Articles

Publié le

La super hyper giga haute autorité pseudo indépendante des intertubes… c’est maintenant

Une véritable catastrophe pour Internet semble être en route. Matignon aurait demandé à Arnaud Montebourg, Aurélie Filippetti et Fleur Pellerin d’étudier les modalités d’un rapprochement entre le CSA et l’ARCEP, et probablement l’HADOPI également même s’il n’en est pas encore explicitement fait mention. Dans son communiqué, le Premier Ministre s’exprime en ces termes :

« Face à la convergence des infrastructures numériques, des services et des contenus qu’elles acheminent, des réseaux et des services fixes et mobiles, et des terminaux à l’usage du public, il est aujourd’hui essentiel de s’interroger sur l’efficacité des modes de régulation des communications électroniques et de l’audiovisuel, à l’heure où les contenus audiovisuels sont de plus en plus diffusés par l’internet fixe et mobile. En particulier, la diffusion des programmes audiovisuels acheminés par voie hertzienne est assortie d’une régulation des contenus destinée notamment à en assurer la qualité et la diversité, alors que les contenus diffusés via internet font l’objet d’une régulation plus limitée et parfois inadaptée« .

Internet, ce machin dont personne ne sait quoi faire

Ça ne fait jamais de mal de le répéter, Internet est un bien commun. En France cependant, aucun gouvernement n’a su lui attribuer la place qui lui convient. Internet a toujours été une dépendance plus ou moins directe du ministère des finances et du ministère de la culture. Internet, c’est une patate chaude. Reconnu par le conseil des sages comme un outil essentiel à l’exercice de la liberté d’expression. Aujourd’hui encore, le gouvernement au pouvoir ne voit en Internet qu’une sorte de vache à lait qu’il va bien falloir traire. Mais au lieu de traire la vache, ce dernier marque une obstination à traire le veau. Oui internaute, c’est bien de toi que je parle, c’est bien toi le veau… et on s’apprête à te traire. Pas financièrement, ça ce sera pour les Google, Youtube et autres gros consommateurs de bande passante. Du moins pas directement, car ça, c’est donner le feu vert aux FAI pour vous facturer l’utilisation de Google ou Youtube (en plus de celle d’Internet). Ne riez, pas ceci existe déjà dans les forfaits de téléphonie mobile. Mais il y a pire : c’est vos libertés que l’on va traire.

Les hautes autorités pseudos indépendantes

Commençons par les acteurs, ces « hautes autorités » vachement indépendantes et dépendant surtout des nomminations du président et de la majorité parlementaire en exercice. Pour le sujet qui nous anime aujourd’hui, elles ne sont pas deux, mais 4 (il y en a deux en embuscade) :

  • L’ARCEP, nous le savons, c’est le « gendarme des telecoms » dont le rôle aujourd’hui c’est surtout de demander chaque année aux fournisseurs d’accès Internet et aux opérateurs telecom « Alors ton réseau cette année il marche bien ?« . Une fois que l’opérateur lui a répondu « oui, ça fonctionne au poil« , l’ARCEP consigne dans son rapport annuel « l’Internet en France est le meilleur du monde, notre ADSL fonctionne tellement bien que personne ne veut passer au très haut débit« .
  • Le CSA (Conseil Supérieur de l’Audiovisuel) de son côté régule le « business des ressources rares ». Le CSA est en fait une sorte d’étiqueteur de rayon du supermarché des fréquences hertziennes, c’est tout de suite moins sexy que Conseil Supérieur de l’Audiovisuel, mais en pratique, son boulot, c’est étiqueteur.
  • L’ANFR (l’Agence nationale des fréquences) : comme la technique et le CSA, ça fait 4, il faut bien une autorité qui sait de quoi elle cause. Une fois que le CSA a mis un prix sur une fréquence, techniquement, c’est l’ANFR qui les attribue et vérifie qu’on déborde pas sur les fréquences du voisin.
  • L’HADOPI : celle ci je ne vous ferai pas l’affront de vous la présenter. Pour résumer, nous nous arrêterons sur la définition suivante : « la machine à spam la plus chère de l’histoire d’Internet ».

Chronologie d’une catastrophe annoncée

Ce rapprochement entre entités de régulation est malsain à bien des égards mais il n’est pas nouveau. Je vous en parlais dans ces pages en 2010, mais ça date en fait de fin 2006.

19 décembre 2006 : le rapport parlementaire Blessig ouvre les hostilités en préconisant un rapprochement entre régulateurs. Les concernés sont le CSA, L’ARCEP, et l’ANFR. Déjà en 2006 l’argument était d’amorcer le virage de la convergence entre Internet, téléphonie et télévision. On ne pouvait à l’époque lui prêter de mauvaises intentions.

Cette idée fut vite récupérée à d’autres fins que la simple convergence vers laquelle tout le monde s’accorde. L’un des plus fervents partisans de cette incongruité n’était autre que Frédéric Lefèbvre… en soi déjà, ça a de quoi foutre la trouille quand on se souvient de sa conception assez particulière d’Internet.

24 Novembre 2008 : Frédéric Lefèbvre présente un cavalier législatif (un article additionnel qui n’a rien à voir avec la choucroute) dans une loi sur l’audiovisuel public. Il vise à Introduire un peu de CSA dans Internet. Il défend son point de vue en arguant d’une nécessité de ce rapprochement pour la protection de l’enfance. Il le fit en en ces termes :

« Un nombre important de services de communication au public en ligne propose des contenus audiovisuels. Néanmoins, seuls les services de télévision et de radio ainsi que, grâce à la présente loi, les services de médias audiovisuels à la demande, offrent de réelles garanties en matière de protection de l’enfance et de respect de la dignité de la personne, grâce à la régulation du Conseil supérieur de l‘audiovisuel (CSA), qui dispose d’une vaste expérience dans ce domaine. »

« Il est donc proposé d’assurer, selon des modalités adaptées au monde de l’internet, la protection des mineurs par les autres services en ligne qui fournissent, dans un but commercial, des contenus audiovisuels à la demande. Cette protection doit être assurée notamment sur les sites de partages de vidéo dès lors que l’éditeur du service assure lui-même un agencement éditorial des contenus générés par les internautes. Ces modalités feront largement appel à l’auto-régulation. Le CSA pourra, après une large concertation avec les acteurs concernés, élaborer une charte de protection de l’enfance sur ces services et délivrer des labels à ceux d’entre eux qui la respecteront. Afin d’assurer l’efficacité de ce dispositif, il sera demandé que les logiciels de contrôle parental que les fournisseurs d’accès à internet doivent proposer à leurs abonnés, en application de la loi du 21 juin 2004 pour la confiance dans l’économie numérique, soient en mesure de reconnaître ces labels pour filtrer – si les parents le souhaitent – les sites qui n’en possèdent pas. »(…)

« Par ailleurs, il est proposé, par souci de cohérence et d’équité, que les services mentionnés ci-dessus, qui pourraient être définis comme des « services audiovisuels de partage et de complément », participent également au financement de la production d’œuvres cinématographiques et audiovisuelles dès lors qu’ils font concurrence aux autres services audiovisuels à la demande qui contribuent à ce financement. »

Décembre 2008  : Manque de bol, la protection de l’enfance n’avait su trouver une oreille assez attentive, le Frédéric passe donc la seconde… en fait non, il passe direct en cinquième avec nos fameux violeurs psychopathes nazis proxénètes qui planquent des médicaments contrefaits dans les armes  (à cette époque Frédéric nourri des ambitions autres que celle de député par concours de circonstance). Il revient donc à la charge avec sa fameuse tirade :

« La mafia s’est toujours développée là ou l’État était absent ; de même, les trafiquants d’armes, de médicaments ou d’objets volés et les proxénètes ont trouvé refuge sur Internet, et les psychopathes, les violeurs, les racistes et les voleurs y ont fait leur nid  » .

Et d’enfoncer le clou pour aller dans le sens d’une « régulation » :

« L’absence de régulation du Net provoque chaque jour des victimes ! Combien faudra-t-il de jeunes filles violées pour que les autorités réagissent ? Combien faudra-t-il de morts suite à l’absorption de faux médicaments ? Combien faudra-t-il d’adolescents manipulés ? Combien faudra-t-il de bombes artisanales explosant aux quatre coins du monde ? Combien faudra-t-il de créateurs ruinés par le pillage de leurs œuvres ? Il est temps, mes chers collègues, que se réunisse un G20 du Net qui décide de réguler ce mode de communication moderne envahi par toutes les mafias du monde  ».

Le Frédéric, il avait bien envie de te le réguler ton Internet, de te le civiliser même. La mafia, les psychopathes, les violeurs, les pédophiles, les terroristes… si avec ça tu veux pas que je te régule, « comment comment veux-tu que je t’#@!%$ule ?  ».

Mi-Janvier 2011 : Eric Besson reprend la patate chaude d’Internet de l’économie Numérique, un ex-secrétariat d’Etat noyé quelque part entre le ministère de la culture et Bercy. Il émet alors une fausse nouvelle idée en ajoutant une autre autorité, il s’agit maintenant de fusionner non pas deux mais 3 hautes autorités : l’ARCEP, le CSA et l’ANFR… comme en 2006. Sacré Éric, et avec ça il a voulu nous faire croire qu’il bossait. Bon ok, il a un peu plus bossé que NKM en demandant l’interdiction d’héberger Wikileaks en France (Eric Besson échoue avec un certain succès, puisqu’en 2012, la France a finit avec grand mal à dépasser la Roumanie en taux de pénétration du THD (très haut débit).

Avril 2012 : Michel Boyon, président du CSA, nous explique sa conception d’un Internet régulé à la sauce CSA, et il pue son Internet, il n’est pas que régulé, il est surtout fiscalisé. Il l’exprime en ces termes :

« on ne pourra pas indéfiniment faire coexister un secteur régulé, celui de l’audiovisuel, et un secteur non régulé, celui d’Internet  »

Pour lui la convergence est un danger et seul le CSA pourra voler au secours des chaines de télévision car le développement des téléviseurs connectés, toujours selon ses propos, créent :

« une menace pour l’équilibre économique des chaînes  ».

Une fois de plus, on sent bien qu’il n’est plus question de « régulation » mais de fiscalisation. Le CSA son truc à lui c’est les pépettes rien que les pépettes et tout pour les pépettes.

Ensuite, un ange passe, Internet fait la fête, François Hollande est élu, on se dit qu’HADOPI du Fouquet’s c’est bientôt terminé, que la Neutralité du Net sera bientôt inscrite dans la loi… bande de gros naifs.

Début juillet 2012 : Après la fête, la gueule de bois… Aurélie Filippetti sur RTL émettait l’idée d’une extension de redevance sur l’audiovisuel public aux écrans d’ordinateurs ! Taxer un support matériel d’accès indispensable à Internet au lieu de taxer les bidules box des FAI qui donnent accès à cet « audiovisuel public »… déjà, ça ne sentait pas bon du tout. Le projet se fait plus précis, le gouvernement veut taxer Internet, la convergence média n’est en fait qu’une convergence fiscale déguisée.

Mi-juillet 2012 : sur Reflets je tentais d’expliquer pourquoi un tel rapprochement était une erreur incommensurable guidée par un appétit fiscal au risque de dynamiter un bien et un intérêt commun.  Au final, ni l’État, ni les entreprises qui pensent « être Internet », ni les internautes qui le sont vraiment (Internet), on t quelque chose à y gagner.

