GuiGui's Show

Excellent historique et résumé de TextSecure / SMSSecure / Signal / Silence.

C’est la question qui revient souvent : « Mais alors c’est quoi le mieux ? Qu’est ce qu’il faut utiliser ? Signal ou Silence ? »

Si vous avez un téléphone Apple, la réponse est simple : Signal.
Silence n'existe pas pour iOS.

Pour les autres, il faut bien comprendre ce que font et ne font pas les deux applications. Voyons donc le détail :

Les bases

Signal permet d’échanger :

• des appels vocaux chiffrés,
• des messages chiffrés,
• des SMS/MMS non chiffrés.

Silence permet d’échanger :

• des SMS/MMS chiffrés,
• des SMS/MMS non chiffrés.

Signal, pour les communications chiffrées, a besoin d’accès à Internet, peu importe comment : 2G, 3G, 4G ou Wifi. Silence, lui, repose uniquement sur la capacité de votre opérateur à transporter les SMS.

Qui voit quoi ?
Commençons par le plus simple : Silence.

Lorsqu’on échange des messages via Silence, les opérateurs (de l’expéditeur et du destinataire) savent grosso modo :

• qui a envoyé un message,
• à qui a été envoyé le message,
• à quelle heure.

Si vous souhaitez discuter de manière confidentielle avec une personne de sorte qu’on ne puisse jamais savoir que vous avez été en contact, n’utilisez pas Silence. Une réquisition auprès d’un des opérateurs permettra d’identifier la personne.

Les messages ne passent pas par Internet, aucun autre acteur n’est impliqué dans l’échange. C’est donc pratique pour discuter avec des gens dont vous vous foutez qu’on sache que vous leur parlez, tout en gardant une certaine confidentialité.

Ça se corse : Signal

Dans le cas de Signal, les opérateurs qui font office de fournisseurs d’accès à Internet (soit l’opérateur téléphonique soit le FAI du réseau wifi que vous utilisez) voient que votre téléphone communique avec l’entité qui est derrière Signal : OpenWhisper Systems (OWS par la suite) et voit des échanges avec Google.

Que fait Google dans cette histoire ? Et bien Google fournit la fonctionnalité qui permet en quelque sorte de réveiller votre téléphone pour qu’il aille vérifier auprès d’OWS qu’un message l’attend. Cela est très utile pour économiser la batterie de votre téléphone. Google ne sait pas avec qui vous communiquez ni ce que vous vous dites.

Les messages transitent par contre par OWS, l’association/fondation/entité qui édite Signal. OWS sait avec qui vous communiquez, à quel moment mais ne peut pas voir le contenu de vos échanges.

Si vous ne faites aucune confiance dans les opérateurs de votre pays, vous devriez plutôt utiliser Signal. En revanche, cela nécessite de faire confiance dans une entité américaine (OWS) sur laquelle vous n’avez aucune maitrise.

Tout le dilemme est résumé. Sachant qu'OWS voit tous les échanges entre les utilisateur-rice-s de Signal alors que, dans le cas de Silence, un opérateur télécom (Orange, SFR, Free, etc.) voit uniquement les échanges relatifs à ses abonné-e-s respectif-ve-s. On est moins sur un système centralisé.

Sans compter que l'Internet mobile nécessaire à Signal, ça ne passe vraiment pas partout tout le temps, même proche des grandes métropoles. Du coup, s'il faut débrayer la sécurité pour communiquer, autant ne pas faire de sécurité, àmha…

Via https://dukeart.netlib.re/shaarli/?BsbXOQ

Une connaissance me fait remarquer que je n'ai pas une fonctionnalité dans mon osmand~ comparé au sien (la possibilité d'avoir des points d'intérêt cliquables pour avoir des infos en plus sur un commerce, par exemple (comme le menu d'un restau, par exemple)). Après recherches, nous constatons que je n'ai pas la même version d'osmand~ que lui. Pourtant, nous l'avons tous deux installé avec f-droid. Après vérification, même ma version de f-droid n'est pas la dernière disponible dans les dépôts f-droid. Pourtant, même après une recherche des mises à jour, aucune mise à jour ne m'est indiquée par f-droid. Je me souviens alors que ça fait plusieurs mois que je n'ai pas mis à jour quoi que ce soit sur mon ordiphone, faute de proposition de la part de f-droid. On ne trouve aucune différence entre sa liste de dépôts et la mienne. L'origine du problème est ailleurs.

