Damien Clauzel

Depuis la nuit de vendredi à samedi, pour la seconde fois et de la même façon que la précédente, j’ai constaté des opérations frauduleuses sur mon compte bancaire. Il s’agit de cinq opérations par carte bancaire pour 2407,1€ chez différents marchands^[1]. Je réutilise donc ma documentation qui avait bien fonctionné.

Je me rend au commissariat de police pour porter plaine. Le jeune agent qui me reçoit m’écoute : je ne sais pas ce qui s'est passé, ni comment ça a été fait; je constate juste un usage frauduleux de mon compte bancaire. Et bien sûr je fais un usage responsable de mes cartes bancaires : Je les surveille « normalement » quand je paie en boutique, je vérifie le SSL pour les transactions en ligne, etc.

L’agent rédige une main courante, dont je récupère juste le récépissé sans en avoir une copie. Également, cette fois-ci je ne signe aucun papier. La procédure aurait-elle changé ?

En revanche, pas moyen de joindre ma banque — la Banque Postale — sur un numéro non surtaxé. Nous sommes samedi donc les centres financiers sont fermés, et la ligne d’appel en cas de problème me laisse en attente. Ce n’est pas sérieux. J'ai donc du attendre lundi matin pour compléter la procédure.

La Banque Postale propose un service de e-carte bleue qu'elle facture 12,50€/an. Vu qu'en 18 mois 2803,73€ ont été dérobés de mon compte bancaire, il serait beaucoup plus rentable pour elle de me proposer gratuitement ce produit plutôt que de vouloir absolument me le faire payer. Ceci dit, comme elle est responsable de mon argent, les frais liés à sa sécurité ne regardent qu'elle (à condition de ne pas augmenter mes cotisations trimestrielles).

En attendant, je m’apprête à recevoir ma nouvelle carte bancaire, et je ne change rien à mes habitudes.

OVEI ?

J’ai été invité à participer à la première édition d’OVEI, organisée par Bruno Spiquel (expert technique à la HADOPI et entrepreneur) et Laure de La Raudière (députée). L’objectif d’OVEI est de permettre la rencontre informelle entre des élus, hauts responsables d’administrations, et experts techniques de la vie civile. Étaient présentes 59 personnes autour d’un barbecue fédérateur.

J’emploi ici les termes « geeks » et « politiques » pour coller à la terminologie choisie par OVEI. Il serait plus correct de parler d’élus, d’administrateurs, de développeurs, de magistrats, de sysadmins, de chercheurs, etc. Mais faisons simple.

Je suis donc parti de Lyon de bon matin, accompagné de Romain Rivière venant de Genève, pour passer le weekend à Rambouillet. Hasard des choses, nous avons ramassé dans le TER deux « geeks » (en opposition à « politiques » pour cette journée de rencontre) et fini le trajet dans le tank étiqueté de Spyou.

OVEI, en pratique

Lancement de la journée par trois interventions sur :

• l’évolution des moyens de partage des savoirs au travers de l’histoire, et les révolutions de société que cela à engendré;
• internet et sa résilience face aux pannes et à la division, avec en perspective de l’autonomie;
• le droit de réponse, puis le droit au secret dans les affaires publiques.

Discussion sur les questions de droit au secret dans les affaires publiques.

Discussion à propos du droit de réponse sur internet :

• problème de la législation française dans un internet structurellement transnational
• pertinence de la législation actuelle :
  • internet autorise la publication personnelle sans restriction ni filtrage, contrairement aux médias unidirectionnels tels que la presse papier et la télévision où la publication est liée à l’acceptation par un directeur des contenus éditoriaux
  • la publication peut être réalisée via des outils décentralisés ou qui ne permettent techniquement pas d’y associer une publication tierce^[1]; comment alors gérer un droit de réponse obligatoire ?
• introduction de la notion de « même médium » pour appliquer le droit de réponse : publication sur un « espace de communication » → réponse au même endroit. Problème de la définition d’ « endroit » (mashup de données externes) et de mise en pratique.

