«Survey» ou «sniffing» : des éléments de réponses

Le samedi 16 juillet, Deepak Balgobin, ministre de la Technologie, de la Communication et de l’Innovation, et Maneesh Gobin, Attorney General, ont indiqué qu’il n’y a pas eu d’intervention physique sur le câble optique sous-marin SAFE. De son côté, Sherry Singh soutient qu’il y a eu intervention. Un éclairage technique avec un expert  informatique international, qui a travaillé à Maurice, pour un moment. 

Intervention sur le SAFE ou pas ?

Sherry Singh affirme qu’il y a eu intervention sur le câble SAFE, par lequel passe l’essentiel des données Internet de Maurice pour aller vers l’international et vice-versa. Mais le ministre Balgobin fait observer que le Network Operations Center n’a pas rapporté d’intervention sur le câble depuis trois mois.

Chaque partie en fait nuance ses déclarations. Le ministre Balgobin a probablement raison quand il dit qu’il n’y a pas eu d’intervention physique sur le SAFE. Par contre, ce qu’il ne dit pas, c’est que le câble n’est qu’une entité physique, un transmetteur de données qui sont recueillies, interprétées et décryptées dans le « Landing Station ». Les serveurs, routers, logiciels, « gateways » et autres matériels informatiques se trouvent dans le « Landing Station ». C’est le cœur du système.

« Il est dit avec raison qu’aucune intervention n’a été faite sur le câble en soi. Car, si quelqu’un veut installer des équipements d’espionnage ou faire un “ survey ” pour la sécurité nationale, ça ne peut pas se faire sur le câble », explique un expert international en télécommunications et en droit des télécommunications. Il connaît bien l’infrastructure mauricienne et celle de la région.

Fallait-il avertir le consortium du SAFE ?

L’opposition et Sherry Singh affirment qu’il aurait fallu avertir le consortium du SAFE avant toute intervention. Oui et non. Tout dépend du niveau d’intervention. Un câble, tel que le SAFE et ses infrastructures (serveurs, routers, etc. qui sont hébergés dans le « Landing Station ») sont considérés dans la profession comme étant un. Par contre, ils sont composés de trois parties. Il y a d’abord le câble sous-marin, que l’on nomme « S » dans le jargon. Ensuite, il y a la partie terrestre, qui est la station d’atterrissement (Landing Station), que l’on nomme « T ». Entre les deux, il y a l’interface que l’on nomme « R ».

Dans le cas du SAFE, la « Landing Station » de Baie-du-Jacotet appartient à Mauritius Telecom (MT). Une intervention à ce niveau ne nécessite pas que le consortium SAFE soit alerté. Par contre, une intervention au niveau « S » oblige que le consortium soit averti. Idem pour une partie du « R ». C’est stipulé dans l’article 6 du « Construction and maintenance agreement » signé par chaque compagnie qui est membre du consortium, dont MT, au début des années 2000. Cet accord est régi par la législation suisse. En cas de litige ou d’entorse, c’est donc celle-ci qui est appliquée. Une intervention sur ces parties serait illégale.

Mais de toute façon, s’il y avait une intervention sur « S » et la partie du « R » qui concerne le consortium, le National Operation Centre (NOC) du SAFE, qui se trouve en Afrique du Sud, l’aurait automatiquement repéré. Le NOC est le centre de contrôle du SAFE.

« On ne sait pas ce qui s’est vraiment passé à l’intérieur de la “ Landing Station ”. Il serait bon que les autorités mauriciennes éclairent le public si elles n’ont rien à cacher », avance l’expert.

Quel genre de survey ?

Et Pravind Jugnauth et Sherry Singh sont d’accord pour dire que les trois techniciens, envoyés par le Premier ministre indien, Narendra Modi, à la demande de son homologue mauricien, Pravind Jugnauth, ont effectué un « survey » pour la sécurité nationale, le 15 avril, dans le « Landing Station » de Baie-du-Jacotet. 

