Vous avez probablement entendu parler il y a quelques temps d'une étude de l'université de Washington[1] concernant les procédés utilisés par les agences américaines pour traquer les utilisateurs de BitTorrent coupables de téléchargement de contenus protégés.
J'avais personnellement lu l'annonce de l'étude en diagonale, sans y accorder trop d'intérêt à l'époque. Je viens enfin de prendre le temps de lire le papier original, et je dois avouer que je suis assez intéressé par les possibilités offertes par leurs conclusions. Voici donc un rapide résumé :

La majorité des agences (américaines, mais je serais étonné que ce soit différent chez nous avec nos amis de la SACEM) utilisent des méthodes qui ne sont pas concluantes pour déterminer la culpabilité des utilisateurs.

Il est possible de faire accuser n'importe quelle adresse IP de téléchargement illégal, et ce de différentes manières.

Par extension, il est possible de réfuter quasiment toute preuve de téléchargement illégal via BitTorrent.

Pour mieux comprendre les affirmations précédentes, il convient de rentrer un peu plus en détail dans le fonctionnement de BitTorrent. La première étape pour utiliser BitTorrent est de fournir à son client un fichier .torrent contenant globalement les coordonnées du tracker, qu'on pourrait qualifier de coordinateur, et des informations sur le contenu que l'on souhaite récupérer. Immédiatement, le client se connecte à ce tracker et obtient une liste des autres clients connectés. Le tracker ajoute alors automatiquement notre adresse à la liste des clients connectés ou, s'il gère une extension du protocole, une adresse que nous lui avons annoncée, qui peut être différente de la nôtre (essentiellement pour des problèmatiques de NAT et de configuration réseau asymétrique). Enfin, notre client entre en contact avec un autre client connecté et récupère des données, se préparant à les envoyer à tout autre client connecté en faisant la demande.

La bonne méthode (dite "directe") pour identifier un utilisateur téléchargeant du contenu illégal nécessiterait donc de se connecter au tracker, puis de se connecter aux différents clients pour leur demander de nous envoyer le fichier concerné. Cela permettrait de valider non seulement que le fichier obtenu est bien un contenu sous copyright, mais également que le client concerné est effectivement actif en téléchargeant et distribuant des données. Cela est d'autant plus important qu'à ma connaissance les tribunaux français n'ont jamais condamné que pour "mise à disposition" et non pour "téléchargement".
Malheureusement (ou heureusement pour les accusés) cette seconde méthode est plus complexe et plus longue, donc plus coûteuse, et il semble que la majorité des accusations soient faites en se basant sur la méthode dite "indirecte", c'est à dire uniquement sur la liste des clients connectés envoyée par le tracker. Or il est tout à fait possible de ne se connecter au tracker que pour obtenir cette liste, et de n'avoir à aucun moment participé à l'activité d'échange de contenus protégés par le droit d'auteur, ce qui démontre bien l'irrecevabilité des "preuves" fondées sur la méthode indirecte.

Le papier démontre ensuite de quelle façon il est possible de faire accuser une personne de téléchargement illégal.

Passons sur les méthodes "brutales" que sont le spoofing d'adresse à la connexion, une attaque de type Man in the middle, la mise en place d'un faux tracker, les malwares et autres détournements de points d'accès. Une extension du protocole mentionnée plus haut semble bien plus intéressantes. Elle permet d'indiquer au tracker d'enregistrer une autre adresse IP que la nôtre, et ce sans aucune vérification dans la majorité des cas, ce qui signifie que l'on peut forcer le tracker à annoncer dans la liste des clients connectés une personne dont la machine peut tout à fait être éteinte, que ce soit celle de notre voisin ou du président de la SACEM. Cette méthode ne fonctionne pas sur tous les trackers, et ne tient évidemment pas la route face à la méthode "directe", mais je pense qu'on pourrait obtenir des résultats sympathiques en impliquant des personnalités bien choisies :)

Je vous invite à lire l'article complet pour plus d'informations, il contient des pistes que je n'ai pas détaillées ici, notamment l'exploitation du peer gossip, ainsi que des analyses statistiques intéressantes montrant comment détecter les sondes de la RIAA et à quel point les blacklists actuelles sont incomplètes.


[1] Michael Piatek, Tadayoshi Kohno et Arvind Krishnamurthy : Challenges and Directions for Monitoring P2P File Sharing Networks, disponible en ligne : http://dmca.cs.washington.edu/