GuiGui's Show

La loi pour une République numérique a été adoptée au Parlement fin septembre 2016.

Bon, je ne reviens pas sur tout ce qui a été sacrifié sur l'autel du pragmatisme : définition et cadre des Communs et du domaine commun informationnel, logiciels libres et formats ouverts dans l'administration (bon, en même temps entre le ministère de la défense, les ministères sociaux (santé, jeunesse, travail), l'éducation, la culture et les hôpitaux qui se servent chez Microsoft, c'était perdu d'avance), protection du chiffrement (là on a uniquement sa promotion par la CNIL), plaintes initiées par des assos pour utilisations abusives (dérives) des droits d'auteur notamment la réappropriation du domaine public.

Je passe aussi sous silence les bouts de texte dont se gargarise Axelle Lemaire (tout en donnant des leçons de modestie dans la presse) alors qu'ils sont de simples transpositions ou applications de directives et de règlements européens : neutralité des réseaux, données personnelles (portabilité des données (mais pas suppression !), droit à l'oubli pour les mineurs et augmentation des sanctions de la CNIL).

Je passe également sur les renforcements de pouvoirs qui n'ont jamais servi. Genre les pouvoirs de sanctions de la CADA ou les pouvoirs de perquisitions de l'ARCEP. Ça donne l'impression au législateur d'avoir trop bien bougé son cul et ça renvoie la balle de l'inaction dans le camp de l'autorité dont les pouvoirs ont été augmentés, c'est mignon tout plein mais ça s'arrête là.

Open Data

Voir : http://www.nextinpact.com/news/101397-on-vous-explique-volet-open-data-loi-lemaire.htm

• Transparence autour des algorithmes utilisés par les administrations pour prendre des décisions individuelles ;
  
  
• Open Data par défaut pour les administrations (et les délégations de service public, universités, etc.) mais des tas de conditions : nombre d'agents comme seuil emportant l'obligation de publication, uniquement les informations déjà dispos au format électronique, périmètre défini, exceptions (pas de données persos, propriété intellectuelle, etc.), etc. Les administrations sont tenues de mettre à jour les documents publiés et ça, c'est cool. Application progressive dans max 2 ans donc fin 2018 ;
  
  
• Pas de redevance sur ces données sauf pour les organismes autofinancés à plus de 25 % (loi Valter et son décret d'application) ;
  
  
• Sous un format librement réutilisable (ça évitera les documents inexploitables comme le code source Admission Post-Bac ou les déclarations d'intérêts) ;
  
  
• Les codes sources des administrations sont des documents communicables… sauf exception de sécurité… … … ;
  
  
• Ouverture des données de référence dont on ne sait pas encore vraiment ce que c'est… On parle du cadastre, du registre SIRENE, la base adresse nationale… ;
  
  
• Hall of Shame CADA (publication du nom administrations qui ne suivent pas souvent ses avis), rapprochement CNIL/CADA, pouvoirs de sanctions augmentés (mais jamais utilisés donc booooon) ;
  
  
• Mise à disposition des décisions de justice (aucune date, les greffes déjà surchargés, une analyse préalable des risques est requise, etc. donc on n'en verra jamais la couleur àmha), publication des "données essentielles" (arnaques à venir) autour des subventions > 23000€, publication, par le CSA des temps d'intervention télé et radio des personnalités politiques (et ça, c'est cool), informations sur les valeurs foncières par le fisc (mais que pour les assos d'info sur le logement, chercheurs et pros), publication de données agrégées par les fournisseurs de gaz et d'électricité, etc. ;
  
  
• Prolongements possibles : nouveau statut pour les données de la recherche. Celles-ci sont de plus en plus souvent publiées par gros éditeurs en même temps que les publications. Il y a donc un risque de réappropriation privée. Pas d'embargo, ces données sont publiables ASAP. Accès libre pour les bases de données détenues par les universités (qui peuvent faire l'objet de demandes CADA si les universités ne publient pas d'elles-mêmes ;) )). « Donc la conclusion à laquelle nous devons aboutir, c’est que la loi numérique a bien créé un statut juridique remarquable pour les données de la recherche : elle en a fait des Communs de la connaissance. ». Voir : https://scinfolex.com/2016/11/03/quel-statut-pour-les-donnees-de-la-recherche-apres-la-loi-numerique/ .

BTW, j'apprends la différence entre Open Access et accès libre :

On sait en effet que les chercheurs constituent des agents publics qui ont la particularité de conserver pleinement leur droit d’auteur sur les œuvres qu’ils produisent dans le cadre de leurs fonctions (contrairement aux autres agents publics, dont les droits patrimoniaux sont exercés par leurs tutelles et dont le droit moral est réduit au droit à la paternité). Une des conséquences secondaires de cette titularité individuelle des droits pour les chercheurs sur leurs écrits est que ceux-ci ne deviennent pas automatiquement réutilisables lorsqu’ils choisissent de les publier en ligne dans des archives ouvertes ou sur un site personnel. Le droit d’auteur qui s’applique à eux est pleinement maintenu lors de la diffusion sur Internet. C’est le cas par exemple pour un article déposé par un chercheur sur HAL ou dans une archive ouverte institutionnelle : par défaut, si le chercheur ne fait rien d’autre que le déposer, l’article sera librement accessible, mais pas librement réutilisable. Il ne le deviendra que si le chercheur choisit d’opter par un acte positif pour une licence Creative Commons (ce que la plate-forme HAL permet depuis le passage à la v3).