Ma réflexion actuelle est que le droit de réponse, défini initialement par la loi de 1881, n’est pas adapté à internet qui a une approche multidirectionnelle sans barrières. Là où la loi originale permettait à une personne de bénéficier d’une garanti de prise de parole « juste » quand elle était nominalement concernée, internet met sur un pied d’égalité chacun en lui permettant de s’exprimer; cet aspect du droit de réponse perd alors son sens.

En revanche, internet introduit possiblement une différence sur l’exposition : certaines publications ont plus de visibilité que d’autres; comment alors garantir à un droit de réponse une diffusion semblable à la publication originale, sachant qu’on ne peut pas obliger les gens à consulter une ressource^[2]. Tiens, d’ailleurs si l’auteur était anonyme ou que la publication avait lieu hors de la juridiction française, on ferait quoi ?

Discussion sur le grand banditisme sur internet :

• montée en puissance de l’argent liquide numérique anonyme (bitcoin, carte VISA prépayée)
• problème de l’insuffisance des compétences chez les enquêteurs et les juges face à l’évolution des technologies et des pratiques.
• partage d’anecdotes sur la rencontre informaticien + numérique + police.

Discussion sur le TLD rebelle et autogéré .42 : intérêts, approches techniques et sociales, conséquences. Pourquoi le faire au juste ? Parce qu’internet permet cette liberté, et en protestation à la politique de gestion de l’ICANN.

Discussion sur la nature et l’approche politique du Parti Pirate. Comparaison avec les Verts à leurs débuts (d’abord en opposition en Allemagne sur les missiles nucléaires, puis conception d’un projet de société).

(On me murmure que des geeks, pour conclure dignement cette journée, ont grassement trollé^[3] des gens de la HADOPI. Je n’ose le croire tellement c’est inconcevable :)

Ce que je retiens d’OVEI

Le concept est validé : une rencontre informelle permet aux différents acteurs de se rencontrer sans pression et de s’apprivoiser. La forme est à ajuster légèrement pour inciter et renforcer les échanges : le cloisonnement est un réflexe fort, probablement en raison de centres d’intérêts trop différents au premier abord.

Les politiques sont arrivés avec des exemples très précis de problèmes qui les touchent directement, principalement liés à leur image et activité publique. Les geeks sont arrivés les mains dans les poches et la bouche en cœur, appâtés par la promesse d’un BBQ arrosé gratuit.

Je m’attendais à plus de questions techniques sur le fonctionnement du net et les implications de faisabilités des technologies, mais en fait les discussions ont portées sur des principes de société et de comment il était possible de les imposer sur internet. Cela a fait tiquer les geeks présents qui étaient de culture principalement libertaire.

Les politiques ont une approche très nationale du net, centrée sur sa partie web, et posent comme prémisse que les problèmes qu’ils souhaitent traiter se font au travers de la législation française. Faire remarquer que les acteurs (entreprises ou personnes) qu’ils veulent cibler peuvent se trouver entièrement à l’étranger^[4] (ou même nul part) leur fait grincer les dents car cela les confronte à leur incapacité d’intervention. D’où quelques réactions irritées à base de « on est supposé ne rien faire alors ? »; si j’avais la solution je leur donnerais avec plaisir, mais je ne l’ai pas. Il va falloir qu’ils intègrent le fait qu’on ne peut pas légiférer pour internet comme pour le territoire français, car la police n’a pas les mêmes capacités d’intervention pour y faire appliquer la loi^[5].

Si les politiques ont compris qu’internet est de nature décentralisée et maillée, ils ne l’ont pas nécessairement intégré : le réflexe du Minitel 2.0 n’est jamais très loin.

Le pâté de Chartres, c’est délicieux ! Mais faire un BBQ sur un hippodrome sans viande de cheval c’est un peu de la tromperie sur la marchandise :)

Les politiques peuvent se montrer très chatouilleux face au troll gentil, là où le geek ne voit qu’une occasion de tester des éléments d’argumentation. Ah, la différence de culture… Il est possible que cela soit lié à la pratique régulière par le geek de l’autodérision et de la critique franche pour éviter les ambiguïtés; on peut également songer à l’importance que peuvent attacher les politiques à leurs image publique, là où les geeks seront davantage chatouilleux sur la remise en question de leurs compétences.

