« NFS permet donc l'accès distant à des fichiers. Les versions anciennes utilisaient au moins deux protocoles distincts, NFS lui-même et « mount » mais NFSv4 n'en a plus qu'un. De même, les éventuels protocoles supplémentaires pour avoir des fonctions de verrouillage des fichiers ont disparu, tout étant désormais intégré dans NFS. Autres caractéristiques importantes de la version 4 (qui fêtera ses quinze ans à la fin de l'année), une meilleure prise en compte de la sécurité (avec négociation de la sécurité), de l'internationalisation, des possibilités de cache chez le client, et un meilleur fonctionnement au dessus de l'Internet (les versions précédentes marchaient surtout en réseau local). NFSv4 essaie aussi d'être plus agnostique par rapport au système d'exploitation sous-jacent, les précédentes versions étant très orientées Unix.

À noter que les RFC sur les versions 2 et 3 de NFS étaient de simples documentations d'un protocole développé de manière fermée par Sun, alors que NFSv4 est entièrement développé à l'IETF.

[...]

Autre changement par rapport à NFSv3, les opérations d'ouverture et de fermeture du fichier sont désormais explicites. La fermeture permet au serveur de libérer tout état associé au fichier, ce qui était impossible dans les vieilles versions de NFS.

Autre propriété importante de NFSv4 : le serveur peut déléguer à un client certaines responsabilités. Si un client a une délégation de lecture, il est sûr qu'aucun autre client ne pourra écrire dans le fichier pendant ce temps. S'il a une délégation d'écriture, personne n'aura aucun accès au fichier tant que la délégation durera. »

« Le protocole HTTP définit plusieurs codes de retour pour une redirection (« la ressource que tu cherches n'est pas ici, va voir là »). La section 6.4 du RFC 7231 classe ces trois codes de retour en notant que deux désignent des redirections temporaires (302 et 307) et qu'un désigne une redirection permanente (301). Deux codes permettent au client HTTP de remplacer, pour la nouvelle requête, la méthode POST par un GET (301 et 302), un autre ne le permet pas (307). Si vous avez suivi, vous avez noté qu'il manquait un code voulant dire « redirection permanente mais sans changer la méthode HTTP ». C'est l'objet du nouveau code décrit à l'origine dans le RFC 7238, et désormais normalisé dans ce RFC, le code 308. »

« Un certain nombre de sites Web (pas tous, heureusement) redirigent les clients qui semblent être des appareils mobiles vers un autre URL, spécifique aux mobiles. C'est une très mauvaise idée.

[...]

Ces URL sont utilisés pour transmettre un contenu différent selon les clients. Les problèmes que posent ces URL spécifiques aux mobiles sont les suivants :

    Ils violent un principe de base du Web, qui est que l'URL est la même pour tout le monde, afin qu'on puisse la transmettre, la passer à quelqu'un d'autre, et que l'affichage suive automatiquement. Le Web a été conçu pour cela. Il n'y a aucune bonne raison technique de faire du contenu spécifique pour mobile.
    Il n'y a pas un seul type de « mobile » mais des tas de modèles, avec notamment des tailles d'écran très différentes. Même si on pense qu'il faut des contenus différents selon les machines, ces URL spécifiques ne dispensent donc pas le webmestre d'adapter le contenu à chaque écran.
[...]
    La redirection nécessite une nouvelle connexion TCP et une nouvelle requête, donc augmente la latence, alors que les mobiles ont justement souvent la plus mauvaise connexion.

[...]

Est-ce qu'au moins on peut corriger à la main l'URL qu'on voulait partager ou enregister ? Chez Wikipédia, c'est relativement facile, le schéma est évident. On retire juste le composant m du nom de domaine, et http://fr.m.wikipedia.org/wiki/Potamoch%C3%A8re redevient http://fr.wikipedia.org/wiki/Potamoch%C3%A8re. Par contre, Rue89 utilise des URL radicalement différents (http://m.rue89.nouvelobs.com/node/257496 est http://rue89.nouvelobs.com/2015/04/23/deconnectes-mal-connectes-les-pauvres-numerique-257496, excellent article, au passage) et empêche donc cette réécriture.  »

« L'auteur de la retranscription précise au journal, dans un second temps, que "des modifications peuvent être apportées, tant que ces dernières n’altéraient pas l’esprit de l’intervention". Et se ravise finalement, par mail : "Au final, ce qui a été dit deux fois dans la même lancée (après plusieurs autres) a été ramassé en une fois, celle où il y a 'par nature et par essence', écrit cette personne. Mais je conçois très bien que l’effet en soit amoindri. Je vais remanier ça afin que ce soit la phrase d’entrée qui apparaisse." A l'heure où cet article est publié sur francetv info (20h20), la modification n'a toujours pas été apportée. »

Sans aller jusqu'à parler de malhonnêteté ciblée sur le dossier du projet de loi renseignement comme le fait cet article, je trouve cela très éclairant sur la qualité des retranscriptions de l'ensemble des interventions qui se produisent dans notre parlement.