Données persos

Voir : http://www.nextinpact.com/news/101511-on-vous-explique-volet-cnil-et-donnees-personnelles-loi-numerique.htm

• Mort numérique : même sans directives du défunt, les héritier-e-s pourront clôturer des comptes utilisateur, et récupérer le contenu des boîtes mails et autres documents (genre des photos). Dommage pour la vie privée : on ne souhaite pas tout transmettre à ses héritier-e-s notamment quand il-elle-s sont des personnes éloignées dans l'arbre généalogique ;
  
  
• Secret des correspondances : toujours autant de bullshit : analyse automatique (comme GMail qui "lit" les mails pour y mettre de la pub) est autorisée si consentement de l'utilisateur… Comme aujourd'hui, quoi (oui, les CGV parlent de ça ;) ) ;
  
  
• CNIL : elle pourra être saisie sur plus de sujets (mais son avis est toujours consultatif et son budget restreint, faut pas charrier ;) ), nouvelles missions (promotion du chiffrement et réflexion autour de l'éthique des nouvelles technos), CNIL et ARCEP peuvent se saisir mutuellement pour avis ;
  
  
• Action collective en justice contre les manquements à la loi informatique et libertés : mesure déportée dans la loi pour la justice du 21ème siècle. Uniquement pour faire cesser les manquements, pas pour dédommager. :-

Réseaux

Voir http://www.nextinpact.com/news/101547-fibre-ipv6-neutralite-du-net-ce-que-loi-numerique-change-aux-telecoms.htm

• À partir de janvier 2018, tous les équipements vendus et loués doivent être compatibles IPv6. IPv4 pose de vrais problèmes de société mais les terminaux sont déjà compatibles IPv6, que ça soit les ordiphones, les box. C'est du Linux derrière, hein. Le problème, c'est les FAI et les FSI. Les équipements ne font pas partie des problèmes identifiés par l'ARCEP dans son rapport ( voir http://shaarli.guiguishow.info/?3JKbTw ) ! ;
  
  
• On complète l'implémentation du statut "zone fibrée" prévu par la loi Macron. J'y suis toujours aussi réticent : parler de déploiements de réseaux THD suffisants sur une zone donnée pour justifier l'apparition de mécanismes de forçage de main pour que la population migre vers ces réseaux THD, ça me semble très bancal en 2016. Sans compter que cela pourra être un mécanisme favorable au premeir opérateur qui déploie tendance renforcement d'une position dominante… ;
  
  
• Volonté que les réseaux d'initiatives publics se regroupent à des échelles supérieures genre départementale ou régionale. Pas un scoop : le plan THD du gouvernement Sarko prévoyait déjà des incitations à déployer à de grandes échelles. Même chose pour le plan THD de la gauche ;
  
  
• On commence à parler d'inclusion numérique dans l'aménagement des territoires afin de developper les usages numériques sur les territoires. Biiiiien, enfiiiiiiin, mais c'est trop tard : la plupart des RIP ont déposé leur STDAN… … … ;
  
  
• ARCEP : pouvoir de sanction étendu aux FSI. Hum… À voir ce que ça va donner.

Droit d'auteur

Voir : http://www.nextinpact.com/news/101549-on-vous-explique-volet-droit-d-auteur-loi-numerique.htm

• Liberté de panorama (exception au droit d'auteur permettant de diffuser des représentations d'œuvres situées dans le domaine public) massacrée : uniquement des œuvres architecturales et sculptures qui sont placées en permanence sur la voie publique, réalisées par des personnes physiques, sans visée commerciale. Bref, exception rendue caduque ;
  
  
• Autre exception au droit d'auteur ajoutée par cette loi : le "text and data mining" : en gros, les reproductions licites d'œuvres de recherche scientifiques peuvent être analysées dans le but de les exploiter dans le cadre de la recherche publique uniquement et sans visée commerciale. Là encore, c'est plutôt restrictif ;
  
  
• Open Access (pour bien comprendre l'étendue du problème, je vous conseille cet excellent épisode de Datagueule : https://www.youtube.com/watch?v=WnxqoP-c0ZE ) : les publications scientifiques issues de travaux de recherche financés à au moins 50 % par de l'argent public pourront être publiées librement (sans visée commerciale, faut pas charrier donc ça restreint les licences qu'il est possible d'utiliser), dans un format ouvert, par leurs auteurs, 6 mois après la publication (12 pour les sciences sociales) même si les auteurs avaient accordé des droits exclusifs à un éditeur. On voit déjà une grosse limite : il faudra que les chercheur-euse-s soient informé-e-s de ce nouveau droit et qu'il-elle-s ne soient pas vus comme des gourous libertaires (c'est en cela qu'un Open Access imposé était une bonne idée) lorsqu'ils chercheront à intégrer un labo (en Allemagne, 10 % avaient profité de ce droit au bout d'un an). En retour, le gouvernement a prévu un accompagnement financier des éditeurs de revues scientifiques… Oui, de la thune publique va alimenter des grosses multinationales qui se réapproprient des recherches publiques depuis des années ! Pour les questions pratiques, voir chez l'excellent Calimaq : https://scinfolex.com/2016/10/31/open-access-quelles-incidences-de-la-loi-republique-numerique/ ;
  
  
• Les hébergeurs et les plateformes ne sont plus contraintes d'agir avec diligence et de manière proactive contre la contrefaçon. On a échappé belle au filtrage proactif des contenus, une fois encore. :-

Autre

Voir : http://www.nextinpact.com/news/101526-les-15-mesures-cles-loi-numerique.htm

• Il est possible de remonter des failles de sécurité à l'ANSSI puisque le devoir de tout fonctionnaire de dénoncer tout crime et délit est levé dans ce cadre-là. Sauf que le texte ne prévoit pas de délai pour fixer la faille… laissant l'occasion à une autre personne de la découvrir à des fins malveillantes, mettant ainsi en porte-à-faux le découvreur éthique. ;) Et comme dans Sapin 2 : qu'est-ce que la bonne foi ? Comment l'ANSSI protégera l'identité du découvreur ? La loi ne le dit pas. Voir : https://reflets.info/remonter-des-failles-a-lanssi-une-bien-belle-idee-sur-le-papier/ ;
  
  
• « Traduction vidéo en langue des signes. D’ici cinq ans au plus tard, les administrations et entreprises chargées d’une mission de service public devront mettre à la disposition des personnes sourdes et malentendantes, au titre de leur accueil téléphonique, un service de traduction simultanée qui sera vraisemblablement accessible via logiciel de chat vidéo. Les plus grandes entreprises seront également contraintes de suivre ce mouvement, sous deux ans. ». Faut attendre la publication par décret du seuil de chiffre d'affaires au-delà duquel c'est obligatoire ;
  
  
• « Maintien de la connexion à Internet. Sur le modèle de ce qui prévaut aujourd’hui pour l’eau, le téléphone où l’électricité, les départements devront accorder une aide à « toute personne ou famille éprouvant des difficultés particulières » pour payer ses factures d’Internet. Tant que les pouvoirs publics n’auront pas statué sur la demande d’aide, les opérateurs subissant des impayés ne pourront pas couper la ligne de l’abonné. Ils seront en revanche autorisés à en restreindre l’usage « sous réserve de préserver un accès fonctionnel aux services de communication au public en ligne et aux services de courrier électronique ». » ;
  
