Bon, il me semblait que c’était clair, que tout le monde avait bien compris ce que faisait seedfuck… visiblement non. Troisième et dernière couche sur ce proof of concept. Rien que ce matin j’ai 6 alertes Google qui racontent tout et n’importe quoi sur Seefuck, le tout orchestré par une « quasi réponse » du ministère de la culture à une question d’un parlementaire.
Les idées fausses :
Seedfuck ne vous rend pas du tout anonyme sur les réseaux p2p, c’est en fait TOUT le contraire, votre IP peut se voir injectée dans un tracker torrent et vous pouvez ainsi vous retrouver accusés à tort de « négligence caractérisée » puisque votre ip a été collectée sur un tracker torrent.
Seedfuck a accompli sa mission de proof of concept : il a prouvé que le flashage d’une adresse ip ne suffisait pas à identifier un internaute comme étant le réel contrevenant. Ainsi TMG a du se résoudre à revoir sa procédure et l’intox des politiques qui racontent que ceci n’a aucun effet sur la collecte des IP, c’est juste du pipot de gros calibre. Conclusion : quand le ministère de la culture annonce en réponse au député Zumkeller que » le risque de voir, dans les saisines transmises à la Haute Autorité, des personnes dont les adresses IP auraient été usurpées au moyen du programme SeedFuck est quasi inexistant » il omet de préciser 2 choses : le surcoût qu’engendre seedfuck et la signification du « quasi ».
Le « Quasi » décidément très en vogue
Si un quasi pirate malveillant émule du trafic entre les paires en se basant sur des hashing de fichiers surveillés, il faut que les quasi cybercops de TMG téléchargent un bout du fichier pour s’assurer que le trafic correspond bien à du trafic réel et non à du quasi trafic. Le risque est quasi inexistant, mais il n’est pas quasi sans impact.
Et paff le portefeuille :
Flasher une ip = coût négligeable, procédure complètement automatisée
Prouver que l’IP télécharge un fichier bien réel = révision de la procédure et révision à la hausse du coût de l’identification.
J’espère que vous me pardonnerez ce titre volontairement racoleur, vous ne trouverez pas de scoop ou de nouveau code d’exploitation dans ce billet, juste un point de vue dont je ne cacherai pas les orientations viscéralement anti HADOPI, mais vous allez voir je pense que ce rejet est motivé par des causes réelles et difficilement contestables, les faits sont là. Commençons par les mensonges qu’on nous a ressassé depuis quelques temps pour tenter de justifier l’injustifiable, c’est bien de les avoir en tête pour prendre la mesure de l’injustice provocant violence de ce qui nous attend si le gouvernement s’obstine dans cette voie :
1° Internet est la source de tous les maux
C’est le premier lieu commun (infirmé par de sérieuse études… très sérieuses même) sur lequel se fonde le texte de la loi HADOPI. Nous sommes donc face à un faux problème, la dégradation des revenus des foyers et le rapport entre le budget culture et l’apauvrissement des français est lui, totalement éludé depuis le début. D’ailleurs le gouvernement vous le dit et vous le répète, la crise économique n’existe plus depuis le grand emprunt, ayez confiance … et achetez nos cd.
2° La riposte graduée va faire augmenter les ventes de disques
Bêtise ou naiveté ? Non, n’en croyez rien, il ne s’agit que d’une étape, même Pascal Nègre, quand il affirme qu’HADOPI 2 multipliera par 4 les ventes de musique en ligne, sait très bien qu’il raconte des bétises pour amuser la presse, il ne s’agit là que d’une étape pour obtenir le cul de la crémière. Les signaux ont été nombreux, d’ailleurs la filière disque ne s’en cache même pas, elle négocie déjà :
Il n’y a pas pire sourd que celui qui a décidé de ne pas entendre. Sans parasitage avec l’utilisation d’un outil comme Seedfuck, on peut estimer à 30% de faux positifs les IP qui seront collectées par les sociétés mandatées par les ayants-droit. Les parlementaires ont souhaité fermer les yeux sur des réalités techniques, « parce que le chef l’a demandé » ou parce que « les voitures c’est pareil, elles ont des plaques d’immatriculation falsifiables et on a bien mis des radarts » (sauf qu’un automobiliste ne s’arrête pas à 100m d’un radart pour changer de plaque d’immatriculation comme peut le faire un internaute et qu’il n’est pas possible d’injecter des milliers de plaques d’immatriculation sur une autoroute) … quoi que comme le montre cette photo, certains se sont essayés à quelques hacks amusants :
4° Si on est contre HADOPI c’est qu’on est un voleur pédophile nazi violeur psychopathe qui met des bombes dans les médicaments au quatre coins du globe… ce qui représente en fait 5 gus dans un garage.
