« Le 8 avril, TV5 monde a été victime d’un piratage. La chaine a cessé d’émettre, ses réseaux sociaux ont été piratés et son site web rendu indisponible. Un groupe du nom de « cyber caliphate », apparemment pro-Daesh, a revendiqué l’attaque. Le lendemain, pas moins de trois ministres (link is external), Bernard Cazeneuve, Laurent Fabius, et Fleur Pellerin, se sont déplacés dans les locaux de la chaîne pour apporter leur soutien aux équipes.

[...]

Le groupe « cyber caliphate », qui revendique l’attaque sur son site (sache qu’en cliquant sur ce lien, tu t’exposes à être signalé par les “boîtes noires” du gouvernement censées traquer les terroristes ) a aussi diffusé « des documents présentés comme des pièces d’identité et des CV de proches de soldats français impliqués dans les opérations contre l’Etat islamique. »

[...]

Contrairement aux assertions des cybers califes, on n’y trouve aucun document classé secret défense. Pêle-mêle : il y a le règlement intérieur d’une mairie, des annonces d’emploi pour des services municipaux, des extraits de budgets ou des fiches d’inscription à des activités de loisir. Ces documents ont été probablement récupérés en piratant des systèmes mal protégés (Google est magique pour faire ce genre de choses (link is external)) et présentés comme top secret pour impressionner. De quoi donner une sacrée aura à nos cyber-djihadistes.

Détail amusant, parmi ces documents, on trouve une photo d’une dame d’un certain âge, nue, dans les bois, brandissant une arbalète (link is external). Plutôt étonnant pour des gens se revendiquant d’un mouvement religieux extrémiste qui interdit aux femmes de montrer plus que leurs yeux.

[...]

Si l’on en croit les déclarations assez confuses de l’équipe de TV5 Monde, ce serait la chaîne elle-même qui aurait décidé de couper la diffusion et de mettre son site web en carafe afin d’éviter une infection plus importante de son réseau. Il est donc très probable que les pirates aient vraiment réussi à s’introduire dans le réseau de TV5 Monde. Décelant des anomalies réseaux, l’équipe technique a pris la décision de couper celui-ci.

[...]

Et là j’en viens à TV5 Monde. Couper son réseau pour interrompre une attaque, c’est un peu comme se couper une jambe pour soigner un ongle incarné. C’est une solution radicale. Peut-être que les équipes techniques ont sur-réagi, et ce serait le moins pire des scénarios. Dans le cas contraire, cela signifierait que le réseau de TV5 Monde n’est pas compartimenté et ça, c’est très mal. N’importe quel ingénieur réseau vous expliquera qu’il est inutile, voire dangereux, de connecter des machines et des fonctions qui n’ont aucun rapport entre elles. En gros, si j’arrive à prendre le contrôle de la machine à café, celle-ci étant sur le même réseau que le serveur de mail, je peux non seulement changer le nombre de sucrettes dans les cafés mais je peux aussi lire les mails de tout le monde.

Il semblerait que les bonnes pratiques en matière de sécurité ne soient pas vraiment la spécialité de TV5 Monde. Le 9 avril, le lendemain de la « cyber attaque », un reportage du JT de 13h de France 2 dans les locaux de la chaîne montre certains des mots de passe des comptes de TV5, affichés sur une simple feuille A4 derrière le journaliste interviewé. Celui de YouTube était d’ailleurs « lemotdepassedeyoutube », un mot de passe assez peu résistant à une attaque par dictionnaire (link is external)…

Ce genre de pratique jette un nouvel éclairage sur « l’exploit » technique des cybers califes.

[...]

Il est quand même fort probable qu’on ait ici affaire à quelques ados malins et un peu dérangés plutôt qu’à de vrais experts acquis à la cause de Daesh. Le texte du communiqué des cybers califes vient mettre encore un peu plus de plomb dans l’aile de la thèse de super hackers planqués au fin fond du désert à la solde de Daesh. Ainsi que l’a expliqué le journaliste de France 24 (link is external) Wassim Nasr à Arrêt sur images : « celui qui a écrit le communiqué n’a pas pour langue maternelle l’arabe. Il y a trop de fautes. » En plus des problèmes de syntaxe, explique-t-il, l’auteur du texte ne « connait pas les bases de la religion musulmane. » »

Via http://seenthis.net/messages/367769

« Dans le premier cas, l'idée est mauvaise : les résolveurs d'OpenDNS sont également des menteurs. Si OpenDNS a supprimé les mensonges en cas de noms non existents, ils continuent à changer les réponses « pour des raisons de sécurité ». [...] OpenDNS affirme protéger l'utilisateur de la pornographie et du malware en mentant sur les réponses DNS, même lorsque le nom de domaine existe. (Ce qui entraîne de sérieux risques de surblocage.) [...] À noter que ces mécanismes de mensonge sur les réponses DNS sont également débrayables si on se crée un compte (gratuit) chez OpenDNS avant d'indiquer ses adresses IP et de décocher la case qui va bien.

[...]

Eh bien non, si on mesure soi-même au lieu de répéter ce que disent les moutons, on s'aperçoit qu'OpenDNS est toujours plus lent que les serveurs DNS de votre réseau local ou de votre FAI. Comme le note seizurebattlerobot lors d'une discussion sur Slashdot, c'est logique, « Despite their claims to the contrary, OpenDNS's servers are likely farther away from you than your local ISP's. ».

[...]

Enfin, il y a ce qu'OpenDNS ne dit pas : puisque l'usage de leurs résolveurs est gratuit, quel est leur modèle d'affaires ? Simplement vendre l'information qu'ils ont récolté sur vous. Comme le note encore seizurebattlerobot sur Slashdot, en juillet 2009 : «  They also keep permanent logs of all queries, which could be subpoenaed by a government entity. Their joke of a privacy policy allows them to sell your logs to "Affiliated Businesses", which pretty much means anybody. Not that it really matters - they could amend their privacy policy tomorrow morning and be selling your info by the afternoon. ». Un résolveur DNS reçoit énormément d'informations sur ce que font ses clients (et je sais de quoi je parle, grâce à des systèmes comme DNSmezzo).

