L’affaire Megaupload mettra-t-elle en péril le modèle du cloud ?

Publié le 31/01/2012 par Etienne Wery

Les données des utilisateurs légitimes de MegaUplaod risquent d’être effacées. Panique pour ces utilisateurs mais aussi inquiétude quant au modèle du cloud qui repose largement sur l’interconnexion des serveurs. Analyse et décryptage.

On sait maintenant que la justice a réussi la fermeture de MU (MegaUpload) notamment grâce à une particularité dans la manière dont le site a conçu sa structure informatique : plusieurs serveurs étaient physiquement aux Etats-Unis, dont des serveurs de mails, ce qui a permis de recueillir avec plus de facilité un certain nombre d’informations et de mettre au point l’acte d’accusation.

En d’autres termes, la justice a agit au niveau des fournisseurs de MU pour prendre connaissance d’informations relatives à MU.

Depuis quelques jours, la planète internet est secouée par la rumeur selon laquelle les données contenues dans les serveurs de MU vont être effacées. De quoi s’agit-il et quels sont les enjeux ?

Les faits

Ce 27 janvier, le procureur a écrit ce qui suit aux parties défenderesses :

On January 19, 2012, United States law enforcement executed search warrants at premises controlled by Carpathia Hosting, Inc. ("Carpathia"), in the Eastern District of Virginia, and Cogent Communications, Inc. ("Cogent"), in the District of Columbia. These search warrants were directed toward servers leased by the defendants in 1:12-cr-3 for use by the Megaupload and Megavideo websites (hereinafter "Mega Servers"). The execution of those search warrants has now been completed. The United States copied selected Mega Servers and copied selected data from some of the other Mega Servers, but did not remove any of the Mega Servers from the premises.

Now that the United States has completed execution of its search warrants, the United States has no continuing right to access the Mega Servers. The Mega Servers are not in the actual or constructive custody or control of the United States, but remain at the premises controlled by, and currently under the control of, Carpathia and Cogent. Should the defendants wish to obtain independent access to the Mega Servers, or coordinate third-party access to data housed on Mega Servers, that issue must be resolved directly with Cogent or Carpathia. It is our understanding that the hosting companies may begin deleting the contents of the servers.

En résumé, la justice n’a plus besoin d’accéder aux serveurs de Carpathia et Cogent, qui peuvent donc en reprendre pleinement le contrôle.

Les données seront-elles effacées ?

Que vont faire ces sociétés ? La réponse est dans la lettre : ce qu’elles veulent, la justice n’en a cure.

Il est toutefois probable que ces sociétés vont effacer les données.

Pourquoi le feraient-elles ? Tout simplement parce qu’elles sont de simples fournisseurs de MU, et que leur client ne le paie plus depuis que le site est à l’arrêt et ses avoir gelés.  Il est hautement probable que les contrats conclus leur permettent, en ce cas, de suspendre leur prestation voire d’effacer les données.

Aux dernières nouvelles, les avocats de MU ont obtenu un délai de grâce d’une quinzaine de jours.

Les enjeux pour le dossier MU

Cet effacement pose évidemment un problème aux utilisateurs légitimes de MU, qui risquent de perdre le contenu de ce qu’ils ont stocké.

Ils sont dans la situation des clients d’une agence de voyage qui vend des billets charter mais omet de payer la compagnie aérienne auprès de qui elle affrète l’avion. Le jour du départ, ladite compagnie risque fort de refuser de décoller, arguant du défaut de l’agence. Les passagers sont alors coincés entre une agence défaillante, et une compagnie aérienne qui est nécessaire pour fournir le service mais n’a pas de contrat avec eux et refuse de s’exécuter tant que son contractant à elle ne paye pas.

Cet effacement pose un autre problème aux avocats de MU car ils tenteront, au procès, de démontrer que le site n’avait pas principalement pour objet de permettre l’échange de contenus illégaux. Or, comment faire cette preuve si les données contenues dans les serveurs sont effacées ? On signalera au passage que si le procès avait eu lieu en Europe, il eut été intéressant d’analyser cette circonstance sous l’angle du droit au procès équitable.

Les enjeux pour le cloud

Par un curieux effet de ricochet, l’affaire MU pourrait poser un problème majeur au cloud.

De moins en moins de fournisseurs en ligne possèdent en propre l’intégralité de l’architecture technique nécessaire à la fourniture des services.

Le cloud accentue encore cette tendance et crée une interdépendance forte entre les fournisseurs.

Face à un système qui lui pose problème, la justice a pour l’instant :

• Monté son dossier grâce aux informations trouvées sur les serveurs des fournisseurs qui étaient physiquement dans sa juridiction ;
• Agit à la racine via les racines DNS et les noms de domaine, sur lesquels elle dispose aussi d’un accès privilégié car la gouvernance de l’internet est encore largement entre ses mains, et les très gros acteurs qui gèrent les extensions y sont souvent localisés ;

La justice va maintenant probablement obtenir de facto l’effacement des données car ces mêmes fournisseurs ne sont plus payés. C’est même ce qu’elle semble suggérer lorsqu’elle écrit que : "Should the defendants wish to obtain independent access to the Mega Servers, or coordinate third-party access to data housed on Mega Servers, that issue must be resolved directly with Cogent or Carpathia. It is our understanding that the hosting companies may begin deleting the contents of the servers."

Si c’est comme cela que les choses se passent, le cloud a un souci. L’affaire MegaUplaod démontre en effet que tout service fondé sur ce modèle peut aisément être de facto arrêté d’une seconde à l’autre (surtout s’il implique des fournisseurs américains) et que la pérénité des données n’est pas toujours assurée. Or, tant la continuité du service que la sécurité et la disponibilité des données sont les principales craintes des utilisateurs du cloud.