires (et même des organisations ou des journalistes) peuvent s’emparer de ces énormes jeux de données, les combiner et leur appliquer de puissants outils d’analyse algorithmique pour obtenir des corrélations utiles sur des personnes ou des groupes de personnes (c’est ce que l’on appelle souvent le « Big Data »). Même l’accès à de petites quantités de ces données et à des techniques d’analyse rudimentaires permet de désanonymiser des personnes et de produire des résultats utiles.

Histoire des messages de Jean-Michel

Voici un scénario fictif qui montre comment l’analyse du trafic et la corrélation des métadonnées peuvent désanonymiser un utilisateur de Signal.

Imaginez un cinéphile assidu, mais mal élevé, disons Jean-Michel, qui passe son temps à envoyer des messages via Signal pendant la projection. Les reflets de l’écran de son téléphone (Jean-Michel n’utilise pas le mode sombre) gênent tout le monde dans la salle. Mais la salle est suffisamment sombre pour que Lucie, la gérante qui s’occupe de tout, ne puisse pas savoir exactement qui envoie des messages en permanence. Lucie commence alors à collecter toutes les données qui transitent par le réseau Wi-Fi du cinéma, à la recherche de connexions au serveur Signal. Les connexions fréquentes de Jean-Michel à ce serveur apparaissent immédiatement. Lucie est en mesure d’enregistrer l’adresse MAC (un identifiant unique associé à chaque téléphone) et peut confirmer que c’est le même appareil qui utilise fréquemment Signal sur le réseau Wi-Fi du cinéma pendant les heures de projection. Lucie est ensuite en mesure d’établir une corrélation avec les relevés de transactions par carte bancaire de la billetterie et d’identifier une carte qui achète toujours des billets de cinéma à l’heure où l’appareil utilise fréquemment Signal (le nom du détenteur de la carte est également révélé : Jean-Michel). Avec l’adresse MAC de son téléphone, son nom et sa carte de crédit, Lucie peut fournir ces informations à un détective privé véreux, qui achètera l’accès à de vastes jeux de données collectées par des courtiers de données (auprès des fournisseurs de téléphones portables et des applications mobiles), et déterminera un lieu où le même téléphone portable est le plus fréquemment utilisé. Outre le cinéma, il s’agit du domicile de Jean-Michel. Lucie se rend chez Jean-Michel de nuit et fait exploser sa voiture (car la salle de cinéma était en fait une couverture pour les Hell’s Angels du coin).

Des métadonnées militarisées

« Nous tuons des gens en nous appuyant sur des métadonnées… mais ce n’est pas avec les métadonnées que nous les tuons ! » (dit avec un sourire en coin, les rires fusent dans l’assistance)

– Général Michael Hayden, ancien Directeur de la NSA (1999-2005) et Directeur de la CIA (2006-2009).

Sur un Internet où les adversaires ont les moyens de collecter et d’analyser d’énormes volumes de métadonnées et de données de trafic, l’utilisation de serveurs centralisés peut s’avérer dangereuse. Ils peuvent facilement cibler les appareils qui communiquent avec le serveur Signal en surveillant le trafic internet en général, au niveau des fournisseurs d’accès, ou éventuellement aux points de connexion avec le serveur lui-même. Ils peuvent ensuite essayer d’utiliser des techniques d’analyse pour révéler des éléments spécifiques sur les utilisatrices individuelles ou leurs communications via Signal.

Dans la pratique, cela peut s’avérer difficile. Vous pourriez vous demander si un adversaire qui observe tout le trafic entrant et sortant du serveur Signal pourrait déterminer que vous et votre ami échangez des messages en notant qu’un message a été envoyé de votre adresse IP au serveur de signal à 14:01 et que le serveur de Signal a ensuite envoyé un message de la même taille à l’adresse IP de votre ami à 14:02. Heureusement, une analyse corrélationnelle très simple comme celle-ci n’est pas possible en raison de l’importance du trafic entrant et sortant en permanence du serveur de Signal et de la manière dont ce trafic est traité à ce niveau. C’est moins vrai pour les appels vidéo/voix où les protocoles internet utilisés rendent plus plausible l’analyse corrélationnelle du trafic pour déterminer qui a appelé qui. Il n’en reste pas moins que la tâche reste très difficile pour qui observe l’ensemble du trafic entrant et sortant du serveur de Signal afin d’essayer de déterminer qui parle à qui. Peut-être même que cette tâche est impossible à ce jour.

Pourtant, les techniques de collecte de données et les outils d’analyse algorithmique communément appelés « Big Data » deviennent chaque jour plus puissants. Nos adversaires sont à la pointe de cette évolution. L’utilisation généralisée du chiffrement dans toutes les télécommunications a rendu l’espionnage illicite traditionnel beaucoup moins efficace et, par conséquent, nos adversaires sont fortement incités à accroître leurs capacités de collecte et d’analyse des métadonnées. Ils le disent clairement : « Si vous avez suffisamment de métadonnées, vous n’avez pas vraiment besoin du contenu »⁵. Ils tuent des gens sur la base de métadonnées.

Ainsi, bien qu’il ne soit peut-être pas possible de déterminer avec certitude une information aussi fine que « qui a parlé à qui à un moment précis », nos adversaires continuent d’améliorer à un rythme soutenu leur aptitude à extraire, à partir des métadonnées, toutes les informations sensibles qu’ils peuvent. Certaines fuites nous apprennent régulièrement qu’ils étaient en possession de dispositifs de surveillance plus puissants ou plus invasifs qu’on ne le pensait jusqu’à présent. Il n’est pas absurde d’en déduire que leurs possibilités sont bien étendues que ce que nous en savons déjà.

Signal est plus vulnérable à ce type de surveillance et d’analyse parce qu’il s’agit d’un service centralisé. Le trafic de Signal sur Internet n’est pas difficile à repérer et le serveur Signal est un élément central facile à observer ou qui permet de collecter des métadonnées sur les utilisateurs et leurs activités. D’éventuelles compromissions de Signal, des modifications dans les conditions d’utilisation ou encore des évolutions législatives pourraient faciliter les analyses de trafic et la collecte des métadonnées de Signal, pour que nos adversaires puissent les analyser.

Les utilisateurs individuels peuvent mettre en œuvre certaines mesures de protection, comme faire transiter leur trafic Signal par Tor ou un VPN, mais cela peut s’avérer techniquement difficile à mettre en œuvre et propice aux erreurs. Tout effort visant à rendre plus difficile la liaison d’une utilisatrice de Signal à une personne donnée est également rendu complexe par le fait que Signal exige de chaque compte qu’il soit lié à un numéro de téléphone (nous y reviendrons plus tard).

Dépendances et points faibles

Un service centralisé signifie non seulement qu’il existe un point de contrôle central, mais aussi un point faible unique : Signal ne fonctionne pas si le serveur Signal est en panne. Il est facile de l’oublier jusqu’au jour où cela se produit. Signal peut faire une erreur de configuration ou faire face à un afflux de nouveaux utilisateurs à cause d’un tweet viral et tout à coup Signal ne fonctionne carrément plus.

Signal pourrait également tomber en panne à la suite d’actions intentées par un adversaire. Imaginons une attaque par déni de service (ou tout autre cyberattaque) qui viserait à perturber le fonctionnement de Signal lors d’une rébellion massive. Les fournisseurs de services qui hébergent le serveur Signal pourraient également décider de le mettre hors service sans avertissement pour diverses raisons : sous la pression d’un adversaire, sous une pression politique, sous la pression de l’opinion publique ou pour des raisons financières.

Des adversaires qui contrôlent directement l’infrastructure Internet locale peuvent tout aussi bien perturber un service centralisé. Lorsque cela se produit dans certains endroits, Signal réagit en général rapidement en mettant en œuvre des solutions de contournement ou des modifications créatives, ce qui donne lieu à un jeu du chat et de la souris entre Signal et l’État qui tente de bloquer Signal dans la zone qu’il contrôle. Une fois encore, il s’agit de rester confiant dans le fait que les intérêts de Signal s’alignent toujours sur les nôtres lorsqu’un adversaire tente de perturber Signal de cette manière dans une région donnée.

Cryptocontroverse

En 2021, Signal a entrepris d’intégrer un nouveau système de paiement dans l’application en utilisant la crypto-monnaie MobileCoin. Si vous ne le saviez pas, vous n’êtes probablement pas le seul, mais c’est juste là, sur la page de vos paramètres.

MobileCoin est une crypto-monnaie peu connue, qui privilégie la protection de la vie privée, et que Moxie a également contribué à développer. Au-delà des débats sur les systèmes pyramidaux de crypto-monnaies, le problème est qu’en incluant ce type de paiements dans l’application, Signal s’expose à des vérifications de légalité beaucoup plus approfondies de la part des autorités. En effet, les crypto-monnaies étant propices à la criminalité et aux escroqueries, le gouvernement américain se préoccupe de plus en plus d’encadrer leur utilisation. Signal n’est pas une bande de pirates, c’est une organisation à but non lucratif très connue. Elle ne peut pas résister longtemps aux nouvelles lois que le gouvernement américain pourrait adopter pour réglementer les crypto-monnaies.

Si les millions d’utilisateurs de Signal utilisaient effectivement MobileCoin pour leurs transactions quotidiennes, il ne serait pas difficile d’imaginer que Signal fasse l’objet d’un plus grand contrôle de la part de l’organisme fédéral américain de réglementation (la Securities and Exchange Commission) ou autres autorités. Le gouvernement n’aime pas les systèmes de chiffrement, mais il aime encore moins les gens ordinaires qui paient pour de la drogue ou échappent à l’impôt. Imaginez un scénario dans lequel les cybercriminels s’appuieraient sur Signal et MobileCoin pour accepter les paiements des victimes de rançongiciels. Cela pourrait vraiment mettre le feu aux poudres et dégrader considérablement l’image de Signal en tant qu’outil de communication fiable et sécurisé.

Un mouchard en coulisses

Cette frustration devrait déjà être familière aux anarchistes qui utilisent Signal. En effet, les comptes Signal nécessitent un numéro de téléphone. Quel que soit le numéro de téléphone auquel un compte est lié, il est également divulgué à toute personne avec laquelle vous vous connectez sur Signal. En outre, il est très facile de déterminer si un numéro de téléphone donné est lié à un compte Signal actif.

Il existe des solutions pour contourner ce problème, mais elles impliquent toutes d’obtenir un numéro de téléphone qui n’est pas lié à votre identité afin de pouvoir l’utiliser pour ouvrir un compte Signal. En fonction de l’endroit où vous vous trouvez, des ressources dont vous disposez et de votre niveau de compétence technique, cette démarche peut s’avérer peu pratique, voire bien trop contraignante. Signal ne permet pas non plus d’utiliser facilement plusieurs comptes à partir du même téléphone ou ordinateur. Configurer plusieurs comptes Signal pour différentes identités, ou pour les associer à différents projets, devient une tâche énorme, d’autant plus que vous avez besoin d’un numéro de téléphone distinct pour chacun d’entre eux.

Pour des adversaires qui disposent de ressources limitées, il est toujours assez facile d’identifier une personne sur la base de son numéro de téléphone. En outre, s’ils se procurent un téléphone qui n’est pas correctement éteint ou chiffré, ils ont accès aux numéros de téléphone des contacts et des membres du groupe. Il s’agit évidemment d’un problème de sécurité opérationnelle qui dépasse le cadre de Signal, mais le fait que Signal exige que chaque compte soit lié à un numéro de téléphone accroît considérablement la possibilité de pouvoir cartographier le réseau, ce qui entraîne des conséquences dommageables.

On ignore si Signal permettra un jour l’existence de comptes sans qu’ils soient liés à un numéro de téléphone ou à un autre identifiant de la vie réelle. On a pu dire qu’ils ne le feront jamais, ou que le projet est en cours mais perdu dans les limbes⁶. Quoi qu’il en soit, il s’agit d’un problème majeur pour de nombreux cas d’utilisation par des anarchistes.

Vers une pratique plus stricte

Après avoir longuement discuté de Signal, il est temps de présenter quelques alternatives qui répondent à certains de ces problèmes : Briar et Cwtch. Briar et Cwtch sont, par leur conception même, extrêmement résistants aux métadonnées et offrent un meilleur anonymat. Ils sont également plus résilients, car ils ne disposent pas de serveur central ou de risque de défaillance en un point unique. Mais ces avantages ont un coût : une plus grande sécurité s’accompagne de quelques bizarreries d’utilisation auxquelles il faut s’habituer.

Rappelons que Cwtch et Briar sont des applications CPT :

C : comme Signal, les messages sont chiffrés de bout en bout,

P : pour la transmission en pair-à-pair,

T : les identités et les activités des utilisatrices sont anonymisées par l’envoi de tous messages via Tor.

Parce qu’elles partagent une architecture de base, elles ont de nombreuses fonctionnalités et caractéristiques communes.

Pair-à-pair

Signal est un service de communication centralisé, qui utilise un serveur pour relayer et transmettre chaque message que vous envoyez à vos amis. Les problèmes liés à ce modèle ont été longuement discutés ! Vous êtes probablement lassés d’en entendre parler maintenant. Le P de CPT signifie pair-à-pair. Dans un tel modèle, vous échangez des messages directement avec vos amis. Il n’y a pas de serveur central intermédiaire géré par un tiers. Chaque connexion directe s’appuie uniquement sur l’infrastructure plus large d’Internet.

Vous vous souvenez du bureau de poste Signal ? Avec un modèle pair-à-pair, vous ne passez pas par un service postal pour traiter votre courrier. Vous remettez vous-même chaque lettre directement à votre ami. Vous l’écrivez, vous la scellez dans une enveloppe (chiffrement de bout en bout), vous la mettez dans votre sac et vous traversez la ville à vélo pour la remettre en main propre.

La communication pair-à-pair offre une grande résistance aux métadonnées. Il n’y a pas de serveur central qui traite chaque message auquel des métadonnées peuvent être associées. Il est ainsi plus difficile pour les adversaires de collecter en masse des métadonnées sur les communications que de surveiller le trafic entrant et sortant de quelques serveurs centraux connus. Il n’y a pas non plus de point de défaillance unique. Tant qu’il existe une route sur Internet pour que vous et votre amie puissiez vous connecter, vous pouvez discuter.

Synchronisation

Il y a un point important à noter à propos de la communication pair-à-pair : comme il n’y a pas de serveur central pour stocker et relayer les messages, vous et votre ami devez tous deux avoir l’application en cours d’exécution et avoir une connexion en ligne pour échanger des messages. C’est pourquoi ces applications CPT privilégient la communication synchrone. Que se passe-t-il si vous traversez la ville à vélo pour remettre une lettre à vos amis et… qu’ils ne sont pas chez eux ? Si vous voulez vraiment faire du pair-à-pair, vous devez remettre la lettre en main propre. Vous ne pouvez pas simplement la déposer quelque part (il n’y a pas d’endroit assez sûr !). Vous devez être en mesure de joindre directement vos amis pour leur transmettre le message – c’est l’aspect synchrone de la communication de pair à pair.

Un appel téléphonique est un bon exemple de communication synchrone. Vous ne pouvez pas avoir de conversation téléphonique si vous n’êtes pas tous les deux au téléphone en même temps. Mais qui passe encore des appels téléphoniques ? De nos jours, nous sommes beaucoup plus habitués à un mélange de messagerie synchrone et asynchrone, et les services de communication centralisés comme Signal sont parfaits pour cela. Il arrive que vous et votre ami soyez tous deux en ligne et échangiez des messages en temps réel, mais le plus souvent, il y a un long décalage entre les messages envoyés et reçus. Au moins pour certaines personnes… Vous avez peut-être, en ce moment, votre téléphone allumé, à portée de main à tout moment. Vous répondez immédiatement à tous les messages que vous recevez, à toute heure de la journée. Donc toute communication est et doit être synchrone… si vous êtes dans ce cas, vous vous reconnaîtrez certainement.

Le passage à la communication textuelle synchrone peut être une vraie difficulté au début. Certaines lectrices et lecteurs se souviendront peut-être de ce que c’était lorsque on utilisait AIM, ICQ ou MSN Messenger (si vous vous en souvenez, vous avez mal au dos). Vous devez savoir si la personne est réellement en ligne ou non. Si la personne n’est pas en ligne, vous ne pouvez pas envoyer de messages pour plus tard. Si l’une d’entre vous ne laisse pas l’application en ligne en permanence, vous devez prendre l’habitude de prévoir des horaires pour discuter. Cela peut s’avérer très agréable. Paradoxalement, la normalisation de la communication asynchrone a entraîné le besoin d’être toujours en ligne et réactif. La communication synchrone encourage l’intentionnalité de nos communications, en les limitant aux moments où nous sommes réellement en ligne, au lieu de s’attendre à être en permanence plus ou moins disponibles.

Une autre conséquence importante de la synchronisation des connexions pair-à-pair est qu’elle peut rendre les discussions de groupe un peu bizarres. Que se passe-t-il si tous les membres du groupe ne sont pas en ligne au même moment ? Briar et Cwtch gèrent ce problème différemment, un sujet abordé plus bas, dans les sections relatives à chacune de ces applications.

Tor

Bien que la communication pair-à-pair soit très résistante aux métadonnées et évite d’autres écueils liés à l’utilisation d’un serveur central, elle ne protège pas à elle seule contre la collecte de métadonnées et l’analyse du trafic dans le cadre du « Big Data ». Tor est un très bon moyen de limiter ce problème, et les applications CPT font transiter tout le trafic par Tor.

Si vous êtes un⋅e anarchiste et que vous lisez ces lignes, vous devriez déjà connaître Tor et la façon dont il peut être utilisé pour assurer l’anonymat (ou plutôt la non-associativité). Les applications CPT permettent d’établir des connexions directes pair-à-pair pour échanger des messages par l’intermédiaire de Tor. Il est donc beaucoup plus difficile de vous observer de manière ciblée ou de vous pister et de corréler vos activités sur Internet, de savoir qui parle à qui ou de faire d’autres analyses utiles. Il est ainsi bien plus difficile de relier un utilisateur donné d’une application CPT à une identité réelle. Tout ce qu’un observateur peut voir, c’est que vous utilisez Tor.

Tor n’est pas un bouclier à toute épreuve et des failles potentielles ou des attaques sur le réseau Tor sont possibles. Entrer dans les détails du fonctionnement de Tor prendrait trop de temps ici, et il existe de nombreuses ressources en ligne pour vous informer. Il est également important de comprendre les mises en garde générales en ce qui concerne l’utilisation de Tor. Comme Signal, le trafic Tor peut également être altéré par des interférences au niveau de l’infrastructure Internet, ou par des attaques par déni de service qui ciblent l’ensemble du réseau Tor. Toutefois, il reste beaucoup plus difficile pour un adversaire de bloquer ou de perturber Tor que de mettre hors service ou de bloquer le serveur central de Signal.

Il faut souligner que dans certaines situations, l’utilisation de Tor peut vous singulariser. Si vous êtes la seule à utiliser Tor dans une région donnée ou à un moment donné, vous pouvez vous faire remarquer. Mais il en va de même pour toute application peu courante. Le fait d’avoir Signal sur votre téléphone vous permet également de vous démarquer. Plus il y a de gens qui utilisent Tor, mieux c’est, et s’il est utilisé correctement, Tor offre une meilleure protection contre les tentatives d’identification des utilisateurs que s’il n’était pas utilisé. Les applications CPT utilisent Tor pour tout, par défaut, de manière presque infaillible.

Pas de téléphone, pas de problème

Un point facilement gagné pour les deux applications CPT présentées ici : elles ne réclament pas de numéro de téléphone pour l’enregistrement d’un compte. Votre compte est créé localement sur votre appareil et l’identifiant du compte est une très longue chaîne de caractères aléatoires que vous partagez avec vos amis pour qu’ils deviennent des contacts. Vous pouvez facilement utiliser ces applications sur un ordinateur, sur un téléphone sans carte SIM ou sur un téléphone mais sans lien direct avec votre numéro de téléphone.

Mises en garde générales concernant les applications CPT

La fuite de statut

Les communications pair-à-pair laissent inévitablement filtrer un élément particulier de métadonnées : le statut en ligne ou hors ligne d’un utilisateur. Toute personne que vous avez ajoutée en tant que contact ou à qui vous avez confié votre identifiant (ou tout adversaire ayant réussi à l’obtenir) peut savoir si vous êtes en ligne ou hors ligne à un moment donné. Cela ne s’applique pas vraiment à notre modèle de menace, sauf si vous êtes particulièrement négligent avec les personnes que vous ajoutez en tant que contact, ou pour des événements publics qui affichent les identifiants d’utilisateurs. Mais cela vaut la peine d’être noté, parce qu’il peut parfois arriver que vous ne vouliez pas que tel ami sache que vous êtes en ligne !

Un compte par appareil

Lorsque vous ouvrez ces applications pour la première fois, vous créez un mot de passe qui sera utilisé pour chiffrer votre profil, vos contacts et l’historique de vos messages (si vous choisissez de le sauvegarder). Ces données restent chiffrées sur votre appareil lorsque vous n’utilisez pas l’application.

Comme il n’y a pas de serveur central, vous ne pouvez pas synchroniser votre compte sur plusieurs appareils. Vous pouvez migrer manuellement votre compte d’un appareil à l’autre, par exemple d’un ancien téléphone à un nouveau, mais il n’y a pas de synchronisation magique dans le cloud. Le fait d’avoir un compte distinct sur chaque appareil est une solution de contournement facile, qui encourage la compartimentation. Le fait de ne pas avoir à se soucier d’une version synchronisée sur un serveur central (même s’il est chiffré) ou sur un autre appareil est également un avantage. Cela oblige à considérer plus attentivement où se trouvent vos données et comment vous y accédez plutôt que de tout garder « dans le nuage » (c’est-à-dire sur l’ordinateur de quelqu’un d’autre). Il n’existe pas non plus de copie de vos données utilisateur qui serait sauvegardée sur un serveur tiers afin de restaurer votre compte en cas d’oubli de votre mot de passe ou de perte de votre appareil. Si c’est perdu… c’est perdu !.

