Par Edward Snowden, le 26 juillet 2021
Le plus grand danger pour la sécurité nationale, ce sont les entreprises qui prétendent la protéger.
1. Mon premier geste, quand j'achète un nouveau téléphone, est de le démonter
Je ne m'y mets pas pour satisfaire une envie subite de bricolage, ni par principe politique, mais simplement parce que son fonctionnement est dangereux. Réparer le matériel, c'est-à-dire retirer chirurgicalement les deux ou trois minuscules microphones cachés dans chaque smartphone n'est que la première étape d'un processus ardu, et pourtant, même après plusieurs jours de bricolage pour améliorer la sécurité, mon smartphone restera l'objet le plus dangereux en ma possession.
Avant le Projet Pegasus et les efforts de reportage des grands médias pour dénoncer les conséquences fatales du Groupe NSO - le nouveau visage du secteur privé d'une industrie de l'insécurité hors de contrôle - la plupart des fabricants de smartphones ainsi qu'une grande partie de la presse mondiale ont collectivement levé les yeux au ciel lorsque j'ai publiquement identifié l'iPhone fraîchement sorti de son emballage comme une menace potentiellement mortelle.
Malgré des années de reportages impliquant le piratage à but lucratif de téléphones par le groupe NSO dans la mort et la détention de journalistes et de défenseurs des droits de l'homme indiquant que les systèmes d'exploitation des smartphones sont criblés de failles de sécurité catastrophiques (une circonstance aggravée par la conception de leur code dans des langages de programmation vieillissants depuis longtemps considérés comme peu sûrs), et malgré des années de rapports indiquant que, même lorsque tout fonctionne comme prévu, l'écosystème mobile est un enfer dystopique où l'utilisateur final est surveillé et carrément manipulé, il est encore difficile pour beaucoup de gens d'accepter qu'un produit qui semble bon puisse ne pas l'être en réalité.
Dans mon infini optimisme, cependant, je ne peux m'empêcher de considérer l'arrivée du projet Pegasus comme un tournant - une histoire bien documentée, exhaustivement sourcée et franchement folle à propos d'une infection "ailée" de type "cheval de Troie" nommée "Pegasus", qui transforme essentiellement le téléphone dans votre poche en un dispositif de pistage tout-puissant qui peut être activé ou désactivé à distance, à votre insu, vous, le propriétaire de la poche.
Voici comment le Washington Post le décrit :
"En bref, le téléphone dans votre main vit un état d'insécurité perpétuelle, ouvert à l'infection par quiconque est prêt à mettre de l'argent dans les poches de cette nouvelle industrie de l'insécurité. L'ensemble des activités de cette industrie consiste à créer de nouveaux types d'infections qui échappent aux tout derniers vaccins numériques, c'est-à-dire aux mises à jour de sécurité, puis à les vendre à des pays qui se situent à l'intersection rougeoyante d'un diagramme de Venn entre "recherche désespérément les outils d'oppression" et "manque cruellement de sophistication pour les produire au niveau national".
Mon premier geste, quand j'achète un nouveau téléphone, est de le démonter
Une industrie comme celle-ci, dont le seul but est de produire de la vulnérabilité, devrait être démantelée.
2. Même si nous nous réveillions demain et que le groupe NSO et ses semblables du secteur privé aient été anéantis par l'éruption d'un volcan à l'esprit particulièrement critique,
cela ne changerait rien à la plus grande crise de sécurité informatique de l'histoire de l'informatique. Ceux qui créent le logiciel - et contribuent à faire d'Apple, Google et Microsoft un amalgame de fabricants de puces avares qui veulent vendre et non réparer, et les développeurs Linux bien intentionnés qui veulent réparer et non vendre - sont tous heureux d'écrire du code dans des langages de programmation que nous savons peu sûrs, parce que, eh bien, c'est ce qu'ils ont toujours fait, et la modernisation exige un effort significatif, sans parler de la dépense. La grande majorité des vulnérabilités découvertes et exploitées par l'industrie de l'insécurité sont introduites, pour des raisons techniques liées à la façon dont un ordinateur trace de ce qu'il est censé tracer, au moment précis où le code est écrit, ce qui fait du choix d'un langage plus sûr une protection cruciale... et pourtant c'est une protection que peu entreprennent.
Selon Google, 70 % des bugs graves de son navigateur Chrome sont liés à la sécurité de la mémoire. Il est possible de les réduire en utilisant des langages de programmation plus sûrs.
Si vous voulez que les choses changent, encouragez le changement. Par exemple, si vous voulez que Microsoft ait une crise cardiaque, parlez de définir une responsabilité juridique pour le mauvais code dans un produit commercial donné. Si vous voulez donner des cauchemars à Facebook, parlez de le rendre légalement responsable de toutes les fuites de nos données personnelles. Imaginez la vitesse à laquelle Mark Zuckerberg se mettrait à appuyer sur la touche "Suppr".
Pas de responsabilité, pas d'obligation de rendre des comptes... ce qui nous mène à l'État.
3. Le piratage informatique parrainé par l'État est devenu une compétition si régulière qu'il devrait avoir sa propre catégorie olympique
Chaque pays dénonce les efforts des autres comme étant un crime, tout en refusant d'admettre la culpabilité de ses propres infractions.
Si le piratage n'est pas illégal pour nous, il ne le sera pas pour eux - et "ils" sontt de plus en plus nombreux dans le secteur privé. C'est un principe de base du capitalisme : ce sont les affaires. Si tout le monde le fait, pourquoi pas moi ?
