Comment Mark Klein a révélé la Room 641A à l’EFF [extrait de livre]

• Les documents d’un ancien technicien d’AT&T ont constitué des preuves recevables en justice que la NSA surveillait en dupliquant le backbone Internet depuis une installation d’AT&T à San Francisco
• Après le 11-Septembre, le Patriot Act a affaibli la distinction entre la surveillance de la NSA et celle du FBI, et l’EFF manquait de témoignages publics et de preuves documentaires pour contester une surveillance de masse reposant sur les grands opérateurs télécoms
• La Room 641A du bâtiment AT&T de Folsom Street était une salle secrète accessible uniquement aux intervenants disposant d’une habilitation de sécurité de la NSA, et la fibre optique Internet du 7e étage y était reliée via un splitter cabinet au 6e étage
• Le splitter cabinet envoyait une copie du trafic vers son trajet Internet normal et une autre vers la Room 641A ; Mark Klein appelait cet équipement la « Big Brother machine »
• L’EFF a inclus la déclaration de Mark Klein et les documents d’AT&T dans sa demande d’injonction préliminaire, tandis que le DOJ estimait que ces documents pouvaient relever d’informations classifiées même sans marquage et exigeait une transmission via une SCIF

---

Un ancien technicien d’AT&T se présente aux bureaux de l’EFF

• Le 20 janvier 2006, Mark Klein, ancien technicien d’AT&T, se rend aux bureaux de l’Electronic Frontier Foundation sur Shotwell Street, dans le Mission District de San Francisco
• Après avoir demandé s’ils s’intéressaient à la vie privée, Mark Klein explique qu’il sait comment la NSA interceptait Internet depuis une installation d’AT&T au centre de San Francisco
• Les avocats de l’EFF constatent dans les documents apportés par Mark Klein des éléments pouvant prouver une surveillance massive et non ciblée de la NSA sur le territoire américain
• La surveillance était menée depuis un bâtiment d’AT&T non loin des bureaux de l’EFF, avec un accès direct au backbone Internet

Évolution des pouvoirs de surveillance après le 11-Septembre et manque de preuves

• La visite de Mark Klein s’inscrit dans le contexte de la réponse du gouvernement américain après le 11-Septembre 2001 et du Patriot Act
• Avant le Patriot Act, il existait entre la NSA, chargée de la surveillance extérieure à des fins de sécurité nationale, et le FBI, chargé de la surveillance intérieure liée à l’application de la loi, une séparation qu’on pouvait qualifier de « mur »
• Le Patriot Act a contribué à affaiblir ce mur, et l’EFF a examiné en détail l’épais projet de loi pour comprendre ses effets sur Internet
• Par la suite, la NSA aurait collecté l’ensemble des relevés d’appels, se serait branchée sur des lignes situées aux États-Unis et aurait recueilli des métadonnées d’activité en ligne auprès d’opérateurs télécoms et de certaines entreprises Internet
• Ces programmes semblaient illégaux au regard de la FISA et du Patriot Act, mais les preuves documentaires exploitables en justice et les témoignages publics faisaient défaut

L’installation d’AT&T sur Folsom Street et la Room 641A

• Mark Klein assurait la maintenance de la section des peering links reliant le réseau interne d’AT&T au backbone Internet dans le bâtiment Folsom Street d’AT&T
• Les câbles en fibre optique transportant le trafic du backbone d’AT&T convergeaient au 7e étage du bâtiment Folsom Street, et ces câbles étaient aussi raccordés au 6e étage
• Au 6e étage, une salle secrète appelée Room 641A a été aménagée vers 2002, accessible uniquement aux intervenants disposant d’une habilitation de sécurité de la NSA
• Mark Klein lui-même n’avait pas accès à la Room 641A, mais il travaillait avec des personnes autorisées à y entrer
• À côté de la Room 641A se trouvait un splitter cabinet, dans lequel arrivaient les fibres des connexions Internet descendues du 7e étage
• De l’autre côté du splitter cabinet sortaient deux faisceaux de fibre optique : l’un remontait vers le 7e étage pour reprendre le trajet Internet normal, l’autre entrait dans la salle secrète

