The actual vulnerability (a padding oracle attack against RSA encryption that uses PKCS1v1.5 padding) was originally published in 1998 by Daniel Bleichenbacher. This padding oracle vulnerability allows an attacker to take an encrypted message, and repeatedly send altered ciphertexts to the server (each time looking for some indication of a padding error), and consequently decrypt the original message.
[...]
Sadly, when we look at PHP software (both open source and proprietary), we still uncover application-layer cryptography protocols written in 2016 that are vulnerable to this attack (and others we'll cover below).
[...]
In PHP, most RSA implementations will make use of two functions to actually encrypt/decrypt data:
- openssl_public_encrypt()
- openssl_private_decrypt()
Look at both function prototypes. There's an insecure default value here.
The constant OPENSSL_PKCS1_PADDING tells the OpenSSL extension, "We want to use PKCS1 v1.5 padding." But, as we said before, it has been public knowledge that RSA encryption that uses PKCS1 v1.5 padding is vulnerable to a padding oracle vulnerability since 1998. This attack is more generally known as the "million message attack" due to the attack cost requiring a million messages to recover a plaintext.
The solution is to specify OPENSSL_PKCS1_OAEP_PADDING whenever you use either function. This constant forces the use of OAEP padding instead of insecure PKCS1 v1.5 padding.
[...]
If you read the previous section and thought, "Okay, if I just remember to use OAEP, I'm in the clear to directly encrypt arbitrary messages with RSA," not so fast. You actually cannot encrypt large messages with RSA directly (proof-of-concept code).
When confronted with this limitation, most developers try to be clever: They'll just break the message into 214-byte chunks (for 2048-bit keys) and encrypt each block independently. As a shorthand, we refer to this as RSA in ECB mode.
Aside from the obvious attack (you can duplicate, reorder, or delete 214-byte blocks at will without creating a decryption error) and the fun you can have with known-plaintext attacks, RSA is slow. Criminals are more likely to just abuse this feature for DDoS amplification (to great effect) than to pursue any cryptanalysis efforts.
The best way to implement public key encryption is to build a hybrid cryptosystem, which combines symmetric-key and and asymmetric-key cryptography algorithms. [...]
Via https://twitter.com/bearstech/status/813819230630068224 via https://twitter.com/bluetouff
Une carte temps réel des ressources utilisées pour produire de l'électricité par une majorité des États d'Europe ainsi que les émissions polluantes associées à cette production, en équivalent CO2 ainsi que les imports/exports entre ces États.
C'est là où je découvre vraiment que l'équivalent CO2, c'est une métrique extrêmement limitée : nucléaire = éolien = 12g/kWh < hydro < solaire. Forcément, la France, pays nucléarisé à mort, apparaît comme une bonne élève.
Numerama relève quelques limites de ce projet :
Electricity Map est intéressant mais encore perfectible : certains pays ne sont pas facilement cliquables — on pense au Portugal et à la Grèce –, tandis que d’autres ne sont tout simplement pas représentés sur la carte : où sont Malte et Chypre ? La Croatie est grisée alors qu’elle fait partie de l’Union européenne et les informations sont indisponibles pour les États en dehors de l’Union.
Pour ma part, je rappelle qu'en France, RTE propose 3 jeux de données : données temps réel, données consolidées et données définitives et qu'il y a parfois un écart entre le temps réel et le définitif.
Habitué à la commande shred, je découvre la suite d'outils secure-delete. Quelles différences ?
sfill (effacer, de manière sécurisée, l'espace disponible sur un support de stockage), sswap (effacer, de manière sécurisée, une partition swap) et smem, renommé sdmem dans le package Debian (effacer, de manière sécurisée, l'espace disponible en RAM) n'ont pas d'équivalent avec shred ;srm et shred ?
srm travaille exclusivement sur des fichiers réguliers. Ainsi, il n'existe pas d'équivalent à shred /dev/sdc avec srm. Du coup, il n'est pas possible d'effacer juste l'entêtre d'une partition chiffrée ou un disque dur en entier (y compris la table des partitions et tout), par exemple ;shred réécrit plusieurs fois (3 couches par défaut) des nombres aléatoires sur chaque fichier puis ajoute éventuellement une couche de zéros (si c'est demandé avec l'option « -z ») puis renomme puis tronque puis efface chaque fichier. srm suit la méthode de Gutmann : réécrit plusieurs fois des couches de nombres aléatoires, des couches avec les valeurs spéciales définies par Gutmann puis ajoute éventuellement une couche de zéros (si c'est demandé avec l'option « -z ») puis renomme puis tronque puis efface le fichier. srm veuille à vider les buffers à chaque passe, pas shred. srm est, a priori, un poil plus sécurisé même si Gutmann a modifié son papier depuis pour indiquer que quelques passes suffisent avec les disques dur récents (pas besoin de dérouler les 38 passes de son algo initial, quoi) et le NIST (peut-on leur faire confiance ? ;) ) a confirmé que les analyses magnétiques sont rendues inopérantes avec les nouveaux disques dur, compte-tenu de leur grande densité ;srm possède un mode récursif (« -r »), pas shred. Le comportement de shred est plus personnalisable (nombre de passes, nombre d'octets à écraser, etc.) que celui de srm.Je profite de ce shaarli pour rappeler que si ce type d'effacement sécurisé (shred ou srm, peu importe) a montré son efficacité sur les disques dur, c'est tout l'inverse pour les supports de stockage basés sur de la mémoire flash (SSD, clé USB, carte SD, etc). De plus, il faut faire attention aux autres traces laissées par la journalisation des systèmes de fichiers modernes (qui, par défaut, ne contient pas le contenu des fichiers mais quand même), les mécanismes de cache, RAID, snapshots, compression, etc. ainsi que les mécanismes de lissage de l'usure incorporés directement dans le microcode de nos supports de stockage modernes. À ce sujet, le manuel de shred a une longueur d'avance sur celui de srm car il présente les limites de l'outil. La seule solution fiable, c'est d'utiliser le chiffrement intégral des supports de stockage.