C'est le raisonnement superficiellement logique qui a engendré pratiquement tous les problèmes de prolifération du contrôle des armements dans l'histoire, et la même destruction mutuellement assurée qu'implique un conflit nucléaire est pratiquement garantie dans un conflit numérique en raison de l'interconnectivité et de l'homogénéité du réseau.
Rappelez-vous le Pegasus du groupe NSO qui cible particulièrement mais pas exclusivement les iPhones. Bien que les iPhones soient mieux protégés par défaut et, parfois mieux conçus du point de vue de la sécurité que le système d'exploitation Android de Google, ils constituent également une monoculture : si vous trouvez un moyen d'infecter l'un d'entre eux, vous pouvez (probablement) les infecter tous, un problème exacerbé par le refus d'Apple de permettre aux clients d'apporter des modifications significatives au fonctionnement des appareils iOS. Lorsque vous combinez cette monoculture et cette boîte noire avec la popularité quasi universelle d'Apple parmi l'élite mondiale, les raisons de l'appropriation de l'iPhone par le groupe NSO deviennent évidentes.
Les gouvernements doivent comprendre que permettre - et encore moins subventionner - l'existence du groupe NSO et de ses pairs malveillants ne sert pas leurs intérêts, quelle que soit la position du client, ou de l'État-client, sur l'axe autoritaire : le dernier président des États-Unis a passé l'essentiel de son mandat, quand il ne jouait pas au golf, à tweeter depuis un iPhone, et je parierais que la moitié des plus hauts responsables et de leurs associés dans tous les autres pays lisaient ces tweets sur leurs propres iPhones (peut-être sur un parcours de golf).
Que nous le voulions ou non, les adversaires et les alliés partagent un environnement commun et, chaque jour qui passe, nous devenons de plus en plus dépendants d'appareils qui exécutent un code commun.
L'idée selon laquelle les grandes puissances de notre époque - l'Amérique, la Chine, la Russie, voire Israël - sont intéressées par l'atteinte d'une parité stratégique en matière de collecte de renseignements, par exemple en Azerbaïdjan, est, bien entendu, profondément erronée. Ces gouvernements n'ont tout simplement pas compris la menace.
4. Dans le domaine de la technologie comme dans celui de la santé publique, pour protéger quelqu'un, nous devons protéger tout le monde
Le premier pas dans cette direction - au moins le premier pas numérique - doit consister à interdire le commerce des logiciels d'intrusion. Nous n'autorisons pas le marché des infections bactériologiques en tant que service, et il doit en être de même pour les infections numériques. L'élimination de l'appât du gain réduit les risques de prolifération tout en protégeant le progrès, ce qui laisse de la place à la recherche publique et au travail gouvernemental par nature.
Si retirer les logiciels d'intrusion du marché commercial en prive aussi les États, alors les trafiquants de drogue imprudents et les producteurs hollywoodiens criminels sexuels ne seront pas en mesure d'infecter tous les iPhone de la planète, mettant ainsi en péril la classe Café Latte.
Après une interdiction, l'étape suivante est la responsabilité. Il est essentiel de comprendre que ni l'ampleur des activités du groupe NSO, ni les conséquences qu'il a infligées à la société mondiale n'auraient été possibles sans l'accès au capital mondial de sociétés amorales comme Novalpina Capital (Europe) et Francisco Partners (États-Unis). Le slogan est simple : si les entreprises ne sont pas cédées, leurs propriétaires doivent être stoppés. Le produit exclusif de cette industrie est un préjudice intentionnel et prévisible, et ces entreprises en sont des complices consentants. En outre, lorsqu'on découvre qu'une entreprise se livre à de telles activités sous la direction d'un État, la responsabilité devrait dépasser les codes civils et pénaux pour susciter une réponse internationale coordonnée.
5. Imaginez que vous êtes le comité de rédaction du Washington Post (mais débarrassez-vous d'abord de votre conscience)
La réponse du Post au scandale de NSO est si embarrassante qu'elle constitue un scandale en soi : combien de leurs rédacteurs doivent-ils mourir pour comprendre que le processus ne remplace pas la prohibition ?
L'Arabie saoudite, à l'aide de "Pegasus", a piraté les téléphones de l'ex-femme de Jamal Khashoggi, et de sa fiancée, et a utilisé les informations pour préparer son meurtre monstrueux et sa dissimulation ultérieure.
Mais Khashoggi n'a été que la plus visible des victimes de Pegasus en raison du caractère sanglant et macabre de son meurtre. Le "produit" (lire : "service criminel") du groupe NSO a été utilisé pour espionner d'innombrables autres journalistes, juges, et même des enseignants. Les candidats de l'opposition, les conjoints et enfants des personnes visées, leurs médecins, avocats et même leurs prêtres. Voilà ce que ceux qui pensent qu'une interdiction est "trop extrême" oublient toujours : cette industrie vend la possibilité d'abattre les journalistes que vous n'aimez pas à la station de lavage.
Si nous ne faisons rien pour arrêter la vente de ces technologies, il n'y aura pas que 50 000, mais 50 millions de cibles, et cela se produira beaucoup plus vite que nous ne le pensons.
Tel sera l'avenir : un monde de gens trop occupés à jouer avec leur téléphone pour remarquer que quelqu'un les contrôle.
Traduit par Spirit of Free Speech