Journal Le livre blanc du SNEP

Posté par  .
Étiquettes : aucune
0
29
oct.
2007
D'après une dépêche de PCInpact, le SNEP aurait écrit un livre blanc de 146 pages sur le P2P.

Il y préconiserait la mise en place de filtrage.

Bon, rien de nouveau jusqu'ici. Par contre, la suite me semble curieuse :

A la question du filtrage (bien oui, il suffirait de filtrer ses communications pour ne pas se faire prendre), le réponse du SNEP est la suivante :

« Une solution pour traverser les filtres sans être reconnu est de chiffrer les informations nécessaires à la détermination de la signature » note le livre blanc. « Cependant, pour cela, il faut au préalable ouvrir la connexion et mettre en accord les deux correspondants sur des clés de chiffrement communes. Cela laisse le temps de suivre la connexion qui se met en place et de l’identifier. Pour que le chiffrement puisse être réellement opérationnel, il faut que les deux correspondants se mettent d’accord au préalable sur les clefs de chiffrement à utiliser, ce qui limite de nouveau la taille du groupe pouvant utiliser cette solution de traversée des filtres sans être reconnu ».

C'est moi ou c'est eux qui n'ont rien compris au chiffrement ?

Moi qui pensait qu'il suffirait de mettre en place une solution de chiffrement à clés asymétriques pour être tranquille...

Je n'ai maintenant plus confiance dans SSL :-), j'vais arrêter d'acheter sur Internet si tout le monde peut écouter mes transactions...
  • # Allez!

    Posté par  . Évalué à 4.

    N'importe quoi encore une fois...

    A la niche!
    • [^] # Re: Allez!

      Posté par  (site web personnel) . Évalué à 2.

      Je ne suis pas expert en sécurité mais je ne serais pas aussi catégorique. Ce qui est évoqué dans ce texte ressemble beaucoup à ceci:
      http://fr.wikipedia.org/wiki/Attaque_de_l'homme_du_milieu
      • [^] # Re: Allez!

        Posté par  . Évalué à 1.

        Je sais que mon ton est (très) catégorique, mais, j'en ai surtout assez de tout le temps entendre ces pleurnichards me menacer, alors que moi, bonne poire, j'ai des tas et des tas de CD originaux...

        <troll mode="mechant">
        Mais bon, pas achetés à la FNAC, je préfère avoir affaire à des vendeurs compétents.

        Puis, même au niveau de la pop aujourd'hui, j'ai pas encore vu un groupe arriver à la cheville de Niagara...
        </troll>

        Et puis, il faut être honnête : en musique, il est fort probable que "tout" ait été déja fait, en le sens où quand j'entends un riff, quel qu'il soit, j'en retrouve rapidement l'influence, quand ce n'est pas le pillage...
        • [^] # Re: Allez!

          Posté par  . Évalué à 6.

          Mais bon, pas achetés à la FNAC, je préfère avoir affaire à des vendeurs compétents.

          C'est parce que c'est la fnac ? Marrant, moi je les ai toujours trouve tres symas, et ils ont toujours pris le temps de bien repondre a mes questions. Meme pour trouver le CD autoproduit d'un groupe local, j'ai toujours eu la reponse tres rapidement (oui, on trouve des CD autoproduits a la fnac). Il ne faut pas confondre vendeur fnac et vendeur carrefour le type de recrutement n'est pas le meme, et le niveau (general) non plus...

          Mais bon, la fnac, c'est gros et connu, donc c'est forcement de la merde...

          Sinon
          il est fort probable que "tout" ait été déja fait
          , c'est le refrain qu'on entends tous les jours... C'est normale qu'il y ai des influences, l'evolution de la musique est rarement une revolution. Tous les groupes ont eu des influences, et il y a toujours eu qqn pour dire "boaf, ca ressemble a truc, c'est pas nouveau".

          Moi je trouve qu'il y a encore pleins de trucs sympa, surtout sur la scene francaise d'ailleur. Sinon, le nouvel album (de reprises) de Shivaree est sorti (dispo un import ou alors il faut attendre le 5 novembre), et il est vachement bien.
        • [^] # Re: Allez!

          Posté par  (site web personnel, Mastodon) . Évalué à 4.