Par contre, selon Sherry Singh c’était un travail préparatoire pour déterminer et paramétrer les équipements nécessaires pour espionner l’Internet mauricien. Pravind Jugnauth soutient qu’il n’en a jamais été question.

« Techniquement parlant, un nombre infini d’interventions peut être fait sur les serveurs et équipements connectés au SAFE. C’est également valable quand on parle de “ survey ”. Quand on parle de survey pour la sécurité nationale, il faut savoir de quoi on parle. Est-ce qu’il s’agissait d’un constat de visu ? Voulait-on examiner la vulnérabilité du réseau ? Ou le risque d’attaques informatiques éventuelles ? Ou s’agissait-il d’une étude pour connaitre les paramètres du réseau pour pouvoir installer un équipement pouvant faire du “ sniffing ” ? », demande l’expert.
Selon lui, quand Sherry Singh parle de « survey », il s’agit probablement d’une « requirement analysis » qui permet de faire un état des lieux pour connaitre les paramètres nécessaires et décider quels équipements utilisés pour faire de l’espionnage.

Quoiqu’il en soit, il serait très anormal et louche que des terms of reference clairs n’aient pas été définis avec l’équipe indienne avant qu’ils viennent à Maurice, ajoute l’expert international.

Est-ce possible de faire du « sniffing » ?

« Très certainement », répond l’expert. Et ce serait même plus facile qu’on pourrait le croire. « La technologie est devenue extrêmement performante. Pour faire du “ sniffing “, il faut une infrastructure qui intercepte, traite, interprète et relâche toutes les données. Avec un système d’interception très performant, l’usager ne s’apercevra de rien, car le travail se fait en temps réel sans intervention humaine. L’intercepteur travaille d’après les adresses IP. Chaque ordinateur, téléphone portable et tout autre équipement qui se connecte à l’Internet est assigné une adresse IP qui permet d’identifier son usager. Toutefois, depuis une dizaine d’années, les SMS, courriels et autres données envoyées par un internaute vers un autre à Maurice, ne passent plus par l’international et donc pas par le SAFE. Quant aux données via Whatsapp, elles sont très coûteuses à décrypter sans l’autorisation de ce dernier. »

Y a-t-il entorse à la loi ?

Selon l’expert, il ne devrait pas y avoir de souci par rapport à la loi suisse qui régit le SAFE Consortium. Par contre, il peut y avoir un souci au niveau de la loi mauricienne qui couvre la « Landing Station » de Baie-du-Jacotet. « Pour des interventions sur un réseau public, il faut avoir l’accord du Data Protection Commissionner, et probablement même de l’Information & Communication Technologies Authorities (Icta), entre autres », explique l’expert.

Selon lui, il y a aussi une possibilité que Pravind Jugnauth et Sherry Singh aient failli, même s’il faut le prouver. « Sherry Singh aurait dû demander une instruction du board pour se couvrir. Dire qu’il a cédé devant la pression du Premier ministre, n’est pas de la bonne gouvernance. D’un autre côté, on n’attend pas d’un Premier ministre qu’il donne une instruction directe à un exécutif. Il y a une structure de gouvernance qu’il faut respecter et encore plus à ce niveau-là. »

Si l’intention était de préparer l’installation d’équipements d’espionnage - ce que le PM a nié formellement, ce serait illégal.

Qu’est-ce qui peut être fait en six heures ?

Les trois techniciens ont passé six heures, selon Sherry Singh, dans la « Landing Station ». Que peut-on faire durant ce laps de temps ? « Il est possible d’avoir toutes les données auxquelles on peut penser. On peut même faire un “ mirror “ de tout ce qu’il y a et faire des simulations pour voir comment le réseau se comporte. » Faut-il des équipements importants pour ces manipulations ? « Le matériel nécessaire tient dans une valise de 30 x 20 cm. Il ne faut pas plus pour recueillir toutes les données. » Le matériel d’interception n’est pas plus important en termes de dimension non plus, car « c’est un logiciel qui fait l’essentiel du travail ». Cependant, les équipements dont on parle coûtent des centaines de millions de roupies.