GuiGui's Show

Résumé : les logiciels de téléphonie indiquent souvent une mauvaise adresse IP à leur interlocuteur, surtout quand ils sont utilisés avec un VPN partiel / split tunnel / VPN sans route par défaut. Les VPN peuvent bricoler les paquets SIP contre la volonté de l'administrateur systèmes et réseaux. La fonctionnalité d'apprentissage RTP du commutateur téléphonique Asterisk est plutôt chatouilleuse aux interférences. Certaines versions de logiciels de téléphonie résistent plus ou moins bien aux magouilles d'un VPN. Pour toutes ces raisons, si tu dois fournir de la téléphonie d'entreprise à des personnels en télétravail et que ça foire de manière aléatoire, ajoute les lignes nat=force_rport,comedia et directmedia=no dans la définition de chaque ligne SIP dans le fichier sip.conf d'Asterisk ou dans les paramètres (paramètres avancés pour « directmedia ») d'une ligne SIP dans XiVo. La première réécrit l'adresse IP contenue dans le paquet SIP/SDP avec l'adresse IP source de ce paquet, garantissant ainsi que l'IP est la bonne. La deuxième fait circuler les flux audio via le commutateur téléphonique plutôt qu'en pair-à-pair, ce qui évite les ratés de l'apprentissage RTP, les bidouilles d'un VPN et la sensibilité des softphones.

Présentation

Rappel sur le fonctionnement de la téléphonie sur Internet. D'un côté, il y a la signalisation (je veux appeler untel, il a décroché, il met en attente, il reprend l'appel, etc.) avec le protocole SIP. Cet échange se fait via un commutateur téléphonique. La voix transite via le protocole RTP (et son protocole de contrôle RTCP). Il y a un flux audio par interlocuteur. Les flux audio sont échangés en pair-à-pair, sans passer par le commutateur téléphonique. L'adresse IP, le port UDP ("envoie ton flux RTP ici") et les codecs à utiliser sont négociés via le protocole SDP lui-même relayé par SIP, donc via le commutateur.

J'ai déjà exposé notre architecture de téléphonie. Notre commutateur téléphonique est donc un Asterisk empaqueté dans produit avec interface web, API, etc. nommé XiVo. On dira qu'il a l'adresse IP 192.0.2.1 avec une seule route par défaut vers le routeur global de notre organisation. Nous avons des téléphones IP de la marque SNOM. Ils sont dans le réseau 198.51.100.0/24. Il y a donc du routage / du niveau 3 entre nos téléphones et le commutateur téléphonique. Nous avons également quelques rares softphones / logiciels de téléphonie Linphone (choisi car un des seuls logiciels libres encore maintenus + interface agréable depuis la version 4.X). On utilise ça depuis des années sans problème.

Depuis environ six mois, nous avons quelques logiciels de téléphonie utilisés depuis l'extérieur (mise en place progressive du télétravail) à travers un VPN, car notre XiVo n'est pas joignable depuis l'extérieur (filtrage volontaire). Il s'agit d'un VPN partiel / split tunnel : il ne donne pas accès à Internet, seulement aux réseaux internes de l'organisation. Il n'installe donc pas une route par défaut sur le client, mais une route pour chacun de nos réseaux internes. Tous les clients sont dans un même réseau, disons 203.0.113.0/24. Notre VPN ne fait ni filtrage ni NAT. Donc, le commutateur téléphonique voit l'IP VPN d'un client. Exemple : « Registered SIP 'bczhcigi' at 203.0.113.42:62633 ». 203.0.113.42 est bien l'IP que le client VPN a sur son interface réseau VPN. Nos clients VPN peuvent se parler entre eux : un netcat TCP et UDP entre deux clients VPN fonctionne. Notre VPN est un Cisco ASA. Ces personnels en télétravail ne nous ont pas signalé de problème.

Avec le Covid-19, il a fallu généraliser le télétravail, donc fournir une ligne de téléphone et un logiciel de téléphonie à chaque personnel. Et là ça ne fonctionne plus. Enfin, si, mais pas pour tout le monde ni tout le temps ! On est donc sur un problème aléatoire, les plus chiants à diagnostiquer…

Notes générales

• Ci-dessous, je vais essentiellement parler du logiciel de téléphonie Linphone, car c'est celui qu'on a sélectionné en amont des problèmes que je vais décrire, mais nous avons aussi essayé Jitsi, Zoiper, Blink, microSIP et d'autres, et les problèmes décrits ci-dessous se produisent aussi avec ces logiciels ;
  
  
• Pour conduire nos diagnostics, nous avons désactivé les éventuels pare-feux sur les ordinateurs de télétravail, que ce soit Netfilter Linux ou le pare-feu winwin.

Problème numéro 1

Entre un poste téléphonique SNOM du bureau (ou un numéro externe 0[1-9]) et un Linphone à domicile, l'appel a lieu mais la personne à domicile entend rien. Entre deux Linphones, chacun dans un domicile différent, personne s'entend.

Ça, c'est le signe classique d'un filtrage ou d'un NAT. Mais, comme écrit ci-dessus, notre VPN ne NAT pas et il ne filtre pas. Il n'y a pas d'autres filtrages en interne. Il n'y a pas de filtrage aux extrémités puisqu'on a désactivé les pare-feux.

Si l'on effectue une capture réseau avec tcpdump (sur le commutateur téléphonique) et wireshark (sur l'ordinateur de télétravail), on constate que, dans la négociation SDP, Linphone ne communique pas l'adresse IP de l'interface réseau VPN (vpn0, disons), mais celle de l'interface eth0 (ou wlan0), c'est-à-dire celle sur le réseau local du domicile du personnel (genre 192.168.0.X). Forcément, l'interlocuteur ne peut pas émettre un flux audio vers cette destination.

Parfois, Linphone communique la """"bonne"""" adresse IP, celle de l'interface réseau VPN, et dans ce cas-là, tout fonctionne. Cela peut, en partie, expliquer pourquoi nos personnels en télétravail depuis six mois ont rien signalé.

On pourrait penser qu'il suffit de lancer Linphone après avoir établi le VPN, mais non, car, parfois, Linphone échoue même quand il a été démarré après l'établissement du VPN. De plus, on ne peut pas attendre de nos personnels qu'ils se préoccupent de lancer tel logiciel après tel autre.

On peut configurer Linphone pour forcer la communication de l'adresse IP de l'interface réseau VPN. C'est l'option « nat gateway ». Les appels fonctionnent alors dans 100 % des cas. Mais cette option a disparu dans la version 4.X, celle que l'on utilise (parce que son interface est agréable). De toute façon, tous les logiciels qui permettent de configurer l'adresse IP (microSIP, Linphone, etc.) ne conviennent pas : sur notre VPN, nous distribuons des IPs de manière dynamique : à chaque connexion, l'adresse IP du client VPN change. On ne peut pas demander à nos personnels de configurer leur téléphone à chaque fois.

On notera que, dans le cadre de webRTC, les navigateurs web sont mieux équipés que les logiciels de téléphonie ! Dans la config' avancée de Firefox, la clé « media.peerconnection.ice.force_interface » permet de sélectionner l'interface à utiliser, par exemple. Donc ça fonctionnerait impec avec les IP dynamiques de notre VPN. Ça a aussi ses inconvénients : quelqu'un qui voudrait faire de la téléphonie professionnelle (supposons avec VPN) et personnelle (sans VPN) devrait en changer la valeur en permanence…

On peut utiliser ICE, une méthode qui consiste à échanger tous les couples IP+port possibles lors de la négociation SDP et à les tester un par un. J'ai activé ICE dans Linphone et sur le commutateur (même si ça a aucun sens puisqu'il a une seule adresse IP) : ça ne fonctionne pas. D'après mes connaissances, c'est très curieux, mais c'est ainsi.

On peut utiliser STUN, un serveur qui se contente de répondre "voici l'adresse IP source du paquet IP avec lequel tu viens de me causer". On ne peut pas utiliser l'un des serveurs STUN public, car il retournerait l'adresse IP publique de la box Internet du personnel. En revanche, si l'on installe un serveur STUN en interne, la communication avec ce serveur sera contrainte, par le routage, de passer par le VPN. Donc l'adresse IP retournée sera toujours celle de l'interface réseau VPN.

Je ne veux pas trop toucher à notre commutateur téléphonique afin de rien casser (surtout qu'avec le confinement, on ne reviendra pas au bureau avant longtemps, donc on ne saura pas que l'on a cassé l'existant). De plus, nous avons un contrat d'assistance (support) et de maintenance pour notre commutateur et on n'a pas envie de l'invalider avec des modifications trop conséquentes. Pour installer un serveur STUN, j'ai utilisé le logiciel coturn. Avec Debian GNU/Linux, un simple sudo apt-get install coturn ; sudo systemctl start coturn suffit.

STUN fonctionne parfaitement. Mais il y a des limites.

• Parfois, ça cesse de fonctionner. Linphone émet bien une requête STUN, obtient bien une réponse dans les temps… mais ne l'utilise pas lors de la négociation SDP. Il faut le redémarrer, plusieurs fois, et encore, ça ne suffit pas toujours. Il semblerait que la prise en charge de STUN par Linphone échoue quand une adresse IPv6 est configurée sur l'une des interfaces de la machine, mais c'est une hypothèse ;
  
  
• Tous les logiciels de téléphonie ne permettent pas de configurer explicitement un serveur STUN (Jitsi, par exemple), donc la pérennité de cette solution est remise en question (qui dit que Linphone ne va pas retirer cette possibilité ?) et l'on dépend d'un logiciel ;
  
  
• Ce n'est pas configurable partout car l'usage exclusif de STUN est déconseillé ;
  
  
• Un serveur STUN est une brique de plus à superviser et à maintenir afin d'assurer le service de téléphonie.

Une meilleure solution est de demander au commutateur téléphonique, Asterisk, de réécrire l'adresse IP contenue dans les messages SDP avec l'adresse IP source des paquets IP (on est sûr qu'il s'agit de celle de l'interface réseau VPN car elle a été choisie par le système d'exploitation en fonction de l'interface de sortie).

