devloop :: blog

Je me permets de relayer sur ce blog l'arrivée d'une vidéo baptisée Du bist terrorist (Tu es un terroriste) qui à l'instar de la vidéo Big Brother State dénonce les dérives sécuritaires.

Cette vidéo qui tombe à une époque où des moyens d'écoute des communications sont déjà mis en place et en plein débat sur la loi LOPSI 2 n'est pourtant pas française mais allemande.
Il faut dire que les lois se suivent et se ressemblent en France, en Angleterre et en Allemagne. Nicolas Sarkozy, Gordon Brown ou Wolfgang Schäuble... on a les même à la maison

Bien sûr on nous assure que ces moyens liberticides ne seront pris que dans des cas extrêmes , pour lutter contre le "terrorisme". On regrette toutefois que le terrorisme soit si mal défini et si on s'en tient à l'actualité on a plutôt l'impression qu'il en faut très peu, voir même qu'il suffit d'être de gauche pour rentrer dans une telle classification

La vidéo sous-titrée français sur Numerama

Il y a quelques jours, alors que je marchais dans la rue, j'ai été dépassé par une voiture avec un dispositif étrange placé sur le toit. Une bloc carré sur une espèce de trépied.
J'ai assez rapidement pensé aux voitures "Street View" qui se chargent de prendre des photos à intégrer dans Google Maps. Bien que le dispositif ne ressemblait pas exactement à certaines photos trouvées sur Internet, je vois difficilement ce que ça pourrait être d'autre...

Dans ma mémoire, cela ressemblait plus à un trépied, avec des pieds en diagonale. La voiture utilisée avait un look bien européen, peut-être même une Renault ou une Citroën, berline, propablement 4 portes, couleur très fonçée mais pas noire. Elle roulait assez doucement sans doute pour éviter de balancer le dispositif.

Après vérification aujourd'hui, il semble que les voitures de Google circulent bien en France. D'après des commentaires sur Zorgloob, d'autres personnes auraient croisé ces voitures un peu partout en France, et notamment sur Orléans à la mi-mai et la semaine dernière... comme quoi ce n'était pas une hallucination

Dans tous les cas j'ai vérifié sur Google Maps et aucune photo n'est présente pour le moment pour le lieu où j'ai croisé la famuse voiture
Ca pourrait aussi être une société concurrente ou un petit malin qui a décidé de reprendre le principe... rien n'est sûr.

Le gouvernement a pris l'habitude de faire passer ses lois liberticides aux périodes où il se fera le moins remarquer, que ce soit pendant les fêtes de fin d'année, durant les vacances ou, pour ce décret d'application de la LCEN, en pleine période électorale. Comme le faisait remarquer Moustic c'est un coup à se retrouver sans le droit de vote le lendemain d'une victoire en coupe de monde de football.

Ce décret d'application sur la loi sur la confiance dans l'économie numérique, dont j'ai d'abord eu vent par Le Journal du Net, semble plus correspondre à une nouvelle réglementation anti-terrorisme plutôt qu'à un plan d'aide au commerce électronique tellement elle se concentre sur la surveillance généralisée des individus sur le réseau Internet.

Ce projet de décret rajoute une dimension Orwellienne à la loi actuelle en obligeant tout les systèmes informatiques ouverts à contribution à garder des informations sur les visiteurs. Pour cela le decret différencie 5 catégories de données à conserver.

La première catégorie concerne les fournisseurs d'accès à Internet (et les opérateurs téléphoniques ?)
Ceux-ci devront conserver pour chacune des connexions établies par chaque abonné :

• l'identifiant de la connexion
  
• l'identifiant attribué par le système d’information à l’abonné
  
• les date et heure de début et de fin de la connexion
  
• les caractéristiques de la ligne de l’abonné
  

Ce qui fait beaucoup de mots pour dire qu'ils veulent absolument obtenir l'adresse IP attribuée à l'abonné à chacune de ses connexions, d'ailleurs, comme écrit noir sur blanc dans le decret, l'objectif est d'obtenir "les données permettant d'identifier l'origine de la création des contenus".
Quand aux caractéristiques de la ligne, elles doivent correspondre à l'offre d'abonnement (cable ? téléphone ? satellite ? 56k ? ADSL ? dégroupé ?) et probablement aussi au numéro de téléphone de l'abonné et à l'identité de son opérateur.

