GuiGui's Show

J'utilise Thunderbird comme client mail (voir la ressource suivante pour prendre connaissance les raisons de ce choix : http://www.guiguishow.info/2013/09/13/a-la-recherche-dun-mua/#toc-4251-choix-dun-mua ). J'utilise le mode mailbox (un dossier contenant XXX mails = un unique fichier sur le disque dur) car le mode maildir (un dossier = un dossier et un mail = un fichier dans un dossier) est encore plein de bugs (« Pour le moment Maildir est désactivé par défaut car il reste encore beaucoup de bogues. Il n'est pas complètement prêt pour les utilisateurs. » sur https://support.mozilla.org/fr/kb/maildir-thunderbird ).

J'utilise massivement les dossiers et les filtres côté serveur (Sieve et procmail, voir http://www.guiguishow.info/2013/09/13/a-la-recherche-dun-mua/#toc-4251-tri-du-courrier ) pour trier mes mails, leur affecter une priorité, bref plein de choses pour me simplifier la vie et être efficace sachant que j'organise tous mes projets collectifs/associatifs par mail, je n'utilise pas de redmine et autres outils de gestion de projets^W^W^W^W^W usines à gaz.

Parfois, quand je déplace manuellement un mail dans un autre dossier après l'avoir traité, le mail disparaît de Thunderbird : il disparaît du dossier source et il n'apparaît pas dans le dossier de destination.

Dans ces moments-là, je me connecte à mon serveur mail en SSH, je trouve le fichier qui correspond à ce mail dans mon maildir (find -mtime, -mmin <date_réception>, grep -R "<mot-clé présent dans le mail>",...) et je le déplace dans Maildir/.Dossier.De.Destination/new. Grâce à IMAP IDLE (ou à la prochaine relève des mails), Thunderbird apprend l'existence de ce mail, le déplace dans Maildir/.Dossier.De.Destination/cur côté serveur, l'enregistre dans le bon mailbox côté client et l'affiche à l'utilisateur en mode lu (donc Thunderbird se souvient que le mail a été lu... cette info est forcément enregistrée quelque part...).

À chaque fois que ce bug est apparu, le mail a été déplacé (via IMAP) dans Maildir/.Dossier.De.Destination/cur... Je pense que Thunderbird se prend ensuite les pieds dans le tapis lors du stockage local...

Petit rappel. Quand on suit un lien sur une page web, le site web sur lequel vous atterrissez est informé de l'URL de la page web dont vous venez (on nomme ça referer/référent. Le mode navigation privée d'un navigateur n'empêche pas ça : aucune trace n'est laissée sur l'ordinateur (historique, cookies,...) mais les traces externes, envoyées aux serveurs web demeurent.

On ne peut pas désactiver le référent puisque de nombreux sites s'en servent notamment durant les phases d'authentification (ce qui est une erreur puisque l'utilisateur contrôle le référent...). On peut utiliser une extension comme Smart Referer qui indique comme référent le site web de destination lui-même... sauf sur les sites web problématiques qui sont en liste blanche (que l'on peut compléter) et qui recevront donc le référent réel.


« Dans cette affaire, le propriétaire de l'ordinateur a à cœur (sans jeu de mot) de protéger un peu sa vie privée. Il utilise certes beaucoup d'outils des GAFAM (Google, Apple, Facebook, Amazon, Microsoft), mais avec le soucis de progressivement se détacher de leurs emprises. C'est pourquoi, il a choisi d'utiliser un nom de plume pour s'épancher sur internet, un VPN pour protéger sa vie privée et l'autohébergement pour un certain nombre de ses outils préférés.

[...]

Vous connaissez peut-être les agrégateurs de flux RSS. Derrière cette expression se cache un outil très simple répondant au besoin suivant : comment être averti de la publication d'un nouveau billet de ses blogs ou sites web favoris sans être obligé d'aller vérifier tous les quart d'heure, site par site. [...]

C'est pourquoi, il a choisi d'utiliser un nom de plume pour s'épancher sur internet, un VPN pour protéger sa vie privée et l'autohébergement pour un certain nombre de ses outils préférés.Il installe donc l'un des meilleurs agrégateurs opensource : Tiny Tiny RSS, connu aussi sous son petit nom TTRSS... [...]

Les choses se compliquent un peu puisque notre utilisateur souhaite évidement pouvoir accéder à son agrégateur depuis l'extérieur et depuis son téléphone intelligent. Qu'à cela ne tienne, il met en place une redirection de port sur sa box d'accès à internet, en l’occurrence ici, une FreeBox. Il installe une application (gratuite) sur son téléphone : "TTRSS 2".

Notre homme ne se doute pas qu'il vient de commettre une (petite) erreur qui va le ridiculiser aux yeux (malveillants) du monde. En effet, non content de lire son journal personnel partout sur la planète, via son serveur TTRSS autohébergé, notre utilisateur est allé plus loin : comme il ne souhaitait pas apprendre par cœur son adresse IP personnelle, il a logiquement utilisé les services d'un nom de domaine qu'il possède pour sa société de consultant (notre homme est autoentrepreneur).

Sur le coup, il s'est méfié un peu : utilisateur assidu d'un pseudonyme sur internet, caché derrière la protection relative d'un VPN, n'y avait-il pas là un risque de dévoiler son identité réelle associée à sa petite entreprise quand il se connecte à son serveur TTRSS avec son navigateur ?

