Alexandre Debant et Lucca Hirschi, membres du projet PESTO (pour « Proof techniques for security protocols ») d’INRIA à l’université de Lorraine, ont été récompensés pour leur article « Reversing, Breaking, and Fixing the French Legislative Election E-Voting Protocol ».

Le prix CNIL – Inria pour la protection de la protection de la vie privée « récompense des équipes de chercheurs situées au moins en partie dans l’Union européenne et qui travaillent à l’amélioration de la protection des données personnelles ou de la vie privée », rappelle la CNIL.

Il s’agit à la fois de rendre les enjeux afférents, et les solutions pour les préserver, « plus visibles auprès du grand public », mais également de « sensibiliser la communauté scientifique et les décideurs » à ces questions.

Les co-présidents du Jury 2023, Catuscia Palemidessi (directrice de recherche à INRIA, l’Institut national de recherche en informatique et en automatique) et Vincent Toubiana (responsable du LINC, le Laboratoire d’Innovation Numérique de la CNIL), qui « se sont appuyés sur un jury de 32 chercheurs internationalement reconnus » ont remis leur prix lors de la 17e édition de la conférence internationale Computers Privacy and Data Protection (CPDP).

Présenté en 2023 à la conférence Usenix Security, leur article propose une « analyse technique pointue » de la solution de vote électronique mise en place lors des dernières élections législatives pour que les Français à l’étranger puissent voter.

Les auteurs avaient en effet « identifié plusieurs vulnérabilités et proposé des correctifs qui ont par la suite été déployés », ce qui a entraîné « des impacts très concrets sur l’intégrité et la confidentialité des votes ».

La CNIL précise qu’un second article a également recueilli les critiques très positives du jury : « Marketing to Children Through Online Targeted Advertising: Targeting Mechanisms and Legal Aspects » par Tinhinane Medjkoune, Oana Goga et Juliette Senechal.

Les autrices de cet article proposent en effet « une analyse juridique très claire de la législation qui entoure le ciblage publicitaire des mineurs puis, à la lumière de cette analyse, évaluent la possibilité de cibler des mineurs sur la plateforme de vidéo Youtube ».

Étrangement, la CNIL, qui renseigne les liens vers les profils des 32 membres du jury, ne fournit pas de liens vers les articles mis en avant, ni vers les profils des chercheurs et chercheuses dont il est pourtant question.

Alexandre Debant et Lucca Hirschi, membres du projet PESTO (pour « Proof techniques for security protocols ») d’INRIA à l’université de Lorraine, ont été récompensés pour leur article « Reversing, Breaking, and Fixing the French Legislative Election E-Voting Protocol ».

Le prix CNIL – Inria pour la protection de la protection de la vie privée « récompense des équipes de chercheurs situées au moins en partie dans l’Union européenne et qui travaillent à l’amélioration de la protection des données personnelles ou de la vie privée », rappelle la CNIL.

Il s’agit à la fois de rendre les enjeux afférents, et les solutions pour les préserver, « plus visibles auprès du grand public », mais également de « sensibiliser la communauté scientifique et les décideurs » à ces questions.

Les co-présidents du Jury 2023, Catuscia Palemidessi (directrice de recherche à INRIA, l’Institut national de recherche en informatique et en automatique) et Vincent Toubiana (responsable du LINC, le Laboratoire d’Innovation Numérique de la CNIL), qui « se sont appuyés sur un jury de 32 chercheurs internationalement reconnus » ont remis leur prix lors de la 17e édition de la conférence internationale Computers Privacy and Data Protection (CPDP).

Présenté en 2023 à la conférence Usenix Security, leur article propose une « analyse technique pointue » de la solution de vote électronique mise en place lors des dernières élections législatives pour que les Français à l’étranger puissent voter.

Les auteurs avaient en effet « identifié plusieurs vulnérabilités et proposé des correctifs qui ont par la suite été déployés », ce qui a entraîné « des impacts très concrets sur l’intégrité et la confidentialité des votes ».

La CNIL précise qu’un second article a également recueilli les critiques très positives du jury : « Marketing to Children Through Online Targeted Advertising: Targeting Mechanisms and Legal Aspects » par Tinhinane Medjkoune, Oana Goga et Juliette Senechal.

Les autrices de cet article proposent en effet « une analyse juridique très claire de la législation qui entoure le ciblage publicitaire des mineurs puis, à la lumière de cette analyse, évaluent la possibilité de cibler des mineurs sur la plateforme de vidéo Youtube ».

Étrangement, la CNIL, qui renseigne les liens vers les profils des 32 membres du jury, ne fournit pas de liens vers les articles mis en avant, ni vers les profils des chercheurs et chercheuses dont il est pourtant question.

Auditionné à l’Assemblée nationale, Gérald Darmanin, ministre de l’Intérieur, a indiqué qu’une coupure de la 5G, de la 4G et de la 3G avait aussi été envisagée en Nouvelle-Calédonie, relève BFMTech&Co :

« Il n’a pas été fait le choix, même si nous nous sommes posé la question, et comme l’évoquait le rapport sénatorial sur les émeutes, de baisser de 5G à 2G pour l’intégralité des réseaux sociaux. »

Blocage de TikTok en Nouvelle-Calédonie : Cette décision a été prise "sur la théorie des circonstances exceptionnelles" et "en lien avec le gouvernement de Nouvelle-Calédonie", indique @GDarmanin. "Il y a un recours en cours d'instruction au Conseil d'Etat."#DirectAN #TikTok pic.twitter.com/vai6UhIMHt

— LCP (@LCP) May 21, 2024

Le ministre fait référence à la proposition n° 12 du rapport sénatorial sur les émeutes de juin 2023, déposé en avril 2023 :

« Lorsque l’état d’urgence est déclaré en application de la loi du 3 avril 1955, permettre aux préfets de solliciter, pour une durée limitée, la désactivation de certaines fonctionnalités des applications de réseaux sociaux (géolocalisation, lives) – indépendantes de l’échange de communications écrites ou orales – en contexte émeutier. »

Couper les réseaux 5G, 4G et 3G revient en effet à « couper l’ensemble du réseau internet mobile », résume BFMTech&Co, tout en laissant active la 2G (également connue sous le terme de GSM) pour permettre les appels vocaux traditionnels et l’envoi de SMS.

« Faire tomber la 4G est très risqué, car il y a des effets collatéraux importants. Par exemple, cela peut affecter les paiements par carte bancaire, mais aussi les communications des forces de l’ordre ou des équipes médicales », précise à Tech&Co l’avocat spécialisé en droit du numérique Alexandre Archambault, qui souligne qu’il est aussi techniquement impossible de couper un réseau mobile dans le but de cibler l’accès à certains sites uniquement.

« Il existe des mécanismes de filtrage sur les équipements télécoms qui permettent de dégrader le trafic pour certains sites. En revanche, choisir de basculer en 2G, 3G, 4G ou 5G pour un site plutôt qu’un autre n’est à ma connaissance pas possible » ajoute Nicolas Guillaume, expert en télécoms et dirigeant de l’opérateur Netalis, auprès de Tech&Co.