[...]

Une autre solution est d'avoir un résolveur DNS local sur sa machine ou son réseau. Cela peut sembler une solution très geek mais c'est plus simple que ça n'en a l'air. [...] Certaines personnes peuvent s'inquiéter à cette idée d'un résolveur sur chaque machine (ou en tout cas sur chaque petit réseau), en raison de la charge supplémentaire que cela imposera aux serveurs de la racine ainsi qu'à ceux des domaines de tête. Sans le partage des informations dans les grands caches des résolveurs DNS des FAI, les serveurs de la racine tiendront-ils le coup ? C'est en raison de cette question que je ne conseille pas d'installer son résolveur à soi sans une bonne raison. Dans le futur, il est possible qu'on n'aie plus le choix, si on veut un service DNS correct. Et, à ce moment, on verra bien. Lors de réunions d'experts comme à l'OARC, les opérateurs des serveurs racine ont toujours déclaré qu'ils n'étaient pas inquiets sur ce point.

[...]

La dernière solution est d'utiliser un concurrent d'OpenDNS. La plupart utilisent les mêmes méthodes et ont des résolveurs tout aussi menteurs. C'est le cas de Comodo, de Scrubit ou de Neustar/Advantage. À défaut de tout, les utiliser permet d'éviter la constitution d'un monopole d'OpenDNS. Mais il existe aujourd'hui un service de résolveur ouvert honnête, c'est Google DNS et c'est donc une possibilité intéressante.

[ NDLR : ok, Google public DNS ne mentent pas, il y a des gens sérieux derrière pour faire le suivi, notamment pour les requêtes de flush/flushtree et assumer les problèmes bizarres et rigolos, surtout avec DNSSEC. Mais quid de la confidentialtié ? Quid de la concentration chez un même acteur (DNS, mail, vidéo, recherche sur le web, ...) ? Quid si, comme d'autres services, Google ferme public DNS demain ? Les geeks qui ont poussé 8.8.8.8 partout chez Mme et M. ToutLeMonde vont-ils s'en souvenir et assurer le service ? Je n'en suis pas convaincu. ]

[...]

Je laisse la conclusion à, à nouveau, seizurebattlerobot : « I think many people read the "Open" part of the OpenDNS name and turn their brains off. » »

Dommage de ne pas avoir évoqué les récursifs DNS ouverts mis en place par des FAI associatifs : http://www.diyisp.org/dokuwiki/doku.php?id=technical:dnsresolver . Avoir un récursif local qui forward les requêtes à un tel récursif, c'est avoir rapidité (on reste en local une fois la réponse en cache), sécurité (valdiation DNSSEC locale) et honnêteté sans pour autant augmenter la charge sur les serveurs qui font autorité. Pour peu que tu sois abonné VPN/ADSL chez ce FAI, t'as aussi la confidentialité (jusqu'au récursif uniquement, en attendant qname minimisation, on est d'accord).

"Ainsi commence le fascisme. Il ne dit jamais son nom, il rampe, il flotte, quand il montre le bout de son nez, on dit : C'est lui ? Vous croyez ? Il ne faut rien exagérer ! Et puis un jour on le prend dans la gueule et il est trop tard pour l'expulser."
Françoise Giroud - 1916 - 2003

« Autre point qui est symptomatique des différences entre les deux mondes :

    Les services de renseignement disent qu’il n’y a surveillance que si un humain en espionne un autre

Dans ce contexte, la surveillance de masse par les boîtes noires n’est que de la collecte automatisée pour eux et justifie tout à fait leurs déclarations.

Donc les boîtes noires, pour extraire les métadonnées utilisables par les SR vont forcément faire du DPI. Et ne présenter que ces metadonnées dans un format utilisable par les SR. Et l’intégralité de ces métadonnées — nécessaires pour une analyse hors-ligne dans le temps — sera forcément lue, interprêtée et surtout stockée… 4

Pire, pour le trafic chiffré, il sera conservé tant qu’il n’aura pas été décrypté (soit par cassage du système de chiffrement soit par obtention de la clé par d’autres méthodes 5).

Quant à l’affirmation dans la loi même de la non surveillance des professions dites protégées comme les journalistes, les avocats voire les parlementaires eux-mêmes, elle ne tient pas très longtemps non plus : pour les reconnaitre, il faudra bien extraire ces informations avant de pouvoir décider de ne pas les conserver (sans blague, qui y croit encore ?). Il sera donc trop tard…

Sans parler bien évidemment de l’accès qu’ils pourront avoir chez les fournisseurs d’accès/hébergeurs au travers de l’équivalent français de PRISM et qui permet de compléter les informations et les croiser. Trop parano ? Peut-être. Ou pas.

L’exemple le plus concret nous a été fourni par François de Rugy 6 lui-même sur Twitter il y a deux jours ; un utilisateur a reçu par courrier électronique une réponse du député, au format Word et a été voir le fichier attaché :

    Livrer en pâture le nom d’un salarié parce qu’on combat son patron : éthique du net, vie privée, toussa toussa… ?
    @FdeRugy twitter.com/FdeRugy/status/…

Le nom de son assistant parlementaire est stocké dans les métadonnées du fichier Word, donnée qui ne peut être connue qu’en allant le lire. CQFD. »

« Crypto-PAn is a  cyrptography-based sanitization tool for network trace owners to anonymize the IP addresses in their traces in a prefix-preserving manner.  Crypto-PAn has the following properties:

    One-to-one  The mapping from original IP addresses to anonymized IP addresses is one-to-one.

    Prefix-preserving    In  Cyrpto-PAn, the IP address anonymization is prefix-preserving. That is, if two original IP addresses share a k-bit  prefix, their anonymized mappings will also share a  k-bit prefix.

