GuiGui's Show

Intéressante suite de billets de blogs courts et illustrés sur l'interception de SMS et d'appels voix émis depuis / à destination d'un téléphone portable.

Via https://twitter.com/Korben/status/781499044774502400 via je ne suis plus qui.

L'EFF a sorti son extension pour navigateur qui a pour objet de bloquer toute sorte de traqueurs sur le web qui ne respecte pas l'entête HTTP « Do not track » (DNT).

Qu'est-ce que ça apporte ? L'EFF a fait le choix de ne pas avoir une liste de filtres (qui peut être soumise à des pressions comme la "publicité acceptable" d'Adblock Plus) et d'avoir une extension qui ne nécesite pas de configuration. Privacy Badger traque et mémorise tous les éléments que chaque page web appelle. Si un même prestataire utilise des traqueurs (cookies identifiants (pas juste un cookie « LANG=fr », quoi)), supercookies, pixel traqueur) et qu'il apparaît sur plusieurs pages consultées et qu'il ne respecte pas l'entête DNT, alors il est bloqué. Si des éléments bloquants sont importants pour des fonctionnalités clés d'un site web, alors Privacy Badger les autorisera mais supprimera les cookies & autres traqueurs. Comment on sait que des éléments sont trop importants ? On utilise une liste jaune : https://github.com/EFForg/privacybadgerchrome/blob/master/doc/sample_cookieblocklist.txt . Les critères de la liste jaune sont exposés ici : https://github.com/EFForg/privacybadgerchrome/blob/master/doc/yellowlist-criteria.md

À l'usage, je note deux "problèmes" potentiels :

• Le code couleur est parfois erroné. Genre sur lesechos.fr, j'ai un carré rouge qui mentionne un traqueur. D'après la doc', la couleur rouge signifie que le contenu a été totalement bloqué. Je clique pour avoir plus de détails et je vois 4 ressources externes de couleur verte et une ressource en jaune. Alors pourquoi est-ce que ce site a une note en rouge ? D'après la doc', ça devrait être en jaune puisqu'il y a un traqueur "indispensable à des fonctionnalités du site web" donc les cookies ont été bloqués mais pas le traqueur en lui-même.
  
  
• Parfois, quand je change d'onglets, la note appliquée au site web de l'ancien onglet demeure dans le nouvel onglet et je dois faire F5 pour avoir la note attribuée initialement au site web du "nouvel" onglet. C'est confusant d'apprendre que t'as un traqueur sur ton blog perso quand tu viens d'un onglet lesechos. :D

On peut choisir de bloquer/débloquer chaque élément identifié par Privacy Badger donc le blocage est sous le contrôle de l'utilisateur donc c'est OK pour moi.

Privacy Badger remplace aussi les boutons « j'aime », « +1 » & co. C'est intéressant car ça a mis en exergue une question que je me pose depuis longtemps : quand t'as plusieurs extensions genre uBlock Origin + Disconnect + Privacy Badger, comment se passe l'analyse de la page, quel est l'ordre des extensions ? Je constate que Privacy badger passe avant uBlock Origin puisqu'il me remplace ces boutons "sociaux" par leur version statique alors que je ne les voyais plus jusqu'ici.

Licence = GPL.

Attention, il y a quelques limites documentées :

• Privacy Badger s'occupe uniquement de la traque entre sites, pas de la traque opérée en propre par un site web donné (third-party, pas first-party) ;
  
  
• Le but premier de Privacy Badger est de faire en sorte que l'entête « Do not track » soit respectée par tous les acteurs qui web. Conclusion : un traqueur qui annonce respecter DNT ne sera pas bloqué ;
  
  
• Comment Privacy Badger sait qu'un traqueur dit qu'il respecte DNT ? Soit parce qu'il ne traque plus entre des sites différents (et donc il ne sera pas bloqué par Privacy Badger), soit parce qu'il a publié un fichier /.well-known/dnt-policy.txt . Ce deuxième cas permet de débloquer automatiquement un domaine précédemment bloqué chez un-e utilisateur-rice de Privacy Badger. Cela donne du pouvoir aux indestriels de la traque de modifier du jour au lendemain le comportement de l'extension installée sur mon matos donc je n'aime pas ça.

Qu'est-ce que j'en pense ? Que Privacy Badger ne va pas aussi loin que je pense qu'il est nécessaire d'aller : je ne veux pas de traqueurs tout court. Osef que ça prétend respecter DNT, je ne veux pas que mon navigateur web charge du code 3rd party distant à gogo. Du coup, l'extension n'est pas adaptée à mes besoins.

En revanche, je trouve le pragmatisme de cette extension intéressant : ça permet de la conseiller à des noobs. Mais, pour l'instant, je ne le ferai pas à cause du code couleur erroné comme je l'ai présenté ci-dessus.

Pour les utilisateur-rice-s expérimenté-e-s, je recommence de ne pas laisser Privacy Badger tout seul mais de le faire fonctionner en parallèle d'autres extensions, histoire de ne pas vous retrouver à poil quand un gros industriel de la traque déclarera faussement ne plus traquer personne et que Privacy Badger le croira.

Via https://twitter.com/bearstech/status/785051583558012928 via https://twitter.com/bluetouff qui m'ont rappelé l'existence de cette extension.

Tous les élèves de terminale retenaient leur souffle. Après près de six mois de négociations et un avis favorable de la Cada (Commission d'accès aux documents administratifs), le ministère de l'Éducation nationale a enfin dévoilé, lundi 17 octobre 2016, le code source du portail APB (Admission-postbac)... ou presque.

Cet algorithme, qui affecte les bacheliers et bac+1 dans l'enseignement supérieur, a longtemps été gardé secret. L'association Droits des lycéens bataillait depuis de longs mois pour le rendre public. Le jour de la date limite, le ministère leur a finalement envoyé le document par la poste, au format papier, comme le révélait hier l'Etudiant.

