« Médecin à Gaza, Tarek Loubani a lancé le projet Glia, qui fournit des plans d'équipements médicaux libres et open-source pour le monde entier. Son premier projet, un stéthoscope à 30 centimes, serait aussi performant que les matériels professionnels les plus chers.

Gaza n'a peut-être pas d'argent, mais ils ont des idées. Et de la solidarité. The Register rapporte qu'un docteur de l'enclave palestinienne, Tarek Loubani, a mis au point avec une équipe de confrères et de spécialistes des technologies un stéthoscope imprimable en 3D, dont les plans sont désormais open-source et publiés sur GitHub. L'objet qui coûte 30 centimes à fabriquer serait aussi performant voire plus performant que des stéthoscopes professionnels haut de gamme qui coûtent excessivement chers, tels le Littmann Cardiology III, vendu près de 200 dollars. »

Excellent. < 3

« Depuis l’entrée en vigueur de la loi Macron, samedi, l’ARCEP est autorisée à déclarer d’office certains acteurs comme des « opérateurs » au sens de la loi française. Un changement de statut qui conduit notamment ces intermédiaires à collaborer dans le cadre des interceptions de communications.

Ces dispositions font partie des nombreuses mesures adoptées discrètement, sans quasiment aucun débat, parmi les près de trois cent articles de la loi pour la croissance et l’activité. [...]

Mais désormais, si un opérateur « exploite un réseau ouvert au public ou fournit au public un service de communications électroniques » sans que cette déclaration n’ait été effectuée, l'autorité peut « procéder d'office à cette déclaration ». La seule condition : que la personne en question ait été préalablement « invitée à déclarer sans délai l'activité concernée ». La loi prévoit au passage que le nouvel opérateur soit informé de cette décision prise par l’ARCEP, « réunie en formation de règlement des différends, de poursuite et d'instruction ».

[...]

Si le régulateur des télécoms décidait d’utiliser ses nouvelles prérogatives, cela pourrait avoir d’importantes conséquences pour les nouveaux opérateurs désignés d’office. Toujours en vertu de l’article 33-1 du CPCE, chaque opérateur est en effet tenu de respecter les règles concernant l’acheminement gratuit des appels d’urgence (18, 17, etc.), l’acquittement de certaines taxes spécifiques, la mise à la disposition des autorités d’une liste d'abonnés et d'utilisateurs « complète, non expurgée et mise à jour », etc.

Les opérateurs sont surtout obligés de se plier aux « prescriptions exigées par l'ordre public, la défense nationale et la sécurité publique, notamment celles qui sont nécessaires à la mise en oeuvre des interceptions justifiées par les nécessités de la sécurité publique ». En clair, sont ici visées les écoutes téléphoniques légales, ordonnées par un juge.

Mais même si Skype ne se voyait jamais reconnaître le statut d’opérateur, soulignons que suite au vote de la dernière loi anti-terroriste, les enquêteurs peuvent d’ores et déjà être amenés à scruter des échanges sur Skype dans le cadre de certaines enquêtes. Le gouvernement a en effet publié il y a quelques jours un arrêté en vertu duquel la justice peut permettre à certains services de prendre connaissance, en temps réel, des données issues de l'utilisation de logiciels de téléphonie par ordinateur. Cette faculté est cependant limitée aux infractions relevant du terrorisme et de la criminalité organisée.
En dehors de ces procédures judiciaires, rappelons que la récente loi sur le renseignement permet aux services secrets de capter des données informatiques dans un cadre strictement administratif, donc sans juge. »

«  Toute une série d'ordinateur portables et de PC de bureau Lenovo (voir la liste ici) étaient fournis jusqu'à juin dernier avec un BIOS, le Lenovo Service Engine (LSE), qui vérifiait à chaque reboot le contenu du fichier C:Windowssystem32autochk.exe utilisé par Microsoft pour diagnostiquer d'éventuelles corruptions du système au démarrage de Windows. LSE remplace ce fichier par une variante qui vérifie également la présence de deux fichiers exécutables, LenovoUpdate.exe et LenovoCheck.exe, ou les ajoute en cas d'absence.

Ces deux fichiers qui s'exécutent au lancement de Windows bénéficient des droits d'administrateur, et peuvent donc télécharger et installer ce qu'ils veulent sans aucun contrôle. Lenovo télécharge ainsi des drivers, ou installe son logiciel OneKey Optimizer (.pdf) censé optimiser les performances du PC grâce à différents diagnostics et réglages automatisés. Impossible pour le propriétaire d'un tel système d'éviter leur installation, sauf à renoncer à Windows.

[...]

Pour imposer ses logiciels, Lenovo exploitait une faculté offerte aux constructeurs d'indiquer lors du boot une zone mémoire physique sur laquelle figurent des binaires à exécuter lors du lancement de Windows. C'est le Windows Platform Binary Table (.docx), conçu par Microsoft pour permettre aux constructeurs d'y mettre les drivers indispensables au bon fonctionnement du PC, ou pour installer des logiciels permettant de détecter la connexion d'un ordinateur volé, ce qu'un voleur ne doit évidemment pas pouvoir désinstaller. Le WPBT n'était absolument pas conçu pour que les industriels imposent leurs logiciels maison à chaque réinstallation ou lancement de Windows, ce que Microsoft a clarifié en modifiant ses lignes de conduite de sécurité. »

Putain mais c'est *grave* de contourner les utilisateurs comme ça. :O Ces pratiques sont abjectes, ignobles, totalement merdiques et pourries. C'est à gerber. Un exemple de plus en faveur des logiciels libres...

« Une étude de Stav Atir, du département de psychologie de l’Université Cornell, dans l’État de New York, soutient qu’une trop grande connaissance peut être dangereuse, au sens où les experts d’un sujet sont les plus aptes à répandre de fausses informations.