          Hum... Ce terme "pillage" me gêne assez. On croirait entendre Microsoft parler des malfaisants du Libre, ou bien des majors parler des méchants "pirates" du P2P.

          Je doute qu'on puisse vraiment comparer un artiste qui s'inspire d'autres musiques de pilleurs... et ce même si ce devait être l'artiste le moins original du monde, qui fait de la musique que tu détesterais et qui clairement "copie" le style d'un autre. Un pilleur, il fracasse une entrée (qui peut être une tombe, un magasin, une maison, une église, ou quoi que ce soit), tue éventuellement les pauvres gens sur son passage et vole tout ce qui a de la valeur.

          Alors si quelqu'un n'a pas vraiment d'idées originales, c'est une chose, mais de là à comparer ça à du pillage...
          Un petit texte de Stallman sur les termes à connotation assez forte à éviter: http://www.fsf.org/licensing/essays/words-to-avoid.html
          Je pense qu'on pourrait aisément y ajouter le pillage. En d'autres termes, utiliser ce genre de mot, c'est une forme de FUD.

          En outre je ferais quand même remarquer que le mouvement du Libre repose énormément sur la copie et la reprise. Sauf que nous on appelle cela du partage car on trouve cela plus efficace et agréable de partager. Et ça n'empêche nullement de faire ensuite des programmes très originaux et géniaux... comme ça n'empêche pas un groupe qui aurait de fortes influences musicales de faire pourtant des oeuvres originales très bonnes.

          En fait... je dirais même que la plupart (tous?) des très bons groupes ont des influences très affichées (beaucoup de sites de groupes ont une page "influences" avec la liste des groupes qu'ils aiment. Les interviews de musiciens ont souvent la question "influences", et aucun musicien à ma connaissance ne répond "personne". Et je parle même pas des groupes dont le nom même est un hommage à des influences majeures, comme les Pink Floyd, les Dandy Warhols...). Pour conclure, cette remarque est un peu grosse pour moi, en beaucoup trop de points de vue...

          Film d'animation libre en CC by-sa/Art Libre, fait avec GIMP et autre logiciels libres: ZeMarmot [ http://film.zemarmot.net ]

      • [^] # Re: Allez!

        Posté par  . Évalué à 2.

        L'attaque de l'homme du milieu est déjouée simplement par l'utilisation de tiers de confiances connu (on va citer Verisign), dont les signatures se trouvent dans tous les navigateurs connus... (ex : Édition / Préférences / Avancé / Afficher les certificats / Autorités et tu as la liste de tous les certificats inclus d'office).

        Ton homme du milieu n'aura aucune chance d'obtenir un certificat valide qui correspondra à la signature de la part du tiers de confiance.

        Pour les techno qui n'ont pas de tiers de confiance dans la boucle (SSH, par exemple), tu te dois de valider l'empreinte digitale qui t'es présentée à chaque connexion à une nouvelle machine. On peut envisager d'autres solutions mais il reste peu probable que de simples routeurs puissent trafiquer jusqu'à des pages web où l'on retrouverait en clair ces empreintes.
        • [^] # Re: Allez!

          Posté par  . Évalué à 4.

          Oui, et chaque utilisateur de p2p va se payer un certificat Verisign.
          • [^] # Re: Allez!

            Posté par  (site web personnel) . Évalué à 1.

            Je vois bien The Pirate Bay fournir des certificats :D

            Comme je le disais dans mon précédent commentaire inutile, le man in the middle semble possible et même envisagé par la SNEP vu qu'ils mentionnent justement la faiblesse de l'établissement d'une session chiffrée dont on peut contrôler le réseau (s'ils arrivent à faire passer une loi en ce sens ils peuvent se brancher chez les FAI).
          • [^] # Re: Allez!

            Posté par  . Évalué à 3.

            Un peu facile comme commentaire...

            Aucun serveur SSH (pour reprendre précisément l'exemple que je cite plus haut) ne possède de certificat Verisign (pour la bonne raison que ce n'est pas du tout le fonctionnement de SSH), et pourtant, il y a tout un tas de mécanismes (notamment basés sur les "empreintes digitales") pour éviter ce genre d'attaque. Il est plus que probable que les futurs programmes de partage de fichiers utiliseront ce genre technique...
            • [^] # Re: Allez!

              Posté par  (site web personnel) . Évalué à 3.

