Le Diagnostic

Un jeune de dix-neuf ans est accusé d'appartenir à Scattered Spider, le groupe d'extorsion tenu responsable de plus de cent millions de dollars en rançongiciels. Il connaissait le métier. Il faisait passer son trafic par un VPN, le canalisait par un service appelé ngrok, faisait tourner ses adresses d'un pays à l'autre. Et ce qui a tout défait n'était pas une bévue. C'était une fonctionnalité. Chaque copie de Windows est estampillée, à l'installation, d'un identifiant global d'appareil, un GDID, un code que Microsoft décrit comme un diagnostic. Le VPN cachait son adresse IP. Il ne touchait pas au GDID, car le GDID n'est pas le réseau, c'est la machine. Ce dossier ne porte pas vraiment sur lui. Il porte sur la phrase que Microsoft emploie pour décrire l'estampille. Dit simplement, le GDID est une balise de pistage permanente, utilisable en cour, multiplateforme, livrée sur chaque machine Windows et que personne n'est jamais invité à accepter. On la tient dans les livres comme des rapports de plantage et des vérifications de licence. Le blanchiment, c'est le vocabulaire. Rien n'est caché, et c'est là tout le propos : la balise est documentée, et elle est documentée comme de l'entretien.

§01 · L'identifiant qui survit au déguisement

Commençons par ce qu'est la chose, car tout le dossier tient dans l'écart entre ce qu'elle est et ce qu'on l'appelle. Un identifiant global d'appareil est un code unique attribué à une installation de Windows. Il est persistant : il est inscrit au moment où le système d'exploitation est configuré et, selon le reportage, il ne peut être modifié à moins d'effacer et de réinstaller le système d'exploitation.rapporté Ce n'est pas votre adresse IP, qui est le réseau où vous vous trouvez et qui change chaque fois que vous vous déplacez, passez par un VPN ou franchissez une frontière. Le GDID, c'est la machine elle-même, le même code que vous soyez à Tallinn ou à Bangkok, sur le wifi d'un hôtel ou un point d'accès mobile, derrière un VPN ou trois.

Cette distinction est la raison pour laquelle le déguisement a échoué. Un VPN est un masque porté par-dessus l'adresse, et il fonctionne : il cache d'où vous vous connectez. Mais il se situe une couche au-dessus de l'identifiant que le logiciel porte déjà. Vous pouvez changer chaque adresse que vous touchez et rester la même machine, et la machine signe son nom, dans un code que vous n'avez pas choisi et que vous ne pouvez pas voir, sur tout ce que le logiciel rapporte. Le métier visait le réseau. L'indice était dans le système d'exploitation.

§02 · Classé comme entretien

Maintenant le mot. Microsoft ne cache pas le GDID et ne le décrit pas comme de la surveillance. Des identifiants comme lui, dit le reportage, sont « généralement utilisés pour les diagnostics et les rapports de plantage, l'analyse d'utilisation des fonctionnalités, et la détection de comportements abusifs, comme une machine qui réclame sans cesse des essais gratuits ou des licences ».rapporté Chaque membre de phrase est une tâche d'entretien. Les diagnostics gardent le produit fonctionnel. Les rapports de plantage corrigent les bogues. L'analyse d'utilisation indique au fabricant ce que les gens utilisent vraiment. La détection d'abus empêche un ordinateur de réclamer mille fois un essai gratuit. Microsoft note aussi un usage de sécurité défensive : jumeler un identifiant d'appareil connu à une connexion fait qu'« une connexion depuis un appareil inconnu jumelée à un identifiant connu » peut signaler des identifiants volés.rapporté Rien de cela n'est faux, et rien n'est sinistre en soi.

Mais lisez le même identifiant de l'autre côté. Un code unique par machine, qui persiste à travers chaque réseau, et que le logiciel rattache à ce qu'il rapporte, est, par construction, un moyen de reconnaître une machine partout où elle apparaît. Reconnaître une machine partout où elle apparaît, c'est la définition d'une balise de pistage. La description-entretien et la description-balise ne sont pas deux objets différents. C'est le même objet, dit de deux façons, et une seule des deux façons est jamais dite à voix haute. Voilà le geste de ce dossier, et c'est le même geste que L'Excentrique : le lavage n'est pas la dissimulation, c'est la catégorisation. Le GDID est classé sous l'entretien, et donc la question qu'une balise soulèverait, un produit grand public livré devrait-il porter une identité permanente qui peut être remise à l'État, n'est jamais posée, parce que dans les livres il n'y a pas de balise, seulement des diagnostics.

