{"partition": "head_middle", "source_domain": "bluetouff.com", "digest": "sha1:OIRDDJ2SRKOY7WYSFDL5F6FWGSYVGDVE", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2014-15/000_00019.parquet"}
AdminZ
Pas très Net
Loppsi
Digital Warfare
Broutilles
My PGP
by bluetouff
on 25 avril 2013
under Life tagged 3615 MyLife, ANSES, bluetouff, justice ∞ Permalink La non-affaire Bluetouff vs ANSES
Posted on 25 avril 2013 by bluetouff	UPDATE 16/12/2013 : Le parquet ayant fait appel de la décision de première instance et le plaignant n’étant plus plaignant, l’épilogue de cette non affaire se tiendra le 18 décembre à la cours d’appel de Paris.
Note à moi même : ne plus publier de truc publics
Je ne me lasserai jamais de l’écrire, le dire et le répéter, Internet est un espace public. Cet espace public appartient à ses utilisateurs, c’est un bien commun, c’est d’ailleurs tout ce qui crée sa valeur : vous, les bouts de cervelles se trouvant aux extrémités du réseau. Cet espace public est fréquenté par des personnes physiques et des personnes morales, qui y stockent toutes formes d’informations. Certaines ont vocation à s’y trouver, d’autres pas. Certaines avaient vocation à s’y trouver à un instant T mais n’ont plus vocation à y être. Certaines n’ont aucune vocation à s’y trouver, mais elles s’y trouvent. Ce n’est pas tout noir ou tout blanc. Il y a aussi des informations que l’on pourrait qualifier de type « intermédiaires » dont on sait plus ou moins que leur place n’est pas sur Internet, mais pour des raisons de facilités d’échanges et de communication, elles y sont, accessibles à un cercle de personnes restreint, ou accessibles à tous… par choix.
La notion d’extranet fait usuellement appel à cette dernière catégorie d’informations. Il s’agit de choses que l’on souhaite partager avec une communauté ciblée d’utilisateurs : des abonnés, des clients, des commerciaux en déplacement (…). Dans la pratique un extranet, c’est souvent bien plus compliqué. On peut y trouver certaines parties parfaitement publiques. A ce titre je citerai un organisme proche de celui qui concerne notre affaire, celui de l’INSERM. On pourra également aussi citer Nike (UPDATE : lien retiré, en attente de vérification) et bien d’autres qui utilisent la dénomination « Extranet » sans pour autant juger de la nécessité de poser une quelconque authentification ou faisant le choix de proposer une authentification pour certains documents et aucune pour d’autres documents ou répertoires de leur espace.
Le cas de l’INSERM me semble assez emblématique. Sur sa page d’accueil, on peut lire qu’il s’agit d’un espace dédié aux professionnels de la recherche des sciences de la vie et de la santé. Cependant on constate qu’une grosse partie de cet extranet a vocation à être publique, y compris les documents qui s’y trouvent, comme une simple recherche dans Google nous le confirmera.
L’ANSES (Agence nationale de sécurité sanitaire de l’alimentation, de l’environnement et du travail) est un Organisme d’Importance Vitale (OIV). Ses missions couvrent « l’évaluation des risques dans le domaine de l’alimentation, de l’environnement et du travail, en vue d’éclairer les pouvoirs publics dans leur politique sanitaire ». Elle regroupe donc de nombreux scientifiques coordonnant leurs recherches relatives à des questions de santé publique.
Les faits
Au détour d’une recherche Google portant sur un thème n’ayant strictement aucun rapport avec l’ANSES ni avec des questions de santé publique, je me suis retrouvé dans un répertoire de l’extranet de l’ANSES. Simplement, en cliquant sur un résultat d’une recherche.
Premier constat : il y a beaucoup de documents publiquement accessibles
Second constat : ça parle de santé publique
Troisième constat : l’ANSES est un établissement public
Question : est-ce que ceci doit être public ?
Réponse (trop) évidente sur le moment : oui
… I did it wrong.
Le téléchargement et les outils de hacker chinois panaméen : OpenVPN et Wget
Au sein de ma petite entreprise, Toonux, je commercialise une offre VPN, ou réseau privé virtuel, qui agit comme un tunnel chiffré entre chez vous et le point de sortie que vous jugez le plus sûr dans le cadre de vos activités en ligne. Sur mon système d’exploitation, j’utilise donc OpenVPN. Le VPN de Toonux, particulièrement celui-ci, a deux fonctionnalités principales :
protéger l’échange de données (par le chiffrement, PKI x509 dans notre cas)
anonymiser les flux et la source (par des mesures contextuelles que nous allons réaborder un peu plus loin quand nous parlerons d’anonymat sur Internet et sur lesquelles j’ai l’habitude mettre l’accent… à juste titre).
