Toutes ces attaques DDoS, que ça soit contre Dyn ou contre OVH me font rire jaune car la responsabilité est partagée et qu'on trouve des Picsou à tous les étages (ou presque) :

• D'un côté, on a des équipementiers (et ça date d'avant l'IOT, faut pas charrier) qui voient la sécurité comme une contrainte financière : ça coûte de l'argent de dev' de bons produits. Ça coûte de la R&D donc du blé de trouver comment faire de la sécurité sur des tout petits objets qui ont que dalle d'électricité, de RAM, de CPU, etc. C'est un monde nouveau donc on se dit qu'on peut se passer de l'expérience acquise ces 20-30 dernières années en informatique "traditionnelle" ;
  
  
• À cela s'ajoute des failles qui ne sont jamais patchées car personne n'a envie de mettre à jour ses XXXXX objets connectés ni même tous ses ordinateurs connectés à Internet de manière générale. C'est chiant, il fait beau dehors, affaire classée. Même chose pour les milliers d'équipements avec un mot de passe par défaut : c'est chiant de changer le mot de passe par défaut, faut s'en souvenir, l'utilisateur moyen ne sait même pas qu'il y en a un, bref, on veut du matos plug & forget. Et encore, là je parle des cas optimistes où il est possible de changer le mot de passe (on va y revenir au point suivant) et/ou que des mises à jour sont diffusées par l'équipementier et/ou que l'équipement puisse techniquement être mis à jour ;
  
  
• À cela s'ajoute les backdoors, les accès privilégiés que se laissent les équipementiers… avec la meilleure intention : màj auto par l'équipementier, support client simplifié, etc. C'est une partie de l'attaque contre Dyn : https://boingboing.net/2016/10/24/xiongmai.html - « That’s because while many of these devices allow users to change the default usernames and passwords on a Web-based administration panel that ships with the products, those machines can still be reached via more obscure, less user-friendly communications services called “Telnet” and “SSH.” [...] “The issue with these particular devices is that a user cannot feasibly change this password,” Flashpoint’s Zach Wikholm told KrebsOnSecurity. “The password is hardcoded into the firmware, and the tools necessary to disable it are not present. Even worse, the web interface is not aware that these credentials even exist.” » ;
  
  
• D'un autre côté, on a des sociétés commerciales (« Twitter, le PlayStation Network (PSN), PayPal, eBay ou encore Spotify, Netflix, etc. » - http://www.numerama.com/tech/203367-comment-des-cameras-de-surveillance-ont-rendu-inaccessible-une-partie-du-web.html), qui ont tout leur business sur le Net, qui comptent dans leurs rangs, des ingénieurs brillants qui savent quand même ce qu'est Internet… mais qui font le choix d'utiliser un seul et même hébergeur DNS. Allô. Internet, on essaye de ne pas créer de centre. Allô, ça fait des années et des années que les bonnes pratiques sont d'avoir plusieurs hébergeurs DNS qui utilisent des prestataires réseaux différents. Mais avoir une infra internationale redondée, ça coûte du blé. Avoir recours à plusieurs prestataires simultanément, ça fait grimper les charges sans rien apporter en produit lors d'un exercice comptable normal ;
  
  
• Mais, enfin, éviter les centres, héberger chacun-e nos moyens de communication et de diffusion des savoirs chez nous ou dans la petite structure locale n'empêchera de pouvoir réduire des petits acteurs au silence : https://benjamin.sonntag.fr/DDOS-sur-La-Quadrature-du-Net-analyse . Une prise de conscience à tous les étages, des équipementiers, aux fournisseurs de services en passant par les utilisateur-rice-s d'objets connectés kikoos ou simplement d'ordinateurs quel que soit leur format, apparaît nécessaire.

Bref, on pourra compter les DDoS, s'étonner devant leurs centaines de Mbps et aujourd'hui leurs Tbps mais ça n'aide pas : le changement à opérer est structurel et multi-acteurs. Mais, après tout : « à cœur vaillant rien d'impossible ».

Je voulais revenir sur ça à tête reposée.

