GuiGui's Show

‒ C'est quoi les logins du routeur numéro 1481 ?
‒ Admin/password
‒ C'est bien ce qu'il me semblait.

Haha, tellement vrai. :)

J'ai encore l'historique de conversation avec des contacts supprimés de mon roster depuis plus de 2 ans. Pour y remédier (avec Gajim fermé, ofc) :

sudo apt-get install sqlite3
cp ~/.local/share/gajim/logs.db ~/.local/share/gajim/logs.db.old
sqlite3 ~/.local/share/gajim/logs.db
sqlite>delete from logs where jid_id=11;
sqlite>delete from logs where jid_id=13;
sqlite>.quit

Cela fait plusieurs années que j'avais envie de rendre public ce travail mais je n'en avais jamais eu le courage ni même le temps (la rédaction de la partie « mise en œuvre » est coûteuse en temps). C'est désormais chose faite. \o/\o/\o/\o/\o/\o/\o/\o/\o/\o/

Cet article relate la mise en œuvre d'un réseau Wi-Fi sécurisé et monitoré du type de ce que l'on peut trouver dans une société commerciale, une université ou une association. [...]

Même si cette mise en œuvre se situe dans un cadre scolaire (« bouh c'est nul, on ne fait pas comme ça en vrai ! » diront certains), je pense qu'elle vaut la peine d'être partagée et d'être lue car les technos étudiées (RADIUS, 802.1X, radvd/dhcpv6, etc.) sont intéressantes et que les problématiques posées sont celles que l'on rencontre dans de vrais déploiements : RADIUS, limites de l'accounting RADIUS dans un réseau Wi-Fi 802.1X, problématiques légales autour des données de connexion, cohabitation entre SLAAC et DHCPv6, etc.

[...]

[...] il nous a été demandé de :

• Mettre en place un hotspot Wi-Fi avec une authentification UAM (un portail captif, quoi) et une authentification 802.1X, similaire aux réseaux Wi-Fi universitaire OSIRIS et OSIRIS-sec déployés par la direction informatique de l'université sur tout le campus ;
  
  
• Chaque client Wi-Fi doit avoir une connectivité IPv4 et IPv6 ;
  
  
• Produire des logs et mettre en place une solution de supervision qui fait remonter des informations pertinentes (état de la machine passerelle, état des liaisons, trafic, types de trafic, etc.) ;
  
  
• Aucune solution de filtrage (de sites web, de ports, de noms de domaine,…) ou de traçabilité (qui a consulté telle ressource à telle heure) n'a été demandée. En conséquence, nous n'avons installé aucun serveur proxy ou autres outils ;
  
  
• Configurer un mobile node IPv6 sur une machine cliente de notre point d'accès Wi-Fi ;
  
  
• Nous verrons tout au long de cet article que des consignes et des recommandations informelles ont été ajoutées par le prof' tout au long de ce TP.

Excellente vulgarisation, à faire tourner.

« Algorithme ». C'est le nouveau mot à la mode, celui qu'on nous ressort à toutes les sauces, même si on ne sait pas du tout de quoi on parle. [...]

[...] Puisque la presse a décidé de faire de ces « algorithmes » un énième épouvantail à cons (après les roms, le burkini, les casseurs en manif et les chômeurs), je pense qu'il est nécessaire de dédramatiser un peu le sujet.

Vous voulez dire qu'on ne va pas céder à l'hystérie collective en pointant du doigt un bouc émissaire pour nos problèmes ? Je suis super-déçu. C'est bien le drame, non ?

Un algorithme, c'est juste une suite d'instructions appliquées méthodiquement pour obtenir un résultat.

Pour faire simple, on peut dire qu'un algorithme est une notion abstraite et qu'un programme est sa représentation concrète. [...] Un programme est donc un algorithme qu'on représente dans un langage informatique.

En vrai, il y a plusieurs algorithmes en œuvre dans un même programme informatique. Un algorithme pour trier les valeurs dans un tableau, un algorithme pour afficher ces valeurs séquentiellement, etc.

Une mélodie (pas les sons émis mais le concept) est une notion abstraite. Une partition musicale est une des nombreuses représentations possibles du concept de mélodie.

Mais un algorithme, en tant que suite d'instructions suivies méthodiquement, ça se passe d'ordinateur. Vous en utilisez vous-même tous les jours.

Exemple : regarder à droite et à gauche jusqu'à ce qu'il n'y ait plus de voiture avant de traverser une rue.

