lundi 1 août 2011

Opération frauduleuse sur compte bancaire, le retour

Par Damien Clauzel, lundi 1 août 2011. Idées et réflexions

Depuis la nuit de vendredi à samedi, pour la seconde fois et de la même façon que la précédente, j’ai constaté des opérations frauduleuses sur mon compte bancaire. Il s’agit de cinq opérations par carte bancaire pour 2407,1€ chez différents marchands[1]. Je réutilise donc ma documentation qui avait bien fonctionné.

Carte bleue punie

Je me rend au commissariat de police pour porter plaine. Le jeune agent qui me reçoit m’écoute : je ne sais pas ce qui s'est passé, ni comment ça a été fait; je constate juste un usage frauduleux de mon compte bancaire. Et bien sûr je fais un usage responsable de mes cartes bancaires : Je les surveille « normalement » quand je paie en boutique, je vérifie le SSL pour les transactions en ligne, etc.

L’agent rédige une main courante, dont je récupère juste le récépissé sans en avoir une copie. Également, cette fois-ci je ne signe aucun papier. La procédure aurait-elle changé ?

En revanche, pas moyen de joindre ma banque — la Banque Postale — sur un numéro non surtaxé. Nous sommes samedi donc les centres financiers sont fermés, et la ligne d’appel en cas de problème me laisse en attente. Ce n’est pas sérieux. J'ai donc du attendre lundi matin pour compléter la procédure.

La Banque Postale propose un service de e-carte bleue qu'elle facture 12,50€/an. Vu qu'en 18 mois 2803,73€ ont été dérobés de mon compte bancaire, il serait beaucoup plus rentable pour elle de me proposer gratuitement ce produit plutôt que de vouloir absolument me le faire payer. Ceci dit, comme elle est responsable de mon argent, les frais liés à sa sécurité ne regardent qu'elle (à condition de ne pas augmenter mes cotisations trimestrielles).

En attendant, je m’apprête à recevoir ma nouvelle carte bancaire, et je ne change rien à mes habitudes.

Note

[1] dont un français; fois précédente c'était pour une entreprise de juridiction US; là c'est en France donc on verra si ça change :)

57 rétroliens

mercredi 27 juillet 2011

Engagement politique

Par Damien Clauzel, mercredi 27 juillet 2011. Idées et réflexions

En janvier 2008, j’ai rejoint le Parti Ꝓirate. Cette décision est un peu étrange pour moi, au vu de mon écœurement pour le comportement général de nos élus, mais j’imagine que j’ai du me résigner avec le temps… et la maturité.

Cette volonté d’engagement citoyen n’est en revanche pas nouvelle puisque je milite depuis 1995 en faveur du logiciel libre dans plusieurs structures et projets (APRIL, Debian, MacPorts, etc.) La différence est qu’ici j’ai franchi une étape supplémentaire en m’inscrivant dans une approche politique.

Lors des élections présidentielles de 2007, j’avais été sensible au discours de François Bayrou sur les questions des brevets logiciels, des droits d’auteur, de l’accès aux données publique, ainsi qu’une grande volonté de renforcer la cohésion européenne. Mais je n’ai pas rejoint le MoDem naissant car je n’appréciais pas son objectif de « porter les grands noms du parti ».

Quand à l’action syndicale, elle était de facto exclue car il n’existe pas de syndicat efficace d’informaticiens, et les grands syndicats nationaux sont très peu au fait des problèmes de nos secteurs d’activités.

Comment hacker un politicien ?

En revanche, la naissance du Parti Pirate en Suède courant 2006 m’a tout de suite attiré car il se focalisait sur des questions jusque là maltraitées par les politiques français et européens; avec en fil rouge la place de la culture et de la connaissance dans nos sociétés occidentales.

À l’époque étaient mis en place par le gouvernement différents projets qui m’inquiétaient : collecte systématique de l’ADN des citoyens par la police, surveillance intrusive des télécommunications et d’internet, criminalisation de pratiques socialement établies… Sale temps pour la jeunesse. Sans compté la destruction des services publiques (y compris ceux ayant un budget bénéficiaire !) au nom de raisons idéologiques (et de copinages industriels…). Donc, plutôt que de continuer à lutter (vainement ?) par les habituelles méthodes associatives, j’ai décidé de me lancer dans le Grand Jeu et de rejoindre un parti politique pour agir de l’intérieur: le Parti Ꝓirate.

Étant à ce moment sur Lyon, j’ai eu envie d’explorer ce que pouvait être une action politique locale pour un parti politique international et dématérialisé. J’ai donc mis en place la CRAPꝒ, le premier groupe régional du Parti Ꝓirate, et qui plus est ancré sur le terrain.. Le succès fut immédiat et notre engouement nous a permis de nous faire immédiatement connaître, et reconnaître, par la presse et les élus locaux.

Aujourd’hui, je ne regrette pas cette décision de me « politiser »; j’ai élargi mon horizon, ai été amené a rencontrer de nombreuses personnes intéressantes avec lesquelles je ne suis pas toujours d’accord, et j’ai surtout la sensation d’avoir été utile au travers de mes actions.

Je cerne mieux désormais les problèmes qui minent la question du numérique en France et en Europe : la trop grande proximité entre les élus et les dirigeants de grands groupes industriels, la volonté de résultats à court terme pour servir des intérêts électoraux, ou encore le dogmatisme idéologique en dépit de la réalité du quotidien.

aucun rétrolien

dimanche 24 juillet 2011

Compte-rendu de la première édition d’OVEI

Par Damien Clauzel, dimanche 24 juillet 2011. Compte-rendus de déplacement

OVEI ?

J’ai été invité à participer à la première édition d’OVEI, organisée par Bruno Spiquel (expert technique à la HADOPI et entrepreneur) et Laure de La Raudière (députée). L’objectif d’OVEI est de permettre la rencontre informelle entre des élus, hauts responsables d’administrations, et experts techniques de la vie civile. Étaient présentes 59 personnes autour d’un barbecue fédérateur.

