Le gouvernement pourrait accéder à vos mots de passe (misà jour)

Effrayant, le contrôle total de ce que vous faites sur internet poussé à son paroxysme! Et après quand je parle de « Big brother » certains pensent que je délire complètement…

Malgré un avis de l’ARCEP vieux de deux ans qui a prévenu qu’il s’agissait d’une exigence sans rapport avec l’objectif de la loi, le gouvernement demande aux hébergeurs et éditeurs de services en ligne de conserver le mot de passe de leurs utilisateurs. Une obligation qui pourrait être exploitée par les services de police et de gendarmerie dans le cadre des enquêtes de prévention du terrorisme.

Faut-il s’inquiéter ou est-ce de la paranoïa inutile ? Parmi les données que doivent conserver les hébergeurs en vertu du décret du 25 février 2011 publié ce mardi, s’est glissée ce qui ressemble à une étrange anomalie. Les hébergeurs, auxquels appartiennent la plupart des éditeurs de services de mise en ligne de contenus fournis par les utilisateurs (voir les décisions de la cour de cassation), auront désormais l’obligation de conserver « le mot de passe ainsi que les données permettant de le vérifier ou de le modifier, dans leur dernière version mise à jour ».

Une telle exigence n’a rien à faire dans un décret qui vise les données personnelles que doit pouvoir communiquer l’hébergeur pour faciliter l’identification d’un utilisateur dans le cadre d’une procédure judiciaire. C’est d’ailleurs l’avis très critique de l’Arcep, qui écrit qu’elle « ne peut que s’interroger sur la finalité », car « certaines données n’ont que peu de rapport ou même aucun avec l’identification de la personne ayant créé un contenu ». Elle vise la conservation des mots de passe, mais aussi la demande de conservation des « caractéristiques de la ligne de l’abonné », de la « nature de l’opération », ou « certaines données relatives au paiement ».

« L’Autorité tient à rappeler que les dispositions de l’article 6 de la loi du 21 juin 2004 ont pour unique objet de permettre l’identification des personnes physiques ou morales ayant contribué à la création d’un contenu en ligne et que, par conséquent, seules les données ayant un lien direct avec cet objet doivent pouvoir donner lieu à une conservation », avait prévenu l’Arcep dans son avis communiqué au gouvernement le 13 mars 2008. Deux ans plus tard, le gouvernement n’en a pas tenu compte.

Si en principe les données ne peuvent être communiquées que par demande des autorités judiciaires, donc sous contrôle d’un juge qui ne verra pas l’utilité de demander un mot de passe, il en va autrement de la seconde partie du décret relatif « aux demandes administratives prévues par le II Bis de l’article 6 de la loi n° 2004 575 du 21 juin 2004 ». Il s’agit en effet des demandes formulées par la police ou la gendarmerie dans le cadre de leur mission de prévention des actes de terrorisme. Le contrôle de légitimité de la demande n’est alors plus effectué par la justice, mais par une personnalité qualifiée placée auprès du ministre de l’intérieur, c’est-à-dire par l’exécutif.

Or on comprend bien pour les services anti-terroristes l’intérêt d’accéder à un mot de passe. Ils peuvent permettre de s’infiltrer discrètement dans un réseau (un forum à accès réservé aux membres autorisés, par exemple), voire de tenter d’accéder à d’autres services si le suspect y utilise le même mot de passe, notamment sur des services hébergés à l’étranger qui ne répondraient pas de la LCEN. Les dérives sont évidemment à craindre, notamment pour les journalistes qui enquêtent sur des affaires sensibles telles que les attentats de Karachi.

Reste tout de même un problème technique. Le décret demande à la fois de conserver les mots de passe, et de les conserver les données en se soumettant aux prescriptions de la loi CNIL sur la sécurité des informations. Or bien souvent, par souci de sécurité, les mots de passe ne sont pas stockés en clair (parfois si), mais sous une forme hashée qui permet uniquement de vérifier si le mot de passe saisi est le bon.

