2550 mots.

Rappel basique sur l’antirep

Au sein de certaines communautés en ligne et notamment à l’extrême-gauche, ProtonMail a une certaine popularité, et semble être perçu comme un outil incontournable en anti-répression.

Quelques rappels élémentaires en anti-répression d’abord : vous pouvez chiffrer vos SMS avec Silence, ou avec Signal si c’est ce que vos potes utilisent. Signal est la recommandation incontournable donnée lors de conférences sur l’anti-répression, avec un avantage sur Silence, qui est que des personnes mainstream s’en servent.

Signal, étant basé sur TCP/IP, permet également de faire plus que les simples SMS, comme la création et la gestion de groupes, l’envoi de fichiers audio, etc. Avec Silence, vous pouvez chiffrer le stockage de vos SMS avec un mot de passe bien solide, notamment en saisissant un mot de passe “de tête” puis en saisissant le reste avec une clé de sécurité Yubico comme clavier USB, ce qui devrait vous protéger (toujours relativement) d’une extraction de vos SMS. Même si vous n’êtes pas vous-même un·e activiste pour la justice sociale, vous en servir et inciter vos contacts à s’en servir vous permet de jouer un rôle d’allié·e1 en leur évitant de se démarquer par le chiffrement de leurs SMS.

Rappelez-vous que la sécurité informatique est une question de moyens, il suffit d’avoir suffisamment d’argent pour retrouver votre clé privée par force brute, et que l’État français est la 6ème puissance économique mondiale. Le meilleur moyen de protéger une information est de ne pas la numériser, et dans les nombreuses situations où c’est nécessaire, d’éviter d’attirer l’attention sur soi en utilisant un protocole exotique comme Ricochet ou en faisant le con sur les médias “sociaux”.

Bref, je suis un étudiant en sciences humaines et sociales donc je ne fais que répéter des conseils un peu basiques, sans avoir lu de white paper, et sans vraiment comprendre les mathématiques impliquées… Mais je me permets de rappeler ces faits élémentaires simplement car ils sont très peu connus dans le milieu militant.

Communication manipulatrice et conspirationniste

ProtonMail a une communication délibérément floue et généralement conspirationniste, en postulant un primat fictif de la loi sur les mathématiques. Ils prétendent être la meilleure entreprise en sécurité informatique parce qu’elle est basée en Suisse, contrairement à des entreprises américaines comme Lavabit, et parce qu’ils ont des “racines” au MIT, une prestigieuse université américaine où travaille Ronald Rivest, mathématicien américain et le “R” de RSA.

Concernant leurs prétentions à avoir des “racines” au MIT, Proton Technologies AG prétendent avoir été fondés par des diplômé·es du MIT, parce qu’un de leurs salarié·es a eu un contrat post-doctoral là-bas. J’ai fait une typologie ad hoc et non-exhaustive des formes d’intérêt sur l’internet, et je situe le fait de prétendre être diplômé·e de l’ENS ou du MIT, ou de dire avoir un quotient intellectuel élevé, dans la démarche manipulatrice de produire un intérêt servile. On veut mériter cette relation, et mériter de l’entretenir.

Proton Technologies AG prétendent également avoir des racines au CERN parce que leurs fondateurs s’y sont rencontrés, ce qui ne signifie en rien que ce serait un projet de recherche du CERN (entreprise privée financée par une agence publique ?). On ne peut pas comparer Proton Technologies AG avec la recherche scientifique du CERN, pas plus qu’avec celle du CNRS, et j’ai connu des branques qui en raison de leur école d’informatique faisaient leur stage au CERN.

Le rôle de Twitter dans le financement de ProtonMail

Cette communication mensongère n’empêche pas ProtonMail d’être un succès commercial “grâce” à la magie du marketing ciblé. En particulier, ProtonMail a été financée sur Twitter.

Le format de Twitter est trop contraignant formellement pour produire un discours complet et exhaustif. Je ne pourrai jamais synthétiser cet article de blog sur Twitter, car je ne pourrai jamais entrer toutes ces phrases dans toute leur richesse en messages de 280 caractères, surtout si je veux préserver la structure globale du discours, c’est-à-dire la relation entre chaque partie.