Viennent ensuite les services offrant "le stockage de signaux, d'écrits, d'images, de sons ou de messages de toute nature" et autres "services de communication au public en ligne". Cela touche aussi bien les sites Internet communautaires que les forums, les services comme ImageShack, les pastebins, les webmails ou les blogs permettant de poster des commentaires sans oublier les systèmes d'hébergement.
A noter tout de même la notion de "prestataire technique" qui fait que seul le ou les responsables techniques du service sont tenus de conserver des logs. Cela signifie qu'une personne qui a un blog chez Blogger n'a pas à conserver de logs. En revanche Blogger qui fournit le service a pour obligations de les conserver (en supposant que Blogger soit français).
Tous ces services, qui correspondent à un nombre incalculable de sites ou de serveurs (les Usenet, eDonkey, Jabber, SMTP, FTP... sont à priori concernés) sont tenus de conserver :

• l'identifiant de la connexion à l'origine de la communication
  
• l'identifiant attribué par le système d'information au contenu, objet de l'opération
  
• l'identifiant attribué par le système d'information à la connexion
  
• le type de protocole ou de réseau utilisé
  
• la nature de l'opération
  
• les date et heure de l'opération
  
• les pseudonymes utilisés
  

Même si ça manque de clarté on peut facilement deviner à quoi peuvent correspondre ces éléments en fonction de la communication.
Ainsi dans le cas d'un téléchargement sur un réseau P2P, cela correspondrait respectivement à l'adresse IP, le nom ou le hash du fichier téléchargé ou envoyé, le nom de login de l'internaute sur le réseau P2P, la nature du réseau (eDonkey, BitTorrent, FTP...), l'opération effectuée (téléchargement, mise à disposition)...

Dans le cas d'un message posté sur un forum il s'agirait de l'adresse IP du visiteur, l'id du post/message/thread, l'id du visiteur, le protocole (HTTP, NNTP...), l'opération (envoi, lecture, modification), la date et l'heure et le pseudo de l'internaute.

Ensuite, l'ensemble des services précédemment cités sont tenus, dans le cas de souscription d'un contrat ou de la création d'un compte utilisateur, de demander et de conserver l'ensemble des données suivantes dans le cas où ils les conservent habituellement :

• nom et prénom ou raison sociale
  
• adresses postales associées
  
• pseudonymes utilisés
  
• adresses de courrier électronique associées
  
• numéros de téléphone
  
• mot de passe et informations associées
  

Dans le cas où la souscription ou la création du compte est payante, doivent aussi être conservées :

• type de paiement utilisé
  
• montant
  
• numéro de référence du moyen de paiement
  
• date et heure de la transaction
  

L'article 1 se termine par la note suivante :
La contribution à une création de contenu comprend les opérations portant sur :

• des créations initiales de contenus
  
• des modifications des contenus eux-mêmes
  
• des modifications de données liées aux contenus
  
• des suppressions de contenus
  

L'ensemble de ces données doivent être conservées pour une période d'un an et pouvoir être mises à disposition "des services de police et de gendarmerie nationales chargés des missions de prévention des actes de terrorisme" (d'où les termes "économie numérique", c'est pourtant évident...)
Pour obtenir ces données la police doit, en dehors de prouver son identité, donner certains renseignements sur les données à récupérer à savoir :

• la nature des données
  
• la période concernée
  
• la motivation de la demande
  

Aucune information supplémentaire n'est donnée, notamment aucune limite n'est précisée rendant ainsi possible la récupération de la totalité des logs pour simple raison de "lutte anti-terrorisme". Le principe de "nature des données" est plus que flou mais pourra certainement correspondre à un nom de fichier dans le cas d'un téléchargement sur un réseau P2P.

Les services de police se réservent le droit de conserver ces données pour une période supplémentaire de trois ans. Alors que cela peut sembler trop important dans le cas d'une affaire de téléchargement ou de diffamation, ce laps de temps pourrait suffire à mettre en place une surveillance globale du réseau en croisant les données récupérées.

