Catégorie : HADOPI

Tu ne m’aime pas, je ne t’aime pas … et je sais que j’ai raison, ce n’est qu’une question de temps.

Publié le

Wifi ROBIN une nouvelle quiche derrière le crâne d’HADOPI

EDIT : Attention, plusieurs personnes confirment un retour d’expérience négatifs avec ce produit, ne vous ruez donc pas aveuglément dessus.

Alors que la Haute Autorité se dit prête à envoyer les premiers mails d’avertissement, que les premiers relevés d’IP ont été effectués par les sociétés mandatées pour le faire. Après que seedfuck les ai contraint à alourdir encore une procédure que l’on souhaitait automatisée avec le moins de justice et autre lourdeurs… et que de son côté la Mission Riguidel ai été rendue publique malgré le caractère confidentiel que la HADOPI souhaitait lui donner….

Voici WifiRobin, un nouveau petit dispositif composé d’une carte wifi surpuissante (1w, soit 10 fois la puissance autorisée en France) et du nécessaire logiciel pour automatiser des attaques sur le chiffrement WEP qui équipe encore de nombreux réseaux sans fil de particuliers puisque des fournisseurs d’accès livrent encore leur box et autres routeurs avec ce chiffrement activé par défaut. Concrètement, le WifiRobin, ça se passe comme ça :

  • vous l’allumez,
  • vous le posez,
  • vous le laissez travailler,
  • quelques minutes plus tard vous avez un réseau wifi avec sa clef de chiffrement WEP,
  • vous pouvez surfer.

Cette opération qui nécessitait autrefois quelques connaissances, même très rudimentaires, est maintenant à la portée de n’importe qui, il suffit de savoir appuyer sur un bouton et de patienter quelques minutes. En zone d’agglomération, avec une importante densité de réseaux, cette carte qui peut porter jusqu’à 2 kilomètres (plus encore avec une antenne adaptée) devrait faire un carton.

La bête est donnée pour un prix de $155 soit 118 €, frais de port offerts.

Il va falloir ajouter deux ou trois choses dans la liste de préconisations pour sécuriser nos « accès Internet », non ?

Merci@bricamac pour la trouvaille

Publié le

HADOPI : la labellisation des moyens de sécurisation s’annonce compliquée

Ce n’est pas un scoop, c’est d’ailleurs surement pour ça que la HADOPI s’est résolue à passer outre et à se décider d’envoyer les premiers mails sans qu’un dispositif de sécurisation de l’accès Internet prévu depuis HADOPI 1, ne voit le jour. On savait que la définition de préconisations en vue d’une labellisation des dispositifs de sécurité allait être très complexe à rédiger. Le scoop c’est que Michel Riguidel s’est laissé aller à quelques spécifications fonctionnelles généralistes, publiées ce matin dans Numerama, qui lancent des pistes on ne peut plus larges. Même si on y évoque très brièvement quelques « bonnes mesures » , comme une désinstallation propre et le respect de la vie privée des utilisateurs, on peut s’inquiéter de quelque chose d’assez criant : Ce sont les spécifications d’un mouchard, on ne sécurise pas, on est bien dans le domaine de la surveillance des masses.

On parle par exemple de livrer cette extension sous forme de plugin à d’autres solutions de sécurité (suites antivirales), ou d’envisager un dispositif effectif en mobilité (points d’accès wifi ouverts). On parle aussi et surtout de prémices de filtrage et on se laisse la porte ouverte au blocage de sites par access lists, une mise à jour pourra ainsi vous interdir l’accès a un site de direct download comme Megaupload.

Numerama se déclare prêt à répondre de la publication de ce document qui a fuit, au nom du droit d’information du public, et on ne peut que l’appuyer dans cette démarche.

Publié le

HADOPI : une consultation publique confidentielle

J’apprenais aujourd’hui sur Numérama que Michel Riguidel, en charge de définir une sorte de cahier des charges d’un dispositif sensé sécuriser nos connexions Internet pour répondre de notre bonne foi devant la Haute Autorité, avait lancé une consultation un peu particulière..