Bon, déjà, confidence : je ne savais pas que Le Bon Coin fait dans les offres d'emploi (et l'apprendre n'a pas changé ma vie). Mais, de la même manière que je n'ai pas idée de comment fonctionne les numéros 4 (Facebook en ce moment), 6 (Amazon), 8 (live.com), 9 (yahoo) et le numéro 10 (orange fr) du top 500 alexa FR. Parce que je n'ai jamais utilisé ces sites web, je n'ai jamais rien posté sur FB par conviction, je n'ai jamais rien acheté sur Amazon par conviction, je n'ai jamais utilisé Le Bon Coin pour trouver du boulot car ma profession est mieux représentée par d'autres sites web (APEC, RemixJobs, Lolix, etc.), je n'ai plus utilisé l'annuaire Yahoo depuis la fin des années 90's donc j'ai totalement oublié comment cela fonctionnait (et j'ignorais que ce service a été fermé en 2014). Et ma connaissance du reste du top 500 est tout aussi approximative. Donc, si je suis le raisonnement, je ne suis pas technophile ? Je suis totalement déconnecté de la vie numérique des français-e-s ? Je ne sais donc rien du « monde numérique qui irrigue toute l’économie du pays » (ouais parce que le numérique, ça sert uniquement à faire du blé, c'est bien connu). Tout ce que je raconte en matière de numérique n'a donc aucune valeur ? Tu peux connaître le fonctionnement des sites web les plus fréquentés au monde sans n'avoir rien pigé des enjeux du numérique. Et inversement : tu peux comprendre les enjeux de la législation/régulation sans avoir vendu tes données sur Facebook et sans avoir été complice des violations du Code du travail d'Amazon.

On me répondra que la différence, c'est que Sarko aspire à diriger à nouveau le pays. Oui, mais ça ne change rien. Un-e président-e de la République n'a pas à connaître les sites web les plus fréquentés du monde. Pas plus qu'il-elle n'a à connaître la dernière société commerciale qui a produit des capotes innovantes (alors que c'est un enjeu de santé publique). Pas plus qu'il-elle n'a à connaître le nom de tous les labos pharma influents par cœur. Pas plus qu'il-elle n'a à connaître la dernière innovation en matière de guerre (alors que c'est un enjeu de défense nationale). Pas plus qu'il-elle n'a à connaître par cœur toute la géopolitique mondiale (alors qu'il est pourtant l'un-e des dirigeant-e-s du monde). Il-elle aura des ministres et des diplomates pour cela. Et tout ce monde, président-e et ministres, aura des conseiller-e-s. Le but de ces conseiller-e-s, c'est d'expliquer les grandes lignes et les grands enjeux, pas de présenter chaque site web dit "important dans la vie des français". Et ça suffit parfaitement pour éviter des erreurs législatives et de régulation. Voir : http://edgard.fdn.fr/blog/index.php?post/2016/08/12/Limiter-le-chiffrement .

Le vrai problème est en réalité que les conseiller-e-s sont des humain-e-s donc ils se trompent, ils sont influençables, ils ont fait toute leur vie dans une société commerciale dont la culture déborde sur eux-elles, etc. Le problème est donc que ces conseiller-e-s tournent en circuit fermé, qu'il n'y a que très peu de renouvellement, que c'est un clan fermé où tout le monde a le même diplôme. Si l'on extrapole, il y a un manque d'écoute de la société civile.

À l'inverse, ceux et celles qui tapent sur Sarko savent-il-elle-s prendre des décisions (c'est-à-dire trancher quand il n'y a aucune solution idéale) ? Savent-il-elle-s participer à la vie politique ? Savent-il-elle-s diriger (ça peut être de manière collaborative, hein), entretenir la motivation tout ça ? Ont-il-elle-s des notions de politique (organisation de la vie de la cité) ? Hé oui, chacun-e ses envies, ses motivations, ses compétences.

Hé sinon, vous avez remarqué que l'on parle d'un site web ? Vous n'avez pas l'impression que c'est totalement futile ? Nan parce que savoir de grandes théories, des théorèmes mathématiques, des raisonnements philosophiques, des connaissances en biologie, en sociologie, en informatique, etc., encore, ça peut se comprendre, mais connaître le nom d'un site web et ses fonctionnalités principales, c'est comme connaître le prix de la baguette de pain à Trifouilli : on s'en balance complet. C'est typiquement le genre d'info que l'on pourra retrouver. Et ça ne permet pas de faire un choix plus éclairé. Comme avoir été visité les locaux du Bon Coin ne fait pas de Sarko un plus grand stratège en matière de lutte contre le chômage.