J’emploi ici les termes « geeks » et « politiques » pour coller à la terminologie choisie par OVEI. Il serait plus correct de parler d’élus, d’administrateurs, de développeurs, de magistrats, de sysadmins, de chercheurs, etc. Mais faisons simple.

Je suis donc parti de Lyon de bon matin, accompagné de Romain Rivière venant de Genève, pour passer le weekend à Rambouillet. Hasard des choses, nous avons ramassé dans le TER deux « geeks » (en opposition à « politiques » pour cette journée de rencontre) et fini le trajet dans le tank étiqueté de Spyou.

OVEI, en pratique

Lancement de la journée par trois interventions sur :

  • l’évolution des moyens de partage des savoirs au travers de l’histoire, et les révolutions de société que cela à engendré;
  • internet et sa résilience face aux pannes et à la division, avec en perspective de l’autonomie;
  • le droit de réponse, puis le droit au secret dans les affaires publiques.

Discussion sur les questions de droit au secret dans les affaires publiques.

Discours d'ouverture d'OVEI

Discussion à propos du droit de réponse sur internet :

  • problème de la législation française dans un internet structurellement transnational
  • pertinence de la législation actuelle :
    • internet autorise la publication personnelle sans restriction ni filtrage, contrairement aux médias unidirectionnels tels que la presse papier et la télévision où la publication est liée à l’acceptation par un directeur des contenus éditoriaux
    • la publication peut être réalisée via des outils décentralisés ou qui ne permettent techniquement pas d’y associer une publication tierce[1]; comment alors gérer un droit de réponse obligatoire ?
  • introduction de la notion de « même médium » pour appliquer le droit de réponse : publication sur un « espace de communication » → réponse au même endroit. Problème de la définition d’ « endroit » (mashup de données externes) et de mise en pratique.

Ma réflexion actuelle est que le droit de réponse, défini initialement par la loi de 1881, n’est pas adapté à internet qui a une approche multidirectionnelle sans barrières. Là où la loi originale permettait à une personne de bénéficier d’une garanti de prise de parole « juste » quand elle était nominalement concernée, internet met sur un pied d’égalité chacun en lui permettant de s’exprimer; cet aspect du droit de réponse perd alors son sens.

En revanche, internet introduit possiblement une différence sur l’exposition : certaines publications ont plus de visibilité que d’autres; comment alors garantir à un droit de réponse une diffusion semblable à la publication originale, sachant qu’on ne peut pas obliger les gens à consulter une ressource[2]. Tiens, d’ailleurs si l’auteur était anonyme ou que la publication avait lieu hors de la juridiction française, on ferait quoi ?

Discussion sur le grand banditisme sur internet :

  • montée en puissance de l’argent liquide numérique anonyme (bitcoin, carte VISA prépayée)
  • problème de l’insuffisance des compétences chez les enquêteurs et les juges face à l’évolution des technologies et des pratiques.
  • partage d’anecdotes sur la rencontre informaticien + numérique + police.

Discussion sur le TLD rebelle et autogéré .42 : intérêts, approches techniques et sociales, conséquences. Pourquoi le faire au juste ? Parce qu’internet permet cette liberté, et en protestation à la politique de gestion de l’ICANN.

Discussion sur la nature et l’approche politique du Parti Pirate. Comparaison avec les Verts à leurs débuts (d’abord en opposition en Allemagne sur les missiles nucléaires, puis conception d’un projet de société).

(On me murmure que des geeks, pour conclure dignement cette journée, ont grassement trollé[3] des gens de la HADOPI. Je n’ose le croire tellement c’est inconcevable :)

Ce que je retiens d’OVEI

Le concept est validé : une rencontre informelle permet aux différents acteurs de se rencontrer sans pression et de s’apprivoiser. La forme est à ajuster légèrement pour inciter et renforcer les échanges : le cloisonnement est un réflexe fort, probablement en raison de centres d’intérêts trop différents au premier abord.

BBQ OVEI

Les politiques sont arrivés avec des exemples très précis de problèmes qui les touchent directement, principalement liés à leur image et activité publique. Les geeks sont arrivés les mains dans les poches et la bouche en cœur, appâtés par la promesse d’un BBQ arrosé gratuit.

Je m’attendais à plus de questions techniques sur le fonctionnement du net et les implications de faisabilités des technologies, mais en fait les discussions ont portées sur des principes de société et de comment il était possible de les imposer sur internet. Cela a fait tiquer les geeks présents qui étaient de culture principalement libertaire.

Les politiques ont une approche très nationale du net, centrée sur sa partie web, et posent comme prémisse que les problèmes qu’ils souhaitent traiter se font au travers de la législation française. Faire remarquer que les acteurs (entreprises ou personnes) qu’ils veulent cibler peuvent se trouver entièrement à l’étranger[4] (ou même nul part) leur fait grincer les dents car cela les confronte à leur incapacité d’intervention. D’où quelques réactions irritées à base de « on est supposé ne rien faire alors ? »; si j’avais la solution je leur donnerais avec plaisir, mais je ne l’ai pas. Il va falloir qu’ils intègrent le fait qu’on ne peut pas légiférer pour internet comme pour le territoire français, car la police n’a pas les mêmes capacités d’intervention pour y faire appliquer la loi[5].

Si les politiques ont compris qu’internet est de nature décentralisée et maillée, ils ne l’ont pas nécessairement intégré : le réflexe du Minitel 2.0 n’est jamais très loin.

Le pâté de Chartres, c’est délicieux ! Mais faire un BBQ sur un hippodrome sans viande de cheval c’est un peu de la tromperie sur la marchandise :)

Les politiques peuvent se montrer très chatouilleux face au troll gentil, là où le geek ne voit qu’une occasion de tester des éléments d’argumentation. Ah, la différence de culture… Il est possible que cela soit lié à la pratique régulière par le geek de l’autodérision et de la critique franche pour éviter les ambiguïtés; on peut également songer à l’importance que peuvent attacher les politiques à leurs image publique, là où les geeks seront davantage chatouilleux sur la remise en question de leurs compétences.