Auditionné à l’Assemblée nationale, Gérald Darmanin, ministre de l’Intérieur, a indiqué qu’une coupure de la 5G, de la 4G et de la 3G avait aussi été envisagée en Nouvelle-Calédonie, relève BFMTech&Co :

« Il n’a pas été fait le choix, même si nous nous sommes posé la question, et comme l’évoquait le rapport sénatorial sur les émeutes, de baisser de 5G à 2G pour l’intégralité des réseaux sociaux. »

Blocage de TikTok en Nouvelle-Calédonie : Cette décision a été prise "sur la théorie des circonstances exceptionnelles" et "en lien avec le gouvernement de Nouvelle-Calédonie", indique @GDarmanin. "Il y a un recours en cours d'instruction au Conseil d'Etat."#DirectAN #TikTok pic.twitter.com/vai6UhIMHt

— LCP (@LCP) May 21, 2024

Le ministre fait référence à la proposition n° 12 du rapport sénatorial sur les émeutes de juin 2023, déposé en avril 2023 :

« Lorsque l’état d’urgence est déclaré en application de la loi du 3 avril 1955, permettre aux préfets de solliciter, pour une durée limitée, la désactivation de certaines fonctionnalités des applications de réseaux sociaux (géolocalisation, lives) – indépendantes de l’échange de communications écrites ou orales – en contexte émeutier. »

Couper les réseaux 5G, 4G et 3G revient en effet à « couper l’ensemble du réseau internet mobile », résume BFMTech&Co, tout en laissant active la 2G (également connue sous le terme de GSM) pour permettre les appels vocaux traditionnels et l’envoi de SMS.

« Faire tomber la 4G est très risqué, car il y a des effets collatéraux importants. Par exemple, cela peut affecter les paiements par carte bancaire, mais aussi les communications des forces de l’ordre ou des équipes médicales », précise à Tech&Co l’avocat spécialisé en droit du numérique Alexandre Archambault, qui souligne qu’il est aussi techniquement impossible de couper un réseau mobile dans le but de cibler l’accès à certains sites uniquement.

« Il existe des mécanismes de filtrage sur les équipements télécoms qui permettent de dégrader le trafic pour certains sites. En revanche, choisir de basculer en 2G, 3G, 4G ou 5G pour un site plutôt qu’un autre n’est à ma connaissance pas possible » ajoute Nicolas Guillaume, expert en télécoms et dirigeant de l’opérateur Netalis, auprès de Tech&Co.

La taca-taca-taca-tac-tactique du gendarme

Le gouvernement, conscient que le blocage peut être contourné par le recours au VPN, a décidé de ne pas « suspendre l’accès aux VPN » pour ne pas pénaliser les télétravailleurs. Et si Viginum a bel et bien constaté des « manœuvres informationnelles », c’est sur X.com et Facebook, pas TikTok.

Le Conseil d’État examinait ce mardi 21 mai les référés-liberté déposés par la Ligue des droits de l’homme (LDH), la Quadrature du Net, le Mouvement des jeunes Kanak en France (MJKF) et trois Néo-Calédoniens, contre la décision, prise par le gouvernement le 14 mai, de bloquer le réseau social TikTok en Nouvelle-Calédonie.

Un réseau très utilisé par la jeunesse de l’archipel, confirme à Libération à la sortie de l’audience Romuald Pidjot, secrétaire général adjoint de l’Union calédonienne présent dans le public qui, membre de la direction du Front de libération nationale kanak et socialiste (FLNKS), s’alarme d’une atteinte à « une liberté fondamentale, sur des justifications qui sont assez légères ».

• Blocage de TikTok en Nouvelle-Calédonie : quels sont les enjeux ?
• Le blocage de TikTok en Nouvelle-Calédonie attaqué en justice par la Quadrature et la LDH

Pour le reste, ça passe… pour le moment

Suite à l’adoption de la loi SREN, le Conseil constitutionnel avait été saisi par deux recours émanant de plus de soixante députés dans les deux cas (ici et là). S’il valide « plusieurs de ses dispositions » (une majorité même), il censure le délit d’outrage qui a largement fait parler de lui.

Le Conseil constitutionnel a validé l’essentiel du projet de loi visant à sécuriser et réguler l’espace numérique (SREN), mais censuré cinq de ses articles, dont quatre cavaliers législatifs (.pdf), relève Archimag.

• Loi SREN adoptée : comment la France va sécuriser et réguler l’espace numérique

Quatre cavaliers législatifs sautent

Un cavalier législatif « est une mesure introduite par un amendement dans une loi en préparation (projet ou proposition de loi) qui n’a aucun lien avec le texte en question », rappelle Vie Publique. Pour le Conseil constitutionnel, ils sont « irrégulièrement introduits dans la loi au regard de l’article 45 de la Constitution ».

Les quatre cavaliers censurés du projet de loi sont :

• l’article 10, qui « prévoyait d’abolir l’anonymat en ligne en créant, pour les Français, une identité numérique gratuite d’ici le 1er janvier 2027 », résume Archimag. Ce dernier omet de préciser que les amendements déposés par Paul Midy pour lever l’anonymat en ligne avaient finalement été retirés pour ne pas mettre en danger le vote final du texte. Dans le texte final, il ne restait donc que l’objectif que « 100 % des Français puissent avoir accès à une identité numérique gratuite ».
• l’article 11, qui planifiait la mise en place d’un service « agrégeant l’accès à l’ensemble des services publics nationaux et locaux, y compris les organismes de sécurité sociale et les organismes chargés des droits et des prestations sociales », tout en sécurisant la communication des données entre les administrations, les organismes et les collectivités territoriales ;
• l’article 18, qui comptait créer, à titre expérimental, un « dispositif de médiation des litiges de communication en ligne » offrant la possibilité aux utilisateurs de réseaux sociaux en ligne de « recourir gratuitement à un médiateur en vue de la résolution amiable du litige qui les oppose à un autre utilisateur du fait d’un contenu » ;
• l’article 58, qui entendait modifier le code des relations entre le public et l’administration, en faisant appel au comité du secret statistique lorsque l’administration envisage de refuser de faire droit à certaines demandes de consultation de documents administratifs, ou qu’elles impliquent l’interconnexion de plusieurs bases de données.

Le « délit d’outrage en ligne » dans les limbes

Le Conseil constitutionnel a par ailleurs censuré l’article 19 du projet de loi, qui proposait de créer un « délit d’outrage en ligne » pouvant être sanctionné d’une amende forfaitaire délictuelle (AFD) de 300 euros. Au-delà de l’AFD, ce délit était passible d’une amende de 3 750 euros et d’une peine d’emprisonnement d’un an.

Ce nouveau délit visait à sanctionner la diffusion en ligne de « tout contenu qui, soit porte atteinte à la dignité d’une personne ou présente à son égard un caractère injurieux, dégradant ou humiliant, soit créé à son encontre une situation intimidante, hostile ou offensante ». Une notion jugée par certains comme très (trop) subjective. « Or, en matière pénale, les infractions doivent être précisément rédigées pour éviter l’arbitraire », expliquait un avocat.

La mesure, qui avait été attaquée par deux saisines de La France insoumise et du Rassemblement national, a été jugée par le Conseil constitutionnel comme portant « atteinte à l’exercice de la liberté d’expression et de communication qui n’est pas nécessaire, adaptée et proportionnée ». Les sages estiment en effet que « les dispositions contestées font dépendre la caractérisation de l’infraction de l’appréciation d’éléments subjectifs tenant à la perception de la victime ».

L’ombre de l’Europe plane toujours sur la loi SREN

Archimag rappelle que la Commission européenne avait de son côté émis quelques réserves sur le projet de loi SREN dans deux avis successifs d’octobre 2023 et de janvier 2024, concernant sa légalité au regard du droit européen.