En dehors de la menace que représente ce décret pour la liberté d'expression et la vie privée de chacun, menace notamment dénoncée par l'association IRIS, cela fait enrager les services Internet concernés tellement les dispositions à mettre en place sont techniquement ou économiquement intenables.
Le président du Geste (Groupement des Editeurs de Services en Ligne) a fait part de son mécontentement dans un article du Monde. Pour lui ce décret met en danger l'Internet lui-même.
D'après le Geste, les coûts de stockage, s'il tant est qu'il est possible techniquement, entraîneraient entre plusieurs centaines de milliers et un million d'euros de perte nette à chaque éditeur.

Pour forcer les propriétaires des services à conserver les données, l'Etat promet des ammendes collosales dans le cas où les services refusent de coopérer : 375.000 euros d'amende pour l'entreprise, et un an d'emprisonnement et 75.000 d'amende pour les dirigeants.
Bref ce decret pourrait tuer tous les services de petite et moyenne taille qui sont dans l'incapacité technique ou économique de mettre en place un tel système de surveillance.


D'autres points posent problèmes, par exemple les mots des passes doivent pouvoir être restitués à la police au même titre que les autres données. L'explication officieuse est qu'avec le nom d'utilisateur et le mot de passe de l'internaute ils peuvent s'introduire sur son compte sans avoir à demander une nouvelle fois l'autorisation auprès du service pour récupérer des données supplémentaires.
De plus les utilsateurs, même les plus avertis, utilisent souvent un même mot de passe pour différents comptes, ainsi ils peuvent s'introduire sur d'autres services sans avoir à suivre les démarches administratives.

Pour revenir au principe de "confiance dans l'économie numérique" (parce que c'est difficile de voir le lien), la conservation des données sur un temps aussi long et ce même après fermeture des comptes, est un vrai danger pour l'économie des entreprises et des individus.
Ce projet de décret est du pain béni pour les pirates qui pourront récupérer d'un simple coup autant de données confidentielles permetant le vol d'identité et les fraudes bancaires.

Et bien sûr, sil un beau jour il est jugé illégal de critiquer le gouvernement, alors ce système permettra d'arrêter très rapidement les cyber-dissidents, à l'instar de ce qui se fait actuellement en Chine.

Pour l'instant, la seule chose qu'à trouvé à dire la CNIL est que le décret reste imprécis

Références :
JDN : Un projet de décret pour surveiller le Web participatif et contributif
JDN : Le projet de décret (accès direct)
LegiFrance : LOI n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique
Le Monde : L'Etat veut-il tuer Internet en France ?

Sur ce blog :
Big Brother State
Informatique en vrac : le gouvernement travaille à nous fournir un Internet censuré, commercial et sous surveillance
Création d'un Echelon français ?
Conservation des logs : décret du 24 mars 2006

Les bidouilleurs de chez Doom9 continuent leur analyse du standard de protection AACS. Dernièrement ATARI Vampire est parvenu à trouver une (sub) Device Key du logiciel WinDVD 8.
Au niveau algorithmique cette clé se situe juste avant la Processing Key. La découverte n'apporte rien de plus (en tout cas pour le moment) mais on peut saluer l'exploit technique.
Sur Slashdot, la nouvelle est discutée, ça parle entre autres du système de révocation de AACS et on se demande si les groupes derrière la protection vont bientôt mettre ce système en marche.

Pour mieux comprendre le fonctionnement de tout ça je vous invite à lire mon précédent billet sur AACS ou encore mieux une explication du standard par arnezami nommée Understanding AACS (including Subset-Difference).

J'aurais bien aimé lire cette doc, seulement je suis très occupé en ce moment. Il faut dire que je suis un peu seul dans les bureaux de l'entreprise où je bosse actuellement puisque 90% des employés sont en grève (vidéo France3) et réclament une hausse des salaires.
Etant en CDD, je ne participe pas à ce mouvement mais j'espère qu'une solution sera trouvée rapidemment qui puisse satisfaire tout le monde. Demain mes collègues vont débuter leur 4ième journée de protestation.

Et pendant ce temps là en France... le gouvernement travaille à nous fournir un Internet plus sûr censuré, commercial, et sous surveillance.

Reprenant deux propositions d'un groupe de travail sur la cybercriminalité, le Gouvernement a décidé de créer un pôle unique de signalement des sites à contenus illicites et un certificat de sûreté des contenus proposés sur la toile.
(...)
Annoncé par le Premier ministre lors du Comité interministériel sur la société de l'information (Cisi) du 11 juillet 2006, un "label citoyen" sera mis en place cette année pour certifier la sûreté des contenus. Il distinguera, parmi les fournisseurs d'accès à internet et de services en ligne, ceux qui s'engagent pour une plus grande sécurisation des usages.