Comment fonctionnait la « Big Brother machine »

• Le splitter cabinet dupliquait les communications arrivant du 7e étage : une copie poursuivait sa route vers le destinataire initial, l’autre était envoyée vers la Room 641A
• De cette manière, la NSA pouvait se brancher sur des lignes de fibre optique situées aux États-Unis, autrement dit sur le backbone Internet par lequel transitent les communications des particuliers
• La NSA pouvait ainsi créer et conserver une copie de tout le trafic passant par ce point d’interconnexion, puis l’examiner séparément sans ralentir le réseau public ni laisser de traces
• Mark Klein appelait cet équipement la « Big Brother machine »
• Plusieurs experts en télécommunications ont confirmé qu’une telle configuration constituait un moyen crédible pour la NSA de se brancher sur les lignes de façon discrète et efficace
• Cette configuration relevait moins de l’écoute ciblée que du branchement sur tout un pays

Preuves judiciaires et préparation du procès

• Les documents de Mark Klein constituaient les preuves recevables en justice que l’EFF attendait et permettaient d’établir qu’AT&T avait aidé à une surveillance intérieure illégale des communications Internet
• L’EFF voulait utiliser ces éléments dans sa stratégie judiciaire contre la surveillance de masse et devait faire de Mark Klein un témoin clé
• Mark Klein ne pouvait pas devenir client de l’EFF, et même si le risque de conflit d’intérêts avec des clients d’AT&T n’était pas majeur, il existait réellement
• Mark Klein faisait face à un risque juridique : AT&T pouvait engager une action civile contre lui ou il pouvait faire l’objet de poursuites
• L’EFF a estimé qu’il lui fallait une équipe d’avocats distincte, qui a alors été constituée

Le DOJ et la question des documents classifiés

• Le 31 mars, l’EFF a déposé une demande d’injonction préliminaire incluant la déclaration de Mark Klein et les documents d’AT&T
• L’EFF a également informé le Department of Justice que la déclaration de Mark Klein et les preuves avaient été déposées
• Le DOJ estimait qu’il fallait immédiatement vérifier si les documents déposés relevaient d’informations classifiées, et que, dans ce cas, leur simple détention pouvait être illégale
• Les documents ne portaient aucune mention « classified », mais le DOJ considérait qu’ils pouvaient l’être malgré l’absence de marquage et que seul le gouvernement pouvait en décider
• Le DOJ a indiqué ne pas pouvoir recevoir les documents directement du tribunal et a exigé qu’ils soient transmis page par page par fax sécurisé vers Washington DC depuis la SCIF du bâtiment fédéral de San Francisco
• L’EFF considérait que les documents n’étaient pas classifiés et que, même s’ils l’étaient, ils révélaient un programme illégal et anticonstitutionnel ; le système de classification ne devait pas servir à dissimuler des agissements illégaux du gouvernement
• Les documents ont été déposés sous scellés devant le tribunal fédéral pour demander l’arrêt du programme, mais au sein de l’EFF subsistaient des inquiétudes quant à une possible détention illégale d’informations classifiées

[GN⁺]

Avis sur Hacker News

• L’explication selon laquelle, avant le 11 septembre, il existait une barrière entre la surveillance de sécurité extérieure de la NSA et la surveillance d’enquêtes intérieures du FBI n’est pas tout à fait exacte
  Je connaissais déjà cette règle au début des années 1990, mais j’ai été assez surpris d’apprendre qu’elle était déjà violée de façon routinière depuis au moins 10 ans. Contrairement à Snowden, j’avais signé plusieurs NDA avec le gouvernement américain, donc je l’ai gardé pour moi sans le révéler