Que nenni pensait-il, puisque seul son navigateur (en session privée) et son téléphone utilisaient le nom de domaine de son entreprise. Il pouvait donc lire en toute tranquillité son agrégateur de flux RSS d'un côté et surfer sous pseudonyme de l'autre.

Erreur, erreur, erreur...

Il y a un petit mécanisme dont notre homme a oublié l'existence et qui est utilisé par de nombreux sites internets. Ce mécanisme s'appelle le référent. [...] lorsque vous cliquez sur un lien qui se trouve dans une page web, le site web sur lequel vous atterrissez est informé de l'URL de la page web dont vous venez.

Exemple : si vous cliquez sur ce lien : https://www.whatismyreferer.com et bien le site en question sait que vous venez du blog de Zythom (faites le test, le site vers lequel je vous envoie affiche en clair l'indication). Si vous utilisez Firefox, il vous suffit de faire "clic droit" à tout moment sur n'importe quelle page web et de choisir "Informations sur la page". Vous aurez accès à l'information "URL de provenance"...

Notre homme, donc, utilise un pseudonyme et un VPN pour commenter à droite et à gauche sur internet, mais a choisi d'autohéberger son agrégateur de flux RSS en utilisant le nom de domaine de son autoentreprise. Par conséquent, à chaque fois qu'il clique sur un lien présent dans son agrégateur, le site sur lequel il arrive sait d'où il vient, avec le nom en clair de son autoentreprise et son IP personnelle.

Fail. »

Les enjeux autour du chiffrement des ordiphones résumés de manière simple par Zythom. À lire et à faire circuler.

« Pour répondre à votre question (« Trouvez-vous cet amendement fondé ? »), je trouve que ce durcissement de notre législation correspond plutôt à un effet d'annonce permettant de montrer que certains députés suivent avec intérêt le débat américain qui oppose Apple et le FBI, mais à mon avis, ils se trompent de cible et surtout ils montrent encore une fois une incompréhension des concepts techniques mis en jeu. En effet, Apple souhaite mettre en place un système de chiffrement où elle-même n'aurait aucun moyen de pouvoir déchiffrer les données, afin de protéger ses utilisateurs de la curiosité étatique. Apple ne pourra pas techniquement fournir à l'autorité judiciaire les données en clair, et ne pourra pas être condamnée pour cela (sauf à rendre le chiffrement illégal).

[...]

Olivier Levrault : À quel point le chiffrement d'un smartphone freine-t-il l'enquête ?

Zythom : Cela va dépendre du rôle du smartphone dans l'enquête. Si la seule preuve dont vous disposez se trouve chiffrée dans le smartphone (ou dans l'ordinateur), votre enquête est définitivement bloquée. Heureusement, l'activité criminelle se limite rarement au simple usage d'un smartphone, fut-il chiffré. Une enquête s'appuie sur beaucoup d'éléments plus classiques comme des filatures, des fadettes, des éléments financiers, etc. Je n'ai jamais rencontré de dossiers reposant sur un seul élément technologique même si je ne nie pas qu'il soit possible que cela arrive. Faut-il pour autant interdire le chiffrement à tous ? Faut-il demander à tous les citoyens de vivre dans des maisons de verre pour pouvoir faciliter la surveillance des faits et gestes de tout le monde, pour détecter les comportements suspects ?

[...]

Olivier Levrault : Le fait de donner au gouvernement la clé pour accéder au contenu d'un téléphone lors d'une enquête terroriste fragilise-t-il la sécurité de l'ensemble des smartphones ?

Zythom : Oui. Imaginez un fabricant de serrures (coffres forts, portes de maisons, etc.) qui serait obligé de créer une clé permettant d'ouvrir toutes les serrures qu'il fabrique. Vous comprenez bien que cette fameuse clé devrait être protégé de la manière la plus extrême. Car il suffirait qu'une seule personne fasse discrètement une copie de cette clé pour que la sécurité des serrures soit définitivement compromise. Et si vous ne pouvez pas assurer vous-même la protection de cette clé, par exemple parce que l’État vous impose de lui en confier une copie, cela revient à confier toute la sécurité de vos clients à l’État. C'est ce qui a amené Ladar Levison à fermer son service Lavabit plutôt que de donner l'accès aux messages d'Edward Snowden comme la loi américaine le lui obligeait. Le suicide commercial plutôt que la trahison de ses clients...
Olivier Levrault : Est-ce que cela créé les fameuses portes dérobées ? Si oui, quel est le risque ?

Zythom : Lorsque vous proposez à vos clients un système protégeant votre vie privée, mais que vous mettez en place d'un accès réservé, c'est ce que l'on appelle une porte dérobée. On parle également de cheval de Troie. Le risque est l'utilisation de cette porte dérobée de manière abusive, soit par l’État, soit par un criminel. Vous pensez être seul dans l'intimité de votre chambre, alors qu'en fait un œilleton permet de vous observer, de vous photographier, de vous filmer, etc. Allez-vous accepter cela parce qu'on vous affirme que vous serez plus en sécurité ?

[...]

Le discours est de dire que de toutes manières, une grande partie de la population a déjà offert une partie de ses données personnelles aux GAFAM (Google, Apple, Facebook, Amazon et Microsoft) en échange de services gratuits et de publicités ciblées. Nous parlons ici de l'abandon à la demande de l’État par le grand public de l'ensemble de ses données personnelles, ce qui est très différent. Personnellement, j'accepte de donner certaines de mes données privées à Google. J'accepte aussi de dévoiler beaucoup d'éléments de ma vie sur mon blog personnel. C'est ma liberté. Pour autant, je chiffre certains messages, j'utilise parfois un VPN, je protège certaines parties de ma vie privée. Parce que j'ai une réticence à tout montrer.