Les geeks aiment afficher leurs convictions et étaient facilement identifiables sur leurs natures et leurs activités… à conditions de savoir interpréter leurs déclaration d’appartenance; exemples :

  • pin’s π et parle de .42 : membre de la Quadrature du net et participe au projet 42Registry;
  • sticker Parti Pirate et t-shirt cypherpunk : travail contre HADOPI et fait la promotion des pratiques cryptographiques.

Les politiques sont difficiles à décrypter au premier regard pour les geeks : qui appartient à quoi, et s’occupe de quels problématiques. En effet, ils ne portent pas de t-shirts à message ;) Un badge serait alors le bienvenu.

Je suis conforté dans mon idée de monter une micro-entreprise pour faire du négoce de bitcoin en France et en présentiel. Juste pour le lulz vis à vis de la législation, et voir ce que veut dire de matérialiser des transactions monétaires structurellement immatérielles.

J’ai énormément apprécié que l’on arrive enfin à rapprocher les politiques des geeks; cela aurait été impossible y a encore 5 ans, comme quoi les choses s’améliorent quand on se donne du mal. Vouloir légiférer sur internet sans écouter les informaticiens est une aberration, surtout quand ce sont eux au final qui le font fonctionner et non pas le législateur.

Compléments

Notes

[1] Exemple : instance StatusNet ou liste de diffusion à émetteurs restreints

[2] le premier qui dit « on n’a qu’à obliger les FAI à envoyer à leurs clients les droits de réponse ! », je le mord

[3] Pour mémoire, le troll n’est pas nécessairement méchant : il peut aussi être affectueux. Sauf quand il s’agit de VIM et d’EMACS, car tout le monde sait que VIM est clairement supérieur ;P

[4] Par exemple, un éditeur canadien de contenus lus par des francophones, et qui aurait ses infrastructure en Chine pour des raisons de coût. Des politiques insistaient pour revendiquer que le droit français doit pouvoir être appliqué (par exemple, pour le droit de réponse). Personnellement, je ne vois pas de possibilités techniques et juridiques de le faire. Le législateur doit intégrer les contraintes externes imposées par les environnements numériques.

[5] Et une loi non appliquée on sait ce que ça donne…

2 commentaires aucun rétrolien

dimanche 10 juillet 2011

Interview pour le magazine Acteurs de l'économie

Par Damien Clauzel, dimanche 10 juillet 2011. Communication

Dans le cadre de mon activité en Rhône-Alpes, j'ai accordé une interview au magazine Acteurs de l'économie[1]. L'idée est de mettre en valeur les cent personnes qui vont compter demain en Rhône-Alpes.

Oui, je suis en couverture.

Acteurs de l’économie – n°100 – Couverture

Et en portrait, aussi :)

Acteurs de l’économie – n°100 – Les 100 qui feront Rhône-Alpes – En couverture

Je parle de mon activité de recherche, du Libre, du Parti Pirate Rhône-Alpes, du Laboratoire Ouvert Lyonnais, et de plongée !

Acteurs de l’économie – n°100 – Les 100 qui feront Rhône-Alpes – Damien Clauzel 
@article{Clauzel:2011:Informatique-et-liberte,
  title = {Damien Clauzel — Informatique et liberté},
  journal = {Acteurs de l'économie},
  year = {2011},
  month = jul,
  volume = {100},
  pages = {36-37},
  url = {https://damien.clauzel.eu/post/2011/07/10/Interview-pour-le-magazine-Acteurs-de-l-économie},
  author = {Clauzel, Damien and Dupré la Tour, Diane},
  keywords = {article, Lyon, Acteurs de l'économie, Libre, Parti Pirate, politique, presse, Rhône-Alpes, Laboratoire Ouvert Lyonnais},
  language = {french},
  abstract = {33 ans, chercheur en informatique, consultant, représentant du Parti Pirate en Rhône-Alpes}
}

Note

[1] Acteurs de l'économie, numéro 100, juillet 2011, pages 36-37

aucun rétrolien

vendredi 8 juillet 2011

Retour d'expérience sur le passage en BÉPO

Par Damien Clauzel, vendredi 8 juillet 2011. Informatique

Logo BÉPO

J’ai passé le clavier d’une de mes machines Ubuntu/natty en disposition BÉPO; la procédure fonctionne aussi pour Debian/stable. La keymap BÉPO est disponible dès le démarrage pour déverrouiller le disque, et dans la console et GDM pour permettre la connexion.

Pourquoi le BÉPO ? La communauté BÉPO vous expliquera cela dans les détails.

Mes premières impressions

Si les premières minutes sont horribles, celles qui suivent sont juste terribles. Il faut se forcer à bloquer des années de réflexes et pratiques accumulés sur les dispositions AZERTY et QWERTY. Il faut non seulement réapprendre à (correctement) taper au clavier, mais aussi à utiliser les bons caractères typographiques (apostrophes, tirets quadratins, etc). Au bout de 24 heures, j’ai pris mes repères; après 48 heures je commence à taper des mots de passe et quelques mots sans trop hésiter. Je sens qu'il va me falloir plusieurs semaines pour retrouver une vitesse de frappe acceptable.

Je suis surtout lent, effroyablement lent. Mais dès les premières secondes j’ai bien ressenti l’intérêt de la disposition BÉPO : mes doigts se déplacement beaucoup moins et les voyelles sont à une place extrêmement pratiques. En fait, je peux taper des bouts de phrases entiers sans quitter la rangée médiane. C’est impressionnant.

Passage en clavier BÉPO du portable

Les principaux problèmes que je rencontre sont :

  • les raccourcis clavier : leur usage est tellement systématique et ancré que « déplacer » un ^C ou un ^Z est une véritable douleur
  • VIM : au secours, il faut tout réapprendre ! dd, I et autres ont changé de place (ou plus exactement, ce sont les touches qui ont changé). C’est totalement désespérant de se sentir trahir par son éditeur de texte.
  • les commandes du shell : taper « xi » à la place de « cd » est crispant. Heureusement, les touches à la place de « rm » sont « on »; ça évite les mauvaises surprises…

Globalement, si la rédaction de texte se passe plutôt bien, j’éprouve de réelle difficultés avec tout ce qui est usage technique des touches : programmation, administration, etc. Mais de gré ou de force, mes doigts vont s’habituer. La seule question étant alors « en combien de temps ? ». Comme les vacances d'été commencent, j’espère être au point pour la rentrée.

