Abécédaire des architectures distribuées
| ,12. Cybercriminalité
Texte intégral
1La cybercriminalité regroupe les infractions pénales et les actes illicites commis sur les réseaux et les systèmes informatiques. Elle comprend, au sens large, les politiques pénales, les institutions, les procédures, les sanctions, les études et les dispositifs de prévention et d’investigation de ces mêmes infractions. La cybercriminalité ne concerne ni le droit des contrats ni les dommages relevant du droit civil. Elle regroupe trois types d’infractions (Quéméner et Charpenel, 2010) :
-
les infractions spéciales, nées avec les technologies de l’information, comme les atteintes aux systèmes de traitement, les traitements non autorisés de données personnelles, les infractions à la carte bancaire, les chiffrements illicites ou les interceptions ;
-
les infractions facilitées par les technologies de l’information que sont les escroqueries, le blanchiment d’argent, la contrefaçon ou toute autre violation de la propriété intellectuelle ;
-
les infractions générales, utilisant les technologies de l’information : cette catégorie regroupe notamment les jeux d’argent, la pédopornographie, l’incitation au terrorisme, et à la haine raciale sur internet.
2La cybercriminalité est parfois rapprochée et même confondue avec la cybersécurité, qui concerne les atteintes à la sécurité des systèmes et réseaux d’information du point de vue de la sécurité de l’État et de ses installations (Freyssinet, 2012). Les mesures prises pour assurer la cybersécurité, nécessaires pour lutter contre le terrorisme et la montée de la criminalité informatique peuvent constituer dans certains cas un risque pour les libertés publiques et notamment la vie privée.
Les infractions spéciales et les circonstances aggravantes
3L’édifice pénal a été modifié au vu de l’explosion et de la globalisation du phénomène de la cybercriminalité (Chawki, 2009). Les infractions de droit commun ont été adaptées aux spécificités présentées par leur commission sur les réseaux numériques. Dans certains cas, de nouvelles infractions ont été introduites, ou des circonstances aggravantes ajoutées.
4On citera quelques exemples. En ce qui concerne la délinquance financière, l’article L 163-1-1 du Code monétaire et financier permet de punir la fabrication, la détention, ou l’offre d’équipements ou programmes informatiques conçus ou spécialement adaptés à la contrefaçon ou à la falsification des cartes de paiement.
5Ensuite, des instruments répressifs spécifiques ont été récemment mis en place pour la lutte contre la diffusion de la pédopornographie sur Internet. La loi 2007/297 du 5 mars 2007 relative à la prévention de la délinquance a notamment introduit des dispositions à ce propos dans la partie du code qui vise la mise en péril des mineurs (section V, du Chapitre VII, Titre II du Livre II). Notons que le fait de consulter habituellement un service de communication au public en ligne mettant à disposition une image ou représentation pédopornographique est devenu une infraction spéciale (article 227-23, alinéa 4 Code pénal).
6Mais surtout, le législateur pénal a élaboré des catégories d’infractions pénales spécifiquement numériques. Ces catégories relèvent de la loi 801/2004 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel. Cette loi a introduit dans le II titre du Livre II du Code Pénal, un Chapitre III (articles 323-1 à 323-7) consacré uniquement à la répression des atteintes aux systèmes de traitement automatisé des données (« STAD »). Ensuite, dans la même loi de 2004, une nouvelle catégorie d’infractions vise la mise en place de traitements de données personnelles qui ne seraient pas conformes aux mécanismes de garantie du droit à la vie privée.
Moyens d’investigation
7Les moyens classiques d’investigation avaient facilité dans un premier temps la surveillance et les poursuites pénales en matière de cyberdélinquance. On peut distinguer différents types d’investigation en la matière.
-
La réquisition informatique : un officier de police judiciaire peut imposer à une personne de fournir des données contenues dans un système informatique qui seraient utiles à l’enquête en cours.
-
L’interception de communication appliquée à Internet : Cette technique consiste à interposer, au moyen d’une dérivation sur la ligne, un procédé d’enregistrement de la conversation. L’objectif est de remonter à partir de l’adresse IP associée à un ordinateur, ou URL associée à un site, jusqu’à l’identité de l’utilisateur qui peut être l’auteur d’une infraction.
-
La mise en clair de données chiffrées : Le législateur autorise les magistrats à recourir aux techniques de déchiffrement des messages cryptés dès lors que le décryptage est utile à la manifestation de la vérité.