Désolé de vous la faire en mode condensé mais c’est à peu près la définition d’un internaute dans la tête d’une poignée de décideurs démocratiquement élus … ou d’autres se trouvant sur les bancs de l’Assemblée par concours de circonstances (qu’on n’oserait qualifier de calcul). Ces mêmes personnes omettent souvent de dire que de nombreux anti HADOPI ont aussi fait de réelles propositions de financement de la création, toutes rejetées pour la même raison : préserver les intérêts, l’opacité et surtout le train de vie scandaleux d’organismes parasites qui ont le toupet de prétexter que les artistes crèvent du téléchargement. Mais dans les faits, le téléchargement, c’est souvent comme les frittes Mc Cain, c’est ceux qui en parlent le plus qui le subissent le moins.
5° Internet met le droit d’auteur en péril
Quel meilleur argument pour terroriser les créateurs, même si ce dernier est juridiquement absurde ? Internet n’a à ma connaissance pas modifié le droit d’auteur imprescriptible et inaliénable dont un créateur peut jouir sur ses oeuvres. C’est bien sur l’exploitation de ses droits patrimoniaux (sur lesquels les organismes parasites n’hésitent pourtant pas à se goinfrer) qu’il est lésé. On ne parle pas donc de droit d’auteur mais de profit, il y a une petite nuance… trois fois rien. Et c’est justement parce que les organismes parasites se goinfrent sur les droits voisins et les droits patrimoniaux que ces derniers ont _TOUJOURS_ refusé une répartition transparente ou de _VRAIES_ solutions de financement de la création … c’est moche la peur de l’exclusion quand on tourne à 400 000 euros par an et quand s’offre presque deux fois mon propre salaire rien qu’en notes de frais). Le jour où tous les artistes se décideront à publier leur contrat sur un wiki et à les comparer, je peux vous assurer qu’on va se taper un sacré fou rire et que ça va en motiver quelques uns à changer de maison de disques ou de société d’auteur.
6° HADOPI va renflouer les caisses de l’Etat
Ne riez pas c’est un argument que j’ai pu lire ici. Aujourd’hui, tout porte à croire, comme nous l’avions prévu depuis fort longtemps, qu’HADOPI sera un gouffre pour le contribuable. Seedfuck vient enfoncer le clou (si ce n’est pas Seedfuck ce sera un autre), et obligera quoi qu’il arrive à mener de véritables enquêtes avant de couper une connexion sous peine de se retrouver devant un juge avec un dossier affligeant de ridicule.
7° Internet tue les artistes
Bon ça d’accord, Internet a bien tenté de tuer Johnny, mais il semblerait que la tentative ai échoué … ah non, c’était un hoax anticipatif. Si quelqu’un a plus d’informations sur un décès d’artiste provoqué par :
une lapidation à coup de modems,
un étranglement au câble ethernet,
un guillotinage par lecteur de DVD,
un AVC par déni de service…
ou toute autre technique de cyber criminel …je suis preneur.
8° L’Etat va jouer son rôle de nounou en vous apportant un logiciel de « sécurisation » ..
Oui enfin visiblement, c’est pas pour tout de suite vu que les spécifications n’ont même pas été rédigées (on ne sait pas ce que ce parasite fera sur vos machines, on sait juste qu’il ne fonctionnera que sur Windows… et merde, il va falloir que je m’en télécharge un pour le mettre dans une VM à moins que la HADOPI n’offre une licence pour toute installation de son mouchard). Il devient maintenant évident que l’HADOPI commencera ses vagues de spams alors que le logiciel de sécurisation reste de la science fiction. Et franchement, quelque part, tant mieux car quand on lit les explications de Franck Riester aux questions de PCInpact, on a de quoi avoir très peur. Il s’agira :
soit d’un trojan qui scannera sans vergogne toutes vos données personnelles sous prétexte de recherche d’un hash de torrent surveillé et communiquant en permanence avec des milices sur un modèle client/serveur bien opaque
soit d’un logiciel de contrôle parental politique … la Chine l’a bien fait ….communiquant en permanence avec le ministère de la police et qui filtrera sur liste pédophiles, terroristes, opposants politiques, grandes gueules (comme moi)
Si vous n’êtes pas prêts à accepter une caméra de vidéo surveillance dans votre salon directement connectée au ministère de la police, c’est que vous n’êtes pas non plus prêts à installer le logiciel de « sécurisation » de la HADOPI .