Les geeks aiment afficher leurs convictions et étaient facilement identifiables sur leurs natures et leurs activités… à conditions de savoir interpréter leurs déclaration d’appartenance; exemples :

• pin’s π et parle de .42 : membre de la Quadrature du net et participe au projet 42Registry;
• sticker Parti Pirate et t-shirt cypherpunk : travail contre HADOPI et fait la promotion des pratiques cryptographiques.

Les politiques sont difficiles à décrypter au premier regard pour les geeks : qui appartient à quoi, et s’occupe de quels problématiques. En effet, ils ne portent pas de t-shirts à message ;) Un badge serait alors le bienvenu.

Je suis conforté dans mon idée de monter une micro-entreprise pour faire du négoce de bitcoin en France et en présentiel. Juste pour le lulz vis à vis de la législation, et voir ce que veut dire de matérialiser des transactions monétaires structurellement immatérielles.

J’ai énormément apprécié que l’on arrive enfin à rapprocher les politiques des geeks; cela aurait été impossible y a encore 5 ans, comme quoi les choses s’améliorent quand on se donne du mal. Vouloir légiférer sur internet sans écouter les informaticiens est une aberration, surtout quand ce sont eux au final qui le font fonctionner et non pas le législateur.

Compléments

• Mes photos d’OVEI; annotez et taguez à volonté, c'est fait pour;
• mon complément de compte-rendu pour le Parti Pirate.

J’ai passé le clavier d’une de mes machines Ubuntu/natty en disposition BÉPO; la procédure fonctionne aussi pour Debian/stable. La keymap BÉPO est disponible dès le démarrage pour déverrouiller le disque, et dans la console et GDM pour permettre la connexion.

Pourquoi le BÉPO ? La communauté BÉPO vous expliquera cela dans les détails.

Mes premières impressions

Si les premières minutes sont horribles, celles qui suivent sont juste terribles. Il faut se forcer à bloquer des années de réflexes et pratiques accumulés sur les dispositions AZERTY et QWERTY. Il faut non seulement réapprendre à (correctement) taper au clavier, mais aussi à utiliser les bons caractères typographiques (apostrophes, tirets quadratins, etc). Au bout de 24 heures, j’ai pris mes repères; après 48 heures je commence à taper des mots de passe et quelques mots sans trop hésiter. Je sens qu'il va me falloir plusieurs semaines pour retrouver une vitesse de frappe acceptable.

Je suis surtout lent, effroyablement lent. Mais dès les premières secondes j’ai bien ressenti l’intérêt de la disposition BÉPO : mes doigts se déplacement beaucoup moins et les voyelles sont à une place extrêmement pratiques. En fait, je peux taper des bouts de phrases entiers sans quitter la rangée médiane. C’est impressionnant.

Les principaux problèmes que je rencontre sont :

• les raccourcis clavier : leur usage est tellement systématique et ancré que « déplacer » un ^C ou un ^Z est une véritable douleur
• VIM : au secours, il faut tout réapprendre ! dd, I et autres ont changé de place (ou plus exactement, ce sont les touches qui ont changé). C’est totalement désespérant de se sentir trahir par son éditeur de texte.
• les commandes du shell : taper « xi » à la place de « cd » est crispant. Heureusement, les touches à la place de « rm » sont « on »; ça évite les mauvaises surprises…

Globalement, si la rédaction de texte se passe plutôt bien, j’éprouve de réelle difficultés avec tout ce qui est usage technique des touches : programmation, administration, etc. Mais de gré ou de force, mes doigts vont s’habituer. La seule question étant alors « en combien de temps ? ». Comme les vacances d'été commencent, j’espère être au point pour la rentrée.