    Consistent across traces Crypto-PAn allows multiple traces to be sanitized in a consistent way, over time and across locations.  That is, the same IP address in different traces is anonymized to the same address, even though the traces might be sanitized separately at different time and/or at different locations.

    Cryptography-based    To sanitize traces, trace owners provide Crypto-PAn a secret key.  Anonymization consistency across multiple traces  is achieved by the use of the same key.  The construction of Crypto-PAn preserves the secrecy of the key and the (pseudo)randomness of the mapping from an original IP address to its anonymized counterpart. »

Rapport de la Commission d'enquête sur l'organisation et les moyens de la lutte contre les réseaux djihadistes en France et en Europe :

« Proposition n° 33 : Compléter l'article 421-2-5 du code pénal afin que la copie et la diffusion intentionnelle de contenus figurant sur la liste mentionnée à l'alinéa 2 de l'article 6-1 de la loi pour la confiance dans l'économie numérique (LCEN) soient punies des mêmes peines que la provocation à des actes de terrorisme en utilisant un service de communication au public en ligne, lorsque la copie et la diffusion de ces contenus ne répondent pas à un objectif légitime.

[NDLR : le décorticage du discours d'une ponte de l'EI par islamic-news.info ça n'a pas été vu comme étant un objectif louable et souhaitable alors bon payes ta tournure de phrase vague qui va encore permettre de faire n'importe quoi en ratissant large. ]

Proposition n° 35 : Imposer aux acteurs d'Internet de permettre aux internautes de signaler des messages contraires à la loi en un seul clic.

[NDLR : web != Internet. Et c'est valable pour d'autres points de ce rapport. ]

Proposition n° 36 : Supprimer le dispositif pénal figurant au 4. du I de l'article 6 de la loi pour la confiance dans l'économie numérique (LCEN) réprimant les signalements abusifs.

[NDLR : NON, juste NON. Pour info, ce morceau de texte législatif énonce : « Le fait, pour toute personne, de présenter aux [hébergeurs du site] un contenu ou une activité comme étant illicite dans le but d’en obtenir le retrait ou d’en faire cesser la diffusion, alors qu’elle sait cette information inexacte, est puni d’une peine d’un an d’emprisonnement et de 15 000 EUR d’amende. ». ]

Depuis 2004, de nouveaux acteurs ont émergé sur Internet, prenant une importance parfois considérable, tels que les réseaux sociaux, les moteurs de recherche ou les annuaires en ligne. Or, par définition, la LCEN ne les évoque pas. La jurisprudence a apporté des réponses ponctuelles, en rattachant les nouveaux acteurs aux catégories existantes de la LCEN : ainsi, un site de réseau social a été assimilé à un hébergeur254(*). Toutefois, ces assimilations peuvent être inadaptées, d'autant que les nouveaux acteurs exercent souvent plusieurs activités différentes.
Proposition n° 37 : Intégrer l'ensemble des acteurs d'Internet dans la LCEN.

Proposition n° 38 : Alourdir significativement les peines d'amendes encourues en cas de violation des obligations de la LCEN.

Par ailleurs, les révélations d'Edward Snowden ont conduit les différents opérateurs à étudier le recours à des techniques de chiffrement améliorées, l'objectif étant à terme de mettre en oeuvre des dispositifs sur lesquels ces sociétés elles-mêmes n'auraient pas la main, afin de ne pas pouvoir matériellement répondre aux exigences des autorités publiques leur demandant une mise à disposition des contenus.
Proposition n° 39 : Imposer aux acteurs d'Internet soumis à des obligations de transmission ou de coopération la fourniture de données décryptées.

Proposition n° 41 : Inciter les opérateurs à instaurer des sanctions graduées au sein de leurs plateformes, allant du message privé de mise en garde à la fermeture définitive du compte. Rendre possible des actions de contre-discours dans le cadre de ce processus.

[ NDLR : ha, l'Internet polissé avec une censure et une police de droit privée légitimitées par la loi, le tout autoimatisé (car sinon ça ne passe pas à l'échelle, cf robocopyright sur youtube), ça donne envie... ] »

Dans la catégorie "l'espoir fait vivre, essayons d'entraîner les autres dans notre connerie" :
« Proposition n° 40 : Faire appliquer à tout prestataire, même étranger, ayant une activité secondaire en France ou y fournissant des services gratuits, les obligations prévues par la LCEN, d'une part, et le code des postes et des communications électroniques, d'autre part.
Proposition n° 42 : La France doit engager des coopérations internationales afin de lutter contre les « cyberparadis », en définissant une « liste grise » des pays partiellement coopératifs et une « liste noire » des pays non-coopératifs. »

Conclusion : ils ne s'arrêtent jamais. On ne sortira pas de cette spirale répressive... On enchaîne les textes de loi liberticides les uns après les autres, à une vitesse incroyable... C'est une guerre d'usure... Je suis fatigué...

Notons que les propositions qui n'ont rien à voir avec le numérique ne valent pas mieux... « Favoriser la construction d'un islam de France [NDLR : le nouveau "bon nègre" cf http://www.lemonde.fr/afrique/article/2015/01/16/le-musulman-modere-une-version-actualisee-du-bon-negre_4557616_3212.html ] [...] Développer l'enseignement laïque du fait religieux dans le cadre scolaire  [...] Donner aux services de renseignement davantage de moyens d'agir contre le terrorisme [...] MIEUX CONTRÔLER LES FRONTIÈRES DE L'UNION EUROPÉENNE. »

Et comme d'hab, on est dans la peur, l'émotionnel : « L'ÉTAT DES LIEUX : UNE CRISE SANS PRÉCÉDENT »

Via : https://twitter.com/Numendil/status/597502088969596928

« Monsieur le Député,

Je fais suite à mes mails « À propos du projet de loi relatif au renseignement » des 01/04/2015, 12/04/2015 et 03/05/2015.

