Thread by @amaelle_g

[@libe] [Reportage] Plongée dans les sous-sols de l'hôtel des Invalides, là où est installé le Groupement interministériel de contrôle (GIC), discret service de Matignon qui centralise les écoutes administratives du #renseignement français. liberation.fr/societe/police…

Pour le GIC, la loi renseignement de juillet 2015 a été un «big bang», explique son directeur. Et pour cause. A la centralisation des écoutes et des métadonnées s'est ajoutée celle des outils espions «de proximité» : balises, micros, caméras (hors DGSE et DGSI, tout de même).

Post-2015, c'est aussi la normalisation administrative. Jusque-là, le GIC était certes sous l'autorité de Matignon, mais... rattaché administrativement à la DGSE, d'où était issu l'essentiel de son personnel. Héritage des années 60. Aujourd'hui, il est adossé au SGDSN.

Son budget, intégralement puisé jusqu'en 2015 dans les fameux «fonds spéciaux» dévolus aux activités secrètes de l'Etat, a rejoint (pour l'essentiel) les fonds normaux : 29 millions d'euros dans la loi de finances 2021.

Le GIC compte aujourd'hui une bonne moitié de contractuels, évolution des profils oblige. On y recrute des ingénieurs, on y développe les outils destinés aux «exploitants», les membres des services de renseignement qui viennent dans ses locaux écouter leurs cibles ou «objectifs».

Car une «interception de sécurité», ce ne sont pas seulement des conversations téléphoniques ou des SMS, mais aussi des «flux numériques». Majoritairement chiffrés, mais néanmoins riches de métadonnées révélatrices. (On a pu voir l'appli qui en extrait la substantifique moëlle.)

Le GIC a aussi équipé le gendarme des écoutes, la Commission nationale de contrôle des techniques de renseignement (CNCTR), en outils informatiques sécurisés.

Avec une conséquence très concrète : depuis ses locaux, le contrôleur peut aujourd'hui voir «tout ce que recueillent et produisent les services pour un assez grand nombre de techniques», dixit Francis Delon, le président de la CNCTR, lors d'une audition récente. Ça progresse.

Le lien vers l'audition en question, devant la commission de la Défense de l'Assemblée, le 12 mai 2021 assemblee-nationale.fr/dyn/15/comptes…

C'est aussi au GIC que tournent les algorithmes chargés de détecter des «connexions susceptibles de révéler une menace terroriste», aka les «boîtes noires». Depuis 2017, trois ont été mises en œuvre.

Pour les détails, c'est à lire ici : «"Boîtes noires" : des algorithmes pour aiguiller les écoutes» liberation.fr/societe/police…

Dixit un rapport remis par le gouvernement au Parlement l'an dernier, les algorithmes tournent aujourd'hui sur «l’équivalent des données de facturation (également appelées CDR pour “Call Detail Record”, et qui portent uniquement sur les communications “classiques”...

tels que les appels téléphoniques, les SMS ou les consultations de répondeurs) des opérateurs téléphoniques français.» Cette collecte de «CDR», réalisée auprès des 4 opérateurs français de réseaux télécoms, est exhaustive.

Et demain ? Le projet de loi «antiterrorisme et renseignement» étend le champ des «boîtes noires» aux «adresses complètes de ressources sur Internet». Ce qui permet d'inclure les URL sans avoir à discriminer entre les pures données de connexion et les données «mixtes».

(Par «données mixtes», la Cnil et la CNCTR entendent les données de navigation qui renseignent sur le contenant ET sur le contenu, par exemple une adresse de page web comme «liberation .fr/article_sur_les_boîtes_noires» qui permet de savoir ce que vous avez lu.)

L'objectif, plus globalement, est de pouvoir étendre le périmètre des algorithmes aux «traces de navigation». Cette collecte-là (toujours auprès des 4 opérateurs de réseaux) ne pourra pas être exhaustive. Il faudra filtrer à tous les étages...

... et donc, en premier lieu, déterminer quels sont les types de données de connexion IP «intéressantes» pour les services de renseignement en charge de l'antiterrorisme.

Techniquement, c'est une autre paire de manches que la duplication des données de facturation téléphonique (que les telcos centralisent pour leurs propres besoins). Mais il y a déjà des «briques» en bout de chaîne.

Depuis la loi de 2015, est en effet autorisé le recueil de données de connexion en temps réel pour des personnes «susceptibles d’être en lien avec une menace» terroriste : legifrance.gouv.fr/codes/article_…

(A signaler, au passage, que cette technique est celle pour laquelle la progression en %, entre 2016 et 2020, des demandes des services de renseignement est la + forte : de 368 à 1644 soit +346,7%, cf les chiffres donnés par la CNCTR dans son rapport 2020 cnctr.fr/_downloads/004…)

Et donc l'extension du périmètre des «boîtes noires» à des données de connexion IP s'appuiera (entre autres, sans doute) sur des outils déjà existants.

Je l'écrivais plus haut, la CNCTR peut accéder à bcp d'éléments, notamment via les outils du GIC. Mais elle ne peut pas tout voir. Son rapport 2020 soulève, à nouveau, la question des «fichiers de souveraineté» : «refus presque unanime» des services de la laisser y mettre le nez.

Refus motivé notamment par le fait que ces «fichiers de souveraineté» peuvent inclure «des données communiquées par des services étrangers». C'est le 2e gros angle mort du contrôle : les échanges entre les services de renseignement FR et leurs homologues étrangers.

En France, il n'existe aucun cadre légal, même minimal, sur le sujet ; Paris est la lanterne rouge de l'UE. La CNCTR avait soulevé le problème il y a deux ans, après une décision de la CEDH posant noir sur blanc cette exigence de garanties légales.

La réponse des services secrets, et des autorités, est d'invoquer la règle dite du «tiers service», selon laquelle une information transmise par un partenaire ne peut pas être communiquée à une tierce partie, sauf accord de l’émetteur.

Sauf que la CEDH a de nouveau, dans un arrêt de grande chambre sur la même affaire (Big Brother Watch contre Royaume-Uni), réaffirmé la nécessité d'un cadre légal. C'était à la fin mai. Je raconte tout ça ici : liberation.fr/societe/police…

(Ceux qui ont suivi la saga de la conservation généralisée des données de connexion remarqueront que Paris, décidément, s'y entend pour jouer la montre face à la jurisprudence européenne... cf liberation.fr/societe/police…)

(Fin de ce thread #Renseignement. Et bonne lecture.)