« Si vous avez votre smartphone sur vous avec le Wifi activé, celui-ci essaie constamment de se connecter aux routeurs Wifi que vous connaissez. Pour cela, il utilise la méthode dite « active » qui consiste à envoyer publiquement la liste de de noms de tous les réseaux Wifi que vous connaissez. Si un de ces réseaux est à proximité, celui-ci va répondre, ce qui permet une connexion rapide dès que l’on arrive à proximité du réseau (pas besoin d’attendre que le routeur se déclare lui même ce qui peut prendre quelques longues minutes selon le réglage du routeur).

Un smartphone Samsung sous Android 4.4 envoie ces données dans les airs toutes les 30sec environ.

Sur Android 4.3, c’est bien pire, puisqu’il le fait même lorsque l’utilisateur a désactivé le Wifi.

Problème, un appareil qui écoute ces transmissions peut savoir quels sont vos réseaux Wifi favoris, parfois le nom est explicite et en plus, avec une base de données, on peut récupérer sa localisation.

Deuxième problème, qui apparaît également si vous êtes déjà connecté à un réseau Wifi. A chaque envoie de message réseau, votre appareil communique son adresse matériel (MAC) unique au monde. Donc tout appareil qui capte les émissions Wifi de votre smartphone est capable de l’identifier.

On ne peut savoir, si on n’a que cette information, quelle personne porte cet appareil. Mais on peut déjà compter combien de fois vous êtes venu à proximité, à quelles heures et pendant combien de temps. Il suffit qu’un autre service (application, transaction) ait pu faire la relation entre cette adresse MAC et une identité (cookie, email) pour que de suivre un matériel anonyme, on se mette à suivre des gens.

Cette méthode a beaucoup d’application marketing puisqu’un magasin peut savoir si le client qu’il a au guichet est nouveau ou est déjà venu [...], quel rayon du magasin l’intéresse, voir même son identité si il y a eu moyen de savoir quelle personne porte ce matériel. Bref c’est en quelque sorte le cookie web en version IRL.

[...]

Une autre application est le comptage de personnes, par exemple, JCDecaux voudrait installer un mécanisme similaire dans ces panneaux publicitaires et ainsi pouvoir savoir à quels publicités vous avez été exposé. (Imaginez le croisement de données de tous les panneaux publicitaires… vous avez un tracking géant du déplacement de chaque individu, même dans le métro)

En bluetooth, avec l’arrivée des objets connectés portés (montre, lunettes, etc…) il arrivera tôt ou tard ou vous porterez 2 objets sur vous qui nécessiteront de communiquer en bluetooth. Et là forcément un des 2 devra s’annoncer continuellement et donc révélera son adresse MAC partout où vous passerez…

C’est une vraie problématique et la norme Bluetooth LE (qui mettra en relation tous les objets de demain) préconise, mais n’impose pas, aux constructeurs l’utilisation d’ adresses MAC pseudo aléatoires. Donc notre anonymat dans la rue reposera bientôt sur le simple choix des ingénieurs qui concevront les objets connectés. [  sur le sujet de la responsabilité des ingénieurs, voir : « Come to the dark side » ou « L'informatique est-elle neutre ? », http://shaarli.guiguishow.info/?uB1wXA ]

Coté Google, depuis Android 5.0, le smartphone n’utilise plus la méthode « active » pour se connecter en WiFi. Coté Apple depuis iOS 8, le smartphone utilise une adresse MAC qui change de temps en temps. Il n’y a donc pas de consensus sur la solution technique à adopter. »

Via http://sebsauvage.net/links/?hFhQOQ

Haaaaa, un serveur de mails Exchange, c'est génial :
    * Exchange cause à peu près SMTP (« 220 lala.example.net Microsoft ESMTP MAIL Service ready at Thu, 1 Oct 2015 16:06:06 +0200 ») et IMAP « * OK The Microsoft Exchange IMAP4 service is ready. »)

    * Pour les autres fonctionnalités comme les calendriers partagés et le carnet d'adresses, il y a des Passerelle en logiciel libre qui fonctionnent plus ou moins (lenteurs, faut s'y reprendre à plusieurs fois avant que ça fonctionne,...) comme DavMail.

    * Les filtres côté client foirent... Il n'est pas possible d'exécuter les filtres côté serveur sur les mails déjà reçus... On ne peut pas importer des filtres (clients ou non) existants avant la migration sur le serveur Exchange car MS propose 0 API...

    * Outlook Web App (le semblant de webmail by Microsoft) :
        * Sérieux, cette interface est ergonomique ?! En tout cas, ce n'est pas intuitif du tout pour moi.

        * Le top post est obligatoire...

        * Corriger une adresse mail est extrêmement pénible puisque un appui sur backspace efface l'intégralité de l'adresse :-

        * Une recherche dans le dossier des mails envoyés : saisi du nom du destinataire, ça complète en « To:<nom> » donc aucun résultat. Recommencer la même manip', ça autocomplète « À:<nom>» et « To:<nom> » dans le vrai filtre...

Sérieux... C'est ça le standard du mail et calendrier partagé en 2015 ?! Ça sera sans moi : le traitement complet d'un mail, on sait faire en logiciel libre. Pour les calendriers partagés et co, on a Zimbra. Y'a peut-être des bugs et des comportements stupides, comme Exchange, mais au moins c'est libre.

« Il y a quelques temps, je faisais état de mon scepticisme quant à une démocratisation de l’auto-hébergement. Mes reproches à l’époque portaient sur des points techniques, la solution, elle, étant humaine: que les gens se regroupent en associations mélangeant des profils techniques et non techniques.
Depuis, plusieurs projets ont vu le jour. Ils tentent de résoudre le problème technique, avec plus ou moins de bonheur. Je ne m’étendrai pas sur ce point, n’ayant pu, faute de temps et de motivation, décortiquer les-dits projets pour m’en faire une idée précise. Ils ont néanmoins tous comme point commun de vouloir déporter la gestion du service entre les mains de l’utilisateur final.

L’autre fait marquant depuis 2 ans, c’est également le vote de lois liberticides qui visent à légaliser la surveillance de masse 1. Les réactions face à ces lois n’ont pas manqué.
L’auto-hébergement fait partie des solutions préconisées pour échapper à la surveillance de masse. L’argument ici est de considérer que la maîtrise du stockage de nos informations apporte une sécurité accrue et améliore la protection de notre vie privée.

Mais, à pratiquer l’auto-hébergement, sommes-nous pour autant bien cachés ?

En effet, les principales dispositions de la loi renseignement, et son avatar portant sur la surveillance internationale, concernent principalement la collecte d’informations sur les réseaux. Sous cet angle, l’auto-hébergement apporte-t-il une quelconque protection ?

En fait, pas vraiment. Ce serait même le contraire.

[...]

L’auto-hébergement peut, par analogie, être comparé au fait d’habiter une maison isolée au fin fond de la campagne, au bout d’une route qui ne mène nulle part ailleurs. Dans ce cas de figure:

    Toute personne empruntant cette route est soit vous-même, soit quelqu’un qui vous rend visite.

On a connu plus discret. Ce n’est sans doute pas pour rien que, dans tous les bons romans d’espionnage, les rencontres discrètes s’effectuent dans des lieux publics, de préférence aux heures d’affluence. C’est ce qui s’appelle se “noyer dans la masse”.

L’analogie est-elle pertinente sur Internet ?

Oui si vous utilisez un domaine générique et non votre propre nom de domaine. Une adresse en gmail.com est, du strict point de vue du réseau, plus anonyme qu’une adresse en jbfavre.org. L’utilisation d’un domaine générique couplée au chiffrement vous permet donc de masquer vos communications de manière plus efficace.

Prenons un exemple concret: Bob et Alice veulent communiquer par mail. Bob a son propre domaine, Alice utilise un domaine générique.

    Alice envoie le mail au serveur SMTP de son prestataire avec du chiffrement
    Les serveurs du prestataire transmet le mail au serveur de Bob, là encore avec du chiffrement
    Bob consulte le mail au moyen d’une connexion chiffrée

Ici, sauf à avoir accès aux log du prestataire d’Alice, il est très difficile d’affirmer que le mail envoyé par Alice est à destination de Bob. On peut éventuellement tenter une analyse temporelle pour corréler la connexion réseau d’Alice (1.) à celle du prestataire (2.), mais celle-ci est contournable, y compris pour des prestataires de taille réduite: un délai aléatoire pendant lequel le mail reste sur les serveurs du prestataire avant d’être envoyé au serveur de destination suffit à rendre la corrélation plus compliquée 2.

