Alerté ce weekend par un internaute, nous nous sommes penché sur un article un peu singulier, présenté comme un article d’information, du site LeFigaro.fr. Ce dernier, intitulé « Surfer sur le web en restant anonyme, c’est possible ! » vante une offre aux contours très flous et aux acteurs qui ne le sont pas moins. On se doutait que les révélations d’Edward Snowden allaient être un terrain propice aux attrapes gogos, mais celui-ci semble tellement énorme qu’il nous était impossible de ne pas vous en parler.

Soyons clairs, l’article du Figaro est en fait un publi-rédactionnel, une annonce commerciale déguisée. On peut trouver un peu surprenant d’ailleurs que Le Figaro ne mentionne nul part que ce contenu est un publi-rédactionnel. Mais il y a bien plus intéressant derrière. Nous allons voir ici que cet article parfaitement anodin est au final bien plus qu’une simple faute déontologique du Figaro (et c’est bien Le Figaro qu’il faut blâmer et non l’auteur de la news, cet article est une commande du Figaro, quelques petites recherches ont suffit à nous en convaincre), c’est aussi un chef d’oeuvre de désinformation qui induit lourdement le lecteur en erreur afin de lui faire acheter un produit commercialisé par le Figaro lui même. Pour parfaire le décor, nous émettons de sérieux doutes sur la fiabilité technique de la solution qui entretient une parfaite confusion entre anonymisation et … on a toujours pas compris quoi.

Nous avons un peu enquêté sur le sujet, nous vous livrons donc une petite série d’articles. Pour le moment, le Figaro, principal intéressé, n’a toujours pas daigné répondre à nos questions… Peu importe, nous considèrerons qu’il s’agit d’une forme de réponse.

Qui se cache derrière CPLUSSUR ?

CPLUSSUR est un produit d’assurance (E-PROTECT) combiné à une solution technique bien fumeuse (la clé DEMAT Store) prétendument « sécurisée », visant à vous protéger de « tous les dangers d’Internet »… Ce dont CPLUSSUR ne pourra par exemple pas vous protéger, c’est de la publicité dissimulée et mensongère véhiculée sur un média national. Mais quelle mouche a bien pu piquer le Figaro pour agir de manière aussi grossière ?  L’article s’appuie par exemple sur des études du CREDOC et de l’UFC QueChoisir sur les usurpations d’identités pour vendre la solution CPLUSSUR.

Déjà, comme ça, au premier coup d’oeil, ça ne sent pas bon. Nous allons vous épargner une relecture de l’article du Figaro pour y pointer du doigt les multiples erreurs et confusions. Quand on regarde l’offre, on commence tout d’abord par s’étonner que le domaine Cplussur.com pointe sur cplussur.lefigaro.fr, effectivement quand on regarde le whois :

Registrant ID: COCO-10303857
Registrant Name: DE LINARES soizic
Registrant Organization: 1688
Registrant Street: 14 boulevard haussmann
Registrant City: PARIS
Registrant State/Province:
Registrant Postal Code: 75009
Registrant Country: FR
Registrant Email: registrar@nameshield.net
Admin ID: COCO-10448354
Admin Name: DE LINARES soizic
Admin Organization: SOCIETE DU FIGARO
Admin Street: 14 bd haussmann
Admin City: PARIS
Admin State/Province:
Admin Postal Code: 75009
Admin Country: FR


CPLUSSUR est donc une marque de la société 1688 au capital de 500 000 euros, dirigée par Marc Feuillée, directeur de publication du Figaroscope. Plus aucun doute concernant notre article du Figaro, nous sommes bien en face d’une publicité déguisée pour un produit d’une société aux rapports assez marqués avec le Figaro.

Seconde surprise, quand on lit l’article, il est fait mention à plusieurs reprises de la notion d’anonymat sur Internet et de protection des données personnelles, sauf que la société 1688 / CPLUSSUR est parfaitement incompétente dans ce domaine, son coeur de métier, à en croire Société.com, c’est le courtage en assurances ! Anonymisation… protection des données personnelles… LeFigaro… courtage en assurances… voici un drôle de mélange des genres ! En fait c’est même terrifiant, mais nous allons y revenir un peu plus tard car la société CPLUSSUR, n’est évidemment pas la seule sur ce coup.

Qu’est-ce que CPLUSSUR ?

La lecture des CGV nous en dit un peu plus :

L’atelier consacré au numérique et aux Droits de l’Homme de l’Université d’été du Parti Socialiste laisse rêveur. Citant le Printemps Arabe comme exemple positif, désignant la Chine comme coupable de traquer ses opposants politiques sur le net et dénonçant le « scandale Prism », il se donne comme ambition de déterminer si le numérique est un allié ou un ennemi des Droits de l’Homme. Malaise.