Publiée le 8 août 2015 au journal Psychological Science, l’étude s’est fondée sur le concept de «l’impression de savoir». Cela revient à poser une démonstration ou une argumentation sur quelque chose que l’on est persuadé de connaître parce qu’on l’a seulement vu ou entendu quelque part, mais sans se le rappeler réellement. Ce genre d’impression est généralement due à une trop grande confiance en soi.

[...]

Déclarer qu’on a entendu parler d’un sujet uniquement parce qu’on a lu son intitulé sur une couverture de journal n’est pas un problème très grave. Mais lorsque cela touche des sujets pointus comme la santé ou l’économie, «l’impression de savoir» peut créer de très mauvais conseils, et malheureusement les experts semblent être les premières victimes de ce paradoxe. »

Document très technique mais très intéressant qui montre qu'un changement de la KSK de la racine DNS, c'est loin d'être simple (déjà que sur une zone "normale" c'pas simple avec les différents timers...) : timings, considèration de taille (donc dépassement de la MTU donc attention aux middleboxes qui droppent DNSoTCP et fragmentation), plan de secours,...

Via https://twitter.com/jschlyter/status/631349304624574464

Pour les gens qui ne veulent pas se taper le player flash ou l'inscription pour le téléchargement en mp3 : http://www.guiguishow.info/wp-content/uploads/2015/08/Stephane_Bortzmeyer-Come_to_the_dark_side-aka-linformatique_est-elle_neutre-mixit-2015-04-17.ogg

ÉDIT DU 31/08/2015 À 05H25 :
Quelques notes :
    * L'informatique est partout (business, relations persos,...). Beaucoup de choses passent à un moment donné par un logiciel, par un ordinateur. Dans ce contexte, on n'est pas juste développeur surtout que l'on demande à être reconnu, à avoir un salaire qui va avec. On ne peut pas esquiver la responsabilité ;

    * Le développeur, par sa compétence rare, a un rôle bien supérieur à caissière/balayeur ;

    * Le côté obscur (espionner les gens, envahir leur vie privée, trading haute fréquence,...) recrute plus que les questions "est-ce que ce que je fais est utile ?", "est-ce que ça rend le monde meilleur ?". Ce n'est pas facile et évident d'aller du côté sympa de la force. Difficile d'identifier le bien et le mal.

    * Tout un tas de choix passent par des algorithmes. La personne qui l'a programmé à un pouvoir. Pouvoir d'aider ou d'embêter les gens, de contrôler leur vie. Exemples :
        * Amazon et ses recommandations ;

        * Décision paiement carte bancaire avant d'accepter/refuser une transaction -> on ne connaît pas les critères... -> "c'est l'ordinateur" ;

        * Aux USA, algo d’apprentissage pour accorder des prêts -> basé, entre autres sur consonance du nom pour créer des catégories et voir si ladite catégorie a plus de défauts de remboursement pour ensuite refuser des prêts aux noms à consonance identique ;

        * Boîtes noires de la loi renseignement de 2015 en France : on fixe des critères qui détermine ce qu'est un terroriste.

    * Vendeurs d'armes numériques (ex-VUPEN), Encrypted Traffic Management,... Est-ce légal ? Moral ? Ça dépend à qui on va le fournir et qui va s'en servir.

    * Les développeurs qui ont conçus et mis au point des systèmes de surveillance des communications des populations (Amesys, Qosmos,...) sont comme nous tous : ils ont fait les mêmes études, ont une vie,...

    * Qu'est-ce qu'on peut faire ?
        * Se poser des questions. La technique n'est pas neutre. "D'autres le feront à ma place" pas vrai d'après le recrutement dans la profession. Une profession sans éthique n'est qu'une armée de robots.

        * Admettre qu'on a une responsabilité, tous. Tu n'es pas un petit rouage. « On ne peut pas changer le monde tout seul mais on peut y contribuer » (Florence Porcel). Snowden était un simple adminsys. Tout le monde peut dire ce qui ne va pas.

        * Se fixer des limites dans quelle entreprise : dans quelle société je suis prêt à bosser,...

        * L'informatique est un des outils modernes dont on dispose pour empêcher les gens de se mêler de ce qui les regarde. Partager le savoir -> plus de gens savent -> moins de baratin, + de contrôle citoyen.


Mon avis :
    * L'éthique est un des idéaux vers lequel on doit tendre mais qui est impossible à atteindre. Je veux dire : dans les faits, même rms écoute des mp3 et des mp4 de culture copyrightée... Personne n'est parfait, tout le monde est humain. Dans ce contexte, il est tentant de se retrancher derrière l'argument "pourquoi je devrais faire un effort" lors de l'apparition d'un choix éthique compliqué ;

    * La compétence rare du développeur... oui... ça dépend jusqu'à quelle granularité on va... Dennis Ritchie est beaucoup plus rare que moi. Du coup, nos deux libertés de choix sont incomparables, sans égal ;

    * Prendre des positions très marquées isole assez rapidement la personne qui les prend. Elle est jugée tantôt immature (genre elle n'a pas compris une plus grande vérité) tantôt extrémiste tantôt bornée avec qui aucune discussion n'est possible. Il y a une très forte pression sociale et les collègues sont quand même les personnes avec qui on passe le plus de temps par jour (dans le cadre d'un temps plein). Difficile de résister. Le rôle de boussole morale n'est pas vendeur au quotidien ;

    * Les exemples d'éthique présentés par SB sont des choix parmi d'autres. Mais si en plus d'eux on souhaite un boulot hors IDF (par militantisme car on pense que concentrer nos emplois là-bas c'est malsain), ne pas travailler dans une SSII, une hiérarchie tendant vers l'horizontalité, ceci, cela, on arrive très vite à 0 offre d'emploi pouvant correspondre à nos critères. Comment on ordonne tous ces critères ? ;