Par opposition, Bob est particulièrement vulnérable: tout mail arrivant sur son domaine lui est nécessairement destiné.

Il est donc beaucoup plus pertinent de se noyer dans la masse des utilisateurs d’un service de mail au domaine générique que d’avoir son propre domaine.

Les métadonnées étant actuellement nécessaires au bon déroulement de toute communication sur Internet, s’en affranchir totalement est au mieux difficile, au pire actuellement illusoire.

Il faut donc faire un choix entre 2 extrêmes:

    maîtriser de bout en bout le service que l’on utilise (auto-héberger ses mails par exemple) au risque de devenir visible
    utiliser un service générique pour se fondre dans la foule, au risque de voir ses données révélées de gré ou de force

Ce choix n’est pas simple à réaliser et dépend de chacun. Mais la plupart des gens n’ont pas intérêt à s’auto-héberger. Il feraient bien mieux de se regrouper en association ou de monter de petites entreprises s’ils en ont l’envie et les compétences.

En tout état de cause, se regrouper permet de se cacher de manière plus efficace. Le tout est de trouver la limite à partir de laquelle la taille de l’organisation joue contre ses membres. »


L'auto-hébergement sur une connexion à Internet chez un FAI asso, reste pertinent (vous êtes dans la masse de votre FAI) sauf à considérer que leurs réseaux sont sous écoute soit :
    * Directement. Ça suppose qu'ils atteignent la taille critique pour être intéressants, ce dont parle justement jbfavre pour des associations hébergeur de mails et, si cet impensable devait arriver, je suis confiant dans le fait que ça se saura (et donc les adhérents pourront choisir de continuer l'aventure ou pas) et que la sonde sera décortiquée pour comprendre comment elle fonctionne puis pour l'anhiler (aka la faire bipper pour rien avec des faux positifs) ;

    * Indirectement.
        * Mettez une sonde de la loi renseignement chez Cogent (société commerciale US mais avec une filiale FR déclarée auprès du régulateur français) et vous obtenez l'intégralité du trafic d'ARN, l'intégralité du trafic de Grifon, une partie du trafic de Tetaneutral (impact moindre car ils peerent beaucoup, chose que ne peuvent pas encore se permettrent ARN et Grifon) et une partie du trafic de LDN (impact moindre car leur presta actuel a aussi un autre transitaire que Cogent et du peering). Pour limiter cela, on peut financer les liens réseaux permettant d'aller peerer comme il se doit et les FAI de la FFDN peuvent très bien monter des tunnels chiffrés pour garder les mails "de la communauté" dans la communauté.

Ce problème est en commun avec un fournisseur de mail associatif. Mais, vu la topologie du réseau et des interconnections, ça demande d'agir en plus de points que si l'on est tous et toutes chez GMail et tous et toutes chez Orange.

Encore une fois, c'est pour ça que l'approche Brique Internet (VPN chez un FAI asso + mail autoconfig' et autres services auto-hébergés) me semble plus pertinente que les pistes comme own-mailbox (cf http://shaarli.guiguishow.info/?4KH2tw), justement par cet aspect décentralisation des accès et regroupement dans de petites structures où l'humain apportera la réponse que la technique ne sait pas fournir à l'heure actuelle.

Je ne suis pas d'accord avec l'argument « Oui si vous utilisez un domaine générique et non votre propre nom de domaine. Une adresse en gmail.com est, du strict point de vue du réseau, plus anonyme qu’une adresse en jbfavre.org. ». Mon propre nom de domaine ne signifie pas auto-hébergement : mes serveurs de noms et de mails peuvent être hébergés par une association ou par une société commerciale (Gandi ou OVH, par exemple). On est mieux que d'être tous et toutes chez GMail car il y a plusieurs acteurs au lieu d'un donc plus d'efforts pour installer la surveillance de masse. Je pinaille : je pense que jbfavre a simplifié pour ne pas allourdir ses tournures de phrase.

« Ici, sauf à avoir accès aux log du prestataire d’Alice, il est très difficile d’affirmer que le mail envoyé par Alice est à destination de Bob. ». C'est vrai uniquement si l'on considère que les sondes de la loi renseignement et autres, placées dans le réseau du FAI d'Alice ne remontent pas jusqu'à la couche applicative (et, si TLS, il faut espérer que ces sondes ne font pas un MitM actif pour faire sauter STARTTLS), bref, on est *presque* dans le même cas qu'avec l'auto-hébergement.

« Il y a un lien intime entre la statistique et le pouvoir. Son nom même, forgé par l'économiste Allemand Gottfried Achenwall signifie "la science de l'homme d'Etat". Rassemblant dans ses indicateurs la multitude des hommes et les caprices de la nature, pour en faire émerger les constantes, les tendances et les directions, la statistique permet l'application de la raison aux phénomènes épars. elle permet l'anticipation, le jugement et la décision. La statistique est par essence l'outil du Souverain.

De ce fait même, elle est sans cesse menacée de petits arrangements, conscients et volontaires volontaires, à peine conscients (comme le flottement entre les plaintes et les main-courantes que l'on peut sentir dans tous les commissariats) ou même totalement inconscients (du fait tout simple que les grandeurs mesurées correspondant toujours à l'histoire politique et sociale du moment). C'est pourquoi d'ailleurs, dès son article 1er, la loi sur la statistique française proclame et organise l'indépendance de l'INSEE, indépendance encore renforcée par la  création de l'Autorité de la statistique publique dans la loi de 2008 sur la modernisation de l'économie.

Alors bien sûr les citoyens, les militants, les activistes ont raison de vouloir savoir comment sont faites ces statistiques, de vouloir comprendre qui les juge et qui les utilise. Et ils ont raison de vouloir traduire leurs propres points de vues sur le réel dans des statistiques alternatives, plus à même de décrire ces points de vue alternatifs.
Mais il me semble que cette contestation là risque de manquer l'essentiel de ce qui change aujourd'hui avec la multiplication des données numériques et des manières de les utiliser.

Car au fond, la contre-statistique, c'est toujours une statistique. C'est-à-dire une manière de construire un savoir surplombant sur le réel, une synthèse qui permet de l'embrasser et de le manier, un instrument pour le Souverain. Or, la construction de ce type de point de vue n'épuise pas, loin s'en faut, tout ce qu'il est possible de faire avec les données.

Je voudrais partager avec vous quatre exemples d'autres manières d'utiliser les données de l'Etat, en espérant qu'elles inspireront de nouvelles formes d'engagement.

[...]


OpenFisca, c'est la loi de finance traduite en moteur informatique.
Ici, la donnée en tant que telle comprendrait des centaines de pages et serait très difficile à manier. En revanche, le système socio-fiscal, traduit en moteur informatique, accessible au développeurs d'applications web, devient un outil à la fois personnel (permettant de simuler sa propre feuille d'impôts), un outil de test de réformes fiscales annoncées ou envisageables, un outil de simulation capable d'importer un million de cas-types et donc de mesurer les effets de bord de l'impôt (comme ce travail réalisé au cours du hackathon OpenFisca pour analyser les effets de la conjugalisation de l'impôt en fonction des revenus des deux membres du couple), mais surtout une ressource pour développer de nombreuses applications.
Ainsi, c'est grâce à cette mise en code du droit qu'il a pris toute sa valeur, d'innovation, permettant notamment le développement de ce magnifique service qu'est Mes-aides, qui permet à chaque citoyen de venir vérifier l'ensemble de ses droits. C'est la mise en code de cette donnée qui a permis tous les projets prometteurs nés dans les hackathons : le debogueur en ligne, le comparateur d'impôt, la visualisation de l'interdépendance des formules, etc.

[...]

Rendre la donnée vivante, accessible, maniable est une autre forme d'activisme, au moins aussi prometteuse que la construction d'autres statistiques.

[...]