« Dans le cadre de la consolidation en cours de Cyanogen, tous les services et les compilations journalières soutenues par Cyanogen seront supprimés au plus tard le 31/12/2016. Le projet Open Source et le code source resteront disponibles pour tous ceux qui veulent construire CyanogenMod individuellement, » pouvons-nous lire sur le blog de la société.
Le dérivé d’Android CyanogenMod, privé du support et des ressources de la société, peut aujourd’hui être considéré comme mort. L’éditeur, dont le management actuel l’a mené à cette décision pour le moins regrettable, se coupe toute possibilité de revenir dans la course.
[...]
Un nouvel OS mobile sera proposé au public : Lineage. « C’est plus qu’un nouveau nom, explique l’équipe en charge de CyanogenMod. Ce fork reviendra aux racines de l’effort communautaire qui définissait CyanogenMod, tout en maintenant la qualité et la fiabilité professionnelles à laquelle vous vous attendez maintenant. »
:((((
Comment veux-tu convaincre des noobs d'utiliser autre chose que du Google Android de base ? Au moins Google ça marche et ça ne prend pas la tête à suivre. Là, il faudra expliquer aux gens que Cyano => Lineage pour des raisons qui sembleront totalement obscures aux non-initié-e-s. Continuons comme cela, le libre vaincra. Pffffffffff :((((
Ne jamais oublier que sur BSD et GNU/Linux, cette option est gérée par le noyau lui-même, pas par l'implémentation BGP (BIRD, OpenBGPd, Quagga, XORP, etc.). Cela signifie que si le mdp n'est pas le même sur chaque routeur BGP, la session ne se monte pas car le noyau du receveur d'un SYN n'y répond pas car il ignore silencieusement ce segment TCP car son condensat MD5 est incorrect.
Dans un lab, une capture réseau me montrait que les SYN étaient bien envoyés et reçus mais que mes routeurs les ignoraient. Je pensais à un problème de pare-feu mais j'avais bien ouverts les ports. Si l'on stoppe l'implémentation BGP, le routeur d'en face reçoit bien un RST. Jusqu'à ce que je relise la conf' de mes routeurs et que je constate l'absence de mdp d'un côté. J'ai désormais l'explication : les SYN étaient ignorés car le hash MD5 était incorrect. Tout s'explique.
Le passage des saisons est une alternance entre deux périodes :
- du 21 juin au 21 décembre : où la journée dure de moins en moins longtemps et où le Soleil est de plus en plus bas dans le ciel ;
- du 21 décembre au 21 juin : où la journée est de plus en plus longue et le Soleil va de plus en plus haut dans le ciel.
Nos ancêtres l’avaient également remarqué, et comme le Soleil était essentiel, ne serait-ce que pour faire pousser les récoltes et pour éclairer, ils étaient inquiet que le Soleil descende si bas dans le ciel hivernal.
Quand finalement vint le solstice d’hiver (de « sol », Soleil et « -stice », arrêt), ou le Soleil s’arrête de descendre pour ensuite commencer à se relever, les anciens organisaient alors une fête, le « Sol Invictus » destinée à célébrer le présage de jours plus longs et plus chauds.
L’idée du Soleil renaissant dans sa splendeur a donné l’expression « dies natalis solis invicti », ou « le jour de la naissance du Soleil invaincu ».Le solstice d’hiver ayant généralement lieu autour du 21 décembre, et comme il faut toujours quelques jours pour que la remontée du Soleil dans le ciel soit visible par les astronomes, Sol Invictus se tenait autour du 25 décembre.
La définition chrétienne de Noël, elle, a été placée ce même jour par l’Église afin de profiter d’une fête qui était déjà largement implantée dans la culture populaire et mieux se propager un peu partout en Europe.
Il a tout de même fallu attendre l’an 336, soit plus de trois siècles après Jésus Christ, pour que la naissance de ce dernier soit placée au 25 décembre et vienne remplacer Sol Invictus. Car bien avant l’an 336, et même avant l’an 1, Sol Invictus et toute cette période était déjà festive pour beaucoup
La veille de son départ, le Premier ministre Manuel Valls a signé un décret du 5 décembre 2016 créant une Inspection générale de la Justice, accompagné d'un arrêté définissant les modalités de son organisation. [...]
