Hadopi : des faux fichiers pris pour des fichiers pirates ?

La question des fichiers leurres est un problème que nous avons soulevé depuis très longtemps sur la procédure suivie pour la riposte graduée. Comment les ayants droit s'assurent-ils que le fichier partagé par un internaute est bien un fichier piraté, qui contient une oeuvre protégée par les droits d'auteur du plaignant, et pas un fichier légitime renommé ?

A cette question, les ayants droit ont toujours répondu qu'ils vérifiaient systématiquement si la signature électronique (le hash) du fichier partagé correspond bien à celle qu'ils ont dans leur base pour l'oeuvre piratée. Pour s'en assurer, ils doivent télécharger le fichier, et vérifier son caractère illicite. C'est d'ailleurs ce qui est explicitement prévu par les autorisations délivrées par la CNIL, notamment pour celle délivrée le 24 juin à l'Association de Lutte contre la Piraterie Audiovisuelle (ALPA) :

Le dispositif utilisé à cette occasion reposera sur une technologie consistant à calculer pour chaque œuvre audiovisuelle numérisée une empreinte numérique unique, insensible aux altérations qu’aurait pu subir l’œuvre concernée. Cette technologie permettra de s’assurer que le fichier mis à disposition par un internaute correspond bien à une œuvre audiovisuelle protégée. L’ALPA transmettra à son prestataire de service des fichiers originaux afin qu’il calcule pour chacun d’eux une empreinte numérique unique destinée à alimenter une base de données de référence.
Une fois cette base de données de référence créée, le système du prestataire identifie pour chaque œuvre les fichiers illicites en effectuant des requêtes sur les réseaux « peer to peer » à partir de mots clefs, poids informatique, format ou en recherchant les liens permettant leur téléchargement sur des sites dédiés et vérifie qu’ils correspondent aux œuvres originales en les confrontant à l’empreinte numérique unique figurant dans la base de données.

C'est d'ailleurs ce que montrait l'angoissant reportage de 66 Minutes sur M6, au mois d'octobre. Vers la douzième minute, nous voyions les locaux de l'ALPA et ses agents assermentés. "Jean-Pierre, tu as fini de valider de tous les fichiers pirates ?", demandait le responsable de l'ALPA à son employé. "Sans aucun doute... un fichier pirate", concluait-il ensuite, en regardant sur l'écran un des films téléchargés.

A en croire le reportage, tout est fait manuellement pour s'assurer que les fichiers qui donnent lieu à avertissements par l'Hadopi ne sont pas autre chose des oeuvres piratées. Pourtant, voilà une déclaration troublante faite à PC Inpact par Stéphane Michenaud, le directeur général de la société CoPeerRight Agency, qui a pour spécialiser d'inonder les réseaux P2P de fichiers portant le même nom que les oeuvres à protéger, mais qui contiennent autre chose. Ces fichiers leurres doivent en principe décourager l'utilisateur lorsqu'il cherche à obtenir un film en passant par le moteur de recherche du réseau P2P.

"Depuis plusieurs semaines, pour ne pas dire plusieurs mois, l’ALPA a contacté certains de nos clients pour demander les hashs cryptographiques de certains de nos fichiers leurres", affirme-t-il. Quel intérêt ? "Tout nous laisse à penser, jusqu’à preuve du contraire, que nos fichiers leurres sont pris pour des fichiers pirates", explique M. Michenaud. Sa société avait déjà été à l'origine d'un conflit de brevets, qui avait paralysé toute poursuite contre les P2Pistes en France. Bien qu'elle travaille avec des ayants droit, la société est opposée à la riposte graduée.

Alors que l'autorisation délivrée par la CNIL l'oblige à établir une liste noire des fichiers piratés, identifiés par leur signature numérique, l'ALPA demanderait donc communication des signatures électroniques des fichiers leurres, pour établir plutôt une liste blanche des fichiers qu'elle peut ignorer. Interrogé par notre confrère, l'ALPA réplique cependant que cette liste blanche lui sert uniquement à optimiser sa recherche des fichiers à mettre en liste noire. S'il concède qu'il y a une vérification automatisée par un système de reconnaissance des images par fingerprinting, le responsable de l'ALPA assure néanmoins qu'il y a "une vérification manuelle faite derrière". Ce qui rejoint les images tournées par M6, et reste conforme aux exigences de la CNIL.

Reste un autre problème plus largement ignoré, y compris par la CNIL. Sur les réseaux P2P, en particulier sur eMule, il est très simple de renommer un film piraté en "toto.avi", et de voir le fichier proposé par le moteur de recherche lorsque l'utilisateur cherche "toto". Il croit alors télécharger un fichier légal, quand il télécharge en fait le film piraté. Ce dont il ne se rendra compte qu'à la fin du téléchargement (c'est ce qui se passe lorsque vous pensez télécharger un film traditionnel, et découvrez en fait un film pornographique). Techniquement, pour l'ALPA, il est absolument impossible de le savoir, puisqu'elle a simplement connaissance du fait que l'utilisateur télécharge un fichier qui porte la même empreinte numérique que le fichier piraté, et qui contient donc l'oeuvre protégée. Celui qui aura ainsi piraté involontairement sera averti sans avoir jamais le moyen de prouver sa bonne foi.