  • On ne signe pas des NDA avec le gouvernement, on signe un engagement à vie, avec en cas de violation des sanctions proches de la haute trahison
    Donc prétendre avoir réellement fait ou vu ce genre de choses me semble douteux
    1. https://media.defense.gov/2021/Oct/18/2002875198/-1/-1/0/NSA...
  • On a l’impression qu’il le dit comme si c’était une fierté
    Je n’ai jamais été dans une telle situation, donc je ne peux pas affirmer ce que j’aurais fait, mais j’espère quand même que j’aurais eu le courage d’en parler. Qu’un employé ou un prestataire exécute un travail illégal sous prétexte qu’il suit les ordres de sa hiérarchie, ce n’est pas différent d’un soldat qui devrait refuser un ordre illégal. Le minimum moral aurait été de démissionner, et le choix plus difficile aurait été de rendre l’affaire publique
  • Il faut aussi connaître la parallel construction. C’est une technique utilisée pour blanchir des informations collectées par un programme secret via une chaîne de preuves plausible, afin de dissimuler l’existence même du programme
    https://en.wikipedia.org/wiki/Parallel_construction
  • Depuis longtemps, le gouvernement américain aurait mis en place un système dans lequel le Royaume-Uni surveille des Américains puis transmet ces informations à la NSA, ce qui permet à la NSA de ne pas surveiller directement des citoyens américains sur le plan technique
    Le sens des mots peut être interprété à volonté par ceux qui détiennent le pouvoir, donc cela n’a pas beaucoup de sens
    https://en.wikipedia.org/wiki/ECHELON
  • J’ai l’impression qu’on est parti dans une discussion qui juge les actes passés, mais ça ne me paraît pas très productif
    Ce qui est arrivé est arrivé, et ce qui compte davantage maintenant, c’est ce que chacun va faire

• En 2002, j’hébergeais un serveur 1U dans le centre-ville de Los Angeles. Il n’y avait ni cage ni vraie sécurité, j’avais l’impression qu’on pouvait simplement entrer
  Le crash cart traînait là, il y avait la plupart du temps du porno affiché à l’écran, et les câbles couraient par terre jusqu’à la prise la plus proche. On avait l’impression qu’un bon nombre des techniciens hébergeaient des sites pornos en activité secondaire. Lors de ma deuxième visite, on voyait clairement de nouveaux travaux dans un coin de la salle, et il semblait y avoir un faisceau de fibre optique d’environ 4 pouces qui entrait et sortait. L’un était couvert de poussière, l’autre était neuf, et les plaques de plâtre avaient été jointées mais pas peintes. Si la porte n’avait pas eu l’air beaucoup trop haut de gamme, je n’y aurais pas prêté plus d’attention. Quand j’ai demandé « c’est peut-être… ? », un employé a grimacé et a hoché la tête

  • À l’époque des révélations de Snowden, je travaillais comme apprenti IBEW dans des data centers, et c’était assez déstabilisant de savoir que des technologies officiellement censées ne pas exister existaient en fait. Des endroits comme « Black, LLC » étaient censés ne pas exister officiellement et ne pas interconnecter des clients. Tant que personne ne sabotait activement l’infrastructure publique, on demandait rarement qui faisait quoi sur le data floor. La sécurité est sans doute bien meilleure aujourd’hui, mais l’accès par ingénierie sociale reste probablement le plus courant
  • Je ne comprends pas à quoi renvoie le « c’est peut-être ». C’est une allusion technique ?

• Si ce livre vous intéresse, l’acheter sur le site de l’EFF est aussi une bonne option
  L’achat sert à aider l’EFF à poursuivre son combat pour la vie privée
  https://www.eff.org/Privacys-Defender

• C’est un excellent texte qui montre très bien l’envers du décor de l’affaire NSA-Hepting
  J’ai hâte de lire le livre de Cohn. Et paix à l’âme de Mark Klein. C’était un véritable héros américain, qui n’a jamais cherché à transformer son rôle de lanceur d’alerte en célébrité

  • Il semble être récemment décédé d’un cancer, après avoir vécu jusqu’à 80 ans
    C’est une fin moins mauvaise que ce que je craignais

• Il faut faire attention au fait que ce texte n’est pas un billet de blog indépendant mais un extrait de livre, donc il se termine sur un cliffhanger
  Cela dit, c’est une lecture agréable

