ENDROITS OU IL EXISTE UNE PROBABILITÉ DE TRANSFERT DE TECHNOLOGIES D'ANALYSE INFORMATIQUE ET D'EXPLORATION DE DONNÉES (DATA MINING) ENTRE L'ANCIEN IAO (DARPA) ET D'AUTRES AGENCES

Mises à Jour: novembre 2003; février 2004; juillet 2004; octobre 2004; avril 2005; juillet 2005

Depuis la disparition de l'Information Awareness Office et de ses programmes d'exploration et d'analyse des données, on peut se demander où les contractuels privés de la DARPA offriront leurs services et où aboutiront les technologies du Total/Terrorism Information Awareness déjà développées ou en cours de développement. Il y a plusieurs candidats, dont
1) INSCOM (DoD)
2) LifeLog (DARPA)
3) l'IAIP (DHS)
4) TTIC (CIA)
5) FTTTF (DoS).
6) MATRIX (DoJ)
7) Anonymous Entity Resolution (CIA)
8) CAPPS II (TSA)
9) NIMD (ARDA)

1) INSCOM (DoD)
Selon certains rapports connus de la TAPAC (technology and Privacy Advisory Committee), agence indépendante de révision des pratiques de la Défense en matière de vie privée, certaines technologies du TIA pourraient être transférées au Army Intelligence and Security Command (INSCOM), un partenaire du IAO. Le rapport du comité doit sortir en mars 2004.
— GovExec

2) LIFELOG (DARPA)
Darpa remet ça avec « Life Log ». Selon Steven Aftergood, analyste militaire à la FAS, LifeLog est « TIA cubed ». Darpa a présenté le projet comme un moyen de surveiller les épidémies ou comme assistant dans des systèmes informatisés de « battlefield awareness ». Cette extrême souplesse lui permet également toutes sortes d'applications, dont la capacité de conserver et de créer des liens non seulement entre les transactions informatiques, comme le TIA, mais également avec tous les signaux télévisés, toutes les consultations internet, tous les courriels, tous les appels téléphoniques.

LifeLog part de la supposition que si on réussit à spécifier de plus en plus les "patterns" ou habitudes de vie d'une personne, on peut la reconnaître et la suivre partout sur le globe à l'aide de ces patterns. Différencier entre les individus est une simple affaire de "granularité" de l'information. Plus le grain est fin, moins de gens correspondent à un pattern spécifique. Le pattern devient une signature personnelle.
— Wired News
— Darpa

3) IAIP (DHS)
Il semble que la direction de l'analyse de l'information et de la protection des infrastructures (Information Analysis and Infrastructure Protection Directorate, IAIP), qui est responsable du renseignement au sein du Department of Homeland Security (DHS), ait énormément de difficulté à décoller. Le nouveau sous-ministre (under secretary) responsable, l'ex-marine Frank Libutti, vient tout juste d'être nommé le 26 juin 2003. Libutti remplace Paul Redmond, vétéran de la CIA qui avait critiqué les progrès de son département. Entre autres, il s'était plaint de ne disposer que de 26 analystes et de trop peu d'espace (mais il quitta pour des raisons de santé).
—Washington Post : Mintz, John (21.07.2003) "At Homeland Security, Doubts Arise Over Intelligence"

4) TTIC (CIA–inter-agences)
À la fois, le Terrorism Threat Integration Center (TTIC), sous l'égide de la CIA (et situé dans ses bureaux à Langley), tel qu'annoncé dans le discours sur l'état de l'union en janvier, est en plein essor (directeur : John Brennan; autres officiels: Principal Deputy Director James Bernazzani [FBI], Associate Director for Homeland Security William Parrish from DHS, Associate Director for Defense Issues Russell Travers from DIA). En fait le protocole est le suivant : le TTIC analyse les menaces et fait parvenir ses conclusions au DHS (alors qu'à la création du DHS ce devait être le contraire: le DHS devait être en première ligne).