Procédure à suivre

Ce que j’ai fait :

1) installer le paquet console-data avec les réponses : « Choisir un codage clavier pour votre architecture », « dvorak », « Standard », « Dvorak French Bepo (UTF8) »

2) spécifier la keymap dans /etc/default/keyboard :

XKBMODEL="latitude" # spécifique à mon portable, sinon pc105
XKBLAYOUT="fr"
XKBVARIANT="bepo"
XKBOPTIONS="lv3:ralt_switch,compose:lwin,terminate:ctrl_alt_bksp"

3) pour dire que je veux la keymap dans l’initramfs, ajouter dans /etc/initramfs-tools/initramfs.conf :

#
# KEYMAP: [ y | n ]
#
# Load a keymap during the initramfs stage.
#

# pour avoir la carte Bépo le plus tôt possible
# (voir /etc/console/boottime.kmap.gz ou /etc/console-setup/cached.kmap.gz)
KEYMAP=y

4) générer un nouvel initramfs pour empaqueter le tout : update-initramfs -uv

5) redémarrer

aucun rétrolien

mercredi 15 juin 2011

Compte-rendu d'ITS2011

Par Damien Clauzel, mercredi 15 juin 2011. Compte-rendus de déplacement

Contexte

Du 6 au 8 juin 2011, j'ai participé au congrès international ITS2011 sur la thématique de la mobilité intelligente : les systèmes d'informations pour le transport durable des biens et des personnes en région urbaine. Pour faire simple, il s'agit d'ajouter de l'intelligence dans les transports en ville via l'informatique.

The main focus of the Congress will be "Intelligent mobility - ITS for sustainable transport of persons and goods in urban regions", paying particular attention to the following topics:
  • Co-modal urban transport management
  • Electromobility
  • From cooperative systems to integrated mobility services
  • From smart concepts to successful implementation
  • Governance and business issues
  • Information and communication: providers and users
  • ITS for adaptive and resilient cities

Le congrès était fréquenté par trois types de personnes :

  • les Décideurs Stratégiques, habillés de somptueux costumes, venus pour faire la promotion de leurs entreprises et discuter avec les élus locaux et les représentants du gouvernement;
  • les commerciaux, habillés de moins beaux costumes, étaient présents pour vendre les services de leurs entreprises;
  • les ingénieurs, habillés de chemisettes, s'occupaient de tenir les stands, d'assurer les démonstrations et de répondre aux questions.

Vous l'aurez compris, pas d'informaticiens-barbus, ni de techno-wiz en t-shirt. Les scientifiques présents, via les programmes de la commission européenne, s'étaient réfugiés dans des salles à part pour travailler. À côté des hôtesses en tailleur de chez Orange, j'ai donc régulièrement attiré l'attention. Heureusement que le stand de l'ITS France (avec sa machine à café) était plus accueillant : il servait de point de ralliement aux chercheurs.

Quelques éléments du congrès

Orange Business Services : rien d'intéressant, Orange se focalise sur son modèle économique historique : vendre de la bande-passante. Développement de petites applications pour terminaux mobiles afin d'accéder aux réseaux sociaux tout en roulant (vocalisation de statuts Facebook, reconception d'interface web, etc)

Véhicule électrique de Mia, avec instrumentation par Orange

Véhicule électrique de Mia, avec instrumentation par Orange

Renaud Truck propose des logiciels pour assister les professionnels de la route. L'idée est de croiser des outils de géolocalisation, de capture d'image et de transmission de données afin de proposer des facilités aux besoins spécifiques des chauffeurs (capture de preuve sur l'état de la cargaison, par exemple). Également, des outils de calcul d'itinéraires et de tournées adaptés aux contraintes des camions (taille, poids, manœuvrabilité, réglementation, etc).

Ailleurs, rien d'intéressant : des voitures équipées de « tableaux de bord intelligents » (comprendre : qui intègre les capteurs de recul au lieu d'avoir un écran déporté), des systèmes d'analyses vidéo pour repérer et quantifier les embouteillages, des récepteurs satellites en veux-tu en voilà couplés à des bases de données privées… En dehors de quelques prototypes industriels sympathiques (drone aérien ou simulateur de conduite), rien d'innovant mais plutôt des intégrations de technologies existantes.

La vidéosurveillance est en très forte augmentation. Les arguments avancés sont des besoins en image de points stratégiques pour la congestion des transports et la sécurité des personnes, mais en pratique rien n'empêche l'usage parallèle des images pour la surveillance des personnes.

Dispositif de vidéosurveillance urbaine

Dispositif de vidéosurveillance urbaine

Niveau recherche, l'accent était mis sur les calculs d'autonomie des véhicules électriques. En fonction de l'usage (vitesse, charge, chauffage, musique, etc) et de l'environnement (qualité asphalte, vent, température) la tension de la batterie évolue différemment. D'où des besoins en analyses et prédictions des usages. Des idées de croisement des informations (trafic, météo, etc) des opérateurs de routes avec celle de la voiture pour affiner les calculs.

Aussi, des questions d'ergonomie : il faut utiliser des grandeurs utiles (kilomètres ou minutes restants) et pas abstraites (joules, watt, etc) qui ne donneraient pas d'info « utiles ».

Ce que je retiens du congrès

Un véhicule doit forcément être électrique, les autres technologies (gaz, pétrole, etc) ne sont même pas évoqués. En discutant avec les ingénieurs, on se rend compte que tout le monde est déjà passé dans l'après-pétrole au niveau des transports. Selon les cycles de vie des technologies (par exemple, 10 ans pour les camions), les avancés sont plus ou moins visibles, mais la solution des véhicules hybrides est évacuée : l'avenir est purement électrique; conserver 2 approches est trop coûteux.

L'expression clé du congrès était « interopérabilité ». Comprendre « interopérabilité technique », c'est à dire comment on peut interconnecter différents systèmes pour les faire travailler ensemble. Par exemple, pour croiser les informations de la ville sur l'encombrement des routes, le remplissage des stations Velo'v et les bus des TCL.

