Piqûre de rappel concernant une évidence : aujourd'hui, rien ne permet d'affirmer que les terroristes de terrain utilisent la crypto ou la stegano... Juste des téléphones dédiés à l'acte terroriste avec des cartes prépayées... Et ça, ça ne sera pas interdit puisque même un ex-président de la France s'en sert pour déjouer les éventuelles écoutes et pour brouiller les pistes. Pas vrai, Sarko ? :)

« New details of the Paris attacks carried out last November reveal that it was the consistent use of prepaid burner phones, not encryption, that helped keep the terrorists off the radar of the intelligence services.

As an article in The New York Times reports: "the three teams in Paris were comparatively disciplined. They used only new phones that they would then discard, including several activated minutes before the attacks, or phones seized from their victims."

[...] For example: "Security camera footage showed Bilal Hadfi, the youngest of the assailants, as he paced outside the stadium, talking on a cellphone. The phone was activated less than an hour before he detonated his vest." The information come from a 55-page report compiled by the French antiterrorism police for France’s Interior Ministry.

[...]

As The New York Times says, one of the most striking aspects of the phones is that not a single e-mail or online chat message from the attackers was found on them. That seems to be further evidence that they knew such communications were routinely monitored by intelligence agencies. But rather than trying to avoid discovery by using encryption—which would in itself have drawn attention to their accounts—they seem to have stopped using the Internet as a communication channel altogether, and turned to standard cellular network calls on burner phones.

[...]

This new information that the Paris attackers did not routinely use encryption, if at all, but turned instead to the tried-and-tested technique of burner phones, undermines the argument that everyone's communications must be weakened in order to tackle terrorism. »

Tellement vrai...

Ce projet de loi sera examiné en séance plénière de l'Assemblée à partir de demain, lundi 21 mars, jusqu'à mercredi 23 mars.

Il y a du bon et du moins bon dans le texte issu de la Commission culture sans compter les points cruciaux qui n'ont toujours pas été abordés. Il me semble donc important d'envoyer un mail à mes député-e-s pour faire le point.

Voici ce que j'ai envoyé :
« *Cette semaine*, le projet de loi relatif à la *liberté de la création, à l’architecture et au patrimoine* est en examen en *séance plénière*.

Le *texte issu de la Commission culture amène des changements salutaires* comme la *suppression de l'article 10 quater* (l'indexation d'œuvres photographiques par des moteurs de recherches sur le web ne donnera pas systématiquement le droit à une compensation via des accords privés avec les SPRD) et l'ajout d'une précision à *l'article 7 quater* (l'affectation des recettes de la RCP sera désormais publique, accessible en ligne, dans un format ouvert et facilement réutilisable, régulièrement mis à jour). Il convient de *conserver ces changements*.


En revanche, nous avons *perdu un acquis du Sénat* : la clause de l'*article 7 bis* qui prévoit que *TOUS les membres de la commission copie privée soient soumis à une déclaration d'intérêts ainsi que la publication du règlement intérieur* de la commission. Le premier point semblait ennuyer les ayants-droit avant l'examen par la Commission culture donc ce n'est pas une surprise... *Il faut impérativement réintroduire ces deux clauses*.


De plus, les *points suivants demeurent insatisfaisants* :
    * L'article 7 bis AA *n'impose plus le Cloud* (le stockage distant en ligne de manière générale) *à la redevance copie privée*. Cela doit demeurer, *il ne faut pas revenir à une tournure floue* telle que « Lorsque ces copies ou reproductions sont réalisées par cette personne physique au moyen d'un matériel de reproduction dont elle a la garde » (souhaitée par les SPRD) *qui pénaliserait les usagers et les usages innovants*. Concernant *l'imposition des magnétoscopes en ligne*, un point de doute demeure : *faut-il permettre une compensation sur un préjudice pas encore établi* ? *Aucun étude d'usage* n'a été réalisée permettant de *connaître la fréquentation des magnétoscopes en ligne* ni si *ces usages dépassent le seuil de marginalité* qui justifie une compensation. Je suis donc critique sur cet article.

    * L'article 7 ter : ce n'est pas à la *HADOPI de réaliser les études d'usages qui servent à fixer le barème de la RCP en échange d'un versement* de 1 % des sommes collectées ! *Problème d'indépendance* (d'autant plus que son budget est raboté). Une meilleure approche me semble être de suivre le rapport Maugüé qui préconise que des *experts soient choisis parmi les membres de la Cour des comptes, de l’Inspection générale des finances* de l’Inspection générale des affaires culturelles, ou du Conseil général de l’économie, de l’industrie, de l’énergie et des technologies.

    * L'article 7 bis : *les 3 représentants des ministères culture, industrie et consommation qui participeraient aux travaux de la commission copie privée sont inutiles* car leur *avis sera consultatif*. Une *meilleure solution consiste à rendre la composition de la commission paritaire* (1/3 des membres par collège) ou, *à défaut*, à faire *fixer le cahier des charges des études d'usages par les conseillers d'État* dont il est fait mention dans la version Sénat de cet article.

    * L'article 32 : la *dégradation de biens culturels publics* y compris de lieux de culte est *déjà sanctionnée par le 3 de l'article 322-3-1 du Code Pénal*. De plus, bien que les lieux de cultes fassent partie du patrimoine culturel, objet de ce projet de loi, la *question précise du renforcement de la protection des lieux de cultes devrait être étudiée séparément* pour faire le tour de la question avec les experts compétents sur ce sujet, qui ne s'intéressent pas aux questions culturelles générales, à mon avis.


Enfin, ce projet de loi *passe toujours à côté de l'essentiel* :
    * Il convient de *protéger les ressources communes appartenant au domaine public contre les pratiques détestables d’appropriation*. Une tentative de définition[1] dans l'avant-projet de loi République numérique a été avortée sous l'action conjointe du CSPLA et du SNE. C'est inacceptable !