Bien sûr, nous ne pouvons pas définir chacune de nos actions sous forme d'algorithmes bien définis et inaltérables. [...] Parce que la vie est complexe, changeante et qu'une suite d'instructions définies à un instant ne va pas forcément convenir à toute situation.

Exemple : on cesse d'appliquer l'algorithme précédent quand un-e conducteur-rice nous laisse passer.

Néanmoins, pour tous les domaines bien balisés comme l'administration, des algorithmes aussi rigides que des programmes informatiques sont déjà utilisés depuis belle lurette : « alors, pour votre passeport, il faut que je scanne vos documents, que je prenne vos empreintes, que vous me donniez la référence de votre timbre fiscal… ». Ceci est une description d'un algorithme. Si une seule des conditions n'est pas remplie, on ne passe pas à l'étape suivante.

Dans ce genre de cas, remplacer l'humain par un programme ne comporte que des avantages : le programme va immensément plus vite, ne se fatigue pas, [...] et fera toujours exactement ce qu'on lui demande. [...] Ça n'est une catastrophe que s'il n'y a que les propriétaires des machines qui en profitent. Mais chut, on risquerait de parler de redistribution des richesses, de salaires à vie voire de remise en cause du droit de propriété des grands moyens de production… c'est mal vu.

[...]

[...] Qu'est-ce qui fait peur lorsque l'on parle d'algorithme ?

Tout d'abord, l'opacité. Vous ne savez pas ce que je fais ni comment. Si on peut facilement vérifier selon quelles règles fonctionne une administration (même si c'est parfois la Maison des Fous d'Astérix), c'est impossible avec un programme opaque.

Pour cela, il y a une condition qui devrait être non-négociable : tout programme utilisé pour les besoins des services publics devrait être à source ouverte. De la même manière que les textes de lois sont en accès libre.

Ensuite, l'arbitraire.

Faire la différence entre un algorithme déterministe qui produit toujours le même résultat à partir des mêmes données à traiter et un algorithme non-déterministe qui comporte une part d'aléatoire. Chaque type d'algos à ses usages : il vaut mieux un algo non-déterministe pour la distribution des cartes dans un jeu de cartes.

L'aléatoire dans les algorithmes a-t-il une influence certaine sur nos vies ou est-ce que nos vies sont déjà des successions de hasards ?

Et c'est là toute l'arnaque : si un algorithme, c'est neutre, choisir d'utiliser un algorithme pour gérer tel ou tel aspect de la vie publique, par contre, c'est un choix politique !

La question n'est pas de savoir comment on résout un problème (avec ou sans algorithme) mais pourquoi fait-on le choix d'un algorithme et de tel algorithme et pas d'un autre. Exemple de la loi Renseignement :

Que les comportements suspects soient repérés par un fonctionnaire, un algorithme ou le chien de ma belle-sœur, fondamentalement, on s'en tamponne le processeur ! Si l'anonymat est levé par le programme, c'est qu'il n'a jamais exité ! L'algorithme ne dispose de ni plus ni moins d'informations que celles qu'on lui donne. Donc la population est bien fliquée intégralement, quoi qu'il arrive.

Bref, retenez 3 choses sur les algorithmes :

1 Il n'y a pas à en avoir « peur ». Un algorithme, ce n'est jamais qu'un processus défini qui pourrait tout aussi bien être effectué par un/des humain(s) (il le ferait moins vite, c'est tout).

2 Par contre, faites gaffe à ce qu'on vous vend avec ce mot. L'algorithme n'est jamais qu'un moyen. Cherchez toujours la fin derrière ce moyen. Parce que c'est sur ce point que devraient se jouer les débats politiques qu'on essaie de détourner en nous enfumant avec un mot à la mode.

« Moui alors pour la question des aides au logement, nous allons étudier l'utilisation d'un algorith… » Non mais on s'en fout. Dites-nous quelles sont les règles. Que ce soit un algo ou un gugus derrière, on s'en bat les gonades.

3 Pas d'algorithme acceptable sans accès au code source !

In the first half of 2016, Open Whisper Systems (OWS) -- the maker of Signal and creator of the encryption used by Google Allo and Facebook Messenger -- was served a subpoena for information concerning two users of the service. That's not out of the ordinary. But what was odd and troubling was the gag order that accompanied the court order for information.

[...]

Meanwhile, because Signal doesn't collect any user data other than a phone number and uses end-to-end encryption, the only thing it could share with authorities was when one of the phone numbers signed up for an account and when that number logged on last.

