Thread by @DamienLiccia

🧵- Deux, trois réflexions au sujet de l'arrestation de #PavelDurov hier à Paris👇

Il faut d'emblée dire que les raisons de son arrestation ne sont pas claires et que, comme la France n'est pas un État arbitraire, cela s'inscrit dans le cadre d'un mandat de recherche émis par un juge d'instruction, et donc qu'une enquête est ouverte contre lui.

D'après TF1-LCI, les motifs derrière ce mandat de recherche seraient les suivants :

« L’absence de modération, de coopération avec les forces de l’ordre et les outils proposés par Telegram (numéro jetable, cryptomonnaies…) le rend complice de trafic de stupéfiants, d’infractions pédocriminels et d’escroquerie »

tf1info.fr/justice-faits-…

En droit américain, Pavel Durov serait, en partie, protégé par la section 230 du Communications Decency Act (CDA).

Il s'agit de la clause dite du "bon samaritain" qui permet aux plateformes en ligne de ne pas être responsables des contenus qui transitent sur leur services.

Elle autorise les hébergeurs de contenus à modérer, de manière somme toute discrétionnaire au demeurant, les contenus qui passent par leurs plateformes, sans pour autant les rendre responsables de cela.

À tour de rôle, aux États-Unis, démocrates et républicains ont essayé de la faire sauter pour des motifs divers.

En 2020, dans le contexte électoral américain, les soutiens de Trump ont essayé de la révoquer, notamment parce qu'ils accusaient alors les réseaux sociaux (X et Meta) de faire le jeu des démocrates, ce qui évidemment restaient/restent à démontrer.

À ma connaissance, il n'y aucune loi équivalente en France, sauf à se tourner du côté du bloc constitutionnel et l'appréhension qui y est faite de la liberté d'expression ainsi que de son encadrement.

Il y a bien la LCEN (et son article 6 notamment) qui encadre le couple liberté d'expression-régulation en ligne de la part des FAI et hébergeurs mais rien de comparable avec la section 230.

legifrance.gouv.fr/loda/article_l…

Par ailleurs, les grandes lois qui ont été mises en place en France ces dernières années pour réguler les supposées dérives des réseaux sociaux (loi "fake news", loi cyberhaine...) concernent quasi exclusivement les plateformes publiques.

Preuve en est, à ma connaissance, aucun représentant de Telegram (ou de Signal) n'a jamais été entendu en commission d'enquête parlementaire.

En France, on va donc surtout cibler les usagers problématiques et délictueux des plateformes, et comme l'anonymat n'existe pas dans l'absolu, les retrouver (rôle des hébergeurs et FAI notamment) et les faire condamner, que l'on pense notamment aux nombreuses condamnations pour cyber harcèlement, que ce soit sur les réseaux sociaux ou des espaces comme les forums (le 18-25 JVC par exemple).

Sauf erreur de ma part, Webedia (propriétaire de JVC) n'a jamais été condamné pour les dérives qui ont pu avoir lieu sur JVC au cours de ces dernières années. Seuls l'ont été les responsables de ces délits.

Sauf que Telegram n'est pas JVC et Telegram ne peut pas non plus être considéré stricto sensu comme un réseau social.

Et c'est peut être là, mais pas que, la source des problèmes de Pavel Durov avec les autorités judiciaires (et politiques) françaises.

Il n'est pas inutile de mettre à plat Telegram pour voir quels peuvent être les points problématiques :

1) Un service de messagerie.

Ce service, contrairement à la légende urbaine, n'est aucunement chiffré de bout en bout par défaut. Le seul chiffrement possible est entre deux utilisateurs (deux numéros de téléphone donc) et uniquement via l'application mobile (à condition de créer un canal chiffré). Le chiffrage standard se fait donc uniquement entre l'utilisateur et les serveurs de Telegram.

Si les messages sont effectivement chiffrés entre l'utilisateur et les serveurs se pose la question d'une part de savoir ce que Telegram peut/veut voir, modérer, et de l'autre de savoir quelle est la posture adoptée par Telegram par rapport au secret de la correspondance.

Dans l'histoire contemporaine française, la seule fois que le secret de la correspondance a été systématiquement brisé c'est au temps de Vichy et du Service des Contrôles Techniques (SCT), qui ouvrait et analysait les courriers envoyés par les Français.

Se pose donc, ici en l'espèce pour Telegram, la question de la modération de contenus qui ressortent manifestement du secret de la correspondance, qui est en France un droit fondamental protégé par la loi.

Certes, ce secret n'est évidemment pas absolu, et, si l'on prend pour exemple les écoutes téléphoniques, elles peuvent être mises en place par les autorités judiciaires ou administratives, mais toujours dans un cadre très précis, limité dans le temps et en réponse à des motifs impérieux (lutte contre le grand banditisme, terrorisme...)

service-public.fr/particuliers/v…

Sauf que si je prends l'exemple des écoutes téléphoniques, c'est parce qu'il s'agit d'un cas où les autorités publiques peuvent "facilement" agir d'un point de vue technique.

A contrario, « l'un des problèmes des services de renseignement sont les messageries cryptées (sic) », comme l'a évoqué à de très nombreuses reprises @GDarmanin au cours des derniers mois.