De quoi se plaignent-ils ? Tout simplement, d'avoir appris par la lecture du Journal Officiel la création de cette Inspection générale de la Justice sur laquelle ils n'ont pas même été consultés. [...]
[...]
Le texte de la Constitution de 1958 emploie pourtant une autre terminologie. L'article 64 de la Constitution fait ainsi du Président de la République le "garant de l'indépendance de l'autorité judiciaire", formulation qui est celle du titre VIII. Il est clair que l'"autorité judiciaire" n'est pas le "pouvoir judiciaire". Le constituant de 1958 l'a voulu ainsi pour maintenir la subordination du Parquet à l'Exécutif. Mais cette terminologie conduit à constater que le régime actuel ne repose pas vraiment sur la "séparation des pouvoirs", dès lors qu'il n'existe pas réellement de "pouvoir judiciaire".
La Cour européenne des droits de l'homme en est pleinement consciente, lorsqu'elle considère que les magistrats du parquet, placés sous l'autorité hiérarchique du ministre de la justice, ne constituent pas des "magistrats indépendants" au sens de la Convention européenne des droits de l'homme [...]
[...]
A priori, la nouvelle Inspection générale de la justice semble être issue d'une réforme de bon sens. Elle assume les compétences antérieurement dévolues à l'Inspection générale des services judiciaires, l'Inspection des services pénitentiaires et l'Inspection de la protection judiciaire de la jeunesse. La mutualisation semble donc cohérente. Les missions relèvent quant à elle de l'audit et du contrôle de gestion. Il s'agit d'étudier le fonctionnement des services judiciaires, y compris les juridictions, conformément aux principes d'évaluation de la performance qui sont désormais introduits dans l'ensemble de la fonction publique.
Avant le décret du 5 décembre 2016, cette mission d'évaluation incombait à l'Inspection des services judiciaires. Elle s'exerçait sur l'ensemble des juridictions de l'ordre judiciaire, à l'exception de la Cour de cassation. On peut d'ailleurs regretter que la juridiction suprême ne soit pas intervenue pour protester contre une atteinte à la séparation des pouvoirs touchant les juges du fond.
Quoi qu'il en soit, le statut dérogatoire de la Cour de cassation ne signifie pas qu'elle échappait à toute évaluation. D'une part, elle se contrôlait elle-même et son rapport annuel donnait ainsi des indications chiffrées sur les délais moyens de jugement des affaires inscrites à son rôle ainsi que sur ses ressources humaines. D'autre part, un contrôle de la Cour des comptes sur le fonctionnement de la Cour de cassation pouvait, et peut toujours, être mis en oeuvre, ce qui a été fait en 2015 sans que l'on connaisse encore les résultats de cette évaluation.
[...]
Certains objecteront que sa mission réside dans l'audit, le contrôle de gestion, et non pas celui de l'activité juridictionnelle. Mais le décret ne dit rien de tel. En termes très généraux, il se borne à affirmer que la nouvelle Inspection générale "apprécie l'activité, le fonctionnement et la performance des juridictions". La formule n'interdit pas un contrôle sur la manière dont les arrêts sont rendus, voire sur leur contenu.
En outre, même le contrôle de gestion peut se révéler dangereux dès lors qu'il est exercé par l'Exécutif : un ministre ne sera-t-il jamais tenté de l'instrumentaliser pour faire pression sur la Cour de cassation ? Sur le thème : le contrôle risque d'être très mauvais sauf si... telle ou telle jurisprudence évolue. C'est parfaitement cynique mais n'a-t-on pas déjà vu un Président de la République en exercice s'efforcer, cette fois par des vaines promesses, d'obtenir d'un membre de la Cour de cassation des informations sur une affaire en cours ?
Le décret du 5 décembre constitue ainsi un nouvel épisode témoignant d'un certain mépris du Gouvernement à l'égard de l'autorité judiciaire. On notera d'ailleurs que le Président de la République n'est pas mieux traité, car le texte n'a pas été délibéré en conseil des ministres et il n'a donc pas été invité à le signer. Or, il est garant de l'indépendance de l'autorité judiciaire, sur le fondement de l'article 64 de la Constitution...
Via https://twitter.com/fsirjean/with_replies
#LLC
Encore un epub qui traînait.
Ce livre est la retranscription d'un échange entre 4 militants en faveur des droits et des libertés qui a eu lieu en mai 2012 à l'initiative de l'un d'eux pour son émission sur les ondes de « Russia Today ». Plusieurs thématiques seront traitées : surveillance de masse, censure, hacker la politique, chiffrement complet comme seule alternative à une surveillance et à une industrie devenues trop puissantes, violence coercitive des États, effacement de la limite entre surveillance étatique et privée, est-on encore libre quand le système monétaire et financier est totalement possédé par autrui (cas du blocus financier de Wikileaks ordonné par Washington), etc.
Sur la forme, c'est la première fois que je lis un livre centré sur une retranscription. Ça se lit plutôt bien. En revanche, des erreurs de traduction (« crypter » au lieu de chiffrer, « interception en bloc », etc.) et des problèmes de sémantique (« l'univers, la nature croit en la crypto » alors que l'univers ne croit pas, il est ; utilisation du mot « déchiffrer » en lieu et place de « décrypter » ce qui génère une inversion complète des propos) sont à déplorer.