[...]

Les constructeurs jouent double jeu [ NDLR : on parle du chiffrement pour redorer leur blason après la publication des documents permise par Snowden), mais au moins, le consommateur peut décider d'arrêter d'acheter tel ou tel produit. Il a un certain pouvoir. Apple peut se ringardiser en quelques années et disparaître. Qu'en est-il du poids de la voix du citoyen dans le processus démocratique d'aujourd'hui ? Dans quel état sont les contre-pouvoirs traditionnels, tels que la justice et les médias ? »

:D

Vaaaaaaaaache.

En attendant que progress arrive dans Debian stable et pour ne plus utiliser « watch -n5 'sudo kill -s SIGUSR1 $(pidof dd)' » : pv my.iso | dd of=/dev/sdX . Ou, mieux (mais on perd les options que l'on peut passer à dd) : pv my.iso > /dev/sdX .

Ça marche aussi avec d'autres commandes : sha256sum, nc,.... Tout ce qu'on peut faire transiter dans un pipe.

Plus fort que ça : on peut surveiller un fichier ouvert par un autre processus ou tous les fichiers ouverts par un autre processus. Genre, en cas d'oubli de préfixer dd par pv, on peut suivre la progression d'un dd après coup avec : pv -d $(pidof dd). On voit ainsi la progression de la lecture et de l'écriture.

Via https://twitter.com/aeris22/status/719988821211934720

Depuis le début de mon blog ( http://www.guiguishow.info ), j'utilise le plugin Spam Karma 2 pour filtrer automatiquement le spam dans les commentaires. Le fonctionnement de Spam Karma 2 est de faire du scoring comme le font les antispams mail : plusieurs critères (délai entre l'ouverture de la page et envoi du commentaire, nombre de liens insérés dans le contenu du commentaire, payload javascript, détection de balises HTML,...), chaque critère fait perdre des points. Si le score final est en dessous d'un certain seuil, on laisse une autre chance en proposant un captcha. En dessous d'un deuxième seuil, on ne propose même pas une deuxième chance. Spam Karma est modulaire : plusieurs plugins participent à établir le score final.

Évidemment, je n'utilise pas le check RBL qui consiste à faire une requête sur un site web externe pour vérifier la réputation de l'IP du visiteur et les URL insérées dans le contenu de son commentaire (si elles sont connues du service -> mauvaise réputation -> on retire des points au score). Il n'y a donc aucune dépendance à un service externe et c'est ce que j'ai toujours apprécié chez ce plugin. C'est pour ça que je n'ai pas choisi la boîte noire Akismet qui est le filtre antispam de commentaires de référence, activé par défaut dans Wordpress. Voir ici pour un regard critique sur Akismet : http://sebsauvage.net/rhaa/?2010/08/12/11/19/09-probleme-avec-akismet . Avec Spam Karma 2, je peux consulter les critères de blocage de chaque commentaire. Je peux débloquer les commentaires si je veux (Akismet aussi sur ce point). Je peux agir sur tous les critères de classification. Et je ne participe pas à une concentration malsaine en un seul service de filtrage (Akismet) qui, du coup, devient hyper puissant  et critique.

L'aspect négatif c'est que le développement de Spam Karma 2 n'est plus assuré depuis juillet 2008 (voir http://unknowngenius.com/blog/archives/2008/07/14/spam-karma-is-gpl/ ). Il devient difficile de le télécharger. Je l'utilise sans problème depuis juillet 2010 mais il est évident que plus le temps passe, plus la probabilité qu'une mise à jour de Wordpress casse Spam Karma augmente. Et évidemment, les failles de sécurité ne seront pas corrigées alors qu'on sait que les problèmes de sécurité avec Wordpress viennent en majorité des plugins. Ne parlons pas de l'absence d'une communauté qui a aussi un impact sur la sécurité.


Je viens de corriger 4 problèmes avec le Spam Karma de mon Wordpress dont deux sont de ma faute. Je les mentionne aussi ici même si ça allonge la longueur de ce shaarli car ça nous rappelle des leçons importantes.

    * Commençons par le plus facile : un des critères de notation de Spam Karma consiste à pénaliser les commentaires postés sur de vieux articles. Par défaut, si le commentaire est déposé sur un article qui a été publié il y a plus de 15 jours -> vlam, pénalité. Sauf que mon article le plus récent date de mars 2015. 1 an, donc. Et les deux qui suivent datent d'octobre et août 2014... bientôt 2 ans... Sauf que ce blog n'est pas mort. Je lis les commentaires. Je corrige mes articles ou je fais référence à des documentations complémentaires. Dans ces conditions, il est injuste de pénaliser un visiteur qui poste des années après la publication d'un article. Un commentaire humain passe malgré la pénalité mais c'est parfois limite. J'ai donc ajusté ce plugin de Spam Karma 2 pour pénaliser les commentaires déposés sur des articles vieux de plus de 2 ans. Moralité : on se souvient qu'une politique de sécurité, même antispam, doit être ajustée au fil du temps. :-


