1En Russie comme dans de nombreux pays, les autorités ont cherché à tirer profit des intérêts économiques liés au numérique bien avant de se préoccuper des risques posés par ces nouvelles technologies. Le mandat de Dmitrij Medvedev en tant que président de la Fédération de Russie (2008-2012) a représenté une période décisive pour la mise en place d’une économie de l’Internet et du numérique, qui avait d’abord pour but d’assurer le rayonnement économique du pays sur un marché international encore largement dominé par les États-Unis. Les années 2010 ont donc constitué un tournant. C’est avant tout une volonté de redynamisation et de projection de la puissance économique de la Russie qui a guidé les politiques publiques en faveur des secteurs de l’informatique et du numérique, partagée par le gouvernement et des acteurs économiques établis ou émergents [1].

2Cependant, à la faveur des révélations d’Edward Snowden fin 2013, la question de la souveraineté numérique est devenue une problématique majeure pour les autorités. Après la révélation publique de la surveillance massive exercée sur l’Internet mondial par les services de renseignement des Five Eyes (États-Unis, Royaume-Uni, Canada, Australie et Nouvelle-Zélande), les autorités russes se sont recentrées sur la prise en compte des enjeux stratégiques et de sécurité liés au numérique. Elles ont ainsi quitté la posture de relatif laisser-faire qu’elles tenaient jusqu’alors vis-à-vis du développement du numérique sur leur territoire pour en faire la clef de voûte d’une nouvelle indépendance et d’une autosuffisance techniques, mais aussi d’une certaine autonomie dans la gestion et le traitement des données produites par les internautes en Russie. Or, dans ce nouveau paysage du numérique russe, les logiciels libres et open source occupent une place de choix, comme en attestent les nombreuses mesures prises depuis 2010 qui visent à favoriser leur emploi sur le parc informatique des institutions publiques.

3Le Libre et l’Open Source sont des modes de développement de logiciels qui s’appuient sur deux principes : celui de la liberté de l’utilisateur, qui doit pouvoir se servir d’un programme informatique sans que des restrictions importantes ne lui soient imposées, et celui de l’accessibilité du code source des programmes, qui doit pouvoir être consulté en ligne par n’importe quel utilisateur (on parle ainsi de « code source ouvert » ou open source). Ces modes de développement dépendent à l’origine de deux mouvements nés à la fin des années 1970 et au début des années 1980 : moment où le développement et la programmation informatiques sont sortis des domaines militaire et de la recherche pour entrer dans le domaine économique, à travers la commercialisation des systèmes d’exploitation [2] puis des logiciels [3] [Perens, 1999]. Ces mouvements ont constitué au départ une tentative de résistance à la commercialisation des programmes informatiques, avant de devenir des courants alternatifs et dissidents dans un secteur du développement numérique devenu largement commercial, en s’inscrivant contre l’idée de son contrôle par des entités privées à but lucratif ou des institutions d’État.

4L’emploi de tels modes de production en Russie pour la création de logiciels destinés non seulement à être mis en vente sur le marché, mais encore à être vendus à des institutions étatiques, semble ainsi aller à l’encontre des idées et des principes qui devraient présider à leur développement.

5On peut donc se demander comment les thèmes du Libre et de l’Open Source ont pu entrer dans le champ des prérogatives et des intérêts de l’État en Russie. L’intérêt accru du gouvernement russe pour les solutions libres et open source correspond-il à la mise en place d’un modèle alternatif face à la domination économique et/ou géopolitique des multinationales du numérique, ou des États-Unis ? Ou ne constitue-t-il qu’un mode d’instrumentalisation politique et/ou économique de ces thèmes ?