Déjà, pourquoi les 06 sont connus et conservés par Signal ? Je croyais que depuis la fin du mode SMS de TextSecure, tout était que de la communication au-dessus d'IP ? Quel intérêt alors de récolter cette info ? :/

Ensuite, Signal utilise Google Cloud Messaging pour la mise en relation (voir http://shaarli.guiguishow.info/?vungLg ). La grosse société commerciale de stockage de données personnelles qui sait rechercher une aiguille dans des gros volumes de données. Donc Google peut savoir qui échange avec qui. Cette fois-ci, la justice n'a pas été frapper à la bonne porte mais ça peut ne pas durer.

Bref, je me méfie beaucoup de cette posture "on n'a rien pu fournir comme données sur nos utilisateur-rice-s".

Via http://sebsauvage.net/links/?Eb9HsA

Yahoo! a conçu et mis en place en 2015 un programme informatique pour surveiller en temps réel les boîtes e-mail de tous ses utilisateurs, afin d’y détecter des mots-clés : c’est ce qu’affirme une enquête de l’agence Reuters, s’appuyant sur les témoignages de deux anciens employés. Selon Reuters, ce programme a été conçu pour répondre à une directive américaine, restée secrète, qui pourrait émaner d’une demande de la NSA (les services de renseignement) ou du FBI (la police fédérale).

Yahoo! n’a démenti que très partiellement les accusations, se bornant à assurer que l’entreprise respectait les lois américaines.

Sauf que la loi (Patrioct Act) dit précisément que c'est open-bar pour les services de renseignement pour surveiller un-e non-américain-e (et que pour savoir qui est américain ou non, ils jouent aux probabilités). Et quand je vois que Verizon avait filé toutes les données de connexion, même de citoyen-ne-s américain-e-s, je me dit que ça doit être toout autant open-bar pour les américain-e-s.

Les détails de ce programme sont encore largement inconnus – tout juste sait-on que son but était d’identifier, en temps réel, des « sélecteurs », des mots-clés dans le jargon des services de renseignement, qui peuvent être aussi bien un mot qu’une adresse e-mail ou l’adresse IP d’une machine.

[...]

Pour Amnesty International comme pour le lanceur d’alerte Edward Snowden, qui a révélé l’existence du système de surveillance d’Internet mis en place par la NSA américaine, cette nouvelle affaire Yahoo! démontre dans tous les cas que les réformes du renseignement entreprises depuis 2013 n’ont été qu’une illusion. « Souvenez-vous, pendant les négociations sur l’accord sur les transferts de données entre l’Europe et les Etats-Unis, le gouvernement américain disait que ce type de choses n’arriverait jamais », écrit Edward Snowden sur Twitter.

Ici, on parle du Privacy Shield, remplaçant du Safe Harbor (voir http://shaarli.guiguishow.info/?2QNnaA ). L'argument de la CJUE pour casser le Safe Harbor a été de dire, en gros, que la surveillance de masse opérée aux USA est incompatible avec le régime européen de traitement des données persos d'où il n'y a plus la possibilité d'un échange automatique de ces données. Et lors des discussions autour du Privacy Shield, on a en effet entendu de belles promesses des USA que la surveillance de masse avait cessée et tout et que donc un nouvel accord de libre échange des données persos est compatible avec le droit de l'Union. Trolololololololo.

Sollicités ce 4 octobre par la presse américaine, Apple, Facebook, Microsoft et Google ont toutes nié avoir reçu une demande similaire à celle faite à Yahoo!.

Là aussi, c'est du bullshit complet : la loi impose à ces sociétés commerciales de se taire. Point.

En 2013, l’excellent rapport Trojette sur l’ouverture des données publiques alertait le Premier Ministre sur les risques juridiques et constitutionnels des redevances mises en place par l’administration pour manipuler certaines données publiques.

Trois ans plus tard, et malgré l’adoption de deux lois sur l’Open Data, ni la Loi Valter, ni la Loi pour une République Numérique n’ont permis de lever les doutes formulés sur les redevances. Pire, aucune étude n’a été conduite sur la question.

Profitant de la parution au Journal Officiel du 30 juillet du décret Placé d’application de la loi Valter, l’association Regards Citoyens s’essaie à une nouvelle forme d’hacktivisme pour défendre l’ouverture des données publiques. Elle a déposé vendredi dernier un recours devant le Conseil d’État contre ce décret, soulevant notamment une question prioritaire de constitutionnalité (QPC) à propos des redevances sur la base, entre autres, des arguments avancés par M. Trojette dans son rapport.