Source: fr.sott.net

Et je ne peux que vous proposer ce magnifique article qui nous vient du site incontournable crashdebug sur le sujet qui nous apporte des précisions plus qu’enrichissantes:

Je tiens à dire que les moments que nous vivons, sont à mon sens historiques. Du haut de mes quelques dizaines d’années d’expérience et de pratique de l’informatique, je n’ai jamais, je dis bien jamais, vu ça… Une telle propension affichée à être hautainement autiste, en tendant à la répression et au contrôle des libertés, et donc des rémunératrices et précieuses données qui circulent sur Internet, est effarante. Aussi, j’assume là aussi mon pseudo rôle de vigie, et je vous mets en garde… Car ceci est franchement inquiétant et augure du pire, et à l’heure justement d’Internet ; ) comme le monde est aussi un « village ». Cela  confirme magnifiquement à l’international la représentation mentale d’une France donneuse de leçons, mais à genoux, et qui à présent usurpe l’aura de « Pays des Droits de l’Homme« . Et il faut que vous en ayez pleinement conscience pour corriger le tir. Car, après la généreuse Hadopi, l’encadrante Loppsi 2, et alors que l’on apprend simultanément que la loi sur la neutralité d’Internet, que l’on appelait de nos voeux, a été précipitamment décapitée par nos députés lobbyistes, sous la volonté de notre toujours impartial et providentiel ministre du numérique, Eric Besson. Tout en prenant en considération que nous allons bientôt profiter, à l’exemple avant-coureur et inutile de nos voisins britanniques des moyens techniques ; ), de nos ‘cher’ 60.000 caméras de vidéosurveillance, et de leurs agents assermentés. Ceci illustre sans appel la volonté du gouvernement français (à l’image de l’illustre URSS et à la suite des innovants et tempétueux Américains), de vouloir tout savoir et de tout contrôler sur sa population. En tendant vers une société influencée par les pires instincts trop humaine d’arrogance, d’hégémonie et de survie, d’un régime omniprésent au pouvoir absolu. Mais hélas, c’était tellement ‘prévisible’ que cela a été maintes fois prophétisé et traité par notre prévenante littérature. C’est donc absolument sans égard à la présomption d’innocence et aux règles fondatrices de notre pays que l’état décide de chasser les terroristes internationaux, jusque sous votre clavier. Et que nos Députés votent la « Conservation et communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne ».

Mais à la veille des élections de 2012, là est toute la ‘subtilité’ de communication, tendant à la calinouthéraptie, que le gouvernement a, à l’égard de ses chers contribuables, sous ce label faussement rassurant et soi-disant préventif. C’est l’arbre qui cache la forêt ! Car si l’on a la curiosité de se pencher un peu sur le texte, on en comprend mieux sa réelle profondeur et son objectif affiché, qui va jusqu’à interpeller les plus dévoués de nos policiers, jugez plutôt :

Les données mentionnées au II de l’article 6 de la loi du 21 juin 2004 susvisée, que les personnes sont tenues de conserver en vertu de cette disposition, sont les suivantes :

1° Pour les personnes mentionnées au 1 du I du même article et pour chaque connexion de leurs abonnés :
a) L’identifiant de la connexion ;
b) L’identifiant attribué par ces personnes à l’abonné ;
c) L’identifiant du terminal utilisé pour la connexion lorsqu’elles y ont accès ;
d) Les dates et heure de début et de fin de la connexion ;b
e) Les caractéristiques de la ligne de l’abonné ;
2° Pour les personnes mentionnées au 2 du I du même article et pour chaque opération de création :
a) L’identifiant de la connexion à l’origine de la communication ;
b) L’identifiant attribué par le système d’information au contenu, objet de l’opération ;
c) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus ;
d) La nature de l’opération ;
e) Les date et heure de l’opération ;
f) L’identifiant utilisé par l’auteur de l’opération lorsque celui-ci l’a fourni ;
3° Pour les personnes mentionnées aux 1 et 2 du I du même article, les informations fournies lors de la souscription d’un contrat par un utilisateur ou lors de la création d’un compte :
a) Au moment de la création du compte, l’identifiant de cette connexion ;
b) Les nom et prénom ou la raison sociale ;
c) Les adresses postales associées ;
d) Les pseudonymes utilisés ;
e) Les adresses de courrier électronique ou de compte associées ;
f) Les numéros de téléphone ;
g) Le mot de passe ainsi que les données permettant de le vérifier ou de le modifier, dans leur dernière version mise à jour ;
4° Pour les personnes mentionnées aux 1 et 2 du I du même article, lorsque la souscription du contrat ou du compte est payante, les informations suivantes relatives au paiement, pour chaque opération de paiement :
a) Le type de paiement utilisé ;
b) La référence du paiement ;
c) Le montant ;
d) La date et l’heure de la transaction.
Les données mentionnées aux 3° et 4° ne doivent être conservées que dans la mesure où les personnes les collectent habituellement.