22 juillet 2012 : toujours sur Reflets, cette fois, c’est Fleur Pellerin qui annonce la mise à mort de la neutralité du Net, pour elle, ce machin est un concept bien américain fabriqué de toutes pièces pour favoriser les américains. Ça a mis du monde en colère chez nous, Fabrice Epelboin en tête.

Un rapprochement qui s’appuie sur deux erreurs techniques

L’argument principal d’un tel rapprochement, c’est ce qu’on appelle la convergence. Entendez convergence du média des médias Internet avec les média télévision, radio ou tout ce qui peut être allègrement taxé usuellement mais que l’on a beaucoup de mal à taxer sur Internet.

Internet ne converge pas, il est, avec sa neutralité, la condition indispensable à toute convergence.

La première erreur, c’est la définition que l’on pose sur le terme « convergence » appliqué à Internet. Ce que l’on appelle convergence chez quelques technocrates, les techniciens eux, appellent ça une absorption. Le terme est d’ailleur mal choisi, mais Internet est devenu la glue, le réceptacle de ces médias. Il offre des ressources non rares, ces mêmes ressources autrefois rares, qui en d’autres temps, justifiaient l’existence d’une autorité comme le CSA. Il faut bien comprendre que les ressources rares sur Internet, comme l’attribution d’une fréquence hertzienne, ça n’existe pas… Sur Internet, les ressources rares, ce sont des noms de domaines et des blocs IP comme je l’expliquais ici. Mais là encore, ce n’est surement pas au CSA de les gérer, c’est des jouets pour les grands ça, pas pour un étiqueteur de supermarché. Les ressources rares d’Internet ont un truc bien à elles qui est génial :  quand il n’y en a plus et bien il y en a encore.

La seconde erreur (en rapport avec la première à cause des ressources rares) c’est une incompréhension technique de ce qui rentre et qui sort d’un tuyau et qui tient en deux notions : le broadcast et le multicast.

Le broadcast, c’est comme ça qu’un fourniseur d’accès à Internet vous vend de la VOD ou vous propose 4 fluxs HD simultannés. Le FAI émet, l’internaute reçoit, point final. Le FAI appelle ça pudiquement un service géré, un internaute averti appellera ça du minitel en 16 millions de couleurs.

Le multicast, c’est un peu plus fin, c’est la définition même d’Internet, dans lequel chaque Internaute peut recevoir ce qu’il demande à Google, Bing, Yahoo, Bittorrent ou Usenet ce qu’il SOUHAITE et non ce que son FAI lui PROPOSE DE CONSOMMER MOYENNANT FINANCES. Seconde subtilité, notre internaute qui fait de l’IP multicast comme monsieur Jourdain fait de la prose, il peut aussi et surtout émettre des données. Et oui, ça complexifie la donne de la régulation de comprendre qu’il y a en Internet le moyen de broadcaster en basant sur un réseau par définition multicast. Il y a aussi une difficulté à comprendre qu’en IP, sur notre Internet « moderne », le broadcast dépend du multicast.

Notre nouvelle autorité aura donc pour rôle de réguler quoi au juste s’il n’y a pas de ressources rares à réguler ?

La réponse est dramatiquement simple : elle va réguler les contenus, les contenus que VOUS produisez, que NOUS produisons. Cette autorité ne va pas réguler des entreprises qui seront autant de netgoinfres à l’affut du moindre brevet pour s’accaparer commercialement un bout d’Internet, cette autorité, elle va NOUS réguler.

Fiscalisation, protection de la propriété intellectuelle et protection de l’enfance sont les trois nouvelles mamelles de la surveillance du Net

La protection de l’enfance, c’est le cyber cheval de bataille du CSA. L’autorité est d’ailleurs parfaitement claire sur la question, elle s’est maintes fois prononcée pour une labellisation des sites web, et même, IMPOSER le FILTRAGE de sites non labellisés ! On voudrait tuer Internet en France qu’on ne pourrait pas mieux s’y prendre. Fusionner ARCEP, CSA, ANFR, HADOPI, et pourquoi pas la SPA ? (Internet est plein de zoophiles!).

Ramener Internet, un bien commun, sur lequel nul gouvernement, nulle entreprise n’a de droit de cuissage, à un nouvel eldorado fiscal, est probablement la plus belle escroquerie intellectuelle que les politiques peuvent jouer aux internautes.

Il ne viendrait pas à l’idée du gouvernement de créer une haute autorité de régulation de l’air que nous respirons, c’est pourtant bien ce qu’il s’apprête à faire avec Internet. La première escarmouche gouvernementale sur le terrain fiscal, c’est ce qu’annonçait Aurelie Filippetti en voulant étendre la redevance sur l’audiovisuel public aux écrans d’ordinateurs. Il ne lui serait pas par exemple passé par la tête l’idée de renforcer la fiscalisation des biens culturels vendus par les fournisseurs d’accès Internet qui par ce biais menacent en permanence la notion de neutralité du Net, une notion qui est un dû aux internautes et non une option comme certains aiment à tenter de nous le faire gober… oui Orange, c’est bien de toi que je parle.

Une autorité de régulation des médias sur Internet, c’est un peu comme si on créait une autorité de régulation de la presse. Quel rôle positif pourrait jouer une telle autorité ? Aucun. Son rôle est exclusivement fiscal. Cette fiscalisation va permettre la petite mort en France de la Neutralité du Net. Les industriels n’auront plus qu’à se partager le gâteau sous la bienveillante connivance de cette nouvelle super hyper giga haute autorité pseudo indépendante.

– « Et alors ? Ça va me coûter combien mon truc gratuit ? »
– « Oh trois fois rien, juste ta liberté d’expression »

Fiscal ? Vous avez dit juste fiscal ? Oui… enfin… pour le moment. Vous vous doutez bien qu’en embuscade se cache l’HADOPI et surtout, les moines copistes de DVD et tous les adorateurs de saint-copyright. Concentrer tous les pouvoirs dans une seule autorité pseudo indépendante qui mettra le paquet sur la chasse aux téléchargeurs de MP3 ? « Jamais » vous dira un gouvernement socialiste (quoi que)… mais que se passera t-il au prochain changement de majorité ? Et bien le gouvernement socialiste aura créé malgré lui (ou pas) un splendide outil de surveillance et de censure d’Internet dont il remettra les clés à ces moines copistes de DVD.

Ce genre de rapprochement, c’est une idée vraiment lumineuse, surtout quand on sait comment sont constitués nommés les collèges de ces autorités.

 

Publié le

De l’engagement

Syria-300x300Nos récents articles sur Reflets, celui sur Syria News, et celui sur le Parlement syrien, comme  chaque fois lorsque l’on parle de la Syrie, ont soulevé quelques commentaires exprimant une certaine perplexité. Ces commentaires sont parfois parfaitement construits et expriment des interrogations et  des réserves parfaitement légitimes. Nous essayons donc de répondre à ces commentaires, et c’est aussi un peu l’objet de ce billet. D’autres, plus péremptoires se veulent des leçons de geopolitique de comptoir, dispensées par des personnes qui, sous prétexte d’avoir rencontré deux syriens à leurs dernières vacances au ClubMed affirment que notre démarche est motivée par d’obscurs intérêts, que nous serions à la solde de la CIA, du Mossad, du MI6, quand nous ne cherchons pas à instaurer la Charia dans le Proche-Orient.

Notre réalité est cependant bien différente. Nous avons engagé une forme de lutte pacifique qui se limite en une réponse mesurée à ce qu’applique le gouvernement syrien en terme de propagande, de répression et de surveillance électronique.

Le gouvernement syrien, avec l’aide d’entreprises locales ou occidentales a décidé d’exercer une surveillance active de son réseau. Le but est clair, il s’agit de :

  • prévenir la diffusion de toute information qui lui serait défavorable ;
  • localiser, arrêter, torturer les émetteurs de ces informations, de ces documents vidéo ;
  • mener une propagande active à la gloire de la personne de Bachar Al Assad, tyran népotique au culte de sa propre personne bien affirmé.

Les réseaux de propagande du régime syrien sont internationaux, à l’image du site Infosyrie.fr, « l’Agence de ré-information » sur l’actualité en Syrie, proche de l’extrême droite française et financé par le régime syrien lui même.

☠ Pourquoi s’engager ?

En ce qui me concerne, et ceci n’est probablement pas valable pour d’autres qui s’engagent eux aussi, je puise ma motivation de nombreux échanges avec des syriens. Certains anti régimes qui ont vu leurs proches massacrés ou persécutés, mais surtout par une majorité de gens qui ne sont ni pros, ni antis, mais qui subissent au quotidien, depuis 18 mois, une guerre civile.

Je ne pense pas personnellement me battre pour une démocratie en Syrie, le terme démocratie étant lui même soumis à interpretation de chacun, même chez nous. Encore faut-il croire en nos définitions de la démocratie, et bien naif faut-il être pour penser que notre conception de cette dernière est transposable n’importe où.

Si je m’engage sur ce terrain cybernétique qui est le mien, c’est d’abord pour essayer de rétablir un équilibre entre un régime qui déploie de gros moyens pour surveiller Internet, et des internautes qui souhaitent accéder à une information que le régime lui refuse.

Puis, et c’est bien la le coeur de mon action, pour apporter des outils et des connaissances nécessaires à l’exercice de la liberté d’expression bafouée de ces internautes. Ceci passe par des outils d’anonymisation sur Internet et parfois, il est vrai, quelques prises de bec peu courtoises avec des « professionnels » qui mettent involontairement la vie de leurs sources en danger. Mais penser que nous faisons ça pour le plaisir de taper sur la presse est parfaitement inexact. C’est en revanche l’impression que ça peut laisser de l’extérieur, attendu que nous ne communiquons, que je ne communique pas sur toutes (nos) mes actions.

Mais par dessus tout, après 18 mois de conflit, il y a cette majorité silencieuse des « ni pour ni contre » qui se sent abandonnée par toute la communauté internationale, ce sont eux que nous n’avons pas le droit de laisser tomber, ce sont eux qui ont probablement besoin d’être considérés.

☠ Pourquoi le Parlement ?

C’est un symbole avant tout, derrière ce symbole, il y a un message informationnel, n’en déplaise à certains. Ce message, c’est d’offrir des données brutes, des accès à des comptes de dignitaires syriens. Le message est dual, il s’adresse au peuple syrien : « Des personnes surveillent vos surveillants », et il s’adresse à la presse car nous offrons l’accès à des données brutes, factuelles, des correspondances, la capacité pour chacun s’il en a la curiosité de se faire sa propre opinion d’un conflit complexe.

Penser que nous agissons au doigt mouillé en fonction des like Facebook ou des hashtags Twitter est une erreur. Nous agissons pour le réseau, et non en fonction du réseau.