L’objectif de cette consultation est de fournir à monsieur Riguidel l’argumentaire nécessaire à l’élaboration d’une liste de préconisations venant définir les mesures de sécurisation de sa connexion Internet, indispensables à prouver votre bonne foi et que vous n’aurez pas « manqué de diligence » dans cette tâche dont un manquement pourrait se traduire par un délit de négligence caractérisée aboutissant à la suspension de votre connexion. Michel Riguidel a donc réalisé un premier Draft de spécifications qu’il faut expressément demander en montrant patte blanche et que l’on daignera vous envoyer si on aime bien votre tête, c’est un peu une consultation à la tête du client en fait…. quand on vous dit que ça commence fort.

C’est encore un concept fort intéressant qui nous est proposé par la HADOPI. Une consultation publique « confidentielle », pour laquelle les consultés doivent s’engager à ne surtout rien dévoiler du contenu. Je trouve ça particulièrement iritant à plusieurs titres :

  • Pourquoi cette consultation est elle aussi confidentielle ?
  • Ne somme nous pas en train de basiquement répéter une erreur ?
  • Les entreprises seront elles aussi concernées ?
  • Quel niveau de sécurité souhaite t-on apporter ?
  • Où sera localisé le dispositif ?
  • Allons nous tolérer que des dispositifs de surveillance soient placés directement sur le réseau des opérateurs ?
  • Allons nous nous contenter d’un antivirus/firewall/ banal ou va t-on nous refaire le coup du logiciel de contrôle de téléchargement ?
  • Le dispositif sera t-il en connexion permanente avec des outils de « monitoring » de la HADOPI ?
  • Quelle sera la part de la prévention qu’on accordera à ces solutions qui si elles s’avère intrusives finiront en banal mouchard ?
  • … le suspens est insoutenable, mais à quoi va donc ressembler notre Hadopipoware officiel ?

Mais juste comme ça au passage, si on commence, avant même que le projet ne soit entamé, à faire le choix de la sécurité par l’obscurantisme, alors autant s’arrêter tout de suite, sous peine d’assister à la mise en place de nouveaux failwares. L’autre erreur est d’entourer de mystère ce qui ne devrait être que des spécifications publiques d’un petit soft rigolo et sans intérêt, si on ne touchait pas à quelque chose d’un peu sensible. La mission de Michel Riguidel est effectivement complexe, car il va avoir le privilège de fournir des spécifications cohérentes pour entretenir la psychose que les ayants droit souhaitent instaurer avec la mise en application du dispositif. Dur pour le chercheur émérite qu’il est de se contenter du strict minimum pour effrayer les masses.

Quoi qu’il en soit, je rejoins parfaitement l’analyse de Guillaume, entourer d’autant de mystère les spécifications d’une solution qu’on sait par avance poudre de Perlin Pinpin est assez ridicule, mais très en phase avec notre exception culturelle.

Publié le

HADOPI : attention chérie, ça va spammer… ou pas

On avait failli l’attendre, le dernier décret d’application a été publié Lundi dernier. Il s’agissait du dernier obstacle… du moins sur le papier. Nous avons donc maintenant tous les ingrédients pour que la machine à spam la plus onéreuse du monde se mette en route. C’est donc très prochainement que nous allons pouvoir assister au spectacle que nous promet ces premiers envois de mails. Le décret se compose de 3 articles, un seul est réellement digne d’intérêt, le premier. On y apprend la teneur des pièces constituant le dossier, mais on assiste aussi au mini putsch adressé aux fournisseurs d’accès Internet en leur expliquant que même si le coût de la procédure n’est pas évoqué, ces derniers devront fournir une identification sous huitaine et fournir sous quinzaine les pièces sur les agissements de l’internaute pris en « flagrant délit d’ip sur un réseau p2p » (à l’insu de son plein gré ou pas… ce qui constitue bien le délit de négligence caractérisée que la HADOPI va tenter de réprimer comme elle le peut alors que de son côté l’Etat a toujours autant de mal à considérer avec diligence ses propres négligences caractérisées et même caractéristiques). En attendant, il faudra bien payer la facture si on veut mettre le feu au SMTP, et on imagine mal certains FAI sponsoriser les fantasmes de quelques uns, même si pour d’autres ceci ne devrait pas être un véritable obstacle.