« Le courage, c’est de chercher la vérité et de la dire »

Pour ceux qui réfléchissent à la question depuis de nombreuses années, ceux qui se sont confrontés à de multiples reprises à des violations diverses et variées des Droits de l’Homme faites à l’aide du numérique, cet atelier pose des questions de fond sur le Parti Socialiste : Est-il frappé d’un Alzheimer mâtiné de schizophrénie ? Maintient-il délibérément ses troupes dans une ignorance crasse ? Est-il complice de crime contre l’humanité ?

Le parti socialiste, mobilisé aux cotés du gouvernement, peut-il ignorer que ce dernier fourni à de nombreuses dictatures les outils indispensables à la mise sous surveillance électronique de leur opposition politique ? Pour ce qui est de ses dirigeants, certainement pas.

Du temps où l’abjection qui consiste à équiper les pires dictatures en systèmes de surveillance était l’apanage du camp d’en face, ils étaient nombreux à s’indigner, à promettre le changement, a chanter les louanges d’une démocratie universaliste… Mais ça, c’était avant.

« Quand les hommes ne peuvent changer les choses, ils changent les mots »

De nos jours, Alexis Bachelay, porte parole de la « gauche forte » est également vice-président du groupe parlementaire d’amitié France-Qatar – grand consommateur de solutions Bull/Amesys, une société innovante dont l’Etat Français est lourdement actionnaire et qui équipe, outre le Qatar, une multitude de dictatures arabes.

Des technologies indispensables pour traquer des opposants, orienter les séances de torture, faire taire les journalistes et contrer les ONG. Précisément ce que semble dénoncer l’intitulé de cet atelier des Université d’Eté du Parti Socialiste, qui a défaut d’être utile, promet de battre des records en matière d’hypocrisie et de cynisme.

C’est aussi ça, la gauche forte. La différence avec la droite forte tient plus du marketing qu’autre chose.

« Déjà la guerre apparaissait comme une immense industrie »

De nos jours Ségolène Royal est co-présidente de la Banque Publique d’Investissement, le grand argentier de l’armement numérique, qui finance aussi bien Bull que Qosmos, deux des fleurons français de la surveillance, et qu’évoquait récemment Fleur Pellerin comme possible sauveur d’un Alcatel à la dérive, qu’elle concède comme étant une pièce maitresse de la cyber-surveillance Française. Quant au directeur commercial, n’en parlons pas…

Hé non, accoler ‘justice’ et ‘égalité’ à tout et n’importe quoi ne fait pas de vous un socialiste, mais un communiquant.

La France et son régime politique, qu’on appelle démocratie par habitude plus que par conviction, ne fait guère qu’exporter la répression, la torture et l’arbitraire. Contrairement aux USA, dont le gouvernement se garde bien de fournir à des dictatures les technologies en usage au sein de la NSA, la France, elle, le fait. Tout comme la Chine, qui  a toutefois le mérite de ne pas prétendre à l’universalisme de sa philosophie politique.

« Agis de telle sorte que tes actions soient compatibles avec la permanence d’une vie humaine authentique sur la terre »

Le socialisme est mort, depuis longtemps, aussi mort que la tradition artisanale dans une usine Fleury Michon. Ca n’empêche pas ce dernier de vous chanter les louanges de ses recettes authentiques dans des spots publicitaires, et les leaders socialistes d’utiliser ce terme avec la même sincérité.

Mais qu’en est-il des militants ? Quel est la proportion d’entre eux qui – sachant cela – continuent de s’aveugler ? Quand Reflets dénonçait ces abjections début 2011, il était encore aisé de nier les faits. Un fanzine de hackers – fusse-t-il fondé par un journaliste du Canard – doit-il être pris au sérieux ? Ou doit-on se contenter de le cataloguer aux cotés des conspirationistes ?

Mais aujourd’hui que ces informations sont publiées aussi bien dans le Canard Enchainé, le Wall Street Journal, le Washington Post, Mediapart, le Guardian, le New York Times, Le Monde, Le Parisien, France 24 ou encore Le Point, peut-on encore se mettre la tête dans le sable ?

Peut-on encore se regarder dans la glace et se dire : « je suis fier d’être socialiste » ? Peut-on encore s’émouvoir des images en provenance de Syrie et feindre d’ignorer que les technologies Qosmos, financées en toute connaissance de cause par la banque dirigée par Ségolène Royal, ont leur part de responsabilité dans l’indiscutable efficacité de la répression du régime de Bachar El Assad ?

« L’abondance est le fruit d’une bonne administration »

Pour ceux qui répondent par l’affirmative, félicitations. Un avenir radieux et une carrière prometteuse s’ouvre à eux. Les plus brillants peuvent espérer terminer maires, députés, voir ministres. Les moins doués peuvent légitimement s’attendre à un coup de pouce providentiel qui les mettra à l’abri des vicissitudes d’une société dont les classes moyennes disparaissent petit à petit.

