Publié le

Copwatch : le fiasco de Claude Guéant

Calamiteuse, désastreuse et d’une incompétence crasse. Voilà les mots qui me viennent à l’esprit quand je lis les trombes de pixels qui se déversent dans les Internets à propos du site Copwatch (encore accessible depuis chez Numéricable… à moins que l’opérateur ait opté pour un blocage DNS foireux… j’ai même pas envie d’essayer). Cette gestion bien rock’n roll du dossier Copwatch est l’oeuvre de Claude Guéant. Comme beaucoup l’ont souligné dés la première sortie du Ministre, Claude Guéant a offert une campagne de marketing viral au site Copwatch qu’il entendait censurer. C’est ce qu’on appelle un effet Streisand, ou comment rendre une information dont tout le monde se fout, bien visible.

Nul… archi nul, même pas foutu de prendre conseil auprès d’une personne qui lui explique comment fonctionne le réseau et toute la dérision qu’il y a à convoquer des fournisseurs d’accès et de leur coller un référé pour bloquer un site qui accusait déjà des miroirs par dizaines une heure après que Claude Guéant a eu l’idée grandiose d’annoncer à la presse son désir de le censurer.

Bilan ? Une humiliation dans les règles. Une humiliation prévue, une humiliation réproductible à l’infini… Tant que les politiques n’opposeront que des mesures unilatérales de blocage de sites, le réseau les ridiculisera. Aujourd’hui, le blocage de Copwatch, c’est tout juste un panneau “interdiction de marcher sur la pelouse“, mais un panneau inauguré en grandes pompes où on aurait invité toute la presse… pathétique.

Le pire, c’est que tout le monde se fichait complètement de ce site avant que Claude Guéant ne le pointe du doigt comme le site le plus dangereux de France. Et c’est vrai que l’idée n’est pas des plus fines. Initialement, Copwatch est une initiative visant à prévenir les abus des forces de l’ordre, en faveur du respect des droits de l’homme. Le ton sur lequel est fait ce qui se veut son pendant Français est peu comparable à ce qu’il est aux USA. Copwatch à la française à, il vrai, une connotation plus haineuse, plus radicale, plus “anti-flic” et peut dans une certaine mesure mettre en péril des fonctionnaires de police et surtout, leurs familles. On est plus trop dans l’esprit initial et c’est dommage.

On a beau ne pas soutenir l’initiative elle même, il n’en demeure pas moins que la méthode Guéant, celle de l’agression du réseau par la censure unilatérale, probablement sans discussion préalable avec le ou les auteurs du site, n’est pas la bonne méthode. Les FAI courbent l’échine, ils bloqueront tant que ça ne leur coute rien… et on me souffle dans l’oreillette que FDN n’a même pas été convié à la petite sauterie ministérielle par référé.

En tout cas c’est réussi, Copwatch est maintenant partout dans la presse et dispose déjà d’une belle liste de miroirs grâce à Streisand.me.

Publié le

LOPPSI en seconde lecture : ouverture du bal

internet downgrade
LOPPSI downgrade ton Internet et tes libertés

C’est aujourd’hui que la loi d’orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI), arrive en seconde lecture à l’Assemblée nationale. Sur les questions qui touchent à Internet, le contexte est particulièrement favorable aux partisans de la ligne la plus sécuritaire. Une politique sécuritaire rime rarement avec le respect des droits fondamentaux. Elles sont, l’histoire nous le montre, surtout prétexte à des restrictions majeures des libertés. En trame de fond, l’affaire Wikileaks qui agite autant la presse que les ambassades et les ministère du monde entier devrait s’inviter dans l’hémicycle plus ou moins directement quand les questions relatives au blocage des sites web (article 4), seront débattues.

A l’instant, c’est Brice Hortefeux qui a ouvert les débats en expliquant grosso modo qu’il va sécuriser plus avec moins d’effectifs policiers, d’ailleurs certaines municipalités comme Nice qui s’adonnent aux joies de la cyber prune ont montré l’exemple, il suffit de mettre des caméras partout, de croiser toutes les bases de données… d’agréger le feed rss d’Echelon, de bien secouer, de faire passer le tout dans le gros ordinateur de Jacques Myard et hop le tour est joué… rien de bien sorcier ni de bien intrusif nous assure le ministre, c’est une loi pragmatique, nous voilà donc rassurés.

Le ministre défend ensuite son bilan en sortant une batterie de chiffres dont l’absence de contexte ne permet pas un jugement critique. Brice Hortefeux veut se donner des moyens législatifs et financier, en virant quelques effectifs et en les remplaçant par des cameras, des bracelets électroniques qui tweetent le commissariat du coin et en installant 2/3 firewall open office, le “Package Loppsi” est budgété pour la modique somme de 345 millions d’euros.