  
• « Loyauté des plateformes. Les moteurs de recherches tels que Google et Bing devront fournir « une information loyale, claire et transparente » à leurs utilisateurs, notamment quant à leurs « modalités de référencement, de classement et de déréférencement des contenus ». » ;
  
  
• En vrac : définition du revenge porn, reconnaissance de l'e-sport, reconnaissance des MOOC (un cursus pouvant être partiellement suivi par ce biais), recommandé électronique, certification des coffres-fort électroniques, remise d'un rapport par le gouvernement à propos de la création du fameux commissariat à la souveraineté numérique (qui n'a plus de missions, celles de concevoir un système d'exploitation souverain et du chiffrement souverain, lui ont été durant les débats), la plate-forme « dites-le nous une fois » (qui permet de centraliser les justificatifs que l'on fournit à plusieurs administrations (pour mieux se les faire pirater ? ;) ) est désormais ouverte aussi aux particuliers, bafouille sur l'identité numérique (reconnue fiable, mais il faut une certification ANSSI bullshit), etc.

Ce qui a disparu

Les dispositions qui ont disparues depuis mon dernier shaarli (celui pointé par ce shaarli :P ) :

• Les avis du Conseil d'État sur les projets de loi et les ordonnances ne seront pas des documents communicables, finalement. C'était une promesse du Président, une de plus. Pourtant ces avis, rendus avant le Conseil des ministres (et donc avant l'examen par le Parlement) éclaireraient les débats publics car ça indique les erreurs du gouvernement, les problèmes de droit qu'une disposition pourrait créer, les points de vigilance. Ces avis sont cités dans le-s rapport-s des commissions et dans les amendements… ;
  
  
• Le gouvernement devait produire un rapport, sur la nécessité de créer une consultation publique en ligne pour tout projet de loi ou proposition de loi avant son inscription à l’ordre du jour du Parlement. Il n'en est désormais plus question ;
  
  
• Tout opérateur de plateforme ne doit plus déclarer les revenus de ses membres (y compris Le Bon Coin ou autre, donc) dès qu'ils dépassent 5000 € annuels. Disposition ajoutée par le Sénat qui n'a pas survécu à la CMP ;
  
  
• Interdiction, pour un moteur de recherche en situation de monopole, de favoriser ses services. Voir http://www.numerama.com/business/167227-senat-adopte-disposition-contre-abus-de-google.html . Ça n'est plus dans la version finale du texte.

Déjà lu quand je cherchais une critique avant d'écrire la mienne. :)

Je suis en désaccord sur certains mots employés (plus précisément sur leur disproportion) et sur les piques envoyées à Fakir (là-aussi à cause de leur disproportion et l'aspect "je colle une intention à toute une équipe, comme ça, gratos") mais oui, on converge sur plusieurs points.

La loi Création (de son nom complet « relative à la liberté de la création, à l’architecture et au patrimoine ») a été adopté par le Parlement fin juin 2016.

J'en retiens :

• Les affectations de 25 % des recettes de la Redevance Copie Privée que les SRPD doivent réaffecter seront désormais publiques, accessibles en ligne, dans une base de données unique, dans un format ouvert et facilement réutilisable, régulièrement mis à jour. C'est important car ça permettra de voir le lobbying que permet cette affectation sur les élu-e-s locaux (qui réclament cette affectation pour monter des animations culturelles locales).
  
  
• Redevance sur l'indexation des photos/œuvres graphiques par les moteurs de recherche (ou tout site web qui fait du référencement (et qu'est-ce que du référencement à part des liens ?) ;) ) : toute photo mise à disposition par ce biais sera automatiquement mise en gestion au profit d'une SRPD. Les moteurs devront signer des conventions avec les SRPD pour fixer le montant de cette redevance. Évidemment, osef des licences libres ou même que les photos soient des photos illégalement mises en ligne : on ne s'encombre pas de tels détails quand il s'agit de la thune qui ira dans les poches des SRPD. Côté positif : « le simple fait de mettre une photo ou une illustration sur le Web fait que Google a le droit de l’afficher ». Voir : http://www.numerama.com/politique/176565-toutes-vos-photos-vont-devenir-payantes-pour-google-allez-vous-gagner-de-largent.html
  
  
• La Commission Copie Privée (qui décide du barème de la Redevance Copie Privée) devient enfin un peu plus transparente : publication de son règlement intérieur au Journal Officiel et déclaration d'intếrêts des membres transmises à la Haute Autorité pour la transparence de la vie publique. On a aussi une nouveauté bullshit : « Le projet de loi initie l’arrivée d’un cortège de trois représentants des ministres chargés de la Culture, de l'Industrie et de la Consommation [...] avec voix consultative. »
  
  
• Les magnétoscopes numériques sont désormais soumis à la Redevance Copie Privée. Le barème dépend du nombre d'abonné-e-s au service et de l'espace de stockage mis à disposition.
  
  
• Il n'est plus question que ça soit la HADOPI qui réalise les études d'usage (qui permettent d'établir le barème de la RCP). C'est bien mais du coup, on conserve l'opacité de la Commission Copie Privée alors que le rapport Maugüé préconisait que des experts soient choisis parmi les membres de la Cour des comptes, de l’Inspection générale des finances de l’Inspection générale des affaires culturelles, ou du Conseil général de l’économie, de l’industrie, de l’énergie et des technologies.

Historique : http://shaarli.guiguishow.info/?C_DCjA

Le Sénat a adopté ce texte en première lecture le 18 octobre. Comme on est en procédure accélérée, il y a une seule lecture par chambre. Donc la Commission Mixte Paritaire, chargée d'harmoniser/synthètiser la version Assemblée et la version Sénat s'est réunie le 25 octobre pour constater… qu'elle n'arrivera pas à produire un texte de consensus. On commence donc une deuxième lecture, à l'Assemblée à partir de demain. La version de travail est celle issue du Sénat, c'est-à-dire avec tous les articles qui posent question.