Après la grogne, le ministère a filé ça en version numérique, d'après Le Monde. En argument vaseux pour ne rien divulguer, on a aussi eu "le code source contient les données personnelles des étudiants". On continue dans le foutage de gueule. Et pour ne pas dévoiler le code en entier, on a désormais le classique "on constate des tentatives de piratage tous les ans, on ne va pas les simplifier en publiant tout le code source". :-

Le document, daté du 12 septembre 2016, est partiel car il ne contient que le code utilisé pour la répartition dans les filières à capacité limitée.

Chaque formation BTS/IUT a ensuite ses propres critères.

[...]

Autre grief, même pour les techniciens, ce code est illisible. Dans sa structure, il utilise en effet des mots obscurs auxquels nul ne sait à quoi ils se réfèrent, comme "o_g_ti_cod" ou "o_c_gp_cod" plutôt que "ville", "note au bac", etc. Ils désignent des noms de colonnes dans une base de données, mais c'est au lecteur de deviner à quoi elles correspondent. Seul un décorticage minutieux du code le permettrait.

L'aspect papier est gênant, mais le plus symptomatique de la farce : ne même pas avoir fourni l'extrait correspondant du schéma de la base.

Pour Stéphane Bortzmeyer, cette opacité témoigne des réticences du gouvernement à être transparent. "Normalement, essayer de comprendre un code obscur, cela se fait dans un environnement hostile, par exemple lorsqu'on travaille dans la sécurité, pour comprendre un virus ou un malware (logiciel malveillant)."

Le code est sur github : https://github.com/jeantil/admission_post_bac

Les premières questions que pose le décorticage du code : http://www.lemonde.fr/campus/article/2016/10/25/apb-les-questions-que-souleve-le-code-source_5020076_4401467.html . Je n'ai rien retenu de vraiment rédhibitoire. Les candidats en réorientation moins prioritaire, ça a toujours été assumé par le Ministère, il n'y a pas encore assez d'éléments pour dire que les étudiants étrangers traités plus favorablement, etc.

Andy est un des membres historiques du club des hackeurs allemands, le CCC, figure de proue dans l’information, la formation et l’activisme dans les domaines des technologies informatique et Internet. Défendant la protection des données personnelles des citoyens depuis 1995 avec le Datenreisebüro, il a fait en mai 2016 une conférence au THSF, le rendez-vous annuel de hackeurs à Toulouse.

Dans cette conférence, Andy évoque les ONG de défense des libertés à l’ère numérique, et fait le point sur leur financement par des fondations américaines, bien souvent faux-nez de la CIA...

Il parle aussi de nos échecs et de la mondialisation de la gouvernance, notamment avec les accords de libre échange genre TAFTA/TTIP, CETA & co.

[...]

Mais il y a un problème et c’est ... Bien entendu je connais de près les théories anarchistes et je n’ai jamais été un grand supporter des gouvernements mais je vois un problème si l’on détruit les gouvernements car si on limite le nombre de gouvernements, alors ceux qui restent tendent à devenir plus puissants.

[...]

La réalité c’est ce qui est créé dans l’esprit des gens, je parle ici de constructivisme et de la perception des choses ce que vous voyez à la TV, que vous lisez dans les journaux, que vous entendez à la radio tout cela crée des représentations dans votre esprit, du monde où vous pensez vivre

[...]

Donc le 1er amendement de la constitution américaine, la liberté d’expression, était bien meilleur que ce que l’on peut avoir dans de nombreux pays, et c’était appréciable on pouvait dépasser les limitations de nos propres pays et nous avons apprécié cette gestion plus libérale mais cette gestion libérale a également amené la surveillance de masse qui assurait au gouvernement des États-Unis un accès à tout ce qui se passe et cela amène aussi une propriété intellectuelle qui constitue une version occidentale de la censure et une perte de pouvoir des gouvernements locaux et des structures locales, l’état sous-jacent est au contrôle.

Donc d’une certaine manière, les US amènent une idéologie totalitaire : une liberté totalitaire. [...] comment s’assure t-on que nous avons toujours quelque chose pour nous, nos enfants, nos communautés, notre pays qui pourrait être la souveraineté numérique parce que si nous vivons tous dans un cadre dont les règles sont produites par des entreprises américaines, donc au final par des personnes sous le contrôle du gouvernement US. Ces entreprises agissent au sein de la juridiction américaine, et elles ne peuvent pas y échapper donc la question de notre propre souveraineté dans ce scénario demeure.

[...)

Donc les gouvernements cherchent à rester souverains d’une certaine manière et nous espérons surmonter cela en permanence. Cette part d’entre nous fait en sorte que nous ayons des droits numériques
nous avons de toutes parts l’environnement des ONG Soros, et j’en ai parlé à des gens en Hollande et déjà dans les années 80, quand il y avait ce projet de média "B92" c’était toute la scène néerlandaise, environ 50 à 60 personnes, c’était comme ça dans le passé, ils ont commencé à travailler pour Soros, alors c’est un peu bizarre de voir que certains millionnaires américains peuvent acheter une scène entière et donc par rapport à cet argent, les gens disaient "allez on prend juste l’argent des américains et ce qu’on fait continue à nous appartenir" mais est ce que cet argent est offert sans contrepartie ? C’est vraiment de l’argent gratuit comme dans "bière gratuite" ? De quoi s’agit-il ? Et de quelle liberté d’Internet parle-t-on aujourd’hui ?

Il y avait aussi ce truc qui s’appelait — ça se passait en Espagne — ce truc appelé le "festival de la liberté d’Internet" cette année. L’an dernier c’était le "festival du contournement" et donc il y a quelque chose d’amusant. J’étais là-bas en mars cette année. Il y avait beaucoup de conférences à propos de la censure, d’Internet, de comment la vaincre ce que l’on peut faire, quelles technologies sont disponibles, ce qui est utilisable, peut-être les améliorations nécessaires pour que les personnes non techniciennes puissent y avoir accès tout cela a l’air très bien, mais tous les exemples de la conférence étaient étrangement la Syrie, l’Iran, la Corée du Nord, vous savez, les méchants pays habituels et plus personne ne parlait de la NSA et de la surveillance.