Une deuxième forme de subversion de la dictature des statistiques consiste à déplacer le lieu du savoir. Agrégée, la donnée est par essence l'outil de celui qui prend des décisions globales : elle sert la pointe de la pyramide. Répartie sur ceux qui en ont besoin, elle devient un outil d'empowerment. Il y a des dizaines d'exemples de savoirs qui, au lieu d'être agrégés, sont présentés de sorte de servir la décision locale. On me parlait ainsi récemment d'un logiciel d'aide à la prescription médicale (comme le logiciel développé pour les médecins par Bilog à partir de la base Thériaque). Il y a aussi ce projet en cours d'étude chez Pôle emploi : les statistiques du chômage et du retour à l'emploi peuvent nourrir la décision macro-économique, voire les décisions d'organisation et de gestion de Pôle emploi. Mais elles pourraient aussi être codées de manière à permettre à chaque demanderu d'emploi d'évaluer ses options personnelles : "si je cherche le même poste, j'attendrai en moyenne 16 mois", "si j'accepte de déménager, j'attendrai en moyenne 12 mois", si j'accepte de changer de secteur, ce sera probablement 14 mois"... On sort ainsi de la statistique traditionnelle pour donner à chacun une espérance de résultat, et surtout pour nourrir sa décision individuelle...

Assumer, tout simplement, que les données doivent revenir à la base et éclairer la décision quotidienne de ceux qui travaillent, et les dispenser ainsi d'attendre la décision de leur chaîne de commandement est une autre forme de détournement des outils statistiques, dont les conséquences sont innombrables.

[...]

Or, avec l'invasion du numérique, avec la masse de savoirs désormais accessibles, avec les technologies et les méthodes développées pour le big data, on apprend de plus en plus à agir dans un monde incertain, en fondant la décision sur des indices, des présomptions, des probabilités. Quand Michël Flowers développe, pour la ville de New-York, des algorithmes qui permettent de mieux cibler les contrôles sanitaires, les patrouilles de police ou la recherche des pharmacies impliquées dans la fraude au médicament, il n'a pas besoin de théorie scientifique de la fraude. Il repère des corrélations, il envoie les patrouilles, il mesure le nouvel impact, il corrige si nécessaire. Il utilise les statistiques pour engager une démarche de test and learn et pour construire un système dynamique. Un système apprenant.

J'ai la conviction qu'il y a plus d'innovation, plus de disruption, plus de subversion en changeant la manière d'utiliser les données - en changeant les questions que l'on pose aux données - qu'en changeant les données elles-mêmes. »

Intéressant. Il s'agit du blog d'Henri Verdier, l'homme à la tête de la nouvelle Direction interministérielle du numérique (DINSIC) qui regroupe l’ancienne DISIC ainsi que la mission Etalab.

Dans un programme Python, on souhaite obtenir le nom de la structure (société commerciale, association,...) a laquelle a été attribué un numéro d'AS (exemple : 60630 = ARN). On souhaite aussi avoir le pays de la maison mère de la structure. Pour obtenir cette information, on utilise habituellement whois (exemple : whois AS60630). Mais, quelle lib utiliser dans un programme Python ?

Il y a plusieurs contraintes à prendre en compte :
    * La sortie whois n'est pas normalisée : tous les RIR ont choisi un format « clé: valeur » mais le nom des clés est différent ainsi que la présence/absence de ces clés :
        * Les champs as-name + descr de l'objet aut-num et le champ address dans l'objet organisation associé à l'objet aut-num pour le RIPE ;
        * Les champs as-name + descr + country de l'objet aut-num pour l'APNIC
        * Les champs as-name + descr de l'objet aut-num et le champ country de l'objet organisation associé à l'objet aut-num pour AfriNIC
        * Les champs ASName + OrgName + Country pour l'ARIN
        * Les champs owner et country de l'objet aut-num pour LACNIC
    Il faudra donc parser la sortie whois que l'on obtiendra... Vu le taux d'erreur possibles, ça serait cool de ré-utiliser une lib éprouvée qui fasse le taff pour nous.

    * RDAP, le protocol de remplacement de whois en cours de normalisation à l'IETF (voir : http://www.bortzmeyer.org/weirds-rdap.html) normalise le format de sortie (JSON), la syntaxe (les types utilisables et les classes (domain, ip, autnum, entity,...)), le transport des requêtes (REST) et tout un tas d'autres choses mais les informations que les RIR doivent mettre dans la classe autnum comme name et country sont en "peuvent être présentes" (voir https://www.rfc-editor.org/rfc/rfc7483.txt) et donc tous les RIR ne les exposent pas surtout le pays et la description...

    * On peut utiliser les services whois de RADB (http://www.radb.net/, whois.radb.net), service proposé par MERIT (réseau non-lucratif pour l'éducation, le gouvernement, les organismes de santé et les associations, principalement au Michigan) ou celui de la team Cymru (https://www.team-cymru.org/IP-ASN-mapping.html) car ils proposent tous deux une syntaxe facilement parsable et invariante. Notons que RADB n'expose pas d'info sur le pays.

    * Les principales lib python (IPWhois, python-whois, pywhois, ...) ne supportent pas les interrogations portant sur un numéro d'AS

    * Le service de la Team Cymru peut être consulté en utilisant le protocole DNS :
      $ dig +short TXT AS60630.asn.cymru.com
        "60630 | FR | ripencc | 2013-06-10 | ARN Association Alsace Reseau Neutre,FR"
    Enjoy \o/


Donc au final, ça donne ça :
« import dns.resolver

_WHOIS_OVER_DNS_EXT_SERVICE_ = '.asn.cymru.com'

[...]

asn = '60630'

dnsresolver = dns.resolver.Resolver()
dnsresolver.timeout = 1
dnsresolver.lifetime = 1

try:
  dnsanswer = dnsresolver.query('AS'+asn+_WHOIS_OVER_DNS_EXT_SERVICE_, 'TXT')
  asowner = str(dnsanswer.rrset).split('|')[4]

except dns.exception.DNSException:
  asowner = 'ERROR'

print 'ASN:'+asn+' ( '+asowner+' )' »

« Le principe de la tricherie consiste pour le logiciel à reconnaître les procédures de test sur banc à rouleaux sur des critères discriminants (un ordinateur est branché sur la prise diagnostic de la voiture, le capot est ouvert, seules les roues avant tournent, ou le volant reste toujours droit, etc.) pour déclencher dans ce cas et dans ce cas seulement le fonctionnement maximal du système de dépollution des gaz d'échappement de la voiture. Le reste du temps, c'est-à-dire toujours pour le client, le système de dépollution fonctionne de manière réduite, au bénéfice des performances et donc de l'agrément de conduite.

Comment la tricherie a-t-elle été découverte ?
Lors de mesures effectuées sur route en 2014, donc en dehors des conditions des tests officiels reconnues par le logiciel, les émissions polluantes constatées par l'ONG ICCT menant des essais pour le compte de l'université américaine de Virginie-Occidentale sont apparues très supérieures à celles de la norme en vigueur. C'est devant l'absence de réponses satisfaisantes de la part de VW pour expliquer ces différences que l'agence américaine de protection de l'environnement EPA a déclenché une enquête sur le sujet débouchant sur la découverte de la tricherie. »

Pourquoi je ne suis pas surpris que de telles pratiques existent ? Je suis plutôt surpris qu'une autre fraude aussi massive n'est pas été découverte beaucoup plus tôt... Je veux dire : les procédures de test sont connues, trichons. Le seul moyen pour moi d'empêcher cela c'est des contrôles fait par des humains imprévisibles. Je note aussi que c'est une ONG à but non lucratif qui a découvert la triche, pas une des autorités administratives de veille d'un état, non, une ONG...

Via http://lehollandaisvolant.net/?id=20150929174350

Avoir un ordiphone sous Android avec F-Droid (pour installer uniquement des applis sous licence libre), vouloir mettre à jour une application de 1,2Mo (Offline Calendar mais elle n'est pas en cause ici), se manger une erreur « (De-)Installation Error », faire le lien avec la notification Android qui m'informe que ma mémoire interne est bientôt pleine (mais qu'il reste 125Mo libres quand même hein), se dire « non, c'pas possible que ça soit ça, doit y avoir une autre cause, si les devs F-Droid ont affiché ce message d'erreur générique, c'est que toutes les tentatives d'identifier l'origine de l'échec de la mise à jour ont échouées ». Hé bah non...