              Aucun serveur SSH (pour reprendre précisément l'exemple que je cite plus haut) ne possède de certificat Verisign (pour la bonne raison que ce n'est pas du tout le fonctionnement de SSH)


              Je ne serais pas aussi catégorique. La majorité des serveurs SSH utilisent des clés asymétriques pour l'authentification. Certes, la RFC 4253 (SSH Transport Layer Protocol) ne définit pas de public key algorithm basé sur X.509 mais rien ne l'interdit, au contraire.
              • [^] # Re: Allez!

                Posté par  . Évalué à 2.

                L'idée était en fait de dire que l'on peut se passer de VeriSign pour faire de la cryptographie asymétrique. Après, je ne connais pas la RFC SSH dans ses moindres détails, mais conceptuellement, cela ne me parait pas inenvisageable qu'elle laisse possible l'utilisation des certificats (ou autres émanations) émis par VeriSign.
            • [^] # Re: Allez!

              Posté par  (site web personnel) . Évalué à 2.

              En utilisation p2p, n'est-il pas possible d'établir une connection sur en utilisant un système triangulaire ?

              En gros, le noeud A a ses connections espionner avec du MiM mais il parle au noeud B et C. B et C pouvant communiquer entre eux.

              Donc, si A veut établir une connection sur avec B, est-ce que C communiquant de façon sûr avec B peut devenir tier de confiance ?

              "La première sécurité est la liberté"

          • [^] # Re: Allez!

            Posté par  . Évalué à 1.

            Pas besoin d'avoir recours à Verisign ou autre fournisseur de certificat racine: il suffit qu'un organisme "de confiance" puisse délivrer des certificats, et que les programmes tiers utilisent le certificat racine de cet organisme. Quelqu'un en dessous parlait de piratebay, mais à la limite ça pourrait le faire ;)

            C'est un truc que tu peux tout à fait mettre en place chez toi (entreprise ou autre) d'ailleurs: tu génères un certificat racine autosigné, et avec ce certificat tu génères d'autres certificats pour du https par exemple. Il suffit que tes utilisateurs aient le certificat racine dans leur navigateur, et le tour est joué (certes, ça peut être lourd à mettre en place mais c'est faisable).
  • # Sous-entendu...

    Posté par  . Évalué à 10.

    En gros ils disent que même si le contenu est crypté, on a quand même comme information que tartempion s'est connecté à chmilblick - et qu'ils ne voulaient pas être écouté. Donc c'est louche, sous-entendu : c'est qu'ils ont quelque chose à cacher.
    De là à interdire toute solution de chiffrement, il n'y a qu'un pas que certains aimerait bien faire...
    • [^] # Re: Sous-entendu...

      Posté par  . Évalué à 2.

      Je date sûrement, mais les solutions de chiffrement ne sont-elles pas réglementées (sous entendu interdites au delà d'une certaine efficacité) ?
      Ce qui ne reviens pas à une interdiction mais est quand même limitant.
  • # chiffrement

    Posté par  . Évalué à 10.

    En même temps il est vrai qu'avant qu'un tunnel chiffré soit mis en place il y a tout de même certaines informations qui passent en clair, en particulier des certificats. Donc tu peux savoir que l'ordi A et l'ordi B communiquent ensembles et peut-être même savoir qu'il s'agit d'une communication chiffrée.... ce qui te fait une belle jambe vu que tu n'as plus moyen de savoir ce qu'ils s'échangent, donc impossible de dire si c'est du contenu illégal. Bientôt ils vont réclamer l'interdiction de toute communication chiffrée entre particulier!... (elle serait drôle celle là!)

    Mais bon ils arrivent déjà pas à comprendre les vrais raisons du déclin des ventes de CD. On va pas leur demander de comprendre ces aspects techniques.
    • [^] # Re: chiffrement

      Posté par  . Évalué à 1.

      N'y a-t-il pas de P2P qui utilise un système de rebond pour communiquer ? Plus simplement, pour que A joigne C, A demande à B, B joint C, C communique avec A, donc il est plus complexe de retrouver deux correspondants, sauf à mettre en taule tous les utilisateurs dudit logiciel ? (comment ça je n'y connais rien en sécurité ?)
      Avec un réseau étoffé et un circuit plus complexe, on perdrait sûrement du débit mais en y gagnant en "anonymat"...
      • [^] # Re: chiffrement

        Posté par  . Évalué à 3.