[...] Alors j’ai regardé qui organisait cette conférence et le principal organisateur, qui est openitp.org — c’est l’organisation derrière l’événement — j’ai trouvé un type appelé Sascha Meinrath
de la fondation Acorn Active Media, jamais entendu parler de lui je l’ai googlé, et il a une page Wikipedia, il ressemble à un connard, mais peu importe en tous cas, il est vice président de la New America Foundation et chose intéressante c’est le cas de son staff de Acorn Active Media Foundation, qui a exactement 3 personnes en tout, qui travaillent également tous pour la New America Foundation. Et donc qu’est ce que la New America Foundation ?

Le président du conseil d’administration de la New America Foundation est un type appelé Eric Schmidt. Le président exécutif de Google !

Maintenant on commence à comprendre ce que signifient les libertés sur Internet. Google partout ... Okay...

Nous y voilà. Et donc ensuite j’ai regardé leur page web ce matin et regardez : Jonathan Soros ! Le fils de George Soros rejoint aussi le conseil d’administration, génial ! Donc on commence à les rassembler.

[...]

Donc sur la droite, vous avez ce festival, vous avez les acteurs, Acorn Active Media et tout mène à la New America Foundation, mais il y a aussi Google, Soros, l’Open Society Foundation, et les jeux de changement de régime des révolutions de couleur.

[...]

On m’a aussi dit qu’il ne fallait pas sous estimer une personne appelée Peter Thiel.

Investisseur dans Facebook, Palantir et d'autres joyeusetées. ;)

C’est un millionnaire Américain, qui travaille avec Soros sur certains projets. Il est aussi connu pour travailler avec la CIA et créer des entreprises technologiques qui fournissent des outils pour la NSA et la CIA.

Et tous les deux font aussi partie du même manège avec l’Open Society Foundation. Voilà la vue d’ensemble qui implique maintenant, dans cette seconde version, vous avez ces types de l’Internet Freedom Festival, les gens de la CIA, Soros, Thiel, les agences à 3 lettres, certains d’entre eux fournissent un Internet libre et les autres fournissent les outils pour surveiller l’Internet libre.

Quel beau monde !

[...]

Donc si on regarde par exemple le fait que la RFC Tor permet maintenant aux sercices en .onion de devenir un standard Internet. Pour financer ça, il y avait Facebook

Alors on peut maintenant être tous très fiers d’avoir aidé ces pauvres gens opprimés en Iran en Corée du Nord, ou autres. Ils peuvent enfin apporter leurs données en toute sécurité à Facebook et aux systèmes de la NSA.

Bravo, on a fait un super boulot. C’est quoi ce bordel ! [applaudissements]

Heu ? Un RFC ne se finance pas. :O Sur le reste, il y a déjà eu des contre-argumentaires produits à l'époque : https://www.techn0polis.net/2014/11/04/facebook-cache-dans-tor-pourquoi-cest-une-tres-bonne-nouvelle/ . En gros, les activistes dans des dictatures ont besoin de faire de la comm' de masse + Facebook impose une double auth quand l'IP change fréquemment, ce qui n'est pas le cas avec un service caché TOR = un service caché TOR leur apporte une commodité sans rien changer vis-à-vis des énormes risques qu'ils-elles prennent déjà.

[...]

Donc. Mais qui finance Tor au fait ? Je veux dire, on savait tous que pendant un certain temps, il y avait ce type, "Radio Free Asia" SRI International, le département d’État américain et plein d’autres qui financent Tor.

Et Tor a juste commencé à la fin de l’année dernière ce qu’ils appellent un "financement communautaire" mais en fait, j’ai parlé avec Shari Steele, la nouvelle directrice exécutive de Tor, et chose amusante, elle est mariée à un agent de la NSA mais je n’ai bien sûr pas dit ça dans une conférence publique et je l’ai interrogée sur ses idées de financement communautaire, pour savoir si on devrait commencer à lever des fonds, et "ouais ouais mais l’argent n’est pas si important pour le moment on est très stables", donc leurs financements récurrents viennent de la fondation Ford, SRI International Google, Radio Free Asia, qui était un opérateur direct de la CIA le département d’État Américain, le Omidyar Network, un autre millionnaire dans ce jeu là

Donc seulement trois de ces entités sont directement associées avec la CIA. Je trouve ça un peu merdique, et par ailleurs toutes les personnes qui sont impliquées savent ça depuis longtemps ça fait juste bizarre que ce sont ces personnes qui nous soutiennent pour fournir un Internet libre, c’est étrange. Nous devons, peut-être, avoir une meilleure compréhension de pourquoi ils font ça et si nous avons réellement des intérêts partagés, et comment tout cela va finir.

Bien sûr, des gens vont dire "attends une seconde, Tor fait partie de la communauté des gens bien, ne les traite pas de mauvais, ce sont mes amis, n’est-ce pas" et on a un problème ici parce que l’opposé de faire quelque chose de bien, ce n’est pas faire le mal l’opposé de "bien agir" c’est "agir avec les meilleures intentions"

En même temps, Internet sous sa forme TCP/IP, ça nous vient des informaticiens de l'université de Berkeley financés par l'armée US, hein.

Les pro-TOR répondent que c'est le modèle technique de TOR qui apporte les garanties que ce n'est pas troué. Les présentations PowerPoint pechos par Sownden (qui commencent à dater, certes) montrent très bien que TOR emmerdait bien la NSA à l'époque et rien ne permet d'affirmer que cela a changé depuis.

Mais je comprends où veut en venir Andy : financer, ça permet de distiller des idées, de la monoculture US, etc. Et je suis bien d'accord avec cela.

[...]

