Les attentats du 13 novembre 2015 ont révélé l’usage par l’Etat Islamique (Daech) d’une forme de communication cryptée via des applications de messageries ouvertes au grand public.
Les responsables de la communication de l’Etat Islamique ont déclaré que le Djihad en ligne est aussi important que sur le terrain. L’organisation terroriste utilise d’ailleurs de plus en plus les outils numériques, et en particulier les réseaux sociaux comme supports pour diffuser leur propagande et tenter d’enrôler de potentielles recrues.
Une revendication des attaques terroristes de Paris a été publiée sur un service de messagerie russe Telegram prisé par les djihadistes en raison du chiffrement de ses conversations privées. L’application a annoncé le 18 novembre 2015 la fermeture de 78 comptes affiliés à Daech.
La cryptographie dont l’usage en France était réservée à la Défense et aux forces de l’ordre voit son utilisation se démocratiser avec l’avènement des nouvelles technologies.
À l’aune d’une cyberguerre, est-ce que le récent renforcement du dispositif de lutte contre le terrorisme sur internet constitue une réponse efficace face à cette menace grandissante? La question doit se poser notamment au regard du respect des droits et libertés individuelles.

Le régime juridique de la cryptologie : de l’usage militaire strictement encadré à la libéralisation des usages civils

La cryptographie ou cryptage correspond à l’écriture d’un texte en caractères secrets (vient du grec « kryptos » qui signifie caché). Cette technique consiste en un codage du message afin qu’il ne soit compréhensible que pour l’émetteur et le destinataire. Le codage s’effectue par l’emploi de signes dont le sens est fixé, ou par la modification ou encore par le renversement de l’ordre des signes. La cryptographie quantique est une procédure de chiffrement (algorithme) rendant le message incompréhensible, seule la personne autorisée qui détient la clef de déchiffrement pourra décrypter le message.

On retrouve dans l’histoire lointaine les prémices de cette technique, la plus ancienne est un dispositif de cryptographie militaire mise au point par les Spartiates 4 siècles avant J-C. La scytale ou bâton de Plutarque de fabrication artisanale consistait en l’inscription d’un message chiffrée sur une lanière de cuir ou de parchemin, le placement d’une lettre par circonvolution permettait au destinataire qui possédait un bâton de diamètre identique à celui du messager de lire le message en clair par l’enroulement de la lanière autour du bâton. Plus tard Jules César mettra au point une méthode de chiffrement par décalage des lettres de l’alphabet et ce afin d’établir des correspondances secrètes. On peut aussi évoquer la célèbre machine « Enigma » utilisée par les Allemands pour coder leurs messages durant la seconde guerre mondiale.