Le recours déposé par Regards Citoyens le 30 septembre 2016 prend la forme d’une requête introductive d’instance, à compléter sous trois mois d’un mémoire complémentaire. Il sera également nécessaire, si le Conseil d’État accède à la demande de QPC, de rédiger un mémoire pour le Conseil constitutionnel. Les ressources humaines de Regards Citoyens étant plus geek que juridiques, nous en appelons à l’aide de toute personne acquise à la cause de l’ouverture des données publiques, et qui aurait des compétences en droit, pour nous aider dans la rédaction de ces documents.

Via #tetaneutral.net

[...]

Adopté à une large majorité cette semaine en commission, il prévoit qu’une personne victime d’une infraction prévue par la loi de 1881 (injure, diffamation…) pourra demander une réparation en droit de la presse (droit de réponse par exemple) mais aussi, séparément, sur le fondement des articles 1382 et suivants du Code civil. Or, aujourd’hui, la jurisprudence (Cour de Cassation 12 juillet 2000) a prévu justement que « les abus de la liberté d’expression prévus et réprimés par la loi du 29 juillet 1881 ne peuvent être réparés sur le fondement de l’article 1382 du Code civil ».

« Cela ne va pas à l’encontre du droit de la presse », estime le socialiste Alain Richard, co-signataire de l’amendement, qui ajoute : « C’est une plaisanterie ! Ce régime pose un vrai problème d’inégalité des victimes. On parle d’atteintes à la vie privée, à l’intégrité, qui peuvent être très graves pour les personnes et elles ne pourraient pas obtenir de réparation au civil sous prétexte que cela relèverait du droit de la presse ? Les éditeurs vont devoir s'y faire ».

Heeeeeeeu sauf qu'un procès pour un délit de presse comporte un volet dommages et intérêts, hein.

[...]

En clair, certains dans la presse, craignent que les contenus litigieux ne soient plus appréciés à l’aune de la loi de 1881 qui contient une liste d’infractions très précises, mais soient laissés à « l’appréciation du juge et à sa subjectivité ». Conséquence : les journalistes pourraient alors s’auto-censurer car ils ne sauraient pas de façon précise à quoi ils s’exposent.

[...]

Autre proposition adoptée très majoritairement par la commission, la modification du délai de prescription pour la presse en ligne. [...] Pour les sénateurs, il faut plus de temps pour porter plainte car les contenus sur Internet peuvent avoir un retentissement gigantesque et parce qu’il peut être très difficile de retrouver l’auteur. Concrètement, cela pourrait donc être infini puisque de nombreux journaux conservent l’intégralité de leurs archives en ligne. Mais un compromis vient d’être trouvé avec le gouvernement, explique Alain Richard : « Nous pourrions fixer une date butoir dans le temps : l’auteur du contenu pourrait être attaqué dans les 3 mois qui suivent le retrait de l’article et dans une limite de 3 ans après la première publication sur Internet. »

Le retentissement peut être gigantesque donc les plaignants ont laaaaargement assez de 3 mois pour porter plainte puisqu'ils voient passer les propos, CQFD ! La LCEN impose un temps de réponse court à l'éditeur avant de pouvoir demander l'identité de celui-ci à l'hébergeur. Si tout cela est en dehors du territoire national, c'est potentiellement perdu mais ça l'est même sans cette modification ! Dans tous les cas, c'est bien à la police de retrouver les auteurs, pas aux plaignants donc il faut porter plainte donc dans les 3 mois, CQFD.

Rappel : l'équilibre de la liberté de la presse et de la liberté d'expression est sur la sellette du Sénat. Y'a-t-il des citoyen-ne-s dans la salle pour se bouger auprès des élu-e-s pour éviter cette atrocité ? Il reste jusqu'à mardi.

Le projet de loi sur l’égalité et la citoyenneté sera discuté en séance publique à partir du 4 octobre au Sénat. Retour sur les dispositions relatives à la liberté d’expression et leurs effets sur les publications en ligne, professionnelles ou non.

À l’occasion des débats autour de ce texte d’origine gouvernementale, les parlementaires ont eu pour riche initiative de modifier des pans entiers du droit de la presse. Derrière le vocable, pas de confusion : ce ne sont pas des règles réservées aux seuls journaux, mais bien tout l’arsenal qui permet à une prétendue victime de trainer une personne pour abus de la liberté d’expression, notamment sur les réseaux. [...]