Pour les autres… Le réveil risque d’être brutal.

Désolé.

Parmi les nombreuses questions que nous nous posons encore chez Reflets sur le dossier Amesys, il y en a une que nous n’avons pas beaucoup abordé. Il s’agit de la cession d’Eagle, le logiciel de surveillance global développé par Amesys (I2E à l’époque), qui a été cédé à Advanced Middle East Systems une émanation directe d’Amesys. Il y a comme quelques petits incohérences dans les divers sons de cloches émanant tantôt de Bull tantôt de Bercy, tantôt de Matignon, sur cette « cession » guignolesque. Particulièrement surprenant pour un groupe comme Bull, coté en bourse, et dont l’Etat français est quand même le 3e actionnaire.

Nous vous proposons de revenir sur cet épisode assez singulier, depuis la publication du communiqué de presse de Bull jusqu’à aujourd’hui, où en l’espace de quelques mois, les questions se sont multipliées.

Cédé ou pas cédé ?

Aujourd’hui encore, il subsiste beaucoup de zones d’ombres sur la cession d’Eagle, et ce pour des raisons diverses. Les déclarations des divers intervenants suscitent bien plus de questions qu’elles ne proposent de réponses. Au final, on en vient à se demander si Eagle a réellement été vendu, ou s’il a simplement été transféré à Nexa Technologies sous enseigne Advanced Middle East Systems, dans un autre pays pour qu’Amesys puisse continuer à en faire commerce sous couvert d’une société écran basée aux Emirats Arabes Unis… le tout sous la bienveillante égide des services extérieurs. Les EAU sont de gros demandeurs de ce genre de solutions, et donc avec un risque quasi nul de se voir un jour restreint à l’exportation par une procédure trop contraignante comme ceci devrait déjà être le cas en France.

• Matignon assure de son côté que l’exportation d’un logiciel comme Eagle n’a à souffrir d’aucune autorisation puisqu’il s’agit de « matériel grand public« , ce qui est relativement gonflé. Nous noterons une certaine constance dans cette position, peu importe le gouvernement au pouvoir. C’était déjà comme ça sous le gouvernement Fillon, ça l’est encore sous le gouvernement Ayrault.
• Bercy lui, affirme que cette situation n’est pas normale et qu’un renforcement des mesures de contrôles à l’exportation (alors qu’il suffirait d’appliquer les arrangements de Waassenaar) va être étudié… enfin quand ils trouveront le temps car vous comprenez, il y a quand même des choses un peu plus importantes que les droits de l’Homme et ce ne sont pas 5 libyens torturés qui ont récemment témoigné au Tribunal de Grande Instance de Paris dans le cadre d’une enquête pour complicité de tortures impliquant un peu trop directement l’État français (du moins le gouvernement précédant), qui vont changer le calendrier surchargé de la reprise économique qui vient mais pas trop vite.
• Bull affirmait de son côté (Copie au format .pdf/151Ko), le 8 mars 2012, avoir  :

« signé un accord d’exclusivité pour négocier la cession des activités de sa filiale Amesys relatives au logiciel Eagle, destiné à construire des bases de données dans le cadre d’interception légale sur internet » 

On reconnait là un communiqué assez particulier au choix des mots et à la lumière du mystérieux acquéreur sur lequel le groupe Bull n’a jamais communiqué autrement que par le biais de ces quelques mots.

On apprend donc que les négociations n’étaient pas ouvertes à la concurrence puisque le communiqué explique clairement qu’un accord d’exclusivité a été signé. Une exclusivité, oui, mais une exclusivité consanguine.

Stratégique ou pas stratégique ?

Poursuivons cette instructive lecture :

« Cette activité n’est pas stratégique pour le Groupe Bull qui souhaite se concentrer sur son expertise en matière de systèmes critiques électroniques et en particulier sur les domaines concernant la protection des personnes et du territoire. »

Le communiqué nous explique ensuite que cette activité n’est pas stratégique et que le groupe souhaite se concentrer sur les activités relatives à la protection des personnes et du territoire…

Tout de suite, on se demande à quoi pouvait bien servir Eagle si ce n’était pas à la protection des personnes et du territoire. Amesys disait avoir conçu (sur mesure pour le régime de Kadhafi), un outil « pour traquer le pédophile et le terroriste« . Au moins, on comprend qu’Eagle protège moins de personnes qu’il ne permet d’en torturer. En fait Eagle protège surtout les dictateurs.

En attendant, les 5 libyens qui ont témoigné en juin dernier des tortures dont ils ont été victimes ne sont ni terroristes, ni pédophiles.

Rentable ou pas rentable ?