Les seuls moyens de contourner ce problème sont : soit de confier à un serveur central une copie de vos contacts et de votre compte de média social, soit de faire confiance à un autre média social, de la même manière que Signal utilise votre liste de contacts composée de numéros de téléphone. Nous ne devrions pas faire confiance à un serveur central pour stocker ces informations (même sous forme chiffrée), ni utiliser quelque chose comme des numéros de téléphone. La possibilité de devoir reconstruire vos comptes de médias sociaux à partir de zéro est le prix à payer pour éviter ces problèmes de sécurité, et encourage la pratique qui consiste à maintenir et à rétablir des liens de confiance avec nos amis.

Durée de la batterie

Exécuter des connexions pair-à-pair avec Tor signifie que l’application doit être connectée et à l’écoute en permanence au cas où l’un de vos amis vous enverrait un message. Cela peut s’avérer très gourmand en batterie sur des téléphones anciens. Le problème se pose de moins en moins, car il y a une amélioration générale de l’utilisation des batteries et ces dernières sont de meilleure qualité.

Rien pour les utilisateurs d’iOS

Aucune de ces applications ne fonctionne sur iOS, principalement en raison de l’hostilité d’Apple à l’égard de toute application qui permet d’établir des connexions pair-à-pair avec Tor. Il est peu probable que cela change à l’avenir (mais ce n’est pas impossible).

Le bestiaire CPT

Il est temps de faire connaissance avec ces applications CPT. Elles disposent toutes les deux d’excellents manuels d’utilisation qui fournissent des informations complètes, mais voici un bref aperçu de leur fonctionnement, de leurs fonctionnalités et de la manière dont on les peut les utiliser.

Briar

Site officiel de Briar — Manuel de Briar

Histoire et philosophie de l’application

Briar est développé par le Briar Project, un collectif de développeurs, de hackers et de partisans du logiciel libre, principalement basé en Europe. En plus de résister à la surveillance et à la censure, la vision globale du projet consiste à construire une infrastructure de communication et d’outils à utiliser en cas de catastrophe ou de panne d’Internet. Cette vision est évidemment intéressante pour les anarchistes qui se trouvent dans des régions où il y a un risque élevé de coupure partielle ou totale d’Internet lors d’une rébellion, ou bien là où l’infrastructure générale peut s’effondrer (c.-à-d. partout). Si les connexions à Internet sont coupées, Briar peut synchroniser les messages par Wi-Fi ou Bluetooth. Briar permet également de partager l’application elle-même directement avec un ami. Elle peut même former un réseau maillé rudimentaire entre pairs, de sorte que certains types de messages peuvent passer d’un utilisateur à l’autre.

Briar est un logiciel open source et a également fait l’objet d’un audit de sécurité indépendant en 2013.

• À l’heure où nous écrivons ces lignes, Briar est disponible pour Android et la version actuelle est la 1.4.9.
• Une version desktop bêta est disponible pour Linux (version actuelle 0.2.1.), bien qu’il lui manque de nombreuses fonctionnalités.
• Des versions Windows et macOS du client desktop sont prévues.

Utiliser Briar

Conversation basique

Le clavardage de base fonctionne très bien. Les amis doivent s’ajouter mutuellement pour pouvoir se connecter. Briar dispose d’une petite interface agréable pour effectuer cette opération en présentiel en scannant les codes QR de l’autre. Mais il est également possible de le faire à distance en partageant les identifiants (sous la forme d’un « lien briar:// »), ou bien un utilisateur peut en « présenter » d’autres dans l’application, ce qui permet à deux utilisatrices de devenir des contacts l’une pour l’autre par l’intermédiaire de leur amie commune. Cette petite contrainte dans la manière d’ajouter des contacts peut sembler gênante, mais pensez à la façon dont ce modèle encourage des meilleures pratiques, notamment sur la confiance que l’on s’accorde en ajoutant des contacts. Briar a même un petit indicateur à côté de chaque nom d’utilisateur pour vous rappeler comment vous le « connaissez » (en personne, via des liens de partage, ou via un intermédiaire).

Actuellement, dans les discussions directes, vous pouvez envoyer des fichiers, utiliser des émojis, supprimer des messages ou les faire disparaître automatiquement au bout de sept jours. Si votre ami n’est pas en ligne, vous pouvez lui écrire un message qui sera envoyé automatiquement la prochaine fois que vous le verrez en ligne.

Groupes privés

Les groupes privés de Briar sont des groupes de discussion de base. Seul le créateur du groupe peut inviter d’autres membres. La création de groupes privés est donc très pensée en amont et destinée à un usage spécifique. Ils prennent en charge un affichage par fil de discussion (vous pouvez répondre directement à un message spécifique, même s’il ne s’agit pas du message le plus récent de la discussion), mais il s’agit d’un système assez rudimentaire. Il n’est pas possible d’envoyer des images dans un groupe privé, ni de supprimer des messages.

Avec Briar, les discussions de groupe étant véritablement sans serveur, les choses peuvent être un peu bizarres lorsque tous les membres du groupe ne sont pas en ligne en même temps. Vous vous souvenez de la synchronicité ? Tout message de groupe sera envoyé à tous les membres du groupe qui sont en ligne à ce moment-là. Briar s’appuie sur tous les membres d’un groupe pour relayer les messages aux autres membres qui ne sont pas en ligne. Si vous avez manqué certains messages dans une discussion de groupe, n’importe quel autre membre qui a reçu ces messages peut vous les transmettre lorsque vous êtes tous les deux en ligne.

Forums

Briar dispose également d’une fonction appelée Forums. Les forums fonctionnent de la même manière que les groupes privés, sauf que tout membre peut inviter d’autres membres.

Blog

La fonction de blog de Briar est plutôt sympa ! Chaque utilisateur dispose par défaut d’un flux de blog. Les articles de blog publiés par vos contacts s’affichent dans votre propre flux. Vous pouvez également commenter un billet, ou « rebloguer » le billet d’un contact pour qu’il soit partagé avec tous vos contacts (avec votre commentaire). En bref, c’est un réseau social rudimentaire qui fonctionne uniquement sur Briar.

Lecteur de flux RSS

Briar dispose également d’un lecteur de flux rss intégré qui récupère les nouveaux messages des sites d’information via Tor. Cela peut être un excellent moyen de lire le dernier communiqué de votre site de contre-information anarchiste préféré (qui fournit sûrement un flux rss, si vous ne le saviez pas déjà !). Les nouveaux messages qui proviennent des flux rss que vous avez ajoutés apparaissent dans le flux Blog, et vous pouvez les « rebloguer » pour les partager avec tous vos contacts.

Devenez un maillon

Briar propose de nombreux outils pour faire circuler des messages entre contacts, sans avoir recours à des serveurs centraux. Les forums et les blogs sont relayés d’un contact à l’autre, à l’instar des groupes privés qui synchronisent les messages entre les membres sans serveur. Tous vos contacts peuvent recevoir une copie d’un billet de blog ou de forum même si vous n’êtes pas en ligne en même temps – les contacts partagés transmettent le message pour vous. Briar ne crée pas de réseau maillé où les messages sont transmis via d’autres utilisateurs (ce qui pourrait permettre à un adversaire d’exploiter plusieurs comptes malveillants et de collecter des métadonnées). Briar ne confie aucun de vos messages à des utilisateurs auxquels ils ne sont pas destinés. Au contraire, chaque utilisatrice censée recevoir un message participe également à la transmission de ce message, et uniquement grâce à ses propres contacts. Cela peut s’avérer particulièrement utile pour créer un réseau de communication fiable qui fonctionne même si Internet est indisponible. Les utilisatrices de Briar peuvent synchroniser leurs messages par Wi-Fi ou Bluetooth. Vous pouvez vous rendre au café internet local, voir quelques amis et synchroniser divers messages de blogs et de forums. Puis une fois rentré, vos colocataires peuvent se synchroniser avec vous pour obtenir les mêmes mises à jour de tous vos contacts mutuels partagés.

Mises en garde pour Briar

Chaque instance de l’application ne prend en charge qu’un seul compte. Il n’est donc pas possible d’avoir plusieurs comptes sur le même appareil. Ce n’est pas un problème si vous utilisez Briar uniquement pour parler avec un groupe d’amis proches, mais cela rend difficile l’utilisation de Briar avec des groupes différents que vous voudriez compartimenter. Briar fournit pour cela plusieurs arguments basés sur la sécurité, dont l’un est simple : si le même appareil utilise plusieurs comptes, il pourrait théoriquement être plus facile pour un adversaire de déterminer que ces comptes sont liés, malgré l’utilisation de Tor. Si deux comptes ne sont jamais en ligne en même temps, il y a de fortes chances qu’ils utilisent le même téléphone portable pour leurs comptes Briar individuels. Il existe d’autres raisons, et aussi des solutions de contournement, toujours est-il qu’il n’est pas possible, pour le moment, d’avoir plusieurs profils sur le même appareil.

Le protocole Briar exige également que deux utilisatrices s’ajoutent mutuellement en tant que contacts, ou qu’ils soient parrainés par un ami commun, avant de pouvoir interagir. Cela empêche de publier une adresse Briar pour recevoir des messages anonymes. Par exemple, vous voudriez publier votre identifiant Briar pour recevoir des commentaires honnêtes sur un article qui compare différentes applications de chat sécurisées.

Briar et la communication asynchrone

De manière générale, les utilisateurs et utilisatrices apprécient beaucoup la communication asynchrone. Le projet Briar travaille sur une autre application : une boîte aux lettres (Briar Mailbox) qui pourrait être utilisée facilement sur un vieux téléphone Android ou tout autre machine bon marché. Cette boîte aux lettres resterait en ligne principalement pour recevoir des messages pour vous, puis se synchroniserait avec votre appareil principal via Tor lorsque vous êtes connecté. C’est une idée intéressante. Une seule boîte aux lettres Briar pourrait potentiellement être utilisée par plusieurs utilisateurs qui se font confiance, comme des colocataires dans une maison collective, ou les clients réguliers d’un magasin d’information local. Plutôt que de s’appuyer sur un serveur central pour faciliter les échanges asynchrones, un petit serveur facile à configurer et contrôlé par vous-même serait utilisé pour stocker les messages entrants pour vous et vos amis lorsque vous n’êtes pas en ligne. Ce système étant encore en cours de développement, son degré de sécurité (par exemple, savoir si les messages stockés ou d’autres métadonnées seraient suffisamment sûrs si un adversaire accédait à la boîte aux lettres) n’est pas connu et devra faire l’objet d’une évaluation.

Cwtch

Site officiel de Cwtch — Manuel de Cwtch

Historique et philosophie de l’application

Alors oui ce nom pas facile à prononcer… ça rime avec « butch ». Apparemment, il s’agit d’un mot gallois qui signifie une étreinte offrant comme un refuge dans les bras de quelqu’un.

Cwtch est développé par l’Open Privacy Research Society, une organisation à but non lucratif basée à Vancouver. Dans l’esprit, Cwtch pourrait être décrit comme un « Signal queer ». Open Privacy s’investit beaucoup dans la création d’outils destinés à « servir les communautés marginalisées » et à résister à l’oppression. Elle a également travaillé sur d’autres projets intéressants, comme la conception d’un outil appelé « Shatter Secrets », destiné à protéger les secrets contre les scénarios dans lesquels les individus peuvent être contraints de révéler un mot de passe (comme lors d’un passage de frontière).

Cwtch est également un logiciel open source et son protocole repose en partie sur le projet CPT antérieur nommé Ricochet. Cwtch est un projet plus récent que Briar, mais son développement est rapide et de nouvelles versions sortent fréquemment.

• À l’heure où nous écrivons ces lignes, la version actuelle est la 1.8.0.
• Cwtch est disponible pour Android, Windows, Linux et macOS.

Utiliser Cwtch

Lorsque vous ouvrez Cwtch pour la première fois, vous créez votre profil, protégé par un mot de passe. Votre nouveau profil se voit attribuer un mignon petit avatar et une adresse Cwtch. Contrairement à Briar, Cwtch peut prendre en charge plusieurs profils sur le même appareil, et vous pouvez en avoir plusieurs déverrouillés en même temps. C’est idéal si vous voulez avoir des identités séparées pour différents projets ou réseaux sans avoir à passer d’un appareil à l’autre (mais dans ce cas attention aux possibles risques de sécurité !).

Pour ajouter un ami, il suffit de lui donner votre adresse Cwtch. Il n’est pas nécessaire que vous et votre ami échangiez d’abord vos adresses pour discuter. Cela signifie qu’avec Cwtch, vous pouvez publier une adresse Cwtch publiquement et vos ami⋅e⋅s’ou non peuvent vous contacter de manière anonyme. Vous pouvez également configurer Cwtch pour qu’il bloque automatiquement les messages entrants provenant d’inconnus. Voici une adresse Cwtch pour contacter l’auteur de cet article si vous avez des commentaires ou envie d’écrire un quelconque message haineux :

g6px2uyn5tdg2gxpqqktnv7qi2i5frr5kf2dgnyielvq4o4emry4qzid

En mode conversation directe, Cwtch propose un formatage de texte riche, des emojis et des réponses. Chaque conversation peut être configurée pour « enregistrer l’historique » ou « supprimer l’historique » à la fermeture de Cwtch.

C’est le strict minimum et cela fonctionne très bien. Pour l’instant, toutes les autres fonctionnalités de Cwtch sont « expérimentales » et vous pouvez les choisir en y accédant par les paramètres. Cela comprend les discussions de groupe, le partage de fichiers, l’envoi de photos, les photos de profil, les aperçus d’images et les liens cliquables avec leurs aperçus. Le développement de Cwtch a progressé assez rapidement, donc au moment où vous lirez ces lignes, toutes ces fonctionnalités seront peut-être entièrement développées et disponibles par défaut.

Discussions de groupe

Cwtch propose également des discussions de groupe en tant que « fonction expérimentale ». Pour organiser cela, Cwtch utilise actuellement des serveurs gérés par les utilisateurs, ce qui est très différent de l’approche de Briar. Open Privacy considère que la résistance aux métadonnées des discussions de groupe est un problème ouvert, et j’espère qu’en lisant ce qui précède, vous comprendrez pourquoi. Tout comme le serveur Signal, les serveurs Cwtch sont conçus de telle sorte qu’ils soient toujours considérés comme « non fiables » et qu’ils puissent en apprendre le moins possible sur le contenu des messages ou les métadonnées. Mais bien entendu, ces serveurs sont gérés par des utilisateurs individuels et non par une tierce partie centrale.

Tout utilisateur de Cwtch peut devenir le « serveur » d’une discussion de groupe. C’est idéal pour les groupes à usage unique, où un utilisateur peut devenir l’« hôte » d’une réunion ou d’une discussion rapide. Les serveurs de discussion de groupe de Cwtch permettent également la transmission asynchrone des messages, de sorte qu’un groupe ou une communauté peut exploiter son propre serveur en permanence pour rendre service à ses membres. La façon dont Cwtch aborde les discussions de groupe est encore en cours de développement et pourrait changer à l’avenir, mais il s’agit pour l’instant d’une solution très prometteuse et sympathique.

Correspondance asynchrone avec Cwtch

Les discussions de groupe dans Cwtch permettent la correspondance asynchrone (tant que le serveur/hôte est en ligne), mais comme Briar, Cwtch exige que les deux contacts soient en ligne pour l’envoi de messages directs. Contrairement à Briar, Cwtch ne permet pas de mettre en file d’attente les messages à envoyer à un contact une fois qu’il est en ligne.

Cwtch et la question des crypto-monnaies

Fin 2019, Open Privacy, qui développe Cwtch, a reçu un don sans conditions de 40 000 dollars canadiens de la part de la fondation Zcash. Zcash est une autre crypto-monnaie centrée sur la vie privée, similaire mais nettement inférieure à Monero⁷. En 2019, Cwtch en était au tout début de son développement, et Open Privacy a mené quelques expériences exploratoires sur l’utilisation de Zcash ou de crypto-monnaies blockchain similaires comme des solutions créatives à divers défis relatifs au chiffrement, avec l’idée qu’elles pourraient être incorporées dans Cwtch à un moment ou à un autre. Depuis lors, aucun autre travail de développement avec Zcash ou d’autres crypto-monnaies n’a été associé à Cwtch, et il semble que ce ne soit pas une priorité ou un domaine de recherche pour Open Privacy. Toutefois, il convient de mentionner ce point comme un signal d’alarme potentiel pour les personnes qui se méfient fortement des systèmes de crypto-monnaies. Rappelons que Signal dispose déjà d’une crypto-monnaie entièrement fonctionnelle intégrée à l’application, qui permet aux utilisateurs d’envoyer et de recevoir des MobileCoin.

Conclusions

(… « X a quitté le groupe »)

De nombreux lecteurs se disent peut-être : « Les applications CPT ne semblent pas très bien prendre en charge les discussions de groupe… et j’adore les discussions de groupe ! »… Premièrement, qui aime vraiment les discussions de groupe ? Deuxièmement, c’est l’occasion de soulever des critiques sur la façon dont les anarchistes finissent par utiliser les discussions de groupe dans Signal, pour faire valoir que la façon dont elles sont mises en œuvre dans Briar et Cwtch ne devrait pas être un obstacle.

Signal, Cwtch et Briar vous permettent tous les trois d’organiser facilement un groupe en temps réel (synchrone !) pour une réunion ou une discussion collective rapide qui ne pourrait pas avoir lieu en présentiel. Mais lorsque les gens parlent de « discussion de groupe » (en particulier dans le contexte de Signal), ce n’est pas vraiment ce qu’ils veulent dire. Les discussions de groupe dans Signal deviennent souvent d’énormes flux continus de mises à jour semi-publiques, de « shitposts », de liens repartagés, etc. qui s’apparentent davantage à des pratiques de médias sociaux. Il y a plus de membres qu’il n’est possible d’en avoir pour une conversation vraiment fonctionnelle, sans parler de la prise de décision. La diminution de l’utilité et de la sécurité selon l’augmentation de la taille, de la portée et de la persistance des groupes Signal a été bien décrite dans l’excellent article Signal Fails. Plus un groupe de discussion s’éloigne de la petite taille, du court terme, de l’intention et de l’objectif principal, plus il est difficile à mettre en œuvre avec Briar et Cwtch — et ce n’est pas une mauvaise chose. Briar et Cwtch favorisent des habitudes plus saines et plus sûres, sans les « fonctionnalités » de Signal qui encouragent la dynamique des discussions de groupe critiquées dans des articles tels que « Signal Fails ».

Proposition

Briar et Cwtch sont deux initiatives encore jeunes. Certains anarchistes en ont déjà entendu parler et essaient d’utiliser l’un ou l’autre pour des projets ou des cas d’utilisation spécifiques. Les versions actuelles peuvent sembler plus lourdes à utiliser que Signal, et elles souffrent de l’effet de réseau – tout le monde utilise Signal, donc personne ne veut utiliser autre chose ⁸. Il est intéressant de souligner que les obstacles apparents à l’utilisation de Cwtch et Briar (encore en version bêta, effet de réseau, différent de ce à quoi vous êtes habitué, sans version iOS) sont exactement les mêmes que ceux qui ont découragé les premiers utilisateurs de Signal (alias TextSecure !).

Il est difficile d’amener les gens à se familiariser avec un nouvel outil et à commencer à l’utiliser. Surtout lorsque l’outil auquel ils sont habitués semble fonctionner à merveille ! Le défi est indéniable. Ce guide a pris des pages et des pages pour tenter de convaincre les anarchistes, qui sont peut-être ceux qui se préoccupent le plus de ces questions, qu’ils ont intérêt à utiliser ces applications.

Les anarchistes ont déjà réussi à adopter de nouveaux outils électroniques prometteurs, à les diffuser et à les utiliser efficacement lors des actions de lutte et de résistance. La normalisation de l’utilisation des applications CPT en plus ou à la place de Signal pour la communication électronique renforcera la résilience de nos communautés et de ceux que nous pouvons convaincre d’utiliser ces outils. Ils nous aideront à nous protéger de la collecte et de l’analyse de métadonnées de plus en plus puissantes, à ne pas dépendre d’un service centralisé et à rendre plus facile l’accès à l’anonymat.

Voici donc la proposition. Après avoir lu ce guide, mettez-le en pratique et partagez-le. Vous ne pouvez pas essayer Cwtch ou Briar seul, vous avez besoin d’au moins un ami pour cela. Installez-ces applications avec votre équipe et essayez d’utiliser l’une ou l’autre pour un projet spécifique qui vous convient. Organisez une réunion hebdomadaire avec les personnes qui ne peuvent pas se rencontrer en personne pour échanger des nouvelles qui, autrement, auraient été partagées dans un groupe de discussion agglutiné sur Signal. Gardez le contact avec quelques amis éloignés ou avec une équipe dont les membres sont distants. Vous n’êtes pas obligé de supprimer Signal (et vous ne le devriez probablement pas), mais vous contribuerez au minimum à renforcer la résilience en établissant des connexions de secours avec vos réseaux. Alors que la situation s’échauffe, la probabilité d’une répression intensive ou de fractures sociétales telles que celles qui perturbent Signal dans d’autres pays est de plus en plus grande partout, et nous aurons tout intérêt à mettre en place nos moyens de communication alternatifs le plus tôt possible !