« Mais, si le gouvernement a tort de désigner les GAFA et les telcos comme « dirigeants d'Internet », qui sont alors les vrais dirigeants ? Numérama dérape ici en reprenant le jargon inimitable de l'ICANN et en prétendant que l'Internet serait géré par tout le monde, avec une très large participation. Ce serait en effet idéal mais, contrairement à ce que prétend l'ICANN pour essayer de faire oublier sa très faible légitimité, ce n'est pas le cas. Des entreprises comme les gros telcos, ou comme les GAFA, ont effectivement un pouvoir disproportionné. Si le terme de « dirigeants d'Internet » est exagéré, on ne peut pourtant pas nier, et c'est un gros problème de gouvernance en soi, que l'excessive concentration des échanges dans quelques silos (encouragée, comme on l'a vu, par les gouvernements successifs, que le pair à pair hérisse), entraine forcément un excès de pouvoir chez ces silos.

Et Numérama se contredit ensuite en prétendant avoir trouvé les vrais dirigeants : « ce n'est pas en direction des "GAFA" qu'il fallait se tourner, mais plutôt vers l'ICANN, le forum sur la gouvernance d'Internet (IGF), l'Internet Engineering Task Force (IETF), l'Internet Research Task Force (IRTF), l'Internet Society (ISOC), les registres Internet régionaux, l'ISO 3166 MA (Autorité de Maintenance), le W3C ou encore l'Internet Architecture Board (IAB), les forums de rencontre des opérateurs ainsi que les agences intergouvernementales ». À quelques exceptions près comme les « forums de rencontre des opérateurs », cette liste fait la part belle à des institutions clairement identifiables, justement ce que voudraient Cazeneuve et ses pareils. D'ailleurs, la liste tient du catalogue de Prévert en mêlant des organisations ayant un vrai pouvoir (RIR, ICANN, ISOC), des simples forums de bavardage (IGF), des organisations aux pouvoirs purement techniques et limités (IETF) et de mystérieuses « agences intergouvernementales » (on penserait à l'UIT si elle jouait le moindre rôle dans la gouvernance d'Internet).

Bref, il faut s'y résigner, la gouvernance de l'Internet est complexe, il n'y a pas de numéro 1 (dommage pour les ministres français), mais il n'y a pas non plus de « processus ouverts, bottom->up et multipartiesprenantes », quoi que prétende l'ICANN. Il y a beaucoup d'acteurs, avec des rôles variés et des pouvoirs très différents. Ça le rend difficile à gouverner ? Tant mieux, c'est aussi ce qui assure sa résilience face aux tentatives de contrôle. »

« Le protocole TLS offre un grand nombre de choix : choix de la version, choix des algorithmes cryptographiques, plein d'options... Tous ces choix ne sont pas équivalents en terme de sécurité : les versions anciennes de TLS ont des vulnérabilités absentes des plus récentes, par exemple. Dès qu'un protocole cryptographique a des choix, il y a un risque de sécurité : que l'attaquant tente de perturber la négociation initiale entre les deux parties, pour les amener à choisir les variantes les moins sécurisées, en faisant croire à chacun que son partenaire ne peut pas gérer les meilleures variantes. C'est ce qu'on nomme une attaque par repli (downgrade attack) et c'est une plaie classique des protocoles cryptographiques (sauf de ceux qui n'offrent aucun choix, mais qui ont d'autres problèmes, notamment l'impossibilité d'évoluer). Ce RFC présente une nouvelle technique TLS pour empêcher certaines attaques par repli : annoncer un algorithme cryptographique qui n'est pas un vrai algorithme mais qui signale qu'on a effectué un repli, permettant au partenaire de détecter que quelqu'un a interféré avec la communication. Cette technique se nomme SCSV, pour Signaling Cipher Suite Value.

[...]

Mais il y a des serveurs TLS bogués qui réagissent mal avec certaines variantes. Au lieu d'indiquer proprement qu'ils ne gèrent pas ces variantes, ils coupent la communication. Un client TLS qui veut donc maximiser ses chances de se connecter va donc réessayer, en ne proposant pas les choix qui ont pu mener au précédent échec. C'est sympa du point de vue de l'interopérabilité mais cette downgrade dance est dangereuse du point de vue de la sécurité : le serveur, lors de la deuxième tentative, ne sait pas qu'il s'agit d'un repli. [...]  Jusqu'à ce nouveau RFC, la seule protection contre ces attaques était de configurer le serveur pour refuser certains choix vraiment trop mauvais, question sécurité. Cette solution était trop rigide (pour reprendre l'exemple précédent, TLS 1.0 n'est pas catastrophique : il est raisonnable d'autoriser les vieux clients à se connecter en 1.0, mais on veut empêcher que les clients récents ne soient amenés à se limiter à 1.0).

[...]

À noter que, même en l'absence d'un attaquant actif, on voit parfois des replis malencontreux : un problème temporaire de réseau peut mener le client TLS à se dire « tiens, pas de réponse, je vais réessayer en TLS 1.0 et sans les extensions, pour voir ».

[...]

Donc, pour permettre au serveur de détecter que le client a fait un repli à tort, notre RFC introduit un nouveau pseudo-algorithme de chiffrement, TLS_FALLBACK_SCSV, valeur 0x56,0x00 (désormais dans le registre IANA). Il sera envoyé uniquement par le client, jamais par le serveur. Ce n'est pas un vrai algorithme, juste un signalement par le client qu'une première connexion a échoué et que le client tente un repli (section 4 du RFC). Si le client envoie le pseudo-algorithme TLS_FALLBACK_SCSV dans son ClientHello, et indique un protocole de version inférieure à ce que le serveur peut gérer, le serveur peut alors se rendre compte que le client a effectué un repli à tort (cf. section 3). Il peut alors répondre avec un nouveau message d'erreur, l'alerte TLS inappropriate_fallback (valeur 86).

[...]