Eagle est un dispositif éminemment stratégique (et vanté en tant que tel sur les plaquettes d’Amesys) en matière de renseignement d’origine électromagnétique. Nous savons que le régime de Kadhafi est loin d’être le seul a en avoir profité. Nous savons aujourd’hui que des millions de « pédophiles et de terroristes » marocains, qatari et gabonais communiquent sous la bienveillante attention d’un Eagle. Pour le Maroc, rien qu’en disques durs, la facture s’élevait à plus de deux millions d’euros, auxquels il faudra évidemment ajouter les sondes, le support, le logiciel, quelques gros routeurs etc etc….

Le marché libyen aura permis à Amesys (alors I2E) de s’acquitter de rétro-commissions pour une somme rondelette de 4,5 millions d’euros. On se dit logiquement que le marché a été plutôt rentable. Le hic, c’est que nous sommes en 2007/2008 et que ce type de rétro-commission est illégal depuis 2000.

Question : Pourquoi met-on plus d’empressement à décorer Philippe Vannier de la légion d’honneur qu’à l’entendre sur son rôle dans ces versements de rétro-commissions ?

Ces histoires de gros sous ne s’arrêtent évidemment pas à des rétro-commissions illégales. Toujours dans notre communiqué qui annonce la cession de ces activités : non plus massives mais « légales », non destinées à la protection des personnes et du territoire, non stratégiques, on apprend maintenant qu’elles représentent peanuts pour Bull :

« L’activité cédée représente moins de 0,5% du chiffre d’affaires du Groupe Bull. »

Vous noterez que l’on parle ici de chiffre d’affaires, mais qu’aucune allusion n’est faite à la rentabilité, à la marge dégagée sur ce type de produits.

Eagle se vend d’ailleurs si bien dans des pays où les droits de l’Homme ne sont pas la préoccupation du moment qu’I2E Amesys était en mesure de débloquer des rétro-commissions de plusieurs millions d’euros… et on imagine évidemment mal que ces rétro-commissions étaient débloquées à pertes.

Eagle est tellement peu rentable et tellement pas stratégique d’ailleurs, qu’assez étrangement, le FSI (Fond Stratégique d’Investissement), devenait en Aout 2011 le 3e actionnaire de Bull (derrière Crescendo, la Holding de Philippe Vannier, fondateur d’Amesys et actuel PDG de Bull) puis 11 mois plus tard en juillet 2012, cédait une partie de ses participations dans Bull pour passer sous la barre des 5%. Si vous avez loupé un épisode, le FSI, c’est bien évidemment l’État. Rapport de cause à effet induit par le communiqué de presse annonçant la cession ou pas ? Des analystes financiers avaient d’ailleurs pointé du doigt le rachat d’Amesys par Bull :

« L’acquisition d’Amesys ne répond pas, selon les analystes, aux grands défis structurels de la société. L’inéluctable chute de la profitabilité de la branche Hardware & Systems solutions (32% du CA) et le laborieux redressement de la branche Services & Solutions (44% du CA) supposeraient une acquisition dans l’une de ces deux divisions. »

Grand public ou pas grand public ?

Eagle est une solution tellement grand public qu’on le cède un peu sous le manteau à une société préalablement créée de toutes pièces par un dirigeant de la société qui cède le logiciel en question… vous noterez tout de suite que pour un logiciel grand public, c’est pas franchement commun.

GLINT/Eagle, une solution « stratégique et Nation Wide » grand public qui sera du meilleur effet dans votre salon :

Autorisation ? Pas autorisation ?

Quand le cabinet du premier ministre nous rétorque qu’il n’y a nul besoin d’autorisation pour vendre ce type de dispositif (matériel et logiciel), clé en main (et à plus forte raison à un terroriste comme Abdallah Al Senoussi), on sent comme un petit décalage entre les différents sons de cloches… alors ? Autorisation ? Pas autorisation ?… observons les faits.

Dans une documentation commerciale datée de 2008, Amesys oppose l’interception légale à l’interception massive, pour vanter Eagle (21_200810-ISS-PRG-AMESYS : pdf/942Ko):

L’argument du cabinet du premier ministre qui tente péniblement de démontrer qu’il s’agit d’une solution grand public s’écroule comme un château de carte à la simple évocation du mot « massif ». Pourquoi ? Car ce matériel ne sert évidemment pas à de l’interception légale, ciblée, sous le contrôle d’un juge. Cette solution est explicitement dédiée à mettre l’ensemble d’une population sur écoute, c’est du « Nation wide », dimensionné à l’échelle d’une nation. Comparer une solution de renseignement d’origine électromagnétique à l’échelle d’une nation à une solution « grand public », c’est vraiment prendre les gens pour des cons… Du même niveau que comparer Eagle à un stylo.

Pourtant la réponse reste invariablement la même, attention vous allez voir c’est assez surprenant… gouvernement différent… même réponse mots pour mots !