    * En cherchant à tester le point précédent, je me suis aperçu que le captcha de la deuxième chance ne fonctionne pas. L'image ne s'affiche pas, seul le texte alternatif s'affiche. On devine que la bibliothèque GD n'est pas installée/activée ou foire. Ce que confirment les logs Apache : « PHP Fatal error:  Call to undefined function imagecreate() in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_captcha_graphic.php on line 37 ». Solution : apt install php5-gd + systemctl restart apache2 . J'ai dû virer le package il y a des mois et des mois en me disant qu'aucune des applications web que j'utilise ne dépend de GD. Réduire les logiciels installés sur un serveur pour réduire la surface d'attaque, c'est bien mais il faut penser à tout. :-


    * En regardant mes logs Apache, je constate que les error logs de février et mars 2016 occupent largement plus d'espace que d'habitude : 748 Mo pour mars, 1,1G pour février (compressés en 19 Mo de gzip). Ma volumétrie habituelle d'error log ne dépasse pas 100 Ko de texte non compressé ! Il y a donc un problème. Ce problème est la répétition incessante de ces messages d'erreurs : « PHP Warning: mysql_real_escape_string(): Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2) in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php on line 107 [...] PHP Warning:  mysql_real_escape_string(): A link to the server could not be established in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php on line 107 ».

    Je regarde sur tous les Wordpress que j'administre : même problème partout. À noter : sur des installations Apache+MySQL non chrootées (consulter la ressource suivante pour connaître les raisons qui me font aujourd'hui douter de l'intérêt d'un chroot Apache+MySQL : http://shaarli.guiguishow.info/?08T1Cw ), les logs contiennent plutôt « PHP Warning:  mysql_real_escape_string(): Access denied for user 'www-data'@'localhost' (using password: NO) in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php [...] PHP Warning:  mysql_real_escape_string(): A link to the server could not be established in /chemin/vers/wordpress/wp-content/plugins/sk2/sk2_functions.php on line 107 ».

    Quand ces erreurs sont-elles apparues dans mes logs ? 22 janvier 2016 sur une installation, 24 décembre 2015 sur une autre.

    Que s'est-il passé ?
        * J'ai pour méthode de ne jamais mettre Wordpress à jour lors de la sortie d'une version majeure car je sais qu'une version corrigée de nouvelles failles de sécurité introduites par cette version majeure sortira un ou deux mois plus tard. C'est toujours comme ça avec Wordpress, voir http://shaarli.guiguishow.info/?ikqFrg . Donc ce n'est pas le passage à Wordpress 4.4, dont la date de sortie (début décembre) pourrait correspondre, qui a tout cassé. Fausse route.

        * Les logs dpkg montrent une mise à jour de PHP le 24/12/2015, avant l'apparition des erreurs. Mais rien le 22 janvier.

        * Le changelog Debian (voir la ressource suivante http://shaarli.guiguishow.info/?feXm_A pour le trouver ) des packages libapache-mod-php5 / php5-mysql ne mettent rien en évidence, juste un passage à la version 5.6.16 upstream qui corrige des crashs le 22/12/2015.

        * En revanche, c'est le 24/12/2015 que j'ai mis à jour ce serveur de Debian Wheezy à Jessie, il n'y a qu'à voir la volumétrie du log dpkg ce jour-là. Je passe donc de PHP 5.4 (Wheezy) à PHP 5.6 (Jessie) tout en sachant que l'extension mysql et donc mysql_real_escape_string() devient dépréciée à partir de PHP 5.5 . Sauf que tout cela est encore parfaitement utilisable par n'importe quel script... Fausse route, donc.

        * À moins que... Qu'est-ce que Wordpress utilise ? MySQL, MySQLi ou PDO ? Réponse dans wp-includes/wp-db.php : Wordpress utilise MySQLi depuis sa version 3.9 (voir https://make.wordpress.org/core/2014/04/07/mysql-in-wordpress-3-9/ ou https://core.trac.wordpress.org/browser/tags/3.9/src/wp-includes/wp-db.php ). « /* Use ext/mysqli if it exists and:
          - WP_USE_EXT_MYSQL is defined as false, or
          - We are a development version of WordPress, or
          - We are running PHP 5.5 or greater, or
          - ext/mysql is not loaded. »
        Je ne remplissais aucune des conditions : l'extension MySQL était bien chargée, je n'utilisais pas une version de développement, je n'ai pas désactivé manuellement l'usage de l'extension MySQL dans Wordpress et je n'avais pas une version de PHP >= 5.5 . Mais en passant à Jessie, cette dernière condition est devenue vraie.

        * Ainsi Wordpress utilise MySQLi depuis ma mise à jour vers Jessie (et donc PHP 5.6.X) et donc mysql_real_escape_string() n'est plus utilisable.

        * Pourquoi ce changement s'est-il manifesté uniquement le 22 janvier sur une autre installation ? Car ce site est beaucoup moins consulté, même par les bots donc aucun envoi de commentaire n'a été tenté et donc aucune erreur dans les logs.


    Analyse :
        * La ligne 107 de sk2_functions.php tombe en plein dans la fonction sk2_escape_string() dont le rôle est d'être un wrapper : est-ce que nous sommes en PHP 5, auquel cas la fonction mysql_real_escape_string() existe et on l'utilise, sinon on est en PHP 4 et il faut utiliser mysql_escape_string(). Sauf que mysql_real_escape_string ne peut plus fonctionner puisque Wordpress utilise mysqli.


    Solution :
        * Pour bien faire, il faudrait utiliser les requêtes SQL préparées (donc la fonction prepare() de l'objet $wpdb, "abstraction" de la base de données par Wordpress) mais ça serait une vraie plaie de modifier tout Spam Karma dont le code n'est clairement pas simple à migrer àmha car les requêtes SQL sont conditionnelles et gérées par une palanquée de if/else...