    * SB évoque les choix francs et brutaux que l'on peut avoir à faire (développer des outils qui serviront à torturer des gens, par exemple) mais les choix sont beaucoup plus subtils, sournois et vicieux. La descente aux enfers se fait de manière incrémentale, par compromis successifs. Exemple : une personne est embauchée pour un poste "adminsys open-source". Il s'agit d'un critère déterminant au même titre du fait que la société n'est pas située en IDF et n'est pas une SSII. Un jour on lui demande d'utiliser le sun-jdk au lieu de l'open-jdk... Elle accepte car 1) vu la masse de données à traiter et le fait que l'open-jdk n'intègre pas des optimisations spécifiques lors de la compilation en bytecode, ça ne tiendra pas la charge avec l'open-jdk ; 2) c'est sur un périmètre bien défini, on ne lui demande pas d'utiliser le sun-jdk tout le temps, juste pour compiler un programme pour une infra donnée d'un périmètre bien défini et délimité ; 3) ce programme produit des stats sans toucher aux contenus des clients. Cette personne accepte suite à une analyse structurée car une démission pour si peu serait overkill. Dans sa tête, l'évaluation sur le bien et le mal, les pours et les contres se fait uniquement sur ce choix, de manière très locale... mais en vrai, elle a ouvert une boîte de Pandore... Elle a fait un pas vers le logiciel propriétaire... Donc la prochaine fois qu'on lui proposera de travailler sur du logiciel propriétaire, ça sera moins simple de refuser. Et ça, ça se voit uniquement avec une analyse globale et du recul. Un beau jour, on annonce à cette personne que l'infra de mail interne basée sur des logiciels libres sera bientôt abandonnée au profit d'un Microsoft Exchange interne. Ses mails ainsi que ceux des partenaires extérieurs avec lesquels cette personne communique seront routés/lus par un putain de logiciel propriétaire alors que le logiciel libre est pertinent sur cet usage ! Que faire ? Considérer que les mails qui transiteront par ce serveur Exchange ne sont pas personnels et que donc "ça passe" ? Tenter d'argumenter face à un patron qui pense ce genre de chose : https://twitter.com/olesovhcom/status/599171194764566528 ? Ça sera quoi ensuite ? Le Mal n'est jamais facile à identifier et à combattre. Lutter contre, c'est surtout se faire mal à soi-même car ce n'est pas valorisé.

FIN DE L'ÉDIT.

« As part of our commitment to help Firefox users stay safe online, we have recently expanded the malware detection features in Firefox. Thanks to new developments in Google’s Safe Browsing service we are now able to identify malware downloads in all of our supported platforms as well as warn users about potentially unwanted software.

The first of these changes, introduced in Firefox 39, consists of extending the monitoring of malicious file downloads to the Mac and Linux versions of Firefox.

When downloading a file of a type that usually contains Windows or Mac executable code (for example, .com, .exe, .msi, .app, .dmg) Firefox asks Google’s Safe Browsing service if the file is safe by sending it some of the download’s metadata (file type, name, size, hash, URL, locale). If the file is flagged as harmful by this service, the download manager will block access to the file until the user performs a right-click, and unblocks it manually. »

Rien de neuf sous le soleil : toujours désactiver Safe Browsing (https://support.mozilla.org/en-US/kb/how-does-phishing-and-malware-protection-work#w_how-do-i-use-the-phishing-and-malware-protection-features). Voir : http://shaarli.guiguishow.info/?9-JFuQ

« Lawrence Lessig, the Harvard professor and cofounder of Creative Commons, announced Tuesday that he is exploring a run for the US presidency as a Democrat. He's crowdsourcing the campaign, too. "Please give whatever you can," he said. He wants to raise $1 million by Labor Day. »

He has one agenda: the passage of his so-called Citizen Equality Act—designed to increase voting access, end partisan gerrymandering, and reform campaign finance. If elected, he said, he'll quit once the agenda is passed through Congress, and the vice president would take over.

"I want to run. But I want to run to be a different kind of president. 'Different' not in the traditional political puffery sense of that term. 'Different,' quite literally. I want to run to build a mandate for the fundamental change that our democracy desperately needs. Once that is passed, I would resign, and the elected Vice President would become President," he said.

[...]

Lessig created a super PAC in 2014 in a bid to help fund candidates that backed reforming campaign finance. The Mayday PAC lost almost every race it was involved in. »

Voir aussi : http://shaarli.guiguishow.info/?0kIOpA

«  Mais Sundar Pichai a aussi une qualité qui, aussi étrange que ça puisse paraître, rassure les investisseurs : il est Indien. Né à Tamil Nadu, il partage notamment avec le patron de Microsoft Satya Nadella ce très commun désormais très recherché par les grandes entreprises américaines. Les Indiens ont en effet gagné la réputation d'avoir, par leur culture, les qualités requises pour gérer une entreprise au management moderne, plus participatif et moins autoritaire, avec la capacité d'entraîner tous les cadres dans une même direction, par consensus. Adobe, Pepsi, Deutsche Bank, MasterCard, font partie des entreprises désormais gérées par un Indien.