Au-delà de cette censure partielle du Conseil constitutionnel, la Commission doit encore décider si le projet de loi SREN est conforme, ou pas, au droit européen, notamment avec le Digital Services Act (DSA) et la directive européenne de 2000 sur le commerce électronique, « exposant donc la France à des sanctions auprès de la Cour de justice de l’Union européenne », conclut Archimag.

Une « parade » (pour reprendre le terme utilisé par La Quadrature du Net) avait pour rappel été trouvée par la France pour « s’affranchir des règles européennes qui s’imposent normalement à elle » : certaines parties de la loi ne concernent que les sites français et extra-européens. Cela concernait notamment la vérification d’âge à l’entrée des sites pornos et de mesures pour l’encadrement des frais dans le cloud.

Comme le rappelle Vie Publique : « le droit de l’Union européenne prime sur le droit national, y compris les dispositions constitutionnelles ». Attendons donc de voir la réaction de la Commission européenne, qui pourrait que moyennement apprécier la pirouette française. Le Conseil constitutionnel n’a par contre pas censuré ces dispositions.

Pour le reste, ça passe… pour le moment

Suite à l’adoption de la loi SREN, le Conseil constitutionnel avait été saisi par deux recours émanant de plus de soixante députés dans les deux cas (ici et là). S’il valide « plusieurs de ses dispositions » (une majorité même), il censure le délit d’outrage qui a largement fait parler de lui.

Le Conseil constitutionnel a validé l’essentiel du projet de loi visant à sécuriser et réguler l’espace numérique (SREN), mais censuré cinq de ses articles, dont quatre cavaliers législatifs (.pdf), relève Archimag.

• Loi SREN adoptée : comment la France va sécuriser et réguler l’espace numérique

Quatre cavaliers législatifs sautent

Un cavalier législatif « est une mesure introduite par un amendement dans une loi en préparation (projet ou proposition de loi) qui n’a aucun lien avec le texte en question », rappelle Vie Publique. Pour le Conseil constitutionnel, ils sont « irrégulièrement introduits dans la loi au regard de l’article 45 de la Constitution ».

Les quatre cavaliers censurés du projet de loi sont :

• l’article 10, qui « prévoyait d’abolir l’anonymat en ligne en créant, pour les Français, une identité numérique gratuite d’ici le 1er janvier 2027 », résume Archimag. Ce dernier omet de préciser que les amendements déposés par Paul Midy pour lever l’anonymat en ligne avaient finalement été retirés pour ne pas mettre en danger le vote final du texte. Dans le texte final, il ne restait donc que l’objectif que « 100 % des Français puissent avoir accès à une identité numérique gratuite ».
• l’article 11, qui planifiait la mise en place d’un service « agrégeant l’accès à l’ensemble des services publics nationaux et locaux, y compris les organismes de sécurité sociale et les organismes chargés des droits et des prestations sociales », tout en sécurisant la communication des données entre les administrations, les organismes et les collectivités territoriales ;
• l’article 18, qui comptait créer, à titre expérimental, un « dispositif de médiation des litiges de communication en ligne » offrant la possibilité aux utilisateurs de réseaux sociaux en ligne de « recourir gratuitement à un médiateur en vue de la résolution amiable du litige qui les oppose à un autre utilisateur du fait d’un contenu » ;
• l’article 58, qui entendait modifier le code des relations entre le public et l’administration, en faisant appel au comité du secret statistique lorsque l’administration envisage de refuser de faire droit à certaines demandes de consultation de documents administratifs, ou qu’elles impliquent l’interconnexion de plusieurs bases de données.

Le « délit d’outrage en ligne » dans les limbes

Le Conseil constitutionnel a par ailleurs censuré l’article 19 du projet de loi, qui proposait de créer un « délit d’outrage en ligne » pouvant être sanctionné d’une amende forfaitaire délictuelle (AFD) de 300 euros. Au-delà de l’AFD, ce délit était passible d’une amende de 3 750 euros et d’une peine d’emprisonnement d’un an.

Ce nouveau délit visait à sanctionner la diffusion en ligne de « tout contenu qui, soit porte atteinte à la dignité d’une personne ou présente à son égard un caractère injurieux, dégradant ou humiliant, soit créé à son encontre une situation intimidante, hostile ou offensante ». Une notion jugée par certains comme très (trop) subjective. « Or, en matière pénale, les infractions doivent être précisément rédigées pour éviter l’arbitraire », expliquait un avocat.

La mesure, qui avait été attaquée par deux saisines de La France insoumise et du Rassemblement national, a été jugée par le Conseil constitutionnel comme portant « atteinte à l’exercice de la liberté d’expression et de communication qui n’est pas nécessaire, adaptée et proportionnée ». Les sages estiment en effet que « les dispositions contestées font dépendre la caractérisation de l’infraction de l’appréciation d’éléments subjectifs tenant à la perception de la victime ».

L’ombre de l’Europe plane toujours sur la loi SREN

Archimag rappelle que la Commission européenne avait de son côté émis quelques réserves sur le projet de loi SREN dans deux avis successifs d’octobre 2023 et de janvier 2024, concernant sa légalité au regard du droit européen.

Au-delà de cette censure partielle du Conseil constitutionnel, la Commission doit encore décider si le projet de loi SREN est conforme, ou pas, au droit européen, notamment avec le Digital Services Act (DSA) et la directive européenne de 2000 sur le commerce électronique, « exposant donc la France à des sanctions auprès de la Cour de justice de l’Union européenne », conclut Archimag.

Une « parade » (pour reprendre le terme utilisé par La Quadrature du Net) avait pour rappel été trouvée par la France pour « s’affranchir des règles européennes qui s’imposent normalement à elle » : certaines parties de la loi ne concernent que les sites français et extra-européens. Cela concernait notamment la vérification d’âge à l’entrée des sites pornos et de mesures pour l’encadrement des frais dans le cloud.

Comme le rappelle Vie Publique : « le droit de l’Union européenne prime sur le droit national, y compris les dispositions constitutionnelles ». Attendons donc de voir la réaction de la Commission européenne, qui pourrait que moyennement apprécier la pirouette française. Le Conseil constitutionnel n’a par contre pas censuré ces dispositions.

Spys VS Spys

Les ONG, think-tanks, défenseurs des droits humains et leurs employés, ainsi que les journalistes, feraient partie des « groupes les plus ciblés » par les acteurs malveillants parrainés par des États (APT), et leurs mercenaires. Les autorités anglo-saxonnes, en guerre contre leurs « logiciels espion », expliquent comment tenter de s’en protéger.

Les autorités en charge de la cybersécurité des États-Unis, du Canada, de l’Estonie, du Japon, de la Finlande et du Royaume-Uni viennent de publier (.pdf) leurs « conseils à l’intention des communautés à haut risque » afin d’aider les personnes et organisations de la société civile ne disposant que de « ressources limitées » à « atténuer les menaces ».

Le guide relève que des organisations non gouvernementales (ONG) et de défense des droits humains, « et leur personnel », ainsi que des journalistes, « notamment », sont « souvent la cible des acteurs malveillants parrainés par des États » (ou « Advanced Persistant Threats (APT) », en VO) qui « cherchent à porter atteinte aux valeurs et aux intérêts démocratiques » :

« Plus précisément, ils ciblent principalement les organisations et leur personnel en ligne en vue d’exercer une contrainte et de faire de l’intimidation, du harcèlement et de la surveillance, que l’on peut qualifier de répression numérique transnationale. »

Ils chercheraient dès lors à « compromettre leurs dispositifs et réseaux organisationnels et personnels pour intimider, museler, contraindre ou harceler organisations et personnalités de la société civile, ou leur porter préjudice ».