        * On pourrait utiliser mysqli_real_escape_string() sauf que, contrairement à mysql_real_escape_string(), il faut obligatoirement passer la variable représentant la connexion à la base de données. Chose que $wpdb ("abstraction" de la base de données par Wordpress) n'expose pas...

        * On regarde la doc' Wordpress https://codex.wordpress.org/Data_Validation#Database : donc il faut utiliser les requêtes préparées et quand on ne peut pas, il faut utiliser esc_sql() qui est une fonction interne de Wordpress (voir https://codex.wordpress.org/Function_Reference/esc_sql ) qui semble moins bien faire le job que mysql_real_escape_string() genre elle ne gère pas le jeu de caractères de la base de données, par exemple.

        * En pratique : dans les fonctions sk2_escape_string() et sk2_escape_form_string() du fichier sk2_functions.php de Spam Karma, on empêche l'exécution du code actuel en le précédant par « return esc_sql($string); ».

      Voici ce que donnent les modifs :
        function sk2_escape_string ($string)
        {
            return esc_sql($string);

            if(function_exists('mysql_real_escape_string'))
              return mysql_real_escape_string($string);
            else
              return mysql_escape_string($string);
        }

        function sk2_escape_form_string ($string)
        {

            if (get_magic_quotes_gpc())
                $string = stripslashes($string);

            return esc_sql($string);

            if(function_exists('mysql_real_escape_string'))
                return mysql_real_escape_string($string);
            else
                return mysql_escape_string($string);
        }


    * Dernier problème : lors du dépôt d'un commentaire, Spam Karma explose en vol et affiche ceci à l'utilisateur :
      « Failed to insert blacklist entry: ip_white - <IP_visiteur>.
        SQL error: Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
        Error: cannot update comment entry ID: 36836 to status: approved.
        SQL error: Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
        Failed inserting/updating sk2_kSpamTable record for comment ID:36836 (mode: overwrite).
        Query: INSERT INTO `wp_sk2_spams` SET `karma` = 29.25,`karma_cmts` = '', `unlock_keys` = '', `remaining_attempts` = '', `last_mod` = NOW(), `comment_ID` = 36836
        SQL error: Can't connect to local MySQL server through socket '/var/run/mysqld/mysqld.sock' (2)
        Sorry, but your comment has been flagged by the spam filter running on this blog: this might be an error, in which case all apologies. Your comment will be presented to the blog admin who will be able to restore it immediately.
        You may want to contact the blog admin via e-mail to notify him. »

      Dans les logs Apache, on retrouve les erreurs du point précédent. C'est donc le même problème. Appliquer la correction proposée au point précédent corrige celui-ci aussi. \o/

Résultat du scrutin public portant sur le projet de loi renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale, examiné en première lecture au Sénat.

299 pour, 29 contre, 18 abstentions.

Comme le gouvernement a engagé la procédure accélérée et que chaque chambre du Parlement a examiné et modifié le texte, celui-ci part en Commission Mixte Paritaire. En CMP, les représentants de chaque chambre discutent uniquement des points qui restent en discussion c'est-à-dire des dispositions qui n'ont pas été adoptées à l'identique par les deux chambres.

La plupart des dispositions que je trouve merdiques ont été approuvées des deux côtés à part la consultation habituelle de site web faisant l'apologie du terrorisme, l'entrave au blocage administratif des sites web faisant l'apologie du terrorisme, l'usage judiciaire des logiciels espions (déjà prévus par la LOPPSI de toute façon), l'interdiction du territoire, IMSI catchers (contenu des correspondances et destruction des infos hors enquête), captation des mails archivés et l'alourdissement des peines pour les fournisseurs de cryptos).

On peut donc encore jouer mais on est sur des dispositions numériques donc la probabilité d'un échec est elevée, faut pas se mentir.


Petit tour des mauvaises choses qui sont encore là :
    * retenue administrative préventive pour contrôle d'identité en dehors du cadre plus contraignant de la garde à vue visant des personnes dont on présume des activités terroristes...

    * fouille administrative préventive des véhicules et des sacs pour pecho des activités terroristes. On est suspect dès lors qu'on circule dans une zone géographique délimitée par un Magistrat... Sérieux ?

    * Caméras mobiles individuelles pour les policiers et gendarmes. Durée de conservation d'un mois. Il n'est plus prévu que le citoyen puisse demander l'activation de l'enregistrement. Pas de demande d'accord préalable à l'enregistrement (droit à l'image et à la vie privée quand un agent des forces de l'ordre filme une perquisition, par exemple). Rien de dit que la CNIL pourra vérifier l'absence d'enregistrements me concernant au-delà du délai autorisé comme elle vérifie les fichiers policiers (et y constate des taux d'erreur mirobolants !).

    * l'administration pénitencière et plus largement les services du Ministère de la Justice deviennent des services autorisés à recourir aux techniques de renseignement légalisés par la loi Renseignement de mi-2015

    * perquisitions administratives de nuit des habitations. Les députés avaient ajouté qu'elles peuvent avoir lieues uniquement si impossible de les réaliser en plein jour... sans préciser les critères qui fondent cette impossibilité...

    * techniques de renseignement (sonorisation véhicules et habitations, captation de données, IMSI catchers,...) utilisables par des Magistrats du Parquet (procureurs & co) qui ne bénéficient pas d'un statut d'indépendance vis-à-vis de l'exécutif.

