Questionner la vidéosurveillance à Nice : utilité, coûts, dangers – édition mise à jour au 30/09/ 2016

Nous avions prévu d’actualiser notre étude sur la vidéosurveillance à Nice afin d’y intégrer les informations relatives à l’analyse des activités de la Commission Départementale de la vidéosurveillance. Le 14 juillet 2016, un massacre de masse venait endeuiller notre ville. La section de Nice de la Ligue des droits de l’Homme a obstinément refusé d’entrer dans les indécentes polémiques qui ont surgi moins de 24 heures plus tard, à propos du fonctionnement de la vidéosurveillance.

Dans cette deuxième édition, nous maintenons le même cap : notre objectif fondamental est d’alerter nos concitoyens sur le coût prohibitif, l’utilité très limitée et les dangers pour les libertés publiques que représente une vidéosurveillance massive, omniprésente et instrumentalisée par certains élus.

Télécharger ou consulter le dossier : [ ICI ]

 

 

Nice ville numérique, Smart city ou future ville « panoptique » ?

La ville de Nice communique beaucoup autour du concept de « ville intelligente » [ [ ICI ] sans doute pour faire évoluer  son image de « ville de retraités « . En dépit de fiascos retentissants, comme celui des parcmètres dits « intelligents », lesquels ont laissé un facture de 10 millions d’euros à la commune, la ville entend poursuivre cette politique. Tout n’est pas à rejeter en bloc dans le concept de ville intelligente ; toutefois,  nous attirons à nouveau l’attention des citoyens sur les dangers potentiels que recèlent ces technologies, dès lors qu’elles se déploient hors de tout contrôle démocratique réel et sans aucun véritable contre pouvoir efficace.

A ce sujet, la CNIL commente un très intéressant article de la sociologue Liesbet Von Zoonen.

La totalité de l’article de la CNIL ici : [ ville numérique et vie privée ]

Extraits :

« La ville numérique ou la « smart city », fait l’objet de nombreux débats parmi les chercheurs et les spécialistes. Ses promoteurs voient dans le big data une opportunité pour les villes de devenir plus riches, plus propres et plus efficaces ; d’autres considèrent que les villes deviendront des espaces robotisés, ennuyeuses, gérés par les seules data (data driven), et où la créativité n’aura plus aucune place. Le géographe Rob Kitchin, considère que la collection tous azimuts de données urbaines risque de produire des villes « panoptiques », qui risquent de menacer le droit à la vie privée et à la liberté d’expression. »

  • Quadrant II – Collecte de données personnelles à des fins de surveillance.

« Ce quadrant recouvre les données personnelles collectées par la police, les autorités organisatrices des transports publics, mais aussi des caméras de surveillance, des bases liées à la reconnaissance faciale, etc. Ce quadrant cristallise les contestations par les citoyens et les militants du respect de la vie privée. Liesbet van Zoonen note que le Règlement européen   [ ICI ]     apportera de nouvelles garanties aux citoyens pour faire valoir et protéger leurs droits. »

  • Quadrant III – Collecte de données « non –personnelles » à des fins de surveillance.

« On retrouve ici les données liées à la surveillance de l’espace urbain, sans a priori de reconnaissance possible des individus : le monitoring du trafic automobile, de gestion des foules, par exemple par des caméras infrarouge ou des capteurs de chaleur. Ces données peuvent cependant permettre de reconnaître une personne, par exemple lorsque l’on utilise un logiciel de reconnaissance faciale sur des vidéos. »

  • Quadrant IV – Collecte de données « non-personnelles » à des fins de services.

« La dernière catégorie correspond à toutes les données non-personnelles collectées et utilisées pour le bénéfice des citoyens, telles que les données environnementales, de gestion des déchets ou de l’énergie (hors les données de chaque foyer). Ce quadrant ne présente à première vue pas d’inquiétudes quant au respect de la vie privée, mais l’auteur rappelle que là aussi, grâce à l’agrégation et au recoupement de données pourtant anonymisées, il reste parfois possible de reconstituer des données personnelles. «    [ Cliquez ici ]

Le marché de la prédiction du crime aux Etats Unis

Un algorithme peut-il prédire les crimes ? Les forces de police américaines s’équipent depuis plusieurs années de logiciels censés détecter le lieu des futurs crimes et délits. Leur succès tient pourtant davantage du marketing que de leur efficacité prédictive.

