Référé contre les FAI.

Comme je l'ai narré sur twitter, je suis allé ce matin à l'audience publique du référé intenté par Claude Guéant, Ministre de l'Intérieur contre 6 Fournisseurs d'accès internet (France Telecom Orange, SFR, Free, Numéricable, Bouygues Telecom et Darty Telecom) afin de faire interdire l'accès par leurs abonnés à certaines pages du site Copwatch.

Ce site (dont l'hébergeur est américain ainsi que le montre Spyou, et dont le domaine a été fourni par le bureau d'enregistrement français Gandi) diffuse des photos de policiers en civils, ainsi que pour certain d'entre eux, leur identité complète. Le site est clairement anti-flics, voire franchement haineux. Je n'ai pas de raison particulière d'aimer la police, ni de la détester d'ailleurs, et je trouve ces méthodes au moins aussi lamentables que les actions qu'elles prétendent dénoncer.

A vrai dire, s'il n'y avait pas eu cette assignation ni les plaintes pénales que le Ministère a formé, je pense que ce site serait passé inaperçu, au moins du grand public.

Ce qui m'intéressait, c'était de voir comment la Justice allait se débrouiller avec une énorme contradiction technique :

• Afin de ne pas apparaître trop comme un censeur, le Ministre demandait le filtrage de certaines pages seulement (les pages injurieuses et celles contenant des coordonnées de policiers) ;
• Le site n'est accessible qu'en HTTPS.

Même le meilleur système de DPI ne saurait résoudre directement cette équation, puisque l'analyse des URLs demandées par le navigateur nécessiterait de déchiffrer le trafic SSL et donc de pouvoir générer des certificats validés par le navigateur. Ce n'est évidemment pas impossible, l'attaque récente sur les internautes iraniens après le piratage de DigiNotar le montre, mais cela impliquerait évidemment qu'une autorité reconnue par un nombre suffisants de navigateurs, par exemple l'autorité de certification IGC/A du SGDN soit implantée dans le système DPI chez chaque FAI et génère des certificats à la volée. Inutile de dire que ce n'est pas son rôle (mais si on a des doutes on peut toujours la désinstaller de son navigateur).

Etonnament, cet argument a été peu utilisé par les avocats de la Défense, qui ont plaidé à tour de rôle. Seul l'avocat d'Orange qui a parlé en premier l'a abordé, mais en étant presque incompréhensible (dur pour moi de ne pas intervenir à ce moment, ceux qui ont travaillé avec moi voient de quoi je parle ^^).

Ils ont tous mis en avant évidemment l'impossibilité technique de filtrer par URL sans installer de coûteux systèmes DPI (qu'ils jurent tous ne pas avoir, alors qu'on sait qu'au moins pour les accès smartphone, c'est faux), et ont expliqué qu'ils pouvaient si on les forçait, filtrer par DNS ou par IP (et SFR a eu l'intelligence d'expliquer que c'était très inefficace) en utilisant le rapport rédigé par la FFTCE à l'occasion je crois de la loi LOPSI2.

L'avocat du Ministère a répondu par avance dans son exposé que ce n'était pas son problème, et que la loi LCEN de 2004 obligeait les fournisseurs d'accès à filtrer si l'hébergeur n'est pas contactable ou n'est pas facilement sanctionnable : "Peu me chaut" a-t-il répété.

En étant tellement éloigné de la réalité (je ne peux pas croire qu'aucun expert du Ministère n'a pu l'aider, j'en connais), on peut même se demander si son but final n'était pas de faire passer le message "Nous voulions filtrer seulement certaines pages, ces crétins d'informaticiens ne peuvent pas, alors maintenant tout le site est bloqué".

L'avocate du syndicat de policiers "Alliance" a tenu le même propos, en expliquant qu'un policier avait reçu une cartouche dans sa boîte à lettres et que la montée de la haine contre la Police inquiétait les fonctionnaires.

Le reste de l'audience était très intéressant, avec des différences subtiles entre les FAI :

• chez Bouygues on explique qu'on peut pas filtrer l'URL mais qu'on est prêt si on le demande à faire du blocage DNS ;
• chez SFR on explique qu'on est prêt à bloquer l'adresse IP du serveur ;
• chez Orange on explique rien mais évidemment on est prêt à bloquer si la justice demande ;
• chez Free on explique que la France n'est pas la Chine et qu'on veut pas de DPI (mais évidemment sans le dire ils mettront une route vers Null0 si on leur demande) ;
• chez Darty on explique "C'est pas nous !" puisque le réseau est sous traité et que toutes les fois que la police judiciaire demande quelque chose, on se défausse (^^).

Free a eu l'intelligence de demander pourquoi GANDI n'avait pas été assigné : si les coordonnées données lors de l'enregistrement du domaine sont fausses, comme semble le penser la police, alors il viole la charte ICANN et peut être suspendu. C'est effectivement bizarre, d'autant qu'il y a des précédents et que les Registrars bloquent chaque jour beaucoup de domaines pour spam, escroquerie, malware sans aucune décision de justice !

En revanche ils étaient tous d'accord pour demander une indemnisation en cas d'ordre de blocage, et certains (SFR, Darty, Free) à passer par la case de la Question Préalable de Consitutionnalité si elle n'était pas accordée, en invoquant par exemple la Déclaration des Droits de l'Homme de 1789 (arguant le fait qu'un tiers aidant la justice doit être rémunéré). Ils étaient également tous très très mécontents de la demande d'astreinte de 2000 euros par jour de retard, en expliquant qu'ils n'étaient coupables de rien et collaboraient avec la Justice toutes les fois qu'elle le demandait ...

Le procureur après avoir expliqué que l'infraction initiale semblait constituée et que les dommages (pour les policiers visés par le site) étaient réels, a expliqué qu'il était inutile de demander une mesure ne pouvant être appliquée (le filtrage des URLs) mais qu'elle demandait un filtrage par IP ou par DNS (ce qui revient à bloquer tout le site). Elle était en revanche opposée à l'astreinte qui ne peut s'appliquer qu'en cas de mauvaise foi et de résistance, et pensait également que les FAI devaient être défrayés.

Le jugement a été placé en délibéré et sera rendu le Vendredi 14/10 (après demain) à 17h. J'essaierais d'y aller également.

Je pense que le juge va suivre le procureur (après tout la loi a été votée il y a 7 ans et elle prévoit ce cas), mais qu'on en a pas fini avec cette histoire ... Je pense que le Ministère a bien manoeuvré en demandant "le retrait de quelques pages" en sachant très bien que ce n'était pas faisable ...

Je serais les FAI, je commencerais à faire une annonce BGP bidon pour plein de /32 allant dans Null0 (enfin ils l'ont certainement déjà) et/ou une procédure pour mettre des trous noirs dans les serveurs DNS.

En attendant, le site CopWatch a déjà au moins 25 miroirs ...