Vendredi 7 février, la 16e chambre de la cour d’appel de Bruxelles a commencé à siéger, à raison de trois audiences par semaine, le mercredi après-midi, le jeudi matin et le vendredi matin. Présidée par la juge Sophie Leclercq, cette nouvelle chambre correctionnelle vise à réduire l’engorgement des chambres correctionnelles francophones de la cour d’appel de Bruxelles. Cette chambre traitera des mêmes matières que les 12e et 14e chambres à savoir toutes les matières pénales exceptés les délits financiers, traités par la 11e chambre.

La palais de justice de Bruxelles

Il y an an, la Défense avait essuyé des critiques pour avoir restreint l’usage du téléphone portable à ses soldats devant être déployés en Estonie dans le cadre de l’opération « Enhanced Forward Presence » de l’Otan. Suite à cela, l’exercice « Cyber Winter » a été organisé le 14 février dernier dans à Érezée [province de Luxembourg], avec des capacités déployées par le Service Général du Renseignement et de la Sécurité. Selon le scénario retenu, des équipes du Bataillon de Chasseurs ardennais devait s’infiltrer et récupérer des données dans la mémoire d’un ordinateur. Puis elles avaient ensuite à s’exfiltrer. Les militaires pouvaient utiliser leur téléphone personnel pour s’orienter et recevoir des instructions… Mais ils ignoraient que des moyens allaient être mis en oeuvre pour les identifier via leur identifiant physique stocké dans la carte réseau de leur gsm.

Il n’en fallait pas plus pour faire échouer la mission d’exfiltration. Toutes les tentatives se sont soldées immanquablement par un échec. Les e-mails des militaires infiltrés, leurs profils sur les réseaux sociaux, l’usage des messageries instantanées ou la puce GPS de leur smartphone ont été piratés La force chargée de faire échec à l’exfiltration des équipes du Bataillon de Chasseurs ardennais a pu compter sur un nouveau dispositif, appelé « Cyber Gun ». Développé en interne par la Défense belge, il s’agit d’une sorte de radar qui signale la direction précise de la signature électronique d’un smartphone identifié. Aussi, est-il avancé dans le compte-rendu de l’exercice « Cyber Winter »: « dans ces conditions, avoir le téléphone dans sa poche suffit pour être capturé. »

Le cybergun développé par la Défense

Samedi 22 février, le gouvernement français a publié un décret qui autorise les gendarmes à utiliser sur leur tablette l’application Gendnotes. Cette application, utilisée depuis plusieurs années sans cadre juridique, permet une prise de note informatique réalisée directement sur le terrain. Le décret précise désormais que, avec Gendnotes, les gendarmes peuvent prendre en photo n’importe quelle personne qu’ils suspectent d’avoir commis une infraction. Ils peuvent aussi enregistrer des informations sur leur religion, politique, sexualité ou prétendue origine raciale, à la simple condition que de telles informations soient « absolument nécessaires » aux fichiers de police judiciaire (pour lutter contre les crimes, délits, et certaines contraventions, telles que le « trouble à la sécurité » ou « l’atteinte à l’autorité de l’État ») ou de police administrative (les fiches des services de renseignement). Cette absolue nécessité n’est, en pratique, jamais vérifiée. De plus l’enregistrement du code PIN ou du code PUK pourra être réalisé dans le cadre d’enquêtes afin de déverrouiller un appareil.

Ces photos et informations sont au moins transmises au LRPGN (le logiciel de rédaction des PV de la gendarmerie), qui les transmet à son tour au TAJ (traitement des antécédents judiciaires) si les gendarmes décident d’ouvrir une procédure. Dans ce cas, les informations seront conservées dans le TAJ pendant 20 ans, accessibles par toute la police et la gendarmerie et les photos pourront être utilisées ultérieurement par un système de reconnaissance faciale pour identifier des personnes. Plus d’infos ici.