La connaissance m'indique avoir déjà eu ce problème et que la solution est de re-installer f-droid. Il m'envoie l'apk de son f-droid en bluetooh (f-droid propose cela dans son menu, à droite après avoir sélectionné une appli). Je l'installe. Je lance l'appli : nouvelle interface graphique mais aucune mise à jour, aucune nouveauté et surtout, il ne détecte plus aucun de mes logiciels installés par son biais. De plus, un loooong message d'erreur est apparu dans une infobulle durant très peu de temps (pas assez pour le lire en entier). Il évoquait une erreur dans la bdd genre un ratage dans un INSERT INTO. Je comprends que le changement de version s'est mal passé.

Je décide de désinstaller complètement f-droid depuis Paramètres -> Applications. J'efface les données de l'application et je désinstalle. J'installe à nouveau le même apk : même problème.

Je me dis alors que le problème peut provenir de données utilisateurs conservées qui seraient invalides. Je prends mon gestionnaire de fichiers, ghost commander et je supprime le dossier Android/data/org.fdroid.fdroid de la mémoire interne de mon ordiphone. Je réinstalle l'apk : même constat. Néanmoins, cette-fois-ci, lors de la recherche de mises à jour, l'infobulle indique « Error getting index file » et la recherche de màj se termine très (trop) rapidement.

Ce message indique assez clairement que l'appli n'arrive pas à communiquer avec le dépôt. J'utilise afwall+ comme firewall sur mon ordiphone. F-droid a changé de signature et il faut l'autoriser à nouveau à communiquer avec l'extérieur.

Une fois la mise à jour des dépôts effectuée, f-droid détecte les applications installées et me propose des mises à jour. \o/

J'avais raté la sortie de l'extension Firefox Grammalecte, correcteur grammatical libre (licence GPL).

Aussi disponible pour Vim et LibreOffice sur le site web officiel Grammalecte.

Cette proposition de loi va être examinée en deuxième lecture, en séance plénière, au Sénat, mardi prochain (le 7 février).

Le seul point restant en discussion est le délai de prescription (délai après lequel une infraction ne peut plus être poursuivie) en matière de presse et d'expression citoyenne en ligne. La droite sénatoriale veut le passer à 1 an depuis de nombreux mois dans différents projets et propositions de loi (genre égalité et citoyenneté) alors que l'Assemblée (et le gouvernement) s'est exprimée pour conserver le délai actuel à savoir 3 mois, indépendamment du support (bah oui, Internet n'est pas une circonstance aggravante).

En cas de maintien du désaccord entre les deux chambres, le dernier mot ira à l'Assemblée donc cette étape n'est pas la plus importante de toute. Néanmoins, il m'apparaît important d'y travailler au cas où il y aurait un changement du sens du vent à l'Assemblée.

L'ennui, c'est que je n'aurais pas de temps à consacrer à cette action militante d'ici mardi prochain. Je fais donc appel à la participation spontanée de ceux et celles qui me lisent.

• Pour les arguments, il n'y a rien de neuf, c'est ici et ici en version politique.
  
  

• Pour la stratégie, je ne suis pas mieux placé que quiconque pour en établir une mais perso, je commencerai par contacter les député-e-s de l'ex-groupe écolo à l'Assemblée notamment Isabelle Attard car leurs assistant-e-s sont de bons conseils.

  • Ensuite, je contacterai les sénateur-rice-s du groupe écolo notamment Esther Benbassa car je l'ai lu et entendu prendre des positions intéressantes sur les thématiques que je traite d'habitude comme la sortie de l'état d'urgence, par exemple. À ce stade, l'idée est d'obtenir des informations de l'intérieur : les intentions des un-e-s et des autres, y aura-t-il le dépôt d'une mention de rejet préalable (renvoyant le texte à l'Assemblée sans examen) qui a des chances d'être adoptée ? Les sénateur-rice-s LR ont-il-elle-s seulement l'intention de déposer un amendement pour réintroduire l'atteinte à la liberté d'expression et à celle de la presse ? Quelles sont les acteurs et les pressions ? Quelles sont les possibilités d'action, etc.
    
    
  • Enfin, il faudra éventuellement (en fonction des informations obtenues lors de l'étape précédente) faire rejeter l'amendement visant à tenter de modifier à nouveau la loi de 1881. Soit en y allant en frontal en tentant de convaincre le groupe Les Républicains d'arrêter sa vaine croisade et de ne pas poser d'amendement mais je pense que nous ne sommes pas assez nombreux-ses pour cela. Soit en essayant de convaincre les groupes d'opposition afin qu'ils fassent bloc pour contre-carrer la majorité. Pour cette étape, attention à la logique de groupe (délégation de votes) qui domine le Sénat. Je pense qu'il faut donc identifier et cibler les président-e-s des groupes politiques au Sénat ainsi que les sénateur-rice-s en charge de traiter cette proposition de loi. Téléphoner au sénateur François-Noël Buffet, rapporteur de ce texte pour le Sénat, sera utile (pour montrer que des citoyen-ne-s ne soutiennent pas ces attaques en règle répétées contre leur liberté d'expression et d'information) mais ne sera pas décisif, à mon humble avis.