"Il n'y a rien de spécifiquement indien à propos de l'empathie, de l'humilité, de la patience et de la capacité à rêver. Ce sont pourtant ces qualités qui ont semblé créer le "club indien" des perfectionnistes dans les entreprises mondiales", concluait à ce sujet Bloomberg lors de la nomination de Satya Nadella l'an dernier (alors qu'une rumeur avait circulé concernant la nomination de... Sundar Pichai). Déjà en 2007, CBS prévenait que les dirigeants indiens seraient de plus en plus nombreux aux Etats-Unis, de part leur faculté à comprendre les marchés émergents des BRIC (Brésil, Russie, Inde, Chine), à s'adapter à leur culture, et au fait que l'anglais est leur langue maternelle. »

Intéressant mais c'est pas réjouissant du tout. :(

Je rencontre deux problèmes avec systemd (enfin avec le systemd d'autrui, je suis pas assez maso pour être passé à cette techno du futur sur mes machines) sous Debian Jessie :
    * systemd n'affiche pas les logs détaillés des services lancés au boot (exemple : [OK] SSH, [OK] Apache httpd server,...)
        Solutions :
            * Solution 1 : apt-get install sysvinit-core puis reboot mais c'est trop facile. :))))

                SOIT

            * Solution 2 : virer le « quiet » dans cmdline du noyau (ligne « GRUB_CMDLINE_LINUX_DEFAULT= » dans /etc/default/grub puis update-grub2).


    * Si la clé privée associée à un certificat x509 utilisé par un VirtualHost Apache nécessite un mot de passe, Apache httpd le demande bien lors du boot mais getty s'intercale et le prompt de login apparaît sans avoir le temps de saisir la passphrase pour Apache.

        Notons que systemd prévoit les demandes de passphrase au boot, que c'est intégré pour luks (partition système chiffrée) mais que ce n'est pas encore au point pour Apache. Voir : https://wiki.freedesktop.org/www/Software/systemd/PasswordAgents/ .

        Notons que l'usage de la directive de configuration Apache « SSLPassPhraseDialog », que l'on place dans /etc/apache2/mods-available/ssl.conf car elle est commune à tous les VirtualHosts, et que l'on fait pointer sur un script qui fait appel à systemd-ask-password ne résoud pas le problème : la demande de passphrase apparaît mais getty prend la main trop vite... Voir ici pour des exemples de cette manip' : https://bugzilla.redhat.com/show_bug.cgi?id=707917


        Solutions :
            * Solution 1 : virer la passphrase. Si vous avez correctement configuré la Perfect Forward Secrecy, alors les échanges passés sont en sécurité en cas de vol de votre clé privée. Si vous avez appliqué les bonnes permissions (root:root, 400), alors d'autres parties de votre système seront largement compromises si jamais on vous dérobe votre clé privée (car ça implique que le voleur était root donc game over complet). Mais c'est un contournement du problème un peu trop facile. :))))

                SOIT

            * Solution 2 : apt-get install sysvinit-core puis reboot mais c'est trop facile. :))))

                SOIT

            * Solution 3 : décaler le lancement des getty pour laisser le temps de saisir la passphrase. Notons que, contrairement à ce qui se produit avec sysvinit, cette solution ne bloque pas le lancement des autres services (SSH, mails, DNS,... en fonction de l'ordre de lancement), ce qui est super pratique en cas de reboot imprévu (vous recevez encore vos mails, par exemple) ou en cas de problème pour saisir la passphrase (SSH est fonctionnel).

                * a) Ajouter « After=apache2 » dans l'unit getty (/etc/sytemd/system/getty.target.wants/getty@tty1.service ». Mais c'est sale : ce n'est pas à l'unit getty de s'adapter...

                    SOIT

                * b) apache2 n'a pas d'unit systemd mais un initscript (/etc/init.d/apache2). Systemd parse les entêtes LSB. On peut donc ajouter « X-Start-Before: getty@tty1 » puis demander à systemd de re-parser et d'interpréter les données LSB : systemctl daemon-reload. On peut vérifier la bonne génération : systemctl show apache2 | grep -i before doit afficher « Before=getty@tty1.service multi-user.target graphical.target shutdown.target ».


Merci à Johndescs pour le coup de main. :)

+ https://github.com/feross/webtorrent
+ démo en https://instant.io/ , par le même auteur

Je cherchais un moyen de diffuser de gros fichiers. Le serveur web de la structure ne peut pas accueillir d'aussi gros fichiers (hébergement mutualisé, contrainte fixée par l'hébergeur). Forcément, je pense à bittorrent qui est fait pour ça. Sauf que c'était pour des pures novices et on m'informe que les novices ne seront pas quoi faire d'un torrent sans compter les habituels problèmes de traversée de NAT.

J'avais déjà entendu parlé de sites web qui permettent de télécharger directement un torrent. Il y'en a un paquet... soit avec des limitations (pas plus de X Go, pas plus de Y téléchargements journaliers,...) soit avec des problèmes de pérennité. De plus, ces sites web n'apportent rien par rapport à mettre directement le fichier à disposition sur le site web de la structure (quitte à héberger l'archive ailleurs pour répondre à la contrainte de manque d'espace).

J'avais entendu parler de logiciels pour faire du bittorrent directement dans le navigateur web, sans devoir installer quoi que ce soit. Le seul que j'ai (re)trouvé, c'est webtorrent. Malheureusement, je ne peux pas le recommander : relou à installer (mais c'est pas grave ça car c'est un problème de sysadmin, ça n'impacte pas les utilisateurs), ça bug bien (abandon du transfert, plantage du navigateur) et ça ne fonctionne pas sur les principaux navigateurs web (exemple : ça fonctionne avec la version de Chromium packagée dans Wheezy, pas la version de Firefox packagée dans Wheezy). C'est dommage car, dans son PoC (instant.io), on voit que l'auteur a prévu les bûches habituelles notamment la traversée de NAT (usage de STUN). :(

Finalement, un truc genre MediaSPIP fera très bien l'affaire : visionnage en direct, téléchargement direct et mise à disposition du .torrent. Y'en a pour tous les goûts et compétences...