Gendarmes mobiles

Plusieurs corps policiers canadiens ont admis ces derniers jours avoir utilisé  la technologie de reconnaissance faciale développée par Clearview. Cette technologie développée par une entreprise états-unienne permet de comparer des photos de suspects à une banque d’images contenant plus de 3 milliards de photos. Pour constituer une telle base de donnée, Clearview AI a copié sans autorisation des images privées de millions d’utilisateurs de Facebook, Twitter, YouTube et de plusieurs autres réseaux sociaux (voir notre article).  Le Service de police de la Ville de Montréal refuse de confirmer ou d’infirmer s’il en a déjà fait l’utilisation. La police de Toronto et celle d’Ottawa ont admis avoir testé le logiciel. Le chef de police de Toronto, dont le service avait d’abord démenti en faire l’usage, a exigé que cette pratique cesse immédiatement. La Sûreté du Québec, qui a lancé un appel d’offres pour acquérir un logiciel de reconnaissance faciale qui sera en fonction « au plus tard le 30 novembre 2020, prétend n’avoir jamais utilisé Clearview. Le corps policier provincial prétend également ne pas avoir utilisé l’outil.

L’entreprise prend également plusieurs initiatives agressive afin de gagner des parts de marché. Lorsque des corps policiers publient des photos de suspects recherchés, Clearview AI cherche une correspondance grâce à son logiciel, et si elle en trouve une, informe le corps policier du résultat même si ce dernier n’a jamais sollicité ses services. L’entreprise fournit aussi des accès gratuits temporaires à des policiers afin de les convaincre de la puissance du logiciel. L’entreprise a aussi affirmé avoir offert ses services à des institutions financières, sans toutefois donner plus de détail.Publicité de Clearview AI

Mercredi 19 févier, la Commission européenne a dévoilé son plan pour redessiner l’avenir digital de l’Union européenne. Ce plan vise à rattraper le retard pris par l’Europe en la matière en s’attelant à deux chantier stratégiques : L’intelligence artificielle et l’utilisation des données. Des rumeurs qui avaient filtré dans la presse, prêtaient à la Commission l’intention d’établir un moratoire de 3 à 5 ans sur l’utilisation de la reconnaissance faciale à des fins d’identification. Il n’en est finalement rien. La Commission souhaite simplement « lancer un large débat sur les circonstances qui pourraient justifier des exceptions à l’avenir ».

Reconnaissance faciale

Le 17 novembre 2019, se tenait l’acte 53 des Gilets Jaunes. Au cours de cet acte des affrontements ont notamment eut lieu à Nantes et un McDonalds a été attaqué (voir notre article). Mardi 17 février 2020, la police nationale de la ville a annoncé avoir identifié le manifestant qui aurait attaqué le McDonalds et qui aurait participé aux affrontements avec la police. Cette identification a été rendue par les vidéos qui circulent sur les réseaux sociaux. Le militant a été interpellé à son domicile et placé en garde à vue. Il est convoqué devant les tribunaux le 14 mai. Le Secours Rouge mène depuis plusieurs année une campagne afin de responsabiliser les personnes qui prennent des photos en manifestation. Prendre des photos ou des vidéos de manière irresponsable peut en effet mettre en danger les manifestant·es. Voici le lien vers notre brochure sur la question.