    * Il convient également *d'autoriser*, comme exception au droit des auteurs, *les reproductions et les représentations d’œuvres artistiques, architecturales et de sculptures placées en permanence sur la voie publique et les lieux ouverts au public*. L'article 18 du projet de loi République Numérique définit cette liberté d'une *manière contraignante qui en interdira toute jouissance* (réservée aux particuliers, sans but lucratif et voie publique uniquement) sans compter que l'absence de socle juridique (une définition du domaine public informationnel) ruinera cette définition.

    * *D'une manière générale*, il faudra *réfléchir à repenser intégralement la redevance copie privée* :la copie privée ne nuit pas aux artistes, l'intégralité de tous les supports de stockage ne servent pas à réaliser des copies privées, les professionnels n'arrivent pas à se la faire rembourser, les 25 % de redistribution servent de levier pour faire adopter des textes dans notre Parlement de l'aveu même de Jean-Noël Tronc. Il faudra également réfléchir à *libérer la création* : rémunération équitable des artistes à l'ère numérique, supprimer les délais de rétention entre diffusion au cinéma et VOD/TV/sortie en DVD, clôturer le gaspillage HADOPI comme le Président s'y était engagé. Mais je suis conscient que tout cela est trop ambitieux pour ce projet de loi.


Cordialement. »


Sources utiles pour écrire ce shaarli :
    * http://www.numerama.com/politique/153254-non-les-deputes-nont-pas-vote-de-taxe-copie-privee-pour-le-cloud.html
    * https://www.nextinpact.com/news/99113-copie-privee-extension-redevance-aux-magnetoscopes-virtuels-adoptee-en-commission.htm

Le vote du Sénat sur l'ensemble du projet de loi qui constitutionnalise l'état d'urgence et la déchéance de nationalité pour les bi-nationaux aura lieu mardi 22 mars.

L'occasion de faire le point sur le travail du Sénat vis-à-vis de mes attentes (voir : http://shaarli.guiguishow.info/?gcEYxg et http://shaarli.guiguishow.info/?pvyUyA).

Voici le mail que j'ai envoyé à mes sénateurs et sénatrices en tenant comptes des travaux du Sénat :
« *Mardi 22 mars*, le Sénat devra voter sur l'ensemble du *projet de loi constitutionnelle de protection de la Nation*.

Dans un précédent email, je vous ai fait part de mes remarques sur ce texte. Depuis, le Sénat a amendé plusieurs points notables.

Néanmoins :
    * *l'état d'urgence n'est toujours pas borné dans le temps* : il est renouvelable tant que les conditions l'exigent et comme *il y aura toujours une potentielle menace terroriste, l'état d'urgence sera aussi durable que Vigipirate* car aucun responsable ne prendra le risque d'être "grillé" politiquement parlant ;

    * *je ne vois toujours rien à même de limiter fortement les dommages collatéraux* comme les *assignations à résidence abusives d'activistes écologistes* durant la COP21 ou les interdictions de rassemblements. Des mesures de police administratives peuvent être « adaptées, nécessaires et proportionnées » tout en ciblant des opposants politiques et des innocents ;

    * *la déchéance de nationalité*, mesure médiatique et discriminatoire, *est toujours au programme*. On espère qu'il sera enterré lors de la prochaine navette parlementaire... c'est insuffisant ;

    * on constitutionnalise toujours l'état d'urgence alors que nous sommes encore sous le régime de ce même état d'urgence...

Par ailleurs, on notera que les *autorités belges ont su tracer, traquer et arrêter Salah Abdeslam sans état d'urgence*... Certes, il y a eu une « bonne coopération des services belges et français » comme l'indique B. Cazeneuve, mais on ne me fera pas croire que tout le travail d'investigation a été effectué en France, sous le régime de l'état d'urgence : *les services belges ont effectué un travail de police d'investigation fructueux sans état d'urgence*. N'est-ce pas une invitation à nous remettre en question ?

C'est pour ces raisons que je vous demande de voter contre ce projet de loi.

Cordialement. »

« La Belgique a arrêté Abdeslam et 4 autres personnes, et tout ça SANS ÉTAT D'URGENCE. À croire qu'on a des leçons à en tirer. »

« @Maitre_Eolas Et sur dénonciation, après enquête, traque et tout. #Dingue »

« @JohnO2Snow à… à l'ancienne ? Sans cracker un iPhone, rien ? »

« Bernard Cazeneuve a déclaré que cette arrestation était «un coup important porté à Daech». «Nous gagnerons la guerre contre le terrorisme en agissant sans trêve ni pause», a martelé le locataire de la place Beauvau, soulignant la «bonne coopération des services belges et français» et «salue le travail efficace des enquêteurs». » Source : http://www.lefigaro.fr/actualite-france/2016/03/19/01016-20160319ARTFIG00133-le-point-complet-24-heures-apres-l-arrestation-de-salah-abdeslam.php

Haha, excellent. :D

L'info debug intéressante du soir : le strict RPF ne fonctionne pas avec des IPv4 locales au lien quand plusieurs interfaces ont ces mêmes IPs.

RPF = reverse path forwarding = anti-usurpation d'IP. Voir http://www.bortzmeyer.org/3704.html

L'IETF a bien réservé des IPv4 locales au lien à l'IANA, voir https://www.iana.org/assignments/iana-ipv4-special-registry/iana-ipv4-special-registry.xml . Par contre, Linux ne les considère pas nativement comme telles donc il faut toujours préciser « scope link » quand on les ajoute à une interface même via /etc/network/interfaces.