    * IMSI catchers (article 2) : peuvent désormais capter le contenu des correspondances elles-mêmes. Protection des professions du secret et apparentées (reste à savoir comment ce droit s'appliquera puisque l'IMSI catcher capte tout sans vérifier l'identité...). Destructions des données qui ne concernent pas l'enquête pour laquelle le dispositif a été déployé sous 3 mois max. Question : comment faire valoir ce droit ? Comment je sais que j'ai été collecté par un IMSI catcher car j'ai simplement circulé dans une zone géographique ? Comment je vérifie que les données ont été détruites ? Ça reste toujours massif.

    * Captation des mails archivés (article 1 bis). S'apparente à un régime de saisie administrative qui ne dit pas son nom. Pas de durée ni de destruction ni ce qui sera fait des données collectées.
   
    * Alourdissement des peines pour les constructeurs de moyens de cryptologie qui refuseraient de communiquer les données chiffrées et les clés (article 4 quinquies).

    * Punir la consultation habituelle de sites internet faisant l'apologie du terrorisme (2 ans de placard et 30 000 €) + l'entrave au blocage administratif de site web (5 ans et 75 000 € ) - article 4 sexies. L'entrave concerne clairement les miroirs et les récursifs DNS ouverts et autre proxies. Pour limitée l'impact des sanctions de la consultation, les journalistes et chercheur-euses scientifiques sont exclues ainsi que les personnes de bonne foi -> LOL. :)

    * Le contrôle administratif des personnes de retour de l'étranger dont on a des « raisons sérieuses de penser que ce déplacement a pour but de rejoindre un théâtre d’opérations de groupements terroristes ». Il n'est plus demandé la communication des identifiants de connexion sur les sites web...

    * Article 4 septies A : interdiction du territoire à un-e étranger-e pour des activités terroristes... dont l'apologie ! On n'est pas loin de la déchéance de nationalité, hein...

    * Article 3 bis A : captation de données informatiques à distance (VNC, keylogger, fouille des supports de stockage) via un logiciel espion pour tout une palette de crimes et de délits. La LOPPSI permet déjà cela mais ça n'a pas encore été déployé (voir http://www.numerama.com/politique/150304-la-pj-pourra-enfin-installer-des-keyloggers-et-autres-mouchards.html ). Durée non précisée, périmètre des données collectées pas précisé.

« Le nouveau système imaginé par le Medef, qui sauf coup de théâtre entrera en vigueur en 2019, va être douloureux pour les personnes partant en retraite dès 62 ans. Du simple smicard au cadre dirigeant [...]

La touche finale. Syndicats [ NDLR : sauf CGT et FO, selon le Canard du 06/04/2016) ] et patronat se retrouvent une dernière fois ce vendredi, pour entériner la réforme des régimes de retraites complémentaires Agirc et Arrco, après l'accord de principe trouvé il y a deux semaines. La mesure phare est sans aucun doute le système de bonus-malus, élaboré par le Medef, qui s'appliquera à partir de 2019 et vise à faire travailler un an de plus les salariés, une fois satisfaites les conditions pour partir à taux plein, à la fois en termes de durée d'assurance et d'âge légal (62 ans), sous peine de malus, et ce jusqu'à 67 ans.

Concrètement, une personne partant à l'âge légal, à 62 ans, verra sa pension complémentaire amoindrie de 10% pendant les 3 premières années, même si elle possède une durée d'assurance suffisante pour bénéficier du taux plein. [...]

[ NDLR : soyons plus précis : « Par exemple, un cadre né en 1959 et qui souhaite partir à la retraite dès l’âge légal perdra environ 14,5% de sa pension complémentaire. Et s’il continue à travailler pour éviter le malus, il perdra quand même 4,5% de pension. Au fil des générations la différence sera de plus en plus importante. Les cadres nés en 1990 pourront perdre entre 8 et 17% du montant de leur retraite complémentaire. » Source : http://www.europe1.fr/societe/retriates-complementaires-importante-baisse-des-pensions-2711464 qui se base sur le rapport du Conseil d'Orientation des Retraites que le Figaro a dévoilé cette semaine. ]

Le malus disparaîtra si le salarié part un an après avoir atteint les conditions pour bénéficier du taux plein (âge légal et nombre de trimestres cotisés), et se transformera même en bonus de 10% pendant un an si le salarié prolonge son activité pendant 8 trimestres (2 ans) après avoir atteint ces conditions, de 20% après 12 trimestres (3 ans) et de 30% après 16 trimestres (4 ans). »

La complémentaire représente la principale part de la retraite des cadres.

« En juillet 2015, les serveurs de Hacking Team étaient piratés pour dénoncer l’ampleur de ses activités, qui consistent à fournir à des gouvernements du monde entier des outils permettant d’espionner à distance des ordinateurs et autres smartphones. Le piratage avait permis de prouver que l’entreprise avait bien des activités commerciales avec des pays dont le respect des droits de l’homme n’est pas la première des priorités.

Dix mois plus tard, les autorités italiennes prennent enfin des mesures à l’encontre de Hacking Team. Comme le rapporte The Register, le quotidien italien Il Fato Quotidiano rapporte que l’Italie a finalement décidé de révoquer une licence qu’elle avait accordé quelques semaines avant le piratage, qui permettait à Hacking Team de vendre sa solution d’espionnage Galileo à n’importe quel pays dans le monde.

