Ding, ding, il faut remettre des pièces pour que le petit lapin continue à taper sur son tambour. :)
La Quadrature du Net lance aujourd'hui sa campagne de soutien annuelle. Afin de poursuivre et intensifier ses actions pour la défense des droits fondamentaux à l'ère numérique en toute indépendance, La Quadrature appelle ses soutiens et sympathisants à soutenir financièrement ses actions.
[...]
Les principaux dossiers sur lesquels nous travaillons en ce moment (et nous travaillerons en 2017) sont :
Infrastructure et Réseaux :
- Après le Règlement européen sur les Télécoms, veiller à une réelle application de la Neutralité du Net
- Travailler sur le nouveau Paquet Telecom
- Démarrage d'une campagne pour l'ouverture des réseaux wifis et leur promotion
Droits de l'Homme à l'ère numérique :
- Travail de sensibilisation politique et de campagne citoyenne sur le projet de directive européenne ePrivacy (concernant les données personnelles)
- Défense et promotion du droit au respect de la vie privée (notamment via la protection du chiffrement)
- Lutte contre la censure (par le blocages de sites Internet ou la censure privée)
- Campagnes et outils pour la protection des données personnelles et de la vie privée (chiffrofêtes, sites et matériel d'information)
- Travail d'action contentieuse avec le groupe des « exégètes amateurs » contre les lois de surveillance et de censure
Partage de la culture et de la connaissance, reconnaissance des Communs :
- Travail sur la réforme du droit d'auteur (directive européenne sur le Copyright)
- Campagnes de sensibilisation des créateurs et contributeurs à la création sur les propositions alternatives au système traditionnel de droit d'auteur
- Action contentieuses pour défendre les exceptions au droit d'auteur, le domaine public ou les licences libres
Actions de terrain
- Organisation d'ateliers de sensibilisation sur le chiffrement et sur la protection des données personnelles
- Participation avec d'autres associations et organisations à des campagnes de sensibilisation en France et en Europe
- Développement de l'action locale de La Quadrature du Net et décentralisation de ses ateliers
- Renouvellement, développement et création d'outils de prise en main du débat politique (Memopol, PiPhone etc)
Un bouquin, écrit par un journaliste du Point spécialiste des questions de défense, de police et de renseignement et un romancier, qui part du big data pour décrire une société dystopique despotique, totalitaire, induite par la surveillance massive de chacun-e d'entre nous.
Les avantages proposés par les nouveaux maîtres du monde sont trop attrayants et la perte de libertés trop diffuse pour que l'individu moderne souhaite s'y opposer.
Gouvernance par algorithmes : « gouvernement opérant par configuration anticipative des possibles, plutôt que par réglementation des conduites et ne s'adressant aux individus que par voie d'alertes provoquant des réflexes, plutôt qu'en s'appuyant sur leurs capacités d'entendement et de volonté ».
Les GAFA ne veulent pas de réglementations strictes car ces sociétés pensent pouvoir en créer de meilleures que le gouvernement. Elles ne veulent pas non plus que la société civile leur impose des règles éthiques car elles pensent que leur jugement éthique est supérieur par définition même. C'est vrai mais ça ne concerne pas que les GAFA : l'industrie d'Hollywood est persuadée de diffuser la bonne parole, les bonnes valeurs, dans le monde entier. Big Pharma et l'industrie agro-alimentaire ne veulent pas non plus de réglementations, c'est tout l'enjeu des traités de libre échange à outrance !
Big data : collecte massive de données sur tout le monde pour analyse. L'idée et d'affiner les statistiques et surtout les probabilité : si l'on a des données sur tout le monde, on perd la marge d'erreur liée à la qualité de l'échantillon. L'idée est de faire des corrélations entre toutes les données capturées et archivées afin d'en déduire des tendances (foyers des épidémies, prix de l'immobilier, etc.) mais aussi de personnaliser toujours plus les services auprès de chaque individu dans les domaines de la santé, de la sécurité, etc. L'objectif final est une rationalisation ultime de tout ce qui peut l'être, d'effacer la notion de risque, d'effacer les émotions, d'effacer le hasard. C'est-à-dire effacer la créativité humain-e et ce que fût l'évolution humaine jusqu'ici (suite de hasards, notamment génétiques). Notons que la fiabilité de la prévision des foyers d'épidémies ne fait pas l'unanimité : http://science.sciencemag.org/content/343/6176/1203 .
D'un côté, ce livre est plutôt confus, surtout au niveau des premières (et dernières) définitions données : big data = GAFA = géants américains du net, Deep web = Darknet = web caché. Bon, je suis mauvaise langue, le terme « hacker » est remarquablement bien expliqué. On mélange toute forme de surveillance : privée (GAFA, etc.), étatique (lois privatrices de libertés, déploiement massif de caméras de surveillance dans l'espace public, etc.), on fait le lien entre GAFA et renseignement (ce lien est avéré, on est bien d'accord), on fait le lien entre GAFA et problèmes écologiques. Tout ça pour arriver à une vision despotique et dystopique du monde : une seule société humaine asservie par une oligarchie technocratique mondiale transcendant les États. Tout est mélangé sans dire si les auteurs pensent que tout cela est la face d'un même objet aka une société qui va aller encore plus mal ou si c'est lié à une incompréhension des origines multiples des multiples maux de la part des auteurs, par exemple.
D'un autre côté, les auteurs accablent les GAFA de tous les maux du monde alors que la plupart des maux pré-existaient, ce qui n'aide pas à poser le bon diagnostic. Petite sélection :
Enfin, quand on commence à lire et que l'on voit la noirceur du tableau (je ne dis pas que c'est faux factuellement parlant, hein), on se demande si les auteurs parleront un jour des solutions. Hé bah oui. \o/ À la fin, quelques solutions abstraites (mais nécessaires) sont proposées : se réapproprier l'espace et le temps, lutter contre l'uniformisation, accepter l'imprévisibilité et l'imperfection humaine, remettre l'humain-e au centre du système en lieu et place des robots. Des solutions concrètes sont également proposées : TOR, logiciels libres (nommés logiciels ouverts mais l'objectif est très bien expliqué) et chiffrement.
