Des limites de la censure comme stratégie de prévention

Le gouvernement australien a décidé d'axer sa future stratégie de lutte contre les contenus pédophiles en ligne sur la mise en place d'un système obligatoire de filtrage auquel devront se plier les fournisseurs d'accès. Ce système repose sur une liste de sites interdits distribuée aux fournisseurs d'accès et sur l'obligation pour ces derniers de bloquer la consultation de ces sites par leurs clients. Par ailleurs, les sites australiens qui choisiraient d'insérer des liens vers des sites interdits s'exposent à des amendes pouvant aller jusqu'à 11,000$ australiens par jour. 

Cela paraît simple au premier abord et d'autres pays comme le Danemark ou la Norvège ont adopté une approche similaire. Le principal problème est que les listes qui sont constituées par les autorités responsables de ce contrôle sont en général secrètes et que cette "censure" opaque ouvre la porte à des abus de toutes natures. Tout d'abord, étant donné la nature dispersée de l'offre d'accès à Internet, les chances que ces listes restent confidentielles sont minces. On retrouve d'ailleurs la plupart d'entre elles sur le site Wikileaks. 

Ensuite, l'examen approfondi de ces listes démontre que s'y retrouvent des sites qui n'ont aucun rapport avec la pédophilie. Ainsi, d'après le quotidien Sydney Morning Herald, on la liste australienne comprend des sites de casinos et de paris en ligne, des sites de pornographie légale et de fétichisme, des pages de l'encyclopédie en ligne Wikipedia, des sites favorables à l'euthanasie et à l'avortement (légal en Australie), des sites faisant la promotion de religions marginales comme le satanisme ou certaines églises chrétiennes, ainsi que le site d'un dentiste et d'une agence de voyages! La liste rendue publique contient un peu plus de 2000 adresses, mais le gouvernement australien prévoit d'y inclure plus de 10,000 sites à terme.

Les opposants à cette politique font à juste titre valoir le potentiel d'atteinte aux libertés individuelles que représente l'existence d'une liste secrète de sites Internet interdits, ainsi que l'absence de mécanismes indépendants de contrôle des processus d'inclusion dans cette liste et d'appel en cas d'erreur. D'autres soulignent à quel point l'existence d'une telle liste ouvre la porte à des abus de la part des dirigeants politiques qui pourront s'en servir pour supprimer l'accès à des informations gênantes. 

La mise en ligne de la liste australienne et le débat auquel elle donne lieu illustrent cependant la futilité de vouloir mettre en oeuvre des programmes de prévention dont la principale caractéristique est le secret. Cela dénote de la part des autorités régulatrices un sérieux déficit de compréhension de ce qui fait justement la force de l'Internet, à savoir sa nature distribuée et adaptative qui permet à l'information de circuler avec une fluidité inégalée.

Un pirate "efface" l'identité de plusieurs milliers de fonctionnaires en Australie

Plus radical que n'importe quel plan de réforme de la fonction publique, un pirate a été accusé hier en Australie d'avoir paralysé pendant plusieurs heures le système informatique du gouvernement  du Territoire du Nord et d'avoir par la même occasion fait disparaître l'identité d'environ 10.000 fonctionnaires. Ces incidents, qui se sont produits le 5 mai ont affecté les serveurs du ministère de la santé, de l'hôpital de Darwin (la capitale du territoire), de la prison locale et de la Cour suprême. L'auteur avait également en sa possession au moment de son arrestation des mots de passe appartenant au service de police.

Cette attaque a causé des dommages qui nécessiteront plusieurs mois de travail avant que la situation ne revienne à la normale. Pourtant, elle n'est pas le fruit d'un génie de l'informatique qui aurait exploité une vulnérabilité méconnue sans réaliser les conséquences de ses actes. Il s'agit plutôt de la vengeance d'un consultant de haut niveau qui était chargé d'assurer la maintenance de ces systèmes de janvier à avril, et qui a utilisé le compte d'un ancien collègue pour accéder aux serveurs qu'il souhaitait endommager. 

Cet incident est loin d'être isolé si l'on en croit un rapport rendu public en 2004 par le Secret Service américain et l'Université Carnegie Mellon. Ce rapport met en effet en lumière à quel point la menace provenant de l'intérieur de l'organisation est tout aussi réelle mais sous-estimée en comparaison du spectre des menaces externes, et que bien souvent, trop peu de précautions sont prises pour protéger les systèmes informatiques et les données qu'ils contiennent lorsque des employés bénéficiant d'accès privilégiés quittent l'organisation en de mauvais termes avec leur hiérarchie ou leurs collègues. 

De tels événements ne peuvent être prévenus par des solutions technologiques. De plus, ils ne requièrent bien souvent que des compétences techniques très élémentaires, et ne correspondent pas à un profil particulier d'employés, ce qui rend leur détection très difficile. Ce sont plutôt des politiques "défensives" et systématiques de gestion des privilèges d'accès et de "débriefing" qui doivent être mises en place, afin d'identifier de manière précoce les (ex)-employés susceptibles de recourir à de telles pratiques.