- Deux ordonnances judiciaires émises par des enquêteurs fédéraux américains ont demandé à Google des informations sur les spectateurs de vidéos et de live streams YouTube spécifiques, faisant craindre que même des spectateurs innocents ne se retrouvent pris dans le filet de l’enquête
- Dans l’affaire du Kentucky, les autorités ont demandé les informations de comptes Google ayant regardé des tutoriels YouTube envoyés pour retrouver l’utilisateur « elonmuskwhm », ainsi que les adresses IP des spectateurs non connectés
- Dans l’affaire du New Hampshire, après une menace à l’explosif, la police a estimé avoir été surveillée via des live streams YouTube et a demandé la liste des comptes ayant regardé ou interagi avec huit streams sur un créneau horaire précis
- Google affirme examiner la validité juridique de toutes les demandes des forces de l’ordre ainsi que la protection de la vie privée des utilisateurs, et contester les demandes de données excessives ou inappropriées
- L’historique de visionnage en ligne peut révéler des informations sensibles comme les opinions politiques, les centres d’intérêt ou les croyances religieuses, ce qui fait craindre que ces ordonnances ne deviennent des opérations de ratissage numérique
Deux ordonnances judiciaires exigeant des informations sur certains spectateurs YouTube
- Des enquêteurs fédéraux américains ont exigé de Google, par voie d’ordonnance judiciaire, qu’il remette des informations sur les personnes ayant regardé certaines vidéos et certains live streams YouTube
- Des experts de la vie privée issus d’organisations de défense des libertés civiles s’inquiètent de cette méthode, qui pourrait traiter des spectateurs YouTube innocents comme des suspects criminels et s’apparenter à une surveillance excessive potentiellement anticonstitutionnelle
- Les documents judiciaires ne permettent pas de confirmer si Google a effectivement fourni les données
Affaire du Kentucky : demande d’informations sur les spectateurs pour retrouver « elonmuskwhm »
- Dans l’affaire rendue publique au Kentucky, des agents infiltrés cherchaient à identifier une personne utilisant le pseudonyme en ligne « elonmuskwhm »
- Les enquêteurs estimaient que cet utilisateur avait acheté des bitcoins en espèces et pouvait avoir enfreint les lois anti-blanchiment et les règles liées aux transferts d’argent sans licence
- Lors d’un échange début janvier, les agents infiltrés ont envoyé à l’utilisateur des liens vers des tutoriels YouTube sur la cartographie par drone et des logiciels de réalité augmentée
- Les autorités ont ensuite demandé à Google des informations sur les personnes ayant regardé ces vidéos
- Ces vidéos totalisaient plus de 30 000 vues
- La période visée allait du 1er janvier au 8 janvier 2023
- Pour les utilisateurs disposant d’un compte Google, elles ont demandé le nom, l’adresse, le numéro de téléphone et l’activité utilisateur
- Pour les spectateurs non connectés, elles ont demandé les adresses IP
- Les enquêteurs estimaient que ces historiques pouvaient aider à identifier l’auteur dans le cadre d’une enquête pénale en cours
Affaire du New Hampshire : menace à l’explosif et live streams YouTube
- La police de Portsmouth, dans le New Hampshire, a reçu d’un homme une menace affirmant qu’un explosif avait été placé dans une poubelle d’un lieu public
- Après avoir fouillé les lieux, la police a compris qu’elle avait été observée via des caméras diffusant en direct sur YouTube et liées à une entreprise locale
- Les enquêteurs fédéraux ont estimé que des incidents similaires s’étaient produits ailleurs aux États-Unis, avec le même schéma : menace à la bombe puis observation de la police via YouTube
- Les autorités ont demandé à Google la liste des comptes ayant « regardé et/ou interagi » avec huit live streams YouTube sur une plage horaire précise, ainsi que les informations d’identification associées