Reste à savoir qui va décider ce qui est, ou non, un contenu illicite et quel sera exactement le rôle des FAI dans cette histoire (un bon gros filtrage liberticide comme en Chine ou la fermeture sauvage de sites Internet sans même prendre soin de prévenir leur propriétaire).
On tente alors de nous rassurer sur le côté démocratique de cette mise en cage de l'Internet français en ces termes :

Selon les recommandations faites en avril 2006 par le Forum des droits sur l'internet, une telle marque de confiance comporterait 70 engagements.

On suppose alors que le gouvernement s'est concerté avec le fameux Forum des droits sur l'internet afin de ne pas faire n'importe quoi...
On se rend alors sur le site du Forum des droits sur l'internet (un lien est présent depuis la page du gouvernement) et on télécharge l'"Avis du Forum des droits sur l'internet sur le projet de Commission nationale de déontologie des services de communication au public en ligne" au format PDF...

Mais l'avis du Forum est tout sauf rassurant comme l'explique ces permières lignes :

En premier lieu, les acteurs déplorent qu'une concertation ouverte à l'ensemble des acteurs marchands et non marchands n'ait pas eu lieu sur un texte de cette importance.

C'est beau la démocratie !

Le dossier du grouvernement continue sa plaidoirie en nous rappelant sa lutte contre le spam et la mise en place de la plateforme signal-spam.
J'en avais parlé à son lancement. On nous avais fait différentes promesses, notamment la possibilité de signaler du spam. Cette fonctionnalité aurait dû être disponible durant le dernier trimestre de l'année précédente mais rien n'a été fait.
D'ailleurs on peut toujours lire sur la page : "Le site Signal Spam permettra bientôt aux utilisateurs enregistrés de signaler des messages de spam".. "Bientôt" ça fait une, deux ou trois années ?
Sans compter le blog en silence radio depuis le 14 Septembre 2006

Mais ce qui fait le plus peur dans cette page c'est sans doute l'information suivante :

Parallèlement, le Réseau national de télécommunications pour la technologie, l’enseignement et la recherche (Renater), qui relie un grand nombre d’organismes français, a pour mission d’assurer en toutes circonstances la sécurité du réseau, notamment lors de la mise en œuvre des plans anti-terroristes.

C'est pour dire dans qu'elle merde on est ! Certes le CERT-Renater se tiens informé des dernières failles de sécurité mais nous fait aussi part des intrusions hebdomadaires dont il est victime (voir les STAT) et pour un réseau censé nous protéger des attaques terroristes ce n'est pas très rassurant

De toute façon on s'en fout, après tout nos centrales nucléaires sont encore moins bien protégées...

Le plus simple serais de ne pas relier les réseaux les plus sensibles à Internet. Ca éviterait par exemple de voir un pirate réussir à bloquer le réseau de distribution d'essence argentin par l'intrusion dans le S.I. du secrétariat à l'Energie du pays.

Mais personne ne semble s'intéresser à la protection de l'information, surtout pas les entreprises qui utiliseront la suite bureautique de Google, rendant leurs données accessibles à une multinationnale américaine.

Heureusement que les membres du projet Honeynet sont là pour nous rappeler les problèmes de sécurité concernant les applications web par le biais d'un document nommé Know your Enemy: Web Application Threats.
Certes rien de nouveau mais c'est un bon concentré des failles web existantes et ça parle aussi des honeypots PHP
On regrettera éventuellement l'absence d'un paragraphe sur les attaques par Cross-site Request Forgery (CSRF)

OSS 117, Le Caire Nid d'Espions
Etant donné que je pensais qu'il s'agissait d'un film sérieux (si si), j'ai bien failli tomber de mon siège. Jean Dujardin joue le rôle d'un espion français macho, prétentieux et peu respectueux qui se retrouve à Caire pour une mission. Les blagues changent bien de ce que l'on voit d'habitude et certaines scènes (comme quand il chante Bambino) vallent le détour.
Bref, la blanquette est bonne, mangez-en

1984
Une adaptation ciné du roman d'Orwell. Le film a été tourné en... 1984.
On retrouve tous les principes présents dans le roman : BigBrother, l'angsoc, les deux minutes de la haine, les téléviseurs qui vous regardent, l'histoire sans cesse retouchée, l'état de guerre entretenu en permanence...
Ca fait bizarre de voir les personnages et les décors choisis pour le film quand on a d'abord lu le roman. Si vous avez lu le livre vous serez sans doute un peu décu par le film, sinon ça peut valoir le coup de le voir.