Le décret explique aux fournisseurs d’accès qu’ils sont contraints de coopérer, amendes à la clef. A notre connaissance aujourd’hui, l’état des négociations sur la charge des identifications est au point mort. A titre indicatif, pour un particulier, dans le cadre d’une procédure, une identification se monnaye une trentaine d’euros, la HADOPI devrait avoir un prix de gros (8,5 euros par IP), mais 50 000 identifications par jour, ça représente quand même une petite somme très rondelette de 425 000 euros par jour, auxquels on ajoutera les frais de fonctionnement de la HADOPI, de ses prestataires techniques, des frais de justice pour l’Etat induits par des personnes accusées à tort (HADOPI a encore moins de chance de devenir rentable qu’un Twitter like sur France.fr)… je suis curieux de voir comment le candidat Sarkozy va justifier cette gabegie pour « protéger » cette industrie qui se voudrait culturelle. C’est pourtant la question que risque de lui opposer ces internautes qui figurez vous … sont aussi munis d’une carte d’électeur, un concept qui n’a pas été assimilé de tous. Machine à spam ou machine à perdre les élections, à ce niveau là on qualifiera ça de pléonasme.

On s’allonge sur le sofa et on sort les cacahuètes

On commence par les procès verbaux établis sous forme électronique, c’est une nouveauté, ça risque de prendre un peu de temps niveau rodage et on devrait assister, même avec une automatisation assez poussée, à quelque couacs. Soyons sympas et appliquons un coefficient d’erreur de 10% en phase de lancement, vu que le projet a du subir quelques lifting, la constitution même du constat de l’infraction avec les pièces requises s’est complexifiée à cause d’un petit détail… Seedfuck … vous savez le logiciel qui selon Franck Riester n’existe pas mais qui a quand même « un peu » modifié la procédure de constat de l’infraction. TMG expliquait ainsi qu’un morceaux du fichier devrait être téléchargé par ses soins pour que la collecte de preuves soit complète et surtout que le dossier transmis atteste bien qu’il y a eu un échange délictueux (pas d’information sur le surcoût de la procédure, ni sur le pièces matérielles à charge qui seront incorporées au dossier transmis à la HADOPI et qui faisait déjà cruellement défaut dans le premier décret d’application).

On nous aurait menti ?

Si vous ne l’aviez pas encore compris, HADOPI, c’est un truc qui est sensé vous terroriser, un peu comme une arme tactique de dissuasion. Mais au bout du compte, HADOPI, ce n’est pas un dispositif qui est sensé fonctionner ni être opérationnel à plein régime. On a fait une belle loi, avec des absurdités sans nom en total décalage avec les réalités techniques et budgétaires, mais c’est tout à fait normal vu qu’on ne compte pas l’appliquer de la manière dont elle est décrite (on peut aussi s’interroger sur les objectifs réels de la mise en place de ce dispositif). Nous nous sommes dotés d’un outil que nous n’aurons jamais les moyens de mettre en oeuvre, on ajoute à ceci le coût du travail parlementaire en temps de crise et le ridicule qui a plané et plane encore sur les pseudos solutions de sécurisation dont on risque de parler très vite … HADOPI n’est elle pas un fantastique trojan pour une suite que l’on connait tous et qui est déjà inscrite dans le marbre ?

Publié le

Hole196 : Une vulnérabilité identifiée dans WPA2

Le WPA2 est le protocole de chiffrement pour communications sans fil considéré jusque là comme le plus robuste. Des chercheurs de AirTight semblent avoir mis en évidence une faiblesse permettant à un utilisateur du réseau de bypasser le chiffrement de la clef privée ansi que l’authentification. Il devient ainsi capable d’intercepter le trafic qui transite sur le réseau et donc d’attaquer les machines qui s’y trouvent. Une présentation de la vulnérabilité et de son exploitation aura lieu au Defcon de Las Vegas à la fin du mois, nous en saurons alors un peu plus sur ce trou affectueusement baptisé Hole196.