Article 37 : modification de la loi relative à la liberté de la presse

• Le délai de prescription de l'action publique passe à 1 an si l'infraction a été commise en ligne ;
  
  
• Le-a plaignant-e n'est toujours plus obligé de qualifier précisément les faits (tel bout est de la diffamation, de l'injure, autre chose ?) car il-elle ne risque plus de voir sa plainte devenir nulle. De même, un juge peut requalifier l'infraction.
  
  
• Il est toujours possible d'entamer une procédure au civil pour demander réparation des dommages sauf pour les journalistes qui adhérent à une charte de déontologie. Quid des sources ? Quid des citoyen-ne-s (oui car cette loi est le seul bout qui protège la liberté d'expression en France) ? Cette distinction pro/pas pro n'est pas sérieuse. :/
  
  
• Il est toujours possible de demander la fermeture d'un site web en référé (donc juge judiciaire, hein) pour des cas de diffamation portant sur l'orientation, le sexe ou handicap.
  
  
• Les peines sont aggravées lorsque les infractions sont commises par un dépositaire de l'autorité publique et pour les infractions portant sur l'orientation, le sexe ou le handicap.
  
  
• Le Parquet peut toujours décider de continuer toute action engagée, même lorsque le-a plaignant-e se retire.

Article 12 nonies : l'expérimentation d'un service civique obligatoire voulue par l'Assemblée n'est pas encore revenue.

Même chose pour le droit à la cantine scolaire.

Article 14 bis et 14 decies : toujours une déclaration préalable avant d'ouvrir une école privée hors contrat, des contrôles qui changent de nature (ajout de « moralité » et de « compétences » dans les points à vérifier). Pour l'instruction en famille : toujours une volonté que les contrôles se déroulent à domicile et de changer la nature des contrôles comme déjà dit.

Toutes ces attaques DDoS, que ça soit contre Dyn ou contre OVH me font rire jaune car la responsabilité est partagée et qu'on trouve des Picsou à tous les étages (ou presque) :

• D'un côté, on a des équipementiers (et ça date d'avant l'IOT, faut pas charrier) qui voient la sécurité comme une contrainte financière : ça coûte de l'argent de dev' de bons produits. Ça coûte de la R&D donc du blé de trouver comment faire de la sécurité sur des tout petits objets qui ont que dalle d'électricité, de RAM, de CPU, etc. C'est un monde nouveau donc on se dit qu'on peut se passer de l'expérience acquise ces 20-30 dernières années en informatique "traditionnelle" ;
  
  
• À cela s'ajoute des failles qui ne sont jamais patchées car personne n'a envie de mettre à jour ses XXXXX objets connectés ni même tous ses ordinateurs connectés à Internet de manière générale. C'est chiant, il fait beau dehors, affaire classée. Même chose pour les milliers d'équipements avec un mot de passe par défaut : c'est chiant de changer le mot de passe par défaut, faut s'en souvenir, l'utilisateur moyen ne sait même pas qu'il y en a un, bref, on veut du matos plug & forget. Et encore, là je parle des cas optimistes où il est possible de changer le mot de passe (on va y revenir au point suivant) et/ou que des mises à jour sont diffusées par l'équipementier et/ou que l'équipement puisse techniquement être mis à jour ;
  
  
• À cela s'ajoute les backdoors, les accès privilégiés que se laissent les équipementiers… avec la meilleure intention : màj auto par l'équipementier, support client simplifié, etc. C'est une partie de l'attaque contre Dyn : https://boingboing.net/2016/10/24/xiongmai.html - « That’s because while many of these devices allow users to change the default usernames and passwords on a Web-based administration panel that ships with the products, those machines can still be reached via more obscure, less user-friendly communications services called “Telnet” and “SSH.” [...] “The issue with these particular devices is that a user cannot feasibly change this password,” Flashpoint’s Zach Wikholm told KrebsOnSecurity. “The password is hardcoded into the firmware, and the tools necessary to disable it are not present. Even worse, the web interface is not aware that these credentials even exist.” » ;
  
  
• D'un autre côté, on a des sociétés commerciales (« Twitter, le PlayStation Network (PSN), PayPal, eBay ou encore Spotify, Netflix, etc. » - http://www.numerama.com/tech/203367-comment-des-cameras-de-surveillance-ont-rendu-inaccessible-une-partie-du-web.html), qui ont tout leur business sur le Net, qui comptent dans leurs rangs, des ingénieurs brillants qui savent quand même ce qu'est Internet… mais qui font le choix d'utiliser un seul et même hébergeur DNS. Allô. Internet, on essaye de ne pas créer de centre. Allô, ça fait des années et des années que les bonnes pratiques sont d'avoir plusieurs hébergeurs DNS qui utilisent des prestataires réseaux différents. Mais avoir une infra internationale redondée, ça coûte du blé. Avoir recours à plusieurs prestataires simultanément, ça fait grimper les charges sans rien apporter en produit lors d'un exercice comptable normal ;
  
  
• Mais, enfin, éviter les centres, héberger chacun-e nos moyens de communication et de diffusion des savoirs chez nous ou dans la petite structure locale n'empêchera de pouvoir réduire des petits acteurs au silence : https://benjamin.sonntag.fr/DDOS-sur-La-Quadrature-du-Net-analyse . Une prise de conscience à tous les étages, des équipementiers, aux fournisseurs de services en passant par les utilisateur-rice-s d'objets connectés kikoos ou simplement d'ordinateurs quel que soit leur format, apparaît nécessaire.

Bref, on pourra compter les DDoS, s'étonner devant leurs centaines de Mbps et aujourd'hui leurs Tbps mais ça n'aide pas : le changement à opérer est structurel et multi-acteurs. Mais, après tout : « à cœur vaillant rien d'impossible ».

[...] The botnet is having DoS attack mechanism like UDP flood, TCP flood, along with other series of attack methods, in both IPv4 and IPv6 protocol, with extra IP spoof option in IPv4 or IPv6 too.

Via https://twitter.com/bortzmeyer/status/793148787770400769

Un rapport qui se bonifie d'années en années en ajoutant des métriques intéressantes : en plus de BGP/route/RPKI+ROA et DNS/DNSSEC, on a désormais la dispersion des serveurs de mails entrants (introduit en 2014) et TLS (introduit en 2015).