« Très logiquement, la numérisation ou la copie numérique fidèle d’une œuvre dont l’auteur est mort depuis plus de 70 ans est totalement libre. Vous avez non seulement le droit d’en créer une, mais vous avez aussi le droit de réutiliser librement et sans contrainte les copies réalisées par d’autres.

On peut penser que c’est tout aussi vrai légalement mais encore plus vrai moralement pour la copie fidèle d’une œuvre détenue et hébergée par un musée public. En fait non : L’État se bat contre, en faisant entrer les copies numériques qu’il réalise dans la définition d’information publique, qui elles sont protégées en tant que telles. L’interprétation semble franchement hasardeuse mais c’est celle souvent soutenue.

Les politiques récentes d’Open Data, au niveau français comme européen, mettent à mal ce stratagème. L’autorisation de réutilisation des données publiques tend en effet à devenir la norme.

Libérer des copies d’œuvres publiques détenues par le public ? surtout pas ! Le gouvernement prévoit donc un nouveau projet de loi pour changer tout ça : Les données culturelles publiques deviendraient une exception au principe de libre circulation, ouvrant même la porte à de potentielles droits exclusifs au profits de tiers pendant jusqu’à 10 ans (ah les fameux partenariats public-privé, qui dépossèdent le public au profit du privé et où o’ finit par payer deux fois la facture…)

Formidable idée où le public serait privée de la libre utilisation d’un copie numérique d’une œuvre culturelle du domaine public… à partir du moment où justement elle est détenue par une organisation publique (donc payée par nos impôts). On marche sur la tête. »

Via http://lehollandaisvolant.net/?id=20150808155236

« Le premier est de reconnaître publiquement la nécessité d'une surveillance du réseau, surveillance pratiquée déjà de longue date par les services concernés chez les opérateurs de réseau.

[ NLDR : Mais bien sûr, confirmons un choix de société fait sans consentement des citoyens au lieu de le remettre en question... C'est tellement plus simple... ]


Les caméras de surveillance ou les militaires en armes qui arpentent nos centres commerciaux ne sont pas spécialement agréables à supporter ; cependant, les mesures de sécurité mises en place permettent de susciter la confiance et ainsi de développer l'activité économique. Une évolution identique se produira dans le monde numérique, une meilleure sécurité favorisant le développement de la confiance et la croissance.

[ NDLR : Ha, business first... ]


Internet est aujourd'hui un outil de communication de masse ; les origines libertaires, voire libertariennes, qui ont favorisé son essor ne correspondent plus à son stade de développement actuel ni à son poids économique. Sa sécurité et l'inévitable surveillance qui en découle sont des enjeux essentiels qui doivent être pris en compte et, dans la mesure du possible, définis et contrôlés au niveau européen

[ NDLR : "c'était une autre époque, c'plus possible aujourd'hui" = baratin. J'en ai marre de me répéter donc : http://ecrans.liberation.fr/ecrans/2014/05/06/internet-les-heros-sont-fatigues_1011830 et http://shaarli.guiguishow.info/?OIc2rw ]. Mais oui pour que les autorités (services de renseignement et plus large) soient fortement encadrés au niveau européen. Pareil pour une màj des droits et libertés à l'heure du numérique au niveau européen. »

Via https://twitter.com/nkgl/status/629932723147304962

« Et même sans JS, il reste possible de le détecter en CSS : certains éléments (-moz-, -webkit-…) par exemple, ne sont exécutés que par certains navigateurs. Il suffit qu’on mette une URL dans la valeur de cet élément CSS — URL différente pour chaque navigateur — et le serveur peut savoir quel URL navigateur est utilisé.

Selon l’évolution des spéc CSS, il est même possible de trouver une fourchette de la version utilisée. »

Pour le PoC, c'est par ici : http://lehollandaisvolant.net/tout/examples/CSS-detection/

:)

Intéressant : un protocole qui floode (10 ms entre chaque "keepalive" par défaut avec BIRD) un ou plusieurs liens pour détecter rapidement une panne sur le lien (au sens logique, pas physique, multihop tout ça) entre deux routeurs, beaucoup plus rapidement que les procotocoles de routage : OSPF = environ 40 secondes ; BGP = 180 secondes ; BFD = < 1 seconde.

On utilise BFD en le raccrochant à un protocole de routage (BGP, OSPF,...). L'idée est de converger plus rapidement en cas de panne. Pourquoi ne pas réduire agresivement les timers des protocoles de routage au lieu d'utiliser un nouveau protocole ?
   * Car tous les protocoles de routage ne peuvent pas avoir des timers aussi agresifs que ce que permet BFD. Exemple : l'hold timer minimal en BGP est de 20 secondes ;

   * Séparation protocole de routage du protocole de vérification de la connectivité. Pas les mêmes objectifs, pas le même protocole, chacun son taff (ne faire qu'une chose mais le faire bien, tout ça, tout ça). Généricité. Le prochain protocole de routage n'aura pas à réimplémenter la détection d'erreur sur la connexion ;

   * BFD fonctionne partout où y'a de l'IP, même sur des protocoles qui n'ont pas la notion de détection de fail de la connectivité (Ethernet, MPLS, circuits virtuels,...) ;

   * Protocole léger, avec un état minimaliste et une charge utile légère contrairement aux protocoles de routage. La réduction des timers OSPF/BGP/autre nécessite de mettre en branle tout l'algo (sauf le recalcule des routes) comme maintenir les états... « The detection of network failures consumes most of the convergence time budget in typical designs » Russ White and Mosaddaq Turabi (both CCIE, CCDE and CCAr).

Pas de découverte automatique des voisins (OSPFv3 does), il faut config chaque routeur a la main.