  • J’aimerais que le spoiler soit du niveau d’un film où l’on révèle à la fin que le Titanic coule, mais ce que Mark Klein a révélé en 2006 et ce que Snowden a révélé en 2014 continue encore aujourd’hui, tous les jours. Et des choses bien pires se produisent aussi. Rien que cette semaine, le Congrès essaie encore de prolonger des pouvoirs FISA supplémentaires et secrets dont nous ne connaissons même pas les détails. Le sénateur Ron Wyden, qui siège à la commission du renseignement du Sénat, ne peut pas en divulguer les détails, mais il répète clairement que la situation est devenue très grave. Le point de départ est déjà « pire que Snowden », et Wyden ne donne pas l’impression d’être quelqu’un d’excité qui aime exagérer. J’en ai donc conclu qu’il fallait imaginer le pire abus de surveillance possible, puis partir du principe que la réalité est encore pire
  • La suite est davantage décrite dans [1]. En résumé, pendant le déroulement de cette procédure, le gouvernement américain a fait adopter une loi pour soustraire AT&T à toute responsabilité
    [1]: https://en.wikipedia.org/wiki/Hepting_v._AT%26T
  • Un cliffhanger ?! À la fin, des millions d’Américains ont donc été libérés pour toujours de la surveillance gouvernementale ?
    Je plaisante, mais c’est un bon extrait qui me donne envie de lire le livre
  • Comme c’est indiqué dans le titre, cela pourrait aussi aider à ramener un peu plus le fil au sujet principal du texte

• Quand on voit ce genre de cas, cela ressemble fortement à un signal que, avec le progrès technologique, une gouvernance véritablement libre et démocratique n’est pas durable à long terme
  En échange des petits conforts immédiats apportés par les nouvelles technologies, nous abandonnons à long terme nos libertés politiques, et ce délai ne cesse de se raccourcir. Ce type de gouvernement explicite est dénoncé et amplifié par les médias, mais le gouvernement discret est protégé et ses critiques sont marginalisés

  • C’est durable, mais il faudrait une grande révolution culturelle pour suivre le rythme

• Ce n’était pas dans l’article lui-même mais je l’ai vu dans la légende de l’image : le véritable livre dont est tiré cet extrait est Privacy's Defender de Cindy Cohn
  https://mitpress.mit.edu/9780262051248/privacys-defender/

  • Cindy Cohn est aussi Executive Director de l’EFF

• Je pense que Perfect Forward Secrecy a eu ensuite un impact majeur sur la situation
  À l’époque de Room 641A, le simple fait de copier le trafic fibre et de le rediriger vers un endroit comme l’Utah pour le stocker présentait un avantage, même s’il n’était pas immédiatement lisible. Si c’était chiffré et important, d’autres attaques, comme une compromission du serveur, restaient possibles. La PFS a transformé ce type de texte chiffré à usage unique en ce qu’il aurait toujours dû être : des données poubelles

• L’arpwatch qui tourne sur mon routeur edge m’indique qu’un hôte avec une adresse IP enregistrée auprès du DoD est connecté à mon segment réseau d’un grand FAI américain
  Je sais avec certitude que ce segment comprend à la fois des abonnés entreprises et des abonnés résidentiels. Quand je l’ai repéré pour la première fois, j’ai fait un scan de ports pour dire « bonjour », et je n’ai guère de doute qu’il y a un dispositif de surveillance de masse de l’autre côté de ce pare-feu. Le gouvernement utilise des écoutes clandestines depuis qu’il existe des lignes. Il y a toujours aussi ce prétexte de protéger des méchants et des enfants. Le fait qu’on passe pour un paranoïaque quand on parle de ce genre de choses publiquement est aussi un gros avantage pour eux

  • Si c’est une machine oubliée depuis longtemps sur un réseau du DoD, ce pourrait être un bon hôte pour des techniques comme le idle scanning utilisant une adresse source usurpée et des hôtes factices prévisibles
    J’ai l’impression qu’arpwatch adopte une approche sécurité réseau davantage centrée sur la classification des trames que sur le comportement des connexions
  • Le DoD fait vraiment énormément de choses
    Il est tout à fait possible qu’il y ait à proximité un bureau satellite pour une raison quelconque

• Le texte se termine par « nous étions tous un peu inquiets » ; c’est vraiment censé s’arrêter là ? On dirait que ce n’est pas terminé, mais ça donne quand même envie de continuer à lire

  • C’est un extrait de livre