        Sans doute du P2P over Tor ou Freenet, mais bonjour les débits.
        • [^] # Re: chiffrement

          Posté par  (site web personnel) . Évalué à 2.


          # Réception : 10.3 KiB/seconde (sur 100 KiB/seconde)
          # Envoi : 9.11 KiB/seconde (sur 25.0 KiB/seconde)
          # Total reçu : 3.23 GiB (14.2 KiB/seconde)
          # Total envoyé : 3.19 GiB (14.0 KiB/seconde)
          # Envoi utile : 2.39 GiB (10.5 KiB/seconde) (75%)



          # Réception : 27.2 KiB/seconde (sur 100 KiB/seconde)
          # Envoi : 34.0 KiB/seconde (sur 50.0 KiB/seconde)
          # Total reçu : 5.90 GiB (34.8 KiB/seconde)
          # Total envoyé : 6.01 GiB (35.5 KiB/seconde)
          # Envoi utile : 4.07 GiB (24.0 KiB/seconde) (67%)


          Ca c'est les stats de mes 2 nodes freenet pour le mode darknet.

          Pour l'opennet, il n'y a qu'un node et c'est:

          # Réception : 34.0 KiB/seconde (sur 100 KiB/seconde)
          # Envoi : 25.8 KiB/seconde (sur 50.0 KiB/seconde)
          # Total reçu : 5.90 GiB (34.8 KiB/seconde)
          # Total envoyé : 6.01 GiB (35.5 KiB/seconde)
          # Envoi utile : 4.07 GiB (24.0 KiB/seconde) (67%)


          ~20 KiB/s, je ne trouve pas ça trés lent.
          • [^] # Re: chiffrement

            Posté par  . Évalué à 1.

            Ca reste quand même loin des 100/200 ko/s qu'on peut souvent avoir sur BitTorrent par exemple.

            Enfin j'ai dit ça, c'est sans avoir jamais essayé en P2P, juste d'après mes quelques essais de navigation sur Tor.
            • [^] # Re: chiffrement

              Posté par  . Évalué à 1.

              Tor ça peut être très rapide comme très lent, si c'est lent je le relance pour "changer de route" et c'est tout.

              J'utilise Tor ponctuellement pour diverses raisons, hier j'avais besoin d'une IP américaine pour m'inscrire sur un site réservées aux résidents US.
  • # Faut voir

    Posté par  . Évalué à 8.

    Il est clair qu'ils ne donnent pas l'impression d'avoir entendu parler de Diffie-Helman ou de SSL. On sait tous ici qu'il n'y a aucun moyen de savoir ce qui transite sur ce genre de connexion, même en ayant observé l'établissement du secret commun (sauf à déployer une attaque bourrine pour casser la clé).

    N'empêche que, sans secret partagé au préalable, ou sans moyen de connaître l'identité de son interlocuteur, le SNEP peut se faire passer pour un pair du réseau P2P, et engager un échange avec un utilisateur pour essayer de le pincer (bon techniquement oui, légalement, il faut voir à ce que le SNEP ne provoque pas l'infraction, sans quoi ce serait irrécevable).

    Enfin voilà, la crypto a des limites, mais le SNEP ne semble pas avoir compris tout à fait où elles se situaient (ou alors le gars qui a écrit le rapport a fait une belle bouillie avec ce que lui ont dit les experts qu'il a consulté).
    • [^] # Re: Faut voir

      Posté par  . Évalué à 1.

      moi j'ai une question bête
      Si un ayant droit distribue une copie sans indiquer de licence (comme via un réseau p2p) légalement ce n'est pas un don ou carrement une mise dans le domaine public ?
      • [^] # Re: Faut voir

        Posté par  . Évalué à 4.

        S'il n'y a pas de licence, le droit d'auteur de base s'applique par défaut.
        Donc le fichier n'est pas légalement redistribuable.
        L'usage à titre privé par la personne qui a reçu l'½uvre directement de l'ayant-droit, est, j'imagine, implicitement autorisé par le fait que l'ayant-droit l'a sciement distribuée. Mais les droits de l'utilisateur s'arrêtent ici.
    • [^] # Re: Faut voir

      Posté par  (site web personnel) . Évalué à 3.