§03 · Ce que le VPN ne pouvait cacher

Voici le mécanisme, limité à ce que les documents étayent. Pendant l'intrusion alléguée de mai deux mille vingt-cinq chez un détaillant de produits de luxe des États-Unis, le compte derrière l'attaque s'est inscrit à ngrok, un service légitime de tunnel sécurisé. Pour ouvrir ce compte, selon le reportage, l'opérateur a caché l'appareil derrière un VPN.rapporté Le VPN a fait son travail sur l'adresse. Ce qu'il n'a pas fait, et ne pouvait pas faire, c'est masquer le GDID de l'installation de Windows utilisée.rapporté ngrok a conservé des relevés horodatés de l'inscription. Microsoft, dont les chercheurs en sécurité ont un accès courant aux identifiants de machine, aux adresses IP et aux échantillons de maliciels associés à des groupes sophistiqués, a fait ce que le FBI décrit comme un signalement criminel. Sur ordonnance judiciaire, rattachée aux relevés d'accès horodatés de ngrok, Microsoft a identifié le GDID derrière cette inscription.rapporté

Remarquez à quel point chaque étape est étroite et légale. Un service de tunnel a conservé des journaux ordinaires. Une entreprise qui exploite le système d'exploitation détenait un identifiant qu'elle dit servir aux diagnostics. Un juge a signé une ordonnance. Un signalement a été fait. Personne n'a enfreint de loi pour produire cela. La capacité était simplement là, résidente dans un produit grand public, en attente d'être sollicitée. Le déguisement n'a pas été défait en le cassant, mais en lisant en dessous, dans une couche que l'utilisateur n'administre pas et, au dossier public, ne peut pas désactiver.

§04 · Même machine, quatre pays

Une fois le GDID en main, les enquêteurs n'avaient pas un nom. Ils avaient une machine. Ce qui a retransformé la machine en personne, c'est que le même identifiant avait une histoire, et cette histoire pouvait être confrontée à des dossiers que l'accusé avait lui-même créés. Les enquêteurs ont examiné l'historique d'adresses plus large du GDID et ont constaté qu'il était apparu à des adresses IP à Tallinn, à New York et en Thaïlande.rapporté Ce n'étaient pas des points abstraits. Ils concordaient avec les heures de connexion des comptes Snapchat, Apple et Facebook de l'accusé, et les registres de Facebook corroboraient un autre chevauchement à Tallinn remontant à juin deux mille vingt-quatre.rapporté Des pays différents, des adresses différentes, une seule machine, et la machine ressurgissait exactement là où la vie en ligne ordinaire d'un jeune homme disait qu'il se trouvait.

Voilà la balise qui fait la seule chose qu'une balise fait : rendre une seule chose reconnaissable partout où elle va. La personne s'était répartie entre services, fournisseurs et territoires précisément pour qu'aucune vue ne détienne le tableau complet. Le GDID était le fil qui traversait tous, et le tirer a ramené les morceaux épars en une seule forme. Le métier supposait que l'observateur devrait corréler le réseau. Il n'a pas tenu compte de la corrélation déjà logée dans la machine, sous un nom qui se lit comme un rapport de plantage.

Le VPN cachait l'adresse. Il ne pouvait cacher la machine, et la machine signait son nom depuis le début.

§05 · La balise est sur chaque machine

Tout ce qui précède concerne un seul accusé, et si c'était tout, ce serait une histoire de bon travail policier contre un présumé extorqueur, ce qu'elle est aussi. Mais l'identifiant qui l'a défait ne lui est pas propre. Il est sur chaque installation de Windows, y compris celle sur laquelle cette page se charge. Le même code permanent, la même persistance à travers les réseaux, le même rattachement à ce que le logiciel rapporte, la même absence de moyen documenté de le désactiver. Le plancher est universel. Ce qui varie, c'est qui fait l'objet d'une demande, et cela se décide ailleurs, par une ordonnance judiciaire, un signalement, une priorité. C'est ici que le dossier rejoint L'Architecture du soupçon : la capacité de surveiller est répartie également entre tous, et la porte par laquelle l'État l'atteint s'ouvre de façon sélective. Ici, presque personne ne défendrait l'homme pour qui elle s'est ouverte. L'infrastructure l'ignore, et s'en moque, car c'est la même infrastructure dans les deux cas.

Il aboutit aussi là où L'œil importé aboutissait, mais de l'autre côté. Là, une police acquérait une grave capacité de surveillance sans vote public, en l'achetant. Ici, la capacité n'a pas été achetée et n'a pas été votée non plus. Elle est arrivée, préinstallée, dans un produit que des centaines de millions de gens possèdent déjà, la décision publique remplacée par un contrat de licence que personne ne négocie et que peu lisent. L'Actif trouvait la même forme dans une voiture que vous possédez et qui étudie son conducteur. Ici, c'est le système d'exploitation qui le fait, à l'échelle de l'ordinateur de bureau.