Au final, les enjeux derrière le big data sont très bien expliqués et c'est en cela que j'ai envie de recommander la lecture de ce livre. D'un autre côté, les références sont parfois inexpliquées ou survolées rapidement, ce qui fait qu'un bagage préalable semble utile (mais pas indispensable). Le tableau est volontairement noirci. Le texte est parfois confus (transitions difficiles). Etc. Tout cela me fait me demander si je conseillerai ce livre à des personnes non initiées… Le côté "paranoïaque" et le côté "impuissance de chacun-e dans ce problème global" peuvent faire perdre pied. Pour les initié-e-s, on y apprend quand même des choses.
Hasard du calendrier. A peine la Commission européenne validait le mode de financement du Plan France Très Haut Débit qu’un nouvel opérateur « fibre » voyait le jour. Netgem, la Caisse des Dépôts et Océinde annoncent, ce mercredi 9 novembre, le lancement de Vitis.
Ce nouvel opérateur fixe entend se distinguer des autres sur deux points. Le premier est qu’il ne déploiera pas son propre réseau mais s’appuiera sur les infrastructures existantes pour opérer ses services. Le second est qu’il entend visiblement se limiter aux seuls réseaux d’initiative publique (RIP) pour commercialiser ses offres d’accès. Autrement dit les réseaux déployés à l’initiative des collectivités dans les zones peu denses où les opérateurs nationaux ne tirent généralement pas de fibre. A ce jour, Vitis est présent sur une vingtaine de communes de cinq départements (Nord, Charente, Essonne, Seine-et-Marne et communauté de communes du Pays Créçois,).
Une façon pour ce nouveau FVNO (Fiber Virtual Network Operator) d’éviter une concurrence frontale avec les grands acteurs du secteur tout en valorisant les réseaux des collectivités trop souvent délaissés des opérateurs nationaux. [...]
L’offensive judiciaire est lancée. Mardi, le collectif des Exégètes Amateurs a annoncé sa décision d’engager un recours au Conseil d’État — la plus haute des instances administratives en France — contre le décret du fichier TES (Titres Électroniques Sécurisés), qui a été publié discrètement au Journal officiel le 30 octobre 2016, en plein week-end de la Toussaint.
Découvert à ce moment-là, le fichier TES inquiète. Il s’agit d’une base de données qui réunira les données personnelles et biométriques de la quasi totalité des Français. En effet, il est destiné aux passeports et aux cartes d’identité. Néanmoins, il inquiète par l’ampleur et la nature des informations qu’il est amené à recevoir. Surtout, il pourrait servir tôt ou tard à d’autres fins que celles actuellement prévues.
La stratégie exacte des Exégètes Amateurs — qui rassemble La Quadrature du Net, la fédération de FAI associatifs FFDN et l’opérateur French Data Network (FDN) — contre le décret n’a pas été précisée. La coordinatrice des campagnes de La Quadrature du Net, Adrienne Charmet, a simplement indiqué sur Twitter que les détails seront communiqués ultérieurement.
Les Exégètes Amateurs ne lâchent rien. Gros GG à eux-elles. < 3
La loi pour une République numérique a été adoptée au Parlement fin septembre 2016.
Bon, je ne reviens pas sur tout ce qui a été sacrifié sur l'autel du pragmatisme : définition et cadre des Communs et du domaine commun informationnel, logiciels libres et formats ouverts dans l'administration (bon, en même temps entre le ministère de la défense, les ministères sociaux (santé, jeunesse, travail), l'éducation, la culture et les hôpitaux qui se servent chez Microsoft, c'était perdu d'avance), protection du chiffrement (là on a uniquement sa promotion par la CNIL), plaintes initiées par des assos pour utilisations abusives (dérives) des droits d'auteur notamment la réappropriation du domaine public.
Je passe aussi sous silence les bouts de texte dont se gargarise Axelle Lemaire (tout en donnant des leçons de modestie dans la presse) alors qu'ils sont de simples transpositions ou applications de directives et de règlements européens : neutralité des réseaux, données personnelles (portabilité des données (mais pas suppression !), droit à l'oubli pour les mineurs et augmentation des sanctions de la CNIL).
Je passe également sur les renforcements de pouvoirs qui n'ont jamais servi. Genre les pouvoirs de sanctions de la CADA ou les pouvoirs de perquisitions de l'ARCEP. Ça donne l'impression au législateur d'avoir trop bien bougé son cul et ça renvoie la balle de l'inaction dans le camp de l'autorité dont les pouvoirs ont été augmentés, c'est mignon tout plein mais ça s'arrête là.
Voir : http://www.nextinpact.com/news/101397-on-vous-explique-volet-open-data-loi-lemaire.htm
BTW, j'apprends la différence entre Open Access et accès libre :
On sait en effet que les chercheurs constituent des agents publics qui ont la particularité de conserver pleinement leur droit d’auteur sur les œuvres qu’ils produisent dans le cadre de leurs fonctions (contrairement aux autres agents publics, dont les droits patrimoniaux sont exercés par leurs tutelles et dont le droit moral est réduit au droit à la paternité). Une des conséquences secondaires de cette titularité individuelle des droits pour les chercheurs sur leurs écrits est que ceux-ci ne deviennent pas automatiquement réutilisables lorsqu’ils choisissent de les publier en ligne dans des archives ouvertes ou sur un site personnel. Le droit d’auteur qui s’applique à eux est pleinement maintenu lors de la diffusion sur Internet. C’est le cas par exemple pour un article déposé par un chercheur sur HAL ou dans une archive ouverte institutionnelle : par défaut, si le chercheur ne fait rien d’autre que le déposer, l’article sera librement accessible, mais pas librement réutilisable. Il ne le deviendra que si le chercheur choisit d’opter par un acte positif pour une licence Creative Commons (ce que la plate-forme HAL permet depuis le passage à la v3).