Donc l’acteur omniprésent dans tous ces projets, c’est l’OTF : l’Open Technology Fund qui est à 100% financé par Radio Free Asia et le Broadcasting Board of Governors. Ils sont tous deux liés au département d’État US, en théorie, et on n’a pas besoin des détails de toutes façons puisqu’ils financent tellement de projets. L’Open Technology Fund, bon, toute personne qui est un peu impliquée dans Tor, dans Tails, dans le chiffrement des emails ou ce genre de choses, c’est assez difficile de ne pas se retrouver à nager dans leur argent couramment. Alors ils sont partout, dans toutes ces conférences et tous ceux qui ont l’air de savoir (ou qui simulent bien) quelque chose sur la sécurité et comment améliorer la sécurité de l’Internet ou de soutenir les technlogies de contournement, ils auront un financement. c’est en fait assez difficile de ne pas être financé par eux quand on est impliqué là-dedans.

Et donc bien sûr si on regarde autour on trouve qu’il y en a un certain nombre [ NDLR : de projets ] dont on peut dire "attends une seconde, ce sont mes amis" donc le problème est que ce toutes les personnes qui sont payées et qui servent les USA ou la CIA ne sont pas nécessairement au courant, donc je n’accuse personne ici de mal agir intentionnellement mais il faut juste voir que nous avons un intérêt commun avec ces types bizarres qui nous donnent de l’argent pour contourner la censure, et et qui ne comprennent pas quelle est l’idéologie qui est derrière, quelle est l’économie et quelle est la politique gouvernementale derrière cela. Faire de nous des outils stupides pour le gouvernement US, ça ne peut pas être satisfaisant...

Et l’autre chose, ce sont les conséquences quand on s’associe avec cet argent et ces personnes, selon où tu vis, et on en a perdu des amis ces dernières années en Egypte, en Syrie, dans d’autres endroits. Leurs gouvernements ont un raisonnement très simple "Fais-tu partie de cette invasion US ou fais-tu partie de notre peuple ?". Et malheureusement, ils ne prennent pas le temps pour une analyse en profondeur. Dans ces conflits, ils agissent souvent rapidement. Et des gens meurent, sont torturés, etc.

[...]

Évidemment, vivre dans le capitalisme est compliqué, et requiert un effort pour rester indépendant de l’argent facile et c’est le combat de chacun, je sais, ce n’est pas facile.

[...]

Cela veut aussi dire que les processus économiques sont transformés d’une économie locale vers l’économie américaine, et on ne devrait pas soutenir cela. Cela veut aussi dire que des réalités virtuelles sont individualisées et commercialisées et ils se foutent de la réalité commune, c’est un autre problème.

[...]

Mais il y a aussi les limitations des gouvernements nationaux dans les traités internationaux comme TTIP, entre autres accords commerciaux où les gouvernements nationaux ont de moins en moins de pouvoir puisqu’ils ont des obligations contractuelles internationales, mais la vraie menace qui vient est bien sûr que nous courons vers une réalité gouvernée par des algorithmes, permettant que les décisions commerciales et gouvernementales seront créées et basées sur des algorithmes et des données massives. c’est ce qu’ils sont en train de mettre en place en ce moment donc les choses vont devenir encore plus difficiles

[...]

mais il y a aussi de l’intermédiation de la compréhension culturelle. Il y a aussi quelque chose qui concerne l’intermédiation des conflits ici. Notre compréhension du monde islamique par exemple, et leur compréhension de notre monde, il y a encore tellement à faire, parce que ce que l’Internet a fait, et le complexe de la liberté sur Internet n’a fait qu’exporter l’idéologie occidentale au lieu d’essayer de comprendre les différences culturelles et le complexe qui se créerait si ces cultures venaient à se rencontrer.

Donc il y a aussi évidemment un rôle énorme où nous avons échoué pour l’instant, celui d’améliorer la compréhension et l’usage significatif de ces technologies par les gouvernements et les communautés

[...]

Les grands problèmes insolubles, nous devons les découper en problèmes plus petits que nous pouvons manipuler, donc par exemple augmenter le nombre de gouvernements. Si les gouvernements sont trop gros et trop compliqués à réparer, c’est parce qu’ils sont tellement cassés et corrompus. Et je suppose que la situation politique française, d’après ce que j’ai entendu dans mes conversations d’hier soir est à peu près aussi pétée qu’en Allemagne, alors c’est difficile d’imaginer que l’on peut réparer ça. Mais peut-être ce que l’on peut faire est de découper les gouvernements en morceaux plus petits, et les pays en morceaux plus petits de façon à reprendre le contrôle avec des sommes d’argents raisonnables, des structures raisonnables.

Le Saint Graal de la réappropriation collective, oui.

Mon seul point de désaccord est sur la vision "les USA sont trop forts, ils veulent dominer le monde, c'est dans leurs gènes, etc." : tous les États ont cette volonté-là. TOUS. Et ça semble être dans les gènes de tout le monde. Se focaliser sur un pays, c'est comme évoquer sans arrêt et sans preuve la Chine lors d'un DDoS, c'est se créer un bouc émissaire, c'est une démarche vaine et créatrice de conflits.

En revanche, je suis d'accord que la mondialisation (traduite ici par globalisation) est un problème en soi. Enfin, ça dépend de quoi on parle. La libre circulation des personnes à travers tout le globe, ça devrait être la putain de norme, le truc bateau évident car nous sommes tous et toutes chez nous, partout sur notre planète. La libre circulation des biens (matériels ou immatériels), pareil. Même chose pour les idées & les savoirs, évidemment. Par contre, que la culture mondiale soit façonnée depuis un point du globe, c'est merdique, que ce point soit Hollywood ou Bollywood. Même chose pour l'évolution technologique. Que la gouvernance se fasse à des échelles de pays, de continents ou autres (comme les accords commerciaux), c'est tout aussi merdique, elle devrait être locale, comme le dit très bien Andy.

Ça aussi, je n'avais pas vu passer…

Une nouvelle fois, il s’agit d’un marché de « maintien en condition opérationnelle des systèmes informatiques exploitant des produits de la société Microsoft ». Le signataire ? La Centrale d’achat de l’informatique hospitalière (CAIH), une association regroupant plus de 500 établissements du secteur de la santé, dont de nombreux hôpitaux et centres de lutte contre le cancer. La structure est intimement liée à la centrale UniHa, qui se présente elle-même comme le « 1er acheteur public français » avec un portefeuille de 2,4 milliards d’euros pour 2014.