Bien que les méthodes aient considérablement évoluées depuis, le principe du cryptage reste le même.
L’utilisation de la cryptographie en France était initialement encadrée par un décret-loi du 18 avril 1939 relatif à l’utilisation du matériel de guerre. Ce texte à ensuite été complété par un décret du 12 mars 1973 qui classait « les équipements de cryptophonie ou de cryptographie comme matériels de guerre de deuxième catégorie ».
Il fallait une autorisation administrative, en pratique, mais cette dernière était souvent refusée. Ce régime sera modernisé avec l’article 28 de la loi du 29 décembre 1990 sur la réglementation des télécommunications, le législateur reconnaît pour la première fois que la cryptographie pouvait efficacement contribuer à la sécurisation des échanges électroniques mais maintient tout de même un double régime soit de déclaration préalable, soit d’autorisation préalable.
Pour des raisons évidentes d’enjeux de défense du territoire et de protection de l’ordre public, le régime de cryptage est resté particulièrement restrictif durant une longue période. Cependant, face au développement de l’informatique et des transmissions de données ayant donné lieu à l’apparition d’une utilisation civile sophistiquée, la législation à dû s’adapter et créer un nouveau cadre de moins en moins contraignant vis à vis de l’utilisation du chiffrement.
En ce sens, la loi du 26 juillet 1996 a quelque peu assoupli le régime applicable à la cryptographie puisqu’elle prévoyait l’utilisation des techniques cryptographiques selon la fonction utilisée. Ce texte opérait une distinction entre deux usages: l’emploi visant à assurer la confidentialité du message, dans ce cas il était nécessaire d’avoir recours à un tiers de confiance agréé par le Premier ministre. Et l’emploi destiné à assurer l’authentification ou le contrôle de l’intégrité, dans cet autre cas l’utilisation était libre.
Plus tard, deux décrets du 17 mars 1999 viendront définir les catégories de moyens et de prestations de cryptologie dispensées de toute formalité préalable puis celles pour lesquelles la déclaration remplace la procédure d’autorisation.
La loi du 15 novembre 2001 relative à la sécurité quotidienne apporte une modification au régime de cryptographie, l’article 31 modifie un article de la loi du 10 juillet 1991 relatives au secret des correspondances émises par voie électronique en insérant une disposition qui prévoit l’obligation pour les prestataires de cryptologie de remettre , sur demande d’autorités compétentes, les conventions permettant le déchiffrement des donnes transformées au moyen des prestations qu’elles ont fournies. Le non respect de cette disposition est pénalement sanctionné de deux ans d’emprisonnement et 45 000 euros d’amende.
Cette loi insère également un nouvel article dans le Code pénal qui prévoit une peine de 3 ans de prison et de 45 000 euros d’amende ” le fait pour quiconque ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour réparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires (…) “.
La peine sera de 75 000 euros d’amende et 5 ans d’emprisonnement si le refus est opposé alors que la remise ou la mise en oeuvre de la convention aurait permis d’éviter la commission d’un crime ou d’un délit ou d’en limiter les effets.
Cependant, l’évolution des textes légaux relatifs à la cryptographie montrent une tendance à la libéralisation de cette technique, par ailleurs la loi du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN) assouplit considérablement le régime précité. Elle favorise l’importation de fourniture et l’exportation de moyens de cryptologie, assurant les fonctions de signatures mais surtout abroge le régime d’autorisation pour la fourniture des autres moyens de cryptologie et allège le régime de déclaration.

Ces procédés historiquement utilisés à des fins militaires et étatiques soulèvent à présent de nouvelles problématiques notamment face au développement croissant de la cybercriminalité sous toutes ses formes. Si l’échange d’informations stratégiques de façon codée peut être un outil efficace de l’Etat en vue d’assurer la défense d’intérêts nationaux, elle peut par conséquent être utilisée afin de contourner les dispositifs de sécurité en vue porter atteinte aux intérêts de la nation.
En effet, l’actualité vient de révéler l’emploi de pratiques de communication chiffrées ayant permis à des terroristes de communiquer par voie électronique tout en échappant aux services de renseignement. Cependant, ces applications sont aussi utilisées par de nombreux internautes souhaitant préserver la confidentialité de leurs correspondances.
On retrouve ici une confrontation classique entre exigences de sécurité et exercice des libertés pouvant être restreinte au nom de l’intérêt général, la conciliation entre ces deux objectifs n’est pas chose simple en particulier dans la période que nous traversons actuellement avec l’Etat d’urgence prorogé jusqu’au 26 février 2015.

La cryptographie libre dans le viseur des pouvoirs publics suite aux utilisations à des fins terroristes : une conciliation impossible entre sécurité et liberté sur internet ?