Voir : http://www.nextinpact.com/news/101549-on-vous-explique-volet-droit-d-auteur-loi-numerique.htm
Voir : http://www.nextinpact.com/news/101526-les-15-mesures-cles-loi-numerique.htm
Les dispositions qui ont disparues depuis mon dernier shaarli (celui pointé par ce shaarli :P ) :
Proposition de loi examinée le 13 octobre 2016 et rejetée suite à une motion de rejet préalable déposée et votée par la gauche. Mais je pose ça là pour info, en temps de primaire de la droite, tout ça.
Déjà lu quand je cherchais une critique avant d'écrire la mienne. :)
Je suis en désaccord sur certains mots employés (plus précisément sur leur disproportion) et sur les piques envoyées à Fakir (là-aussi à cause de leur disproportion et l'aspect "je colle une intention à toute une équipe, comme ça, gratos") mais oui, on converge sur plusieurs points.
Comme on est en procédure accélérée, il y a eu une seule lecture par chambre puis Commission Mixe Paritaire. La CMP n'ayant pas réussi à produire un texte consensuel, une deuxième lecture a eu lieu. Comme il n'y a toujours pas eu consensus, l'Assemblée va plancher sur la version définitive ("dernier mot à l'Assemblée") à partir de demain.
Ce que j'en retiens :
La loi Création (de son nom complet « relative à la liberté de la création, à l’architecture et au patrimoine ») a été adopté par le Parlement fin juin 2016.
J'en retiens :
Historique : http://shaarli.guiguishow.info/?C_DCjA
La première lecture de cette proposition de loi s'est terminée au Sénat le 13 octobre. Comme le texte a été modifié et que nous ne sommes pas en procédure d'urgence, une deuxième lecture est initiée.
Comme ce n'est pas ma spécialité, j'ai noté seulement deux changements :
Le Sénat a adopté ce texte en première lecture le 18 octobre. Comme on est en procédure accélérée, il y a une seule lecture par chambre. Donc la Commission Mixte Paritaire, chargée d'harmoniser/synthètiser la version Assemblée et la version Sénat s'est réunie le 25 octobre pour constater… qu'elle n'arrivera pas à produire un texte de consensus. On commence donc une deuxième lecture, à l'Assemblée à partir de demain. La version de travail est celle issue du Sénat, c'est-à-dire avec tous les articles qui posent question.
Article 37 : modification de la loi relative à la liberté de la presse
Article 12 nonies : l'expérimentation d'un service civique obligatoire voulue par l'Assemblée n'est pas encore revenue.
Même chose pour le droit à la cantine scolaire.
Article 14 bis et 14 decies : toujours une déclaration préalable avant d'ouvrir une école privée hors contrat, des contrôles qui changent de nature (ajout de « moralité » et de « compétences » dans les points à vérifier). Pour l'instruction en famille : toujours une volonté que les contrôles se déroulent à domicile et de changer la nature des contrôles comme déjà dit.
J'ai décidé de regarder ce film emblématique de la lutte contre la loi Travail et de Nuit Debout.
Bref, je pense qu'il y a beaucoup plus sérieux à regarder et je n'arrive absolument pas à comprendre comment ce film a pu devenir le symbole de la lutte contre la loi Travail et de Nuit Debout compte-tenu qu'il n'y est nullement question de lutte collective.
Toutes ces attaques DDoS, que ça soit contre Dyn ou contre OVH me font rire jaune car la responsabilité est partagée et qu'on trouve des Picsou à tous les étages (ou presque) :
Bref, on pourra compter les DDoS, s'étonner devant leurs centaines de Mbps et aujourd'hui leurs Tbps mais ça n'aide pas : le changement à opérer est structurel et multi-acteurs. Mais, après tout : « à cœur vaillant rien d'impossible ».
DDoS protection and mitigation outfit Corero says it detected DDoS attacks that leveraged LDAP servers to amplify DDoS attacks 46 times, on average, and up to 55 times at peak conditions.
[...]
After studying how the attackers utilized LDAP servers, Corero says it identified a zero-day in CLDAP (Connection-less Lightweight Directory Access Protocol), the LDAP protocol implementation used with Active Directory, a service that Microsoft developed for Windows domain networks and included in all Windows Server OS distributions.
CLDAP = UDP.
Via https://twitter.com/bearstech/status/791627138277449732 via https://twitter.com/bluetouff
[...] The botnet is having DoS attack mechanism like UDP flood, TCP flood, along with other series of attack methods, in both IPv4 and IPv6 protocol, with extra IP spoof option in IPv4 or IPv6 too.
Via https://twitter.com/bortzmeyer/status/793148787770400769
Ça fait quelque temps que j'ai envie de prendre des notes pour me souvenir de Nuit Debout.
Un rapport qui se bonifie d'années en années en ajoutant des métriques intéressantes : en plus de BGP/route/RPKI+ROA et DNS/DNSSEC, on a désormais la dispersion des serveurs de mails entrants (introduit en 2014) et TLS (introduit en 2015).
L’observatoire encourage l’ensemble des acteurs de l’Internet à s’approprier les bonnes pratiques d’ingénierie admises pour les protocoles BGP [3], DNS [4], et TLS, et à anticiper la menace que représentent les DDoS [5]. D’autre part, l’observatoire énonce les recommandations suivantes :
- surveiller les annonces de préfixes et se tenir prêt à réagir aux usurpations ;
- utiliser des algorithmes supportant la confidentialité persistante, et abandonner SSLv2 et SHA-1 au profit de mécanismes plus robustes ;
- diversifier le nombre de serveurs SMTP et DNS afin d’améliorer la robustesse de l’infrastructure ;
- appliquer les bonnes pratiques notamment celles rappelées dans ce document, pour limiter les effets des pannes et des erreurs d’exploitation ;
- poursuivre les déploiements d’IPv6, de DNSSEC, et de la RPKI, afin de développer les compétences et d’anticiper d’éventuels problèmes opérationnels.
[...]
BGP
[...]