Ce VPN (en fait, surtout cette adresse IP panaméenne) est probablement l’un des éléments forts qui ont conduit le Parquet à faire suivre l’affaire en correctionnelle. Sauf que… naturellement, je l’utilise de manière intensive de manière parfaitement légitime, y compris sur mes deux machines fixes (un média center qui fait aussi office de serveur web qui hébergeait entre autre mon Status et un desktop qui est lui une machine professionnelle embarquant le nécessaire pour réaliser mon travail. Certains de ces outils sont, logiquement, des outils de tests d’intrusion). Ces deux machines tournent sous Debian Gnu/Linux (une Squeeze et une Wheezy).
Sur Debian, et c’est un comportement par défaut sur de nombreux *nix*, OpenVPN se lance comme un service… à chaque démarrage. Comme le point de sortie par défaut du VPN se trouve au Panama, à chaque fois que mes machines démarrent elles se retrouvent affublées d’une adresse IP Panaméenne. Notez que ceci ne me permet pas d’avoir d’abattement fiscal sur ma connexion Internet.
Pourquoi le Panama ?
Le Panama est surtout connu pour être un paradis fiscal. Sauf que voilà, ma société est bien française et ne dissimule aucun compte bancaire au Panama ou ailleurs, et n’y possède pas non plus de filiale ou de société écran. Le Panama c’est surtout un pays très bien connecté au réseau Internet. Beaucoup de câbles sous-marins y atterrissent, les infrastructures y sont donc plus que correctes et pourraient à elles seules justifier le choix du Panama. Nos installations de collocation sont situées dans le datacenter Telecarrier de Clayton de la City of Knowledge… c’est ici.
Mais ce n’est pas tout. Il n’y a pas que le secret bancaire qui est bien gardé dans ce pays. Le secret des correspondances l’est également. En toute logique, le pays met ceci en avant avec une politique affirmée d’ouverture aux autres pays. Les intérêts numériques étrangers ont réputation d’y être aussi bien gardés que les intérêts bancaires de certains, ce d’un point de vue sécurité, confidentialité et résilience.
En plus d’OpenVPN, j’ai utilisé un autre outil pour télécharger. C’est un outil bien connu de tous les unixiens et cousins pingouins. Il s’agit de Wget, un outil que l’on retrouve par défaut dans la majorité des distributions GNU/Linux modernes. Cet outil présente l’avantage de pouvoir télécharger le contenu d’un répertoire web, de manière récursive, sans avoir à cliquer sur tous les liens. C’est donc fort pratique.
Une fois ces fichiers téléchargés, ils ont dormi pendant quelques jours sur ma machine (mon média center). Quand je me suis enfin décidé à regarder ce que j’avais rapatrié sur ma machine, j’ai transféré, pour des raisons de confort de lecture, l’ensemble de ces documents sur ma machine de bureau. C’est un élément de détail mais c’est aussi un élément qui figure dans les PV, quelque chose de facile à interpréter de manière erronée pour un profane avec un truc du type « l’accusé a fait des copies de sauvegarde de ces documents volés ».
C’est environ une semaine après avoir téléchargé les fichiers, entre deux articles sur Amesys et suite à des appels publics infructueux à des journalistes plus éveillés que la rédaction de Reflets à la lecture de documents de recherche scientifique sur des questions de santé publique, que je me décidais à publier un article compilant tous les documents d’une thématique que j’avais alors choisi.
Peu après, Yovan Menckevic à qui j’avais également transmis un document sur les nanoargent, publie un autre article. C’est ce document, transmis à Yovan Menkevic qui sera repéré en ligne par l’ANSES. Car jusque là, l’ANSES n’avait évidemment pas relevé d’intrusion dans son système de traitement automatisé de données… attendu qu’il n’y en avait pas eu. Un Get sur un document public n’a jamais eu pour effet de faire hurler un firewall.
En outre on trouve certains de ces documents sur des espaces parfaitement publics, hors extranet de l’ANSES, dans des datacenters américains, genre sur Google Docs, publiés par leurs auteurs eux mêmes.
Pourquoi avoir publié ?