Question de Hervé Feron du 6 décembre 2011, réponse d’Alain Juppé du 13 mars 2012

Question de Jacqueline Fraysse du 28 aout 2012, réponse du 23 septembre 2012

Question de Isabelle Attard du 15 janvier 2013 et réponse de Laurent Fabius du 5 mars 2013 :

Cette réponse est un communiqué sponsorisé par la DGSE est donc librement réutilisable par tous les gouvernements, de gauche comme de droite… circulez, y’a rien à voir.

Légalement, si nul besoin d’autorisation pour exporter ce type de solution, il n’y a pas non plus d’autorisation pour céder un système stratégique Nation Wide à une enseigne établie aux Emirats Arabes Unis… logique.

 Complicité d’actes de torture ou pas complicité ?

Mediapart, par la plume de Fabrice Arfi et Pierre Alonso (accès payant) relatait le calvaire vécu par 5 opposants politiques libyens grâce à cette activité pas stratégique, pas rentable, pas franchement légale, pas franchement cédée et surtout, grand public. Ils ne sont évidemment ni pédophiles, ni terroristes et leurs témoignages sont édifiants :

« Ils voulaient savoir quel était le mot de passe de mon mail. J’ai toujours refusé. Après trois jours sous la torture, j’ai craqué et je leur ai donné les codes. Mais ils se sont moqués de moi. Ils m’ont montré un paquet de copies qui était posé sur la table et ils m’ont dit qu’ils avaient tout, qu’ils étaient au courant de tout. »

Cet article nous apprend même que les autorités libyennes ont été en mesure d’intercepter et décoder des conversations Skype :

« On m’a fait écouter des conversations orales sur Skype entre moi et un opposant, Mohammed, qui réside aux États-Unis. »

Il est de notoriété publique qu’on intercepte du Skype avec des outils grand publics…

Eagle, une arme électronique non létale, mais qui a occasionné de véritables souffrances :

« Il y avait deux méthodes pour l’électricité, soit par un bâton électrique, soit par des câbles. Pour le câble, on m’enlevait la chemise. Ils touchaient les parties sensibles, derrière les oreilles, les parties génitales et le ventre au niveau du nombril. Ils me frappaient avec un câble électrique très épais, sur toutes les parties du corps sans exception. »

Des témoignages qui n’empêchent pas AMESys (Advanced Middle East Systems) de revenir à Tripoli pour y vanter Cerebro (Eagle) à l’occasion d’un salon sur la sécurité intérieur. Cyniques jusqu’au bout.

Le Milipol, c’est un salon assez fermé. Le salon de la sécurité intérieure des états comme il aime à se qualifier. Assez naturellement, depuis quelques années, révolution numérique oblige, de nombreux exposants proposant des solutions de guerre électronique se joignent aux marchands d’armement plus traditionnels.

Et cette année à Paris, du 19 au 22 novembre, nous serons ravis d’accueillir au Milipol une startup pas comme les autres qui va faire un très très long voyage depuis Dubai Billancourt : Advanced Middle East Systems, une entreprise bien française domiciliée aux Emirats Arabes Unis… il s’agit en fait d’une boite postale à Dubai, un pays peu regardant sur les exportations de ce genre de jouets. La véritable structure derrière, c’est Nexa Technonologies, une entreprise bien française et très, très, très proche d’Amesys, dirigée par Stéphane Saliès, un dirigeant historique d’Amesys.

Advanced Middle East Systems est fort probablement une coquille vide. Le véritable repreneur d’Eagle, c’est Nexa Technologie, il suffit pour s’en convaincre de regarder ses offres d’emploi sur le site web qui propose par exemple ce poste en vue de développer une sonde, et les plugins de détection protocolaire qui vont avec.

Amesys a donc cédé ses activités autour d’Eagle à Nexa Technologies, domiciliée chez Amesys, pour recréer une enseigne, Advanced Middle East Systems, une structure domiciliée à Dubai. Cette cession s’est faite de manière exclusive : comprenez que Bull a cédé Eagle à Nexa en prenant grand soin de n’inviter à la table des négociations qu’une seule entreprise que ses dirigeants ont créé de toutes pièces pour l’occasion… une sorte d’auto-cession d’actif à un prix fixé dans un communiqué de presse (format PDF).

En plus du caractère « exclusif » de la cession, on peut s’étonner la manière un peu curieuse dont le prix de 4 millions d’euros a été implicitement fixé dans un communiqué de presse en arguant dans ce même communiqué qu’Eagle n’est pas une activité stratégique et qu’elle représente moins de 0,5% du chiffre d’affaire du groupe. Espérons simplement pour les actionnaires que ces informations étaient exactes et qu’elles n’étaient pas juste destinées à céder une activité très rentable à un prix d’ami.