Globalement, il est question selon le ministre de “renforcer l’efficacité de la chaîne pénale ». Pour lutter contre la délinquance Brice Hortefeux défend son texte qui est axé sur les points suivants :

  • d’avantages d’outils opérationnels comme la vidéo-surveillance et autres outils favorisant la “vigilance active“): le ministre évoque un accroissement du parc de 37 000 cameras. Dans ces outils, on trouve pêle-mêle : les logiciels de croisement judiciaire, le blocage des téléphones mobiles volés ou encore la saisie des biens des délinquants.
  • le renforcement de la police administrative ;
  • la lutte contre le hooliganisme ;
  • la lutte contre la délinquance dans les transports ;
  • l’immobilisation en cas de délits routiers graves ;
  • le renforcement de la capacité d’action sur Internet avec la mesure qui risque de faire couler beaucoup d’encre : le blocage des sites pédo-pornographiques, mesure déjà abandonnée en Allemagne et sur le point de l’être en Australie, … bref pas de doute, nous sommes bien les pionniers en matière d’Internet civilisé… enfin on est les pionniers français parce qu’ailleurs tout le monde en est revenu.

Sur ce dernier point, Brice Hortefeux lâche un superbe “on ne peut pas faire comme si rien ne se passait” pour défendre le blocage des sites. Cette phrase est assez révélatrice de la perception de l’action chez le ministre : en bloquant l’accès à des sites web illégaux, c’est pourtant bien ce que propose Brice Hortefeux : fermer les yeux. La lutte contre la pédo pornographie se gagne sur le terrain, des associations dans d’autres pays comme en France le soulignent : Le blocage des sites ne sert à rien, en revanche une coopération judiciaire internationale visant à supprimer ses contenus et interpeller les auteurs serait bien plus utile. Le slogan de Mogis, est pourtant clair :

Supprimez, ne bloquez pas!
Agissez, ne fermez pas les yeux!

Publié le

La super méga Haute Autorité Indépendante de l’Internet civilisé

propaganda
CC by Fabrice Epelboin

On se doutait bien que qu’avec toutes ces créations d’autorités indépendantes, au bout d’un moment, on allait chercher à les concentrer afin d’en absorber certaines, dans le but d’arriver plus rapidement aux objectifs fixés, en 2007, par l’Elysée. Dans cette jungle nouvelle des autorités administratives indépendantes, il y en a deux assez particulières, la HADOPI (Haute Autorité pour la diffusion des oeuvres et la protection des droits sur Internet) que l’on présente plus, et l’ARJEL (Autorité de Régulation des Jeux en Ligne) qui a voulu instituer en France le blocage des sites web sans juge. Les deux autorités portent sur des contenus et services en ligne, certains verront donc une certaine cohérence à les unifier en une seule et même autorité indépendante puisqu’il est entendu qu’à terme, elles utiliseront les mêmes armes (outils de reconnaissance de contenus et blocage et filtrage de sites… DPI, BGP, mouchards filtrants, bref tous les outils indispensables pour civiliser Internet). Voir s’unifier HADOPI et ARJEL vous parait impossible, pas à l’ordre du jour ? Dangereux ? Attendez, c’est après qu’on se mange un vrai coup de civilitude…

On va bien te civiliser

Et c’est là qu’intervient un bon gros rapport parlementaire relatif aux autorités administratives indépendantes, oeuvre du Comité d’évalution et de contrôle des politiques publiques, porté  par les députés Christian Vanneste (UMP) et René Dosière (PS). Dans ce rapport, les députés concluent à un nombre trop important d’ Autorités Indépendantes. A la page 27, on apprend que ce sont 40 autorités indépendantes qui ont été créées en France depuis l’apparition de la CNIL en 1978, avec une nette accélération des créations de ces autorités administratives la décennie passée avec en moyenne, une création par an.

Bien entendu, ce rapport ne pouvait passer à côté du cas HADOPI. Mais loin d’en venir à mes conclusions déjà alarmistes au sujet d’un rapprochement ARJEL/HADOPI, le rapport préconise carrément un rapprochement entre l’HADOPI, l’ARCEP et le CSA ! Le parfait comité de censure de la République, un seul pour les gouverner tous, les réseaux, les contenus, les services… T’es bien civilisé là toi l’internaute non ? On commence en page 54 à aborder le problème HADOPI, un rappel de l’épisode constitutionnel, puis page 77 on trouve une perle, dans laquelle les députés s’intérogent sur la justification de l’existence de l’HADOPI :

“Dans ce contexte les rapporteurs s’interrogent sur la justification del’existence de la Haute autorité pour la diffusion des œuvres et la protection desdroits sur Internet (HADOPI). Il s’agit une fois de plus d’une réponse ponctuelle à un problème spécifique. Certes la création d’une nouvelle autorité indépendante chargée de surveiller le respect des droits et de lutter contre le piratage jouit d’une visibilité maximale pour les auteurs. Mais on peut se demander pourquoil’ARCEP, chargée de réguler les communications électroniques, dont fait partiel’Internet, ne pourrait pas en être chargée. A contrario, les difficultés rencontrées par la HADOPI sont patentes : l’envoi des premières lettres d’avertissements a été retardé de semaine en semaine ; un des principaux fournisseurs d’accès, Free, a annoncé publiquement qu’il ne souhaitait pas relayer les messages d’avertissement auprès de ses abonnés… Les rapporteurs sont donc d’avis d’intégrer la HADOPI dans l’autorité qui remplacera à la fois le CSA et l’ARCEP.(…) Les rapporteurs sont donc d’avis d’intégrer la HADOPI dans l’autorité qui remplacera à la fois le CSA et l’ARCEP”.  La date du passage à la TNT est même envisagée le 30 novembre 2011.

