Enseignements de la bataille MegaUpLoad

Coupure de MegaUpload et riposte des Anonymous : des enseignements importants

Pierre Col sur www.zdnet.fr/blogs/infra-net/ 

Je ne reviendrai pas sur le déroulement de l'opération menée jeudi soir par le FBI contre le site MegaUpload, dont les serveurs ont été saisis et les principaux dirigeants mis sous les verrous : vous trouverez tous les détails sur ZDNet.fr, notamment ici, ici, ici et là.

Je voudrais en revanche essayer d'analyser ces évènements avec un peu de recul, et donner mon opinion sur les enseignements importants que nous pouvons retirer de cette nuit très mouvementée.

Les serveurs de MegaUpload ne devaient pas être totalement coupés

Concernant MegaUpload, il apparaît clairement dans l'acte d'accusation que le département de la Justice des USA accuse MegaUpload d'avoir rémunéré des gens qui chargeaient sur ses serveurs des contenus audiovisuels contrefaits.

Vous trouverez une analyse exhaustive de cet acte d'accusation sur Criminalités Numériques, le blog d'un spécialiste, Eric Freyssinet, chef de la division de lutte contre la cybercriminalité au pôle judiciaire de la Gendarmerie Nationale.

Mega Indictment

Si ces faits sont avérés - car on n'en est encore qu'au stade d'une enquête préliminaire - alors j'estimerais que les dirigeants de MegaUpload étaient des malfaiteurs et devaient être sanctionnés : ils auraient enfreint la loi en incitant à la contrefaçon pour en tirer un profit colossal. Ils ne pourraient dès lors plus se prévaloir du statut de « simple hébergeur », qui offre un espace de stockage en ligne, mais doit, si des ayants droit lui notifient qu'il héberge un contenu illégal, le retirer immédiatement.

Pour autant, je considère que cette forte présomption de culpabilité ne justifie en aucun cas la fermeture brutale des serveurs, sur la base d'une enquête préalable et sans que le moindre jugement ait été rendu par une instance judiciaire faisant la part de l'accusation et celle de la défense. Cette présomption de faute ne légitime pas le fait que des données stockées sur ces serveurs par des utilisateurs honnêtes ont disparu. Car même si MegaUpload était l'un des principaux diffuseurs mondiaux de films piratés, je connais des professionnels qui l'utilisaient quotidiennement comme outil d'échange de fichiers très volumineux. Cette utilisation de MegaUpload, peut-être ultra-minoritaire, était légitime et kes utilisateurs honnêtes de MegaUpload n'ont pas à être sanctionnés.

Au sujet de la fermeture brutale de MegaUpload, la commissaire européenne Neelie Kroes a d'ailleurs déclaré sur Twitter que « la régulation d'Internet doit être efficace, proportionnée et préserver les bénéfices d'un réseau ouvert », en faisant cette analogie : « Les excès de vitesse sont illégaux, mais on ne place pas des ralentisseurs sur une autoroute ».

Globalement, à l'exception notable de Nicolas Sarkozy, qui a immédiatementréagi en pleine nuit pour approuver sans réserves cette action, et deslobbies des industries dites « culturelles », la réprobation est unanime, au moins sur la forme.

Imaginons que demain les diffuseurs et consommateurs de fichiers contrefaits se mettent à utiliser Box, DropBox, Google Docs ou tout autre service de partage de fichiers pour échanger massivement des contrefaçons : admettrait-on que ces services puissent aussi être brutalement coupés, et pour tous leurs utilisateurs dans le monde ? Bien sûr que non !

En l'espèce, il aurait fallu conserver en état de fonctionnement les serveurs MegaUpload et en retirer tous les fichiers piratés qu'ils hébergeaient, laissant accessibles les fichiers qui étaient légalement partagés par leurs propriétaires légitimes. Et j'espère que cette douloureuse expérience fera comprendre aux utilisateurs de MegaUpload combien il est dangereux de confier ses données à un système fortement centralisé, a fortiori s'il n'a pas mis en place une politique efficace de sauvegarde des données sur un site externe sécurisé.