Plusieurs modes sont disponibles :
   * asynchrone (chaque pair envoie un message BFD Control à intervalle régulier, le lien est déclaré mort au bout d'un délai sans avoir rien reçu (500 ms sous BIRD par défaut)) ;

   * On demand (on établit la session puis on envoie seulement quand on veut s'assurer que le pair est en vie) ;

   * En complément de ces deux modes (ce n'est pas un mode supplémentaire !), on a le mode echo qui permet de vérifier que le routeur d'en face est apte à faire du transfert de paquets (ça détecte des cas de pannes en plus, quoi) en vérifiant sa capacité à nous retourner le paquet qu'on lui envoie.

Pour le protocole et les ports : UDP/3784 (BFD control) et UDP/3785 (BFD echo) dans le mode connexion directe, UDP/4784 (BFD control) et UDP/4785 (BFD echo) pour le mode multihop.


BIRD dispose d'une implémentation partielle de ce protocole (http://bird.network.cz/?get_doc&f=bird-6.html#ss6.1)

Côté configuration :
protocol bfd bfd_test {
      neighbor 198.18.0.2 local 198.18.0.1;
}

Côté CLI :
bfd_test BFD      master   up     16:04:28    
 Preference:     0
 Input filter:   ACCEPT
 Output filter:  REJECT
 Routes:         0 imported, 0 exported, 0 preferred
 Route change stats:     received   rejected   filtered    ignored   accepted
   Import updates:              0          0          0          0          0
   Import withdraws:            0          0        ---          0          0
   Export updates:              0          0          0        ---          0
   Export withdraws:            0        ---        ---        ---          0

=> Oui, la CLI est vraiment pauvre en détail... Notamment, elle indique toujours « up » même quand ce n'est pas le cas... Mais ça va mieux avec la bonne commande :
sh bfd sessions
bfd_test:
IP address                Interface  State      Since       Interval  Timeout
169.16.0.2                gre        Down       18:11:17      1.000    0.000

Coté réseau (tshark) :
BFD Control message
   001. .... = Protocol Version: 1
   ...0 0000 = Diagnostic Code: No Diagnostic (0x00)
   11.. .... = Session State: Up (0x03)
   Message Flags: 0x00
       0... .. = Poll: Not set
       .0.. .. = Final: Not set
       ..0. .. = Control Plane Independent: Not set
       ...0 .. = Authentication Present: Not set
       .... 0. = Demand: Not set
       .... .0 = Multipoint: Not set
   Detect Time Multiplier: 5 (= 500 ms Detection time)
   Message Length: 24 bytes
   My Discriminator: 0x1305f4bb
   Your Discriminator: 0x063847cd
   Desired Min TX Interval:  100 ms (100000 us)
   Required Min RX Interval:   10 ms (10000 us)
   Required Min Echo Interval:    0 ms (0 us)


J'ai dit plus haut que BFD s'utilise en lien avec un protocole de routage. Faisons ça :
protocol bfd bfd_test {
      # options spécifiques
}

protocol bgp bgp_test {
      # config BGP classique
      bfd yes;
}


Quand le lien tombe, de manière quasi instantanée (< 1 seconde), on lit :
bgp_test BGP      master   start  16:11:21    Idle          Error: BFD session down


La remontée BGP est beaucoup plus longue, même si BFD revient très vite (en quelques secondes), puisqu'il faut attendre l'expiration de l'error_wait (240 secondes par défaut) sur les deux routeurs.

S'il s'agit d'un lien iBGP direct, ne pas oublier la directive de configuration « direct » de BIRD pour le lui indiquer sinon il enverra des paquets BFD Control multihop (et ça marche hein mais c'pas propre).

« Au quartier général de la DGSE, boulevard Mortier à Paris, la décision du Conseil constitutionnel a eu, jeudi, l’effet d’une bombe. En déclarant "contraire à la Constitution" l’article de la loi sur le renseignement pudiquement appelé "mesures de surveillance internationale", les Sages ont tout simplement rendu illégales la quasi totalité des écoutes réalisées par le service secret français depuis 2008.

[...]

Comme l’Obs le révélait dans son édition du 2 juillet, Nicolas Sarkozy a, en janvier 2008, autorisé la DGSE à lancer un vaste plan d’espionnage des communications transitant par les câbles sous-marins (alors que jusque-là le service n’écoutait que les satellites). Pour ce faire, le service français d’espionnage a investi des centaines de millions d’euros dans la construction de stations clandestines d’interception à Marseille, Penmarch ou Saint-Valery-en-Caux, dans l’achat de plusieurs supercalculateurs Cray installés dans les sous-sols du boulevard Mortier et dans l’embauche de centaines d’ingénieurs. Le tout avec l’aide d’Orange, l’opérateur des câbles, et d’Alcatel-Lucent. Comme nous le révélions également, François Hollande a poursuivi cet effort en donnant son feu vert à un nouveau plan de "branchement" de câbles.

[...]

En gros, selon une loi votée dix-sept ans auparavant, en 1991, la DGSE devait demander l’aval d’une commission indépendante, la CNCIS, pour chaque écoute opérée sur un câble. Mais, à l’époque, le législateur n’avait en tête que les bons vieux téléphones fixes. Entre-temps, on a déposé au fond des mers des centaines de câbles en fibres optiques par lesquels transitent des millions de communications, d’emails, de SMS… Un flux gigantesque que la DGSE n’entendait pas espionner au compte-gouttes.

[...]