Ce rapport ne semble pourtant pas animé de mauvaises intentions, il invite même à un rapprochement de cette super méga haute autorité super indépendante à travailler de concert avec l’association le Forum des Droits de l’Internet, c’est bien tenté mais cette dernière semble appelée à mourir très prochainement. Mais les deux rapporteurs sont  à mon sens loin de se douter du monstre mutant à 4 têtes qu’ils sont en train de fabriquer. Pire, cette conclusion pourrait être très exactement ce qu’attendait l’Elysée, souvenez vous par exemple de Frédéric Lefèbvre en train de plaider pour confier Internet au CSA, CSA que l’on retrouvait par exemple au colloque de l’ARCEP sur la neutralité des réseaux… la labellisation des sites web, ça ne vous rappelle rien ? Pourtant on en avait parlé pour HADOPI… Même Christine était d’accord… et ça remonte à 2008 ! Votre site sera labellisé par l’Etat, avec une cocarde “presse”, “culture”, “blog d’emmerdeur”… sympa non ? Je vous sens tout civilisés là…

L’erreur de cette proposition se situe vraiment au niveau de ce que le législateur, sous pression de l’Elysée, a voté sans aucun moment se rendre compte de ce qu’il avait engendré. Jamais le spectre d’un big brother sur le Net français n’aura autant planné. Tout est en place, tous les outils de la censure sont là, unifier tout ce petit monde, leurs armes, et leur champs d’applications (services, réseaux, contenus), c’est créer quelque chose de dangereux et de… suspect. Je n’ai pas la compétence de juger pour les cas des autres autorités administratives, du bien fondé de démarches de rapprochements, mais sur le volet Internet, je ne saurais trop mettre en garde messieurs Vanneste et Dosière sur une fausse bonne nouvelle idée, qui serait de confier Internet, qui n’a toujours pas de ministère, à un monstre contre nature disposant du corpus législatif (HADOPI, LOPPSI, ARJEL, DADVSI …) et des outils (blocage/filtrage des sites, labellisation, spectre du mouchard, contravention pour négligence caractérisée,  double/triple peine, … ).

Il est beau votre Internet civilisé… mais tout ceci est bien trop administratif et pseudo indépendant pour qu’Internet reste un réseau neutre et ouvert.

Publié le

HADOPI : tu sécurises ou tu fliques ?

Au détour d’un commentaire lu sur Numérama en référence à l’amalgame volontairement fait dans ce billet entre la “sécurisation d’une connexion Internet” et la “sécurisation d’un site web”, j’ai pu me rendre compte de l’efficacité de la propagande menées par le Ministère de la Culture… ils ont réussi à mettre un sacré bazar dans nos cerveaux. Je me suis donc essayé à un petit exemple fictif pour illustrer un fait : le dispositif prévu dans le texte de loi n’est pas fait pour sécuriser, mais bien pour fliquer.

Je vais donc reprendre ici cet exemple, une fiction pour le moment mais je suis prêt à vous parier que si le texte était en l’état appliqué au pied de la lettre, la réalité pourrait même dépasser la fiction. C’est l’une des raisons pour lesquelles j’expliquais l’année dernière sur TechToc.tv que nous avions déjà gagné et qu’HADOPI telle que nous la connaissons ne sera probablement jamais appliquée car comme le dit l’adage : à l’impossible nul n’est tenu. Et l’impossible, c’est justement sécuriser une connexion Internet, ce qu’on essaye de nous faire passer pour une obligation légale. Maître Capello ? Pas mieux que trois lettres ? L.O.L.

Voici le commentaire qui a motivé ma réponse :

“C’est quoi le rapport entre la non-sécurisation de sites Internet et la sécurisation de la ligne d’un abonné à Internet pour empêcher les téléchargements illégaux ?
Ah oui, il y a le mot “sécurisation” dans les deux parties de la phrase. Donc de manière simpliste, on fait un raccourci : du moment qu’ils ne sécurisent pas leurs sites, alors ils ne peuvent pas nous demander de sécuriser nos lignes. Alors que les techniques, les moyens et les enjeux n’ont strictement rien à voir.
Bien évidemment qu’une base SQL non protégée sur un site gouvernemental, ce n’est pas très sérieux. Mais quel est le rapport avec Hadopi et ses dispositions législatives ? Ce n’est pas parce qu’ils sont en faute que cela vous dédouanne d’appliquer la loi !”

Notez que ce n’est pas le seul de ce cru, j’ai même pu en lire sur Read Write Web ou d’autres sites, ce qui justifie à mon sens une explication dont le but sera de dépoussiérer quelques notions et faire un peu le ménage dans les idées stupides que notre bon législateur a tenté de vous mettre dans le crâne (et il y est dans de nombreux cas parvenu).

