Celui qui voulait changer le monde

Épisode 1

“Et merde. Le scraper est de retour”. En ce week-end de septembre 2010, cela fait quelques heures que les informaticiens de la bibliothèque numérique Jstor tentent de contrer le robot qui télécharge en masse des documents pdf.

Le blocage d’une première adresse IP s’est avéré vain. Les téléchargements ont en effet repris à partir d’une nouvelle adresse. Il va falloir prévoir une riposte plus large, en bloquant une plage d’adresses. Au risque de perturber l’accès des utilisateurs légitimes de Jstor.

Ce service d’archives universitaires est géré par une organisation à but non lucratif, offrant à ceux qui peuvent bénéficier d’un abonnement (généralement 50 000 dollars par an pour une université) une ouverture sur plus de 6 millions de documents académiques.

Le scraping est un bon exemple de zone grise du numérique. Ce terme désigne une collecte automatisée d’informations disponibles sur les sites web.

Plutôt que d’aller manuellement sur un site, puis un autre, pour enregistrer les informations, vous pouvez simplifier cette tâche avec un robot, un logiciel ou bien souvent quelques lignes de code. C’est par exemple ce que fait le très pratique site internet archive, qui permet de retrouver l’historique de pages web.

Mais d’autres utilisations du scraping sont beaucoup plus contestables. Des entreprises se sont fait une spécialité d’aspirer des annonces immobilières pour constituer des bases de données et ensuite faire du spam.

Et sur Zdnet.fr, je vous avais parlé de la condamnation d’une start-up pour une intrusion informatique ouvrant la voie au scraping d’annuaires internes de l’enseignement supérieur, une façon de faire grossir un fichier marketing.

Revenons au scraping des documents de Jstor de septembre 2010. Pour l’éditeur, ces téléchargements de masse sont un problème. Ils ralentissent les serveurs et nuisent à tous les autres utilisateurs du service. Il faut donc réussir à stopper ce flot de téléchargements, mais sans perturber l’accès au service des utilisateurs.

Voilà pour la théorie, maintenant c’est plus facile à dire qu’à faire. On ne sait pas qui est derrière ce scraping de masse. On sait juste que les adresses IP utilisées sont associées au MIT, le Massachusetts Institute of Technology. Mais cette université, l’une des plus prestigieuses au monde, ne sait pas non plus qui se cache derrière cette adresse IP.

Quinze jours plus tard, le 9 octobre, toujours un samedi, un nouveau téléchargement encore plus massif est constaté. Pour le stopper, Jstor sort cette fois-ci le bazooka. L’accès au service est suspendu pendant trois jours pour tous les étudiants et le personnel du MIT.

Cette bibliothèque numérique est alors utilisée quotidiennement par plusieurs centaines de personnes de l’université. Le MIT bannit de son côté l’adresse MAC, cet identifiant physique liée à la carte réseau, associée au scraper. Mais cela ne suffit pas à stopper les agissements du pirate

Jstor estime que 80% de la base de données, soit 4,8 millions d’articles, ont été téléchargés. Pour l’éditeur, l’attaquant cherche à faire main basse sur ses archives pour les diffuser ensuite ailleurs. La riposte s’organise. Jstor ne porte pas plainte mais planche sur une nouvelle façon d’authentifier les utilisateurs du MIT.

Ce jeu du chat et de la souris se poursuit durant l’hiver. Le 26 décembre, de nouveaux téléchargements suspects sont découverts. En fait, ils avaient commencé à la fin novembre mais étaient passés inaperçus.

Sauf que cette fois-ci, le MIT parvient à avoir une première piste sur l’origine des téléchargements massifs. Il sont venus du bâtiment 16. Puis, le 4 janvier, le MIT localise précisément l’origine de la connexion suspecte.

Dans un petit local technique, une sorte de grand placard mal sécurisé - l’accès peut être forcé en tirant simultanément sur les deux portes, le verrou ayant été endommagé - , un ingénieur découvre un câble réseau, et au bout, un ordinateur portable.