[...]

Ce contrat s’étend de 2015 à 2019. Négocié sans publicité préalable ni mise en concurrence, il prend la suite d’un précédent accord-cadre conclu en 2010 avec Microsoft Irlande, toujours sous la houlette d’UniHa. La firme de Redmond s’engage à fournir aux établissements de santé adhérents à la CAIH un support technique 24h/24, 7j/7, et surtout un droit d’usage de ses principaux logiciels : Word, Excel, Outlook, Sharepoint, Forefront, Windows Server...

Chaque année, l’association doit transmettre au géant américain un bon de commande précisant le nombre de postes de travail équipés en vertu de ce marché. Ce chiffre ne peut « pas être inférieur à 310 000 postes », précise le cahier des clauses particulières [...]

[...] L’intéressé a néanmoins tenu à insister : « Ce n’est pas Open Bar, c’est un modèle économique où l’on paie par poste ! » L’offre de logiciels auxquels accèdent les hôpitaux est de surcroît limité à un répertoire préalablement défini, mais dont on nous a également caché les contours précis.

[...]

« On envisage toujours toutes les options » rétorque néanmoins Bruno Carrière. Le représentant de la CAIH fait part de sa « difficulté à trouver des acteurs organisés et capables de comprendre les contraintes du secteur hospitalier », en vue de proposer une certaine continuité avec les produits Microsoft utilisés jusqu’ici. « Si l’on trouvait des conditions économiques et de service meilleures, il n’y a pas de raison que l’on ne soit pas attentifs à cette offre » assure-t-il. « Mais au jour d’aujourd’hui, je ne l’ai pas croisée ! J’ai croisé des militants, mais pas des gens qui seraient en capacité d’appréhender la totalité du faisceau de contraintes auquel font face les hôpitaux. »

Signé une première fois en 2009, et renouvelé en 2013, le contrat « Open Bar » liant Microsoft à la Défense a vu ses coûts bondir de plus de 45 %.

Selon Cash Investigation, dont la dernière livraison s’intéressait aux dérives des marchés publics, le contrat passé par le ministère de la Défense auprès de Microsoft pour la période 2013-2017 coûtera 120 millions d’euros à l’Etat. Soit une sérieuse inflation par rapport aux 82 millions dépensés sur la première période de ce contrat très particulier, signé pour la première fois en 2009 pour 4 ans.

Rappelons que cet accord-cadre avait suscité de nombreux commentaires. D’abord parce que ce marché avait été passé sans appel d’offres, ni procédure publique. Soit, pour les détracteurs du contrat, parmi lesquels l’April (Association de promotion et de défense du logiciel libre), « de nombreux abandons des principes relatifs aux achats publics ». Second point qui fait tiquer, y compris au sein du ministère lui-même : la forme de l’accord, qui prévoit que la Défense française peut utiliser autant de logiciels Microsoft qu’elle le souhaite. D’où un risque de dépendance à un éditeur américain plusieurs fois pointé du doigt pour sa collaboration active avec les services de renseignement des Etats-Unis (participation au programme Prism selon les documents Snowden, communication des failles sur ses logiciels au gouvernement américain avant leur correction selon Bloomberg). [...]

[...] En 2010, en parallèle de la signature du premier contrat avec Microsoft, la Défense était supposée travailler à une alternative, basée sur des logiciels libres. Un poste de travail Open Source était même annoncé pour 2011, suite à une question au gouvernement du député UMP Bernard Carrayon. Sauf que, depuis, cette fameuse alternative libre est portée disparue.

Selon Cash Investigation, l’accord dit « Open Bar » devrait une nouvelle fois être renouvelé en 2017. [...]

Comme lors des deux précédentes éditions, la Défense devrait une nouvelle fois signer ce contrat non pas avec Microsoft France, mais avec la filiale irlandaise de l’éditeur. Microsoft utilise en France, depuis 1994, le statut « d’agent commissionné » de Microsoft Ireland Operations Limited. Ainsi, lorsque Microsoft France vend un produit, la société ne comptabilise pas son prix de vente, mais une commission, soit une fraction seulement du prix de vente. Ce montage permet à l’éditeur de ne payer en France qu’un faible pourcentage de taxes. [...]

http://www.nextinpact.com/news/101813-le-contrat-open-bar-entre-microsoft-et-defense-a-l-honneur-cash-investigation.htm :

[...] Pour mémoire, cet accord passé selon la procédure de marché négocié, sans publicité préalable ni mise en concurrence, a permis à l’éditeur américain d’investir des dizaines de milliers de postes informatiques au sein de la Défense.

Sa signature s’était faite dans une curieuse ambiance puisque des documents internes avaient dégommé ce choix sans l’ombre d’une hésitation. Risque d’addiction aux technologies Microsoft, affaiblissement de l’industrie française et européenne du logiciel, vulnérabilité de l’approche mono-produit, etc. [...]

Boarf, c'est la même chose au CNRS en ce moment où il n'y aurait que la tête de la DSI qui aurait voulu l'arrivée de l'offre Skype pro (qui n'a rien à voir avec Skype "normal" : Skype pro n'est pas P2p ni rien). Et là aussi, la même magie opère : il paraît que le contrat avec le CNRS inclut explicitement une clause de non surveillance/agressivité. L-O-L.

Quelques remarques intéressantes sur l'atteinte à la concurrence que représente ce contrat : http://blog.ludovic.org/xwiki/bin/view/Blog/ContratsOpenBar (via http://dukeart.netlib.re/shaarli/?U4ujLw ) :

Si l'émission Cash Investigation a traité les contrats Open Bar sur l'aspect du prix et sur l'aspect de la sécurité informatique, elle n'a pas mentionnée:

• la distorsion de concurrence, en particulier vis à vis d'acteurs locaux et PMEs;
  
  
• l'insatisfaction d'utilisateurs face aux solutions imposées;
  
  
• le fait que cela existe aussi dans les entreprises et pas seulement au Ministère de la Défense et dans les services publics; [ NDLR : voir http://www.journaldunet.com/solutions/cloud-computing/1185378-office-365-deploye-massivement-par-80-du-cac40/ -> 32 groupes sur 40 soit 80 % du CAC40).
  
