Des étudiants diplômés analysent, craquent et retirent des dispositifs de surveillance placés sous leur bureau

Et conçus pour les suivre à la trace

Des étudiants diplômés analysent, craquent et retirent des dispositifs de surveillance placés sous leur bureau
et conçus pour les suivre à la trace

Ces dernières années, la surveillance s'est insinuée sans relâche dans les écoles, les universités et une grande partie de la vie quotidienne, accélérée par la pandémie de COVID-19. En octobre, cependant, des étudiants diplômés de l'université de Northeastern ont réussi à s'organiser et à repousser une tentative d'introduction de dispositifs de surveillance invasifs placés discrètement sous les bureaux de leur école.

Au début du mois d'octobre, David Luzzi, premier vice-recteur, a installé des détecteurs de mouvement sous tous les bureaux de l'Interdisciplinary Science & Engineering Complex (ISEC) de l'université de Northeastern, une installation utilisée par les étudiants diplômés et abritant le Cybersecurity and Privacy Institute, qui étudie la surveillance.

Ces capteurs ont été installés la nuit, à l'insu des étudiants et sans leur consentement, et lorsqu'on leur a demandé des explications, on leur a dit que cela faisait partie d'une étude sur « l'utilisation des bureaux », selon un billet de blog de Max von Hippel, un candidat au doctorat de l'Institut de la protection de la vie privée qui a décrit la situation dans le bulletin d'information de la Tech Workers Coalition.


Ces déploiements font partie de ce que Cory Doctrow, blogueur, journaliste et auteur de science-fiction, appelle la « courbe d'adoption des technologies de merde », par laquelle des technologies horribles, contraires à l'éthique et immorales sont normalisées et rationalisées en étant déployées sur des populations vulnérables pour des raisons en constante évolution. On commence par les personnes dont les préoccupations peuvent être ignorées - les migrants, les prisonniers, les sans-abri - puis on passe à l'échelle supérieure - les enfants à l'école, les entrepreneurs, les travailleurs non syndiqués. Lorsque l'on arrive aux personnes dont les préoccupations et les objections seraient les plus fortes et les plus essentielles à son rejet, la technologie a déjà été largement déployée.

Les institutions académiques se disputent généralement les installations à utiliser et celles qui sont les mieux financées ou qui rapportent le plus de subventions ont tendance à l'emporter. L'ISEC est un beau bâtiment, le département d'informatique rapporte beaucoup d'argent, il l'utilise beaucoup, et il pourrait donc être logique pour l'université d'essayer d'étudier comment les bureaux sont utilisés afin d'en étendre ou d'en optimiser l'accès.

Von Hippel a déclaré que l'utilisation des bureaux peut déjà être suivie car les bureaux sont attribués et des badges sont nécessaires pour entrer dans les salles. Il pense plutôt que les capteurs étaient une raison pour l'administration - qui est propriétaire du bâtiment - d'écarter les étudiants en informatique qui n'utilisent pas le bâtiment autant que les autres.

« Pendant la pandémie, de nombreux étudiants en informatique ont cessé de venir au bureau aussi souvent, et ce pour une bonne raison : il n'était pas sûr de venir pour de nombreux étudiants et, de plus, tout ce que nous faisons est d'écrire du code informatique - nous n'avons pas vraiment besoin d'être dans le bureau. C'était une sorte de mauvaise image », a déclaré von Hippel.

« Si vous vous promeniez dans ce grand et beau bâtiment en verre, vous regardiez autour de vous et vous voyiez un grand bâtiment vide - mais c'est l'un des bâtiments que Northeastern utilise pour faire la publicité de l'école. Vous pouvez voir comment cela dérangerait l'administration, elle voudrait donc faire entrer plus d'étudiants et de personnes dans le bâtiment, ce qui est assez raisonnable. »

En octobre, l'université a discrètement introduit des capteurs de chaleur sous les bureaux sans en informer les étudiants ni leur demander leur consentement. Les étudiants ont retiré les dispositifs, les ont piratés et ont pu obliger l'université à mettre fin à sa surveillance.

Ces dernières années, la surveillance s'est introduite sans relâche dans les écoles, les universités et une grande partie de la vie quotidienne, accélérée par la pandémie de COVID-19. En octobre, cependant, des étudiants diplômés de l'université de Northeastern ont réussi à s'organiser et à repousser une tentative d'introduction de dispositifs de surveillance invasifs placés discrètement sous les bureaux de leur école.

En réponse, les étudiants ont commencé à soulever des préoccupations au sujet des capteurs, et un courriel a été envoyé par Luzzi pour tenter de répondre aux problèmes soulevés par les étudiants.

