Interception légale

L'interception légale ( IL ) désigne les installations des réseaux de télécommunications et de téléphonie qui permettent aux forces de l'ordre, sur décision de justice ou autre autorisation légale, d' intercepter sélectivement des abonnés individuels. La plupart des pays exigent que les opérateurs de télécommunications agréés équipent leurs réseaux de passerelles et de nœuds d'interception légale pour l'interception des communications. Les interfaces de ces passerelles ont été normalisées par des organismes de normalisation des télécommunications. Comme pour de nombreux outils d'application de la loi, les systèmes d'IL peuvent être détournés à des fins illicites.

Avec les anciens réseaux téléphoniques publics commutés (PSTN), les systèmes sans fil et les systèmes câblés, l'interception légale (LI) était généralement effectuée en accédant aux commutateurs mécaniques ou numériques prenant en charge les appels des cibles. L'introduction des réseaux à commutation de paquets, de la technologie des commutateurs logiciels et des applications basées sur des serveurs au cours des deux dernières décennies a fondamentalement modifié la manière dont l'interception légale est réalisée.

L'interception légale diffère de la surveillance de masse de type « filet de pêche » parfois pratiquée par les agences de renseignement , où toutes les données transitant par une épissure de fibre optique ou un autre point de collecte sont extraites pour être stockées ou filtrées. Elle est également distincte de la conservation des métadonnées, devenue une obligation légale dans certaines juridictions.

L'interception légale consiste à obtenir des données de réseau de communication en vertu d'une autorité légale à des fins d' analyse ou de preuve . Ces données consistent généralement en des informations de signalisation ou de gestion du réseau ou, dans de rares cas, en le contenu des communications. Si les données ne sont pas obtenues en temps réel, l'activité est qualifiée d'accès aux données conservées (RD).

Cette activité repose sur de nombreux fondements, notamment la protection des infrastructures et la cybersécurité. En général, l'opérateur d'infrastructures de réseau public peut entreprendre des activités de LI à ces fins. Les opérateurs d'infrastructures de réseau privées aux États-Unis ont le droit inhérent de maintenir des capacités de LI au sein de leurs propres réseaux, sauf interdiction contraire.

L'interception des télécommunications par les forces de l'ordre, les organismes de réglementation ou administratifs et les services de renseignement, conformément à la législation locale, est l'un des fondements de l'interception des télécommunications. Dans certains systèmes juridiques, les mises en œuvre, notamment l'accès en temps réel au contenu, peuvent nécessiter une procédure régulière et l'obtention d'une autorisation appropriée des autorités compétentes, une activité autrefois connue sous le nom d'« écoutes téléphoniques » et qui existe depuis l'apparition des communications électroniques. Le document ci-dessous traite principalement de ce segment restreint de l'interception des télécommunications.

Presque tous les pays ont des exigences en matière de capacité d'interception légale et les ont mises en œuvre en utilisant les exigences et normes mondiales en matière d'interception légale développées par l' Institut européen des normes de télécommunications (ETSI) , le Third Generation Partnership Project ( 3GPP ) ou les organisations CableLabs, respectivement pour les systèmes filaires/Internet, sans fil et câblés. Aux États-Unis, les exigences comparables sont autorisées par la loi CALEA ( Communications Assistance for Law Enforcement Act ), les capacités spécifiques étant promulguées conjointement par la Federal Communications Commission et le ministère de la Justice. Aux États-Unis, la technologie d'interception légale est actuellement brevetée par une société appelée Voip-pal.com sous la publication USPTO n° : 20100150138.

Les gouvernements exigent des fournisseurs de services téléphoniques qu'ils installent une passerelle d'interception légale (LIG), ainsi que des nœuds d'interception légale (LIN), qui leur permettent d'intercepter en temps réel les appels téléphoniques, les messages SMS, les e-mails et certains transferts de fichiers ou messages instantanés. Ces mesures LI de surveillance gouvernementale sont en place depuis le début de la téléphonie numérique.

Pour éviter que les enquêtes ne soient compromises, les systèmes d'interception des communications peuvent être conçus de manière à dissimuler l'interception à l'opérateur de télécommunications concerné. Il s'agit d'une exigence dans certaines juridictions. Les systèmes d'interception des communications peuvent également être conçus à l'aide d'une technologie telle que le décryptage transparent , qui garantit que l'accès ou l'interception est nécessairement manifeste afin de décourager les abus d'autorité.