« Pour ce faire, ils ont souvent recours à des logiciels espion », conclut l’introduction du guide. Ce dernier entend fournir des recommandations pour aider les organisations et personnes « à haut risque » à atténuer ce type de « cybermenaces courantes » parrainées par des États, « sur la base des comportements malveillants observés ».

L’industrie constate une intensification des cybermenaces politiques

One more time

Julian Assange a « remporté une victoire », estiment ses défenseurs. Il a en tout cas obtenu un sursis dans sa lutte contre son extradition du Royaume-Uni, les juges de la Haute Cour de Londres lui ayant accordé l’autorisation de faire appel.

Fin mars, les deux juges de la Haute Cour de Londres avaient donné un délai à la justice états-unienne pour garantir que le fondateur de WikiLeaks bénéficierait, en cas d’extradition, de la protection due aux journalistes pour certaines des accusations le visant. Mais aussi de la protection accordée par le premier amendement.

• Extradition de Julian Assange : Londres demande des garanties aux États-Unis et temporise

Les (éventuelles) nouvelles assurances états-uniennes devaient être examinées par la Haute Cour de justice ce lundi 20 mai. Or, résume The Guardian, les avocats des États-Unis n’ont pas réussi à convaincre les juges que leur pays pourrait fournir à Julian Assange les garanties appropriées qu’il sera :

« autorisé à invoquer le premier amendement, que le requérant ne sera pas lésé lors du procès, y compris lors de la condamnation, en raison de sa nationalité, qu’il bénéficiera des mêmes protections du premier amendement qu’un citoyen américain, et que la peine de mort ne sera pas prononcée. »

Une « victoire » pour les défenseurs de Julian Assange

L’équipe de défense de Julian Assange n’a pas contesté l’assurance états-unienne qu’il ne risquait pas la peine de mort, reconnaissant qu’il s’agissait d’une « promesse non ambiguë de l’exécutif ». A contrario, la justice américaine a reconnu que Julian Assange pourrait se prévaloir du premier amendement, mais sans promettre qu’il pourrait en bénéficier, relève Le Monde.

La justice britannique n’ayant pas estimé que des garanties suffisantes avaient été apportées, Julian Assange pourra donc bénéficier d’une audience pour faire appel, sur le fond, de son extradition.

Stella Assange addressing the crowd following Monday's UK court hearing granting an appeal for Julian Assange: “Now is the moment to drop this case…this case is shameful and it is taking an enormous toll on Julian" #FreeAssangeNOW pic.twitter.com/CzT62FIghs

— WikiLeaks (@wikileaks) May 20, 2024

Les soutiens de WikiLeaks se sont succédé au micro, en ce début d’après-midi, pour célébrer ce qu’ils qualifient de « victoire ». Ils se félicitent que la Justice britannique refuse, elle aussi, de « croire » les assurances apportées par les USA.

« Trop, c’est trop » : l’Australie demande un abandon des charges

Ils appellent également Joe Biden, à l’instar d’une vingtaine d’ONG – dont Amnesty International, Human Rights Watch et RSF – à abandonner les poursuites visant le fondateur australien de WikiLeaks.

Le mois dernier, le président américain avait en effet indiqué que son administration avait accepté d’examiner la demande faite par l’Australie d’un abandon des poursuites contre son célèbre ressortissant.

Le Parlement australien avait adopté une motion demandant d’y mettre un terme. Le texte avance que « le gouvernement australien et l’opposition ont déclaré publiquement que cette affaire dure depuis trop longtemps », et « souligne l’importance pour le Royaume-Uni et les États-Unis de mettre un terme à cette affaire afin que M. Assange puisse rentrer chez lui dans son pays ».

« Cette affaire ne peut pas durer indéfiniment », avait déclaré le Premier ministre australien, Anthony Albanese, soulignant que les Australiens de tous bords sont d’accord pour dire que « trop c’est trop », et indiquant avoir soulevé le cas de M. Assange « au plus haut niveau » en Grande-Bretagne et aux États-Unis.

• Julian Assange ne doit pas « mourir aux USA », plaident de nombreuses personnalités et ONG

Enfermé depuis 12 ans, incarcéré depuis 5 ans

Si la justice britannique l’envoie finalement aux États-Unis, il lui restera un dernier recours : saisir la Cour européenne des droits de l’Homme. Celle-ci peut, en cas de « risque imminent de dommage irréparable », prononcer des « mesures provisoires », telle une suspension d’extradition, rappelle Libération.

Sous le coup de 18 chefs d’inculpation, dont 17 au titre de l’Espionage Act de 1917, Julian Assange encourt jusqu’à 175 ans de prison, et probablement « au moins 30 à 40 ans » d’après ses avocats. Les procureurs américains avaient de leur côté déclaré que ce ne serait « pas plus de 63 mois » [ndlr : 5 ans et 3 mois].

L’Australien de 52 ans, dont la santé (y compris psychique) n’a cessé de se détériorer ces dernières années, est enfermé depuis 12 ans : de 2012 à 2019 dans l’ambassade d’Équateur à Londres, où il s’était réfugié après avoir brisé le bracelet électronique qu’il devait porter depuis fin 2010, et dans la prison de haute sécurité de Belmarsh depuis cinq ans.

One more time

Julian Assange a « remporté une victoire », estiment ses défenseurs. Il a en tout cas obtenu un sursis dans sa lutte contre son extradition du Royaume-Uni, les juges de la Haute Cour de Londres lui ayant accordé l’autorisation de faire appel.

Fin mars, les deux juges de la Haute Cour de Londres avaient donné un délai à la justice états-unienne pour garantir que le fondateur de WikiLeaks bénéficierait, en cas d’extradition, de la protection due aux journalistes pour certaines des accusations le visant. Mais aussi de la protection accordée par le premier amendement.

• Extradition de Julian Assange : Londres demande des garanties aux États-Unis et temporise

Les (éventuelles) nouvelles assurances états-uniennes devaient être examinées par la Haute Cour de justice ce lundi 20 mai. Or, résume The Guardian, les avocats des États-Unis n’ont pas réussi à convaincre les juges que leur pays pourrait fournir à Julian Assange les garanties appropriées qu’il sera :

« autorisé à invoquer le premier amendement, que le requérant ne sera pas lésé lors du procès, y compris lors de la condamnation, en raison de sa nationalité, qu’il bénéficiera des mêmes protections du premier amendement qu’un citoyen américain, et que la peine de mort ne sera pas prononcée. »

Une « victoire » pour les défenseurs de Julian Assange

L’équipe de défense de Julian Assange n’a pas contesté l’assurance états-unienne qu’il ne risquait pas la peine de mort, reconnaissant qu’il s’agissait d’une « promesse non ambiguë de l’exécutif ». A contrario, la justice américaine a reconnu que Julian Assange pourrait se prévaloir du premier amendement, mais sans promettre qu’il pourrait en bénéficier, relève Le Monde.

La justice britannique n’ayant pas estimé que des garanties suffisantes avaient été apportées, Julian Assange pourra donc bénéficier d’une audience pour faire appel, sur le fond, de son extradition.

Stella Assange addressing the crowd following Monday's UK court hearing granting an appeal for Julian Assange: “Now is the moment to drop this case…this case is shameful and it is taking an enormous toll on Julian" #FreeAssangeNOW pic.twitter.com/CzT62FIghs

— WikiLeaks (@wikileaks) May 20, 2024

Les soutiens de WikiLeaks se sont succédé au micro, en ce début d’après-midi, pour célébrer ce qu’ils qualifient de « victoire ». Ils se félicitent que la Justice britannique refuse, elle aussi, de « croire » les assurances apportées par les USA.