La propagande de l’Etat Islamique est désormais très présente sur la toile avec de nombreux comptes Twitter et Facebook mais aussi sur WhatsApp, Kik, Wickr, Zello…
Il serait même question de la création d’un site web pour le dark web. Force est de constater que les cyberterroristes s’adaptent très rapidement aux systèmes de sécurité mis en place, puisqu’à peine retirés, les comptes sur les réseaux sociaux ou sites web faisant l’apologie du terrorisme et incitant à des actes de terrorisme réapparaissent grâce à des techniques tel que le changement d’adresse IP (IP flottantes) ou encore les sites miroirs.
Suite aux évènements tragiques du 11 novembre 2015 à Paris, une information préoccupante sur les nouvelles pratiques communicationnelles des criminels a été révélée par la presse.
S’il n’est pas nouveau que les organisations terroristes occupent très largement internet avec une quantité faramineuse de sites, vidéos, images et textes tous plus violents les uns que les autres, l’utilisation d’application grand public par les terroristes pour communiquer entre eux à l’aide de la cryptographie apparaît être un phénomène en plein essor.
Si la question de l’utilisation par les terroristes de consoles PS4 pour planifier les attentats du 13 novembre 2015 reste incertaine, en revanche, un nombre important de comptes liés à l’Etat Islamique échangeaient sur des messageries telles que Signal ou Telegram. Cette dernière est une application russe de messagerie instantanée sécurisée totalement gratuite, elle met à la portée de n’importe quel individu toutes les options de sécurité les plus avancées sans avoir besoin de la moindre connaissance technique.
L’application utilise un protocole end-to-end EE2E qui garantit un chiffrement des messages de client à client, elle permet aussi de programmer des messages qui d’auto-détruisent et d’envoyer des documents ainsi que de créer des conversations de groupes qui bénéficient de toutes ces options jusqu’à 200 personnes. De plus l’application ne demande pas de nom d’utilisateur pour être utilisée.
Pour ces raisons, Telegram a été cité à plusieurs reprises dans les communiqués officiels de l’Etat Islamique comme étant l’une des meilleures applications pour échanger des informations et diffuser de la propagande. Les messageries de ce type s’avèrent être un véritable cauchemar pour les services du renseignement car le chiffrement est souvent impossible à casser. Suite à la dénonciation de ces comptes par le collectif de hackers Anonymous, la direction de l’application décide de procéder à la fermeture des chaînes terroristes le mercredi 18 novembre, d’autre part Telegram prépare de nouvelles procédures pour permettre aux utilisateurs de lui signaler des « contenus publics discutables ».

Lutter contre la prolifération sur internet de discours incitant à des actes de terrorisme ou faisant l’apologie du terrorisme est devenu un enjeu majeur de protection de la population, de l’intégrité du territoire et des valeurs de la République. Le renforcement des lois antiterroristes a pu cependant faire l’objet de vives critiques dont les principales sont le fait qu’au nom de la sécurité et de l’urgence, les nouveaux dispositifs permettent une surveillance accrue de tous, une atteinte aux droits fondamentaux en termes de liberté d’expression et de communication du fait que ces procédures se passe de l’intervention préalable d’une autorité judiciaire.
L’exemple le plus notable est la possibilité pour les autorités administratives de faire bloquer l’accès à des sites internet, ce dispositif est prévu par la loi antiterroriste du 13 novembre 2014 vient modifier l’article 6-1 de la LCEN. L’autorité administrative peut désormais demander directement à l’éditeur ou l’hébergeur d’un site internet de retirer les contenus provoquant directement à des actes terroristes ou en faisant publiquement l’apologie.
Elle informe simultanément les FAI (fournisseurs d’accès à internet) de cette demande.
À défaut du retrait dans un délai de 24h, l’autorité administrative peut notifier aux FAI la liste des sites internet concernés afin qu’ils en bloquent l’accès sans délai.
Cependant les premiers blocages de 5 sites terroristes en mars dernier n’ont pas eu l’effet escompté puisque certains d’entre eux fonctionnent encore actuellement.

Les services de messageries cryptées se retrouvent dans le viseur de certains responsables politiques qui estiment qu’elles servent de parfaits canaux de communication aux djihadistes. Mais doit on pour autant supprimer ces services de communication afin d’endiguer la propagande terroriste ? Cela serait inutile dans la mesure où les experts numériques recrutés par les réseaux terroristes maîtrisent parfaitement toutes les méthodes de contournement de blocage sur internet et trouveraient bien d’autres failles techniques. Des annonces du gouvernement ont récemment été faites à ce sujet, le Ministre de l’Intérieur Bernard Cazeneuve a déclaré vouloir «  investir dans les équipements et moyens informatiques, pour faire en sorte que, face à des acteurs terroristes qui dissimulent la commission de leurs actes par des moyens cryptés, dans l’espace numérique, nous soyons au meilleur niveau d’efficacité ». Le ministre de La Défense Jean-Yves Le Drian a quant à lui affirmé à l’occasion d’un colloque sur la cyberguerre que « la France dispose de capacités offensives (…) Elles sont encore limitées mais la voie est tracée pour leur développement ».