Extrait du discours sur l'état de l'Union (19.01.03)
    The Terrorist Threat Integration Center will be headed by a senior U.S. Government official, who will report to the Director of Central Intelligence. This individual will be appointed by the Director of Central Intelligence, in consultation with the Director of the FBI and the Attorney General, the Secretary of Defense, and the Secretary of Homeland Security. [A1]>
    The Terrorist Threat Integration Center will play a lead role in overseeing a national counterterrorism tasking and requirements system and for maintaining shared databases.
    The Terrorist Threat Integration Center will also maintain an up-to-date database of known and suspected terrorists that will be accessible to federal and non-federal officials and entities, as appropriate.
     In order to carry out its responsibilities effectively, the Terrorist Threat Integration Center will have access to all intelligence information—from raw reports to finished analytic assessments—available to the U.S. Government.

À première vue il semble qu'aucune de ces agences de renseignement ne vise à utiliser des sources d'information civiles, comme le TIA. Mais pour l'instant l'information à ce sujet est assez pauvre. Désormais, vu le fiasco TIA, il faut s'attendre à ce que les projets du genre soient enfouis assez profondément. En toute logique si une agence devait bénéficier directement des technologies développées autour du projet TIA, ce devrait être le TTIC (futur : les deux agences cherchent à prendre de l'ampleur. Le TTIC a 75 analystes à la fin octobre 2003, et l'IAIP [DHS] 26 ; mais de part et d'autre le chiffre de 300 est donné comme cible pour les mois/années à venir). Cependant, selon Brennan le TTIC est limité aux sources de renseignement de sécurité et n'analyse pas d'informations provenant de base de données privées ou publiques de masse.

Aux dernières nouvelles le TTIC doit prendre bientôt la responsabilité de la base de données TIPOFF (110 000 noms de personnes suspectées de liens terroristes), jusqu'ici gérée par le département d'État. Les officiels du TTIC visent à éliminer cette base de données pour l'intégrer à d'autres.

Mise à jour, novembre 2003:
4.1: TSC (CIA-FBI-DHS-DoS)
Le TTIC est un des deux partenaires, avec le FBI, dans l'administration du Terrorism Screening Center (TSC). Le TSC (Homeland Security Presidential Directive HSPD-6, «Integration and Use of Screening Information to Protect Against Terrorism», septembre 2003) est une banque de données sur des individus liés au terrorisme et sera fonctionnel dès le 1er décembre 2003. La facette internationale de la banque sera maintenue par la CIA, et la facette intérieure par le FBI. Au départ la plupart des agences de maintien de la loi auront accès (entrée et questionnement) à la base de données, et en 2004 les entreprises privées responsables de l'infrastructure du pays pourront également s'en servir (accès limité). Le TSC englobe et donc remplace entièrement TIPOFF, qui disparaît.

Ceci constitue donc une autre avancée de la CIA sur le terrain du renseignement intérieur.

5) FTTTF (DoJ)
Côté data-mining, il y aussi le Foreign Threat Tracking Task Force (FTTTF), créé en avril 2003 par le ministère de la Justice. Le ministre Ashcroft avait alors expliqué que le FTTTF devait

« ensure that, to the maximum extent permitted by law, Federal agencies coordinate programs to . . . 1) deny entry into the United States of aliens associated with, suspected of being engaged in, or supporting terrorist activity; and 2) locate, detain, prosecute, or deport any such aliens already present in the United States. »

Et pour ce faire, il devrait disposer de « electronic access to large sets of data, including the most sensitive material from law enforcement and intelligence sources. »
—Electronic Frontier Foundation (EFF) (2003) EFFector, 245th issue, 16 (6), 1er mars 2003.

6) MATRIX (DoJ-États)
MATRIX signifie « Multistate Anti-TeRorism Information eXchange » et a été développé (avec 12 millions USD de fonds fédéraux, du DoJ) par l'Institute for Intergovernmental Research, une société privée de développement et de formation de personnel situé en Floride, et une compagnie informatique du nom de Seisint, inc. (dont Hank Asher, le fondateur et depuis août 2003 ex-PDG, était un ancien trafiquant de cocaïne). Neuf États participent déjà au projet, qui est partiellement secret. En surface, il semble qu'il s'agisse de mettre en commun des bases de données multiples disponibles au niveau des États (donc, TIA à un niveau étatique). La question est de savoir quelles bases de données seront explorées.