Briar et Cwtch sont tous deux en développement actif, par des anarchistes et des sympathisants à nos causes. En les utilisant, que ce soit sérieusement ou pour le plaisir, nous pouvons contribuer à leur développement en signalant les bogues et les vulnérabilités, et en incitant leurs développeurs à continuer, sachant que leur projet est utilisé. Peut-être même que les plus férus d’informatique d’entre nous peuvent contribuer directement, en vérifiant le code et les protocoles ou même en participant à leur développement.

Outre la lecture de ce guide, essayer d’utiliser ces applications en tant que groupe d’utilisateurs curieux est le meilleur moyen d’apprécier en quoi elles sont structurellement différentes de Signal. Même si vous ne pouvez pas vous résoudre à utiliser ces applications régulièrement, le fait d’essayer différents outils de communication sécurisés et de comprendre comment, pourquoi et en quoi ils sont différents de ceux qui vous sont familiers améliorera vos connaissances en matière de sécurité numérique. Il n’est pas nécessaire de maîtriser les mathématiques complexes qui sous-tendent l’algorithme de chiffrement à double cliquet de Signal, mais une meilleure connaissance et une meilleure compréhension du fonctionnement théorique et pratique de ces outils permettent d’améliorer la sécurité opérationnelle dans son ensemble. Tant que nous dépendons d’une infrastructure pour communiquer, nous devrions essayer de comprendre comment cette infrastructure fonctionne, comment elle nous protège ou nous rend vulnérables, et explorer activement les moyens de la renforcer.

Le mot de la fin

Toute cette discussion a porté sur les applications de communication sécurisées qui fonctionnent sur nos téléphones et nos ordinateurs. Le mot de la fin doit rappeler que même si l’utilisation d’outils de chiffrement et d’anonymisation des communications en ligne peut vous protéger contre vos adversaires, vous ne devez jamais saisir ou dire quoi que ce soit sur une application ou un appareil sans savoir que cela pourrait être interprété devant un tribunal. Rencontrer vos amis, face à face, en plein air et loin des caméras et autres appareils électroniques est de loin le moyen le plus sûr d’avoir une conversation qui doit être sécurisée et privée. Éteignez votre téléphone, posez-le et sortez !

Appendice : d’autres applications dont vous n’avez pas forcément entendu parler

Ricochet Refresh

Ricochet était une toute première application CPT de bureau financée par le Blueprint for Free Speech, basé en Europe. Ricochet Refresh est la version actuelle. Fondamentalement, elle est très similaire à Cwtch et Briar, mais assez rudimentaire – elle dispose d’un système basique de conversation directe et de transfert de fichiers, et ne fonctionne que sur MacOS, Linux et Windows. Cette application est fonctionnelle, mais dépouillée, et n’a pas de version pour mobiles.

OnionShare

OnionShare est un projet fantastique qui fonctionne sur n’importe quel ordinateur de bureau et qui est fourni avec Tails et d’autres systèmes d’exploitation. Il permet d’envoyer et de recevoir facilement des fichiers ou d’avoir un salon de discussion éphémère rudimentaire via Tor. Il est également CPT !

Telegram

Telegram est en fait comme Twitter. Il peut s’avérer utile d’y être présent dans certains scénarios, mais il ne devrait pas être utilisé pour des communications sécurisées car il y a des fuites de métadonnées partout. Il n’est probablement pas utile de passer plus de temps à critiquer Telegram ici, mais il ne devrait pas être utilisé là où la vie privée ou la sécurité sont exigées.

Tox

Tox est un projet similaire à Briar et Cwtch, mais il n’utilise pas Tor – c’est juste CP. Tox peut être routé manuellement à travers Tor. Aucune des applications développées pour Tox n’est particulièrement conviviale.

Session

Session mérite qu’on s’y attarde un peu. L’ambiance y est très libertarienne, et activiste façon « free-speech movement ». Session utilise le protocole de chiffrement robuste de Signal, est en pair-à-pair pour les messages directs et utilise également le routage Onion pour l’anonymat (le même principe que celui qui est à la base de Tor). Cependant, au lieu de Tor, Session utilise son propre réseau de routage Onion pour lequel une « participation financière » est nécessaire afin de faire fonctionner un nœud de service qui constitue le réseau Onion. Point essentiel, cette participation financière prend la forme d’une crypto-monnaie administrée par la fondation qui développe Session. Le projet est intéressant d’un point de vue technologique, astucieux même, mais il s’agit d’une solution très « web3 » drapée dans une culture cryptobro. Malgré tout ce qu’ils prétendent, leurs discussions de groupe ne sont pas conçues pour être particulièrement résistantes à la collecte de métadonnées, et les grandes discussions de groupe semi-publiques sont simplement hébergées sur des serveurs centralisés (et apparemment envahis par des cryptobros d’extrême-droite). Peut-être que si la blockchain finit par s’imposer, ce sera une bonne option, mais pour l’instant, on ne peut pas la recommander en toute bonne conscience.

Molly

Molly est un fork du client Signal pour Android. Il utilise toujours le serveur Signal mais propose un peu plus de sécurité et de fonctionnalités sur l’appareil.

Contact

Cet article a été écrit originellement en août 2022. Courriel de l’auteur : pettingzoo riseup net ou via Cwtch : g6px2uyn5tdg2gxpqqktnv7qi2i5frr5kf2dgnyielvq4o4emry4qzid

---

---

1. Par le biais d’un hameçonnage ou d’une ruse↩
2. Cependant, Signal semble vraiment vouloir obtenir davantage de dons de la part des utilisateurs, malgré le prêt de 50 millions de dollars contracté par l’entreprise. ¯_(ツ)_/¯↩
3. Au lieu d’un serveur physique unique, il s’agit en fait d’un énorme réseau de serveurs loués dans les datacenters d’Amazon un peu partout aux États-Unis – ce qui peut être résumé à un serveur Signal unique pour les besoins de notre discussion.↩
4. Récemment, Signal a choisi de fermer une partie du code de son serveur, soi-disant pour lui permettre de lutter contre le spam sur la plateforme. Cela signifie que désormais, une petite partie du code du serveur Signal n’est pas partagée publiquement. Ce changement dénote également une augmentation, bien qu’extrêmement minime, de la collecte de métadonnées côté serveur, puisqu’elle est nécessaire pour faciliter la lutte efficace contre le spam, même de manière basique. Il n’y a aucune raison de suspecter une manœuvre malveillante, mais il est important de noter qu’il s’agit là encore d’une décision stratégique qui sacrifie les questions de sécurité dans l’intérêt de l’expérience de l’utilisateur.↩
5. Stewart Baker, Conseiller Général de la NSA.↩
6. Pardonnez ce pavé sur les numéros de téléphone. Bien que, dans les fils de questions-réponses sur Github, Signal ait mentionné être ouvert à l’idée de ne plus exiger de numéro de téléphone, il n’y a pas eu d’annonce officielle indiquant qu’il s’agissait d’une fonctionnalité à venir et en cours de développement. Il semblerait que l’un des problèmes liés à l’abandon des numéros de téléphone pour l’enregistrement soit la rupture de la compatibilité avec les anciens comptes Signal, en raison de la manière dont les choses étaient mises en œuvre à l’époque de TextSecure. C’est paradoxal, étant donné que le principal argument de Moxie contre les modèles décentralisés est qu’il serait trop difficile d’aller vite – il y a trop de travail à faire avant de pouvoir mettre en œuvre de nouvelles fonctionnalités. Et pourtant, Signal est bloqué par un problème très embarrassant à cause d’un ancien code concernant l’enregistrement des comptes auprès d’un serveur central. Moxie a également expliqué que les numéros de téléphone sont utilisés comme point de référence de votre identité dans Signal pour faciliter la préservation de votre « graphe social ». Au lieu que Signal ait à maintenir une sorte de réseau social en votre nom, tous vos contacts sont identifiés par leur numéro de téléphone dans le carnet d’adresses de votre téléphone, ce qui facilite le maintien et la conservation de votre liste de contacts lorsque vous passez d’autres applications à Signal, ou si vous avez un nouveau téléphone, ou que sais-je encore. Pour Moxie, il semble qu’avoir à « redécouvrir » ses contacts régulièrement et en tout lieu soit un horrible inconvénient. Pour les anarchistes, cela devrait être considéré comme un avantage d’avoir à maintenir intentionnellement notre « graphe social » basé sur nos affinités, nos désirs et notre confiance. Nous devrions constamment réévaluer et réexaminer qui fait partie de notre « graphe social » pour des raisons de sécurité (est-ce que je fais encore confiance à tous ceux qui ont mon numéro de téléphone d’il y a 10 ans ?) et pour encourager des relations sociales intentionnelles (suis-je toujours ami avec tous ceux qui ont mon numéro de téléphone d’il y a 10 ans ?). Dernière anecdote sur l’utilisation des numéros de téléphone par Signal : Signal dépense plus d’argent pour la vérification des numéros de téléphone que pour l’hébergement du reste du service : 1 017 990 dollars pour Twillio, le service de vérification des numéros de téléphone, contre 887 069 dollars pour le service d’hébergement web d’Amazon.↩
7. Le créateur de Zcash, un cypherpunk du nom de Zooko Wilcox-O’Hearn, semble prétendre que Zcash est privé mais ne peut pas être utilisé dans un but criminel…↩
8. Avez-vous un moment pour parler d’interopérabilité et de fédération ? Peut-être plus tard…↩

On peut rêver d’une solution technologique ou juridique pour limiter ou interdire l’utilisation d’un logiciel à des groupes ou personnes qui ne partagent pas les valeurs auxquelles on tient ou pire veulent les détruire.
L’entreprise est bien plus délicate qu’il n’y paraît, y compris pour les réseaux alternatifs décentralisés (ou plutôt acentrés) qu’on regroupe sous le terme de Fediverse. Il ne suffit pas en effet de dire que chaque instance décide de ses propres règles pour se débarrasser des difficultés.

Dans l’article qui suit, Christophe Masutti prend acte de la fin d’une illusion : l’idéal d’un grand espace de communication démocratique, égalitaire et ouvert à tous n’existe pas plus avec les Gafam qu’avec le Fediverse et ses réseaux alternatifs.

Face aux grandes plateformes centralisées de médias sociaux qui ne recherchent nullement à diffuser ou promouvoir le débat démocratique éclairé comme elles le prétendent mais à monétiser le spectacle d’un pseudo-débat, nous sommes confrontées au grand fourre-tout où distinguer le pire du meilleur renvoie chacun à une tâche colossale et indéfiniment renouvelée.

Cependant ce qui change la donne avec le Fediverse, c’est que la question de la fermeture à d’autres ne prend en compte ni le profit ni le facteur nombre : les instances sans objectif lucratif ont leurs qualités et leurs défauts propres, qu’elles aient deux ou deux cent mille utilisatrices. Et selon Christophe, les rapports entre les instances restent à écrire, à la manière dont les rapports variables entre les habitants d’un quartier déterminent leurs rapports individuels et collectifs…

Les médias sociaux ne sont pas des espaces démocratiques

par Christophe Masutti

Lors d’une récente interview avec deux autres framasoftiennes à propos du Fediverse et des réseaux sociaux dits « alternatifs », une question nous fut posée :

dans la mesure où les instances de service de micro-blogging (type Mastodon) ou de vidéo (comme Peertube) peuvent afficher des « lignes éditoriales » très différentes les unes des autres, comment gérer la modération en choisissant de se fédérer ou non avec une instance peuplée de fachos ou comment se comporter vis-à-vis d’une instance communautaire et exclusive qui choisit délibérément de ne pas être fédérée ou très peu ?

De manière assez libérale et pour peu que les conditions d’utilisation du service soient clairement définies dans chaque instance, on peut répondre simplement que la modération demande plus ou moins de travail, que chaque instance est tout à fait libre d’adopter sa propre politique éditoriale, et qu’il s’agit de choix individuels (ceux du propriétaire du serveur qui héberge l’instance) autant que de choix collectifs (si l’hébergeur entretient des relations diplomatiques avec les membres de son instance). C’est une évidence.

La difficulté consistait plutôt à expliquer pourquoi, dans la conception même des logiciels (Mastodon ou Peertube, en l’occurrence) ou dans les clauses de la licence d’utilisation, il n’y a pas de moyen mis en place par l’éditeur du logiciel (Framasoft pour Peertube, par exemple) afin de limiter cette possibilité d’enfermement de communautés d’utilisateurs dans de grandes bulles de filtres en particulier si elles tombent dans l’illégalité. Est-il légitime de faire circuler un logiciel qui permet à ♯lesgens de se réunir et d’échanger dans un entre-soi homogène tout en prétendant que le Fediverse est un dispositif d’ouverture et d’accès égalitaire ?

Une autre façon de poser la question pourrait être la suivante : comment est-il possible qu’un logiciel libre puisse permettre à des fachos d’ouvrir leurs propres instance de microblogging en déversant impunément sur le réseau leurs flots de haine et de frustrations ?¹

Bien sûr nous avons répondu à ces questions, mais à mon avis de manière trop vague. C’est qu’en réalité, il y a plusieurs niveaux de compréhension que je vais tâcher de décrire ici.

Il y a trois aspects :

1. l’éthique du logiciel libre n’inclut pas la destination morale des logiciels libres, tant que la loyauté des usages est respectée, et la première clause des 4 libertés du logiciel libre implique la liberté d’usage : sélectionner les utilisateurs finaux en fonction de leurs orientations politique, sexuelles, etc. contrevient fondamentalement à cette clause…
2. … mais du point de vue technique, on peut en discuter car la conception du logiciel pourrait permettre de repousser ces limites éthiques²,
3. et la responsabilité juridique des hébergeurs implique que ces instances fachos sont de toute façon contraintes par l’arsenal juridique adapté ; ce à quoi on pourra toujours rétorquer que cela n’empêche pas les fachos de se réunir dans une cave (mieux : un local poubelle) à l’abri des regards.

Mais est-ce suffisant ? se réfugier derrière une prétendue neutralité de la technique (qui n’est jamais neutre), les limites éthiques ou la loi, ce n’est pas une bonne solution. Il faut se poser la question : que fait-on concrètement non pour interdire certains usages du Fediverse, mais pour en limiter l’impact social négatif ?

La principale réponse, c’est que le modèle économique du Fediverse ne repose pas sur la valorisation lucrative des données, et que se détacher des modèles centralisés implique une remise en question de ce que sont les « réseaux » sociaux. La vocation d’un dispositif technologique comme le Fediverse n’est pas d’éliminer les pensées fascistes et leur expression, pas plus que la vocation des plateformes Twitter et Facebook n’est de diffuser des modèles démocratiques, malgré leur prétention à cet objectif. La démocratie, les échanges d’idées, et de manière générale les interactions sociales ne se décrètent pas par des modèles technologiques, pas plus qu’elles ne s’y résument.

Prétendre le contraire serait les restreindre à des modèles et des choix imposés (et on voit bien que la technique ne peut être neutre). Si Facebook, Twitter et consorts ont la prétention d’être les gardiens de la liberté d’expression, c’est bien davantage pour exploiter les données personnelles à des fins lucratives que pour mettre en place un débat démocratique.

 

Exit le vieux rêve du global village ? En fait, cette vieille idée de Marshall McLuhan ne correspond pas à ce que la plupart des gens en ont retenu. En 1978, lorsque Murray Turoff et Roxanne Hiltz publient The Network Nation, ils conceptualisent vraiment ce qu’on entend par « Communication médiée par ordinateur » : échanges de contenus (volumes et vitesse), communication sociale-émotionnelle (les émoticônes), réduction des distances et isolement, communication synchrone et asynchrone, retombées scientifiques, usages domestiques de la communication en ligne, etc. Récompensés en 1994 par l’EFF Pioneer Award, Murray Turoff et Roxanne Hiltz sont aujourd’hui considérés comme les « parents » des systèmes de forums et de chat massivement utilisés aujourd’hui. Ce qu’on a retenu de leurs travaux, et par la suite des nombreuses applications, c’est que l’avenir du débat démocratique, des processus de décision collective (M. Turoff travaillait pour des institutions publiques) ou de la recherche de consensus, reposent pour l’essentiel sur les technologies de communication. C’est vrai en un sens, mais M. Turoff mettait en garde³ :

Dans la mesure où les communications humaines sont le mécanisme par lequel les valeurs sont transmises, tout changement significatif dans la technologie de cette communication est susceptible de permettre ou même de générer des changements de valeur.

Communiquer avec des ordinateurs, bâtir un système informatisé de communication sociale-émotionnelle ne change pas seulement l’organisation sociale, mais dans la mesure où l’ordinateur se fait de plus en plus le support exclusif des communications (et les prédictions de Turoff s’avéreront très exactes), la communication en réseau fini par déterminer nos valeurs.

Aujourd’hui, communiquer dans un espace unique globalisé, centralisé et ouvert à tous les vents signifie que nous devons nous protéger individuellement contre les atteintes morales et psychiques de celleux qui s’immiscent dans nos échanges. Cela signifie que nos écrits puissent être utilisés et instrumentalisés plus tard à des fins non souhaitées. Cela signifie qu’au lieu du consensus et du débat démocratique nous avons en réalité affaire à des séries de buzz et des cancans. Cela signifie une mise en concurrence farouche entre des contenus discursifs de qualité et de légitimités inégales mais prétendument équivalents, entre une casserole qui braille La donna è mobile et la version Pavarotti, entre une conférence du Collège de France et un historien révisionniste amateur dans sa cuisine, entre des contenus journalistiques et des fake news, entre des débats argumentés et des plateaux-télé nauséabonds.

Tout cela ne relève en aucun cas du consensus et encore moins du débat, mais de l’annulation des chaînes de valeurs (quelles qu’elles soient) au profit d’une mise en concurrence de contenus à des fins lucratives et de captation de l’attention. Le village global est devenu une poubelle globale, et ce n’est pas brillant.

---

Là où les médias sociaux centralisés impliquaient une ouverture en faveur d’une croissance lucrative du nombre d’utilisateurs, le Fediverse se fout royalement de ce nombre, pourvu qu’il puisse mettre en place des chaînes de confiance.

---

Dans cette perspective, le Fediverse cherche à inverser la tendance. Non par la technologie (le protocole ActivityPub ou autre), mais par le fait qu’il incite à réfléchir sur la manière dont nous voulons conduire nos débats et donc faire circuler l’information.

On pourrait aussi bien affirmer qu’il est normal de se voir fermer les portes (ou du moins être exclu de fait) d’une instance féministe si on est soi-même un homme, ou d’une instance syndicaliste si on est un patron, ou encore d’une instance d’un parti politique si on est d’un autre parti. C’est un comportement tout à fait normal et éminemment social de faire partie d’un groupe d’affinités, avec ses expériences communes, pour parler de ce qui nous regroupe, d’actions, de stratégies ou simplement un partage d’expériences et de subjectivités, sans que ceux qui n’ont pas les mêmes affinités ou subjectivités puissent s’y joindre. De manière ponctuelle on peut se réunir à l’exclusion d’autre groupes, pour en sortir à titre individuel et rejoindre d’autre groupes encore, plus ouverts, tout comme on peut alterner entre l’intimité d’un salon et un hall de gare.

Dans ce texte paru sur le Framablog, A. Mansoux et R. R. Abbing montrent que le Fediverse est une critique de l’ouverture. Ils ont raison. Là où les médias sociaux centralisés impliquaient une ouverture en faveur d’une croissance lucrative du nombre d’utilisateurs, le Fediverse se fout royalement de ce nombre, pourvu qu’il puisse mettre en place des chaînes de confiance.

Un premier mouvement d’approche consiste à se débarrasser d’une conception complètement biaisée d’Internet qui fait passer cet ensemble de réseaux pour une sorte de substrat technique sur lequel poussent des services ouverts aux publics de manière égalitaire. Évidemment ce n’est pas le cas, et surtout parce que les réseaux ne se ressemblent pas, certains sont privés et chiffrés (surtout dans les milieux professionnels), d’autres restreints, d’autres plus ouverts ou complètement ouverts. Tous dépendent de protocoles bien différents. Et concernant les médias sociaux, il n’y a aucune raison pour qu’une solution technique soit conçue pour empêcher la première forme de modération, à savoir le choix des utilisateurs. Dans la mesure où c’est le propriétaire de l’instance (du serveur) qui reste in fine responsable des contenus, il est bien normal qu’il puisse maîtriser l’effort de modération qui lui incombe. Depuis les années 1980 et les groupes usenet, les réseaux sociaux se sont toujours définis selon des groupes d’affinités et des règles de modération clairement énoncées.

À l’inverse, avec des conditions générales d’utilisation le plus souvent obscures ou déloyales, les services centralisés tels Twitter, Youtube ou Facebook ont un modèle économique tel qu’il leur est nécessaire de drainer un maximum d’utilisateurs. En déléguant le choix de filtrage à chaque utilisateur, ces médias sociaux ont proposé une représentation faussée de leurs services :

1. Faire croire que c’est à chaque utilisateur de choisir les contenus qu’il veut voir alors que le système repose sur l’économie de l’attention et donc sur la multiplication de contenus marchands (la publicité) et la mise en concurrence de contenus censés capter l’attention. Ces contenus sont ceux qui totalisent plus ou moins d’audience selon les orientations initiales de l’utilisateur. Ainsi on se voit proposer des contenus qui ne correspondent pas forcément à nos goûts mais qui captent notre attention parce de leur nature attrayante ou choquante provoquent des émotions.
2. Faire croire qu’ils sont des espaces démocratiques. Ils réduisent la démocratie à la seule idée d’expression libre de chacun (lorsque Trump s’est fait virer de Facebook les politiques se sont sentis outragés… comme si Facebook était un espace public, alors qu’il s’agit d’une entreprise privée).