En attendant, et à juste titre, Numerama et PCInpact s’interrogent sur notre désormais célèbre délit de négligence caractérisée qui tendrait à vouloir que le commun des mortels sécurise son accès Internet, alors que le gouvernement lui même a bien du mal à sécuriser ses propres sites web et pour reprendre l’ expression consacrée qui me fait bien rire, manque de diligence dans la mise en oeuvre de la résolution de l’incident .

Publié le

ACTA : des soutiens bidonnés d’artistes ? … encore ?

Le rapport Gallo présenté le premier juin dernier et proposant de soutenir la branche la plus dure des positions proposée dans l’ACTA, (un accord commercial multilatéral visant à lutter contre la contrefaçon sur Internet) vient de trouver de bien curieux soutiens. Outre le fait que je ne connaisse pas 10% des artistes français de cette liste (il doit y avoir des gens qui tentent de télécharger du Arielle Dombasle sur Emule et qui sont à 3% du download avec 0 seeder depuis 2002), PCInpact met le doigt sur le cas de Michel Sardou qui s’exprimait récemment sur RTL à propos d’HADOPI. Il y affirmait qu’il était un grand pirate ans l’âme : « Je suis un pirate […] faut pas m’faire chier ! ». Du coup on doute un peu du soutien que ce dernier porte au rapport Gallo.

On se souvient aussi très bien du site j’aimelesartistes.fr qui affichait des soutiens imaginaires, comme celui du groupe Indochine. Pcinpact rappelle aussi le travail réalisé par la Quadrature du Net qui avait épluché cette liste de 10 000 artistes qui contenait même des personnages de science fiction !

De là à dire que nous sommes en face d’un petit bidonnage de plus… S’il ne s’agit pas d’un bidonnage, je m’interroge sur le nombre des artistes qui ont vraiment lu le rapport Gallo avant d’afficher leur soutien à un texte ultra répressif bafouant un peu plus les libertés fondamentales.

EDIT : On vient de me signaler que l’un des signataires, Lola Beris (Vox Angeli) est âgée de 13 ans! Du coup on comprend mal l’absence sur cette liste des Lapins Crétins ou de René la Taupe.

Publié le

Des hacktivistes fakent le site gouvernemental diplomatie.gouv.fr

La blague est probablement d’origine québécoise, mais elle n’est pas vraiment au gout du Quai d’Orsay qui dénonce le faux. Il s’agit d’un typo squatting, un domaine très proche de celui du site officiel (deux caractères en moins), le site Diplomatiegov.fr annonce dans une vidéo que la France va rembourser une dette de 17 milliards de dollars à Haiti. Ça ressemble assez au canulard des Yes Men pendant le sommet de Copenhague.

Clubic met en perspective de ce typo squatting le terme de « Hacking » qui ne correspond à mon sens pas du tout à la réalité. Clubic revient sur l’intrusion qu’a subi le Quai d’Orsay en 2005 en la comparant un peu maladroitement à cette parodie. Ici pas d’intrusion , pas d’atteinte au système de traitement de données informatisées, tout au pire, une contrefaçon avec intention de tromper (et encore même ça c’est discutable vu le charmant filet d’accent présumé québécois de la personne sur la vidéo).

Bref ces deux événements n’ont vraiment rien à voir si ce n’est l’institution visée, le site diplomatiegouv.fr ne s’est pas rendu coupable de négligence caractérisée, il peut donc dormir sur ses deux oreilles, la HADOPI ne le coupera pas.

Publié le

Ventes de disques en chute libre pour juin 2010

Numerama revenait hier sur le plongeon qu’accusent les ventes de disques en juin 2010 : les ventes dans les Grandes Surfaces Spécialisées (GSS) dégringolent très nettement, avec un recul de 20 % en volume et -17,7 % en valeur. Il faut mettre en perspective cette superbe dégringolade avec la croissance des ventes sur les plates-formes légales de téléchargement. Mais manque de bol, même Internet fléchit et accuse une baisse de 3 % en volume et 3,7 % en valeur.

Ces chiffres contrastent fortement avec les gargarismes de Pascal Nègre qui jubilait en martelant qu’HADOPI allait avoir un effet positif très perceptible sur les ventes de galettes en phtalocyanine. Le président d’Universal nous expliquait même que les réseaux sociaux serviraient de support pour diffuser la terreur que tout internaute se doit de ressentir à la réception d’un email de la HADOPI.