L’arrêt d’un site aux contenus discriminatoires

Depuis 2007, l'article 50-1 de la loi du 29 juillet 1881 permet au ministère public et à toute personne ayant intérêt à agir de demander au juge des référés d'ordonner l'arrêt d'un site Internet. Il suffit que celui-ci contienne des messages de provocation publique à la discrimination, à la haine ou à la violence raciale et de contestation des crimes contre l'humanité. Et que ces messages constituent « un trouble manifestement illicite ».

Avec ce projet de loi, le gouvernement et les parlementaires ont étendu ce mécanisme à la diffamation ou l’injure envers une personne ou un groupe de personnes « à raison de leur origine ou de leur appartenance ou de leur non-appartenance à une ethnie, une nation, une race ou une religion déterminée ». Mais aussi à raison de leur sexe, de leur orientation ou identité sexuelle ou de leur handicap.

Un juge pourra ainsi ordonner l’interruption d’un site à raison de ces contenus à caractère discriminatoire. Et puisque le ministère public pourra être à l’origine de cette procédure, il ne sera pas nécessaire d’identifier l’auteur des propos incriminés.

Fermeture d'un site web pour diffamation/injure alors que l'attaque en diffamation est l'instrument de défense utilisé à tout bout de champ même quand l'info est véridique et rapportée en bonne et due forme, est-ce bien sérieux ? Est-ce que la peine n'est pas disproportionnée ?

La requalification s’invite dans la loi de 1881

Il sera donc possible pour un juge de requalifier les faits dont il est saisi. Ainsi, une procédure en diffamation pourra déboucher sur une sanction pour injure, et inversement.

Et il est beaucoup plus difficile de se défendre d'injure alors que la diffamation est plutôt bien encadrée : aspect "c'est la vérité", bonne foi, etc. ;) L'idée est également que cela supprime une contrainte sur le plaignant puisqu'à l'heure actuelle, celui-ci est obligé de qualifier précisément les propos et s'il se trompe, vlam, nullité de la procédure.

Aujourd’hui, en cas d’erreur d’aiguillage, le magistrat est lié par la qualification du réquisitoire ou de la plainte avec constitution de partie civile. Demain, si la disposition survit, alors le prévenu ne pourra plus être relaxé, la requalification étant possible à l’audience.

Le point de départ de la prescription

Les trois mois (délai de droit commun) ou un an (pour certaines infractions) débuteraient non à la date de publication, mais à celle à laquelle cesse la mise à disposition au public d’un contenu en ligne (que soit un journal en ligne, un post sur Facebook, un tweet, un blog, etc.). Pour la presse papier, par contre, on en resterait aux règles actuelles.

Cette disposition a été soufflée par le rapport d'information « L'équilibre de la loi du 29 juillet 1881 à l'épreuve d'Internet », présenté l’été dernier par ses auteurs, François Pillet (LR) et Thani Mohamed Soilihi (PS)

Ok donc droite comme gauche sont d'accord sur ce point, intéressant à noter.

Se souvenant que le Conseil constitutionnel avait épinglé une telle réforme en 2004, le gouvernement refuse une telle réforme : voilà des dispositions « excessives », qui « portent une atteinte disproportionnée à la liberté d’expression ». Et pour cause, il sera possible de poursuivre indéfiniment une personne pour peu qu’un message posté des années avant reste accessible quelque part en ligne.

Sans compter que, de fait, il n'y a plus de prescription qui est l'un des aspects fondamentaux de notre droit : le pardon au bout d'un certain temps ! De plus, une personne physique ou morale peut très bien porter plainte des années et des années après la publication d'un contenu. Exemple ? Les sociétés commerciales non cotées qui essayent de s'acheter une virginité avant d'entrer en bourse. Cas concret : http://www.nextinpact.com/archive/64648-cgu-sebsauvage-tuto4pc-eorezo-adware.htm .

Que les contenus restent en ligne ad vitam æternam n'est pas un problème : la prescription des délits de la presse n'empêche pas d'attaquer pour d'autres motifs et d'utiliser, par exemple, la LCEN pour exiger le retrait de contenus. Illustration : https://framablog.org/2014/03/14/getty-images-vie-privee/

Extension des possibilités de réparation

« permettre une réparation des préjudices nés des abus de la liberté d’expression sur le fondement de la responsabilité civile de droit commun »

Quelles conséquences ? La mesure, qui vient renverser une jurisprudence de la Cour de cassation, va rendre possible « d’autres réparations que celle associée à la condamnation pour une infraction de presse », explique le rapport de la commission des lois. Cela implique également la possibilité de jouer sur des délais de prescriptions plus longs, sans avoir à s’embastiller dans les trois mois actuels.