Donc il faut 150Mo de libre pour mettre à jour une application et 1,2Mo. Et surtout, surtout, payes ton message d'erreur pas clair du tout ! Surtout que, d'après ce témoignage, une installation manuelle en dehors de F-Droid indique clairement l'origine du problème dans les logs donc les devs F-Droid doivent pouvoir remonter cette erreur ! Comment on peut imaginer toucher le grand public avec des messages d'erreur aussi mal foutus (je ne sais pas si c'est une install ou désinstall, moi je voulais juste mettre à jour une application, ce message d'erreur ne m'apprend rien autant juste me dire "Error") et effrayants ?! :/

Un des adhérents d'ARN (Alsace Réseau Neutre, FAI associatif en Alsace, http://www.arn-fai.net/) nous indique qu'il n'arrive pas à joindre notre réseau en IPv6 avec sa nouvelle connexion Internet Numéricable. Comme il n'y a pas d'IPv6 chez ce FAI, il utilise Teredo, sorte de 6to4 (une des techniques de transition vers IPv6) qui peut être utilisée dans un contexte NAPT puisque ça repose sur une encapsulation UDP des paquets IPv6 là où 6to4 repose sur une encapsulation IPv4 des paquets IPv6 qui ne permet pas la traversée de NAPT (puisque pas de numéro de port ;) ). Lors d'un « ping6 int.arn-fai.net », il obtient des erreurs « Destination unreachable: Address unreachable ». Chose curieuse : le « From: » est l'IPv6 du client lui-même !

Évidemment, les autres réseaux (ipv6.google.com, wikipedia,...) sont accessibles en IPv6. Aucun problème pour joindre notre réseau en IPv4 depuis cette connexion Numéricable.


Pour pouvoir reproduire ce problème sur une ligne Numéricable, j'ai utilisé le logiciel Miredo (http://www.remlab.net/miredo/) qui peut agir comme client/serveur/relai Teredo. C'est dispo dans les dépôts Debian et ça juste fonctionne sans prise de tête. Il est livré avec une configuration client donc il suffit de « service miredo start » pour le lancer. Un « tail -f /var/log/syslog » vous confirmera si le tunnel est OK.


Je vous passe les heures à essayer de comprendre l'origine du problème... Problème de routage ? Préfixe v6 d'ARN trop spécifique donc ignoré du relai teredo ? Upstreams d'ARN qui failent ou gue-guerre commerciale ?

Pour comprendre le problème, il faut lire la doc. On va commencer par les définitions générales. Voir : https://fr.wikipedia.org/wiki/Teredo_%28protocole%29
« Teredo définit plusieurs types de nœud :
    * Un client Teredo est un hôte qui dispose d'une connectivité IPv4 à l'Internet derrière un NAT et utilise le protocole de   tunneling Teredo pour accéder à l'Internet IPv6. Les clients Teredo reçoivent une adresse IPv6 qui commence par le préfixe Teredo 2001:0000::/32

    * Un serveur Teredo est un hôte connu qui est utilisé pour la configuration initiale d'un tunnel Teredo. Un serveur Teredo ne transmet jamais tout le trafic pour le client (en dehors des pings IPv6), et a donc de très modestes besoins en bande passante (quelques centaines de bits par seconde et par client au maximum), ce qui permet à un serveur unique de subvenir à un   grand nombre de clients. En outre, un serveur Teredo peut être mis en œuvre de manière totalement sans état, utilisant ainsi     la même quantité de mémoire indépendamment du nombre de clients qu'elle soutient.

    * Un relais Teredo est un hôte connecté à la fois en IPv4 et en IPv6, et par lequel passe tout le trafic destiné à l'Internet v6, il a donc de gros besoins en bande passante. »


Pour comprendre la suite, il faut lire un bout du RFC 4380 (https://tools.ietf.org/html/rfc4380#section-3.4) :
«  Teredo clients have to discover the relay that is closest to each
   native IPv6 or 6to4 peer.  They have to perform this discovery for
   each native IPv6 or 6to4 peer with which they communicate.  In order
   to prevent spoofing, the Teredo clients perform a relay discovery
   procedure by sending an ICMP echo request to the native host.  This
   message is a regularly formatted IPv6 ICMP packet, which is
   encapsulated in UDP and sent by the client to its Teredo server; the
   server decapsulates the IPv6 message and forwards it to the intended
   IPv6 destination.  The payload of the echo request contains a large
   random number.  The echo reply is sent by the peer to the IPv6
   address of the client, and is forwarded through standard IPv6 routing
   mechanisms.  It will naturally reach the Teredo relay closest to the
   native or 6to4 peer, and will be forwarded by this relay using the
   Teredo mechanisms.  The Teredo client will discover the IPv4 address
   and UDP port used by the relay to send the echo reply, and will send
   further IPv6 packets to the peer by encapsulating them in UDP packets
   sent to this IPv4 address and port.  In order to prevent spoofing,
   the Teredo client verifies that the payload of the echo reply
   contains the proper random number. »

Donc le client Teredo fait un test de connectivité (un echo request icmpv6) en émettant un paquet avec comme IPv6 source l'IP qu'il a synthétisé dans 2001::/32 et en passant par son serveur Teredo qui le transmet à la destination.

La destination doit donc répondre directement au client... et doit donc avoir une route vers 2001::/32. Ce préfixe peut-être annoncé par tout opérateur réseau qui veut monter des relais Teredo. C'est, avec la racine DNS et le 6to4, un des exemples d'utilisation de l'anycast sur l'Internet. Actuellement, Hurricane Electric semble être l'un des gros fournisseurs de relais Teredo/6to4 (il faut dire qu'avec les tunnels 6in4 c'est leur business :D ). La réponse de la destination sera donc prise en charge par le relai Teredo le plus "proche" de celle-ci et retranmise au client Teredo en IPv4.

Attention : en anycast, « le plus proche » n'a aucune signification géographique ! Cette notion s'apprécie en nombre de réseaux traversés et en fonction des politiques de routage propre à chaque opérateur ! Exemple, chez ARN, nous voyons deux routes pour joindre un relai Teredo (http://lg.arn-fai.net/prefix_detail/hwhost-1/ipv6?q=2001%3A%3A/32) : une directement connectée (Hurricane Electric), l'autre en 3 sauts. Pourtant, c'est le chemin le plus long qui l'emporte car on a diminué la local-pref sur HE afin de forcer le trafic à sortir par Cogent car notre lien avec HE est un tunnel 6in4 à cause d'une gu-guerre commerciale entre Cogent et HE qui empêche de joindre l'un quand on est client de l'autre sauf à monter ce genre de tunnels crades (cf http://shaarli.guiguishow.info/?X_2rrQ). Un choix humain de recherche de qualité entraîne ici une sous-performance.

Si le client reçoit une réponse de la destination, il reçoit également, dans les headers, l'adresse IPv4 du relai Teredo à utiliser pour établir la communication. S'il ne reçoit pas la réponse, un message « Destination unreachable: Address unreachable » est émis pour informer la couche applicative...

Voici ce que l'on voit côté destination (j'ai remplacé l'IPv6 source par une factice ;) ) :
IP6 2001:0::1 > int.arn-fai.net: ICMP6, echo request, seq 46782, length 26
IP6 int.arn-fai.net > 2001:0::1: ICMP6, echo reply, seq 46782, length 26
IP6 2001:0::1 > int.arn-fai.net: ICMP6, echo request, seq 1, length 64
IP6 int.arn-fai.net > 2001:0::1: ICMP6, echo reply, seq 1, length 64
IP6 2001:0::1 > int.arn-fai.net: ICMP6, echo request, seq 2, length 64
IP6 int.arn-fai.net > 2001:0::1: ICMP6, echo reply, seq 2, length 64


Pourquoi la réponse des machines du réseau ARN ne revenait pas au demandeur ? Parce que nous appliquons des filtres sur les annonces BGP que nous recevons pour ne pas prendre en compte les martians (les plages d'adresses IP qui n'ont rien à faire sur Internet : documentation, RFC1918, benchmark, link-local,...) comme il est recommandé de le faire. Sauf que ce filtre était trop restrictif et il amenait à ignorer 2001::/32. Impossible donc pour les machines de notre réseau de répondre puisqu'aucune route... Notons que le message d'erreur n'est pas clair... Pour moi, « Destination unreachable: Address unreachable » s'entend d'un point de vu du serveur Teredo. Je pensais donc que c'était ce dernier qui n'avait pas de routes pour joindre le réseau d'ARN. :-

Pour les admins réseaux : 6to4 et Teredo ne sont pas dépréciés à l'IETF ! Seul l'usage de l'anycast pour joindre, en IPv4, le relai 6to4 le plus proche est déprécié par le RFC 7526, il faut contacter le relai 6to4 en unicast ou le relai Teredo selon le mécanisme décrit ci-dessus. Donc 192.88.99.0/24 pourra bientôt être ajouté à la liste des martians à filtrer mais 2001::/32 (Teredo) et 2002::/16 (6to4) restent utilisables et ne doivent donc pas être filtrés !