6Nous verrons d’abord comment et à quelles fins les politiques publiques russes ont favorisé l’émergence rapide d’une industrie de production logicielle par le recours aux logiciels libres et open source. Nous analyserons ensuite comment, à la faveur des révélations d’Edward Snowden et d’une convergence d’intérêts publics et privés, ces politiques ont pris une dimension sécuritaire et s’inscrivent désormais dans une stratégie assumée de souveraineté numérique. Enfin, nous interrogerons les conséquences de cette convergence d’intérêts, qui se traduit par une externalisation des capacités informatiques publiques, justifiée par le besoin de recourir à des solutions libres et open source développées par des acteurs privés : ces logiques permettent-elles réellement d’assurer la sécurité de ces infra­structures, comme le revendiquent les différents acteurs ? Et ne conduisent-elles pas à un détournement des pratiques du Libre et de l’Open Source qui pourrait annuler à terme leurs avantages techniques ?

Le développement de logiciels libres et open source en Russie : vers une nouvelle industrie russe du numérique

Convergence des intérêts publics et privés dans le développement du Libre et de l’Open Source en Russie : une production logicielle rapide à coût réduit

12Le choix de favoriser des logiciels libres et open source n’était pas anodin. Le code des systèmes d’exploitation et des applications logicielles de ce type présente la particularité d’être libre d’accès sur l’Internet. Certaines licences libres et open source permettent par ailleurs de se resservir gratuitement de ce code et d’y apporter des modifications, c’est-à-dire de l’utiliser comme un ensemble de briques prêtes à l’emploi pour la fabrication de nouvelles applications. Cette possibilité de réutilisation du code constituait donc une réduction non négligeable du temps et des coûts de recherche et développement (R&D), de conception et de production pour les entreprises. Les licences libres et open source leur permettaient, qui plus est, de bénéficier de codes sources déjà éprouvés par une communauté de développeurs – qui continue souvent à les mettre à jour et à les corriger –, et dont l’utilité pour les utilisateurs avait déjà été établie. Concrètement, le recours aux logiciels libres et open source leur permettait donc de limiter considérablement leurs risques en termes d’investissements, sachant que les financements placés dans des projets non encore éprouvés peuvent s’avérer fatals pour les PME [6] et les start-up, si les logiciels produits ne trouvent pas leur public. Cette focalisation des autorités fédérales sur le logiciel libre et open source devait donc leur permettre de favoriser le développement rapide d’une industrie de production logicielle russe.

13Les acteurs privés russes du numérique ont ainsi commencé à jouer un rôle majeur sur le marché intérieur du numérique en Russie pour réduire la dépendance (en particulier celle des institutions publiques) aux logiciels importés depuis l’étranger, dont le prix a longtemps été élevé [7].

14Le coût prohibitif des licences étrangères en Russie a en effet fortement encouragé cette politique d’autonomisation. La falsification des licences Microsoft Windows était une pratique particulièrement répandue en Russie dans les années 1990-2000, à tel point qu’elle a failli conduire au rejet de l’adhésion du pays à l’Organisation mondiale du commerce (OMC) au début des années 2000 [8]. En 2001, les écoles russes employaient encore majoritairement des versions piratées de Windows, ce qui pouvait constituer un motif de réticence, voire de refus de la part de certains des membres de l’organisation [9].

15Pour pouvoir adhérer à l’OMC, les autorités russes ont donc fait le choix de lancer le développement d’un nouveau système d’exploitation destiné à remplacer Windows sur les postes informatiques des institutions publiques (dont les écoles).

16Afin d’assurer ce remplacement dans un délai court, et pour une question de coût, ce système d’exploitation devait reposer sur un noyau open source de la famille Linux [10]. Le respect de ce cahier des charges a ainsi permis la création de la distribution ALT Linux [11] : l’une des distributions open source les plus utilisées en Russie à l’heure actuelle.

17Le succès du lancement d’ALT Linux a constitué un précédent. En 2009, le gouvernement russe a décidé de lancer un système d’exploitation open source pour le domaine de la défense, avec la création d’ASTRA Linux. La conception et le maintien de cette distribution ont été assurés par une entreprise spécialement créée pour l’occasion : RusBITech-ASTRA, une filiale de l’entreprise RusBITech dont les activités sont étroitement liées à des domaines stratégiques pour le gouvernement russe via les solutions qu’elle propose au ministère de la Défense. Depuis 2011, elle fait donc partie des partenaires officiels de la Fondation Linux [12] : statut qui offre une visibilité internationale dans le domaine de l’open source.