De Dubai à Tripoli, de Boulogne Billancourt à Villepinte, Amesys continue de vendre ses solutions d’interceptions massives qui n’ont pas grand chose de « Lawful » en France et qui du propre aveu du patron du Bull, aussi fondateur d’Amesys, ne porte pas franchement sur la protection des personnes et du territoire… peu importe, ceci reste semble t-il assez lucratif pour s’auto-racheter son produit.

Si vous voulez venir découvrir Cerebro, le Eagle nouveau rebrandé par Advanced Middle East Systems, ou encore découvrir comment siphonner les données de n’importe quel smartphone grâce à XRY (dont votre serviteur vous avait parlé ici) commercialisé par Nexa, c’est par ici.

En attendant, si vous cherchez une privacy policy qui vend du rêve, jetez une oeil à celle d’Advanced Middle East Systems, elle est 100% PRISM Compliant (thx @manhack):

 

Je suis tombé ce matin sur cet article de Jacques Duplessy (dont voici la fan page Facebook… et oui, il a des fans… merci Fabrice) publié sur LePoint (dont voici un petit backup en PDF juste au cas où). J’avoue avoir été assez émerveillé par la faculté de l’auteur à ne strictement rien sourcer. Ce n’est d’ailleurs pas la première fois. C’est à croire que le bouton pour faire des liens http devait être cassé. Avant de passer en revue les petits oublis et les contre vérités de cet article, nous allons tout d’abord voir le bon côté des choses : C’est une bonne chose, même avec 18 mois de retard et sans citer aucune source (en l’occurrence Owni et Reflets),  de voir ces histoires faire enfin surface sur un gros média comme LePoint.

Voyons maintenant un peu le traitement fait à ces informations présentées comme « neuves » et que nous avions révélé il y a bientôt 2 ans…

L’article de Jacques Duplessy commence donc par deux anecdotes, voici la première :

Paris, 16 avril 2004, Champs-Élysées. Un membre de la société Amesys-Bull transporte un petit boîtier qui passe inaperçu. Ce dernier crée une fausse borne de relais téléphonique GSM qui intercepte les téléphones mobiles « dans un rayon de 50 mètres à 2 kilomètres ». Tous les numéros de portables présents sur la zone mais aussi les numéros appelés et les SMS sont enregistrés. 

Aucun lien, pas une source citée, pas un seul document pour étayer les propos. Il faut croire Jacques Duplessy qui laisserait quasiment entendre au lecteur qu’il était présent ce jour là et qu’il balance un vrai scoop… c’est d’autant plus dommage que cette information était mise en lumière le 4 décembre 2011 par Reflets suite à la découverte par Jean-Marc Manach de mystérieuses captures d’écran qui laissaient deviner une écoute parfaitement clandestine en plein Paris ! Le matériel le voici, c’est très probablement SMINT (PDF), le modèle de poche du GLINT (PDF), Reflets a évidemment conservé des copies des caractéristiques de ces petits jouets avant la crise de panique d’Amesys qui avait nettoyé de fond en comble son site web suite à nos quelques publications, et qui avait publié un communiqué qui était un véritable concentré de caca de taureau le fameux (Bull® Shit)

Passons à la seconde anecdote, on se dit que ça ne peut pas être pire niveau traitement que la première…

Laboratoire Lip6 du CNRS à l’université Pierre et Marie Curie, Paris. Un collaborateur (jamais identifié) installe à l’insu des chercheurs une « sonde » sur l’accès internet qui permet d’intercepter tous les courriers électroniques, de connaître les sites consultés ou d’enregistrer les conversations par Internet (Skype, par exemple).

Du grand art cette anecdote, là encore on croirait presque que Jacques Duplessy était présent au moment des faits… Outre le fait qu’une fois de plus, rien n’est sourcé, pas même cet article que nous avons publié en octobre 2011 suite aux révélations de Mediapart , il y a quand même quelques imprécisions et une erreur technique.

Les « non identifiés » du LIP6 dont parle Jacques Duplessy, en l’occurrence Eric Horlait et Guy Pujolles sont  co-fondateurs de Qosmos en activité au LIP6 à cette époque. Pour passer d’Amesys à Qosmos, il faut bien comprendre le cheminement des travaux des deux entités qui n’ont finalement pas fait affaire sur le dossier libyen. Précisons toutefois qu’à cette époque, Qosmos n’avait pas connaissance du client final. A l’époque, Amesys cherchait un partenaire capable de développer des sondes opérant sur des volumes de trafic considérables. A cette époque, les travaux du LIP6 ne permettaient des interceptions que sur quelques Megabits/secondes. Il y a bien eu un contrat entre les deux entités pour des études de faisabilité. Mais ça n’a pas été très concluant et Amesys s’est finalement retournée vers l’allemand Ipoque pour développer ses sondes, sur mesures pour le marché libyen.