Sous les octets, la plage …
Allez on s’arrête là pour les causes du mal qui est en train de s’imprégner dans nos réseaux même si j’ai encore une bonne vingtaine de clichés absurdes sur la « flibuste » du Net dont nous pourrions nous délecter pendant des heures tellement la surenchère propagandiste du gouvernement et des lobbys qui lui ont, de notoriété maintenant publique, bourré le mou, a été savante sur le sujet.
Passons maintenant au cyber 68 qui nous attend grâce à tout ça.
Le premier effet Seedfuck est un engouement assez incompréhensible pour un proof of concept que l’on savait déjà de longue date faisable, et même déjà en pratique sur les trackers de the Pirate Bay. Incompréhensible ? Peut être pas tant que ça si on considère que l’adresse IP est, comme le désigne le premier décret d’application, le seul élément de preuve collecté pour confondre un internaute… ce qui est « léger », pour rester poli.
Des inexactitudes et des déformations à propos de Seedfuck
Seedfuck est illicite : ceci est une malencontreuse extrapolation pour ne pas dire une bêtise, vu que seul un juge est à même de définir si Seedfuck est légal ou non, pour qu’il soit rendu illégal, il faudrait que l’adresse IP soit reconnue comme un élément attestant de l’identité d’une personne ou qu’il porte une atteinte matérialisable sur des infrastructures.
Seedfuck permettra aux internautes de passer inaperçus sur les réseaux P2P : alors je ne sais pas qui a été le premier à sortir cette bêtise, mais elle a été allègrement reprise, jusqu’à se retrouver sur FRNOG qui ne m’avait pas habitué à relayer ce genre de non sens. Seedfuck ne vous anonymise en rien sur un réseau P2P.
Je n’ai de cesse de le répeter depuis le début, il porte sur 3 points essentiels pour que l’HADOPI puisse être applicable :
Le coût de la procédure : Seedfuck devrait faire exploser le coût d’une procédure que le législateur voulait complètement automatiser. Manque de chance, la nouvelle donne avec Seedfuck c’est qu’il va falloir faire des vérifications un poil plus poussées qu’il va devenir compliqué d’automatiser.
La légalité de la procédure : il existe en droit un principe de non incitation à commettre une infraction. Ça n’a l’air de rien dit comme ça, mais si on se place dans notre contexte avec l’existence de Seedfuck, ça veut dire que TMG ou les autres sociétés mandatées devront apporter une preuve plus solide que l’IP sans pour autant inciter l’internaute à télécharger l’oeuvre. Je vous invite à lire ce billet de Magicaltux qui donne une solution techniquement valide pour ne pas se laisser duper par Seedfuck … seul problème, comme le fait remarquer Max en commentaires, elle ne tient pas un instant la route devant un tribunal.
La pertinence de l’adresse IP comme preuve : c’est complètement crétin, tout le monde le sait, mais c’est tout ce que les brillants cerveaux qui ont conçu HADOPI et le mécanisme de riposte graduée ont trouvé pour confondre les internautes et sur ce seul et unique point Seedfuck a eu le mérite de réveiller un vent de protestation de tous horizons;
Seedfuck est un puissant outil parce qu’il :
Hack la loi,
Hack le porte-feuille,
Réveille les consciences.
I had a dream …
Vu la décontraction et la légèreté de Franck Riester quand on lui parle de Seedfuck, je me suis pris à rêver d’une nouvelle absurdité dont le gouvernement serait tout à fait capable : Et si la HADOPI ne surveillait en fait QUE le réseau Edonkey ?
Ce ne sont là que des soupçons naissants, aucun fait ne venant le confirmer, mais aucun fait ne venant non plus l’infirmer. Mais si tel était le cas … tout ce bruit pour surveiller emule alors que BitTorrent est la véritable autoroute du P2P aurait pour effet de provoquer chez moi un fou rire dont il me faudrait plusieurs jours pour me remettre… comme un constat d’échec, un avoeu d’impuissance … avant même d’envoyer les premiers mails.