-
La conservation des données de trafic : Les textes imposent la conservation des données relatives aux utilisateurs et définissent les conditions de leur transmission à différents services de l’État. L’article L 34-1 du Code des postes et des communications électroniques pose une obligation de conserver les données de trafic en imposant aux fournisseurs d’hébergement et aux fournisseurs d’accès à Internet de conserver les données de nature à permettre d’identifier des personnes ayant contribué à la création de contenus mis sur Internet (blogs, pages personnelles, etc.). Il s’agit par exemple des informations permettant d’identifier l’utilisateur ; la date, l’horaire et la durée de chaque communication ; les données permettant d’identifier le ou les destinataires de la communication (par exemple les « logs » de connexion permettant de connaitre l’heure et la durée de connexion d’un utilisateur à Internet, l’adresse IP et les sites visités).
8Récemment, de nouveaux moyens d’investigations et outils procéduraux se sont développés compte tenu de la spécificité de la cyberdélinquance comme :
-
La perquisition informatique : Cette perquisition en ligne est effectuée à partir de l’ordinateur de l’officier de police judiciaire. Il s’agit en réalité d’une » analyse numérique ».
-
La saisie et l’exploitation de données informatiques : L’article 56 alinéa 5 du code de procédure pénale précise qu’il est procédé à la saisie des données informatiques nécessaires. La seule limite légale au droit de perquisitionner à laquelle peuvent être confrontés les cyberpoliciers est celle de l’accès à des données stockées dans un système informatique situé en dehors du territoire français.
-
L’infiltration numérique : Ce dispositif permet par exemple d’intervenir de façon dissimulée sur un forum de discussion ou sur des sites internet. Il s’agit d’une technique d’enquête d’exception qui ne doit être utilisée que dans le cadre des investigations concernant des infractions précises, prévues à l’article 706-73 du code de procédure pénale (criminalité et délinquance organisée). Cette disposition permet à un officier ou agent de police judiciaire, de « participer sous un pseudonyme aux échanges électroniques, d’être en contact avec les personnes susceptibles d’être les auteurs d’infractions sexuelles, d’extraire, de transmettre en réponse à une demande expresse, d’acquérir ou de conserver des contenus illicites dans des conditions fixées par décret ». Ainsi, les policiers et les gendarmes peuvent être autorisés à aller sur Internet afin de détecter des internautes pédophiles. Ils peuvent ainsi collecter des preuves d’infraction en matière de traite des êtres humains, de proxénétisme et de recours à la prostitution des mineurs commises par un moyen de communication électronique.
-
La captation de données à distance : Ce mode d’investigation appelé aussi « captation de données informatiques » a été créé par la loi du 14 mars 2011. Ce dispositif qui consiste pour les cyberpoliciers à placer un cheval de Troie à l’insu de la personne soupçonnée est mis en place sous le contrôle d’un magistrat. Elle ne concerne que les infractions les plus graves (article 706-73 du Code de procédure pénale qui concerne la criminalité et délinquance organisées). Cette surveillance pourra durer jusqu’à huit mois maximum.
Réseau pair-à-pair et darknet
9La cybercriminalité concerne tous les systèmes informatiques, qu’ils soient centralisés ou distribués. Les réseaux distribués, souvent considérés comme zones de non-droit, sont souvent désignés comme facilitant la cybercriminalité. Les architectures distribuées peuvent induire de nouveaux comportements, positifs comme le développement de la démocratie sur internet, mais elles peuvent aussi inciter à des comportements négatifs en introduisant de nouveaux espaces potentiels de délinquance, soit parce que ces dispositifs n’ont pas d’autorité supérieure et de centre de commandement soit parce que les notions de sécurité, légalité, confidentialité peuvent être difficiles à appréhender dans de tels environnements éclatés, répartis, fragmentés. Ce faisant ces architectures distribuées produisent aussi des collectifs d’un type nouveau qui redéfinissent les biens communs et les liens de confiance qu’ils construisent. Elles sont aussi des lieux d’innovation technologique.
10Le droit pénal en général et la cybercriminalité en particulier ne s’appliquent par définition qu’à l’espace public. Or le réseau informatique distingue de façon incertaine ce qui relève de l’espace privé et de l’espace public. C’est pourquoi la cybercriminalité fait parfois des amalgames entre ce qui est du réseau pair-à-pair, du réseau social et de l’espace public.