Les faits

  • La loi Création et Internet mentionne une contravention pour non sécurisation d’une connexion Internet, sans pour autant définir le périmètre précis (essayez vous au Quizz, vous allez vite comprendre que juridiquement nous sommes là en face d’un concept particulièrement fumeux).
  • Pour que les données d’un serveur web soient accessibles il faut ? … une connexion Internet.
  • Pour qu’une machine se fasse compromettre, généralement, sur le Net, il faut … une connexion Internet et une vulnérabilité exploitable à distance (allant de l’utilisateur lui même qui ira cliquer sur un “i love you.exe jusqu’à une faille kernel… et entre ces deux extrêmes… il n’y a pas de limites.
  • C’est justement parce qu’entre ces deux extrêmes les limites n’existent pas, qu’AUCUNE solution logicielle de sécurisation au monde ne protègera jamais les utilisateurs de l’intégralité des risques liés à la nature du réseau… et à la nature du cerveau humain. Affirmer le contraire serait une bêtise.

La fiction

Une entreprise x dispose d’un extranet, son robots.txt indique un répertoire sensé être protégé qui ne l’est pas (au pif avec un beau .sh qui affiche en clair le mot de passe de la base de données Oracle du dit extranet). Un pirate y accède et pénètre l’extranet de l’entreprise, par escalation de privilèges ou en dumpant la base de données, il en prend le contôle de tout le réseau local de l’entreprise. Pour ce faire, rien de plus simple, avec un petit coup de dsniff, il s’empare de tous les mails du serveur de mail Exchange (assez pratique pour se faire renvoyer les passwords non ?), il a tous les mots de passe, tous les accès… voici un scénario malheureusement dramatiquement réaliste d’une compromission.

Puis, il se trouve que l’entreprise en question a une super bande pasante, du 100megas symétriques. Le pirate decide donc de se servir du NAS pour se faire sa médiathèque en ligne qu’il consulte en streaming via un flux chiffré sur un port non standard. Pour télécharger, il s’installe un client torrent en mode console, bien planqué là ou personne ne va jamais fouiller … dans le /opt par exemple.
La HADOPI envoie un mail que l’entreprise ne reçoit pas car elle ne le lit jamais, d’ailleurs, dans l’entreprise, personne ne sait si ce mail existe (le mail d’inscription utilisé pour ouvrir la connexion Internet chez le fournisseur d’accès).

A la réception du courrier recommandé (l’étape 2 de la procédure super pédagogique prévue par le texte), l’entreprise débusque le pirate sur son réseau mais n’a pas compris par ou il est arrivé. Elle supprime donc l’utilisateur ou change le mot de passe du compte utilisé par le pirate. Mais, souvenez vous, comme le pirate a dumpé la base de données et qu’il a récupéré des centaines de mots de passe en sniffant le réseau local de l’entreprise… et que l’entreprise n’a pas changé TOUS les passwords, notre pirate, pas décidé à abandonner sa connexion très haut débit depuis le fin fond de la Lozère, revient… puis un jour, après plusieurs incursions, un recommandé, et 3 audits internes (il faut pas que ça s’ébruite ce genre de choses vous comprenez, ça affolerait les clients de notre entreprise), l’entreprise se retrouve déconnectée du net.

Même l’Hadopipohardware, le Firewall Zyxel, acheté par l’entreprise et qui promettait une protection idéale contre HADOPI en filtrant les applications de peer to peer n’a rien vu venir.

Tout le système d’information de l’entreprise est donc rendu inaccessible depuis l’extérieur et ses salariés sans connexion dans les locaux se retrouvent au chômage technique.

Comme une circulaire de la chancellerie indique que tout cas un peu compliqué ne devra surtout pas être envoyé devant un tribunal… et que même si c’était possible la connexion est déjà coupée.. et que l’entreprise n’a pas le droit de souscrire à une autre offre… l’entreprise ferme ses portes et fait faillite incapable d’honorer une communication basique avec ses clients. Il reste le télétravail et peut être aller faire les rendez-vous clients au Mc Donald du coin.

Que nous apprend cette petite histoire ?

Il s’agit d’un constat évident, que malheureusement trop peu de personnes semblent avoir assimilé :

  • La sécurité ce n’est pas un produit mais ensemble de processus
  • HADOPI propose l’élaboration de solutions de “sécurité” dont la fonction n’est pas de prévenir de risques d’intrusion externes mais bien de fliquer des usages internes… ce qui inéluctablement conduit à un risque sécuritaire, c’est à dire, tout le contraire de ce qu’on tente de vous vendre.

Pour vous faire passer des vessies pour des lanternes, notez qu’il aura fallu :

  • 577 gus dans un hémicycle (en théorie), beaucoup moins en pratique
  • 2 HADOPI
  • un recallage au Conseil Constitutionnel
  • un site web de propagande à 80 000 euros pour 1 mois d’uptime (jaimelesartistes.fr)
  • la machine à spam la plus chère du monde…

… j’ai donc encore beaucoup de route à parcourir pour expliquer ça à qui veut l’entendre, je n’ai pas les mêmes moyens que ceux déployés par l’Etat, mais aidé par quelques gus, nous devenons tous des créateurs de possible… non ?