Je compte sur vous ? :)

ÉDIT DU 31/01/2017 À 18H05 : Avancées du jour. FIN DE L'ÉDIT.

François Fillon n’a pas seulement salarié son épouse ou ses enfants avec les fonds publics mis à sa disposition par le parlement. À l’époque où il siégeait au Sénat, il s’est mis dans la poche une partie des crédits théoriquement réservés à la rémunération d’assistants, grâce à un système de commissions occultes.

Et après, on viendra t'expliquer qu'un-e pauvre député-e / sénateur-rice ne peut pas s'intéresser à tous les sujets de la vie politique car ça requiert du temps et des compétences et que le budget pour employer des gens est short… … … Pfff.

L'article oublie de rappeler que le problème est double : certes ces pratiques de clans & dynasties politiques familiales qui permettent de concentrer le pouvoir sont détestables mais surtout, le principal reproche est qu'il s'agirait d'emplois fictifs à 6 900 € puis 7 900 € brut mensuel, au moins sur la période 2002-2007 (je cite cette période en particulier car la presse dispose de plusieurs témoignages concordants sur celle-ci).

Le masque du candidat qui te parle de rigueur budgétaire, d'exemplarité (comme le faisait aussi Sarko, pour rappel), d'assistanat, de son comportement éthique, etc. tombe enfin.

On notera aussi que le "tous pourris sauf Marine Le Pen" tombe aussi bien à l'eau puisque son garde du corps fût payé comme assistant parlementaire pendant quelques mois pour un total de 40 000 €, ce qui est un mauvais usage d'un financement public dont la finalité est fixée à l'avance (oui, je sais qu'il y aurait d'autres traitements contestables mais je choisis de mettre celui-ci en avant car c'est le plus manifeste)… … … http://www.lefigaro.fr/elections/presidentielles/2017/01/27/35003-20170127ARTFIG00190-assistants-parlementaires-marine-le-pen-sommee-de-payer-340000-euros.php . On notera que la ligne de défense est identique : "on cherche à me salir, à me casser car mon heure de gloire est arrivée, c'est une manœuvre politicienne". Certes, ce n'est pas exclu, ça sort pile au bon moment et tout, mais quand même… … …

Les sommes siphonnées entre 2005 et 2007 par l’actuel candidat LR à la présidentielle ne dépassent sans doute pas les 25 000 euros mais des juges d’instruction ont d’ores et déjà estimé que le stratagème utilisé, partagé avec nombre de sénateurs UMP entre 2003 et 2014, pouvait relever d’une infraction pénale. Plusieurs élus en ayant profité viennent même d’être mis en examen pour « recel de détournements de fonds publics ». À ce stade, l’information judiciaire en question porte uniquement sur des faits postérieurs à 2009, période à laquelle François Fillon avait déjà quitté le palais du Luxembourg pour Matignon. Son cas ne fait donc pas l’objet d’investigations.

[...]

Il suffit de savoir que les parlementaires n’épuisent pas toujours l’enveloppe mise à leur disposition pour salarier des assistants personnels. Plutôt que de laisser leurs « restes » dans les caisses du Sénat, certains élus préfèrent alors les déléguer à leur « groupe politique » (la structure qui se charge d’organiser le travail collectif entre élus d’une même étiquette). Jusque-là, rien d’irrégulier. Si l’institution tolère ce transfert, c’est qu’il permet aux groupes (subventionnés par ailleurs) d’embaucher des collaborateurs supplémentaires, donc d’améliorer le travail parlementaire. En théorie.

Car entre 2003 et 2014, le système a été perverti côté UMP : des sénateurs récupéraient en douce un tiers du crédit qu’ils déléguaient au groupe. Dans les couloirs du palais du Luxembourg, cette commission portait même un surnom, désuet et euphémisé à souhait : « la ristourne ». Selon les années et les courants politiques auxquels appartenaient les bénéficiaires, ces sommes ont pu suivre divers circuits, être directement distribuées par le groupe UMP ou bien transiter par une association fantoche baptisée Union républicaine du Sénat (URS), plus discrète, qui se chargeait de signer les chèques.

Uniquement l'UMP serait à l'origine de cette fraude, vraiment ? Mon œil, ouais.

[...]