11Les architectures distribuées rendent la censure, les investigations légales ou les attaques pirates plus difficiles. La plupart des questions de cybercriminalité dans les réseaux P2P sont dues au e-commerce illicite, ou au partage généralisé de fichiers. Les utilisateurs recherchent en effet :
-
l’anonymat, ce qui évite l’identification et donc d’éventuelles poursuites judiciaires ;
-
le brouillage du protocole, ce qui évite les filtrages du fournisseur d’accès à internet et donc d’être repéré par lui ;
-
le chiffrement, ce qui brouille l’identification du contenu donc ne permet pas de voir si le fichier est illégal.
12Comme les requêtes passent par plusieurs nœuds, le traçage devient difficile. Quant au mécanisme d’identification des acteurs et des contenus, il est rendu pratiquement impossible. Ce mécanisme de « cache », utilisé conjointement avec le chiffrement des données, empêche les intermédiaires de voir ce qui transite.
13Ces architectures décentralisées concernent aussi la partie du web appelé darknet (les réseaux de confiance ou F2F). Ce type de réseau est un réseau privé virtuel dont les utilisateurs sont considérés comme des personnes en qui la communauté peut avoir confiance. Les darknets sont distincts des autres réseaux pair-à-pair distribués car le partage y est anonyme (c’est-à-dire que les adresses IP ne sont pas partagées publiquement) et donc les utilisateurs souvent peu nombreux peuvent communiquer sans crainte d’interférence gouvernementale ou d’entreprises commerciales opérant sur le net. Mais ces réseaux peuvent porter aussi atteinte à la confidentialité des données.
14Les darknets sont souvent associés avec la dissidence politique mais aussi avec les activités illégales ou la vente d’objets illicites (de type cybercriminalité). Mais, et c’est là que réside l’ambiguïté du terme, ces réseaux sont parfois utilisés pour décrire simplement tout type de sites non-commerciaux sur Internet.
- 17 Voir Preuve*.
15La question de la preuve qui est au cœur de poursuite pénale pose des problèmes spécifiques17. Les réseaux de ce type peuvent en effet être soupçonnés du pire et du meilleur, de l’intentionnalité criminelle à la liberté de préserver l’expression politique. Il en est de même en ce qui concerne l’identité des acteurs qui pourraient être impliqués.
16Enfin, en ce qui concerne la qualification de l’infraction, le caractère transnational du réseau, si une infraction se produit dans plusieurs pays, ajoute encore une difficulté supplémentaire à toute répression pénale.
Les réseaux maillés ou Mesh
17La coupure de l’accès à Internet en Syrie ou en Égypte a donné une visibilité nouvelles aux réseaux Mesh*, ou réseaux maillés. Ces réseaux d’ordinateurs utilisés pour communiquer durant des catastrophes naturelles ou des crises peuvent constituer une solution pour garder le contact avec les personnes sur le terrain. Les réseaux de téléphonie mobile plient sous le nombre d’appels durant les attentats de Boston, comme partout dès qu’une catastrophe naturelle ou un attentat ont lieu.
18Dans tous ces nouveaux cas de rupture, volontaire ou non, des réseaux de communication, on reparle des réseaux Mesh. De nombreuses villes et communautés dans le monde ont mis en place ces réseaux maillés, soit pour desservir un quartier, avec un seul point de contact au fournisseur d’accès, ou pour équiper des villages et des écoles en milieu rural, en Afrique ou au Tibet, par exemple. Depuis ces expériences, les réseaux maillés attirent ceux qui n’apprécient pas la nouvelle tendance centralisatrice d’internet et le pillage de données privées par les entreprises sur les réseaux sociaux classiques, ou Internet en général, car ces réseaux peuvent être cryptés et rester invisibles.
19Les réseaux de type mesh peuvent créer de nouveaux espaces de liberté numérique. En effet, la centralisation des accès au réseau Internet, notamment à travers les FAI, renforce le contrôle des connexions. La neutralité du réseau est de plus en plus remise en question. Par les différentes lois publiées en France (LCEN, LOPPSI, LOPSI) ou qui ont été bloquées en cours de débat aux États-Unis (SOPA, ACTA), on réalise que les États tentent de prendre le contrôle d’Internet. Les projets de filtrage du net, de blocage de noms de domaines, de contrôle de contenus échangés sont une dérive et deviennent incompatibles avec les objectifs originels.
Le partage des données et le droit d’auteur
- 18 Voir Communiquer en P2P*.