18L’investissement de l’État russe dans le développement logiciel par le biais de la législation a ainsi constitué un choix d’orientation majeur. Il a non seulement incité les différents acteurs russes du développement informatique à investir dans la création de nouveaux logiciels, mais il leur a également ouvert un nouveau marché intérieur : celui de la production de logiciels destinés aux institutions publiques.

19D’après Aleksej Smirnov, le directeur général de l’entreprise ALT Linux [13], il a par ailleurs permis d’accroître l’influence des acteurs russes à l’étranger et sur la scène internationale dans le domaine du développement de codes sources ouverts. Ainsi, selon lui, plus le pays investirait le secteur de l’open source, plus il aurait de chances de l’influencer [14].

20L’entreprise RusBITech est un parfait exemple de la convergence des intérêts publics et privés autour de la production de logiciels open source, puisqu’elle a non seulement bénéficié de l’ouverture d’un marché public sur le marché intérieur russe, mais aussi gagné en visibilité sur le marché international du numérique grâce à la création du logiciel ASTRA.

L’après-Snowden : prise en compte du problème de la sécurité informatique en Russie

Des logiciels libres et open source russes contre les risques stratégiques liés aux logiciels propriétaires conçus à l’étranger

38La production de logiciels souverains sur les modèles libres et open source a été présentée par les autorités comme une solution particulièrement adaptée à ces nouveaux enjeux de sécurité. Leurs codes sources ouverts offraient en effet des garanties de sécurité, puisqu’ils pouvaient être directement relus et validés par une communauté d’utilisateurs capable d’attester de l’absence de script malveillant ou de failles dans leur fonctionnement.

39Le contrôle que l’Open Source permet d’exercer sur le fonctionnement des processus informatiques constitue donc un avantage de sécurité majeur, là où les codes des outils informatiques fournis par les entreprises, généralement privés (donc inaccessibles à la lecture), suivent un fonctionnement mal connu, voire tout à fait opaque. Cette méconnaissance rend notamment possible l’exécution de fonctions en arrière-plan par ces programmes privés, à l’insu de leurs utilisateurs. Le cas le plus courant est la communication des données produites par les appareils d’extrémité (ordinateurs, téléphones mobiles, tablettes, objets connectés...) à propos de l’utilisation qui en est faite, vers les serveurs de l’entreprise qui les commercialise. Bien que la communication de ces données doive généralement servir à l’amélioration des logiciels et des services proposés aux utilisateurs [23], elle constitue un risque de fuites de données stratégiques, semblables à celles qui sont provoquées par les portes dérobées (backdoors) installées avec des intentions malveillantes (des données étant, là aussi, exfiltrées à l’insu de leurs utilisateurs).

40Selon des recherches menées ces dernières années par le Invisible Things Lab [24], on pouvait soupçonner l’emploi de cette pratique dans le cas des microcontrôleurs embarqués (embeded microcontrollers) Management Engine de la marque étatsunienne Intel [25]. Ces composants informatiques sont installés sur un nombre particulièrement important de machines vendues dans le monde entier, car l’entreprise bénéficie d’un quasi-monopole auprès de nombreux constructeurs présents sur le marché mondial de l’informatique.