L’obstination ministérielle dans la médiocrité et le mépris le plus total du travail parlementaire
Des questions de datant de MAI 2009 n’ont TOUJOURS pas été traitées par le gouvernement alors que la pratique parlementaire est de répondre dans les 2 mois (4 quand on est très patient)… là on entame bientôt la première année ! De nombreuses questions de parlementaires sont relatives au fait que l’adresse IP est considérée par la HADOPI et par les e-gnares qui l’ont voté comme le une preuve (anéfé) valable, susceptible de confondre un internaute … alors que devant huissier, l’UFC Que Choisir a pu constater le contraire ! Là on peut me dire ce qu’on veut mais ça confine à l’entêtement idiot, bête et méchant.
Il faut donc plus d’un an au ministre pour avouer que son prédécesseur a raconté n’importe quoi, un an aux godillots pour admettre qu’ils ont été bien mal inspirés de voter bêtement un texte auquel il n’ont rien compris et s’appuyant sur des études bidons commanditées par des moines copistes de DVD. Un an pour comprendre que ces mêmes moines copistes de DVD ne s’arrêteraient pas là et en demanderaient encore plus … et ça va faire 2 ans qu’on vous le claironne.
L’inéluctable escalade dans la bêtise et la violence
Et comme la suite est dramatiquement prévisible, nous allons nous orienter vers une HADOPI 3 qui tentera de brider comme elle le peut à coup de DPI, de BGP et autres idioties, pour lesquelles vous nous préparez habilement le terrain à coup de « quasi neutralité » ou de « droit d’accès à des contenus licites », comme le disait Nathalie Kosciusko-Morizet au colloque de l’ARCEP sur la Neutralité du Net, venant ansi introduire à demi mot le filtrage dynamique des contenus pour savoir si tel ou tel octet est légal ou pas (non mais franchement, vous rendez-vous seulement compte de l’énormité de ce propos?). Vous pensiez que ça passerait inaperçu ? L’escalade est donc inévitable, le chiffrement lourd va devenir une solution ordinaire, de nombreux outils vont voir le jour et à force de vouloir écouter tout le monde vous n’entendrez plus personnes … ni les internautes partageurs, ni les terroristes, ni les pédophiles … tout le monde utilisera ces outils car tout le monde prendra plaisir à se cacher, tout le monde aura envie de prendre le maquis.
Introduire la notion de « légalité » dans les tuyaux des FAI à qui on demande d’être neutres, c’est consacrer le chiffrement lourd, l’onion routing, les vpn chiffrés … tout ce à quoi le gouvernement veut faire la sourde oreille arguant que les techniques de contournement sont réservées aux seuls experts (#lol : t’as vu la tronche de l’expertise ?) et que les internautes promettent depuis deux ans. L’exemple des radarts sur les autoroutes ne prévoyait pas le coup des voitures en mode furtif avec de la peinture invisible ou les tunnels sous l’autoroute … c’est là encore une erreur de jugement de votre part sur laquelle on vous a pourtant mis le nez… que vous fallait il de plus ?
La suite logique : la criminalisation du chiffrement (« la Chine l’a bien fait » ® J.Myard)
Une fois que les réseau P2P classiques seront désertés, les utilisateurs se concentreront sur des techniques de chiffrement lourd, ce qui déplaira de fait aus ayants-droit. Qu’à cela ne tienne, interdisons l’usage cryptographique ou n’autorisons que ce qu’il est possible de casser sans trop d’effort. Si la Chine le fait après tout, pourquoi pas faire de même en France. Le chiffrement, après tout, c’est bien connu, il n’y a que les terroristes et les pédophiles qui l’utilisent…Allez, finit SSH pour administrer vos serveurs, il faudra vous faire une raison à utiliser FTP. Jacques Myard n’a de cesse de le dire, notre internet est tout pourri, il convient donc de le nettoyer :
HADOPI est injuste à bien des égards et si la justice comme nos institutions fonctionnent correctement, elle sera abrogée, purement et simplement. Si tout ceci ne fonctionne pas, c’est la Nature qui oeuvrera en poussant vers la retraite une poignée de tyrans dont les mensonges n’ont d’égal que leur peur bien perceptible de ce qu’ils ne comprennent pas.
J’écrivais sur ce même blog qu’HADOPI allait être le VietNam de Nicolas Sarkozy en faisant référence au fanstasme albanellien de « sur-référencement de l’offre légale » (offre légale qu’on attend toujours au passage… comme les artistes attendent d’ailleurs toujours une solution pour financer la création). Toute la presse, tous les spécialistes en arrivaient aux mêmes conclusions… Et c’est Lundi 3 Mai 2010 que nous saurons quand la guerrilla va réellement commencer.