Gilets Jaunes - Acte 53 - manifestation à Nantes

Même brisé, brûlé, fondu, percé, noyé, cuit, le smartphone peut quand même livrer ses secrets selon le NIST, l’agence technologique du département du Commerce des États-Unis. Même s’il ne peut être allumé ou branché à un ordinateur, un téléphone mobile très endommagé garde bien souvent en mémoire les données enregistrés sur ses circuits imprimés. Le NIST a utilisé une cinquantaine de téléphones sous Android et iOS, ajoutant et supprimant des données au fil de leur utilisation, puis a tenté d’en détruire certains. Ses techniciens ont ensuite principalement pratiqué deux méthodes pour récupérer les données « supprimées ». La première, celle du “J-Tagging”, consiste à retrouver le “tap” ou port d’accès de test de l’hardware de l’appareil. Chaque circuit intégré (des téléphones autres que des iPhones) respecte un “JTAG”, un standard de fabrication. Celui-ci se caractérise par un port spécial, utilisé uniquement par les fabricants pour tester le fonctionnement des circuits intégrés. Les experts du NIST et de la police scientifique sont capables de détourner ce “tap” pour accéder à l’ensemble des données gravées sur le circuit grâce à des logiciels d’interprétation. L’autre méthode dite du “chip-off” consiste à broyer les puces présentent sur un circuit intégré pour atteindre ses broches et ainsi atteindre le circuit intégré sous-jacent. Ces méthodes physiques ont donné accès à bien plus d’informations que si un logiciel d’extraction avait été utilisé.

illustration

C’est jusqu’au 25 mai que les détenteurs privés de caméras de surveillance, particuliers ou sociétés, doivent se faire enregistrer. Une obligation décrétée le 25 mai 2018 avec une période transitoire de deux ans qui se termine donc prochainement. Jusqu’à présent, 11.239 déclarations ont été rentrées pour un total de 41.309 caméras, soit 3,7 caméras en moyenne par déclaration. Les personnes morales, essentiellement les sociétés commerciales, ont déposé 13.433 déclarations pour 119.003 caméras soit près de 9 caméras par enregistrement. Le nombre des caméras est bien entendu bien plus important puisqu’aux caméras enregistrées il convient d’ajouter celles qui ne le sont pas (mais qui, ne rentrant pas les fichiers de la police, sont moins susceptibles de voir leurs enregistrements être utilisés par elle)  et toutes celles des services de police. Les caméras privées situées à l’extérieur doivent être dirigées vers le bâtiment. Si une petit portion de la voie publique apparaît sur les images, cela n’est autorisé que si c’est limité au minimum. En outre, chaque système doit être signalé par un pictogramme.

fail...

fail…

Jeudi 6 février, des tireurs de précision était déployé dans le cadre du dispositif policier visant en contrôler la manifestation contre la réforme des retraites. Ils étaient équipés d’armes de guerre (des fusils d’assaut HK G36) avec des viseurs militaires. Plus d’infos ici.

Des tireurs de précision déployés à Nantes dans le cadre des manifestations

 

Les services de police aux États-Unis accordent une grande importance à la possibilité d’accéder aux données contenues dans les smartphones (voir notre article) ces données pouvant notamment être utilisées comme preuves devant un tribunal. Si les enquêteurs semblent parvenir à accéder aux données contenues dans les iPhones, l’opération serait de plus en plus difficile en ce qui concerne le cryptage Android (jusqu’à il y a un an la situation était inversée). Par exemple, Cellebrite, l’une des sociétés les plus importantes que les agences gouvernementales embauchent pour craquer des smartphones, possède un outil de piratage qui peut pénétrer dans n’importe quel iPhone,  y compris l’iPhone X. L’outil extrait des données telles que les enregistrements GPS , des messages, des journaux d’appels, des contacts et même des données provenant d’applications spécifiques telles qu’Instagram, Twitter, LinkedIn, etc.

Cependant, ce même outil de cracking Cellebrite a beaucoup moins de succès avec le cryptage Android installé sur des modèles de smartphone couramment utilisés. Par exemple, l’outil n’a pas pu extraire de données de médias sociaux, de navigation Internet ou de GPS à partir d’appareils tels que le Google Pixel 2 et le Samsung Galaxy S9. Dans le cas du Huawei P20 Pro, le logiciel de craquage n’a littéralement rien obtenu. Notons cependant que le cryptage Android n’est pas à toute épreuve. Le processus nécessite simplement plus de main-d’œuvre, de temps et de ressources.

android-nypd.jpg