Galileo est le nouveau nom donné au programme Da Vinci, présenté à la France en prévision de la de la loi Renseignement. La suite permet aux autorités de contourner le chiffrement des données, géolocaliser des cibles, mettre sur écoute des messageries instantanées ou VoIP, espionner la navigation sur le Web d’un individu, etc.

[...]

En France, le gouvernement a décidé en 2013 de muscler les conditions d’exportation des « équipements d’interception de télécommunications mobiles et de surveillance des communications sur réseau IP », qui doivent désormais faire l’objet d’autorisations spécifiques, au même titre que les équipements d’écoutes téléphoniques. »

En voilà une décision utile (ironie)... ça referme un poil la brèche mais ça n'empêchera pas de vendre à des dictatures avec l'accord des autorités et, en France, les éléments montrent que le Ministère ne pouvait ignorer la vente par Amesys (Bull/Atos) à la Libye de Kadhafi puisqu'il y a contribuer ainsi que la DGSE. Bref, Hacking Team aura toutes les autorisations d'export qu'elle demande. On passe juste d'un accord automatique à une demande formelle à adresser à chaque fois...

Panama Papers :
    * Tout provient uniquement d'un cabinet d'avocats panaméen qui fait dans l'enregistrement de sociétés écrans : Mossack Fonseca. Autrement dit : on voit une toute petite partie de la fraude fiscale mondiale puisque Mossack Fonseca ne gérait pas tous les enregistrements de sociétés, ni au Panama ni ailleurs.

    * 11,5 millions de documents soit 2,6 To de données. Cette fuite (ou vol) de documents proviendrait d'une intrusion sur le serveur mail de Mossack Fonseca... Que font des documents de 1977 sur un serveur mail ? Même chose pour des contrats hyper-sensibles ?! À mon avis, le serveur mail n'a été que la porte d'entrée d'une intrusion plus massive dans le système d'information de Mossack.

    * Le point précédent me fait réfléchir au paradoxe de ce business : il faut dissimuler l'identité d'un fraudeur mais cette personne doit pouvoir récupérer son cash. Or, comme il n'est pas à son nom, il faut bien conserver une trace écrite qui fait le lien entre la personne et le cash. Donc : ce n'est pas opaque, il y a beaucoup de traces écrites. Toute la question est de savoir de qui, de quelle autorité on se cache.

    * La presse se délecte de la fraude fiscale de grands noms mais les panama papers concernent aussi des inconnu-e-s : masseur, chirurgien esthétique,... Donc, pour l'aspect "c'est encore les politocards et les financiers les grands méchants", on repassera, c'est plus compliqué que cela. :)


Ces documents et ce reportage de Cash n'apportent pas grand'chose à mes yeux : la fraude fiscale existe, on le sait. On a déjà eu des documents ces dernières années (LuxLeaks, SwissLeaks, sur les GAFAM...) et rien ne changera car :
    * Au fond, cela revient à faire de l'ingérence dans un autre État. Or, un État est indépendant donc il est libre d'appliquer la fiscalité qu'il veut, d'être aussi coopératif qu'il le souhaite avec les autorités d'autres États.

    * De plus, chacun des acteurs fait des choses légales et morales : un état qui propose une fiscalité différente, un cabinet d'avocat qui enregistre une société écran, une banque qui gère des comptes bancaires,... C'est l'usage qui est fait de la somme de ces services qui est illégal et immoral.

Bref, même sans l'adage "l'argent est roi", on voit assez bien qu'il y a des raisons pour que rien ne change.

En revanche, ce reportage de Cash est mega intéressant pour comprendre les grandes ficelles du truc, les acteurs et tout et tout. C'est à ce titre que j'en recommande le visionnage et que j'en fais un compte-rendu ci-dessous.


Acteurs de la fraude fiscal :
    * Une société écran. Rien d'illégal, même en France. Par contre, en France, il faut déclarer la structure avec le nom des dirigeants, les proprios,... Pas cool si l'objectif est de frauder en masquant son identité.

    * Un État qui a fait des choix différents en terme de fiscalité et d'enregistrement des entreprises. Exemple : Panama ne pose pas de questions sur les proprios de sociétés commerciales et a décidé que le taux d'imposition d'une société domiciliée sur son territoire, concernant les activités externes au Panama de cette société serait de 0%. Autre exemple : le Delaware et son 0% d'impôts si la société n'est pas détenue par un américain ni n'exerce ses activités sur le sol américain.
      C'est là que la société écran devient intéressante puisqu'elle est située dans un État qui ne récupère pas l'information sur le proprio. C'est là où la société écran devient utile puisqu'elle permet de dissimuler l'identité de son propriétaire.

    * Des cabinets d'avocats qui enregistrent les sociétés écrans. Ces cabinets fournissent aussi des hommes et femmes de paille qui seront les faux dirigeants des sociétés commerciales ainsi enregistrées. Ces hommes et femmes sont, dans le reportage, des employés de ces cabinets.

    * Des banques qui gèrent un compte ouvert par la société écran... Toute société commerciale a besoin d'un compte bancaire donc rien d'illégal là non plus.

    * D'autres structures comme des cabinets d'avocats (exemple : le cabinet Claude & Sarkozy dans l'histoire de la villa du couple Balkany au Maroc) qui réalisent la paperasse ou des banques (BNP, UBS, HSBC, Crédit Suisse, Société Générale...) qui créent des sociétés écran pour leur client (exemple de la Société Général qui, entre 2000 et 2015 a créé 460 sociétés écrans et les a administrées via des fondations) ou d'autres intermédiaires comme FiduSuisse qui vendent des packs clé en main société écran dans paradis fiscal + compte en banque dans autre paradis fiscal cool.