Une interview de Michel Zumkeller a aujourd’hui été publiée sur 01Net. Le député a récemment demandé au ministre de la culture, de s’expliquer sur un problème laissé en suspend depuis bientôt un an qui est le risque important de voir de nombreux innocents accusés à tort par la HADOPI d’avoir illégalement téléchargé des oeuvres. Le journaliste de 01Net titille un peu Michel Zumkeller sur Seedfuck et j’abonde dans la démarche de Michel Zumkeller qui sans éluder la menace pose son regard sur le problème de fond sans plonger dans la psychose des vilains pirates, c’est franchement tout à son honneur.
Les faits à propos de Seedfuck:
Seedfuck est un proof of concept et non un logiciel hostile (ce que ces successeurs pourraient devenir).
Seedfuck n’est que l’apéritif, l’INRIA a par exemple validé la thèse des attaques par scan DHT pour confondre des utilisateur du P2P derriere le réseau TOR, à n’en pas douter, cette attaque se retournera contre les sociétés mandatées part les majors. Peu de temps avant la publication de cette étude, j’en parlais d’ailleurs dans ce billet.
Seedfuck n’est pas une arme technique mais une arme psychologique qui est là pour rappeler la faiblesse de la seule adresse IP comme preuve : ça c’est le premier problème majeur.
Seedfuck pourrait très vite faire grimper substantiellement la facture de la collecte des adresses ip que le gouvernement souhaitait complètement automatisée, « comme avec des radarts sur une autoroute », sans l’intervention d’un juge pour ceux qui n’ont pas la mémoire courte. On s’est donc orienté vers des ordonnances pénales, ce qui est une manière détournée d’évacuer le problème.
Mais il y a bien pire que Seedfuck…
Si on peut trouver une parade à un proof of concept, il y a un adage, chez nous qui dit la chose suivante : « There Is No Patch To Human Stupidity »… on ne patch pas la bêtise. J’y ajouterai que patcher l’ignorance a un cout financier social et humain que la HADOPI (donc le contribuable) risque de sentir passer avec ce qui va suivre.
Je vous en ai longuement parlé dans ce livre blanc. Il s’agit du WiFi, aujourd’hui présent dans toutes les box des founisseurs d’accès à Internet, livré par activé par défaut de manière non sécurisé chez certains fournisseurs d’accès (comme Numéricable).
Chaque année, depuis 5 ans maintenant, je me fais une session de wardriving. Il s’agit de recencer les réseaux WiFi et d’observer le chiffrement qu’ils utilisent. Cette année, les chiffres n’ont pas évolués, près de 60% des réseaux sans fil que j’ai relevé peuvent être pus ou moins facilement crackés. Le fichier de dump contenant les noms des réseaux et les adresses mac des points d’accès, je ne sais pas si j’ai le droit de les diffuser publiquement, toutefois si vous êtes journaliste et que votre demande est motivée par le besoin de vérifier mes propos dans un but d’information je vous invite à m’en faire la demande. En voici un court extrait (le fichier comporte plus de 2000 points d’accès recensés (non crackés, je précise) :
L’étape suivante, que je ne pratique pas car elle ne m’intéresse pas, c’est de géolocaliser ces réseaux, il suffit de brancher un GPS sur la machine qui réalise le wardriving (tout comme Google lui même le fait). Et vous devinez la suite ?
Imaginez une carte Google, qui serait mise à jour par des milliers d’internautes et qui recenserait des réseaux WiFi avec
leur position exacte,
leur SSID (nom de réseau)
leur clef WEP ou WPA qu’une personne aurait déja cracké
Les logiciels de sniffing WiFi incluent déjà tout ce qu’il faut pour cette pratique, comme l’export du dump pour Google Earth ou la visualisation géolocalisée des réseaux :
Enfin, WiFi ou pas WiFi, avec plus de 90% du parc informatique sous Windows (et plus de 40% dans des versions obsolètes, crackées ou pas à jour), le délit de négligence caractérisée devient une présomption de culpabilité et il n’est toujours pas proposé aux internautes une défense équitable ni un moyen de sécurisation absolu … car il n’existe pas. Dans ces conditions je ne m’étonne pas un instant de n’avoir encore vu passer la moindre bribe de spécification du logiciel de sécurisation de Christine Albanel et voté dans HADOPI 2 (le « Anéfé réjeté, gogogadjeto’firewallopenoffice« , ça marche à l’Assemblée Nationale, mais dans la vie réelle, c’est une autre paire de manches). C’est bien là toute l’absurdité de la loi HADOPI que nous dénonçons depuis le début.