Jacques Duplessy est surtout passé à côté du plus croustillant dans cette anecdote, à savoir les révélations d’Eric Horlait que nous avons publié sous forme de document audio et de transcription (merci aux lecteurs de Reflets qui ont effectué cette transcription !)

Il ressort de cet enregistrement que :

• Des chercheurs du LIP6 travaillant sur la classification du trafic à la volée ont été floués (PDF /1,1 Mo), et ont vu leurs travaux détournés pour servir les intérêts d’entreprises qui opèrent le gros de leurs activités commerciales sur le marché de la surveillance de masse…
• Ces chercheurs ont à leur insu pour certains servi de cobayes !

• Que le PDG de Qosmos que nous avions interviewé quelques mois avant nous a menti en prétendant que son entreprise ne vendait pas à des gouvernement et que son coeur d’activité n’était pas la surveillance. Lire d’urgence cet article…

• Qu’Amesys n’était pas seule sur ce marché, au moins une autre entreprise, un mystérieux « fabricant de routeurs pas loin d’être français » a participé aux négociations et surement à la réalisation.
• … j’en passe et des meilleures

C’est vraiment dommage que Jacques Duplessy soit passé à côté de tout ça, son article aurait facilement pu passer du statut de mauvaise pige à celui d’article d’investigation avec une véritable valeur ajoutée.

On terminera pour cette anecdote sur l’erreur technique : non Skype n’était pas du tout à l’ordre du jour en 2004, le déchiffrement de ce protocole à la volée intervient bien plus tard, mais nous en avons bien la confirmation par exemple à travers ce document des autorités du Bahrein à propos de la suite FinFisher en « test » là bas pour espionner les opposants politiques… donc mauvaise pioche pour l’interception de Skype au LIP6 en 2004. Nous pensons aussi être en mesure d’affirmer qu’à l’époque, la technologie de Qosmos portait principalement sur les métadonnées et non la charge utile (le payload), afin de classifier le trafic, et non de l’espionner. Les demandes d’Amesys dépassaient la réalité technique de Qosmos à cette époque en matière de performances et de services demandés.

Poursuivons la lecture de l’article de Jacques Duplessy :

« Ces deux anecdotes, édifiantes, sont extraites d’une brochure commerciale de la société Amesys vantant l’efficacité du système Eagle et destinée à convaincre la Libye du colonel Kadhafi d’acheter cette technologie française pour espionner l’ensemble de sa population. »

Bon ok, c’est vrai qu’ils ne sont pas supers doués chez Amesys, mais quand même… ces captures ne se sont pas retrouvées dans une « brochure commerciale », mais dans une proposition commerciale visée par le secret des affaires. Les captures de trafic des emails du LIP6 émanaient de tests internes et Amesys les a réutilisées pour vanter les mérites de ses produits, à l’insu de Qosmos. Evidemment, ces captures n’auraient jamais du se trouver entre les mains d’un terroriste notoire, Abdhalla Al Senoussy. Amesys a agi en parfait pied nickelé violant ainsi la relation de confiance avec Qosmos et le LIP6. De l’aveu d’Eric Horlait, Qosmos aurait pu attaquer Amesys en justice, mais ne l’a pas fait, et ce pour une bonne raison (toujours extrait de notre enregistrement audio) :

Un chercheur : est ce que Qosmos s’est retourné contre Amesys pour l’utilisation des produits de Deep Packet Inspection ?

Eric Horlait : Alors là, la réponse est non à la question, vous avez partement vu un point clé sur le sujet. Oui Qosmos pourrait. Bien évidemment, Qosmos pourrait à différents titres. Amesys a disons utilisé des documents qui étaient couverts par NDA [NDR: Non-Disclosure Agreement] .. transférés à un endroit où elle n’aurait pas dû. J’ai hésité à vous répondre, j’ai répondu précisément. La législation tient que… oui Qosmos…Assez probablement ne le fera pas. Pourquoi ? (…) Dès qu’on parle de ce genre de marchés, ce genre de marchés a une petite spécificité. Entre autre chose, moins on parle des acteurs, plus on est content. Si Qosmos se disait on va attaquer en justice machin, etc, probablement on gagnerait. Probablement qu’on irait pas en procès qu’il y aurait une transaction. Il y aurait un intérêt, sauf que c’est un petit monde, et si on fait ça, il est assez probable que le marché en question disparaisse et que les trente personnes de la boite soient prêt a chercher du travail ailleurs.
(…)non non, dans le petit monde, tout le monde sait exactement ce qui c’est passé, mais personne n’a intérêt à dire. Personne n’a intérêt à cela. Le vendeur de routeurs le sait. [...]
Tout le monde les sait, il n’y a pas d’intérêt à le dire.
Allez voir la DGSE en France, avant d’aller voir qui utilise tel ou tel matériel à tel ou tel endroit pour faire telle ou telle chose. Vous connaissez les fabricants des équipements qu’utilisent la DGSE pour faire des écoutes légales en France ?