Publié le

La Deep Packet Inspection en coeur de réseau

alcatel dpiDébut mai 2010, je vous expliquais sur ce blog que la Deep Packet Inspection était bien dans les bacs. Le terme de “quasi neutralité” en conclusion gouvernementale qui avait pour l’occasion savamment instrumentalisé cette vénérable institution qu’est l’ARCEP, laissait peu de doutes sur la question. Plus tard, au mois de juin, quelques recherches m’avaient amené à vous parler de techniques plus pernicieuses encore, découlant du DPI, mais qui ont le bons goûts de sembler moins intrusives que de l’analyse de paquets en profondeur, basée sur des méthodes statistiques : le stochastic packet inspection. Selon ce que j’ai pu comprendre des papiers de recherche sur lesquels j’étais tombé,  le stochastic présentait un défaut, il fallait multiplier les points de sondes pour obtenir un ratio d’acuité élevé. Mais il avait aussi un gros avantage sur la DPI, pas besoin d’analyser les paquets en profondeur et donc de violer le secret des correspondances pour appliquer des règles de routage ou de drop des paquets.

Plus récemment encore je vous parlais d’Alcatel, un acteur majeur dans les équipements réseaux professionnels, dans un billet qui faisait suite à la diffusion du rapport gouvernemental sur la neutralité du Net, que l’entreprise, comme le rapport, re-qualifiaient en un risible “Internet ouvert”… la preuve en image. La manipulation était grossière, certes, et on sentait bien la griffe d’Alcatel dans ce rapport, tant dans la terminologie, les prévisions apocalyptiques “on va tous mourir, le Net est tout saturé“, que dans les conclusions qui invitaient à un libre accès aux contenus “licites”. Seul hic, pour reconnaitre un bit légal d’un bit illégal, quoi qu’on nous raconte, il faut bien placer une forme d’intelligence sur le réseau qui jouera le rôle du douanier… en clair de la deep packet inspection.

Stochastic packet inspection : le filtrage aux extrémités… cher mais peu intrusif

Multiplier les sondes sur les routes du trafic d’un internaute implique d’importants investissements (ou d’inclure des dispositifs puissants et onéreux dans les box, ce qui est cher, mais pas impossible, et ceci pourrait dans un futur proche devenir rentable avec des FPGA ).

Deep Packet Inspection : la surveillance de vos communications au coeur du réseau

Nous allons nous replonger dans l’univers fantastique d’Alcatel Lucent pour découvrir un équipement qui risque de vous donner froid dans le dos. J’ai à plusieurs reprises évoqué des modules directement installés sur les DSLAM des opérateurs, à ce moment j’étais à mille lieues de penser que des routeurs d’agrégation de services, placés en coeur de réseau, au plus proche des terminaux ou de bordure, proche des backbones, pourraient avoir assez de puissance de calcul pour faire de la DPI sur un lien terabit. Bon je commence à parler chinois, mais on va continuer un peu en regardant ce qu’il y a sous le capot de ces routeurs de services comme le 7705, capable de gérer des flux IP, mais également GSM, 2G, 3G et LTE. Alcatel devrait même prochainement annoncer le lancement d’une carte d’extension que l’on qualifiera pudiquement de carte “de traitement de paquets programmable” pour le 7705 embarquant un processeur, programmé par une société tierce pour son compte (une première pour l’équipementier réseau). En fait un monstre qui embarquera du FPGA pour offrir une puissance de traitement et surtout d’analyse de paquets colossale. Pour faire simple, le routeur forwarderait les paquets à la carte d’extension en question avant ou après une décision de routage… là on commence à rentrer dans le domaine de la magie noire.

Les communiqués, ou la documentation grand public d’Alcatel ne parlent pas ouvertement de DPI (plutôt de QoS). Dans d’autres documents à destinations de personnes plus avisées, les spécifications de la bête laissent à penser que comme pour d’autres modèles de la marque (comme la famille 7750 qui gère déjà du DPI à raison de  100 Gb/s par puce… et il y a jusqu’4 puces en fonction des configuration sur ces modèles), ces équipements sont tout à fait DPI ready… et sur de gros réseaux. Les cartes d’extension de ce genre de routeur de service, au format MDA (Media-Dependant Adapter) apportent également une intelligence en plus de celle du routeur, elles traitent des protocoles physiques, puis les encapsulent dans du MPLS (MultiProtocol Label Switching) et présentent ainsi le gros avantage d’être déployables au coeur de gros réseaux. Et c’est là que la magie du DPI s’opère techniquement : ce sont les IOM, sur lesquelles on trouve 2 MDA, qui servent à l’intelligence du routeur, elles sont connectées au routing complex et la puce “FP2” d’Alcatel s’intercale ici, et c’est à ce niveau que la deep packet inspection s’opère.

Voilà je vous ai assez mis l’eau à la bouche, retenez en simplement qu’Alcatel sait faire de la DPI au minimum, à 100 Gb/s sur des configurations très scalables… et ça date de 2008. Si comme moi vous aimez les petits dessins, c’est par ici que ça se passe.