Le paradoxe étant que ces outils sécurisés sont également recommandés par les défenseurs des libertés individuelles pour des raisons de protection de la vie privée et contre le risque de la surveillance de masse notamment dénoncée par Edward Snowden lors du scandale provoqué par ses révélations sur la NSA et le vaste programme Prism. Ces messageries apparaissent être un moyen efficace pour protéger ses données personnelles contre toute captation ou interception. D’autre part, les services de communication cryptée peuvent aussi servir à des populations se trouvant dans des pays dont le régime politique restreint la liberté d’expression, en leur permettant de communiquer sans craindre l’oppression de l’Etat. Par exemple, près de 20 millions d’iraniens l’utilisent évitant ainsi le radar de la censure. Les autorités iraniennes ont par ailleurs demandé aux créateurs de Telegram de collaborer afin de surveiller ce qu’il se dit sur l’application mais sans succès.

Le recul de certaines libertés publiques en vue d’assurer la sécurité semble inévitable dans un tel contexte de tension et après une année tristement marquée par des attaques terroristes funestes.
La question de l’équilibre entre la nécessaire préservation de l’ordre public et les atteintes inévitables que cette dernière porte aux droits et libertés fondamentales se révèle donc être de plus en plus complexe.
La tentation d’un « Patriot Act » à la française évoquée par certains parlementaires suite aux évènements parisiens traduit la volonté d’une politique ultra-sécuritaire. Pour précision, l’article 215 du texte de loi américain permet à la NSA de placer sur écoute tout personne sans besoin d’un mandat judiciaire. Dans le rapport d’activité de la CNIL (Commission nationale de l’informatique et des libertés) pour l’année 2014, la présidente Isabelle Falque-Pierrotin déclare « le respect des libertés fondamentales n’est pas contradictoire avec l’impératif de sécurité : c’est le garde-fou de nos démocraties », une vision optimiste qui ne doit pour autant pas omettre le rôle du juge garant desdites libertés !

SOURCES :

VIVANT M., « Droit du numérique 2015 », 2015, Lamy, p. 1583

PIETTE-COUDOL T., « Actualités du régime documentaire de la cryptologie », Lamy Droit de l’immatériel n° 29, pp.34-35, juillet 2007

AUTET M-A., « De Dabiq à Telegram, anatomie de la propagande djihadiste », franceculture.fr, mis en ligne le 19 novembre 2015, consulté le 27 novembre 2015, <http://www.franceculture.fr/2015-11-19-de-dabiq-a-telegram-anatomie-de-la-propagande-djihadiste>

AUTET M-A. et CHAVEROU E., « Comment lutter contre le cyberdjihad », franceculture.fr, mis en ligne le 24 novembre 2015, consulté le 27 novembre 2015, <http://www.franceculture.fr/2015-11-24-comment-lutter-contre-le-cyberdjihad>

CADOT J., « Telegram, une messagerie chiffrée populaire aussi chez les djihadistes », numerama.com, mis en ligne le 17 novembre 2015, consulté le 27 novembre 2015, <http://www.numerama.com/tech/131093-pourquoi-les-djihadistes-utilisent-ils-telegram-pour-communiquer.html>

TALAGRAND P., « L’antiterrorisme impuissant face aux messageries cryptées », sudouest.fr, mis en ligne le 21 septembre 2015, consulté le 27 novembre 2015, <http://www.sudouest.fr/2015/09/18/l-impuissance-des-services-antiterroristes-face-aux-messageries-cryptees-2128406-6072.php>

N.G., « Attentats de Paris : les messageries cryptées réagissent à leur mise en cause », bfmtv.com, mis en ligne le 19 novembre 2015, consulté le 27 novembre 2015, <http://hightech.bfmtv.com/internet/attentats-de-paris-les-messageries-cryptees-reagissent-a-leur-mise-en-cause-931540.html>

ATMANI M., « La tentation d’un Patriot Act à la française », letemps.ch, mis en ligne le 15 novembre 2015, consulté le 27 novembre 2015, <http://www.letemps.ch/monde/2015/11/15/tentation-un-patriot-act-francaise>