L'idée est très bonne, à un détail majeur près : PERSONNE n'est motivé pour ouvrir les données de ses systèmes. Donc chacun se regarde en chien de faïence, et rien n'avance sauf en dehors de « partenariat stratégique ». L'expression « open data » revient souvent, portée comme étant LA solution, mais dès qu'il s'agit d'ouvrir ses systèmes les entreprises refusent. Le problème est que les directions commerciales n'ont aucune réelle idée sur comment valorisée les données provenant de leurs systèmes, et que les directions juridiques bloquent de peur de se prendre des procès pour avoir exporter des données personnelles.

Drone radiocommandé de vidéosurveillance

Drone radiocommandé de vidéosurveillance

Le libre n'est jamais spontanément évoqué dans les discussions, en partie à cause du fait que les dirigeants ne sont pas au courant de ce genre d'approche. En revanche, les ingénieurs sont très intéressés (et même impliqués), le problème étant les politiques des entreprises qui bloquent sur les évolutions du droit d'auteur. De nombreuses réalisations présentées durant le congrès s'appuient sur le libre (serveurs, techno, etc) mais cela n'est jamais évoqué; un démonstrateur (commercial) a même eu l'air gêné quand j'ai posé la question à son « expert technique ». Il faut croire que c'est mal vu dans le domaine du transport.

La cérémonie d'ouverture était aussi longue qu'ennuyeuse, encombrée par des discours d'hommes politiques (oui, pas de femmes dans le transport) qui sont repartis aussitôt après être intervenus. Gérard Colomb et Jean-Jack Queyranne aiment bien mettre en valeur ce qu'ils disent faire en matière de transport, mais acceptent rarement d'en débattre avec des citoyens et des chercheurs; on se demande pourquoi… Ah si, je sais en fait : les TCL sont exécrable en matière de transport en commun, et personne n'ose faire quoi que ce soit. Sans parler de l'absence de réflexion sur les infrastructures de transport dans le projet du Grand Stade lyonnais.

Le buffet qui a suivi la cérémonie d'ouverture était quelconque : champagne bas de gamme pas assez frais, jus de fruits reconstitués, et petits-fours tellement gras qu'ils luisaient de mille feux sous les lumières. Heureusement que les canapés à la sauce de Roquefort ont sauvé les meubles.

Bonus

Mes photos sont sur Flickr.

Vidéo improvisée d'interludes artistiques durant la cérémonie d'ouverture. WTF ?! Première fois que je vois cela à un congrès technologique.


Performances du Gang des girafes durant la cérémonie d'ouverture de ITS2011

aucun rétrolien

dimanche 29 mai 2011

Positionnement technique sur la nature et le statut de l'adresse IP

Par Damien Clauzel, dimanche 29 mai 2011. Idées et réflexions

En lien avec mon positionnement sur la vie privée et celui sur l'adresse IP, je détaille mon argumentation sur l'aspect technique de l'adresse IP.

Mon approche est de traiter l'adresse IP comme une série de chiffres et de lettres, qui ne peut pas constituer une donnée nominative relative à la personne. Sans volonté forte d'établir un lien entre une adresse IP et un individu précis, l'adresse IP ne conserve que son sens de données technique, qui est sa nature intrinsèque; c'est uniquement le législateur qui souhaite lui imposer en outre une fonction nominative.

L'adresse IP désigne un dispositif technique et pas un être humain

Adresse IP Adresse IP

Une adresse IP ne se rapporte qu'à un dispositif technique, et non pas à un individu qui l'utilise pour se livrer à une activité. Plus exactement, une adresse IP est associée à une IR sur un ordinateur. L'humain n'est pas nécessairement situé physiquement près de cet ordinateur, ni même utilisé par lui directement. Le lien « une adresse IP = un humain » est alors des plus acrobatiques.

S'il était vrai il y a encore dix ans qu'une adresse IP permettait de faire le lien entre une personne et un ordinateur d'une façon très fiable, ce n'est plus le cas de nos jours. Les pratiques et les technologies ont évoluées suffisamment pour aboutir à un découplage toujours croissant entre l'adresse IP et une personne se trouvant en bout de la chaîne de communication. Regardons cela en détail.

Adressage IP dynamique

Le principe de l'adressage dynamique d'adresses IP est une approche technique historiquement utilisée en France, qui permet de maximiser l'exploitation d'un pool d'adresses IP pour des sessions intermittentes de différentes personnes. Mais ce n'est pas le seul cas où elle est présente.

Dans le cadre d'une connexion via un PPP, une adresse IP est assignée à chaque session de connexion. Le FAI peut ou non conserver une trace de chaque adresse distribuée. Toute nouvelle session de connexion entraîne donc la possibilité (sans en avoir la certitude[1]) de se voir attribuer une nouvelle adresse IP. Une adresse IP précise est par conséquent « partagée » par plusieurs sessions de connexion, et donc potentiellement plusieurs ordinateurs et utilisateurs.

Pour lier l'adresse IP dynamique à une IR, il faut rechercher la session concernée où elle est utilisée. Il devient nécessaire de regrouper plusieurs informations qui n'existent pas toujours : la date et heure, l'identifiant de la liaison (télécom ou autre) vers le FAI,

Translation d'adresses

Structured Wiring Structured Wiring

Une adresse publique IPv4 coûte cher[2]. Quand il s'agit pour une structure de monter son réseau informatique, avec des postes devant accéder à internet, il est très souvent fait appel à des méthodes, telles le NAT, qui permettent de diminuer les coûts. Le partage d'adresse IP publique est l'une d'entre elles.

Le principe est de rassembler les ordinateurs sur un réseau local à la structure, et d'établir une liaison entre ce dernier et le FAI via une passerelle. Chaque ordinateur du réseau local « voit » alors l'ensemble des machines, mais les agents extérieurs ne peuvent dialoguer directement qu'avec la passerelle. Vu de l'extérieur, il n'y qu'une seule IR dans la structure, ce qui ne permet pas d'identifier une ressource précise sur le réseau local.