Les lois actuelles suffisent, nul besoin de lois d'exception pour « réguler Internet »

On notera que cette action contre MegaUpload n'a pas eu besoin des lois SOPA ou PIPA en cours de préparation aux USA, ni du traité international ACTA : ce sont les lois existantes contre la contrefaçon et les accords internationaux de coopération policière déjà en vigueur qui ont permis d'arrêter MegaUpload. Il n'est donc pas nécessaire d'aller plus loin dans des lois de contrôle d'Internet, sauf précisément si l'on veut restreindre la liberté d'expression et d'information des citoyens.

Car cette procédure brutale montre que la liberté d'expression peut être mise en danger, et je vais l'illustrer d'un exemple.  Imaginons qu'arrive au pouvoir aux USA une majorité républicaine ultra-conservatrice et que, sous l'impulsion de son aile la plus extrémiste qui croit au créationnisme, cette majorité vote une loi qui en fait un dogme intangible et interdit toute mention de la théorie de l'évolution des espèces de Darwin. Alors cette page de Wikipedia, disponible dans plus de 40 langues, deviendrait illégale aux USA, et sa diffusion tomberait sous le coup de la loi états-unienne.

Dès lors le FBI pourrait, comme il l'a fait avec MegaUpload, tenter de procéder à une saisie de tous les serveurs de Wikipedia sur le territoire des USA et même de faire arrêter les responsables de Wikipedia.

En synthèse, ma position la suivante : les lois générales doivent être respectées par les ressortissants des pays qui les ont démocratiquement votées. Et même si nul ne doit échapper à « sa loi », l'application de la loi doit demeurer proportionnée et ne doit en aucun cas restreindre la liberté d'expression en s'appliquant « à distance » à des citoyens d'autres pays que celui qui est concerné. Ainsi la loi d'un pays A ne s'applique pas à un serveur installé dans le pays B, appartenant à une société ou à une personne du pays C et consulté par des internautes du pays D.

Les Anonymous sont une vraie force qui dispose d'armes puissantes

Autre enseignement de cette semaine agitée, qui vient de lariposte des Anonymous, aussi vigoureuse que rapide. Quelques heures après la fermeture de MegaUpload, les sites du département américain de la Justice, du FBI, de la RIAA (industrie musicale), de la MPAA (industrie du film) et même de la HADOPI ont été l'objet d'attaques DDOS qui les rendaient inaccessibles.

J'ai découvert que ces attaques étaient menées par quelques milliers de personnes seulement : 5.000 au début de l'opération, selon les Anonymous eux-même qui ont revendiqué l'opération sur Twitter, et 27.000 au plus fort des attaques selon SoftPedia.

Ces activistes numériques ont à leur disposition un vaste arsenal de logiciels, parmi lesquels LOIC, acronyme de Low Orbital Ion Cannon. Disponible sousWindows, il peut fonctionner sous MacOS ou Linux et il existe même pour les terminaux mobiles sous Android.

Cliquer pour agrandir l'image

Facile à installer et simple à utiliser, LOIC constitue à l'évidence un outil redoutable entre des mains plus ou moins bien intentionnées, et n'est pas à utiliser pour faire n'importe quoi : il est illégal de l'employer pour autre chose que des tests techniques de vulnérabilité d'une plateforme, et juridiquement, en France, une attaque en déni de service est une entrave au fonctionnement d'un système de traitement automatisé de données et est passible d'une sanction de 5 ans d'emprisonnement et 75.000 € d'amende.

Pour autant, ce logiciel et d'autres pourraient devenir un moyen d'action pour les citoyens qui voudraient « entrer en résistance » face à un pouvoir qui abuserait de sa force pour imposer des lois arbitraires et attentatoires à la liberté. Aujourd'hui l'utilisation de LOIC est illégale en France si l'on s'en sert pour attaquer des serveurs en déni de service, tout comme l'était l'utilisation des armes par les maquisards qui, il y a 70 ans, se sont légitimement révoltés face au pouvoir de Vichy et à l'occupation allemande. La preuve est désormais faite qu'aucun site web n'est invulnérable, même les sites officiels de la première puissance mondiale.