Sur le fond, c'est très intéressant, ça n'a pas vieilli mais il faut avoir un corpus minimal de connaissances pour suivre aisément ce qui se raconte, notamment les faits qui sont évoqués. Les références permettent de s'y retrouver mais pas d'avoir une aisance leur d'une première lecture par un-e non-initié-e.
Malgré les réserves ci-dessus, je recommande la lecture de ce bouquin.
Quelques notes :
Mon expérience ne cesse de me démontrer que les pays occidentaux sont simplement bien plus sophistiqués au niveau de la désinformation et de la dissimulation de la réalité. Il y a une multiplicité de niveaux qui permettent de nier l’existence de la censure. La censure est comme une pyramide enfouie. Seule la pointe émerge du sable, et pour cause. Seule la pointe est publique – procès en diffamation, assassinats de journalistes, caméras saisies par les militaires et ainsi de suite –, il s’agit de la censure publiquement reconnue. Mais ce n’est qu’une infime partie de l’ensemble. Sous la pointe, la couche suivante est celle de toutes ces personnes qui préfèrent ne pas être vues, qui pratiquent l’autocensure pour éviter de se retrouver sur la pointe. La couche suivante contient toutes les formes d’incitations économiques et d’aides que l’on accorde aux gens pour parler de telle chose plutôt que de telle autre. Plus bas encore se trouve la couche de l’économie brute – les sujets sur lesquels il est économique d’écrire, même si vous ne tenez pas compte des facteurs économiques qui proviennent des niveaux supérieurs de la pyramide. La couche suivante, ce sont les préjugés des lecteurs avec un faible niveau d’éducation, qui sont donc des cibles faciles pour la désinformation, et à qui l’on ne peut même pas expliquer des choses sophistiquées. La dernière couche est celle de la distribution – certaines personnes, par exemple, n’ont tout simplement pas accès à de l’information dans une langue donnée. C’est ça, la pyramide de la censure. Quand il censure les télégrammes du Cablegate, le Guardian s’inscrit dans le deuxième niveau.
Cette censure est facile à nier, soit parce qu’elle se fait à l’abri des regards, soit parce que aucune instruction n’est jamais donnée de censurer telle ou telle affirmation. Il est rare qu’on dise à un journaliste: « N’écris rien là-dessus » ou : « Ne parle pas de ça. » Ils savent très bien ce qu’ils sont censés faire et ne pas faire sans qu’on ait besoin de leur dire parce qu’ils comprennent les intérêts de ceux qu’ils souhaitent satisfaire ou dont ils souhaitent se rapprocher. Si vous vous conduisez bien, on vous donnera une petite tape sur la tête et on vous récompensera, sinon, ça sera moins sympa.
Les sociétés occidentales se sont fait une spécialité du blanchiment de la censure en structurant les affaires des puissants de sorte qu’aucune voix qui perce dans le débat public ne puisse réellement modifier les relations de pouvoir parce que ces relations sont camouflées sous de multiples couches de complexité et de secrets.
Là encore, un PDF que j'ai sur mon disque dur depuis mi-2011…
Le titre respire bon le Parti Pirate et entretient la confusion entre hacker et pirater… … …
Ce livre nous présente un projet de société, celui dans lequel Internet, en tant que technologie et en tant que réseau humain, permet de faire évoluer la société vers quelque chose de moins mauvais : plus de liberté d'expression pour chacun-e, fraternité, collaboration, diffusion inédite du savoir, etc.
Ce projet de société est pauvrement rédigé, présenté uniquement à des initié-e-s en cela que rien n'est expliqué, tout (les effets produits par Internet, par exemple) est censé être évident. Les sujets s'enchaînent sans transition, sans réel sens. Aucune piste n'est donnée, rien. Nous sommes en présence d'un brouillon.
Je recommande de passer son chemin.
Quelques notes :
J'ai ce livre au format epub depuis avril 2013. Il était grand temps de le lire. :D
Les définitions des termes (hacker, fablab, hackerspace, logiciel libre, etc.) sont irréprochables. Les exemples de projets pour illustrer les pratiques présentées sont nombreux. L'auteure a bougé entre l'ouest de la France (Bretagne en force !) et l'Allemagne pour gratter le sujet avec les principaux-ales intéressé-e-s.
Le livre est rempli de références vers des projets, permettant ainsi au lectorat de continuer de creuser le sujet en toute autonomie. L'exemple qui m'a le plus marqué est le projet de sextoys DIY, peut-être parce qu'on est au zénith d'un projet DIY qui fait plaisir à toutes les étapes (conception->utilisation), mais bref. :)
Je trouve que l'auteure manque globalement d'un un peu de recul et de mise en contradiction des propos récoltées, on est clairement dans une vision idéalisée du monde du hacking avec très peu d'interrogations, de remise en question, de questionnement des pratiques constatées.