Ce portable de marque Acer est directement branché sur le réseau informatique. Celui qui l’a installé l’a branché sur le réseau du MIT. Aucun piratage, tous les utilisateurs de passage peuvent le faire. La session a été ouverte au nom de Gary Host. Visiblement un clin d’œil. L’ordinateur a été paramétré pour afficher comme nom “Ghost Laptop”, pour G. Host, “le portable fantôme”, traduit en français.

Sur l’ordinateur capturé, on découvre l’outil de scraping. C’est un simple script python, appelé Keepgrabbing.py, qui automatise le téléchargement. On apprend également que pour tromper la vigilance du MIT, l’adresse MAC de l’ordinateur a été modifiée pour obtenir une nouvelle adresse IP lors de sa connexion, ce qui a permis donc de poursuivre les téléchargements.

Après cette drôle de découverte, le MIT appelle la police. Et un inspecteur d’une unité spéciale dédiée à la lutte contre le cybercrime, la New England Electronic Crimes Task Force, débarque avec deux collègues de l’US Secret Service et l’autre du Boston Police Department.

Une remarque à ce sujet. Contrairement à son nom, l’US Secret Service n’est pas une officine d’agents secrets, mais plutôt une agence de contre-espionnage, avec deux missions principales, la lutte contre la fraude financière ou la fausse monnaie. Mais elle est également compétente en matière de lutte contre la fraude électronique ou les attaques informatiques, ce qui justifie la présence d’un de ses agents.

Les policiers relèvent les empreintes digitales sur l’ordinateur. Puis ils tentent sans succès de faire une copie du disque dur branché à la machine. Mais ils laissent l’ordinateur dans le placard. Et pour prendre le scraper en flagrant délit, ils installent une petite caméra.

A posteriori, on sait que le timing a été très serré. Il s’est à peine écoulé une demi-heure avant que le scraper ne revienne. Les images de vidéosurveillance enregistrent un premier passage, ce 4 janvier. Le suspect est un homme, plutôt jeune, aux cheveux noirs mi-longs, avec un sac à dos et un casque de vélo à la ceinture.

L’acte d’accusation souligne l’attitude fuyante du suspect, qui chercherait à dissimuler son visage. Au vu des images, je trouve que c’est un peu tiré par les cheveux. Il donne surtout l’impression d’être concentré sur autre chose. Quoi qu’il en soit, le jeune homme ouvre la porte du placard. Puis il change le disque dur externe.

Quand les enquêteurs réalisent que leur client est déjà sur place, ils envoient deux agents pour l’arrêter. Mais leur suspect est déjà parti. On regarde à nouveau les images, personne ne reconnaît le scraper. On en reste là jusqu’au 6 janvier, deux jours plus tard, vers 12h30, avec le retour du scraper.

Cette fois-ci, le suspect fait le grand ménage. Il prend le nouveau disque dur externe, et l’ordinateur portable, avant de s’en aller. La police va-t-elle l’arrêter à sa sortie du grand placard? Et non.

Car encore une fois, la surveillance du local technique connaît des ratés. Aucun agent n’est à proximité du bâtiment 16. Dans l’après-midi, les informaticiens remarquent toutefois que l’ordinateur du scraper, identifié grâce à son adresse MAC, se connecte depuis le bâtiment 4, puis de deux autres sites de l’université.

Le suspect est donc toujours dans les parages. Il va finalement être arrêté grâce à un coup de chance. Vers 14h, un agent de la police du MIT rentre au garage après une patrouille en voiture banalisée.

Au croisement de Vassar Street, il croise un cycliste qui ressemble comme deux gouttes d’eau au suspect de la vidéo du 4 janvier. Il s’approche pour vérifier : bingo, il s’agit bien du jeune homme au disque dur.

