Sécurité : pourquoi ça ne marche pas

Oksana, Erol et Yeshe sont tous trois journalistes, respectivement en Ukraine, en Turquie et au Tibet. Jeudi 26 juin,  ils étaient à Paris pour raconter à un public de hackers et bidouilleurs leur travail quotidien face aux menaces, à la censure et à la surveillance en ligne.

Fin 2013 Oksana a été victime d’un piratage de son ordinateur. Le marché était simple, si elle continuait son travail tous ses mails et toute sa vie privée seraient publiés en ligne. Et ils l’ont été. Au Tibet, le simple fait d’envoyer un email contenant des informations à Yeshe et au Tibet Post International peut coûter un aller simple pour la prison. Quant  à la Turquie,  elle a voté début 2014  une loi autorisant le blocage administratif de sites pour des raisons aussi vagues que la publication de contenus « discriminatoires ou insultants à l’égard de certains membres de la société ».  C’est aussi l’un des rares pays à avoir bloqué Twitter, Facebook et Youtube. En Turquie, en Ukraine, au Tibet et ailleurs, les journalistes ont besoin d’outils pour protéger leurs communications, leurs informations, leurs sources. Yeshe Oksana et Erol ont rappelé avec des exemples très concrets que ce besoin n’était pas superflu.

La conférence se déroulant  pendant Pas sage en Seine, Amaelle, qui animait la table ronde, a profité de l’occasion de voir réunis dans une même salle des journalistes pour qui le clic droit constitue une véritable acrobatie technologique et des geeks ultra compétents qui montent trois tunnels ssh avant de récupérer leurs emails auto-hébergés pour poser une question simple :

Il y a de nombreuses solutions techniques [permettant de contourner la censure ou de se protéger la surveillance]. Existe t-il des obstacles spécifiques qui empêchent les journalistes de s’en emparer ?

Dans le cadre de mon activité chez Reporters sans frontières, je forme des journalistes, en France et ailleurs, à l’utilisation de ces outils justement. C’est à ce titre que je participai à cette table ronde et c’est à ce titre que je répondais :

Le principal obstacle – je suis désolé d’avoir à le dire ici – c’est la communauté des développeurs et des experts en sécurité. Cette communauté doit comprendre que les journalistes ne sont pas des administrateurs systèmes et ne le deviendront jamais, même s’ils en ont besoin. Ca n’arrivera pas, ça n’arrivera jamais.

Journaliste c’est un métier, administrateur système, un autre. Le métier d’un journaliste est de récupérer des informations, de les vérifier et de les rendre intelligibles. Ce n’est pas de savoir comment fonctionne un ordinateur, un serveur ou même Internet. La communauté des geeks et hackers doit comprendre ça. Jamais un journaliste, à part quelques exceptions – il en faut toujours pour confirmer la règle – ne lira une RFC ou n’essaiera de comprendre les avantages comparés de la cryptographie asymétrique et de la cryptographie elliptique. Ils veulent – et ont besoin – d’outils qui protègent leurs données et leurs communications qui juste marchent. Tu cliques, ça marche. Comme chez Apple. Sauf que Apple, on les aime pas trop.

Il y a un chantier énorme pour la communauté des développeurs et des experts en sécurité : l’interface utilisateur. C’est ce qu’a déjà  compris l’équipe de cryptocat, ce sur quoi travaille activement l’équipe de Tails, et ce sur quoi devraient travailler tous les développeurs qui créent des outils pour les journalistes ou les défenseurs des droits de l’homme.

Hacktivistes, développeurs et libristes, si vous voulez être utiles, vraiment utiles, pensez aux utilisateurs.