Soit deux machines, reliées par un câble réseau direct. On assigne une IP link locale des deux côtés. ping -I eth0 169.254.42.2 passe très bien depuis 169.254.42.1. Même chose en IPv6 avec fe80::42:1 et 2 : ça fonctionne.

Des deux côté, ajoutons la règle RPF kiVaBien : ip(6)tables -t raw -A PREROUTING -i $IFACE -m rpfilter --invert -j DROP . Ping v4 et v6 fonctionnent encore.

Maintenant, si nous ajoutons un lien vers une autre machine ou que nous rajoutons un lien (VLAN ou dédié) entre ces machines, avec les mêmes IP et la même règle RPF, on remarquera que le premier lien ping encore en v4 et en v6... mais que le deuxième lien ping v6 alors que le ping v4 ne fonctionne plus...

On supprime la règle RPF sur le deuxième lien : ça fonctionne. On remet la règle RPF ? Ça ne fonctionne plus et on voit les compteurs de paquets bloqués augmenter...

Pourtant, si l'on regarde à coup de ip r s dev <interface> et ip r g <IP> dev <interface>, on voit que l'on a bien une route sur les deux interfaces... En toute logique, le ping entrant devrait être autorisé par le mécanisme RPF.

Même en utilisant l'ancienne fonctionnalité du noyau Linux, avant qu'elle soit déléguée à Netfilter, « echo 1 | sudo tee /proc/sys/net/ipv4/conf/<interface>/rp_filter », ça bloque les IPv4 locales au lien...

Tutoriel pour déployer OCSP sur les serveurs web Apache httpd et nginx.

Pour tester que c'est OK :
    * Wireshark : filtre « ssl.handshake.cert_status » puis, dans le contenu des paquets retenus par le filtre, trouver la section « OCSP Response ». Si le filtre ne remonte aucun paquet, c'est que l'OCSP stapling n'est pas activé sur le serveur web

    * testssl.sh est lent à remarquer l'activation de l'OCSP Stapling... Je veux dire que Qualys et d'autres testeurs en ligne le voient avant lui et que wireshark montre l'option mais que testssl.sh ne la voit pas... Je n'ai pas d'explication.

    * Si vous utilisez OpenSSL (« echo QUIT | openssl s_client -connect arn-fai.net:443 -status 2> /dev/null | grep -A 17 'OCSP response:' | grep -B 17 'Next Update' » par exemple) et que rien ne s'affiche, c'est peut-être que le site web est seulement accessible si on active SNI. Il faut donc demander à OpenSSL d'activer SNI en ajoutant « -servername <nom_site_web> ».

« Le témoignage de Fonaas est un nouvel élément-clé. «Son récit montre que le système de surveillance n’a pas été utilisé seulement pendant le soulèvement de 2011, mais bien avant, pour la répression quotidienne», relève l’avocate Clémence Bectarte, de la FIDH.

[...]

De qui le régime de Kadhafi se méfiait-il ? De tout le monde. Les motifs justifiant les mises sous surveillance sont ainsi très flous. Quant aux conversations échangées, peu semblent émaner de militants complotant pour la chute du régime. Un sentiment renforcé par les notes manuscrites laissées par les services de sécurité, qui parsèment ces fiches. Ainsi, deux documents retrouvés à Tripoli sont des mails interceptés émanant du Comité général du peuple pour la supervision de la Libye qui recevait les doléances de citoyens. En janvier 2011, des habitants de Benghazi se plaignent au Comité d’un détournement de fonds. Ce dernier accuse réception. L’échange est intercepté. Sur la fiche, l’agent de renseignement libyen note, à côté du nom des plaignants : «A surveiller.» Le même sort est réservé à des étudiants, en Malaisie, qui alertent sur le comportement d’un représentant libyen sur place ; il détournerait des fonds et passerait «le plus clair de son temps dans les discothèques en compagnie de prostituées», écrivent-ils. Les jeunes gens concluent, bravaches : «Nous sommes citoyens libyens, fils de la révolution et enfants du leader Kadhafi. Si ce voleur n’est pas arrêté, une révolution identique à celle de Tunisie verra le jour en Libye !» «A surveiller», écrit la main du censeur qui lit leur récrimination.

[...]

Grâce à ces nouveaux éléments, c’est toute la chaîne qui est en train d’être reconstituée : les contrats, révélés par Mediapart, prouvaient déjà la relation commerciale ; les fiches de renseignement attesteraient de l’utilisation effective par la sécurité libyenne de la technologie française ; les témoignages de parties civiles confirment les mauvais traitements subis dans les prisons de Kadhafi.

[...]

Lors de sa détention, ses interrogateurs l’ont confronté à des communications qu’il avait échangées sur Viber, une application de messagerie instantanée, avec son frère expatrié. Pour Alsanosi Fonaas, qui l’a dit lors de son audition, le système est encore en place et fonctionne, il a simplement changé de mains, passant de Kadhafi aux milices de Benghazi, constituées notamment de cadres de l’ancien régime. »


C'est con qu'Amesys se soit expatriée à Dubaï et ne sera donc pas concernée par la plainte. :)))) Business as usual. Ces témoignages confirment au moins qu'un système de surveillance de masse est utilisé contre *tout le monde*, *tout le temps* pas seulement contre les militant-e-s relou-e-s !

Via https://twitter.com/bluetouff/status/709889122744270848

Les supports de formation du RIPE. Notamment sur BGP ou sur comment concevoir un plan d'adressage IPv6 qui doit permettre l'évolution de l'infra et des services proposés mais qui doit aussi répondre aux exigences du RIPE (voir https://www.ripe.net/publications/docs/ripe-655 ) comme : un /48 max par utilisateur final, /36 pour un PoP, /48 pour le backbone/interconnexions d'un PoP (ça découle de la règle /48 max pour un utilisateur final).