Revenons à des choses un peu plus digestes

Avec de tels équipements, dotés d’aussi puissantes capacités de traitement, on se doute bien que les premiers clients pour ces gros jouets, ce sont les gouvernements. Alcatel a bien envie de pousser quelques uns de ces routeurs de services pour aider le gouvernement ou n’importe quelle  “haute autorité administrative” à vérifier si vous accédez à un contenu LEGAL sur un Net qui n’est pas neutre mais OUVERT… bref, chez Alcatel on est sympas et toujours prêts à rendre service, surtout aux fournisseurs d’accès à qui l’entreprise promet de grosses économies en … filtrant des services ! On peut tourner ça dans tous les sens, on est aux antipodes de la neutralité du Net, on ne fait plus du simple QoS pour réduire la latence sur de la VOIP, mais bien de la surveillance.

Ainsi les 7705 font déjà le bonheur du gouvernement américain… et il est fort probable que certains fournisseurs d’accès en possèdent quelques uns, plus inquiétant, Alcatel en vendrait en ce moment environ 10 000 par trimestre ! Concernant les 7750, on en dénombrait plus de 20 000 en 2009. A ce rythme, vous comprendrez aisément qu’il ne manque vraiment plus grand chose pour mettre le Net sous surveillance.

Publié le

La HADOPI va t-elle dédommager les FAI ?

tuyauEn dehors de SFR et ses DNS en carton (qui étaient encore en carafe aujourd’hui) qui assume promptement son zèle pour communiquer gratuitement l’identification des adresses IP de ses abonnées à la HADOPI, les autres fournisseurs d’accès n’ont toujours pas de réponse concernant le paiement des frais engagés dans l’identification des personnes qui n’ont pas compris que le P2P était la seule cible de la haute autorité. On ne s’étonnera d’ailleurs pas d’un passage en force comme pour le blocage des sites imposé par une autre “haute autorité administrative” (c’est très tendance en ce moment), l’ARJEL, qui a réussi à obtenir un blocage des sites “par tous les moyens possibles“, dans une décision de justice en référé.

Oui sauf que la HADOPI c’est aussi, et surtout, des utilisateurs de P2P qui migrent sur des solutions de téléchargement basées sur un modèle minitelien avec un serveur central (Megaupload) que tout le monde bourine allègrement. Le P2P est un modèle d’échange qui a pour vertu d’équilibrer la charge de trafic sur un réseau là où des sites de direct download comme Megaupload auront pour effet de saturer un lien de plusieurs terabits en sens unique (de Megaupload vers l’utilisateur). Tout ceci va également avoir un coût pour les fournisseurs d’accès qui, pour le coup, pourraient connaitre des congestions ou faire les gros yeux quand ils vont recevoir la douloureuse de trafic transatlantique (les serveurs de Megaupload sont principalement situés aux USA et aux Pay-Bas.

Il me semblerait en ce sens logique que les fournisseurs d’accès demandent un dédommagement à la HADOPI (ou aux sites de download) qui ne manquera surement pas de proposer à ces derniers de bloquer ces sites … allez on prend les paris ?

La bande passante qui n’était pas un réel problème jusque là risque bien de le devenir, encore une perversion de la HADOPI.

Publié le

ARJEL : même pas peur du ridicule

arjelLe blocage de l’accès à des sites web de jeux en ligne mis en place par l’ARJEL et exigé aux fournisseurs d’accès à leurs frais ne fonctionne pas. Bon, ce n’est franchement pas un scoop, ça fait des années que l’on essaye de l’expliquer, mais rien à faire, le législateur persiste et signe, s’enfonçant un peu plus dans le ridicule. Un récent jugement en référé invitait les 7 plus importants FAI (en nombre d’abonnés) à “bloquer par tous les moyens” les sites de jeux ne disposant pas de licence française. Seul problème, il n’existe aucun moyen fiable de bloquer l’accès à un site et on assiste donc à la mise en place de mesures que les fournisseurs d’accès eux mêmes savent inopérantes. Le schéma ci-dessous montre que non seulement c’est inefficace mais qu’en plus il existe dans de nombreux cas un important risque de dommages collatéraux et que tout ça a un coût souvent élevé pour un résultat minable. Tellement minable que l’Australie l’abandonne et que l’Allemagne n’a même pas voulu s’y essayer.

Le cas du site StanJames est assez emblématique. PCInpact s’en fendu d’un excellent article sur le blocage de ce site. C’est en fait un véritable cas d’école, le site est bloqué au niveau du nom de domaine par Bouygues (je confirme que c’est la même chez Numéricable qui lui a pris soin de bloquer le .be et le .ch alors que la décision de justice ne portait pourtant que sur le .com), ainsi, il suffit de placer l’IP du serveur de StanJames à la place de son nom de domaine dans la barre de son navigateur pour accèder au site sans encombrement. En modifiant sa configuration DNS et en optant pour les DNS de Google, il est également possible de contourner ce blocage. Ici, nul besoin de VPN ou de TOR pour passer à travers ce blocage ridicule, c’est à la porté de tout le monde, même des moins techniques d’entre nous.