The MATRIX project is implementing factual data analysis from existing data sources to integrate disparate data from many types of Web-enabled storage systems to identify, develop, and analyze terrorist activity and other crimes for investigative leads. This capability will facilitate integration and exchange of information within the participating states, including criminal history, driver license data, vehicle registration records, and incarceration/corrections records including digitized photographs, with significant amounts of public data record entries. Provision has been made for the inclusion of data sources from additional states, should expansion be authorized.

Il semble que la CIA obtienne sous peu accès à MATRIX, lui donnant ainsi accès aux dossiers intérieurs qui lui sont interdits par la loi fédérale (IslandPacket.com).

Notons au passage que MATRIX n'a que très peu à voir avec le terrorisme, et est utilisé par les polices y ayant accès (la police de l'État de Floride, entre autres) pour des tâches ordinaires d'enquête criminelle.

--Mise à date: l'État de Georgie s'est retiré du programme à la fin 2003, ne laissant dans la base de données que les informations sur les délinquants sexuels. Le Kentucky, l'Oregon et la Caroline du Sud on aussi laissé tombé à l'été 2003. Restent: Alabama, Connecticut, Floride, Michigan, New York, Ohio, Pennsylvanie et Utah.

--Mise à date: Seisint a été acheté par Lexis-Nexis pour 775 millions USD.

--Mise à date: le 18 avril 2005 le DHS met fin à son financement du programme. La Floride (Florida Department of Law Enforcement, FDLE) annonce qu'elle supportera financièrement une partie seulement de Matrix (il ne reste plus que 4 États participants).

--Mise à date: la fin du financement pour Matrix ne signifie pas sa mort; sans l'appeler «Matrix» la Floride, l'Ohio, le Connecticut et la Pennsylvanie utilisent toujours un programme d'analyse des données stockées dans des bases variées sur internet (incluant les bases privées comme celles de compagnies de crédit, et certainement celles de Nexis-Lexis, à qui appartient désormais Seisint, firme qui a conçu le système). La différence est que sans l'argent du DHS il n'est plus possible d'étendre ces recherches à d'autres États.

7) AER (CIA)
AER est Anonymous Entity Resolution, une nouvelle invention de la firme Systems Research and Development, de Las Vegas, servant à l'exploration d'information (la firme produit plusieurs logiciels de détection de fraude dans les casinos et dans l'assurance). Peu est connu sur le sujet (un paragraphe dans CRS Congress Report RL32114).

Mise à jour, 18 février 2004
8) CAPPS 2 (ou « II »; DoD, DHS [HSARPA], TSA [Transportation Security Administration])
CAPPS signifie Computer Assisted Passenger Prescreening System. C'est un programme mis sur pied par la Homeland Security Advanced Research Projects Agency (HSARPA; budget 2004: 350 millions USD) pour usage par la TSA, une autre division du DHS (sous l'égide du sous-ministre à la sécurité des frontières et des transports, Under Secretary for Border and Transportation Security). CAPPS est légèrement différent des autres programmes listés ci-haut en ce qu'il ne s'applique qu'à une tranche spécifique de la population, c'est-à-dire les citoyens qui feront usage des transporteurs aériens. Le programme doit s'appliquer aux États-Unis mais une forte pression est placée sur les autorités de la plupart des pays d'Europe afin que ceux-ci partagent l'information qu'ils détiennent sur leurs passagers avec la TSA.

La directrice de la HSARPA, Jane Alexander, est une ancienne assistante-directeur de la DARPA (et à l'Office of Naval Research), où elle travaillait au développement de logiciels et de systèmes d'intégration des savoirs et était experte en bioterrorisme (bien que physicienne de formation).