Avec Asterisk, cela se fait en ajoutant une ligne nat=force_rport,comedia pour chaque ligne téléphonique de télétravail dans le fichier sip.conf. Dans XiVo, cela se fait dans l'onglet « Général » de chaque ligne de télétravail (note : XiVo recharge automatiquement la configuration d'Asterisk quand on modifie une ligne ;) ). On peut aussi appliquer cette option sur l'ensemble du parc, mais je ne le fais pas pour les raisons sus-mentionnées : ne pas casser l'existant et ne pas invalider notre contrat d'assistance / maintenance.

Problème numéro 2

Des personnels continuent de ne pas entendre leur interlocuteur. wireshark / tcpdump montre des messages SDP parfaitement valables qui contiennent la """"bonne IP"""" de l'interlocuteur (celle sur l'interface réseau VPN, donc). Si l'on regarde, il y a le début de l'appel (SIP INVITE, SIP TRYING, SIP RINGING, SIP ACK, etc.) puis un premier message SDP est émit par le commutateur téléphonique contenant son adresse IP, donc Linphone émet un flux audio RTP à destination du commutateur puis il reçoit le SDP émis par l'interlocuteur (et réécrite par le commutateur, voir chapitre précédent). Il cesse alors d'émettre le flux RTP. Pourquoi Linphone ne respecte-t-il pas la dernière négociation SDP ?

Je précise que changer la destination des flux RTP en cours de route est parfaitement normal. C'est comme ça que fonctionne la mise en attente ou le fait de se rendre muet : en renégociant en SDP.

Activons le journal de Linphone. Menu -> « Préférences » -> « Avancé » -> « Logs activés ». Le dossier qui contiendra le journal peut également être consulté / changé.

Lisons ce journal. Linphone reçoit bien le dernier SDP, l'analyse et le consigne : « Change audio stream destination: RTP=203.0.113.1:7078 RTCP=203.0.113.1:7079 ». L'adresse IP est la """"bonne"""". Pourquoi Linphone l'ignore-t-il ? Je n'aurai pas la réponse.

Dans le journal du commutateur, Asterisk, je remarque qu'à chaque fois que le problème constaté côté Linphone survient, l'apprentissage RTP ne va pas à son terme. L'apprentissage RTP ou RTP learning ou RTP autolearning est une tambouille interne d'Asterisk qui fait un peu de la magie dans le but d'identifier la """"bonne"""" IP à utiliser.

Quand tout fonctionne bien, le journal consigne une ligne « Strict RTP learning after remote address set to 203.0.113.1:7078 » pour chaque IP de chaque interlocuteur puis une unique ligne « Strict RTP learning complete - Locking on source address 203.0.113.1:7078 » pour chaque interlocuteur.

Quand l'un des interlocuteurs ne s'entend pas et qu'un Linphone n'émet plus de flux RTP en contradiction avec le dernier SDP, je remarque que, soit il n'y a pas de « Strict RTP learning complete […] », juste des « Strict RTP learning after remote address set […] » pour chaque interlocuteur, soit il y a un seul « Complete », pour un seul des interlocuteurs.

Pourquoi l'apprentissage RTP d'Asterisk échoue-t-il ? Comment le désactiver afin d'être sûr qu'il est bien l'origine du problème ? Aucune idée.

Quand les deux interlocuteurs s'entendent, il est possible qui cela coupe après 32 ou 36 secondes de communication. Cela dépend de qui téléphone. Si A téléphone à B, ça peut couper alors que ça ne coupera pas si c'est B qui téléphone à A. Ce point est constant : c'est toujours dans le même sens que cela foire. Cela semble dépendre de la version de Linphone. Si une 4.1.1 téléphone à une 3.11 / 3.12, alors ça coupera. Pas l'inverse.

Avec wireshark, on voit un message SIP BYE avec un entête « X-Asterisk-HangupCause: no user responding » destiné au Linphone 3.X. Dans le journal d'Asterisk, on lit « Packet timed out after 32000ms with no response ».

Ajouter session-timers=refuse dans la définition d'une ligne téléphonique dans sip.conf ou dans l'onglet « Avancé » des paramètres d'une ligne téléphonique dans XiVo, n'aide pas.

Qui peut bien être responsable de tout ce qui précède ? Le seul qu'on n'a pas encore remis en cause est le VPN ASA.

Dès le début du diagnostic, nous avons désactivé son ALG (« no inspect sip ») et constaté que les timeouts UDP et SIP étaient déjà de plusieurs minutes. Pour savoir ce qu'est un ALG et les emmerdes pratiques que cela pose parfois, je te renvoie vers cet article : Le lulz de la VOIP - Tome 3 : Numericable.

Dans un coin, j'ai un PFSense (routeur, pare-feu, VPN, etc. en logiciel libre pour lequel on peut acheter des appliances, de la prestation d'intégration, de l'assistance, etc.) de test avec un OpenVPN de test déjà configuré. Niveau 3 (TUN). Tous les clients dans un même réseau /24. Aucun filtrage. Pas de NAT. Il a donc la même architecture que notre VPN ASA.

Je décide de tester. Ça fonctionne moyen. D'un côté, certains couples de testeurs qui ne s'entendaient pas s'entendent, ce qui est un gain. De l'autre côté, la coupure après 32 / 36 secondes d'appel en fonction des clients demeure. De même, le RTP autolearning d'Asterisk continue de foirer quelques fois. Mais, quand ça arrive, la communication pair-à-paire fonctionne systématiquement.

Du coup, le VPN ASA est en cause sur l'un des trois problèmes (communication pair-à-pair dysfonctionnelle). Néanmoins, ce n'est pas lui qui fait parfois échouer le RTP autolearn ni qui provoque une coupure après 32 / 36 secondes d'appel.

Ne sachant pas désactiver le RTP autolearn d'Asterisk, j'ai décidé de faire transiter les flux audio par le commutateur téléphonique. Ainsi, le résultat de l'apprentissage RTP aura peu d'importance, donc il n'y aura pas de bascule vers une communication pair-à-pair qui pose parfois problème avec notre VPN Cisco ASA.

Pour ce faire, il faut ajouter une ligne directmedia=no dans la définition de chaque ligne SIP de télétravail dans le fichier sip.conf d'Asterisk ou dans l'onglet « Avancé » d'une ligne téléphonique dans XiVo. Comme le reste, on peut activer ça pour tous les clients SIP, mais on ne le veut pas afin de ne pas détraquer le reste du parc qui fonctionne très bien et de ne pas rendre caduc notre contrat d'assistance / maintenance.

Ça fonctionne parfaitement. Tous les appels aboutissent. Aucun se termine après 32 / 36 secondes.

VICTOIRE \o/

Si tu ne veux pas charger ton commutateur téléphonique (d'après les pros de FRnOG, c'est relatif, c'est """"juste"""" de la copie de paquets RTP ) tout en obtenant le même résultat, tu peux le décharger en faisant transiter tes flux audio via un serveur TURN interne.

Conclusion

Que retenir de tout ça ?

• Les softphones / logiciels de téléphonie indiquent n'importe laquelle de leur adresse IP dans la négociation SDP et souvent pas celle d'un VPN partiel / split tunnel / VPN sans route par défaut. Il y a parfois aucune constance dans le choix ;
  
  
• La fonctionnalité magique RTP autolearn d'Asterisk est chatouilleuse. Même sans filtrage ni NAT et avec un VPN décent (OpenVPN), elle peut foirer et faire basculer une conversation en pair-à-pair (ce qui en soi n'est pas un problème sauf si des perturbateurs sont à l'œuvre sur le réseau, voir point suivant) ;
  
  
• Un VPN Cisco ASA en niveau 3 avec lequel on ne fait ni filtrage ni NAT et sur lequel on désactive le SIP ALG et l'on configure des timeouts UDP et SIP élevés pose problème. Notamment, lors de la bascule pair-à-pair après échec de l'apprentissage RTP. Ça se produit pour certains clients, sans que j'ai trouvé un discriminant ;
  
  
• Certaines versions de certains logiciels de téléphonie rattrapent des mauvais coups en douce. Exemple : Linphone 4.X gère une bascule sur le mode pair-à-pair quand le RTP learning échoue et qu'un Cisco ASA semble bidouiller le paquet alors que Linphone 3.X ne sait pas faire. De même, Linphone 4.X résiste au phénomène (qui ne peut pas être l'ASA puisque le problème se produit aussi avec un OpenVPN) qui provoque une coupure des appels 32 à 36 secondes après leur début, alors que Linphone 3.X ne sait pas faire ;
  
  
• Il y a quand même des bugs curieux dans les logiciels de téléphonie. La version winwin de Linphone ne peut pas être réduite dans la zone de notification lors d'un appel sinon le son est coupé. La version Android de Linphone utilise parfois les mauvais serveurs DNS récursifs. Linphone 4.1.1 sous winwin ne peut pas être appelé pendant quelques dizaines de secondes après avoir raccroché un appel (même si c'est lui qui raccroche) alors qu'Asterisk voit bien la fin de l'appel. Linphone ignore parfois l'adresse IP obtenue via STUN. Etc. ;
  
  
• La meilleure solution à (presque) tout ça est d'ajouter une ligne nat=force_rport,comedia et une autre ligne directmedia=no dans la définition de chaque ligne SIP dans le fichier sip.conf d'Asterisk ou dans les paramètres (onglet « Avancé » pour directmedia=no) d'une ligne dans XiVo. La première réécrit l'IP contenue dans le paquet SDP avec l'adresse IP source de ce paquet, garantissant ainsi que l'IP transmise à l'interlocuteur est la bonne. La deuxième fait circuler les flux audio via le commutateur téléphonique plutôt qu'en pair-à-pair, ce qui évite les ratés de l'apprentissage RTP, les bidouilles de l'ASA et la sensibilité de certains softphones.