Procédure à suivre

Ce que j’ai fait :

1) installer le paquet console-data avec les réponses : « Choisir un codage clavier pour votre architecture », « dvorak », « Standard », « Dvorak French Bepo (UTF8) »

2) spécifier la keymap dans /etc/default/keyboard :

XKBMODEL="latitude" # spécifique à mon portable, sinon pc105
XKBLAYOUT="fr"
XKBVARIANT="bepo"
XKBOPTIONS="lv3:ralt_switch,compose:lwin,terminate:ctrl_alt_bksp"

3) pour dire que je veux la keymap dans l’initramfs, ajouter dans /etc/initramfs-tools/initramfs.conf :

#
# KEYMAP: [ y | n ]
#
# Load a keymap during the initramfs stage.
#

# pour avoir la carte Bépo le plus tôt possible
# (voir /etc/console/boottime.kmap.gz ou /etc/console-setup/cached.kmap.gz)
KEYMAP=y

4) générer un nouvel initramfs pour empaqueter le tout : update-initramfs -uv

5) redémarrer

En lien avec mon positionnement sur la vie privée et celui sur l'adresse IP, je détaille mon argumentation sur l'aspect technique de l'adresse IP.

Mon approche est de traiter l'adresse IP comme une série de chiffres et de lettres, qui ne peut pas constituer une donnée nominative relative à la personne. Sans volonté forte d'établir un lien entre une adresse IP et un individu précis, l'adresse IP ne conserve que son sens de données technique, qui est sa nature intrinsèque; c'est uniquement le législateur qui souhaite lui imposer en outre une fonction nominative.

L'adresse IP désigne un dispositif technique et pas un être humain

Adresse IP

Une adresse IP ne se rapporte qu'à un dispositif technique, et non pas à un individu qui l'utilise pour se livrer à une activité. Plus exactement, une adresse IP est associée à une IR sur un ordinateur. L'humain n'est pas nécessairement situé physiquement près de cet ordinateur, ni même utilisé par lui directement. Le lien « une adresse IP = un humain » est alors des plus acrobatiques.

S'il était vrai il y a encore dix ans qu'une adresse IP permettait de faire le lien entre une personne et un ordinateur d'une façon très fiable, ce n'est plus le cas de nos jours. Les pratiques et les technologies ont évoluées suffisamment pour aboutir à un découplage toujours croissant entre l'adresse IP et une personne se trouvant en bout de la chaîne de communication. Regardons cela en détail.

Adressage IP dynamique

Le principe de l'adressage dynamique d'adresses IP est une approche technique historiquement utilisée en France, qui permet de maximiser l'exploitation d'un pool d'adresses IP pour des sessions intermittentes de différentes personnes. Mais ce n'est pas le seul cas où elle est présente.

Dans le cadre d'une connexion via un PPP, une adresse IP est assignée à chaque session de connexion. Le FAI peut ou non conserver une trace de chaque adresse distribuée. Toute nouvelle session de connexion entraîne donc la possibilité (sans en avoir la certitude^[1]) de se voir attribuer une nouvelle adresse IP. Une adresse IP précise est par conséquent « partagée » par plusieurs sessions de connexion, et donc potentiellement plusieurs ordinateurs et utilisateurs.

Pour lier l'adresse IP dynamique à une IR, il faut rechercher la session concernée où elle est utilisée. Il devient nécessaire de regrouper plusieurs informations qui n'existent pas toujours : la date et heure, l'identifiant de la liaison (télécom ou autre) vers le FAI,

Translation d'adresses

Structured Wiring

Une adresse publique IPv4 coûte cher^[2]. Quand il s'agit pour une structure de monter son réseau informatique, avec des postes devant accéder à internet, il est très souvent fait appel à des méthodes, telles le NAT, qui permettent de diminuer les coûts. Le partage d'adresse IP publique est l'une d'entre elles.

Le principe est de rassembler les ordinateurs sur un réseau local à la structure, et d'établir une liaison entre ce dernier et le FAI via une passerelle. Chaque ordinateur du réseau local « voit » alors l'ensemble des machines, mais les agents extérieurs ne peuvent dialoguer directement qu'avec la passerelle. Vu de l'extérieur, il n'y qu'une seule IR dans la structure, ce qui ne permet pas d'identifier une ressource précise sur le réseau local.