Vous avez choisi de voter en faveur du projet de loi relatif au renseignement le 5 mai dernier. Je déplore ce choix et je ne comprends pas comment un texte aussi liberticide, déséquilibré et disproportionné vis-à-vis des objectifs affichés par le gouvernement a pu être adopté dans notre Assemblée. L'adoption de ce texte m'attriste au plus haut point.

Au vu de la forte mobilisation contre ce texte, vous ne pourrez pas dire que vous ne saviez pas. Vous ne pourrez pas dire que ce texte est technique alors qu'au-delà des quelques notions techniques explicitées très tôt par les médias et les opposants, on parle de concepts simples et bien-connus depuis plusieurs siècles comme la séparation des pouvoirs et la nécessité de contre-pouvoirs dans une démocratie, le droit à la vie privée, le droit à la sûreté et donc à de solides garanties et à des recours concrets pour l'ensemble des citoyens.

Tout comme aux USA ou dans l'Affaire des écoutes de l'Élysée, je constate avec désolation que le mot "antiterrorisme" fait perdre la raison et octroie tous les droits à l'exécutif. Les terroristes ont gagné : nos représentants ont peur et tuent la liberté sans apporter la sacro-sainte sécurité.

En ce qui me concerne, ce vote renforce ma défiance vis-à-vis de nos représentants élus dont 438 d'entre eux (dont vous faites partie) viennent d'agir très clairement dans ce qui me semble être le sens opposé à l'intérêt général dans une démocratie saine.

J'espère que vous ne comptez pas trop sur l'article L. 821-7 pour vous "sauver" : dans la surveillance de masse, pour faire la différence entre un parlementaire, un journaliste ou autre, il faut avoir collecté les données au préalable puis les avoir analysées et croisées avec l'identité d'une personne. Seulement ensuite on peut savoir que cette personne fait partie d'une profession "épargnée". De plus, le Premier ministre peut toujours ignorer l'avis de la CNCTR réunie. De même, les affaires type Sarkozy/Squarcini dans l'Affaire Woerth-Bettencourt ont encore de beaux jours devant elles.

En tant que citoyen, je ne me reconnais pas du tout dans ce texte de loi et je continuerai à m'y opposer jusqu'à ce que tous les recours aient été épuisés (Sénat, Conseil constitutionnel, Cour européenne des droits de l'homme, QPC, ...). Ce texte ne sera pas voté en mon nom, je n'en assumerai pas les conséquences. J'espère que votre conscience sera toujours paisible et en paix.

Cordialement. »

Je remarque que M. Cavard a changé d'avis entretemps et a voté en faveur du projet de loi renseignement. :(

Excellent travail de recherche dans la jurisprudence EU pour vérifier les propos de Cazeneuve qui s'appuie sur cette jurisprudence depuis le début pour faire passer ses pires saloperies. À lire absolument.

« Bernard Cazeneuve s'est donc montré plus prudent dans un nouvel argumentaire publié vendredi dernier, cette fois-ci concentré sur le rôle de garde-fou que remplirait avec soin la nouvelle Commission nationale de contrôle des techniques de renseignement (CNCTR). "L’ensemble des techniques de renseignement fait l’objet d’autorisations personnalisées, à l’exception d’une technique qui est la surveillance sur données anonymes, qui par définition est une technique de détection", écrit-il en évoquant les boîtes noires, avant d'assurer que "la CEDH admet la possibilité de la mise en place d’une telle surveillance" et que "les garanties qu’apporte le projet de loi renseignement sont parfaitement conformes à la jurisprudence de la CEDH".

Or cette fois-ci, pas de note de bas de page. Chat échaudé craint l'eau froide. Il nous a donc fallu travailler un peu plus longuement pour ré-étudier le droit européen et nous assurer qu'aucune jurisprudence de la Cour ne donnait raison à Bernard Cazeneuve.

Sans vouloir trahir le suspense, nous n'avons rien trouvé qui permette d'affirmer avec Bernard Cazeneuve que les boîtes noires seraient conformes à la jurisprudence de la CEDH (qui ne s'est jamais prononcée sur un tel dispositif de "détection de suspects") et nous avons même trouvé de solides arguments pour affirmer le contraire.

[...]

Tout d'abord, il faut savoir que l'arrêt de référence de la Cour européenne en matière de mises sous surveillance par la police est l'affaire Klaas et autres c. Allemagne, qui remonte à 1978. D'une étonnante actualité près de quarante ans plus tard, cette affaire avait permis à la CEDH d'examiner la légalité de méthodes de renseignement dans un contexte de "progrès techniques réalisés en matière d’espionnage et parallèlement de surveillance (et) en second lieu, le développement du terrorisme en Europe au cours des dernières années". Tout en reconnaissant aux États un "certain pouvoir discrétionnaire" dans l'élaboration des lois sur le renseignement, elle prévenait que les pays adhérant à la Convention européenne "ne disposent pas pour autant d'une latitude illimitée", car elle était "consciente du danger, inhérent à pareille loi, de saper, voire de détruire, la démocratie au motif de la défendre".

Dans cette affaire, la CEDH avait validé la loi de l'Allemagne de l'ouest, après avoir vérifié "l’existence de garanties adéquates et suffisantes contre les abus".  Dit autrement, comme la CEDH l'avait elle-même résumé, "la législation incriminée n’autorise pas une surveillance dite exploratoire ou générale".

Or aucune de ces trois conditions n'est réunie par le projet de loi Renseignement français, dont les boîtes noires collecteront les données de tout le monde (au minimum certains services pour établir les traitements statistiques permettant ensuite de dégager plus précisément quelques uns d'entre eux pour une surveillance plus étroite), seront installées même s'il est possible de détecter les suspects par d'autres moyens, et ne viseront bien sûr pas que les suspects ou leurs proches, puisque les boîtes noires visent à les identifier.

[...]

