Le 8 mai 2015, Edward Snowden est intervenu sur la surveillance et la sécurité numérique aux Journées nordiques des médias de Bergen, en Norvège. La séance était animée par le journaliste Ole Torp, qui a commencé par demander comment Snowden et moi nous étions rencontrés. Ce qui suit est une retranscription légèrement éditée de mon interview avec Snowden. Toutes les questions ont été soumises par des journalistes norvégiens dans les jours qui ont précédé la séance. Vous pouvez trouver une vidéo de la séance ici.

Échange d’informations privées

Runa Sandvik : Ed et moi nous sommes rencontrés six mois avant que l’information ne fuite que nous organisions une CryptoParty à Hawaï. Une CryptoParty est un événement où les gens viennent apprendre à crypter leurs données et à se protéger en ligne.

Edward Snowden
Crédits : Wikimedia

Edward Snowden : C’était vraiment une expérience incroyable. À cette époque, personne ne savait encore qui j’étais. Runa était en train de développer Tor, afin de permettre de préserver l’anonymat sur Internet. En ce qui me concerne, je travaillais à l’époque pour la National Security Agency (NSA) et je bossais un peu au noir pour aider les gens à protéger leur vie privée – ce qui ne devait pas être du goût de la NSA. Mais le plus extraordinaire et ce qu’il faut tirer comme enseignement de tout cela, c’est que le bouche à oreille est réellement efficace pour apprendre aux gens à améliorer leur sécurité. Les méthodes que j’enseignais, des citoyens ordinaires les ont utilisées pour se protéger sur Internet et les enseigner à leur tour. Elles m’ont également permis de me protéger durant l’une des plus grandes chasses à l’homme de l’histoire contemporaine.

Runa Sandvik : Le premier document publié par The Guardian en juin 2013 révélait que la NSA enregistrait chaque jour les conversations téléphoniques de millions de clients de l’opérateur Verizon. Peu après la publication de ce document, l’Union américaine pour les libertés civiles (ACLU) a saisi la justice. Le 7 mai, la Cour d’appel des États-Unis a rendu son verdict : l’article 215 du Patriot Act, sur lequel s’appuie le gouvernement pour justifier ses actes, n’autorise pas la collecte de telles informations et le programme de surveillance est illégal. Comment avez-vous réagi lorsque vous avez appris la nouvelle ?

Edward Snowden : Cela marque un tournant dans la politique et la juridiction américaine sur la protection des données personnelles. Ce programme – qui a commencé par des écoutes téléphoniques non mandatées durant la présidence de George Bush après les attentats du 11 septembre – n’a jamais été légal, mais cela ne les a pas empêchés d’y avoir recours. Ce qui est incroyable, c’est qu’en 2013, avant les révélations, Amnesty International a engagé les mêmes poursuites contre les mêmes personnes, et qu’elles s’en sont tirées en affirmant que l’organisation ne pouvait pas prouver qu’elle avait été espionnée. Qu’importe que le programme ait été légal ou non, qu’ils aient violé la loi ou non, l’affaire s’est arrêtée là. Le premier article qui a été publié par Glenn Greenwald et les journalistes qui travaillaient sur le sujet a démontré qu’il existait une ordonnance délivrée par un tribunal secret. Ce tribunal donnait l’autorisation d’enregistrer des appels téléphoniques, d’en intercepter les détails et de collecter toutes les métadonnées qui s’y rapportaient. Cela ne veut pas dire qu’ils enregistrent chaque mot que vous prononcez au cours d’une conversation – car vous pourriez vous en rendre compte –, mais ils savent où vous voyagez, qui vous avez rencontré, où, à quelle heure et combien de temps a duré le rendez-vous, etc. Voilà ce que sont les métadonnées téléphoniques. Ce n’est pas ce que vous dîtes au téléphone qui est enregistré, c’est qui vous appelez, combien de temps dure l’appel, les enregistrements associés… et ils savent évidemment qui sont vos amis. Cette collecte d’informations a été rendue possible, en cachette, grâce à l’autorisation d’un tribunal secret, qui leur a permis de collecter les données téléphoniques de 330 millions d’Américains en toute impunité, sans aucun soupçon ou preuve que c’était une mesure nécessaire. Il n’était pas question de cibler une catégorie de personnes, ni même un individu en particulier. Toutes ces informations étaient collectées dans l’éventualité d’une enquête pénale ou d’un acte criminel.