« La section 5 de la Loi Freedom Act dispose clairement que cette Loi "amends the USA PATRIOT ACT" de 2005 "to extend (it) until December 15, 2019".

En second lieu, la deuxième fausse idée est de laisser croire que cette Loi ne porte que sur la collecte massive de métadonnées téléphoniques comme on a pu le lire ici ou là.

Il est vrai que, pour la première fois dans la Loi américaine, le Freedom Act traite de manière distincte le recueil de des métadonnées téléphoniques qui n’étaient pas distinguées précédemment des autres "business records", c'est à dire de toutes données, sous toutes formes et formats.

La Loi améliore la position des citoyens américains pour ces métadonnées téléphoniques en imposant désormais au FBI de poser une sélection, un filtre, pour leur collecte.

Autrement dit, les citoyens américains ne verront plus leurs métadonnées téléphoniques prises dans le filet géant de la collecte massive et indifférenciée des données.

Cependant, pour les "acquisitions targeting persons outside the United States" (50 USC 1881a), aucun critère spécifique de sélection n’est exigé, ni aucune autorisation judiciaire préalable, sauf pour apporter des garanties additionnelles aux citoyens américains qui seraient mentionnées à l’occasion de ces « acquisitions » ciblant des personnes en dehors du territoire américain.

[...]

Pire encore, le Freedom Act renforce le pouvoir de l’Attorney Général qui, en cas d’urgence, peut se passer de décision préalable du juge, exiger la communication de tous "business records" et n’obtenir l’aval d’un juge qu’a posteriori., pour les citoyens américains et les autres.

Enfin, le texte de loi confère désormais l’impunité, non seulement aux personnes fournissant les « business records » à la demande des autorités, principalement les hébergeurs, mais aussi dorénavant à ceux qui leurs fournissent des moyens et les assistent dans cette tâche.

Le Freedom Act apparaît donc comme un texte qui apporte des avancées pour les citoyens américains, avancées contrebalancées cependant par d’autres dispositions plus sévères. »

En référence à http://shaarli.guiguishow.info/?naWAZw. On retrouve des morceaux identiques à la loi Renseignement française : surveillance internationnale (donc nationale, une communication sur Internet reste rarement sur le territoire, aussi bien techiquement que par effet de réseau social) débridée, procédure d'urgence sans juge, et coopération des prestataires.

+ https://blog.imirhil.fr/own-mailbox-la-reponse-a-la-reponse.html
+ https://blog.imirhil.fr/own-mailbox-suite-et-fin.html
Lisez aussi les commentaires, le tout est très technique mais très intéressant. *Vraiment*.

L'avis d'Aeris sur Own-mailbox. Pour rappel, mon avis est ici : http://shaarli.guiguishow.info/?lra2Xw . Je le rejoins sur les nouveaux points suivants :
    * uPnP c'tout naze niveau sécurité ;

    * Le tunnel de port va être implémenté sous forme d'un relai SMTP donc oui, c'est une forme de centralisation ;

    * Un mécanisme *manuel* de mise à jour des logiciels en utilisant les dépôts du projet est prévu, ce qui permettra d'installer nawak sous l'ordre d'une quelconque agence ou par erreur ou pour le business (souvenez-vous des mises à jour Windows dont vous avez accepté l'installation (je ne parle pas des màj auto et quasi-forcées de win10) et qui ont fait nawak genre nouvelle procédure d'activation windows, genre conflit avec l'antivirus empêchant le reboot,...) ;

    * Le faux sentiment de sécurité généré par le discours marketing autour du projet.


Néanmoins, je pense qu'Aeris va trop loin dans l'analyse des risques (MitM, limites de SMTP+TLS, détournement du nom de domaine, push de logiciels malveillants par la suite,...) : il faut voir ce projet comme une première étape, pas comme la destination.


La majorité des commentaires qu'on lit à l'encontre de ces billets de blog c'est qu'il faut simplifier pour que le mail auto-hébergé et confidentiel devienne accessible au plus grand nombre et donc qu'own-mailbox est un bon projet. J'en suis le premier d'accord. Je pense simplement que d'autres projets sont plus adaptés et prometteurs, comme la Brique Internet (VPN + conf' tout aussi automatique et user-friendly mais sans uPnP, permet tout autant de contourner le blocage du port 25 sans relai mail, permet l'utilisation d'un nom de domaine personnel out-of-box,...). Oui, la Brique n'utilise pas GPG (et c'est tant mieux), mais c'est une première étape, non ? ;) On peut aussi avoir des associations qui hébergent mails et sites web : on décentralise tout en rendant accessible par la mutualisation des compétences techniques. Ça aussi, ça peut être un premier pas.


Le commentaire de Jean-Marc Manach (https://blog.imirhil.fr/own-mailbox-la-reponse-a-la-reponse.html#isso-105) résume tout :
« Tu aurais brandé Own-mailbox comme un serveur de mail décentralisé, il ne te serait pas tombé dessus ainsi; le présenter comme un produit permettant de protéger sa vie privée, en laissant entendre que ses utilisateurs seraient ainsi protégés de Google ou de la NSA, implique de grandes responsabilités... et on n'affirme pas ce genre de choses sans avoir au préalable validé son projet par des gens qui s'y connaissent un tantinet en la matière, ce que vous n'avez pas fait.

[...]

TOR & TAILS (par exemples) précisent par ailleurs les modèles de menace auxquels ils peuvent faire face... ou pas, et donc les risques que prennent les utilisateurs de TOR & TAILS, ce que vous ne faites pas, et ce qu'a donc tenté de préciser Aeris.

[...]

tu ne peux pas "vendre" un service reposant (en partie) sur la cryptographie, et promettant un niveau élevé (btw, oublie donc le "100%") de confidentialité et donc de sécurité informatique sans avoir réellement étudié la question, et fait montre de compétences en la matière.

[...]

Bref : soit tu rebrandes ta com', soit tu te mets au taff' pour répondre aux problèmes & questions posées par Aeris. Mais en l'état, Own-mailbox propose une fausse promesse de sécurité  »

« Pendant les réunions physiques de l'IETF, il y a divers moyens de suivre la réunion en n'étant pas présent sur les lieux. Entre autres, il y a une pièce XMPP (protocole autrefois nommé Jabber, ce dernier nom restant très répandu) qui permet de poser des questions et de discuter. Une personne dont le rôle est important est le scribe : il ou elle est sur place et son travail est de relayer les remarques et commentaires dans les deux sens, par exemple en allant au micro lire les questions des participants distants.

[...]

D'où l'importance du rôle du « scribe Jabber ». Il est présent dans les différentes sessions d'une réunion IETF, notamment lors des réunions des groupes de travail, et c'est une ou un volontaire, personne n'est payé et désigné pour être scribe Jabber. Ce RFC décrit cette activité, les qualités nécessaires et comment faire pour être un bon scribe.

Premièrement, le bon scribe doit connaitre son public, les gens pour qui elle ou il travaille (section 2 du RFC). Il y en a trois catégories :
    * Les participants distants dont j'ai déjà parlé. Ils regardent les planches qui sont montrées dans la salle, ils écoutent le flux audio, mais ils voudraient aussi pouvoir intervenir (au passage, il faut se rappeler que l'IETF est une organisation ouverte, donc permettre à des gens qui n'ont pas eu le temps ou l'argent de venir est important politiquement).

    * Les participants qui sont sur le site mais sont physiquement dans une autre salle. Cela fait partie du folklore IETF de voir quelqu'un dans la salle où se réunit le groupe de travail 1 tout en suivant sur son ordinateur portable les activités des groupes de travail 2 et 3... Comme ils écoutent la salle où ils sont, ils n'ont en général pas branché le flux audio et ont donc besoin d'une pièce XMPP plus bavarde.