Le signalement par le client qu'il s'est replié est un (pseudo-)algorithme de chiffrement, pas une extension TLS, car le but est qu'il ne pose de problème avec aucun serveur, même le plus ancien et le plus bogué. Le mécanisme d'indication des algorithmes de chiffrement date des débuts de SSL et on peut donc certainement compter dessus.

[...]

Si le client n'a pas pu se connecter en TLS v1 ou supérieur, et se replie sur SSL v3, alors, le TLS_FALLBACK_SCSV est vraiment nécessaire car SSL v3 a de nombreuses faiblesses (la faille Poodle par exemple). Par contre, quand un client a une toute nouvelle version de TLS (à l'heure de la publication de ce RFC, la version 1.3 est en cours de développement), des difficultés avec les vieux serveurs sont à prévoir et il peut être préférable de ne pas envoyer TLS_FALLBACK_SCSV, et d'accepter le repli. »

Je note que ça complique un repli mais ça ne l'empêche pas complètement : un attaquant actif peut supprimer la SCSV mais ça va au delà d'une attaque par repli classique "je drop le paquet pour forcer downgrade" donc il y a renforcement de la sécurité.

Rigolo :)

« Le protocole de routage OSPF est traditionnellement configuré statiquement, et à la main par l'administrateur réseaux. Certains réseaux, comme par exemple des réseaux un peu complexes à la maison, ont besoin d'un protocole de routage, mais sans avoir d'administrateur réseaux disponible. [NDLR : comme dans le projet Homenet -> https://www.bortzmeyer.org/7368.html ] Il faudrait un OSPF qui se configure tout seul, « plug and play ». Ce court RFC montre que c'est possible, avec très peu de modifications des mises en œuvre d'OSPF.

A priori, les réseaux auto-configurés n'auront aucune forme d'authentification, celle-ci nécessitant une certaine action de l'administrateur, par exemple entrer les mots de passe (section 4 de notre RFC). Si, toutefois, on veut authentifier, il est recommandé d'utiliser l'option du RFC 7166.

Dans OSPF, chaque routeur a un router ID (RFC 2328, section 1.2), qui fait 32 bits mais n'est pas une adresse IPv4. Il doit être unique dans la zone donc il faut que tous les routeurs auto-configurés se débrouillent pour ne pas prendre le même (autrefois, c'était une adresse IPv4, et celle du routeur - RFC 5340, annexe C.1, donc l'unicité était facilement garantie). Il faut donc désormais la générer aléatoirement, en utilisant comme graine du générateur aléatoire une information unique, comme le router hardware fingerprint décrit en section 7.2.2.

Même dans ce cas, des collisions de router ID sont possibles. Il faut donc une procédure de détection des duplicatas (section 7) qui consiste, pour les voisins immédiats, à se rendre compte qu'un LSA porte le même router ID que vous, avec une adresse IPv6 différente. Il faudra alors changer : c'est le routeur avec la plus petite adresse IP qui doit changer son router ID. Cette procédure de détection et de correction a été le plus gros sujet de discussion au sein du groupe de travail à l'IETF.

Pour les routeurs non-voisins, on utilise un nouveau TLV placé dans le LSA d'auto-configuration, Router-Hardware-Fingerprint, déjà mentionné au paragraphe précédent (au passage, ce nouveau LSA, prévu pour l'auto-configuration, est le numéro 15 et les valeurs qu'il contient font l'objet d'un nouveau registre). Sa valeur est un nombre qui a de très fortes chances d'être unique. Il est recommandé de le fabriquer en concaténant des valeurs probablement uniques, mais stables, comme l'adresse MAC, et numéro de série du routeur.

Comme vu plus haut au sujet de l'authentification, la sécurité ne s'entend pas bien avec l'auto-configuration (section 8 du RFC). L'auto-configuration fait que n'importe quelle nouvelle machine va être « adoptée » par le réseau et pourra y participer immédiatement. Une aubaine pour un attaquant. Si on n'est pas prêt à accepter cela, il faut recourir aux mécanismes d'authentification décrits dans la section 4 (RFC 7166 ou RFC 4552). »

« Ici, le syllogisme n’est pas fini, la honte ayant sans doute saisi le ministre à la gorge au dernier moment, mais il est aisé à compléter.

Majeure : le projet de loi relatif au renseignement ne contient aucune disposition attentatoire aux libertés.

Mineure : le projet de loi contient des dispositions remettant en cause la vie privée et le droit à la vie privée.

Conclusion non énoncée : le droit à la vie privée ne compte pas parmi les libertés.

Et c’est vrai, dans un sens. La vie privée ne fait pas partie des libertés fondamentales. Elle est plus que ça : elle est un droit fondamental.

Rappelons qu’une liberté est une interdiction d’interdire faite à l’État : l’Etat ne peut porter atteinte à une liberté fondamentale ou alors sous des conditions très strictes. Le droit va plus loin, il crée une obligation à la charge de l’État de prêter main-forte à ce droit des atteintes commises par les particuliers. Le droit est plus fort que la liberté car il impose à l’État d’agir.

Or le droit à la vie privée est un droit fondamental, consacré au niveau européen par l’article 8 de la Convention européenne des droits de l’homme :

        Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance.

        Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui.

Si cela ne suffisait pas, ce droit a été intégré dans le bloc de constitutionnalité par le Conseil constitutionnel. Il se rattache selon le Conseil constitutionnel à l’article 2 de la déclaration des droits de l’homme et du citoyen (Décision 94-352 DC du 18 janvier 1995) car il est inclus dans le mot « liberté » qui est un des droits imprescriptibles de l’homme dont le but de toute association politique est la conservation. Oui, Bernard, la vie privée est une liberté, au sens de la Constitution.