Comme Mediapart l’a détaillé dans une précédente enquête, ces commissions ont rarement dépassé 4 000 euros par personne et par trimestre. Mais sur douze ans, ce goutte-à-goutte a concerné des dizaines d’élus et les subventions publiques déroutées de leur objet initial se comptent en millions d’euros.

Entre ARN et Grifon, deux FAI associatifs, le premier autour de Strasbourg, l'autre autour de Rennes, nous avons deux tunnels GRE (un par routeur) depuis avril 2016 afin qu'ARN partage ses transits IP avec Grifon dans l'optique de palier, sans un surcoût inabordable, les insuffisances (les services Google et HE sont inaccessibles en IPv6, les services Google sont lents en IPv4, etc.) de l'unique transitaire de Grifon, c'est-à-dire Cogent. Depuis la fin 2016, Grifon dispose d'un deuxième transitaire physique, Quantic Telecom, et n'a donc plus besoin d'ARN. Nous avons décidé de conserver les tunnels au moins quelques mois, "au cas où", histoire de ne pas avoir à refaire la config' à l'arrache si jamais il y a un problème.

En conséquence, Grifon positionne la communauté BGP « no-export » (0xFFFFFF01 aka 65535:65281) sur les annonces BGP qu'elle envoie à ARN, ce qui a pour effet qu'ARN n'annonce pas à ses transitaires qu'elle connaît directement Grifon, ce qui a pour effet qu'aucun trafic à destination de Grifon transitera par ARN. En plus de cela, Grifon affecte, à la session BGP avec ARN, une préférence (distance administrative dans la langue Cisco) plus faible afin de passer par ARN pour sortir du trafic uniquement si aucun autre choix n'est possible.

Samedi dernier, l'infrastructure de Grifon était en maintenance totale et le routeur a été redémarré. Comme FreeBSD n'est pas un système sérieux pour équiper un routeur un poil moderne, les tunnels GRE ne sont pas remontés automagiquement. Pourtant, à partir de ce moment-là, on constate qu'ARN réannonce Grifon sur Internet. Pourquoi ?! Si les sessions BGP, établies en passant par les tunnels, étaient allumées, alors l'annonce BGP en provenance du tunnel serait privilégiée (AS_PATH plus court + préférence locale plus élevée) et la communauté BGP no-export serait respectée donc ARN ne devrait rien ré-annoncer. Si les sessions BGP étaient éteintes, alors ARN, n'ayant aucune route directe vers Grifon, ne devrait rien réannoncer non plus.

Chez ARN, nous avons deux routeurs. L'un tourne avec BIRD, l'autre avec Quagga. Demandons à ces logiciels ce qu'ils annoncent aux transitaires d'ARN :

    bird6> sh route export bgp_cogent
    2a00:5881:8100::/40 unreachable [static_arn_allocations 01:24:19] * (200)

    quagga> sh ipv6 bgp nei 2001:978:2:57::7:1 advertised-routes
    [...]
    *> 2a00:5881:8100::/40   2001:978:2:57::7:3  0  32768 i
    *> 2a00:5884::/32        2001:978:2:57::7:3  0  32768 174 204092 i

En effet, si BIRD exporte uniquement l'allocation IP d'ARN, Quagga réannonce l'allocation de Grifon dont il a eu connaissance via Cogent (on voit cela car le numéro d'AS de Cogent, 174, traîne dans l'AS_PATH ;) ).

Pourtant, on a configuré un filtre :

    neighbor UPSTREAM-v6 prefix-list ARN-AND-DOWNSTREAMS-V6 out

    ipv6 prefix-list ARN-AND-DOWNSTREAMS-V6 seq 5 permit 2a00:5881:8100::/40
    ipv6 prefix-list ARN-AND-DOWNSTREAMS-V6 seq 10 permit 2a00:5884::/32

Celui-ci indique de redistribuer notre allocation et celle de Grifon à tous nos transitaires dès qu'une route est présente dans la RIB BGP. Pour qu'une route atterisse dans la RIB, il faut soit en être à l'origine (« network » et « aggregate-address » dans la configuration, principalement) ou l'importer dans notre RIB depuis un autre protocole (depuis la gRIB/FIB Linux, depuis OSPF/ISIS (même si c'est très fortement déconseillé par les bonnes pratiques !), etc.) ou l'obtenir via un pair BGP, ce qui est le cas ici puisque Cogent appprend l'existence de Grifon à nos routeurs.

Comment faire pour ne pas que le Quagga d'ARN redistribue l'annonce qu'il obtient via Cogent ? En filtrant sur l'AS_PATH : il faut (re)annoncer uniquement les routes dont l'AS_PATH est vide (ce qui signifie que l'annonce a été crée/générée localement afin d'annoncer un préfixe local) ou s'il contient uniquement l'ASN de Grifon.