Pour garantir des procédures systématiques d'interception tout en réduisant les coûts des solutions d'interception, des groupes industriels et des agences gouvernementales du monde entier ont tenté de normaliser les processus techniques à l'origine de l'interception légale. Une organisation, l'ETSI , a joué un rôle majeur dans l'élaboration de normes d'interception légale, non seulement en Europe, mais dans le monde entier.

Cette architecture tente de définir un moyen systématique et extensible par lequel les opérateurs de réseau et les forces de l'ordre peuvent interagir, en particulier à mesure que les réseaux gagnent en sophistication et en portée de services. Notez que cette architecture s'applique non seulement aux appels vocaux filaires et sans fil « traditionnels », mais également aux services IP tels que la voix sur IP , le courrier électronique, la messagerie instantanée, etc. L'architecture est désormais appliquée dans le monde entier (dans certains cas avec de légères variations de terminologie), y compris aux États-Unis dans le cadre de la conformité CALEA . Trois étapes sont nécessaires dans l'architecture :

1. collection dans laquelle les données et le contenu des « appels » liés à la cible sont extraits du réseau
2. médiation où les données sont formatées pour se conformer à des normes spécifiques
3. livraison des données et du contenu à l'organisme chargé de l'application de la loi (LEA).

Les données d'appel (appelées IRI (intercept related information) en Europe et CD (call data) aux États-Unis) sont constituées d'informations sur les communications ciblées, notamment la destination d'un appel vocal (par exemple, le numéro de téléphone de l'appelé), la source d'un appel (numéro de téléphone de l'appelant), l'heure de l'appel, la durée, etc. Le contenu de l'appel est notamment le flux de données transportant l'appel. L'architecture comprend la fonction de gestion des interceptions légales, qui couvre la configuration et la suppression de la session d'interception, la planification, l'identification de la cible, etc. Les communications entre l'opérateur réseau et les forces de l'ordre se font via les interfaces de transfert (HI). Les données et le contenu des communications sont généralement transmis de l'opérateur réseau aux forces de l'ordre dans un format crypté via un VPN basé sur IP. L'interception des appels vocaux traditionnels repose encore souvent sur l'établissement d'un canal RNIS qui est configuré au moment de l'interception.

Comme indiqué ci-dessus, l'architecture ETSI est également applicable aux services IP où l'IRI/CD dépend de paramètres associés au trafic provenant d'une application donnée à intercepter. Par exemple, dans le cas d'un courrier électronique, l'IRI serait similaire aux informations d'en-tête d'un message électronique (par exemple, l'adresse électronique de destination, l'adresse électronique source, l'heure de transmission du message électronique) ainsi qu'aux informations d'en-tête pertinentes dans les paquets IP transmettant le message (par exemple, l'adresse IP source du serveur de messagerie à l'origine du message électronique). Bien entendu, des informations plus détaillées seraient obtenues par le système d'interception afin d'éviter l'usurpation d'adresse électronique habituelle qui se produit souvent (par exemple, l'usurpation de l'adresse source). La voix sur IP a également son propre IRI, y compris les données dérivées des messages SIP ( Session Initiation Protocol ) qui sont utilisés pour établir et interrompre un appel VOIP.

Les travaux du comité technique de l'ETSI LI se concentrent aujourd'hui principalement sur le développement du nouveau transfert de données conservées et des spécifications de réseau de nouvelle génération , ainsi que sur le perfectionnement de la suite de normes innovantes TS102232 qui s'appliquent à la plupart des utilisations de réseau contemporaines.

Les normes d'interception américaines qui aident les opérateurs de réseau et les fournisseurs de services à se conformer à la CALEA sont principalement celles spécifiées par la Federal Communications Commission (qui dispose à la fois d'une autorité législative plénière et d'une autorité de contrôle en vertu de la CALEA), CableLabs et l' Alliance for Telecommunications Industry Solutions (ATIS). Les normes de l'ATIS incluent de nouvelles normes pour l'accès Internet haut débit et les services VoIP, ainsi que la norme J-STD-025B, qui met à jour la norme J-STD-025A antérieure pour inclure la voix en paquets et l'interception sans fil CDMA.

