Un accord d'un milliard de dollars entre Israël, Google et Amazon... Que cache "Nimbus" ?

Dans un accord de cloud computing massif d'une valeur de 1,2 milliard de dollars, des rapports de presse britanniques ont révélé un mécanisme secret que le gouvernement israélien a exigé d'inclure dans son contrat avec Google et Amazon, connu sous le nom de "Mécanisme du clin d'œil" (The Wink Mechanism), conçu spécifiquement pour contourner les ordres juridiques étrangers qui pourraient obliger les deux entreprises à remettre des données israéliennes à des entités extérieures.

L'enquête menée par le journal britannique "The Guardian" en collaboration avec le magazine +972 et le site "Local Call", a révélé des détails étonnants sur le contrat du projet connu sous le nom de "Nimbus" (Project Nimbus), signé en 2021 pour stocker les données du gouvernement israélien et de son armée sur des serveurs cloud locaux appartenant à Google et Amazon.

* Un code secret pour protéger les données d'Israël

Selon l'enquête, le gouvernement israélien a insisté pour inclure le mécanisme du clin d'œil dans le contrat en raison de ses craintes que ses données sensibles ne tombent entre les mains des autorités judiciaires étrangères - en particulier américaines et européennes - qui ont de larges pouvoirs légaux pour demander des données aux grandes entreprises de cloud.

Comme d'autres géants de la technologie, Google et Amazon se conforment généralement aux ordres des tribunaux, des procureurs et des agences de sécurité pour remettre des données utilisateur à des fins d'enquête, et sont souvent légalement empêchés d'informer les clients concernés par ces demandes.

Mais Israël ne voulait pas être traité comme un "client ordinaire", alors il a inventé un moyen sans précédent pour savoir quand ses données sont remises sans que les deux entreprises enfreignent les lois internationales.

* Comment fonctionne le "Mécanisme du clin d'œil" ?

Le mécanisme repose sur l'envoi de signaux financiers cryptés de Google ou Amazon au gouvernement israélien si l'une d'elles est contrainte de remettre des données concernant Israël à une entité étrangère.

Cela se fait par le biais de paiements financiers d'un montant déterminé qui sont transférés dans les 24 heures suivant l'événement, de sorte que le montant indique le code du pays étranger qui a reçu les données, basé sur le code d'appel international de ce pays.

Exemples :

_ Si le pays concerné est les États-Unis (+1), un paiement de 1 000 shekels est transféré.

_ Si c'est l'Italie (+39), un paiement de 3 900 shekels est envoyé.

_ Si même le nom du pays qui a reçu les données ne peut pas être mentionné, un paiement de 100 000 shekels (environ 30 000 dollars) est envoyé comme signal que l'événement est soumis à une totale confidentialité.

Ces paiements sont enregistrés dans le système financier comme des "indemnités spéciales", et constituent un avertissement secret pour le gouvernement israélien sans révéler la nature de l'événement ou l'entité étrangère concernée.

* Des restrictions strictes et sans précédent sur les deux entreprises

Les documents sur lesquels repose l'enquête montrent que Google et Amazon ont accepté une série de conditions strictes et non conventionnelles imposées par Israël pour garantir la continuité de leurs services sans entrave, même en cas d'accusation d'utilisation de la technologie dans des violations des droits de l'homme.

Selon le contrat, les deux entreprises américaines sont interdites de suspendre ou de restreindre l'accès du gouvernement israélien, de l'armée ou des agences de sécurité aux services de cloud computing, quelles que soient les circonstances.

Il leur est également interdit de prendre toute mesure unilatérale similaire à celle prise par Microsoft en octobre dernier, lorsqu'elle a suspendu l'accès de l'armée israélienne à une technologie utilisée pour surveiller les communications palestiniennes.

Il convient de noter que Microsoft avait concouru pour le contrat Nimbus, mais avait refusé certaines demandes israéliennes concernant la souveraineté sur les données et le contournement légal, ce qui a conduit à sa perte au profit de Google et Amazon.

* Le projet Nimbus... le nuage qui stocke tout

Le projet Nimbus tire son nom des "nuages" (Nimbuses), et est un contrat de sept ans renouvelable, pour stocker et traiter les données du gouvernement israélien et du secteur public dans des centres de données locaux appartenant à Google et Amazon en Israël.

Et bien que les données soient effectivement stockées à l'intérieur du pays, Israël craint des changements dans les lois américaines et européennes qui pourraient permettre aux tribunaux étrangers de demander aux entreprises de remettre des données situées à l'étranger ou sur des serveurs gérés par des entreprises soumises à ces autorités, ce qui l'a amené à insister sur le "Mécanisme du clin d'œil" comme garantie souveraine.

* La technologie au service de la guerre

Le débat autour du projet Nimbus survient à un moment où les critiques internationales augmentent concernant le rôle du cloud computing dans la guerre israélienne en cours depuis deux ans contre la bande de Gaza, que le comité d'enquête des Nations Unies a qualifiée de crime de génocide.

Israël s'appuie sur des fournisseurs de services cloud pour stocker et analyser d'énormes quantités de données de renseignement et de surveillance.

Des rapports précédents ont révélé que Microsoft hébergeait une base de données massive d'appels palestiniens interceptés, avant qu'Israël ne prévoit de la transférer vers des serveurs Amazon (AWS).

En septembre dernier, Microsoft a décidé de suspendre certains de ses services cloud pour l'armée israélienne après qu'il a été révélé que cette dernière avait stocké des millions d'appels palestiniens sur ses serveurs, considérant cela comme une violation des conditions d'utilisation.

Mais en vertu du contrat Nimbus, Google ou Amazon n'ont pas le droit de prendre une décision similaire, car cela serait considéré comme une discrimination contre le gouvernement israélien et exposerait les deux entreprises à d'énormes amendes et à des poursuites judiciaires.

* Négation et ambiguïté

Malgré la gravité des révélations des documents, Google et Amazon ont nié avoir violé des obligations légales ou mis en œuvre un mécanisme contraire aux lois internationales, tandis que le gouvernement israélien a refusé de commenter directement les détails du "Mécanisme du clin d'œil".

Cependant, des observateurs ont confirmé que ce qu'on appelle le "Mécanisme du clin d'œil" constitue un précédent dans le monde du cloud computing, combinant contournement légal et cryptage financier pour protéger les données d'un État contre les lois de ses alliés.