Comment écrit-on cela dans la langue de Cisco ?

    address-family ipv6
      neighbor UPSTREAM-v6 filter-list no-redistribute-grifon-over-cogent out
    exit-address-family

    ip as-path access-list no-redistribute-grifon-over-cogent permit ^$|^204092$

Notons :

• Qu'il faut aussi appliquer cela à la session BGPoIPv4 ;

• Que l'on aurait pu utiliser une liste séquentielle au lieu d'un "OU" dans une seule regex :

  ip as-path access-list no-redistribute-grifon-over-cogent permit seq 5 ^$
  ip as-path access-list no-redistribute-grifon-over-cogent permit seq 10 ^204092$

Et pourquoi BIRD ne fuite rien, lui ? Parce que la syntaxe de sa config' est moins vaseuse : on filtre les préfixes reçus sur la session BGP avec Grifon et, lors de l'export vers les trannsitaires, on filtre sur le protocole d'origine (celui qui a fait entrer le préfixe dans la RIB). Exemple :

    template bgp UPSTREAM
    {
        [...]

        export where proto = "static_arn_allocations" || proto = "bgp_grifon" ;
        export limit 2 action disable;
    }

Pour information, un template BIRD est l'équivalent d'un peer-group dans la terminologie Cisco. Ici, nous exportons au maximum deux préfixes qui peuvent provenir uniquement des protocoles désignés par leur nom c'est-à-dire la session BGP avec Grifon et la null-route correspondante à notre allocation IP.

ÉDIT DU 13/02/2017 À 18H40 : bonne remarque en https://twitter.com/chiwawa_42/status/831061688472522752 . Oui, les bonnes pratiques privilégient plutôt que l'on attribue des communautés aux downstreams et que l'on s'en serve pour filtrer. Car les communautés regroupent toutes les opérateurs possibles en un mécanisme unique donc ça génère moins d'aléas et d'oublis dans la conf'. Mais, à l'heure actuelle, ARN a fourni du transit IP à Grifon pour dépanner et ne fournit pas de transit IP à d'autres structures. Or, quand on a un seul downstream, une config' avec des communautés demande plus de taff : il faut toujours matcher les préfixes en entrée du downstream, leur attribuer une communauté et il faut matcher cette communauté en sortie sur les upstreams. Sans compter qu'un filtrage par préfixe en sortie sur les upstreams reste nécessaire malgré les communautés : une fausse manip' peut conduire à attribuer la communauté "ceci est un downtream" à un pair qui n'en est pas un (le filtrage par préfixe limite la casse, ceinture et bretelles) ou, plus simplement, le routeur peut se vautrer et ignorer les communautés (bug connu en 12.2.33SRC, par exemple).

Merci à Chiwawa d'avoir prolongé la convers' sur IRC. :) FIN DE L'ÉDIT DU 13/02/2017 À 18H40.

Je ne savais pas que Debian fournit une ISO netinstall multi-arch (32 bits et 64 bits desktop). Et le menu de l'installeur choisit automatiquement l'architecture amd64 si possible sinon i386. Pratique pour faire des tests avec des machines virtuelles (une seule ISO à conserver / garder à jour) et pour un-e débutant-e qui ne sait pas si sa machine prend en charge les instructions 64 bits.

Via le guide d'autodéfense numérique.

Pouetsimulator : Heeey ~
Peniyaourt : Salut Léa, quoi de neuf ?
Pouetsimulator : Bah, tu sais, cette semaine y'avait mon copain pour la première fois chez moi !
Peniyaourt : Ah, question conne mais bon, ça c'est bien passé ? x)
Pouetsimulator : Oh que oui ! Tu sais, mon copain, c'est (ou plutôt c'était :D) un peu le geek puceau classique quoi, il avait jamais été avec qui que ce soit avant.
Peniyaourt : Yep, et ?
Pouetsimulator : Bah il mattait des tuto sur TOUT ! Genre "comment faire un cuni", "comment bien embrasser", "comment faire jouir sa partenaire"... C'était trop mignon, ça me faisait trop rire ! x'D
Peniyaourt : Ah ouais quand même, c'te honte x)
Pouetsimulator : Ouais, bah je me marre beaucoup moins maintenant... Plus jamais je ne sous estimerai des tutos sur internet... T'as pas idée d'à quel point je trouve que mes exs étaient des gros manchots maintenant.
Peniyaourt : Hé bah 'w' Mais... Pourquoi tu me racontes tout ça en fait ?
Pouetsimulator : Je racontais ça à ta copine, puis du coup elle m'a dit de te le dire
Peniyaourt : ...?
Pouetsimulator : "Il serait peut être temps qu'il en lise, des tutos sur internet, lui" qu'elle a dit... :D
Peniyaourt : AH LA SAL...eté !