« Afin de développer les meilleures pratiques pour l'attribution des bureaux et des sièges au sein de l'ISEC, le bureau du doyen va mener une étude visant à quantifier l'utilisation des sièges actuellement attribués dans les zones d'écriture à l'extérieur des laboratoires et les bureaux de recherche informatique », a écrit Luzzi dans le courriel. "Les résultats seront utilisés pour développer les meilleures pratiques pour l'attribution des bureaux et des sièges au sein de l'ISEC (et de l'EXP en temps voulu). »

À cette fin, écrit Luzzi, l'université a déployé "un système de surveillance de l'occupation Spaceti » qui utiliserait des capteurs de chaleur au niveau de l'aine pour « agréger les données par sous-zones afin de générer quand un bureau est occupé ou non. » Luzzi a ajouté que les données seraient rendues anonymes, regroupées pour examiner des « thèmes » et non le temps passé par chaque étudiant à son bureau, qu'elles ne seraient pas utilisées dans les évaluations et qu'elles ne seraient pas communiquées aux superviseurs des étudiants. Suite à ce courriel, une séance d'écoute impromptue a été organisée dans l'ISEC.

Lors de cette première séance d'écoute, Luzzi a demandé aux étudiants diplômés présents de "faire confiance à l'université puisque vous leur faites confiance pour vous donner un diplôme", Luzzi a également soutenu que "nous ne faisons pas de science ici" comme une autre défense de la décision de ne pas demander l'approbation de l'IRB.

« Il s'est simplement présenté. Nous sommes tous en train de travailler, nous avons des délais à respecter pour la rédaction de documents et toutes sortes de tâches à accomplir. Il ne nous a donc pas prévenus qu'il venait, il s'est présenté en exigeant un public, et plusieurs étudiants lui ont parlé », a déclaré von Hippel. « Il a été assez condescendant, a ignoré leurs préoccupations et a dit que c'était vraiment productif - qu'il était heureux qu'ils travaillent ensemble pour trouver une solution, ce qui était ridicule parce que la seule solution que nous acceptions était celle où ils se débarrassaient des capteurs. »

Après cela, les étudiants du Privacy Institute, qui se spécialisent dans l'étude de la surveillance et l'inversion de ses méfaits, ont commencé à retirer les capteurs, à les pirater et à travailler sur un guide open source afin que d'autres étudiants puissent faire de même. Luzzi avait affirmé que les dispositifs étaient sécurisés et les données cryptées, mais les étudiants du Privacy Institute ont appris qu'ils étaient relativement peu sécurisés et non chiffrés.


« Les étudiants de cet établissement, moi y compris, la façon dont nous obtenons des publications est que nous prenons des systèmes comme celui-ci et nous en explorons les failles. Nous expliquons ce qui est mauvais en eux, pourquoi ils ne fonctionnent pas, et donc ils n'auraient pas pu choisir un groupe d'étudiants plus apte à comprendre pourquoi leur étude était stupide. »

Après avoir piraté les appareils, les étudiants ont écrit une lettre ouverte à Luzzi et au président de l'université, Joseph E. Aoun, demandant que les capteurs soient retirés parce qu'ils étaient intimidants, qu'ils faisaient partie d'une étude mal conçue et qu'ils étaient déployés sans l'approbation de l'IRB, même si des sujets humains étaient au centre de la soi-disant étude.

« L'ISEC abrite le Cybersecurity and Privacy Institute, l'un des principaux groupes mondiaux d'étude de la confidentialité et du suivi, avec un accent particulier sur les dispositifs IoT », peut-on lire dans la lettre. « Le déploiement d'un système de suivi sous le bureau des chercheurs qui exposent régulièrement les dangers de ces technologies est, au mieux, une image extrêmement négative pour une université qui vante régulièrement les réalisations de ces chercheurs. Au pire, cela soulève des problèmes de rétention et constitue un sérieux problème de réputation pour Northeastern. »

Une autre séance d'écoute a suivi, cette fois-ci réservée aux professeurs, et au cours de laquelle Luzzi a affirmé que les dispositifs n'étaient pas soumis à l'approbation de l'IRB car « ils ne détectent pas les humains en particulier - ils détectent toute source de chaleur ». D'autres capteurs ont ensuite été retirés et placés dans le hall du bâtiment, où l'on pouvait lire NON !

Luzzi a ensuite envoyé un courriel programmant une autre séance d'écoute pour s'adresser aux étudiants et au corps enseignant en réponse à la lettre ouverte, qui a circulé et reçu des centaines de signatures, ainsi qu'aux plaintes continues et aux retraits de capteurs. Cette séance d'écoute a été, au dire de tous, un désastre.

Luzzi s'efforce d'apaiser les craintes que l'étude soit invasive, mal planifiée, coûteuse et probablement contraire à l'éthique. Luzzi affirme qu'ils ont soumis une proposition à l'Institutional Review Board (IRB) - qui veille à ce que les droits et le bien-être des sujets de recherche humains soient protégés - pour finalement admettre que cela n'a jamais eu lieu lorsqu'un membre du corps enseignant révèle que l'IRB n'a jamais reçu de proposition. Luzzi a également tenté de rejeter...