Le procès Eolas

Maître Eolas m'a fait l'honneur de me choisir comme expert informatique afin de mener une expertise privée dans l'affaire qui l'oppose à l'association IPJ. Il y a entre Maître Eolas et moi nuls liens d'amitié comme entre Montaigne et La Boétie, mais un solide respect, teinté de ma part d'une admiration sincère pour son intelligence et sa vivacité d'esprit. Ce respect justifie que l'on puisse mener ensemble un travail de façon professionnelle, et ne m'a pas empêché de rédiger un rapport objectif et scientifique sur les questions qui m'ont été posées (ce qui a d'ailleurs été relevé par les parties du procès). Bien sur, ce travail étant demandé par une seule des parties (c'est le principe d'une expertise privée), il a fait l'objet de critiques et de suspicions de la partie adverse, ce qui a été débattu publiquement lors des différents procès (1ère instance puis appel).

J'ai assisté à la dernière étape (en date) du procès Eolas vs IPJ qui a eu lieu hier, à la Cour d'Appel de Versailles, assis simplement sur les bancs du public. Je voulais montrer concrètement à Maître Eolas mon soutien dans l'épreuve qui lui était infligée, indépendamment du travail que j'avais eu à faire pour lui. Comme je l'indiquais sur Twitter, c'est quand ils sont dans la merde, enfin dans le besoin, qu'il faut soutenir les gens qu'on apprécie.

Pour autant, je ne souhaite pas utiliser ce blog à chaud sur des affaires en cours auxquelles je participe, je m'en suis déjà expliqué et tout le monde comprendra. Vous ne trouverez donc ici aucune analyse, ni prise de position, ni avis personnel.

Je signale simplement à mes lecteurs un compte-rendu succinct d'audience réalisé par Rémi Flamant sur le site "épris de justice" (que tout curieux du fonctionnement de la justice devrait mettre dans son agrégateur de flux RSS ;-) : http://www.epris-de-justice.info/est-ce-que-lon-peut-imaginer-que-maitre-eolas-setait-torche-avec-une-association/

J'encourage également tous mes lecteurs à pousser la porte des tribunaux pour assister régulièrement aux audiences, et pas seulement à celles qui font la une des journaux. C'est passionnant.

J'invite aussi tous les experts qui me lisent à assister aux procès où leurs rapports sont débattus (quand ils ne sont pas cités comme témoin). C'est très instructif (et stressant). Le travail des avocats est extraordinaire, tant ceux qui attaquent votre travail, que ceux qui le mettent en avant.

Dans ma prochaine vie, je veux être avocat.

Chiffrement, sécurité et libertés

Je suis invité au colloque "chiffrement, sécurité et libertés" organisé par l'Observatoire des Libertés et du Numérique le 21 novembre 2016 à l'assemblée nationale.

J'y suis invité pour exprimer le point de vue d'un expert judiciaire. Comme je suis plutôt réservé et qu'il s'agit d'une table ronde, je risque fort de regarder tout le monde s'exprimer sans prendre d'assaut le micro pour balbutier quelques mots... Je jette donc ici quelques idées pour moi-même. 

Expert judiciaire :

Tout d'abord, je voudrais rappeler la base de ce qu'est un expert judiciaire : il s'agit d'une personne ayant des connaissances dans un domaine et qui les propose à la justice. Si la justice accepte que cette personne l'aide, elle est inscrite dans un annuaire particulier dans lequel les magistrats piochent lorsqu'ils ont besoin d'aide dans un dossier. Le fait d'être inscrit dans cet annuaire vous donne le droit d'utiliser le titre "d'expert judiciaire".

Il y a des experts en plomberie (C.1.21), en fumisterie (C.1.26), en améliorations foncières (A.1.1), en paléographie (B.1.2), en héraldique (B.3.9), en chimie des résidus de tir (G.3.2)...

Concernant l'informatique, le législateur l'a regroupée avec l'électronique dans les rubriques suivantes :

E.1. Électronique et informatique.
E.1.1. Automatismes.
E.1.2. Internet et multimédia.
E.1.3. Logiciels et matériels.
E.1.4. Systèmes d’information (mise en œuvre).
E.1.5. Télécommunications et grands réseaux.

Pour ma part, je suis inscrit dans les rubriques E.1.2 et E.1.3 pour l'ordre administratif, et uniquement dans la rubrique E.1.3 pour l'ordre judiciaire (suite à une erreur de plume que je n'arriverai pas à faire corriger et dont j'ai fait le deuil).

J'ai une formation assez classique d'ingénieur, un doctorat, et comme beaucoup de monde, je suis passionné par l'informatique en général. Je n'ai aucune formation juridique, aucune connaissance hautement spécialisée en sécurité informatique pointue. Je suis un citoyen lambda ingénieur en informatique.

Je n'ai pas de pouvoir technique particulier, je ne guéris pas les ordinateurs par la pensée, je ne sais pas déchiffrer l'indéchiffrable, je n'écoute pas les communications téléphoniques de mes voisins, je ne mange pas le midi avec Nick Leeder, ni avec Damien Viel...

Par contre, à chaque fois que la justice me confie un scellé informatique, j'ai un défi à relever : répondre aux questions qui me sont posées, si possible sans compromettre le scellé. Pour cela, j'utilise des logiciels achetés à mes frais, des freewares, des je-donne-ce-que-je-veux-ware, des conseils glanés sur internet ou auprès de mon réseau d'entraide personnel (des listes de diffusion d'experts judiciaires en informatique) et ma propre expérience. 