Pour lier l'adresse IP à un IR derrière un NAT, il faut interroger les services qui réalisent la translation d'adresses IP. Il devient nécessaire de regrouper plusieurs informations qui n'existent pas toujours : la date et heure, l'identifiant de la liaison (adresse MAC par exemple), etc. Mais cette corrélation n'est pas dépourvue d'incertitudes car ces informations elles-mêmes peuvent être dynamiques.

Réseau privé

Dans les grandes structures il est courant que les connexions à internet se fassent au travers d'un VPN, et ce pour des raisons de sécurité (chiffrement des transactions), d'extranet sur multisite ou encore de besoin de structuration logique des systèmes.

Pour lier l'adresse IP à un IR derrière un VPN, il faut employer la même approche que pour un NAT : interroger les services qui réalisent l'opération. Il est nécessaire de regrouper plusieurs informations qui n'existent pas toujours : la date et heure, l'identifiant de la liaison (adresse MAC, adresse IP locale au réseau interne), etc. Mais cette corrélation n'est pas dépourvue d'incertitudes car ces informations elles-mêmes peuvent être dynamiques.

IPv6

L'IPv6, en plus d'apporter une multitude de nouvelles d'adresses IP disponibles, introduit de nouvelles capacités dans les interconnexions réseau. Par exemple, la possibilité d'assigner plusieurs adresses IP à la même IR, d'en changer dynamiquement, ou encore de définir des routes précises à suivre.

La façon de lier une adresse IPv6 à une IR est actuellement flou, car les pratiques sont encore en cours d'élaboration. L'IPv6 fait appel à une collection de technologies qui permettent l'interconnexion dynamique de systèmes, avec des techniques natives de routage avancé. Plusieurs méthodes utilisées pour l'IPv4 sont envisageables mais doivent être validées; et elles apporteront au plus le même niveau de certitude que pour l'IPv4 (à savoir : faible).

Wifi ouvert

De plus en plus, l'accès à internet est pensé comme un des droits fondamentaux du citoyen. Également, la numérisation croissante de la société pousse à la dématérialisation des administrations et des entreprises. Le résultat est un besoin accru d'accéder à internet tout au long de la journée et de la vie. Il y a 3 familles d'acteurs dans l'approche du wifi ouvert.

• les entreprises : bars, restaurants et autres lieux de commerce proposent à leur clients des connexions sans fil à internet
• les collectivités : bibliothèques, wifi urbains (tel Paris Wifi)
• les particuliers :
  • approche militante (Fonera)
  • approche commerciale (Sputnik)

Les connexions à internet, via un wifi ouvert, ne sont pas liées à l'identité d'une personne : aucun contrôle d'identité n'est fait part du fournisseur de service (la loi l'interdit). Il est donc impossible de lier une adresse IP à une IR.

Accès mobile (roaming)

L'essor des terminaux mobiles (téléphone, tablette, etc.) a non seulement augmenté le nombre de dispositifs en ligne, mais également leurs profils de connexion. Ces terminaux, contraints par l'environnement urbain, passent leur temps à se connecter à des points d'accès, à s'en déconnecter, reconnecter, et à basculer de l'un vers un autre.

Ces profils de connexion, qui peuvent être extrêmement dynamiques, sont gérés de façon différentes au niveau technologique, ce qui implique différentes approches pour associer une adresse IP à une IR. Les accès étant réalisés via des abonnements commerciaux, c'est plutôt vers eux que se fait l'identification de la personne, et non pas au niveaux des terminaux.

Proxies avec antémémoire

Surtout utilisé dans les grandes structures sur des ressources externes fréquemment consultées, les proxies avec antémémoire permettent de ramener une copie locale de ressources distances. Lors de la demande de consultation des ressources, le proxy sert la copie locale au lieu d'effectuer un transfert vers internet.

Des exemples d'utilisation de proxies avec antémémoire :

• il est courant pour des universités d'effectuer quotidiennement un cache miroir de sites web d'actualité (Le Monde, New-York Times…)
• mise à jour de logiciels informatique : chaque machine du réseau local ramène les données depuis le cache local au lieu d'aller les prendre sur internet, ce qui encombre la bande passante vers le FAI.