L’observatoire encourage l’ensemble des acteurs de l’Internet à s’approprier les bonnes pratiques d’ingénierie admises pour les protocoles BGP [3], DNS [4], et TLS, et à anticiper la menace que représentent les DDoS [5]. D’autre part, l’observatoire énonce les recommandations suivantes :

• surveiller les annonces de préfixes et se tenir prêt à réagir aux usurpations ;
  
  
• utiliser des algorithmes supportant la confidentialité persistante, et abandonner SSLv2 et SHA-1 au profit de mécanismes plus robustes ;
  
  
• diversifier le nombre de serveurs SMTP et DNS afin d’améliorer la robustesse de l’infrastructure ;
  
  
• appliquer les bonnes pratiques notamment celles rappelées dans ce document, pour limiter les effets des pannes et des erreurs d’exploitation ;
  
  
• poursuivre les déploiements d’IPv6, de DNSSEC, et de la RPKI, afin de développer les compétences et d’anticiper d’éventuels problèmes opérationnels.

[...]

BGP

[...]

En 2015, à l’aide de la méthode définie dans les précédents rapports, l’observatoire a identifié 1588 AS français. Parmi ceux-ci, 1001 sont visibles dans les archives BGP, c’est-à-dire qu’ils ont annoncé au moins un préfixe pendant l’année. Un noyau dur de 869 AS actifs annonce au moins un préfixe par jour tout au long de l’année 2015, ce qui représente environ 87 % du nombre total d’AS distincts visibles au cours de l’année. Parmi les 13 % d’AS visibles restant, environ 50 % d’entre eux l’ont été pendant la moitié de l’année. Enfin, 587 AS répertoriés n’ont pas annoncé de préfixe en 2015.

[...]

[...] Pour IPv6, il est intéressant de noter que le graphe de connectivité comporte beaucoup moins d’AS qu’en IPv4.

[...]

L’Internet français dépend d’AS étrangers pour faire transiter le trafic entre certains AS français. L’enveloppe de l’Internet français contient l’ensemble des AS français et tous les AS se trouvant entre deux AS français sur un AS_PATH. La figure 1.5 montre, qu’en IPv4, leur nombre a crû lentement tout au long de l’année pour atteindre 293, un nombre légèrement inférieur à celui observé en 2014. En IPv6, comme en 2013 et 2014, une cinquantaine d’AS étrangers sont nécessaires pour interconnecter tous les AS français.

[...]

L’impact de la panne d’AS pivots est un élément important qui permet d’évaluer la robustesse de la connectivité. La figure 1.7 montre qu’en IPv4, seuls 7 AS pivots affecteraient au moins 10 AS en cas de défaillance. Il s’agit d’une légère amélioration par rapport à 2014. En revanche, l’AS pivot le plus critique aurait un impact sur 42 AS, contre 35 en 2014. Ce résultat, sans être dramatique, pointe cependant la nécessité d’être vigilant quant aux évolutions de dépendance des AS. Pour IPv6, la figure 1.8 montre qu’il existe moins d’AS pivots qu’en IPv4 [ NDLR : 4 versus 7 en IPv4 ]. Cependant, vis-à-vis de 2014, le nombre d’AS pouvant être déconnectés a augmenté. Il s’agit d’un résultat intéressant qui découle naturellement de l’évolution de l’Internet IPv6 français, et de la croissance du nombre d’AS IPv6 pivots.

[...]

En IPv6, le nombre d’AS a augmenté de 13 % en 2015, contre 6 % l’année précédente. Le nombre d’AS pivots a quant à lui légèrement augmenté. Cela semble indiquer un accroissement du déploiement d’IPv6 par les AS français.

[...]

En 2015, l’observatoire a détecté 6392 conflits d’annonces. Ils ciblent 344 AS français distincts, et 1350 préfixes. [...] Ainsi, seuls 2070 conflits anormaux seront considérés lors de l’identification des usurpations. [...] Sur les 2070 conflits anormaux, 1480 conflits correspondent à des réannonces de table globale [ NDLR : 71 %, quoi ] . [...] Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS [...] Le filtrage basé sur la similarité des noms des AS a permis d’identifier 4 conflits entre un opérateur et sa filiale française. Celui sur les numéros d’AS a mis en évidence une erreur de configuration d’un routeur BGP ayant engendré 5 conflits distincts. Ces filtres automatiques limitent efficacement les analyses manuelles à effectuer. Seuls 89 conflits anormaux, doivent ainsi être étudiés attentivement. À l’issue des analyses automatiques et manuelles, il reste 40 conflits anormaux qui pourraient être des usurpations de préfixes. Afin de réduire leur nombre, seuls les conflits anormaux comportant des annonces plus spécifiques sont conservés. Il apparait ainsi que 26 conflits anormaux correspondent à des usurpations dont les durées vont de cinq minutes à quatre jours.

[...]

Une fois la corrélation effectuée, seuls 35 AS sont à l’origine de réannonces de table globale. Certains AS ayant fait des réannonces plusieurs fois en 2015, ces résultats correspondent à 38 réannonces de table globale dans l’année, soit plus de 3 par mois. Parmi ces 35 AS, seulement 14 ont été en conflit avec des AS français aux dates où les réannonces de table globale ont été détectées, impactant 175 AS français au total.

[...]

L’algorithme utilisé est restrictif et tend à minimiser le nombre de faux positifs au détriment du nombre de faux négatifs. Une analyse manuelle a confirmé que le nombre total de réannonces de table globale dépasse les 38 détectées.

[...]

Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS, allant de quelques heures à plusieurs mois. Les AS français protégés sont de natures différentes, comme des hébergeurs, des assurances, ou des sites de paris en ligne. Il est intéressant de souligner qu’aucun des opérateurs spécialisés utilisés n’était français.

[...]

Début juillet, un AS russe a été à l’origine de 5 conflits distincts ciblant un AS français. Ce comportement est suspect, et similaire aux observations effectuées en 2014 liées aux campagnes de spam [17]. Durant l’année, il a annoncé près de 150 préfixes différents ne lui appartenant pas. Parmi les autres conflits anormaux, une dizaine correspond très probablement à d’autres campagnes de spam utilisant BGP. Un AS roumain identifié dans le rapport précédent a effectué ce type d’usurpations en 2015.

[...]

