Vendredi 31 octobre, Facebook a annoncé le lancement d’une « expérimentation » permettant à ses utilisateurs d’accéder à ses services directement depuis le réseau Tor. Comme l’a très bien résumé le journaliste Andy Greenberg dans Wired : « Le site le moins anonyme au monde vient juste de rejoindre le réseau le plus anonyme du Web. »

Techniquement, la connexion à l’infrastructure de Facebook passe par un service caché (hidden service), autrement dit un serveur accessible uniquement via Tor, à cette adresse : https://facebookcorewwwi.onion. La manière de faire la plus simple est d’utiliser le Tor Browser. Jusqu’ici, ça fonctionne, moyennant une double authentification à la première connexion. Rien que de très logique — dans le modèle de sécurité de Facebook, qu’un utilisateur se connecte depuis Austin, Stockholm et Berlin (ce qui est le principe du réseau d’anonymisation) dans la même journée entraîne une suspicion de piratage de compte. C’est l’une des raisons qui rendaient l’accès à Facebook via Tor problématique, avec le blacklistage de certains nœuds de sortie (Le problème se pose, de la même manière, pour beaucoup de services de Google.)

La mise en place de ce « Facebook caché » a d’ores et déjà fait couler beaucoup d’encre parmi les spécialistes en cryptographie, en sécurité informatique, les hacktivistes, et plus généralement les internautes qui s’intéressent de près à la confidentialité en ligne. Sur les aspects les plus techniques — l’obtention par Facebook d’une URL qui « fasse sens », alors que c’est une clé de chiffrement aléatoire ; ou encore le fait qu’une autorité de certification ait, pour la première fois, émis un certificat électronique pour une adresse en .onion — je renvoie au post de Roger Dingledine, l’un des principaux développeurs de Tor, qui y répond très précisément.

Ce qui m’intéresse ici, ce sont les aspects plus politiques de ce débat. Dès qu’on parle de vie privée, Facebook — avec son hypercentralisation, ses conditions d’utilisation léonines et son appétit de données personnelles (son business model, sa raison d’être) — fait figure de repoussoir. Faut-il, pour autant, considérer cette initiative comme au mieux absurde, au pire dangereuse ? Certainement pas — et c’est même une excellente nouvelle.

1. Non, utiliser Tor pour aller sur Facebook n’est pas « absurde ».

Pourquoi utiliser un réseau d’anonymisation pour aller sur « le site le moins anonyme au monde » ? Parce que, comme le souligne Dingledine au tout début de son billet :

« L’anonymat ne consiste pas seulement à se cacher de sa destination. »

En se connectant à Facebook via Tor, la seule indication qu’on donne à son fournisseur d’accès (ou à quelqu’un qui intercepterait la communication), c’est… qu’on utilise Tor. (Voir la très didactique infographie de l’Electronic Frontier Foundation). C’est déjà en soi une donnée sensible, notamment en cas de blocage de Tor, et c’est pour cette raison qu’il existe des bridges, des relais non publics. En utilisant en prime le hidden service de Facebook, on ne transmet des informations qu’à Facebook, moins sa localisation ¹.

Qu’on considère problématique en soi de transmettre des informations à Facebook ; qu’on soit en droit de critiquer son modèle économique, ou sa politique anti-pseudonymat ; il n’empêche que pour les internautes qui souhaitent utiliser Facebook comme outil de communication, passer par Tor est la solution la plus simple, et la plus solide, quand l’accès au réseau social est bloqué — comme c’est le cas en Iran ou en Chine. Tout le monde n’a pas le même modèle de menace.

L’équipe du Tor Project en est d’ailleurs si consciente que, lorsque les connexions à Facebook via Tor se retrouvent bloquées comme ç’a été le cas en juin 2013, ils font en sorte de régler le problème le plus vite possible.

Tor n’est pas seulement un outil d’anonymisation, c’est aussi un remarquable outil de contournement de la censure, dans des pays où elle ne vise pas seulement — par exemple — les « sites internet faisant l’apologie du terrorisme ou y provoquant ». C’est d’ailleurs à ce titre que le Tor Project est financé par le Bureau de la démocratie, des droits de l’homme et du travail du Département d’État des États-Unis. Tor propose une privacy by design dont les usages peuvent être extrêmement variés — comme Internet. Dingledine, encore :

« Quelle que soit l’idée que vous vous faites de ce à quoi Tor sert, vous pouvez être certain que quelqu’un en a une utilité à laquelle vous n’aviez pas pensé. »

2. Corollaire : non, les utilisateurs de Facebook ne sont pas nécessairement des inconscients (ou des victimes).

« Cela fait peut-être se dresser les cheveux sur la tête de certains d’entre nous, écrit l’un des participants à la mailing-list Liberation Technology, mais il est de notoriété publique que des protestataires entrent en contact et organisent des actions en utilisant Facebook. »

Qu’ils le fassent via l’outil le moins respectueux des droits des utilisateurs sur leurs données ne signifie pas pour autant qu’ils n’ont pas conscience du problème. Le penser est au mieux aveugle, au pire extraordinairement méprisant. Sur cette même mailing-list, Eleanor Saitta, membre du conseil d’orientation de la Freedom of the Press Foundation, qu’on peut difficilement soupçonner de la moindre sympathie pour la petite entreprise de Mark Zuckerberg, l’a rappelé en une formule lapidaire :

« Si vous essayez de faire passer un message politique, vous devez aller là où est le public, et ça veut dire sur Facebook comme ailleurs. »

C’est embêtant ? Oui, et c’est bien pour ça qu’il faut encourager les alternatives libres, attachées aux droits des utilisateurs. En attendant, si même les hackers des pays du Printemps arabe sont sur Facebook, c’est bien parce que l’enjeu (collectif) de la communication leur semble plus fondamental que le contrôle (individuel) absolu sur leurs données. Ce n’est pas de l’inconscience, c’est un compromis qu’ils jugent nécessaire. Un développeur comme Nadim Kobeissi l’a bien compris, qui propose avec Cryptocat une manière simple de chiffrer de bout en bout ses conversations avec ses contacts Facebook.