20Napster et BitTorrent18 ont été confrontés à la violation du droit d’auteur. Bien que l’investigation soit techniquement plus difficile qu’avec les logiciels de partage de fichiers en pair-à-pair de la génération précédente (comme eMule et les logiciels utilisant le protocole Gnutella), les officiers de police judiciaire ou les cyberpoliciers peuvent toujours retrouver des utilisateurs dont le client partage des fichiers. Mais comme le droit d’auteur ne s’applique que dans l’espace public, le partage de fichier à titre privé, même en utilisant des moyens modernes comme le protocole BitTorrent, n’est pas punissable dans la plupart des pays. C’est pourquoi dans certains États, un arsenal législatif a été conçu pour toucher les particuliers dans leurs partages de documents soumis au droit d’auteur.
21Dans cette optique, la loi Hadopi (Haute Autorité pour la diffusion des œuvres et la protection des droits) en France vise à éradiquer le protocole Bittorrent perçu comme problématique. Il constitue pourtant le seul moyen aisé et bon marché de diffuser rapidement et en masse les giga-octets d’une distribution Linux à des centaines de milliers de personnes. Désormais, l’article L 122-5 2° du code de la propriété intellectuelle, dans sa nouvelle rédaction, dispose : « Lorsque l’œuvre a été divulguée, l’auteur ne peut interdire : 2° Les copies ou reproductions réalisées à partir d’une source licite et strictement réservées à l’usage privé du copiste et non destinées à une utilisation collective ». Autrement dit, le fait de télécharger un fichier qui contient une œuvre protégée est dorénavant susceptible d’engager la responsabilité pénale de l’internaute, quand bien même le téléchargement est strictement réservé à son usage personnel et ne serait suivi d’aucune remise en ligne. Pour invoquer l’exception de copie privée et s’exonérer de sa responsabilité, l’internaute doit désormais démontrer que le fichier qu’il a téléchargé provient d’une source licite. Mais rapporter une telle preuve relève de l’impossible en pratique puisqu’il est extrêmement difficile d’identifier la personne qui a mis en ligne l’œuvre protégée.
22L’utilisateur d’un logiciel de P2P n’est pas le seul à être susceptible de voir sa responsabilité engagée. En effet, la loi n° 2006-961 du 1er août 2006 relative au droit d’auteur et aux droits voisins dans la société de l’information (loi DADVSI) a introduit une nouvelle disposition dans le CPI qui permet également d’engager la responsabilité de l’éditeur d’un logiciel de P2P. Désormais, l’article L 335-2-1 1° dispose : « Est puni de trois ans d’emprisonnement et de 300 000 euros d’amende le fait : 1° d’éditer, de mettre à la disposition du public ou de communiquer au public, sciemment et sous quelque forme que ce soit, un logiciel manifestement destiné à la mise à disposition du public non autorisée d’œuvres ou d’objets protégés ».
23Les logiciels de P2P entrent dans le champ d’application de la disposition. Cependant, il revient au juge d’établir dans quelle mesure le logiciel tend à favoriser la contrefaçon. Pour s’exonérer, l’éditeur du logiciel de P2P devra démontrer que l’utilisation du logiciel n’a pas pour finalité manifeste d’encourager la contrefaçon. Autrement dit, que la plupart des échanges effectués par le logiciel sont licites, c’est-à-dire qu’une autorisation préalable de mise à disposition des œuvres protégées a été accordée par les titulaires des droits patrimoniaux sur les œuvres.
24La question de l’anonymat s’est transformée avec le déploiement des réseaux Mesh et d’une façon générale des réseaux pair-à-pair ou des applications comme Bitcoin*. Les défis juridiques posés par ce mouvement aux cyberpoliciers sont la fragmentation des données et des acteurs, et l’identité des responsables.
Sortir du maquis juridique ?
25Malgré son évolution permanente, le dispositif législatif français en matière de cybercriminalité est « éparpillé » dans divers textes. Il est peu aisé de connaître avec précision ce qui est aujourd’hui reconnu comme un acte cybercriminel par le droit français. Myriam Quéméner et Joël Ferry (2009) décrivent le dispositif législatif et réglementaire français comme un « maquis » quelque peu ésotérique.
26Le nombre des victimes explose suite au déploiement des réseaux mobiles 3G/4G. Dans son observatoire des marchés des communications électroniques, l’ARCEP souligne la forte croissance du nombre d’utilisateurs du réseau mobile 4G qui est passé de 3,7 à 5,5 millions entre le premier et le deuxième trimestre 2014. La criminalité a ainsi pris une forme difficile à combattre tant elle échappe aux dispositions juridiques, et ses conséquences les plus lourdes économiquement restent celles engendrées par les logiciels malveillants et les attaques par déni de services distribué (DDoS). Dans un rapport publié par la société Trend Micro, les cybercrimes en provenance de l’Afrique sont classés parmi les dix principales menaces qui pèseront sur les entreprises et le grand public dans les années à venir.