Malgré quelques références obscures qui ne pourront être comprises par un-e non-initié-e lors de sa première lecture, je recommande vivement la lecture de ce livre à toute personne qui croit que hacker = pirate ou qui a du mal à voir les contours du concept de hacking ou qui a du mal à concevoir comment cela se concrétise.
Quelques notes :
Que ça soit Valls enfariné, Hollande enfariné (https://www.youtube.com/watch?v=zeoOJYfxdG4 ) ou Sarko agrippé (https://www.youtube.com/watch?v=M0VGKDRbK1A ), ce que je trouve consternant, c'est :
Pour Valls, on notera qu'un candidat en campagne est protégé par toute une garniture de CRS. Allô, on parle d'un simple candidat à une élection ! Je peux aussi avoir une cargaison de CRS rien que pour ma petite personne lorsque je bouge au biocoop du coin ? Illustration d'une des sources de la violence politicienne, tout ça.
Pour Valls (comme Hollande, d'ailleurs), on rajoutera l'hypocrisie du mec qui veut se donner une image de "ho, je l'ai pris positivement, tkt bro, tape m'en 5". Enfoiré, va ! Tu sais très bien pour quelle raison tu fais ton faux-cul de première : élection présidentielle, rien de plus.
L’arrêt Tele2 rendu aujourd’hui réaffirme avec force et sans ambiguité la jurisprudence Digital Rights Ireland. Par cet arrêt du 8 avril 2014, la Cour de justice de l’UE avait invalidé la directive 2006/24 qui imposait aux opérateurs Internet et télécoms la conservation des données de trafic1 de la totalité des utilisateurs de leurs services, alors jugée incompatible avec la Charte des droits fondamentaux de l’Union européenne en raison de l’atteinte disproportionnée qu’elle porte au droit au respect de la vie privée ainsi qu’à la protection des données personnelles.
Depuis, de nombreux États membres avaient abrogé leur dispositif national de conservation généralisée des données, les jugeant incompatibles avec le droit européen. La France, dont le dispositif de conservation généralisée des données de trafic fut institué par le Parlement français dès 2001 — n’était pas de ceux-là. De même que le Royaume-Uni et la Suède, deux États dont la législation était directement mise en cause dans l’affaire tranchée aujourd’hui par la plus haute cour de l’ordre juridique de l’Union européenne.
[...]
À l’occasion de ces deux recours, les Exégètes amateurs se sont fortement appuyés sur l’arrêt Digital Rights Ireland de 2014 et les principes dégagés par la Cour de justice, réaffirmés avec force aujourd’hui dans la décision Tele2. Pourtant, le 12 février 2016, le Conseil d’État a rejeté le premier recours, sans même prendre la peine de se prononcer sur la conformité du décret contesté avec le droit de l’Union (considéré inapplicable en l’espèce par le rapporteur public du Conseil d’État) — et ce, alors qu’il avait été expressément demandé au Conseil d’État de renvoyer une question préjudicielle à la Cour de justice. Contrairement aux cours suédoise et anglaise, le Conseil d’État n’a pas joué le jeu.
La décision rendue ce jour par la Cour de justice remet en cause directement le cœur de la jurisprudence du Conseil d’État sur la question de la conservation généralisée et l’accès administratif aux données de connexion de la totalité des utilisateurs de services de communications (Internet, téléphone, etc.). Les effets de cette décision sont désormais attendus dans le cadre du second recours porté par les Exégètes amateurs, actuellement pendant devant le Conseil d’État.
[...]
La conservation des données de connexion est soumise au respect de la Charte des droits fondamentaux
[...] Cet article introduit donc une dérogation à d’autres droits énoncés par la directive ePrivacy, comme le droit à la confidentialité des communications ou l’effacement des données de trafic. Mais, comme le constate la Cour, cette dérogation est autorisée à titre exceptionnel, par conséquent elle ne saurait devenir une règle de principe en droit national.
La conservation des données ne peut être que l’exception et non la règle
[...]
En effet, la Cour considère à juste titre que l’article 15, paragraphe 1 doit être interprété de façon stricte, notamment en ce qu’il est une exception au principe de confidentialité des communications. Dès lors toute conservation des données ne saurait être que limitée. Il en va du respect des droits fondamentaux, qu’il s’agisse du droit au respect de la vie privée, de la protection des données personnelles, mais aussi de la liberté d’expression. Car, comme le constate la Cour, les données de connexion occupent une place primordiale dans notre vie quotidienne [...] L’atteinte alors causée par leur conservation va jusqu’à porter atteinte à la liberté d’expression
[...]
Si les États membres peuvent imposer une conservation préventive des données de connexion, ce n’est qu’à des conditions très restrictives; à savoir que cette obligation de conservation ne peut être que :
- ciblée,
- mise en œuvre à des fins de lutte contre la criminalité grave, et
- limitée au strict nécessaire en ce qui concerne les catégories de données à conserver, les moyens de communication visés, les personnes concernées ainsi que la durée de conservation retenue.
L’accès aux données conservées doit faire suite à une décision issue d’un contrôle préalable et indépendant
Une fois la question de l’obligation de conservation des données réglée, la Cour répond à la question qui lui était posée sur l’accès des autorités aux données alors conservées. Une fois de plus, la Cour balaye les législations nationales telle que la législation française portant sur l’accès aux données de connexion : l’accès aux données de connexion conservées par les opérateurs ne peut se faire que suite à une décision et au contrôle préalable d’une juridiction ou autorité indépendante; ce qui n’est pas le cas en France.