41Or, selon les chercheurs, on connaissait mal [26] le fonctionnement interne de cet élément, puisqu’il est géré par un code propriétaire dont l’écriture et le comportement sont particulièrement protégés par l’entreprise. Certains tests et observations indiquaient néanmoins qu’on y trouvait des vulnérabilités, dont il était difficile de dire si elles avaient été conservées par erreur, par négligence (le code propriétaire n’étant pas accessible, l’entreprise avait pu juger inutile de le faire corriger : personne n’étant censé pouvoir en connaître les défauts), ou à dessein. En 2017, les chercheurs du département de rétro-ingénierie de l’entreprise russe Positive Technologies ont ainsi démontré qu’il était possible d’accéder (physiquement) au système de fichiers bruts (ME flash file system) des puces matérielles porteuses du bus de données du microcontrôleur [27] (système SPI, serial peripheral interface) : ce qui pouvait permettre d’altérer son fonctionnement en réécrivant ses fichiers [28].

42Finalement, les recherches effectuées ont fini par démontrer que ce microcontrôleur embarqué constituait une véritable machine dans la machine, bénéficiant d’un accès total à la mémoire des microprocesseurs des ordinateurs dans lesquels il est installé (et ce sans que les ordinateurs hôtes ne le détectent), ainsi qu’un accès complet à la zone chargée du traitement des protocoles de connexion Internet et de transmission des données (pile TCP/IP), lui permettant d’envoyer et de recevoir de l’information (des paquets réseaux) indépendamment du système d’exploitation de la machine hôte ; en outrepassant donc purement et simplement ses pare-feu (firewall). Selon ces découvertes, le Management Engine d’Intel représentait non seulement un point de vulnérabilité majeur pour les millions d’ordinateurs dans lesquels il était embarqué [29], mais aussi l’équivalent d’une porte dérobée capable d’accomplir ses propres tâches et de communiquer en réseau (d’envoyer et de recevoir de la donnée) à l’insu de ses utilisateurs [30]. Plus grave encore, il est apparu que les failles présentes dans le code propriétaire des composants d’Intel avaient pu être effectivement exploitées par des pirates informatiques [31].

43Les méthodes de transmission d’informations mises en œuvre dans ces composants par les entreprises constituent donc de véritables risques en termes de sécurité. Elles peuvent être détournées à des fins de renseignement sur la nature ou le fonctionnement d’un matériel, notamment en vue de préparer des attaques destinées par exemple à pratiquer du renseignement industriel ou étatique, voire à corrompre ou à détruire le matériel d’un concurrent ou d’un ennemi, d’une entreprise ou d’un État. En ce sens, tout logiciel propriétaire au code privé n’est donc pas loin de pouvoir constituer une porte dérobée.

44Après l’affaire Snowden, mais aussi des découvertes telles que celles de l’entreprise Positive Technologies en 2017, le gouvernement russe a donc décidé de renforcer la création d’alternatives aux produits conçus aux États-Unis, afin de réduire les risques de fuites de données par des portes dérobées et des rootkits (programmes malveillants qui dissimulent leur activité), en favorisant encore davantage le développement de solutions open source produites en Russie.

45Mais cet emploi sécuritaire des logiciels libres et open source par les autorités étatiques russes s’oppose au principe de liberté des utilisateurs qui devrait présider à leur développement selon les mouvements Libre et l’Open Source. L’instrumentalisation du principe du code source ouvert pour assurer le contrôle des logiciels employés en Russie constitue un détournement évident des valeurs défendues par ces mouvements, qui s’inscrivaient d’abord contre tout contrôle du numérique par des entités de pouvoir (étatiques et privées).

46Le sens même de ces mouvements disparaît donc dans ces nouveaux discours autour de la souveraineté et de la sécurité numériques russes, qui servent une convergence d’intérêts économiques et politiques sans lien avec les objectifs de défense de la liberté des utilisateurs et des créateurs de logiciels. Les investissements de l’État dans des alternatives logicielles domestiques vont en effet de pair avec une externalisation accrue des capacités numériques des institutions publiques (pour la sécurisation de leurs infrastructures en particulier), qui semble surtout avantager les acteurs privés.