Là, on va me dire que je me prends la tête pour un non-fait, un fait divers bidon. Justement, non, cette histoire est un des reflets d'un mal profondément ancré dans la société française. Deux maux, même :

• Croire que le-a chef-fe doit tout savoir et tout savoir faire. Dans le monde de l'entrepreneuriat, cette personne se doit de connaître/suivre/pratiquer la technique, l'entrepreneuriat, la gestion de projets, la gestion des équipes humaines et la comptabilité. Ce n'est pas un peu too much d'attendre autant de choses d'une seule personne ?! C'est le même problème en politique : on attend des choses invraisemblables de nos représentant-e-s alors que la seule qualité qu'il-elle-s devraient avoir, c'est l'écoute du Peuple, le relationnel.
  
  
• Croire que l'on peut tout savoir, tout mémoriser. Déjà, ça n'a jamais eu vraiment de sens, même 5 siècles avant JC (https://fr.wikipedia.org/wiki/Je_sais_que_je_ne_sais_rien ), mais cela n'a plus aucun sens dans une société numérique où le savoir est accessible simplement et immédiatement. Au final, pour moi, ce sont les personnes qui ont bashé Sarko qui sont déconnectées de la société numérique : ces personnes n'ont pas compris qu'en 2016, retenir le nom d'un site web et ses principales fonctionnalités, on s'en fout car on saura retrouver l'information genre « offres d'emploi » dans un moteur de recherche et on trouve Le Bon Coin. Magie.

DDoS protection and mitigation outfit Corero says it detected DDoS attacks that leveraged LDAP servers to amplify DDoS attacks 46 times, on average, and up to 55 times at peak conditions.

[...]

After studying how the attackers utilized LDAP servers, Corero says it identified a zero-day in CLDAP (Connection-less Lightweight Directory Access Protocol), the LDAP protocol implementation used with Active Directory, a service that Microsoft developed for Windows domain networks and included in all Windows Server OS distributions.

CLDAP = UDP.

Via https://twitter.com/bearstech/status/791627138277449732 via https://twitter.com/bluetouff

Un rapport qui se bonifie d'années en années en ajoutant des métriques intéressantes : en plus de BGP/route/RPKI+ROA et DNS/DNSSEC, on a désormais la dispersion des serveurs de mails entrants (introduit en 2014) et TLS (introduit en 2015).

L’observatoire encourage l’ensemble des acteurs de l’Internet à s’approprier les bonnes pratiques d’ingénierie admises pour les protocoles BGP [3], DNS [4], et TLS, et à anticiper la menace que représentent les DDoS [5]. D’autre part, l’observatoire énonce les recommandations suivantes :

• surveiller les annonces de préfixes et se tenir prêt à réagir aux usurpations ;
  
  
• utiliser des algorithmes supportant la confidentialité persistante, et abandonner SSLv2 et SHA-1 au profit de mécanismes plus robustes ;
  
  
• diversifier le nombre de serveurs SMTP et DNS afin d’améliorer la robustesse de l’infrastructure ;
  
  
• appliquer les bonnes pratiques notamment celles rappelées dans ce document, pour limiter les effets des pannes et des erreurs d’exploitation ;
  
  
• poursuivre les déploiements d’IPv6, de DNSSEC, et de la RPKI, afin de développer les compétences et d’anticiper d’éventuels problèmes opérationnels.

[...]

BGP

[...]

En 2015, à l’aide de la méthode définie dans les précédents rapports, l’observatoire a identifié 1588 AS français. Parmi ceux-ci, 1001 sont visibles dans les archives BGP, c’est-à-dire qu’ils ont annoncé au moins un préfixe pendant l’année. Un noyau dur de 869 AS actifs annonce au moins un préfixe par jour tout au long de l’année 2015, ce qui représente environ 87 % du nombre total d’AS distincts visibles au cours de l’année. Parmi les 13 % d’AS visibles restant, environ 50 % d’entre eux l’ont été pendant la moitié de l’année. Enfin, 587 AS répertoriés n’ont pas annoncé de préfixe en 2015.