Pour les mal-comprenant, le Conseil constitutionnel l’a rappelé dans une décision n°99-416 DC du 23 juillet 1999 et plus récemment dans la décision n° 2009-580 DC du 10 juin 2009 où, dans son Considérant n°22, le Conseil dit très clairement :

    «  Considérant, en premier lieu, qu'aux termes de l'article 2 de la Déclaration de 1789 : " Le but de toute association politique est la conservation des droits naturels et imprescriptibles de l'homme. Ces droits sont la liberté, la propriété, la sûreté et la résistance à l'oppression " ; que la liberté proclamée par cet article implique le respect de la vie privée »

Fort de ce salutaire rappel que le droit à la vie privée est une liberté fondamentale, le Conseil a par cette décision censuré une grande partie du dispositif de la première loi HADOPI.

Et la condition de mauvaise foi, me direz-vous, comment l’Académie l’a-t-elle considéré comme établie ?

Tout simplement parce que parmi les signataires du recours de 2009 vilipendant à raison les atteintes à la vie privée opérée par la loi HADOPI se trouvait un député du nom de… Bernard Cazeneuve. »

Voir aussi : http://rick-hightower.blogspot.fr/2014/01/boon-json-in-five-minutes-faster-json.html

La seule fonctionnalité de la lib java Boon que j'ai testé est son parser json. Il est réputé très rapide, comme Jackson (autre lib java). Ces deux libs permettent d'obtenir directement des objets Java (POJO) à partir d'un fichier json. Pour moi, c'est assimilable à de la sérialisation/desérialisation d'objets java en json.

Àmha, ces lib sont utiles quand on doit parser du json dont le contenu est parfaitement déterminé. Exemple : une liste de clients. Sur des structures indéterminées (exemple : une annonce BGP), on aura très vite des clés au nom imprévu à l'avance (un préfixe IP, par exemple) et des besoins de récursivité (liste de listes d'entiers, par exemple). Sur ces cas d'usage, on perd en flexibilité (par rapport à des libs plus simple comme json-minimal) si l'on utilise des desérialiseurs custom voire ce n'est pas possible du tout.

« Decix, the largest internet traffic exchange point (IXP) worldwide, has had it with the snoops. Today (23 April), the Frankfurt company confirmed a report by the Sueddeutsche Zeitung that it will file a complaint at the German Federal Administrative Court against the obligation to grant broad access to the German Intelligence Service (BND) to the traffic transiting its large switches.

[...]

Decix had challenged the broad-scale tap orders as early as 2009, but did not get support from the BND oversight bodies. »

Donc ils étaient au courant et ils n'ont pas porté plainte. Et maintenant que c'est révélé sur la place publique, ho, on se bouge pour se faire bien voir. Allez, allez, allez, fichez-moi la paix avec vos arguments "ça n'arrivera jamais en Allemagne car ils ont une plus grande culture de la vie privée, Stasi, CCC, tout ça", ça ne vaut pas un clou ! Les employés du DE-CIX sont des Allemands comme les autres et visiblement, ils n'ont pas trop forcé pour révéler l'affaire.

Si le seul moyen de contre-pouvoir dont dispose un peuple c'est d'attendre qu'un lanceur d'alerte étranger se bouge puis réaction sous la contrainte, ce n'est pas sain, voilà mon propos.

Ha, et sinon, ce genre de chose n'arrive pas sur le France-IX, bien entendu : https://twitter.com/bortzmeyer/status/591606670163312641 :)))))))) D'autant que pas de réponse à ça visiblement : https://twitter.com/Turblog/status/584000276220223489

« Pour le gouvernement – qui l’a répété à de nombreuses reprises – « il n’y aura pas ni DPI ni boîtes noires » (terme pourtant proposé par des conseillers de Matignon eux-mêmes lors de la présentation du texte à la presse, le 17 mars dernier).

Pour les spécialistes, cette affirmation sonne faux, puisque dans le même temps les services précisent ne vouloir accéder qu’aux métadonnées correspondant aux cibles que leur fameux « algorithme » aura définies.

Or de deux choses l’une: soit les services auront un accès direct aux données stockées par les fournisseurs de services (hébergeurs, serveurs de mail, moteurs de recherche…) français – exactement comme dans le programme PRISM de la NSA, qui fut à l’origine du scandale révélé par E. Snowden – soit il devra placer des sondes « boîtes noires » à des points stratégiques du réseau pour extraire du flux de toutes les données échangées celles qui l’intéresse. Ce qui ne peut se faire sans DPI.

[...]

On peut – sans prendre beaucoup de risque – supposer que le processus décrit par Octave Klaba (OVH) après la réunion entre hébergeurs et gouvernement correspond trait pour trait à la première option: contraints par le pouvoir en place, les hébergeurs devront fournir à la demande toutes les métadonnées en leur possession aux équivalents hexagonaux des DITUs du schéma ci-contre.

[...]

D’après les promesses du gouvernement (retranscrites dans le schéma ci-contre fait par Gandi), les données fournies par les hébergeurs se limiteront aux seuls services visés dans l’autorisation de l’exécutif: il n’y aura pas de surveillance générale de tous les sites hébergés. On en déduira que, forcément, l’information qui permet de sélectionner tel ou tel service, telle ou telle boîte email, viendra d’ailleurs: s’il y a « boîte noire » et « détection de signal faible », ça ne peut pas se faire en bout de chaîne, ni sur des services précisément définis. On n’est plus, là, dans la détection: on est dans la surveillance d’une cible déjà identifiée.