Chiffrement :

J'utilise à titre privé assez souvent le chiffrement de données (Gostcrypt, pourquoi ? parce que.), pour sécuriser mes dossiers d'expertise, pour protéger mes données privées ou les échanges confidentiels que je peux avoir. J'utilise également le chiffrement à titre professionnel pour protéger les travaux de recherche des chercheurs de mon école (je suis directeur informatique et technique dans une école d'ingénieurs), pour protéger les sauvegardes ou les données confidentielles de mon entreprise.

Il m'arrive aussi d'être confronté au chiffrement lors de mes expertises judiciaires. J'en ai parlé dans le billet intitulé "face à TrueCrypt". Extrait :

Que se passe-t-il alors lorsque je tombe sur un scellé qui contient des données chiffrées avec TrueCrypt ?
Réponse : rien. Je ne peux rien faire sans avoir le mot de passe. Et encore, je peux avoir un mot de passe qui ouvre le container TrueCrypt, mais pas le container caché. Je n'ai pas de code secret universel, ni de logiciel spécial me permettant d'accéder aux données.
Je ne dis pas qu'ils n'existent pas, je dis que je n'y ai pas accès.
Pour autant, je ne baisse pas les bras immédiatement :
- je peux regarder si des données non chiffrées sont présentes et accessibles sur le disque dur (lire le billet intitulé "le disque dur chiffré").
- je peux chercher tous les mots de passe de l'utilisateur, mots de passe stockés sur internet ou sur d'autres ordinateurs non chiffrés. Sachant que beaucoup de personnes n'utilisent que quelques mots de passe, la probabilité de trouver des mots de passe ouvrant les containers TrueCrypt est forte. Lire par exemple ce billet intitulé "Perquisition".
- je peux passer par l'enquêteur pour qu'il demande les différents mots de passe à l'utilisateur.
- je peux suspecter un fichier d'être un container TrueCrypt (avec TCHunt par exemple).

Chiffrement, sécurité et libertés :

J'ai répondu sur ce sujet aux questions d'Amaelle Guiton, journaliste au pôle Futurs du journal Libération, sur le sujet du chiffrement, de la vie privée, de la police, de la justice et de l’État. Extrait :

AG: Que pensez-vous de l'argument selon lequel le chiffrement freine ou bloque les enquêtes? Est-il légitime (ou jusqu'à quel point est-il légitime) ?
Lorsqu’un enquêteur, ou un expert judiciaire, doit analyser un ordinateur ou un téléphone et que les données sont correctement chiffrées, il est bien évidemment bloqué. Si son enquête ne repose que sur cet élément, il est définitivement bloqué, ce qui est regrettable. Mais dans les dossiers que j’ai eu à traiter, ce cas de figure n’est jamais arrivé : un dossier ne repose jamais uniquement sur le contenu chiffré d’un ordinateur ou d’un téléphone. Il y a toujours d’autres éléments dans le dossier, et il s’agit d’ajouter encore des éléments de preuve (à charge ou à décharge) pour le compléter. L’argument ne me semble pas légitime, sauf dans le sens où le chiffrement complique la recherche de preuve et donc alourdit la facture de l’enquête, ce qui est déjà un problème dans notre pays où le budget de la justice est anormalement bas. Il ne faut pas oublier aussi que si les données sont chiffrées, il faut aussi qu’à un moment elles soient déchiffrées pour être utilisées par leur destinataire. L’enquêteur peut intervenir à ce moment-là.

Pour conclure, je reprendrai ma position de l'époque :

AG: Et enfin, comment vous positionnez-vous dans ce débat : en tant qu'informaticien, en tant qu'expert judiciaire, en tant que citoyen (ou les trois à la fois!).
Il m’est difficile de dissocier les trois : je suis un citoyen informaticien expert judiciaire. J’ai l’expérience de ces trois casquettes, expérience dont je fais part sur mon blog (ce qui m’est assez reproché). Ma position personnelle est de placer au-dessus de tout la protection de la vie privée individuelle. Tous les échanges et tous les stockages de données devraient être chiffrés de manière à ce que chacun puisse protéger ses données. Je préférerais d’ailleurs que l’on parle de « vie intime » plutôt que de « vie privée », car ce dernier terme prête à confusion dans un monde où beaucoup de citoyens échangent l’accès à une partie de leur vie privée avec un droit d’usage gratuit à certains services (proposés par les GAFAM). Tous les citoyens doivent pouvoir utiliser des outils garantissant leurs données contre les oreilles de l’État. Les malfaiteurs les utilisent depuis longtemps, sans que cela ne gêne trop l’État, il est temps que les honnêtes citoyens puissent les utiliser en masse. Les enquêteurs disposent d’autres moyens de poursuivre les malfaiteurs sans que l’État n’oblige tous ses citoyens à se mettre à nu. Je refuse d’être obligé de mettre une caméra dans ma chambre à coucher sous le prétexte d’une meilleure sécurité, par exemple pour une lutte soit disant plus efficace contre le terrorisme ou contre les pédophiles. Je ne crois pas en la réalité d’un État bienveillant qui surveille en masse ces citoyens pour le bien de tous. L’Histoire a plutôt démontré que ce type d’État dérive toujours très vite vers des abus en tout genre.
Quis custodiet ipsos custodes ?

Et comme tout le monde, j'attends avec effroi les premiers piratages de la base de données TES concernant les 60 millions de français créée, semble-t-il, pour supprimer 1300 postes dans les préfectures...

Pourquoi avec effroi ? Tout simplement parce que je me souviens bien du film Brazil...