[...]

[...] Pour IPv6, il est intéressant de noter que le graphe de connectivité comporte beaucoup moins d’AS qu’en IPv4.

[...]

L’Internet français dépend d’AS étrangers pour faire transiter le trafic entre certains AS français. L’enveloppe de l’Internet français contient l’ensemble des AS français et tous les AS se trouvant entre deux AS français sur un AS_PATH. La figure 1.5 montre, qu’en IPv4, leur nombre a crû lentement tout au long de l’année pour atteindre 293, un nombre légèrement inférieur à celui observé en 2014. En IPv6, comme en 2013 et 2014, une cinquantaine d’AS étrangers sont nécessaires pour interconnecter tous les AS français.

[...]

L’impact de la panne d’AS pivots est un élément important qui permet d’évaluer la robustesse de la connectivité. La figure 1.7 montre qu’en IPv4, seuls 7 AS pivots affecteraient au moins 10 AS en cas de défaillance. Il s’agit d’une légère amélioration par rapport à 2014. En revanche, l’AS pivot le plus critique aurait un impact sur 42 AS, contre 35 en 2014. Ce résultat, sans être dramatique, pointe cependant la nécessité d’être vigilant quant aux évolutions de dépendance des AS. Pour IPv6, la figure 1.8 montre qu’il existe moins d’AS pivots qu’en IPv4 [ NDLR : 4 versus 7 en IPv4 ]. Cependant, vis-à-vis de 2014, le nombre d’AS pouvant être déconnectés a augmenté. Il s’agit d’un résultat intéressant qui découle naturellement de l’évolution de l’Internet IPv6 français, et de la croissance du nombre d’AS IPv6 pivots.

[...]

En IPv6, le nombre d’AS a augmenté de 13 % en 2015, contre 6 % l’année précédente. Le nombre d’AS pivots a quant à lui légèrement augmenté. Cela semble indiquer un accroissement du déploiement d’IPv6 par les AS français.

[...]

En 2015, l’observatoire a détecté 6392 conflits d’annonces. Ils ciblent 344 AS français distincts, et 1350 préfixes. [...] Ainsi, seuls 2070 conflits anormaux seront considérés lors de l’identification des usurpations. [...] Sur les 2070 conflits anormaux, 1480 conflits correspondent à des réannonces de table globale [ NDLR : 71 %, quoi ] . [...] Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS [...] Le filtrage basé sur la similarité des noms des AS a permis d’identifier 4 conflits entre un opérateur et sa filiale française. Celui sur les numéros d’AS a mis en évidence une erreur de configuration d’un routeur BGP ayant engendré 5 conflits distincts. Ces filtres automatiques limitent efficacement les analyses manuelles à effectuer. Seuls 89 conflits anormaux, doivent ainsi être étudiés attentivement. À l’issue des analyses automatiques et manuelles, il reste 40 conflits anormaux qui pourraient être des usurpations de préfixes. Afin de réduire leur nombre, seuls les conflits anormaux comportant des annonces plus spécifiques sont conservés. Il apparait ainsi que 26 conflits anormaux correspondent à des usurpations dont les durées vont de cinq minutes à quatre jours.

[...]

Une fois la corrélation effectuée, seuls 35 AS sont à l’origine de réannonces de table globale. Certains AS ayant fait des réannonces plusieurs fois en 2015, ces résultats correspondent à 38 réannonces de table globale dans l’année, soit plus de 3 par mois. Parmi ces 35 AS, seulement 14 ont été en conflit avec des AS français aux dates où les réannonces de table globale ont été détectées, impactant 175 AS français au total.

[...]

L’algorithme utilisé est restrictif et tend à minimiser le nombre de faux positifs au détriment du nombre de faux négatifs. Une analyse manuelle a confirmé que le nombre total de réannonces de table globale dépasse les 38 détectées.

[...]

Au cours de l’année 2015, l’observatoire a mis en évidence 149 conflits anormaux qui correspondent à des protections contre les DDoS, allant de quelques heures à plusieurs mois. Les AS français protégés sont de natures différentes, comme des hébergeurs, des assurances, ou des sites de paris en ligne. Il est intéressant de souligner qu’aucun des opérateurs spécialisés utilisés n’était français.