Les médias sociaux mainstream sont tout sauf des espaces où serait censée s’exercer la démocratie bien qu’ils aient été considérés comme tels, dans une sorte de confusion entre le brouhaha débridé des contenus et la liberté d’expression. Lors du « printemps arabe » de 2010, par exemple, on peut dire que les révoltes ont beaucoup reposé sur la capacité des réseaux sociaux à faire circuler l’information. Mais il a suffi aux gouvernements de censurer les accès à ces services centralisés pour brider les révolutions. Ils se servent encore aujourd’hui de cette censure pour mener des négociations diplomatiques qui tantôt cherchent à attirer l’attention pour obtenir des avantages auprès des puissances hégémoniques tout en prenant la « démocratie » en otage, et tantôt obligent les GAFAM à se plier à la censure tout en facilitant la répression. La collaboration est le sport collectif des GAFAM. En Turquie, Amnesty International s’en inquiète et les exemples concrets ne manquent pas comme au Vietnam récemment.

Si les médias sociaux comme Twitter et Facebook sont devenus des leviers politiques, c’est justement parce qu’ils se sont présentés comme des supports technologiques à la démocratie. Car tout dépend aussi de ce qu’on entend par « démocratie ». Un mot largement privé de son sens initial comme le montre si bien F. Dupuis-Déri⁴. Toujours est-il que, de manière très réductrice, on tient pour acquis qu’une démocratie s’exerce selon deux conditions : que l’information circule et que le débat public soit possible.

Même en réduisant la démocratie au schéma techno-structurel que lui imposent les acteurs hégémoniques des médias sociaux, la question est de savoir s’il permettent la conjonction de ces conditions. La réponse est non. Ce n’est pas leur raison d’être.

Alors qu’Internet et le Web ont été élaborés au départ pour être des dispositifs égalitaires en émission et réception de pair à pair, la centralisation des accès soumet l’émission aux conditions de l’hébergeur du service. Là où ce dernier pourrait se contenter d’un modèle marchand basique consistant à faire payer l’accès et relayer à l’aveugle les contenus (ce que fait La Poste, encadrée par la loi sur les postes et télécommunications), la salubrité et la fiabilité du service sont fragilisés par la responsabilisation de l’hébergeur par rapport à ces contenus et la nécessité pour l’hébergeur à adopter un modèle économique de rentabilité qui repose sur la captation des données des utilisateurs à des fins de marketing pour prétendre à une prétendue gratuité du service⁵. Cela implique que les contenus échangés ne sont et ne seront jamais indépendants de toute forme de censure unilatéralement décidée (quoi qu’en pensent les politiques qui entendent légiférer sur l’emploi des dispositifs qui relèveront toujours de la propriété privée), et jamais indépendants des impératifs financiers qui justifient l’économie de surveillance, les atteintes à notre vie privée et le formatage comportemental qui en découlent.

Paradoxalement, le rêve d’un espace public ouvert est tout aussi inatteignable pour les médias sociaux dits « alternatifs », où pour des raisons de responsabilité légale et de choix de politique éditoriale, chaque instance met en place des règles de modération qui pourront toujours être considérées par les utilisateurs comme abusives ou au moins discutables. La différence, c’est que sur des réseaux comme le Fediverse (ou les instances usenet qui reposent sur NNTP), le modèle économique n’est pas celui de l’exploitation lucrative des données et n’enferme pas l’utilisateur sur une instance en particulier. Il est aussi possible d’ouvrir sa propre instance à soi, être le seul utilisateur, et néanmoins se fédérer avec les autres.

De même sur chaque instance, les règles d’usage pourraient être discutées à tout moment entre les utilisateurs et les responsables de l’instance, de manière à créer des consensus. En somme, le Fediverse permet le débat, même s’il est restreint à une communauté d’utilisateurs, là où la centralisation ne fait qu’imposer un état de fait tout en tâchant d’y soumettre le plus grand nombre. Mais dans un pays comme le Vietnam où l’essentiel du trafic Internet passe par Facebook, les utilisateurs ont-ils vraiment le choix ?

Ce sont bien la centralisation et l’exploitation des données qui font des réseaux sociaux comme Facebook, YouTube et Twitter des instruments extrêmement sensibles à la censure d’État, au service des gouvernements totalitaires, et parties prenantes du fascisme néolibéral.

L’affaire Cambridge Analytica a bien montré combien le débat démocratique sur les médias sociaux relève de l’imaginaire, au contraire fortement soumis aux effets de fragmentation discursive. Avant de nous demander quelles idéologies elles permettent de véhiculer nous devons interroger l’idéologie des GAFAM. Ce que je soutiens, c’est que la structure même des services des GAFAM ne permet de véhiculer vers les masses que des idéologies qui correspondent à leurs modèles économiques, c’est-à-dire compatibles avec le profit néolibéral.

En reprenant des méthodes d’analyse des années 1970-80, le marketing psychographique et la socio-démographie⁶, Cambridge Analytica illustre parfaitement les trente dernières années de perfectionnement de l’analyse des données comportementales des individus en utilisant le big data. Ce qui intéresse le marketing, ce ne sont plus les causes, les déterminants des choix des individus, mais la possibilité de prédire ces choix, peu importent les causes. La différence, c’est que lorsqu’on applique ces principes, on segmente la population par stéréotypage dont la granularité est d’autant plus fine que vous disposez d’un maximum de données. Si vous voulez influencer une décision, dans un milieu où il est possible à la fois de pomper des données et d’en injecter (dans les médias sociaux, donc), il suffit de voir quels sont les paramètres à changer. À l’échelle de millions d’individus, changer le cours d’une élection présidentielle devient tout à fait possible derrière un écran.

C’est la raison pour laquelle les politiques du moment ont surréagi face au bannissement de Trump des plateformes comme Twitter et Facebook (voir ici ou là). Si ces plateformes ont le pouvoir de faire taire le président des États-Unis, c’est que leur capacité de caisse de résonance accrédite l’idée qu’elles sont les principaux espaces médiatiques réellement utiles aux démarches électoralistes. En effet, nulle part ailleurs il n’est possible de s’adresser en masse, simultanément et de manière segmentée (ciblée) aux populations. Ce faisant, le discours politique ne s’adresse plus à des groupes d’affinité (un parti parle à ses sympathisants), il ne cherche pas le consensus dans un espace censé servir d’agora géante où aurait lieu le débat public. Rien de tout cela. Le discours politique s’adresse désormais et en permanence à chaque segment électoral de manière assez fragmentée pour que chacun puisse y trouver ce qu’il désire, orienter et conforter ses choix en fonction de ce que les algorithmes qui scandent les contenus pourront présenter (ou pas). Dans cette dynamique, seul un trumpisme ultra-libéral pourra triompher, nulle place pour un débat démocratique, seules triomphent les polémiques, la démagogie réactionnaire et ce que les gauches ont tant de mal à identifier⁷ : le fascisme.

Face à cela, et sans préjuger de ce qu’il deviendra, le Fediverse propose une porte de sortie sans toutefois remettre au goût du jour les vieilles représentations du village global. J’aime à le voir comme une multiplication d’espaces (d’instances) plus où moins clos (ou plus ou moins ouverts, c’est selon) mais fortement identifiés et qui s’affirment les uns par rapport aux autres, dans leurs différences ou leurs ressemblances, en somme dans leurs diversités.

C’est justement cette diversité qui est à la base du débat et de la recherche de consensus, mais sans en constituer l’alpha et l’oméga. Les instances du Fediverse, sont des espaces communs d’immeubles qui communiquent entre eux, ou pas, ni plus ni moins. Ils sont des lieux où l’on se regroupe et où peuvent se bâtir des collectifs éphémères ou non. Ils sont les supports utilitaires où des pratiques d’interlocution non-concurrentielles peuvent s’accomplir et s’inventer : microblog, blog, organiseur d’événement, partage de vidéo, partage de contenus audio, et toute application dont l’objectif consiste à outiller la liberté d’expression et non la remplacer.

Angélisme ? Peut-être. En tout cas, c’est ma manière de voir le Fediverse aujourd’hui. L’avenir nous dira ce que les utilisateurs en feront.

 

 

---

1. On peut se référer au passage de la plateforme suprémaciste Gab aux réseaux du Fediverse, mais qui finalement fut bloquée par la plupart des instances du réseau.↩
2. Par exemple, sans remplacer les outils de modération par du machine learning plus ou moins efficace, on peut rendre visible davantage les procédures de reports de contenus haineux, mais à condition d’avoir une équipe de modérateurs prête à réceptionner le flux : les limites deviennent humaines.↩
3. Turoff, Murray, and Starr Roxane Hiltz. 1994. The Network Nation: Human Communication via Computer. Cambridge: MIT Press, p. 401.↩
4. Dupuis-Déri, Francis. Démocratie, histoire politique d’un mot: aux États-Unis et en France. Montréal (Québec), Canada: Lux, 2013.↩
5. Et même si le service était payant, l’adhésion supposerait un consentement autrement plus poussé à l’exploitation des données personnelles sous prétexte d’une qualité de service et d’un meilleur ciblage marketing ou de propagande. Pire encore s’il disposait d’une offre premium ou de niveaux d’abonnements qui segmenteraient encore davantage les utilisateurs.↩
6. J’en parlerai dans un article à venir au sujet du courtage de données et de la société Acxiom.↩
7. …pas faute d’en connaître les symptômes depuis longtemps. Comme ce texte de Jacques Ellul paru dans la revue Esprit en 1937, intitulé « Le fascisme fils du libéralisme », dont voici un extrait : « [Le fascisme] s’adresse au sentiment et non à l’intelligence, il n’est pas un effort vers un ordre réel mais vers un ordre fictif de la réalité. Il est précédé par tout un courant de tendances vers le fascisme : dans tous les pays nous retrouvons ces mesures de police et de violence, ce désir de restreindre les droits du parlement au profit du gouvernement, décrets-lois et pleins pouvoirs, affolement systématique obtenu par une lente pression des journaux sur la mentalité courante, attaques contre tout ce qui est pensée dissidente et expression de cette pensée, limitation de liberté de parole et de droit de réunion, restriction du droit de grève et de manifester, etc. Toutes ces mesures de fait constituent déjà le fascisme. ».↩

Protocole, HTTP, interopérabilité, ça vous parle ? Et normes, spécifications, RFC, ça va toujours ? Si vous avez besoin d’y voir un peu plus clair, l’article ci-dessous est un morceau de choix rédigé par Stéphane Bortzmeyer qui s’est efforcé de rendre accessibles ces notions fondamentales.

---

Protocoles

Le 21 mai 2019, soixante-neuf organisations, dont Framasoft, ont signé un appel à ce que soit imposé, éventuellement par la loi, un minimum d’interopérabilité pour les gros acteurs commerciaux du Web.

« Interopérabilité » est un joli mot, mais qui ne fait pas forcément partie du vocabulaire de tout le monde, et qui mérite donc d’être expliqué. On va donc parler d’interopérabilité, de protocoles, d’interfaces, de normes, et j’espère réussir à le faire tout en restant compréhensible (si vous êtes informaticien·ne professionnel·le, vous savez déjà tout cela ; mais l’appel des 69 organisations concerne tout le monde).

Le Web, ou en fait tout l’Internet, repose sur des protocoles de communication. Un protocole, c’est un ensemble de règles qu’il faut suivre si on veut communiquer. Le terme vient de la communication humaine, par exemple, lorsqu’on rencontre quelqu’un, on se serre la main, ou bien on se présente si l’autre ne vous connaît pas, etc. Chez les humains, le protocole n’est pas rigide (sauf en cas de réception par la reine d’Angleterre dans son palais, mais cela doit être rare chez les lectrices et lecteurs du Framablog). Si la personne avec qui vous communiquez ne respecte pas exactement le protocole, la communication peut tout de même avoir lieu, quitte à se dire que cette personne est bien impolie. Mais les logiciels ne fonctionnent pas comme des humains. Contrairement aux humains, ils n’ont pas de souplesse, les règles doivent être suivies exactement. Sur un réseau comme l’Internet, pour que deux logiciels puissent communiquer, chacun doit donc suivre exactement les mêmes règles, et c’est l’ensemble de ces règles qui fait un protocole.

Un exemple concret ? Sur le Web, pour que votre navigateur puisse afficher la page web désirée, il doit demander à un serveur web un ou plusieurs fichiers. La demande se fait obligatoirement en envoyant au serveur le mot GET (« donne », en anglais) suivi du nom du fichier, suivi du mot « HTTP/1.1 ». Si un navigateur web s’avisait d’envoyer le nom du fichier avant le mot GET, le serveur ne comprendrait rien, et renverrait plutôt un message d’erreur. En parlant d’erreurs, vous avez peut-être déjà rencontré le nombre 404 qui est simplement le code d’erreur qu’utilisent les logiciels qui parlent HTTP pour signaler que la page demandée n’existe pas. Ces codes numériques, conçus pour être utilisés entre logiciels, ont l’avantage sur les textes de ne pas être ambigus, et de ne pas dépendre d’une langue humaine particulière. Cet exemple décrit une toute petite partie du protocole nommé HTTP (pour Hypertext Transfer Protocol) qui est le plus utilisé sur le Web.

Il existe des protocoles bien plus complexes. Le point important est que, derrière votre écran, les logiciels communiquent entre eux en utilisant ces protocoles. Certains servent directement aux logiciels que vous utilisez (comme HTTP, qui permet à votre navigateur Web de communiquer avec le serveur qui détient les pages désirées), d’autres protocoles relèvent de l’infrastructure logicielle de l’Internet ; vos logiciels n’interagissent pas directement avec eux, mais ils sont indispensables.

Le protocole, ces règles de communication, sont indispensables dans un réseau comme l’Internet. Sans protocole, deux logiciels ne pourraient tout simplement pas communiquer, même si les câbles sont bien en place et les machines allumées. Sans protocole, les logiciels seraient dans la situation de deux humains, un Français ne parlant que français, et un Japonais ne parlant que japonais. Même si chacun a un téléphone et connaît le numéro de l’autre, aucune vraie communication ne pourra prendre place. Tout l’Internet repose donc sur cette notion de protocole.

Le protocole permet l’interopérabilité. L’interopérabilité est la capacité à communiquer de deux logiciels différents, issus d’équipes de développement différentes. Si une université bolivienne peut échanger avec une entreprise indienne, c’est parce que toutes les deux utilisent des protocoles communs.

 

Seuls les protocoles ont besoin d’être communs : l’Internet n’oblige pas à utiliser les mêmes logiciels, ni à ce que les logiciels aient la même interface avec l’utilisateur. Si je prends l’exemple de deux logiciels qui parlent le protocole HTTP, le navigateur Mozilla Firefox (que vous êtes peut-être en train d’utiliser pour lire cet article) et le programme curl (utilisé surtout par les informaticiens pour des opérations techniques), ces deux logiciels ont des usages très différents, des interfaces avec l’utilisateur reposant sur des principes opposés, mais tous les deux parlent le même protocole HTTP. Le protocole, c’est ce qu’on parle avec les autres logiciels (l’interface avec l’utilisateur étant, elle, pour les humain·e·s.).

La distinction entre protocole et logiciel est cruciale. Si j’utilise le logiciel A parce que je le préfère et vous le logiciel B, tant que les deux logiciels parlent le même protocole, aucun problème, ce sera juste un choix individuel. Malgré leurs différences, notamment d’interface utilisateur, les deux logiciels pourront communiquer. Si, en revanche, chaque logiciel vient avec son propre protocole, il n’y aura pas de communication, comme dans l’exemple du Français et du Japonais plus haut.

Babel

Alors, est-ce que tous les logiciels utilisent des protocoles communs, permettant à tout le monde de communiquer avec bonheur ? Non, et ce n’est d’ailleurs pas obligatoire. L’Internet est un réseau à « permission facultative ». Contrairement aux anciennes tentatives de réseaux informatiques qui étaient contrôlés par les opérateurs téléphoniques, et qui décidaient de quels protocoles et quelles applications tourneraient sur leurs réseaux, sur l’Internet, vous pouvez inventer votre propre protocole, écrire les logiciels qui le parlent et les diffuser en espérant avoir du succès. C’est d’ailleurs ainsi qu’a été inventé le Web : Tim Berners-Lee (et Robert Cailliau) n’ont pas eu à demander la permission de qui que ce soit. Ils ont défini le protocole HTTP, ont écrit les applications et leur invention a connu le succès que l’on sait.

Cette liberté d’innovation sans permission est donc une bonne chose. Mais elle a aussi des inconvénients. Si chaque développeur ou développeuse d’applications invente son propre protocole, il n’y aura plus de communication ou, plus précisément, il n’y aura plus d’interopérabilité. Chaque utilisatrice et chaque utilisateur ne pourra plus communiquer qu’avec les gens ayant choisi le même logiciel. Certains services sur l’Internet bénéficient d’une bonne interopérabilité, le courrier électronique, par exemple. D’autres sont au contraire composés d’un ensemble de silos fermés, ne communiquant pas entre eux. C’est par exemple le cas des messageries instantanées. Chaque application a son propre protocole, les personnes utilisant WhatsApp ne peuvent pas échanger avec celles utilisant Telegram, qui ne peuvent pas communiquer avec celles qui préfèrent Signal ou Riot. Alors que l’Internet était conçu pour faciliter la communication, ces silos enferment au contraire leurs utilisateurs et utilisatrices dans un espace clos.

La situation est la même pour les réseaux sociaux commerciaux comme Facebook. Vous ne pouvez communiquer qu’avec les gens qui sont eux-mêmes sur Facebook. Les pratiques de la société qui gère ce réseau sont déplorables, par exemple en matière de captation et d’utilisation des données personnelles mais, quand on suggère aux personnes qui utilisent Facebook de quitter ce silo, la réponse la plus courante est « je ne peux pas, tou·te·s mes ami·e·s y sont, et je ne pourrais plus communiquer avec eux et elles si je partais ». Cet exemple illustre très bien les dangers des protocoles liés à une entreprise et, au contraire, l’importance de l’interopérabilité.

 

Mais pourquoi existe-t-il plusieurs protocoles pour un même service ? Il y a différentes raisons. Certaines sont d’ordre technique. Je ne les développerai pas ici, ce n’est pas un article technique, mais les protocoles ne sont pas tous équivalents, il y a des raisons techniques objectives qui peuvent faire choisir un protocole plutôt qu’un autre. Et puis deux personnes différentes peuvent estimer qu’en fait deux services ne sont pas réellement identiques et méritent donc des protocoles séparés, même si tout le monde n’est pas d’accord.

Mais il peut aussi y avoir des raisons commerciales : l’entreprise en position dominante n’a aucune envie que des acteurs plus petits la concurrencent, et ne souhaite pas permettre à des nouveaux entrants d’arriver. Elle a donc une forte motivation à n’utiliser qu’un protocole qui lui est propre, que personne d’autre ne connaît.

Enfin, il peut aussi y avoir des raisons plus psychologiques, comme la conviction chez l·e·a créat·eur·rice d’un protocole que son protocole est bien meilleur que les autres.

Un exemple d’un succès récent en termes d’adoption d’un nouveau protocole est donné par le fédivers. Ce terme, contraction de « fédération » et « univers » (et parfois écrit « fédiverse » par anglicisme) regroupe tous les serveurs qui échangent entre eux par le protocole ActivityPub, que l’appel des soixante-neuf organisations mentionne comme exemple. ActivityPub permet d’échanger des messages très divers. Les logiciels Mastodon et Pleroma se servent d’ActivityPub pour envoyer de courts textes, ce qu’on nomme du micro-blogging (ce que fait Twitter). PeerTube utilise ActivityPub pour permettre de voir les nouvelles vidéos et les commenter. WriteFreely fait de même avec les textes que ce logiciel de blog permet de rédiger et diffuser. Et, demain, Mobilizon utilisera ActivityPub pour les informations sur les événements qu’il permettra d’organiser. Il s’agit d’un nouvel exemple de la distinction entre protocole et logiciel. Bien que beaucoup de gens appellent le fédivers  « Mastodon », c’est inexact. Mastodon n’est qu’un des logiciels qui permettent l’accès au fédivers.

Le terme d’ActivityPub n’est d’ailleurs pas idéal. Il y a en fait un ensemble de protocoles qui sont nécessaires pour communiquer au sein du fédivers. ActivityPub n’est que l’un d’entre eux, mais il a un peu donné son nom à l’ensemble.

Tous les logiciels de la mouvance des « réseaux sociaux décentralisés » n’utilisent pas ActivityPub. Par exemple,  Diaspora ne s’en sert pas et n’est donc pas interopérable avec les autres.

Appel

Revenons maintenant l’appel cité au début, Que demande-t-il ? Cet appel réclame que l’interopérabilité soit imposée aux GAFA, ces grosses entreprises capitalistes qui sont en position dominante dans la communication. Tous sont des silos fermés. Aucun moyen de commenter une vidéo YouTube si on a un compte PeerTube, de suivre les messages sur Twitter ou Facebook si on est sur le fédivers. Ces GAFA ne changeront pas spontanément : il faudra les y forcer.

Il ne s’agit que de la communication externe. Cet appel est modéré dans le sens où il ne demande pas aux GAFA de changer leur interface utilisateur, ni leur organisation interne, ni leurs algorithmes de sélection des messages, ni leurs pratiques en matière de gestion des données personnelles. Il s’agit uniquement d’obtenir qu’ils permettent l’interopérabilité avec des services concurrents, de façon à permettre une réelle liberté de choix par les utilisateurs. Un tel ajout est simple à implémenter pour ces entreprises commerciales, qui disposent de fonds abondants et de nombreu·ses-x programmeur·e·s compétent·e·s. Et il « ouvrirait » le champ des possibles. Il s’agit donc de défendre les intérêts des utilisateurs et utilisatrices. (Alors que le gouvernement, dans ses commentaires, n’a cité que les intérêts des GAFA, comme si ceux-ci étaient des espèces menacées qu’il fallait défendre.)