    * Les participants qui sont dans la salle physique, mais apprécient le fait que, dans la pièce XMPP, on peut communiquer par écrit (cela peut être plus simple pour les non-anglophones) ou simplement qu'on peut discuter sans déranger les autres (du genre « il a bien dit qu'on pouvait raccourcir un changement de clé à une semaine ? Et la section 2.2 du RFC 5011, alors, il y a pensé ? »)

[...]

Le serveur XMPP de l'IETF ne permet pas la création de compte : il faut avoir un compte existant chez un des innombrables fournisseurs XMPP (comme celui de la Quadrature du Net mais il en existe plein d'autres, XMPP n'étant pas un système centralisé).

[...]

Mais, dans le monde réel, il y a parfois des gens qui abusent, surtout dans la chaleur d'une vive discussion (IDN, par exemple...). Comment les gérer (section 8) ? Le scribe n'est pas censé tout relayer. Si un participant distant écrit dans la pièce XMPP « MIC: ce connard ne connait rien à la technique et devrait fermer sa gueule », le scribe n'est nullement obligé de répéter ce commentaire verbatim au micro. La meilleure solution est sans doute de demander à l'excité de refaire son commentaire de manière plus constructive. »

Le bug totalement #WTF du jour : il faut une version précise de MySQL utilisée en serveur maître de la replication + une version précise utilisée en serveur esclave + une requête « INSERT INTO... ON DUPLICATE... » + un champ de la table en « AUTO_INCREMENT ». Dans ce cas, le process de replication se stoppe le temps qu'un admin demande à ce que la ligne responsable soit skippée... #FunFact : les logs indiquent clairement ce problème avec un lien vers la doc' :D

Pour le fun :
         master        (-inf, 5.0.23)            [5.0.24, 5.0.34]        [5.0.36,+inf)
slave
(-inf, 5.0.23)       BUG#20188             both bugs, no error   BUG#20188
[5.0.24, 5.0.34]   this bug, no error      no bug                    this bug, no error
[5.0.36, +inf)      no bug                     this bug, error          no bug

Oui, ça date de 2007 mais on continue à rencontrer ce genre de problèmes en production, si si si si. :)

« Le 15 septembre dernier, le Conseil d’État a dévoilé les noms de ceux de ses membres qu’il a retenus pour le représenter au sein de la nouvelle Commission nationale de contrôle des techniques de renseignement (CNCTR). Cette nouvelle autorité, créée par la récente loi sur le renseignement du 24 juillet 2015, a vocation à remplacer la Commission nationale de contrôle des interceptions de sécurité (CNCIS) qui avait jusqu’à présent la charge de vérifier la légalité des écoutes effectuées sur demande du Premier Ministre. Dans son communiqué de presse, le Conseil d’État explique que, pour nommer ces membres, il s’est fondé sur l’article L. 831-1 du code de la sécurité intérieure (CSI).

Le même jour, le gouvernement nous informait que la Cour de cassation avait également procédé à la nomination des deux membres qu’il lui appartenait de choisir afin qu’ils siègent au sein de cette nouvelle commission. Cette fois, pourtant, le communiqué ne comportait aucune indication sur le fondement juridique de cette nomination.

Dans la foulée, l’Élysée annonçait que le Président de la République envisageait de nommer en tant que président de la CNCTR, Monsieur Francis DELON, l’un des deux membres de la CNCTR choisi par le Conseil d’État.

[...]

Ainsi, comment le Conseil d’État et la Cour de cassation peuvent-ils nommer des membres auprès de la CNCTR alors que l’article du Code de la sécurité intérieure qui leur confère ce pouvoir n’est pas encore entré en vigueur ?

[...]

La loi sur le renseignement, prise en son article 2, a créé un article L. 831-1 au sein du code de la sécurité intérieure qui détermine la composition de la CNCTR et les modalités de nomination et de désignation de ses membres, y compris de son président. [...] Le président de la CNCTR doit, quant à lui, être nommé par décret du Président de la République ; celui-ci devant choisir parmi les membres désignés par le Conseil d’État ou la Cour de cassation.

[...]

Or, cet article n’est pas encore entré en vigueur.

En effet, l’article 2 de la loi sur le renseignement, qui a notamment pour vocation d’introduire cet article L. 831-1 au sein du code de la sécurité intérieure, fait partie de ceux dont l’entrée en vigueur est retardée jusqu’à la publication du décret devant nommer le président de la CNCTR (cf. article 26 de la loi sur le renseignement).

[...]

Par conséquent, l’article L. 831-1 n’a pas pu entrer en vigueur et ni le Conseil d’État ni la Cour de cassation ne sont dès lors habilités à procéder à une quelconque nomination au sein de la CNCTR.

Il nous semble donc que les nominations opérées par le Conseil d’État et la Cour de cassation sont totalement dépourvues de fondement juridique et, dès lors, sans effet.»

Haha... Cocasse. Reste à voir les répercussions...

Via le twitter de Benjamin Bayart (https://twitter.com/bayartb/with_replies)

« Three Simple BGP Rules
1. messages are forwarded to neighbors, after adding the ASN
2. only the shortest AS path is forwarded
3. packets are sent to the most specific prefix

[...]

Routing Information Service (RIS)
• 13 BGP collectors all over the world
• 263 BGP peers
• BGP messages dumped into binary files
• 550 GB per year

[...]

https://github.com/ANSSI-FR/parsifal
Parsifal is an OCaml-based parsing engine.

Parsifal is a collection of binary parsers and tools. The development is at an early stage (which explains the 0.1 version).

There are several file formats or network protocols currently (at least partially) described:

    X.509 certificates
    SSL/TLS messages
    DNS messages
    MRT/BGP messages
    Portable Executables
    UEFI Firmwares
    PKCS#1 keys and containers
    PKCS#7 containers
    Kerberos messages
    OpenPGP messages
    DVI documents
    PNG images
    PCAP/IP/TCP/UDP rudimentary support
    NTP messages

[...]

http://discoproject.org/
 Disco is a lightweight, open-source framework for distributed computing based on the MapReduce paradigm.

Disco is powerful and easy to use, thanks to Python. Disco distributes and replicates your data, and schedules your jobs efficiently. Disco even includes the tools you need to index billions of data points and query them in real-time.

[...]

https://github.com/spotify/luigi
Luigi is a Python (2.7, 3.3, 3.4) package that helps you build complex pipelines of batch jobs. It handles dependency resolution, workflow management, visualization, handling failures, command line integration, and much more. [...] The purpose of Luigi is to address all the plumbing typically associated with long-running batch processes. You want to chain many tasks, automate them, and failures will happen. These tasks can be anything, but are typically long running things like Hadoop jobs, dumping data to/from databases, running machine learning algorithms, or anything else.

There are other software packages that focus on lower level aspects of data processing, like Hive, Pig, or Cascading. Luigi is not a framework to replace these. Instead it helps you stitch many tasks together, where each task can be a Hive query, a Hadoop job in Java, a Spark job in Scala or Python a Python snippet, dumping a table from a database, or anything else. It's easy to build up long-running pipelines that comprise thousands of tasks and take days or weeks to complete. Luigi takes care of a lot of the workflow management so that you can focus on the tasks themselves and their dependencies.

[...]

<hadron> 2a04:8000::/29 is announced from multiple origins:
<hadron> SFR-BUSINESS-TEAM (AS12566)
<hadron> Ukraine-AS (AS200000)
<hadron> First originated from SFR-BUSINESS-TEAM (AS12566)

Analysis Result
• 2a04:8000::/29 belongs to the Ukrainian operator
• 2a04: 0 800::/29 belongs to the French operator
• French operator made a mistake in its BGP configuration
It was a false positive, the route6 object was created a few days later by the Ukrainian operator. »

« La plus importante est évidemment que le gouvernement organise une consultation sur le numérique après que toutes les lois importantes sur le numérique soient passées (et qu'il n'est pas question de les remettre en cause) : LCEN (qui posait le principe de la responsabilité de l'hébergeur, contrairement à ce que prétend son exposé des motifs, et qui imposait la conservation des données sur les activités des internautes), HADOPI (qui organise la défense des intérêts des ayant-trop-de-droits), le décret n° 2015-125 du 5 février 2015 mettant en place la censure administrative, la Loi Renseignement (le Patriot Act hexagonal) qui légalise notamment les fameuses boîtes noires, dispositifs d'espionnage installés dans le réseau... On note qu'il n'y a pas eu de consultation pour les lois présentées par des ministres importants (Cazeneuve ou Macron) mais qu'on en fait une lorsqu'il s'agit d'une loi essentiellement symbolique, portée par une ministre secondaire (Lemaire). On a fortement l'impression qu'une fois tous les grands sujets bouclés, quelqu'un au gouvernement s'est dit « il faudrait quand même laisser quelque chose à Lemaire, quelqu'un a une idée ? »

[...]