C’est déjà grave: c’est exactement ce que fait le programme PRISM, rappellons-le, le tout sans la moindre autorisation judiciaire.

Mais d’où viendront donc les renseignements permettant ce ciblage ?

[...]

Chez eux, point de métadonnées déjà décodées: ils ne sont pas en bout de chaîne, ce sont de simples tuyaux par lesquels passent tous nos petits paquets IP pas encore remis dans l’ordre. Les métadonnées sont quelque part dedans, mais éparpillées «façon puzzle», parfois chiffrées, souvent pas, en désordre complet. Impossible pour les fournisseurs d’accès de ne fournir « que les métadonnées » dont ils disposent: il n’en disposent pas.

Sauf si… Après tout, la promesse de ne pas « tout surveiller » et de ne recueillir « que les métadonnées », pour ce qu’elle vaut (rien n’a été inscrit dans la loi, tout se passera donc dans ses décrets d’application, modifiables à tout instant par d’autres décrets comme Gandi le remarque), cette promesse, donc, le gouvernement ne l’a faite qu’aux hébergeurs. Pas aux FAI.
[NDLR : c'est bien ce que j'avais compris (cf http://shaarli.guiguishow.info/?Oe8evQ). Du coup ce billet est un non-sens : https://reflets.info/le-caractere-intrusif-du-dispositif-dinterception-chez-les-fai-explique-par-les-operateurs/ ]

[...]

Il est probable, si on veut croire (re-mouahaha) les promesses du gouvernement, que seul un équivalent de PRISM soit imposé aux hébergeurs.

Tout comme il est quasi-certain que, côté FAI, on conservera boîte-noire, algorithme, et surveillance de masse. Et, que vos serveurs soient ou non hébergés en France, vous passerez toujours par votre FAI pour y acceder.

Et donc, quoi qu’en dise Bernard Cazeneuve (qui a sans doute un peu trop écouté les vendeurs de solutions de surveillance prêts à tout pour emporter le marché), on fera bien du DPI.

[...]

Pour n’importe quelle personne normale, dès lors que tous les échanges passent au travers de filtres gouvernementaux, il ne peut s’agir d’autre chose que de surveillance de masse, et ce quel que soit l’usage qui sera fait de ces filtres.

Pour un politicien qui veut défendre son bout de gras, cependant, c’est cet usage qui va définir si oui ou non on pèche « au chalut » ou « au harpon »: selon lui, du moment qu’il ne fait que regarder tout ce que nous faisons sans rien en faire (pour le moment) sauf si ça touche au terrorisme, alors il ne s’agit que de pèche au harpon.

Pur artifice de langage, qu’on peut traduire en français courant par « je regarde tout ce que tu fais, mais promis je te surveille pas ». Ou, pour rester dans la métaphore chalutière, « pour savoir où planter le harpon, il faut d’abord utiliser le sonar ».

Accessoirement se pose une question rigolote : un fonctionnaire qui découvre un crime ou un délit – même s’il n’a rien à voir avec le terrorisme – est tenu d’en informer les autorités judiciaires. Est-ce que l’algorithme du gouvernement est considéré comme un fonctionnaire ? Si oui, évitez de sortir des clous de quelque manière que ce soit, puisque vous serez poursuivis selon le bon-vouloir d’une machine, réglée par le gouvernement alors en place. »

La magie de l'infrastructure de distribution x509, as usual :')

« In a major breach of public trust and confidence, the Chinese digital certificate authority China Internet Network Information Center (CNNIC) certified false credentials for numerous domains, including several owned by Google. The deliberate breach had the potential to seriously endanger vulnerable users, such as journalists communicating with sources. The breach was discovered by Google and published on its security blog on March 23. Despite this serious lapse, it appears CNNIC's authority will not be revoked, and that its credentials will continue to be trusted by almost all computers around the world.

[...]

Each CA also publishes its own documents called a certificate policy and/or certification practice statement (CP/CPS). In these, the CA describes what it will and won't do. CNNIC's CPS was controversial from the start. The practice statement noted that the CA "takes orders from the [Chinese] Ministry of Information Industry to conduct daily business."
[NDLR : sans surprise, ça a toujours été l'objet de cette AC. ]

[...]

Last week, many of those fears were realized. In violation of its certification practice statement, CNNIC delegated its certificate-signing power to Egyptian IT company MCS Holdings, according to the certificate chain, which Google published.
[ NDLR : donc maintenant, il ne s'agit plus de faire confiance à X AC dont on ne sait rien mais également à leurs X prestataires techniques... Joie. ]

[...]

The certificate could have been used to falsify credentials for any online communication. According to Google's analysis of its Certificate Transparency logs, MCS used it to do just that, falsifying certificates for several domains, including Gmail and Google's homepage, according to Microsoft security advisory. MCS said in a statement issued March 25 that it used the certificate in a system designed to intercept Internet traffic "for testing purposes."
[ NDLR : on est dans une région "à risque" (le printemps arabe n'est pas loin et la stabilité pas encore gagnée), on intercepte du trafic chiffré, on force le bypass de la phase d'authentification sur les clients (oui, l'usage d'un faux certificat pour berner l'auth, je nomme ça contournement) et on déchiffre le trafic... tout ça pour des tests... Mais bien sûr... ]

[...]