Conseils

Lors d'un diagnostic de VoIP, ne prend pas les problèmes un par un, séparément, sinon tu ne vas pas t'en sortir. Si tu commences à noter que telle version de tel logiciel de téléphonie ne fonctionne pas ou que telle version a un comportement différent sous winwin et GNU/Linux ou que tel logiciel fonctionnait et ne fonctionne plus, tu ne vas pas t'en sortir car il y a trop d'éléments variants. Essaye de penser global, de revenir aux bases de la VoIP.

Soit vigilant à l'environnement de test : un testeur qui lance deux instances du VPN et, vlam, la """"mauvaise"""" IP se retrouve dans le paquet SDP ; un testeur qui ré-active le pare-feu winwin et, pouf, tes conditions de test changent ; un testeur lance un appel entre deux Jitsi sur deux ordinateurs situés dans le même LAN et constate que ça fonctionne très bien… car le flux ne passe pas par le VPN, mais par le LAN, etc.

Merci aux gens qui fréquentent FRnOG, une liste de discussion entre opérateurs de réseaux / téléphonie, pour leurs coups de main. :)

Un moteur de recherche pour le réseau PeerTube : https://peertube-index.net/ . Attention : les vidéos marquées avec le tag Not Safe For Work par leur auteur ne sont pas affichées. Je regrette qu'il soit compliqué de trouver un éditeur de contenus en particulier (je veux trouver toutes les vidéos publiées par machin, peu importe leur titre).

PeerTube est un logiciel libre qui permet à quiconque de publier des vidéos sur le web. Chaque installation (instance) rejoint une fédération afin de partager les vidéos et de les rendre visibles, mais elle reste autonome, elle dispose de ses propres règles, de sa propre modération, donc adieu la censure arbitraire. Ce logiciel est développé par l'association française Framasoft qui œuvre pour des services numériques éthiques et la culture libre.

Ce site web parcourt les instances PeerTube afin de découvrir les vidéos et les autres instances.

Via une liste de discussion du fournisseur d'accès à Internet FDN.

Résumé : Flatpak est un énième gestionnaire de logiciels qui, comme tous, promet monts et merveilles. Utiliser plusieurs gestionnaires (apt-get, flatpak, appimage, etc.), c'est devoir jongler entre eux pour installer et mettre à jour des logiciels. C'est chiant, comme télécharger le binaire Windows sur le site web de chaque éditeur… Sans compter la mise à jour de chaque logiciel lors d'une faille de sécurité dans une bibliothèque commune… Si Flatpak ne crée par un raccourci dans le menu des logiciels installés, il faut trouver l'identifiant du logiciel avec flatpak list (ou flatpak list -v si l'identifiant est tronqué) puis lancer le logiciel avec flatpak run <identifiant>. On peut créer un raccourci dans le menu des logiciels en remplissant le champ « commande » avec ça.

Flatpak est un gestionnaire de logiciels pour GNU/Linux. Il vient avec ses propres dépôts de logiciels. Le but est d'embarquer tout un logiciel et ses dépendances dans un environnement cloisonné du reste du système.

La distribution du logiciel serait ainsi facilitée : plus besoin de créer un paquet pour chaque système de la famille GNU/Linux et plus besoin de se demander quelle version de telle dépendance est embarquée dans tel système, etc.

Les inconvénients ? Le premier est qu'on duplique les gestionnaires de logiciels, donc on complexifie l'installation et la mise à jour des logiciels d'un système : tel logiciel se met à jour avec flatpak update, tel autre avec apt-get upgrade, etc. Comment rien oublier ?! Le deuxième inconvénient est qu'il faut mettre à jour chaque logiciel à chaque fois qu'une faille de sécurité est trouvée dans une bibliothèque de fonctions commune à plusieurs logiciels (OpenSSL, par exemple).

Bref, pour moi Flatpak est une mauvaise idée.

J'ai été amené à utiliser Flatpak pour installer la dernière version de Linphone, un logiciel de téléphonie en logiciel libre.

Je constate que, même pas un mois après, Linphone utilise AppImage, un autre moyen de distribuer des logiciels… … … Vive la stabilité des choix !

La marche à suivre pour installer Linphone était donnée sur le site web officiel de Linphone :

sudo apt-get install flatpak
flatpak --user install --from https://linphone.org/flatpak/linphone.flatpakref

À la fin de l'installation, Flatpak dit créer une entrée dans le menu des applications. J'ai bien regardé : ce n'est pas le cas avec mon menu Mate. L'origine du problème doit être de mon côté, car cela fonctionne sur des Ubuntu.

Du coup, comment démarrer un logiciel Flatpak ? Évidemment, saisir son nom dans un terminal ne fonctionne plus…
Il faut utiliser la commande flatpak run <identifiant_unique_du_logiciel>.

Comment récupère-t-on l'identifiant unique d'un logiciel Flatpak ? Colonne « Application » dans la sortie de la commande flatpak list.

Et si cet identifiant n'est pas complet ? Exemple : ça affiche « …m.belledonnecommunications.linphone ». Il faut utiliser flatpak list -v.

On récupère l'identifiant complet, « com.belledonnecommunications.linphone » que l'on peut utiliser : flatpak run com.belledonnecommunications.linphone.

Youpi !

On peut créer un raccourci dans notre menu Mate (commande = flatpak run com … ).

Merci Flatpak, mais non merci !

Résumé : L'interface de Linphone, l'un des rares téléphones en logiciel libre encore maintenu devient agréable (et unifiée sur Windows/Android/GNU/Linux) à partir de la version 4.X. La version Windows crashe parfois quand le codec Opus est utilisé, donc il faut le désactiver. Parfois, il est impossible de répondre à un appel car l'application ne réagit plus. Je déconseille la version provenant du Windows Store : si l'on réduit la fenêtre lors d'un appel, le son ne circule plus…

VOIP = téléphonie sur Internet. Toute la téléphonie (box, mobile, téléphonie d'entreprise) passe par Internet à moment donné. J'ai écrit les trois premiers volets de la série il y a bientôt cinq ans : Tome 1 : Free Mobile, Tome 2 : des implémentations bancales et Tome 3 : Numericable. Depuis, je me suis tenu à l'écart de la VOIP… jusqu'à récemment. Et là, c'est le drame.

Linphone est l'un des téléphones en logiciel libre encore maintenu. Il faut être honnête, l'interface graphique s'est bonifiée avec le temps, notamment à partir des versions 4.X. Interface plus simple à prendre en main et unifiée pour winwin / GNU/Linux / Android.

Sur Windows (winwin), il y a actuellement deux versions : celle disponibles sur le site web officiel de l'éditeur et celle disponible dans le winwin store.

La version winwin "standard" crashe parfois lorsque le codec audio libre Opus est utilisé… L'origine est souvent l'installation d'un pack de codecs (qui fait encore ça en 2020 au lieu d'utiliser VLC ?!). A priori, ce n'était pas le cas. Il faut donc désactiver, à regret (c'est un bon codec), Opus dans la rubrique audio des paramètres de Linphone.

Parfois, cette même version se met à devenir extrêmement lente genre la fenêtre de Linphone est ouverte, tu entends sonner, mais tu ne peux pas cliquer pour répondre. Soit parce que l'application est en mode « ne répond plus », soit parce qu'actionner le bouton répondre est vain.

J'ai gardé le meilleur pour la fin. Avec la version winwin store de Linphone, si, durant un appel, tu réduis la fenêtre afin qu'il reste uniquement l'icône de Linphone dans la zone de notification, alors pouf, le son ne circule plus. L'appel suit son cours, il n'est pas terminé, mais aucun interlocuteur entend l'autre. Linphone version winwin store peut être mis en arrière-plan (c'est-à-dire qu'il y a un autre logiciel au premier plan), mais pas être réduite dans la zone de notification. :D

• Vocabulaire : l'énergie renouvelable n'existe pas. On ne produit pas d'énergie (à partir de rien). On ne consomme pas d'énergie. On la transforme. La quantité d'énergie se conserve, elle ne se renouvelle pas. L'orateur semble considérer qu'affirmer qu'une énergie a une source renouvelable est valide. Je pense pas : le soleil a un début et une fin estimée, il n'aura probablement pas de remplaçant. La force motrice du vent ou de l'eau se répète, mais elle ne se régénère pas et il y aura peut-être une fin ;
  
  
• Comparaison entre prise de décision et physique quantique. Avant une prise de décision, on est dans l'état A+B, superposition de deux mondes possibles, de deux états possibles du système. Décider, c'est casser cette somme, cette indétermination, afin d'obtenir soit A, soit B. Le juste milieu pour contenter tout le monde n'est pas une solution, car, alors, on ne testera pas l'hypothèse de départ (si l'on nuance A avec B, on n'aura pas toutes les propriétés attendues du choix A, donc on n'aura pas tester le choix A). Parfois, pour décider, il faut se référer à des valeurs, à des dogmes, donc le choix devient arbitraire ;
  
  
• On n'explique plus comment les idées deviennent des connaissances. Comment a-t-on su que la terre est ronde ? Quels arguments ont été utilisés des deux côtés ? Avoir des connaissances ne suffit pas, car ceux qui les contestent ont des arguments. Si l'on ne sait pas présenter les arguments de notre connaissance et son histoire, on échouera à convaincre. Imposer un fait, une connaissance, ça ne fonctionne pas. Face aux nouvelles découvertes très pointues, avons-nous encore la compréhension / la maîtrise de nos connaissances ? ;
  
  
• Le débat liberté contre sécurité est absurde : si l'on aime la liberté, alors on aime (pas on tolère) les risques qui lui sont inhérents. Il ne faut pas confondre diminuer un risque et diminuer l'anxiété. Les lois sécuritaires tentent de diminuer l'anxiété de la société avec des mesures qui apportent un gain nul ou très faible en sécurité ;
  
  
• Vocabulaire : l'expression « intelligence artificielle » est-elle une mauvaise traduction ? En anglais, « intelligence », c'est l'information, le renseignement (comme dans CIA), pas l'intelligence française qui inclut émotion, empathie, etc. Si l'IA, c'est la compréhension artificielle du renseignement, traiter massivement de l'information, alors ce n'est pas nouveau, les ordinateurs ayant toujours été des machines à manipuler l'information ;
  
  
• Nucléaire. Migrer vers le tout-nucléaire afin de débuter la transition énergétique (lutter contre le CO2 des centrales à charbon, en gros) n'est pas possible : il faudrait un nombre conséquent de réacteurs (ce qui réduirait la sécurité par la prise de distance avec une centrale et qui nécessiterait plus de contrôles, etc.) et une quantité importante de combustible. Il faudrait également probablement utiliser de l'uranium 238 afin que la réaction soit plus pêchue, etc. L'usage du thorium dégage des produits de fission qui crachent pas mal de rayonnements gamma de haute énergie ;
  
  
• Théorie unifiée / du tout. Unifier, dans une même représentation mathématique, la description des 4 interactions fondamentales (gravitation, les forces nucléaires et la force électromagnétique). À quoi reconnaîtra-t-on quelle est une théorie du tout, qu'elle oublie rien ? Comment la démarquer d'une théorie concurrente ? Comment la tester ?