« Trop, c’est trop » : l’Australie demande un abandon des charges

Ils appellent également Joe Biden, à l’instar d’une vingtaine d’ONG – dont Amnesty International, Human Rights Watch et RSF – à abandonner les poursuites visant le fondateur australien de WikiLeaks.

Le mois dernier, le président américain avait en effet indiqué que son administration avait accepté d’examiner la demande faite par l’Australie d’un abandon des poursuites contre son célèbre ressortissant.

Le Parlement australien avait adopté une motion demandant d’y mettre un terme. Le texte avance que « le gouvernement australien et l’opposition ont déclaré publiquement que cette affaire dure depuis trop longtemps », et « souligne l’importance pour le Royaume-Uni et les États-Unis de mettre un terme à cette affaire afin que M. Assange puisse rentrer chez lui dans son pays ».

« Cette affaire ne peut pas durer indéfiniment », avait déclaré le Premier ministre australien, Anthony Albanese, soulignant que les Australiens de tous bords sont d’accord pour dire que « trop c’est trop », et indiquant avoir soulevé le cas de M. Assange « au plus haut niveau » en Grande-Bretagne et aux États-Unis.

• Julian Assange ne doit pas « mourir aux USA », plaident de nombreuses personnalités et ONG

Enfermé depuis 12 ans, incarcéré depuis 5 ans

Si la justice britannique l’envoie finalement aux États-Unis, il lui restera un dernier recours : saisir la Cour européenne des droits de l’Homme. Celle-ci peut, en cas de « risque imminent de dommage irréparable », prononcer des « mesures provisoires », telle une suspension d’extradition, rappelle Libération.

Sous le coup de 18 chefs d’inculpation, dont 17 au titre de l’Espionage Act de 1917, Julian Assange encourt jusqu’à 175 ans de prison, et probablement « au moins 30 à 40 ans » d’après ses avocats. Les procureurs américains avaient de leur côté déclaré que ce ne serait « pas plus de 63 mois » [ndlr : 5 ans et 3 mois].

L’Australien de 52 ans, dont la santé (y compris psychique) n’a cessé de se détériorer ces dernières années, est enfermé depuis 12 ans : de 2012 à 2019 dans l’ambassade d’Équateur à Londres, où il s’était réfugié après avoir brisé le bracelet électronique qu’il devait porter depuis fin 2010, et dans la prison de haute sécurité de Belmarsh depuis cinq ans.

Un droit de Rogard

La société chargée de collecter la redevance au profit des ayants-droit leur avait réclamé un paiement rétroactif de 14 € par terminal reconditionné vendu depuis 2015. Le tribunal l’a condamnée à 12 000 euros d’amendes et au remboursement de 105 000 € de frais de justice.

Dans un communiqué (.pdf) en date du 7 mai, le Pôle activité économique et commerciale de la présidence du tribunal judiciaire de Paris revient sur ce pourquoi les reconditionneurs n’auront pas à payer de redevance copie privée pour les téléphones vendus avant le 1er juillet 2021, comme le réclamait initialement Copie France.

Le communiqué fait suite à trois décisions relatives à la « rémunération pour copie privée » appliquée aux téléphones reconditionnés prises la 3e chambre du tribunal judiciaire de Paris le 26 avril dernier, et révélées par L’Informé.

La société Copie France, chargée de percevoir la redevance au profit des ayants-droit via leurs organismes de gestion collective de droits d’auteur et de droits voisins (et dont Pascal Rogard, directeur général de la SACD depuis 2004, est le rapporteur général), avait en effet engagé des procès contre « un grand nombre » de vendeurs de produits reconditionnés à partir de 2020, de sorte d’obtenir le paiement de redevances « égales à celle des produits neufs », souligne le communiqué.

La loi ne réclame de redevance qu’aux fabricants et importateurs

Breached, again

Le principal forum anglophone d’échange et de vente de données volées a, pour la troisième fois en trois ans, été saisi par les autorités. Il venait de mettre en vente des données issues d’Europol, et trois exploits 0day.

BreachForums, le forum anglophone de partage et de vente de violations de données personnelles, a de nouveau été saisi par les autorités américaines, dans le cadre d’une enquête internationale impliquant les polices du Royaume-Uni, de Nouvelle-Zélande, d’Australie, de Suisse, de l’Ukraine et de l’Islande, rapportent H4ckManac et de nombreux observateurs des forums cybercriminels.

Cette saisie intervient peu après qu’IntelBroker, un acteur de la menace russe arborant un avatar nazi et devenu modérateur de BreachForums, y ait mis en vente la semaine passée des données volées via le portail Europol Platform for Experts (EPE), précise DataBreaches.

L’EPE est une plateforme en ligne que les experts des services répressifs utilisent pour « partager leurs connaissances, leurs meilleures pratiques et des données non personnelles sur la criminalité ». Le portail affiche encore, à ce jour, qu’il est « actuellement en maintenance ».

Europol avait confirmé la compromission des données du portail auprès de BleepingComputer, précisant que le ou les attaquants s’étaient probablement introduits en utilisant des informations d’identification volées :

« Aucune information opérationnelle n’est traitée sur cette application EPE. Aucun système central d’Europol n’est affecté et, par conséquent, aucune donnée opérationnelle d’Europol n’a été compromise. »

IntelBroker affirme également avoir compromis la plateforme SIRIUS utilisée pour accéder à des preuves électroniques transfrontalières dans le cadre d’enquêtes et de procédures pénales par les autorités judiciaires et policières de 47 pays, dont les États membres de l’UE, le Royaume-Uni, les pays ayant conclu un accord de coopération avec Eurojust et le Parquet européen (EPPO).

Aucun des documents de l’échantillon ne portait de mention de classification, mais certains étaient tamponnés « For Official Use Only (FOUO) ».

Trois exploits 0days avaient également été mis en vente sur BreachForums par un utilisateur se faisant appeler Cvsp, souligne DataBreaches. L’une des annonces concernait un exploit VMware ESXi VME (au prix de 1,3 million de dollars), l’autre un exploit Windows LPE (pour 150 000 dollars) et la troisième un exploit Outlook RCE (mis à prix : 1,7 million de dollars).

20 ans de liberté surveillée, 1 an privé d’Internet

Pinned

Accusé d’être le développeur et administrateur du rançongiciel LockBit, le Russe de 31 ans avait laissé de nombreuses traces révélant qu’il avait commencé à développer des logiciels malveillants dès l’âge de 18 ans, avant de se spécialiser dans les ransomwares sophistiqués codés en C et C++.

Les autorités britanniques et états-uniennes, pas plus qu’Europol, n’ont expliqué comment elles étaient arrivées à identifier Dmitry Yuryevich Khoroshev comme le principal développeur et administrateur du rançongiciel LockBit.

• Le créateur du rançongiciel LockBit serait un Russe de 31 ans

Pour autant, relève le journaliste Brian Krebs, connu pour documenter la cybercriminalité, le département du Trésor lui a associé deux adresses e-mail, un portefeuille Bitcoin, deux numéros de passeport russe, sa date de naissance (17 avril 1993) et même son numéro d’identification fiscale.