Runa Sandvik se bat elle aussi pour l’anonymat sur Internet
Crédits : Facebook

L’invalidation de cette ordonnance bouleverse le rapport de force auquel est habitué le gouvernement américain. Jusqu’à présent, les tribunaux disaient : « Ce n’est pas notre rôle d’apprendre aux membres du pouvoir exécutif à faire leur boulot. » Il est extrêmement encourageant de voir qu’ils commencent à changer leur façon de penser. Désormais, ils disent plus volontiers : « Si le Congrès n’adopte pas des lois raisonnables, et si le pouvoir exécutif ne respecte pas le droit et la liberté en exécutant ces lois, alors ce sera aux tribunaux de les avertir que des limites ont été franchies. » Dans la loi, il est clair que ces pratiques d’espionnage sont interdites, mais on ne peut évidemment pas s’attendre à ce que les gens l’aient lue et connaissent le droit. Et cela doit changer. Le nouveau discours des tribunaux est très évocateur et je pense que cette décision n’affectera pas seulement le programme des métadonnées téléphoniques, mais également tous les autres programmes de surveillance de masse que les États-Unis pourraient mettre au point à l’avenir.

Runa Sandvik : On a lu beaucoup de choses sur Five Eyes, l’alliance de renseignement entre l’Australie, le Canada, la Nouvelle-Zélande et les États-Unis. On a aussi entendu dire que le Quartier général des communications du gouvernement britannique (GCHQ) et la NSA sont en étroite collaboration. Il arrive parfois que le GCHQ mène des opérations impossibles à réaliser pour la NSA, et les analystes de cette dernière sont alors autorisés à utiliser les données que le GCHQ a collectées. En revanche, nous avons peu d’informations sur la relation qu’entretient la NSA avec les agences de renseignement scandinaves, et plus particulièrement avec l’agence norvégienne.

Edward Snowden : Je ne peux pas révéler de nouvelles informations. Je laisse cela aux journalistes. J’ai choisi une méthode bien particulière pour révéler les activités criminelles et les graves abus que le gouvernement a commis et je m’y tiendrai, notamment à cause de mes partis pris politiques. Si je m’étais contenté de divulguer unilatéralement ces informations, je n’aurais pas servi au mieux l’intérêt public. Et si j’avais mal interprété un élément ou si des informations avaient contenu des détails qui auraient pu mettre en danger quelqu’un, je n’aurais eu aucun recul.

Les locaux de la NSA
Crédits : Wikipedia

J’ai donc travaillé de concert avec des journalistes qui avaient également reçu des informations sensibles. Pour les recevoir, ils ont dû accepter de soumettre leurs articles au gouvernement avant leur publication. Non pas pour qu’il les censure, mais pour qu’il puisse les lire et s’assurer : « OK, personne ne se fera tuer à cause de cet article ; la vie d’aucun agent derrière les lignes ennemies ne sera mise en danger », ce genre de choses. « Cet article ne donnera pas l’opportunité à Al-Qaïda d’organiser des attentats. » Je pense qu’on a pu constater que cette méthode s’est révélée efficace. Car même si en 2013 le gouvernement affirmait sans trembler que la société était finie, que l’atmosphère allait prendre feu et que les mers allaient se mettre à bouillir, que ce serait l’Apocalypse, nous sommes toujours bien vivants en 2015. Il a été demandé aux directeurs de la NSA, de la CIA et du FBI d’apporter des preuves des dommages prétendument causés par ces révélations publiques, mais ils n’ont jamais pu donner un seul cas où elles auraient causé du tort à un individu ou à un programme. Je vais vous parler des méthodes de renseignements d’aujourd’hui, de la surveillance de masse, et de la façon dont ces agences interagissent les unes avec les autres. Il me semble que le directeur du renseignement militaire norvégien a déjà avoué qu’il partage des informations collectées par les services norvégiens avec la NSA. Ils échangent ces données, et il se passe sensiblement la même chose entre les États-Unis et les autres pays. Entre les Five Eyes, tout est beaucoup plus libre et encore moins contrôlé, puisqu’ils mettent en commun toutes les informations collectées dans leurs pays respectifs. Ensuite ils les trient et ils en font ce qu’ils veulent. Pour les autres pays, ces informations ressemblent plus à des cartes à échanger. J’aime bien comparer cela à un bazar européen. Les Allemands prennent ce qu’ils ont collecté en Allemagne, puis ils échanges leurs informations avec les autres pays. Idem pour les Pays-Bas, la Norvège ou la Suède. Mais chacun soutiendrait qu’il agit en toute légalité. Ils diraient : « Nous opérons en accord avec nos politiques. Nous avons des restrictions qui ne nous permettent pas de cibler nos citoyens. » Mais ils marchandent tous les autres citoyens de l’Union européenne. Ils marchandent d’autres pays européens, des sociétés privés, des services de base, des services publics, et ils sapent la sécurité des communications qui transitent à travers l’Europe. Le problème, c’est que quand tous les pays font la même chose, on se retrouve dans une situation où le Danemark affirme : « Nous n’espionnons pas les Danois », et l’Allemagne affirme qu’elle n’espionne pas non plus les Allemands. Mais quand les communications danoises entrent dans l’espace allemand, elles sont espionnées et échangées. Résultat des courses, nous finissons tous exposés un peu plus chaque jour.