Pour garantir la qualité des preuves, la Commission d'accréditation des agences chargées de l'application de la loi (CALEA) a défini des normes pour la surveillance électronique une fois qu'une demande de surveillance au titre III est approuvée :

1. Assurer un accès clair à toutes les données sans aucune perte d'informations ni impact sur le réseau surveillé
2. Créez un filtre pour respecter les paramètres du mandat : ​​durée, types de communications pouvant être surveillées, preuves à recueillir, etc.
3. Réglez le dispositif d’interception légale pour capturer et/ou stocker des données conformément aux paramètres du mandat.
4. Transférer les données directement de la source au dispositif de médiation sans aucune intervention humaine ni perte de paquets

Des normes génériques mondiales ont également été développées par Cisco via l' Internet Engineering Task Force (IETF) qui fournissent un moyen frontal de prendre en charge la plupart des normes de transfert en temps réel LI. Toutes ces normes ont été contestées comme « déficientes » par le ministère américain de la Justice en vertu de la CALEA.

Le principal instrument juridique international fondé sur un traité relatif à la cybercriminalité (y compris les données conservées) est la Convention sur la cybercriminalité (Budapest, 23 novembre 2001). Le secrétariat de la Convention est assuré par le Conseil de l'Europe. Toutefois, le traité lui-même compte des signataires dans le monde entier et a une portée mondiale.

Les différents pays ont des exigences juridiques différentes en matière d'interception légale. Le Global Lawful Interception Industry Forum en énumère un grand nombre, tout comme le Secrétariat du Conseil de l'Europe. Par exemple, au Royaume-Uni, la loi est connue sous le nom de RIPA (Regulation of Investigatory Powers Act), aux États-Unis, il existe un ensemble de lois pénales fédérales et étatiques, et dans les pays de la Communauté des États indépendants , sous le nom de SORM .

Dans l' Union européenne , la résolution du Conseil européen du 17 janvier 1995 sur l'interception légale des télécommunications (Journal officiel C 329) a imposé des mesures similaires à celles de la CALEA à l'échelle paneuropéenne. Bien que certains pays membres de l'UE aient accepté à contrecœur cette résolution pour des raisons de confidentialité (qui sont plus prononcées en Europe qu'aux États-Unis ), il semble désormais y avoir un accord général avec la résolution. Les mandats d'interception en Europe sont généralement plus rigoureux que ceux des États-Unis ; par exemple, les opérateurs de réseaux publics voix et ISP aux Pays-Bas sont tenus de prendre en charge les capacités d'interception depuis des années. En outre, les statistiques accessibles au public indiquent que le nombre d'interceptions en Europe dépasse de plusieurs centaines de fois celui des États-Unis

L’Europe continue de maintenir son rôle de leader mondial dans ce secteur grâce à l’adoption par le Parlement européen et le Conseil en 2006 de la directive sur la conservation des données . Les dispositions de la directive s’appliquent de manière générale à presque toutes les communications électroniques publiques et exigent la saisie de la plupart des informations connexes, y compris la localisation, pour chaque communication. Les informations doivent être stockées pendant une période d’au moins six mois et jusqu’à deux ans et mises à la disposition des forces de l’ordre sur demande légale. La directive a été largement imitée dans d’autres pays. Le 8 avril 2014, la Cour de justice de l’Union européenne a déclaré la directive 2006/24/CE invalide pour violation des droits fondamentaux.

Aux États-Unis , trois lois fédérales autorisent l'interception légale. Le titre III de la loi Omnibus Crime Control and Safe Streets Act de 1968 concerne principalement les enquêtes criminelles sur les interceptions légales . La deuxième loi, la loi de 1978 sur la surveillance des renseignements étrangers (Foreign Intelligence Surveillance Act , FISA), telle que modifiée par le Patriot Act , régit les écoutes téléphoniques à des fins de renseignement lorsque le sujet de l'enquête doit être un ressortissant étranger (non américain) ou une personne travaillant comme agent pour le compte d'un pays étranger. Les rapports annuels de l'administrateur des tribunaux américains indiquent que les affaires fédérales sont liées à la distribution illégale de drogues , les téléphones portables étant la principale forme de communication interceptée.