En toute logique, HADOPI 3 nous réserve l’institution d’une taxe sur les fournisseurs d’accès que la commission Zelnik se refusait d’envisager, ainsi qu’une hausse de la taxe sur la copie privée (vous savez, cette taxe qui taxe un truc interdit …). Tout ceci était dramatiquement prévisible et les majors ont réussi un tour de force en terme de manipulation des politiques. Les politiques (une poignée d’entre eux) ont été assez crétins pour envisager qu’Internet était la cause de tous les maux. Au lieu de s’orienter vers des solutions dictées par la raison, le législateur s’est entêté dans une logique de protectionnisme, tournant le dos au principe du fair use et tendant à instaurer un dictat du copyright, bien en phase avec l’ACTA.

Aujourd’hui, force est de constater que les ayants-droit ont mentis aux politiques, la Cour des Comptes américaine commence d’ailleurs à s’intéresser aux chiffres gonflés du piratage. En France, point encore de tel scandale, et on se souvient pourtant de Christine Albanel en train de marteler que la France était championne du monde du piratage (une albânerie de plus). Non seulement HADOPI à l’effet d’un moustique s’écrasant sur la coque d’un porte-avion, mais les mensonges des lobbys de la culture de masse commencent à se voir, et ça à terme, ça signe l’arrêt de mort des perfusions institutionnalisées.

Le constat pour les artistes risque d’être amer, car on peut se demander qui mène qui par le bout du nez. Les politiques ne seraient-ils tout simplement pas servis d’eux pour imposer des restrictions importantes sur les libertés des internautes et commencer à imposer une surveillance généralisée du Net ? Une fois que la boite à outil technique et juridique de l’Etat sera prête, ces derniers seront les grands oubliés, et ils auront réussi le tour de force de passer complètement à côté d’une juste rémunération que proposait la licence globale.

Publié le

HADOPI : la négligence caractérisée définie dans un décret d’application

En France, on a pas peur du ridicule, vraiment pas. Le délit de négligence caractérisée est une émanation de  la Loi n°2009-669 du 12 juin 2009 favorisant la diffusion et la protection de la création sur Internet, plus connue sous le nom guignolesque d’HADOPI (Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet). La négligence caractérisée vient donc d’être définie dans le « Décret n° 2010-695 du 25 juin 2010 instituant une contravention de négligence caractérisée protégeant la propriété littéraire et artistique sur internet« . C’est un « petit » décret, avec pas trop de mots, juste ce qu’il faut pour définir l’indéfinissable, et surtout pour éviter de passer pour encore plus débile qu’il ne l’est déjà.

Avant de rentrer au coeur du troll, je vous invite à jeter un oeil sur ce que les députés qui ont voté HADOPI n’ont pas lu…

Alors ça raconte quoi ?

Ça raconte en gros que madame Michu va devoir sécuriser « sa connexion ». Mais le législateur se garde bien de définir ce qu’est une connexion à Internet… ça parait tout con comme ça mais, si je sais sécuriser ma machine, il m’est par exemple impossible de sécuriser la box de mon fournisseur d’accès, je n’en ai d’ailleurs pas le droit. Et quand je signale des horreurs sur les sites de certaines personnes pouvant conduire à la compromission de ma propre machine, ces derniers n’ont souvent même pas la courtoisie élémentaire de me répondre… La négligence des uns s’arrête t-elle là où commence celle des autres ?

Allez on va jouer un peu ensemble. Pour m’assurer que vous avez tous bien compris les tenants et les aboutissants de ce décret, je vous propose un petit quizz :

Question pour un champion numéro 1 : où s’arrête la connexion Internet que je suis sensé sécuriser ?

  • Réponse A : à ma machine ?
  • Réponse B : à ma box ?
  • Réponse C : au noeud de raccordement de mon opérateur ?
  • Réponse D : au site web que je visite ?

Question pour un champion numéro 2 : où sont les spécifications du dispositif de sécurisation que la HADOPI devait agréer ?