Résumé : énième critique du développement personnel. Vrai besoin face au violent marché de l'emploi, à l'exclusion, à l'absence de sens dans ce que nous faisons, à l'impuissance générale, à l'individualisme rampant qui nous rend vulnérable. Le dév personnel nous invite à trouver la solution en nous, à prendre soin de nous, à survivre, à trouver le bonheur contre autrui, comme si notre vie dépendait seulement de nous (ce qui renforce le problème initial), à changer notre regard sur les choses, à nous auto-persuader que tout va bien, tout est bien. C'est une Injonction permanente au bonheur… qui nous rend plus vulnérables encore. Plus question de s'organiser collectivement pour être plus fort face à nos oppresseurs / problèmes. Plus question de changer ce qui ne va pas, mais d'accepter les choses comme si elles étaient immuables. Évidemment, comme dans tout domaine, les arnaqueurs en profitent pour vendre livres et coaching. À quoi bon travailler sur soi afin de se conformer aux attentes d'un monde qu'on sait être injuste et cynique ? Je pense que le dév perso draine des concepts sains, mais c'est vrai qu'on pourrait les retrouver en philo, psycho, etc., mais moins clé en main.

Je note que la critique du développement personnel est d'actualité. Ici Usul au début de l'année 2019. Siné mensuel traite le sujet dans son édition de janvier 2020. J'en ai aussi lu ailleurs.

• Le développement personnel répond à de vrais besoins. Nous sommes mis sous pression par un marché de l'emploi avec brimades et objectifs de moins en moins tenable dans lequel nous faisons des choses qui n'ont pas de sens à nos yeux. Il faut être performant. Nous pouvons être des exclus sociaux pour plein de raisons (handicap, pauvreté, origine, sexe, non-conformiste, etc.). L'individualisme, l'atomisation de la société fait qu'il n'y a plus de collectifs significatifs pour se construire une identité, pour fonctionner et pour trouver des solutions collectives afin de faire face aux problèmes dont la violence de l'emploi salarié, l'exclusion sociale, la catastrophe climatique, etc. On se sent impuissant / vulnérable face au monde. Tout cela peut créer une vulnérabilité psychologique ;
  
  
• Alors on essaye de trouver la solution en nous, de faire ce que l'on peut pour soi, de prendre soin de soi. C'est une forme de survivalisme intellectuel, de résilience. On essaye de vouloir le bonheur malgré autrui et contre autrui. On essaye de gérer autrui. On essaye de se changer soi-même plutôt que de changer ce qui ne va pas dans le monde. Comme si notre vie dépendait de nous et pas également du bon vouloir d'autrui (collègues, patron, État, etc.). On accentue ainsi le repli sur soi, l'individualisme, et donc, le problème initial… Plus question de s'organiser collectivement pour être plus fort face à nos oppresseurs et/ou nos problèmes communs ;
  
  
• Il faudrait tout voir positivement. Il faudrait s'auto-persuader que tout va bien, que c'est notre regard qui est défectueux. Une faiblesse en toi / difficulté ? C'est une opportunité. Il faut aller de l'avant. Il faut se lancer des défis. C'est une injonction permanente au bonheur. Cela va forcément amplifier ton mal-être puisque si tu ne parviens pas au bonheur malgré la formule magique d'un livre / coach, c'est que c'est toi le problème… Heureusement que nos ancêtres se sont battus pour des droits, qu'ils n'ont pas accepté (toutes) les injustices de leur époque, parce que sinon… ;
  
  
• À quoi bon travailler sur soi afin de se conformer aux attentes d'un monde qu'on sait être injuste et cynique ? Ne faudrait-il pas se battre contre le monde plutôt que contre soi ?
  
  
• Le système détruit des gens, mais c'est pour mieux leur proposer des solutions payantes : livres, coachs, psy, thérapies, etc. En 2018 et les années précédentes, 10 à 20 % des signalements annuels auprès de Miviludes concernent les coachs… On peut aussi voir ça sous un angle """"positif"""" : des gens finalement tout aussi paumés que les autres essayent très sincèrement de proposer des """"solutions"""" à leur niveau et se font payer pour cela ;
  
  
• Pour avoir lu quelques livres de développement personnel, je veux nuancer : il y a aussi des choses intéressantes. Apprendre à se connaître soi-même / identifier les croyances qui nous limitent (elles ont une cause interne et externe, elles ne se corrigent pas d'un claquement de doigt contrairement à ce qu'écrivent les gourous, mais c'est déjà bien de les identifier). Apprendre à faire la différence entre les faits et l'interprétation d'autrui (une insulte, c'est une interprétation, par exemple). Apprendre à exprimer ses besoins et à ne pas gueuler sur les gens (que tu gueules ou non, ils ne feront pas ce que tu veux). Comprendre que leur propre importance est ce qui anime les gens et qu'il faut jouer sur ça pour les faire bouger. Certains livres posent même la question de ce qu'est une vie réussie à tes yeux (c'est vraiment un emploi, une maison, un gosse, etc.) ? C’est vrai aussi qu'on peut apprendre la majorité de ces choses dans d'autres matières bien établies (philosophie, psychologie, etc.), le dév personnel en offre un format clé en main.

Résumé : gauche / droite = égalité / liberté ? La droite échoue pourtant sur la liberté (ordre, sécurité, exploitation, etc.) et réclame aussi égalité / solidarité / fraternité pour les bourgeois. La gauche échoue sur l'égalité (héritage, propriété et impôts timidement encadrées) et réclame aussi la liberté (émancipation, auto-organisation, etc.). Droite et gauche partagent des valeurs et un même fait amène une confrontation de valeurs opposées. Droite et gauche font éclater des tabous et défient les valeurs établies. Donc les valeurs ne sont pas le bon discriminant. Droite / gauche = pragmatisme / idéalisme ? La droite aussi est idéaliste (pas besoin de réguler, la liberté est absolue, etc.) et la gauche aussi est pragmatique (des déterminismes minent notre libre arbitre, réduire les inégalités afin de ne pas se taper dessus). En revanche, la droite pense qu'il y a des forces au-dessus de l'organisation des hommes (Dieu, le roi, le marché économique, l'ordre naturel, la tradition) et qu'il faut simplement adapter la société à ces puissances en limitant le champ d'action du politique (moins de règles) là où la gauche pense que tout doit être organisé par les hommes, que l'organisation va changer la vie des hommes et que la recherche en commun de nouvelles règles va produire une meilleure société.

À droite, on n'aime pas trop partager, on préfère assumer tout simplement qu'on est radin. À gauche, on est tellement gentil, on voudrait tout partager, surtout l'argent des riches.

Macron dit :

La droite, c'est une famille politique française, pour laquelle le plus important, c'est la liberté. Et, la gauche, c'est une famille politique française qui a son histoire aussi, pour laquelle le plus important, c'est sans doute l'égalité. Que les gens aient les mêmes droits. À droite, c'est que les gens soient libres. Y'en a qui vont réussir, d'autre non. Tant pis. À gauche, c'est que les gens soient égaux, mais ils ne sont pas forcément libres.

Gauche / droite, c'est un clivage égalité / liberté ? Vraiment ?

La droite c'est la liberté ?! De qui ?! L'ordre (+ de prisons, réprimer les mouvements sociaux, + de flics) réclamé par la droite, c'est la liberté ?! Refuser des droits (avortement, pacse, etc.), c'est la liberté ?! L'exploitation qui née du salariat, c'est la liberté ?! Le flicage des chômeurs réclamé par la droite, c'est la liberté ?! La droite semble défendre la seule liberté du bourgeois de tout acheter et de faire bosser les autres et rien d'autre.

À côté de ça, le socialisme, ce serait d'arriver à l'égalité totale en contraignant tout le monde (donc aboutir à une absence de liberté). Le stalinisme a été brutal. C'est bien une preuve, ça, non ? La gauche veut des normes, un principe de précaution, un code du travail, etc. Des trucs contraignants et chiants. N'est-ce pas une deuxième preuve ?

C'est oublier que la liberté existe dans le socialisme : celle de mener sa vie, de s'auto-organiser, de s'émanciper (du patron, du sachant, etc.). Ce n'est pas dans la vidéo, mais, à l'inverse, le socialisme a aussi des velléités de surveiller et de réprimer (loi surveillance 2015, lois relative à l'État d'urgence 2015-2017, etc. Ce n'est pas dans la vidéo, mais la gauche se vautre sur l'égalité quand elle avalise les héritages, la propriété et les impôts en les encadrant maladroitement (sans redistribution juste), par exemple.