- Parmi eux figurait une vidéo publiée par Boston and Maine Live, qui compte 130 000 abonnés
- Mike McCormack, fondateur d’IP Time Lapse, l’entreprise derrière ce compte, a déclaré qu’il connaissait l’existence de cette ordonnance et qu’elle était liée à un cas de swatting visant alors le flux vidéo de la caméra
Position de Google et zones d’ombre
- Matt Bryant, porte-parole de Google, a déclaré que l’entreprise disposait de procédures strictes pour répondre aux demandes des forces de l’ordre tout en protégeant la vie privée des utilisateurs et leurs droits constitutionnels
- Google affirme examiner la validité juridique de chaque demande et se prononcer de manière cohérente avec une jurisprudence en évolution
- L’entreprise dit s’opposer aux demandes excessives ou inappropriées de données utilisateurs, et contester intégralement certaines d’entre elles
- Les documents judiciaires ne permettent pas de savoir si Google a réellement transmis des données dans ces deux affaires
- Le ministère de la Justice n’avait pas répondu aux sollicitations de commentaire au moment de la publication de l’article
Les experts de la vie privée s’inquiètent d’une possible inconstitutionnalité
- Des experts de la vie privée estiment que ces ordonnances pourraient affaiblir les protections du Premier et du Quatrième amendement garantissant la liberté d’expression et la protection contre les perquisitions abusives
- Albert Fox-Cahn, du Surveillance Technology Oversight Project, affirme qu’une tendance se dessine : des agences gouvernementales transforment les mandats de perquisition en filets numériques, ce qu’il juge anticonstitutionnel et terrifiant
- Selon Fox-Cahn, personne ne devrait craindre une visite de la police simplement parce qu’il a regardé un contenu mis en avant par l’algorithme de YouTube
- Il estime que l’effet dissuasif de cette ordonnance est comparable à celui des geofence warrants, qui réclament les données des utilisateurs présents près d’une scène de crime
- Dans une mise à jour de décembre, Google a annoncé vouloir rendre techniquement impossible la fourniture de données de localisation en réponse à des ordonnances geofence
- Auparavant, un tribunal californien avait jugé anticonstitutionnel un geofence warrant couvrant plusieurs zones densément peuplées de Los Angeles
- John Davisson, de l’Electronic Privacy Information Center, souligne que ce que l’on regarde en ligne peut révéler des informations sensibles sur la politique, les passions ou les croyances religieuses
- Davisson estime qu’il est légitime d’attendre que les forces de l’ordre n’accèdent pas à ces informations sans motif sérieux, mais que ces ordonnances remettent justement ce principe en cause
1 commentaires
Avis de Hacker News
Plusieurs affaires différentes sont mélangées ici
Dans le premier cas, le fait que la police ait mis en ligne une vidéo et demandé les informations des spectateurs est vraiment grave, et on peut se demander comment un tribunal a pu autoriser cela
Je n’ai pas entièrement compris le cas suivant, mais il semble qu’on soupçonnait l’auteur d’un swatting d’avoir regardé un certain flux en direct d’une caméra, et que la police avait fourni des critères assez restreints, comme une plage horaire ou d’autres caractéristiques, ce qui paraît beaucoup plus justifié
Ils ont demandé des informations sur une vidéo vue 30 000 fois ; même en supposant que tout le monde l’ait regardée 10 fois et que la personne visée fasse bien partie des spectateurs — ce qui n’est même pas clair — cela revient à violer les droits de 2 999 personnes pour en trouver une seule
Blackstone aurait probablement quelque chose à dire à ce sujet[0]. C’est littéralement 30 fois le ratio de Blackstone, qui a fortement influencé les Pères fondateurs
Ce genre de chose ne paraît pas justifié
Modification : coquille
[0] https://en.wikipedia.org/wiki/Blackstone%27s_ratio