Les récentes et consternantes déclarations de Franck Riester sont la pour nous rappeler qu’HADOPI est une guerre perdue d’avance car la loi elle même, comme les personnes qui l’ont rédigé, ne connaissent pas leurs ennemis ni leurs alliés.
HADOPI était sourde dans l’Hémicycle, elle est aujourd’hui aveugle.
Quand Franck Riester est questionné à propos de Seedfuck, sa réponse commence par le déni :
« C’est faux »
C’est marrant, tout le Net s’y attendait à celle là… mais pas de votre part. Alors Monsieur Riester, regardez bien ceci, faites le examiner par une personne qui sait de quoi ça cause, demandez lui à quoi correspondent les plages IP que vous y voyez … je vous assure que ce programme, ses variantes, et ce qui va inéluctablement en découler est bien réel. Je m’amuse de voir votre empressement à nier l’évidence alors que notre Ministre, en un an, n’a pas été fichu de répondre à la moindre question de parlementaires sur la validité de l’adresse IP comme élément de preuve à charge. Je trouve encore plus drôle de vous voir répondre aussi promptement à la presse sur un code que vous ne comprenez pas, après une année de bredouillements et d’enfumage sur les bancs de l’Assemblée pour défendre un texte que vous savez très bien, au fond de vous même, inapplicable et idiot.
« En plus, ces programmes complexifient le partage »
C’est un point de vue comme un autre mais c’est surtout celui d’une personne qui pense que controuner l’HADOPI est très compliqué et que le P2P est le seul moyen d’échange, je vous invite donc à lire la rubrique « contourner HADOPI pour les nuls » de ce même blog en suivant le tag HADOPIPROOF. Comprenez simplement que Seedfuck est une invitation à migrer vers des trackers privés, à étudier le fonctionnement de la surveillance des réseaux par TMG qui au passage emploie les mêmes méthodes « de hacker » que Seedfuck en spoofant (usurpant) les adresses IP d’internautes innocents. C’est écrit dans leur brevet !
« Moi, je lutte contre les hackers. »
C’est bien là tout le problème Monsieur Riester, vous luttez contre quelque chose que vous ne connaissez pas, que vous ne comprenez pas et dont vous ne connaissez pas la définition. Je vous invite à découvrir la signification de ce mot et à présenter vos excuses aux communautés de hackers, à savoir des amateurs, des bidouilleurs, des passionnés. Votre amalgame entre hacker et cybercriminel est une démonstration de plus, s’il en fallait que vous n’avez pas les compétences et la culture requise pour traiter ces dossiers.
« Internet ouvre de formidables possibilités. Mais il y a des limites. »
Vous les avez une fois de plus dépassé Monsieur Riester.
Alors que le Net est toujours en ébullition autour de Seedfuck, ce petit proof of concept continue son bonhomme de chemin et intéresse des experts du P2P. Tout le monde s’accorde à dire que tuer les réseaux P2P n’est pas la bonne solution, du coup, la cible identifiée devient TMG, marquant ainsi une nouvelle étape dans la préparation de la cyber guerilla qui se profile et qui fait maintenant peu de doutes.
Un simple élément du protocole d’échange P2P Bittorent pourrait permettre le développement d’un nouveau proof of concept visant à éjecter du réseau les IP identifiées et surtout les paquets DHT issus des serveurs de TMG. Notez qu’il existe déja des serveurs de TMG qui diffusent de faux paquets DHT sur le réseau déclarant ainsi de fausses Inodes (leur permettant de récupérer les IP des gens qui s’y connectent).
Les amateurs apprécieront cette simple ligne de Python qui en dit long :
from BitTorrent.Rerequester import DHTRerequester
L’élement visé est donc la requête DHT, qui permettrait, dans certaines conditions d’éjecter du réseau BitTorrent par scans répétés. Même si TMG change rapidement d’IP, cette nouvelle méthode s’avère être un SPOF (Single Point of Failure) du dispositif de TMG. Tout semble indiquer que TMG a mis le premier le doigt dans un engrenage qui sera exploité et retourné contre lui.