Pour ce qui est du b.a.-ba de la surveillance de masse, même si on s’accorde à dire que c’était une bonne stratégie – désormais très largement controversée et qui ne s’est jamais révélée utile –, on peut se demander la chose suivante : « La liberté que nous coûte ces programmes, est-ce que cela vaut bien le coup ? Est-ce que tout cela nous apporte vraiment quelque chose ? » Aux États-Unis, Barack Obama a dû nommer deux comités indépendants de la Maison-Blanche à cause des proportions qu’a pris le scandale et de l’agressivité de la presse : le Conseil de supervision sur la vie privée et les libertés civiles, ainsi qu’un autre baptisé Groupe de contrôle des technologies de la communication et de la surveillance. Tous deux bénéficiaient d’un accès total aux bases de données, même les plus secrètes. Les agences de renseignement ne pouvaient donc rien leur cacher. Ils avaient le droit d’interroger tout le monde, du plus modeste employé jusqu’au directeur, et ils regardaient ces programmes de surveillance de masse en disant : « Parlons un peu d’efficacité, parlons de vos indicateurs. »

Ils servent à collecter des renseignements, pas à lutter contre le terrorisme.

Par exemple, le programme 215, tiré de l’article 215 du Patriot Act qui a été déclaré illégal, mais qui est toujours en activité, « a-t-il vraiment empêché un attentat » ? Et ce comité avait tout intérêt à protéger le gouvernement et à dire qu’il était parfait et vraiment très utile, parce qu’il avait justement été nommé par le président et qu’il était composé de ses amis et de plusieurs responsables de la Maison-Blanche. Il me semble que l’ancien sous-directeur de la CIA était l’un d’entre eux. Résultat, ils ont non seulement découvert que ces programmes n’avaient jamais permis d’éviter la moindre attaque terroriste, malgré une décennie d’activité, mais également qu’ils n’avaient jamais aidé à résoudre ne serait-ce qu’une seule enquête liée au terrorisme. Aujourd’hui, il y a de nombreuses preuves que la surveillance de masse n’est d’aucune utilité pour la sécurité publique, mais qu’en revanche, elle pèse lourd sur la liberté. Face à cette réalité, il faut reconsidérer ses positions. Les journalistes doivent se rendre compte qu’en dépit des mises en garde contre le « terrorisme », ces lois et ces programmes n’ont rien à voir avec le terrorisme. Ce ne sont pas des programmes dont la mission est d’assurer la sécurité publique. Ce sont des programmes d’espionnage. Ils servent à collecter des renseignements, pas à lutter contre le terrorisme.

Des données accessibles à tous

Runa Sandvik : La plupart des articles et des documents qui ont été publiés concernent uniquement les États-Unis et les citoyens américains. Comment cela affecte ceux qui ne vivent pas aux États-Unis ?