En gros, ça signifie qu'un plaignant pourra obtenir des réparations au civil pour des faits dont il aura été jugé qu'ils ne sont pas un abus de la liberté de la presse et de la liberté d'expression. Cela permettra de faire dégager des articles, des contenus, qui peuvent gêner par leur négativité mais ne pas être pour autant un délit de presse. À quoi je pense ? Aux grands patrons & co qui attaquent en diffamation (qui est un des délits de presse) tout article légèrement négatif au sujet de leur société commerciale. Genre Xavier Niel, patron de Free, est un spécialiste du domaine. On accentue d'autant plus la pression sur la presse et les citoyen-ne-s.

Plus d’automaticité de la fin des poursuites

Aujourd’hui, en cas de désistement du plaignant, les procédures engagées s'arrêtent. Le rapport précité plaide pour la fin de cette règle. Le texte examiné au Sénat passe des écrits aux actes.

Selon les auteurs de l’amendement (le trio Thani Mohamed Soihili, Alain Richard et François Pillet), le régime actuel permet à une prétendue victime d’instrumentaliser ce levier : j’engage une poursuite puis je me retire, avec, entre ces deux moments, l’assurance d’une sale période pour le prévenu.

En supprimant la fin de l’automaticité, les sénateurs savent aussi que toute action engagée va permettre de continuer son bonhomme de chemin jusqu’à l’éventuelle condamnation.

Le prétexte est bien formulé mais je pense que la motivation est toute autre, quelque chose qui me rappelle l'affaire Bluetouff/ANSES : le plaignant se retire en première instance, le parquet fait appel, condamnation alors que l'ANSES elle-même ne savait plus où se mettre dans cette affaire.

[...]

Au Sénat, il sera néanmoins difficile de freiner l’ardeur des parlementaires. Il suffit en effet de relire quelques échanges relevés par nos soins lors de la présentation du rapport Thani Mohamed Soihili et François Pillet

Ok, toujours des propos aussi fleuris et à côté de la plaque. Avoir du verbe, c'est bien, comprendre un monde qui change, c'est mieux.

Le 11 janvier 2016, Axelle Lemaire a saisi l'Arcep d'une demande d'avis sur l'état de déploiement du protocole d'adressage IPv6. L'Autorité rend aujourd'hui public son rapport au Gouvernement.

[...]

La gestion actuelle de la pénurie d'adresses IPv4 conduit à brider certaines applications ou certains usages, limitant le caractère pleinement ouvert d'internet et la liberté des utilisateurs. Pour autant, la migration vers IPv6 est une opération complexe, qui implique la mobilisation de l'ensemble des acteurs de la chaîne d'internet : fournisseurs d'accès à internet, hébergeurs, fournisseurs d'applications, fabricants de terminaux, etc.

[...]

Derrière la question de la migration vers IPv6 se cache un enjeu de compétitivité. Les pays qui sauront accélérer vers IPv6 pourront développer une expertise et un savoir-faire qui contribueront à leur rayonnement international. L'enjeu est donc aussi l'attractivité de la France sur la scène numérique mondiale.

Comme l'y invitait la ministre, l'Arcep entend mettre en place un observatoire de la transition IPv6 en France (dans le cadre de l'action n° 4). Cet observatoire permettra, de manière récurrente, de dresser l'état des lieux des déploiements, de contribuer à la transparence sur les intentions des acteurs majeurs et d'identifier d'éventuelles sources de blocages. Une version bêta de cet observatoire sera mise à disposition du public fin 2016.

J'ai lu le rapport de l'ARCEP.

Les bons points

• L'ARCEP a su s'entourer des bonnes personnes pour conduire sa mission. L'AFNIC a déployé IPv6 y'a 15 ans environ et elle participe à l'observatoire de la résilience de l'Internet français qui procède à des mesures IPv6. Très bon choix.
  
  
• L'ARCEP semble se montrer volontariste, à suivre.
  
  

• L'ARCEP a très bien identifié les enjeux non-techniques d'IPv6 et exprime très clairement une vision politique :

  • Internet est un bien commun (page 5). À propos de la transition IPv6 : « il en va de la préservation du foisonnement qui a contribué au succès d’internet dès ses débuts et, plus généralement, de la préservation d’un internet ouvert, pérenne, innovent et résilient. ».
    