Google reported that MCS failed to use the required hardware security module. This breach could have allowed an attacker to gain access to MCS' certificate. With its certificate, attackers could have attempted to intercept any communication anywhere in the world, attacking anyone who relies on the security of the CA system. »
[ NDLR : comme dans l'histoire Lenovo... ]

Début avril : https://cpj.org/2015/04/google-revokes-authority-of-cnnic-after-breach-of-.php
« San Francisco, April 2, 2015--The Committee to Protect Journalists welcomes Google's plan to revoke the authority of root certificates belonging to China Internet Network Information Center (CNNIC) following CNNIC's major breach of the trust placed in them to underpin global Internet security. Mozilla also said it will not trust any CNNIC certificates dated after April 1, and is considering further action. »

Quelques précisions concernant le vocabulaire du gouvernement dans le projet de loi renseignement.

« La communication du gouvernement à propos du projet de loi renseignement est au moins efficace sur un point: il reste dans le flou. Son arme ? Le vocabulaire. Explications.

[...]

« Il n’y a pas de surveillance de masse »: FAUX

Mais là où le technicien et le militant parlent de surveillance de masse, le gouvernement parle, lui, de « simple » collecte massive de données.
Le gouvernement ne parle de « surveillance » que lorsqu’il y a intervention des services de renseignement, donc exploitation des données collectées et intervention de l’humain. La surveillance ne peut donc être massive puisque les dits services n’en ont pas les moyens.

CQFD.

La collecte et la surveillance sont donc deux concepts totalement différents pour le gouvernement. Pour les opposants à la loi en revanche, la surveillance est consubstantielle de la collecte, puisque c’est la définition même d’une société panoptique.

Cette divergence de vue a une conséquence non négligeable en matière de communication:

    le grand public frémit d’effroi devant les militants alarmistes1.
    le gouvernement va venir à la rescousse pour les rassurer: il n’y aura pas surveillance de masse mais plutôt collecte, ni mieux ni pire que « Monsieur Facebook ».
    l’opinion soulagée peut reprendre ses activité normales, ayant de peu échappé à un péril qu’elle croyait imminent…

Au passage, le militant va ramer comme un fou pour contrecarrer ce discours. Mécaniquement, il devient anxiogène pour être entendu, et le gouvernement quant à lui reste rassurant.

À votre avis, qui gagne à ce petit jeu finalement assez proche de Pierre & le loup ?

Il faut le dire et le répéter, la collecte massive de données, prévue dans le projet de loi renseignement, entraîne de facto une surveillance généralisée, au sens de la société panoptique.

« Seules les métadonnées intéressent les services de renseignement, pas le contenu »: FAUX

[...]

Comprenez-moi bien, les services de renseignement vont aussi enregistrer les métadonnées réseau, mais ils ne se contenteront pas que de ça.

[...]

Ce que les services de renseignement convoitent particulièrement, et qu’ils appellent métadonnées, sont donc bien des informations de contenu au sens réseau du terme.
Quelques exemples:

    Champs From, To et Subject pour un mail
    Entêtes HTTP qui donnent, entre autres, le nom d’hôte du site visité, l’URL, le navigateur, etc…
    Les identifiants d’accès (nom d’utilisateurs et mot de passe) à, par exemple, une boîte GMail ou un compte Twitter

Toutes ces informations sont appelées métadonnées par les services de renseignement[...]

Et pour les récupérer, il n’y a pas 36 solutions, il n’y en a qu’une seule: le DPI.

Sauf que Renaud Vedel, conseiller des Affaires intérieures de Manuel Valls, venu jouer les démineurs volontaires désignés d’office lors de l’enregistrement de l’émission « Atelier des médias » le jeudi 9 avril 2015 à Numa m’a affirmé en off, après l’enregistrement, que « les contenus n’intéressent pas les services de renseignement, au contraire des métadonnées comme, par exemple, l’URL d’une vidéo de décapitation sur Youtube ». Par exemple…

C’est bien connu, l’URL HTTP se trouve aux niveaux 3 & 4 du modèle OSI, hein ?… ou pas ? On m’aurait menti ?

Vous le sentez mieux l’enfumage sur les metadonnées ? »

« À coté de l’inefficacité de loi et de son coté liberticide, l’argument économique me paraissait presque faible. Et pourtant, en discutant autour de moi, j’ai vu que c’était lui qui portait. Avec quelques proches, nous avons décidé de lancer le mouvement Ni pigeons ni espions. Quelques nuits encore plus courtes, de nombreuses discussions, des documents partagés et ça a donné http://ni-pigeons-ni-espions.fr/. »

Tout comme SOPA/PIPA en 2012 et (dans une moindre mesure) la neutralité des réseaux en 2014 aux US, c'est encore le fric qui a permi d'obtenir quelques avancées (certes, maigres, cf http://shaarli.guiguishow.info/?Oe8evQ). Avant que de puissants acteurs économiques se positionnent, les défenseurs des libertés étaient invités à Matignon mais pas écoutés (bien au contraire, il s'agissait d'une opération de comm'/propagande pour éviter l'éveil de la gronde et ainsi annihiler toute opposition, cf https://www.laquadrature.net/fr/vague-dopposition-a-linfect-projet-de-loi-surveillance ).