Tendez l’autre joue pour éviter la surchauffe, car ce n’est pas fini… Pierre Jovanovic nous apprend sur son Blog que cela tendrait même à intégrer :

-tout ce que vous avez dit en privé(!!!)
-tout ce que vous avez dit en semi-public
-tel que noté dans le texte : ce que vous avez acheté
-ce que vous allez acheter (wishlist amazon par exemple)
-ce que vous avez lu (via amazon,fnac,…)
-ce que vous avez vu (via amazon,fnac,…)
-ce que vous avez vendu (via ebay, amazon,…)
-vos marques pages (si ils sont stockés online)
-la liste des sites internet que vous suivez (si vous flux rss sont stockés online)
-vos amis/connaissances via les reseaux sociaux et forums de discussion
-pour les utilisateurs de messagerie instantanée il y a aussi le danger de la sauvegarde des historiques de conversation -vos documents privés stockés online
-et si votre email est lié à google, je suppose qu’ils auront accès à tout votre historique de recherche et à votre historique de surf

Voilà, la messe est dite…

Alors faible citoyen rassuré ?

Du bist ein terrorist ? (êtes-vous un terroriste ?), non je ne le pense pas… Vous croyez vraiment que le gouvernement français va rechercher sur votre ligne internet, des traces de virements Paypal vers des comptes de terroristes nigeriens ? Non je ne le pense pas… Ça serait négliger votre sagacité que de le prétendre… Alors qu’est ce que l’Etat peut bien vouloir faire de ces Teras Octets de précieuses données capturés jusque dans votre intimité ?  La volonté réelle semble plus pernicieuse et, il semble, plus probable… Que tel que prévu par la loi fraîchement votée Loppsi 2 (ce n’est pas faute de vous avoir alerté, relisez mes billets de l’époque), notre gouvernement tirant avantageusement parti de son histoire, et avec des moyens informatiques que l’on veut ‘modernes’, applique tout simplement, dans la réalité, la politique qu’il avait stratégiquement programmée et fait voter à l’Assemblée nationale (toujours ces mêmes ‘élus’ du peuple). Il va donc se servir des algorithmes informatiques dédiés, utilisant l’analyse dite sérielle, pour croiser les fichiers et données présents, ‘entre autres’ sur le réseau des réseaux, de manière légale et au-delà… Ceci de façon individuelle, en vu du recoupements d’informations pour faire des liens avec d’éventuels crimes ou délits…

Alors quel effet ça vous fait de vivre dans un pays à « l’écoute » de ses concitoyens ; ), plus juste, et sans corruption… »fer de lance » de la Gouvernance Mondiale » ?

Encore une fois, je suis désolé, mais si vous pensez être tombé par hasard encore sur une de ces pages d’affabulateurs bloggeurs, comme d’habitude, je cite mes sources. Je vous engage à consulter ci-dessous le décret de loi, qui est avant tout un travail d’équipe avec une signature illustre, concrétisation par écrit d’une cogitation extrême rendue possible grâce au fruit de vos impôts.

Je vous laisse méditer avec une vidéo, à l’époque inspirée d’un internaute vraisemblablement avisé qui réagissait à la création des innovants (eux aussi décidément) fichiers aux noms évocateur  : ‘Safari’ et ‘Edvige’. Et qui du reste, maintenant, doivent être une bonne base… Mais qui ont été officiellement retirés, car ayant soulevé une telle polémique qu’il a fallu en fait plus médiatiquement les renommer : « Prévention des atteintes à la sécurité publique et Enquêtes administratives liées à la sécurité publique« 

 

JORF n°0050 du 1 mars 2011 page 3643

texte n° 32

DECRET

Décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne

NOR: JUSD0805748D

Le Premier ministre,

Sur le rapport du garde des sceaux, ministre de la justice et des libertés, du ministre de l’intérieur, de l’outre-mer, des collectivités territoriales et de l’immigration et de la ministre de l’économie, des finances et de l’industrie,

Vu le code pénal ;
Vu le code de procédure pénale ;
Vu le code des postes et des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l’économie numérique, et notamment ses articles 6, 57 et 58 ;
Vu la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, notamment son article 33 ;

Vu l’avis de la Commission nationale de contrôle des interceptions de sécurité en date du 22 novembre 2007 ;
Vu l’avis de la Commission nationale de l’informatique et des libertés en date du 20 décembre 2007 ;
Vu l’avis de l’Autorité de régulation des communications électroniques et des postes du 13 mars 2008 ;
Le Conseil d’Etat (section de l’intérieur) entendu,
Décrète :

