Contexte et mise en place

La salle 641A a été mise en service en 2003 dans le bâtiment SBC Communications au 611 Folsom Street, San Francisco. Occupée par AT&T avant l’acquisition de SBC, elle a été désignée dans les documents internes comme « SG3 Secure Room ». Sa localisation physique, trois étages du bâtiment, a permis d’y installer des équipements de surveillance sans attirer l’attention extérieure.

Le dispositif a été rendu public en 2006 par Mark Klein, technicien d’AT&T, qui a fourni des copies de documents internes et des photographies de l’infrastructure. Cette révélation a déclenché une série de poursuites judiciaires menées par l’Electronic Frontier Foundation (EFF) contre AT&T et, indirectement, contre la NSA.

Architecture technique de la salle

La pièce mesure approximativement 24 × 48 pieds (7,3 × 14,6 m) et contient plusieurs racks d’équipement. Le composant central est le Narus STA 6400, un analyseur de trafic capable d’intercepter et de décoder les flux Internet à très haut débit. Le STA 6400 reçoit les signaux via des fibres optiques dérivées de « beam splitters » installés sur les trunks de fibre transportant le trafic du backbone.

Ces splitters fonctionnent comme des taps passifs : ils extraient une fraction du signal lumineux sans perturber la transmission principale, ce qui rend la surveillance indétectable pour les opérateurs réseau. Le trafic ainsi capturé comprend à la fois les flux domestiques et internationaux traversant le point d’interconnexion, offrant, selon le témoignage de J. Scott Marcus, la capacité d’analyser le contenu à grande échelle.

Le Narus STA 6400 utilise des algorithmes de deep‑packet inspection (DPI) pour extraire les en‑têtes et le payload des paquets. Cette technologie nécessite une puissance de traitement élevée, justifiant la présence de plusieurs serveurs de stockage et de systèmes de refroidissement dans la salle. Aucun code source n’a été publié, mais les spécifications publiques indiquent une capacité de traitement de plusieurs dizaines de gigabits par seconde.

Enjeux juridiques et judiciaires

Après la divulgation de Klein, l’EFF a intenté la classe‑action Hepting v. AT&T le 31 janvier 2006, accusant l’opérateur de violation de la vie privée et de coopération illégale avec la NSA. Le juge fédéral a refusé de classer l’affaire, invoquant le privilège secret d’État, ce qui a permis la poursuite du litige jusqu’à son rejet définitif le 29 décembre 2011, après l’octroi rétroactif d’une immunité législative aux télécoms.

Un second recours, Jewel v. NSA, a été jugé en 2019. Le tribunal a conclu que les preuves présentées par les experts de l’EFF étaient insuffisantes pour établir le contenu exact, la fonction ou le but de la salle, soulignant l’absence d’accès direct de Klein aux opérations de la pièce.

Ces décisions illustrent la difficulté de contester juridiquement des installations de surveillance dont les détails techniques restent largement classifiés. Elles soulignent également le rôle des révélations internes comme unique source d’information publique sur les capacités de collecte de données à grande échelle.

Implications et limites

Techniquement, la salle 641A montre comment un point d’interception physique, combiné à du matériel de DPI, peut fournir un accès quasi‑total au trafic Internet traversant un nœud de réseau. Cependant, la portée réelle dépend de la densité du trafic sur les fibres concernées et de la capacité de stockage des systèmes associés.

Sur le plan opérationnel, la nécessité de maintenir la discrétion impose des contraintes d’infrastructure : les équipements doivent être refroidis, alimentés en énergie stable et protégés contre les intrusions physiques. Toute modification du réseau de fibre, comme le remplacement de câbles ou la migration vers des protocoles chiffrés, pourrait réduire l’efficacité du tap.

En définitive, la salle 641A constitue un exemple concret de la façon dont les télécoms peuvent être mobilisés pour des programmes de surveillance de masse, tout en exposant les limites juridiques et techniques qui freinent la transparence et la responsabilité.