Des outils comme Peerguardian pourraient donc se voir dotés de nouvelles fonctionnalités qui rendraient la vie bien plus compliquée à TMG. Les serveurs DHT se certifient entre eux et une création massive de serveurs DHT pourrait vite polluer l’écoute de TMG et même forcer au drop (une déconnexion sans ménagement) du réseau… et oui, il existe bien un début de proof of concept. Il ne s’agit encore que du début de la réponse des internautes partageurs à TMG, quand ces derniers auront clairement identifié les faiblesses de l’infrastructure de TMG, ils pourraient bien leur donner beaucoup de fil à retordre. En pratiquant comme on le soupçonne une pollution DHT/PeX (Peer Exchange), TMG a involontairement ouvert la porte à l’utilisation d’une arme qui risque de se retourner contre lui.
Non, nos députés ne s’adonnent pas à de nouvelles pratiques sexuelles divergentes sur les bancs de l’Assemblée Nationale. En revanche, Seedfuck, le petit programme qui innonde les réseaux P2P et qui commence à proliférer dans d’innombrables versions sur le net (en java, en php, en python, en c#, en C++, en perl …), inquiète suffisamment pour qu’un député en vienne à poser la question qui fâche.
L’information a été révélée par PCInpact, et est disponible en sa question, sur le site de l’Assemblée Nationale. Le député UMP Michel Zumkeller interroge le ministre de la Culture : « M. Michel Zumkeller interroge M. le ministre de la culture et de la communication sur la mise en place d’Hadopi et donc du contrôle des téléchargements sur Internet. En effet, il semblerait qu’un petit programme inonde les réseaux de téléchargements, en peer to peer, de fausses adresses IP. Ainsi, des centaines de personnes se trouvent dans la liste des personnes ayant téléchargé illégalement même si elles n’ont rien fait. Il souhaite donc connaître sa réponse sur ce sujet et sur les possibilités juridiques offertes aux internautes qui seraient victimes de procédures injustifiées. »
En trame de fond, il faut savoir que la HADOPI s’apprête à mettre en route le système de spam le plus cher du monde, sans honorer son devoir légal de fournir une solution logicielle promise, inscrite dans la loi HADOPI 2, à savoir le logiciel de sécurisation sensé prouver l’innocence d’un internaute s’il y a lieu. Cette pirouette juridique est expliquée par Marc Guez (SCPP) comme suit à 01Net : « Nous pensons que oui, car l’envoi des messages a été validé par le Conseil constitutionnel dans le cadre de la première loi Hadopi, alors que les sanctions pour non-sécurisation de l’accès à Internet relèvent de la deuxième »
Seedfuck est comme nous l’avions dit une arme psychologique plus que technique qui vient de parvenir à briser la confiance que certains députés lui apportaient pour l’avoir voter. Si la menace est bien réelle, la HADOPI s’apprête à appliquer une présomption de culpabilité au plus grand mépris des droits élémentaires de la défense. Ceci est évidemment inacceptable !
Bon là vous allez voir, on a touché le fond, ou quand les sociétés privées emploient des méthodes qui fricottent avec l’usurpation d’identité pour vous piéger.
Tout d’abord, il faut lire le troisième commentaire de cette page, il semble fort bien renseigné et argumenté, même si je dois avouer que je n’ai pas eu le temps de faire des recherches pour confirmer ces informations. Et je dois vous avouer que passer le fou rire, ça me fait quand même réfléchir.
Tout d’abord le four rire :
« Avec juste le serveur 85.159.232.81 dans emule, faite une recherche sur ‘( ‘ en type mp3 avec au moins 10 sources. (n’oubliez pas de désactiver kad). vous trouverez des fichiers, notamment pas mal concernant m. jackson. telechargez ces fichiers : vous constaterez environ 70 sources IP, dont 65 sont des ip artificiellement injectées, correspondant a des utilisateurs du bresil, du portugal, de pologne ou d’autre pays europeens. (environ 5-10 ip par pays). concernant la france, ces ip renvoient chez des clients wanadoo, free, dont certain sont ACTIFS ET EN LIGNE, MEME s’ils n’ont aucune connexion sur un reseau p2p … »
Là on parle bien de spoofer l’adresse IP d’un internaute qui n’a peut-être jamais mis les pieds sur un réseau P2P, ou qu’y s’y trouve et donc rencontre des problèmes de connexion puisque TMG usurpe son IP pour accéder au même service que lui ! Ainsi, un internaute téléchargeur, croisant sa propre adresse IP sur un réseau P2P pourrait engager des poursuites contre TMG si l’adresse IP était reconnue comme un élément de votre identité.