      Il faut quand même l'intervention d'un tier pour être sur que le certificat vient bien de l'autre machine, pour éviter une attaque "man in the middle".

      "La première sécurité est la liberté"

      • [^] # Re: Faut voir

        Posté par  . Évalué à 3.

        Ben, de deux choses l'une : soit la connexion chiffrée est déjà établie, et il n'y a plus de "man in the middle" possible (mon premier paragraphe), soit le SNEP se met dans l'échange dès le début (mon second paragraphe), mais pas vraiment "in the middle", plutôt en tant que pair.
        Ce scénario fonctionne parce que les réseaux P2P classiques fonctionnent sans authentification. De fait, on ne peut pas vraiment parler de "man in the middle" puisque l'interlocuteur est de toute façon un inconnu qui se dit interessé par l'échange. Pas besoin de "se glisser" entre deux pairs (ce qui n'est pas possible, de toute façon, avec une connexion chiffrée avec protocole d'échange de clés solide).

        Pour éviter cette attaque, il faudrait effectivement des certificats, et qui dit certificat dit tiers de confiance (ce qui est problématique ici : quel tiers peut prétendre authentifier tous les utilisateurs d'eMule en excluant le SNEP and co ?), ou bien réseaux de petites taille dont tous les membres se connaissent et peuvent se certifier par d'autres canaux.

        Bref, pour résumer, le SNEP ne peut pas savoir ce que deux utilisateurs s'échangent, mais peut très bien devenir lui-même un pair participant à un échange illégal pour constater le délit... méthode irrecevable, puisque le SNEP participerait lui-même au délit.

        Autre piste, ne pas constater les échanges, mais la mise à disposition : est-ce que tel ou tel utilisateur dit posséder telle ½uvre, si je lance une recherche sur cette ½uvre. Vu que les utilisateurs ne publient plus l'ensemble de leurs partages, mais répondent uniquement aux requêtes individuelles, il devient compliqué de repérer les "gros" partageurs.
        • [^] # Re: Faut voir

          Posté par  . Évalué à 1.

          Dans ce cas, le SNEP mettrait en place des genres de pots de miel (honeypots).

          Mais il est vrai que dans le cadre d'une mise en place de technologies SSL, s'il n'y a pas en place une autorité de certification, alors faire des man-in-the-middle serait indetectable par l'utilisateur.

          Ou alors il faudrait que chaque Peer ait un identifiant unique, un certificat contenant cet identifiant, que l'autre Peer pourrait alors vérifier. Les certificats seraient distribués par une autorité mise en place sur le réseau P2P qui délivreraient automatiquement des certificats aux nouveaux clients.
          • [^] # Re: Faut voir

            Posté par  . Évalué à 3.

            Admettons qu'un protocole P2P soit conçu pour la crypto et authentification.
            On pourrait imaginer que la gestion des certificats est laissée au client, avec une politique de filtrage flexible.

            Ainsi, le nouveau venu commencerait par peu ou pas de filtrage (il filtrerait seulement les mouchards notoirement connus, répertoriés dans une black list mise à disposition quelque part), puis, supposant que les honeypots sont illégaux, ajouterait peu à peu les certificats des pairs qui lui ont envoyé des morceaux valides (si le fichier reçu est bien ce qui était attendu : la question est posée à la fin de la réception du fichier).
            Une fois la base de certificats bien fournie, il peut passer à une politique plus restrictive : laisser passer seulement les pairs certifiés avec n indirections (les amis de mes amis de ... ). n décroîtrait en fonction du nombre de pairs connus, renforçant ainsi la sécurité.

            Ce système a priori ne marche pas en cas de honeypots. Cependant à ce moment là, on dispose du certificat du honeypot, de son IP, et d'un morceau de fichier signé par lui, preuve de son méfait... le problème c'est qu'on ne sait pas qui est le mouchard dans la liste de pairs connus, sinon, ça pourrait alimenter la blacklist.
          • [^] # Re: Faut voir

            Posté par  . Évalué à 1.

            Ou alors il faudrait que chaque Peer ait un identifiant unique, un certificat contenant cet identifiant, que l'autre Peer pourrait alors vérifier. Les certificats seraient distribués par une autorité mise en place sur le réseau P2P qui délivreraient automatiquement des certificats aux nouveaux clients.