En 2015, à l’aide de la méthode définie dans les précédents rapports, l’observatoire a identifié 1588 AS français. Parmi ceux-ci, 1001 sont visibles dans les archives BGP, c’est-à-dire qu’ils ont annoncé au moins un préfixe pendant l’année. Un noyau dur de 869 AS actifs annonce au moins un préfixe par jour tout au long de l’année 2015, ce qui représente environ 87 % du nombre total d’AS distincts visibles au cours de l’année. Parmi les 13 % d’AS visibles restant, environ 50 % d’entre eux l’ont été pendant la moitié de l’année. Enfin, 587 AS répertoriés n’ont pas annoncé de préfixe en 2015.
[...]
[...] Pour IPv6, il est intéressant de noter que le graphe de connectivité comporte beaucoup moins d’AS qu’en IPv4.
[...]
L’Internet français dépend d’AS étrangers pour faire transiter le trafic entre certains AS français. L’enveloppe de l’Internet français contient l’ensemble des AS français et tous les AS se trouvant entre deux AS français sur un AS_PATH. La figure 1.5 montre, qu’en IPv4, leur nombre a crû lentement tout au long de l’année pour atteindre 293, un nombre légèrement inférieur à celui observé en 2014. En IPv6, comme en 2013 et 2014, une cinquantaine d’AS étrangers sont nécessaires pour interconnecter tous les AS français.
[...]
L’impact de la panne d’AS pivots est un élément important qui permet d’évaluer la robustesse de la connectivité. La figure 1.7 montre qu’en IPv4, seuls 7 AS pivots affecteraient au moins 10 AS en cas de défaillance. Il s’agit d’une légère amélioration par rapport à 2014. En revanche, l’AS pivot le plus critique aurait un impact sur 42 AS, contre 35 en 2014. Ce résultat, sans être dramatique, pointe cependant la nécessité d’être vigilant quant aux évolutions de dépendance des AS. Pour IPv6, la figure 1.8 montre qu’il existe moins d’AS pivots qu’en IPv4 [ NDLR : 4 versus 7 en IPv4 ]. Cependant, vis-à-vis de 2014, le nombre d’AS pouvant être déconnectés a augmenté. Il s’agit d’un résultat intéressant qui découle naturellement de l’évolution de l’Internet IPv6 français, et de la croissance du nombre d’AS IPv6 pivots.
[...]
En IPv6, le nombre d’AS a augmenté de 13 % en 2015, contre 6 % l’année précédente. Le nombre d’AS pivots a quant à lui légèrement augmenté. Cela semble indiquer un accroissement du déploiement d’IPv6 par les AS français.
[...]
En 2015, l’observatoire a détecté 6392 conflits d’annonces. Ils ciblent 344 AS français distincts, et 1350 préfixes. [...] Ainsi, seuls 2070 conflits anormaux seront considérés lors de l’identification des usurpations. [...] Sur les 2070 conflits anormaux, 1480 conflits correspondent à des réannonces de table globale [ NDLR : 71 %, quoi ] . [...] Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS [...] Le filtrage basé sur la similarité des noms des AS a permis d’identifier 4 conflits entre un opérateur et sa filiale française. Celui sur les numéros d’AS a mis en évidence une erreur de configuration d’un routeur BGP ayant engendré 5 conflits distincts. Ces filtres automatiques limitent efficacement les analyses manuelles à effectuer. Seuls 89 conflits anormaux, doivent ainsi être étudiés attentivement. À l’issue des analyses automatiques et manuelles, il reste 40 conflits anormaux qui pourraient être des usurpations de préfixes. Afin de réduire leur nombre, seuls les conflits anormaux comportant des annonces plus spécifiques sont conservés. Il apparait ainsi que 26 conflits anormaux correspondent à des usurpations dont les durées vont de cinq minutes à quatre jours.
[...]
Une fois la corrélation effectuée, seuls 35 AS sont à l’origine de réannonces de table globale. Certains AS ayant fait des réannonces plusieurs fois en 2015, ces résultats correspondent à 38 réannonces de table globale dans l’année, soit plus de 3 par mois. Parmi ces 35 AS, seulement 14 ont été en conflit avec des AS français aux dates où les réannonces de table globale ont été détectées, impactant 175 AS français au total.
[...]
L’algorithme utilisé est restrictif et tend à minimiser le nombre de faux positifs au détriment du nombre de faux négatifs. Une analyse manuelle a confirmé que le nombre total de réannonces de table globale dépasse les 38 détectées.
[...]
Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS, allant de quelques heures à plusieurs mois. Les AS français protégés sont de natures différentes, comme des hébergeurs, des assurances, ou des sites de paris en ligne. Il est intéressant de souligner qu’aucun des opérateurs spécialisés utilisés n’était français.
[...]
Début juillet, un AS russe a été à l’origine de 5 conflits distincts ciblant un AS français. Ce comportement est suspect, et similaire aux observations effectuées en 2014 liées aux campagnes de spam [17]. Durant l’année, il a annoncé près de 150 préfixes différents ne lui appartenant pas. Parmi les autres conflits anormaux, une dizaine correspond très probablement à d’autres campagnes de spam utilisant BGP. Un AS roumain identifié dans le rapport précédent a effectué ce type d’usurpations en 2015.
[...]
Finalement, 15 conflits anormaux possèdent des caractéristiques semblant indiquer qu’il s’agit très probablement d’usurpations de préfixes ayant touché des AS français.
[...]
Les destructions d’objets route et objets route6 inutilisés ne sont pas systématiques et restent très marginales par rapport aux nouvelles déclarations.
[...]
RPKI+ROA
[...]
L’étude des déclarations effectuées dans le dépôt du RIPE-NCC de la RPKI montre que le nombre d’AS participants a crû au cours de l’année 2015. Au début du mois de janvier, 198 AS français avaient des ROA dans la RPKI. Au 31 décembre, la RPKI contient des déclarations issues de 237 AS français, ce qui représente une croissance de près de 20 %. On remarque que cette augmentation est bien plus faible que celle observée au cours de l’année précédente. En 2014, le nombre d’AS participant à la RPKI avait augmenté de près de 80 % entre le début du mois de janvier et la fin du mois de décembre.