Twitter cible, on l’a déjà vu, une population en quête de sociabilité, et qui y encastrera ses communautés et donc sa culture. De nombreuses communautés sur Twitter ne peuvent pas être envisagées comme en étant désencastrées car si elles existent, c’est car leurs membres n’ont pas de relations en dehors du web. Une culture encastrée dans des messages de 280 caractères, une culture de bons mots, sera nécessairement une culture de connaissance superficielle. Par conséquent, leurs membres sacraliseront la manipulation de ressources cognitives réifiées, fictives, et la prétention que cette fiction relèverait de la réalité.

Le terme de sacralisation n’est pas excessif, car selon Durkheim la part sacrée des individus soit leur part sociale. Lors des moments de forte sociabilité, par le sacrifice (les rites qui permettent de passer du profane au sacré en évitant la souillure du sacré par le profane), on célèbre la part sociale des individus. Or, rien de plus social, ni de plus sacré, pour un·e utilisateuxice encastré·e dans Twitter, qu’un tweet, qu’un thread, qu’une citation, qu’un commentaire, qu’un retweet, qu’un like. Et c’est en considérant ce ferment qu’il faut considérer les dérapages, les limites, et les aspects les plus problématiques de Twitter.

ProtonMail, donc, ont été financés largement par des cultures ayant pour point commun la manipulation de ressources fictives, car leur apport politique à l’anonymat et à la vie privée, par les fonctionnalités développées, est fictif. Je montrerai d’abord la dimension “activiste” et sacrificielle de ProtonMail, puis je discuterai de l’apport de leurs fonctionnalités à la confidentialité des communications.

Communication pseudo-activiste

Proton Technologies AG prétendent avoir conçu “ProtonVPN en tirant des leçons de leur expérience avec des activistes sur le terrain”. Soulignons que les activistes n’ont pas besoin d’un énième VPN mais de sous, si vous voulez un exemple de soutien sincère Mozilla a donné $500,000 à Riseup Labs, mais surtout que personne, sur le terrain, n’a jamais vu d’ingénieur·es de ProtonMail. Je fréquente des squats et je connais indirectement des activistes suisses ; on sait que les personnes qui opèrent Riseup Labs sont des camarades, mais on n’a jamais bénéficié d’installations spécialisées pour par exemple analyser les attaques informatiques pouvant avoir lieu sur nos ordinateurs – on n’en demande pas tant, mais c’est bien ce que promettent Proton Technologies AG dans leur communication.

L’activisme est une activité sacrificielle, on a souvent le sentiment de donner plus que ce que l’on obtient de l’activisme, car on milite pour tout le monde. On pourrait simplement bénéficier des luttes syndicales pour les congés payés, le SMIC (une revendication ouvrière en France dès 1791), etc., mais les activistes luttent pour préserver ces droits et pour en conquérir de nouveaux. Et Proton Technologies AG communiquent sur l’aspect “militant” de ProtonMail, en mélangeant tout encore une fois, simplement car entre le prix payé pour ProtonMail et le produit qui est développé, beaucoup d’argent est perdu pour les utilisateuxices, reconverti dans la finance ou dans des investissements qui n’ont rien à voir avec la sécurité informatique.

Plus précisément, ProtonMail disent ne jamais être racheté·es par Google, car étant motivés par une mission, et non par le profit. La réalité est que leurs utilisateuxices sont plus ou moins contraint·es de passer à un abonnement payant, car passé un quota dérisoire (500 Mo, un an d’usage avec une liste de diffusion moyenne), on sera contraint·e de payer pour augmenter son quota et pour continuer à recevoir des emails.

Précisons que tout, dans le système de paiement de ProtonMail, équivaut à de la manipulation : par exemple le fait de payer les alias 5 par 5 (1€ pour 5 alias, plutôt que 20¢ pour un seul), un paiement mensuel ou annuel sur lequel il est difficile de revenir, et potentiellement désastreux si l’on a du mal à gérer son argent. De nombreuses fonctionnalités de ProtonMail semblent étrangement cassées, comme la possibilité d’exporter ses contacts (on peut les noter un à un, mais le bouton pour tout exporter au format vcard ne marche pas, le fichier obtenu est quasiment vide). Il est difficile de supprimer ses emails en masse, et le ProtonMail bridge fournit IMAP mais pas POP3, ce qui s’ajoute encore à une charge mentale potentiellement désarmante pour réduire un prix graduellement augmenté.2 Tout ceci m’amène à penser que si ProtonMail ne pensent pas être racheté·es par Google, c’est car leurs utilisateuxices sont contraint·es de payer, sur la durée de vie d’un compte, plus que ce que ne valent leurs données personnelles, c’est-à-dire plus de 600€.