Publié le

Syrie / Liban : dis moi avec qui tu t’interconnectes, je te dirai qui tu écoutes

Internet est un réseau public, basé sur des interconnexions entre opérateurs. Ces interconnexions sont libres, elles dépendent des infrastructures disponibles, donc des bonnes volontés ou des appétits commerciaux de sociétés ou d’institutions, souvent un savant mix des deux, des quatre. Il y a cependant un autre paramètre moins avouable : la doctrine militaire d’une nation en matière de SIGINT (Signal Intelligence, ou renseignement d’origine électromagnétique). Comme Internet est un réseau public, il est aisé de trouver des données concernant les interconnexions optiques assurant la connectivité internationale d’opérateurs ou de pays entiers. Ainsi, il est très simple, pour une personne un peu curieuse, de détecter les particularités de chacun.

On trouvera par exemple assez aisément les fibres optiques transatlantiques indispensables pour que Google et Youtube puissent assurer leurs services en Europe, on découvrira aussi la steppe numérique de Corée du Nord qui assure l’intégralité de son trafic Internet par le biais d’un satellite chinois, ou encore… la connectivité internationale de la Syrie. Mais qui surveille qui au juste ?

La toile

Les câbles sous-marin assurent une énorme partie du transit IP d’un continent à l’autre, d’un pays à l’autre. Il existe des cartes de ces câbles sous-marins, elles sont parfaitement publiques et nous allons voir que concernant la Syrie, elles nous donnent beaucoup d’informations.

La connectivité internationale de la Syrie est principalement assurée par 3 câbles sous-marins, pour une capacité de 11,2 Gbps.

Première information capitale, ces 3 câbles ont un landing point situé au même endroit, dans la ville de Tartous. Étrange coincidence, c’est dans cette ville que la Russie dispose d’une base navale. Des rumeurs insistantes voudraient que la famille al Assad y ait un temps trouvé refuge quand des affrontements se tenaient à Damas. Tartous est une ville côtière stratégique, probablement l’un des meilleurs endroits par lesquels Bachar al Assad pourraient envisager une sortie précipitée s’il trouvait à tout hasard une porte de sortie vers… la Russie.

Mais revenons à ce qui nous intéresse, c’est à dire ces 3 câbles sous-marin :

  • Le premier, UGARIT, d’une capacité de 1,2 Gbps, relie Tartous à Pentaskhinos (Chypres).
  • Le second, ALETAR, d’une capacité de 5Gbps, relie Tartous à Alexandrie (Égypte).
  • Le dernier, BERYTAR, luis aussi d’une capacité de 5Gbps, relie Tartous à Beyrouth (Liban).

BERYTAR a une particularité intéressante, il est une liaison directe et exclusive entre les deux pays. Pour Beyrouth, ce câble est « vital » en terme de connectivité puisque le seul autre câble sous-marin partant de la capitale libanaise et reliant Beyrouth à Pentaskhinos, dispose d’une capacité relativement anecdotique (0,622 Gbps) en comparaison de BERYTAR et de ses 5 Gbps. BERYTAR déssert également les villes libanaises de Saida et Trablous (source).

Les grandes oreilles waterproof… ou pas.

Pour qui veut écouter le trafic entier d’un pays, il faut commencer par créer des points de centralisation. Vous aurez compris que les landing points de transit IP des câbles sous-marin sont une pièce de choix pour qui veut jouer les Amesys en herbe. Où qu’ils se trouvent, particulièrement ceux qui désservent de grandes démocraties, comme, au pif les USA, ces câbles sous marins sont wiretapés, c’est à dire écoutés. Comme il est complexes, sur des très grosses liaisons, de traiter des interceptions en temps réel, les surveillants se retournent vers de l’interception basée sur des listes de mots clés, un peu sur le même principe qu’Echelon, mais en quand même un peu plus élaboré.

Aussi, on sait aujourd’hui surveiller sur ce type de liaisons un protocole particulier, comme Skype, ou des sites précis… comme Youtube. Nous avons publié sur reflets des éléments matériels attestant de cette surveillance. S’il peut s’averer complexe, voir impossible de décrypter toutes les communications Skype, il est en revanche d’une déconcertante simplicité d’identifier une connexion de l’un des deux FAI gouvernementaux syriens entre un opposant et une adresse IP appartenant à des plages IP de l’AFP. Vous comprendrez donc, à la lumière de ces éléments, la colère de certains d’entre nous (les barbus des Intertubes, pas du terrain) quand nous observons l’AFP, écrire en toutes lettres dans ses dépêches qu’elle contacte ses sources via Skype.

Ces dispositifs reposent sur une technologie bien de chez nous dont je vous rabat les oreilles depuis un bon moment, le Deep Packet Inspection, à l’origine destinés à assurer de la qualité de service, à « comprendre ce qu’il se passe sur un réseau » pour reprendre les termes d’Eric Horlait, co-fondateur de Qosmos. Le DPI, est, par extension, devenu l’arme numérique de prédilection de maintes dictatures pour traquer des opposants… ce grâce à l’éthique en toc de quelques entreprises comme Amesys, Cisco, et beaucoup d’autres. D’abord pour de l’écoute légale, en ciblant un certain nombre de connexions, puis, comme le préconise Amesys dans ses brillants exposés, en écoutant l’ensemble des communications d’un pays, en les enregistrant dans une base de données, puis en procédant par extraction.

Quand on est une puissance étrangère et que l’on a pas un accès direct aux landing points assurant la connectivité internationale du pays que l’on veut écouter, on peut par exemple, disposer de navires d’interception dotés de capacités d’écoute des câbles sous-marin. La France dispose de ce type de navire.

Dupuy-de-Lôme, navire collecteur de renseignements d’origine électromagnétique de la Marine nationale française (Source Wikipedia)

La France dispose également d’un autre atout, elle déploie et exploite certains de ces câbles, et certains d’entre eux ont une desserte stratégique, comme par exemple, le récent EIG (Europe India Gateway), en blanc sur la carte ci-dessous, et ses 14 landing points. EIG a été déployé par Alcatel Lucent, et en ce qui me concerne j’ai un peu de mal à croire que l’entreprise franco-américaine ne s’est pas assurée quelques sales blanches dans des landing points bien situés pour être en mesure d’intercepter de manière ciblée une partie du trafic.

L’interception des communications sur les liaisons sous-marines n’est que l’une de la demi douzaine de disciplines que compte le SIGINT. Elle s’avère souvent délicate pour une seule raison : les importants débits de certaines de ces liaisons offrent trop d’informations qu’il devient alors complexe de traiter en temps réel. Aujourd’hui des sondes qui opèrent de l’interception en profondeur de paquets savent écouter des liaisons d’un débit de 100 Gbps. Ensuite, ce n’est qu’une question de capacité de traitement, mais pour cette problématique du traitement, les architectures sont scalables, ce n’est donc pas un frein technologique, il suffit d’y mettre les moyens.

Qui écoute qui ?

BERYTAR est un câble appartenant à 3 entités :

  • Le Ministère des Télécom libanais à hauteur de 46.875 %
  • Le Syrian Telecom Establishment (STE) à hauteur de 46.875 %
  • Arento (Espagne) à hauteur de 6.25 %

Les gens de la STE sont des gens assez sympas, nous allons le voir, qui sous-traitent leurs basses besognes à des entreprises locales qui prétendent faire de la sécurité informatique. Quand on jette un oeil à leur timeline Twitter, on comprend vite ce à quoi ils passent leur temps, la sécurité en question, c’est plutôt de la surveillance qu’autre chose.

Nous savons que le régime syrien a, à maintes reprises, marqué sa volonté de contrôler Internet à des fins de surveillance et de contrôle de l’information : empêcher les activistes d’envoyer des vidéos ou même d’empêcher l’utilisation de solutions d’anonymisation des flux Internet afin de mieux localiser les opposants. OpenVPN est par exemple totalement inopérant en Syrie (notamment grâce à Fortinet), les activistes doivent se tourner vers le réseau TOR, bien plus compliqué à bloquer.

Les réfugiés syriens en Jordanie, en Turquie ou au Liban sont ils en sécurité ? Peuvent-ils communiquer librement ? La réponse courte est :

non, et tout particulièrement au Liban

BERYTAR, le seul tuyau qui relie le Liban à la Syrie est d’une capacité idéale pour réaliser des interceptions globales en temps réel en utilisant de l’inspection en profondeur de paquets (DPI). Si Qosmos dit vrai et qu’il s’est finalement retiré du consortium européen pour le projet ASFADOR, le régime syrien a probablement trouvé, ou trouvera une autre entreprise pour le mettre en place.

Attention, cette information vaut pour TOUS les journalistes qui travaillent depuis les « bases arrières » et se pensent, eux et leurs sources en sécurité. Communiquer avec la Syrie implique donc 2 choses :

  1. le chiffrement des données afin que les autorités syriennes ne puissent pas lire le contenu des communications
  2. l’anonymisation des flux afin que les autorités syriennes ne puissent pas identifier émetteurs et récepteurs.

Tout journaliste qui ne procède pas à ces deux précautions met sa vie et celle de sa source en danger.

Publié le

L’Europe souhaite encadrer l’exportation de ventes d’armes numériques

Si l’on devait compter sur la nature humaine pour faire preuve de la plus élémentaire des morales dans le business, on trouverait bien une entreprise française ou allemande pour aller déployer une centrale nucléaire en Corée du Nord ou en Iran. Si les armes numériques sont moins médiatiquement « dignes d’intérêt » que les centrales nucléaires, jusque là, il faut bien avouer que dans certains pays elles ont fait surement bien plus de victimes.

Il fallait bien une loi pour moraliser ce business d’armes qui ne sont pas même reconnues comme telles. C’est finalement le parlement européen qui envisage de légiférer sur les exportations de ces « jouets » à des gens comme Kadhafi ou Bachar El Assad. Ce n’est pour l’instant qu’une résolution visant à encadrer légalement les exportations d’outils de censure et de cyber surveillance aux régimes autocratiques… un premier pas.

Je suis en revanche profondément choqué par la méprisable indifférence de la classe politiques française sur ce sujet, en dehors d’une infime poignée, à l’image de Christian Paul, personne ne s’est soucié des morts et des torturés grâce à nos belles technologies françaises, financées à coups de millions par le fond stratégique d’investissement pour ne citer que lui. Plus cynique encore, la dizaine de questions de parlementaires n’aura trouvé comme réponse qu’un Gérard Longuet, qui après avoir fait chevalier de la légion d’honneur l’un de ces vendeurs de mort (le PDG d’Amesys/Bull), se paye le luxe de lire dans l’hemicycle  un communiqué de presse rédigé par sa propre fille, directrice de la communication chez Bull.