47On peut donc se demander si les logiciels libres et open source permettent réellement d’atteindre un objectif de souveraineté numérique en Russie, ou s’ils servent à favoriser les intérêts d’entreprises qui voudraient bénéficier de contrats publics. Si tel est le cas, l’instrumentalisation et le dévoiement de l’esprit du Libre par des acteurs privés ne remettent-ils pas en cause jusqu’aux avantages mêmes qu’il présente en termes de sécurité ?

Derrière les arguments de la souveraineté et de la sécurité informatiques, une convergence d’intérêts opportuniste

Conclusion

60Depuis les années 2010, on observe un intérêt incontestable de l’État russe pour les pratiques et modes de production informatique dits libres et open source, qui a conduit à une augmentation de leur promotion et leur emploi par les secteurs public et privé. Avec les révélations de Snowden en 2013, les principaux arguments avancés pour les favoriser sont passés des avantages offerts par leur faible coût d’achat et de production, à un emploi qui devait redynamiser l’industrie russe du numérique sur le territoire et, enfin, à la nécessité de les employer pour assurer la sécurité informatique des infrastructures publiques et la souveraineté numérique du pays.

61Parallèlement, l’État russe et les différents organes et administrations qui en dépendent sont devenus un important marché intérieur que cherchent à conquérir des entreprises russes peu sollicitées, voire désormais indésirables à l’étranger à la suite, notamment, du scandale provoqué aux États-Unis par les collusions supposées entre l’entreprise Kaspersky Lab (qui commercialise l’antivirus Kaspersky) et les services de renseignement russes.

62Ce marché intérieur, caractérisé par sa volonté d’acquérir des solutions libres et/ou open source, a donc fini par faire de ces modes de développement un argument marketing décisif sur le territoire. Leur promotion modifie ainsi à la fois l’écosystème du développement numérique en Russie, et le sens même de ce que signifiaient le Libre et l’open source. Car les aspects politiques et militants que recouvrent ces deux modes de production-mouvements ont été peu à peu évacués pour laisser place à des logiques économiques et commerciales.

63Le principe du code source ouvert des logiciels libres et open source a ainsi été détourné de sa fonction première – permettre aux utilisateurs de solutions informatiques de choisir et de contrôler le fonctionnement de leurs logiciels – pour favoriser à la place le contrôle des autorités étatiques sur les pratiques de ces utilisateurs et les infrastructures informatiques en Russie. L’accessibilité des codes libres et open source suscite donc la convoitise de différents acteurs publics et privés, qui ont recours à de véritables logiques de prédation, contre tous les principes qui sont défendus par ces mouvements.

64La descente de police qui s’est déroulée le 13 décembre 2019 dans les locaux de l’entreprise Nginx à Moscou et a conduit à l’arrestation de plusieurs employés, dont le développeur Igor Sysoev, le montre. Elle a en effet eu lieu à la demande de l’entreprise Rambler, créatrice de l’important moteur de recherche russe Rambler.ru qui revendique la paternité du logiciel NGINX open source créé en 2002 par I. Sysoev. Au moment de la création du logiciel, celui-ci travaillait pour Rambler : ce que l’entreprise met en avant pour en récupérer les droits [37].

65Cette soudaine revendication de Rambler n’est pas un hasard : en février 2019, le serveur Web du système NGINX est devenu le serveur le plus utilisé au monde. Ce succès a attiré les investissements de l’entreprise étatsunienne F5 Networks, qui a racheté NGINX Inc. en mars 2019. L’événement laisse donc place à différentes interprétations, depuis la volonté de Rambler de récupérer les importants bénéfices que lui procurerait la propriété du logiciel, à la volonté de contrer l’influence d’un acteur domicilié aux États-Unis sur le premier serveur mondial.

66Dans tous les cas, la nouvelle place centrale du Libre et de l’open source en Russie, au cœur des volontés de dynamisme économique, de sécurité informatique et de souveraineté numérique, expose leurs logiciels à toutes les convoitises, et altère peu à peu leur efficacité pour la sécurité des utilisateurs et le sens des mouvements qui leur ont donné naissance.