            Je dis peut-être une connerie mais ne pourrait-on pas alors utiliser les Web Of Trust GPG/PGP existants ?
        • [^] # Re: Faut voir

          Posté par  . Évalué à 3.

          Je me corrige pour l'attaque man in the middle.
          Effectivement, il reste la possibilité de se placer dès le début de l'échange entre deux pairs, avec un canal crypté vers l'un et vers l'autre.

          Néanmoins, ce serait illégal sans mandat. De plus, je ne sais pas si se constituer intermédiaire (puisque c'est ce que fait cette attaque) permet d'obtenir une preuve recevable pour la justice. À voir.
  • # idée à la noix (?) : invoquer le secret des correspondances

    Posté par  . Évalué à 4.

    J'ai une idée stupide : ne pourrait-on pas attaquer les gens qui font du filtrage ou autre truc satanique en layer supérieur à IP en invoquant le secret des correspondances ?

    Si on considère qu'un FAI fourni, par définition, une connectivité niveau IP permettant aux ordinateurs de ces abonnés de correspondre avec les autres ordinateurs connectés à Internet via l'envoi de datagrammes, le fait que quelqu'un aille fouiner dans les couches supérieure ne pourrait-il pas être assimilé à une violation selon l'article 226-15 du code pénal

    http://www.legifrance.gouv.fr/WAspad/VisuArticleCode?commun=(...)

    Selon la page wikipédia à la date du 2007-10-29 à 14:33 GMT+1 :

    http://fr.wikipedia.org/wiki/Secret_de_la_correspondance

    "Une correspondance est en général définie comme toute relation par écrit entre deux personnes identifiables, qu’il s’agisse de lettres, de messages ou de plis ouverts ou fermés."

    mais il n'y a pas de source sur ce point là.

    Ça pourrait être bien si cet article nous permettait d'empêcher à toutes les industries en voie de disparition pour cause d'inadaptation aux marchés actuels d'envisager l'espionnage généralisé des communications individuelles sur tout le territoire pour des prétextes à la con... Après tout comment les gens réagiraient si tout le monde était placé sur écoute téléphonique tout le temps avec une analyse automatique de la parole, le tout avec une excuse à la con genre "oui mais on cherche à détecter les méchants terroristes pas gentils avec ça"
    • [^] # Re: idée à la noix (?) : invoquer le secret des correspondances

      Posté par  (site web personnel) . Évalué à 6.

      >Après tout comment les gens réagiraient si tout le monde était placé sur écoute téléphonique tout le temps avec une analyse automatique de la parole, le tout avec une excuse à la con genre "oui mais on cherche à détecter les méchants terroristes pas gentils avec ça"

      ils diraient tout simplement ce qu'on voit trop souvent « De toute façon j'ai rien à me repprocher ... ».

      :(
    • [^] # Re: idée à la noix (?) : invoquer le secret des correspondances

      Posté par  (site web personnel) . Évalué à 4.

      Je suis totalement d'accord avec toi. Une connection entre 2 personnes en p2p est justement l'envoie de message qui n'a aucun carractère publique.

      Le problème est :
      - Souvent les juges et le legislateur aiment bien faire différent et plus liberticide sur le net qu'ailleurs (cf dadvsi sur l'interdiction de fournir des information ! Imagine-t-on interdire aux journaux de parler de défaut de voiture ?)
      - Les lobbies poussent pour changer la loi elle-même !

      "La première sécurité est la liberté"

  • # Y a-t-il un lien ?

    Posté par  . Évalué à 3.

    où on pourrait consulter l'intégralité du rapport ?

    Sinon si les FAI devaient réaliser des attaques man in the middle pour tous les handshake ssl sans certificat signé par une autorité, je les plains.

    Par ailleurs c'est étrange cette calomnie, quelles sont les études infaliibles qui montrent de façon irréfutables le lien entre mise à disposition illégale et chute des ventes ?
    je crois me rappeler que d'ordinaire (sauf Clearstream) c'est à l'accusateur (/personne mettant en cause d'autres) de prouver ses dires sous peine de dénonciation calomnieuse, pas à l'internaute accusé de "piratage" (/la personnalité accusée de détournement d'argent) de prouver qu'il ne fait rien d'illégal.
  • # Plus d'infos dans "Le Point"

    Posté par  . Évalué à 3.

    http://www.lepoint.fr/content/tech_net/article.html?id=20767(...)