Je me sens assez partagé sur cette résolution du parlement européen. Je suis dans un premier temps déçu qu’il faille une loi pour ça et que les commerciaux capables de telles ventes arrivent à se regarder dans un miroir. D’un autre côté, j’ai l’impression que le travail fourni avec les copains de Reflets, Telecomix, FHIMT, ou d’Owni pour démonter ces business nauséabonds n’aura peut être pas été du temps perdu. Et on se prend à rêver qu’une loi épargnera quelques vies… Merci au Parlement européen pour cette initiative.
Publié le

BBox Fibre by Numéricable… smells like p0wn4ge

Il y a quelques temps de cela, je vous avais raconté la belle histoire de Sam Synack et de la compromission totale de plusieurs millions de Neufbox. Certes, celle que je vais vous raconter aujourd’hui est moins spectaculaire, mais gageons que ce n’est que par manque de temps. Quand j’ai aménagé dans mon dernier appartement que j’ai voulu et choisi dans un périmètre de moins de 100m du NRA le plus proche, j’ai eu la mauvaise surprise de découvrir que ma ligne était raccordée sur un autre NRA, beaucoup plus loin et que ma dite ligne accusait une atténuation théorique de 82db. La bête, pas folle, avait choisi un immeuble câblé… enfin câblé. Avec des prises pas aux normes, problème que Numericable n’a jamais su détecter et que le technicien Bouygues a finalement refait de A à Z, surpris qu’il était que j’arrive à pinguer le premier routeur avec ce modem Castlenet backdooré et dont le wifi se couche dés qu’il prend 20 flux nntp dans la tête. Vous ferez une expérience sympa si vous êtes chez Numericable, quand le net tombe, scannez votre réseau, vous aurez la petite surprise de découvrir une interface de votre modem non documentée… et faillible.
Ce qui m’amène aujourd’hui ce n’est pas vraiment Numéricable… enfin si en fait, vu que les Bouygues Box vendues pour des « BBox fibres » sans port optique et qui n’ont strictement rien à voir avec de la fibre (oui c’est clairement de la pub mensongère, un peu comme si je disais que ma connexion RTC est une connexion fibre puisqu’elle passe par une fibre transatlantique quand je tweete),  sont en fait connectées au réseau de Numéricable. Bouygues n’opère donc pas son propre réseau.
L’histoire commence comme d’habitude assez banalement, je cherche sur l’interface de la BBox le moyen de rentrer mes propres DNS pour que tous mes équipements puissent en profiter sans avoir à me taper tous les hosts files de mes machines.Et bien sachez qu’une telle interface n’existe pas sur les BBox, ce qui est tout bonnement inadmissible.
Une interface a cependant attiré mon attention, c’est celle des caractéristiques techniques de la ligne câble. On y découvre une IP LAN en 10.x.x.x. Il s’agit en fait de l’IP de votre BBox sur le LAN de Numéricable.. Elle vient donc en sus de votre IP publique et de l’IP sur votre LAN à vous (celle en 192.168.x.x).
Cette ip est accessible dans les caractéristiques de ligne, sans aucune authentification… ce qui est bien mais franchement pas top monsieur BouyguesBox Fibre Canada Dry. Vous voulez que je vous montre pourquoi ?
Avec mon ordinateur j’essaye de pinguer le voisin
$ ping 10.109.88.18
PING 10.109.88.18 (10.109.88.18): 56 data bytes
Request timeout for icmp_seq 0
36 bytes from border1.ge1-4.giglinx-17.sje003.pnap.net (66.151.157.225):
Destination Host Unreachable
Vr HL TOS Len ID Flg off TTL Pro cks Src Dst
 4 5 00 5400 3a8d 0 0000 3c 01 d4ff 10.8.2.150 10.109.88.18
Request timeout for icmp_seq 1
Request timeout for icmp_seq 2
Request timeout for icmp_seq 3
Request timeout for icmp_seq 4
Request timeout for icmp_seq 5
--- 10.109.88.18 ping statistics ---
7 packets transmitted, 0 packets received, 100.0% packet loss
… Ça ne passe pas, rien de plus normal, on voit ce que ça donne avec nmap pour dire bonjour au voisin :
$ sudo nmap -sS 10.109.88.17 10.109.88.18
Password:

Starting Nmap 5.51 ( http://nmap.org ) at 2012-03-21 00:55 CET
Nmap scan report for 10.109.88.17
Host is up (0.033s latency).
Not shown: 997 closed ports
PORT STATE SERVICE
25/tcp filtered smtp
554/tcp open rtsp
7070/tcp open realserver

Nmap scan report for 10.109.88.18
Host is up (0.32s latency).
Not shown: 991 closed ports
PORT STATE SERVICE
22/tcp filtered ssh
23/tcp filtered telnet
25/tcp filtered smtp
80/tcp filtered http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds
554/tcp open rtsp
7070/tcp open realserver
La box du voisin vient de me répondre… et ça, ça commence à être déjà plus surprenant. On va lui demander de se présenter un peu plus en détail.
$ sudo nmap -sS 10.109.88.17 -A 10.109.88.18

Nmap scan report for 10.109.88.18
Host is up (0.13s latency).
Not shown: 991 closed ports
PORT STATE SERVICE VERSION
22/tcp filtered ssh
23/tcp filtered telnet
25/tcp filtered smtp
80/tcp filtered http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds
554/tcp open tcpwrapped
7070/tcp open tcpwrapped

Network Distance: 3 hops

TRACEROUTE (using port 3306/tcp)
HOP RTT ADDRESS
- Hop 1 is the same as for 10.109.88.17
2 624.42 ms 10.109.64.1
3 503.04 ms 10.109.88.18
Tiens, le Traceroute nous en apprend une bien bonne, nous avons un invité mystère sur 10.109.64.1… on va donc voir ce qu’il nous raconte
$ sudo nmap -sS 10.109.88.17 -A 10.109.64.1

Nmap scan report for 10.109.64.1
Host is up (0.18s latency).
Not shown: 994 closed ports
PORT STATE SERVICE VERSION
22/tcp filtered ssh
23/tcp filtered telnet
25/tcp filtered smtp
554/tcp open tcpwrapped
2126/tcp open cops Common Open Policy Service (COPS)
7070/tcp open tcpwrapped
No exact OS matches for host (If you know what OS is running on it, see http://nmap.org/submit/ ).

Network Distance: 2 hops
Service Info: Host: ORL1CC

TRACEROUTE (using port 80/tcp)
HOP RTT ADDRESS
- Hop 1 is the same as for 10.109.88.17
2 525.31 ms 10.109.64.1
Notre invité mystère est donc monsieur QoS. C’est donc la machine à DDoSSer si vous êtes en LowID sur Emule. Le /24 révèle des choses pas toujours très jolies jolies, il semble que quelques box soient carrément en mode open bar…
Nmap scan report for 10.109.64.243
Host is up (0.037s latency).
Not shown: 990 closed ports
PORT STATE SERVICE VERSION
22/tcp filtered ssh
23/tcp filtered telnet
25/tcp filtered smtp
80/tcp filtered http
135/tcp filtered msrpc
139/tcp filtered netbios-ssn
445/tcp filtered microsoft-ds
554/tcp open tcpwrapped
5000/tcp open upnp?
7070/tcp open tcpwrapped
Mais il y a plus inquiétant… A votre avis, il se passe quoi si on dump les paquets pendant une mise à jour de la BBox ? Je n’ai pas tenté le coup pour tout vous avouer. Mais tout ceci ne m’inspire pas franchement confiance, j’ai l’impression d’avoir vu des trucs un peu plus solides que ça niveau réseau d’un FAI.
Publié le

Vers une HADOPI du Jihad ou le jour où Nicolas Sarkozy a baissé son pantalon face au terrorisme

Voilà le billet que je n’avais aucune envie d’écrire. Que ce soit ici sur Reflets ou ailleurs, je n’avais aucune envie de m’exprimer sur l’acte débile d’un con, psychopathe, et assez lâche pour se cacher derrière un dieu pour assassiner ses semblables, des militaires, des enfants. Difficile de ne pas penser aux proches des victimes, de ne pas leur témoigner notre soutien. Des morts gratuites, oui, tout le monde ne peut que condamner de tels actes.

Que dire de certains médias qui nous ont offert un bien pitoyable spectacle ces deux derniers jours, à tenir l’antenne 24 heures sur 24 avec des « on dirait », des « on m’a dit que », des « je crois que », des « je pense que », alors qu’ils ne savaient strictement rien et n’avaient aucune information pertinente à communiquer ? La palme de la nullité pourrait être attribuée à BFM. Saviez vous par exemple que pendant ces heures médiatiques de vide absolu le gouvernement malien essuyait un coup d’état ?… Non, les chaines de télévision préféraient nous abreuver de vide à l’affut de la moindre goutte de sang, gênant probablement les opérations des forces de l’ordre.

Le pétage de plomb de cet abruti ne pouvait pas tomber à un pire moment… en pleine campagne électorale. A partir du moment où le mot terrorisme a été lâché par les journalistes, je m’attendais, je ne sais pas pourquoi, à ce qu’un pseudo politique, une Nadine Morano, une Muriel Marland Militello, désigne Internet comme le coupable du produit de ses propres échecs. Mais campagne présidentielle oblige, cet honneur est revenu à Nicolas Sarkozy. Comme si le bilan de l’UMP n’était déjà pas assez risible.

Par delà ce que m’évoque le ridicule des propos de Nicolas Sarkozy qui s’est empressé de déclarer que toute personne qui visiterait des sites Internet faisant l’apologie du terrorisme serait pénalement punie, soit disant pour lutter contre l’endoctrinement…

C’est vrai que niveau endoctrinement, l’UMP en connait un rayon. Prenons au hasard le cas clinique bien connu dans nos pages de la député Muriel Marland Militello et voyons ce que ça donne en image…

Et oui… l’endoctrinement c’est moche hein? Et alors ? On va interdire tous les sites de l’UMP parce qu’une député confond Staline avec Nicolas Sarkozy ?

Mais il y a bien pire. Nicolas Sarkozy par cette déclaration, une fois de plus, baisse son pantalon devant le terrorisme. Il baisse son pantalon devant un fou en appliquant des lois de terreur à l’ensemble de sa population, par pure démagogie. La réaction du Président est la pire que l’on puisse imaginer.

Techniquement quand des illuminés se donnent rendez-vous sur un forum, l’avantage, c’est qu’on sait où il sont. Ils sont faciles à surveiller, à infiltrer. Bloquer des sites web, en plus d’être aussi crétin que de faire fermer les bibliothèques dans lesquelles on trouve Mein Kampf, on sait en outre que ça ne fonctionne pas. J’en avais déjà parlé à l’époque de la LOPPSI. Ces milieux, c’est pas sur leurs propres forums qu’ils recrutent ! C’est sur des espaces bien publics, comme les réseaux sociaux, et dans le cas précis du Jihad, c’est sur FACEBOOK, YOUTUBE, DAILYMOTION… que ça se passe! Concernant l’inéficacité du blocage de sites, voici un tableau récapitulatifs des techniques que pcinpact avait publié un moment et qui est toujours d’actualité.

Donc au lieu de les bloquer, ce que vient de proposer Nicolas Sarkozy, c’est une sorte d’Hadopi du Jihad, avec un TMG qui va devenir la police de la pensée du Net et qui sera chargée de coller des PV à toute personne qui voudra chercher à comprendre ces milieux… ou par exemple aux journalistes qui cherchent à les infiltrer pour les étudier. Ridicule et consternante, la déclaration électoraliste de Nicolas Sarkozy sera au mieux ce que je viens de vous décrire, au pire l’argument idéal pour placer de puissants moyens de surveillance en coeur de réseau qui seront autant de dispositifs qui violeront H24 les correspondances privées de tout le monde, en se passant parfaitement de l’avis d’un juge.

Ces outils existent, la France est même pas loin d’être championne du monde en la matière. Ces outils on les a bien testé en Libye grâce à Kadhafi, maintenant que ça fonctionne, pourquoi pas faire de la France une vitrine internationale de la surveillance de masse.