Qui commande ?

Mais au fait, qui décide des protocoles, qui les crée ? Il n’y a pas de réponse simple à cette question. Il existe plein de protocoles différents et leurs origines sont variées. Parfois, ils sont rédigés, dans un texte qui décrit exactement ce que doivent faire les deux parties. C’est ce que l’on nomme une spécification. Mais parfois il n’y a pas vraiment de spécification, juste quelques vagues idées et un programme qui utilise ce protocole. Ainsi, le protocole BitTorrent, très utilisé pour l’échange de fichiers, et pour lequel il existe une très bonne interopérabilité, avec de nombreux logiciels, n’a pas fait l’objet d’une spécification complète. Rien n’y oblige développeurs et développeuses : l’Internet est « à permission facultative ». Dans de tels cas, celles et ceux qui voudraient créer un programme interopérable devront lire le code source (les instructions écrites par le ou la programmeur·e) ou analyser le trafic qui circule, pour essayer d’en déduire en quoi consiste le protocole (ce qu’on nomme la rétro-ingénierie). C’est évidemment plus long et plus difficile et il est donc très souhaitable, pour l’interopérabilité, qu’il existe une spécification écrite et correcte (il s’agit d’un exercice difficile, ce qui explique que certains protocoles n’en disposent pas).

Parfois, la spécification est adoptée formellement par un organisme dont le rôle est de développer et d’approuver des spécifications. C’est ce qu’on nomme la normalisation. Une spécification ainsi approuvée est une norme. L’intérêt d’une norme par rapport à une spécification ordinaire est qu’elle reflète a priori un consensus assez large d’une partie des acteurs, ce n’est plus un acte unilatéral. Les normes sont donc une bonne chose mais, rien n’étant parfait, leur développement est parfois laborieux et lent.

 

Toutes les normes ne se valent pas. Certaines sont publiquement disponibles (comme les normes importantes de l’infrastructure de l’Internet, les RFC – Request For Comments), d’autres réservées à ceux qui paient, ou à ceux qui sont membres d’un club fermé. Certaines normes sont développées de manière publique, où tout le monde a accès aux informations, d’autres sont créées derrière des portes soigneusement closes. Lorsque la norme est développée par une organisation ouverte à tous et toutes, selon des procédures publiques, et que le résultat est publiquement disponible, on parle souvent de normes ouvertes. Et, bien sûr, ces normes ouvertes sont préférables pour l’interopérabilité.

L’une des organisations de normalisation ouverte les plus connues est l’IETF (Internet Engineering Task Force, qui produit notamment la majorité des RFC). L’IETF a développé et gère la norme décrivant le protocole HTTP, le premier cité dans cet article. Mais d’autres organisations de normalisation existent comme le W3C (World-Wide Web Consortium) qui est notamment responsable de la norme ActivityPub.

Par exemple, pour le cas des messageries instantanées que j’avais citées, il y a bien une norme, portant le doux nom de XMPP (Extensible Messaging and Presence Protocol). Google l’utilisait, puis l’a abandonnée, jouant plutôt le jeu de la fermeture.

Difficultés

L’interopérabilité n’est évidemment pas une solution magique à tous les problèmes. On l’a dit, l’appel des soixante-neuf organisations est très modéré puisqu’il demande seulement une ouverture à des tiers. Si cette demande se traduisait par une loi obligeant à cette interopérabilité, tout ne serait pas résolu.

D’abord, il existe beaucoup de moyens pour respecter la lettre d’un protocole tout en violant son esprit. On le voit pour le courrier électronique où Gmail, en position dominante, impose régulièrement de nouvelles exigences aux serveurs de messagerie avec lesquels il daigne communiquer. Le courrier électronique repose, contrairement à la messagerie instantanée, sur des normes ouvertes, mais on peut respecter ces normes tout en ajoutant des règles. Ce bras de fer vise à empêcher les serveurs indépendants de communiquer avec Gmail. Si une loi suivant les préconisations de l’appel était adoptée, nul doute que les GAFA tenteraient ce genre de jeu, et qu’il faudrait un mécanisme de suivi de l’application de la loi.

Plus subtil, l’entreprise qui voudrait « tricher » avec les obligations d’interopérabilité peut aussi prétendre vouloir « améliorer » le protocole. On ajoute deux ou trois choses qui n’étaient pas dans la norme et on exerce alors une pression sur les autres organisations pour qu’elles aussi ajoutent ces fonctions. C’est un exercice que les navigateurs web ont beaucoup pratiqué, pour réduire la concurrence.

Jouer avec les normes est d’autant plus facile que certaines normes sont mal écrites, laissant trop de choses dans le vague (et c’est justement le cas d’ActivityPub). Écrire une norme est un exercice difficile. Si on laisse beaucoup de choix aux programmeuses et programmeurs qui créeront les logiciels, il y a des risques de casser l’interopérabilité, suite à des choix trop différents. Mais si on contraint ces programmeuses et programmeurs, en imposant des règles très précises pour tous les détails, on empêche les logiciels d’évoluer en réponse aux changements de l’Internet ou des usages. La normalisation reste donc un art difficile, pour lequel on n’a pas de méthode parfaite.

Conclusion

Voilà, désolé d’avoir été long, mais les concepts de protocole et d’interopérabilité sont peu enseignés, alors qu’ils sont cruciaux pour le fonctionnement de l’Internet et surtout pour la liberté des citoyen·ne·s qui l’utilisent. J’espère les avoir expliqués clairement, et vous avoir convaincu⋅e de l’importance de l’interopérabilité. Pensez à soutenir l’appel des soixante-neuf organisations !

Après

Et si vous voulez d’autres informations sur ce sujet, il y a :

• Si vous aimez le son plutôt que l’écrit, le podcast de l’APRIL a parlé de l’interopérabilité.

Le kit du semeur d’idées est le site d’une communicante française qui propose des conseils et des ressources sous licence libre, avec en plus une démarche éco-responsable. Le tout pour pas un radis.

Salut Nadine ! Nous avons découvert ton initiative pour permettre à toutes et tous de « cultiver l’éco-communication ». Ça veut dire quoi ?

Salut ! Alors éco-communiquer signifie « communiquer efficacement tout en réduisant son impact sur l’environnement ». Il s’agit de faire de l’éco-conception : prendre en compte l’environnement dès la conception de sa stratégie. Pour le terme de « cultiver », il y a une petit histoire ! Avant de lancer Cultive ta com’ et son kit du semeur d’idées, j’étais graphiste sous logiciels libres et je faisais de l’éco-conception de documents sous le nom de « Graine de pixel ». J’ai voulu faire évoluer mon projet vers la sensibilisation tout en gardant une partie de cette identité.

C’est vraiment important de concevoir sa comm’ en pensant aux économies d’encre ? Que penses-tu des extensions comme print-edit qui permettent d’économiser du papier et de l’encre en éliminant le superflu ?

Je trouve que cette extension est une très bonne initiative. Il est tout de même important de se demander au préalable s’il est possible d’éviter l’impression depuis le web. La meilleure façon d’économiser de l’encre c’est de ne pas en utiliser, non ?

Elles sont chouettes et claires tes fiches, mais on n’y trouve pas de liens vers des ressources ou exemples ou prolongements, c’est délibéré ?

Merci beaucoup, c’est très important pour moi qu’elles soient claires. Non ce n’est pas du tout délibéré, je dois ajouter les sources et des liens externes sur les mises à jour du Kit. Il est en mutation perpétuelle, rien n’est jamais définitif et je tiens à approfondir les fiches avec le temps.

Et tu fais tout ça avec des logiciels libres ? Sous licence libre ?

Oui, je ne travaille que sous logiciels libres (et sous OS libre). il était évident pour moi de proposer le kit sous licence libre… même si je n’ai pas encore choisi lesquelles. Il m’arrive de me perdre dans le méandre des licences. Les images et les exercices de PAO sont sous licence ArtLibre 1.3. Je vais probablement mettre les textes sous licence Creative Commons 4.0 – partage dans les mêmes conditions.

Hum, j’ai corrigé quelques bricoles mineures sur une fiche dans ton github. Tu es sûre de ne pas vouloir passer sur (frama-)gitlab ?

J’avoue ne pas y avoir pensé (mea culpa). Dans mon esprit, Github s’adressait surtout à un public de développeurs en informatique. Je me suis créée un compte il y a quelques mois pour tester l’hébergement de site statique et j’ai commencé peu à peu à comprendre son fonctionnement… En découvrant l’utilisation faite par David Revoy pour la traduction de ses bandes dessinées Pepper&Carrot, je me suis dit que je pourrai en faire autant avec le contenu du kit sur mon compte vide. Étant tout neuf, je peux le migrer aisément sur Framagit. Je vais m’en occuper. 🙂

Ça n’a pas été trop difficile de convaincre les internautes, pour le financement ?

J’ai répondu à l’appel à projet UP ! d’Auvergne Nouveau Monde en partenariat avec Ulule. J’ai pu profiter, comme une dizaine d’autres auvergnats, d’une formation au crowdfunding et d’une visibilité dans la presse régionale durant ma campagne. J’ai également communiqué sur les réseaux sociaux et notamment sur ma page Diaspora où j’ai trouvé une communauté prête à me soutenir dans cette aventure ! Merci encore à tous !

J’ai vu que ton site est hébergé par une société locale, on l’entendrait presque miauler ! C’est important, pour toi ?

Oui c’est très important. Je tâtonne sur les questions du numérique responsable. Je ne m’attendais pas à trouver un hébergeur local ! Et j’espère pouvoir entendre miauler prochainement vers chez moi !

D’ailleurs, tu revendiques ta localisation en province. C’est pas trop compliqué de faire de la comm depuis Clermont-Ferrand ? Les Parigots ne te regardent pas de haut ?
Je ne revendique pas ma localisation, mon projet est simplement basé là où je vis. Je pense qu’aujourd’hui il est possible d’implanter un projet numérique depuis n’importe où.

Tu vas sortir des infos régulièrement, sur ce site ?
J’espère pouvoir faire des mises à jours mensuelles avec de nouveaux contenus sur les fiches, de nouveaux thèmes et exercices.

Et alors, comment vois-tu la suite ? Tu prépares un nouveau financement participatif ou tu as d’autres idées pour faire vivre le projet ? Autrement dit, est-ce que tu as réfléchi au modèle économique ?
Le kit me tient à cœur et je souhaite le compléter et continuer à le faire évoluer. Je ne prépare pas de nouvelle campagne de financement, les mises à jour du kit seront faites sur mon temps libre. Mon modèle économique est basé sur le site de cultive-ta.com où je propose un accompagnement personnalisé en stratégie de communication responsable.

Il paraît que Pouhiou t’a fait du gringue pour que tu viennes nous donner un coup de main. On va se revoir, alors ? Tu peux en dire plus aux lecteurices du blog ?
Oui j’espère bien ! Pouhiou n’a pas eu besoin d’insister longtemps, haha ! Je propose un coup de patte de graphiste sous logiciels libres. Maintenant que mon kit est en ligne, j’espère avoir plus de temps pour pouvoir me rendre utile. Je vais aider Framabook dans la création des couvertures des futurs ouvrages aussi. Il y a de la place pour tous ceux qui souhaitent donner un coup de main et selon les compétences de chacun… et ça c’est chouette !

Et ton mot de la fin ?
Miaou ! Merci infiniment à Framasoft pour cet échange autour du kit !

Blogueur, journaliste, essayiste, Cory Doctorow est une figure intellectuelle du Libre, notoire en particulier pour ses combats contre le copyright (…et bien sûr pour son œuvre romanesque : précipitez-vous sur Little Brother si vous ne l’avez pas encore lu ! Vous pouvez aussi contribuer à la version française en cours).

Nous avons souvent traduit ici ses tribunes et autres prises de position où il défend ardemment les libertés numériques. Aussi n’est-ce pas sans provocation malicieuse qu’il remet ici en cause ce qu’un excellent article de Calimaq nomme un des slogans les plus forts de la Culture Libre :

L’information veut être libre

À l’occasion de la conférence du dConstruct 2014 à Brighton, il intitule en effet son intervention « Information doesn’t want to be free » : l’information ne veut pas être libre. 

Il y aborde aussi l’épineuse question de la rémunération des artistes, énonce non sans humour trois « lois de Doctorow », mais surtout il ajoute son témoignage personnel de façon assez émouvante (écoutez la source audio de l’intégralité de la conférence en anglais) et nous fait comprendre que son combat pour Internet est un combat pour des personnes qui partout dans le monde ont désormais besoin d’Internet au quotidien comme d’un moyen d’accéder à un meilleur niveau de vie, à la culture, à l’éducation… et que c’est notre liberté d’accès à tous qui mérite le combat.

L’information ne veut pas être libre

par Cory Doctorow

Transcription effectuée par Marie-Alice 

Traduction Framalang : Marie-Alice, audionuma, KoS, Omegax, Goofy et des anonymes.

Bon, il y a pas mal de chances que les personnes qui assistent à des événements comme celui-ci gagnent leur vie avec une activité en ligne et même si vous ne gagnez pas votre vie en ligne aujourd’hui, vous le ferez probablement demain, parce que tout ce que nous faisons aujourd’hui implique Internet et Internet sera nécessaire pour tout ce que nous ferons demain.

Ce qu’il y a de merveilleux dans l’idée de gagner sa vie avec un travail créatif, c’est qu’il existe un grand nombre de façons de le faire. Pratiquement chaque artiste qui a un succès commercial est un cas particulier et gagne sa vie d’une manière différente de ce que font tous les autres. Presque tous ceux qui ont déjà entrepris de gagner leur vie à partir de la création artistique ont échoué, en fait la plupart des gens qui se disposent à gagner leur vie dans une activité de création perdront de l’argent dans l’affaire et c’est vrai non seulement maintenant, mais toujours, indépendamment de votre support, de votre époque ou de l’environnement technologique. Personne n’a jamais vraiment trouvé un plan qui transformerait tous ceux qui veulent être des artistes en membres de la classe moyenne de la société, à part leur dire : « si vous affirmez être un artiste on vous donne 40 000 livres par an jusqu’à ce que vous arrêtiez ».

Lancer une pièce à pile ou face et espérer qu’elle tombe sur la tranche…

En fait, gagner sa vie dans le domaine de la création est tellement rare que ce n’est peut-être qu’une sorte d’anomalie statistique, une probabilité infinitésimale. Imaginez que nous ayons une compétition de pile ou face, tout le monde serait aligné et jetterait sa pièce le plus grand nombre de fois possible, un certain nombre tomberait sur la tranche, une ou deux sur des millions et des millions et peut-être que les gens qui les auront lancées sont vraiment bons à pile ou face, peut-être qu’ils ont passé de nombreuses heures à s’entraîner, mais il est évident que le point commun des personnes dont la pièce est tombée sur la tranche n’est pas l’habileté. C’est la chance. C’est cet enchaînement parfait du lancer et de l’atterrissage chanceux. Si les gagnants du concours de pile ou face étaient célébrés, grassement payés et affichés sur les couvertures de magazines… il est probable que beaucoup de gens essayeraient de gagner leur vie en tant que lanceurs de pièces…

Après tout, les gens jouent au loto. Et si en plus le lancer de pièce à pile ou face était une expérience humaine qui donnait une satisfaction entière et profonde et créait une connexion authentique entre le lanceur et son public, alors vivre dans le monde du lancer de pièce serait tout à fait respectable. Et l’art, c’est ça. Parce que créer est inné pour nous. Les bébés font de l’art. On soigne le stress post-traumatique avec l’art-thérapie. Chanter, raconter des histoires, faire des dessins… ça semble faire partie intégrante de la condition humaine. Et on traite les artistes connus avec une déférence qui confine à l’adoration, ce qui rend la chose plutôt attractive, en tous cas vu de l’extérieur. Mais les arts sont intrinsèquement une activité non commercialisable. Les gens qui décident de vivre de leur art ne font pas un calcul économique réaliste. Ils comptent gagner le concours de lancer de pièce sur la tranche, où, même si on essaie encore et encore et qu’on s’entraîne énormément, il est impossible de gagner sans avoir beaucoup, beaucoup de chance.

Lorsque nous parlons de l’Internet et des arts, nous avons tendance à mettre l’accent sur les modèles économiques qui favorisent le plus les artistes. Mais c’est prendre le problème à l’envers. Il y a tellement de gens qui s’adonnent à une activité artistique à tout moment que, quel que soit le modèle économique en vigueur à un moment précis, nous ne manquerons jamais d’artistes qui attendent d’en profiter. Et quand nous essayons de préserver les modèles qui ont fonctionné l’an dernier, ce que nous disons en réalité, c’est que les gagnants de la loterie de l’année dernière devraient avoir la garantie de gagner cette année, ce qui est une bonne affaire pour les gagnants de la loterie — et je suis l’un des gagnants de la loterie, donc je ne suis pas tout à fait opposé à cette proposition — mais c’est le genre de remède qui peut s’avérer pire que le mal. Parce que les modèles économiques ne poussent pas hors-sol. Ils reflètent des réalités sociales plus vastes : les technologies, l’économie, la politique, les goûts du public… Quand vous figez les anciens modèles, vous le faites au détriment de tous ceux qui réussiraient dans les nouveaux. Et vous finissez par entrer en guerre contre les facteurs technologiques, économiques, politiques et sociaux qui déterminent les nouveaux modèles.

En tant qu’artiste qui a trouvé une place et un modèle économique pendant 20 ans, et qui espère continuer comme ça encore 20 ans, je voudrais présenter l’idée que notre priorité ne devrait pas être de protéger des modèles économiques. Ça devrait être de s’assurer que, quel que soit le modèle qui fonctionne en ce moment, ce modèle donne le contrôle, autant que possible, d’abord aux créateurs, ensuite à leurs investisseurs et, tout à la fin s’il en reste, aux revendeurs et plateformes qui leur permettent de trouver leur public.

Et pour ça, je vais proposer trois lois à toute épreuve pour que l’argent circule dans le bon sens. Des choses que les créateurs peuvent choisir, que les politiciens et régulateurs peuvent promulguer, que le public et les entreprises commerciales peuvent adopter, pour que l’argent finisse dans la poche de ceux qui sont le plus directement impliqués dans la création de l’art que l’on aime. Pour l’anecdote, au début j’avais une loi, et j’en ai parlé à mon agent, qui est aussi l’agent des ayants-droits d’Arthur C. Clarke, et il m’a dit « tu ne peux pas avoir qu’une seule loi, il t’en faut trois ! »

Voici donc la première règle, la « première loi de Doctorow ». À chaque fois que quelqu’un met un cadenas sur quelque chose qui vous appartient et refuse de vous donner la clé, ce n’est pas pour vous procurer un avantage. Donc si vous avez déjà uploadé une création intellectuelle numérique sur Steam, ou Amazon, ou Apple, on vous a présenté une petite case à cocher qui dit « Protéger ce fichier », ou peut-être « Activer la protection contre le piratage », et si vous êtes chez un grand éditeur ou label ou producteur — pour aller plus vite je les appellerai tous des éditeurs — ils ont probablement déjà fait ce choix à votre place et ils ont coché la case. Et ce que fait cette case une fois cochée, c’est d’ajouter une couche qui est appelée DRM pour digital rights management (gestion des droits numériques), et c’est censé empêcher les gens de faire des copies de votre œuvre sans votre permission.

Mais en pratique, le DRM ne fait pas ça très bien. Pour être efficace le DRM doit d’une façon ou d’une autre fournir au public la clé nécessaire pour défaire le chiffrement de l’œuvre, mais en même temps, d’une façon ou d’une autre restreindre ce qu’on en fera quand on aura la clé. Il faut que le public puisse défaire le chiffrement uniquement pour lire ou écouter ou regarder l’œuvre une fois, puis qu’il se débarrasse de la version en clair plutôt que de la partager avec des amis, ou de la regarder plus tard sans avoir besoin de la clé. Mais évidemment, cacher la clé à l’intérieur d’une chose que votre adversaire possède et qu’il peut inspecter et manipuler à volonté, c’est pas très malin, surtout quand votre adversaire comprend tous les gens au monde qui veulent avoir accès non seulement à votre œuvre mais à toutes les œuvres protégées par la même solution de DRM. Et quand dans ces gens il y a des thésards qui s’ennuient et qui sont équipés de microscopes électroniques à effet tunnel… ça ne peut pas durer bien longtemps ! D’ailleurs en sécurité on appelle ça la solution « vœu pieux ».

Bien évidemment, c’est illégal de casser les verrous, grâce aux lois comme l’EUCD de 2001 (European Union Copyright Directive, en français « Directive sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information »), qui a été transposée ici dans la législation britannique par la loi de 2003 pour la régulation du copyright et des droits voisins. Et il y a d’autres versions de cette loi dans à peu près tous les pays industrialisés au monde, et dans beaucoup de pays en voie de développement. Évidemment, ça n’empêche pas non plus les gens de faire sauter les verrous. En fait, la solution la plus simple pour faire sauter le verrou de n’importe quelle œuvre c’est d’aller sur the Pirate Bay et de télécharger une copie dont quelqu’un d’autre a déjà fait sauter le verrou, car après tout, pourquoi faire le boulot plusieurs fois ? En revanche, ça veut dire qu’une fois qu’Apple ou Amazon ou Adobe — et ça c’est juste ceux qui commencent par A — mettent leurs verrous sur votre propriété intellectuelle, vous en perdez le contrôle, et vous perdez le contrôle sur l’acheteur de votre œuvre.