Arrivé près de Central Square, le policier tente d’arrêter le cycliste. L’homme refuse d’abord de se laisser arrêter. Bravache, il s’indigne que les agents du MIT ne soient pas “de vrais flics”.

Puis il laisse tomber son vélo et part en courant. A l’issue d’une brève course poursuite, le jeune homme est arrêté. Il est 14h11, l’agent plaque le fuyard contre le trottoir. Il s’agit d’Aaron Swartz.

Épisode 2

Alors, on en était à l’arrestation d’Aaron Swartz, en janvier 2011. A l’époque, l’événement est passé inaperçu, il ne sera connu que quelques mois plus tard. Pourtant, à seulement 24 ans, le jeune homme est déjà une célébrité du web.

Ce surdoué est né en 1986 près de Chicago. Comme le racontera plus tard la journaliste Flore Vasseur, Aaron Swartz sait lire à trois ans et programmer à huit ans - son père édite d’ailleurs des logiciels informatiques.

Il y a énormément d’anecdotes qui illustrent à quel point le jeune homme a été précoce. A 14 ans, il rejoint un centre de recherches de l’université de Stanford. L’adolescent travaille sans peine avec des chercheurs qui ont l’âge de ses parents.

Deux avant la création de Wikipédia, il imagine un concept similaire, un site internet participatif de partage de connaissances dénommé “The Info Network”. Il est même repéré rapidement, nous dit Radio France, par “Tim Berners-Lee, l’inventeur du World Wide Web, qui voit en lui un prodige du net”.

Après avoir participé au développement des flux RSS, Aaron Swartz s’implique dans les licences Creative Commons, qui offrent une nouvelle solution à la question des droits d’auteur. Puis il s’embarque dans la genèse du forum Reddit, où il gagne au passage quelques millions.

Mais, vous l’avez déjà compris, Aaron Swartz n’est pas un entrepreneur. Il ne cherche pas à faire fortune. C’est un activiste, un enfant d’internet libertaire, doublé d’un nerd juridique, qui aspire à vivre dans un monde où la connaissance sera diffusée plus largement.

Outre son combat contre deux réformes controversées censées lutter contre le téléchargement illégal, le Stop Online Piracy Act et le Protect IP Act, il est l’un des fondateurs de Demand Progress, une ONG de défense des libertés sur internet et de lutte contre la surveillance en ligne.

A l’époque, Aaron Swartz n’est pas un étudiant ou un chercheur du MIT. Il est en revanche membre d’un centre de recherche de l’université de Harvard, également basé à Cambridge, dans le Massachusetts.

Trois ans avant son arrestation, il a théorisé son combat dans un texte, le Guerilla Open Access Manifesto. Pour le jeune homme, le patrimoine scientifique et culturel mondial est tombé sous la coupe d’entreprises privées qui brident l’accès à la connaissance.

“Mais nous pouvons riposter”, écrit-il. D’abord en diffusant ses codes d’accès aux portails des éditeurs scientifiques et ensuite en déclarant son opposition “à ce vol privé de la culture publique”, en allant faire des copies de ces ressources et en les partageant avec le monde.

On alors en pleine époque du téléchargement peer-to-peer. Il y a cette idée que ces nouveaux outils numériques vont permettre de diffuser comme jamais auparavant la culture et la connaissance. Si un internaute a décidé de partager sur EMule ce film rare, il est désormais accessible à tous les internautes du monde entier.

Bon, bien sûr, on retrouve beaucoup de porno dans les films les plus partagés ou de copies ISO du système d’exploitation Windows. Mais il y a quand même cette idée qu’Internet va permettre d’accéder à un nouveau stade de la connaissance.

Ce manifeste va coller au basques d’Aaron Swartz. Le 13 avril 2011, l’ancienne compagne d’Aaron Swartz, Quinn Norton, est interrogée par les enquêteurs. Cette audition doit lui permettre d’éviter toute poursuite. Mais elle regrettera plus tard amèrement la façon dont s’est déroulé cet interrogatoire.