    
  • Les coûts cachés pour maintenir IPv4 sous perfusion (CGN) + le marché gris de revente de blocs IPv4 + la pénurie en elle-même représentent de la complexité et une barrière à l'entrée de nouveaux acteurs pour proposer de nouveaux services. L'ARCEP a très bien compris qu'on ne peut pas construire un réseau aujourd'hui si l'on n'obtient pas d'IPv4.
    
    
  • Le fait que certains acteurs traînent des pieds entraîne des externalités négatives pour d'autres acteurs genre frein à l'adoption du protocole ou entrave au fonctionnement d'un protocole (genre le P2p). Il y a donc une possible atteinte à l'innovation.
    
    
  • Les CGN et autres méthodes pour garder IPv4 en vie créer des centres névralgiques artificiels dans les réseaux, ce qui nuit directement à la résilience du réseau.
    
    
  • Les sociétés commerciales qui exploitent IPv6 ont des compétences et un rayonnement. L'ARCEP note que pour l'instant, ce rayonnement se passe à l'étranger.

• L'ARCEP a bien identifié les freins à l'adoption d'IPv6 :

  • IPv6 n'apporte pas de bénéfice commercial immédiatement : il n'y a pas de killer-app qu'IPv4 n'aurait pas (comment ça la tortue dansante de http://www.kame.net/ n'est pas une killer-app ? :( ) et les utilisateurs finaux s'en fichent (et à juste titre : IP doit être invisible). Je pense que ce dernier argument est dangereux : l'utilisateur final ne demande pas IPv6 mais sont quand même demandeurs des avantages qu'il procure comme le fait de pouvoir proposer du contenu depuis chez soi.
    
    
  • Il faut que toute la chaîne technique migre, de l'éditeur d'un service à l'hébergeur en passant par les intermédiaires techniques et les FAI et les équipements. Or, personne ne veut y aller tant qu'il ne sait pas à quelle date les autres maillons auront déployé. Ben oui, si c'est pour déployer un IPv6 qui ne sert à rien car IPv4 sera utilisé en repli, c'est mauvais pour le business.
    
    
  • La maturité des solutions. Ça, c'est un truc que le geek moyen de veut pas entendre alors que c'est une réalité : il y a encore plein de choses qui ne fonctionnent pas en IPv6 à un niveau de fonctionnalités similaire à IPv4. Les logiciels métiers (qui peuvent avoir besoin du net pour réaliser certaines de leurs fonctions), ECN, forcer la source pour une route donnée, gestion des DDoS, appliances (pare-feu, load-balancer, etc.) placées devant des serveurs. De même, il y a quelques années, les pare-feu n'étaient pas prêts en IPv6 (mauvaise gestion du balayage de ports -> booom) et Linux ne gérer pas bcp38 / rp_filter en IPv6. Bref, les exemples sont nombreux et il faut en tenir compte.
    
    
  • Connaissances et compétences. Je trouve ce point très curieux quand j'entends par ailleurs que dans nos métiers, nous sommes trop forts, on apprend à apprendre et tout taktak. M'aurait-on menti ?
    
    
  • Je suis assez surpris que l'ARCEP n'ai pas identifié les coûts en support client de la migration. Toute la transition ne va pas se dérouler sans accroc, ne rêvons pas. Donc il y aura des appels aux supports clients des hébergeurs et des opérateurs. Ça suppose que le support client soit formé à la question. Si la part des appels devient trop grande, alors on peut considérer qu'IPv6 a un coût de support en lui-même.
• L'ARCEP a bien noté que les sites web gouvernementaux et les services publics (CPAM/CAF) ne sont pas accessibles en IPv6 et ça, c'est bien.
  
  
• Ce rapport est un révélateur. Nos ministres (je ne parle pas des député-e-s et sénateur-rice-s) nous font croire qu'ils sont idiots et qu'ils ne comprennent pas ce que l'on raconte sur le numérique. On sait que c'est faux car ils ont des conseillers pour leur expliquer (voir http://shaarli.guiguishow.info/?blS5jw ). On en a ici une illustration flagrante : ce rapport est destinée à une secrétaire d'état et cause de routage, BGP, transitaires, serveur, administrateur, ipsec, internet est composé de plusieurs réseaux, etc. et le glossaire ne couvre pas tous ces termes & notions. Pourtant Axelle Lemaire va parfaitement comprendre ce rapport.