  
• l'effet "bundle" qui permet à Microsoft de pousser des nouveaux produits, de leur créer une base installée, sans mise en concurrence.

Un contrat Open Bar est un contrat négocié à prix fixe pour une période données (3 ans le plus souvent), permettant l'usage d'un ensemble de logiciels d'un fournisseur (Microsoft dans l'émission Cash Investigation) de façon illimitée. Dans le cas de Microsoft, cela veut dire, potentiellement beaucoup de logiciels, dont certains ou les entreprises concurrentes peuvent être des PMEs, françaises ou européennes par exemple.

Le piège est très simple. Au bout des 3 ans on fait les comptes. On regarde l'usage effectif, on fait une belle feuille de calcul (avec Excel puisqu'il est "gratuit"), on multiplie par les prix publics et on présente la note pour les 3 ans à venir, forcement largement plus chère que le contrat précédent. Mais comme le fournisseur est sympa il fait une petite réduction. Bien sûr on n'est pas obligé de signer, puisqu'il suffit de désinstaller tous les logiciels qui ont été installés pendant les 3 ans. Ah ben non, bien sûr, cela ne va pas être possible, on ne peut pas déinstaller des logiciels qui sont utilisés au jour le jour. Bon bien merci pour la réduction. On va renouveler comme ça, mais n'oubliez pas de nous inviter à la conférence à Las Vegas, ou encore mieux à la finale de l'EURO 2016.

C'est la, qu'une société comme XWiki, mais aussi des centaines d'éditeurs logiciels rien qu'en France, sont concernés par les contrats Open-Bar. Ceux-ci bloquent la concurrence et les effets sont désastreux aussi bien pour les concurrents que pour les clients eux-mêmes.

1. Un département de l'entreprise à un besoin et regarde les solutions possibles.
   
   
2. Il sélectionne quelques entreprises qui ont une solution qui semble bien adaptée.
   
   
3. Il évalue le prix des solutions et la solution qui serait livrée en final.
   
   
4. Il en parle à son département IT, qui lui indique qu'un logiciel Microsoft pourrait faire l'affaire, et celle-ci est "gratuite" (puisqu'Open-Bar).
   
   
5. L'analyse montre que la solution est loin d'être idéale et pourrait avoir des coûts non-négligeables de services, plus importants que les services nécéssaires pour les solutions concurrentes.
   
   
6. Le prix global des fournisseurs exterieurs (incluant prix du logiciel ou support pour les logiciel Open-Source), reste quand même plus cher, du fait de la "gratuité" supposée du logiciel "Open-Bar".
   
   
7. De plus jamais le prix des logiciels "Open-Bar" ne seront directement facturés au services les utilisants, étant inclus dans un budget de fonctionnement global réparti au pro-rata des employés.
   
   
8. Par contre le prix des logiciels et support concurrents sont directement supportés par le département utilisateur, si celui-ci souhaite réellement s'engager pour utiliser un "logiciel non-standard".
   
   
9. Le département IT insiste fortement pour utiliser la solution "standard" entreprise malgré ses déficiences.
   
   
10. Le client choisit la solution Open-Bar malgré le fait que cela ne répond pas aussi bien aux besoins et que les services sont plus chers.
    
    
11. Au renouvellement du contrat Open-Bar, l'usage du logiciel est pris en compte, le tarif du logiciel peut être largement plus cher que les solutions concurrentes, même avec les discounts.
    
    
12. Le prix global du projet peut être multipliés par 2, 3 voir 5 en final (le prix de la licence n'est pas négociée face à une solution concurrente)
    
    
13. l'utilisateur final n'est pas satisfait car le logiciel n'était pas le meilleur, générant potentiellement d'autres sur-coûts.
    
    
14. Tout cela c'est passé sans mise en concurrence sur le projet particulier dans le cas d'une entreprise publique.
    
    
15. Les entreprises concurrentes et françaises en particulier n'ont pas eu le contrat, bloquant l'emergence de solutions concurrentes, renforcant la domination de l'acteur existant.

Ce cas est un cas presque "idéal" ou une solution concurrente a été un temps envisagée, mais la grande majorité des cas sera de ne même pas regarder les solutions concurrentes et de prendre dans le "pack", puisque c'est "gratuit".

https://www.april.org/l-april-demande-la-publication-de-l-accord-de-securite-entre-microsoft-et-l-etat :

L'échange se poursuit sur les failles de sécurité des logiciels de Microsoft :

Marc Mossé : « Je vais vous dire autre chose, je crois que je ne l'ai jamais dit. Ce n'était pas public jusqu'à maintenant. L'État français a un accord avec Microsoft pour bénéficier de toutes les informations techniques et de sécurité concernant les logiciels qu'il utilise »

Élise Lucet : « Cela veut dire que quand vous détectez une faille, vous communiquez cette faille au ministère de la Défense par exemple ? »

Marc Mossé : « Ce sont des accords dont je ne donnerai aucun détail, ce sont des accords de sécurité, l'État français bénéficie des informations nécessaires à la sécurité de ses systèmes d'information, en lien avec les produits Microsoft »

Marc Mossé ne donne donc aucun détail sur le périmètre de cet accord. S'agit-il de permettre à l'État français de connaître en avant-première les failles de sécurité des outils Microsoft qu'il utilise et de prendre les mesures de sécurisation nécessaires ? Peut-on vraiment accepter que la souveraineté informatique de l'armée dépende de la bonne foi d'une entreprise privée ? Par ailleurs, sachant que ces outils Microsoft sont aussi largement utilisés par d'autres États, par les entreprises, par le public… s'agirait-il pour l'État français d'être informé en avant-première de failles permettant l'espionnage de tiers ?