[...]
Au 31 décembre 2015, environ 65 % de l’espace d’adressage est valide selon la RPKI. En parallèle, les pourcentages de l’espace d’adressage non couvert et de l’espace d’adressage invalide sont restés stables au cours de l’année. Au 31 décembre 2015, 34,4 % de l’espace d’adressage n’était pas couvert. Le pourcentage de l’espace d’adressage invalide reste, quant à lui, relativement faible au cours de l’année. À la fin de l’année 2015, ce pourcentage est de 0,4 %. En ce qui concerne IPv6, l’espace d’adressage géré par les AS français est très faiblement couvert par les déclarations de la RPKI. À la fin de l’année 2015, les ROA couvraient moins de 1 % de cet espace d’adressage. Il n’y a donc pas eu d’évolution significative de cette couverture depuis 2014.
Donc RPKI+ROA progresse mais doucement et uniquement en IPv4.
[...]
Ces résultats montrent qu’en cas de filtrage strict basé sur la RPKI, près de 12 % des AS actifs à la fin de l’année 2015 verraient l’ensemble de leurs préfixes propagé dans l’Internet. Cette proportion est comparable à la valeur observée en 2014.
DNS
[...]
Le risque d’un TLD indisponible n’est pas théorique. Par exemple, en décembre 2015, le TLD .tr a subi une attaque DDoS 7 pendant trois semaines [21], avec des périodes où l’ensemble de ses serveurs DNS étaient inaccessibles.
[...]
Le nombre d’enregistrements NS par zone déléguée reste suffisant pour permettre une bonne résilience, du point de vue de cet indicateur. En effet, moins de 1 % des zones n’utilisent qu’un seul enregistrement NS, qui pourrait donc constituer un SPOF.
[...]
[...] Le déploiement d’IPv6 sur les serveurs DNS faisant autorité a stagné en 2015. Ainsi, environ 41 % des zones ne sont accessibles qu’en IPv4.
[...]
En 2015, le nombre moyen d’AS par zone reste équivalent à celui de 2014, et stagne à 1,2. Par ailleurs, la quantité de zones hébergées par un seul AS reste stable depuis 2011, culminant à 83 % des zones étudiées.
[...]
Répartir, ou être en mesure de répartir, ses serveurs de noms dans des préfixes /24 en IPv4 et /48 en IPv6 distincts peut également constituer une bonne pratique de résilience 9 . Cela permet notamment de limiter les zones de pollution BGP et d’accroître l’agilité face aux dénis de service distribués.
Ha ouaiiiis, j'y avais jamais pensé : si l'on ne peut pas externaliser ses zones dans plusieurs AS, une dispersion par préfixe permettra de réagir, certes de manière rustique, à une attaque DDoS.
L’étude de la répartition des serveurs de noms dans des préfixes est effectuée uniquement sur les zones étant hébergées sur au moins deux adresses IP. En IPv4, la figure 2.4a montre que 87 % des zones peuvent être ou sont annoncées dans des préfixes /24 distincts. En IPv6, ce chiffre s’élève à 98 % pour des préfixes /48 distincts, comme détaillé dans la figure 2.4b.
[...]
Comme pour les années précédentes, en 2015, tant en IPv4 qu’en IPv6, près de 82 % des zones étudiées sont servies exclusivement par des serveurs faisant autorité situés dans un même pays. *En IPv4, les zones dont tous les serveurs DNS faisant autorité sont dans un même pays étranger représentent 27 % des zones étudiées. Il convient néanmoins de noter que 75 % d’entre elles sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine. Cette situation ne présente donc, a priori, pas un risque significatif. Pour près de 20 % de ces zones, le constat est plus mitigé, ces dernières étant hébergées en Amérique du Nord.
Pour IPv6, les zones hébergées dans un seul pays étranger représentent 30 % des zones ayant des serveurs DNS accessibles en IPv6. Parmi celles-ci, près de 85 % sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine.
[...]
DNSSEC
[...]
Un peu moins de 9 % des zones étudiées mettent en œuvre DNSSEC en 2015. La croissance est essentiellement due à la création de nouvelles zones en 2015.
On voit le poids de l'inertie mais aussi la centralisation : il suffit qu'un gros hébergeur DNS propose une option "DNSSEC en 1 clic" et lala.
[...]
Près de 92 % des zones étudiées mettent en œuvre l’algorithme de hachage SHA-1, jugé insuffisant d’après les bonnes pratiques actuellement admises en cryptographie. À l’inverse, près de 98 % des zones étudiées utilisent bien l’algorithme de hachage recommandé SHA-256 pour créer la chaîne de confiance DNSSEC.
Parce que c'est les bureaux d'enregistrement qui poussent en SHA-256 de manière automatique, peut-être ?
[...]
SMTP
[...]
Un seul relais de messagerie est renseigné pour 38 % des zones déléguées. Le risque d’impossibilité de recevoir de nouveaux messages électroniques est donc accru par la présence d’un SPOF.
[...]
Un unique enregistrement MX ne signale pour autant pas la présence d’un SPOF au niveau du plan d’adressage. En effet, plusieurs adresses IP peuvent être indiquées pour un même nom de domaine ou une IP peut être annoncée sur l’Internet en employant la technique de l’anycast. De même, une adresse IP peut être virtuelle et répartie sur plusieurs serveurs physiques, grâce à des répartiteurs de charge.
[...]
IPv6 reste peu déployé. Ainsi, pour près de 89 % des zones, aucun des noms de serveur contenus dans les enregistrements MX n’a d’adresse IPv6 associée. Parmi les 11 % restants, pour 81 % de ces zones, un seul nom contenu dans les enregistrements MX peut être résolu en une unique IPv6.
Ainsi, IPv6 progresse au niveau routage mais on ne voit pas encore de répercussions au niveau service (DNS et SMTP) ?