Les mauvais points

• Dans la liste des acteurs sollicités pour préparer le rapport, je ne vois pas de petites structures. Comme d'habitude. :( En revanche, comme à chaque travail produit par l'ARCEP, Orange est cité. C'est d'autant plus malhonnête qu'Orange a commencé le déploiement IPv6 en 2016. Certes, leur réseau est complexe, on n'est pas obligé de leur cracher dessus pour leur retard. Mais on n'est pas non plus obligé de les encenser comme le fait le rapport en soulignant que le taux de pénétration d'IPv6 chez les utilisateurs français a doublé depuis qu'Orange a franchi le cap car c'est une conséquence du fait qu'Orange est un gros acteur. Tout ça conduit l'ARCEP à écrire « qu’une réelle dynamique de transition s’est enclenchée en France. ». Bullshit.
  
  

• Encore une fois, l'ARCEP se concentre assez peu sur l'utilisateur final : peut-il accéder à tous les services sur Internet aujourd'hui ? J'aimerais savoir si de tels indicateurs existent. Peut-il fournir des services et des applications comme le règlement européen sur la neutralité des réseaux le lui octroie ?

• Y'a tout un aspect qualitatif que l'ARCEP n'a pas encore vu / pris en compte. Exemple flagrant : 70 % des réseaux de transit auxquels les FAI et FSI français ont recours sont compatibles IPv6. Ouiiii, sauf que la qualité de la prestation IPv6 en terme de latence, en terme d'accès à tout l'Internet v6 et parfois en terme de débit est parfois largement en dessous de la prestation IPv4. Prenez Cogent (interrogé par l'ARCEP pour produire ce rapport) : HE et Google sont inaccessibles en IPv6, voir http://shaarli.guiguishow.info/?aNpSPQ . Prenez Interoute : le taux de paquets perdus dépasse 50 % dans la plupart des cas, voir http://shaarli.guiguishow.info/?nNMTjQ .

  • C'est un peu le même problème pour les services réellement disponibles en IPv6 : le site vitrine peut être en IPv6 mais pas les services commercialisés. Du coup, attention à ce que l'on mesure dans l'indicateur taux de pénétration d'IPv6 chez les FSI.

• Plusieurs points du plan d'action prêtent à sourire :

  • IPv6 pour les sites web de l'État et enseignement IPv6, oui, bien évidemment mais rappeler ça encore en 2016, allô, il ne faudrait pas plutôt se demander pourquoi rien n'a été fait avant ?!
    
    
  • Créer des espaces d'échanges et de retour d'expérience. L'association G6, les JRES, FRnOG, FRsAG, etc. sont autant de canaux d'échanges d'expérience qui fonctionnent dans tant d'autres domaines, pourquoi ça foirerait avec IPv6 ?!
    
    
  • La publication des intentions de déploiement de chaque acteur, c'est très franco-français dans un réseau mondialisé donc peu porteur.
    
    
  • Informer l'utilisateur avant l'achat d'un terminal. Y'a déjà eu un amendement (non retenu) en ce sens sur le projet de loi numérique. Franchement, osef, tous les équipements vendus aujourd'hui sont compatibles. Y'a que le vieux matos achetés y'a des années et des années qui n'est pas compatible et risque de ne plus fonctionner une fois IPv4 éteint (dans 30 ans…).
    
    
  • Forcer les FAI qui ont plus d'un million d'abonné-e-s à déployer IPv6 : pourquoi pas vu que l'ARCEP constante que ce sont les acteurs à la traîne en ce moment (chiffres Google et chiffres AFNIC).
• La préservation d'un Internet ouvert, innovant et tout, ça se fait en assurant que les IPv6 attribuées par le FAI soient fixes. Or Orange déploie de l'IPv6 dynamique, par exemple.
  
  
• Pour mesurer le taux de pénétration d'IPv6 chez l'utilisateur final, pourquoi l'ARCEP ne demande-t-elle pas les chiffres aux FAI en complément des méthodes "utiliser les FSI" ? Un questionnaire bidon genre est-ce que vous déployez IPv6 ? Partout ou en fonction de la techno et du secteur géographique ? Combien cela représente-il de foyers et en pourcentage de votre parc ? Et niveau trafic, c'est-à-dire IPv6 réellement utilisé, vous voyez quel pourcentage de trafic ? Avez-vous été pro-actif afin de connaître les raisons de l'écart entre la théorie déployée et la part de trafic constatée ? etc, etc.
  
  
• L'idée fausse favorable aux FAI que c'est les FSI qui doivent déployer car c'est eux qui feraient l'attrait d'IPv6 est présente dans le début du rapport et je trouve ça dommage. Toute la chaine technique doit déployer IPv6.