Deep Packet Inspection : les utilisations du DPI #eg8

Plusieurs dizaines de cas d'utilisations de l'inspection en profondeur de paquets, correspondant à des usages professionnels, sont identifiables. Nous n'allons pas tous les énumérer et les commenter, nous ne nous attarderons que sur ceux apportant des éléments de réflexion que nous avons trouvé pertinents dans le cadre de nos recherches sur le caractère intrusif de ces technologies. Notez, encore une fois, qu'il y a des utilisations utiles et responsables du Deep Packet Inspection. Cependant, vu les possibilités de ces outils (oui, ce sont bien des armes) et au regard de l'absence d'encadrement juridique de certaines utilisations qui en sont faites, nous considérerons que toute utilisation du DPI dépassant le cadre du strict bon fonctionnement du réseau et hors cadre légal (lawful interception), doit être proscrite, ou très étroitement encadrée.

Le DPI s'installe au coeur de la liaison à surveiller, en "coupure" du segment réseau, c'est à dire du câble réseau. Généralement, avant le point d'intersection du réseau, là où le trafic à surveiller, gérer, analyser ... se trouve. Dès lors, on se retrouve facilement sur des gros débits, quasiment entre 10 et 40 Go/sec en ethernet sur les fournisseurs d'accès mobiles, avec plusieurs centaines de milliers de connexions simultanées.

L'utilisation principale reste la classification des connexions réseau. Au lieu de faire confiance aux protocoles, aux informations des entêtes des paquets, aux informations du réseau, le DPI préfère rechercher par lui même ce que contient la connexion. Une fois cette analyse effectuée, reste au fournisseur d'accès, gouvernement ou entreprise à décider des actions à porter sur le trafic .

* Gérer le traffic en fonction du protocole applicatif

Le routage des données, c'est un peu comme le tri postal. Selon certains paramètres vous allez passer par le fil de gauche, ou celui de droite, avec comme objectif, celui d'atteindre votre destinataire. Dans le réseau, jusqu'à l'avènement du DPI, nous ne prenions en compte que les informations protocolaires des entêtes, l'enveloppe, pour faire suivre le trafic réseau. Avec le DPI, on utilise enfin les données des utilisateurs pour acheminer les correspondance. Comme si le contenu du courrier devait fixer des règles pour la méthode d'acheminement et la délivrance du courrier postal. Pourquoi cela ? Principalement parce que les fournisseurs d'accès au réseau FAI ou télécoms mobiles voudraient diversifier leurs sources de revenus, en créant un faux marché uniquement basé sur une capacité technique. Leur but : classifier les trafics, afin de créer des classes, des groupes d'utilisateurs, pardon de clients. D'abord sur l'accès : offre Premium et offre Lente, plus vous payez, plus ça va vite. Sur les services du réseau : vous ne pouvez accéder qu'à du surf (HTTP), pas de mail (SMTP/IMAP/POP), pas de vidéo (RTP/RTSP/etc.), pas d'audio, pas de newsgroups, pas de P2P, pas de SSH, pas de voix sur IP (SIP). C'est sur ce point précis que la problématique de la neutralité des réseaux se pose. Nous allons y revenir.

* L'nterception légale

L'interception légale (lawfull Interception) est un ensemble de directives, transcrites en lois, qui existent bien sûr en France, exigeant des fournisseurs d'accès et de communications de permettre aux autorités l'écoute des utilisateurs ou la récupération d'informations concernant leurs communications. Parmi ces fournisseurs d'accès, il y a bien sûr la téléphonie mobile, et cela concerne votre forfait voix (téléphone) mais aussi l'Internet 3G. En France, pour réaliser une écoute légale, il faut une décision judiciaire. Pour une interception de données légale, c'est au juge de demander une écoute, et à l'opérateur d'utiliser un mécanisme d'enregistrement de la cible.

Il faut noter que depuis quelques années, les forces de l'ordre peuvent déclencher des écoutes sans passer par un juge. Leur demande est adressée directement à l'opérateur du réseau visé, qui s'exécute. Une série d'articles du Canard Enchaîné a jeté un pavé dans la marre. Nous devrions y revenir également au fil de notre réflexion. Là encore, il faut se rendre compte que certains cas (lutte contre la pédopornographie ou anti-terrorisme), peuvent justifier un circuit décisionnel accéléré.

* Marketing et médiamétrie

Le DPI, pour les professions du marketing, c'est l'utilisation de ces techniques afin d'extraire les informations, souvent anonymisées du réseau. Certes, elles sont anonymisée, mais fort souvent, elles sont tellement fines que les profils dégagés peuvent choquer par leur exactitude. Une fois la correspondance clairement identifiée et couplée au DPI, elle permet une analyse comportementale très fine à des fins publicitaires ou d'études comportementales.

Dans ce cadre précis, le DPI inspecte bien des données personnelles, les nôtres et sans notre accord. En médiamétrie et en analyse comportementale, même sans lire le contenu des données et en se bornant à l'étude du contexte, je sais que cette adresse IP communique avec cette autre, à quelle fréquence, d'où elle vient, à quelle heure elle cesse de communiquer, pour accéder à quel autre service... Et c'est déjà beaucoup. Une IP fixe mène tôt ou tard à l'identification du client final. Pour peu que ce dernier ait un compte Facebook et une activité matchant bien avec les produits ou services d'un annonceur, que son réseau "d'amis" présente une certaine valeur ajoutée... Il devient une cible parfaite. Un contact qualifié, un VIP du spam.

Cerise sur le gâteau, nous avons vu qu'Internet était un réseau universel, dans lequel les internautes accèdent à des services en ligne de tous les pays, avec des entreprises de médiamétrie de tous les pays, avec chacun sa législation à lui, traitant les données de tout le monde.Ces données sont stockées, parfois de manière nominative, et revendues à des tiers. Ceci est parfaitement illégal en France, mais d'autres pays ne s'embarrassent pas de ce genre de détail.

* Taxation de services en ligne

Le DPI, passé le cadre de la gestion du réseau pour son bon fonctionnement, offre aussi la possibilité aux opérateurs de vous faire payer des "bouts d'Internet". Aujourd'hui en France, aucune loi n'oblige un opérateur à vous fournir dans son "abonnement illimité" un accès illimité à vos emails. On le voit d'ailleurs assez nettement dans l'Internet mobile. Ainsi, rien n'empêche un opérateur, du jour au lendemain, de décider de vous faire payer un supplément à votre abonnement si vous recevez par exemple plus de 100 mails par jour... alors que dans le même temps, il vous offre un accès vraiment illimité au site de streaming vidéo qu'il vient de racheter. Vous trouvez ça absurde ? Relisez donc attentivement les clauses contractuelles de votre abonnement 3G.