La magie des tutos ? :) Quand tu vois la qualité de wikihow.com et des tutos infos, t'en doutes, mais bon… … …

J'ai participé à cette consultation. En deux fois : découverte et tentative de compréhension des problématiques et des enjeux début décembre puis envoie de mes votes et arguments au dernier moment c'est-à-dire hier soir avant la deadline. Ici, je fais une synthèse de ma position sur le sujet, l'intégralité de mes prises de position étant de toute façon publiquement accessible sur la plate-forme de consultation.

Les députés auteurs de cette consultation ont déjà déposé des propositions de loi (ppl) pour aller dans le sens d'une généralisation des consultations publiques en matière de fabrique de la loi. Elles n'ont pas été examinées et ne le seront probablement pas sous cette législature mais cela donne une idée de la volonté de leurs auteurs. La ppl qui sortira de cette consultation ne sera probablement pas examinée sous cette législature, ce qui implique que les deux députés soient ré-élus aux législatives de 2017. Bref, beaucoup d'incertitudes sur le devenir de ce travail de consultation.

Je suis favorable à la généralisation des consultations publiques parlementaires sous les conditions suivantes :

• La consultation doit être ouverte dès que le projet de loi ou la proposition de loi est à l'étude dans les cabinets ministériels ou chez les parlementaires, c'est-à-dire en amont de son dépôt sur le bureau d'une des chambres du Parlement. Car c'est à ce stade que l'orientation générale se fait, que les premières pressions extérieures des lobbys de carrière se font sentir et que les premiers compromis (arbitrages dit-on pour être poli) se font. De plus, la maturation d'une réflexion prend du temps, chaque citoyen-ne doit donc avoir plusieurs mois pour répondre à la consultation, ce qui n'est pas possible dans le cadre purement parlementaire.
  
  
• Tous les textes, sans aucune exception, doivent être ouverts à la consultation. Les député-e-s n'ont pas le monopole du bon sens, des bonnes idées et des bonnes solutions sur certaines thématiques. Hors de question de consulter uniquement quand cela arrange les politiques de carrière. Le-a citoyen-ne peut intervenir à chaque étape (commission, séance publique) de chaque chambre pour enrichir le texte et/ou s'opposer (en argumentant) à des modifications votées par une chambre.
  
  
• L'intégralité des données brutes de chaque consultation doit être disponible en open data, sous une licence libre et dans un format numérique facilement réutilisable. Au-delà de ça, il peut y avoir production d'une synthèse, réponse aux propositions qui ont reçu le plus de votes, etc. mais ça, je m'en fiche complètement tant que cela ne fait pas obstacle à la publication des données brutes car c'est de l'enrobage. La question n'est pas de savoir qui lira ces données brutes et sous quel prétexte. La question est de laisser la possibilité à quiconque de le faire. Soit parce que c'est son sujet d'étude (pour de la recherche, un reportage journalistique, un travail associatif, etc.) soit pour vérifier après coup que la consultation n'a pas dérapée (un peu comme l'urne transparente lors des élections) soit pour toute raison que je n'imagine même pas.
  
  
• Quel(s) prestataire(s) sera(ont) en charge des consultations ? Est-ce que cela sera une unique société commerciale comme cap-collectif l'a été pour toutes les consultations jusqu'à ce jour ? Quid alors des conflits d'intérêt ? Est-ce que cette société commerciale aura un accès privilégié à la commande publique et aux financements pour structurer la société civile et l’innovation démocratique, comme c'est le cas aujourd'hui ? N'est-ce pas inquiétant que l'ensemble des citoyen-ne-s dépose toutes leurs opinions politiques (et plus encore car la politique est transversale) dans un seul système d'information opaque et centralisé, propriété d'une société commerciale privée ? Voir « Le « gouvernement ouvert » à la française : un leurre ? ». Une plateforme en logiciel libre (sans traqueurs ni ressources externes) issue de la mutualisation par la demande (création d'un consortium public qui passerait commande d'un logiciel libre répondant aux besoins) ainsi que la compétence du Parlement dans la gestion technique/administrative/autre des consultations en tant que service public (je ne sais pas quel terme est réellement approprié) est le minimum vital.
  