    """
    Lepoint.fr : Quelle réponse au piratage ce livre blanc apporte-t-il ?

    Hervé Rony La mise en place de solutions de filtrage. Pour la première fois, et au contraire de ce que les FAI ont toujours affirmé, des experts indépendants venus d’horizons différents - économiques, juridiques ou technologiques - sont tombés d’accord sur le fait qu’il est possible de réguler les réseaux et le trafic. En bref : il y a des moyens pour empêcher l’internaute d’avoir accès à un contenu illégal.

    Lepoint.fr : De quelle manière ?

    Hervé Rony : Par le biais du filtrage protocolaire, qui va permettre de bloquer le protocole des logiciels peer to peer. C’est le système de filtrage le plus efficace mais qui contient un risque : celui de faire barrage à tout type de téléchargement, y compris légal. Mais puisqu’on sait très bien que le peer to peer est pour l’essentiel lié au piratage, nous estimons qu’il ne faut pas tergiverser. Pour exemple, imaginez qu’un kiosque vende 98 % de journaux illégaux, faudrait-il le laisser ouvert sous prétexte qu’il y a 2 % de ventes légales ? Nous pensons que non.
    """
    • [^] # Re: Plus d'infos dans "Le Point"

      Posté par  . Évalué à 5.

      Mais puisqu’on sait très bien que le peer to peer est pour l’essentiel lié au piratage, nous estimons qu’il ne faut pas tergiverser. Pour exemple, imaginez qu’un kiosque vende 98 % de journaux illégaux, faudrait-il le laisser ouvert sous prétexte qu’il y a 2 % de ventes légales ? Nous pensons que non.


      Marrant, ça pourrait être un peu le raisonnement inverse des marchands d'armes aux Etats-Unis. Imaginez : "Pour exemple, imaginez que les armes soit utilisées dans 98% des cas pour tuer, faudrait-il les laisser en vente libre sous prétexte qu'elles sont utilisées dans 2% des cas pour dégommer des cannettes vides ? Nous pensons que.... oui."

      Comme quoi, il n'y a pas de morale...
    • [^] # Re: Plus d'infos dans "Le Point"

      Posté par  . Évalué à 5.

      *sigh*

      vous connaissez un bon projet p2p pour contribuer ?
    • [^] # Re: Plus d'infos dans "Le Point"

      Posté par  . Évalué à 3.

      Ils ne vont pas aimer l'encapsulation.

      parceque encapsuler un protocol X sur du SSL sur n'importe quel autre protocol, c'est quelquechose d'ultra dur.

      On prend le port https, et voila.
      ou sinon on prend n'importe quel protocol qui pemet d'échanger des donnés.

      une recherche google tcp over x , donne de beau résultat ,
      - tcp over icmp (pingtunnel)
      - http over dns,

      bref le filtrage protocolaire c'est pas justifié , et c'est gentils mais pas efficace.

      Quand j'etais encore en école d'ingé on a joué a ca, avec filtrage et discussion avec les méchants pirates qui télécharge sur internet, et le résultat :
      - plus de P2P vers/de internet
      - plein de FTP en local (peut etre remplacé par dvd over tes pieds)
      - DVD over SNCF/voiture/laposte, trés bon taux de transfert.

      Il y a plein,plein,plein de manière d'échanger des donné, :
      compte mail partagé , maintenant les webmail offre plusieurs giga,
      il suffit que chaque perssonne crée 10 comptes, et au lieu d'envoyer des paquet de pair a pair contenant le fichier, on envoie un mail de compte a compte , le tracker partage les address mail aux lieu des ips.

      Les mails sont bien évidement crypté, la connection avec le webmail est en https, la connection avec le tracker aussi
      • [^] # Re: Plus d'infos dans "Le Point"

        Posté par  . Évalué à 2.

        Heureusement c'est des gens competents qui ont ecrit le livre blanc:


        De plus, les flots provenant des applications peer-to-peer peuvent transiter par des ports qu’il est impossible de bloquer comme les ports DNS sinon le réseau lui-même ne pourrait plus fonctionner.


        Le niveau technique du truc est assez elevé, ca parle meme des modules netfilter :)
        En tout cas la partie technique les gens connaissent bien le sujet.
        • [^] # Re: Plus d'infos dans "Le Point"

          Posté par  . Évalué à 3.

