Un Rubik's Cube, quatre ordinateurs et une boîte de Pandore

Début juin 2013, troisième étage de l'hôtel Mira, à Hong Kong. Le journaliste Glenn Greenwald demande à voix haute où se trouve le restaurant. Il ne connaît pas le visage de l'homme qu'il vient rencontrer. On lui a seulement donné un signe de reconnaissance : il tiendra un Rubik's Cube. Près d'un grand alligator en plastique, un garçon pâle de vingt-neuf ans s'avance, le cube à la main. Il s'appelle Edward Snowden. Dans sa chambre, qui donne sur Kowloon Park, il y a quatre ordinateurs et des plateaux de room service. Il cale des oreillers contre la porte et se couvre la tête d'une grande capuche rouge quand il tape ses mots de passe. « Cela peut ressembler à de la paranoïa », écrira le Guardian. Les quatre ordinateurs contiennent de quoi prouver que la paranoïa, ici, manquait d'imagination.

Une ordonnance signée Roger Vinson

Le 5 juin 2013, au soir, le Guardian publie une ordonnance du tribunal secret du renseignement, la FISA Court, signée le 25 avril par le juge Roger Vinson. Elle oblige l'opérateur Verizon à livrer à la NSA, « de façon continue et quotidienne », les relevés de tous les appels de son réseau, intérieurs ou vers l'étranger, jusqu'au 19 juillet. Pas une cible nommée. Tout le monde. Base légale : la section 215 du Patriot Act, qui autorise la saisie de « documents commerciaux ».

Pas le contenu des conversations, seulement les « métadonnées » : numéros, heure, durée, identifiants des appareils. C'est l'enveloppe, pas la lettre. Mais une enveloppe par appel, pour des millions d'abonnés, pendant des mois, cela dessine qui parle à qui, à quelle heure, combien de temps et depuis quelle antenne. Le 7 juin, à San José, Barack Obama rassure : « Nul n'écoute vos conversations téléphoniques. » Il dit vrai, et c'est précisément le problème. Le 12 mars, devant le Sénat, le directeur du renseignement James Clapper avait répondu à la question « La NSA collecte-t-elle des données sur des millions d'Américains ? » par un « Non, monsieur », puis « Pas délibérément ».

PRISM, Boundless Informant, XKeyscore

Le 6 juin, le Guardian et le Washington Post publient en même temps des extraits d'une présentation interne de 41 diapositives. Le programme s'appelle PRISM. Depuis décembre 2007, affirme le document, la NSA collecte « directement depuis les serveurs » des grands services américains : Microsoft d'abord, puis Yahoo en 2008, Google, Facebook et PalTalk en 2009, YouTube en 2010, Skype et AOL en 2011, Apple en 2012. Coût affiché : 20 millions de dollars par an. Les entreprises interrogées nient en bloc.

Le 8 juin, c'est une carte du monde. Boundless Informant est l'outil de comptage de la NSA : il colorie les pays du vert au rouge selon le volume de données aspirées. Pour le seul mois de mars 2013, 97 milliards d'enregistrements internet. Iran, 14 milliards. Pakistan, 13,5. Et près de 3 milliards collectés sur des réseaux américains, alors que l'agence avait répété au Congrès qu'elle n'était pas en mesure de compter.

Le 31 juillet, XKeyscore. Un moteur de recherche posé sur le trafic internet lui-même. Un analyste y tape une adresse mail ou un mot-clé et obtient courriels, historique de navigation et conversations, sans autorisation préalable. Une diapositive promet « presque tout ce qu'un utilisateur ordinaire fait sur internet ». En 2012, un seul mois y a laissé 41 milliards d'enregistrements. « Moi, assis à mon bureau », dit Snowden, « je pouvais mettre sur écoute n'importe qui, de vous ou votre comptable à un juge fédéral, ou même le président, si j'avais une adresse mail personnelle ».