La provocation la plus claire est l'article sur le secret des correspondances, proposé quelques mois après avoir fait voter, en profitant cyniquement de l'attaque des intégristes contre Charlie Hebdo, la loi Renseignement, qui légalise justement l'écoute massive. Cet article semble avoir été écrit pour proclamer haut et fort « votre avis n'a aucune importance ». Bref, comme le note Jef Mathiot, cette loi aurait dû être baptisée « Loi Miettes » car c'est tout ce qui reste.

[...]

Pour participer à la consultation, il faut s'inscrire en ligne. Le site me propose de m'authentifier avec des fournisseurs d'identité, Facebook ou Google ou avec un compte créé localement sur le site (ce que j'ai fait). Les protocoles d'identification ouverts comme OpenID ne sont pas présents. On est loin de ce qui se fait en République tchèque. On apprécie ici l'hypocrisie qui prétend réguler « les plate-formes » (terme des ministères français pour désigner les GAFA, Google, Amazon, Facebook et Apple) alors qu'on encourage leur usage ! (Sans compter les mouchards Google Analytics dans le site Web.)

[ NDLR : Sans compter que l'État cherche à devenir un fournisseur d'identité numérique certifiée et reliée à l'état civil depuis de nombreuses années... ]

Une fois inscrit, je note qu'on peut voter sur tout, sauf sur les modalités de la consultation elle-même. Par exemple, aucun endroit pour discuter du fait que les arguments qu'on écrit doivent forcément être étiquetés Pour ou Contre le texte. Cela interdit, par exemple, de poser une question pour éclaircir un point. Ou tout simplement d'exprimer une position complexe. Cette consultation ressemble en effet pas mal à un plébiscite : soit on met un argument Pour et on est alors classé comme soutenant le gouvernement, soit on met un argument Contre et on risque alors de mettre en péril les progrès très modestes du projet de loi.  [...]

[...]

Dans la série « souveraineté numérique », slogan souvent brandi dans les cercles gouvernementaux, on note que le site est hébergé par l'états-unien CloudFlare (qui a les serveurs DNS et le frontal HTTP, et signe le certificat). Les adresses IP utilisées sont donc celles de CloudFlare, attribuées par LACNIC à la filiale de CloudFlare au Costa Rica... Quant au courrier de confirmation de l'inscription, il est envoyé depuis la Georgie. »

Gros +1

Excellent : analyse de la structure des réseaux des FAI Serbes pour en déterminer la solution de censure adaptée et donc les coûts associés, permettant de mettre KO une proposition de loi du gouvernement visant à censurer les sites web proposant des jeux d'argent / paris sans l'avis de l'État (en France, ça se nomme ARJEL, https://fr.wikipedia.org/wiki/Autorit%C3%A9_de_r%C3%A9gulation_des_jeux_en_ligne, pour rappel).

« Through empirical research, SHARE Foundation created a map of the Internet in Serbia and analysed the implications network structure could have on Internet filtering. By visualising and analysing the structure and topology of individual Internet Service Providers in Serbia, we tried to determine how easy it would be to install filtering devices on these networks. This data was used to inform the government on the proposal of a new law.

[...]

1. Determining the IP ranges
First we looked at the RIPE Database and took all the IP ranges registered to organisations in Serbia. Below you can see a representation of ISPs in Serbia and the number of IP addresses alocated to them.

[...]

There are three basic network structures:
  * Centralised: All devices are connected to one centre. This centre has privileged accessibility and thus represents the dominant element of the network.
  * Decentralised: Although the centre is still the point of highest accessibility, the network is structured so that sub-centres also have significant levels of accessibility.
  * Distributed: No centre has a level of accessibility that significantly differs from the others.

By analysing our visualisations of ISPs in Serbia we noted that both centralised and decentralised models are present. An example of a centralised network model can be seen in the network of the state-owned Telekom Serbia. An example of a decentralised model can be seen in the university network AMRES (see more on these two networks below).

[...]

In one of our previous research projects (in Serbian only), we looked at Internet filtering at the national research and education network of Serbia AMRES. We discovered a decentralised method of content filtering, delegated and executed through local administrators and routers at every university in Serbia. Each local administrator is responsible for their own blacklist of sites and ports. AMRES is one of the oldest ISPs in Serbia, established in the early 1990s, and its method of Internet filtering presented here is filtering on an institutional level. If we take a look at the visualisation of the AMRES network (in Figure 4), we can clearly see why this method of Internet filtering was most applicable: the decentralised structure of the AMRES network somehow imposes this kind of filtering strategy.

[...]

In December 2014, the Government of the Republic of Serbia sent a Proposal of the Law on Amendments to the Law on Games of Chance to the Parliament (in Serbian). The proposed changes were adopted without discussion and public insight, even though these provisions would introduce Internet censorship in Serbia through a “back door”. What presented the main problem was the amendment of Article 10 of the current law, i.e. the new Item 16 of Paragraph 1, which prohibits “enabling access to websites by domestic electronic communication network service operators to legal entities or individuals organizing games of chance without the approval or consent of the Administration”. What this basically means is that the government suggested filtering (or censoring) access to online gambling sites in order to regulate gambling. To be able to do that, ISPs would have to monitor which sites their users are visiting.

Fortunately, after the SHARE Foundation analysed the proposal and started a media campaign, the proposal of the law was withdrawn from the parliamentary procedure following an intervention of the government. In one part of the proposal, it was written that the installation, maintenance and costs of the equipment intended for filtering is the responsibility of the ISPs. In order to estimate the (unreasonable) costs ISPs would bear, we analysed the network topology maps of every individual ISP in Serbia to see how much and what kind of equipment they would need to purchase. Even though our method is not 100% accurate, we had something to work with, something that gave us an insight into the unknown and invisible design of the networks.

[...]

By looking at the map of Telekom Serbia’s network (see Figure 5), the biggest ISP in Serbia and owner of the biggest share of the infrastructure, we could observe a highly centralised structure where almost all the main nodes and routers were connected to just two main servers.

The logical conclusion is that in order to perform real-time filtering they would need to install equipment exactly in those two points. On the other hand, from the number of nodes attached to those two main routers, we can assume that they are able to process huge amounts of traffic, therefore the equipment they would need to install would probably need to be of high-end performance. We were able to predict the type and cost of the theoretical filtering solution, given that there are just a few manufacturers of such equipment.

[...]

Given that our analysis is still only at the level of an individual ISP, this is just a small fragment of the story. The Internet is a network of networks, and to be able to create a full picture and to understand where the points of control are, we need to examine their local interconnections and links to the International networks. This is a topic for further research. »

Via le twitter de Stéphane Bortzmeyer (https://twitter.com/bortzmeyer/with_replies)

« Is France "keeping local traffic local"? We can't answer that question with RIPE Atlas (as it doesn't measure traffic) but we can measure the path between end-points in France. In our case the end-points are RIPE Atlas probes located in France, and we measure the path with traceroute.

[...]

Currently 755 RIPE Atlas probes are connected in France, which would be over half a million traceroutes. If we only select up to two probes per ASN, we end up with 23k traceroutes, which is much more manageable, and from which we ask the questions:

Do we see IXPs in these paths?
Do we see out-of-country paths? And do they need to be fixed?

[...]

IXP traversal
It is important to note that we cooperated with France-IX and therefore we were able to look at their peering LANs in both Paris and Marseille. The numbers we present here are related to this cooperation. However, we could easily extend this to all of the French IXP LANs if we have the right information.

Lieu                            IPv4 IPv6
France-IX   Paris         27.3%     33.0%
France-IX   Marseille   1.0% 0.5%
Table 1: Percentage of paths that traversed France-IX peering LANs.

[...]