Dans les années 1990, comme dans la plupart des pays, pour aider les forces de l'ordre et le FBI à mener plus efficacement leurs opérations d'écoute téléphonique, notamment compte tenu de l'émergence des réseaux vocaux numériques et sans fil à l'époque, le Congrès américain a adopté en 1994 la loi sur l'assistance aux forces de l'ordre en matière de communications (CALEA). Cette loi fournit le cadre statutaire fédéral pour l'assistance des opérateurs de réseau aux forces de l'ordre dans la fourniture de preuves et d'informations tactiques. En 2005, la CALEA a été appliquée aux réseaux publics à large bande, à l'accès Internet et aux services de voix sur IP interconnectés au réseau téléphonique public commuté (PSTN).

Dans les années 2000, la surveillance s’est tournée vers le terrorisme. La surveillance sans mandat de la NSA, en dehors du contrôle de la Cour FISA, a suscité une controverse considérable. En 2013, des révélations sur la surveillance de masse ont révélé que depuis 2007, la NSA collectait des métadonnées de connexion pour tous les appels passés aux États-Unis en vertu de l’article 215 du Patriot Act, avec la coopération obligatoire des compagnies de téléphone et avec l’approbation de la Cour FISA et des briefings au Congrès. Le gouvernement affirme qu’il n’accède pas aux informations de sa propre base de données sur les contacts entre citoyens américains sans mandat.

L'interception légale peut également être autorisée en vertu des lois locales pour les enquêtes de la police d'État et locale.

La capacité de la police à intercepter légalement des communications privées est régie par la partie VI du Code criminel du Canada (atteinte à la vie privée). Lors de l'évaluation de la position du Canada sur l'interception légale, les tribunaux canadiens ont rendu deux décisions importantes sur cette question. En juin 2014, la Cour suprême a statué que les agents d'application de la loi doivent obtenir un mandat de perquisition avant d'accéder aux informations des fournisseurs de services Internet sur l'identité des utilisateurs. Le contexte de cette décision à 8 voix contre 0 est celui d'un adolescent de la Saskatchewan accusé de possession et de distribution de pornographie juvénile. La police a utilisé l'adresse IP de l'homme pour accéder à ses informations personnelles auprès de son fournisseur de services en ligne, et ce, sans mandat de perquisition. Les avocats du plaignant ont fait valoir que les droits de leur client avaient été violés, car il avait été victime d'une perquisition et d'une saisie illégales. Malgré la décision du tribunal, les preuves recueillies lors de la perquisition injustifiée ont été utilisées comme preuves au procès, car le tribunal a affirmé que la police avait agi de bonne foi. Conformément à la décision, le tribunal proclame qu'un mandat n'est pas nécessaire si :

1. « Il existe des circonstances impérieuses, par exemple lorsque l’information est nécessaire pour prévenir un préjudice corporel imminent. »
2. « S’il existe une loi raisonnable autorisant l’accès. »
3. « Si les renseignements recherchés ne suscitent pas d’attente raisonnable de respect de la vie privée. »

La deuxième décision judiciaire à laquelle il est fait référence remonte à la même année, mais en décembre. Essentiellement, la Cour suprême du Canada a statué que la police avait le droit d'accéder au téléphone cellulaire d'un suspect, mais qu'elle devait se conformer à des directives très strictes. Cette décision a été rendue à la suite de l'argument de Kevin Fearon, qui a été reconnu coupable de vol à main armée en 2009. Après avoir cambriolé une bijouterie de Toronto, Fearon a soutenu que la police avait illégalement violé ses droits garantis par la Charte en fouillant son téléphone cellulaire sans mandat. Bien que divisée, la Cour suprême a établi des critères très détaillés que les agents des forces de l'ordre doivent suivre lorsqu'ils fouillent le téléphone d'un suspect sans mandat. Les agents doivent suivre quatre règles dans ces cas :

1. « L’arrestation doit être légale – c’est le cas dans toutes les situations ; cela signifie simplement que si l’arrestation n’est pas légale, la fouille ne l’est pas non plus. »
2. « La fouille doit être accessoire à l’arrestation et la police doit avoir une raison « objectivement raisonnable » pour procéder à la fouille. Il s’agit notamment de : protéger la police/l’accusé/le public ; préserver les preuves ; découvrir des preuves telles que la recherche d’autres suspects. »
3. « La nature et l’étendue de la recherche sont adaptées à l’objectif de la recherche. Cela signifie que l’activité policière au téléphone doit être directement liée à l’objectif qu’elle vise. »
4. « La police doit prendre des notes détaillées sur ce qu'elle a regardé sur l'appareil ainsi que sur la manière dont il a été fouillé (par exemple, les applications ou les programmes qu'elle a consultés, l'étendue de la recherche, l'heure de la recherche, son objectif et sa durée) »