Finalement, 15 conflits anormaux possèdent des caractéristiques semblant indiquer qu’il s’agit très probablement d’usurpations de préfixes ayant touché des AS français.

[...]

Les destructions d’objets route et objets route6 inutilisés ne sont pas systématiques et restent très marginales par rapport aux nouvelles déclarations.

[...]

RPKI+ROA

[...]

L’étude des déclarations effectuées dans le dépôt du RIPE-NCC de la RPKI montre que le nombre d’AS participants a crû au cours de l’année 2015. Au début du mois de janvier, 198 AS français avaient des ROA dans la RPKI. Au 31 décembre, la RPKI contient des déclarations issues de 237 AS français, ce qui représente une croissance de près de 20 %. On remarque que cette augmentation est bien plus faible que celle observée au cours de l’année précédente. En 2014, le nombre d’AS participant à la RPKI avait augmenté de près de 80 % entre le début du mois de janvier et la fin du mois de décembre.

[...]

Au 31 décembre 2015, environ 65 % de l’espace d’adressage est valide selon la RPKI. En parallèle, les pourcentages de l’espace d’adressage non couvert et de l’espace d’adressage invalide sont restés stables au cours de l’année. Au 31 décembre 2015, 34,4 % de l’espace d’adressage n’était pas couvert. Le pourcentage de l’espace d’adressage invalide reste, quant à lui, relativement faible au cours de l’année. À la fin de l’année 2015, ce pourcentage est de 0,4 %. En ce qui concerne IPv6, l’espace d’adressage géré par les AS français est très faiblement couvert par les déclarations de la RPKI. À la fin de l’année 2015, les ROA couvraient moins de 1 % de cet espace d’adressage. Il n’y a donc pas eu d’évolution significative de cette couverture depuis 2014.

Donc RPKI+ROA progresse mais doucement et uniquement en IPv4.

[...]

Ces résultats montrent qu’en cas de filtrage strict basé sur la RPKI, près de 12 % des AS actifs à la fin de l’année 2015 verraient l’ensemble de leurs préfixes propagé dans l’Internet. Cette proportion est comparable à la valeur observée en 2014.

DNS

[...]

Le risque d’un TLD indisponible n’est pas théorique. Par exemple, en décembre 2015, le TLD .tr a subi une attaque DDoS 7 pendant trois semaines [21], avec des périodes où l’ensemble de ses serveurs DNS étaient inaccessibles.

[...]

Le nombre d’enregistrements NS par zone déléguée reste suffisant pour permettre une bonne résilience, du point de vue de cet indicateur. En effet, moins de 1 % des zones n’utilisent qu’un seul enregistrement NS, qui pourrait donc constituer un SPOF.

[...]

[...] Le déploiement d’IPv6 sur les serveurs DNS faisant autorité a stagné en 2015. Ainsi, environ 41 % des zones ne sont accessibles qu’en IPv4.

[...]

En 2015, le nombre moyen d’AS par zone reste équivalent à celui de 2014, et stagne à 1,2. Par ailleurs, la quantité de zones hébergées par un seul AS reste stable depuis 2011, culminant à 83 % des zones étudiées.

[...]

Répartir, ou être en mesure de répartir, ses serveurs de noms dans des préfixes /24 en IPv4 et /48 en IPv6 distincts peut également constituer une bonne pratique de résilience 9 . Cela permet notamment de limiter les zones de pollution BGP et d’accroître l’agilité face aux dénis de service distribués.

Ha ouaiiiis, j'y avais jamais pensé : si l'on ne peut pas externaliser ses zones dans plusieurs AS, une dispersion par préfixe permettra de réagir, certes de manière rustique, à une attaque DDoS.

L’étude de la répartition des serveurs de noms dans des préfixes est effectuée uniquement sur les zones étant hébergées sur au moins deux adresses IP. En IPv4, la figure 2.4a montre que 87 % des zones peuvent être ou sont annoncées dans des préfixes /24 distincts. En IPv6, ce chiffre s’élève à 98 % pour des préfixes /48 distincts, comme détaillé dans la figure 2.4b.

[...]

Comme pour les années précédentes, en 2015, tant en IPv4 qu’en IPv6, près de 82 % des zones étudiées sont servies exclusivement par des serveurs faisant autorité situés dans un même pays. *En IPv4, les zones dont tous les serveurs DNS faisant autorité sont dans un même pays étranger représentent 27 % des zones étudiées. Il convient néanmoins de noter que 75 % d’entre elles sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine. Cette situation ne présente donc, a priori, pas un risque significatif. Pour près de 20 % de ces zones, le constat est plus mitigé, ces dernières étant hébergées en Amérique du Nord.

Pour IPv6, les zones hébergées dans un seul pays étranger représentent 30 % des zones ayant des serveurs DNS accessibles en IPv6. Parmi celles-ci, près de 85 % sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine.

[...]

DNSSEC

[...]

Un peu moins de 9 % des zones étudiées mettent en œuvre DNSSEC en 2015. La croissance est essentiellement due à la création de nouvelles zones en 2015.

On voit le poids de l'inertie mais aussi la centralisation : il suffit qu'un gros hébergeur DNS propose une option "DNSSEC en 1 clic" et lala.

[...]

Près de 92 % des zones étudiées mettent en œuvre l’algorithme de hachage SHA-1, jugé insuffisant d’après les bonnes pratiques actuellement admises en cryptographie. À l’inverse, près de 98 % des zones étudiées utilisent bien l’algorithme de hachage recommandé SHA-256 pour créer la chaîne de confiance DNSSEC.

Parce que c'est les bureaux d'enregistrement qui poussent en SHA-256 de manière automatique, peut-être ?

[...]

SMTP

[...]

Un seul relais de messagerie est renseigné pour 38 % des zones déléguées. Le risque d’impossibilité de recevoir de nouveaux messages électroniques est donc accru par la présence d’un SPOF.

[...]

Un unique enregistrement MX ne signale pour autant pas la présence d’un SPOF au niveau du plan d’adressage. En effet, plusieurs adresses IP peuvent être indiquées pour un même nom de domaine ou une IP peut être annoncée sur l’Internet en employant la technique de l’anycast. De même, une adresse IP peut être virtuelle et répartie sur plusieurs serveurs physiques, grâce à des répartiteurs de charge.

[...]