Je rappelle (ce n'est pas dans la vidéo) que la droite en appelle aussi à la solidarité et à la fraternité pour mutualiser les pertes (liées au covid-19, à une crise financière, etc.) et les trucs coûteux (la protection sociale est arrivée en 1937 aux USA sous l'impulsion des riches qui voulaient réduire le coût du travail créant ainsi les charges salariales ponctionnées par l'État) . La droite en appelle aussi à l'égalité (de traitement, des chances, etc.) comme quand les mutuelles demandent une garantie de non-concurrence à l'État.

Sans compter que, ce n'est pas dans la vidéo), de quel bord est une valeur ? La prétendue valeur travail est-elle de droite ou de gauche ? La droite veut s'en débarrasser par l'emploi (donc l'exploitation) et par la rente (capitaux, immobilier, etc.). La gauche veut aussi s'en débarrasser en le limitant la production au minimum nécessaire à la société, en limitant sa pénibilité, etc. et par la rente (artistique, mais pas que).

(Tout ce bloc n'est pas dans la vidéo).

La différence droite / gauche, ça ne peut pas être les valeurs. On vient de voir qu'une même valeur (liberté ou égalité) peut être brandie par la droite et par la gauche.

De plus, un même fait, le partage des richesses par l'impôt, par exemple, peut être dénoncé comme étant immoral par la droite, car il entre en conflit avec les valeurs travail, mérite et justice (il est injuste de prendre son gain à quelqu'un qui a réussi à la sueur de son front). À l'inverse, la gauche y voit les valeurs justice (une réussite est jamais individuelle, tu utilises des savoirs, des outils, des matières premières d'autrui, donc il faut redistribuer le gain) et vertu (l'accroissement des inégalités ne sont pas saines car ça attise le rejet de l'autre). Sur un même sujet, des valeurs s'affrontent et on ne peut pas trancher : quelle valeur est la plus importante ? C'est un choix personnel.

La différence, c'est peut-être que la gauche fait éclater des tabous, défie les valeurs existantes (avortement, fin de la peine de mort, mariage pour tous) alors que la droite prospère sur des valeurs établies (propriété, emploi, famille, patrie, etc.) ? Aux premières heures de la république, ce qui deviendra la droite luttait pour la restauration de la monarchie, par exemple.

Je ne pense pas que ce soit le bon discriminant. La droite a aussi fait éclater des tabous : l'autonomie (dont le paroxysme est l'individualisme) contre la famille, la réussite décomplexée, le gain décomplexé en échange d'une (prétendue) responsabilité.

(Tout ce bloc n'est pas dans la vidéo).

Peut-être que la droite c'est le pragmatisme et la gauche l'idéalisme ? Non plus.

La droite est aussi ses idéaliste : il n'y a pas besoin de réguler la vie en société, tout va fonctionner tout seul comme par magie ; la liberté est absolue (t'aime pas ton patron ? change-en, qu'est-ce que tu attends ?!).

La gauche est aussi pragmatique : réduire les inégalités afin d'éviter de se taper dessus ; plein de déterminismes éco-sociaux-culturels minent notre libre arbitre.

Alors, quelle est la différence fondamentale entre la droite et la gauche sur tout sujet ? Ce qu'est la politique, sa place, ses limites et le pouvoir du politicien.

La gauche s'en fait la plus haute idée, celle selon laquelle l'organisation des hommes va changer leur vie, que si l'on se met à plusieurs pour se chercher de nouvelles règles, on peut faire une meilleure société, ou, au moins, une société plus adaptée aux besoins qu'elle voit émerger. Les besoins matériels, mais aussi humains, tel que l'égalité qui est conçue comme une demande sociale qui, si elle n'est pas contentée, risque de faire exploser tout le groupe (la montée de la misère entraîne un repli sur soi donc le rejet de l'autre, testée en 1929 et actuellement).

La droite pense qu'il y a un ordre naturel des choses qu'il ne faut pas toucher sinon on va tout détraquer, nous autres, petites merdes. Il y a donc des forces au-dessus du politique : Dieu, le roi de droit divin, la tradition, l'ordre naturel ((cette parenthèse n'est pas dans la vidéo) la compétition est naturelle, il y a des gens intelligents et des cons / des faibles et des forts, la femme est génétiquement inférieure à l'homme, l'handicapé est un rébus condamné à la sélection natuelle, etc.), le marché économique, etc. Il faut seulement adapter la société à ces puissances supérieures en limitant le champ d'action politique (moins de règles, moins d'État pour les appliquer), afin que les forces (Dieu, le Marché) ne s'énervent pas. Mais, ce n'est pas dans la vidéo, ça n'empêche pas la droite d'aimer la loi et la régulation administrative quand ça sert les forces supérieures.

ÉDIT DU 19/04/2020 À 16 H 35 : suite à la publication de ce shaarli, j'ai échangé avec Johndescs, et je me suis dis que y'a des éléments intéressants à rapporter en public. J'ai mis ça dans cet autre shaarli. FIN DE L'ÉDIT DU 19/04/2020.

Résumé : dégageons, par la loi, la sonorisation (rappels des promotions, radio / musique, etc.) des magasins ! Même quand on n'est pas sensible au bruit, une fois qu'on y a pris goût, il est difficile de revenir en arrière et de ne pas considérer la sonorisation comme une agression (cessons d'avoir peur des mots). Rêvassons dans les magasins ! Cessons de reprocher aux magasins qui n'agressent pas auditivement leurs clients d'être des appâts pour bobo-pigeons afin de les faire consommer plus, car c'est inexact au regard de l'histoire de la sonorisation de ces lieux et c'est de la rhétorique "tous les choix sont pourris donc autant rien changer". Cette interdiction permettrait l'accès aux magasins à des gens qui en sont exclus pour raison médicale.

Depuis plus de six mois, je fréquente un magasin alimentaire dans lequel il n'y a pas de sonorisation (radio / musique, rappels des promotions, messages entre personnels ‒ « X pour la caisse Y, merci »). Depuis le même laps de temps, je fréquente également un marché couvert.

C'est une évidence, mais il faut le dire, l'écrire, le répéter : que ça fait du bien ! Ne pas entendre les spots publicitaires hurleurs sur la dernière promotion du moment ni la musique, quelle tranquillité, quel plaisir (relatif, hein, c'pas non plus le plus grand orgasme de ma vie) ! Pourtant, je ne suis pas une personne sensible au bruit, je suis même quelqu'un de plutôt bruyant (ceux qui bossent dans le même bureau savent).

Je vis la sonorisation des magasins de la grande distribution comme une agression. Je réfléchis, je compare des produits, ou je suis perdu dans mes pensées, et là, vlam, message avec un volume sonore plus important que le fond habituel. Ça gâche la réflexion, les rêves, etc. !

Ceci dit, la grande distribution n'est pas la seule blâmable. L'animateur engagé pour l'anniversaire de l'inauguration du marché couvert, c'était bien pareil : il me gonflait sévèrement ! Le bruit de fond d'un marché couvert (ça résonne) est épuisant sur le long terme (pour les gens qui y travaillent toute la journée ‒ si, 6 h - 13 h, ça fait une journée ‒), mais n'est pas dérangeant le temps des courses. En revanche, une voix dont l'intensité sonore fluctue et dénote avec le reste, ça l'est. J'en conviens, ce combat-là, contre cet type d'animation ponctuelle, est voué à l'échec.

En salle de pause, un collègue a émis l'idée que le silence dans les magasins bio ou dans les rayonnages « bien-être » de certains magasins de la grande distribution, c'est un tour de passe-passe pour te faire dépenser plus : on te choie, on fait mine de te respecter, etc. afin que t'achètes des produits vendus plus chers. Il dénonçait, en sus, une forme d'élitisme.

J'étais mitigé sur le lien "absence de musique et de rappels audio de promos = dépenser plus". On rappelle que les spots pubs et la musique, c'est comme le rayonnage, les senteurs et l'éclairage, c'est travaillé par la grande distribution afin de faire consommer plus. Bien sûr, il y a une part de mensonge : quand un marketeux annonce à un client qu'il va tripler ses ventes s'il suit sa méthode magique, c'est faux, le client ne triplera pas, mais son chiffre d'affaires augmentera quand même. Pour revenir au sujet, mes maigres cours d'économie me rappelant qu'un effet volume rapporte parfois plus qu'une grande marge sur quelques ventes, il m'apparaît difficile de conclure quel profil de consommation a, au final, rapporté plus d'argent.

Du coup, je ne valide pas l'aspect "agresser auditivement les clients = ne pas les agresser = hausse du chiffre d'affaires", car, en plus d'être contestable, ça produit un raisonnement de la forme "tous les choix sont pourris donc autant rien changer" alors qu'en pratique, mes oreilles et mon cerveau prennent plus de plaisir (relatif, bien entendu) dans un magasin dénué d'agression sonore.

J'étais convaincu par l'aspect élitiste, mais je n'arrive pas à la même conclusion. Oui, je déplore qu'il faille, in fine, payer plus cher des produits afin de ne pas se faire agresser. Par défaut, personne devrait se faire agresser. Mais, pour revenir au point précédent, ce n'est pas en reprochant aux magasins qui n'agressent plus de ne pas agresser que cela adviendra.

Si l'on vise une égalité totale, qui, de surcroît, ouvrirait la porte des magasins à des gens qui en sont aujourd'hui exclus, il y a deux solutions : soit distribuer de l'argent magique afin que tout le monde puisse consommer dans des petites structures respectueuses de l'humain, soit interdire l'agression sonore dans les magasins. Dans les deux cas, ça passe par une loi. Je sais que pour beaucoup, c'est un gros mot, mais c'est bien là qu'on définit une bonne partie des règles de la vie en commun.

En ce qui me concerne : j'y suis très favorable.