Vu de l'extérieur, les connexions à des services sont effectuées depuis le proxy, et non pas depuis l'ordinateur d'un utilisateur. La situation est alors celle d'un réseau derrière un NAT : l'identification ne peut se faire directement, il faut croiser les données de plusieurs services.

Proxies d'identification

Digital Identity

Les proxies d'identification sont utilisés pour se connecter à des ressources en accès restreint (par exemple, des publications scientifiques sous licence commerciale). Les accès sont accordés au niveau du serveur pour une plage d'adresse IP données (université, entreprise, etc). Afin de pouvoir accéder au service, il faut alors le faire depuis une adresse IP autorisée. Cela ne pose pas de problème quand on est sur le site, mais lors d'un déplacement (conférence, télétravail, etc) l'accès à la ressource n'est pas possible. Passer par un proxy situé dans la plage d'adresses IP autorisées permet de résoudre ce problème.

Comme pour un proxy avec antémémoire, l'adresse IP visible depuis l'extérieur est celle du proxy, et non celle de l'IR de la machine de l'humain. La situation est alors celle d'un réseau derrière un NAT : l'identification ne peut se faire directement, il faut croiser les données de plusieurs services.

Outils d'anonymat

Différents outils sont actuellement utilisés pour protéger l'identité des utilisateurs sur internet. On peut citer notamment :

• TOR : outil de proxy anonymé
• GNUnet : système de proxy anonymé pour transferts de pair à pair
• Freenet : système de publication et consultation décentralisé, anticensure, avec redondance
• I2P : outil de transfert de pair à pair sécurisé et anonymé
• MixMaster : outil de courrier électronique anonymé

Naturellement, toute tentative d'identification est vouée à l'échec. Lier une adresse IP a une IR n'a pas de sens au regard de ces outils. De plus, pour certain il est même impossible d'affirmer qu'un utilisateur les a utilisé ou non; le doute est alors grand quand il s'agit de lier une personne à un transaction informatique.

Conclusion

Au regard de tous les impacts qu'ont les dispositifs actuels de routage informatique sur l'adresse IP, il me semble dangereux de statuer sur la valeur nominative de l'adresse IP : cela entraîne des fausses identifications et donc des accusations portées à tord.

Le réel danger pour l'anonymat de l'utilisateur n'est pas dans l'utilisation de son adresse IP (nous avons vu que cela était beaucoup trop aléatoire), mais dans le traitement de son profile. Chaque individu à une façon propre d'utiliser un système informatique (site web, application, etc). En analysant le comportement d'un utilisateur sur un site web, on peut en dresser un profile de navigation. L'utilisateur peut ensuite changer d'adresse IP, d'ordinateur et même de pays, il sera toujours identifiable par la façon dont il navigue sur le site web.

Plus intéressant : il est possible d'identifier ce même utilisateur sur un autre site web, en y appliquant son profile d'usage. Même sous des identités différentes, depuis des connexions différentes, il est possible d'établir un lien entre les 2 comptes car le profile d'usage sera le même. Et ceci se réalise entièrement sans utiliser l'adresse IP.

Encore plus intéressant : ces profiles d'utilisations peuvent permettre de « prédire » le comportement des utilisateurs sur des sites web qu'ils n'ont pas encore visité, de suggérer des publicités ciblées, de reconstruire des réseaux d'amis, etc.

Donc vouloir protéger son anonymat en sacralisant l'adresse IP n'a pas de sens : cette série de chiffres et de lettres ne porte aucune information nominative ni personnelle. Les informaticiens eux-même ne s'appuient plus dessus pour identifier les utilisateurs sur leurs systèmes, la justice doit faire de même durant ses enquêtes.

En revanche, il est beaucoup plus important de légiférer sur le profiling : dans quelles conditions peut-il être effectué ? Jusqu'à quel point ? Comment doit-on gérer les profiles créés ? Comment intégrer l'utilisateur dans leur cycle de vie et leur utilisation ? Ce sont là des questions beaucoup plus délicates que le statut de l'adresse IP car elles concernent des données complexes qui, pour le coup, traitent directement de l'être humain dans ce qu'il a de plus profond : la nature de sa pensée.