[...]
Jusqu’à 86 % des zones étudiées introduisent au moins un SPOF dû au choix des noms de leurs relais de messagerie. En particulier, 64 % des zones étudiées créent deux SPOF en utilisant des noms situés dans un nom public situé sous un unique TLD tiers.
[...]
[...] En particulier, 71 % des relais de messagerie sont hébergés par quatre opérateurs. Cette concentration peut parfois aider à la mutualisation des moyens. Cela peut présenter un intérêt pour la défense contre certaines attaques en déni de service. Le filtrage du courrier indésirable peut également être partagé. Il convient de noter, néanmoins, un risque de défaillance collective en cas d’incident affectant les composants mis en commun.
Concentration SMTP aussi forte que DNS (70 % des zones hébergées par 4 hébergeurs DNS en 2013 selon le même rapport.
[...]
L’essentiel des relais de messagerie des zones étudiées est localisé en France, tant en IPv4 qu’en IPv6.
[...]
La concentration des relais de messagerie entrants sur quelques opérateurs réseaux est significative. En IPv4, un opérateur est responsable de la connectivité de 47 % des relais des zones étudiées. En IPv6, ce chiffre monte à 69 %.
[...]
TLS
[...]
Les mesures de l’observatoire se sont concentrées sur les ressources web accessibles à travers l’Internet français. Elles concernent plus spécifiquement les ressources exposées via le port 443, traditionnellement alloué par les serveurs aux échanges HTTPS. Les enjeux liés aux ressources de messagerie en ligne diffèrent en plusieurs points [45] et ne sont pas abordés dans le présent rapport.
Les noms de domaine issus du registre maintenu par l’Afnic 5 ont été préfixés de www. avant d’être résolus. Par exemple, les mesures effectuées sur le domaine afnic.fr correspondent à l’adresse IPv4 résolue pour www.afnic.fr. Lorsque le port 443 du serveur interrogé était ouvert, l’observatoire a envoyé différents stimulus ClientHello, dont les variations visaient à évaluer plusieurs capacités du serveur, telles que sa prise en charge de la confidentialité persistante ou encore sa tolérance envers des versions obsolètes du protocole.
[...]
L’extension SNI 6 [41] n’ayant pas été utilisée au sein des ClientHello, les mesures ne réunissent pas l’ensemble des ressources exposées via HTTPS sur la zone .fr. En interrogeant de ce fait un serveur par nom de domaine résolu, un sous-ensemble de 61 216 serveurs accessibles a ainsi été interrogé en juillet 2015, contre 26 261 en février 2014.
[...]
75 % des serveurs sont aptes à négocier une session TLS 1.2, en nette augmentation par rapport aux 54 % de 2014.
[...]
TLS 1.2 est couramment pris en charge par les serveurs de la zone .fr en 2015. TLS 1.0 est présent à égale mesure, mais clients comme serveurs devraient privilégier la version la plus récente du protocole.
[...]
En 2015, l’offre de confidentialité persistante s’est généralisée sur la zone .fr. Les serveurs doivent privilégier cette méthode auprès des clients qui la prennent en charge.
On passe de 50 % à 74 %.
[...]
En 2015, de nombreux serveurs tolérant SSLv2 sont apparus. Cette version de protocole doit être abandonnée au plus vite.
WTF sérieux…
[...]
Le tableau 3.1 fait état du nombre de certificats distincts relevés au cours des deux campagnes de mesure lancées sur la zone .fr en 2014 puis 2015. À près de dix-huit mois d’écart, la proportion de certificats auto-signés de 41 % est restée inchangée.
Comme quoi, Let's Encrypt partout, ce n'est pas le mot d'ordre de tout le monde (et à juste titre selon moi, voir http://shaarli.guiguishow.info/?i-OcNA ).
[...]
Mi-2015, le taux de présence de SHA-2 est monté à 55 %, et le taux de présence de SHA-1 est descendu en conséquence à 44 %. [...]
Je voulais revenir sur ça à tête reposée.
Bon, déjà, confidence : je ne savais pas que Le Bon Coin fait dans les offres d'emploi (et l'apprendre n'a pas changé ma vie). Mais, de la même manière que je n'ai pas idée de comment fonctionne les numéros 4 (Facebook en ce moment), 6 (Amazon), 8 (live.com), 9 (yahoo) et le numéro 10 (orange fr) du top 500 alexa FR. Parce que je n'ai jamais utilisé ces sites web, je n'ai jamais rien posté sur FB par conviction, je n'ai jamais rien acheté sur Amazon par conviction, je n'ai jamais utilisé Le Bon Coin pour trouver du boulot car ma profession est mieux représentée par d'autres sites web (APEC, RemixJobs, Lolix, etc.), je n'ai plus utilisé l'annuaire Yahoo depuis la fin des années 90's donc j'ai totalement oublié comment cela fonctionnait (et j'ignorais que ce service a été fermé en 2014). Et ma connaissance du reste du top 500 est tout aussi approximative. Donc, si je suis le raisonnement, je ne suis pas technophile ? Je suis totalement déconnecté de la vie numérique des français-e-s ? Je ne sais donc rien du « monde numérique qui irrigue toute l’économie du pays » (ouais parce que le numérique, ça sert uniquement à faire du blé, c'est bien connu). Tout ce que je raconte en matière de numérique n'a donc aucune valeur ? Tu peux connaître le fonctionnement des sites web les plus fréquentés au monde sans n'avoir rien pigé des enjeux du numérique. Et inversement : tu peux comprendre les enjeux de la législation/régulation sans avoir vendu tes données sur Facebook et sans avoir été complice des violations du Code du travail d'Amazon.