« Peu après la crise financière déclenchée par le scandale des subprime, le Congrès américain a mis en place une commission chargée d’enquêter sur cet énorme merdier. La Financial Crisis Inquiry Commission n’avait pas de pouvoir d’enquête judiciaire, mais elle a entendu un nombre incalculable de personnes, épluché des tonnes de documents et produit des rapports cinglants. Elle a même transmis un certain nombre de dossiers (concernant entre autres Goldman Sachs, AIG, Merrill Lynch, Citigroup ou Fannie Mae) au Département de la Justice, sans qu’il ne se passe quoi que ce soit.

[...]

En plein délire des subprime, plusieurs entreprises du secteur financier ont fait appel à Clayton Holdings, chargeant cette société d’ausculter une très (trop?) faible partie les prêts qui étaient enveloppés dans des titres (les fameux subprime). Résultat sur le million de prêts examinés ? Quelque 30% ne tenaient pas la route. Qu’a fait Wall Street une fois alertée par Clayton Holdings ? Rien. Et surtout, ne pas prévenir les investisseurs. Tout a continué comme avant. Tant que ça rapporte…

[...]

La réponse de JP Morgan à la FCIC lorsque celle-ci demande si elle peut publier les documents issus de ses entretiens avec des salariés de la firme américaine est en ce sens extrêmement parlante. Il ne faudrait pas que le contenu de ces entretiens puisse servir à qui aurait porté plainte contre la firme (si, si, c’est dit comme cela dans la réponse)…

[...]

Et pourtant, il y a pas mal de choses intéressantes dans ces entretiens, comme ici. Ou là. Ce dernier entretien a ceci d’intéressant qu’il met en lumière les aller-retours des financiers entre le secteur privé et le secteur public. On peut ainsi avoir été Chief Risk Officer à Bear Stearns qui a fait faillite avec le tsunami des subprime et être ensuite employé par la Federal Reserve Bank de New York… Même s’il s’agit de Réserve Fédérale de New York, il n’est pas inutile de perdre de vue que c’est la banque centrale américaine (Fed) dont la Fed de New York est membre, qui a initié le quantitative easing visant à … sauver les banques américaines de la faillite après la crise qu’elles avaient déclenché, en leur offrant des liquidités à très peu de frais. Etonnante porosité. »


En même temps, t'es au pouvoir, tu veux y rester et tu sais parfaitement qu'un peuple trop affamé et/ou trop désespéré, c'est une révolte qui te coûtera cher donc oui, tu maintiens le système par des tours de passe-passe, le peuple n'ira pas creuser et se dira que "boarf, ils sont intouchables ces gens-là, je peux rien y faire et puis bon, tant que j'ai un taff et mon petit confort, je ne vais pas me plaindre". Seems legit, non ?

« Cet été, après avoir été interviewée par @MissMooc celle-ci m’a demandé si j’avais déposé le nom TwittMOOC à l’INPI, en fait non, je n’y avais pas pensé, et je me suis dit qu’elle avait raison et que ce serait dommage que quelqu’un d’autre utilise ce nom et le dépose, me dépossédant ainsi de ce projet qui me tient à coeur. Cela coûte un peu d’argent mais bon, le TwittMOOC ne me coûte pas très cher (juste l’hébergement du blog) donc je peux envisager cet investissement. Je fais donc les démarches, je reçois quelques semaines plus tard une confirmation de l’INPI et voilà, le terme TwittMOOC m’appartient !

…du moins je le croyais.

Et puis, en octobre, arrive un courrier RAR des avocats de Twitter, me demandant en des termes choisis (plutôt aimables) de renoncer au dépôt de la marque TwittMOOC. [...] Ce qui l’est moins c’est d’exiger une réponse très rapide (48 h après que j’ai eu le courrier en mains) [...] Twitter n’a pas eu la délicatesse d’attendre ma réponse (différée de quelques jours seulement le temps de consulter des avocats spécialisés qui ont prévenu les avocats de Twitter de ce léger retard) pour entamer une démarche auprès de l’INPI afin de demander une opposition à mon enregistrement de la marque TwittMOOC.

[...] Je vous épargne les détails mais j’ai découvert en étudiant la jurisprudence que Twitter avait réagit à de nombreux dépôts de marques contenant “twitt” ou “tweet” et obtenu gain de cause à chaque fois. J’ai été assez fière d’argumenter que le nom TwittMOOC est pour moi légitime comme l’est Breizh-Cola, car Twitter est un ingrédient du TwittMOOC au même titre que le cola est un ingrédient de Breizh-Cola ! J’ai aussi précisé que tous les inscrits au TwittMOOC deviennent systématiquement des usagers de Twitter, alors que la réciproque n’est pas vraie ! Heureusement Fabrice m’a aidée à donner des éléments plus pertinents juridiquement parlant… mais tout cela a été balayé par l’INPI qui a donné raison à Twitter Inc, dont acte. »

Quelle idée de vouloir proposer des services autour des réseaux asociaux. Au-delà de ça, je dirais que c'est la magie du monde des marques (qui est une des composantes du marais nommé « propriété intellectuelle ») donc ça ne me surprend même pas...

Via https://twitter.com/2vanssay/status/709061071785566208 via le twitter de Stéphane Bortzmeyer.

Il est très important de faire le suivi des votes de nos élus car :
    * Ça leur montre que vos mails ne sont pas automatisés ni envoyés suite à un appel d'une quelconque asso (LQDN spotted ;) ) ;

    * Ça leur montre qu'il y a au moins un-e glandu-e qui regarde une partie de leur travail. Ça ne va pas les rendre honnête ou travailleur-euse ou quoi que ce soit du jour au lendemain mais ça y contribue.

Du coup, j'ai envoyé un mail à mes député-e-s de circonscription concernant leur vote sur prorogation de l'état d'urgence de février 2016 + protection de la Nation (constitutionnalisation de l'état d'urgence et de la déchéance de nationalité) + réforme pénale.