Le programme de surveillance PRISM
Crédits : Wikimedia

Edward Snowden : C’est assez compliqué pour ceux qui se trouvent en dehors des États-Unis et qui ne sont pas américains. Le programme PRISM était l’un des premiers à être révélé. Microsoft, Facebook, Google, Yahoo, Apple et bien d’autres, toutes ces sociétés sont partenaires de la NSA. Ils partagent leurs données, plus ou moins sous la contrainte. Si vous êtes un citoyen américain, en théorie, les entreprises ne peuvent pas fournir d’informations sur vous sans un mandat. Ce qui est problématique, c’est que ce fameux tribunal secret accorde ces mandats, mais qu’il s’agit d’autorisations complètement factice, accordées à tout un chacun. En trente-cinq ans, ils n’ont rejeté que douze requêtes de mandats. Mais si vous n’êtes pas citoyen américain, alors pas besoin de mandat. Le Procureur général des États-Unis signe une autorisation qui couvre un nombre incalculable de profils. Et si vous êtes un ressortissant étranger et qu’ils vous considèrent d’un quelconque intérêt car vous correspondez à un profil problématique, ils peuvent exiger des détails sur votre vie privée auprès de n’importe laquelle de ces entreprises. Vous n’avez alors aucun recours juridique, vous n’êtes pas informé de ce qu’il se passe et vous n’avez aucun accès aux tribunaux. Et si ces informations sont finalement utilisées contre vous au cours d’un procès, on ne vous dira même pas que ces preuves ont été utilisées dans l’élaboration de votre dossier. Runa Sandvik : Vous avez déclaré que les analystes de la NSA pouvaient avoir accès aux mails d’une personne grâce à son adresse. Est-ce le cas pour les citoyens norvégiens, par exemple ? Est-ce qu’un analyste de la NSA pourrait, disons, avoir accès aux mails du Premier ministre norvégien ?

Edward Snowden : Ce qui entre en jeu ici, c’est le fonctionnement de ces programmes de surveillance de masse. J’ai moi-même travaillé avec ces programmes. Il s’agit d’un système appelé XKeyscore, qu’on peut affilier à un moteur de recherche pour espions. Imaginez tous les capteurs, tous les points de rencontres des données à travers le monde, toutes ces « panières » remplies d’informations récoltées par la surveillance de masse dans tous ces différents pays – les États-Unis, le Royaume-Unis, la Nouvelle-Zélande… Si vos communications privées en tant que citoyen norvégien passent par l’un de ces pays, si elles passent par l’un de leurs capteurs, elles sont enregistrées et elles finissent dans une de ces panières. En tant qu’analyste, je suis assis à mon bureau et je peux faire des recherches sur n’importe qui. Les gens vous diront qu’il existe des restrictions, des contrôles ou je ne sais quoi, mais ces contrôles ne sont pas réellement fiables. Depuis les révélations de 2013, la NSA a reconnu qu’elle ne savait pas à quelles informations j’avais eu accès, ni lesquelles ont été transmises aux journalistes. Alors qu’elles ont été publiées dans la presse.

Schéma de la NSA : où l’internet public et les informations de Google se croisent
Crédits : Wikipedia

Le véritable danger aujourd’hui, ce ne sont pas les informateurs comme moi. Ce n’est pas le fait de divulguer à la presse ces informations secrètes sur la criminalité et sur de graves infractions. Cela ne met pas la démocratie en péril. En réalité, il y a même de solides arguments qui soutiennent que c’est la preuve d’une défense efficace de la part d’un gouvernement fort. Mais que se passe-t-il lorsque des agents font des recherches sur quelqu’un dans le cadre d’une enquête autorisée ? ou avec une intention cachée ? à des fins personnelles ? pour des motifs politiques ? Ce qui importe ici, c’est que tout ce qui transite sur Internet et qui n’est pas protégé par chiffrement, par un chiffrement fiable, qui nous défendrait contre les attaques des ennemis les plus au point, qui agissent au niveau national comme la NSA ou le GCHQ britannique, toutes ces données tombent dans ces fameuses panières. Si le Premier ministre norvégien envoie un mail par Internet et qu’il n’est pas envoyé au moyen d’un système sécurisé du gouvernement, ou si le PDG d’une entreprise européenne ou un activiste des droits de l’homme en Norvège essaie de protester contre les attaques de drones au Moyen-Orient ou de faire une campagne contre la torture, tout cela est enregistré dans ces systèmes. Ces informations sont alors à portée de main de n’importe quel analyste, il lui suffit de faire une recherche pour les trouver. Et il n’existe pas de protection fiable et efficace contre ce genre d’abus. En ce moment même, il y a des débats sur le sujet en Allemagne. Les Allemands avaient créé un programme qui permettait aux analystes de la NSA, du GCHQ et aux autres agences de lancer des recherches dans leur propre système. L’idée, dans ce cas, était que ces recherches soient passées au crible par des filtres informatiques pour bloquer toute recherche qui serait illégale. Mais aucun être humain n’examinait ces données en amont. Il n’y avait personne pour étudier ces informations et dire : « Voilà une cible légitime. Ceci est une demande de surveillance valable en accord avec une ordonnance du tribunal. Quelqu’un est en train de récolter des informations. C’est contraire à notre droit national. » Ce genre de contrôle ne se faisait qu’en aval, après que la recherche avait été effectuée. Les contrôles étaient aléatoires et ne s’appliquaient qu’à une infime partie des recherches.