En revanche, elle disposait d’un canal de communication ouvert avec la personne visée et pouvait lui envoyer plusieurs liens YouTube
L’hypothèse de la police est qu’en trouvant les utilisateurs qui ont cliqué sur tous ces liens, ou la plupart d’entre eux, il y a de fortes chances qu’on trouve la personne visée. La probabilité qu’un utilisateur aléatoire ait par hasard regardé toutes ces vidéos est faible
Cela dit, demander la liste brute complète des spectateurs ressemble à une violation de la Constitution. C’est beaucoup trop large et cela donne à la police trop d’informations même sur les utilisateurs qui n’ont regardé qu’une seule vidéo
Mais si la demande avait été beaucoup plus restreinte, en demandant à Google d’identifier l’utilisateur visé et de ne transmettre que ses informations, cela aurait peut-être pu être constitutionnel
D’un autre côté, des mandats ciblés qui révèlent les informations de nombreuses personnes ont déjà été jugés constitutionnels. L’exemple classique est un mandat demandant à un motel les noms de tous les clients enregistrés ou ayant fait un check-in à une date donnée, et cela a été confirmé à plusieurs reprises
La première affaire paraît étrange
C’est bien que Google résiste un peu. Je me demande toutefois s’ils le feraient aussi pour un Britannique non américain ; probablement pas
« Selon l’ordonnance du tribunal, le gouvernement a ordonné à Google de fournir les noms, adresses, numéros de téléphone et activités utilisateur de tous les utilisateurs de comptes Google ayant regardé cette vidéo YouTube »
J’espère que cela rend un peu plus clair pourquoi les grandes entreprises tech / réseaux sociaux insistent sur le numéro de téléphone au nom de « l’authentification à deux facteurs pour la sécurité », malgré les nombreuses attaques par SIM swapping
On peut utiliser un VPN, l’adresse ou le nom peuvent ne pas figurer sur le compte Google, mais le numéro de téléphone y est presque certainement. Et avec Android, c’est pire : il y a de fortes chances qu’ils puissent aussi extraire l’historique des apps et de navigation
Pour les grands fournisseurs, le credential stuffing est un gros problème, et l’exigence d’une authentification à deux facteurs est une mesure d’atténuation importante. Pour une attaque ciblée, on peut faire du SIM swapping, mais cela augmente fortement la difficulté par rapport au credential stuffing ordinaire
Google n’a actuellement aucune obligation légale de détenir les numéros de téléphone de tous les utilisateurs de YouTube, et Sundar n’irait pas en prison pour cela
Dire qu’« il y a 10 ans, un chef de produit chez Google a décidé de constituer une base de données de numéros de téléphone d’utilisateurs en prévision d’une éventuelle future demande de surveillance de masse par les forces de l’ordre, et de dire aux utilisateurs que c’était pour leur sécurité » est, quand on y pense, une théorie du complot assez absurde
— Personne n’a fait ça
Réfléchissez un peu, s’il vous plaît. Même pour une organisation plus petite qui ne possède à l’origine qu’un nom et une adresse e-mail, pourquoi voudrait-elle un numéro de téléphone ? Elle ne s’intéresse pas à l’identification des personnes. Et même si c’était le cas, elle a déjà l’e-mail et le nom
Il vaudrait mieux enlever le chapeau en aluminium
« Selon l’ordonnance du tribunal, le gouvernement a ordonné à Google de fournir les noms, adresses, numéros de téléphone et activités utilisateur de tous les utilisateurs de comptes Google ayant regardé cette vidéo YouTube entre le 1er et le 8 janvier 2023 »
Anecdote intéressante : Viacom avait aussi utilisé une demande très large similaire en 2008, dans le procès qui a failli faire disparaître YouTube à ses débuts[1]
Cette fois, c’est le gouvernement qui en fait la demande, et Google dispose potentiellement de beaucoup plus de données à fournir
[1]: https://web.archive.org/web/20100702111029/http://afp.google...