Une recherche dans la base de données de Constella (un « data lake » de 1 trillion – soit un million de millions, ou 1 000 000 000 000 – d’actifs compromis) permet par ailleurs de découvrir de nombreux documents officiels du gouvernement russe liés à Dmitri Yurievich Khoroshev. On y trouve aussi deux adresses email ayant fait de la publicité pour la vente d’escaliers en bois (webmaster@stairwell.ru et admin@stairwell.ru), qui utilisaient le même mot de passe : 225948.

DomainTools indique que le site stairwell.ru a été rattaché pendant plusieurs années à un certain « Dmitrij Ju Horoshev » et à l’adresse électronique pin@darktower.su. Selon Constella, cette dernière a été utilisée en 2010 par un certain Dmitry Yurievich Khoroshev de Voronezh, en Russie, pour enregistrer un compte chez le fournisseur d’hébergement firstvds.ru.

De Khoroshev à Pin puis NeroWolfe

La NSA sur un petit nuage

Jusqu’alors réservée aux seules compagnies de téléphonie et aux fournisseurs de services Internet états-uniens, l’obligation de surveiller certaines « communications de non-Américains à l’étranger » à la demande du renseignement US, y compris s’ils communiquent avec des Américains, aurait été étendue aux data centers.

Pour rappel, la Section 702 du Foreign Intelligence Surveillance Act (FISA) autorise la NSA, voire le FBI, à accéder aux « communications de non-Américains à l’étranger », y compris s’ils communiquent avec des Américains.

Jusqu’alors, seuls les compagnies de téléphonie et fournisseurs de services Internet étaient contraints de répondre aux demandes FISA, en tant qu’« electronic communication service provider » (ECSP).

Or, le périmètre des ECSP a récemment été élargi et concerne désormais « tout autre fournisseur de services ayant accès à des équipements qui sont ou peuvent être utilisés pour transmettre ou stocker des communications filaires ou électroniques », ainsi que leurs « custodians » (que l’on pourrait traduire par « gardiens », ou « dépositaires »), et non plus seulement leurs « employés ».

• L’extension des prestataires américains devant collaborer avec la NSA fait polémique
• Aux USA, la surveillance des communications d’étrangers sans mandat (FISA) fait débat

Le nombre d’entreprises concernées serait « extrêmement faible »

Des documents judiciaires obtenus par TechCrunch indiquent que la police espagnole a réussi à identifier un activiste sous pseudonyme grâce à des informations transmises par les messageries chiffrées Wire et Proton.

Enquêtant sur les personnes impliquées dans le mouvement indépendantiste en Catalogne, la Guardia Civil a en effet demandé, par l’intermédiaire de la police suisse, « toutes les informations d’identification » liées à certains comptes Wire et Proton.

Ses demandes, qui mentionnaient le « crime organisé » et le « terrorisme » comme motifs de l’enquête, visaient à « découvrir qui sont les auteurs des faits qui se sont déroulés lors des émeutes de rue en Catalogne en 2019 ».

En réponse, Wire lui a transmis l’adresse email Proton utilisée par l’un des utilisateurs de sa messagerie, et Proton son adresse email de récupération, liée à un compte iCloud. Les documents obtenus par TechCrunch montrent qu’Apple, sollicitée à son tour, lui a alors « fourni un nom complet, deux adresses personnelles et un compte Gmail lié », précise TechCrunch.

« Proton n’exige pas d’adresse de récupération, mais dans ce cas, le terroriste présumé en a ajouté une de son propre chef », a déclaré le porte-parole de Proton dans le courriel. « Nous ne pouvons pas chiffrer ces données car nous devons être en mesure d’envoyer un courriel à cette adresse si le suspect terroriste souhaite lancer le processus de récupération », a ajouté la société.

« Ces informations peuvent en théorie être demandées par les autorités suisses dans les cas de terrorisme, et cette décision est généralement prise par l’Office fédéral de la justice suisse. Proton fournit la confidentialité par défaut et non l’anonymat par défaut, parce que l’anonymat nécessite certaines actions de l’utilisateur pour assurer une [sécurité opérationnelle] appropriée, comme ne pas ajouter votre compte Apple comme méthode de récupération optionnelle, ce qui semble avoir été fait par le suspect terroriste présumé. »

Proton précise en effet, dans sa section Support, que « Proton n’a pas accès à votre mot de passe, nous ne pouvons donc pas le réinitialiser si vous l’oubliez ou le perdez » :

« Si vous ne définissez aucun moyen de récupérer votre compte Proton et que vous oubliez votre mot de passe, vous perdrez l’accès à votre compte et à tous vos courriels, contacts et autres fichiers chiffrés. »

Des documents judiciaires obtenus par TechCrunch indiquent que la police espagnole a réussi à identifier un activiste sous pseudonyme grâce à des informations transmises par les messageries chiffrées Wire et Proton.

Enquêtant sur les personnes impliquées dans le mouvement indépendantiste en Catalogne, la Guardia Civil a en effet demandé, par l’intermédiaire de la police suisse, « toutes les informations d’identification » liées à certains comptes Wire et Proton.

Ses demandes, qui mentionnaient le « crime organisé » et le « terrorisme » comme motifs de l’enquête, visaient à « découvrir qui sont les auteurs des faits qui se sont déroulés lors des émeutes de rue en Catalogne en 2019 ».

En réponse, Wire lui a transmis l’adresse email Proton utilisée par l’un des utilisateurs de sa messagerie, et Proton son adresse email de récupération, liée à un compte iCloud. Les documents obtenus par TechCrunch montrent qu’Apple, sollicitée à son tour, lui a alors « fourni un nom complet, deux adresses personnelles et un compte Gmail lié », précise TechCrunch.

« Proton n’exige pas d’adresse de récupération, mais dans ce cas, le terroriste présumé en a ajouté une de son propre chef », a déclaré le porte-parole de Proton dans le courriel. « Nous ne pouvons pas chiffrer ces données car nous devons être en mesure d’envoyer un courriel à cette adresse si le suspect terroriste souhaite lancer le processus de récupération », a ajouté la société.

« Ces informations peuvent en théorie être demandées par les autorités suisses dans les cas de terrorisme, et cette décision est généralement prise par l’Office fédéral de la justice suisse. Proton fournit la confidentialité par défaut et non l’anonymat par défaut, parce que l’anonymat nécessite certaines actions de l’utilisateur pour assurer une [sécurité opérationnelle] appropriée, comme ne pas ajouter votre compte Apple comme méthode de récupération optionnelle, ce qui semble avoir été fait par le suspect terroriste présumé. »

Proton précise en effet, dans sa section Support, que « Proton n’a pas accès à votre mot de passe, nous ne pouvons donc pas le réinitialiser si vous l’oubliez ou le perdez » :

« Si vous ne définissez aucun moyen de récupérer votre compte Proton et que vous oubliez votre mot de passe, vous perdrez l’accès à votre compte et à tous vos courriels, contacts et autres fichiers chiffrés. »

USA vs Chine : S05E04

Énième épisode dans la série États-Unis vs Chine. Le gouvernement américain aurait davantage fermé les vannes sur les exportations de puces vers Huawei. Les deux pays se livrent une guerre froide sur fonds de sécurité nationale depuis maintenant plusieurs années.

2019 – 2024 : la guerre froide continue

Pour rappel, Huawei a été placé sur liste noire par les États-Unis suite à la signature d’un décret par Donald Trump en mai 2019. Il était alors question d’interdire aux groupes américains de faire des affaires avec le chinois Huawei. Des risques sur la sécurité nationale étaient mis en avant. « Les entreprises américaines peuvent vendre leur équipement à Huawei […] Nous parlons là d’équipement qui ne pose pas de grand problème de sécurité nationale », précisait alors le président des États-Unis.