Par ailleurs, il y a quelques jours, dans le cadre de l’enquête allemande, le Service fédéral de renseignements allemand (BND) a déclaré que les archives des recherches effectuées par la NSA avaient accidentellement été effacées, aussitôt après que le Parlement a commencé à les réclamer. Il n’est pas question de critiquer l’Allemagne en particulier, ni les États-Unis d’ailleurs. Ce n’est pas non plus de l’anti-américanisme. C’est un problème d’échelle mondiale, qui ne ne concerne pas uniquement les pays démocratiques. Il concerne aussi les pays autoritaires et oppressifs. Plus nos politiques sont sévères ici, moins on protège nos citoyens, et plus on donne le pouvoir aux acteurs les plus dangereux d’empirer les choses. Nous avons un devoir moral, une motivation naturelle à protéger nos propres libertés, à établir des normes qui nous feront progresser dans l’amélioration de la protection des droits. Et d’arrêter de les saper et de permettre à n’importe qui d’avoir accès à nos informations privées.

Quartiers généraux du GCHQ, les services secrets britanniques
Crédits : Ministère de la défense britannique

Je ne parle pas seulement des abus des agences de renseignement, mais de n’importe quel type d’abus. Lorsqu’on commence à répertorier et à collecter des archives générées par la vie privée des gens : où ils vont, à qui ils parlent, ce qu’ils font sur leur téléphone, les détails de leurs appels, leurs transactions Internet… ces données deviennent une cible. Et on s’en est rendu compte avec les piratages et les incidents de cyber-sécurité qui ont eu lieu ces dernières années. Si nous crééons une base de données qui est en réalité constituée de toutes nos informations les plus précieuses et les plus personnelles, qui met en relief des détails sur notre vie privée, cela amènera à des abus, à des attaques en échappant à notre contrôle. Nous ne devrions pas créer des armes qui pourraient êtres retournées contre nous.

Se protéger sur Internet

Runa Sandvik : Nous avons parlé des outils de sécurité numérique tout à l’heure, et je voulais y revenir pour ma dernière question. Que peuvent faire les citoyens inquiets et les journalistes pour se protéger efficacement sur Internet ? Edward Snowden : Il existe des CryptoParty, où ceux qui ont quelques connaissances des techniques et des mesures de protection travaillent dans leurs communautés pour augmenter le savoir des journalistes et des citoyens ordinaires, afin qu’ils puissent se défendre contre l’espionnage en ligne. La plupart de nos communications qui transitent sur Internet sont électroniquement exposées à la vue de tous car elles ne sont pas chiffrées. Pour faire simple, si vous faîtes des achats sur Internet, si vous envoyez un mail, si vous communiquez avec un ami sur votre portable, les fournisseurs des services de télécommunications qui servent d’intermédiaires peuvent tout intercepter. Les services de renseignements et la justice peuvent les contraindre à fournir ces informations, et les pirates et autres personnes malveillantes peuvent les récupérer par d’autres moyens.

L’intimité fait partie des droits fondamentaux de chacun.