[...]

Début juillet, un AS russe a été à l’origine de 5 conflits distincts ciblant un AS français. Ce comportement est suspect, et similaire aux observations effectuées en 2014 liées aux campagnes de spam [17]. Durant l’année, il a annoncé près de 150 préfixes différents ne lui appartenant pas. Parmi les autres conflits anormaux, une dizaine correspond très probablement à d’autres campagnes de spam utilisant BGP. Un AS roumain identifié dans le rapport précédent a effectué ce type d’usurpations en 2015.

[...]

Finalement, 15 conflits anormaux possèdent des caractéristiques semblant indiquer qu’il s’agit très probablement d’usurpations de préfixes ayant touché des AS français.

[...]

Les destructions d’objets route et objets route6 inutilisés ne sont pas systématiques et restent très marginales par rapport aux nouvelles déclarations.

[...]

RPKI+ROA

[...]

L’étude des déclarations effectuées dans le dépôt du RIPE-NCC de la RPKI montre que le nombre d’AS participants a crû au cours de l’année 2015. Au début du mois de janvier, 198 AS français avaient des ROA dans la RPKI. Au 31 décembre, la RPKI contient des déclarations issues de 237 AS français, ce qui représente une croissance de près de 20 %. On remarque que cette augmentation est bien plus faible que celle observée au cours de l’année précédente. En 2014, le nombre d’AS participant à la RPKI avait augmenté de près de 80 % entre le début du mois de janvier et la fin du mois de décembre.

[...]

Au 31 décembre 2015, environ 65 % de l’espace d’adressage est valide selon la RPKI. En parallèle, les pourcentages de l’espace d’adressage non couvert et de l’espace d’adressage invalide sont restés stables au cours de l’année. Au 31 décembre 2015, 34,4 % de l’espace d’adressage n’était pas couvert. Le pourcentage de l’espace d’adressage invalide reste, quant à lui, relativement faible au cours de l’année. À la fin de l’année 2015, ce pourcentage est de 0,4 %. En ce qui concerne IPv6, l’espace d’adressage géré par les AS français est très faiblement couvert par les déclarations de la RPKI. À la fin de l’année 2015, les ROA couvraient moins de 1 % de cet espace d’adressage. Il n’y a donc pas eu d’évolution significative de cette couverture depuis 2014.

Donc RPKI+ROA progresse mais doucement et uniquement en IPv4.

[...]

Ces résultats montrent qu’en cas de filtrage strict basé sur la RPKI, près de 12 % des AS actifs à la fin de l’année 2015 verraient l’ensemble de leurs préfixes propagé dans l’Internet. Cette proportion est comparable à la valeur observée en 2014.

DNS

[...]

Le risque d’un TLD indisponible n’est pas théorique. Par exemple, en décembre 2015, le TLD .tr a subi une attaque DDoS 7 pendant trois semaines [21], avec des périodes où l’ensemble de ses serveurs DNS étaient inaccessibles.

[...]

Le nombre d’enregistrements NS par zone déléguée reste suffisant pour permettre une bonne résilience, du point de vue de cet indicateur. En effet, moins de 1 % des zones n’utilisent qu’un seul enregistrement NS, qui pourrait donc constituer un SPOF.

[...]

[...] Le déploiement d’IPv6 sur les serveurs DNS faisant autorité a stagné en 2015. Ainsi, environ 41 % des zones ne sont accessibles qu’en IPv4.

[...]

En 2015, le nombre moyen d’AS par zone reste équivalent à celui de 2014, et stagne à 1,2. Par ailleurs, la quantité de zones hébergées par un seul AS reste stable depuis 2011, culminant à 83 % des zones étudiées.

[...]

Répartir, ou être en mesure de répartir, ses serveurs de noms dans des préfixes /24 en IPv4 et /48 en IPv6 distincts peut également constituer une bonne pratique de résilience 9 . Cela permet notamment de limiter les zones de pollution BGP et d’accroître l’agilité face aux dénis de service distribués.