Maintenant sur le fond, vouloir empêcher les joueurs français de se mesurer aux joueurs d’autres pays est une idée assez saugrenue qui a bien peu de chance d’être respectée. Internet n’a jamais été conçu pour que l’on puisse empêcher des machines de communiquer entre elles, c’est en fait tout le contraire… même ça, ce n’est pas assimilé par les gens qui ont porté cette loi crétine.

Enfin, j’imagine à quel point les sites qui se sont acquittés d’une licence chèrement payée vont apprécier l’efficience de ce filtrage, ce sont les dindons de la farce, et il y a de bonnes chances que certains d’entre eux demandent des comptes à l’ARJEL sur l’escroquerie intellectuelle et la désinformation autour du blocage des sites. Quoi qu’il en soit, la rentrée parlementaire avec la LOPPSI qui doit instituer le blocage des sites pédo-pornographiques et surement plus tard une HADOPI 3 qui entend déjà bloquer des sites comme Megaupload s’annonce très drôle. On nous expliquera surement que le DPI est un mal nécessaire “pour notre sécurité”… Gavé.

Publié le

Blocage de sites web : mieux vaut prévenir que guérir ?

404Alors qu’en Australie le blocage des sites web semble voué à une mort plus ou moins certaine, nous avons vu que petit à petit, le big brother français et la police de la pensée étaient en train de faire leur nid. Pour ce faire, on piétinera sans vergogne des principes que l’on pensait acquis comme la liberté d’expression ou la proportionnalité de la peine.

La récente condamnation en référé des principaux fournisseurs d’accès à Internet sur action de l’ARJEL, l’autorité de régulation des jeux en ligne, a bien ouvert, comme nous le craignions, la boite de Pandore. Orange, SFR, Bouygues Telecom, Free, Numéricable, Auchan Télécom et Darty devront tout mettre en œuvre pour empêcher les internautes français d’accéder aux sites n’ayant pas obtenu de licence française. S’il vous prenait l’envie de vous mesurer à des étrangers au poker et accroitre vos gains en vous faisant un peu moins ponctionner au passage, il vous faudrait trouver un fournisseur d’accès alternatif qui n’a pas le privilège de faire l’objet de cette ordonnance du tribunal de Grande Instance de Paris.

Pour l’instant, avec l’ARJEL, comme pour ce que l’on attendait avec les sites pédophiles à qui ce traitement était alors exclusivement réservé, on parle bien de blocage de sites. Le blocage de sites, comme stipulé par la décision de justice qui vient de frapper les FAI, doit se faire par “tous les moyens possibles”. Si les fournisseurs d’accès en venaient à appliquer bêtement cette décision, nous assisterions inéluctablement à une surenchère du flicage et à une multiplication des dommages collatéraux induits par les expériences des apprentis sorciers sur des technologies non maîtrisées comme le routage BGP, le Deep Packet Inspection, le blocage DNS… Pour faire une analogie simple, c’est comme si un tribunal avait ordonné aux douaniers français de faire en sorte, par n’importe quels moyens (mazoutage, grenadage, filets dérivants…), que les poissons espagnols ne viennent plus croiser dans les eaux territoriales françaises pour bouffer tout notre plancton d’appellation d’origine contrôlée. En plus d’être inapplicable c’est surtout complètement crétin et on sent bien qu’il y a un danger quelque part, on en a bien un qui finira par bâtir une muraille sous marine et qui réussira à déséquilibrer tout l’écosystème. Et bien je vais vous faire confidence… les internautes, c’est comme les poissons, et Internet c’est bien un écosystème à l’équilibre fragile.

Le vrai danger arrivera quand un technocrate ou un lobbyiste aura l’idée de génie de “prévenir plutôt que de guérir“. En clair, quand il préconisera qu’au lieu de bloquer, on pourrait filtrer. En commençant par habituer les FAI à leur nouvelle casquette de gendarme et en les invitant à la repression, ces derniers auront beau rôle de faire de la prévention, c’est à dire filtrer ou bloquer l’accès à certains sites sans même qu’une plainte ne soit déposée. C’est une dérive logique, une de plus, et si elle n’enchante pas tous les fournisseurs d’accès (on sait que Free est le premier à freiner des deux pieds), d’autres se feront une joie de mettre en place le produits de leurs trouvailles. Les apprentis gendarmes ont donc toutes les cartes en main pour se transformer en garants des bonnes moeurs “par prévention”. Du blocage pur et simple, nous pourrions assister au déploiement de solutions d’analyse statistiques de packets (ou stochastic packet Inspection) dans des points de centralisation (régionaux ?) capable d’altérer l’accès à des sites sur simple suspicion née d’une approche probabiliste d’analyse de données qui transitent sur le réseau d’un opérateur. Un simple mail pourrait alors se perdre ou ne jamais partir s’il vous prenait par exemple l’envie de faire écouter votre serveur smtp sur le port 119. Interdire l’accès à des sites passera forcement par des violations de votre privée, on ne sait pas faire techniquement autrement : analyse de vos communications, filtrage des services … vous êtes maintenant prévenus.