Le client est désormais lié pour toujours à l’entreprise qui a installé le verrou, parce que le seul moyen de convertir un livre de l’iBook store d’Apple pour le lire sur Google Play, le seul moyen de le convertir pour l’ouvrir sur le Kindle d’Amazon, c’est de débloquer le verrou d’abord. Et la seule entreprise qui a légalement l’autorité pour convertir un livre d’iBooks… c’est Apple. De la même façon que seul Google a l’autorité pour convertir une vidéo de Google Play en vidéo pour Amazon, et ainsi de suite. Ce qui signifie qu’inévitablement, quand la plateforme commerciale dont la seule contribution à votre œuvre est de faire tourner un script dessus veut négocier une plus grosse part du prix de vente, vous ne pouvez plus vous passer de ces revendeurs. Parce que si vous arrêtez de vendre sur Amazon et que vous proposez une remise chez Google pour inciter vos clients à convertir leurs bibliothèques et vous suivre là-bas… aucun de vos meilleurs clients ne pourra se permettre financièrement d’accepter votre offre. Parce que leur seule possibilité pour passer d’Amazon à Google, ou d’Apple à Adobe, c’est de balancer toutes les œuvres qu’ils ont payées et de les racheter dans le nouveau format, ou alors de garder deux écosystèmes séparés et de passer de l’un à l’autre en fonction du revendeur de chaque œuvre, et ceci n’est pas un exemple hypothétique.

Vous avez dû entendre parler de ce qui arrive entre Amazon et l’un des 5 plus grands éditeurs au monde, Hachette, une entreprise qui s’y connaît en stratégie — le groupe qui les possède fabrique des bombes à sous-munitions à destination des pays en développement, donc ils savent penser en militaires : un des 5 plus grands éditeurs au monde est en train de perdre, de perdre lamentablement, contre Amazon sur la question du pourcentage sur chaque vente Amazon peut garder. Et Amazon va gagner sur toute la ligne, parce qu’Hachette a insisté depuis le début pour que tous ses livres soient vendus avec le DRM d’Amazon. Donc les clients d’Hachette, plus encore que ceux des autres éditeurs, sont enfermés dans l’écosystème Amazon. Et si Hachette décide de se passer des services d’Amazon, les clients resteront dans la cage dorée d’Amazon.

Il existe une autre division d’Amazon, Audible, qui contrôle 90% des livres audio vendus dans le monde. Ils sont les seuls fournisseurs de livres audio pour iTunes. Et ils ne vous donnent même pas la possibilité de vendre sans DRM ! Et ils ont déjà commencé à serrer la vis aux éditeurs et aux studios de livres audio, et ils ne vont pas lâcher le morceau. Maintenant, je vous parie un testicule — pas un des miens hein — qu’ils vont éjecter les fournisseurs hors de leur magasin, sauf s’ils acceptent de faire d’énormes concessions dans le partage des revenus et de la commercialisation de leurs livres. Tout comme Apple l’a fait avec les applications — également vendues avec DRM obligatoires — dès qu’ils ont réussi à imposer leur plateforme dominante obligatoire. Vous souvenez-vous quand Apple vendait vos applications pour 30 % et vous permettait de garder 100 % de l’argent que votre application gagnait ? Maintenant, ils vendent votre application pour 30 % et ils vous réservent 30 % de l’argent de votre application gagne, mais pas avant que beaucoup de gens aient investi leur fortune dans la création d’applications pour Apple. Et tous ces fournisseurs vont se rendre sans conditions. Parce que chaque grand consommateur de livres audio, les 20 % qui représentent 80 % des ventes, a déjà englouti des milliers de d’euros dans un investissement qui est verrouillé dans le coffre-fort d’Amazon jusqu’à ce que Amazon décide de le déverrouiller, autant dire jamais !

Chaque fois que quelqu’un vous promet de vous protéger en enfermant vos trucs sans vous donner de clé ? — Ce n’est pas pour vous protéger.

Ce qui m’amène à la loi n° 2. La célébrité ne vous rendra pas riche, mais vous ne pouvez pas vendre votre art sans elle. Vous avez entendu Tim O’Reilly dire « pour la plupart des artistes, le problème n’est pas le piratage mais l’obscurité ». Et il ne voulait pas dire qu’une fois célèbre vous devenez automatiquement riche, mais plutôt « si personne n’a entendu parler de vos trucs, personne ne les achètera ». Évidemment, de nombreuses personnes qui ont entendu parler de vos trucs ne les achèteront pas non plus, mais aucune des personnes qui ignorent jusqu’à votre existence ne vous donnera jamais rien. Au XXIe siècle, la manière dont les gens vous découvrent, c’est sur Internet. Par l’intermédiaire de moteurs de recherche et de réseaux sociaux, par l’intermédiaire d’hébergeurs de contenus en ligne comme YouTube… et la manière dont vous êtes payés pour vos trucs passe également par Internet : solutions de paiement comme PayPal, régies publicitaires comme Google, financement participatif comme Kickstarter.

Internet à donné naissance à de nombreux succès d’indépendants qui ont rassemblé toutes les fonctions d’un éditeur à partir de ces bribes éparses sur Internet. Certains d’entre eux sont des artistes qui ont débuté dans le système traditionnel et ont fait le saut vers le secteur indépendant comme Trent Reznor ou Amanda Palmer, certains sont des artistes qui ont débuté comme indépendants et sont devenus grand public comme Randall Munroe, l’auteur de xkcd, ou Hugh Howey, l’auteur de Wool ^[1] . Et certains artistes sont simplement restés des indépendants, comme Jonathan Coulton. Le monde du contenu de masse a été pris dans la même concentration industrielle que tous les autres secteurs. Il ne reste plus que 5 éditeurs, 4 labels et 4 studios de production dans le monde. Et quand la compétition entre les acheteurs (les éditeurs) diminue, les conditions négociée pour les vendeurs (les créateurs) sont moins avantageuses.

Et les contrats avec ces grands acteurs sont le reflet de ce marché. Vous savez, si vous signez avec un label musical, vous allez probablement devoir lui céder le droit de déduire de vos royalties, de chaque enveloppe de royalties, un pourcentage fixe pour la casse. Et qu’est-ce que la casse ? La casse date de l’époque des disques en vinyl ou en gomme-laque. Elle représente la fraction de produits physiques qui sont détruits par des chutes entre l’usine et le détaillant. Ils déduisent cela de vos royalties sur des mp3. Si vous êtes romancier, en signant avec un des cinq grands éditeurs, vous allez probablement devoir abandonner vos droits sur l’adaptation en BD, et peut-être vos droits sur un film ou à l’international, et presque toujours vos droits sur le livre audio. Et ainsi de suite.

Donc le secteur indépendant est une sorte de concurrence de la dernière chance par rapport aux grands acteurs. Les pires conditions que les grands acteurs puissent vous offrir, d’un point de vue financier, doivent être meilleures que les meilleures conditions que vous pouvez espérer sans eux. L’existence d’un secteur indépendant, même pour les artistes qui ne le choisissent pas, donne la limite basse des conditions que les éditeurs peuvent offrir. Donc logiquement, plus le secteur indépendant est compétitif et plus il y a d’entreprises qui fournissent des services, meilleurs sont les contrats pour les artistes, qu’ils signent avec des grands acteurs ou des indépendants.

Mais le secteur indépendant est en train de se faire écraser par les industries du divertissement. Par exemple, Viacom (NdT : le conglomérat états-unien des médias)  a demandé à la Cour suprême des États-Unis de voter que YouTube soit déclaré responsable de toute violation de copyright dans les vidéos qu’ils hébergent, sauf s’ils ont déterminé a priori, parfaitement et sans le moindre doute, si oui ou non ces vidéos respectent le copyright. Ce qui veut dire que chacune des 96 heures de vidéo qui sont chargées sur YouTube chaque minute devraient être étudiées par un avocat spécialiste du copyright pour décider si elle est légale. Sauf que même s’il y avait assez d’argent pour payer des avocats à faire ça — et ça voudrait dire le plein emploi pour quiconque a fait des études de droit, d’aujourd’hui jusqu’à… la fin des temps — il n’y a tout simplement pas assez d’avocats, ni à l’heure actuelle ni même dans toute l’histoire de l’humanité, pour entamer cette masse. En fait, on serait à court d’heures de travail d’avocats avant d’atteindre la mort thermodynamique de l’univers.

Mais il n’y a rien dans la proposition de Viacom de rendre YouTube responsable des violations de copyright qui ferait que Google ou n’importe quel autre service en ligne comme Twitter et Blogger et Facebook, ne soient pas eux-mêmes responsables de leur contenu. Alors comment une entreprise pourrait-elle s’en sortir dans la théorie de Viacom ? C’est très simple, elle ferait exactement comme ça se passe pour les entreprises du câble : si vous voulez faire passer quelque chose sur une chaîne câblée vous devez lui fournir la garantie que ça ne viole pas le copyright, et pour s’assurer que vous pouvez leur garantir cela les chaînes câblées vérifient que vous êtes assurés. Et quand vous allez voir l’assureur il vous fait engager un avocat pour évaluer votre œuvre et s’assurer qu’elle ne viole pas de copyright. En d’autres termes, n’importe qui pourra s’exprimer sur Internet du moment qu’il a autant d’argent qu’un grand label ou studio de production, et ceux qui n’ont pas cet argent ne pourront pas. Ce qui veut dire qu’on recopierait le monde extérieur en miniature dans le monde intérieur de l’Internet.

Empêcher Internet de créer des copies c’est comme empêcher l’eau d’être mouillée.

Et ça ne s’arrête pas là, parce que des tentatives comme TPP (le partenariat trans-pacifique), ACTA (l’accord commercial anti-contrefaçon), TTIP (le partenariat trans-atlantique pour le commerce et l’investissement), et les efforts ad hoc de forces de l’ordre comme ceux de la police de la City de Londres avec leur brigade en charge de la propriété intellectuelle, ont tous essayé d’élargir ce type de responsabilité, pas seulement aux hébergeurs de contenus mais aux fournisseurs de solutions de paiement, aux régies publicitaires, aux bureaux d’enregistrement des noms de domaine, aux plateformes de réseaux sociaux, et ainsi de suite. Mais de même que les DRM n’empêchent pas les gens de faire des copies, toutes ces régulations n’empêchent pas les gens de trouver des copies illégales. Le darknet d’une part échappe complètement à l’application de ce genre de lois, et d’autre part il existe des quantités d’autres voies pour trouver ces contenus. Après tout, le principe du réseau c’est de créer des copies. Vous savez qu’Internet fonctionne quand des copies sont créées rapidement, fidèlement et à bas coût. Empêcher Internet de créer des copies c’est comme empêcher l’eau d’être mouillée.

Du coup, tout ce que ça fait, c’est de réduire la diversité et la compétitivité et les services pour le secteur de la création indépendante, et ça vous rend plus difficile d’obtenir un contrat avantageux avec votre éditeur et de faire connaître votre travail pour pouvoir gagner votre vie avec. Parce que même si la célébrité ne vous rend pas riche, personne ne peut vous donner d’argent s’il n’a pas entendu parler de vous.

Et maintenant nous en arrivons à la troisième et dernière loi, la plus importante : l’information ne veut pas être libre. Vous avez peut-être entendu parler de ce débat sur le copyright et l’Internet pour déterminer si l’information veut être libre… mais j’ai eu une révélation au printemps dernier. J’ai invité l’information à une sorte de retraite dans les montagnes : on a loué une cabane dans les bois, on a fait du feu, on s’est peint le corps, on a dansé, on a chanté, on a bu du vin et pleuré sur nos parents, et quand ce fut terminé, une information à l’odeur de foin coupé m’a serré dans ses bras avec émotion et chuchoté sa confession à mon oreille : elle ne veut pas être libre. Tout ce qu’elle veut de nous, tout ce que l’information veut de chacun de nous, c’est qu’on arrête d’anthropomorphiser l’information. Parce que l’information n’est qu’une abstraction et elle ne peut pas vouloir le moindre fichu truc.

L’information ne veut pas être libre…

Je n’ai pas consacré ma vie à ce genre de choses parce que je veux aider l’information à atteindre ses objectifs. C’est un combat qui concerne les gens et les gens veulent être libres. À l’ère de l’information, vous ne pouvez être libre que si vous avez des systèmes d’information libres et équitables. Lorsque nous formulons la question de la régulation de l’Internet comme un moyen d’améliorer le sort des zéro virgule zéro zéro zéro un pour cent du monde qui gagnent leur vie dans les arts, nous traitons le Net comme s’il s’agissait d’un glorieux service de vidéo à la demande. Mais ce n’est pas le cas ! Et contrairement à ce qu’en pense du ministère de l’Intérieur, ce n’est pas un moyen de perfectionner le djihad, ce n’est pas un meilleur système de diffusion de la pornographie. Qu’est-ce que l’Internet ? c’est le système nerveux du 21e siècle à travers lequel passent toutes nos activités. Tout ce que nous faisons aujourd’hui implique l’Internet et l’Internet sera nécessaire pour tout ce que nous ferons demain.

… ce sont les gens qui veulent être libres

Ainsi, bien que les DRM soient effectivement une mauvaise affaire pour les créateurs, et les éditeurs, et le public, ce n’est qu’un problème secondaire. Le véritable coût des DRM, le voici : pour permettre leur fonctionnement, à peu près tous les pays du monde ont interdit de communiquer aux utilisateurs des informations leur permettant de supprimer les DRM. Et cela signifie qu’il est illégal de signaler des vulnérabilités, des défaillances dans le code des DRM. Ce qui veut dire que quiconque vous informe de vulnérabilités dans votre téléphone, ou votre ordinateur, ou votre thermostat, ou dans le micrologiciel de votre automobile, ou dans les logiciels qui pilotent votre prothèse auditive ou votre pacemaker, peut être jeté en prison pour ce motif. Ce qui veut dire que des équipements sur lesquels nous comptons pour des questions vitales deviennent des réservoirs à longue durée de vie de vulnérabilités prêtes à être exploitées par des malfrats et des voyeurs, des usurpateurs d’identité, des espions, des flics et des gouvernements.

Notre monde est fait d’ordinateurs. Votre voiture est un ordinateur qui file sur l’autoroute à 100 km/h avec vous enfermé dedans. Votre immeuble moderne, une maison neuve ou une institution publique sont des ordinateurs dans lesquels vous vivez. Quand vous retirez les ordinateurs de la plupart de ces bâtiments, ils cessent d’être habitables immédiatement. Si vous ne relancez pas les ordinateurs très rapidement, la plupart de ces bâtiments tombent en ruine, car sans la capacité de réguler leur respiration, ils commencent à pourrir presque instantanément.

Vous et moi, et tous ceux qui ont grandi avec un casque de walkman sur les oreilles, on a passé assez d’heures avec nos écouteurs à fond pour qu’un jour on ait tous besoin de prothèses auditives. Et cette aide auditive ne sera pas un gadget Bose rétro-hipster-analogue-à-transistors. Ce sera un ordinateur que vous mettrez dans votre tête. Et selon la façon dont cet ordinateur sera conçu et paramétré, il pourra vous empêcher d’entendre certaines choses. Il pourra vous faire entendre des choses qui n’existent pas. Il pourra dire aux autres ce que vous avez entendu.

J’étais dans un aéroport il ya quelques mois — je passe beaucoup de temps dans les aéroports — et bien sûr la première règle dans les zones d’attente des aéroports est ABC : Accéder à une prise, Brancher, Charger. Je suis donc arrivé le premier dans ce salon d’attente de l’aéroport, je me suis jeté tout de suite sur l’emplacement stratégique, la seule prise de courant disponible du lieu, j’ai branché mon ordinateur portable et j’étais assis là à travailler quand un type est arrivé et m’a demandé sans complexe « Je peux utiliser cette prise de courant ? ». J’ai répondu « vous voyez bien que je charge mon portable ! ». Alors il a retroussé sa jambe de pantalon et m’a montré la prothèse qu’il portait à partir du genou et m’a dit : « Je dois charger ma jambe ». Et là j’ai débranché mon portable et dit : « je vous en prie ». Piper les dés pour empêcher la divulgation des failles dans les dispositifs dont on dépend pour tout — pour absolument tout — est une idée complètement démente. Vous devriez être avoir le droit de connaître les failles dans votre iPhone, un appareil doté d’une caméra, d’un micro, d’un capteur de position, et qui connaît tous vos amis et ce que vous en dites. Vous devriez avoir le droit de connaître les failles dans votre iPhone, même si le fait que vous connaissez ces failles complique les choses pour Apple qui voudrait garder son monopole sur le marché des applications.

Et quand il s’agit d’augmenter la responsabilité des fournisseurs de services, l’effet majeur n’a rien à voir avec le domaine artistique. Parce que les 96 heures de vidéos qui débarquent dans la boîte de réception de YouTube chaque minute ne sont pas des films amateurs ou de la télé pirate… Ce sont des communications personnelles, des conversations, ce sont des images filmées par des dissidents dans des zones de guerre, il s’agit de la matière brute de la communication. C’est la même chose pour les tweets, les messages Facebook et tout le reste. Et c’est là qu’il y a toujours des cyniques pour dire « peuh, tout ça pour préserver toute cette merde sur Facebook, toutes ces conneries sur Twitter, toutes ces photos de chats… ». Et ça c’est la réaction typique des gens qui refusent de prendre au sérieux tout ce qui se passe sur Internet. Et là je suis censé répondre « non, non, il y a aussi des choses nobles sur Internet, il y a des victimes de maltraitance qui parlent de leur parcours pour s’en sortir, il y a des personnes qui dénoncent les violences policières et ainsi de suite … », et tout ça, c’est important, mais pour une fois je vais m’exprimer en faveur de toutes les choses banales et les plus triviales.

Quand ma femme descend le matin — je suis le premier levé, dès 5h du matin, je suis un lève-tôt — quand ma femme descend le matin donc, et que je lui demande si elle a bien dormi, ce n’est pas vraiment pour savoir si elle a bien dormi. Je dors à côté d’elle, je le sais bien comment elle a dormi ! Si je demande à ma femme si elle a bien dormi, c’est parce qu’il s’agit d’une communication sociale qui signifie en réalité : « Je te vois ce matin. Tu comptes pour moi. Je t’aime. Je suis là ». Et quand quelqu’un expose une chose importante et lourde de conséquences comme « j’ai le cancer » ou bien « j’ai gagné » ou « j’ai perdu mon emploi », ces moments mémorables ont du sens parce qu’ils sont basés sur ce faisceau de millions d’échanges apparemment insignifiants. Et si les échanges insignifiants des autres vous semblent banals, c’est parce que vous n’êtes pas le destinataire de ces échanges. Mais eux, si. Eux et leur réseau social. Et c’est le comble de l’arrogance d’affirmer que juste pour s’assurer que les gens regardent la télé comme il faut, on est prêts à les surveiller, les censurer, et abandonner complètement les canaux de communication où se font leurs échanges.

Nous avons mis en place des systèmes par lesquels n’importe quel fichier peut être supprimé d’Internet simplement en le montrant du doigt et en disant : « J’ai entendu dire que ce fichier porte atteinte à mes droits d’auteur », sans présenter la moindre preuve et sans conséquences judiciaires pour ceux qui en abusent. Cette procédure de « notification et retrait » fait régulièrement l’objet d’abus par toutes sortes de salauds, du roi de Thaïlande aux néo-nazis britanniques élevés au grain. Parce que si vous mettez en place un système de censure sans procédure officielle et sans poursuites en cas d’abus, il serait d’une naïveté criminelle de ne pas prévoir qu’il y aura des abus. Ici au Royaume-Uni, nous avons la loi sur l’économie numérique de 2010. La dernière loi de la dernière législature, passée dans les dernières heures avant qu’ils se mettent en campagne pour les élections. Suivant les injonctions du whip du parti tout député travailliste qui n’aurait pas voté pour cette loi aurait perdu son poste et le soutien du parti, à la veille de la campagne électorale. Elle a donc été adoptée sans aucun débat parlementaire et elle permet au secrétaire de l’entreprise, qui était alors Peter Mandelson, et maintenant Vince Cable, d’imposer une règle à sa seule discrétion qui dit que toute personne disposant d’une connexion internet qui est impliquée dans 3 accusations d’infraction à l’Internet sans preuve et même sans suite peut être déconnecté d’Internet pendant un an. Ce qui signifie que si vous êtes simplement accusé de vivre dans le voisinage d’un appareil connecté au réseau qu’un tiers inconnu peut ou non avoir utilisé pour écouter de la musique de façon inappropriée, vous et tous ceux qui vivent dans votre maison êtes condamnés à la peine de mort d’Internet pour un an.

Et Martha Lane Fox, qui est maintenant baronne Soho — bon, tous ces trucs d’aristocratie, ça fait très Donjons et Dragons, mais la baronne Soho est cool… — donc Martha Lane Fox, avant de devenir baronne Soho, avait un job encore plus incroyablement cool : son titre était « championne de l’inclusion numérique ». Et l’un de ses premiers actes a été de commissionner l’entreprise de conseil Pricewhaterhousecoopers pour étudier ce qui se passe quand les gens accèdent à Internet. Pour mener à bien leur mission ils sont allés dans une cité HLM du nord de l’Angleterre qui a bénéficié d’un accès gratuit à Internet pendant quelques années. Il se trouve que cette cité était juste à côté d’un nœud de raccordement du réseau, et ils ont été raccordés, ils ne l’ont pas demandé ou signé quoi que ce soit… Et PWC a comparé les habitants de cette cité à ceux de HLM voisins qui n’avaient pas eu ce coup de chance géographique. Et ils ont trouvé que les familles qui avaient été connectées, par rapport aux familles des autres HLM, faisaient de meilleures études, se nourrissaient plus sainement, avaient de meilleurs emplois, un plus grand pouvoir d’achat, moins de dettes, plus de mobilité sociale, une meilleure participation à la vie publique, étaient mieux informés sur la politique et votaient davantage.