Voici en gros ce que ça donne (ça change pas mal en fonction des votes, très différents mais si ça peut inspirer quelques lecteurs-trices... ) :
« Je viens de prendre connaissance des *résultats des scrutins sur l'ensemble de trois projets de lois sécuritaires actuels*.

Je *déplore votre absence* sur la question de la *prorogation de l'état d'urgence* jusqu'en mai 2016 qui *n'était pas une question anodine vu les dérives* qui se sont déroulées dans les premiers mois de l'état d'urgence (2763 perquisitions pour 63 peines prononcées ; 4 procédures anti-terroristes dont 3 enquêtes préliminaires).

Je *déplore* également vos *votes en faveur de la constitutionnalisation* de l'état d'urgence et sur la question de la *réforme pénale* (techniques de renseignement utilisables par le Parquet, perquisitions de nuit élargies, retenue administrative, fouille préventive des bagages,...). Avec les mots du nouveau *bâtonnier de Paris*, Frédéric Sicard : « *l'arsenal juridique existait au moment des attentats*, c'est juste que l'État n'a pas les moyens de l'utiliser. *Une loi de plus ne changera rien*. En revanche, en l'état actuel du texte, *la France peut basculer dans la dictature en une semaine*. »

Cordialement. »

Le projet de loi de constitutionnalisation de l'état d'urgence et de la déchéance de nationalité sera examiné en séance plénière au Sénat mercredi 16, jeudi 17 et mardi 22 mars. C'est le moment d'en toucher un mot à nos sénateurs et sénatrices.

Pour mes griefs concernant ce projet de loi, voir http://shaarli.guiguishow.info/?gcEYxg

Voici le mail que j'ai envoyé au mien-ne-s :
« Je vous ai mis des *morceaux de phrases en gras* pour une *lecture rapide*.

À partir du *mercredi 16 mars*, le Sénat commencera l'étude du *projet de loi constitutionnelle de protection de la Nation* en séance plénière.

*Je vous demande de participer à amender* ce texte et, si les points à suivre n'étaient toujours pas satisfaits, *de rejeter ce texte insensé*.

*Mes principaux arguments (non ordonnés) :*
    * *L'état d'urgence constitue une gouvernance par exception*, par stratégie du choc orchestrée *par un exécutif tout puissant* qui doit être refusé, par principe. *L'article 1 doit être supprimé*. À défaut, voici ma position de repli :

        * Le seul *motif recevable de déclenchement de l'état d'urgence doit être le péril imminent*, pas la calamité publique qui couvre les catastrophes naturelles et possiblement les accidents industriels. Voir le rapport du Sénateur Bas. *Le motif de calamité publique doit être retiré de l'article 1*.

        * *L'état d'urgence doit être circonstancié/limité aux faits pour lesquels il a été déclenché*. Ceci évitera que des militant-e-s écologistes se fassent assigner à résidence dans un contexte de lutte anti-terrorisme. Cela doit être *inscrit dans l'article 1* ;

        * *L'état d'urgence doit être borné dans le temps, pas renouvelable à l'infini* car les parlementaires de demain n'auront pas plus de courage politique que les parlementaires d'aujourd'hui pour s'opposer à une prorogation de l'état d'urgence sous couvert de l'excuse "si un attentat survient juste après notre vote, on sera grillé politiquement parlant !" et comme le risque n'est jamais nul...

        * *Il ne doit pas y avoir de police administrative* qui se permettra, demain comme aujourd'hui, *toutes les dérives liberticides* (voir ci-dessous pour le bilan des premiers mois de l'état d'urgence). *Position de repli : s'il doit absolument y avoir de la police administrative*, alors *les mesures auxquelles celle-ci peut recourir devront être fixées dans une loi organique*, par une loi ordinaire.

    * *La déchéance de nationalité est uniquement du buzz médiatique qui ne protégera contre rien* (comment va-t-on déchoir de sa nationalité un terroriste qui s'est fait sauter le caisson pour sa cause ?!). C'est aussi une *mesure discriminante qui envoie un mauvais message en dehors de nos frontières et qui nuit à la cohésion sociale. L'article 2 doit être supprimé.*

    * *La tournure de phrase de l'article 2*, « - la nationalité, y compris les conditions dans lesquelles une personne peut être déchue de la nationalité française ou des droits attachés à celle-ci » *laisse un doute juridique*[1] : sauf à vider de sa portée la limitation constitutionnelle de la déchéance de nationalité aux seuls crimes et délits d'atteinte grave à la vie de la Nation, la deuxième partie de la phrase suivrait la même règle: *seules les personnes condamnées pour ces mêmes crimes ou délits pourraient être déchues des droits attachés à la nationalité*. Les droits de vote et d'éligibilité font partie des droits attachés à la nationalité. Cette phrase risque de *rendre contraire à la Constitution tous les textes qui prévoient comme sanction la perte du droit de vote et d'éligibilité*, entre autres, pour des crimes ou délits autres que ceux qui correspondent à la définition des atteintes graves à la vie de la Nation. *Ce n'est probablement pas l'intention du gouvernement* qui a introduit l'amendement en question *mais il appartient au Sénat de préciser ce point*.

    * *Le bilan des 3 premiers mois d'état d'urgence est déplorable : 2763 perquisitions pour 63 peines prononcées* ! *4 procédures anti-terroristes* (dont 3 enquêtes préliminaires auxquelles il n'y aura peut-être jamais de suite) *parmi toutes les infractions constatées parmi toutes les actions engagées*. Donc les *~500 infractions constatées n'ont rien à voir avec le terrorisme* ?! C'est *disproportionné* en comparaison de la finalité annoncée.