Ma conviction c’est donc qu’au lieu du blocage, si Nicolas Sarkozy est élu, nous aurons droit à ce qu’Orwell lui même n’imaginait pas. Dans la droite continuité de son oeuvre numérique sur ces 5 dernières années, comme le fichier des gens honnêtes s’il ne fallait citer que lui. Bref, la déclaration de Nicolas Sarkozy n’est qu’une manière de vous expliquer que non seulement ces outils sont déjà en place, mais qu’on va maintenant s’en servir pour écouter TOUTE la population…

Je ne sais pas ce qui m’écoeure le plus entre cette démagogie et l’honteuse récupération électoraliste. C’est brillant monsieur le président, vous venez de renoncer, vous venez de faire gagner la terreur en cherchant une fois de plus à restreindre de manière idiote les libertés de l’ensemble des citoyens, vous venez de céder face à un illuminé… il faut partir maintenant.

Publié le

Social DDoS : merde on a perdu Bachar #OpSyria

Previously dans OpSyria : Il a quelques jours, nous dévoilions sur Reflets quelques photos de vacances de notre dernier séjour en Syrie. Nous sommes tombés sur une bonne dizaine de machines que nous suspections d’avoir été mises en place l’été dernier par l’italien Area Spa, ce peu avant qu’il se fasse prendre la main dans le pot confiture par Bloomberg. Il a depuis, semble t-il dénoncé le contrat, ce qui n’empêche pas les appliances qui opèrent la censure en Syrie de ronronner. Le souci des admins de Bachar, c’est qu’ils sont pas supers doués. En fait c’est même de belles quiches.

 

En jouant un peu avec un proxy BlueCoat de la Syrian Computer Society, je me suis rendu compte d’un phénomène paranormal. Je me mets à causer à cette machine. Elle m’explique que que comme tous les vendredi soirs chez Bachar, c’est happy hour sur certains ports :
Interesting ports on 77.44.210.6:
 Not shown: 979 closed ports
 PORT STATE SERVICE
 22/tcp filtered ssh
 23/tcp filtered telnet
 80/tcp open http
 81/tcp open hosts2-ns
 135/tcp filtered msrpc
 139/tcp filtered netbios-ssn
 443/tcp open https
 514/tcp open shell
 1720/tcp filtered H.323/Q.931
 1723/tcp filtered pptp
 2000/tcp filtered callbook
 3128/tcp open squid-http
 4444/tcp filtered krb524
 5060/tcp filtered sip
 8000/tcp open http-alt
 8008/tcp open http
 8080/tcp open http-proxy
 8081/tcp open blackice-icecap
 8088/tcp open unknown
 8090/tcp open unknown
 9090/tcp open zeus-admin
Alors pour rigoler je suis allé faire un tour là dessus : http://77.44.210.6:8090/. Et comme avec certains autres ports, me voilà téléporté sur cette URL : http://scs-net.org/files/index.html IP 213.178.225.50). Sans avoir l’oeil super exercé, on se dit que dans ce petit répertoire « files », il est possible qu’on trouve des trucs amusants… ce ne serait pas la première fois. On serait curieux pour moins non ? Notez que le site SCS-NET est celui d’un fournisseur d’accès un peu spécial en Syrie. Créé par Bachar El Assad lui même, il concentre les l33tz de la t34m D4m45… ouais ça fout la trouille. Mais attendez y’a encore plus flippant.

 ---------------------------------------------------------------------------
 + Target IP: 213.178.225.50
 + Target Hostname: scs-net.org
 + Target Port: 80
 + Start Time: 2012-03-10 17:38:20
 ---------------------------------------------------------------------------
 + Server: Microsoft-IIS/6.0
 - Root page / redirects to: /portal/
 + No CGI Directories found (use '-C all' to force check all possible dirs)
 + Microsoft-IIS/6.0 appears to be outdated (4.0 for NT 4, 5.0 for Win2k, current is at least 7.0)
 + Retrieved X-Powered-By header: ASP.NET
 + Retrieved microsoftofficewebserver header: 5.0_Pub
 + Retrieved x-aspnet-version header: 2.0.50727
 + Uncommon header 'microsoftofficewebserver' found, with contents: 5.0_Pub
 + Allowed HTTP Methods: OPTIONS, TRACE, GET, HEAD, POST
 + Public HTTP Methods: OPTIONS, TRACE, GET, HEAD, POST
 + OSVDB-396: /_vti_bin/shtml.exe: Attackers may be able to crash FrontPage by requesting a DOS device, like shtml.exe/aux.htm -- a DoS was not attempted.
 + OSVDB-3233: /postinfo.html: Microsoft FrontPage default file found.
 + OSVDB-3092: /guest/: This might be interesting...
 + OSVDB-3233: /_vti_inf.html: FrontPage is installed and reveals its version number (check HTML source for more information).
 + OSVDB-3500: /_vti_bin/fpcount.exe: Frontpage counter CGI has been found. FP Server version 97 allows remote users to execute arbitrary system commands, though a vulnerability in this version could not be confirmed. http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-1999-1376. http://www.securityfocus.com/bid/2252.
 + OSVDB-67: /_vti_bin/shtml.dll/_vti_rpc: The anonymous FrontPage user is revealed through a crafted POST.
 + 3818 items checked: 13 item(s) reported on remote host
Vous ne rêvez pas ! Un FAI sous FrontPage ! Et un FAI qui hoste le dispositif de censure nationale ! Elle est pas belle la vie ? Du coup, juste pour rigoler j’ai tweeté cette URL : http://scs-net.org/_vti_bin/shtml.exe/aux.htm … et il semble que depuis, le site expérimente quelques petits désagréments, il est injoignable depuis presqu’une heure.

 

Chers admins Frontpage de la SCS, soyez forts dans votre tête, rallumez nous vite ce serveur j’en ai encore 3 ou 4 à tweeter… bisous !
Publié le

Du troll Google vs privacy

Suite à ce billet dans lequel je m’insurgeais contre les positions de deux blogueurs, j’ai eu quelques échanges assez vifs, particulièrement avec l’un d’entre eux, Nicolas Jegoun. Ce dernier a cru bon d’en rajouter une couche me reprochant mon manque d’argumentation dans le billet sus-mentionné, un comble quand on lit ses arguments. Il a cependant pris le temps de coller mon texte dans un éditeur pour compter le nombre de caractères de mon billet en omettant visiblement de le lire comme il l’avoue implicitement dans un troisième billet répondant à l’article de Ju.

Vu que mes commentaires sur son blog semblent se perdre, je vais lui répondre ici, en prenant soin cette fois ci de ne pas poser de lien vers ses billets qui appellent cette réponse, attendu qu’il me reproche de lui envoyer « ma meute »… et oui chers lecteurs, pour ce monsieur, vous êtes une meute. Un meute qui a eu l’affront de poster à tout casser une quarantaine de commentaires, le reste étant ses réponses. Une réaction qui n’est pas sans me rappeler une certaine 3M…

De l’art de bien troller

Cher Nicolas, quand on se lance dans un troll, il y a quelques règles à observer.

La première, c’est de savoir avec qui on troll. Je te montre comment on fait, tu vas voir c’est pas extraordinairement compliqué, même pour toi qui a un blog nommé « aubistrogeek.com » qui tient visiblement plus du bistro que du geek. On commence par se rendre sur l’objet du troll, google.fr par exemple, puis on fait comme ça. Ça va ? C’est pas trop technique jusque là pour toi ? Je ne t’ai pas encore perdu ?

La seconde règle pour bien troller, et là encore c’est du bon sens, c’est qu’il faut être au moins deux pour établir ce que l’on va qualifier de dialogue trollogène. Le dialogue trollogène n’est en soi qu’une variante de ce qu’on appelle communément un dialogue. Il répond donc aux mêmes règles, ce qui implique qu’avant de répondre à un truc, tu lises le texte appelant ta propre réponse. Dire qu’on l’a fait ne suffit pas, il faut le faire, et attentivement, ce qui nous amène à la troisième règle.

Troisième règle… attention cette fois on rentre dans les trucs un peu complexes, on va causer web. Tu tiens un blog, donc tu as peut être vaguement entendu parler d’un truc qui s’appelle « Lien Hypertexte ». Ils sont assez compliqués à utiliser, on les repère généralement dans un texte car ils sont pas de la même couleur que le reste du texte ou sont soulignés. Mais il existe un moyen super pour les repérer, quand on passe le curseur de la souris dessus, ce dernier change de forme ! Et tiens toi bien, si tu cliques dessus, tu arrives sur un autre texte, des fois même sur un site qui n’est pas celui que tu étais en train de lire !

Quatrième règle, quand on se voit opposer une foule d’arguments, documentés, réfléchis, par des personnes qui travaillent ces problématiques depuis des années, quand on paye des impôts pour financer un truc à la con qui s’appelle la CNIL… on prend un minimum de recul avant d’asseiner conneries sur conneries, au risque de se faire incendier par une « meute » impie qui a le toupet de t’expliquer que tu écris du caca, elle aussi avec foule d’arguments que tu balayes d’un revers de main. Mais tu le fais terriblement bien, à coup de tautologies épiques du genre « Le marché de la publicité ciblée va explosée avec les télés qui se transformeront en PC »… t’es dans le marketing toi non ?

Cinquième règle : éviter de prendre les lecteurs pour des cons pour masquer sa propre inculture avec ce genre de phrase : « Le billet d’Olivier est bien trop technique pour intéresser le grand public. Donc la description des moyens techniques ne sert à rien. Quand j’ai fait un billet en montrant l’historique de mes recherches Google, j’étais sûrement plus efficace. » Ce au risque de se faire ridiculiser lors du concours de quéquettes qu’il implique. Pour ta gouverne cher Nicolas, Reflets.info qui est le site sur lequel j’officie le plus, a accusé le mois dernier plus de 300 000 visiteurs uniques qui se sont par exemple passionnés pour le dossier Amesys en Lybie, ou BlueCoat en Syrie. Nos publications sont régulièrement reprises dans des médias mainstream, et les gens que tu juges trop cons pour nous lire sont au final de l’ordre d’un nombre à 7 chiffres. En outre il se trouve que c’est justement sur ce site que ce que tu acquiesces béatement en commentaire à l’article de Ju a été révélé, par mes propres soins plusieurs mois avant le Wall Street Journal… Un truc que tu aurais d’ailleurs pu trouver par tes propres soins en observant la règle 3 du présent manuel de l’art de bien troller for dummies, celle relative aux liens hypertextes.