27Avec l’avènement du tout numérique au sein des entreprises et des foyers, les cybercriminels en viendront naturellement à s’attaquer aux services Cloud (Bourcier & De Filippi, 2011). Le monde contemporain est marqué par la concurrence et la compétitivité, et la protection des données sensibles, comme les informations de R&D ou de cartes bancaires, sont très prisées par les cybercriminels.
28En résumé, la lutte contre la cybercriminalité n’est pas aisée. Il existe plusieurs obstacles à cette lutte : le caractère vaste des réseaux informatiques, la rapidité de commission des infractions, la difficulté de rassembler des preuves, et enfin des méthodes d’investigation et de contrôle qui peuvent se révéler attentatoires aux droits fondamentaux, en particulier au droit à l’anonymat et à la liberté d’expression (Richet, 2013).
29Au niveau juridique, ce qui pose aujourd’hui beaucoup de difficultés procédurales c’est le fait qu’un même comportement en France et à l’étranger n’est pas pareillement considéré. Il peut constituer une infraction dans un pays et pas dans l’autre : ainsi la « promotion du cannabis », ou encore la « provocation pour surprendre les pédophiles » (Giudicelli & Matsopoulou, 2003). Cela renvoie à un autre problème, celui de la loi applicable. En effet, la cybercriminalité « bouleverse le principe classique de la territorialité de la loi pénale ». La loi française sera applicable dès lors qu’un élément constitutif de l’infraction a eu lieu en France (TGI de Paris 17ème chambre, 26 février 2002). Ainsi, par exemple, la simple réception par l’utilisateur est un élément constitutif de l’infraction. Mais s’il n’y a pas d’élément constitutif de l’infraction en France, la loi française ne sera pas applicable. Il faut alors lutter chaque jour contre les « cyber paradis » juridiques, pour une meilleure efficacité du droit relatif à la cyber criminalité.
- 19 http://www.numerama.com/magazine/32052-le-chiffrement-generalise-et-le-reseau-tor-preoccupent-aux- (...)
30C’est pour contrer cette tendance vers la centralisation (et la réglementation) croissante du réseau que diverses communautés en ligne ont développé des logiciels visant à préserver les libertés fondamentales des internautes (telles que la vie privée ou la liberté d’expression) mais aussi (et surtout) à restaurer l’architecture distribuée et décentralisée du réseau19.
31Dans ce contexte, la révision et la mise à jour de la directive européenne 95/46 relative à la protection des données personnelles, un des principaux instruments de droit communautaire encadrant la vie privée devient cruciale pour protéger les citoyens. Cette révision a abouti à une refonte du cadre européen, qui sera dorénavant fondé sur deux actes juridiques : un règlement général sur la protection des données et une directive portant sur la protection des données utilisées dans le cadre des affaires de police et justice pénale.
32Pour conclure, avec l’arrivée de la technologie du « blockchain » qui ajoute à la décentralisation des données et des réseaux, et à la cryptographie des contenus, des rapports contractuels auto-exécutables (smart contracts), des questions juridiques et éthiques vont se poser sur l’exercice du contrôle et de surveillance par les Etats. L’avènement de la Lex crytographia devra conduire à redéfinir la façon dont le droit pénal et les régles procédurales devront être conçus, mis en application et sanctionnés dans ce contexte opaque et fragmenté. Les autorités auront certes la possibilité d’empêcher le développement d’organisations décentralisées illégales en poursuivant les développeurs ou les utilisateurs de plateformes fondées sur le « blockchain » comme cela avait été fait pour la plateforme The Silk Road (fondée sur TOR). Déjà, des pressions sont faites dans certains pays (Grande Bretagne) pour empêcher l’utilisation des techniques cryptographiques mais ces interdictions ne seraient pas sans poser des questions constitutionnelles.
33De même, le « blockchain » pourrait être utilisé pour gérer les identités numériques puisque chaque transfert, vote, achat peut être enregistré dans cette technologie, créant un dossier permanent qui remettraient en cause les limites mêmes de la vie privée.
Notes
18 Voir Communiquer en P2P*.
19 http://www.numerama.com/magazine/32052-le-chiffrement-generalise-et-le-reseau-tor-preoccupent-aux-usa.html#zePJvDmFs26v9rjf.99
© Presses des Mines, 2015