    * *Il s'agit d'un texte lu et voté dans l'émotion et dans l'urgence, en dehors de toute réflexion*. Ce n'est pas sain. Par ailleurs, *on ne modifie pas la Constitution pour y introduire l'état d'urgence alors que nous sommes en plein état d'urgence, ça ne fait pas sens* !

    * *Ce projet de loi ne s'attaque pas aux multiples racines du mal-être* : exclusion sociale, raz-le-bol, désespoir, problèmes de l'éducation publique, misère financière, les petits jeux ambigus de la diplomatie française quand il s'agit de business (avec l'Arabie Saoudite et son wahhabisme proche des idées de Daesh, par exemple). Si l'on ne s'attaque pas à ses racines, le mal reviendra ! *Ce projet de loi choisit, une fois encore, la répression comme seule solution*… Cela fait plus de *30 ans que les parlementaires votent des lois antiterrorisme sécuritaires* et que ça ne *fonctionne pas*. *Et si on essayait une autre approche ?*

    * Ce projet de loi *aura pour seul effet de nuire à l'ensemble des citoyen-ne-s à travers une réduction des libertés fondamentales*. Regardons ce qu'il *ressort des premiers mois de l'état d'urgence : interdiction de rassemblements*, violences policières lors de manifestations, *comportements paranoïaques dans les écoles publiques* (annulation des sorties scolaires, peur des cartables errants dans les couloirs,...), *assignations à résidence abusives*, perquisitions à domicile fracassantes et traumatisantes,... Le *juge administratif ne peut être substitué au juge judiciaire* qui est le seul gardien de nos libertés.

Cordialement.

Références :
    [1] <http://www.lefigaro.fr/vox/politique/2016/03/09/31001-20160309ARTFIG00168-une-quasi-amnistie-des-elus-corrompus-est-elle-cachee-dans-la-reforme-constitutionnelle.php>; »

J'en ai envoyé une copie aux membres de la commission des Lois.

Si ça peut servir, voici la liste des membres de la commission des Lois : p.bas@senat.fr, c.troendle@senat.fr, jp.sueur@senat.fr, f.pillet@senat.fr, a.richard@senat.fr, fn.buffet@senat.fr, a.anziani@senat.fr, y.detraigne@senat.fr, e.assassi@senat.fr, py.collombat@senat.fr, e.benbassa@senat.fr, m.delebarre@senat.fr, c.frassa@senat.fr, t.mohamed-soilihi@senat.fr, j.mezard@senat.fr, m.mercier@senat.fr, marie.mercier@senat.fr, p.masclet@senat.fr, d.marie@senat.fr, a.marc@senat.fr, r.madec@senat.fr, jy.leconte@senat.fr, p.kaltenbach@senat.fr, s.joissains@senat.fr, f.grosdidier@senat.fr, j.gourault@senat.fr, p.frogier@senat.fr, c.favier@senat.fr, c.di-folco@senat.fr, f.desplan@senat.fr, j.deromedi@senat.fr, m.darnaud@senat.fr, c.cukierman@senat.fr, g.collomb@senat.fr, l.carvounas@senat.fr, f.bonhomme@senat.fr, j.bigot@senat.fr, c.bechu@senat.fr, f.zocchetto@senat.fr, jp.vial@senat.fr, a.vasselle@senat.fr, r.vandierendonck@senat.fr, l.tetuanui@senat.fr, c.tasca@senat.fr, Simon.Sutour@orange.fr, bernard.saugey@orange.fr, h.portelli@senat.fr, a.reichardt@senat.fr

« The ad-blocking giant, which claims to have 50 million users, will still remove advertisements from the web. But instead of showing the "peaceful, blank spaces you're accustomed to not noticing," Adblock will replace publishers' ads with banners supporting Amnesty International.

The Amnesty ads, which mark March 12 as the "World Day against Cyber Censorship," are a cause that Adblock believes is worthy enough to, well, advertise. The company says the messages, from US whistleblower Edward Snowden, Chinese artist and dissident Ai Weiwei, and Russian punk band Pussy Riot, are a one-day exception to its business as usual.

"Right now, there are billions of people whose access to internet content is restricted and monitored by their own governments," wrote Adblock CEO Gabriel Cubbage in a statement explaining the campaign.

[...]

An important caveat: I installed Adblock on my Chrome browser while writing this story, to see what Amnesty's campaign looked like, but never saw the touted Amnesty ads.

[...]

Even though it's for just one day, it puts Cubbage and his company in the unusual position of becoming a platform for large online banner ads—a business he has denounced vociferously. Even users who let Adblock know they're willing to see "unobtrusive" ads will never see banners the size of the Amnesty campaign. The ads that Adblock deems "unobtrusive" are limited to things like Google text ads, and Amazon suggestions. (The companies that have their ads whitelisted also pay Adblock for the privilege.)

[...]

"It looks like Adblock is actually becoming an ad network, without paying fees to the publisher," said the questioner. »

«  C'est donc bien au niveau du noyau, au moment de l'exec, quand le noyau détermine le format binaire du fichier. Si le format n'est pas compris (un script sans shebang) c'est le shell qui réagit et essaye de l'interpréter lui-même (car exec* lui aura renvoyé un ENOEXEC). ».

Ooook. Le shell a recours à une fonction mise à disposition par le noyau (syscall) faisant partie de la famille exec*(). Exec détecte la succession des caractères '#' et '!'. Il tente alors de remplacer le code du processus (le shell qui l'a appelé) par celui de l'interpréteur désigné par le shebang. S'il n'y arrive pas (il ne le trouve pas (il n'y a pas de parcours du $PATH), ou ce n'est pas un binaire exécutable) alors exec() retourne en erreur. S'il n'y a pas de shebang, c'est le shell qui a lancé le exec() qui tentera d'interpréter le fichier puisque exec() retournera en NOEXEC (ce truc n'est pas exécutable).