Bilel Benbouzid, « À qui profite le crime ?. Le marché de la prédiction du crime aux États-Unis », La Vie des idées , 13 septembre 2016. ISSN : 2105-3030.

Article : [ ICI ]

vous aimez les objets connectés ? essayez donc les serrures …

 

Le site web « L’informaticien »  [ ICI ]    a testé pour vous une serrure connectée.  Les serrures connectées, qui s’ouvrent avec un smartphone, une télécommande ou même un signal audio, devraient être ultra-sécurisées. Pour une marque bien connue, ce n’est pas du tout le cas : le niveau de sécurité est juste catastrophique.

Serrures connectées : vous pensiez vraiment être en sécurité ?

Les serrures connectées, qui s’ouvrent avec un smartphone, une télécommande ou même un signal audio, devraient être ultra-sécurisées. Pour une marque bien connue, ce n’est pas du tout le cas : le niveau de sécurité est juste catastrophique. 

Imaginez-vous au magasin, en quête d’une serrure connectée. Sur l’un des packagings, vous voyez ceci : elle utilise une technologie de sécurisation des données qui correspond « aux standards militaires et bancaires (AES 256 / 3D Secure) ». Alors là, vous êtes rassuré ! Quoi de mieux qu’un algorithme de chiffrement bien connu et solide pour protéger votre chez vous ?

Seulement, au-delà du packaging, le rêve s’effondre. Au FIC à Lille, nous venons d’assister à une conférence accablante. C’est Renaud Lifchitz de Digital Security (Econocom) qui joue le rôle d’animateur. Et ce qu’il raconte est effarant. S’il ne nomme pas la marque en question, on se doute très fortement qu’il s’agit du français Okidokeys.

Une serrure connectée, parmi d’autres…

Les fondamentaux de la sécurité complètement oubliés

La liste des remontrances est très longue. Précisons que le verrouillage/déverrouillage de la serrure peut se faire soit par badge (RFID), soit par smartphone (Bluetooth 4.0 – BLE) soit par code audio. On apprend tout d’abord que l’application est développée en full HTML5 et JavaScript ; et que le code source est donc entièrement accessible. Dans celui-ci, on y découvre rapidement des aberrations et notamment des constantes booléennes modifiables (8 au total) ! En clair, on découvre également des jetons de cloud, « ce qui signifie que l’on peut se faire passer pour une serrure puisque le jeton secret est dans le code source… » sourit Renaud Lifchitz (photo ci-dessous).

Et la liste est loin d’être terminée : un grand nombre d’URL sont présentes dans le code « dont une complète d’authentification ». Elle est stockée en clair côté client. « Nous avons le login/mot de passe dans l’URL. Côté serveur, c’est de l’Apache, mais l’authentification étant dans l’URL on la retrouve dans les logs du serveur web. Cela signifie que login et mot de passe sont eux aussi stockés en clair côté serveur, en tout cas dans les logs ».

Quant à la clé de chiffrement, annoncée en 256 bits, elle est en fait dérivée du Code PIN à 4 chiffres de l’utilisateur : en réalité, la clé est en 14 bits, soit 19 fois plus faible que celle annoncée ! On estime à environ 10 000 le nombre de possibilités pour trouver le bon code PIN. Autant dire, l’affaire de quelques secondes/minutes. Enfin un bon point : pour la connexion RFID, Okidokeys utilise la solution d’authentification et d’accès aux données Mifare Ultralight C. Une bonne nouvelle car aucune faille n’a encore été répertoriée sur cette technologie. En revanche, encore faut-il que celui qui l’utilise change la clé par défaut ; qui au passage est « breakmeifyoucan! ».

De multiples scénarios d’attaques

Tout cela est bien joli mais à quoi sert-il de pouvoir déverrouiller une serrure si on ne sait pas où elle se trouve ? Ce n’est pas un problème : un simple scan BLE réalisable depuis un smartphone permet de détecter les serrures dans un rayon de 100 alentours. Ce faisant, une personne peut rapidement avoir accès à toutes les infos des serrures repérées, et notamment voir si elles sont à jour. Passons encore sur les multiples scénarios d’attaques MITM (Man in the Middle) que cela suppose…

Cette démonstration à charge est donc en tout point consternante. D’autant plus que si un seul constructeur est visé ici, il y a également fort à parier que les autres constructeurs (Vachette ?) soient eux aussi confrontés aux mêmes failles de sécurité. Ce que nous ne manquerons pas de tenter de vérifier prochainement.