Autre temps, autres moeurs, diraient aujourd'hui les responsables politiques. Dans cette affaire Kruslin c. France (identique à Huvig c. France rendue le même jour), la Cour européenne avait sanctionné l'absence d'encadrement législatif des écoutes téléphoniques, qui avait permis nombre de dérives. C'est la perspective de cette condamnation inévitable qui avait permis d'adopter très vite, dès 1991, la loi sur l'encadrement des interceptions de sécurité, qui créait la fameuse Commission nationale de contrôle des interceptions de sécurité (CNCIS) que fait disparaître la loi Renseignement au profit de la CNCTR.

A cette occasion, la CEDH avait énoncé une forme de canevas de ce que devrait au minimum respecter une loi sur les écoutes judiciaires. Sans entrer dans tous les détails (lisez le point 35 de l'arrêt si ça vous intéresse), notons simplement qu'elle exigeait notamment que le juge fixe "une limite à la durée de l’exécution de la mesure". Sur le papier, la loi Renseignement respecte cette préconisation puisqu'elle prévoit que les boîtes noires soient installées pour 4 mois, mais avec des reconductions possibles ad vitam eternam. Dans l'affaire Kruslin, le fait d'imposer une durée limitée visait à poser des bornes à l'écoute d'une personne en particulier, et permettait de dire que si au bout d'un certain nombre de mois toujours aucun élément compromettant ne surgissait des transcriptions des appels, il fallait arrêter l'intrusion dans la vie privée. Mais le mécanisme du projet de loi Renseignement ne vise personne en particulier, et il sera possible de continuer à écouter tout le monde tant qu'au moins un suspect aura été découvert de temps en temps grâce aux algorithmes. Le cadre fixé par Kruslin ne tient plus et le Gouvernement le sait très bien puisqu'il n'avait même pas prévu de durée dans le projet de loi initial.

[...]

AFFAIRE MALONE C. ROYAUME-UNI (1983) : L'EXIGENCE DE CLARTÉ
A cette occasion la Cour jugeait que le droit anglais et gallois de l'époque était "à tout le moins, assez obscur et sujet à des analyses divergentes".
A cet égard, notons que dans l'affaire Prado Bugallo c. Espagne (2003) la CEDH a jugé trop imprécise la loi espagnole qui autorisait les mises sous écoutes sur décision d'un juge d'instruction "s’il existe des indices donnant à penser que l’on pourra obtenir par ce moyen la découverte ou la vérification de faits ou circonstances importants pour la procédure".

[...]

 AFFAIRE S. ET MARPER C. ROYAUME-UNI (2008) : LA COLLECTE DE DONNÉES INUTILISÉES N'EST PAS UNE EXCUSE

Enfin et même si l'on pourrait continuer l'analyse juridique plus loin, citons l'affaire S. et Marper c. Royaume-Uni, en apparence éloignée de notre sujet puisqu'elle concernait la collecte de données biométriques, mais en réalité proche.

La Cour y jugeait en effet que "le simple fait de mémoriser des données relatives à la vie privée d’un individu constitue une ingérence au sens de l’article 8" de la Convention européenne des droits de l'homme, "peu importe que les informations mémorisées soient ou non utilisées par la suite".

Or c'est exactement ce que prévoient les boîtes noires, en collectant l'activité des individus sur internet, sous prétexte que les données seraient "anonymes", ce que même le Gouvernement a reconnu être faux lors des débats. Les données ne sont pas anonymes, elles ne sont simplement pas explicitement reliées à l'identité de l'internaute concerné jusqu'à ce que l'algorithme suggère aux autorités de le faire. Mais comme nous l'avions vu dans notre précédent article sur la jurisprudence européenne, il importe peu à la jurisprudence européenne de savoir que les données soient liées ou non à l'identité de la personne qui fait l'objet d'une surveillance. C'est le principe-même de la collecte des données qui pose problème. »

« C'est par sa révélation en juin 2013 que l'affaire Snowden avait commencé. La justice américaine a jugé jeudi en appel que le programme de collecte massive des métadonnées téléphoniques mis en place par la NSA aux Etats-Unis était illégal [...]

Applaudi par l'ACLU (American of Civil Liberties Union) qui avait porté plainte dès juillet 2013, le jugement (.pdf) de près d'une centaine de pages ne s'appuie qu'à la marge sur la violation des droits constitutionnels pour sanctionner la mise sous surveillance millions d'Américains. Pour s'opposer à la décision de première instance qui avait donné raison à la NSA, la Cour d'appel estime plus simplement que l'article 215 du Patriot Act sur lequel la NSA se fondait pour justifier son programme de collecte ne l'autorisait pas à collecter de telles données à une telle échelle.

[...]

C'est donc une victoire dont se félicite fort logiquement l'ACLU, qui fait reconnaître que la loi posait des limites aux prérogatives de la NSA, et que ces lois ont été outrepassées par les services de renseignement. L'on peut d'ailleurs noter que c'est un tribunal spécial, la Foreign Intelligence Surveillance Court (FISA), qui avait en charge de contrôler la légalité des ordres faits aux opérateurs, ce qu'elle a visiblement mal fait — ce qui doit mettre à nouveau en perspective les fausses promesses de garde-fou de la loi Renseignement en France, qui met en place un système proche de la FISA avec la CNCTR. »

Excellente analyse, à lire.

Les principales "faux" viennent de la différence entre ce qui est écrit dans la loi même après le passage de l'amendement bidon du gouvernement et ce qui a été promis aux hébergeurs, ce qui sera précisé dans les décrets d'application auxquels ne croit pas, à juste titre, Numerama : un décret ça dépend (encore une fois dans ce projet de loi) de l'exécutif donc ça se change sans passage par le pouvoir législatif. ;)

« 1. "La loi (au sujet des boîtes noires) s’applique uniquement dans le cadre de la lutte antiterroriste. Elle ne peut pas être appliquée pour d’autres cas, par exemple l’activisme politique"

Le texte du projet de loi adopté par les députés dit effectivement que les boîtes noires ne peuvent être ordonnées que "pour les seuls besoins de la prévention du terrorisme". Les six autres critères permettant aux services de renseignement de glaner des informations sont exclus du dispositif. Mais encore faut-il savoir ce qu'est la "prévention du terrorisme".