Pour satisfaire l’appétit du service secret, l’équipe Sarkozy a décidé de contourner la loi de 1991, sans le dire. Comment ? En adoptant un décret secret. Et en avril 2008, François Fillon signe en catimini un texte dont nous avons révélé l’existence et les grandes lignes dans le même numéro du 2 juillet. La disposition principale de ce décret "secret défense" stipule que, pour le câble, la CNCIS ne sera pas consultée écoute par écoute, mais seulement pays par pays. D’après nos informations, elle a, ces dernières années, donné son feu pour une quarantaine de pays, y compris les Etats-Unis.

Or, par leur décision de jeudi, les Sages déclarent qu’un tel décret secret est anticonstitutionnel. Si bien que jusqu’à l’adoption d’un nouveau texte de loi qui agréera au Conseil, c’est la loi précédente, celle de 1991, qui s’applique. Autrement dit, depuis jeudi, la DGSE n’a pas le droit d’intercepter massivement les communications qui transitent par les câbles (c'est-à-dire plus de 90% d’entre elles) ; elle doit demander à Matignon et la CNCIS (rebaptisée CNCTR) l’autorisation pour chaque écoute réalisée sur un câble qui arrive en France. Le fait-elle ? Impossible de le savoir.

[...]

Ironie de l’histoire : c’est justement pour éviter un tel scénario-catastrophe que la DGSE a poussé le gouvernement Valls à légiférer sur les écoutes internationales et profiter de l’effet 11 janvier pour "légaliser" ses branchements de câbles. Le 24 mars, le patron du service, Bernard Bajolet, expliquait aux députés pourquoi, selon lui, il était urgent d’adopter une telle loi. Il faut, avait-il dit candidement, "combler le fossé qui s’est progressivement élargi entre les dispositions légales et l’évolution des techniques". Il ajoutait :
Nous sentions la nécessité de consolider le cadre [juridique], surtout depuis l’affaire Snowden."

Autrement dit, il redoutait publiquement qu’un lanceur d’alerte révèle à quel point les fondements juridiques des écoutes pratiquées par la DGSE étaient contestables. Ce que les Sages viennent de faire !

Que va-il se passer dans les mois qui viennent ? Il y a fort à parier que, dans le cadre de la lutte antiterroriste, l’Elysée et Matignon vont tout faire pour que la DGSE continue à "écouter" les câbles sous-marins. »

Via https://www.laquadrature.net/fr/nouvelobs-pourquoi-les-ecoutes-de-la-dgse-sont-illegales-depuis-sept-ans

« Dans sa décision du 23 juillet 2015, le Conseil constitutionnel a censuré l’une des dispositions phares de la loi sur le renseignement. C’est celle qui concerne les mesures de surveillance internationale, c’est-à-dire les communications émises ou reçues depuis l’étranger.

Pour mémoire, à cette échelle et contrairement aux mesures franco-françaises, les services auraient pu collecter des données sans avis préalable de l’organe de contrôle, la Commission nationale de contrôle des techniques de renseignement (CNCTR). Le Conseil constitutionnel a cependant censuré cette disposition, reprochant au législateur de ne pas avoir prévu « les conditions d'exploitation, de conservation et de destruction des renseignements collectés », ni défini la mise en œuvre du contrôle a posteriori de la CNCTR.

[...]

Sa missive prend appui sur un récent article du Nouvel Obs intitulé « pourquoi les écoutes de la DGSE sont illégales depuis sept ans ». Selon nos confrères, la censure du Conseil constitutionnel contamine un décret signé en avril 2008. Secret, ce texte n'a pas été publié au Journal officiel. « Par leur décision de jeudi, les Sages déclarent qu’un tel décret secret est anticonstitutionnel, affirme rapidement l’Obs. Si bien que jusqu’à l’adoption d’un nouveau texte de loi qui agréera au Conseil, c’est la loi précédente, celle de 1991, qui s’applique. Autrement dit, depuis jeudi, la DGSE n’a pas le droit d’intercepter massivement les communications qui transitent par les câbles (c'est-à-dire plus de 90 % d’entre elles) ; elle doit demander à Matignon et la CNCIS (rebaptisée CNCTR) l’autorisation pour chaque écoute réalisée sur un câble qui arrive en France. »

[...]

L’inquiétude née de cette loi est d’autant plus vive que la censure ouvre un important flou sur ce que peut ou ne peut désormais faire la Direction générale de la sécurité extérieure (DGSE). La loi sur le renseignement prévoit en effet toujours toute une série d’autres articles donnant pleine compétence aux services d’agir à l’échelle mondiale.

Par exemple, le nouvel article L 821-1 du Code de la sécurité intérieure dit que seule « la mise en œuvre sur le territoire national des techniques de recueil de renseignements (…) est soumise à autorisation préalable du Premier ministre, délivrée après avis de la Commission nationale de contrôle des techniques de renseignement ». La loi n'encadre donc plus rien au delà du territoire national. De même, l’article L 811-2 du même code prévient que les services spécialisés de renseignement « ont pour missions, en France et à l'étranger, la recherche, la collecte, l'exploitation et la mise à disposition du gouvernement des renseignements relatifs aux enjeux géopolitiques et stratégiques ainsi qu'aux menaces et aux risques susceptibles d'affecter la vie de la Nation ». Pire, l’article 18 de la loi dépénalise à l’international les actes de piratage informatique dont seraient coupables ces mêmes services, signe d'un joli feu vert... »

« L’objectif du mouvement OpenPower est simple : dupliquer le succès des compatibles PC, centrés sur des puces x86, dans le monde des serveurs, mais en se basant cette fois-ci sur des puces Power. IBM croit au succès de cette approche. À un point tel que la société a purement et simplement abandonné le marché des serveurs x86 pour se concentrer uniquement sur ses offres Power.

[...]