Out-of-country paths

Paths from probes to probes in France that go outside of France are interesting to investigate. There can be valid reasons for such paths. For instance, the collected data contains traceroutes from a probe at CERN that is very close to the Swiss border, where paths are mostly through Geneva in Switzerland. Out-of-country paths could also be caused by sub-optimal routing policies or config errors. These are the paths we'd like to take a closer look at.

For IPv4, we observed out-of-country IP addresses in 9% of the paths, and in 18% for IPv6.

Table 2 below shows a breakdown of the top five countries that are seen in these paths.

IPv4 IPv6
DE 3.7% 7.3%
CH 2.7% 4.5%
GB 2.1% 3.5%
NL 2.0% 6.0%
IT 0.8% 0.7%
Table 2: Specific countries seen in out-of-country paths between selected probes in France.

[...]

IXP and in-country correlation
If IXPs help in keeping local traffic local, it is interesting to look at the correlation between a path going out-of-country and not traversing an IXP. In Figure 3, cells are coloured according to the following four combinations:
  * Path via IXP, not going out-of-country (green)
  * Path not via IXP, not going out-of-country (orange)
  * Path via IXP, going out-of-country (blue)
  * Path not via IXP, going out-of-country (red)

The IXP paths that still go out-of-country (blue) are, in this case, caused by a probe on a LISP testbed. For the other paths that go out-of-country the operators in question could look to see if it would make sense for them to improve this, for instance by peering locally. »

Via le twitter de Stéphane Bortzmeyer (https://twitter.com/bortzmeyer/with_replies)

« Il aurait été nommé discrètement en juin, mais il prend tout juste ses fonctions. Faisal bin Hassan Trad, ambassadeur de l’Arabie saoudite à l'Office des Nations unies à Genève, a pris, lundi 21 septembre, la tête du panel du Conseil des droits de l'homme. La publication de sa nomination a immédiatement provoqué la colère des défenseurs des droits humains. En tête, l'ONG UN Watch, qui juge, dans un communiqué (en anglais), "scandaleux que les Nations unies choisissent un pays qui a décapité plus de personnes que l'Etat islamique" pour ce poste-clé.

Faisal Trad prend en effet la tête d'un groupe de cinq diplomates, dont le rôle est notamment de choisir les experts chargés d'observer et rapporter les atteintes aux droits de l'homme dans le monde. Or, l'Arabie saoudite a exécuté au moins 80 personnes depuis le début de l'année 2015, et "détient sans doute le pire des records en matière de liberté religieuse et de droits des femmes", poursuit UN Watch. Les minorités (ethniques, religieuses, sexuelles) et les opposants politiques y sont également sévèrement traités et régulièrement condamnés.

Dans son dernier rapport, Amnesty International précise en outre que "les autorités ont pris pour cible la communauté des défenseurs des droits humains, petite mais active, et elles ont utilisé les lois antiterroristes pour réprimer ses activités pacifiques qui visent à dénoncer et à combattre les violations des droits humains". »

Et ici http://www.metronews.fr/info/conseil-des-droits-de-l-homme-de-l-onu-la-promotion-de-l-arabie-saoudite-qui-derange/moiu!69nBZocudtwYI/ :
« Un poste pour lequel il était en concurrence avec ses homologues représentant la Grèce, l'Algérie, le Chili et la Lituanie. Nommé par ses pairs, Faisal Trad obtient un rôle loin d’être seulement honorifique : "En tant que chef d'un groupe de cinq diplomates puissants, le rôle influent donnera à Mr Trad le pouvoir de sélectionner les candidats du monde entier pour plusieurs missions d'experts", rapporte le quotidien britannique The Independent.

[...]

Selon l’ONG UN Watch, la promotion de Faisal Trad était dans les tiroirs depuis le mois de juin. Le délai avant son officialisation s’expliquerait par son caractère polémique, assure l’UN Watch : "L’Arabie Saoudite détient les plus mauvais records du monde en matière de liberté religieuse, de droits des femmes, et continue à emprisonner des innocents comme le blogueur Raif Badawi."

[...]

Interrogé vendredi à propos d’un récent rapport de l’ONU sur la peine de mort, Faisal Trad est quant à lui resté droit dans ses bottes. "Il nous semble impératif de préserver les droits des victimes au moment où des voix s’élèvent pour abroger la peine de mort au prétexte de prendre en compte les droits des coupables." En clair : les exécutions ont encore de beaux jours devant elle dans la monarchie sunnite. »

Je ne veux plus vivre dans ce monde... :'(((( C'est répugnant, c'est immoral, c'est scandaleux, c'est... le monde actuel... Rien ne changera jamais :'((


ÉDIT DU 23/09 à 11h30 : Certes, le comité présidé par l'Arabie saoudite est consultatif, le dernier mot revient au président du Conseil des droits de l'Homme qui est un Allemand actuellement. Ho bah c'pas si grave alors, ça vaaaaaaaaa ?! Si.
    * C'est de la symbolique, comme d'avoir accepté l'Arabie saoudite en tant que membre du Conseil des droits de l'Homme en 2013. Après j'suis sûr que des gens de bonne foi diront "non mais c'est pour leur montrer la voie à suivre, dialoguer avec eux jusqu'au bout"... Mon cul, ouais ! C'est juste du business.

    * C'est une porte ouverte. Très peu d'acteurs ont commencé leur carrière par le premier rôle dans un blockbuster. La présidence du Conseil doit être renouvellée d'ici la fin de l'année... et l'Arabie saoudite a déjà posé sa candidature au printemps dernier et l'a retiré vu que ça avait fait jaser. Ha et évidemment, pour ce tour-ci, c'est au groupe asiatique (dont fait partie l'Arabie Saoudite) de proposer un pays candidat, comme par hasard !

    * Ce comité consultatif va quand même choisir les experts qui seront diligentés sur des thématiques précises et dont les rapports serviront au Conseil pour émettre ses recommandations en séance plénière... Ce n'est pas rien. Il n'y a qu'à voir au Parlement français à quel point la séance plénière est inutile et ne sert qu'à confirmer le travail fait en amont (dans les commissions et dans les ministères) ! Pour moi, le titre de France TV n'est pas exagéré : l'Arabie saoudite prend vraiment la tête d'un comité *stratégique* du Conseil des droits de l'Homme de l'ONU.
FIN DE L'ÉDIT

« Tornado is a Python web framework and asynchronous networking library, originally developed at FriendFeed. ». Évidemment, il y a un système de templates (http://www.tornadoweb.org/en/stable/guide/templates.html) donc on peut (et doit) externaliser le HTML/JS du code fonctionnel Python. Les exemples de la doc sont excellents pour débuter. < 3

Les regex habituelles permettent de matcher la ressource demandée dans l'URL et d'appeler la méthode appropriée. La regex la plus spécifique (= l'URL la plus longue) matche en premier. Les groupes capturés sont passés en paramètres à la méthode.

Du coup, ça permet de coder très vite une petite application web (genre une API pour exposer quelques stats) sans se prendre la tête sur l'aspect serveur web puisqu'il y a uniquement le cœur de l'application (le traitement) à écrire.

« La musique et la diplomatie sont étroitement liées au sein des relations internationales. Les diplomates se réunissent autour d’événements musicaux et les musiciens sont au service de la diplomatie. Quelle que soit l'unité politique considérée (Cités-états, empires, États-nations), la musique est une composante de la diplomatie, de ses cérémonies et de ses stratégies. Il existe un nouvel intérêt pour cette dimension de la réalité internationale en Histoire (Fléchet & Marès, Gienow - Hecht), Musicologie (Ahrendt et al., Fosler-Lussier), et pour les relations internationales elles-mêmes (Dillon, Bleiker, Street) au-delà des tournants esthétique et culturels qui ont marqué ces disciplines.

[...]

- Évolution des pratiques diplomatiques liées à la musique. Peut-on identifier les tournants importants des créations et usages de la musique comme une ressource diplomatique pour les différents états? La formation des diplomates repose-t-elle sur une prise de conscience des pratiques musicales ?

[...]

- Les objectifs des diplomaties musicales. Dans le domaine de la musique, la coopération présente-t-elle, par exemple, des caractéristiques spécifiques qui sont plus favorables aux négociations multilatérales qu’aux négociations bilatérales? »

Ça envoie tellement de rêve... Je perds espoir en l'humanité...

Via https://twitter.com/bortzmeyer/status/645870886445285376