Pour lier l'adresse IP à un IR derrière un NAT, il faut interroger les services qui réalisent la translation d'adresses IP. Il devient nécessaire de regrouper plusieurs informations qui n'existent pas toujours : la date et heure, l'identifiant de la liaison (adresse MAC par exemple), etc. Mais cette corrélation n'est pas dépourvue d'incertitudes car ces informations elles-mêmes peuvent être dynamiques.

Réseau privé

Dans les grandes structures il est courant que les connexions à internet se fassent au travers d'un VPN, et ce pour des raisons de sécurité (chiffrement des transactions), d'extranet sur multisite ou encore de besoin de structuration logique des systèmes.

Pour lier l'adresse IP à un IR derrière un VPN, il faut employer la même approche que pour un NAT : interroger les services qui réalisent l'opération. Il est nécessaire de regrouper plusieurs informations qui n'existent pas toujours : la date et heure, l'identifiant de la liaison (adresse MAC, adresse IP locale au réseau interne), etc. Mais cette corrélation n'est pas dépourvue d'incertitudes car ces informations elles-mêmes peuvent être dynamiques.

IPv6

L'IPv6, en plus d'apporter une multitude de nouvelles d'adresses IP disponibles, introduit de nouvelles capacités dans les interconnexions réseau. Par exemple, la possibilité d'assigner plusieurs adresses IP à la même IR, d'en changer dynamiquement, ou encore de définir des routes précises à suivre.

La façon de lier une adresse IPv6 à une IR est actuellement flou, car les pratiques sont encore en cours d'élaboration. L'IPv6 fait appel à une collection de technologies qui permettent l'interconnexion dynamique de systèmes, avec des techniques natives de routage avancé. Plusieurs méthodes utilisées pour l'IPv4 sont envisageables mais doivent être validées; et elles apporteront au plus le même niveau de certitude que pour l'IPv4 (à savoir : faible).

Wifi ouvert

De plus en plus, l'accès à internet est pensé comme un des droits fondamentaux du citoyen. Également, la numérisation croissante de la société pousse à la dématérialisation des administrations et des entreprises. Le résultat est un besoin accru d'accéder à internet tout au long de la journée et de la vie. Il y a 3 familles d'acteurs dans l'approche du wifi ouvert.

  • les entreprises : bars, restaurants et autres lieux de commerce proposent à leur clients des connexions sans fil à internet
  • les collectivités : bibliothèques, wifi urbains (tel Paris Wifi)
  • les particuliers :

WiFi ouvert

Les connexions à internet, via un wifi ouvert, ne sont pas liées à l'identité d'une personne : aucun contrôle d'identité n'est fait part du fournisseur de service (la loi l'interdit). Il est donc impossible de lier une adresse IP à une IR.

Accès mobile (roaming)

L'essor des terminaux mobiles (téléphone, tablette, etc.) a non seulement augmenté le nombre de dispositifs en ligne, mais également leurs profils de connexion. Ces terminaux, contraints par l'environnement urbain, passent leur temps à se connecter à des points d'accès, à s'en déconnecter, reconnecter, et à basculer de l'un vers un autre.

Ces profils de connexion, qui peuvent être extrêmement dynamiques, sont gérés de façon différentes au niveau technologique, ce qui implique différentes approches pour associer une adresse IP à une IR. Les accès étant réalisés via des abonnements commerciaux, c'est plutôt vers eux que se fait l'identification de la personne, et non pas au niveaux des terminaux.

Proxies avec antémémoire

Surtout utilisé dans les grandes structures sur des ressources externes fréquemment consultées, les proxies avec antémémoire permettent de ramener une copie locale de ressources distances. Lors de la demande de consultation des ressources, le proxy sert la copie locale au lieu d'effectuer un transfert vers internet.

Des exemples d'utilisation de proxies avec antémémoire :

  • il est courant pour des universités d'effectuer quotidiennement un cache miroir de sites web d'actualité (Le Monde, New-York Times…)
  • mise à jour de logiciels informatique : chaque machine du réseau local ramène les données depuis le cache local au lieu d'aller les prendre sur internet, ce qui encombre la bande passante vers le FAI.

Vu de l'extérieur, les connexions à des services sont effectuées depuis le proxy, et non pas depuis l'ordinateur d'un utilisateur. La situation est alors celle d'un réseau derrière un NAT : l'identification ne peut se faire directement, il faut croiser les données de plusieurs services.

Proxies d'identification

Digital Identity Digital Identity

Les proxies d'identification sont utilisés pour se connecter à des ressources en accès restreint (par exemple, des publications scientifiques sous licence commerciale). Les accès sont accordés au niveau du serveur pour une plage d'adresse IP données (université, entreprise, etc). Afin de pouvoir accéder au service, il faut alors le faire depuis une adresse IP autorisée. Cela ne pose pas de problème quand on est sur le site, mais lors d'un déplacement (conférence, télétravail, etc) l'accès à la ressource n'est pas possible. Passer par un proxy situé dans la plage d'adresses IP autorisées permet de résoudre ce problème.

Comme pour un proxy avec antémémoire, l'adresse IP visible depuis l'extérieur est celle du proxy, et non celle de l'IR de la machine de l'humain. La situation est alors celle d'un réseau derrière un NAT : l'identification ne peut se faire directement, il faut croiser les données de plusieurs services.

Outils d'anonymat

Différents outils sont actuellement utilisés pour protéger l'identité des utilisateurs sur internet. On peut citer notamment :

  • TOR : outil de proxy anonymé
  • GNUnet : système de proxy anonymé pour transferts de pair à pair
  • Freenet : système de publication et consultation décentralisé, anticensure, avec redondance
  • I2P : outil de transfert de pair à pair sécurisé et anonymé
  • MixMaster : outil de courrier électronique anonymé

Naturellement, toute tentative d'identification est vouée à l'échec. Lier une adresse IP a une IR n'a pas de sens au regard de ces outils. De plus, pour certain il est même impossible d'affirmer qu'un utilisateur les a utilisé ou non; le doute est alors grand quand il s'agit de lier une personne à un transaction informatique.