Fin 2022, la guerre froide continuait de plus belle avec l’interdiction d’exporter les produits « hautes performances » pour l’IA, la défense, les supercalculateurs, les équipements pour fabriquer des semi-conducteurs, etc. Les USA souhaitaient ainsi garder leur avance technologique. De son côté, la Chine a un plan pour se débarrasser des technologies américaines. Elle a même banni AMD, Intel et Microsoft de ses administrations.

• Les États-Unis bloquent les exportations de semi-conducteurs et de puces vers la Chine
• Guerre froide technologique : la Chine bannit AMD, Intel et Windows de ses administrations

Un jeu du chat et de la souris s’est mis en place, notamment du côté des GPU NVIDIA. Malgré l’embargo, la Chine continuait à s’en procurer en ce début d’année, tandis que des GPU spéciaux pour la Chine était proposée par NVIDIA, afin de pouvoir continuer à en vendre.

Nouveau tour de vis de l‘administration Biden

C’est dans un marché déjà bien verrouillé que le gouvernement de Biden a révoqué les licences d’exportation permettant à Intel et Qualcomm de continuer à fournir certains semi-conducteurs à Huawei, révèle le Financial Times. Cette décision du ministère américain du Commerce entraverait la fourniture de puces pour les ordinateurs portables et les téléphones mobiles de Huawei, précisent des personnes au fait de la situation.

Le discours est un peu toujours le même : « Nous évaluons en permanence la manière dont nos contrôles peuvent protéger au mieux notre sécurité nationale et nos intérêts en matière de politique étrangère, en tenant compte de l’évolution constante des menaces et du paysage technologique », a déclaré un porte-parole du ministère. « Dans le cadre de ce processus, comme nous l’avons fait par le passé, nous révoquons parfois des licences d’exportation ».

Cette décision intervient alors que les États-Unis s’alarment de la capacité de Huawei à développer ses propres puces en dépit des contrôles à l’exportation mis en place depuis 2022, souligne le FT. Lorsque la secrétaire d’État au commerce, Gina Raimondo, s’est rendue en Chine l’année dernière, Huawei avait en effet présenté son smartphone Mate 60 Pro, dont les performances avaient surpris les experts.

Marco Rubio, vice-président républicain de la commission sénatoriale du renseignement, et Elise Stefanik, quatrième républicaine de la Chambre des représentants, avaient demandé le mois dernier à Mme Raimondo de révoquer les licences de Huawei après l’apparition d’informations selon lesquelles le groupe basé à Shenzhen avait construit des ordinateurs portables utilisant des puces d’Intel. C’est le cas du dernier Matebook avec un Core-i9 13900H.

Un discours bien rodé depuis des années

Le mois dernier, le FT avait également rapporté que les États-Unis poussaient leurs alliés en Europe et en Asie à renforcer les restrictions sur les exportations de technologies liées aux puces vers la Chine, en raison des inquiétudes croissantes concernant Huawei. Là encore, c’est une rengaine qui revient régulièrement sur le devant de la scène depuis des années.

« Les États-Unis ont trop étendu le concept de sécurité intérieure, politisé les questions économiques et commerciales, abusé des mesures de contrôle à l’export et adopté à plusieurs reprises des sanctions et des mesures de répression déraisonnables contre des entreprises chinoises spécifiques », a réagi un porte-parole du ministère chinois du Commerce dans un communiqué, relève de son côté l’AFP.

Le porte-parole a aussi averti que « la Chine prendrait toutes les mesures nécessaires pour sauvegarder fermement les droits et les intérêts légitimes des entreprises chinoises ». En plus de bannir certaines entreprises américaines de ses administrations, la Chine restreint les exportations en matériaux rares indispensables à la création des puces.

• « Guerre » des semi-conducteurs et matériaux critiques : la Chine restreint les exportations, Bruxelles s’inquiète

L’AFP relève que les sanctions américaines ont forcé le géant chinois des télécoms à se recentrer sur des secteurs comme les logiciels, les appareils connectés, l’informatique d’entreprise, mais aussi les voitures électriques, avec sa marque Aito.

Réactions d’Intel et Qualcomm

Intel et Qualcomm ont réagi à leur manière à cette nouvelle vague de restriction. Dans un document transmis à la SEC, Intel explique que « le 7 mai 2024, le département du Commerce des États-Unis a informé Intel Corporation qu’il révoquait certaines licences d’exportation d’articles de consommation à un client en Chine, avec effet immédiat. Par conséquent, la société s’attend à ce que le chiffre d’affaires du deuxième trimestre 2024 reste dans la fourchette initiale de 12,5 à 13,5 milliards de dollars, mais en dessous du point médian ».

Il y a quelques jours, Qualcomm avait pris les devants (.pdf) : « nous disposons actuellement de licences d’exportation du ministère américain du Commerce qui nous permettent de vendre à Huawei des produits, notamment pour la 4G et le Wi-Fi, mais pas pour la 5G. Des reportages récents ont indiqué que le ministère du Commerce envisageait de ne pas accorder de nouvelles licences de vente à Huawei ». La prévision semble donc s’être réalisée.

« De plus, Huawei a récemment lancé de nouveaux appareils compatibles 5G utilisant des puces maison. Même si nous avons continué à vendre des produits à Huawei sous nos licences, nous ne prévoyons pas de revenus provenant de chez Huawei au-delà de l’année civile en cours ».

La suite au prochain épisode…

USA vs Chine : S05E04

Énième épisode dans la série États-Unis vs Chine. Le gouvernement américain aurait davantage fermé les vannes sur les exportations de puces vers Huawei. Les deux pays se livrent une guerre froide sur fonds de sécurité nationale depuis maintenant plusieurs années.

2019 – 2024 : la guerre froide continue

Pour rappel, Huawei a été placé sur liste noire par les États-Unis suite à la signature d’un décret par Donald Trump en mai 2019. Il était alors question d’interdire aux groupes américains de faire des affaires avec le chinois Huawei. Des risques sur la sécurité nationale étaient mis en avant. « Les entreprises américaines peuvent vendre leur équipement à Huawei […] Nous parlons là d’équipement qui ne pose pas de grand problème de sécurité nationale », précisait alors le président des États-Unis.

Fin 2022, la guerre froide continuait de plus belle avec l’interdiction d’exporter les produits « hautes performances » pour l’IA, la défense, les supercalculateurs, les équipements pour fabriquer des semi-conducteurs, etc. Les USA souhaitaient ainsi garder leur avance technologique. De son côté, la Chine a un plan pour se débarrasser des technologies américaines. Elle a même banni AMD, Intel et Microsoft de ses administrations.

• Les États-Unis bloquent les exportations de semi-conducteurs et de puces vers la Chine
• Guerre froide technologique : la Chine bannit AMD, Intel et Windows de ses administrations

Un jeu du chat et de la souris s’est mis en place, notamment du côté des GPU NVIDIA. Malgré l’embargo, la Chine continuait à s’en procurer en ce début d’année, tandis que des GPU spéciaux pour la Chine était proposée par NVIDIA, afin de pouvoir continuer à en vendre.

Nouveau tour de vis de l‘administration Biden

C’est dans un marché déjà bien verrouillé que le gouvernement de Biden a révoqué les licences d’exportation permettant à Intel et Qualcomm de continuer à fournir certains semi-conducteurs à Huawei, révèle le Financial Times. Cette décision du ministère américain du Commerce entraverait la fourniture de puces pour les ordinateurs portables et les téléphones mobiles de Huawei, précisent des personnes au fait de la situation.