Lobby de la vidéosurveillance : obsolescence programmée, leçons de morale et essaims de drones

Monsieur le maire : vous vouliez battre des records de mises en service de caméras de vidéosurveillance  1500, 2000  et plus ? Las, le lobby de la vidéosurveillance ( Association nationale de la vidéoprotection – AN2V ) vient de vous ringardiser. Après avoir refilé des dizaines de milliers de caméras aux élus de tous bords, aux communes de toutes tailles, voici que son représentant, M. Dominique Legrand déclare dans la presse  (Sud Ouest du 06/05/2016   [ ICI ]  ) : « Il ne sert à rien de faire du quantitatif et de placer des caméras à tout prix [ … ] Notre position est claire : nous prônons moins de points de visualisation mais avec des images de meilleure qualité » Bref, ça revient à dire : jusqu’à maintenant on vous a refilé, en quantité, du matériel inutile et obsolète, jetez donc tout ça à la poubelle et équipez vous avec mon beau matériel, vous serez « hig tech friendly », vos administrés vont adorer.

Faisant preuve d’un sacré culot, le lobbyiste se pose en moraliste de la vidéosurveillance : « le coût, les aspects juridiques et éthique ont-t-ils été pris en compte ? Puis il préconise « une vue d’ensemble pour sortir de l’émotion et des petits calculs électoraux des municipalités ». Bref, un tract de la LDH !

Et pour terminer en beauté  : vous surveillez vos concitoyens  d’en bas ? et bien, surveillez aussi d’en haut, tant qu’à faire, surveillez en 3D, donc,  « Pourquoi pas un essaim de drones plutôt qu’un hélicoptère pour suivre un rodéo nocturne ? ». Plutôt que de vendre un seul  et inutile drone, autant en vendre un essaim, sans doute au titre de la maitrise des coûts. Des esprits malveillants prophétisent : « la saison du ball trap est ouverte ».

 

Drones

La vidéosurveillance à Nice

« Le procédé est bien connu avec la surenchère sécuritaire liberticide : qui peut avoir peur des contrôles de police démultipliés, des surveillances électroniques ou sur le web, des contrôles au scanner … si ce n’est le fautif, le coupable […] La charge de la preuve est inversée. Ce n’est pas à l’évaluateur de produire les bienfaits de l’évaluation. C’est à l’évalué de produire les bienfaits de la non-évaluation […] l’individu est à jamais suspect. »

Cynthia Fleury « Les irremplaçables » Gallimard.

Pour accéder au dossier établi par la section de Nice de la LDH, cliquez   : [ ICI ]

vidéosurveillance + reconnaissance faciale : le meilleur est à venir

Un récent article paru dans « Le Monde »  [ ICI ]  explique comment, FindFace, une toute nouvelle application russe, permet, grâce à son système de reconnaissance faciale lié à une simple photo, de retrouver le profil d’une personne sur l’équivalent du Facebook russe. Des internautes ont utilisé cette application « pour mener une chasse aux actrices pornographiques et aux prostituées [ … ] Ainsi, des centaines de profils ont été jetés en pâture sur le site. Les images pornographiques sont publiées à côté de photos de mariage de la même personne, ainsi que l’adresse de son profil VKontakte et celle de son mari ou d’autres membres de sa famille ».

Inutile de préciser que ce qu’il est possible de faire avec une photographie, il est encore plus facile de le faire avec une image issue de la vidéosurveillance qu’elle soit sur la voie publique ou dans un lieu privée (supérette, banque,  bar, hôtel, etc.) c’est pourquoi, le journaliste, à raison, s’inquiète : « il suffit d’imaginer le  pouvoir de ces outils reliés à un vaste réseau de caméras de surveillance.« 

Aujourd’hui les prostituées, demain  les « non conformes » de toutes catégories, origines et croyances, puis les syndicalistes, puis les opposants politiques et, enfin, monsieur tout le monde, lui aussi, aussi sera transparent.

