Aujourd'hui, bien des clients d'Orange ont eu la mauvaise surprise de ne pas pouvoir visiter Google. La plupart n'avaient pas de messages d'erreur précis, juste une longue attente et un message d'erreur vague du genre « timeout ». Certains avaient la désagréable surprise de voir apparaitre une page menaçante, les accusant d'avoir voulu se connecter à un site Web terroriste. À l'origine de ce problème, une erreur de configuration dans les résolveurs DNS d'Orange, en raison de la fonction de censure administrative du Web.
D'abord, voyons l'étendue du problème. Il n'affectait que les clients d'Orange, et seulement ceux qui utilisaient les résolveurs DNS de l'opérateur (voir plus loin pour une définition des termes techniques). Les sites inaccessibles incluaient http://www.google.fr/, mais aussi http://fr.wikipedia.org/, http://www.ovh.com/ et quelques autres. [...]
Au ministère, on évoque plutôt une centaine de sites web bloqués/redirigés, voir : http://www.nextinpact.com/news/101837-le-blocage-chez-orange-a-frappe-plus-trois-sites.htm
Mais, ce lundi matin, lorsqu'on interrogeait les résolveurs d'Orange au sujet de l'adresse IP de www.google.fr, au lieu de répondre avec l'adresse contenue dans les serveurs faisant autorité pour google.fr (serveurs gérés par Google), par exemple 216.58.211.99, ils répondaient 90.85.16.52, une adresse appartenant à un sous-traitant du Ministère de l'Intérieur.
OBS fournit juste la liaison, pas le service (le serveur web, tout ça) qui est géré en interne du Ministère.
Mais ce serveur était bien trop faible pour encaisser l'énorme trafic de Google et de Wikipédia, et a vite cessé de fonctionner correctement. C'est ce qui explique l'absence de réponse fréquemment rencontrée, faisant croire aux utilisateurs que Google était en panne. (Une autre raison est que la plupart des accès à Google se font désormais en HTTPS et que le serveur du Ministère ne gère pas HTTPS, ne répondant pas, même pas par un refus de connexion.)
Comment une telle bavure a pu se produire ? L'erreur était-elle dans la liste envoyée par le Ministère de l'Intérieur ou bien uniquement chez Orange ? On n'a évidemment pas d'information à ce sujet (les pannes Internet ne font jamais l'objet d'analyses indépendantes et publiques, ce qui explique que la sécurité ne progresse guère). Tout est possible, y compris des erreurs humaines qui sembleraient invraisemblables (mais on voit vraiment de tout dans le monde réel). Une des hypothèses les plus intéressantes (elle explique notamment pourquoi il y a eu plusieurs noms touchés) est celle d'un fichier de test installé par erreur à la place du « bon ».
[...]
La panne elle-même, c'est-à-dire l'envoi de fausses informations par les résolveurs DNS d'Orange, a duré environ une heure. Mais son effet avait été prolongé par la mémorisation (les fameux « caches ») des informations dans certains composants du réseau (par exemple la « box » chez l'utilisateur). Cela fait que, plusieurs heures après, Google ou Wikipédia étaient toujours inaccessibles pour certains utilisateurs.
[...] Toute interférence avec le fonctionnement du DNS, que ce soit pour des raisons politiques ou autres, le met potentiellement en péril. C'est ce qu'avait analysé le rapport du Conseil Scientifique de l'AFNIC « Conséquences du filtrage Internet par le DNS », qui mettait bien en évidence le risque de tels filtrages ou blocages. Une bavure analogue à celle de Google était déjà arrivée au Danemark mais il semble que personne ne tire de leçons de l'expérience.
https://exegetes.eu.org/orange-redirection-cazeneuve/ :
Mais, en plus de ce dispositif de blocage, déjà fort critiquable, le gouvernement a également décidé d’imposer aux opérateurs la redirection des visites interceptées vers une page du ministère de l’Intérieur. De ce fait, le gouvernement a créé de sa propre initiative (la loi ne l’ayant pas prévu) un système permettant techniquement au ministère de l’intérieur de savoir qui voudrait visiter tel site bloqué.
Nous avions fortement critiqué cette obligation de redirection lors d’une procédure devant le Conseil d’État. Par une décision du 15 février 2016, ce dernier a rejeté nos arguments, considérant que cette obligation de redirection, bien que permettant au ministère de recevoir des données identifiant les visiteurs interceptés, n’implique pas que le ministère fasse un traitement des données interceptées et n’est donc pas en soit susceptible de constituer une atteinte à la vie privée.
[...]
Suite à l’évènement de lundi et à la réaction publique qui a suivi, le ministère de l’intérieur a été contraint de reconnaitre qu’il « dispose d’un prestataire pour le suivi statistique des consultations […] de cette page de blocage » (et de la page « recours » y étant liée) et que ce prestataire conserve les « adresses IP collectées lors des consultations redirigées » (à l’exception de celles collectées durant l’incident de lundi et qui ont été, elles seules, supprimées). Cette collecte de données est précisément ce que nous dénonçions comme étant l’unique raison d’être de l’obligation de redirection, mais que le Conseil d’État a feint de ne pouvoir anticiper.
Or, d’une part, le traitement de données personnelles ici reconnu par le ministère n’a pas été autorisé validement. Pour ce faire, son autorisation aurait au moins dû être précédée par un examen préalable de la CNIL (tel que cette dernière le rappelait dans son avis concernant l’obligation de redirection2), ce qui n’a pas été le cas. D’autre part — et c’est l’essentiel — un tel traitement, même s’il respectait les formalités légales, resterait illicite en ce qu’il constituerait une atteinte à la vie privée et à la liberté d’information disproportionnée par rapport à l’objectif initialement prévu par le législateur.
Nous avons déjà saisi la CNIL d’une plainte à ce sujet. La récente déclaration du Ministère de l’Intérieur nous ouvre probablement une autre voie contentieuse… À suivre !
GG les exegètes ! :O
Le ministère de l’Intérieur l’avait reconnu en décembre 2015 dans la réponse à une question du député Lionel Tardy [...] :
L’adresse IP est enregistrée. Les adresses IP ainsi collectées ne sont pas exploitées mais permettent une comptabilisation précise du nombre de connexions à chacune des pages bloquées. Les premiers chiffres enregistrés depuis la mise en place du dispositif font apparaître plus de 30 000 connexions par semaine concernant les sites de pédo-pornographie, et 250 connexions en moyenne par semaine concernant les sites à caractère terroriste. »
Chez Numerama, on apprend que la liste est un fichier CSV - http://www.numerama.com/tech/202058-orange-pourquoi-une-erreur-humaine-parait-peu-vraisemblable.html :
Lorsque le ministère de l’Intérieur envoie la liste des sites à bloquer aux principaux opérateurs télécoms français, il le fait sous la forme d’un fichier CSV qui comprend quatre colonnes. La première est une référence de dossier, la deuxième est le nom de domaine et les deux suivantes sont les adresses IP vers lesquelles diriger les utilisateurs, selon que le site est bloqué pour apologie du terrorisme, pédopornographie, jeux d’argent illicites ou d’autres motifs.
Très intéressante remarque - https://twitter.com/AlexArchambault/status/788021234944643072 :
‒ et pourquoi ce n'est pas apparu chez d'autres opérateurs ? la liste est la même ?
‒ le fichier est « personnalisé » pour chaque destinataire, pour identifier et tracer d’éventuelles fuites
Vu la simplicité de la liste (voir Numerama ci-dessus), cela signifie qu'il y a donc des faux domaines dans la liste ou comment ça se passe ? :O