On se prendrait pas trop la tête, là ? Ce n'est pas un bête programme de divulgation comme en ont tous les prestas ? Là, on va me tacler "dans ce cas, le gus de Microsoft n'aurait pas dit que c'était pas public avant ce jour". Oui enfin il a peut-être dit ça dans l'intention de contrer l'argument "c'pas sécurisé" de l'équipe de Cash. Histoire d'éteindre l'incendie, quoi.

D'ailleurs, pour ceux et celles qui pensent que cet accord de sécurité est un argument massu qui renvoie les libristes chez eux, Aeris a trouvé un contre-argument ( https://twitter.com/aeris22/status/788780543483707394 ):

La #NSA doit avoir EXACTEMENT le même genre d’accord. Prioritaire sur celui français. La France ne sera donc PAS couverte durant tout le délai entre la notification à la #NSA et l’obtention de l’accord de la #NSA pour publication à la France… Et donc vulnérable…

Suite de http://shaarli.guiguishow.info/?oTjn3w

Le juge des référés du tribunal de grande instance de Paris a rendu son ordonnance dans l’action lancée par plusieurs associations issues du milieu du libre contre l’accord Microsoft/Éducation nationale. Les plaignants sont tous déboutés.

[...]

Défaut de condition d'urgence

En clair, dans une telle procédure, si urgence il y avait, les associations auraient dû agir immédiatement à sa porte, et surtout ne pas perdre un temps précieux auprès du ministère avec une procédure administrative inutile. Du coup, alors que ce recours gracieux a eu lieu le 29 janvier 2016, le juge des référés ne comprend pas pourquoi les mêmes associations « ont choisi d’attendre la fin du mois de juillet 2016 pour se décider à porter leur affaire devant la juridiction des référés ».

[...]

Défaut du caractère illicite de ce partenariat

Microsoft et l’Éducation nationale évoquent un contrat de partenariat. Les associations, un contrat de vente et de louage, illicite car sans prix et passé en violation du Code des marchés publics. L’ordonnance se refuse néanmoins à requalifier cet accord, sauf à malmener la volonté des parties.

Le juge constate surtout que le document ne mentionne pas de prix, n’est pas exclusif, n’impose pas d'obligations à la charge du ministère sauf à instituer des mesures dans le cadre du plan numérique à l’école et à organiser une coordination en matière de communication. Enfin, souvent évoquée, la somme de 13 millions qui pèserait sur les épaules de Microsoft n’y apparaît pas. Bref, le juge de l'évidence a du mal à constater une quelconque illicéité et donc l’existence d’un dommage illégitime qui aurait pu justifier une suspension.

Au final, les associations sont donc déboutées. Elles sont toutes condamnées aux dépens ainsi qu’à verser 2 500 euros à l’État et autant à Microsoft au titre de l’article 700 du code de procédure civile. Contacté, Jean-Baptiste Soufron n’exclut pas la possibilité d’agir au fond. Une réunion sera prochainement organisée avec les associations pour connaître les suites du feuilleton. Seul petit détail : si jugement il y a, il sera rendu après la fin de ce partenariat.

En gros, les plaignants ont été déboutés sur la forme (il n'y a ni urgence ni de dommage immédiat à prévenir ni un trouble manifestement illicite à stopper), pas sur le fond du dossier c'est-à-dire les questions que ce partenariat soulève. Mauvais angle d'attaque des plaignants découlant de l'envie de stopper asap ce partenariat ?

Je me demandais où en était l'extra-judiciarisation du blocage des sites web de proxénétisme. Conclusion : le texte a été nettoyé au Sénat et les dispositions contestables ne sont jamais revenues dans ce texte adopté en avril 2016.

La proposition de loi « visant à renforcer la lutte contre le système prostitutionnel et à accompagner les personnes prostituées » poursuit son long et fastidieux chemin parlementaire. Introduite en… octobre 2013 [...]

[...]

Le 14 octobre 2015, Pascale Boistard, alors secrétaire d'État chargée des Droits de la femme, réexpliquait l’opposition de l’exécutif : « il nous semble souhaitable d’attendre, dans un premier temps, que l’efficacité du dispositif de blocage des sites terroristes et pédopornographiques soit évaluée, avant que celui-ci soit étendu à d’autres infractions ».

En https://www.laquadrature.net/fr/PPL-Prostitution-pierre-de-plus-censure , LQDN note quand même :

À ce jour, seules les mesures de blocage administratif les plus décriées ont été discutées : sur demande du gouvernement, elles pourraient être finalement supprimées, mais pour des raisons et approches n'ayant que peu à voir avec la défense des droits et libertés : « Toutefois, cet ajout de la commission spéciale a été déclaré contraire à l'article 40 de la Constitution […] En effet, il impliquait la création d'une dépense nouvelle puisque les opérations techniques mises à la charge des fournisseurs d'accès Internet pour le blocage des sites sont compensées financièrement en vertu de l'article 6-1 de la loi du 21 juin 2004 précitée. »

[...] En l’occurrence, la cité phocéenne utilise le service Geostatistics de SFR lors de tous les matchs qui se déroulent au stade Vélodrome. D'autres municipalités auraient eu, elles, recours au service Flux Vision d'Orange dans le cadre de l'Euro 2016, mais l'opérateur n'a pas souhaité communiquer sur ce point précisément.

Ce type de dispositif, utilisé dans notre pays depuis 2013, consiste à collecter chaque minute les millions de données qui transitent par le réseau mobile d'une zone définie à l’avance. Le but est de géolocaliser tous les possesseurs de portable qui passent dans le périmètre et qui représentent la majeure partie de la population.

Pour cela, l'opérateur s'appuie sur le signal envoyé par les téléphones aux antennes relais. A partir de l'identification des antennes, il est possible de localiser les portables et donc leur propriétaire. Appels émis et reçus, SMS, consommation de data, de nombreuses autres informations sont utilisées et converties aussitôt en indicateurs statistiques pour alimenter un modèle permettant de comptabiliser la foule et de suivre ses déplacements.