“J’ai tout aggravé, j’ai ouvert un nouveau front pour leur cruauté”, dira t-elle. C’est elle en effet qui mentionne l’existence de ce manifeste. On peut cependant penser que l’accusation aurait, même sans elle, assez rapidement retrouvé le manifeste.

A la lecture de ce document, les objectifs d’Aaron Swartz semblent en effet assez évidents. Avec le scraping de Jstor, il a réussi une première étape d’envergure en copiant quasiment 5 millions de documents. L’étape suivante aurait donc été la diffusion, par ses soins ou par un tiers.

La méthode a d’ailleurs déjà été éprouvée par l’hacktiviste. En 2008, Aaron Swartz a ainsi téléchargé 2,7 millions de documents judiciaires américains. Ils étaient publics, mais accessibles uniquement via le paiement d’une redevance sur le système Pacer (pour Public Access to Court Electronic Records).

Il avait alors exploité plusieurs failles dans l’accès gratuit concédés à quelques bibliothèques à travers le pays. Avec un petit script installé sur un ordinateur d’une bibliothèque, et armé d’un simple cookie d’authentification renouvelé par un complice, il a téléchargé, en lançant une requête toutes les trois secondes, environ un quart des documents judiciaires accessibles.

Ils sont finalement transmis à l’ONG public.resource.org avant que Pacer ne suspende son service pour arrêter la fuite. Aaron Swartz est facilement identifié. Il n’a d’ailleurs pas essayé de se cacher. Pourquoi le faire puisqu’il estime ne pas avoir enfreint la loi?

Son attention avait été attirée par un appel à volontaires pour le Thumb Drive Corps”, de Carl Malamud, un célèbre militant en faveur de la diffusion de la connaissance sur internet. Ce dernier appelle à se rendre dans des bibliothèques pour télécharger des documents judiciaires sur des clefs USB et les partager ensuite sur internet.

Aaron Swartz va trouver un moyen d’industrialiser tout cela, avec en tête cette idée que tout document public devrait être gratuit et accessible à tous. Il faut garder en tête à ce sujet qu’aux Etats-Unis la jurisprudence est directement une source de droit.

Ce premier scraping, d’une valeur de 1,5 million de dollars selon le FBI, se solde sans conséquences judiciaires pour Aaron Swartz. Mais pour le scraping de Jstor, l’affaire va prendre une toute autre tournure. Cette fois-ci l’hacktiviste est bien poursuivi.

Cela n’allait pas forcément de soi. D’abord, la victime du scraping, Jstor, a abandonné très vite son action contre Aaron Swartz, en juin 2011, contre la promesse de ne pas diffuser les documents téléchargés.

Le MIT, gêné, décide de “rester neutre”. Une drôle de formulation qui signifie que l’université n’a pas soutenu publiquement les poursuites, tout en répondant aux demandes judiciaires de l’accusation et de la défense.

Aaron Swartz n’est pas un étudiant ou l’un de ses chercheurs. L’université pourrait lui reprocher de s’être incrusté sur le campus, en quelque sorte. Mais d’une part, le MIT est célèbre pour sa promotion de l’esprit hacker, né au sein du Tech Model Railroad Club, une association du MIT. D’autre part, il n’y a pas eu d’intrusion informatique sur son réseau, volontairement ouvert à tous.

Mais même si le MIT reste attentif, c’est le ministère public qui décide s’il y a bien matière à poursuites. En juillet 2011, le parquet du Massachusetts annonce ainsi des poursuites basées sur quatre chefs d’infraction relatifs à du piratage informatique, passible d’un total de 35 ans de prison et d’une amende d’un million de dollars.

Le total encouru, pour une simple affaire de scraping, laisse perplexe. Vu de notre côté de l’Atlantique, la justice pénale américaine offre ainsi un visage particulièrement inquiétant. “Voler, c’est voler, que vous utilisiez une commande informatique ou un pied-de-biche, et que vous preniez des documents, des données ou des dollars”, rappelle la procureure Carmen Ortiz dans le communiqué judiciaire.