V for Vendetta
réalisé par James McTeigue, avec Natalie Portman (Evey) et Hugo Weaving (V).
L'histoire, qui repose sur le comic américain original d'Alan Moore, décrit une Angleterre dans un futur pas si lointain où les médias sont manipulés par le pouvoir et les individus constemment surveillés.
V, un personnage lyrique, mystérieux et masqué, va réaliser quelques coups d'éclats dans le but de réveiller le peuple anglais et essayer de le faire renverser le régime en place. Dans sa quête il va faire la rencontre d'Evey, une londonienne dont les parents étaient activistes.

Ce que j'aime dans V for Vendetta, c'est la crédibilité du scénario : après une période de guerre et de terrorisme, l'Angleterre est gérée par un parti fasciste, nationaliste et conservateur élu démocratiquement. Les citoyens sont sous surveilance constante sous le prétexte de garantir leur sécurité face à d'éventuelles menaces.
Si on compare à l'Angeleterre actuelle (post-attentats du 11 septembre 2001) avec les moyens de surveillance mis en places (l'Angleterre est le pays qui compte le plus de caméras de surveillance par habitants dans le monde) et les lois dites "sécuritaires" comme le Terrorism Act et le Anti-Terror, Crime and Security Act (ATCS), on se dis que l'on est pas bien loin de la réalité.
Ensuite, et contrairement à 1984, il n'y a pas de contrôle ni de police de la pensée. Dans V for Vendetta, les citoyens sont bien conscients des mensonges du gouvernement et du contrôle des médias et bien qu'ils se gardent de le dire devant la milice, il leur reste au moins ce pouvoir.

Ensuite les images, la musique, Natalie Portman, sont des raisons supplémentaires d'aller voir ce film

Enfermés Dehors
Un film complétement déjanté de et avec Albert Dupontel.
C'est l'histoire d'un SDF toxico un brin dérangé qui trouve un uniforme de policier. Au départ il l'utilise seulement pour pouvoir manger incognito à la cantine de la police mais petit à petit il rentre dans le rôle du flic qu'il tente d'incarner...
C'est complétement déjanté et plutôt drôle

Shanghaï Kid avec Jackie Chan, Owen Wilson et Lucy Liu (que je n'avais pas reconnu)
L'histoire c'est un chinois et un cowboy qui vont sauver une princesse et... Certes le scénario est nul mais c'est toujours l'occasion de voir les cascades de Jackie Ca passe très bien si on a rien d'intéressant à faire.

A Bittersweet Life.
Sunwoo est un homme de main pour un important mafieu. Il règle les "problèmes" froidement sans poser de questions jusqu'à ce que... (et là il faut voir le film)
Les réalisateurs coréens ne cessent de me surprendre ! Comme pour Old Boy et Sympathy For Lady Vengeance, on retrouve ce côté froid, cette folie qui passe presque inaperçue et l'esthétique soignée de l'image et du son.
A Bittersweet Life utilise un code couleur respecté tout au long du film : le rouge, le noir et le blanc. Un beau film (ensuite c'est une question de tolérance par rapport à la vue de l'hémoglobine )

Les Experts (vo : Sneakers) avec Robert Redford
Martin Bishop et son équipe de hackers/phreakers sont embauchés par la NSA pour récupérer une boîte noire capable de casser toutes les protections cryptographiques.
L'histoire est pas mal trouvée (en gros imaginez que demain on apprenne qu'un chercheur a trouvé une méthode rapide permettant de factoriser de grands nombres premiers), les acteurs jouent bien, le suspens et le rythme est tenu... Est-ce que ça vaut WarGames ? Difficile de se prononcer, en tout cas je recommande les deux

American Pie présente: String Academy
On ne prend pas les même mais on recommence quand même. D'ailleurs l'histoire est toujours la même... et les gags sont parfois les même. Cela dis on rigole bien. Film "jetable" par excellence