Résumé : l'utilisation de DNS over HTTPS (DoH) se généralise et on lit beaucoup d'idioties. Je vais essayer de faire moins pire. Je déplore le "tout sur HTTP" dont il est l'énième illustration. Je déplore l'énième réponse technique qu'il tente d'apporter au problème social et politique qu'est la censure. Comme toute parade à la censure, DoH va la pousser plus loin (par IP, par nom en clair dans une connexion chiffré dit SNI), ce qui peut renforcer la centralisation des contenus chez quelques acteurs économiques. DoH s'occupe uniquement de la résolution des noms, donc la vie privée continuera à fuiter, notamment dans les adresses IP de destination et les connexions chiffrées (SNI ; encrypted-SNI est très expérimental), y compris dans la connexion au service DoH (le SNI y apparaît), donc, comme avec toute protection, ne te sens pas excessivement protégé. Par leur nature même, et comme tout service DNS externe, les services DoH publics cassent les vues DNS / split DNS / domaines privés / racines alternatives / TLD alternatifs. Pour un gestionnaire de parc informatique, DoH fait perdre le bénéfice d'une configuration centralisée au niveau du système d'exploitation de la résolution des noms et demande plus (+) de boulot : se tenir informer sur l'usage de DoH par les applications du parc, apprendre à diagnostiquer un service DoH (des outils sont disponibles, mais pas encore empaquetés dans Debian) ; désactiver ou configurer DoH dans chaque logiciel qui l'utilise afin que que la vie privée des utilisateurs ne fuite pas vers un service DoH externe (Mozilla propose CloudFlare par défaut) et afin de rétablir le fonctionnement des vues DNS si besoin ; baisser le TTL lors de migrations (et se préparer à une migration forcée imprévue car DoH = double lame).

DoH, c'est DNS over HTTPS. Pour ceux et celles qui veulent approfondir koikeC : version texte et version vidéo.

Fin février, Mozilla a annoncé qu'après une période de test, elle active DoH par défaut dans Firefox pour les utilisateurs localisés aux États-Unis Source. L'activation par défaut va viendre pour la France. Pas d'annonce des concurrents, mais ils suivront, car le segment marketing « protection de la vie privée » est juteux.

Depuis l'annonce de Mozilla, je vois des imbéciles recommander d'activer DoH partout sans prise de recul (le mimétisme de l'humain me désole). Mes arguments contre une généralisation à outrance de DoH sont les suivants :

• Le "tout sur HTTP" est dangereux pour la liberté de création / d'entreprise. On a eu l'échange de fichiers sur HTTP, puis le mail sur HTTP (webmail), puis la discussion instantanée sur HTTP (FB Messager ou Mattermost ou…) puis… Cela rend plus compliqué le développement de nouveaux protocoles réseaux (genre SCTP), car, puisque tout est sur HTTP, nombre de Fournisseurs d'Accès à Internet et d'administrateurs systèmes et réseaux font de la merde en bloquant / altérant le fonctionnement des autres protocoles ;

  • Si l'on veut prétendument protéger sa vie privée (DoH n'y suffit pas, non) avec du DNS prétendument sécurisé, on utilise DoT (DNS over TLS, du DNS chiffré) au lieu de DoH. Cela présente les mêmes avantages et inconvénients que DoH sauf que DoT sera bloqué sur les réseaux malpropres.
• D'une manière générale (hors DoH), je n'aime pas donner une réponse technique à un problème politique. À ce sujet, je recommande vivement la lecture du livre Pour tout résoudre, cliquez ici. L'aberration du solutionnisme technologique (mes notes). La censure sur Internet est l'un des signes qu'une société humaine va mal. Cela dépasse Internet. Si tu ne peux pas avoir confiance en ton fournisseur d'accès à Internet (FAI), il y a un gros problème. Si tu ne peux pas avoir confiance en ton employeur (pour la connexion à Internet de ton taff), il y a un gros problème. Si tu ne peux pas avoir confiance en ton État, il y a un gros problème. Je préfère d'autres solutions que DoH : augmenter le nombre de FAI de confiance, augmenter la force du prolo face aux patrons (syndicats et/ou coopératives et/ou salaire à vie, etc.), et interdire la censure dans la loi. En gros, je préfère des solutions actives, où l'on se bouge pour nos convictions. Oui, cette réaction est celle d'un bobo eurocentré, mais j'affirme que DoH ne va pas changer la vie des Chinois ou des citoyens des pays en « -stan » : ils ont un problème démocratique plus large que la censure sur Internet. Mais peut-être que DoH n'est pas conçu pour répondre à ce besoin de démocratie et que j'exagère ? On peut aussi voir DoH comme une possibilité, une garantie effective contre la censure, mais alors il ne faut pas le généraliser, mais savoir qu'elle existe et l'utiliser avec parcimonie ;
  
  
• DoH (comme DoT), au motif de lutter contre la censure, va la repousser plus loin, notamment vers de la censure par adresse IP (des services DoH et/ou des contenus). Rien de neuf ni de spécifique à DoH : toute technique de protection de la vie privée / liberté / sécurité déclenche l'apparition de sa parade et l'on retombe sur le vieux débat "bombe nucléaire" (fallait-il l'inventer ou l'interdire ?). Le seul moyen facilement utilisable par le commun des mortels pour contrer une censure par IP est de publier plusieurs contenus derrière une même adresse IP afin que le coût de la censure soit trop élevé : si pour flinguer un serveur DoH, il faut aussi censurer 385 autres services, par exemple, la censure n'aura pas lieu. Le nombre d'acteurs économiques capables de proposer / vendre ce type de service est faible. Cela va donc centraliser encore plus la publication des contenus Internet entre les mains de quelques multinationales. En tout cas, certains y pensent (lire ESNI ci-dessous). Faut-il vraiment aller sur ce terrain ? Si la censure se renforce, il n'y aura pas beaucoup d'humains capables de la contourner, et ça me pose un problème. ÉDIT DU 10/08/2020 À 16 H 55 : la censure poussée plus loin n'est plus uniquement une hypothèse de pensée : Premières observations publiques d'une censure basée sur TLS Encrypted SNI.FIN DE L'ÉDIT DU 10/08/2020 ;
  
  
• Lors de l'établissement d'une connexion chiffrée, le client (navigateur web, gestionnaire d'emails, etc.) indique, en clair, sans chiffrement, le domaine avec lequel il veut discuter. C'est le champ « Server Name Indication » dans TLS. Cela permet d'avoir plusieurs contenus hébergés derrière une même adresse IP accessibles de manière chiffrée, car le client indique à qui il veut parler, donc le serveur peut répondre en présentant le « bon » certificat x509, celui de la ressource demandée. Il est parfaitement possible de censurer des connexions en se basant sur le champ SNI (exemple avec Netfilter, le pare-feu de Linux). DoH peut rien contre ça.
  • Encrypted SNI (ESNI) résout ce problème, mais, même s'il est déjà présent dans Firefox, il est en cours de normalisation, donc sujet à des modifications majeures impromptues (le formalisme retenu a rien à voir entre la première version du brouillon et l'actuelle), et il fonctionne uniquement pour les très rares sites web qui l'ont mis en place à des fins de test (et vu le nombre d'acteurs qui utilisent encore la version 1.0 de TLS, sa généralisation va prendre du temps ‒ ESNI requiert la version 1.3 de TLS ‒). En attendant, utiliser DoH est, au mieux, un joli jouet inutile pour geek, au pire dangereux s'il est utilisé avec trop d'assurance dans un contexte risqué (lanceur d'alerte, dictature, etc.). Rien de spécifique à DoH, toute technique de protection a ses limites, mais ce n'est pas rappelé dans les écrits qui préconisent d'activer DoH fissa en promettant une protection magique de la vie privée ;
    
    
  • Même si l'on active ESNI dans Mozilla Firefox, que l'on valide sa bonne activation avec le testeur de CloudFlare, que l'on configure la paramètre « network.trr.bootstrapAddress » de Firefox, le nom du service DoH utilisé fuite toujours dans le SNI de la connexion TLS au service DoH. C'est normal puisque ESNI repose (actuellement) sur le DNS. On a un problème de poule et d'œuf : il faut aller chercher, dans le DNS, la tambouille pour remplir le contenu du champ ESNI, oui, mais il faut ESNI pour consulter le DNS. Dans certains cas (dictacture), ce SNI peut suffire à te faire vivre un mauvais quart d'heure, au même titre qu'utiliser TOR, même pour consulter un site web officiel des autorités du pays, est considéré comme un acte dissident. Prudence, donc ;
    
    
  • Plus haut, j'écris sur le risque de centraliser les contenus chez peu d'acteurs. À la fin de l'introduction du document de travail d'ESNI, on lit « The design in this document takes a different approach: it assumes that private origins will co-locate with or hide behind a provider (CDN, app server, etc.) which is able to activate encrypted SNI, by encrypting the entire ClientHello (ECHO), for all of the domains it hosts. As a result, the use of ECHO to protect the SNI does not indicate that the client is attempting to reach a private origin, but only that it is going to a particular service provider, which the observer could already tell from the IP address. ». Pas de parano, ESNI pourra être utilisé de manière décentralisée avec DoT / DoH, mais cette introduction indique quand même la cible, le monde envisagé, ce qui n'est pas anodin.

Mon avis n'a pas d'importance, DoH existe, il sera utilisé, donc le gestionnaire d'un parc informatique doit s'y adapter (il faut gérer la merde générée et imposée par autrui, comme d'hab). Qu'est-ce que DoH change, qu'est-ce qu'on en retient, qu'est-ce qu'il faut adapter ? Je me base sur ce que je connais, c'est-à-dire un parc informatique français de plusieurs centaines de machines sans modèle de menace spécifique géré par quelques clampins en sous-effectif.

Un logiciel comme un navigateur web avec DoH activé n'utilise plus le service DNS configuré sur le système d'exploitation que ce soit manuellement (/etc/resolv.conf) ou en utilisant DHCP. Ce qui signifie que l'on pourra constater une différence de comportement entre un logiciel, un navigateur web, d'une part et un autre logiciel d'autre part, notamment les outils de diagnostic (ping, dig, host, nslookup). L'un pourra dire "ce nom n'existe pas" pendant que l'autre dira "chez moi, ça marche".