Ho le context management en Python : plutôt que de try/except la même exception plusieurs fois comme un porc selon comment tu sors de ton programme (bien, erreur dans les paramètres, erreur plus loin,...), tu confies tes objets "sensibles" (genre un handler ou une socket) à « with » et quoi qu'il arrive (exceptions ou déroulement normal), with exécute le code prévu par les auteurs des objets "sensibles" pour tout nettoyer avant de quitter (fermer le handler, par exemple).

Merci à b4n ( http://ban.netlib.re/shaarli/ ) de m'avoir fait découvrir ça. :)

Sur les mailing-lists techniques (enfin... le niveau baisse année après année sur certaines...) qui rassemblent les opérateurs réseaux (FRnOG, NANOG), on lit souvent, à propos des guéguerres commerciales entre opérateurs (exemple : Cogent/Hurricane Electric et Cogent/Google, tout deux en IPv6), que ce n'est pas nouveau, que même le monde IPv4 est fragmenté (on n'accède pas à n'importe quelle IPv4 depuis n'importe quelle IPv4 pour des raisons techniques ou business). C'est ce point que j'ai voulu mesurer afin de me faire une idée.

L'idée est de comparer les deux arrivées BGP d'ARN : une fournie par Cogent, l'autre par Interoute. La question est : y a-t-il les mêmes préfixes (ou apparentés, on va y venir) dans les deux arrivées ? De là, on verra s'il y a des trous noirs c'est-à-dire des espaces d'Internet que l'un ou l'autre de ces fournisseurs ne savent pas joindre. On voit là un premier biais de notre méthodologie : si un réseau n'est visible ni par Cogent ni par Interoute, on ne verra pas que ce réseau manque à l'appel.


Le principal piège, c'est qu'un « diff » naïf ne peut pas fonctionner à cause de la désagrégation qui consiste à découper un bloc IP en un ou plusieurs blocs plus spécifiques (un /24 de 256 adresses est plus spécifique qu'un /22 de 1024 adresses) et d'annoncer ces blocs-là seulement à un seul ou plusieurs prestataires bien définis. Cela tient d'un concept fort du routage IP qui sélectionne toujours la route la plus spécifique, la plus précise, celle qui porte sur le moins d'adresses. Si ARN annonce des préfixes plus spécifiques uniquement sur Interoute, par exemple, alors le trafic arrivera forcément par là, +/- ce qu'on nomme le trafic résiduel qui provient de réseaux qui ne reçoivent pas ces annonces plus spécifiques pour diverses raisons...

    Du coup, si l'opérateur A relaie un /23 et l'opérateur B relaie les 2 * /24 qui composent ce /23, il faut quand même considérer que l'opérateur A peut joindre les réseaux /24. Si l'opérateur A relai un /23 et l'opérateur B relai un /24, il faut considérer que A peut joindre un /24 de plus que B. Généralement, quand on désagrège, on annonce quand même le bloc moins spécifique pour ne pas avoir d'impact si les blocs plus spécifiques étaient refusés par des opérateurs donc normalement A aurait /23 et B aurait /23 + 1 * /24. Donc égalité entre les deux opérateurs.


Avec une petite recherche sur un moteur de recherche web, on trouve une implémentation : https://github.com/tibordp/bgpcompare . On trouve aussi un billet de blog de l'auteur qui explique l'implémentation qu'il a retenue (une comparaison bit à bit) : https://www.ojdip.net/2012/10/comparing-bgp-routing-tables/ . L'ennui, c'est que ce n'est pas ce que nous recherchons.

On se décide à dégainer Python et python-radix (voir http://shaarli.guiguishow.info/?GZW_8g ). Mon programme est disponible ici : http://www.guiguishow.info/wp-content/uploads/2016/03/compareBGPRIBs.py . Pour résoudre le problème de la désagrégation, on enregistre tous les préfixes d'une première RIB dans un arbre radix puis on capture uniquement les adresses (donc pas la représentation du réseau comme « /24 ») de la deuxième RIB pour les comparer à la première. Ainsi, la recherche se fera à partir d'un /32 et la première occurrence gagnera. Dans le cas présenté ci-dessus, on trouvera le /23 de A et les 2 * /24 de B. C'est exactement comme cela que procède un routeur : dans un paquet IP, seule l'IP est indiquée.


Commandes utiles :
    * « sudo birdc6 sh route protocol <nom_protocol> > prefixes_protocol » : on demande à BIRD d'afficher tous les préfixes obtenus via un peer sur stdout et on redirige stdout dans un fichier ;

    * « ./compareRIBs.py -u prefixes_v6_cogent prefixes_v6_interoute | cut -d '/' -f 1 | xargs -I {} sudo birdc6 sh route for {} protocol bgp_interoute | grep -v BIRD » : on vérifie que mon programme ne se trompe pas. Ici, grâce au flag « -u », il va retourner les préfixes que l'on a dans la RIB Cogent mais pas dans Interoute. On vérifie en demandant tout simplement à BIRD. Si rien n'est affiché, alors le programme a raison :)


Et du coup, ça donne quoi ?
    * IPv4 : Cogent a environ 59 préfixes qu'Interoute n'a pas et Interoute a environ 950 préfixes que Cogent n'a pas.
    * IPv6 : Cogent a environ 1 préfixe qu'Interoute n'a pas et Interoute a environ 1599 préfixes que Cogent n'a pas.