Conclusion

Au regard de tous les impacts qu'ont les dispositifs actuels de routage informatique sur l'adresse IP, il me semble dangereux de statuer sur la valeur nominative de l'adresse IP : cela entraîne des fausses identifications et donc des accusations portées à tord.

Le réel danger pour l'anonymat de l'utilisateur n'est pas dans l'utilisation de son adresse IP (nous avons vu que cela était beaucoup trop aléatoire), mais dans le traitement de son profile. Chaque individu à une façon propre d'utiliser un système informatique (site web, application, etc). En analysant le comportement d'un utilisateur sur un site web, on peut en dresser un profile de navigation. L'utilisateur peut ensuite changer d'adresse IP, d'ordinateur et même de pays, il sera toujours identifiable par la façon dont il navigue sur le site web.

Plus intéressant : il est possible d'identifier ce même utilisateur sur un autre site web, en y appliquant son profile d'usage. Même sous des identités différentes, depuis des connexions différentes, il est possible d'établir un lien entre les 2 comptes car le profile d'usage sera le même. Et ceci se réalise entièrement sans utiliser l'adresse IP.

Encore plus intéressant : ces profiles d'utilisations peuvent permettre de « prédire » le comportement des utilisateurs sur des sites web qu'ils n'ont pas encore visité, de suggérer des publicités ciblées, de reconstruire des réseaux d'amis, etc.

Donc vouloir protéger son anonymat en sacralisant l'adresse IP n'a pas de sens : cette série de chiffres et de lettres ne porte aucune information nominative ni personnelle. Les informaticiens eux-même ne s'appuient plus dessus pour identifier les utilisateurs sur leurs systèmes, la justice doit faire de même durant ses enquêtes.

En revanche, il est beaucoup plus important de légiférer sur le profiling : dans quelles conditions peut-il être effectué ? Jusqu'à quel point ? Comment doit-on gérer les profiles créés ? Comment intégrer l'utilisateur dans leur cycle de vie et leur utilisation ? Ce sont là des questions beaucoup plus délicates que le statut de l'adresse IP car elles concernent des données complexes qui, pour le coup, traitent directement de l'être humain dans ce qu'il a de plus profond : la nature de sa pensée.

Notes

[1] le hasard, en informatique, on sait ce que c'est… Une personne qui se reconnecte immédiatement après une déconnexion peut se voir attribué la même adresse IP pour différentes raisons : c'est la seule de disponible (le pool est chargé), l'algorithme applique une méthode de tri et la demande est au « mauvais » endroit de la liste, le serveur donne la priorité au réadressage des adresses précédentes, etc.

[2] Microsoft rachète 666 624 adresses IPv4 pour 7,5 millions de dollars

aucun rétrolien

samedi 7 mai 2011

Positionnement sur la nature et le statut de l'adresse IP

Par Damien Clauzel, samedi 7 mai 2011. Idées et réflexions

En lien avec mon positionnement sur la vie privée, je prend aussi position sur la nature et le statut de l'adresse IP.

Rappel sur l'IP

Une adresse IP est une série de chiffres et de lettres qui permet de contacter un dispositif informatique au travers d'un réseau, via une méthode de communication spécifique (protocole IP). Ainsi, tous les ordinateurs connectés à internet ne sont pas obligatoirement désignés par une adresse IP; ils le sont en revanche dans l'immense majorité des cas, mais pas de façon unique : un ordinateur a souvent plusieurs adresses IP qui permettent de le joindre et ces adresses peuvent changer [1].

Ce que (ne) dit (pas) la loi

Juridiquement, le statut de l'adresse IP est incertain : tantôt un juge la traite d'un manière, tantôt un autre la classe différemment. D'où un flou qui n'arrange personne en cas de dépôt de plainte [2].

Ainsi, pour la justice l'adresse IP est actuellement :

  • soit une donnée purement technique qui ne porte pas de valeur particulière et sert uniquement à l'interconnexion des équipements;
  • soit une information nominative qui permet d'identifier une personne derrière un ordinateur;
  • soit quelque chose entre les deux, une sorte de données technique qui peut devenir une fiche d'identité au travers d'un traitement adapté et en liaison avec d'autres données.

En résumé : il y a donc une grande incertitude sur le statut de l'adresse IP en France, ce qui ouvre la porte à toutes sortes de problèmes, mais aussi à des possibilités d'utilisation.

Networking 101 Networking 101

La question de savoir si l'adresse IP permet d'identifier (ou non !) la ou les personnes qui ont utilisé un ordinateur ordinateur est critique, car elle permet le traitement judiciaire : seule l'autorité légitime pour poursuivre l'enquête (police ou gendarmerie) pour obtenir du fournisseur d’accès l'identité de l'utilisateur

En effet, l'adresse IP est une série de chiffres et de lettres qui ne constitue en rien une donnée indirectement nominative relative à la personne dans la mesure où elle ne se rapporte qu'à une machine, et non à l'individu qui utilise l'ordinateur pour se livrer à une activité.

On a donc bien une différence entre l'identification d'une machine, et l'identification d'un humain. La mise en relation n'est pas automatique et doit être prouvée.

Lorsqu'on lis le Décret n°2011-219 du 25 février 2011 « relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne », ce n'est pas plus clair pour autant : si les particuliers, associations et autres n'ont pas le statut juridique de « fournisseur d'accès à internet » (qui est soumis à une autorisation de l'ARCEP), ils n'ont pas non plus nécessairement le statut juridique d' « hébergeur » (les critères sont bordéliques). La loi n'apporte donc pas réponse aux questions posées.

Je comprend la loi comme disant entre les lignes que l'IP n'est pas juridiquement classée comme une donnée d'identification nominative, et n'est donc pas pas soumise à un encadrement spécifique pour les particuliers et associations.

Les logs, en pratique

Dans le cadre des services informatiques sur internet, il est habituel que ceux-ci conservent des enregistrements sur leurs activités et les dispositifs avec lesquels ils interagissent : ce sont les « logs ».

Techniquement, un log est juste une trace numérique que l'on défini comme on veut. Il n'y a donc pas un seul format de log, mais une multitude ayant des natures et contenus différents. Un même service peut conserver des enregistrements des interactions homme-machine et machine-machine sous plusieurs formes plus ou moins explicites. Pour parler de log, il faut donc bien le préciser.