• Solutions : le savoir et être vigilant, s'équiper d'outils de diagnostic DoH (qui ne sont pas encore empaquetés dans les systèmes) afin de compléter dig/host/nslookup, utiliser DoH dans les outils de diag (curl --doh-url, par exemple), etc.

Une conséquence du point précédent (utilisation, par défaut, d'un service DNS différent de celui voulu par le gestionnaire du parc) est qu'avec DoH, sur une infrastructure qui mélange serveur DNS qui fait autorité et serveur DNS récursif, la mise en cache des noms DNS se fera désormais côté service DoH, et non plus du côté du service DNS interne au parc. Les utilisateurs dépendent de cette mise en cache. La préconisation évidente est d'abaisser le délai de mise en cache avant une migration. Chez nous, je le préconise depuis deux ans, mais nous le faisons peu à l'heure actuelle. Il faudra s'y mettre. En soi, rien de neuf, nous sommes déjà censés travailler ainsi car, sinon, lors d'une migration, on perd d'or-et-déjà les utilisateurs qui ne sont pas connectés à notre réseau c'est-à-dire ceux qui utilisent d'autres services DNS et les machines qui ont un cache local + renvoi vers nos récursifs DNS (Ubuntu a dnsmasq / systemd par défaut, par exemple). DoH augmentera le nombre d'utilisateurs impactés.

• Inutile de désactiver DoH pour contrer cela : travailler selon les règles de l'art (migrations planifiées, abaissement du TTL, etc.) suffit, sauf en cas de migration forcée imprévue (gros incident, etc.).

Certaines organisations fonctionnent avec des vues DNS (aussi nommées « split DNS ») : quand on est connecté au réseau interne, un nom se résout différemment de quand on est à l'extérieur. Comme il est peu probable que l'organisation ait envie d'installer un récursif DoH interne dans l'immédiat (ça apporte rien aux employés puisqu'ils doivent à nouveau faire confiance à leur employeur), cela signifie qu'avec DoH, ce mécanisme de vue DNS ne fonctionnera plus. Là encore, rien de spécifique à DoH : tout service DNS externe a le même comportement.

• Plutôt que de désactiver DoH, on peut renoncer aux vues DNS (elles sont une mauvaise idée) ou regarder si l'application permet de ne pas utiliser DoH pour certains domaines. Mozilla Firefox permet cela avec son paramètre « network.trr.excluded-domains ». Évidemment, ce n'est pas pratique si l'on a un domaine par client, par exemple (la liste devient alors fluctuante donc difficilement maintenable). En revanche, si l'on installe un service DoH interne et si les noms internes se résolvent en adresses IP privées, il faudra changer la valeur de « network.trr.allow-rfc1918 » pour « true »).
  
  
• On notera que tout ce qui est racine DNS alternative (exemple : OpenNIC) ou TLD alternatif (exemple : .42) ne fonctionnera plus si le service DoH utilisé ne les reconnaît pas comme légitimes. Même chose, évidemment, pour tout domaine non publié pour lequel le récursif DNS du parc a été configuré en mode « forward » (exemple : ceux du RIE, Réseau Interministériel de l’État ‒ fiche technique ici ‒).
  
  
• On notera, qu'à l'heure actuelle, le paramétrage par défaut mis en place par Mozilla n'est pas violent : si la résolution DoH échoue, une résolution en utilisant le service DNS configuré sur le système sera effectuée. Cela permet la continuité de fonctionnement des vues DNS, sauf celles dans lesquelles un même nom est associé à une adresse IP (ou autre info) interne et une externe (car alors, la réponse DoH sera reconnue comme valide / légitime, ce qu'elle est, d'un point de vue technique). On notera que cette reprise sur panne (fallback) balance des noms censés rester privés au service DoH utilisé. Notons que cette reprise sur panne va donner l'illusion que tout fonctionne comme avant, que DoH a rien changé, et tout tombera en panne quand Mozilla (ou un autre éditeur) décidera de ne plus fallback.

À l'heure actuelle, il existe peu de services DoH (publics comme privés / internes). Par défaut, Mozilla Firefox utilise CloudFlare DNS. Cela pose un problème de respect de la vie privée et de concentration des activités numériques sur un petit nombre d'acteurs économiques, d'absence d'un contrat et de garantie de fonctionnement, d'ajout d'une dépendance externe, etc. Plutôt que de désactiver DoH, on peut aussi chercher des services DoH éthiques de confiance (mais la question d'absence de contrat et de garantie de fonctionnement revient) ou installer le sien (à plusieurs, sinon ça a aucun intérêt puisque ça revient à faire confiance au service DNS local) . Dans les trois cas, il faut configurer chaque application qui utilise DoH.

Ce qui ressort des points qui précèdent, c'est qu'avec des applications qui utilisent DoH par défaut, le gestionnaire d'un parc informatique perd la maîtrise de son infrastructure : les requêtes DNS ne passent plus par son service DNS interne. Sur ce point, Stéphane Bortzmeyer se trompe. Afin d'illustrer que DoH change rien, il évoque les logiciels qui effectuent déjà, sans DoH, des résolutions DNS sans utiliser le paramétrage du système, c'est-à-dire les logiciels malveillants et les logiciels merdiques, en gros. Or, DoH va concerner les usages légitimes et les rendre plus compliqués à diagnostiquer. On passe de "l'exception était pénible à diagnostiquer" à "le commun, notre taff quotidien, devient pénible à diagnostiquer".

• S'il veut reprendre la maîtrise, le gestionnaire de parc ne doit plus se contenter de configurer un serveur DHCP (et Radvd / DHCPv6), mais aussi chaque application utilisant DoH (Mozilla Firefox, mais aussi l'application bidule, mais aussi l'application truc), alors que nous avons plein d'applications que nous ne configurons pas (ce qui nous rend vulnérable au changement de la conf' par défaut, éternel débat entre implicite et explicite…). On perd en factorisation et l'on gagne en complexité de gestion du parc (se tenir informer du comportement de chaque logiciel, plus (+) de GPO / code dans notre outil de gestion des configurations, etc.). Au fond, rien de neuf, c'est une sorte de prolongement, au niveau logiciel, de la pratique BYOD aux machines gérées (et ça pose les mêmes questions : on autorise ou non ? quelques limites fixe-t-on ?).

Au final, faut-il désactiver DoH sur un parc informatique ? Je n'en suis pas convaincu, sauf à avoir une démarche militante « le tout sur HTTP est merdique » (ce qui va être mon cas à titre perso + continuer à utiliser DoT). Ça dépend du parc.

• Dans le mien, les utilisateurs utilisent beaucoup nos services depuis l'extérieur (avec ou sans VPN, en fonction de la publicité d'une ressource), sur des machines que nous ne gérons pas. En conséquence, nous devons déjà faire ce qu'il faut pour que des services DNS externes, y compris ceux des FAI français, fonctionnent (abaisser le TTL lors d'une migration, par exemple).
  
  
• Sur les machines que nous gérons :
  • Désactiver DoH dans chaque application qui en fait usage ou configurer DoH (choisir un autre service DoH, permettre l'usage des vues, etc.), ça revient environ au même : il faut faire une manip' de configuration dans les deux cas. Désactiver DoH apporte en sus la certitude de ne pas avoir oublié un paramètre et de ne pas avoir à y revenir ;
    
    
  • Faut-il apprendre à diagnostiquer l'intermédiaire supplémentaire que constitue un service DoH ou désactiver DoH et donc avoir un comportement différent entre une utilisation interne et externe de nos services ? Ça dépend du nombre de services accessibles depuis l'extérieur et la fréquence de leur utilisation ;
    
    
  • En fonction des architectures, on peut très bien ne pas utiliser DoH pour le domaine DNS de l'organisation, comme ça le gestionnaire du parc s'évite du boulot, tout en laissant un service DoH externe activé pour le reste (activités pros et persos des employés), ce qui tend à préserver la vie privée (au sens large) de l'employé (mais uniquement à destination de services mutualisés sinon flicage par adresse IP destination, donc le gain est très relatif). mais on dépend alors d'un énième prestataire extérieur avec lequel on n'a pas signé de contrat…

Résumé : donner des cours de sécurité informatique à l'université ? D'un côté, opportunité de faire mieux que les minables cours de sécu existants orientés bullshit abstrait et sécurité par la paperasse et les gros chèques. De l'autre : forcer des gens à apprendre contre leur gré donc mission vouée à l'échec, emploi précaire de bouche-trou (contrat annuel, salaire moindre et absence de statut pour un même travail, donc inégalités entre personnes) rémunéré en retard dont les universités raffolent ces dernières années afin de réparer la merde (juste milieu entre ceux qui veulent un système d'éducation public, ceux qui n'en veulent pas et ceux qui veulent moins de prétendus branleurs de fonctionnaires) et de permettre aux responsables de la saignée des vrais profs (citoyens et politiciens) d'échapper à leurs responsabilités, cumul d'emploi (alors qu'il y a des sans-emploi), etc. Ça donne envie, hein ?

Il y a plus de six mois, on m'a proposé de donner des cours de sécurité informatique à l'université afin de remplacer un enseignant qui a quitté le navire.

Je te cache pas que j'ai eu les yeux qui brillent. J'avais carte blanche ou, a minima, l'opportunité d'avoir un cours de sécurité informatique tel que je le conçois : évoquer des choses concrètes (modèle de menace, types de chiffrement, pièges habituels de la sécurité comme les générateurs pseudo-aléatoires et la vulnérabilité des extrémités d'une communication, etc.) et pratiquer (du nmap, du mitmproxy, du ettercap, du OpenSSL, du Netfilter, comment traiter des requêtes CERT, comment réagir à des phishings, TLS, etc.). Adieu abstractions, chiffre de César et méthodos barbantes. Bref, un cours sans bullshit.

• Attention : je suis pour les méthodologies, car, lors d'un incident de sécurité, c'est important d'avoir un cadre afin de ne pas paniquer, de ne pas sur-réagir, de ne pas effacer involontairement des traces, de ne pas déployer une solution pire que le mal, etc. C'est comme les formations aux premiers soins : ça semble bidon vu de loin, mais ça évite de paniquer, donc de rester figé sur place le jour J.
  