Le 9 juin, un visage

Le 9 juin, le Guardian met en ligne une vidéo tournée trois jours plus tôt dans la chambre du Mira par Laura Poitras. Le lanceur d'alerte a demandé qu'on le nomme. Ancien technicien de la CIA, employé du sous-traitant Booz Allen Hamilton à Hawaï, il a quitté l'île le 20 mai en prétextant un traitement contre l'épilepsie. Dans la note jointe aux premiers documents, il avait écrit : « Je comprends qu'on me fera souffrir pour mes actes. »

Je ne veux pas d'un monde sans vie privée, et donc sans place pour l'exploration intellectuelle et la créativité.

Le 21 juin, jour de ses trente ans, la justice américaine rend publique une plainte pour espionnage et vol de biens publics. Washington annule son passeport. Le 23, il embarque sur un vol Aeroflot pour Moscou et reste bloqué près de six semaines à l'aéroport de Cheremetievo. Le 1er août 2013, la Russie lui accorde un asile temporaire d'un an. Le 26 septembre 2022, un décret de Vladimir Poutine lui donne la nationalité russe. Combien de documents ? Le Guardian en a vu 58 000 ; la NSA a parlé de 50 000 à 200 000 ; le Pentagone, de 1,7 million ; environ 10 000 ont été remis à Greenwald, selon lui. L'écart mesure ce que l'on ignore encore.

Ce que contenait la boîte

La boîte de Pandore, c'est celle-là : une fois connus, les programmes ont pu être jugés. Le 23 janvier 2014, le PCLOB, l'organe fédéral de contrôle des libertés civiles, conclut que la collecte des relevés téléphoniques n'a pas de fondement légal viable.

Nous n'avons identifié aucun cas impliquant une menace contre les États-Unis dans lequel le programme a fait une différence concrète dans l'issue d'une enquête antiterroriste.

Le 7 mai 2015, la cour d'appel du deuxième circuit juge que la collecte en masse dépasse ce que le Congrès a autorisé. Le 2 juin 2015, Barack Obama signe le USA Freedom Act : les relevés restent chez les opérateurs, la NSA doit demander au tribunal un accès ciblé. Le 2 septembre 2020, la cour d'appel du neuvième circuit confirme que le programme était illégal et sans doute contraire au quatrième amendement. Entre-temps, le 14 avril 2014, le Guardian US et le Washington Post ont reçu le prix Pulitzer du service public. Le gouvernement a réformé sa loi sur la foi de révélations qu'il poursuit toujours comme un crime.

La surveillance a fabriqué du chiffrement

Le 5 septembre 2013, le Guardian révèle Bullrun : la NSA dépense environ 250 millions de dollars par an, plus de douze fois le budget de PRISM, pour affaiblir le chiffrement commercial en « insérant des vulnérabilités » dans les produits. Dans ces documents, les clients ordinaires sont appelés « adversaires ». Le 30 octobre, le Washington Post publie une diapositive dessinée à la main : le réseau interne de Google, l'internet public, une flèche entre les deux et l'annotation « SSL ajouté et retiré ici ! », suivie d'un smiley. La NSA et le GCHQ britannique interceptaient les fibres privées entre les centres de données de Google et de Yahoo, là où le trafic circulait en clair : 181 millions d'enregistrements en trente jours. Deux ingénieurs proches de Google, devant le dessin, répondent par un chapelet de jurons. Quelques semaines plus tard, Google chiffre ses liens internes, un chantier accéléré dès juin.

Le 18 novembre 2014, Mozilla, l'EFF et quelques partenaires annoncent Let's Encrypt, des certificats HTTPS gratuits et automatiques. Le 5 avril 2016, WhatsApp active le chiffrement de bout en bout, avec le protocole Signal, pour plus d'un milliard d'utilisateurs. En 2014, moins de 30 % des pages web chargées par Firefox passaient en HTTPS. Fin 2024, plus de 80 % dans le monde, et début 2025, 96,8 % en France, selon les mesures de Mozilla sur 140 millions d'utilisateurs. Le petit cadenas de la barre d'adresse descend en droite ligne de ces diapositives.

Snowden vit à Moscou avec un passeport russe. La NSA existe toujours. Mais la boîte ne se referme pas : ce qui est su reste su. À Hong Kong, le Rubik's Cube servait à être reconnu. Le cadenas de la barre d'adresse sert à ne plus l'être. Entre les deux, il y a une diapositive avec un smiley, et des ingénieurs qui ont décidé de lui faire perdre le sourire.