[...] Les Exégètes vont désormais s’atteler à la rédaction d’un mémoire complémentaire, dans le cadre de l’affaire sur l’abrogation du droit français de conservation des données de connexion.
Suite logique de l'arrêt Digital Right Ireland mais la baffe est sévère : la conservation indifférenciée des données de connexion (métadonnées, qui parle à qui, depuis où, vers où, quand, à quelle fréquence, quel volume d'informations est échangé, etc.) est une ingérence grave dans les droits fondamentaux et a une incidence sur la liberté d'expression. C'était une évidence, c'est désormais acquis en droit. Et ça fait toute la différence.
La CJUE nous expose clairement que la conservation des données de connexion est un régime dérogatoire au régime général (qui est plus protecteur de la vie privée), qu'elle peut être préventive sous des conditions strictes (ciblée, criminalité grave, limites (en durée, en types de données, etc.)) et que l'accès aux données stockées n'est pas open-bar et qu'il doit être soumis à un contrôle préalable par une juridiction ou une autorité indépendante.
Depuis de nombreuses années, la France se fait une spécialité de croire que la jurisprudence de l'UE ne s'applique pas à elle en mode "je n'ai de leçon à recevoir de personne", surtout quand ça parle de droits fondamentaux, mais là, en matière de données de connexion, la grille de lecture de la CJEU devient difficile à ignorer. :)
Mise à jour de ce billet pour y inclure de nouvelles stats et de nouveaux liens (vers l'observatoire de la résilience de l'Internet français (voir http://shaarli.guiguishow.info/?cnfEAA ) et vers bird-rtrlib-cli (voir https://github.com/rtrlib/bird-rtrlib-cli )).
Résumé rapide :
Aujourd'hui, je dénombre environ 29500 ROA qui couvrent environ 48600 préfixes. Environ 8,6 % des préfixes dont au moins un ROA leur est associé sont invalides.
Quelques jours après l'Assemblée [ NDLR : 288 pour, 32 contre ], le Sénat a voté la prolongation de l'état d'urgence jusqu'au 15 juillet que lui a demandé le gouvernement, la cinquième depuis le 13 novembre 2015, jour des attentats qui avaient fait 130 morts à Paris et à Saint-Denis, en banlieue parisienne.
La France connaîtra donc sa plus longue période d'état d'urgence ininterrompue -20 mois- depuis la création de ce régime d'exception pendant la guerre d'Algérie
306 sénateurs ont voté en faveur de la prolongation, 28 s'y opposant. Parmi ces derniers, figurent l'ensemble du groupe Communiste, républicain et citoyen (CRC), 5 écologistes, deux RDSE (à majorité PRG) et un centriste.
Et c'est ainsi que le Peuple s'est fait confisqué sa prochaine représentation (Président + Parlement) : les prochain-e-s gus-se-s ne sortiront pas le pays de l'état d'urgence en juillet 2017, cette prolongation marque un état d'urgence qui dépassera un mandat. On n'hésite pas à écraser l'article 4 de la loi de 1955 pour cela. C'est quand même un signal fort : la fin d'un contre-pouvoir.
Ça faisait un moment que je voulais lire cet essai de La Boétie dans lequel il nous explique que la servitude envers un tyran (que l'on peut entendre aujourd'hui au sens d'une autorité quelconque) est volontaire et qu'il n'y a pas besoin d'une révolution dans le sang pour défaire un tyran.
Quelques notes sur La Boétie :
Quelques erreurs à propos du Discours de la servitude volontaire :
Quelques notes sur le discours :
Du coup, qu'est-ce qui explique la servitude des peuples ?
Et donc, comment on se libère ?
Merci à HS-157 ( http://hs-157.moe/ ) pour le prêt du bouquin (d'où la motivation pour le lire :P ).
Si ça peut motiver des lecteur-rice-s à se bouger un tout petit peu contre l'état d'urgence… Ce n'est pas le texte le plus travaillé du monde. Pas envie d'y consacrer trop de temps pour rien.
En tant que citoyen résidant à XvilleX, je vous interpelle aujourd'hui au sujet de la énième prolongation de l'état d'urgence sur laquelle vous devriez vous prononcer sous peu.