Sixième règle : pour paraitre sérieux, éviter l’axe du bien contre l’axe du mal et avancer soi même des contres arguments. A ce titre, tu dois bien te douter que je suis le premier à utiliser Google, et certainement plus intensivement que toi. Je suis un utilisateur de Google Music, je « joue » pas mal avec Android, je suis un petit rat des Google labs, j’utilise Google Apps… j’en passe et des meilleures. Ceci fait, théoriquement, de moi une personne, mais je peux me tromper, plus disposée que toi à savoir de quoi elle parle. Si on ajoute à ça que tu avoues même dans ton premier billet ne pas lire les conditions d’utilisation des services de Google, on commence, forcement à se demander pourquoi tu la ramènes. Mais ce n’est pas tout, et celle ci est pour Thierry… Si j’ai effectivement une certaine expertise, je la mets à disposition de mon engagement, et ce dernier, il se situe plus du côté activisme que de « l’Etat ». Car oui cher lecteur tu ne le sais pas mais ton dévoué serait selon certains à la solde de l’État qui me manipulerait ou pire, me paierait pour semer la peur ! Il y en a qui doivent se fendre la poire à la DCRI. Je vais vous décevoir tous les deux, mais non, je ne suis pas « payé par l’Etat pour vous faire peur« , une simple recherche vous le confirmera, voir règle numéro un si vous ne savez pas comment faire. Puis bon, c’est pas comme si vous étiez les premiers à porter ces accusations risibles (vous êtes lecteur du Figaro ?’), j’ai en vrac eu droit à « agent de la DCRI », « Agent de la CIA », et « agent du Mossad », quand je ne suis pas accusé d’être un salafiste voulant renverser le beau régime démocratique syrien (tu es dispensé Nicolas ce dernier lien est trop technique pour toi il pourrait te donner des maux de tête). Bref avec tout ça j’en accumule des points retraite ! En outre c’est assez amusant de se faire traiter de parano et de vous lire partir tous en sucette sur « ouais l’Etat sait tout de nous, moi je fais plus confiance à une entreprise privée comme Google qu’à l’Etat« … c’est totalement ridicule et je vais y revenir dans la seconde partie de mon billet que je n’aurais pas eu à écrire si Nicolas n’avait pas mystérieusement égaré mon commentaire.

Septième règle relative au déni et à la mauvaise foi : des gens qui sont venus commenter ton billet t’ont fait remarquer ta mauvaise foi ponctuée d’éructations du type « ça prouve rien » « ton argument c’est de la merde » « j’attends toujours qu’on m’apporte des preuves » etc… Lorsqu’on te pose un commentaire répondant aux exemples que appelles, on évite de le censurer. La raison en est simple, c’est que ça se termine, de fait en billet, avec une visibilité bien plus importante qu’un commentaire. C’est toi l’expert SEO non ?

Revenons à Google

Ces précisions étant faites, nous allons maintenant passer aux exemples de débordements de Google relatifs à la vie privée.

Commençons par un débordement verbal d’Eric Schmidt qui a tenu les propos débiles que tu tiens toi même cher Nicolas. Le truc ‘est qu’en Europe et en France, il y a certaines lois. Là on te demande pas ton avis, on te demande pas d’être pour ou contre… c’est la loi. Il y a par exemple la CNIL que tu connais probablement au moins de nom. Il y aussi le code des postes et des télécommunications électroniques, mais il y a, surtout, un petit manuel poussiéreux qui s’appelle le code pénal. Alors il raconte quoi le code pénal à ton avis ? Il raconte, article 226-15, que :

Le fait, commis de mauvaise foi, d’ouvrir, de supprimer, de retarder ou de détourner des correspondances arrivées ou non à destination et adressées à des tiers, ou d’en prendre frauduleusement connaissance, est puni d’un an d’emprisonnement et de 45000 euros d’amende. 

Est puni des mêmes peines le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances émises, transmises ou reçues par la voie des télécommunications ou de procéder à l’installation d’appareils conçus pour réaliser de telles interceptions.

J’espère ce que ce jargon juridique n’est pas trop technique pour toi, je te le décode par charité chrétienne au cas où. Ça veut dire que violer les correspondances privées d’autrui c’est mal et que panpan cucul.

Et si tu te réfères à mon précédent article, tu sais quand j’emploie un mot savant, le « deep packet inspection » pour parler de Gmail qui se sert du CONTENU de ton message pour t’afficher des pubs… déjà c’est limite du viol de correspondance… mais pas vraiment puisque ça fonctionne sur base de dictionnaire de mots clés, en utilisant les MEMES DISPOSITIFS que les trucs que tu crains tant quand ils sont dans les mains de l’ETAT, pour procéder, en France, à des ECOUTES LEGALES, sur COMMISSION ROGATOIRE D’UN JUGE. Bah oui Thierry, nous on vit en France, on a des lois, et le BOPE ne déboule pas dans nos favelas en tirant sur tout ce qui bouge. On ne procède pas à des écoutes n’importe comment… bon ok, sauf Amesys des fois… ah non en fait ça leur arrive souvent.

Quand toujours dans le précédent billet je te parle de Google Screenwise et que tu juges bon de t’épargner un clic ici, puis que tu oses ensuite dire qu’on a pas d’argument « sérieux » et que tu ponctues par un « il est évident que ce type parle pour ne rien dire », ça nous laisse le choix entre la mauvaise foi, l’ignorance crasse, ou la bêtise. Dans ton cas il y a probablement un savant mélange des 3.

En clair, ta position à toi Nicolas, c’est de défendre qu’une entreprise privée utilise le même matos que Kadhafi ou Bachar El Assad utilis(ai)ent pour traquer les opposants et les tuer. Désolé, mais je trouve ton raisonnement d’une connerie sans borne cher Nicolas.

Continuons sur Google. Tu as probablement entendu parler de Street View, tu sais peut être qu’en Allemagne des villes et villages ont refusé aux Google cars censées prendre les vues l’accès à leur commune ? Tu sais pourquoi ? Regarde ça ….

Autre petit exemple de rien du tout pendant que tu as l’article 226-15 du code pénal en tête, il y a très longtemps de ça, sur ce même blog, j’avais remarqué un étrange manège d’une voiture autours d’un lieu sur lequel je déployais un réseau wifi, comme je sais encore reconnaitre une antenne wifi d’une antenne radio. Il était évident pour moi que cette voiture faisait un truc pas net avec notre réseau, passant et repassant. J’avais alors pensé à une association militant contre les ondes magnétiques. Et 2 ans plus tard… SURPRIIIIIIISE, on apprend que Google a intercepté « par erreur » des milliers d’emails et de mots de passe en wardrivant gaiement pour les besoins de Street View… C’est dingue non ?

Je vais aller plus loin avec la grande confiance que tu portes dans les entreprises privées américaines (ou pas), car je ne te l’ai pas dit, mais tout troll qui se respecte (et c’est la 8e règle) se solde tôt ou tard par un point Godwin. Le point Godwin est bien l’objet de ce dernier paragraphe. Il s’agit de l’histoire d’une petite startup, dans les années 30, qu’on appelait IBM. Ça se passe aux Pays-Bas, le gouvernement veut financer des lieux de cultes. Il cherche donc un moyen de recenser la population et tombe sur l’américain IBM qui lui informatise tout ça. Quelques années plus tard, les nazis débarquent. Ils sont tout contents, ils ont sur cartes perforées des fichiers qui vont leur faciliter la tâche dans leur oeuvre. Impressionnés, ces derniers contactent IBM… je te laisse lire la suite sur Wikipedia en te recommandant également la lecture du livre d’Edwin Black.

« Bon, je baisse pavillon. Après une bonne heure de recherches je n’ai pas trouvé d’exemple que Google ai essayé ou essaye de nous nuire intentionnellement. » disait l’un de tes lecteurs en commentaire. Et oui, c’est tout le problème, l’enfer est pavé de bonnes intentions.

Pour conclure, deux questions :

Qu’adviendra t-il quand les actuels dirigeants ne seront plus là et que le capital de Google sera disloqué dans une nébuleuse de fonds de pensions obscurs qui ne s’embarrasseront pas des considérations morales auxquelles l’entreprise se tient actuellement ?

Et si Google était la première agence de renseignement (non)gouvernementale américaine ?

Publié le

De la polémique Google sur la vie privée

Il y a des jours comme ça où on se dit, après la lecture d’un billet, et puis d’un autre… qu’après tout, on devrait laisser tomber les combats que l’on juge importants. J’ose cependant croire qu’il s’agissait pour le premier d’un billet totalement irréfléchi, mal inspiré et surtout pas du tout documenté. Un billet, gentiment benêt, et donc excusable. Pour le second, j’ose espérer qu’il s’agit d’un billet autocentré sur le nombril de son auteur, lui aussi non réfléchi et non documenté… soit. Sauf qu’il est tout de même compliqué de ne pas réagir.

 

Au coeur de la pseudo polémique, la collecte et l’exploitation des données personnelles collectées par Google. Tout le Net en parle, la presse y compris, on peut lire un peu de tout et surtout beaucoup de n’importe quoi. Il est toujours délicat de causer de Google. J’admire les personnes qui sont capables d’élaborer une reflexion sur un sujet aussi complexe et se forger leur opinion en une vingtaine de lignes, sans même avoir lu ce que Google dit collecter, ce qu’il en fait, ni souvent d’ailleurs sans connaitre les services proposés par ce qui ressemble de plus en plus à l’étoile noire des données personnelles.

 

Même si l’on fait preuve d’un esprit de synthèse brillant, qu’on pense connaitre Google de A à Z parce qu’on utilise Gmail et Youtube, la question des données personnelles et de la protection de la vie privée méritent une réflexion un tantinet plus poussée.

 

Google est un univers

Il fut une époque où une immense majorité d’utilisateurs d’Internet assimilaient dans leur inconscient l’icône d’Internet Explorer, le navigateur de Microsoft à Internet. Quand vous demandiez à une personne au téléphone de lancer son navigateur, elle vous faisait un long « heeeeiiiiiiiiiinn » et vous finissiez par craquer en lui disant « le E bleu d’Internet », il s’en suivait un « aaaaahhhh » soulagé quasi systématique.

 

Dans l’inconscient de ces internautes (souvent les mêmes, mais toujours une majorité), aujourd’hui Internet = Google. C’est le premier point de contact visuel après le lancement du navigateur. C’est un univers dans lequel des centaines de millions de personne évoluent tous les jours, parfois même sans s’en rendre vraiment compte. Ces internautes :
  • font des recherches sur Internet et de plus en plus souvent avec le navigateur de Google, Chrome;
  • consultent les actualités sur Google News ;
  • lisent leur mail dans Gmail ;
  • regardent des vidéos sur Youtube ;
  • partagent leurs photos de famille sur Picasa ;
  • supertweetpokent de manière géolocalisée sur Google+ ;
  • préparent leurs vacances sur Google Map ;
  • se guident grâce à Google Street View ;
  • téléphonent avec Google Voice, quand ce n’est pas depuis leur téléphone Android ;
  • regardent la TV avec GoogleTV ;
  • écoutent de la musique sur Google Music ;
  • … arrêtons nous ici, la liste des services proposés par Google est interminable.

Un univers qui reste une partie d’Internet

Google n’est pas qu’un moteur de recherche, c’est un univers et c’est un univers, qui contrairement à AOL en son temps a réussi à trouver un juste équilibre pour retenir les utilisateurs, tout en les laissant sur Internet. Ceux qui ont connu AOL comprennent surement de quoi je parle, ce n’est probablement pas le cas pour les plus jeunes, sachez simplement que si aujourd’hui AOL est mort, c’est parce qu’il contraignait ses utilisateurs à accéder à une sorte de gros intranet, ce, exclusivement depuis son navigateur propriétaire, inclus dans son kit de connexion, indispensable pour accéder à cet ersatz d’Internet.

 

Si Google et ses services venaient à « s’éteindre » brutalement, Internet fonctionnerait toujours. En revanche, la majorité des internautes seraient perdus. Ils perdraient des points de repère et devraient se formaliser avec l’utilisation de plein de services, non unifiés sous un logo, une ergonomie, une cohérence.