Person Network Person Network

Le mot log ne doit pas être tabou de la discussion sur la vie privée en le classant immédiatement comme pratique intrusive; il est indispensable au bon fonctionnement du net, car le log constitue la mémoire de travail des services. Sans log, toute l'informatique navigue à vue.

Dans le cadre d'un log d'apache au format combiné, je comprend que le log est anonyme, vis à vis de la loi, car l'adresse IP n'est pas une donnée qui permet à elle seule d'identifier un individu.

Ce qui me laisse perplexe, c'est la double valeur que des gens prêtent à une adresse IP. Je constate les deux discours suivants :

  1. Dans les transferts par BitTorrent, on ne peut pas identifier l'utilisateur car une IP n'est pas une personne, c'est une simple information technique pour faire circuler les données; elle peut être falsifiée, détournée, contrefaite…
  2. Dans les logs de services web (ou autres tels que le courriel), on peut identifier l'utilisateur par son adresse IP, car c'est une information nominative.

D'où ma remarque : il faut être cohérent et se poser les questions suivantes :

  • supposément, qu'est-ce qui oblige à anonymer les logs d'un serveur web ?
  • supposément, qu'est-ce qui interdit de publier les logs, anonymés ou non, d'un serveur web ?
  • un particulier ou une association mettant en ligne un site web non-participatif (c'est à dire que les visiteurs ne peuvent pas contribuer à son contenu) sont-ils des « hébergeurs » au sens de la loi ?
  • quels sont les critères qui permettent de qualifier une donnée comme étant nominative ou qui permette de réaliser l'identification d'une personne ?

Réflexion dans le cadre du Parti Ꝓirate

Le Parti Ꝓirate (PꝒ) a pris position sur le fait que l'adresse IP n'est pas une donnée nominative qui permet d'identifier la personne qui télécharge via BitTorrent. Il me semble donc logique de conclure que l'adresse IP n'est pas, pour le Parti Ꝓirate, une donnée nominative qui permet d'identifier une personne se connectant à un service web.

Le fait est que, pour qu'il y ait publication, il faut auparavant qu'il y ait collecte.

Prenons le cas du PꝒ qui, très probablement (on va dire que oui si ce n'est pas le cas) conserve un log des transactions sur son serveur web.

Est-ce que je peux demander au PꝒ de consulter et supprimer de ce log toutes les informations personnelles qui me concerne ? Bien sur, c'est ce que la loi liberté et informatique de 1978 me garanti. En revanche, le PꝒ va très certainement me répondre « on veut bien, mais on ne peut pas : on n'a pas de données personnelles sur toi ».

Qu'à cela ne tienne, je demande alors au PꝒ de me dire tout ce qui concerne l'adresse IP de mon ordinateur (par exemple, 82.239.197.205). Et là, le PꝒ me répond « heu, qu'est-ce qui me prouve que c'est bien toi derrière cet ordinateur, et pas quelqu'un d'autre ? Et même si c'est le cas, vous n'êtes pas plusieurs dans ton foyer à utiliser cet ordinateur ? ». Godferdom ! Est-ce que le PꝒ refuserait de se plier à la loi ? Non, il ne fait que l'appliquer strictement, car la loi ne l'oblige pas de communiquer tout ou une parti des log de son serveur web.

Si la collecte d'adresse IP est obligatoire à différents niveaux pour plusieurs raisons, la publication de log anonyme de serveur web est donc bien un choix que l'on peut faire, ou pas.

Conclusion

À mon sens, cette mise à disposition d'informations est neutre sur l'usage : un individu peut s'en servir pour faire de la recherche scientifique (ce qui est légal), pour assurer de façon neutre le bon fonctionnement des systèmes informatique (c'est souhaitable), mais pas pour espionner une personne (c'est illégal). Le PꝒ n'endosse pas ici le rôle du législateur qui fait la loi, du juge qui l'arbitre, ou du policier qui la fait appliquer. Il se borne à faire ce qu'il veut, dans le cadre de cette loi.

De la même façon qu'on n'interdit pas la vente des couteaux en supermarché sous prétexte que quelqu'un pourrait faire quelque chose de mal avec, il ne faut pas, à mon sens, interdire a priori le partage des données sous prétexte que cela peut être dangereux.

T3 - L'anonymat T3 - L'anonymat

L'argument le plus courant pour refuser le partage des logs d'un serveur web est le droit à l'anonymat. L'adresse IP pouvant être utilisée (au même titre qu'un numéro de téléphone, une plaque d'immatriculation, etc) pour réaliser l'identification une personne, il faut alors la protéger. Je ne suis pas entièrement de cet avis.

S'il était vrai il y a encore dix ans qu'une adresse IP permettait de faire le lien entre une personne et un ordinateur d'une façon très fiable, ce n'est plus le cas de nos jours. Les pratiques (roaming, réseaux ouverts…) et technologies (NAT, IPv6, VPN) ont évoluées suffisamment pour aboutir à un découplage toujours croissant entre l'adresse IP (qui pointe vers un dispositif technique) et une personne se trouvant en bout de la chaîne de communication.

Il me semble dangereux de statuer sur la valeur nominative de l'adresse IP : cela entraîne des fausses identifications et donc des accusations portées à tord, et bride l'innovation en contraignant fortement la collecte et le travail sur des données. L'objectif final étant ici de forcer l'anonymat sur internet, je ne pense pas que ça soit la bonne méthode.

De plus, l'anonymat doit être un choix, garanti par la loi, et non une obligation. Prendre position en faveur d'un anonymat forcé, c'est pour moi vouloir maintenir une conception citadine de la vie privée datant des années 80. Les populations ont changées, les outils et les pratiques aussi, il ne faut donc pas imposer une stagnation législative qui empêche l'accompagnement de la vie.

À lire aussi

Notes

[1] cas de l'IPv6 qui permet d'affecter plusieurs adresses à la même interface

[2] CF les commentaires de Nicolas Herzog et la fiche Jurispédia sur l'adresse IP

8 commentaires aucun rétrolien

- page 7 de 16 -