L'April demande la publication de l'« accord de sécurité » entre Microsoft et l'État

[April <contact AT april.org>]

L'April demande la publication de l'« accord de sécurité » entre Microsoft et 
l'État

Paris, le 20 octobre 2016. Communiqué de presse.

Adresse permanente 

https://www.april.org/l-april-demande-la-publication-de-l-accord-de-securite-entre-microsoft-et-l-etat

*Lors de la diffusion de l'émission Cash Investigation consacrée à
l'Open Bar Microsoft/Défense, Marc Mossé, directeur affaires publiques
et juridiques de Microsoft France, a reconnu l'existence d'un « accord
de sécurité » entre Microsoft et l'État français. L'April demande la
communication de cet accord pour en connaître le périmètre exact et
notamment s'assurer qu'il ne s'agit pas d'un « accord d'espionnage ». *

Dans l'édition du 18 octobre 2016 du magazine de France 2 Cash
investigation a été diffusée une enquête sur le contrat « Open Bar »
passé entre Microsoft et le ministère de la Défense (c'est la seconde
enquête, à partir de la minute 42). L'enquête montre les possibilités
de prise de contrôle, non autorisée, à distance, d'ordinateurs équipés
de Microsoft Windows. Élise Lucet interroge Marc Mossé sur les failles
de sécurité de Windows et sur la participation de Microsoft au
programme de surveillance PRISM, selon les rélévations d'Edward
Snowden (à partir de 1h 20 min sur la vidéo).

Marc Mossé réfute la participation de Microsoft au programme PRISM.
L'échange se poursuit sur les failles de sécurité des logiciels de
Microsoft :

    Marc Mossé : « Je vais vous dire autre chose, je crois que je ne
    l'ai jamais dit. Ce n'était pas public jusqu'à maintenant. L'État
    français a un accord avec Microsoft pour bénéficier de toutes les
    informations techniques et de sécurité concernant les logiciels
    qu'il utilise »

    Élise Lucet : « Cela veut dire que quand vous détectez une faille,
    vous communiquez cette faille au ministère de la Défense par exemple ? »

    Marc Mossé : « Ce sont des accords dont je ne donnerai aucun
    détail, ce sont des accords de sécurité, l'État français bénéficie
    des informations nécessaires à la sécurité de ses systèmes
    d'information, en lien avec les produits Microsoft »

Marc Mossé ne donne donc aucun détail sur le périmètre de cet accord.
S'agit-il de permettre à l'État français de connaître en avant première
les failles de sécurité des outils Microsoft qu'il utilise et de prendre
les mesures de sécurisation nécessaires ? Peut-on vraiment accepter que
la souveraineté informatique de l'armée dépende de la bonne foi d'une
entreprise privée ? Par ailleurs, sachant que ces outils Microsoft sont
aussi largement utilisés par d'autres États, par les entreprises, par le
public… s'agirait-il pour l'État français d'être informé en avant
première de failles permettant l'espionnage de tiers ?

    *« Ce questionnement peut paraître exagéré mais nous sommes
    désormais dans l'ère post Snowden. Il est essentiel que chacun
    puisse prendre connaissance de cet « accord de sécurité » entre
    Microsoft et l'État. L'April en demande donc la publication »* a
    déclaré Étienne Gonnu, chargé de mission affaires publiques à l'April.

D'autant plus que, dans la même émission (vers 1h 05 min) le
vice-amiral Arnaud Coustillière, officier général à la cyberdéfense et
qui a été membre du comité de pilotage chargé d'étudier la proposition
d'accord « Open Bar » de Microsoft en 2007/2008 (comité présidé par
Alain Dunaud, le directeur adjoint de la DGSIC de l'époque), reconnaît
qu'il ferait aujourd'hui le même choix. Il ajoute même « Je m'en fous
de ce débat-là. C'est un débat qui a plus de 4 ou 5 ans⁠ ce truc. Pour
moi c'est un débat d'informaticiens, c'est un débat qui est dépassé ».
L'April ne voudrait pas paraître dépassée, encore moins
discourtoise, mais la vérité nous oblige à dire qu'il serait peut-être
temps que le vice-amiral Arnaud Coustillière prenne sa retraite.

L'enquête de Cash Investigation rappelle que le choix de Microsoft est
plus cher qu'un recours au logiciel libre (exemple de la gendarmerie
nationale, à partir de 1 h 15 minutes) et moins sécurisé que le
logiciel libre (voir les propos de Éric Filliol, ex lieutenant-colonel
de l'armée de terre, directeur du centre de recherche de l'ESIEA, à
partir de 1 h 7 min). Elle souligne également que les décideurs du
ministère de la Défense sont passés outre les recommandations du
groupe d'experts qu'ils ont eux-mêmes mandatés (voir les propos de
Thierry Leblond, ingénieur général de l'armement, à partir de 46
minutes, propos confortés par des témoins masqués [1] et notre rappel
chronologique depuis la signature du contrat initial
<http://april.org/enquete-de-cash-investigation-sur-l-open-bar-microsoft-defense-le-18-octobre-2016>).

    *« Et pourtant, personne au ministère de la Défense n'a fourni les
    arguments qui ont motivé la décision du contrat « Open Bar » avec
    Microsoft. On peut légitiment poser la question suivante : quelle
    est donc la contrepartie qui fait que ce contrat était un passage
    obligé pour le Ministère ? »* a déclaré Frédéric Couchet, délégué
    général de l'April.

L'April profite de l'occasion pour rappeler que le logiciel libre est la
brique de base nécessaire, essentielle pour la sécurité et la confiance
dans l'informatique. Voir à ce sujet, notre tribune publiée dans
Libération suite aux révélations d'Edward Snowden
<https://www.april.org/l-apres-snowden-donner-la-priorite-au-logiciel-libre-pour-une-informatique-de-confiance>.

Références :

    1. 

    Le journaliste, au téléphone avec un membre du groupe d'experts
    « Il y a une étude interne qui écarte le scénario Microsoft [note
    de l'April : comprendre le scénario Open Bar ]. Pourquoi cette étude
    n'a pas été suivie ? ».

    Réponse de la personne : « Je pense que la décision était prise
    avant même qu'on lance l'étude ».

    Un autre interlocuteur « Ce contrat, il y a des gens qui ont les
    fesses qui ne sont pas propres ».

    L'auteur du rapport du groupe d'experts : « Le seul scénario qui
    était déconseillé a été celui qui in fine a été retenu. Oui, on peut
    considérer que les recommandations n'ont pas été suivies ».

-- 
April - Promouvoir et défendre le logiciel libre

http://www.april.org