Comment le FBI a fait fermer un site de messagerie cryptée
Fermé en août dernier, le service de messagerie chiffrée Lavabit a emporté avec lui certains secrets, aujourd’hui révélés par des documents récupérés par le site Wired. Récit d’une course à l’information, au coeur de l’affaire Snowden.
Le 8 août dernier, Lavar Levison, fondateur du service de messagerie chiffrée Lavabit, mettait la clé sous la porte. Ce dernier expliquait alors être au coeur de démêlés judiciaires liés à l’affaire Edward Snowden, l’analyste ayant levé le voile sur PRISM, et utilisateur de la plateforme de messagerie. Pour ne pas avoir à coopérer avec les autorités, Levison a sabordé son propre service, mais refusait à l’époque de donner des détails sur ses déboires avec la justice.
Depuis, le site Wired a mis la main sur plusieurs documents qui lui ont permis de dresser un historique de l’affaire. Un récit qui met en avant la volonté de Lavar Levison à s’opposer aux demandes des autorités américaines : on apprend ainsi que le site était dans le collimateur de ces dernières dès la fin du mois de juin. A ce moment, il était demandé à Levison de mettre en place un système permettant de récolter certaines données concernant les mails envoyés et reçus par les membres du service, ainsi que les adresses IP associées. Problème : Lavabit, service chiffré, n’avait pas lui-même accès à ces données.
Rapidement, le propriétaire de Lavabit se retrouve sommé, par la justice, de fournir au FBI la clé de chiffrement qui protège les données des utilisateurs de la messagerie. Si la cible du Bureau est bel et bien Edward Snowden, Lavar Levison refuse de coopérer, arguant que la même clé protège les mails de tous les membres du service, au nombre de 400 000.
Le 9 juillet, Lavar Levison est accusé de « désobéissance et résistance à des ordres légitimes ». Menacé d’aller en prison s’il ne coopère pas, le fondateur du service tient bon, mais fini par proposer début août une méthode qui permettrait d’isoler les données du compte d’Edward Snowden sans compromettre celles des autres utilisateurs de Lavabit. Mais le tribunal estime que Lavar Levison a joué la montre trop longtemps, et que cette proposition arrive trop tard, et prendrait trop longtemps à être efficace. Entre temps, l’entrepreneur s’est vu condamné à 5000 dollars d’amende par jour de refus d’obtempérer.
Début août, alors que le FBI réclame toujours la clé SSL permettant de déchiffrer les données, Levison finit par accepter de la donner, mais d’une façon qui ne va pas plaire aux autorités. Il va en effet imprimer les 2560 caractères de la clé sur 11 pages, la rendant difficilement exploitable. Une provocation de trop pour la justice américaine, qui le met dos au mur en réclamant une clé exploitable. C’est à ce moment-là que Lavar Levison décide de saborder lui-même son service, en détruisant le contenu de ses serveurs, pour le rendre inaccessible.
Une décision qui a permis au fondateur de Lavabit de protéger ses clients, mais qui ne la pas mis à l’abri de la justice, loin de là. Toujours poursuivi, Lavar Levison cherche aujourd’hui de l’argent pour financer la procédure judiciaire, via une campagne de financement participatif : il a déjà réuni 51 000 dollars sur les 96 000 nécessaires pour « défendre la constitution », selon ses propres termes.