[...]

"Les demandes doivent être ciblées et précises. (...) Par exemple, on doit nous préciser l'IP ou l'e-mail qui doit être écouté"

Absolument rien dans le texte de la loi ne dit que les demandes doivent être "ciblées et précises". L'article 2 de la loi dispose que le Premier ministre peut imposer aux FAI et hébergeurs "la mise en oeuvre sur leurs réseaux d'un dispositif destiné à détecter une menace terroriste sur la base de traitements automatisés". Il précise que l'ordre doit préciser "le champ technique de la mise en oeuvre" de l'algorithme, et respecter le "principe de proportionnalité", mais ce n'est pas là un langage suffisant pour dire que la collecte sera "ciblée et précise". En tout état de cause, absolument rien ne permet de dire que l'Etat devra préciser par exemple l'adresse IP d'un serveur sous surveillance, ou une adresse e-mail. Ce sont là des explications fournies lors d'une réunion avec les services de l'Etat, mais ce ne sont pas des promesses retranscrites dans la loi.

[...]

"la demande ne peut pas porter sur le contenu des communications elles-mêmes. Si la demande concerne une IP, les métadonnées consistent en une liste des IP qui se sont connectées sur l’IP écoutée. Si la demande est une boîte d’e-mail, les métadonnées sont une liste des adresses e-mails qui ont communiqué avec la boîte e-mail écoutée"

Là, c'est à la fois vrai et faux. C'est vrai que les boîtes noires n'auront en principe accès qu'aux données de connexion et autres métadonnées, et pas au contenu lui-même. Est-ce rassurant ? Absolument pas, tant les métadonnées peuvent être plus intéressantes que le contenu d'une communication. Par ailleurs, c'est un grand "si", lorsque OVH dit que "si la demande concerne une IP, les métadonnées consistent en une liste des IP qui se sont connectées". Ce n'est pas du tout ce que dit la loi, et ce n'est pas non plus ce qu'a expliqué le gouvernement lors des débats. Il s'agit de croiser différentes informations pour dégager ceux dont le comportement général a des caractéristiques identiques à celles identifiées chez des terroristes en puissance. "On sait quels sont leurs comportements et on sait, par conséquent que, par la mobilisation de techniques ciblées, il est possible de prévenir leurs actes en regardant sur internet la manière dont ils se comportent", avait expliqué Bernard Cazeneuve.

[...]

"la récupération des métadonnées doit être assurée par l’hébergeur lui-même. Il n’y a donc ni intervention d’une personne extérieure ni installation de boîtes noires au sein de datacentres"

Là encore il s'agit de promesses du gouvernement, mais pas exactement de ce que dit la loi. OVH fait référence implicitement à la disposition ajoutée au cours des débats, qui prévoit que les boîtes noires devront être installées par eux. Mais l'article précise qu'elles doivent l'être dans les conditions fixées par l'actuel article L242-9 du code de la sécurité intérieure, lequel dit que les opérations ne peuvent être effectuées "que sur ordre du ministre chargé des communications électroniques". Rien ne dit que les hébergeurs sont maîtres des flux entrants et sortants. En tout état de cause, l'hébergeur doit suivre les instructions qui lui sont données sous le sceau du secret défense.

[...]

"L’exécution de la demande ne relève plus du cadre de l’urgence, c’est-à-dire qu’elle doit passer par une commission de contrôle qui doit donner son avis au préalable"

C'est effectivement une précision ajoutée lors des débats. Aucune boîte noire ne pourra être installée sans l'avis préalable (consultatif et non impératif) de la Commission nationale de contrôle des techniques de renseignement. Celle-ci aura-t-elle la pleine compréhension de ce que feront les algorithmes censés détecter les suspects ? Un des membres de la CNCTR sera désigné par l'Arcep, et il a été promis que des ingénieurs télécoms seraient recrutés pour l'épauler dans cette difficile mission de contrôle.

[...]

"Pour nos clients hébergement français et étrangers, il n’y a pas de changements, sauf si le client a une activité terroriste"

OVH part du principe que les boîtes noires seront filtrées en amont pour ne collecter que les communications à destination de clients déjà connus des services de renseignement, qui hébergent leur site terroriste ou leur adresse e-mail chez OVH. On ne reviendra pas sur le fait que la loi ne dit pas cela. Partons juste du principe que ce soit effectivement le cas. Est-ce que Islamic News, qui était hébergé chez OVH et a été bloqué pour "apologie du terrorisme" (mais en réalité pour ses opinions politiques dérangeantes), avait une "activité terroriste" ? Certainement pas. Et pourtant c'est bien l'intention du gouvernement, explicitée comme telle lors des débats parlementaires, que de regarder qui regarde et diffuse quelles propagandes sur internet.

Enfin il est intéressant d'apprendre à cette occasion qu'OVH laissera des clients avoir une "activité terroriste" sur ses services, en toute connaissance de cause, pour permettre aux services de renseignement de les espionner. OVH devra-t-il demander l'autorisation à la DGSI avant de fermer un site qui ferait explicitement l'apologie d'attentats ? »

Petit rappel de prog' Java :
« For reference types, == checks whether the references are equal, i.e. whether they point to the same object.

For primitive types, == checks whether the values are equal.

java.lang.Integer is a reference type. int is a primitive type.