 

 

 

 

A Nice le « boulevard connecté » sera aussi un « boulevard surveillé »

Revue « Communication et organisation »  n° 46 – 2014 – Bruno Girard  « L’image donnée ».

Article accessible en ligne [ ICI ]

Ce très intéressant article analyse quelle peut être la puissance des images collectées par la vidéosurveillance, dès lors qu’elles se transforment en « données » traitées par un algorithme. A propos du fameux boulevard connecté à Nice, il indique : « Le Boulevard connecté à Nice constitue un excellent terrain d’observation de l’exploitation des données en environnement urbain avec une plateforme multiservice impliquant des caméras IP, des capteurs, un portail opendata, lesquels envisagent de traiter les problèmes de stationnement [ …], de gestion des déchets et des éclairages. »

L’auteur analyse ensuite certains éléments de la plaquette officielle de présentation, comme nous l’avons fait dans notre article  à propos du programme  « Eliot » de l’équipementier en matériel électrique Legrand, ainsi que du boulevard connecté vu par Cisco. ( voir article : « Eliot ou le monde merveilleux des objets connectés » dans la catégorie « Vidéosurveillance »).

Enfin, il indique : « Ainsi le boulevard connecté à Nice veut simplifier les déplacements, fluidifier la circulation, économiser l’énergie. À aucun moment, il n’est question de surveillance des usagers. Aucune dimension sécuritaire n’est mentionnée dans le dossier de presse. La vidéoverbalisation automatique par capture des numéros de plaque d’immatriculation, déjà en exploitation à Nice, n’est pas évoquée. Il paraît étonnant que ces objectifs soient omis alors que les caractéristiques indiquées pourraient permettre ces dispositions. C’est seulement à l’intérieur d’un autre article du blog de la société Cisco que l’on évoque un usage sécuritaire dans un compte rendu du salon Innovative City de juin 2012 à Nice  » 

Cisco Bd connecté, la version sécuritaire : [ ici ]

Cisco bd connecté, la version idyllique :

 

Nous voilà prévenus.

Vidéosurveillance et statistiques « au doigt mouillé »

Le 11 avril 2016, le quotidien « La République de Seine et Marne » publiait une interview de l’adjudate-chef de gendarmerie,  « référente sûreté en prévention technique de la malveillance et vidéoprotection »  Extraits :

« Quel est l’impact de la vidéoprotection sur la délinquance de voie publique ? »

« Pour les quelques communes de zone gendarmerie qui ont installé la vidéoprotection de manière réfléchie et pertinente, et depuis suffisamment longtemps pour qu’émerge un retour d’expérience solide, une baisse de la délinquance quasi immédiate et durable est ressentie. L’effet est d’abord dissuasif auprès des délinquants au cours des premiers mois. Mais dès lors que des enquêtes s’élucident grâce à la vidéoprotection, et que ça se sait par le biais des médias ou autres, la délinquance se déplace et évite de se rendre sur les communes vidéoprotégée. Je n’ai pas de chiffres précis, mais généralement, on ressent une baisse pérenne de 30 à 40 % de la délinquance de voie publique dans les communes de zone rurale où les dispositifs de vidéoprotection ont été installés de façon pertinente et performante. »

Les réponses faites au journaliste sont particulièrement symptomatiques de la façon dont les laudateurs de la vidéosurveillance en vantent les mérites.

Il n’est nullement question de données statistiques établies par un organisme indépendant travaillant avec des chercheurs compétents, mais d’un « ressenti » (répété deux fois dans le même paragraphe) éminemment subjectif. D’ailleurs, avoue l’adjudante « je n’ai pas de chiffres précis » ce qui ne l’empêche nullement de se contredire grossièrement en annonçant  « une baisse pérenne de 30 à 40 ».

Dans le domaine de la vidéosurveillance, la technique des statistiques pro domo établies  « au doigt mouillé » a encore de beaux jours devant elle.

L’article complet : [ ICI ]

« Eliot » ou le monde merveilleux des objets connectés

L’équipementier en matériel électrique « Legrand », un des leaders mondiaux dans son domaine, réputé pour la fiabilité de ses matériels, a décidé d’investir massivement dans les technologies de l’objet connecté. Après être entré au capital de la start-up Netamo  [ ICI ]  il investit dans la recherche et développement  avec un vaste programme baptisé « Eliot ». Dossier de presse de ce programme cliquez ici : [ ICI ]

Il n’est pas question de contester en bloc l’utilité au concept  d’objet connecté, puisque certains aspects, comme la télémaintenance des installations ou de l’aide aux handicapés ou personnes âgées, etc. peuvent avoir leur utilité. Toutefois, une lecture attentive des supports de communication fournis par l’entreprise elle-même a de quoi laisser perplexe.