Combien ça coûte, un service d'évasion fiscale voir de blanchiment ?
    * Estimation de Roland Veillepeau (ancien directeur des enquêtes fiscales) : le montage financier complet doit coûter environ 1% de la somme dissimulée et ce, par an, pour une somme de 24 millions d'euros.

    * Pour la création d'une société écran au Delaware + un compte bancaire en Nouvelle-Zélande par FiduSuisse Offshore pour le compte l'équipe de Cash Investigation : 3850 € . À cela s'ajoute 6% des 5000 € de cash liquide qui seront blanchis pour atterrir sur le compte bancaire. J'adore FiduSuisse qui demande CV succinct + CNI + business plan succinct pour se donner bonne conscience. :D

    * L'enregistrement de sociétés écrans constitue 1/4 du budget de l'État du Panama. :O


Comment alimente-t-on le compte bancaire offshore ?
    * Compensation : l'intermédiaire (exemple : FiduSuisse) trouve dans son portefeuille de clients, deux clients qui ont un compte dans une même banque située dans un paradis fiscal (ça marche aussi pour deux clients qui ont de l'argent hors d'atteinte des autorités que ces clients cherchent à blouser, àmha). Il suffit de verser l'argent à cet intermédiaire qui reverse la somme, moins sa commission sur votre compte offshore.

    * Coursier : l'intermédiaire (exemple : FiduSuisse) récupère l'argent en cash et le blanchit (l'argent est transféré depuis une société écran pour ne pas laisser apparaître le nom de l'intermédiaire dans le listing de votre compte offshore...).

    * Virement bancaire classique puis passage par plusieurs banques. Exemple : Gérard Autajon, entrepreneur français. Cet argent (on parle de 24 millions d'euros) a été gagné sur le sol français, a été dissimulé (non déclaré) en Suisse jusqu'en 2009 puis transféré à une société écran et stocké dans une banque à Hong Kong puis aux Bahamas puis aux Pays-Bas puis dans un fonds d'investissement du Luxembourg. Gérard Autojon a quitté la Suisse car il pense que la Suisse n'est plus un vrai paradis fiscal.

    * J'en arrive à la même conclusion que Christian Eckert (secrétaire d'État chargé du budget) : sur de très grosses sommes (millions d'euros), on ne s'amuse pas avec du cash donc il y a des transactions en monnaie électronique. Exemples : le groupe Autajon ne publie pas ses comptes (et l'amende est seulement de 1500 € donc osef) et il y a eu un mouvement financier vers la Suisse ! Autre exemple : la banque Edmond de Rothschild qui accepte les presque 500 millions de dollars de Khadem al-Qubaisi qui viendrait d'une affaire de corruption. Un haut responsable de la banque dira qu'une autre banque n'aurait pas accepté ces fonds... C'est là qu'est la faute : ne pas avoir vérifié l'origine des fonds (ou s'en moquer) alors que c'est une obligation légale ! De là, taper sur un État qui pratique une fiscalité différente de la fiscalité décidée en France me semble bien vain...


Combien la fraude fiscale coûte-t-elle à un État ?
    * Selon Roland Veillepeau (ancien directeur des enquêtes fiscales), environ 50 000 personnes physiques françaises sont en cours de régularisation concernant leur compte bancaire étranger non déclaré... pour un total de 50 milliards d'euros. En réalité, environ 250 000 personnes physiques françaises auraient de l'argent planqué dans des paradis fiscaux.

    * Michel Sapin évoquera le dossier de la HSBC (Swiss Leaks) de février dernier. Le fisc français est remonté à 38 000 comptes bancaires de français. Le fisc empochera 12 milliards d'euros. On se rend donc compte que l'estimation de Roland Veillepeau semble être bien en dessous de la réalité...

    * ÉDIT DU 07/04/2016 À 15H10 : le Canard du 06/04 indique que cette évasion fiscale représente un manque à gagner en recettes fiscales de 40 milliards d'euros. FIN DE L'ÉDIT.


Quel avenir selon le ministre de l'Économie français ?
    * On continue à conclure des conventions fiscales avec les paradis fiscaux afin de renforcer la collaboration entre administrations fiscales et quand ces conventions ne sont pas respectées (typiquement le Panama) genre les réponses aux demandes de renseignement sont de piètre qualité, on leur fait les gros yeux, on en parle avec nos collègues de l'OCDE, on ajoute ces États à des listes noires, grises...

    * Parmi ces conventions, certains États acceptent des échanges automatiques d'informations (l'enregistrement d'une société écran est signalé D'OFFICE au pays de résidence du propriétaire). C'est le cas du Luxembourg, de la Suisse, des Îles Vierges britanniques.


Un dernier mot sur Stéphanie Gibaud. Ancienne directrice de la communication d'UBS. Elle a réuni des informations sur l'évasion fiscale pratiquée par ce groupe. Elle a porté plainte contre son employeur. Elle a été licenciée, elle ne trouve plus de taff au motif que son nom fait peur. Elle vit des minimas sociaux. Je trouve ça profondément triste et injuste. Elle se fait emmerder alors que son employeur sera à peine sanctionné. Elle se fait emmerder pour avoir dénoncé des pratiques illégales. Elle se fait emmerder sans avoir pu mettre un terme à ces mauvaises pratiques ! Et tout ce que Michel Sapin propose, c'est les vagues clauses de protection des lanceurs d'alerte de son projet de loi Sapin 2 ?!