IPv6 reste peu déployé. Ainsi, pour près de 89 % des zones, aucun des noms de serveur contenus dans les enregistrements MX n’a d’adresse IPv6 associée. Parmi les 11 % restants, pour 81 % de ces zones, un seul nom contenu dans les enregistrements MX peut être résolu en une unique IPv6.

Ainsi, IPv6 progresse au niveau routage mais on ne voit pas encore de répercussions au niveau service (DNS et SMTP) ?

[...]

Jusqu’à 86 % des zones étudiées introduisent au moins un SPOF dû au choix des noms de leurs relais de messagerie. En particulier, 64 % des zones étudiées créent deux SPOF en utilisant des noms situés dans un nom public situé sous un unique TLD tiers.

[...]

[...] En particulier, 71 % des relais de messagerie sont hébergés par quatre opérateurs. Cette concentration peut parfois aider à la mutualisation des moyens. Cela peut présenter un intérêt pour la défense contre certaines attaques en déni de service. Le filtrage du courrier indésirable peut également être partagé. Il convient de noter, néanmoins, un risque de défaillance collective en cas d’incident affectant les composants mis en commun.

Concentration SMTP aussi forte que DNS (70 % des zones hébergées par 4 hébergeurs DNS en 2013 selon le même rapport.

[...]

L’essentiel des relais de messagerie des zones étudiées est localisé en France, tant en IPv4 qu’en IPv6.

[...]

La concentration des relais de messagerie entrants sur quelques opérateurs réseaux est significative. En IPv4, un opérateur est responsable de la connectivité de 47 % des relais des zones étudiées. En IPv6, ce chiffre monte à 69 %.

[...]

TLS

[...]

Les mesures de l’observatoire se sont concentrées sur les ressources web accessibles à travers l’Internet français. Elles concernent plus spécifiquement les ressources exposées via le port 443, traditionnellement alloué par les serveurs aux échanges HTTPS. Les enjeux liés aux ressources de messagerie en ligne diffèrent en plusieurs points [45] et ne sont pas abordés dans le présent rapport.

Les noms de domaine issus du registre maintenu par l’Afnic 5 ont été préfixés de www. avant d’être résolus. Par exemple, les mesures effectuées sur le domaine afnic.fr correspondent à l’adresse IPv4 résolue pour www.afnic.fr. Lorsque le port 443 du serveur interrogé était ouvert, l’observatoire a envoyé différents stimulus ClientHello, dont les variations visaient à évaluer plusieurs capacités du serveur, telles que sa prise en charge de la confidentialité persistante ou encore sa tolérance envers des versions obsolètes du protocole.

[...]

L’extension SNI 6 [41] n’ayant pas été utilisée au sein des ClientHello, les mesures ne réunissent pas l’ensemble des ressources exposées via HTTPS sur la zone .fr. En interrogeant de ce fait un serveur par nom de domaine résolu, un sous-ensemble de 61 216 serveurs accessibles a ainsi été interrogé en juillet 2015, contre 26 261 en février 2014.

[...]

75 % des serveurs sont aptes à négocier une session TLS 1.2, en nette augmentation par rapport aux 54 % de 2014.

[...]

TLS 1.2 est couramment pris en charge par les serveurs de la zone .fr en 2015. TLS 1.0 est présent à égale mesure, mais clients comme serveurs devraient privilégier la version la plus récente du protocole.

[...]

En 2015, l’offre de confidentialité persistante s’est généralisée sur la zone .fr. Les serveurs doivent privilégier cette méthode auprès des clients qui la prennent en charge.

On passe de 50 % à 74 %.

[...]

En 2015, de nombreux serveurs tolérant SSLv2 sont apparus. Cette version de protocole doit être abandonnée au plus vite.

WTF sérieux…

[...]

Le tableau 3.1 fait état du nombre de certificats distincts relevés au cours des deux campagnes de mesure lancées sur la zone .fr en 2014 puis 2015. À près de dix-huit mois d’écart, la proportion de certificats auto-signés de 41 % est restée inchangée.

Comme quoi, Let's Encrypt partout, ce n'est pas le mot d'ordre de tout le monde (et à juste titre selon moi, voir http://shaarli.guiguishow.info/?i-OcNA ).

[...]

Mi-2015, le taux de présence de SHA-2 est monté à 55 %, et le taux de présence de SHA-1 est descendu en conséquence à 44 %. [...]

Jusque-là, speech-dispatcher, dont tous les modules sont sous licence libre, supportait déjà de nombreuses solutions: Espeak, Mbrola, Svox Pico, Festival, ibmtts, Flite, pour ne parler que de celles connues. Malheureusement, la qualité de ces outils restait franchement moyenne pour des utilisateurs lambdas, débutants, voire non informatisés. Le grand public, âgé ou en situation de handicap, à qui on montre GNU/Linux avec Espeak recule. Précisons que parmi ces outils, peu sont libres, puisque les meilleurs ne le sont pas totalement (mbrola, ibmtts, svox, Pico). Espeak a de réels atouts, mais reste réservée à un public résistant à la voix robotique.

Or, d'autres synthèses (certes peu) ont déjà un support sur GNU/Linux. Elles ne sont pas libres non plus, mais leur qualité est supérieure en naturel et intelligibilité. Il ne restait donc qu'à les faire supporter par Speech-dispatcher pour que les gens y aient accès et découvrent un GNU/Linux sympathique dès le premier abord (eh oui, sauf à être sensibilisé, si le premier abord échoue, le grand public n'y revient pas, surtout vu l'exigence des populations pour qui l'informatique est un bien précieux au quotidien).

Depuis aujourd'hui, un patch a été soumis pour que Speech-dispatcher intègre un nouveau module. Il s'agit de Kali. Ce module, libre, permettra :

• d'accéder à 3 voix francophones supplémentaires, plus naturelles et intelligibles ;
• d'accéder à deux voix supplémentaires en anglais ;
• d'entendre l'ordinateur avec une voix féminine ou masculine.

Certes, pour profiter de cette synthèse vocale, il en coûtera près de 85 euros. Le module Speech-dispatcher la faisant tourner sur GNU/Linux est libre, mais pas la synthèse elle-même. Il faut cependant préciser que les chercheurs qui travaillent sur ce produit depuis plus de 30 ans sont de loin plus accessibles que les grands services de R&D des entreprises faisant autorité sur le secteur. L'ouverture de ce code n'est peut-être pas si loin malgré tout.