Ne considérer les utilisateurs de Facebook (ou de Google, ou d’autres) qu’à travers le prisme de la sujétion, c’est nier la plasticité des usages — voir, par exemple, les travaux de danah boyd sur les adolescents et les réseaux sociaux, ceux d’Antonio Casilli sur la « privacy en tant que négociation » ou ceux de Dominique Cardon sur le « design de la visibilité ».

On pourrait presque paraphraser Dingledine : quelle que soit l’idée que vous vous faites de ce à quoi Facebook sert, vous pouvez être certain que quelqu’un en a une utilité à laquelle vous n’aviez pas pensé — une utilité qui échappe, au moins partiellement, au biz model de l’entreprise. Un détournement.

3. Oui, c’est une bonne nouvelle pour le réseau Tor.

Dire que Tor souffre d’un déficit d’image est un euphémisme. Nous avons été suffisamment abreuvés de reportages sur le « Darknet », d’une rigueur parfois toute relative — je me souviens de ce journaliste ayant acheté « anonymement » de la drogue en bitcoins, après avoir ouvert un compte… en fournissant une pièce d’identité. Les services cachés, en particulier, sont plus souvent associés à la vente d’armes ou de services de piratage de comptes qu’au système de soumission de documents confidentiels du New Yorker.

Que le réseau social le plus mainstream du Web ouvre un hidden service ne va pas nécessairement entraîner à très court terme une augmentation massive du nombre d’utilisateurs de Tor, mais ça change, à tout le moins, la perception même de l’usage du réseau d’anonymisation.

Que Tor sorte de la marginalité, et on trouverait certainement quelques nostalgiques — tout comme il y a des nostalgiques de l’Internet de 1997, à 100 millions d’utilisateurs, tellement plus fréquentable. Or s’il y a aujourd’hui des discussions entre le Tor Project et l’Internet Engineering Task Force, ou avec la Fondation Mozilla, qui développe Firefox, c’est bien parce que le design de Tor apparaît comme un modèle de « minimisation des données » ou de navigation privée « renforcée » à explorer.

Pour ceux qui pensent qu’il est urgent de sortir du paradigme d’un Internet transparent par défaut, en développant du clair-obscur (et pas seulement de l’opacité totale, ce qui est infiniment plus difficile), l’expérience de Facebook — quelles qu’en soient d’ailleurs les motivations — a, au minimum, une portée symbolique. Et les symboles, ça compte.

4. Oui, c’est une bonne nouvelle pour Internet.

Il est tentant de voir dans la naissance de ce « Facebook.onion » une initiative purement opportuniste — du travail d’image post-PRISM à l’ouverture de nouveaux marchés dans les pays en butte à la cybercensure, en passant par le soft power. Et quand bien même ? Ce que ça dit, c’est que pour les géants de la Silicon Valley, la vie privée a désormais une valeur.

Ce n’est certainement pas pour de pures considérations éthiques que depuis « l’affaire Snowden », la plupart des fournisseurs de webmail sont passés au protocole HTTPS, rendant, de fait, le réseau un peu plus sûr pour tout le monde. Si demain Google décidait de déployer le chiffrement de bout en bout des e-mails, ce serait évidemment moins fiable que d’utiliser GnuPG sur sa propre machine en ayant son courrier chez soi ou chez un petit hébergeur de confiance — mais ça pourrait améliorer l’ordinaire pour quelques millions de personnes. (Et le fait est que, malgré l’apparente contradiction avec leur modèle économique, ils font plus qu’y réfléchir.)

On ne réglera pas le problème de la surveillance de masse en dehors des entreprises qui se taillent la part du lion dans le trafic Internet — tout simplement parce que c’est là qu’est la majorité des utilisateurs. Ce qui ne signifie en rien qu’il faille donner quitus à ces entreprises, ou qu’il ne faille pas proposer autre chose à leurs utilisateurs.

Faire pression sur les géants du Net, comme le martèle un Chris Soghoian (analyste pour l’American Civil Liberties Union), sans cacher les limites de l’exercice, relève plus de la tectonique des plaques que de la pureté axiologique. À court terme, on peut difficilement s’en passer.

Runa Sandvik, la chercheuse américaine qui travaille avec le Tor Project et a conseillé Facebook pour son service caché, veut voir dans cette mise en place « le signe que Tor pourrait être le prochain outil de protection de la vie privée que les entreprises de la Silicon Valley devront proposer à leurs utilisateurs ». On peut — tout en étant totalement convaincu de la nécessité de « déconcentrer Internet » et de développer des modèles respectueux des données personnelles — considérer que ce serait un gain net pour les internautes.

—