Ha ouaiiiis, j'y avais jamais pensé : si l'on ne peut pas externaliser ses zones dans plusieurs AS, une dispersion par préfixe permettra de réagir, certes de manière rustique, à une attaque DDoS.

L’étude de la répartition des serveurs de noms dans des préfixes est effectuée uniquement sur les zones étant hébergées sur au moins deux adresses IP. En IPv4, la figure 2.4a montre que 87 % des zones peuvent être ou sont annoncées dans des préfixes /24 distincts. En IPv6, ce chiffre s’élève à 98 % pour des préfixes /48 distincts, comme détaillé dans la figure 2.4b.

[...]

Comme pour les années précédentes, en 2015, tant en IPv4 qu’en IPv6, près de 82 % des zones étudiées sont servies exclusivement par des serveurs faisant autorité situés dans un même pays. *En IPv4, les zones dont tous les serveurs DNS faisant autorité sont dans un même pays étranger représentent 27 % des zones étudiées. Il convient néanmoins de noter que 75 % d’entre elles sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine. Cette situation ne présente donc, a priori, pas un risque significatif. Pour près de 20 % de ces zones, le constat est plus mitigé, ces dernières étant hébergées en Amérique du Nord.

Pour IPv6, les zones hébergées dans un seul pays étranger représentent 30 % des zones ayant des serveurs DNS accessibles en IPv6. Parmi celles-ci, près de 85 % sont hébergées dans un pays ayant une frontière terrestre avec la France métropolitaine.

[...]

DNSSEC

[...]

Un peu moins de 9 % des zones étudiées mettent en œuvre DNSSEC en 2015. La croissance est essentiellement due à la création de nouvelles zones en 2015.

On voit le poids de l'inertie mais aussi la centralisation : il suffit qu'un gros hébergeur DNS propose une option "DNSSEC en 1 clic" et lala.

[...]

Près de 92 % des zones étudiées mettent en œuvre l’algorithme de hachage SHA-1, jugé insuffisant d’après les bonnes pratiques actuellement admises en cryptographie. À l’inverse, près de 98 % des zones étudiées utilisent bien l’algorithme de hachage recommandé SHA-256 pour créer la chaîne de confiance DNSSEC.

Parce que c'est les bureaux d'enregistrement qui poussent en SHA-256 de manière automatique, peut-être ?

[...]

SMTP

[...]

Un seul relais de messagerie est renseigné pour 38 % des zones déléguées. Le risque d’impossibilité de recevoir de nouveaux messages électroniques est donc accru par la présence d’un SPOF.

[...]

Un unique enregistrement MX ne signale pour autant pas la présence d’un SPOF au niveau du plan d’adressage. En effet, plusieurs adresses IP peuvent être indiquées pour un même nom de domaine ou une IP peut être annoncée sur l’Internet en employant la technique de l’anycast. De même, une adresse IP peut être virtuelle et répartie sur plusieurs serveurs physiques, grâce à des répartiteurs de charge.

[...]

IPv6 reste peu déployé. Ainsi, pour près de 89 % des zones, aucun des noms de serveur contenus dans les enregistrements MX n’a d’adresse IPv6 associée. Parmi les 11 % restants, pour 81 % de ces zones, un seul nom contenu dans les enregistrements MX peut être résolu en une unique IPv6.

Ainsi, IPv6 progresse au niveau routage mais on ne voit pas encore de répercussions au niveau service (DNS et SMTP) ?

[...]

Jusqu’à 86 % des zones étudiées introduisent au moins un SPOF dû au choix des noms de leurs relais de messagerie. En particulier, 64 % des zones étudiées créent deux SPOF en utilisant des noms situés dans un nom public situé sous un unique TLD tiers.

[...]

[...] En particulier, 71 % des relais de messagerie sont hébergés par quatre opérateurs. Cette concentration peut parfois aider à la mutualisation des moyens. Cela peut présenter un intérêt pour la défense contre certaines attaques en déni de service. Le filtrage du courrier indésirable peut également être partagé. Il convient de noter, néanmoins, un risque de défaillance collective en cas d’incident affectant les composants mis en commun.

Concentration SMTP aussi forte que DNS (70 % des zones hébergées par 4 hébergeurs DNS en 2013 selon le même rapport.

[...]