Bref, si Jacques Duplessy ou des journalistes en général veulent creuser un peu le sujet, qu’ils nous aident à identifier le mystérieux vendeur de routeur qui a accompagné Amesys sur le marché Libyen, notre petit doigt nous dit qu’il a gras à nous raconter… à bon entendeur.

On doit à peu près avoir le choix entre 3 ou 4 acteurs : Thomson, Alcatel, Sagem et Netasq (EADS)  à qui Amesys a affecté la prise en charge d’un système de monitoring avec son superbe U6000.

La suite de l’article publié dans LePoint évoque les interceptions, mélangeant allègrement interceptions judiciaires et interceptions administratives, c’est un peu dommage là encore, une lecture de cet article sur la PNIJ aurait pu éviter cette joyeuse marmelade. Mais on arrive quand même, assez péniblement à un point, encore une fois, révélé par nos soins, sous forme d’un scénario fiction le 25 novembre 2011. Nous en avions d’ailleurs remis une couche ici et une encore une par là.

Côté pile, il y a un système secret d’écoute français échappant en partie à tout cadre légal, géré par la Direction générale de la surveillance extérieure (DGSE) et la Direction du renseignement militaire (DRM). « Les autorités françaises arguent que les centres d’hébergement des sites [d'écoute, NDLR] sont, pour la plupart, basés à l’étranger, ce qui exonère la DGSE de répondre à la loi française », rapporte le journal Le Monde. 

Mais on peut comprendre que quelques documents et quelques analyses publiés sur Owni ou Reflets il y a 18 mois constituent des éléments bien moins sérieux qu’un article publié sur le Monde il y a quelques semaines. C’est vrai que sans les révélations d’Edouard Snowden personne ne saurait rien de ce marché de la surveillance de masse…

Continuons sur notre article de Jacques Duplessy

les révélations d’Edward Snowden sur le programme secret Prism le démontrent : les flux de communication passent désormais par des câbles (souvent sous-marins) qui constituent la colonne vertébrale d’Internet.

Dans l’eau Jacques ! Les câbles sous-marin, ce n’est pas PRISM, c’est xKeyscore… et ça sert à quoi que le Kitetoa il se décarcasse pour expliquer calmement ce que je n’arrive plus à faire ? … je passe sur la suite des explications de Jacques Duplessy sur le sujet car elles ont le don de m’agacer et je vais finir par devenir franchement désagréable…

Poursuivons sur les marchés d’Amesys pour conclure :

« Mais la stratégie française ne s’arrête pas là. Amesys a vendu son système d’écoute globale Eagle à nombre de pays, parfois un peu fâchés avec les droits de l’homme : la Libye du colonel Kadhafi donc, mais aussi le Qatar, l’Arabie saoudite ou encore le Gabon. »

Tiens mais d’où Jacques Duplessy sort-il ces informations attendu qu’il ne semble toujours pas au point sur les liens http ?

Ah bien oui… je me disais bien… ça sort une fois de plus de Reflets (artcile du 7 décembre 2011)… Jacques, ça devient un peu lourd là…

En utilisant le système installé en Libye ou au Qatar, les services français peuvent espionner quelqu’un n’importe où dans le monde, donc aussi en France, et ce hors de tout cadre légal

Et hop, on revient sur notre scénario abracadabrantesque… mais toujours pas l’ombre de la moindre source.

L’article conclue enfin sur Advanced Middle East Systems, le SpinOff d’Amesys révélé entre autres ici ou encore là  dés janvier 2013, encore une fois, en grande partie grâce aux travaux de Jean-Marc Manach :

Après le scandale libyen, Bull a vendu en 2012 l’activité Eagle à Stéphane Salies… qui était chargé de concevoir Eagle chez Amesys puis chez Bull. Pour l’occasion, Salies a monté Nexa Technologies (basé en France) et Advance Middle East Systems (basé à Dubaï), dont un acronyme possible est AMEsys. Les deux entreprises se sont partagé le marché : à Nexa, les outils de surveillance classiques des réseaux d’entreprise ; à Advance Meadle East Systems, le Eagle, à l’échelle d’un pays. Ce système sera donc vendu depuis Dubaï, loin de la législation française. Ouf ! On pourra continuer nos barbouzeries.

Cher Jacques, merci de m’avoir fait perdre mon temps, espérons que ce modeste article, d’un modeste média, issu du fin fond des intertubes, réveillera un peu votre sens éthique et vous réconciliera avec ce privilège accordé aux internautes de pouvoir faire des liens http. Sur ce, bonne continuation.