Edit: If one operand is of primitive type, and the other of a reference type that unboxes to a suitable primitive type, == will compare values, not references. »

Comparer deux String : .equals()
Comparer deux Integer ou deux Long : .equals()
Comparer deux int ou deux long : ==
Comparer un Integer ou Long avec un int ou un long : ==

C'est parfois beaucoup plus fourbe que ça :
Map<Long, String> test = new HashMap<Long,String>();
test.put((long) 666, new String("lala"));
System.out.println(test.get(666));
System.out.println(test.get((long) 666));
=> la méthode put() nous impose de caster, mais pas la méthode get() donc le premier sysout affichera null alors que le deuxième retournera le résultat attendu. :P

Heu WTF les gens ? Ça a été introduit lors de l'étude en commission des lois début avril ! Cf, par exemple : http://www.nextinpact.com/news/93724-on-vous-reexplique-projet-loi-sur-renseignement.htm qui en parle déjà.

Ça colle avec les demandes de certaines personnes et groupements qui demandaient à exclure des professions. Et s'il n'y a pas médecin, par exemple, dans la liste, c'est simplement car l'Ordre des médecins n'a pas hurlé alors que le Syndicat de la Magistrature, l'Ordre des avocats et des journalistes ont protesté contre ce projet de loi. ;)

Ensuite, le Premier ministre peut toujours bypasser la commission, il n'y a que la procédure d'urgence et le quorum de la CNCTR qui divergent des "honnêtes gens". Un peu comme un Sarko qui demande à Squarcini d'identifier les sources du Monde dans l'affaire Woerth-Bettencourt. Tout ça reste possible. D'où le très bon article de Reflets : https://reflets.info/pjlrenseignement-le-pistolet-qui-tire-dans-le-pied-des-politiques/ et d'où le fait que c'est un mensonge probablement pour calmer les esprits car il est évident que les boîtes noires ne peuvent pas faire la distinction entre médecin, informaticien ou avocat ou journaliste et collecteront tout. Ce n'est qu'à la dés-anonymisation qu'ils pourront se rendre compte... mais une vie sera potentiellement brisée (selon la nature des infos récoltées) d'un point de vue du regard des surveillants.

« Le Premier ministre a déploré mardi les appels téléphoniques d’associations comme la Quadrature du Net et Amnesty International visant à influencer le vote des députés sur le projet de loi sur le renseignement. "Je constate que peu de parlementaires, heureusement, ont été sensibles à ces pressions", a déclaré Manuel Valls. »

En rapport avec ça : http://shaarli.guiguishow.info/?DwINEA

C'est beau :') et les marchands d'armes numériques et la finance et les labos pharma et les pétroliers et les ayant-droits et les télécoms et les... ils ne font pas lobbying beaucoup plus intense, bien sûr ! Tu te fous de nous, Manu !

:(

«  En 5 minutes je pense déjà à des tonnes d'arguments pour exprimer à quel point cette idée est profondément stupide :

    * le système des CA SSL est complètement cassé, de par sa conception-même. Ça fait des années que tout le monde dans le monde de la sécurité dit que c'est de la merde. Plutôt que de nous emmerder avec des rustines inutiles comme "letsencrypt" ou à recopier l'UI de Chrome, Mozilla ferait mieux de réfléchir à une alternative crédible pour qu'HTTPS devienne enfin quelque chose de sécurisé et accessible à tout le monde, pas seulement aux riches occidentaux.

[NDLR : +1, DANE, par exemple :) Sinon s/SSL/TLS/, les gens, SSL c'est mort depuis longtemps hein. :P ]

    * un certificat ça coûte des thunes. Oui oui StartSSL, letsencrypt machin. Non je suis pas d'accord, car c'est un monopole (bientôt duopole), si demain ils décident de faire payer c'est foutu. De plus quand on veut des sous-domaines c'est tout de suite très chiant (et cher). Et quand on veut un wildcard, c'est là que ça devient marrant. Enfin ou pas.

[NDLR : ouais enfin des certs wildcard, non, juste non :/ ]

    * ça veut dire que tous les gens qui n'ont pas de thune vont aller faire certifier leur site auprès d'une autorité centralisée (startssl ou letsencrypt, whatever). Big brother toussa. Si un jour ces autorités n'acceptent plus votre site parce que vous êtes un index de bittorrent, un média alternatif ou autre truc qui dérange, vous êtes bien dans la merde. Et combien de temps avant qu'un CA ne soit obligé par la justice à la demande de la RIAA ou autre à révoquer le certif d'un site ?

    * la gestion des certificats c'est chiant, grave. J'ai une dizaine de domaines en HTTPS à gérer, tous les 6 mois il faut que je renouvelle les certificats. A chaque fois je finit par en enlever un, parce que c'est super chiant. Une fois que j'ai mis en place un truc, je veux que ça marche sans avoir à y revenir tous les ans ou tous les 6 mois, je suis pas admin sys, je fait ça sur mon temps libre. Et moi je suis un geek, je kiffe jouer de la config apache (enfin pas trop quand même), mais pour le péquin lambda, qui aura le courage d'aller se faire chier à faire un certif, le mettre à jour etc.

[NDLR : la sécurité c'est toujours plus contraignantn que sans, il faut arrêter avec ça, maintenant ! ]

    * Mozilla devient CA, et juste après parle de ne plus faire que du httpS. Tiens tiens, un business plan sous le coude ?