Alors quand nous, en tant que société, sommes prêts à punir collectivement des familles entières qui sont accusées sans preuve de se divertir sans autorisation, en leur coupant le tuyau qui leur offre à lui seul la liberté d’expression, la liberté de la presse, la liberté de réunion, l’accès à l’éducation, à la santé, de la nutrition, à la richesse, à l’engagement civique et politique… il est parfaitement évident que ce n’est pas un combat pour l’information, mais pour des personnes. En ce qui me concerne, j’estime que je peux gagner ma vie sans qu’il soit nécessaire d’espionner tout le monde, sans devenir l’autorité de censure d’Internet, sans un système comme la loi sur l’économie numérique de Peter Mandelson qui est si manifestement injuste et grotesque. Mais même si ce n’était pas le cas, même si cela signifiait que je doive renoncer à gagner ma vie comme ça, je combattrais encore pour qu’Internet soit libre et équitable. Parce que, même si j’ai rêvé toute ma vie, ma vie entière, d’être un écrivain, même si j’aime être en mesure de subvenir aux besoins de ma famille avec le revenu de mes travaux créatifs, je veux léguer un monde libre et juste à ma fille bien avant de vouloir être un artiste, et cela compte bien plus que mon désir profond d’être un artiste.

Il existe des millions de façons de gagner de l’argent avec de l’art et des milliards de façons de faire faillite en essayant de gagner de l’argent dans les arts. Veiller à ce que les artistes qui réussissent obtiennent autant d’argent que possible dans le système en place est un objectif honorable, mais au-delà de cela, les artistes doivent être opposés à la censure, à la surveillance et au contrôle, parce que les arts ne devraient jamais être du côté de censure, de la surveillance et du contrôle ! Essayez n’importe quoi et faites tout ce que vous pouvez pour que votre pièce tombe sur la tranche, mais si vous avez besoin de casser l’Internet pour réussir votre truc… alors vous êtes du mauvais côté de l’histoire.

Merci.

Crédit photo : portrait de Cory Doctorow par Jonathan Worth (CC BY-SA 2.0)

International Principles on the Application of Human Rights to Communications Surveillance

(Traduction : Slystone, tradfab, hugo, Pascal22, Hubert Guillaud, sinma, big f, Guillaume, Barbidule, Calou, Asta, wil_sly, chdorb, maugmaug, rou, RyDroid, + anonymes)

Version finale du 7 juin 2013

Alors que se développent les technologies qui leur permettent de surveiller les communications, les États ne parviennent pas à garantir que les lois et réglementations relatives à la surveillance des communications respectent les droits humains et protègent efficacement la vie privée et la liberté d’expression (Ndt : le choix de traduire human rights par « droits humains » – plutôt que « droits de l’homme » – repose sur le choix délibéré de ne pas perpétuer une exception française sujette à caution.). Ce document tente d’expliquer comment le droit international des droits humains doit s’appliquer à l’environnement numérique actuel, à un moment où les technologies et les méthodes de surveillance des communications se généralisent et se raffinent. Ces principes peuvent servir de guide aux organisations citoyennes, aux entreprises et aux États qui cherchent à évaluer si des lois et des pratiques de surveillance, actuelles ou en discussion, sont en conformité avec les droits humains.

Ces principes sont le fruit d’une consultation globale d’organisations citoyennes, d’entreprises et d’experts internationaux sur les aspects juridiques, politiques et technologiques de la surveillance des communications.

Préambule

Le respect de la vie privée est un droit humain fondamental, indispensable au bon fonctionnement des sociétés démocratiques. Il est essentiel à la dignité humaine et renforce d’autres droits, comme la liberté d’expression et d’information, ou la liberté d’association. Il est consacré par le droit international des droits humains^[1]. Les activités qui restreignent le droit au respect de la vie privée, et notamment la surveillance des communications, ne sont légitimes que si elles sont à la fois prévues par la loi, nécessaires pour atteindre un but légitime et proportionnelles au but recherché^[2].

Avant la généralisation d’Internet, la surveillance des communications par l’État était limitée par l’existence de principes juridiques bien établis et par des obstacles logistiques inhérents à l’interception des communications. Au cours des dernières décennies, ces barrières logistiques à la surveillance se sont affaiblies, en même temps que l’application des principes juridiques aux nouvelles technologies a perdu en clarté. L’explosion des communications électroniques, ainsi que des informations à propos de ces communications (les « métadonnées » de ces communications), la chute des coûts de stockage et d’exploration de grands jeux de données, ou encore la mise à disposition de données personnelles détenues par des prestataires de service privés, ont rendu possible une surveillance par l’État à une échelle sans précédent^[3].

Dans le même temps, l’évolution conceptuelle des droits humains n’a pas suivi l’évolution des moyens modernes de surveillance des communications dont dispose l’État, de sa capacité à croiser et organiser les informations obtenue par différentes techniques de surveillances, ou de la sensibilité croissante des informations auxquelles il accède.

La fréquence à laquelle les États cherchent à accéder au contenu des communications ou à leurs métadonnées – c’est-à-dire aux informations portant sur les communications d’une personne ou sur les détails de son utilisation d’appareils électroniques – augmente considérablement, sans aucun contrôle approprié^[4]. Une fois collectées et analysées, les métadonnées issues des communications permettent de dresser le profil de la vie privée d’un individu, tel que son état de santé, ses opinions politiques et religieuses, ses relations sociales et ses centres d’intérêts, révélant autant de détails, si ce n’est plus, que le seul contenu des communications^[5]. Malgré ce risque élevé d’intrusion dans la vie privée des personnes, les instruments législatifs et réglementaires accordent souvent aux métadonnées une protection moindre, et ne restreignent pas suffisamment la façon dont les agences gouvernementales peuvent les manipuler, en particulier la façon dont elles sont collectées, partagées, et conservées.

Pour que les États respectent réellement leurs obligations en matière de droit international des droits humains dans le domaine de la surveillance des communications, ils doivent se conformer aux principes exposés ci-dessous. Ces principes portent non seulement sur l’obligation pesant sur l’État de respecter les droits de chaque individu , mais également sur l’obligation pour l’État de protéger ces droits contre d’éventuels abus par des acteurs non-étatiques, et en particulier des entreprises privées^[6]. Le secteur privé possède une responsabilité équivalente en termes de respect et de protection des droits humains, car il joue un rôle déterminant dans la conception, le développement et la diffusion des technologies, dans la fourniture de services de communication, et – le cas échéant – dans la coopération avec les activités de surveillance des États. Néanmoins, le champ d’application des présents principes est limité aux obligations des États.

Une technologie et des définitions changeantes

Dans l’environnement moderne, le terme « surveillance des communications » désigne la surveillance, l’interception, la collecte, le stockage, la modification ou la consultation d’informations qui contiennent les communications passées, présentes ou futures d’une personne, ainsi que de toutes les informations qui sont relatives à ces communications. Les « communications » désignent toute activité, interaction et échange transmis de façon électronique, tels que le contenu des communications, l’identité des parties communiquant, les données de localisation (comme les adresses IP), les horaires et la durée des communications, ainsi que les identifiants des appareils utilisés pour ces communications.

Le caractère intrusif de la surveillance des communications est traditionnellement évalué sur la base de catégories artificielles et formelles. Les cadres légaux existants distinguent entre le « contenu » et le « hors-contenu », les « informations sur l’abonné » ou les « métadonnées », les données stockées et celles en transit, les données restant à domicile et celles transmises à un prestataire de service tiers^[7]. Néanmoins, ces distinctions ne sont plus appropriées pour mesurer le niveau d’intrusion causé par la surveillance des communications dans la vie privée des individus. Il est admis de longue date que le contenu des communications nécessite une protection légale importante en raison de sa capacité à révéler des informations sensibles, mais il est maintenant clair que d’autres informations issues des communications d’un individu – les métadonnées et diverses informations autres que le contenu – peuvent révéler encore davantage sur l’individu que la communication elle-même, et doivent donc bénéficier d’une protection équivalente.

Aujourd’hui, ces informations, qu’elles soient analysées séparément ou ensemble, peuvent permettent de déterminer l’identité, le comportement, les relations, l’état de santé, l’origine ethnique, l’orientation sexuelle, la nationalité ou les opinions d’une personne ; ou encore d’établir une carte complète des déplacements et des interactions d’une personne dans le temps^[8]., ou de toutes les personnes présentes à un endroit donné, par exemple une manifestation ou un rassemblement politique. En conséquence, toutes les informations qui contiennent les communications d’une personne, ainsi que toutes les informations qui sont relatives à ces communications et qui ne sont pas publiquement et facilement accessibles, doivent être considérées comme des « informations protégées », et doivent en conséquence se voir octroyer la plus haute protection au regard de la loi.

Pour évaluer le caractère intrusif de la surveillance des communications par l’État, il faut prendre en considération non seulement le risque que la surveillance ne révèle des informations protégées, mais aussi les raisons pour lesquelles l’État recherche ces informations. Si une surveillance des communications a pour conséquence de révéler des informations protégées susceptibles d’accroître les risques d’enquêtes, de discrimination ou de violation des droits fondamentaux pesant sur une personne, alors cette surveillance constitue non seulement une violation sérieuse du droit au respect de la vie privée, mais aussi une atteinte à la jouissance d’autres droits fondamentaux tels que la liberté d’expression, d’association et d’engagement politique. Car ces droits ne sont effectifs que si les personnes ont la possibilité de communiquer librement, sans l’effet d’intimidation que constitue la surveillance gouvernementale. Il faut donc rechercher, pour chaque cas particulier, tant la nature des informations collectées que l’usage auquel elles sont destinées.

Lors de l’adoption d’une nouvelle technique de surveillance des communications ou de l’extension du périmètre d’une technique existante, l’État doit vérifier préalablement si les informations susceptibles d’être obtenues rentrent dans le cadre des « informations protégées », et il doit se soumettre à un contrôle judiciaire ou à un mécanisme de supervision démocratique. Pour déterminer si les informations obtenues par la surveillance des communications atteignent le niveau des « informations protégées », il faut prendre en compte non seulement la nature de la surveillance, mais aussi son périmètre et sa durée. Une surveillance généralisée ou systématique a la capacité de révéler des informations privées qui dépassent les informations collectées prises individuellement, cela peut donc conférer à la surveillance d’informations non-protégées un caractère envahissant, exigeant une protection renforcée^[9].

Pour déterminer si l’État est ou non fondé à se livrer à une surveillance des communications touchant à des informations protégées, le respect de principes suivants doit être vérifié.

Les principes

Légalité: toute restriction au droit au respect de la vie privée doit être prévue par la loi. L’État ne doit pas adopter ou mettre en oeuvre une mesure qui porte atteinte au droit au respect de la vie privée sans qu’elle ne soit prévue par une disposition législative publique, suffisamment claire et précise pour garantir que les personnes ont été préalablement informées de sa mise en oeuvre et peuvent en anticiper les conséquences. Etant donné le rythme des changements technologiques, les lois qui restreignent le droit au respect de la vie privée doivent faire l’objet d’un examen régulier sous la forme d’un débat parlementaire ou d’un processus de contrôle participatif.

Objectif légitime : la surveillance des communications par des autorités étatiques ne doit être autorisée par la loi que pour poursuivre un objectif légitime lié à la défense d’un intérêt juridique fondamental pour une société démocratique. Aucune mesure de surveillance ne doit donner lieu à une discrimination sur le fondement de l’origine, du sexe, de la langue, de la religion, des opinions politiques, de la nationalité, de l’appartenance à un groupe social, de la richesse, de la naissance ou de tout autre situation sociale.

Nécessité : les lois permettant la surveillance des communications par l’État doivent limiter la surveillance aux éléments strictement et manifestement nécessaires pour atteindre un objectif légitime. La surveillance des communications ne doit être utilisée que lorsque c’est l’unique moyen d’atteindre un but légitime donné, ou, lorsque d’autres moyens existent, lorsque c’est le moyen le moins susceptible de porter atteinte aux droits humains. La charge de la preuve de cette justification, que ce soit dans les procédures judiciaires ou législatives, appartient à l’État.

Adéquation : toute surveillance des communications prévue par la loi doit être en adéquation avec l’objectif légitime poursuivi.

Proportionnalité : la surveillance des communications doit être considérée comme un acte hautement intrusif qui interfère avec le droit au respect de la vie privée, ainsi qu’avec la liberté d’opinion et d’expression, et qui constitue de ce fait une menace à l’égard les fondements d’une société démocratique. Les décisions relatives à la surveillance des communications doivent être prises en comparant les bénéfices attendus aux atteintes causées aux droits des personnes et aux autres intérêts concurrents, et doivent prendre en compte le degré de sensibilité des informations et la gravité de l’atteinte à la vie privée.

Cela signifie en particulier que si un État, dans le cadre d’une enquête criminelle, veut avoir accès à des informations protégées par le biais d’une procédure de surveillance des communications, il doit établir auprès de l’autorité judiciaire compétente, indépendante et impartiale, que :

1. il y a une probabilité élevée qu’une infraction pénale grave a été ou sera commise ;
2. la preuve d’une telle infraction serait obtenue en accédant à l’information protégée recherchée ;
3. les techniques d’investigation moins intrusives ont été épuisées ;
4. l’information recueillie sera limitée à ce qui est raisonnablement pertinent au regard de l’infraction concernée et toute information superflue sera promptement détruite ou restituée ;
5. l’information est consultée uniquement par l’instance spécifiquement désignée, et utilisée exclusivement aux fins pour lesquelles l’autorisation a été accordée.

Si l’État cherche à avoir accès à des informations protégées via une surveillance des communications à des fins qui ne placeront pas une personne sous le risque de poursuites pénales, d’enquête, de discrimination ou de violation des droits de l’homme, l’État doit établir devant une autorité indépendante, impartiale et compétente que :

1. d’autres techniques d’investigation moins intrusives ont été envisagées ;
2. l’information collectée sera limitée à ce qui est raisonnablement pertinent, et toute information superflue sera promptement détruite ou restituée à la personne concernée ;
3. l’information est consultée uniquement par l’instance spécifiquement désignée, et utilisée exclusivement aux fins pour lesquelles l’autorisation a été accordée.

Autorité judiciaire compétente : les décisions relatives à la surveillance des communications doivent être prises par une autorité judiciaire compétente, impartiale et indépendante. L’autorité doit être (1) distincte des autorités qui effectuent la surveillance des communications, (2) au fait des enjeux relatifs aux technologies de la communication et aux droits humains, et compétente pour rendre des décisions judiciaires dans ces domaines, et (3) disposer de ressources suffisantes pour exercer les fonctions qui lui sont assignées.

Le droit à une procédure équitable : Une procédure équitable suppose que les États respectent et garantissent les droits humains des personnes en s’assurant que les procédures relatives aux atteintes aux droits humains sont prévues par la loi, sont systématiquement appliquées et sont accessibles à tous. En particulier, pour statuer sur l’étendue de ses droits humains, chacun a droit à un procès public dans un délai raisonnable par un tribunal établi par la loi, indépendant, compétent et impartial^[10] sauf cas d’urgence lorsqu’il y a un risque imminent de danger pour une vie humaine. Dans de tels cas, une autorisation rétroactive doit être recherchée dans un délai raisonnable. Le simple risque de fuite ou de destruction de preuves ne doit jamais être considéré comme suffisant pour justifier une autorisation rétroactive.

Notification des utilisateurs : les personnes doivent être notifiées d’une décision autorisant la surveillance de leurs communications, avec un délai et des informations suffisantes pour leur permettre de faire appel de la décision, et elles doivent avoir accès aux documents présentés à l’appui de la demande d’autorisation. Les retards dans la notification ne se justifient que dans les cas suivants :

1. la notification porterait gravement atteinte à l’objet pour lequel la surveillance est autorisée, ou il existe un risque imminent de danger pour une vie humaine ; ou
2. l’autorisation de retarder la notification est accordée par l’autorité judiciaire compétente conjointement à l’autorisation de surveillance ; et
3. la personne concernée est informée dès que le risque est levé ou dans un délai raisonnable, et au plus tard lorsque la surveillance des communications prend fin.

À l’expiration du délai, les fournisseurs de services de communication sont libres d’informer les personnes de la surveillance de leurs communications, que ce soit de leur propre initiative ou en réponse à une demande.

Transparence : les États doivent faire preuve de transparence quant à l’utilisation de leurs pouvoirs de surveillance des communications. Ils doivent publier, a minima, les informations globales sur le nombre de demandes approuvées et rejetées, une ventilation des demandes par fournisseurs de services, par enquêtes et objectifs. Les États devraient fournir aux individus une information suffisante pour leur permettre de comprendre pleinement la portée, la nature et l’application des lois autorisant la surveillance des communications. Les États doivent autoriser les fournisseurs de service à rendre publiques les procédures qu’ils appliquent dans les affaires de surveillance des communications par l’État, et leur permettre de respecter ces procédures ainsi que de publier des informations détaillées sur la surveillance des communications par l’État.

Contrôle public : les États doivent établir des mécanismes de contrôle indépendants pour garantir la transparence et la responsabilité de la surveillance des communications^[11]. Les instances de contrôle doivent avoir les pouvoirs suivants : accéder à des informations sur les actions de l’État, y compris, le cas échéant, à des informations secrètes ou classées ; évaluer si l’État fait un usage légitime de ses prérogatives ; évaluer si l’État a rendu publiques de manière sincère les informations sur l’étendue et l’utilisation de ses pouvoirs de surveillance ; publier des rapports réguliers ainsi que toutes autres informations pertinentes relatives à la surveillance des communications. Ces mécanismes de contrôle indépendants doivent être mis en place en sus de tout contrôle interne au gouvernement.

Intégrité des communications et systèmes : Afin d’assurer l’intégrité, la sécurité et la confidentialité des systèmes de communication, et eu égard au fait que toute atteinte à la sécurité pour des motifs étatiques compromet presque toujours la sécurité en général, les États ne doivent pas contraindre les fournisseurs de services, ou les vendeurs de matériels et de logiciels, à inclure des capacités de surveillance dans leurs systèmes ou à recueillir et conserver certaines informations exclusivement dans le but de permettre une surveillance par l’État. La collecte et le stockage des données a priori ne doivent jamais être demandés aux fournisseurs de services. Les personnes ont le droit de s’exprimer anonymement, les États doivent donc s’abstenir d’imposer l’identification des utilisateurs comme condition préalable pour l’accès à un service^[12].

Garanties dans le cadre de la coopération internationale : en réponse aux évolutions dans les flux d’information et les technologies de communication, les États peuvent avoir besoin de demander assistance à un fournisseur de services étranger. Les traités de coopération internationale en matière de police et de justice et les autres accords conclus entre les États doivent garantir que, lorsque plusieurs droits nationaux peuvent s’appliquer à la surveillance des communications, ce sont les dispositions établissant la plus grande protection à l’égard des individus qui prévalent. Lorsque les États demandent assistance dans l’application du droit, le principe de double-incrimination doit être appliqué (NdT : principe selon lequel, pour être recevable, la demande de collaboration doit porter sur une disposition pénale existant à l’identique dans les deux pays). Les États ne doivent pas utiliser les processus de coopération judiciaire ou les requêtes internationales portant sur des informations protégées dans le but de contourner les restrictions nationales sur la surveillance des communications. Les règles de coopération internationale et autres accords doivent être clairement documentés, publics, et conformes au droit à une procédure équitable.

Garanties contre tout accès illégitime : les États doivent adopter une législation réprimant la surveillance illicite des communications par des acteurs publics ou privés. La loi doit prévoir des sanctions civiles et pénales dissuasives, des mesures protectrices au profit des lanceurs d’alertes, ainsi que des voies de recours pour les personnes affectées. Cette législation doit prévoir que toute information obtenue en infraction avec ces principes est irrecevable en tant que preuve dans tout type de procédure, de même que toute preuve dérivée de telles informations. Les États doivent également adopter des lois prévoyant qu’une fois utilisées pour l’objectif prévu, les informations obtenues par la surveillance des communications doivent être détruites ou retournées à la personne.

Signataires

• Access Now
• Article 19 (International)
• Bits of Freedom (Netherlands)
• Center for Internet & Society (India)
• Comision Colombiana de Juristas (Colombia)
• Derechos Digitales (Chile)
• Electronic Frontier Foundation (International)
• Open Media (Canada)
• Open Net (South Korea)
• Open Rights Group (United Kingdom)
• Privacy International (International)
• Samuelson-Glushko Canadian Internet Policy and Public Interest Clinic (Canada)
• Statewatch (UK)

Voici traduit en français le dernier épisode du recueil de conseils OpenAdvice, Notre expérience collaborative sur le pads de traduction s’est avérée un marathon (presque 42 kilomètres aussi) parcouru quelquefois au grand galop par une quasi-centaine de relayeurs. Merci à tous ceux qui sont passés parfois pour risquer un mot ou une phrase, parfois pour dévorer des paragraphes entiers, voire pour devenir des habitués indispensables d’une séance à l’autre.

L’aventure toutefois n’est pas terminée, des membres de Framalang vont maintenant réviser l’ensemble des traductions réunies sur la plateforme Booktype, et préparer un .PDF qui sera lui-même révisé avant le Framabook qui devrait paraître… quand il sera prêt.

Il est un peu tôt pour annoncer les dates avec certitude, mais Paris en mai et Bruxelles en juillet auront la primeur de la publication. Restez tunés !