Le discours est un peu toujours le même : « Nous évaluons en permanence la manière dont nos contrôles peuvent protéger au mieux notre sécurité nationale et nos intérêts en matière de politique étrangère, en tenant compte de l’évolution constante des menaces et du paysage technologique », a déclaré un porte-parole du ministère. « Dans le cadre de ce processus, comme nous l’avons fait par le passé, nous révoquons parfois des licences d’exportation ».

Cette décision intervient alors que les États-Unis s’alarment de la capacité de Huawei à développer ses propres puces en dépit des contrôles à l’exportation mis en place depuis 2022, souligne le FT. Lorsque la secrétaire d’État au commerce, Gina Raimondo, s’est rendue en Chine l’année dernière, Huawei avait en effet présenté son smartphone Mate 60 Pro, dont les performances avaient surpris les experts.

Marco Rubio, vice-président républicain de la commission sénatoriale du renseignement, et Elise Stefanik, quatrième républicaine de la Chambre des représentants, avaient demandé le mois dernier à Mme Raimondo de révoquer les licences de Huawei après l’apparition d’informations selon lesquelles le groupe basé à Shenzhen avait construit des ordinateurs portables utilisant des puces d’Intel. C’est le cas du dernier Matebook avec un Core-i9 13900H.

Un discours bien rodé depuis des années

Le mois dernier, le FT avait également rapporté que les États-Unis poussaient leurs alliés en Europe et en Asie à renforcer les restrictions sur les exportations de technologies liées aux puces vers la Chine, en raison des inquiétudes croissantes concernant Huawei. Là encore, c’est une rengaine qui revient régulièrement sur le devant de la scène depuis des années.

« Les États-Unis ont trop étendu le concept de sécurité intérieure, politisé les questions économiques et commerciales, abusé des mesures de contrôle à l’export et adopté à plusieurs reprises des sanctions et des mesures de répression déraisonnables contre des entreprises chinoises spécifiques », a réagi un porte-parole du ministère chinois du Commerce dans un communiqué, relève de son côté l’AFP.

Le porte-parole a aussi averti que « la Chine prendrait toutes les mesures nécessaires pour sauvegarder fermement les droits et les intérêts légitimes des entreprises chinoises ». En plus de bannir certaines entreprises américaines de ses administrations, la Chine restreint les exportations en matériaux rares indispensables à la création des puces.

• « Guerre » des semi-conducteurs et matériaux critiques : la Chine restreint les exportations, Bruxelles s’inquiète

L’AFP relève que les sanctions américaines ont forcé le géant chinois des télécoms à se recentrer sur des secteurs comme les logiciels, les appareils connectés, l’informatique d’entreprise, mais aussi les voitures électriques, avec sa marque Aito.

Réactions d’Intel et Qualcomm

Intel et Qualcomm ont réagi à leur manière à cette nouvelle vague de restriction. Dans un document transmis à la SEC, Intel explique que « le 7 mai 2024, le département du Commerce des États-Unis a informé Intel Corporation qu’il révoquait certaines licences d’exportation d’articles de consommation à un client en Chine, avec effet immédiat. Par conséquent, la société s’attend à ce que le chiffre d’affaires du deuxième trimestre 2024 reste dans la fourchette initiale de 12,5 à 13,5 milliards de dollars, mais en dessous du point médian ».

Il y a quelques jours, Qualcomm avait pris les devants (.pdf) : « nous disposons actuellement de licences d’exportation du ministère américain du Commerce qui nous permettent de vendre à Huawei des produits, notamment pour la 4G et le Wi-Fi, mais pas pour la 5G. Des reportages récents ont indiqué que le ministère du Commerce envisageait de ne pas accorder de nouvelles licences de vente à Huawei ». La prévision semble donc s’être réalisée.

« De plus, Huawei a récemment lancé de nouveaux appareils compatibles 5G utilisant des puces maison. Même si nous avons continué à vendre des produits à Huawei sous nos licences, nous ne prévoyons pas de revenus provenant de chez Huawei au-delà de l’année civile en cours ».

La suite au prochain épisode…

C‘est vraiment vous le produit

« Un gigantesque réseau de faux sites de vente de vêtements, administré de Chine, a escroqué plus de 170 000 personnes rien qu’en France ces quatre dernières années. Des documents internes révèlent son fonctionnement », indique une enquête du Monde, en partenariat avec Die Zeit et The Guardian.

75 000 faux sites marchands, 800 000 commandes

L’entreprise de sécurité informatique allemande SR Labs a partagé avec eux une fuite de plusieurs gigaoctets de documents émanant d’une organisation criminelle chinoise. Baptisée « BogusBazaar » par SR Labs, elle aurait mis en ligne plus de 75 000 faux sites marchands en quatre ans (dont 22 500 seraient encore actifs), enregistrant plus de 850 000 commandes dans plus de 200 pays, pour un préjudice s’élevant à plusieurs dizaines de millions d’euros.

En 2023, la société italienne de cybersécurité Yarix, filiale du groupe Var, avait déjà identifié un réseau d’environ 13 000 faux sites marchands, principalement de vêtements et de chaussures, mais aussi de jouets ou de meubles, tous liés à un même opérateur, qu’elle avait baptisé « FashionMirror ».

Un système « largement automatisé »…

Les modes d’emploi obtenus par SRLabs, et rédigés par les escrocs, invitent leurs employés à repérer les sites web ayant bénéficié d’un bon référencement et dont les noms de domaine n’ont pas été renouvelés, afin de les racheter. Un système « largement automatisé » qui leur permet ensuite de créer « en quelques minutes » un site marchand recopiant le contenu de sites authentiques.

Avec, parfois, de grossières erreurs de traduction, comme « chaud vente » pour « hot sales », ou « expédition politique » à la place de « politique d’expédition ».

Cette pratique est de plus en plus répandue et ne concerne pas que les sites de vente en ligne. Lors d’une conférence à l’Afnic, un intervenant expliquait que les noms de domaines de nouveau disponibles sur le marché vont être « rachetés par des tiers qui vont mettre en place des faux sites administratifs ».

• Les abus sur les noms de domaine toujours plus nombreux et sophistiqués

… avec un modèle « similaire à celui des franchises »

Pour en revenir à notre affaire, ces « petites mains » seraient employées par des entreprises chinoises, « dûment déclarées » et se présentant comme des sociétés de développement Web, et payés « environ 500 euros par mois à l’embauche, soit le double du salaire minimal local, pour un poste au bas de l’échelle ».

« C’est un modèle similaire à celui des franchises, explique Matthias Marx, chercheur en sécurité informatique pour SR Labs, qui a analysé en profondeur les documents. Il y a une équipe centrale, chargée de développer les logiciels et les interfaces, et qui fournit un soutien technique au fonctionnement du réseau. Les franchisés, eux, gèrent au jour le jour le fonctionnement des faux magasins. »

« Notre hypothèse est que cette [organisation] est liée au crime organisé, explique Diego Marson, responsable sécurité du groupe Var. Le nombre de sites, les montants en jeu… Tout cela nécessite l’utilisation de “mules” pour transférer l’argent. On constate par ailleurs que ce groupe réinvestit les sommes dérobées pour développer sa plate-forme. »

Une grande partie des faux sites est par ailleurs hébergée par des entreprises états-uniennes, dont EGIhosting et Eonix corporation, et protégés contre les attaques par Cloudflare qui, sollicité par Le Monde, les a rendus inaccessibles.