En principe, CAPPS 2 devait entrer en fonction à l'automne 2003 mais plusieurs entraves légales et techniques ont retardé le projet. Présentement il semble qu'on serait prêt à un test opérationnel au printemps 2004. Certaines compagnies ayant accepté de participer au programme test ont été boycottées par les consommateurs (Jet Blue et Northwest).

CAPPS doit permettre de fouiller instantanément plusieurs centaines de banques de données variées (gouvernementales et privées) à partir du nom, addresse et numéro de téléphone des passagers, levant des drapeaux d'alarme seulement quand certaines combinaisons de faits sont découvertes. Un peu comme dans le cas de l'ex-TIA, le programme est présenté comme protégeant la vie privée pour deux raisons : premièrement, les renseignements restent dénominalisés pour les utilisateurs (mais non pour les machines); deuxièmement, on argumente que ce système permettra de réduire l'arbitraire dans la décision de fouiller les gens. Par exemple, il ne sera plus question de faire du « profilage racial », puisque la décision de fouiller suivra uniquement les drapeaux rouges levés par le système

Le talon d'Achille de CAPPS est que le système révèle au passager son statut de risque à chaque fois qu'il prend l'avion (le passager peut déduire qu'il est considéré « à risques » si il a été fouillé ou interrogé; merci à Benoît Dupont pour le lien à MIT). En principe une cellule terroriste peut évaluer le degré de risque détecté par CAPPS pour chacun de ses membres en leur faisant prendre l'avion une fois avant l'attentat en préparation. Il suffira, le jour de l'attentat, d'utiliser le opu les terroristes qui n'ont pas soulevé de drapeau rouge lors de leur voyage-test. Ce problème n'est pas limité à CAPPS et s'applique également à tout profilage: à partir du moment où le profil recherché est connu du terroriste, la solution simple consiste à prendre certaines mesures pour s'en éloigner (à l'extrême, en recrutant/utilisant une personne qui ne correspond pas au profil).

 mise à jour, juillet 2004
Le programme CAPPSII est dissout par le Congrès, à la suite d'un rapport du GAO concluant qu'il menace 7 des 8 principaux standards de vie privée. Il est remplacé par « Secure Flight », une base de données moins ambitieuse qui devrait débuter ses tests en 2005.

Mise à jour, octobre 2004
Un des architectes du programme, Ben H. Bell III, a vendu ses services à une firme privée située aux Bahamas, Global Information Group Ltd. Le plus important contracteur du projet CAPPSII, Lexis-Nexis, reste un important client/utilisateur du système (Donald Thibeau, fondateur de GIG, est un ancien cadre de Lexis-Nexis). GIG se propose d'utiliser le système à des fins commerciales pour faire des enquêtes de sécurité. Elle vend également ce qu'elle appelle, « terrorist risk identity assessment ». Il semble que GIG ait des plans pour mettre sur pied un système beaucoup plus large que CAPPSII, plus près de l'ancien TIA.

9) ARDA (IC-DoD)
L'ARDA (Advanced Research and Development Activity) emploie plusieurs anciens de l'IAO et distribue enter 50 et 100 millions USD de fonds à des entreprises privées (incluant des universités) pour développer des programmes de sécurité et de détection, dont d'exploration de données. Plusieurs des entreprises avaient été laissées sans une importante source de revenus à la disparitioni de l'IAO, dont Cycorp, qui a repris ses activités avec l'ARDA. En principe l'ARDA est une création du DoD et de l'Intelligence Community (IC), et ses bureaux sont situés dans le siège de la NSA.

Un des programmes intéressants à l'ARDA est le NIMD, ou Novel Intelligence from Massive Data. NIMD fait usage des mêmes technologies qui ont valu à la DARPA des coupures massives de budget. NIMD conserve pourtant son budget global, sur trois ans, de 64 millions USD.

Un des partenaires principaux du NIMD est Xerox et son PARC (Palo Alto Research Center). PARC a développé indépendemment un programme de Knowledge Extraction from Document Collections (KXDC), maintenant intégré à l'équipe travaillant sur le NIMD. Autres partenaires: Global InfoTek; l'Université de la Caroline du Sud, l'Université du Connecticut.