 

Pour de nombreuses entreprises en revanche, les effets seraient bien plus gênants. Quand Google change son algorithme de positionnement pour afficher ses résultats de recherche, certains e-commerçants très bien positionnés sur une recherche donnée se retrouvent subitement 4 ou 5 pages plus loin sur des produits qui généraient une grosse partie de leur chiffre d’affaires. C’est quelque chose dont je m’étais amusé sur Reflets, de manière un peu méchante. Google a un impact énorme sur le chiffre d’affaires des e-commerçants.

 

Gratuit… en échange de votre vie privée

Google propose des services gratuits pour l’usage couvrant de nombreux besoins des particuliers. Cette gratuité pour le grand public de la quasi intégralité de ses services, leur caractère plus que confortable en terme de volume, d’ergonomie ou de simplicité d’accès sont très appréciés, et à juste titre. Mais la gratuité n’existant, pas, Google a pour modèle économique de financer cette gratuité grâce à sa régie publicitaire Google Ads.

 

Toute la polémique qui agite tant le Net aujourd’hui, porte sur 2 points :

 

  • La premier, médiatiquement le plus anecdotique, concerne une partie de Google Ads, le Google Display Network, les display ads étant l’un des 5 produits d’affichage des publicités de Google. Les 4 autres sont les Search Ads, les Video & YouTube Ads, les TV Ads et le Mobile Ads. La brouille oppose Apple à Google, le premier reprochant au second d’avoir contourné des dispositifs normés du navigateur web d’Apple, Safari, ainsi que ceux d’IOS, son système d’exploitation embarqué que l’on retrouve sur ses téléphones (iPhone) et ses tablets (iPad). Nous ne nous attarderons pas sur ce point, pour éviter de partir dans des considérations trop techniques.
  • Le second concerne le changement de règles de confidentialité des services de Google qui entrait en vigueur hier, le 1er mars. Pour faire très simple au risque de faire simpliste, Google va maintenant s’octroyer le droit de consolider les données qu’il collectait de manière indépendante sur ses divers services. Il ne collecte dans les faits pas plus d’informations qu’avant, mais il les centralise, et donc peut avoir plus de facilités à les croiser.

 

On peut dater assez précisément le début de l’évolution de la politique de confidentialité de Google, il s’agit de l’arrivée de Google+. À l’instar de Facebook, Google+ est un service trop complexe pour que les règles de confidentialité soient simples. Nous allons voir qu’il s’agit d’un service qui en regroupe de nombreux autres, et qui donc par définition, cumule un nombre effarant de données collectées, consolidées par défaut, et rattachées, à un compte… nominatif.

 

Le business des données personnelles

Quand on parle de données personnelles, on aime distinguer :
  • La collecte des données ;
  • Le traitement des données (processing) ;
  • L’utilisation des données (exploitation) ;
  • La durée de conservation des données (rétention).

Les données collectées

Google est plutôt transparent sur les données qu’il collecte pour qui se donne la peine de lire de quoi il en retourne. Il y a quand même une limite par rapport à cette transparence, c’est que pour beaucoup d’utilisateurs, tout ceci demeure du charabia technique, bien peu parlant. Voici par exemple ce que Google collecte sur un utilisateur de son service Google Music. Il s’agit d’un exemple particulièrement intéressant qui donne bien l’étendue du degré de connaissance que Google peut avoir sur ses utilisateurs

google privacy datas collected

Le moins que l’on puisse dire, c’est que ça fait beaucoup. Ça fait beaucoup, mais Google vous le dit, et certains ne prennent pas cette peine, y compris en France. On peut donc reprocher la masse d’informations que Google accumule et il faut comprendre que ceci est grandement une conséquence du nombre de services qu’il propose. Mais il va être compliqué de lui reprocher son manque de transparence sur la question.

 

Autre point de reproche lié à la collecte, et même en amont, il s’agit du point relatif à l’identification aux services. Il s’agit d’une authentification unifiée : un identifiant et un mot de passe vous donnent accès à l’ensemble des services de Google, il est rarement besoin (sauf dans le cas d’une acquisition récente) d’avoir à se créer un compte pour accéder à un nouveau service de Google. Votre identifiant, vous le savez, c’est une adresse email Gmail, bien pratique pour son caractère par nature unique.

 

Le traitement et l’utilisation des données

La nature des services proposés par Google (en ligne), fait que l’entreprise ne distinguera pas, ou dans de rares cas, traitement et exploitation. Le traitement à proprement parlé est automatisé et instantané. C’est de ce traitement dont découle ensuite la démarche commerciale de Google. En clair, c’est de là qu’il tire ses bénéfices. Et là en revanche il faut bien comprendre que Google dispose de bien des manières d’exploiter, directement ou indirectement vos données. Dans le cadre d’une exploitation directe, Google les utilisera pour  « fournir, maintenir, protéger  ou améliorer ses propres services« . Il pourra aussi se servir de ces données pour développer de nouveaux services. Le point relatif à la protection des services est à mon sens très intéressant mais il est bien trop technique pour le traiter dans ce billet, il en mériterait un à lui seul.

 

Il est également à noter que Google propose à ses utilisateurs des outils lui permettant un certain contrôle sur ce qu’il partage comme données, je cite :
  • Review and control certain types of information tied to your Google Account by using Google Dashboard.
  • View and edit your ads preferences, such as which categories might interest you, using the Ads Preferences Manager. You can also opt out of certain Google advertising services here.
  • Use our editor to see and adjust how your Google Profile appears to particular individuals.
  • Control who you share information with.
  • Take information out of many of our services.
Vos activités sur Google font ce que vous attendez d’elles, mais parfois elles en font aussi un peu plus. Vous avez tous eu un jour où l’autre à utiliser reCaptcha, un outil racheté par Google, que tout le monde pense être une simple protection antispam. Et bien vous ne le saviez peut être pas, mais en plus d’être une solution antispam, reCaptcha a été utilisé par Google afin d’améliorer ses performances en matière de reconnaissance de caractères (OCR) dans le cadre de son titanesque projet de numérisation de livres, Google Books, ainsi que les anciens numéros du New-York Times.

 

La rétention de données

C’est le second point de notre bref exposé qui pourrait avoir de quoi sérieusement nous fâcher. Dans cet article d’Arstechnica, on découvrira que selon le site, Google se sent investis d’une mission : « apprendre des bonnes personnes pour combattre les mauvaises personnes« … et ça, il y a vraiment de quoi trouver ça effrayant, surtout dit comme ça, en dehors de tout contexte.

 

La réalité en fait assez duale, ce n’est ni tout blanc, ni tout noir. Cependant la durée de conservation de certaines données est illimitée. La commission européenne a demandé à Google d’anonymiser les données relatives aux recherches, c’est ce que Google fait plus ou moins en supprimant le dernier octet de l’adresse IPau bout de 6 mois. Mais lorsque l’on parle d’anonymisation, on se doute bien que cette mesure est loin d’être suffisante. Le dernier octet effacé sur les IP ayant servi à faire des recherches ne suffiront certainement pas à anonymiser, au sens de garantir l’anonymat de l’internaute. Ces données pouvant être corrélées à d’autres services il sera toujours très simple de les rattacher à un compte Gmail, des historiques de chat, et donc obtenir l’identification de la personne, même si cette dernière a changé entre temps d’IP. On peut donc estimer que Google conserve ces données à vie et qu’il a en outre le loisir de les croiser avec beaucoup d’autres : carnets d’adresse, vidéo regardées sur Youtube, bibliothèque musicale de Google music ou encore déplacements via l’API de google maps avec des produits tels que Latitude. Données non anonymisées… rétention à vie… exploitation commerciale, dont la revente ou le partage à des tiers (avec votre consentement, pour peu que vous preniez la peine de lire ce que Google vous propose quand vous souscrivez à ses services)… vous commencez peut être à mieux comprendre le problème.

 

« Même pas peur j’ai rien à me reprocher »

C’est ici une réflexion qui m’agace au plus haut point, l’argument des personnes qui n’ont aucune compréhension des problématiques de la gestion de données personnelles à caractère nominatif. C’est typiquement le cas de l’auteur de ce billet qui n’a d’ailleurs probablement jamais lu ce que que Google conserve comme données sur lui, et encore moins combien de temps il les garde ou ce qu’il se réserve le droit d’en faire. C’est au bas mot triste pour lui, mais il est surtout parfaitement inconscient de véhiculer l’idée que « après tout ce n’est pas grave puisque je n’ai rien à me reprocher« .

 

Et dans ce domaine, la palme de la bêtise revient à ce billet, techniquement parfaitement faux. Je cite : « Je pense que notre ISP en sait encore plus que google, tout comme nos opérateurs mobiles et là on ne dit rien? Si vous avez un package complet chez SFR (tv, téléphone, internet), toutes vos données passent dans le même tuyau.« . La comparaison avec un fournisseur d’accès à Internet en France est nulle et non avenue. Un fournisseur d’accès est régi par certaines lois, comme le Code des Postes et communications électroniques et surtout l’article 226-15 du code pénal. Pour les comprendre, il faut encore une fois distinguer le métier d’un FAI : acheminer vos communications, et les principes relatifs aux données personnelles que j’ai cité plus haut :
  • La collecte des données ;
  • Le traitement des données (processing) ;
  • L’utilisation des données (exploitation) ;
  • La durée de conservation des données (rétention).
Un FAI a une obligation légale de conservation, pendant une période donnée, de journaux de connexion. Ces derniers ne visent qu’à une seule chose : mettre un nom derrière une adresse IP à un instant T en cas de réquisition judiciaire. Il existe ensuite une exception, il s’agit de l’interception légale, qui permet aux FAI, sur demande expresse des autorités judiciaires, de procéder à des écoutes dites légales, c’est à dire des interceptions des vos communications qui seront soumises à un régime spécial de rétention.

 

L’auteur de ce même billet est également  parfaitement inconscient  en terme de mesure du danger de l’exploitation des données personnelles : Je cite « Je ne surfe pas sur des sites pédophiles ou illicites. Même si je surfe sur des sites porno, ce n’est pas illégal  que je sache, alors google peut toujours m’espionner. » Gageons que l’auteur apprécierait que sa femme recoive des catalogues de sextoys par la Poste parce que ce dernier est passé devant un sex shop. Je dis bien devant… je ne parle même pas de rentrer, nous allons y revenir avec le Deep Packet Inspection.

 

Un chiffre devrait commencer à vous faire réfléchir. Aujourd’hui Facebook serait cité dans un cas de divorce sur trois au Royaume-Uni. Le caractère intrusif et l’aspect un peu « mouchard » des réseaux sociaux est indéniable et il arrive forcément, un jour, où ceci a un impact, direct ou indirect sur votre vie… même au bistrot !

 

Un autre point, bien connu des techniciens, c’est celui de la publicité contextuelle en temps réel lorsque vous utilisez la messagerie Gmail à partir de l’interface de Google. Quand vous écrivez un mail à votre compagne pour lui demander où elle souhaite partir en vacance et que vous voyez apparaitre alors même que vous composez le message, des publicités pour des séjours tout compris en Tunisie, SVP, ne croyez pas un instant qu’il s’agisse la de hasard. Techniquement, Google lit vos emails pour vous renvoyer une publicité contextualisée. Dans cet article traitant également de la vie privée et des pratiques des publicitaires utilisant ces technologies d’inspection en profondeur des paquets (Deep Packet Inspection) à des fins publicitaires, souvent hors de tout controle (à priori pas en France, mais on va y revenir…), je m’étais insurgé contre cette pratique.