Des informations très précises localement qui sont traduites en temps réel sous forme de cartographie 3D comme on peut le voir ci-dessous. Cela permet d'avoir une vision claire de la situation et d'aider rapidement à la prise de décision.

"Nous divisons le réseau en zones qui peuvent représenter à peu près 1/3 d’un département", nous avait expliqué Olivier Ondet, le directeur stratégie, marketing et communication d’Orange Applications for Business au sujet de plusieurs projets touristiques. "Cela permet, par exemple, de connaître le nombre de gens qui ont dormi sur place lors d’une étape du Tour de France dans l’Alpe d’Huez ou de prédire l’afflux de voyageurs sur le RER A", avait-il ajouté.

[...]

Moi, vous, tout le monde est susceptible d’être traqué à partir du moment où son téléphone portable reste actif. Intrusif ? Pas du tout, répondent en chœur les opérateurs, qui mettent en avant l’aval de la CNIL. Cette dernière autorise effectivement ces dispositifs "dans le domaine du tourisme, de l’aménagement du territoire et du trafic routier", nous précise un porte-parole de l'autorité.

Mais dans le cas de Marseille, on touche à la limite de l'exercice puisque l'outil est employé officiellement à des fins touristiques mais qu'il sert aussi, en définitive, à sécuriser la ville. Pas question pour autant d'autoriser un jour l'Etat à utiliser de tels services dans le cadre d’une manifestation, par exemple.

L-O-L. Donc le privé l'utilise, on voit la porosité entre privé et public à Marseille mais non, pas question que l'État y ait accès. Foutage de gueule. Surtout avec la LPM et la collecte temps réel sur les réseaux.

Autre obligation, ces systèmes doivent être déclarés à la CNIL et se trouver en conformité avec la Loi informatique et libertés. Les données sont notamment anonymisées [...]

[...]

C’est le cas d’Yves-Alexandre de Montjoye, chercheur au MIT Media Lab de Boston et auteur de plusieurs études sur le sujet. "Je pense qu’il n’est plus acceptable de dire simplement que les données sont anonymes", nous assène-t-il d’emblée. Avec son équipe, il a notamment prouvé que si l’on connaît quatre endroits où une personne est passée dans une zone de seulement 1km², il est possible de la ré-identifier dans 95% des cas. Nos simples déplacements ont beau être répétitifs, ils sont aussi uniques que des empreintes digitales et beaucoup plus riches qu'on ne l'imaginait à priori.

Croisées avec d'autres données mobiles, ces informations permettent de tirer un vrai portrait chinois des utilisateurs. "Nous avons développé une petite application Android open source, Bandicoot, qui permet aux gens de télécharger eux-mêmes leurs propres métadonnées et de les visualiser en graphiques", nous glisse-t-il. Age, sexe, personnalité, plus de 1400 indicateurs peuvent être tirés en analysant simplement les métadonnées d'un téléphone. Ces dernières sont ainsi capables de révéler vos secrets les plus intimes, sans même que l'on ait besoin d'accéder aux contenus de vos messages ou à vos informations personnelles.

[...]

En dehors d'Orange et de SFR, Bouygues Telecom avoue lui-même être en train de sauter le pas. Seul Free affirme encore ne pas songer à exploiter les données de ses abonnés. Autant dire que la pratique est en pleine expansion en France.

[...]

C’est la raison pour laquelle ils commencent aussi à proposer des solutions de ciblage d'envoi de SMS ou de MMS publicitaires à des abonnés ayant consenti expressément (opt-in) à être géolocalisés. C’est le cas, par exemple, du dispositif Géo Présence d’Orange. Un service plébiscité par les grands distributeurs qui peuvent ainsi croiser leurs propres fichiers clients avec ceux de l'opérateur et envoyer des promotions sur leur smartphone aux clients présents à proximité des points de vente.

[...] En Angleterre, les opérateurs sont déjà autorisés à créer des joint-ventures pour mettre en commun leurs bases et les monétiser en les vendant à des services tiers comme des banques.

[...] "Aux Etats-Unis, par exemple, les opérateurs sont autorisés à analyser les relations interpersonnelles", nous explique Mouloud Dey, le directeur solutions et marchés émergents chez SAS France, spécialisé dans le big data. "Si on vous appelle davantage que vous n’appelez vos amis, cela veut dire que vous êtes un influenceur et que c’est vous que les marques doivent cibler", détaille-t-il.

Via http://www.laquadrature.net/fr/node/9978

Lors du Conseil national du renseignement du 14 janvier, François Hollande a validé la mise en place d’un dispositif visant, à terme, à mettre sous surveillance l’ensemble des données de communication des 11 700 personnes fichées « S » pour lien avec l’islamisme radical.

Dans les dix jours qui ont suivi cette réunion à l’Elysée, la Direction générale de la sécurité intérieure (DGSI) avait déjà transmis plusieurs dizaines de demandes d’interception à la nouvelle Commission nationale de contrôle des techniques de renseignement (CNCTR) qui ne délivre qu’un avis facultatif au décideur final, le cabinet du premier ministre. [...] La loi sur le renseignement de juillet 2015, notamment par son article 851-2, permet la collecte de ces données de connexions.

Le souci réside dans le fait que les moyens humains et techniques de la CNCTR étant, pour l’heure, largement sous-dimensionnés pour une telle tâche, il a été décidé de procéder par un examen « simplifié » et « groupé », le temps de pourvoir aux besoins de l’instance de contrôle. Le président de la CNCTR, Francis Delon, n’a pas opposé de résistance à cette procédure qui restreint, de fait, le champ de sa mission. [...]

[...] Cette collecte systématique permet de surveiller la vie des individus de façon bien plus intrusive que par écoute téléphonique. De quoi établir une vaste toile de surveillance comprenant également les entourages et les entourages des entourages.

Via https://www.laquadrature.net/fr/LeMonde-Les-11700-fiches-S%E2%80%8A-pour-islamisme-mises-sous-surveillance , 8 mois plus tard mais je trouve ça très intéressant.