À chaque fois, il est attendu de la part de l'État que ces applications de messagerie mettent à disposition des services des backdoors ou portes dérobées afin de permettre les investigations des services spécialisés.

lemonde.fr/pixels/article…

L'arrestation de Pavel Durov doit-elle donc se lire à l'aune d'un hypothétique rapport de force entre l'État et le fondateur de l'application pour obtenir la création d'une telle backdoor ?

Sauf que, dans l'hypothèse où une telle brèche venait à être introduite, cela ne contribuerait-il pas mécaniquement à voir Telegram être délaissé par ses utilisateurs malicieux ? Alors que jusque-là, l'incroyable versatilité de la plateforme, permettait également de mettre ces derniers sous surveillance et de potentiellement faire tomber des réseaux de (cyber)criminels ? La question est ouverte, les développements des prochains jours nous en diront sûrement plus sur ce point.

2) Un espace de micro-blogging

Telegram, qui a été créé par des russes, faut-il le rappeler, a très vite eu pour autre cas d'usage le micro-blogging. Alors que LiveJournal était très utilisé en Russie dans les années 2000, la montée en puissance de Telegram, qui coïncide peu ou prou avec le déclin de LiveJournal, a vu une adoption grandissante de la plateforme de la part d'utilisateurs désireux d'adopter une approche content-first à destination de leurs audiences.

Si on parle beaucoup, depuis deux ans et le début de l'agression militaire russe en Ukraine, des blogueurs militaires russes actifs sur Telegram, ce n'est évidemment pas le seul public à avoir adopté massivement la plateforme à cette fin.

3) Un espace de discussion

Au sein d'espaces thématiques animés par un administrateur, des pratiques de type forums se sont développés sur Telegram, permettant le partage de documents textuels, d'images ou encore de fichiers audio. Ici on est davantage sur un forum 2.0, plutôt prisé en France par les sphères d'extrême gauche et d'extrême droite, pour le dire assez vite.

4) L'API de Telegram.

On en parle assez peu depuis l'arrestation de Durov, mais l'API de Telegram est peut-être la caractéristique la plus intéressante de l'application.

Cette API, qui est accessible moyennant un token (qu'on obtient avec un numéro de téléphone), est l'une des plus versatiles et puissantes du marché. On peut faire beaucoup de choses avec, et notamment l'interfacer avec d'autres services (un peu le principe des API me direz-vous...).

Cela permet d'automatiser des tâches de différentes natures et des acteurs malveillants l'utilisent, en partie, pour leurs business illicites. On peut notamment penser à l'écosystème des "fournisseurs" d'#IPTV, dont on parle un peu ces derniers temps (coucou Dazn) qui l'utilisent pour automatiser l'envoi de liens vers des streams illégaux.

Pour autant, est-ce que la mise à disposition de cette API et l'utilisation détournée qui peut en être faite par certains acteurs malveillants tendraient à faire basculer Telegram du mauvais côté de la barrière ? Difficile à dire.

Depuis hier, et plus ou moins justement, beaucoup de commentateurs font observer que les contenus illicites qui transitent sur Telegram, se retrouvent également sur Snapchat (notamment pour le commerce de stupéfiants) et, peut être dans une moindre mesure, sur Whatsapp. Il ne faut pas oublier, au demeurant, la marketplace de Facebook, qui est également très utilisée par des acteurs malveillants, avec là encore une modération très limitée.

C'est indéniablement le cas, mais l'automatisation est plus compliquée, à ma connaissance, sur Snap par exemple.

De même Signal ne propose pas d'API publique, et si j'imagine que quelques projets existent sur Github ou autres, il ne s'agit jamais que de travaux de reverse-engineering réalisés par des développeurs tiers.

Si dans le cadre de la guerre en Ukraine, on a beaucoup parler de la désinformation russe qui se joue sur Telegram, et dans le cadre de nos travaux avec @jbdelhomme au sein de l'@Obs_Information nous y avions notamment consacré une étude en 2022, force est de constater que l'API a également été utilisée par les Ukrainiens dans leur effort de guerre.

…servatoire-strategique-information.fr/2023/01/09/pro…

Par exemple, les services de renseignement ukrainiens ont notamment créé des bots grâce à l'API publique de Telegram pour faciliter et automatiser la collecte d'informations relatives notamment aux positions militaires des Russes sur le terrain.

De tels outils ne peuvent pas être créés sur Snap, Whatsapp ou Signal.



cepa.org/article/has-uk…
reuters.com/technology/ukr…

Si les motifs de l'arrestation de Pavel Durov à Paris sont bien ceux relayés par la presse depuis hier soir se pose donc la question de la pertinence d'une telle approche.

Il y a indéniablement des zones d'ombre dans ce dossier, que la naturalisation de Durov par décret en 2021 ne manque pas de rappeler.

Faut-il restituer cette arrestation dans le cadre plus global du discours anti-réseaux sociaux qui prévaut à la tête de l'exécutif depuis près de 10 ans ? Est-ce uniquement un rapport de force pour obtenir une backdoor ? Est-ce une question d'ingérence étrangère et informationnelle ?

Autant de questionnements donc qui, honnêtement, suscitent plus d'interrogations que de réponses 🤔