Et ici le dossier s'épuise, alors le dossier s'arrête avec lui et nomme la lacune plutôt que de la combler. Au moment d'écrire ces lignes, il n'existe aucune politique publiée de Microsoft propre au moment où les données du GDID sont divulguées, aucune option de retrait documentée pour l'utilisateur, et aucun rapport de transparence qui isole les demandes d'identifiant d'appareil comme une ligne distincte.attribué Combien de signalements criminels de ce genre ont été faits n'est pas public. Le propos ici n'est pas que ces choses doivent exister et sont dissimulées; ce serait une inférence que le dossier n'étaye pas, et cette série ne la fait pas. Le propos est plus étroit, et il suffit. Une capacité aussi lourde de conséquences, une identité permanente sur chaque machine qui peut être ramenée à une personne et remise à l'État, est encadrée, publiquement, par presque rien du tout. La balise est documentée. Les règles pour la pointer ne le sont pas.

§06 · Mais la télémétrie vous protège

Il y a une objection réelle et le dossier doit l'affronter de front. Les diagnostics corrigent vraiment les plantages. La télémétrie indique vraiment au fabricant quoi améliorer. La détection d'abus arrête vraiment la fraude, et le signal d'identifiant d'appareil aide vraiment à repérer une connexion aux identifiants volés, ce qui protège des gens ordinaires. Et dans ce cas-ci, la capacité a aidé à identifier un présumé membre d'un groupe accusé d'avoir extorqué plus de cent millions de dollars. Concédez chaque mot. Rien de cela n'est contesté.

Rien de cela n'est le dossier non plus. Le dossier n'est pas que la télémétrie est mauvaise ni que l'accusé devrait être libéré. C'est qu'un identifiant permanent, ramenable à une personne, atteignable par l'État, a été placé sur chaque machine et décrit seulement comme de l'entretien, de sorte que la seule décision qu'une balise imposerait, les gens devraient-ils la porter, à quelles conditions, et avec quel moyen de refuser, n'a jamais été soumise à personne. Éviter des plantages n'est pas la même chose que l'absence de cette décision, et les deux se séparent précisément ici. Un diagnostic qui améliore le produit survivrait à une description exacte. Celui-ci n'est jamais décrit qu'à moitié. Ce qu'il fait pour le fabricant est dit. Ce qu'il peut faire à l'utilisateur ne l'est pas, jusqu'à ce qu'un document judiciaire le dise, une fois, au sujet de quelqu'un que presque personne ne défendra.

Un rapport de plantage corrige un bogue. Une balise trouve une personne. Le même code a fait les deux, et un seul des deux a jamais été nommé.

§07 · Ce que ce dossier n'est pas

La série vérifie ici son propre réflexe, comme elle le fait chaque fois qu'une lecture structurelle pourrait être confondue avec la chose qu'elle est bâtie pour refuser.

Ce n'est pas l'affirmation que Microsoft est un bras de l'État. Microsoft a répondu à une ordonnance judiciaire et a fait un signalement légal, comme le décrit le reportage; la légalité est le propos, comme dans le Cas 01, non un scandale à dévoiler. Obéir à un mandat n'est pas conspirer avec un gouvernement.

Ce n'est pas l'affirmation d'une porte dérobée secrète ou d'un logiciel espion planté pour trahir les utilisateurs. Le GDID est documenté, non introduit en douce; tout l'argument est qu'il est décrit ouvertement, comme de l'entretien. La catégorisation, non la dissimulation, est le mécanisme, et inventer une porte dérobée cachée serait le contraire du propos.

Ce n'est pas une défense de Peter Stokes ni l'affirmation que sa poursuite est injustifiée. Il est accusé de crimes graves, les allégations ne sont jamais minimisées, et il est accusé, non condamné. Que la balise ait attrapé quelqu'un qui mérite peut-être bien d'être attrapé n'atténue pas la balise; c'est la raison pour laquelle la balise passe facilement. Le sujet est l'outil, non la cible.

Ce n'est pas la version virale de cette histoire, et la différence compte pour rester honnête. Le dossier étayé soutient une chaîne précise : une inscription à ngrok, un GDID qu'un VPN n'a pas masqué, une ordonnance judiciaire, un signalement, et une concordance avec les propres connexions Snapchat, Apple et Facebook de l'accusé dans trois villes. Il ne soutient pas, d'après ce qui est public, l'affirmation maximale selon laquelle Microsoft aurait remis au FBI toute la vie numérique d'une personne, ses parties de jeu, son activité infonuagique et sa navigation en bloc. Cette enjolivure est refusée ici aussi fermement que le cadre-entretien; le mécanisme est assez troublant à sa taille réelle.

Et ce n'est pas un argument pour cesser d'utiliser Windows, ni l'affirmation que le remède est la vigilance personnelle. Le propos est structurel, aucune politique de divulgation publiée, aucune option de retrait documentée, aucune ligne de transparence, de sorte que déplacer le fardeau sur les individus pour qu'ils effacent leur machine ou lisent les contrats de licence répéterait le geste même que le dossier décrit, en confondant un vide de gouvernance avec une erreur de l'utilisateur.