Je penche de plus en plus vers l’idée que l’anonymat n’est pas garanti. Il faut sans doute partir du principe que tout le monde sait ce que je fais et qui je suis
Donc il vaut peut-être mieux utiliser simplement son vrai nom et réduire fortement ses activités en ligne
Je ne l’ai pas encore totalement accepté, mais j’ai l’impression que c’est inévitable
À mon avis, la seule option est de rendre la vie privée et l’anonymat extrêmement faciles. Pas pour les techniciens, mais au point que même des grands-parents peu à l’aise avec la tech puissent s’en servir
Il faut pousser fortement des outils qui, comme Signal, donnent aux utilisateurs du chiffrement sans qu’ils aient à y penser. Les gens veulent de la vie privée et de la sécurité, mais ils ne savent pas comment faire, ou ne comprennent pas ce qui fait fuiter leurs données
L’ironie, c’est que l’industrie qui crée ce problème est précisément celle à laquelle nous participons au premier plan
Je ne suis pas encore prêt à avaler cette pilule, et je ne suis pas non plus convaincu qu’il le faille. Nous pouvons forcément faire quelque chose. Ne pas construire ce genre de choses, ou construire des défenses, suffirait déjà
L’indifférence revient à soutenir cette érosion autoritaire. Parce que c’est effectivement ce qui se passe
Si l’on crée un compte HN auquel on n’accède que via Tor, depuis un navigateur avec JavaScript désactivé, et que l’on fait passer ses textes par un service d’édition par IA, il sera assez difficile de remonter jusqu’à vous
À l’inverse, si vous vous streamez 16 heures par jour, un pseudonyme ne sert pas à grand-chose. À partir du moment où quelqu’un dit « ah, je connais cette personne », le secret est terminé
Comme toujours, c’est une question d’équilibre. Cela dépend de qui vous cible et de combien vous aimez faire des choses en ligne
C’est une question à se poser avant de partir vivre dans une cabane au fond des bois pour écrire des romans toute la journée. Bien sûr, il faudra publier sous pseudonyme
Autrement dit, on peut se préparer au pire, mais il ne faut pas abandonner le jugement et la valeur sociale selon lesquels c’est trop courant, injuste et anormal
Le pistage et les entreprises qui le pratiquent sont incroyablement étendus et difficiles à battre. Par exemple, de simples publicités dans le navigateur devant lesquelles on n’a fait que scroller peuvent suffire à créer une empreinte
« S’il y a quelque chose que vous ne voulez faire savoir à personne, peut-être ne devriez-vous pas le faire au départ »
On peut lire cela comme une horrible formule du type « si vous n’avez rien à cacher, vous n’avez rien à craindre », ou comme un avertissement assez juste sur l’état de la réalité
Pour ceux qui ne connaissent pas encore, Invidious vaut le coup d’œil : https://invidious.io/
Si l’identification vous inquiète, vous voudrez probablement utiliser une instance publique ; la liste est ici : https://docs.invidious.io/instances/
Un article assez lié, datant de quelques années :
Justice Department withdraws FBI subpoena for USA Today records ID'ing readers - https://news.ycombinator.com/item?id=27408647 - juin 2021, 174 commentaires
La police a fouillé les recherches Google pour trouver un suspect, et fait face à sa première contestation juridique
2022-06-30 https://news.ycombinator.com/item?id=31938350
Cette injonction relevait presque de la simple politesse. Quand le gouvernement fédéral américain veut vraiment quelque chose, il est difficile d’imaginer quelle entreprise pourrait s’y opposer avec succès
Il est très probable que d’autres grands États-nations soient similaires. Le gouvernement chinois a sans doute déjà montré à Google qu’il pouvait accéder à toutes ses données à tout moment pour obtenir sa coopération, et je pense que les États-Unis obtiennent un accès total à tout moment, pour n’importe quelle raison
Cela dit, il faut rendre à César ce qui est à César : https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_d...
En gros, Google a continuellement dit à la NSA d’aller se faire voir, alors la NSA a creusé un tunnel, mis sur écoute la fibre optique et aspiré les communications en clair entre les centres de données. À l’époque, il semble qu’il y avait pas mal de choses importantes dedans
Dans les quelques semaines qui ont suivi la fuite sur MUSCULAR, tous les centres de données Google communiquaient entre eux avec une terminaison SSL appropriée
Vous connaissez aussi Aurora ? C’est l’incident de 2009 où une unité de l’armée chinoise s’est introduite chez Google pour fouiller des informations sur des dissidents connus. Ils ont été expulsés rapidement, et la manière dont Google a ensuite renforcé son niveau de sécurité est quasiment sans précédent dans l’histoire de la sécurité de l’information
La NSA et diverses agences de maintien de l’ordre peuvent obtenir des informations auprès de Google en suivant une procédure légale, et il peut y avoir, de temps à autre, quelques initiés dans les agences de renseignement qui transmettent des données depuis l’intérieur de Google dans le cadre d’accords de partage d’informations
Mais l’idée que la NSA ait librement accès à tout ce qu’elle veut chez Google est absurde
Modification : en plus, il ne s’agit même pas du gouvernement fédéral ; les gouvernements des États et les collectivités locales ont encore moins de poids que le peu d’influence dont dispose le fédéral
Honnêtement, si c’est bien ce qui s’est passé, je pourrais presque m’en réjouir. J’ai certes un biais, parce que je déteste profondément les voleurs et les extorqueurs.