Je pense que cette sortie offre à ceux qui recherchent l'amélioration de la qualité vocale de nouvelles perspectives. Les personnes aveugles ou malvoyantes s'y intéresseront particulièrement. Grâce à ce module, Orca, le logiciel leur permettant de savoir ce qu'affiche leur écran, pourra leur parler avec une voix plus jolie. Et qui articule!

Je voulais revenir sur ça à tête reposée.

Très bonne analyse de Reflets.

Tuerie de San Bernardino -> le FBI veut accéder au contenu de l'iPhone d'un des auteurs de la tuerie sauf qu'il est intégralement chiffré -> le FBI exige la coopération d'Apple pour procéder au déchiffrement. Sauf qu'Apple n'a pas la clé car elle est unique à chaque iPhone et elle n'est pas stockée en dehors du téléphone. Apple ne veut pas produire un outil générique de contournement (qui serait signé avec la clé privée d'Apple donc qui serait lancé par le bootloader de tout appareil Apple et qui permettrait de ne pas activer la destruction du contenu après 10 essais de mdp infructueux et de simplifier le bruteforce du bouzin en autorisant la transmission des tentatives autrement qu'en les tapant sur le clavier) au motif qu'il sera utilisé par les autorités dans absolument tout type de dossier et par les criminels et par les dictatures et par les gouvernements de tout poil contre les ONG ou autre. -> le FBI traîne Apple en justice puis se désiste bien avant une décision définitive.

• Magnifique rôle de défenseur de la vie privée pour Apple… Sauf qu'Apple ne cause quasi pas du droit à la vie privée dans son mémoire adressée à la Cour de justice. C'est juste de l'esbroufe pour les médias ;
  
  
• Malgré le chiffrement intégral du téléphone, des données peuvent être récupérées via le cloud si la synchronisation entre le téléphone et le cloud a été activé, compte-tenu qu'Apple a la main sur ses serveurs. C'était visiblement le cas ici ( https://www.aclu.org/blog/free-future/one-fbis-major-claims-iphone-case-fraudulent ). Après, quand on me dit que le FBI aurait pu tout faire tout seul en sauvegardant la clé en dessoudant la puce flash du PCB, je suis dubitatif : faire une restauration tous les 10 essais en plein bruteforce, ça va prendre masse de temps donc le recours à Apple pour l'obtention d'un mécanisme plus rapide reste recevable sans que la thèse d'un "complot" soit plausible, àmha ;
  
  
• Malgré tout ça, une faille reste toujours possible. Il n'y a pas de sécurité dans l'absolu. Sauf qu'avec le petit jeu de dupes Apple/FBI, d'un côté on apprend que la faille est connue par des hackers (en dehors du cercle Apple/FBI initial, donc) et qu'Apple n'en aura jamais connaissance, ce qui remet en cause la sécurité de tous les utilisateur-rice-s de produits Apple… Quand tu affaiblis le chiffrement, c'est pour tout le monde, même pour le secteur de "l'économie numérique" ;
  
  
• Les autres fournisseurs de systèmes mobiles ne (s|f)ont pas mieux : http://www.nextinpact.com/news/97441-google-peut-deverrouiller-a-distance-terminal-android-sans-chiffrement-integral.htm pour Android et http://www.numerama.com/politique/164232-cle-maitre-detenue-police-canada-blackberry-assume.html ;
  
  
• Quand les autorités, US comme EU comme FR, assertent que le chiffrement, c'est l'impunité des criminels, c'est faux : un appareil chiffré et/ou des communications chiffrées ne sont jamais les seuls éléments d'une enquête, voir http://www.liberation.fr/futurs/2015/09/13/cryptographie-la-justice-cherche-la-cle_1381801 . D'ailleurs, le FBI a obtenu les données de connexion auprès de l'opérateur téléphonique, ce qui permet déjà de retracer les contacts, la localisation géographique, etc. Sans compter que ce téléphone était le téléphone pro de l'assassin, et qu'il avait détruit son téléphone perso ce qui laissait peu d'espoir dd'y trouver quelque chose ;
  
  
• … et, surprise, le téléphone en question ne contenait effectivement rien d'exploitable dans le cadre de l'enquête. Voir http://www.numerama.com/politique/165489-iphone-cracke-fbi-aurait-paye-plus-dun-million-de-dollars-rien.html et http://www.nextinpact.com/news/99482-iphone-deverrouille-pression-retombe-mais-questions-restent.htm ;
  
  
• On sait déjà que la trouvaille sera utilisée pour autre chose que des enquêtes portant sur des actes de terrorisme : http://www.nextinpact.com/news/99340-smartphones-verrouilles-fbi-est-loin-den-avoir-fini.htm et https://www.aclu.org/blog/speak-freely/map-shows-how-apple-fbi-fight-was-about-much-more-one-phone ;
  
  
• Tout cela laisse fortement à penser que le FBI cherche à avancer ses pions dans l'ère post-Snowden tout en ayant peur des décisions définitives que pourraient prendre la justice : http://www.numerama.com/politique/166085-apple-fbi-lappel-du-jugement-de-new-york-naura-pas-lieu-non-plus.html . Et je trouve ça plutôt positif : toute cette affaire nous montre que les autorités reconnaissent partiellement la nécessité du chiffrement et qu'elles ne sont pas sûres de pouvoir l'abolir comme ça taktak.

In November 2016, an investigation by journalists from the German TV channel NDR showed that WOT collects, records, analyzes and sells user-related data to third-parties, allowing third-parties to identify individual users, despite WOT's claims they would anonymize the data.[18][19][20] The data obtained was traceable to WOT and could be assigned to specific individuals.[21][22] The investigation was based on freely available sample data, and revealed that sensitive private information of more than 50 users could be retrieved.[19] This information included the visited web-sites, account names, mail addresses and other data potentially enabling the tracking of browser surfing activity, travel plans, illnesses, sexual preferences, drug consumption, and reconstruction of confidential company revenue data of a media house as well as details regarding ongoing police investigations.[18] WOT chose not to comment on the findings when prompted by German media with the results of the investigation prior to the publication of the report.

LALA.

Via http://sebsauvage.net/links/?wn8OPQ .