On me répondra que la différence, c'est que Sarko aspire à diriger à nouveau le pays. Oui, mais ça ne change rien. Un-e président-e de la République n'a pas à connaître les sites web les plus fréquentés du monde. Pas plus qu'il-elle n'a à connaître la dernière société commerciale qui a produit des capotes innovantes (alors que c'est un enjeu de santé publique). Pas plus qu'il-elle n'a à connaître le nom de tous les labos pharma influents par cœur. Pas plus qu'il-elle n'a à connaître la dernière innovation en matière de guerre (alors que c'est un enjeu de défense nationale). Pas plus qu'il-elle n'a à connaître par cœur toute la géopolitique mondiale (alors qu'il est pourtant l'un-e des dirigeant-e-s du monde). Il-elle aura des ministres et des diplomates pour cela. Et tout ce monde, président-e et ministres, aura des conseiller-e-s. Le but de ces conseiller-e-s, c'est d'expliquer les grandes lignes et les grands enjeux, pas de présenter chaque site web dit "important dans la vie des français". Et ça suffit parfaitement pour éviter des erreurs législatives et de régulation. Voir : http://edgard.fdn.fr/blog/index.php?post/2016/08/12/Limiter-le-chiffrement .
Le vrai problème est en réalité que les conseiller-e-s sont des humain-e-s donc ils se trompent, ils sont influençables, ils ont fait toute leur vie dans une société commerciale dont la culture déborde sur eux-elles, etc. Le problème est donc que ces conseiller-e-s tournent en circuit fermé, qu'il n'y a que très peu de renouvellement, que c'est un clan fermé où tout le monde a le même diplôme. Si l'on extrapole, il y a un manque d'écoute de la société civile.
À l'inverse, ceux et celles qui tapent sur Sarko savent-il-elle-s prendre des décisions (c'est-à-dire trancher quand il n'y a aucune solution idéale) ? Savent-il-elle-s participer à la vie politique ? Savent-il-elle-s diriger (ça peut être de manière collaborative, hein), entretenir la motivation tout ça ? Ont-il-elle-s des notions de politique (organisation de la vie de la cité) ? Hé oui, chacun-e ses envies, ses motivations, ses compétences.
Hé sinon, vous avez remarqué que l'on parle d'un site web ? Vous n'avez pas l'impression que c'est totalement futile ? Nan parce que savoir de grandes théories, des théorèmes mathématiques, des raisonnements philosophiques, des connaissances en biologie, en sociologie, en informatique, etc., encore, ça peut se comprendre, mais connaître le nom d'un site web et ses fonctionnalités principales, c'est comme connaître le prix de la baguette de pain à Trifouilli : on s'en balance complet. C'est typiquement le genre d'info que l'on pourra retrouver. Et ça ne permet pas de faire un choix plus éclairé. Comme avoir été visité les locaux du Bon Coin ne fait pas de Sarko un plus grand stratège en matière de lutte contre le chômage.
Là, on va me dire que je me prends la tête pour un non-fait, un fait divers bidon. Justement, non, cette histoire est un des reflets d'un mal profondément ancré dans la société française. Deux maux, même :
Jusque-là, speech-dispatcher, dont tous les modules sont sous licence libre, supportait déjà de nombreuses solutions: Espeak, Mbrola, Svox Pico, Festival, ibmtts, Flite, pour ne parler que de celles connues. Malheureusement, la qualité de ces outils restait franchement moyenne pour des utilisateurs lambdas, débutants, voire non informatisés. Le grand public, âgé ou en situation de handicap, à qui on montre GNU/Linux avec Espeak recule. Précisons que parmi ces outils, peu sont libres, puisque les meilleurs ne le sont pas totalement (mbrola, ibmtts, svox, Pico). Espeak a de réels atouts, mais reste réservée à un public résistant à la voix robotique.
Or, d'autres synthèses (certes peu) ont déjà un support sur GNU/Linux. Elles ne sont pas libres non plus, mais leur qualité est supérieure en naturel et intelligibilité. Il ne restait donc qu'à les faire supporter par Speech-dispatcher pour que les gens y aient accès et découvrent un GNU/Linux sympathique dès le premier abord (eh oui, sauf à être sensibilisé, si le premier abord échoue, le grand public n'y revient pas, surtout vu l'exigence des populations pour qui l'informatique est un bien précieux au quotidien).
Depuis aujourd'hui, un patch a été soumis pour que Speech-dispatcher intègre un nouveau module. Il s'agit de Kali. Ce module, libre, permettra :
- d'accéder à 3 voix francophones supplémentaires, plus naturelles et intelligibles ;
- d'accéder à deux voix supplémentaires en anglais ;
- d'entendre l'ordinateur avec une voix féminine ou masculine.
Certes, pour profiter de cette synthèse vocale, il en coûtera près de 85 euros. Le module Speech-dispatcher la faisant tourner sur GNU/Linux est libre, mais pas la synthèse elle-même. Il faut cependant préciser que les chercheurs qui travaillent sur ce produit depuis plus de 30 ans sont de loin plus accessibles que les grands services de R&D des entreprises faisant autorité sur le secteur. L'ouverture de ce code n'est peut-être pas si loin malgré tout.
Je pense que cette sortie offre à ceux qui recherchent l'amélioration de la qualité vocale de nouvelles perspectives. Les personnes aveugles ou malvoyantes s'y intéresseront particulièrement. Grâce à ce module, Orca, le logiciel leur permettant de savoir ce qu'affiche leur écran, pourra leur parler avec une voix plus jolie. Et qui articule!
Le début est ici : http://shaarli.guiguishow.info/?3PkwNA
Voici la réponse que j'ai reçue le mois dernier, par courrier postal (!), en provenance de la direction générale de la Santé (un scan de cette lettre est pointé par ce shaarli) :
Monsieur,
Par mail en date du 15 mai 2016, récemment transmis, vous faites part de vos interrogations sur le projet de décret permettant l’application de l’article 178 de la loi du 26 janvier 2016 relative à la modernisation de notre système de santé. Votre mail fait suite à un article du Canard enchaîné qui déplorait que le projet de décret soumis à la consultation des parties prenantes (associations, ordres professionnels, syndicats de l’industrie des produits de santé) ne comprenait pas de disposition sur l’identification du bénéficiaire final.