Comment expliquer ça ?
    * On constate une fluctuation de +/- 10 préfixes entre 2 mesures réalisées à deux semaines d'écart. Aucune idée d'où cela peut bien venir puisqu'il ne s'agit pas de nouveaux réseaux ;

    * Environ +/-5 préfixes flappent non-stop (apparaissent, disparaissent,...) donc ils manquent dans nos dumps de RIB ;

    * Si on élargit la ligne précédente, on constate qu'environ une 10aine de préfixes (différents du premier point et englobant le second) flappent plutôt souvent et peuvent donc se faire filtrer en amont d'un de nos prestataires par la technique dite du dampering (filtrage temporaire et automatique des routes instables qu'il n'est plus recommandée d'appliquer de nos jours, cependant mais les comportements changent très lentement) ;

    * On trouve des conflits commerciaux notamment en IPv6. Exemple : le désaccord entre Cogent et Google représente 34 préfixes de différence. Celui avec HE en représente 20. Parmi ce qui reste, on constate beaucoup de préfixes d'opérateurs brésiliens, chinois et d'Europe de l'Est (Ukraine, Pologne, Russie,...). Cogent apporte un seul préfixe... provenant du Crédit Agricole :O ;

    * Même constat en IPv4 : Interoute a des préfixes chinois, russes et d'Europe de l'Est que n'a pas Cogent. Cogent a des préfixes US dont 32 sont à Dataframe qui désagrège son /19 en 32 * /24 et à peu près autant pour Time Warner Cable.


Après, ce n'est pas tout d'avoir un itinéraire, il faut encore avoir des interconnexions physiques de bonnes qualités (pas trop de pertes de paquets, pas trop de latence,...). Et ça, ça ne se mesure pas à partir d'une table de routage. Voir http://shaarli.guiguishow.info/?nNMTjQ

Merci à b4n ( http://ban.netlib.re/shaarli/ ) pour son aide sur le bout de Python. :)

« Jean-Marc Manach est un journaliste incontournable pour qui s’intéresse aux sujets du renseignement et de la protection de la vie privée, dont il est devenu l’un des plus grands spécialistes en France.

[...]

À travers les 120 pages illustrées par le coup de crayon de Nicoby, Manach raconte dans le détail l’affaire Amesys, du nom de l’ancienne filiale de Bull — devenue depuis une entité autonome établie à Dubaï mais toujours sous contrôle français, accusée d’avoir vendu des outils de surveillance massive au régime de Mouammar Khadafi, pourtant connu pour commettre des exactions à l’encontre de son peuple. Il montre les dessous de cette affaire  les complicités politiques réelles ou soupçonnées, qui ont facilité les transactions. »

Les 15 dernières pages racontent les révélations Snowden qui confirment la surveillance de masse soupçonnée jusqu'alors qui est clairement un prolongement de l'affaire Amesys dans le sens où ça confirme que l'on utilise, contre le peuple de démocraties, des technos conçues par ces mêmes démocraties et utilisées en preuve de concept dans des dictatures pour traquer des opposant-e-s politiques et des militant-e-s des libertés humaines.

J'ai acheté ce livre pour soutenir et découvrir l'originalité qui consiste à narrer une enquête journalistique numérique sous forme d'une BD. Pour ceux et celles qui ont suivi l'affaire Amesys sur Reflets.info et Bug Brother, oui, ce livre ne va rien apporté, clairement mais la mise en image est intéressante à voir. Perso, je n'ai pas vraiment aimé car ça ressemble au final trop à "j'ai fait ceci, puis j'ai fait cela puis" mais on est bien d'accord que je voulais justement *essayer* ce style littéraire donc il n'y a pas tromperie sur la marchandise. :)

La fin de la BD me fait beaucoup moins rigoler, en revanche, puisque JM Manach nous relate la dangereuse argumentation qu'il tient depuis les révélations Snowden qui consiste à dire que les services de renseignement (DGSE/DGSI/NSA) n'ont pas les moyens ni l'envie de s'intéresser à chacun-e d'entre nous alors que :
    * Les documents Snowden ont montré que ces mêmes services ont des outils très puissants pour trier les énormes quantités de données collectées puis pour conduire des recherches très précises dans ces données (XKeyscore pour la NSA, par exemple). Et que ces outils sont à peine plus évolués que ceux que l'on trouve chez Amesys et ses camarades de jeu (voir https://reflets.info/qosmos-raconte-nous-une-histoire-de-protocoles/ ) que JJ Manach connaît donc bien et qui ont permis de torturer et de tuer des opposants politiques en Libye.

    * Il existe la règle des 3 sauts : si tu parles à quelqu'un qui parle à quelqu'un estimé suspect par les services, boooom, tu peux être surveillé. Et la suspicion, ça peut englober beaucoup de motifs différents et parfois inattendus (comprendre qu'une personne/société commerciale/état/autre peut vous trouver emmerdant pour plein de raisons). Je rappelle que depuis l'émergence des réseaux sociaux numériques, on est tous et toutes à 4,74 sauts de n'importe qui d'autre sur la planète (voir http://bigbrowser.blog.lemonde.fr/2011/11/23/reseaux-sociaux-les-6-degres-de-separation-entre-deux-personnes-tombent-a-474-degres/ ). ;)

    * Le problème, ce n'est pas tant l'analyse que la collecte. Collecter massivement aujourd'hui pour analyser finement demain, quand on aura un motif de le faire (entrer en politique, défense de causes qui nuisent à l'économie de la Nation, messager d'un très gros contrat d'entreprise,...), c'est déjà des pratiques détestables comme l'a affirmé la Cour de Justice de l'Union européenne dans sa décision Digital Right Ireland. Sur ce sujet (collecte puis conservation), je rappelle que toute la cryptographie la plus évoluée du monde protège, de manière sûre, fiable et garanti qu'un temps donné, pas sur le long terme, par sur l'infini. ;)

Après, je n'ai rien contre le fait d'aller fact-checker les 4 unes erronées du monde qui peuvent clairement tromper le/la lecteur-trice, hein. :)

:)