 

La CNIL ? … et pourquoi pas le père Noel ?

« Je suis en France tout va bien j’échappe à ces pratiques, la CNIL me protège« … monumentale erreur !

La CNIL cautionne parfaitement cette pratique pourtant par définition assimilable à du viol de correspondance privée, en l’encadrant cependant semble t-il de manière très stricte… voir l’expérimentation Orange Préférences et une représentante de la CNIL en faire la promotion à la radio sans nommer ni Orange ni la technologie en question.

 

Mais si la CNIL a pu encadrer Orange en exigeant certaines garanties sur la collecte, le traitement et l’exploitation des données analysées dans le cadre d’Orange Préférences, il n’en va pas du tout de même pour des entreprises non françaises. Et devinez qui on retrouve au coeur d’une expérimentation de ce type ? … Google ! Le service se nomme Google Screenwise, et comme pour Orange Préférences, il se fait sur Opt-In. Si Google rémunère les utilisateurs qui acceptent de se faire violer un peu plus leur vie privée, Google n’avoue pas publiquement utiliser de l’inspection en profondeur de paquets. Une lecture attentive des termes d’utilisation de ce service nous a permis de mettre en évidence un élément particulièrement inquiétant, par l’intermédiaire de GFK, partenaire de Google sur cette opération qui n’est autre qu’un actionnaire de Qosmos une entreprise française, qui est l’un des leaders mondiaux du Deep Packet Inspection. Avant de vous laisser séduire par Screenwise, de grâce lisez cet article. Et la CNIL, concernant Screenwise… on ne l’a pas entendu.

 

Enfin, il faut savoir qu’il n’est nul besoin de délivrer un service en France, et donc d’être soumis à nos lois restrictives en matière de protection de la vie privée, pour opérer une écoute et une interception de vos données sur Internet. Ce petit schéma devrait vous éclairer sur le nombre important de points sur le réseau qui permettent à des publicitaires, en dehors de tout contrôle, d’espionner votre activité sur Internet pour vous proposer de la publicité contextuelle ou collecter ces données à des fins de revente à des tiers.

 

Ne serait-ce qu’au niveau français, on ne peut pas dire que la CNIL fasse preuve de zèle. Il est naturel de l’entendre de temps en temps s’exprimer contre de « gros acteurs », c’est toujours bon en terme de communication et ça justifie les budgets. Il est en revanche bien plus rare de voir la CNIL monter au créneau pour des affaires pourtant très grave, comme cette énorme fuite de données à l’UMP où MesConseils, une petite entreprise visiblement peu qualifiée pour traiter des données personnelles, a eu l’idée grandiose de stocker sur des machines poubelles, des bases de données sensibles qui contenaient des mots de passe de parlementaires pour accéder à des applications du réseau de l’Assemblée Nationale ou du Sénat. A quoi servaient ces bases de données, comment ont elles pu se retrouvées gérées de manière aussi catastrophique ? … une fois de plus, la CNIL on ne l’a pas entendu.

 

La dernière foi que l’on a entendu la CNIL (et oui c’était encore à cause de nous)  se pencher sur un cas en France, c’est sur celui de TMG, dans le cadre de la procédure de riposte graduée de l’HADOPI. Et encore il y aurait encore énormément à en dire. Le rapport de la CNIL n’a pas été rendu public après que TMG ait été mis en demeure. Puis quelques semaines plus tard, dans une parfaite opacité, celle ci déclare que « maintenant c’est bon il n’y a plus de problème« … sans plus d’explication. L’HADOPI n’a pas été dupe n’a d’ailleurs, jusqu’à aujourd’hui encore, pas rétabli l’interconnexion entre son système et celui de TMG.

 

Conclusion … La CNIL, c’est bien mignon, mais ça ne sert pas à grand chose.Entendre la CNIL émettre des avis sur Google relève surtout du grand spectacle, mais sur le fond c’est relativement inintéressant. D’ailleurs Google lui a gentiment objecté une fin de non recevoir, lui expliquant que revenir en arrière créerait plus de confusion chez les utilisateurs qu’autre chose… ce qui est en pratique parfaitement vrai.

 

Plus sérieusement comment on fait ?

Ne pas être d’accord avec les règles de confidentialité de Google vous laisse en fait 3 alternatives.

  • Ne plus utiliser Google : une solution radicale, mais ne fera pour le coup aucune concession en matière de vie privée
  • Compter sur la CNIL pour qu’elle inflige une amende à Google : nous avons vu un peu plus haut que ce n’est certainement pas une amende qui changera un fait inhérent au pachydermique et incontournable Google. Nous avons également vu qu’il convient d’avoir une confiance toute relative en la CNIL attendu que celle-ci n’est déjà pas ultra réactive en France et que ce n’est surement pas pour des entreprises qui opèrent à l’étranger qu’elle sera techniquement et juridiquement compétente pour vous protéger.
  • Utiliser Google de la manière la plus anonymisée possible : il existe des manières, moyennant quelques sacrifices en terme de confort d’utilisation qui vous permettent de conserver un certain anonymat en utilisant les services de Google. Elles mériteraient elles aussi un billet à elles seules mais voici déjà quelques pistes très simples concernant l’utilisation du service de mail de Google :
  1. Préférer un client mail comme Thunderbird/enigmail, chiffrer ses emails avec OpenPGP.
  2. A la création du compte Gmail aller faire un tour dans les paramètres de son compte pour y désactiver l’archivage des conversations Gtalk (paramètres de votre compte mail sur l’interface de Google, puis onglet « chat »).
  3. Gtalk le chat de Google, qui est également un compte Jabber. Ceci veut dire qu’avec un client compatible comme Pidgin on peut avec ce compte parler de manière chiffrée grâce à l’extension OTR…
Publié le

Gérard Longuet en VRP de la mort en Libye

Même pas étonné. Écoeuré, dégouté, indigné, mais même pas étonné. Aujourd’hui Le Point par la plume de Jean Guisnel, nous fait part du petit périple de Gérard Longuet en Libye. Notre ministre est parti y vendre des armes. C’est à gerber. Gérard Longuet est en politique ce qu’on appelle une anguille un truc visqueux que personne n’a envie de toucher mais assez fin pour passer entre les mailles d’un filet. Et cette vocation n’est pas nouvelle. Pour comprendre le bonhomme, il faut commencer par jeter un oeil à son passé.

Gérard, sa vie son oeuvre (source)

Gérard Longuet commence en politique à la droite de la droite, à Occident, où il s’illustre plutôt dans la ratonnade anti rouges que pour ses idées. Il est à ce titre condamné en 1967 à 1 000 francs d’amende pour complicité de « violence et voies de fait avec armes et préméditation ». La petite blague d’étudiants aura quand même laissé une personne dans le coma. Gérard Longuet fait donc partie des repris de justice du Gouvernement de Nicolas Sarkozy, un point de détail à méditer pour toutes les personnes qui se retrouvent dans l’impossibilité aujourd’hui de se présenter à un concours administratif pour des faits mineurs inscrits dans leur casier. Si votre casier n’est pas vierge, ne visez pas un poste d’enseignant ou de gardien de la paix, recherchez plutôt un poste de ministre.
A la dissolution d’Occident, Gérard Longuet poursuit son oeuvre en élargissant son champs de personnes à ratonner, au GUD pour être plus précis. Le Gud c’est une bande d’étudiants, plutôt d’ASAS, sympas, et qui aime bien casser du rouge, de l’homo, du bronzé… Le GUD a comme toute bande de jeunes en pleine crise identitaire un goût prononcé pour les poses photos en famille dont je vous laisse juger du rafinement affiché sur le drapeau qu’ils exhibent :
Gérard Longuet prend ensuite la tête d’Ordre nouveau avec son bon ami Claude Gouasguen, un autre groupuscule extrémiste qui sera d’ailleurs dissout par décret du Conseil des Ministres pour « atteinte à la sureté de l’État ». Après l’ENA, en 1972, Gérard Longuet sera même à l’origine du premier programme économique du Front National.

Gérard « Lord of War » Longuet en Libye

La France a bien bombardé tout partout du droit de l’homme en Libye après avoir fourni à Kadhafi de quoi éradiquer toute forme de contestation. La France qui en 2007 recevait Kadhafi avec les honneurs de la République, s’en va maintenant faire copain copain avec les personnes qu’elle aidait il y a quelques mois à  :
  • écouter
  • traquer
  • supprimer
Mais le cynisme de la situation ne s’arrête pas là. Si vous nous suivez sur Reflets, vous avez forcement entendu parler d’Amesys, fleuron français de la technologie de surveillance de masse, entité un peu particulière du groupe Bull, très lointaine de l’image « d’architectes d’un monde ouvert » que le groupe aime à communiquer officiellement. C’est donc Amesys qui a vendu au régime de Kadhafi, de quoi écouter des dissidents, dont un est d’ailleurs devenu ministre de la culture. Il s’agissait d’un système d’écoute globale, dimensionné à l’échelle de l’ensemble de la population libyenne, mais peu importe, Amesys, par la voix de son directeur commercial expliquera devant des caméras de télévision que son système a été détourné de son utilisation. Une vaste blague, particulièrement osée et reprise presque mots pour mots par Monsieur Longuet, mais qui ne trompera personne.
Mais cette position, au bout d’une bonne dizaine de questions de parlementaires au gouvernement, c’est Gérard Longuet lui même qui va la relayer dans l’hémicycle en tenant mot pour mot la position officiel du directeur d’Amesys. Il existe une explication très simple à cela. La personne qui a rédigé ce qui ressemble fort au communiqué de presse officiel du groupe n’est autre que sa fille,  Tiphaine Hecketsweiler, directrice de la communication du groupe Bull, ce depuis le 3 janvier 2011. Et là, paff, coup du hasard, Gérard Longuet prend moins de deux mois après le poste de Ministre de la défense. On comprend l’intérêt que peut avoir Bull à embaucher la fille du Ministre de la défense quand on connait un peu les activités d’Amesys, et même celles de Bull d’ailleurs, mais juré craché Bull ne pouvait pas être au courant que Gérard Longuet se verrait attribuer ce poste (c’est le genre de truc qui vous tombe sur le coin de la tronche au moment où on s’y attend pas Ministre d’État).
A regarder les dernières photos de voyage de Gérard Longuet en Libye, en tant que VRP de la mort, pour y vendre des armes, bras dessus bras dessous avec les personnes dont sa propre fille justifiait il y a peu la traque par un « spanou, on traque du pédophile« , il y a quand même de quoi se sentir, au bas mot, indigné.
Monsieur Longuet en Ministre repris de justice de la Défense, c’était déjà gonflé, mais là, on a encore passé un cap, entre cynisme, conflit d’intérêt et népotisme.
Une honte pour la République, voilà ce que m’inspire le voyage de Monsieur Longuet en Libye. Mais qui d’autre pouvait aussi bien représenter les intérêts français dans une kleptocratie tribale que Monsieur Gérard Longuet après tout ?