– CHAPITRE IER : DISPOSITIONS RELATIVES AUX REQUISITIONS JUDICIAIRES PREVUES PAR LE II DE L’ARTICLE 6 DE LA LOI N° 2004 575 DU 21 JUIN 2004

– Article 1 En savoir plus sur cet article…

Les données mentionnées au II de l’article 6 de la loi du 21 juin 2004 susvisée, que les personnes sont tenues de conserver en vertu de cette disposition, sont les suivantes :

– 1° Pour les personnes mentionnées au 1 du I du même article et pour chaque connexion de leurs abonnés :a) L’identifiant de la connexion ;

b) L’identifiant attribué par ces personnes à l’abonné ;
c) L’identifiant du terminal utilisé pour la connexion lorsqu’elles y ont accès ;
d) Les dates et heure de début et de fin de la connexion ;
e) Les caractéristiques de la ligne de l’abonné ;
2° Pour les personnes mentionnées au 2 du I du même article et pour chaque opération de création :
a) L’identifiant de la connexion à l’origine de la communication ;
b) L’identifiant attribué par le système d’information au contenu, objet de l’opération ;
c) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus ;
d) La nature de l’opération ;
e) Les date et heure de l’opération ;
f) L’identifiant utilisé par l’auteur de l’opération lorsque celui-ci l’a fourni ;
3° Pour les personnes mentionnées aux 1 et 2 du I du même article, les informations fournies lors de la souscription d’un contrat par un utilisateur ou lors de la création d’un compte :
a) Au moment de la création du compte, l’identifiant de cette connexion ;
b) Les nom et prénom ou la raison sociale ;
c) Les adresses postales associées ;
d) Les pseudonymes utilisés ;
e) Les adresses de courrier électronique ou de compte associées ;
f) Les numéros de téléphone ;
g) Le mot de passe ainsi que les données permettant de le vérifier ou de le modifier, dans leur dernière version mise à jour ;
4° Pour les personnes mentionnées aux 1 et 2 du I du même article, lorsque la souscription du contrat ou du compte est payante, les informations suivantes relatives au paiement, pour chaque opération de paiement :
a) Le type de paiement utilisé ;
b) La référence du paiement ;
c) Le montant ;
d) La date et l’heure de la transaction.
Les données mentionnées aux 3° et 4° ne doivent être conservées que dans la mesure où les personnes les collectent habituellement.

– Article 2 En savoir plus sur cet article…

La contribution à une création de contenu comprend les opérations portant sur :

a) Des créations initiales de contenus ;
b) Des modifications des contenus et de données liées aux contenus ;
c) Des suppressions de contenus.

– Article 3 En savoir plus sur cet article…

La durée de conservation des données mentionnées à l’article 1er est d’un an :

a) S’agissant des données mentionnées aux 1° et 2°, à compter du jour de la création des contenus, pour chaque opération contribuant à la création d’un contenu telle que définie à l’article 2 ;
b) S’agissant des données mentionnées au 3°, à compter du jour de la résiliation du contrat ou de la fermeture du compte ;
c) S’agissant des données mentionnées au 4°, à compter de la date d’émission de la facture ou de l’opération de paiement, pour chaque facture ou opération de paiement.

– Article 4 En savoir plus sur cet article…

La conservation des données mentionnées à l’article 1er est soumise aux prescriptions de la loi du 6 janvier 1978 susvisée, notamment les prescriptions prévues à l’article 34, relatives à la sécurité des informations.
Les conditions de la conservation doivent permettre une extraction dans les meilleurs délais pour répondre à une demande des autorités judiciaires.

– CHAPITRE II : DISPOSITIONS RELATIVES AUX DEMANDES ADMINISTRATIVES PREVUES PAR LE II BIS DE L’ARTICLE 6 DE LA LOI N° 2004 575 DU 21 JUIN 2004

– Article 5 En savoir plus sur cet article…

Les agents mentionnés au premier alinéa du II bis de l’article 6 de la loi du 21 juin 2004 susvisée sont désignés par les chefs des services de police et de gendarmerie nationales chargés des missions de prévention des actes de terrorisme, dont la liste est fixée par l’arrêté prévu à l’article 33 de la loi du 23 janvier 2006 susvisée. Ils sont habilités par le directeur général ou central dont ils relèvent.Article 6 En savoir plus sur cet article…

Les demandes de communication de données d’identification, conservées et traitées en application du II bis de l’article 6 de la loi du 21 juin 2004 susvisée, comportent les informations suivantes :

a) Le nom, le prénom et la qualité du demandeur, ainsi que son service d’affectation et l’adresse de celui-ci ;
b) La nature des données dont la communication est demandée et, le cas échéant, la période intéressée ;
c) La motivation de la demande.