  • Réponse A : parties chez Orange avec Christine ?
  • Réponse B : sur un post-it accroché à la machine à café de la rue de Texel ?
  • Réponse C : DTC (Dans Ton Cloud) ?
  • Réponse D : la réponse D ?

Question pour un champion numéro 3 : Si ma machine est infectée par un trojan, un keyloger ou un backdoor malgré les 5 euros par mois que je paye à mon fournisseur d’accès et que moins d’un an après mon premier avertissement, elle est réutilisée à des fins de contrefaçon je suis :

  • Réponse A : un internaute comme les autres ?
  • Réponse B : une victime ?
  • Réponse C : un coupable ?
  • Réponse D : un con ?

Question pour un champion numéro 4 : Pour HADOPI, Nathalie Kosciusko Morizet a :

  • Réponse A : bien fait son travail et j’ai lu tous ses tweets ?
  • Réponse B : j’aime bien les pépitos ?
  • Réponse C : été quasi neutre ?
  • Réponse D : Natha qui ça … ah … la soeur de Pierre ?

Question pour un champion numéro 5 : Le délit de négligence caractérisée est :

Question pour un champion numéro 5 : En l’absence de dispositif de sécurisation agréé, je peux sécuriser ma connexion en :

  • Réponse A : mettant du web sur ma Wi-Fi ?
  • Réponse B : me payant un VPN chiffré SSL ?
  • Réponse C : balançant mon ordinateur par la fenêtre ?
  • Réponse D : la réponse D ?
Publié le

HADOPI : l’important c’est d’y croire

Toi aussi la HADOPI te fait poiler ? Roooh comme tu es taquin… !

Pascal te demande d’y croire !

D’ailleurs, dés que tu recevras un mail, tu t’empresseras d’aller le poster sur Facebook, avec ses entêtes complets pour qu’on voit bien que toi au moins c’est pas un fake que tu as reçu… c’est un vrai ! … petit veinard… tu vas avoir le droit de le contester ! Tu vas pouvoir superpoker tes 842 contacts pour te la péter et partager ta barre de fou rire avec le monde entier ! Si avec ça tu leur fous pas la trouille à tes contacts !

Puis tu vas aussi pouvoir poster tes 3 mails de contestation, tes 2 mails de confirmation de contestation et tes 4 mails de demande de réponse sur la procédure à suivre pour sortir de la base de données de la HADOPI (conservée 18mois, soit 50% de temps en plus que les logs d’un FAI)… avec les 50 000 Facebookiens qui vont recevoir ce mail, ça nous fait (3+2+4)*50 000 + 50 000, soit 500 000 mails publiés sur Facebook ! … vous allez voir que Facebook va demander à la HADOPI de payer une partie des frais de stockage sur son cloud … La campagne de pub qui tue ! Avec ça, c’est même plus la peine que la HADOPI sponsorise l’équipe de France de foot. Bon par contre, les 450 000 mails par jour de contestation et de demandes d’informations complémentaires, il va falloir y répondre. Alors on fait comment ? J’ai entendu dire qu’à Madagascar on pouvait trouver une sous-traitance qui ne plomberait pas trop les finances publiques. Sinon il y’a aussi ce petit script perl qui me semble assez adapté à la situation, le Bastard Operator From Hell excuses generator.

Sacré veinard de Facebookien, comme tu vas te poiler ! Pour « enlarge ton network », tu vas aussi pouvoir mettre en copie de ton mail tous les députés qui ont voté HADOPI, juste pour leur confirmer que leur truc « ça marche vachement bien ».

Ne te limite pas Facebook surtout, si tu reçois un mail de la HADOPI, si ce n’est pas déjà fait, ouvres toi un compte Twitter, tu te rends pas compte ?! Tu pètes direct 500 followers avec un mail de la HADOPI ! … la terreur sera multicanal ou ne sera pas !

D’ailleurs ce truc ça DOIT te foutre la trouille, si ! c’est obligé ! Hey, c’est pas des rigolos les mecs … ils vont balancer 18,25 millions d’ip par an ! … soit plus qu’il n’existe d’abonnements haut débit en France ! Même les inuites chient dans leur froc !

Sacré Pascal ! Allez je plaisante… On est tous morts de trouille, elle fonctionne vachement bien ta pédagogie 😉