Arrêtons-nous toutefois sur cette histoire de 35 ans. Certes, ce quantum est de l’ordre du possible. Mais ce total reste très théorique. “Les peines réelles sont généralement très éloignées des peines maximales cumulatives”, rappelle d’ailleurs à propos de cette affaire un juriste.

La mention de ce chiffre a en fait deux objectifs. D’une part, mettre la pression sur le prévenu pour l’encourager à plaider coupable. Il éviterait alors un procès public et la peine finale pourrait être calée dans une fourchette bien moindre. Dans l’affaire Aaron Swartz, le parquet aurait ainsi proposé un plaider coupable avec une peine de trois à six mois de prison, avec du sursis selon son ancienne compagne.

D’autre part, en parlant d’un maximum théorique de 35 ans de prison, il s’agit visiblement de refroidir les ardeurs de futurs scraper. Quelques mois plus tard, le ministère remet un coup de pression supplémentaire avec un nouvel acte d’accusation qui mentionne cette fois-ci 13 chefs de prévention.

Mais aucun accord n’est finalement conclu entre la défense et l’accusation. Visiblement, le coup de pression du ministère public a braqué Aaron Swartz, bien déterminé à démontrer son innocence et peu disposé à faire profil bas en échange d’une petite peine. La bataille judiciaire devient âpre.

On en est là quand le pire va survenir. Alors qu’Aaron Swartz doit bientôt être jugé dans les jours qui viennent, le 11 janvier 2013 le jeune homme se pend deux ans après son arrestation dans son appartement de Brooklyn.

Épisode 3

Alors, vous vous en doutez, le suicide d’Aaron Swartz va entraîner un important renversement de la situation. L’accusation devient l’accusée. Face à un prévenu manifestement fragile, a-t-elle pris les mesures adéquates? Dit autrement, la justice américaine a-t-elle sorti le marteau pour écraser une mouche?

“La mort d’Aaron n’est pas simplement une tragédie personnelle. C’est le produit d’un système de justice pénale truffé d’intimidations et de poursuites excessives” qui a directement contribué à son suicide, écrit ainsi sa famille. Un gâchis d’autant plus tragique que le scraping de Jstor n’était visiblement qu’un projet parmi d’autres pour Aaron Swartz.

Les partisans de l’hacktiviste se sont d’abord étonnés de l’existence même de la procédure judiciaire. “C’est comme essayer de mettre quelqu’un en prison pour avoir soi-disant sorti trop de livres de la bibliothèque”, indiquera ainsi à Wired David Segal, le directeur exécutif de Demand Progress.

L’une des infractions reprochées à Aaron Swartz, la fraude informatique, est jugée bien trop large et inadaptée au contexte moderne alors qu’elle s’inspire d’un texte de loi datant de l’ère des télégrammes. La défense conteste également qu’il y ait eu une intrusion informatique dans le réseau du MIT - Aaron Swartz s’est simplement branché dessus, comme cela se fait souvent dans des réseaux ouverts.

Recruté par les avocats d’Aaron Swartz, l’expert en cybercriminalité Alex Stamos a récapitulé les problèmes juridiques posés par cette affaire. A l’époque des faits, Jstor autorise des téléchargements illimités. Il n’y a donc eu aucun piratage de l’éditeur. Aaron Swartz est d’abord un jeune homme intelligent qui a trouvé le moyen de télécharger rapidement de nombreux documents, résume-t-il.

L’expert reconnaît quand même que les actions d’Aaron étaient “inconsidérées”, un terme toutefois bien en dessous de la malveillance. “Il est inconsidéré de télécharger beaucoup de fichiers sur le wifi partagé ou de parcourir Wikipédia trop rapidement, mais aucune de ces actions ne devrait conduire un jeune à être traqué pendant des années et hanté par la possibilité d’une peine de 35 ans”, ajoute-t-il.