Tor, par exemple, est un réseau qui permet de rendre anonymes vos échanges sur Internet. On peut dire qu’il s’agit d’un « réseau mixte », parce qu’il protège les communications de tous les utilisateurs en les mélangeant ensemble. Il est ainsi plus compliqué de voir d’où elles proviennent et quelle est leur destination finale. Lorsque vous commencez à fonctionner de cette façon, ou que vous utilisez un réseau privé virtuel (VPN), un fournisseur VPN ou quelque chose de ce genre, vous protégez vos échanges lorsqu’ils passent par des zones d’interception et par les fournisseurs. Il n’y a peut-être rien dans votre vie privée qui puisse vous envoyer en prison. Vous n’êtes peut-être pas un journaliste qui travaille avec des sources sensibles. Mais lorsque vous adoptez les mêmes méthodes de communications que ces journalistes, qui sont utilisées par des activistes en position de vulnérabilité ou qui militent tout simplement contre des régimes autoritaires, vous créez en réalité une zone fiable d’immunité collective. Même si vous n’essayez pas de protéger vos communications, vous pouvez protéger celles des autres par procuration. Vous les aidez à se perdre dans le bruit. On entend beaucoup de gens dire, surtout dans les pays scandinaves : « J’ai confiance en mon gouvernement, je ne pense pas qu’il fasse quoi que ce soit d’illégal », ce qui est un peu naïf. Mais vous avez le droit d’y croire, les gouvernements ne sont pas nécessairement de grands méchants, ce ne sont pas de cruels et terribles ennemis. Ils se composent même en bonne part de personnes qui tentent de faire le bien. Le problème, c’est cette culture du renseignement, qui permet aux gens de faire des choses répréhensibles pour de bonnes raisons. Quand la fin justifie les moyens, quand on adopte des méthodes de fonctionnement utilitaristes, elles peuvent avoir des effets très destructeurs. Non seulement sur les activités de notre gouvernement, mais également sur les conséquences de ces activités sur notre société. Qu’importe ce que vous pourriez faire de mal, ou ce que votre gouvernement pourrait faire de mal, l’intimité fait partie des droits fondamentaux de chacun. La surveillance des individus par anticipation d’une quelconque activité criminelle est une violation des droits de l’homme. Ce n’est pas moi qui le dis, mais les Nations Unies, et n’importe quelle justice humaine, civile ou internationale… La Déclaration universelle des droits de l’homme l’affirme, le Pacte international relatif aux droits civils et politiques l’affirme : c’est une norme à travers le monde.

L’intérieur de Fort Meade, siège de la NSA
Crédits : Wikipedia

Certains politiciens choisiront la solution de facilité. Ils veulent justifier des programmes envahissants et leurs enquêtes pré-pénales sur chaque membre de la société, en dépit de son profil. Ils prétendent que « ça aidera à vaincre le terrorisme ». Aujourd’hui, nous avons des statistiques générées grâce à des programmes très sophistiqués qui affirment qu’au États-Unis, où le budget annuel pour le renseignement est de 70 milliards d’euros, que « non, ça n’empêche absolument pas le terrorisme ». Peut-être cela permet-il des bénéfices au niveau de la collecte de renseignements, mais même si c’est le cas, l’argument selon lequel « si vous n’avez rien à cacher, alors vous n’avez rien à craindre », revient à dire : « Je me moque de la liberté d’expression car je n’ai rien à dire. » C’est un concept profondément intolérant auquel nous devons à tout prix nous opposer, que nous devons repousser. La protection de nos droits est assurée par les gouvernements, mais ce ne sont pas les gouvernements qui nous les accordent. Quand ces derniers dépassent les bornes, un bon citoyen ne reste pas planté là à dire que ce n’est pas grave. Il lui rappelle gentiment – et plus le temps passe, plus il le fait brutalement, donc plus le gouvernement muscle le jeu – qu’il doit redresser le cap, et qu’il ne faut pas oublier qu’ils sont ici pour améliorer la qualité de vie des gens, pas pour la dégrader. (Note : je fais partie de la Comission Consultative Technique de la Freedom of the Press Foundation où Snowden siège au conseil d’administration.)

Traduit de l’anglais par Marine Bonnichon d’après l’article « What Edward Snowden Said At The Nordic Media Festival », paru dans Forbes.  Couverture : Edward Snowden dans Citizenfour.