En avril, l’Inde a adopté une loi qui réduira considérablement l’activité VPN dans le pays à partir du 27 juin 2022. Pourquoi la plus grande démocratie du monde a-t-elle décidé de suivre la voie tracée par certains des régimes les plus répressifs du monde, comme la Russie ou la Chine ? Plus important encore, les nouvelles mesures fonctionneront-elles même ?
La nouvelle loi
Mais d’abord, regardons la loi elle-même, qui a été élaborée par le CERT-In, l’équipe indienne d’urgence informatique. Cela se résume à un ensemble de protocoles KYC (connaissez votre client) qui obligeront les VPN à enregistrer le nom, l’adresse e-mail, l’adresse physique, l’adresse IP et le numéro de téléphone des utilisateurs. Les VPN devront également conserver des journaux ; toutes ces informations sont à conserver pendant cinq ans (180 jours en cas de demandes techniques).
Bien que devoir révéler toutes vos informations personnelles à un VPN soit déjà assez grave – bien que, à moins que vous ne vous soyez inscrit de manière anonyme, il en sache probablement déjà beaucoup sur vous – c’est la journalisation obligatoire qui soulève le plus de problèmes parmi les utilisateurs de VPN. En effet, la nécessité de conserver des journaux est au cœur même de ce que fait un VPN.
Dans ce cas, les journaux sont des enregistrements de l’endroit où vous vous êtes connecté et quand, et tout bon VPN digne de ce nom ne les conserve pas, cela fait partie de leur engagement en matière de confidentialité. Le seul VPN légitimement privé est un VPN sans journal, et forcer un VPN à les conserver va donc à l’encontre de leur objectif même.
Pas seulement des VPN
Cela dit, il convient de préciser que ce ne sont pas seulement les VPN qui sont visés par cette loi, elle frappe les fournisseurs de toutes sortes de services numériques. Les fournisseurs d’hébergement Web, par exemple, ainsi que les échanges cryptographiques et les fournisseurs de VPS sont tous destinés à mettre en œuvre ces nouvelles directives KYC. En quelque sorte, cela créera une sorte de base de données des internautes indiens.
Pourquoi est-il mis en œuvre
Dans l’état actuel des choses, la nouvelle loi aura des effets considérables sur l’Internet indien. Le gouvernement semble comprendre cela, mais prétend que cela est nécessaire pour endiguer la vague de cybercriminalité, en particulier la fraude financière.
Il est indéniable que le problème est assez grave : les banques indiennes, par exemple, ont signalé des dommages d’une valeur de 5 000 milliards de roupies (13 milliards de dollars) dans les livres en mai 2021. Les chiffres sur la fraude à la consommation sont beaucoup plus difficiles à trouver, mais plusieurs rapports mentionnent des sommes importantes. qui paralysent les victimes, parfois à vie. Les États-Unis sont également en proie à des appels frauduleux en provenance du sous-continent.
Selon le CERT-in lui-même, il a traité près de 1,5 million de signalements de cybercriminalité en 2021 ; c’est un nombre assez élevé, même si vous tenez compte du fait qu’il est fort probable que de nombreuses personnes ne prennent pas la peine de signaler les incidents.
En obligeant les services en ligne à enregistrer les utilisateurs, le gouvernement indien espère rendre plus difficile la perpétration de ces crimes. Si le VPN que vous utilisez pour masquer votre activité sait qui vous êtes, il sera plus facile de vous attraper. Cependant, ce ne sont pas seulement les criminels qui utilisent les VPN pour cacher leur activité, mais aussi les militants politiques et les journalistes.
Préoccupations relatives aux droits de l’homme
C’est plutôt inquiétant car l’Inde a reçu des classements médiocres de la part des organisations internationales de défense des droits de l’homme. Un rapport d’Amnesty International détaille les mesures de répression du gouvernement indien contre les minorités ainsi que les agriculteurs qui protestaient contre la politique gouvernementale en 2021. Le rapport détaille comment l’Inde a mis en place « un appareil de surveillance illégal massif ».
Selon Reuters, signaler ou dénoncer ces activités signifie que vous subirez encore plus de pression de la part du gouvernement. Des journalistes et des militants en Inde affirment que leurs téléphones ont été piratés et mis sur écoute.
Alors que la loi sera certainement un outil utile dans la lutte contre la cybercriminalité – sans jamais sous-estimer l’ingéniosité des personnes qui essaient de s’en tirer avec quelque chose – elle pourrait être utilisée pour plus que cela. Selon Mishi Choudhary du Software Freedom Law Center, dans une interview accordée au magazine Wired : « il semble que le gouvernement indien profite de chaque occasion pour rendre l’accès à Internet beaucoup plus contrôlé et surveillé ».
Reste à savoir si ce contrôle visera ou non uniquement les escrocs et les fraudeurs ou ciblera également les journalistes, avocats et autres militants.
Ce que cela signifie pour les VPN
Cependant, si le gouvernement indien essaie d’exercer plus de contrôle sur l’Internet du pays, il semble qu’il ne le fera pas sans rencontrer une certaine résistance. En ce qui concerne les VPN, les principaux fournisseurs de VPN comme ExpressVPN et Surfshark ont annoncé qu’ils se retireraient du pays, tout comme NordVPN. Nous ne pouvons que supposer que beaucoup d’autres suivront.
Cela ne signifie pas que les utilisateurs indiens de VPN – qui, selon les chiffres recueillis par AtlasVPN, représentent environ 20 % de la population – se retrouvent totalement sans recours. Dans ce cas, « se retirer » signifie que ces fournisseurs de VPN abandonneront simplement leurs serveurs en Inde, mais autoriseront toujours l’accès aux serveurs dans d’autres pays.
Par exemple, un utilisateur à New Delhi, par exemple, qui accédait normalement à Internet via un serveur à Mumbai devra désormais y accéder via un serveur dans un autre pays. Bien que cela ne soit probablement pas un problème pour trop de gens, cela gênera beaucoup plus car un serveur plus éloigné ralentira leur connexion.
Un autre problème est qu’en retirant leurs serveurs de l’Inde, les clients VPN ne pourront plus utiliser les adresses IP indiennes. Très probablement, ce problème sera résolu en utilisant des soi-disant serveurs virtuels : des machines qui peuvent usurper des adresses IP, vous donnant une adresse IP indienne tout en étant entièrement basées ailleurs. Cela dit, ces serveurs virtuels ne sont pas toujours fiables et il n’est pas clair si la loi indienne pourrait donner à CERT-In l’autorité sur les adresses IP indiennes.
Contourner la loi
La question demeure cependant de savoir à quel type d’action les VPN peuvent être confrontés pour avoir contourné la nouvelle loi : par exemple, si les VPN seront sanctionnés d’une certaine manière pour avoir autorisé les utilisateurs indiens à accéder sans les enregistrer. Cette question et bien d’autres ne trouveront probablement de réponse qu’une fois la loi entrée en vigueur.
Naturellement, ce ne seront pas seulement les fournisseurs de VPN qui tenteront de contourner la nouvelle loi, les utilisateurs eux-mêmes ont plusieurs options qui s’offrent à eux. Comme nous le voyons en Chine, les gens trouveront des moyens nouveaux et innovants d’accéder à Internet gratuit. La nouvelle loi fait en sorte que vous ne pouvez pas utiliser un VPN ou un serveur basé en Inde, mais cela ne signifie pas que les gens ne se détourneront pas d’une autre manière.
Quoi qu’il arrive, il semble que l’Internet indien ne sera plus comme avant.