En effet, on peut lire ceci dans le dossier de presse :

« UN ENJEU SOCIÉTAL »  (page 7) « Les objets connectés envahissent progressivement tous les secteurs : la santé, le transport, le commerce, l’énergie, l’environnement, les loisirs, la maison, l’industrie… Aucun pan de l’économie n’est écarté. Progressivement l’Internet des Objets s’impose comme un standard. »

Après avoir présenté la chose comme incontournable, incontestable et non réfutable, mais tout en évitant soigneusement de citer la surveillance des personnes comme pouvant être un des  domaines d’application (alors qu’il est l’un des plus prometteurs), le dossier aborde, en trois lignes, le sujet qui fâche :

« RESPECTER L’UTILISATEUR » (page 12)« Si l’Internet des Objets et la multiplication des données auront nécessairement des conséquences sur la vie privée, Legrand entend rester fidèle à ses valeurs et fait du respect de l’utilisateur un impératif. Eliot contribuera ainsi à préserver la confidentialité des données. Ces données ne pourront être communiquées à des partenaires que si cela apporte des services additionnels à l’utilisateur et à condition qu’il ait donné son accord.« 

On observera tout d’abord que l’intrusion dans la vie privée est présentée comme « nécessaire », mais, soyez sans crainte, la confidentialité des données sera préservée. Toutefois, au tournant du paragraphe, l’aveu : « ces données pourront être communiquées à des partenaires » : c’est l’objectif majeur de l’économie de l’objet connecté : collecter en masse et monnayer vos données personnelles ; c’est la martingale de Facebook et de Google.

Cela va sans dire, on vous demandera votre accord, que vous donnerez après avoir lu 30 pages en anglais et en caractères minuscules et, de fait, vous ferez comme tout un chacun, vous signerez sans lire, car vous aurez trop envie de mettre en fonctionnement votre joujou , comme, par exemple, cette caméra intérieure qui reconnait les visages [ ICI ]

« UN CLOUD ULTRA•SÉCURISÉ » (page 13) « Le cloud Eliot est le lieu de stockage des informations récoltées via les applications du groupe. Mis en place avec les plus grands noms du secteur, ce cloud est ultra-sécurisé. Grâce au mode de stockage et à l’architecture des plateformes, il contribuera à préserver la confidentialité des données et protègera l’utilisateur. »

« Sociétal » , « respecter l’utilisateur » , « ultra sécurisé » : on le voit, tous les mots clef sont cochés, puisque l’objectif inavoué de la plaquette est bien de lever les préventions du « citoyen lambda » à l’égard de cette technologie.

Les données collectées seront donc stockées dans le cloud, mais, cela va sans dire, celui-ci sera « ultrasécurisé » au moins autant que celui du Pentagone ou de la Maison Blanche qui ont été allègrement hackés. Il en va de l’inviolabilité du cloud comme de » l’ultra sécurité  » des centrales nucléaires : les accidents ça n’existe pas, ou alors chez les autres.

En matière d’objets connectés, la métropole de Nice se voudrait précurseur , notamment avec le projet Cisco « Boulevard connecté ».

Cisco Bd connecté Nice

L’article  « Cisco boulevard connecte@nice »   : [ ICI ]

Observez bien les flèches qui vont vers les personnages censés se trouver sur le boulevard ou qui partent d’eux.

Dans ce dispositif, aussi, il n’y a pas de problème, les données collectées sont, parait-il, « ultra protégées » et c’est promis, on ne les utilisera pas en dehors des cas prévus.

Le véritable problème qui affleure avec l’avènement de tous ces dispositifs liés à l’objet connecté est que personne, strictement personne ( mis à part, bien entendu, les concepteurs) n’a la capacité et les moyens techniques et  juridiques de savoir quelle est ou sera l’utilisation  réelle des données personnelles qui sont ainsi collectées et, surtout, stockées.

Il est vraiment temps de réfléchir aux  contre-pouvoirs.