  
• Si la consultation est uniquement accessible sur le web, cela exclura d'office des catégories entières de la population : handicapé-e-s (de là, on comprend qu'une plateforme de consultation respectant les normes et règles en matière d'accessibilité est le minimum vital), ceux et celles qui n'ont pas encore fait la transition numérique, ceux et celles qui ne peuvent pas procéder à cette transition, etc. D'un autre côté, je crois beaucoup plus en la vertu d'une discussion écrite car elle sera plus posée, plus structurée, plus argumentées (moins de rhétorique et elle se verra de manière flagrante) et qu'il y aura une trace des échanges (hors de question d'échapper à ses propos). De plus, une discussion écrite sera plus indexable que la vidéo d'un échange oral. Cela permet des recherches plus faciles des années après, cela ne demande pas du travail supplémentaire pour sous-titrer la vidéo pour les sourd-e-s/malentendant-e-s, etc. De plus, organiser un débat physique avec de la téléprésence, c'est toujours compliqué : où auront lieu ces débats, en IddF ? Il apparaît important de défrayer les participant-e-s, est-ce qu'on impose aux employeur-euse-s de laisser participer leurs employé-e-s à n'importe quelle condition ? Qualité de la connexion Internet et minimisation des bugs pour la téléprésence, etc. Bref, la gestion événementielle est très lourde pour des débats oraux dont la qualité argumentaire laissera à désirer, àmha. Or, il n'y a que le numérique qui puisse permettre une telle profusion d'idées et d'échange par écrit (tout en respectant un minimum l'environnement). La question est : comment accompagne-t-on ces personnes handicapées ou désavantagées alors que la réflexion politique se doit en même temps d'avoir une part toute personnelle ? L'accompagnement ne doit pas être trop pesant. J'avoue ne pas avoir de réponses.
  
  
• Comment sera assurée la promotion de chaque consultation c'est-à-dire comment chaque citoyen-ne saura que telle ou telle consultation est ouverte ? Car si les seuls supports de communication sont les sites web des parlementaires à l'origine d'une ppl ou quelques rares sites web de presse spécialisés ou la propagation via les réseaux sociaux, alors on aura toujours un très fort biais dans la représentativité des participant-e-s. Que fait-on ? Information sur les sites web des chambres du Parlement ? Sur service-public.fr ? Tracts/affiches ? Ou l'on espère que les médias à large audience se saisiront du sujet à chaque fois ? Ou que la prise de conscience d'une capacité de participation va entrer dans les mœurs magiquement (ou par l'école, ce qui revient à peu près au même) ?
  
  
• Quant à décider si les propositions issues de la consultation les plus plébiscitées doivent forcément être intégrées dans le projet de loi ou la proposition de loi, j'y suis plutôt défavorable. Le-a citoyen-ne n'a pas encore l'habitude (ni l'aisance) du débat argumenté par écrit là où les lobbys sont formés à cela ; Le-a citoyen-ne a un travail et doit participer sur son temps libre là où les lobbys seront payés pour participer, c'est leur travail ; Les citoyen-ne-s et les lobbys pourront bidouiller les votes avec des robots comme cela se fait sur les réseaux sociaux. Le combat est trop déséquilibré. Je pense que les citoyen-ne-s ne sont pas encore prêt-e-s pour une démocratie directe. Les consultations (purement consultatives, donc) seront formatrices, elles permettront d'entrer dans la vie politique (au sens noble du terme) en douceur et de documenter les erreurs, les fautes et les errements des politiques de carrière ("sur tel et tel point, on vous l'avait bien écrit, sur un support dont vous ne pouviez ignorer l'existence !"). Si elles rencontrent le succès de la participation citoyenne au point de regrouper un nombre d'électeur-rice-s susceptibles de faire basculer une élection, ces consultations ne pourront mécaniquement plus être ignorées par les politiques de carrière. La généralisation des consultations est un premier pas vers l'encapacitation (empowerment en anglais) des citoyen-ne-s nécessaire à une démocratie directe. La démocratie directe implique une plus grande prise en main du-de-la citoyen-ne par le-a citoyen-ne.
  