– Article 7 En savoir plus sur cet article…

Les demandes sont transmises à la personnalité qualifiée instituée à l’article L. 34-1-1 du code des postes et des communications électroniques.

Ces demandes ainsi que les décisions de la personnalité qualifiée sont enregistrées et conservées pendant une durée maximale d’un an dans un traitement automatisé mis en œuvre par le ministère de l’intérieur.

– Article 8 En savoir plus sur cet article…

Les demandes approuvées par la personnalité qualifiée sont adressées, sans les éléments mentionnés aux a et c de l’article 6, par un agent désigné dans les conditions prévues à l’article 5 aux personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée, lesquelles transmettent sans délai les données demandées à l’auteur de la demande.

Les transmissions prévues à l’alinéa précédent sont effectuées selon des modalités assurant leur sécurité, leur intégrité et leur suivi, définies par une convention conclue avec le prestataire concerné ou, à défaut, par un arrêté conjoint du ministre de l’intérieur et du ministre chargé de l’industrie.
Les données fournies par les personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée sont enregistrées et conservées pendant une durée maximale de trois ans dans des traitements automatisés mis en œuvre par le ministère de l’intérieur et le ministère de la défense.

– Article 9 En savoir plus sur cet article…

Une copie de chaque demande est transmise, dans un délai de sept jours à compter de l’approbation de la personnalité qualifiée, à la Commission nationale de contrôle des interceptions de sécurité. Un arrêté du ministre de l’intérieur, pris après avis de celle-ci, définit les modalités de cette transmission.

La commission peut, en outre, à tout moment, avoir accès aux données enregistrées dans les traitements automatisés mentionnés aux articles 7 et 8. Elle peut également demander des éclaircissements sur la motivation des demandes approuvées par la personnalité qualifiée.

– Article 10 En savoir plus sur cet article…

Les surcoûts identifiables et spécifiques supportés par les personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée pour la fourniture des données prévue par l’article II bis du même article font l’objet d’un remboursement par l’Etat par référence aux tarifs et selon des modalités fixés par un arrêté conjoint du ministre de l’intérieur et du ministre chargé du budget.

– CHAPITRE III : DISPOSITIONS DIVERSES

– Article 11 En savoir plus sur cet article…

A l’article R. 10-19 du code des postes et des communications électroniques, les mots : « sans leur motivation » sont remplacés par les mots : « sans les éléments mentionnés aux a et c de l’article R. 10-17 ».

– Article 12 En savoir plus sur cet article…

Les dispositions du présent décret sont applicables sur tout le territoire de la République à l’exception des dispositions des articles 1er à 4, 10 et 11 qui ne sont pas applicables dans les Terres australes et antarctiques françaises.

– Article 13 En savoir plus sur cet article…

Le garde des sceaux, ministre de la justice et des libertés, le ministre de l’intérieur, de l’outre-mer, des collectivités territoriales et de l’immigration, la ministre de l’économie, des finances et de l’industrie et le ministre du budget, des comptes publics, de la fonction publique et de la réforme de l’Etat, porte-parole du Gouvernement, sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.

Fait le 25 février 2011.
François Fillon
Par le Premier ministre :

Le garde des sceaux,
ministre de la justice et des libertés,
Michel Mercier
Le ministre de l’intérieur,
de l’outre-mer, des collectivités territoriales
et de l’immigration,
Brice Hortefeux
La ministre de l’économie,
des finances et de l’industrie,
Christine Lagarde
Le ministre du budget, des comptes publics,
de la fonction publique et de la réforme de l’Etat,
porte-parole du Gouvernement,

Source : Legifrance.gouv

Informations complémentaires :

Le Monde.fr : Internet : un décret impose aux hébergeurs de conserver les mots de passe
Clubic : Les hébergeurs doivent conserver les identifiants de connexion
Actu.Orange.fr : Internet : un décret impose aux hébergeurs de conserver les mots de passe

Source+vidéos: crashdebug.fr