En Australie, où je vous disais que le blocage des sites avait toutes les chances d’être définitivement abandonné, nous avons déjà assisté à des débordements : la liste qui ne devait initialement ne comporter que des sites pédophiles avait fuit sur Wikileaks et nous avions eu la surprise d’y retrouver des sites de référencement de liens torrents ou de jeux en ligne…

Enfin, plus proche de nous l’Allemagne a également dit non au filtrage constatant, comme l’Australie, que ce genre de dispositif ne pouvait fonctionner, tout particulièrement dans un pays qui se veut attaché à certaines valeurs démocrates.

Là tout de suite, si je devais monter un tripot en ligne, je le développerai sur la plateforme de blog Haut et Fort, très appréciée des politiques. Je serais curieux de voir si un FAI est capable de nous poser un deny sur *.hautetfort.com et ainsi rendre inaccessibles les blogs de nombreux députés. Le filtrage et le blocage, tant qu’on y a pas gouté, on trouve ça bon… mais dans la pratique ça va donner quoi à votre avis ?

Publié le

Filtrage du Net et FAI à la baguette

Un pas de géant a encore été franchi aujourd’hui, le cap est connu, c’est toujours le même. L’ARJEL ou autorité des jeux en ligne est l’une des Hautes Autorités chéries du législteur, celle ci vise à faire la chasse aux “pirates” (oui il y a une certaines constance là aussi), ou plus exactement aux sites de jeux qui n’ont pas reçu l’agrément… une sorte de lettre de cachet frappée du sceau de la haute autorité qui vous autorise à percevoir dîme en sol numérique françois.

Comme il est de notoriété publique que tous les pédonazicommunistes jouent au poker sur des serveurs situés sur l’île de Malte (dans la baie juste à côté de celle rapatriée en France par le groupe Bolloré 3 mois avant que la loi sur les jeux en ligne ne passe devant le parlement…), on a décidé d’appliquer au sites de jeux qui mouillent en eaux hostiles au portefeuille des copains, le traitement qu’on avait juré qu’on appliquerait uniquement contre les cellules terroristes d’Al-Qaïda et les frameux pédonazicommunistes… le blocage des sites. Depuis l’ARJEL, les joueurs en ligne pestent, ils ne peuvent se mesurer à des joueurs étrangers, les joueurs sont coupés du monde, ils évoluent dans une sorte de casino online pékinois.

Jouer sur des sites dissidents (ou plutôt des sites qui font de la concurrence trop visible à notre fière et belle industrie du jeux online) fait depuis aujourd’hui, l’objet d’un cadre d’application plus précis, dicté par une décision de justice qui a le mérite d’être claire. La catastrophe tant redoutée est arrivée. On plaque une lame sous la gorge des FAI en leur demandant de filtrer par TOUS les moyens possibles et imaginables. Une astreinte de 10 000 euros par jours pendant un mois sera même appliquée si les fournisseurs d’accès venaient à manquer d’entrain pour engager des frais sans contrepartie, sur décision d’une Haute Autorité, dont le principe est en plus de porter atteinte à l’intégrité et la neutralité d’un réseau de communication vital qu’ils exploitent commercialement et qu’ils construisent. Tout de suite on s’imagine qu’une délicate attention comme celle ci ne va pas passer inaperçue et que quelques lobbyistes de la propriété intellectuelle ne se dérangeront pas pour demander aux FAI le même traitement (à titre gracieux) de 50 000 authentifications quotidiennes sur la base d’adresses ip saisies par les sociétés mandatées par la HADOPI et les ayants droit.

La plainte remonte au mois de juin suite à une saisine en référé, on attendait la décison, elle est donc assez brutale. Un peu comme si on demandait à la police d’arrêter les pickpockets par tous les moyens (y compris de faire feu au milieu d’une foule dans un métro bondé)… et oui la justice sait faire preuve d’une délicatesse extrême, elle nous le prouve ici autorisant implicitement le deep packet inspection et ses techniques dérivées, qui comme on s’en doutait risquent de faire fureur :

  • Soit cette décision ne mesure pas ses conséquences,
  • Soit les conséquences sont très bien connues car voulues depuis longtemps.

Dans les deux cas c’est une mauvaise nouvelle et Jérémie Zimmerman à bien raison de souligner le caractère catastrophique de la situation. Voici en substance ce qui a été énoncé : Les FAI doivent “mettre en oeuvre ou faire mettre en oeuvre, sans délai, toute mesure propre à empêcher l’accès, à partir du territoire français et/ou par leurs abonnés sur ce territoire, au contenu du service de communication en ligne (Stanjames.com)“ et “prendre toutes mesures de nature à permettre l’arrêt de l’accès au service en cause, soit toute mesure de filtrage, pouvant être obtenu (…) par blocage du nom de domaine, de l’adresse IP connue, de l’URL, ou par analyse du contenu des messages, mises en oeuvre alternativement ou éventuellement concomitamment“.

C’est amusant comme tout cela s’emboite bien… comme prévu. Mais ce qui est magnifique ici, c’est que le blocage des sites est arrivé dans notre législation par le jeux en ligne, et qu’on lui donne du premier coup les moyens de muter en ce qu’il y a de pire. La proportionnalité des moyens, on s’en contre fiche, ce qu’on veut c’est bien la peau du Net.

Ça va être long de tenir jusqu’en 2012 !