Reste que ses partenaires se montrent pour leur part plus frileux, les produits alternatifs à ceux de Big Blue tardant à arriver sur le marché. Et pourtant, le mouvement OpenPower adopte une approche très intéressante. Les serveurs s’axent autour de Linux, avec un BIOS Open Source et un design ‘clonable’, de la carte mère en allant jusqu’au processeur. Nous sommes ici en plein dans la mouvance Open Hardware.

[...]

À ce jour, 147 sociétés sont membres de la Fondation OpenPower, indique Brad McCredie. Plus de 1600 applications Linux fonctionnent sur cette plate-forme.

[...]

Du côté du hardware, les clones des puces d’IBM restent encore à l’état de projet. C’est donc du côté des serveurs qu’il faut aller chercher les premiers produits. Un seul acteur travaille activement – quoique lentement – à la mise au point de telles offres : Tyan. »

L'audience publique devant le Conseil constitutionnel concernant le recours de FDN/FFDN/LQDN. C'est intéressant à regarder pour comprendre le déroulement de telles auditions mais ça s'arrête là : chaque partie ne fait que reprendre les arguments développés au cours de la procédure. Rien de neuf à attendre, donc.

Quelques points intéressants :
    * Le représentant du gouvernement dit « aucune disposition ne permet à ces personnes [NDLR : les opérateurs] d'enregistrer le contenu des communications ». Or, le CPCE interdit expressément de taper dans le contenu. "Légère" nuance que le gouvernement méconnaît. :/

    * La différence faite entre hébergeurs/FSI et opérateurs tient si l'on suit les textes français mais pas les textes européens : les hébergeurs/FSI y sont assimilés aux opérateurs.

    * Les infos de contexte (date/heure, fréquence, durée,...) des communications avec mon avocat ne sont pas dignes d'être protégées alors qu'elles le sont AFK ! Les écoutes de Sarko et de son avocat qui avaient tant émues sont loin derrière, il faut croire. :(


Les deux points évoqués par P. Spinosi sont bien les deux seuls qui ont été portés au Conseil par les assos requérantes, voir : http://www.nextinpact.com/news/95335-qpc-sur-donnees-connexion-interview-benjamin-bayart.htm et http://blog.fdn.fr/?post/2015/04/15/Depot-d-une-QPC-sur-l-article-20-de-la-LPM.

Pour les gens qui pensent que c'est faible comme argumentaire :
     * Concernant l'argument « les termes sont mal définis » : un exemple tout bête, le « informations et documents » est crucial puisqu'il définit ce que les autorités peuvent réclamer. Si c'est trop vaste, les opérateurs sont livrés à une interprétation maximaliste future donc malsaine. Si c'est bien défini, ils savent ce qu'on doit collecter mais oui, ils seront tenus de le faire. Toute la loi renseignement est bâtie sur ça. Faut comprendre que là, on est dans une démarche de limitation de la casse, pas du débat de fond sur la construction de la société à l'heure du numérique : il est trop tard pour ça.

    * Pour l'argument concernant l'accès administratif portant sur des professions qui ont besoin du secret (journaliste, avocat) et pas le citoyen lambda :  C'est un début de remise en cause de l'accès administratif aux données de connexion et des acteurs qui peuvent y recourir. Je trouve ça dommage aussi mais arrivé à ce stade (décret d'application), ça veut dire qu'on a échoué au Parlement et donc on joue avec ce qu'on peut. Traduction : je pense qu'il était trop tard pour jouer sur le principe de "c'pas cool de recueillir tout sur tout le monde". ÉDIT DU 23/11/2015 : De plus, il s'agit de décisions de la CEDH. FIN DE L'ÉDIT.


Pour les personnes qui pensent que les réquérantes ne vont pas assez loin dans le dézingage de la conservation des / de l'accès aux données de connexion :

FFDN/LQDN/FDN attaquent la rétention des données de connexion dans une autre procédure en cours. En effet, la data retention a été rendue caduque en UE par un arrêt de la CJUE d'avril 2014 (Digital Rights Ireland) qui casse la directive 200624CE en argumentant que conserver systématiquement toutes les données sur tout le monde pendant X années, ce n'est pas proportionné. Durant de conservation doivent être courtes. Les transpositions directes de cette directive tombent automatiquement. C'est déjà le cas dans plusieurs États de l'EU. Sauf que la LCEN est antérieure et intouchable (2 mois pour contester des décrets d'application). Elle est conforme au droit européen sus-cité mais n'est pas une transposition donc la procédure est plus longue.

Un décret de 2011 (<http://www.legifrance.gouv.fr/affichTexte.do;jsessionid=?cidTexte=JORFTEXT000023646013&dateTexte=&oldAction=rechJO&categorieLien=id>) est la dernière réécriture en droit français de ce qu'est la rétention des données de connexion et l'accès administratif à ces données. C'est donc avec lui qu'il faut jouer.

Étape 1 : l'administration est tenue d'abroger les décrets illégaux (c'est un bout de jurisprudence). Il suffit donc de lui demander par courrier LRAR tout ça.

Étape 2 : en cas de refus (absence de réponse = refus), c'est une décision de l'administration attaquable devant le Conseil d'État qui pourra décider que le rejet du gouvernement est infondé puisqu'en désaccord avec l'arrêt de la CJUE et vlam la rétention des données de connexion. Au moins le temps que législateur et exécutif patchent ça (avec quelque chose de conforme à la décision de la CJEU, of course).

Pour résumer : l'attaque sur le décret d'application de l'article 20 de la LPM c'est pour refermer des portes sur l'interprétation de tournures floues. L'attaque en lien avec l'arrêt de la CJUE, c'est pour faire un nettoyage en profondeur de la rétention des données de connexion.


Pour une version plus pédagogique de tout ça, voir la conf' « French Data Network et autres c/ Gouvernement » à Pas Sage en Seine 2015.