  
• En revanche, je suis contre ce que je nomme la sécurité administrative, c'est-à-dire remplir trois tonnes de paperasses et signer à l'aveugle de gros chèques à des prestataires hors sol pour des certifications / labels et des boîtiers magiques censés résoudre tous les problèmes, le tout afin de montrer aux chefs (et éventuellement à l'assurance et à l'expert judiciaire) que j'ai bien fait de la (prétendue) sécurité. La sécurité informatique, c'est avant tout des réflexions et des parades techniques. C'est une problématique transversale, des actions à conduire à chaque étape d'un projet informatique, à chaque évolution d'une infrastructure. C'est une remise en question permanente. C'est un état d'esprit, une volonté.

Puis j'ai parlé à une collègue munie d'un caractère plutôt positif. Qui a déjà donné un cours dans la même université, une année. Elle m'explique que les étudiants se foutaient totalement de son cours, que c'est comme pisser dans un violon, que c'est démotivant au possible. Je me suis revu étudiant et oui… je séchais la majorité des cours. Oui, j'en avais rien à foutre, des cours. Cette discussion m'a ouvert les yeux : oui, les étudiants seront mieux dans leur lit ou dans l'organe sexuel d'un⋅e partenaire ou dans une association, bref, ils seront mieux à faire ce qui les intéressent plutôt qu'à m'écouter parler. Toute leur carrière leur montrera que l'on s'en fiche, de la sécurité informatique : y'a pas le temps, pas le budget, ce n'est pas la priorité, etc. S'ils s'y intéressent, il y a des livres, des sites web et des vidéos. On apprend jamais mieux que quand on choisit son sujet d'étude. C'est pour ça qu'on retient assez peu de choses de ce qu'on étudie à l'école, qui est essentiellement un lieu de contrôle social (les pudiques disent « socialisation secondaire »).

On est sur l'éternelle question du « faut-il donner aux gens ce qu'ils veulent ou tenter d'agir contre eux / malgré eux ? » L'exemple qui revient souvent, c'est « tout le monde sait lire, écrire, compter », donc l'école, ça marche. Ce discours est en baisse ces dernières années puisqu'on mesure, que, Ô, surprise, de moins en moins de gamins savent lire et écrire à la sortie du collège. De plus, il y a une différence entre ces savoirs (lire, écrire) et d'autres : ils sont nécessaires pour l'animal social qu'est l'humain, donc je pense que n'importe qui serait désireux de les apprendre, même si on ne le forçait pas. En revanche, j'ai jamais pratiqué le théorème de Pythagore ou celui de Thalès, donc je les ai oubliés, donc c'était une perte de temps de me les faire apprendre de force. Pour enfoncer le clou : j'ai même oublié des notions de base de mes anciennes passions pré-informatique, car ça fait 20 ans que je n'ai pas pratiqué… Si l'on oublie jusqu'aux fruits de la passion, comment espérer retenir ce que l'on a appris de force ?

Ensuite, j'ai pensé à mon statut. N'étant pas maître de conférence et encore moins professeur, mon statut serait enseignant vacataire. En gros : sous-merde. Tu fais le même travail d'enseignement, mais avec un salaire moindre et sans le statut. Tu ne peux pas te projeter dans l'avenir car, tout ce que tu sais, c'est que t'as quelques heures d'enseignement pour l'année à venir. Certains diront que c'est normal, car ce type d'emploi vient en complément d'un emploi principal, afin de faire découvrir le monde de l'entreprise aux étudiants. Mais bien sûûûûr.

En vérité, le recours à des contractuels a explosé partout en France ces dernières années. Dans certaines universités, ils n'ont pas de contrat dans les temps. Dans d'autres universités, ils ne sont pas payés ou très en retard. C'est la merde complet. À ce sujet, lire « Pourquoi je démissionne de toutes mes fonctions (administratives) à l'université de Nantes ». Un enseignant vacataire, c'est un bouche-trou, une variable d'ajustement. C'est le produit d'un juste milieu entre ceux qui veulent un système d'éducation et de formation public et ceux qui veulent un système privé et ceux qui veulent moins de branleurs de fonctionnaires de merde et ceux qui s'en foutent mais qui veulent payer moins d'impôt (et qui sont assez naïfs pour croire qu'ils obtiendront ce qu'ils veulent en sabordant le service public alors que la thune économisée ira dans les poches de quelques-uns) et ceux qui s'en foutent. C'est beau, un juste milieu, hein ? C'est surtout une pratique de lâche pour éviter de prendre position, de choisir : on veut un système d'éducation public de pointe, mais avec moins de fonctionnaires, avec plus de précaires, le beurre et l'argent du beurre.

Je suis déjà contractuel de la fonction publique. Ça aussi, ça veut dire sous-merde. Je dois faire le même boulot qu'un fonctionnaire, mais je suis en CDD, je suis payé 495 € net/mois de moins que le junior que j'étais dans le privé et je n'ai pas le statut de fonctionnaire. Du coup, être enseignant vacataire, ça serait me faire pigeonner une deuxième fois en occupant deux emplois précaires au lieu d'un.

Être un intervenant extérieur, ça serait encore réparer la merde d'autrui. Si la société estime qu'il est nécessaire d'instruire ses enfants, alors elle doit s'en donner les moyens, y compris financiers. Alors on formerait des enseignants par vocation, on les payerait à la hauteur de l'utilité sociale de leur travail et on leur accorderait le statut. Même traitement pour tous, en somme. Ne pas parvenir à décider collectivement et dans la durée de ce que l'on veut (système d'instruction public, oui ou non ?) n'est pas un idéal de société.

Accepter d'être d'être un intervenant extérieur, c'est faire en sorte que ce système pourri perdure et que les responsables (le citoyen comme les politiciens) n'aient pas à rendre de comptes au motif que, oh, regardez, le système continue à fonctionner. Ne pas l'être, c'est (temporairement) faire payer à des innocents (les gamins) une situation qu'ils n'ont pas choisi, oui, on a rien pour rien.

Je revendique le droit à être considéré à part entière. Je n'ai plus la foi pour me faire pigeonner en pensant que je fais le bien autour de moi.

Un troisième problème éthique s'ajoute à ceux que je viens d'exposer (forcer des gamins à apprendre et emploi précaire) : j'ai toujours été opposé au cumul des emplois. Attention, je ne blâme absolument pas les personnes qui sont obligées d'exercer plusieurs emplois pour survivre. Je blâme notre société qui laisse une telle abomination se produire. Bref, je suis contre le cumul des emplois. Il n'est pas acceptable que des gens cumulent de bons emplois (comme informaticien et enseignant) quand d'autres sont privés d'emplois. Il est impératif de partager le temps de travail au sein d'une société humaine.

Côté pratique, il y a eu quelques contrariétés. Un de mes chefs m'a expliqué qu'il faudrait que je pose des congés afin d'assurer mes heures de cours / TD / TP. Aucun aménagement d'horaire possible au motif que "trop gros, ça passera pas les RH". OK, très bien, je ne cherche pas un deuxième emploi, donc si j'enseigne, c'est pour rendre service, donc non, je ne poserai pas des congés pour faire le gland devant des étudiants. Je l'aurais fait si j'étais demandeur, c'est bien normal, mais là… Je comprends que mon discours n'est pas tenable, mais c'est mon choix.

De même, le volume horaire à assurer étant conséquent, la personne qui essayait de me coopter me préconiser fortement de faire équipe avec l'autre personne qu'elle avait déniché… mon supérieur hiérarchique direct. D'une part, même si je n'ai pas de griefs à lui opposer, je le vois assez dans mon emploi principal, pas besoin de plus. D'autre part, nous sommes tous les deux désorganisés, à toujours faire les choses chiantes au dernier moment, donc impossible de se partager un cours, ça ne peut pas fonctionner vu qu'on ne saura pas dire à l'autre à l'avance "tu prends le relai semaine X sur telles et telles notions, j'aurais déjà présenté telles et telles notions sur lesquelles tu pourras t'appuyer".

Enfin, j'avais (et j'ai toujours) la volonté de redonner la priorité à ma vie personnelle. J'ai beaucoup de mal à voir la frontière entre perso et professionnel, j'ai beaucoup de mal à freiner mon entrain quand je suis lancé sur un sujet, j'ai beaucoup de mal à basculer d'une activité perso à pro et inversement. Tout se bouscule dans ma tête. La dernière activité perso ou pro stimulante continue de me faire cogiter, empêchant d'être à fond sur l'autre. Ma vie perso est très souvent empiétée. Ajouter une activité pro aurait amplifié ce phénomène. Pas cool. Même si ma vie perso n'avait (et n'a) pas de sens particulier, que j'en fait rien de transcendant, le simple fait de rien faire est déjà une bonne chose.

Plusieurs points de forme m'ont contrarié. D'abord, quand on trouve personne pour assurer un cours malgré plusieurs mois de recherche, c'est qu'il y a un os quelque part. Ce point a jamais été démenti lors de nos échanges. On m'a expliqué que les maîtres de conf' préfèrent se concentrer sur leurs recherches c'est-à-dire leur carrière et les employés ont pas envie de se faire chier (deux arguments de plus en faveur de mon « enseignant vacataire, c'est réparer la merde des autres ;) ). D'autre part, j'ai trouvé très maladroite l'attitude de la personne qui a essayé de me coopter : d'habitude, je peux bien crever dans un coin, elle s'en fiche plus ou moins. Après m'avoir fait sa demande, elle m'a prêté beaucoup plus d'attention qu'à l'accoutumée. Ça a saupoudré ma réflexion d'une dose de soupçon : quand on te prête une attention différenciée par rapport à la normale, c'est qu'on cherche à te berner.

En conclusion logique : j'ai décliné. Je pense que ça aurait été une expérience enrichissante, mais je ne suis pas un pigeon.