Pour poursuivre une perquisition sans mandat, la situation en question devrait répondre à trois des quatre critères énoncés ci-dessus. Néanmoins, le tribunal encourage fortement les forces de l’ordre à demander un mandat avant de fouiller un téléphone cellulaire afin de promouvoir et de protéger la vie privée au Canada.

En vertu de la loi Yarovaya , les forces de l'ordre ont le droit de stocker des données de communication privées.

Français La règle 4 des règles informatiques (procédures et garanties pour l'interception, la surveillance et le décryptage des informations) de 2009 prévoit que « l'autorité compétente peut autoriser une agence du gouvernement à intercepter, surveiller ou décrypter les informations générées, transmises, reçues ou stockées dans toute ressource informatique aux fins spécifiées au sous-article (1) de l'article 69 de la loi ». · L'ordonnance statutaire (SO) du 20.12.2018 a été publiée conformément aux règles élaborées en 2009 et en vigueur depuis lors. · Aucun nouveau pouvoir n'a été conféré à l'une quelconque des agences de sécurité ou d'application de la loi par l'ordonnance du 20.12.2018. · Une notification a été émise pour informer les FAI, TSP, intermédiaires, etc. afin de codifier les ordonnances existantes. · Chaque cas d'interception, de surveillance, de décryptage doit être approuvé par l'autorité compétente, c'est-à-dire le secrétaire d'État à l'Intérieur. Ces pouvoirs sont également à la disposition de l'autorité compétente des gouvernements des États conformément aux règles informatiques (procédures et garanties pour l'interception, la surveillance et le décryptage des informations) de 2009. · Conformément à la règle 22 des règles informatiques (procédures et garanties pour l'interception, la surveillance et le décryptage des informations) de 2009, tous les cas d'interception, de surveillance ou de décryptage doivent être soumis au comité d'examen dirigé par le secrétaire du Cabinet, qui se réunira au moins une fois tous les deux mois pour examiner ces cas. Dans le cas des gouvernements des États, ces cas sont examinés par un comité dirigé par le secrétaire en chef concerné. · L'OS du 20.12.2018 aidera de la manière suivante : I. Garantir que toute interception, surveillance ou décryptage de toute information via toute ressource informatique soit effectué conformément à la procédure légale. II. Notification des agences autorisées à exercer ces pouvoirs et prévention de toute utilisation non autorisée de ces pouvoirs par toute agence, individu ou intermédiaire. III. La notification ci-dessus garantira que les dispositions de la loi relatives à l'interception ou à la surveillance légale des ressources informatiques sont respectées et si une interception, une surveillance ou un décryptage est requis à des fins spécifiées dans l'article 69 de la loi informatique, cela est fait conformément à la procédure légale et à l'approbation de l'autorité compétente, à savoir le secrétaire d'État à l'Intérieur de l'Union.

La plupart des pays du monde ont des exigences en matière de LI similaires à celles de l'Europe et des États-Unis et ont adopté les normes de transfert ETSI. La Convention sur la cybercriminalité exige de telles capacités.

Comme c'est le cas de nombreux outils d'application de la loi, les systèmes d'accès à Internet peuvent être détournés à des fins illicites, ce qui constitue une violation des droits de l'homme, comme l'a déclaré la Cour européenne des droits de l'homme dans l'affaire Bettino Craxi III c. Italie . Ce même cas s'est également produit en Grèce pendant les Jeux olympiques de 2004 : l'opérateur téléphonique Vodafone Grèce a été condamné à une amende de 100 000 000 $ en 2006 (ou 76 000 000 € ) pour ne pas avoir sécurisé ses systèmes contre les accès illégaux. Selon Monshizadeh et al., cet événement est représentatif de la vulnérabilité des réseaux mobiles et des fournisseurs d'accès Internet aux cyberattaques, car ils utilisent un mécanisme d'accès à Internet obsolète.