Ce qui nous amène directement à … Seedfuck.
Seedfuck fonctionne sur un principe différent pour des finalités différentes. Mais si TMG use bien de spoofing IP, on se demande ce qu’on reprochera aux internautes qui l’utilisent pour tromper TMG. D’ailleurs toujours sur Seedfuck, j’en profite pour vous signaler, que comme prévu, le code est en train de muter, il est passé en GPL (une version threadée en Python), et plusieurs variantes amusantes se trouvent sur Pastebin ou d’autres pasters.
Le plus triste là dedans c’est d’avoir raison … on assiste comme prévu à une course à l’armement, aux frontières de la légalité, de la part des uns et des autres. Tout ça à cause de quelques moines copistes de DVD…
Il s’est passé beaucoup de choses ce weekend autour de Seedfuck, ce qui n’était qu’un petit proof of concept accessible à quelques nerds est aujourd’hui un petit logiciel utilisable par n’importe qui :
En PHP (une nouvelle variante mode web, installable sur n’importe quel hébergement grand public, renommée BTPoison.php car elle est assez différente dans son fonctionnement et moins « trash »)
Seedfuck va subir encore pas mal d’évolutions et il y a un risque de le voir inoculé via des chevaux de Troie sur des machines « zombifiées ».
Seedfuck a donc muté de l’état de proof of concept à l’état de menace réelle et sérieuse en 48 heure, preuve de la volonté des internautes de s’opposer à cette mauvaise réponse au faux problème que représente la HADOPI,
AVERTISSEMENT : Polluer les réseaux P2P avec des adresses IP serait passible de poursuites selon l’article 434-23 du Code Pénal (Merci à @manhack et @ericfreyss de nous l’avoir rappelé).
Tout va très vite sur Internet, vraiment très vite, un internaute vient de nous poster un lien sur un portage de Seedfuck, avec une belle interface web. C’est du Web.py, c’est redoutable, et maintenant à la porté de tout le monde, sans nécessiter d’installation… Le source est éditable en ligne et permet maintenant, à n’importe qui de pourrir les trackers d’IP prédéfinies ou pas (moyennant encore quelques petits ajustements).
L’engouement autour de ce petit bout de code me surprend énormément et la réactivité des internautes et leur faculté à prendre les armes pour lutter contre HADOPI me laisse sur le C***
Ce site utilise des cookies pour faciliter votre confort de navigation et sauvegarder vos préférences. Vous pouvez tout accepter, ou sélectionner ceux que vous souhaitez accepter.
Necessary cookies are absolutely essential for the website to function properly. These cookies ensure basic functionalities and security features of the website, anonymously.
Cookie
Durée
Description
cookielawinfo-checkbox-analytics
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Analytics".
cookielawinfo-checkbox-functional
11 months
The cookie is set by GDPR cookie consent to record the user consent for the cookies in the category "Functional".
cookielawinfo-checkbox-necessary
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookies is used to store the user consent for the cookies in the category "Necessary".
cookielawinfo-checkbox-others
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Other.
cookielawinfo-checkbox-performance
11 months
This cookie is set by GDPR Cookie Consent plugin. The cookie is used to store the user consent for the cookies in the category "Performance".
viewed_cookie_policy
11 months
The cookie is set by the GDPR Cookie Consent plugin and is used to store whether or not user has consented to the use of cookies. It does not store any personal data.
Functional cookies help to perform certain functionalities like sharing the content of the website on social media platforms, collect feedbacks, and other third-party features.
Performance cookies are used to understand and analyze the key performance indexes of the website which helps in delivering a better user experience for the visitors.
Analytical cookies are used to understand how visitors interact with the website. These cookies help provide information on metrics the number of visitors, bounce rate, traffic source, etc.
Advertisement cookies are used to provide visitors with relevant ads and marketing campaigns. These cookies track visitors across websites and collect information to provide customized ads.
Bon, il me semblait que c’était clair, que tout le monde avait bien compris ce que faisait seedfuck… visiblement non. Troisième et dernière couche sur ce proof of concept. Rien que ce matin j’ai 6 alertes Google qui racontent tout et n’importe quoi sur Seefuck, le tout orchestré par une « quasi réponse » du ministère de la culture à une question d’un parlementaire.
Bon là vous allez voir, on a touché le fond, ou quand les sociétés privées emploient des méthodes qui fricottent avec l’usurpation d’identité pour vous piéger.