  
• Il m'apparaît que la question de fond qui est posée par cette initiative de généralisation des consultations est la suivante : comment éclaire-t-on les citoyen-ne-s ? (et cela ne veut pas dire expliquer une position jusqu'à la nausée c'est-à-dire jusqu'à ce que le bon Peuple soit d'accord comme le font nos politiques de carrière) Comment les fait-on participer à la vie politique (au sens noble du terme de vie de la cité, pas au sens de politique politicienne de carrière) ? Comment les encapacite-t-on (empower en anglais) ? Cela va au-delà du cours d'éducation civique où l'on présente béatement et sommairement la zolie démocratie représentative et quelques institutions. Il y a un vrai travail (associatif, de préférence) de terrain à faire pour comprendre et s'approprier le Droit et les enjeux sociaux et sociétaux (les seuls enjeux de société selon moi mais je suis biaisé). De même, tout le monde n'est pas à l'aise pour s'exprimer, débattre sur ses idées, les confronter, ni à l'aise avec le vocabulaire d'un domaine (attention, je ne parle pas de quelque chose que l'éducation ou la formation peuvent résoudre mais quelque chose de plus profond tendance habitus culturel et capital culturel). Bref, participer à la vie politique, ça s'apprend et il faut encapaciter les citoyen-ne-s avant d'envisager de migrer vers une démocratie directe.

Et même avec tout ça, il reste encore beaucoup de modalités à préciser. Exemple : la plateforme de consultation peut utiliser France Connect, mais je dois rester libre de pouvoir m'identifier par un autre moyen. De même, il ne doit pas y avoir une publication de l'état civil car alors il ne peut plus y avoir de prises de position en l'absence de risques de pression (ce n'est pas pour rien que le vote est secret). Bref, nous sommes à l'ébauche de quelque chose de nouveau.

Sur le plan personnel, je me suis encore une fois laissé déborder par le temps, du coup la réflexion n'est pas forcément aussi aboutie que je l'aurais espérée, je n'ai pas pu voter/argumenter sur chaque proposition (notamment concernant les délais et le logiciel libre + gouvernance) et je ne peux pas recevoir de commentaires en provenance de citoyen-ne-s.

The Certification Authority Authorization (CAA) DNS Resource Record allows a DNS domain name holder to specify the Certification Authorities (CAs) authorized to issue certificates for that domain.Publication of CAA Resource Records allows a public Certification Authority to implement additional controls to reduce the risk of unintended certificate mis-issue.

Like the TLSA record defined in DNS-Based Authentication of Named Entities (DANE) [RFC6698], CAA records are used as a part of a mechanism for checking PKIX certificate data. The distinction between the two specifications is that CAA records specify an authorization control to be performed by a certificate issuer before issue of a certificate and TLSA records specify a verification control to be performed by a relying party after the certificate is issued.

[...]

A set of CAA records describes only current grants of authority to issue certificates for the corresponding DNS domain. Since a certificate is typically valid for at least a year, it is possible that a certificate that is not conformant with the CAA records currently published was conformant with the CAA records published at the time that the certificate was issued. Relying Applications MUST NOT use CAA records as part of certificate validation.

[...]

CAA records MAY be used by Certificate Evaluators as a possible indicator of a security policy violation. Such use SHOULD take account of the possibility that published CAA records changed between the time a certificate was issued and the time at which the certificate was observed by the Certificate Evaluator.

[...]

Before issuing a certificate, a compliant CA MUST check for publication of a relevant CAA Resource Record set. If such a record set exists, a CA MUST NOT issue a certificate unless the CA determines that either (1) the certificate request is consistent with the applicable CAA Resource Record set or (2) an exception specified in the relevant Certificate Policy or Certification Practices Statement applies.

L'idée est intéressante. Elle peut permettre de limiter la casse quand un revendeur (qui dispose d'une API auprès d'une AC bien établie) se fait dégommer ou autre (comme dans le cas de l'émission de faux certificats x509 par Comodo en 2011 (d'où les auteurs du présent RFC sont des employés de Comodo ?)). Ça sera inutile dans un cas où l'AC se fait totalement trouer (comme dans le cas de l'attaque contre Diginotar en 2011) car, dans ce cas, la vérification logicielle sera contournée. C'est aussi inutile contre un attaquant client de la même AC (ce qui est devenu fréquent avec Let's Encrypt), sauf à utiliser les extensions de CAA permettant de préciser quel compte LE et/ou quelle méthode de validation sont autorisés.

Dommage d'avoir salopé cette bonne idée en introduisant la possibilité d'un contournement du résultat de la validation en se basant sur la politique de certification propre à chaque AC. En gros, on laisse à chaque AC la possibilité d'implémenter puis ensuite de débrayer la sécurité ajoutée en fonction d'un contrat moral… Ça signifie qu'il y aura une fonctionnalité prévue, codée dans le logiciel d'émission de certificats utilisé par l'AC, pour débrayer la sécurité. Fonctionnalité que le pirate pourra utiliser tranquillou. :)

De plus, tous les logiciels ont des bugs : « Let's Encrypt announced that it had discovered a bug in its CAA (Certification Authority Authorization) code. The bug opens up a window of time in which a certificate might be issued even if a CAA record in that domain's DNS should prohibit it. » (source).