Précisons également que lorsque des utilisateuxices sur Reddit demandent des fonctionnalités ou osent critiquer ProtonMail, il est de bon ton de préciser que l’on a un abonnement payant (ProtonMail Plus, ProtonVPN Basic ou Plus, Proton Visionary). On retrouve également sur Reddit cette dimension “propagande” de faire passer ses ami·es à ProtonMail… au nom d’une lutte politique, bien sûr.

Le “militantisme” de chiffrer le corps de ses emails

Je pense que sécuriser et anonymiser ses communications est un militantisme important, mais dont la pratique ne doit pas être sacrificielle. Sinon, cette pratique ne dépassera pas 5% de la population, et comme ce qui importe ce sont des données agrégées (celles de tout le monde), l’intérêt de ce militantisme sera largement inférieur à celui par exemple de se syndiquer ou de devenir végane.

L’intérêt politique d’utiliser ProtonMail est donc d’ores-et-déjà dérisoire.

Afin de comparer la manière dont ProtonMail chiffrent les emails, j’ai fait un tableau qui compare leur chiffrement à ceux de Gmail et à Lavabit :

Type de données Lavabit ProtonMail Gmail
Corps de l’email ☑ Chiffré ☑ Chiffré ☒ Traité (profilage)
Pièces jointes ☑ Chiffrées ☑ Chiffrées ☒ Traitées (profilage)
Objet de l’email ☑ Chiffré ☒ Accessible (application des CGU) ☒ Traité (profilage)
Adresse de votre contact ☑ Chiffré ☒ Accessible (application des CGU) ☒ Traité (profilage)
Serveur de votre contact ☒ Traité (anti-spam) ☒ Traité (anti-spam) ☒ Traité (anti-spam)
Taille de l’email ☒ Traité (quota de données) ☒ Traité (quota de données) ☒ Traité (quota de données)

Comparé à Gmail, ProtonMail ne font que chiffrer le corps de l’email. Comparé à Lavabit, ProtonMail ont accès à l’identité de vos contacts et à vos sujets de conversation avec eux. ProtonMail s’en servent pour lutter contre les infractions à leurs CGU, ce qui inclut la lutte contre le SPAM… ou le fait de violer la loi suisse. ProtonMail suspendent de leur propre chef les comptes qui violent la loi suisse, et on les soupçonne de transmettre volontairement des informations aux autorités suisses.

En fait, ProtonMail ont accès à plus de données que WhatsApp (ce qui n’est évidemment pas une raison pour utiliser WhatsApp3). Ah, et de nombreuxes activistes pratiquent la désobéissance civile, donc peuvent communiquer au sujet d’activités illégales en Suisse. Merci, « camarades ».

Mais surtout, le chiffrement du corps des emails représente une minuscule partie des données agrégées dont la confidentialité est l’enjeu des luttes pour le droit aux correspondances privées, contre un droit préventif (par opposition au droit répressif) et notamment contre le développement du biopouvoir. Car si les données agrégées permettent de réguler les flux de voyageurs pour les transports en commun, elles permettent également de savoir pour qui vous voterez aux prochaines élections présidentielles… ou si vous risquez de voler un t-shirt chez Primark. Sur une base statistique, on pourra vous interdire l’entrée à certains magasins, au nom de « l’intérêt commun ».

De vrais outils existent

Certains outils commencent à être développés pour éviter un tel futur, d’autres ont précédé les « médias sociaux ». J’utilise quotidiennement Qubes OS, Whonix, et Tor – en fait je n’utilise Firefox que pour les sites web qui bloquent explicitement Tor comme YouTube, ou pour télécharger de gros fichiers comme avec Netflix, pour ne pas trop taper dans de la bande passante fournie bénévolement. Pour moi, c’est un combo gagnant en termes d’efficacité par rapport à l’effort que ça demande : ça permet simplement d’utiliser plusieurs connexions Tor parallèles, donc plusieurs identités Tor parallèles, dans des qubes (des contextes) qui s’effaceront à la fermeture du navigateur. Je peux faire passer toutes les connexions d’un qube par Tor en utilisant whonix comme machine virtuelle réseau, ce qui anonymise toute identité « contenue » dans un qube basé sur Fedora ou sur Debian.