Je suis, une nouvelle fois, vivement opposé à cette prolongation, pour les raisons suivantes :
Là encore, la discussion au Parlement aura lieu dans l'urgence, sans véritable débat de fond ni même de débat public, les parlementaires étant convaincu-e-s d'avance que le renouvellement est la seule réponse à apporter ;
- L'état d'urgence est inefficace passées les premières semaines d'application. Tous les rapports d'information de la commission des lois mettent cela en évidence ;
- En revanche, le dernier rapport d'information de la commission des lois daté du 06/12, ainsi que les travaux de différentes associations de défense des droits et de journalistes mettent en évidence que les mesures permises par l'état d'urgence ont été détournées de leur finalité première au profit de missions ordinaires de maintien de l'ordre (faire taire les pénibles, lutte contre la délinquance ordinaire, collecte de renseignements, guerre psychologique, etc.). Les confessions de François Hollande dans le livre « Un Président ne devrait pas dire ça » évoquent sans ambiguïté les assignations à résidence comme étant des facilités utilisées par l'État contre ses citoyen-ne-s. Quand ne seriez-vous plus complice de ces nombreuses dérives bien réelles ? ;
- L'article 3 me semble être extrêmement dangereux en cela qu'il tend à forcer la main au prochain président et gouvernement pour maintenir l'état d'urgence bien après juillet 2017 en s'appuyant sur un biais cognitif basé sur le confort auquel tout être humain est sensible. Cet article 3 est très clairement l'amorce d'un état d'urgence perenne, qui transcendera les élections et la volonté du Peuple. L'état d'urgence doit s'arrêter au plus tard lors de la passation de pouvoir et c'est au nouveau président et à son gouvernement de faire l'effort de déclarer à nouveau l'état d'urgence, pas au président et gouvernement actuels de lui simplifier le travail ;
- La sémantique utilisée dans l'exposé des motifs, notamment « l’usage de messageries et de réseaux sociaux clandestins » laisse entrevoir de futures atteintes toujours plus brutales et massives aux droits et libertés du plus grand nombre de citoyen-ne-s, notamment au secret des correspondances. La sur-répression à l'aveugle continue à être banalisée. Est-ce bien raisonnable ?
J'espère que ce texte ne sera pas une fois de plus rempli d'encore plus de dispositions liberticides par le Parlement comme ce fût le cas lors de la dernière prolongation qui a modifié notre droit de manière durable.
Cordialement.
AMENDEMENT N°CL13 présenté par Mme Attard
Compléter l’alinéa 2 par la phrase suivante :
« Les assignations à résidence décidée par le ministre de l’intérieur sont dénommées lettres de cachet. »
Quand une députée fait son show pour amuser les geeks (et ses soutiens en général)… … … Cette proposition n'a aucune chance d'être adoptée et surtout, surtout, elle n'a aucun réel intérêt sur le fond. Troller, c'est mignon, ça vous fait passer pour une provocatrice qu'on kiffe grave, et après ? Grappiller du temps de parole pour présenter l'amendement sous les cris des autres groupes politiques ? Super utile. Ce n'est pas la première fois qu'Isabelle Attard dépose ce genre d'amendement bidon. :(
Alors qu'un projet de loi de prolongation de l'état d'urgence a été présenté en conseil des ministres, la commission de suivi parlementaire publie un rapport qui fait le bilan d’un an d’application: l'état d'exception s'éternise et ses mesures sont détournées pour des missions ordinaires de maintien de l'ordre.
[...]
Au total, entre le 14 novembre 2015 et le 14 novembre 2016, environ 4 200 perquisitions administratives ont été menées sur ordre des préfets. [...]
L’efficacité directe des perquisitions administratives en matière de lutte contre le terrorisme est très faible. « Depuis le début de l’état d’urgence, les perquisitions administratives ont conduit à 61 procédures pour des faits en lien avec le terrorisme. Depuis le 1er décembre 2015, le parquet de Paris a ouvert 20 enquêtes pour association de malfaiteurs en matière terroriste à la suite des perquisitions administratives (...). Sur cette même période, s’y ajoutent quelque 41 procédures pour des faits d’apologie du terrorisme ou, depuis juin 2016, pour des faits liés à l’extraction, la reproduction ou la transmission de données faisant l’apologie du terrorisme et la consultation de site invitant au terrorisme ou faisant son apologie. »
Mais cette efficacité toute relative est totalement assumée par les responsables auditionnés par la commission. Le but des perquisitions administratives n’est pas de s’attaquer directement aux réseaux responsables des attaques ayant frappé la France. Sa principale utilité réside dans la collecte d’informations réalisée à cette occasion. « Même s’il n’est pas quantifiable, le renseignement recueilli à l’occasion de la réalisation de ces opérations de police administrative constitue sans doute l’un des principaux apports de l’état d’urgence, comme l’ont mis en exergue plusieurs personnes entendues par la commission », explique le rapport.
L’autre utilité de l’état d’urgence relève de la guerre psychologique : déstabiliser les « mouvances susceptibles d’apporter leur soutien aux terroristes ». « L’état d’urgence, et notamment les perquisitions, ont eu un effet “déstabilisateur” sur les personnes ciblées en les soumettant, comme le notait M. Patrick Calvar [directeur général de la sécurité intérieure– ndlr], “à une pression qu’ils ne ressentaient pas nécessairement avant” et, au-delà de ce premier cercle, sur toute une mouvance susceptible d’apporter son soutien logistique à des terroristes », rapportent les parlementaires.
Après la guerre des USA contre la terreur, voici venue la terreur contre la terreur ?