Michael N. Huhns, qui avait travaillé sur le projet Genoa II pour l'IAO, a en même temps travaillé pour ARDA sur le projet OmniSeer/NIMD.

Indices en vrac :
1. Robert L. Popp (ancien sous-directeur de l'IAO) a insisté, après que l'IAO ait été dénoncé, que le public ne comprenait pas la fonction des programmes inclus sous le projet TIA. Dans une entrevue à Technology Review, il décrit le TIA exactement de la même manière que Bush décrivait le TTIC dans son discours. Ashcroft utilise le même langage au sujet du FTTTF ci-haut. Faudrait savoir ce que « toutes les sources d'information disponibles » signifie; les sources de renseignement, ou toutes les sources, c'est-à-dire les transactions électroniques de tous genres.
– Jonietz, Erika (08/03), "Total Information Overload" Technology Review, 106 (6), 68.

2. Silicon Valley technology firms and entrepreneurs caught in a IT spending downturn could have reason to smile with the Department of Homeland Security's announcement of a roughly $1 billion budget for academic and private-sector research and development projects focusing on technology that could fortify the national infrastructure and enhance defensive and responsive measures to terrorist incidents. Homeland Security Advanced Research Projects Agency (HSARPA) deputy director Jane Alexander told tech executives at Veritas Software's headquarters in Mountain View, Calif., that projects must adhere to certain criteria in order to qualify for funding. The technology must be relatively cheap if it is to be widely used by local law enforcement and emergency workers; the technology must be incapable of generating false positives if its purpose is to identify the signs of a terror attack; and the technology must be able to adjust to protocols and infrastructure that may vary between states and local governments. Alexander noted that HSARPA will concentrate heavily on technology that facilitates the detection and handling of bioterrorism threats, but will also listen to proposals designed to aid domestic disaster response by the Coast Guard, the Federal Emergency Management Agency, and other security-related departments and entities. Alexander reported that her staff have been flooded with more than 3,000 proposals sent to HSARPA. The deputy director said that HSARPA, unlike the Defense Advanced Research Projects Agency (DARPA), will focus on technology concepts that can be developed within a relatively short time--six months to two years.
News.com

3. Il faut également souligner que DARPA, avec 240 employés, ne fait presque aucune recherche. L'ensemble est donné à des entrepreneurs indépendants, surtout des universités et des entreprises privées. Les interactions entre ces trois pôles sont intenses. John Poindexter, par exemple, travaillait sur Genoa pour la firme Syntek avant de vendre son idée de TIA à la DARPA. Une fois nommé directeur du IAO, Genoa — et Syntek — furent intégrés au projet. Saffron Technologies, une autre firme pour laquelle Poindexter a travaillé, a également reçu des fonds de la DARPA pour développer une partie de Genoa. Il est donc logique de se demander ce que feront ces compagnies avec leur technologie, maintenant que le TIA est mort et enterré. Notons de plus que DARPA a toujours encouragé ses contractuels à distribuer ailleurs les produits qu'ils développaient, pour faire baisser les coûts de revient au gouvernement.

À un meeting récent (30 semptembre 2003) des entrepreneurs :
In the Tuesday meeting, TIA contractors said a need still exists for their technologies. They defended DARPA's mission as a research agency but generally agreed that the public reaction to TIA had not been well handled. Panelists described privacy technologies under development for DARPA and said their funding may be doomed by Congress's action.

"I'm assuming we are killed ... when the president signs the bill," Brian Sharkey of the contractor Hicks and Associates told the committee. But Sharkey said after the meeting that the actual language of the bill could mean that his work continues. "I imagine I will get a phone call some day" to say his project is still funded, he said.

4. Autre fait important, les contractuels du IAO — Syntek, Booz Allen & Hamilton, Raytheon, Lockheed Martin, Schafer, etc. — sont aussi contractuels à la défense, au DHS, au FBI, à la CIA, à la NSA, etc.