* * * * *

Traduction Framalang : Ouve, Julius22, Sphinx, AC!63, jcr83, goofy, peupleLà, merlin8282, Sinma, tcit, SaSha_01, lamessen, Sky, jpierre03

Lancer des ponts

Shane Coughlan

Shane Coughlan est un expert en méthodes de communication et en développement d’affaires. Il est surtout connu pour créer des passerelles entre les différentes parties, commerciales et non commerciales, dans le secteur des technologies. Au plan professionnel il a œuvré avec succès pour la création d’un département juridique pour la Free Software Foundation Europe (FSFE), la principale organisation non gouvernementale pour la promotion du logiciel libre en Europe. Il a également contribué à l’établissement d’un réseau professionnel de plus de 270 experts juridiques et techniques à travers 27 pays, à la fondation d’un projet d’outil de conformité de code binaire. Il a travaillé à rapprocher intérêts privés et communautaires pour le lancement du premier examen critique d’une loi dédiée au logiciel libre et open source. Shane a une connaissance étendue des technologies de l’Internet, des bonnes pratiques de gestion, de la construction de communautés et du logiciel libre et open source.

Lorsque j’ai commencé à travailler dans le logiciel libre, j’ai été frappé par ce qui était perçu comme une différence entre les parties prenantes « communautaires » et « commerciales » dans ce domaine. Selon l’opinion largement admise à l’époque, les développeurs s’intéressaient au bidouillage du code  et les commerciaux utilisaient leur travail de manière contestable s’ils n’étaient pas surveillés de près. C’était une supposition relativement infondée et presque entièrement défendue par des gens qui s’identifiaient à la communauté plutôt qu’à ceux qui se préoccupaient davantage des intérêts commerciaux. Mais elle était très répandue.

Bien que je sois principalement associé à la partie communautaire des choses, j’ai résisté à l’idée selon laquelle il y aurait deux camps intrinsèquement ennemis se faisant face à propos de l’avenir du logiciel libre. Cela semblait trop simple pour décrire les dynamiques de contribution, d’utilisation et de support comme une interaction entre les nobles créateurs et les sournois téléchargeurs de gratuit. Cela semblait en effet plus être une situation dans laquelle la complexité, les changements et l’incertitude avaient conduit à la création de récits simplistes destinés à rassurer un peu ceux qui sortaient de leur position confortable. Je pouvais ressentir la tension ambiante, entendre les querelles autour des stands lors des rencontres et les commentaires acerbes ou bien les montées en pression dans les conférences. Mais que signifiait tout cela ?

Que nous parlions de contribution à des projets de logiciels libres, de gestion de projet ou de respect des licences, les relations entre les parties prenantes s’accompagnaient souvent de préjugés, d’un manque de communication et d’émotions négatives. Ceci conduisait ensuite à une plus grande complexité, à une augmentation proportionnelle de la difficulté à prendre des décisions unifiées ainsi qu’à résoudre les problèmes. Je savais que l’un des plus grands défis était de jeter des ponts entre les individus, les projets et les entreprises. C’est une étape nécessaire pour assurer une compréhension commune et une communication croisée des règles, des normes et des raisons qui sous-tendent les licences et autres mesures officielles qui régissent ce domaine. Mais le savoir ne suffit pas à trouver le moyen de s’attaquer efficacement au problème.

C’était la période charnière où la GPLv3 était en cours de rédaction. Les technologies fondées sur Linux commençaient à apparaître dans toutes sortes de produits électroniques grand public et le logiciel libre était sur le point de se démocratiser. Il y avait du changement dans l’air et les investissements commerciaux autour des principaux projets de logiciel libre atteignaient des sommets. Tout à coup, on voyait des employés de grandes entreprises s’atteler à des tâches complexes, on avait des fonds importants pour les événements. De nombreux logiciels cessaient d’être une simple question de plaisir et commençaient à connaître les jalons, les livrables, l’assurance qualité et l’ergonomie.

Ce fut probablement un sérieux bouleversement pour ceux qui réalisaient du logiciel libre depuis longtemps : la majeure partie de l’évolution du logiciel libre ne concernait pas seulement l’exploration et la perfection technique, mais aussi l’interaction sociale. C’était un bon moyen pour des gens intelligents bien que parfois bizarres de partager un intérêt commun, de se lancer des défis et de coopérer au sein de projets bien définis et prévisibles. Tout comme collectionner des timbres, compter les trains ou connaître (par coeur) l’univers de Star Trek, c’était quelque chose qui fédérait des gens avec des centres d’intérêt bien particuliers en leur offrant de surcroît le bénéfice d’une agréable socialisation. Les premiers contributeurs ne s’attendaient sûrement pas à rencontrer là des cadres moyens et un développement orienté vers le volume de production. Pas étonnant que certains s’y soient cassé le nez.

Et pourtant… Tout s’est bien passé. Le logiciel libre est partout et sa position paraît être inexpugnable en tant que composant majeur de l’industrie des technologies de l’information. Des projets comme le noyau Linux ou le serveur Web Apache ont continué à se développer, à innover et à attirer de nouvelles parties prenantes, tant commerciales que non commerciales. L’équilibre des pouvoirs entre les individus, les projets et les entreprises a changé, parfois avec des conflits et des perturbations, mais jamais au détriment d’une coopération sur le long terme, ni en portant préjudice aux valeurs fondamentales du logiciel libre.

De mon point de vue, dans le domaine juridique — qui n’est après tout qu’un langage formel qui fournit un contexte pour l’interaction au travers de règles mutuellement comprises et applicables — la tension dans le logiciel libre ne s’est pas formée avec l’introduction d’une activité commerciale accrue, ni avec la participation grandissante d’employés dans des projets, ni avec le changement lui-même. Le vrai problème réside dans l’écart entre une élite précédente en perte de vitesse et de nouveaux venus parfois très différents.

Le défi était de créer un terrain de jeu équitable où les différents intérêts pourraient coexister dans un respect mutuel. Le logiciel libre devait devenir un point de rencontre où n’importe qui pouvait à tout moment obtenir des informations comme les compétences appropriées, les obligations d’une licence ou les pré-requis pour la soumission de code à un projet. La subjectivité et l’imprécision devaient être mises de côté pour permettre l’émergence de transactions plus formelles, ce qui agit alors comme le précurseur essentiel d’une forte activité économique, en particulier dans le contexte d’une communauté internationale voire mondiale.

Ce qui a fonctionné dans les premiers jours — qu’il s’agisse de la confiance de quelques-uns ou de l’entente mutuelle d’un groupe homogène ayant des intérêts communs — ne pouvait plus agir en tant que facteur social ou économique pour l’avenir du domaine. Parfois, il semblait que c’était une barrière insurmontable et que les tensions entre les contributeurs de longue date au logiciel libre et les nouveaux acteurs devaient conduire à un effondrement de la coopération et, peut-être, à celui des progrès accomplis. Mais un résultat aussi sombre supposait des conditions qui n’existaient tout simplement pas.

Le logiciel libre a apporté beaucoup de choses à des tas de personnes et d’organisations, en se fondant sur quelques concepts très simples comme la liberté d’utiliser, de modifier, d’améliorer et de partager la technologie. Ces concepts ont permis beaucoup de flexibilité. Et tant que les gens reconnaissaient leur valeur et continuaient à les respecter, les conflits portants sur des points secondaires comme la gouvernance ou les zones d’ombre des licences étaient plutôt sans importance — à long terme. Le reste est principalement du bruit. Les communications habituelles sont dérangées par tous ces pièges dramatiques qui arrivent inévitablement lorsqu’un groupe social est rejoint par un autre. Cela s’applique à toutes les discussions, que l’on parle d’un coin de pêche, d’un pays accueillant (ou non) les immigrants ou de deux entreprises fusionnant.

Les changements au sein du logiciel libre semblaient tous un peu confus à l’époque, mais ils se décomposent principalement en trois leçons utiles qui seront familières aux étudiants d’histoire ou de sciences politiques. Premièrement, chaque fois qu’il existe une élite, elle cherchera à préserver son statut et parlera du conflit perçu comme une évolution négative dans le but de l’ébranler. Deuxièmement, malgré la tendance inhérente de chaque base de pouvoir à être conservatrice, la participation statique dans un domaine en évolution aura pour seul effet de déplacer la possibilité d’une amélioration des parties existantes vers de tierces parties. Enfin, si quelque chose a de la valeur, alors les difficultés rencontrées en matière de gouvernance sont peu susceptibles de porter atteinte à cette valeur, mais fourniront au contraire une méthode pour redéfinir à la fois les mécanismes de gouvernance et les personnes en mesure de les appliquer.

Le développement du logiciel libre en tant que technologie démocratisée a connu une professionnalisation croissante parmi les développeurs comme dans la gestion de projets. Nous avons aussi vu s’accroître le respect envers les licences de la part des individus, des projets et des entreprises. Ce ne fut pas une mauvaise chose, et malgré quelques moments houleux le long du chemin — que l’on peut choisir parmi les querelles inter-communautaires, les entreprises qui ne tiennent pas compte des termes des licences ou l’agacement causé par un éloignement de l’esprit décontracté habituel — notre position en est consolidée, plus cohérente et de plus grande valeur.

Chaque jeudi à 21h, rendez-vous sur le framapad de traduction, le travail collaboratif sera ensuite publié ici même.

Traduction Framalang :Julius22, Sphinx, fubik, peupleLà, okram, goofy, merlin8282, Munrek, Texmix, Asta, Jej, gregseth, lamessen

Qui êtes-vous, qu’avez-vous à vendre et en quoi ça pourrait m’intéresser ?

Sally Khudairi

Active sur le Web depuis 1993, Sally Khudairi est la publicitaire en embuscade derrière certaines des organisations et des standards les plus importants de cette industrie. Ancienne adjointe de Sir Tim Berners-Lee et championne toutes catégories de l’innovation collaborative, elle a aidé au lancement de The Apache Software Foundation en 1999 et en fut la première femme et membre non-technique élue. Sally est vice-présidente du marketing et de la publicité pour The Apache Software Foundation et directrice générale de HALO Worldwide, une société de conseil en communication pour des marques de luxe.

Tout le monde est vendeur. Du PDG à la star des commerciaux, en passant par le gars qui répartit le courrier, chacun est un représentant de votre entreprise. Les technologies et les stratégies ont changé au fil des années mais une bonne communication reste primordiale. Au bout du compte, tout le monde vend quelque chose, et c’est un équilibre intéressant à trouver dans la publicité ; qui vous êtes, ce que vous faites et ce que vous vendez sont souvent étroitement imbriqués. Quand les gens me disent qu’ils ne savent pas qui je suis, je leur demande s’ils ont entendu parler du W3C, d’Apache ou des Creative Commons.

La réponse habituelle est « bien sûr ! », ce qui me confirme que je fais bien mon boulot. Si vous savez qui ils sont et ce qu’ils font, tout va bien. Après tout, c’est le produit qui compte, pas le publicitaire. Je n’ai jamais cherché à être là : me faire les dents dans la communication à la naissance du Web n’était pas facile, mais grâce au ciel j’ai pu observer les autres et esquiver un certain nombre de torpilles. Après une forte montée en puissance et quelques projets très en vue, quel conseil pourrais-je partager avec un chargé de relations publiques en herbe, avec un porte-parole chevronné rompu à la pratique des médias, ou un technologue qui ose enfourcher le cheval ombrageux de la promotion, malgré ses ruades ?

N’oubliez jamais de vous manifester

Quand vous vendez votre histoire à la presse, souvenez-vous que les médias, eux aussi, ont quelque chose à vendre. Bien sûr, au plus haut niveau, le rôle d’un journaliste est de raconter une histoire irrésistible et convaincante — qu’elle soit vraie ou non, que les faits soient exacts ou non —, qu’elle réponde ou non à une éthique, c’est une autre question. Qu’il s’agisse d’attirer le lectorat, de fidéliser les abonnés ou de promouvoir les espaces publicitaires, eux aussi sont en train de vendre quelque chose. Votre boulot, c’est de les aider à faire le leur. À dire vrai, il est possible que certaines personnes n’aient jamais entendu parler de vous, même si vous êtes dans le métier depuis déjà pas mal de temps. Même si ce n’est pas le cas, ils peuvent ne pas savoir exactement qui vous êtes. Soyez clair sur ce que vous avez à offrir. Quelle est l’accroche pour la presse — quelle est la nouvelle ? Assurez-vous qu’elle est vraiment nouvelle. Soyez direct et venez-en rapidement au fait. Vous devez être prêt à répondre aux questions suivantes : « et alors ? », « En quoi ça pourrait m’intéresser ? » et « Qu’est-ce qu’il y a là-dedans pour moi ? ». Cela veut dire que vous devez vous poser des questions sur vous-même et sur votre produit. Les gens achètent des idées, pas des produits. Faire la promotion des avantages de ce que vous lancez vous aidera à améliorer vos chances d’obtenir une couverture médiatique. Faites un pas de côté : qu’êtes-vous vraiment en train de vendre ?

Jamais le vendredi

Le pire des jours pour lancer un nouveau site web, diffuser un communiqué de presse ou informer les médias, c’est le vendredi. La probabilité qu’il se passe quelque chose et que personne ne soit disponible pour gérer les retombées est plus importante que vous ne pouvez l’imaginer. J’en ai eu une cuisante expérience dès le début de ma carrière. J’avais lancé la nouvelle page d’accueil du W3C un vendredi soir puis quitté le bureau et embarqué dans un avion pour Paris. Comme je venais du monde de la publication commerciale sur Internet, utiliser un tag propriétaire ne me posait aucun problème à partir du moment où il faisait le travail. Faire de même sur le site internet d’une organisation vouée à l’interopérabilité, en revanche, n’était pas une bonne idée. En quelques minutes, des douzaines de messages arrivèrent, demandant comment la <balise-aujourd’hui-dépréciée> était arrivée sur notre site. Et non, ça n’était pas <blink>…

N’imaginez jamais que cela n’a aucune importance

La crédibilité est essentielle. Même si vous êtes surchargé de travail, dévoué corps et âme ou partout à la fois, vous ne pouvez pas empêcher l’heure de sonner. Essayez de produire autant que vos capacités vous le permettent et demandez de l’aide si vous le pouvez. Certaines échéances doivent être négociées, et beaucoup d’éditeurs peuvent s’accommoder d’un retard dans le calendrier mais cela n’aura probablement pas (autant) d’importance une fois l’urgence passée si vous n’êtes pas capable de finir le travail. Tout comme pour l’art, le développement de standards et la relecture-correction, le processus peut se poursuivre et recommencer ad nauseam. Tandis que la créativité ne peut pas être gérée par le temps, des dates butoir strictes obligent à tracer une limite à un moment donné. Mais vous devez vous soucier des détails. Arrêtez-vous. Révisez tout et testez tous les liens. Assurez-vous que cela correspond parfaitement à la stratégie de la campagne ou de la marque. Les cycles de répétition font partie des grands principes structurants de la communication et le travail continuera à s’accumuler. Organisez-le et protégez votre réputation.

Allez-y seul

Il est important d’avoir confiance en vos instincts, spécialement lorsque vous sortez des sentiers battus. Aux premiers jours du Web supercool et ultramoderne, tout le monde semblait s’en remettre aux stratégies habituelles des marques/relations publiques/marketing qui consistaient à faire des sites vitrines. Puis tout le monde « suivait le meneur » (le meneur est « le premier à l’avoir fait », dans de nombreux cas). Les tendances sont une chose, les attentes et les besoins de l’industrie en sont une autre : « c’est comme ça que tout le monde fait » ne veut pas dire que c’est bien pour vous, votre projet ou votre communauté. Ma carrière dans la communication a commencé lorsque j’ai renvoyé le sous-traitant que nous avions choisi et tout ramené en interne.

Nous avons été parmi les premières organisations à mettre une adresse URL sur notre plaquette commerciale, et nous avons été les premiers à utiliser une URL comme source d’un communiqué de presse alors que les agences de presse nous disaient que cela n’était pas conforme et contraire aux règles. Faites confiance à vos connaissances. Allez à contre-courant et bousculez les règles de manière responsable. Sachez vous différencier. Il est permis d’être un dissident tant que vous pouvez soutenir vos idées.

Offrez vraiment des perspectives

Bon nombre des technologies dans lesquelles je suis impliquée finissent en produits au bout de trois à cinq ans. Ceci signifie que, dans bien des cas, il est difficile d’établir une quelconque relation à un produit comparable. Il est crucial que vous expliquiez clairement votre position en utilisant le moins de jargon possible. La plupart des journalistes et analystes non-développeurs avec lesquels je suis en contact ne suivent pas les activités d’une certaine communauté au quotidien et ne savent pourquoi telle fonctionnalité est meilleure qu’une autre, même si c’est une évidence pour vous.

Dire qu’on va « privilégier la forme plutôt que le fond » est plus pertinent aujourd’hui que jamais. Forme. Fond. Je marque toujours une séparation à ce sujet lorsque je fais de la formation aux médias : présentez trop le fond ou trop la forme et votre campagne risque d’échouer. La perception est fondamentale et la cause de bien des conflits. Tout sur la forme = « branché + hyperbole » = « Ah, ces marketeux ! ». Tout sur le fond = « des zéros et des uns » = « Ah, ces geeks ! ».

Il vous faut comprendre et pouvoir expliquer clairement quel est le problème que résout votre produit. En sachant mieux présenter le problème, vous pourrez mieux en expliquer la solution. Les détails accessoires, les anecdotes et les succès, voilà ce qui donne à la presse un moyen d’attirer l’attention de son lectorat. Vous devez savoir répondre à la question « Qu’y a-t-il pour moi là-dedans ? », parce que c’est ce qui incite les journalistes à fouiller un peu plus dans votre histoire, qui, en retour, permet aux lecteurs d’en savoir plus sur vous. La forme répond à la question « Qu’y a-t-il pour moi là-dedans ? », c’est donc l’hameçon. Le fond est le comment on y parvient.

Ayez des porte-parole sur la brèche

Ayez toujours quelqu’un de disponible pour parler à la presse. Oui, ça peut être vous, mais sachez qu’il y aura un moment où, même si vous avez une histoire bien planifiée à raconter, vous pourriez ne pas être disponible. Avec qui d’autre travaillez-vous ? Qui vous connaît ? Qui vous soutient ? Définir ces personnes et distribuer les rôles pour clarifier qui dit quoi contribue beaucoup à diminuer les maux de tête potentiels. J’agis habituellement en tant que porte-parole d’arrière-plan afin de pouvoir passer du temps avec un journaliste pour trouver ce qu’il recherche spécifiquement et comment nous pouvons lui donner les informations pertinentes du mieux possible.

J’explique comment les choses fonctionnent, principalement sur les processus ; cela met mes « vrais » porte-parole en meilleure position pour dire quels sont leurs besoins et minimise le risque de perdre leur participation en chemin. Préparer les bonnes personnes est aussi important que de les rendre disponibles. Pendant mes cours de formation aux médias, je mets quelques diapositives « surprenantes » qui soulignent les leçons particulièrement intéressantes apprises au fil des ans.

Nous avons par exemple connu une pagaille de représentants dans les premiers jours de l’incubateur Apache, où 15 personnes ont répondu à une demande de la presse en 48 heures… beaucoup d’opinions, mais qui était la « bonne » personne à citer ? Ne laissez pas la presse en décider ! Un autre scénario suprenant comprenait une fête de lancement globale avec des centaines d’invités, des représentants de la presse partout, des DJ, de la musique à fond, des cocktails à flot, et tout ça durerait jusqu’à très tard dans la nuit avec des rumeurs de soirées en after.

Très tôt le matin suivant, la presse a débarqué (oui, bien sûr, j’accepte les appels du Financial Times à quatre heures du matin !). J’ai accepté avec excitation. Cependant, il s’avéra que nous n’avions pas de représentant disponible : le président était dans un avion à destination du Japon, le téléphone portable du directeur était éteint (avec une bonne raison, apparemment) ; les membres du conseil d’administration indisponibles, l’équipe non préparée. Des dizaines d’occasions manquées. Rappelez-vous : quand le communiqué de presse est diffusé, le travail commence tout juste.

Ne soyez pas surpris de le voir affluer de partout

Ils ont tous un avis. Et ils vont probablement vous le donner.

Ne compliquez pas les choses à outrance

Si vous pensez que vous avez trop de choses à dire, c’est probablement le cas. Les facultés d’attention ne sont plus ce qu’elles étaient ; la distraction/l’échec est à portée de clic. Rappelez-vous que vous pouvez toujours travailler par étapes. Décomposez votre histoire si nécessaire. Coupez un long communiqué de presse et utilisez des supports documentaires comme des fiches de description technique et des pages de témoignages à la place. Le principe de segmentation (« cinq plus ou moins deux ») est quelque chose que j’utilise encore et encore. Créez votre propre cycle de publication pour vos messages et renforcez régulièrement votre présence. Créez une FAQ ; si une question mérite d’être posée et n’y est pas, trouvez le moyen de compléter votre message. La répétion engendre la familiarité. Le renforcement progressif de votre appel à l’action est une bonne chose.

N’y touchez plus pendant 24 heures

Parfois, vous avez besoin de prendre du champ. Vous éloigner d’un projet, d’un raisonnement, du travail en général. Accordez-vous une pause et essayez de garder un certain rythme. Prenez une journée pour laisser décanter et vous permettre de souffler. Bien que ce ne soit pas possible dans une entreprise gouvernée par les dates butoir, c’est un but à viser. La course effrénée, les courriels incessants et les tweets en continu déclenchent souvent des réactions à des urgences qui n’existent pas. Laissez le projet de côté, videz-vous la tête et revenez avec des idées claires. Faites un pas de côté et reprenez votre vie en main.

Visez haut

Placez haut la barre et soyez conscient de votre valeur.