Reflets.info est un média généraliste citoyen, et comme n’a pas manqué de le relever le procureur « hacker friendly et engagé », la formule inscrite dans la description de notre site. « Hacker friendly et engagé », pour le procureur, c’était évidemment un élément qui allait dans le sens de mon évidente culpabilité puisque ce dernier a bien entendu amalgamé le terme de hacker avec celui de cybercriminel… un amalgame que nous passons en outre notre temps à dénoncer pour redonner à ce mot sa véritable signification, à savoir celle d’un bidouilleur passionné.
Et à votre avis ? Que fait un média citoyen quand ce dernier trouve une importante masse de documents, dans un espace public, sur des questions de santé publique, émanant d’un organisme public ? Et bien il les publie, en prenant soin d’appeler des personnes compétentes à commenter et à interpréter ces données.
La plainte
La machine judiciaire s’est mise en route suite à une plainte de l’ANSES. Cette plainte portait sur « un piratage ». Et coup de bol, cette fois ci, le pirate est identifié ! Le seul hic, c’est que l’identification de la méthode du piratage indique clairement que c’est tout sauf un piratage. Extrait du PV :
« Nous [l’ANSES] avons procédé à des investigations techniques internes pour tenter d’identifier la méthode utilisée par les pirates pour accéder et récupérer les documents. A l’issue de ces analyses, nous avons alors constaté qu’il suffisait de disposer de l’url complète permettant d’accéder à la ressource sur l’extranet pour passer outre les règles d’authentification sur ce serveur. Il s’agit à notre sens de la méthode utilisée pour récupérer le document powerpoint visé en infra ».
Sous les yeux de n’importe quel magistrat, un « piratage », c’est une infraction pénale, un pirate, en toute logique, c’est un cybercriminel. Les mots ont un sens, comme ce mot « hacker », que l’on lit un peu partout associé à mon pseudo sur Internet. Dans l’esprit de nombreux juristes pas forcément versés dans la cyberculture, ce mot hacker a un raccourci malencontreux, celui de cybercriminel.
Je suis à ce jour incapable d’affirmer si l’ANSES était réellement tenue de porter plainte (je ne le pense pas), ni si elle était tenue de signaler l’incident aux autorités compétentes (ANSSI), au regard de sa qualité d’Organisme d’Importance Vitale. Ceci est parfaitement plausible, même mineur, il me semble être une bonne chose que l’ANSSI soit notifiée d’un tel incident car vous vous doutez bien que si je suis tombé sur ces documents, il y a probablement des cabinets de veille et peut être même des chercheurs de puissances étrangères qui sont tombés sur ces travaux et ont ainsi profité de travaux de recherche publique destinés aux intérêts français. Sur ce point, si les documents n’avaient pas vocation à être publics, il se peut que les chercheurs aient subi un préjudice et qu’à l’heure actuelle des chercheurs étrangers plagient leurs travaux. La filière santé est un secteur particulièrement dynamique et les enjeux financiers peuvent être importants.
Plainte ou pas plainte, il y a des questions qui justifient à elles seules une notification de l’incident… une fois ce dernier identifié comme un incident, ce qui était loin d’être évident pour une personne extérieure.
De la confidentialité des documents
Lors des auditions du plaignant, l’ANSES déclarait :
« Il s’agit de documents de travail internes qui sont échangés par les experts. Ces documents ne sont pas classifiés. Les thématiques sont néanmoins sensibles car elles sont relatives à des sujets d’actualité. Concernant la base de données, elle ne contient aucune information sensible. »
On comprendra donc que nous n’étions pas en présence d’informations sensibles, mais que la divulgation publique de ces documents était susceptible de créer de l’anxiété dans la population et donc de troubler l’ordre public. Une conclusion qui ne pouvait pas me sauter aux yeux.
Pourquoi la DCRI ?
Comme pour l’affaire Wikipedia, il est assez facile, et beaucoup trop simpliste de faire un mauvais procès à la DCRI (Direction Centrale du Renseignement Intérieur). La DCRI n’a pas choisie d’être saisie de l’affaire, elle ne s’en est pas auto-saisie non plus. Les services intérieurs ont d’autres choses à faire plus sérieuses que de m’entendre sur une affaire de téléchargement de fichiers publics, publiquement accessibles, émanant d’un organisme public sur des questions de santé publique… résumé comme ça, dés les premières minutes de ma garde à vue quand je tentais de récapituler ce que l’on me reprochait, l’affaire prenait à mes yeux une tournure pour le moins étrange.
Le fait que la DCRI soit saisie par un magistrat peut paraître « démesuré » au regard de l’infraction supposée. Sauf que voilà, l’ANS