https://www.marianne.net/economie/125000-signatures-le-premier-jour-depart-canon-pour-la-petition-adp?utm_medium=Social&utm_source=Twitter#Echobox=1560869911

Un internaute a extrait ce mardi 18 juin les données du site du référendum sur la privatisation du groupe Aéroports de Paris (ADP) et révèle que pas moins de 125.000 citoyens ont apporté leur signature à la pétition le jour de sa mise en ligne. Ringardisant au passage le ministère, qui assurait que ces informations ne pourraient pas être aspirées.

Le démarrage est prometteur. Jeudi 13 juin, jour du lancement de la pétition en ligne pour obtenir un référendum d'initiative partagée (RIP) sur la privatisation du groupe Aéroports de Paris (ADP), pas moins de 125.130 personnes y ont apporté leur signature. Les 4,7 millions, seuil à atteindre pour déclencher un débat au Parlement, paraissent encore loin mais force est de constater que le texte suscite un véritable engouement citoyen. Si le rythme de ce premier jour se maintenait, en effet, le seuil serait atteint en moins de quarante jours, quand la loi laisse neuf mois pour y parvenir.

Ce décompte des signataires n'émane pas de l'Etat mais d'un simple internaute : ce mardi 18 juin dans la nuit, Benjamin Sonntag, co-fondateur de la Quadrature du net et spécialiste du développement informatique, s'est penché sur le fichier mis en ligne par Beauvau à 00h01 et en a extrait les données en quelques heures.

REFERENDUM.INTERIEUR.GOUV PAS SI INVULNÉRABLE

Jeudi dernier, le ministère de l'Intérieur expliquait pourtant que son site Internet, referendum.interieur.gouv.fr, disposait d'excellentes protections qui empêcheraient toute aspiration de ses données. Loin de là, selon Benjamin Sonntag : "N'importe quel développeur junior en est capable", pointe-t-il auprès de Marianne. Il nous raconte comment il a procédé : "Je l'ai fait page par page avec l'aide d'un ami me fournissant un résolveur de captcha basé sur du machine learning et un peu de code". Le "captcha", soit le petit module dans lequel l'internaute doit taper quelques lettres ou chiffres afin de prouver qu'il n'est pas un robot. Ce programme, censé empêcher toute aspiration des données, apparaît en fin de compte aisément contournable. 

Pour rester dans les clous de la loi, Benjamin Sonntag a seulement extrait le nombre de signataires, pas les noms des citoyens concernés. Mais rien n'empêcherait un développeur mal intentionné de le faire. "Si quelqu'un veut absorber la liste de noms, ce n'est pas plus compliqué que ça", relève le programmeur. Et de lancer : "Quant à l'ergonomie et au code du site, c'était déjà pourri en 1999. A croire qu'ils ont tout fait pour que les gens ne signent pas, mais ça risque de se retourner contre eux...".

L'action du fondateur de la Quadrature du net ringardise par ailleurs le comptage proposé par le Conseil constitutionnel. La vénérable institution de la rue de Montpensier a promis de faire un point sur le nombre de signataires… tous les mois. Assez frileux, pour une information qui risque d'être rapidement disponible en temps réel sur internet.