L’essentiel des relais de messagerie des zones étudiées est localisé en France, tant en IPv4 qu’en IPv6.

[...]

La concentration des relais de messagerie entrants sur quelques opérateurs réseaux est significative. En IPv4, un opérateur est responsable de la connectivité de 47 % des relais des zones étudiées. En IPv6, ce chiffre monte à 69 %.

[...]

TLS

[...]

Les mesures de l’observatoire se sont concentrées sur les ressources web accessibles à travers l’Internet français. Elles concernent plus spécifiquement les ressources exposées via le port 443, traditionnellement alloué par les serveurs aux échanges HTTPS. Les enjeux liés aux ressources de messagerie en ligne diffèrent en plusieurs points [45] et ne sont pas abordés dans le présent rapport.

Les noms de domaine issus du registre maintenu par l’Afnic 5 ont été préfixés de www. avant d’être résolus. Par exemple, les mesures effectuées sur le domaine afnic.fr correspondent à l’adresse IPv4 résolue pour www.afnic.fr. Lorsque le port 443 du serveur interrogé était ouvert, l’observatoire a envoyé différents stimulus ClientHello, dont les variations visaient à évaluer plusieurs capacités du serveur, telles que sa prise en charge de la confidentialité persistante ou encore sa tolérance envers des versions obsolètes du protocole.

[...]

L’extension SNI 6 [41] n’ayant pas été utilisée au sein des ClientHello, les mesures ne réunissent pas l’ensemble des ressources exposées via HTTPS sur la zone .fr. En interrogeant de ce fait un serveur par nom de domaine résolu, un sous-ensemble de 61 216 serveurs accessibles a ainsi été interrogé en juillet 2015, contre 26 261 en février 2014.

[...]

75 % des serveurs sont aptes à négocier une session TLS 1.2, en nette augmentation par rapport aux 54 % de 2014.

[...]

TLS 1.2 est couramment pris en charge par les serveurs de la zone .fr en 2015. TLS 1.0 est présent à égale mesure, mais clients comme serveurs devraient privilégier la version la plus récente du protocole.

[...]

En 2015, l’offre de confidentialité persistante s’est généralisée sur la zone .fr. Les serveurs doivent privilégier cette méthode auprès des clients qui la prennent en charge.

On passe de 50 % à 74 %.

[...]

En 2015, de nombreux serveurs tolérant SSLv2 sont apparus. Cette version de protocole doit être abandonnée au plus vite.

WTF sérieux…

[...]

Le tableau 3.1 fait état du nombre de certificats distincts relevés au cours des deux campagnes de mesure lancées sur la zone .fr en 2014 puis 2015. À près de dix-huit mois d’écart, la proportion de certificats auto-signés de 41 % est restée inchangée.

Comme quoi, Let's Encrypt partout, ce n'est pas le mot d'ordre de tout le monde (et à juste titre selon moi, voir http://shaarli.guiguishow.info/?i-OcNA ).

[...]

Mi-2015, le taux de présence de SHA-2 est monté à 55 %, et le taux de présence de SHA-1 est descendu en conséquence à 44 %. [...]

[...] The botnet is having DoS attack mechanism like UDP flood, TCP flood, along with other series of attack methods, in both IPv4 and IPv6 protocol, with extra IP spoof option in IPv4 or IPv6 too.

Via https://twitter.com/bortzmeyer/status/793148787770400769

Ça fait quelque temps que j'ai envie de prendre des notes pour me souvenir de Nuit Debout.

• Un mouvement parmi d'autres, comme Les Indignés d'Espagne et Occupy Wall Street : des happenings joyeux et puis… c'est tout (bon, Podemos prend ses racines dans Indignés mais bon, un blocage politique qui reconduit les vieux routards de la politique politicienne, ce n'est pas une réussite, àmha) ;
  
  
• Le truc qui m'avait le plus fait rire jaune sur le vif, c'était les jeunes qui s'y croyaient en mode "OMG les gens de tout horizon se parlent, on n'a jamais vu ça, on apprend la démocratie mais OMG quoi c'est trop inédit OMG !" (exemple ici : https://www.youtube.com/watch?v=RJqhRNH5Uzc ). Pour moi, Nuit Debout est un prolongement des débats ouverts qui avaient lieu à la Sorbonne et ailleurs en 68. Pour moi, c'est un prolongement des lieux d'échange que l'on a sur le net. Pour moi, on est loin d'une révolution de la parole libérée qui occupe un espace, on est sur une ré-édition. Ça n'enlève pas les vertues du mouvement mais ça aide à mieux se positionner et à se présenter ;
  