Une deuxième série de critiques vont, au-delà du cas d’Aaron Swartz, pointer des problèmes inhérents au système pénal américain. Ainsi, pour l’un des spécialistes américains du droit high-tech, Orin Kerr, estime lui les accusations portées contre l’hacktiviste “à peu près légitimes”.

En résumé, il juge qu’il y a bien eu un accès non autorisé à un système d’information. A ce sujet, il estime que le jeu du chat et de la souris observé durant tout l’automne joue contre Aaron Swartz.

Le jeune homme avait donc conscience que son scraping n’était pas vu d’un bon œil. Il pouvait donc s’attendre à des poursuites, pas forcément malvenues d’ailleurs: il aurait pu faire d’un tel procès une tribune pour sa cause, en expliquant pourquoi il fallait réformer la loi ou les institutions pour mieux partager la connaissance.

Ok, mais même si les poursuites étaient fondées, fallait poursuivre ainsi Aaron Swartz? Pour Orin Kerr, la réponse est non. Souvenez-vous, le parquet avait proposé une peine de six mois en cas de plaider coupable. Mais il avait toutefois prévenu qu’en cas de procès, il demanderait une peine de sept ans.

C’est assez troublant de voir que pour la même affaire, l’accusation va jongler entre une peine et une autre 14 fois plus longue. Ce dossier montre, analyse Orin Kerr, que le parquet emploie de manière régulière des tactiques bien trop agressives. “Ce n’est pas de la justice, c’est du commerce de chevaux”, s’insurge d’ailleurs la spécialiste des libertés publiques Jennifer Granick.

Pour autant, est-ce qu’on peut affirmer que les magistrats sont responsables du suicide d’Aaron Swartz? Impossible de répondre à cette question. On peut remarquer que l’hacktiviste avait déjà mentionné la possibilité d’un suicide sur son blog. Mais c’était il y a six ans. Pour ses amis, le jeune homme avait d’ailleurs réussi à surmonter sa dépression, “jusqu’à ce que l’affaire criminelle ne se transforme en un cauchemar”.

Aaron Swartz, petit, frêle, timide et souvent malade, était un être à part. Capable de dormir par exemple dans un placard dans l’un de ses appartements, ou de ne manger que des aliments blancs ou jaunes, et sans fruits. De l’aveu même de son père, “Aaron était très, très fragile et très sensible, et cela a amplifié ses difficultés” scolaires. Ce qui explique pourquoi le jeune homme a quitté le lycée et étudié seul.

“Les procureurs ont entrepris la tâche difficile d’appliquer la loi”, se défendra la procureure Carmen Ortiz. Tous égaux devant la loi, suggère-t-elle. Mais “nous pouvons à juste titre juger une société par la façon dont elle traite ses excentriques et ses génies déviants”, lui répondra indirectement le très réputé professeur de droit Tim Wu.

Pour cet universitaire, l’inventeur de l’expression sur la neutralité du réseau, la mort d’Aaron Swartz est un échec judiciaire cinglant. L’universitaire rappelle d’ailleurs que Steve Jobs et Steve Wozniak, se sont aussi adonnés à des activités illégales, le phreaking, ce piratage de la téléphonie. Avant ensuite de construire la société Apple.

“Les grands opèrent presque toujours à la périphérie, résume-t-il. Aaron Swartz était un excentrique passionné qui aurait pu être l’un des grands innovateurs et créateurs de notre avenir.” D’ailleurs, même en partant si tôt, l’hacktiviste a laissé derrière lui un impressionnant héritage.

Et quelques mois après sa mort, le dernier projet d’Aaron Swartz est finalisé. C’est l’application Secure Drop, destinée à protéger les sources des journalistes. Elle est toujours utilisée, dix ans plus tard, par la presse du monde entier.

Source : https://pwned.substack.com/p/celui-qui-voulait-changer-le-monde