Cette méthode ne permettrait pas à un adversaire déterminé de mettre fin à mon anonymat, mais je pense que cela crée un gros volume de données illisibles auprès de mon fournisseur d’accès à internet, y compris pour des recherches de recettes de cuisine. De ce fait, je paie tous les mois, auprès du collectif Nos Oignons, pour de la bande passante Tor.

Qubes OS peut-il être utilisé par tout le monde ? Pas encore. Qubes OS n’est pas compatible avec suffisamment de machines, la documentation n’est pas encore internationalisée, et l’expérience utilisateur est, pour le moment, insuffisante. Mais ce projet est des plus prometteurs, et j’ai confiance en son avenir.

Un autre moyen de lutter contre la surveillance de masse, c’est de sociabiliser ailleurs que sur les “médias sociaux” – ailleurs que sur Facebook, Twitter, Instagram, Snapchat, et dans une certaine mesure Mastodon et Pleroma. Tout ceci correspond à des interfaces, des modes d’interaction, et des fonctionnalités conçus pour vous afficher des publicités et pour vous profiler : savoir qui communique avec qui et qui partage qui, qui ouvre quels liens (donc qui s’intéresse à quoi), etc. Et au lieu d’utiliser les médias “sociaux”, échangeons des messages chronologiquement, comme si on allait chez des ami·es : l’open-source d’abord, donc IRC, XMPP, Matrix, mais aussi Discord sont des logiciels de clavardage.

Comment peut-on s’informer sans utiliser Twitter ou Facebook ? On peut lire les sites compatibles avec RSS pour 3€/mois avec flus.fr, ou gratuitement sous Android avec Feeder, un client RSS auto-hébergé, ou Posidon (qui intègre un flux RSS directement dans l’écran d’accueil). Si vous trouvez un média qualitatif, vous pouvez probablement ajouter son flux RSS à votre lecteur de flux (notamment parce que WordPress, le moteur derrière la plupart du web, est compatible avec les flux RSS par défaut).

Sinon on peut lire le journal, quelque chose comme Le Canard Enchaîné, Expressions Solidaires4, ou n’importe quoi qui soit plus proche du signal que du bruit.

En termes de fonctionnalités, la promesse de ProtonMail de lutter contre la surveillance de masse et de “construire un meilleur internet” est un pétard mouillé. Cette entreprise semble fonctionner sur le modèle d’une secte, promettant à des personnes vulnérables sous emprise un meilleur avenir (grâce au chiffrement des emails) contre de l’argent, au nom d’une idéologie de propagande et de sacrifice, avec de soi-disants « scientifiques du MIT et du CERN » comme gourous finançant d’autres formes d’investissement patrimonial.

  1. Au sens « courant » du terme, pour peu que la distinction existe ? ↩︎

  2. Il est probablement possible de supprimer ses emails en masse d’abord en les exportant, puis en les passant à un filtre Thunderbird à travers le bridge. ↩︎

  3. Il y a d’autres raisons d’utiliser WhatsApp ; en ce moment Signal a le vent en poupe, mais si vous y êtes obligé·e vous pouvez a minima conserver vos contacts dans un carnet papier, puisque WhatsApp ne peut pas fonctionner sans lire votre répertoire. C’est sans doute pour cela que Facebook a racheté WhatsApp : savoir qui communique avec qui, qui appelle qui. Cela dit en passant, un carnet papier sera bien plus durable qu’un smartphone : ma mère a le même depuis ma naissance. ↩︎

  4. Je suis désolé, c’est la troisième fois que je parle de syndicalisme dans un article consacré à ProtonMail, mais c’est pertinent d’une part si l’on parle de luttes politiques comme le font Proton Technologies AG, et d’autre part parce que je n’ai jamais été déçu par ce journal. ↩︎