Parler de libertés, ça ne marche pas. De la part du gouvernement, c'est déjà grave en soi. De la part des députés (et bientôt des sénateurs hein, je ne suis pas dupe) qui représentent, à mon sens, *directement* le peuple, c'est peut-être pire (l'exécutif est là pour exécuter au quotidien d'où une échelle de gravité différente à mes yeux). Encore heureux que le pouvoir judiciaire (magistrats, juges) réponde encore présent... De la part de l'ensemble des citoyens, je trouve cela profondement effroyable et triste.

Pour moi, ça démontre un grand mal ancré dans nos sociétés, dans nos pensées, dans nos raisonnements, beaucoup plus profond que les textes de loi liberticides eux-mêmes. Peut être s'agit-il de la racine du mal ? Le Fric, encore le Pognon, toujours l'Argent.

« Stéphane Richard a expliqué qu'il faut "donner aux opérateurs les armes et les moyens d’innover", et que "la neutralité du net est l’ennemie de l’innovation des opérateurs".
[NDLR : sauf que jusqu'à présent, c'est la neutralité des réseaux qui a permis l'innovation de *tous* les acteurs du numérique et l'émergence même du réseau et des applications que nous connaisons aujourd'hui. Sans neutralité, pas de web, pas de FB, pas de cela. Une absence de neutralité permettrait *peut-être* l'innovation chez les opérateurs (et j'en doute fortement, voir plus bas pour l'une des raisons) et chez quelques FSI déjà en position dominante au détriment de tout le reste de l'écosystème. Voilà la nuance. Et là, je parle uniquement du volet économique de la neutralité des réseaux mais je rappelle que c'est beaucoup plus vaste et avec des enjeux plus importants que le fric (liberté d'expression, liberté d'accès à l'information, pluralité des plateformes et services,...  ]

"Moi aussi, j’aimerais bien qu’internet soit gratuit dans le monde entier. Mais ça n’est possible que dans les rêves", a-t-il déclaré, feignant de ne pas savoir que la question de la neutralité du net n'est pas celle de la gratuité, mais de la non-discrimination dans le traitement des communications. Le principe de la neutralité veut que les paquets soient transportés avec le même effort quelque soit le contenu, le destinataire ou l'expéditeur.

Or Orange a porté une entaille dans ce principe en commercialisant ce mois-ci un "Débit confort" qui permet aux abonnés souscrivant à l'option de bénéficier, non pas d'un tuyau plus large en toutes circonstances, ce qui n'aurait pas poser problème, mais un traitement prioritaire dans les zones à forte affluence. Le réseau peut s'y trouver congestionné si le point d'accès mutualisé n'est pas correctement dimensionné, ou si les ondes mobiles qui ne sont disponibles qu'en quantité limitée saturent. Dans ce cas les communications émises ou reçues par les clients à l'option "Débit confort" bénéficient d'un accès prioritaire aux mêmes routes que les autres clients, qui passent en second.

Ces derniers voient donc la qualité de leur accès mécaniquement dégradée pour laisser place aux clients prioritaires, ce qui encouragera toujours plus d'abonnés à souscrire à l'option, jusqu'à ce que plus personne ne puisse être prioritaire et que soit lancée une option "Débit vraiment confort", et ainsi de suite... L'intérêt commercial d'Orange devient alors d'arrêter de faire évoluer ses tuyaux, et de miser sur la congestion réelle ou induite pour obtenir que ses clients payent des accès prioritaires.
[NDLR : oui, la QoS est vendable uniquement sur un réseau sous-dimensionné/saturé : https://shaarli.guiguishow.info/?B-FJ1w ] »

« La première cause de mortalité aux États-Unis, c’est la maladie cardiaque, principalement due aux sucres et à des styles de vie pas très sains. Les USA ont d’ailleurs un taux d’obésité extrêmement élevé et plus de 600 000 personnes meurent chaque année d’une maladie cardiaque.

Parmi les pires choses pour notre organisme, le soda – même Coca-Cola et Pepsi le reconnaissent officiellement -. Et c’est bien évidemment à cause de la quantité de sucres qu’ils contiennent. Un adulte ne devrait pas consommer plus de 9,5 cuillères à café de sucre par jour. Une canette de 33 cL en contient déjà 10. Pour information, un Américain moyen en consomme 22 par jour. Et si la consommation globale de soda – aux États-Unis du moins – tend à diminuer, elle est encore trop élevée.

Pire encore, des études sur le cerveau ont montré que le sucre est aussi addictif que la cocaïne. C’est donc aussi une véritable accoutumance qui poussent les gens à en boire. Et si certains sont passés au light, nombre d’entre eux ne réalisent pas que cette boisson est elle aussi dangereuse pour leur santé, et probablement davantage puisque les édulcorants artificiels déclenchent des réactions plus fortes encore dans notre cerveau.

Selon le Docteur Susan Swithers, professeur de neuroscience comportementale à l’Université Purdue, « même un soda light par jour » vous place à plus haut risque, notamment de diabète de type 2, d’hypertension et de maladies cardiaques. »

Voir aussi : http://www.gizmodo.fr/2014/10/23/boire-soda-25-cl-vieillir-2-ans.html

« Avant de vous mettre à paniquer et de scruter votre visage à la loupe à la recherche de la moindre ride, sachez que c’est votre ADN qui vieillit. Le soda cause des dégâts dans les télomères – les régions situées aux extrémités des chromosomes. Ceux-ci s’abîment à chaque division cellulaire, d’où notre vieillissement -. Passer plusieurs mois à boire du soda équivaut à plusieurs années de vieillissement chez quelqu’un qui n’en boit pas.