En résumé, les perquisitions administratives sont largement utilisées par les forces de l’ordre comme un outil permettant soit de recueillir des renseignements, soit de vérifier la dangerosité de suspects n’ayant même pas forcément de lien avec le djihadisme. Le rapport cite ainsi les « cas de délinquance ordinaire qui n’ont, au mieux, qu’un lien très indirect avec la menace terroriste. De même, le comportement présumé violent ou les troubles psychiatriques, s’ils constituent une menace potentielle, apparaissent pour le moins très éloignés du djihadisme au sens strict et devraient être pris en compte par des dispositifs de droit commun ».
Comme pour les perquisitions administratives, les assignations à résidence ont été principalement prononcées dans les premiers mois de l’état d’urgence. Entre le 14 novembre 2015 et le 25 février 2016, 563 personnes ont été visées par cette mesure. [...]
Concernant ces personnes, privées de leur liberté d’aller et venir depuis environ un an sur une simple décision administrative, la commission de suivi dénonce le risque d’assignations « à durée indéterminée » et demande à ce que les personnes visées fassent l’objet d’une procédure judiciaire, ou soient libérées.
Privé-e-s de liberté injustement, voilà qui va rendre ces personnes sages comme des images. Résistance à l'oppression, tout ça.
[...]
Ainsi, « les contrôles d’identité, fouilles de bagages et visites de véhicules, introduits en juillet 2016, ont été massivement utilisés ». Désormais, ils relèvent d’une « réponse banalisée à des risques et non dans un cadre exceptionnel de riposte à une menace imminente ». « Une très grande majorité d’arrêtés ne vise pas de circonstances particulières. Dans certains départements, le caractère répétitif des arrêtés montre bien qu’ils ne relèvent plus d’une logique d’urgence et d’exception mais, en fait, se substituent aux mesures de droit commun »
Concernant le pouvoir accordé au préfet d’interdire réunions publiques, rassemblements et manifestations, les parlementaires font état d’une application « confuse, poursuivant d’abord un objectif de maintien de l’ordre ou répondant à des considérations d’opportunité, parfois sans lien aucun avec la menace terroriste ». « Le fondement juridique des arrêtés est très variable, entretenant une certaine confusion, comme si tous les dispositifs de l’état d’urgence se recoupaient et qu’ils étaient, finalement, assez interchangeables. »
Les parlementaires rapportent également que, « entre le 14 novembre 2015 et le 20 juillet 2016, quelque 540 mesures individuelles d’interdiction de séjour ont été prononcées ». Les chiffres montrent un « usage massif » de cette mesure « au moment des manifestations contre la loi de réforme du code du travail à partir du mois de juin 2016 ». Le rapport rappelle au passage que cet usage détourné de l’état d’urgence est autorisé par la loi du 3 avril 1955, qui ne prévoit « pas d’obligation à ce que les mesures prises dans le cadre de l’état d’urgence soient liées à la prévention de la menace terroriste ». « Cette dissociation des interdictions de séjour et de la menace terroriste apparaît dès le début de l’état d’urgence avec par exemple 21 mesures “à l’encontre des militants anarcho-autonomes français durant la COP21”. »
Un peu comme on chassait Cohn-Bendit en 68 ?
Par ailleurs, si la commission se félicite du suivi statistique, « en temps réel », de l’état d’urgence et de la coopération des différentes administrations, elle en souligne également les limites. « Très tôt dans leur contrôle, vos Rapporteurs avaient indiqué qu’ils n’étaient pas en mesure de se prononcer par exemple sur les conditions matérielles de mise en œuvre des perquisitions », souligne le rapport. [...]
Donc le seul tout petit bout de contrepouvoir est aveugle ? JOIE.
Les parlementaires proposent de « solliciter la recherche en sciences sociales afin d’évaluer l’impact du recours à l’état d’urgence sur la population ».
LOL.
Voilà, voilà, toutes les mesures permises par l'état d'urgence (et les principales mesures apportées par la réforme pénale de juillet dernier) ont été utilisées à mauvais escient. Quelle surprise !
Merci à Slash pour la copie de l'article.
‒ Ugh, I hate when apps make arbitrary changes to their UI. Stuff I do all the time just got way harder for no reason!
‒ Man. You are not gonna like getting old.
:')
« Lorsque le suspect a déverrouillé son téléphone pour passer un appel, un policier a foncé sur lui pour le prendre de ses mains, exactement comme cela se passerait pour un vrai vol par un délinquant, puis l'officier a continuellement touché l'écran pour éviter la mise en veille et le verrouillage jusqu'à ce que l'ensemble des données ait été copié par la police », précise encore la BBC. [...]
[...]
Contactés à plusieurs reprises depuis le 6 décembre, le ministère français de l'Intérieur ainsi que des syndicats de police n'ont pas donné suite à nos demandes pour savoir si ces pratiques existent en France.
Remember https://xkcd.com/538/
Par contre, je doute que ça soit bien constitutionnel car cela me semble être contraire au principe de sûreté c'est-à-dire la protection contre l'arbitraire de la puissance publique (qui est instaurée au nom de tou-te-s dans l'intérêt de tou-te-s, pour rappel). L'idée des révolutionnaires était justement qu'on ne reproduise plus l'arbitraire royal qui pouvait envoyer qui il voulait en taule sans motif ou saisir des biens sans raison.
Via https://twitter.com/clochix/status/807663543545987072 via https://twitter.com/bortzmeyer