Je tiens à vous remercier pour l’intérêt que vous portez au dispositif de transparence des liens d’intérêts et à vous assurer que je partage pleinement les principes que vous énoncez dans votre courrier.
Aussi, je souhaite souligner que le projet de décret comportait bien la mention de l’identité du bénéficiaire final mais sans doute dans une formulation trop elliptique. Les différentes réunions avec les parties prenantes ont permis de reprendre la formulation de cette obligation. Vous pourrez en prendre connaissance lors de sa publication au Journal Officiel.
Par ailleurs, le dispositif de transparence des liens d’intérêts est mis en œuvre depuis le mois de juin 2013, le décret d’application de la loi Bertrand étant sorti le 2l mai 2013 (décret n°2013-414 du 21 mai 2013).
Ce décret oblige à publier les avantages d’un montant supérieur ou égal à 10€.
Il a aussi prévu la rétroactivité de la publication des avantages et conventions accordés ou signés depuis le 1er janvier 2012. Les publications ont été, pour l’année 2012 et le 1er semestre 2013, réalisées sur le site internet des entreprises soumises au dispositif de transparence des liens d’intérêts. Les données ultérieures sont mises en ligne sur le site transparence-sante.gouv.fr. Certaines entreprises ont rapatrié les données 2012 et du 1er semestre 2013 sur ce site.
Enfin, en application de l’article 178 de la loi de modernisation de notre système de santé, les données contenues dans la base ont été mises à disposition du public sur le site data.gouv.fr depuis le 9 mai dernier.
Je vous pris d’agréer Monsieur, l’expression de ma considération distinguée.
Le Directeur Général de la Santé
Professeur Benoît VALLET
Je suis forcé de constater que la sortie du décret est visiblement retardée une fois encore (ce que confirme une recherche sur le web), que cette réponse n'apporte aucune garantie concernant la publication du bénéficiaire final des conventions & contrats, que l'on mélange conventions/contrats et avantages pour mieux ne pas me répondre et que la fin est remplie d'inexactitudes sur le contenu du décret 2013-414. ÉDIT DU 04/11/2017 À 17H45 : Dudorino a remarqué que même l'URL donnée est incorrecte : transparence-sante.gouv.fr n'existe pas, le bon nom est transparence.gouv.fr . :D FIN DE L'ÉDIT.
J'ai donc répondu ce jour ce qui suit :
Monsieur,
Par courrier en date du 18 octobre 2016, vous répondez à mon mail du 15 mai 2016 qui portait sur le décret permettant la pleine application de l'article 178 de la loi du 26 janvier 2016 dite de modernisation de notre système de santé.
Tout d'abord, vous m'indiquez que je pourrais prendre connaissance de la nouvelle formulation du décret en question, afin de m'assurer qu'elle comprend bien la publication du bénéficiaire final (et non pas uniquement du nom d'une association qui sert d'intermédiaire) des conventions et des avantages, lors de sa publication au Journal Officiel. Pouvez-vous m'indiquer une date de publication, fût-elle approximative ? Une nouvelle version devait être soumise à consultation en juillet 2016. Où en est-on ? La transparence concernant les liens entre médecins et laboratoires pharmaceutiques est attendue par le public depuis 2011, tout de même.
Ensuite, lorsque vous m'indiquez que le décret numéro 2013-414 oblige à publier les avantages (restaurant, frais de déplacement, etc.) d'un montant supérieur à 10 € dont bénéficient les professionnels de santé, vous éludez mes attentes qui portent sur le montant plancher (le seuil) qui rend obligatoire la publication des conventions et des contrats entre médecins (ou associations de médecins ou autres structures d'intermédiation) et les laboratoires pharmaceutiques. L'article 178 de la loi du 26 janvier 2016 prévoit que ce seuil soit défini par décret. J'interpellais le ministère sur le fait que celui-ci doit être suffisamment bas pour rendre la transparence intéressante c'est-à-dire que ça ne conduise pas à un fractionnement des conventions pour échapper à la publication. Pouvez-vous me communiquer le seuil qui est actuellement prévu dans le projet de décret ?
Enfin, la dernière partie de votre réponse contient plusieurs inexactitudes.
- D'abord, le décret numéro 2013-414 prévoit exclusivement la publication des conventions pour un secteur bien particulier : l’évaluation de la sécurité, de vigilance ou de recherches biomédicales pour les lentilles oculaires non-correctrices, les produits cosmétiques et les produits de tatouage. On est donc loin de la « publication des avantages et des conventions » dont votre courrier fait mention comme s'il s'agissait du cadre général.
- Ensuite, les conventions conclues entre les professionnels de santé et les firmes pharmaceutiques étaient jusqu’ici déclarées sur le site web du ministère dédié à la transparence, comme vous le mentionnez, mais leur montant était secret. La publication doit, bien évidemment, comprendre les noms des parties ainsi que le montant. Ainsi, votre réponse me semble lacunaire.
Or, la décision numéro 369074 du Conseil d'État en date du 24 février 2015 semble claire : la rétroactivité de la publication des conventions y compris de leur montant, à partir de janvier 2012 est acquise. Mais le projet de décret soumis à consultation en avril 2016 n'en faisait pas mention d'où le rappel du Formindep à préciser cette rétroactivité dans le futur décret afin que les laboratoires pharmaceutiques ne puissent pas arguer que la date de départ de la publication est celle de la loi du 26 janvier 2016. Je renouvelle donc mon interrogation : est-ce que ce projet de décret prévoit explicitement la publication de tout contrat ou convention en plus des avantages, à partir du 1er janvier 2012 ?
Je renouvelle mon vif soutien à ces trois principes de base (publication du bénéficiaire final sans condition, seuil emportant publication défini à une valeur basse, rétroactivité jusqu'au 1er janvier 2012) sans lesquels il ne peut y avoir de transparence et j'espère voir leur application au plus vite.
Vous pouvez me répondre par voie électronique, je vis dans le bon millénaire et j'ai suivi la transition numérique. Je vous communique à nouveau mon adresse email dans l'entête de ce courrier.
Cordialement.