Une groupe de chercheurs dirigés par Elissa Epel de l’Université de Californie San Francisco a utilisé des données du « National Health and Nutrition Examination Survey » pour comparer la longueur moyenne des télomères des participants en fonction de la quantité de soda consommée chaque jour. L’ingestion de 25 cl de soda cause un vieillissement de 1,9 année. Buvez régulièrement 60 cl et ce sont 4,6 années que vous prendrez.

Quand on sait que des études précédentes ont déjà montré que le soda pouvait faire augmenter les risques de diabètes de 26% et d’attaques cardiaques de 20% chez les hommes, on se dit que ce serait peut-être une bonne idée de passer au thé glacé, non ? »

\o/

Via http://lehollandaisvolant.net/?id=20150420162735

« Pour les professionnels, Moneo précise que son service ne sera plus autorisé à fonctionner à compter du 30 avril. Les paiements sur les automates divers et horodateurs seront désactivés à compter du 31 mai.

Exception est faite pour les étudiants qui utilisent ce système dans les CROUS ou les restaurants universitaires. Les distributeurs automatiques, photocopieurs ou laveries prendront encore en charge le dispositif jusqu'au 30 juin. Pour les restaurants universitaires, la date de fin est prévue au 17 juillet 2015. »

Raaaaaaaaaah quelle excellente nouvelle ! Monéo, c'était juste invivable. Le but a toujours été la traçabilité des petits échanges qui se font en liquide, c'est tout, faut bien se l'avouer.

C'était juste l'enfer : montant minimal de chargement donc il restait toujours de l'argent inutilisé/able dessus, pour récupérer l'argent restant dessus, il fallait trouver la banque à l'autre bout de la ville qui a le bon lecteur (car les lecteurs habituels ne savent pas faire, ofc !), machines de chargement trop souvent en panne, il fallait utiliser ça ou rien, en dehors du campus, il fallait trouver les commerces acceptant Monéo,... Et là je parle uniquement des cas concernant les étudiants.

Dans quelques mois, il restera uniquement les monéo resto (et à part des pannes du SI Monéo, je n'ai rien remarqué de négatif à leur sujet en comparaison des titres restaurant papiers) \o/

Et pour le lulz : « Les personnes qui désirent récupérer les sommes d'argent encore présentes sur leurs comptes peuvent agir dès à présent. Elles doivent cependant faire vite puisque cette possibilité leur est ouverte jusqu'au 28 juillet. [...] Sinon, Moneo promet qu'un formulaire de demande sera mis en ligne sur son site à partir du mois de juillet. » :')

Via http://sebsauvage.net/links/?w0hs_A

« Cette machine remplace toute seule les rails, le gravier et les traverses de la voie ferrée sur laquelle elle se déplace.

Merci à Poste Scriptomme qui m’a informé dans les commentaires que ça s’appelait une « suite-rapide », que l’opération d’entretient est une RVB (pour le renouvellement des voies et du ballast) »

Via http://korben.info/news/comment-remplacer-une-voie-ferree-automatiquement

« Des sondes un peu partout chez les FAI

Des sondes DPI, il en existe chez à peu près tous les FAI. La comptabilité de Qosmos sur ce point est très claire. Free est un bon client. Quant à Amesys, elle a répondu à un projet nommé « Matrice 10GB » chez Orange en décembre 2010 pour l’installation de DPI de test :

    « Pour répondre à des besoins de monitoring sur ses architectures complexes utilisant des infrastructures complexes utilisant  avoir une solution flexible que nous appellerons matrice pour rediriger et filtrer à la demande le flux en provenance d’un splitter ou d’un port de capture vers un outil d’analyse, optimisant de la sorte l’utilisation de ces derniers. En amont des matrices seront déployées par l’ingénierie site des splitters 70/30 installés dans des répartiteurs optiques ou des TAP Cuivre Gigabit. Les matrices seront déployées dans une armoire où seront aussi regroupés sondes et analyseurs de protocoles. Deux catégories d’usages sont aujourd’hui identifiées :

        La collecte en permanence des points précis de l’infrastructure à des fins de supervision de la qualité de fonctionnement via des équipements sondes

        la collecte de manière ponctuelle pour l’analyse des flux réseau dans le cadre de la résolution d’un incident ou du traitement d’un problème (analyseur de protocoles). »

Ces usages du DPI n’ont rien de commun a priori avec celui envisagé par le gouvernement. Il s’agit là de qualité de service, de facturation de services, bref, pas vraiment de la surveillance de masse. »


À recouper avec :
    * https://twitter.com/olesovhcom/status/589308079323373568

    * Les propos sur Twitter d'Alex Archambault (Free) il y 'a quelques années

    * Les révélations Snowden autour des liens Orange<->services de renseignement (cf http://shaarli.guiguishow.info/?7Hxmig).

« Après des années de batailles juridiques, la grande chambre de l’Office européen des brevets (OEB) vient de reconnaitre deux brevets sur un brocoli et une tomate obtenus par des méthodes de sélection classiques. Avec cette décision, qui fait jurisprudence, le cadre européen vole en éclat. Il destinait jusqu’à présent les brevets sur le vivant aux organismes génétiquement modifiés. »

:(((((( Breveter le vivant déjà ça me laisse sans voix mais alors breveter le vivant obtenu par sélection naturelle classique je ne sais juste pas quoi dire... :((((((((((

Via http://lehollandaisvolant.net/?id=20150418111712