    * C'est un sacré frein à la création de site web et à l'amateurisme (au sens noble), la barrière d'entrée sur le web devient encore plus haute

[...]

un autre souci c'est OCSP, une techno qui permet au navigateur de demander au CA si le certificat est bon et encore valide. En théorie c'est super. En pratique ça veut dire que tout le monde qui visite un site fait une requête au CA, qui sait donc qui visite le site. Non seulement ça peut être un gros business, mais en plus c'est une sacré atteinte à la vie privée (et on peut risquer sa vie dans un pays non démocratique, si on va visiter un site interdit…). Dans HTTP, aucun mouchard n'envoie à un prestataire tiers le nom de tous les sites que vous visitez…  »

Via http://sebsauvage.net/links/?L-bxTg

« « Bonjour, j’appelle au sujet du projet de loi renseignement, j’aimerais connaître la position de la députée Laurence Dumont. » Ils sont une quinzaine à s’affairer, lundi 4 mai, autour de la grande table blanche du Tank, un espace de travail collaboratif du 11e arrondissement parisien. A l’appel de plusieurs associations comme Amnesty International ou la Quadrature du Net, association de défense des libertés numériques, ils téléphonent, sans relâche, aux députés qui s’apprêtent à voter, mardi après-midi, le projet de loi contesté. »

« Le 3 mars 2015, le Conseil de l'Union européenne a voté un texte mettant en péril la neutralité du Net en Europe, au mépris de la position arrêtée par le Parlement européen un an plus tôt. Des négociations entre le Parlement européen, la Commission européenne et le Conseil ont commencé le 11 mars dernier (trilogue) pour aboutir avant l'été à un accord sur le texte définif. Une fois adopté, ce règlement devra s'appliquer dans tous les pays de l'UE. L'enjeu est donc fondamental d'obtenir du Parlement européen qu'il reste ferme sur la préservation de la neutralité du Net

[...]

En refusant de définir strictement la neutralité du Net, il se soumet aux intérêts des opérateurs et ignore ceux des citoyens. »

« Je voudrais, dans ce billet, clarifier ce qu’il en est des responsabilités de chacun des députés. Si je sens le besoin de le faire, c’est que j’entends, à l’Assemblée et ailleurs, des justifications ou des excuses anticipées qui me paraissent illustrer la profondeur de la crise démocratique que nous traversons. Ces symptômes sont les suivants : même les députés de la Commission numérique1 qui ont adopté à l’unanimité un avis déclarant contraire aux droits fondamentaux ses dispositions les plus importantes2 ne s’engagent pas à voter contre le texte. En parallèle, ils excusent par avance leurs collègues qui l’adopteraient au nom de l’ignorance ou d’un effet de sidération sécuritaire qui aurait interrompu pour une période indéterminée (mais apparemment longue) le fonctionnement de leurs neurones. Par ailleurs, la plupart des députés qui se seraient engagés à signer une saisine du Conseil Constitutionnel sur le projet de loi ne se sont pas plus engagés à voter contre. Au contraire, il semble bien que la perspective de cette saisine permettrait à certains d’entre eux de voter le texte en se défaussant sur le Conseil Constitutionnel de l’examen de sa conformité aux droits fondamentaux. Or, le Conseil constitutionnel n’est pas le seul gardien des droits fondamentaux : chaque parlementaire a non seulement le droit mais le devoir de rejeter tout texte qui leur porte atteinte de façon inacceptable ou disproportionnée.

Je voudrais donc rappeler que chacun est devant ses responsabilités. Il n’y a pas un député qui n’ait eu entre ses mains tous les éléments pour comprendre que le projet nous fait basculer dans l’ère de la surveillance et de la suspicion généralisée. Que ce soit par l’avis de la Commission numérique déjà mentionné qui leur a été transmis, par les coups de téléphone des nombreux citoyens mobilisés, qu’ils ont choisi de recevoir ou de laisser traiter par leurs assistants, par l’évidence de l’opposition unanime des organismes et associations de défense des droits fondamentaux, par les alertes exprimées comme jamais par les acteurs du numérique et par la pléthore d’articles ou émissions où les points de vue critiques se sont exprimés, nul ne peut prétendre ne pas savoir.

Il ne s’agit pas d’un petit choix de politique publique qui pourrait être demain corrigé par un autre vote. Il s’agit de savoir dans quelle société nous voulons vivre. Celle où chaque activité numérique peut être surveillée par des algorithmes secrets aux fins de détecter des profils suspects, sans que nul ne puisse jamais savoir s’il a été surveillé ou non. Ou celle dans laquelle l’intimité condition de la liberté de pensée et d’expression est préservée, celle où comme l’affirme encore le deuxième alinéa de l’article 10 de la loi Informatique et libertés :
    Aucune autre décision produisant des effets juridiques à l’égard d’une personne ne peut être prise sur le seul fondement d’un traitement automatisé de données destiné à définir le profil de l’intéressé ou à évaluer certains aspects de sa personnalité. »

Via http://shaarli.cafai.fr/?ICGoXg

«  "Ce projet de loi est un mensonge d'État", dénonce le représentant des avocats de Paris, pas du tout séduit par la communications gouvernement et élyséenne. "Le président de la République l'a présenté lui-même récemment à la télévision comme un texte essentiel pour lutter contre le terrorisme, alors qu'il va s'appliquer bien au-delà, à beaucoup d'autres domaines. Ce projet menace gravement les libertés publiques", dénonce-t-il.

Pour Me Sur, "ce texte est un fourre-tout où domine l'arbitraire". Entre autres reproches : "Jusqu'à présent, dans le cadre d'une enquête, on ciblait, on isolait la cible suspecte avant de la placer sous contrôle. A l'avenir, on écoutera d'abord tout le monde, sur parfois de vastes zones géographiques. On va inverser la méthode. La nouvelle logique sera celle de l'entonnoir. C'est dangereux".

L'avocat en appelle au Conseil constitutionnel, dont on sait qu'il sera saisi à la fois par le président François Hollande et par des députés, et "ne pense pas que les Sages laisseront passer cette illégalité", en parlant de l'exclusion de l'autorité judiciaire dans le mécanisme d'autorisation des mises sur surveillance. »

L'essentiel du projet de loi renseignement est ainsi résumé en des termes simples : pas de séparation des pouvoirs, pas de judiciaire, des finalités permettant la msie en place de techniques de renseignement trop vastes, surveillance de masse, arbitraire... Je devine la réponse du gouvernement : c'est un baveux donc il défend ses intérêts (justice -> défense) et puis si tu fais appel à lui, c'est forcément que t'as quelque chose à te reprocher.