  
• Ma remarque la plus négative sur le mouvement était et est toujours son inaptitude à bouger en dehors de l'organisation de trucs choupis comme des stands, une bibliothèque, des pirate box ou une cuisine populaire (là encore des modes d'action vus et revus). Voir : https://odieuxconnard.files.wordpress.com/2016/04/nuitdebout.jpg . Dans ma tête, je fais le parallèle avec l'IETF qui, à l'inverse, fonctionne : ça discute beaucoup, par écrit et en public, au-delà de simples considérations techniques, parfois sur des points clés sur lesquels une masse de personnes n'est jamais d'accord, mais pourtant, ça produit des normes techniques et du « running code » par consensus sans dire si ça sera utilisé/appliqué ensuite "dans la vraie vie". Nuit Debout, comme Occupy et les Indignés, a foiré sa transition, àmha. On pourra m'objecter que le profile démographique n'est pas du tout comparable mais je ne pense pas que ça change tout : qu'est-ce qui empêche la spécification du projet "nuit debout" d'aboutir ? C'est ça, la question ;
  
  
• Pour nuancer le point précédent, je reconnais aussi que Nuit Debout a produit des choses intéressantes : des hackathons à visée politique (mais y'a pas que Nuit Debout sur ce créneau-là, loin s'en faut), des jeux vidéos militants, l'apprentissage de la lutte et de la construction en temps et terrain hostiles (même si je n'ai pas vu beaucoup de documentation en sortir :( ), apprendre à ne pas se faire bouffer par la communication (voir http://www.regards.fr/web/article/nuit-debout-anticapitalistes-et-bisounours-se-disputent-la-communication ) et les politiques de carrière (chose qui a dépassé le Parti Pirate qui niait ce besoin d'apprendre l'existant et comment se jouer de lui) ;
  
  
• Est-ce qu'on est sur un mouvement inclusif ? Pas sûr : le mouvement s'est construit sur l'anti-élite et la lutte contre le fascisme, à partir de là, y'a déjà de l'exclusion (mais c'est contre des personnes dominantes donc ça passe, probablement). Voir : https://www.youtube.com/watch?v=D7kmQer2wOg . On voudrait que tout le monde participe sauf les relou-e-s arbitrairement désigné⋅e⋅s. Sauf qu'il faudra faire société avec eux-elles à moment donné, hein. Ouais, on refait une élite, quoi. On voudrait faire un mouvement Politique apolitique alors qu'il y aura toujours des avis divergents donc des "clans" qui n'auront pas la même définition du projet de société à conduire. On voudrait un mouvement disruptif mais consensuel. Et c'est peut-être pour cela que la spécification du projet "nuit debout" échoue : on essaye de synthétiser tous les avis divergents pour produire ZE projet de société. Décider, c'est quand il n'y a pas de choix idéal, ce n'est pas faire plaiz' à 100 % de la population française ou mondiale. Parler au nom des 99 % quand t'as un public en majorité jeune, blanc et qui a fait des études, c'est mignon aussi. De même pour les femmes qui ont eu du mal à se faire entendre et à se faire respecter sur place (voir https://www.slate.fr/story/117733/nuitdebout-agressions-sexuelles-sexisme ) ;
  
  
• De là à vouloir basher les personnes présentes aux Nuits Debout comme l'ont fait Copé ("personnes déconnectées de la réalité") et Sarko ("des personnes sans cerveau"), de là à vouloir interdire ces rassemblements et à les dégager par la force, faut pas pousser ;
  
  
• La question posée par Nuit Debout comme par les autres mouvements sus-cités est la même : comment prolonge-t-on les débats, c'est-à-dire comment agit-on et sous quelles formes ? Une question sous-jacente est : comment re-motiver les déçu-e-s du mouvement (comme le fût Renaud vis-à-vis de 68) ?