          J'ai trouvé que des news sur le livre blanc, mais pas le livre blanc en lui même, il est disponible qqpart?

          Filtrer du bittorrent sur le port 43, ca fait pas de grosse différence avec le port 8080, d'ailleurs un moyen encore plus efficace est de regarder les caractéristiques temporels des connections, on peut établir des profils pour des protocols P2P:
          meme une obfuscation/cryptage du protocole net peut empécher sa detection (par contre c'est plus délicat de le bloquer complétement, si c'est crypté sur un port https, ca peut etre aussi autre chose)

          mais bon, c'est un peu comme les attaques par consommation de ressources sur les processeurs crypto, ca se corrige.

          Mon avis est qu'ils est impossible d'interdir le P2P, parceque le P2P c'est juste un maniére d'échanger des fichiers entre perssonne, avec l'aide d'un tiers des fois.
          Interdire un certain de protocol, peut etre, interdire les échanges, c'est pas possible sans interdire internet.

          Cf l'idée de l'échange par mail, mais j'ai un doute sur le fait qu'ils interdisent le SMTP ou le web tout court.

          Ensuite, ils peuvent continuer le flicage en supposant que si tu télécharge beaucoup, tu est un méchant pirate, mais la il faut une référence pour dire, tu télécharge trop.

          La encore il est possible de changer cette référence en faisant des clients P2P qui génére une charge constante de traffic, avec de l'aléatoire.

          On peut continuer a s'amuser longtemps comme ca, mais une chose est sur :
          - les méchanismes d'interception et de brouillage d'informations sont bien étudié
          - les méchanisme pour empécher ca sont aussi bien connus

          Tant qu'alice et bob peuvent communiquer, Oscar peut aller se brosser, et ca meme si oscar est trés bon techniquement.

          Au pire madame michu ne téléchargeras plus, les pertes de l'industrie musicale ne pourront plus etre mis sur le dos des téléchargments illégaux, et !list , et !get sur des canaux irc (crypté si besoin est)

          En attendans:
          - j'ai la radio internet : pas besoin de télécharger
          - le DVD loué over vélo, et dédé, ca bat a plat de couture le P2P [1]
          - les animes non licensié font le reste
          - les bouquins (et les BDs) c'est mieux


          [1] : en plus si tu met plus de 10heure pour télécharger un film, c'est moins cher de le louer que de paye l'electricité.
          • [^] # Re: Plus d'infos dans "Le Point"

            Posté par  . Évalué à 2.

            j'ai trouvé dans l'autre fil de discussion :
            http://www.promusicfrance.com/pdfs/LivreBlancP2P.pdf

            Ils discutent sérieusement du filtrage applicatif a partir de la page 35, et il font état de la signature des protocols.
            Ensuite vient la mention du chiffrement, qui est reconnus comme problématique pour des pare-feux applicatif.
            Les seuls arguments avancé pour dire que le chiffrements est difficilment faisable sont :
            - difficulté de distribution des clefs qui limite la taille du groupe (discuté plus haut, sisi c'est possible d'avoir des infrastructure)
            - le chiffrement c'est aussi des tunnels, et donc il suffit de se placer avant le tunnel chiffré ( Trés drols dans le contexte des particuliers)

            reste la seul solution technique valable : si c'est chiffré et pas reconnus, on rejette.
            le commerce en ligne va apprecier : plus de https : c'est pas réalisable.

            donc le filtrage applicatif, suffit de crypter et c'est mort.

            Ensuite la signature du protocol (en terme d'échange, de timing, ...etc) :
            les gens d'openssh on déja pensé a ca (analyse de l'interval des paquets pour déduire ce qui est entré au clavier Cf [1])
            et des solutions existe pour rendre ce type d'attaque inutile

            Bref filtrer les protocols -> ca marcheras le temps qu'un protocol P2P quivabien (anti oscar) apparaisse.

            Ensuite la partie sur les signatures pour identifier les contenus illégale est beaucou plus intéréssante car il permet de vérifier si un contenu est légal ou non.
            et donc d'identifier si le contenu téléchargé est légal ou non.

            Et la pas besoin de :
            - filtrage
            - police privé
            il suffit de prendre part a l'échange pour récupérer les IPs des peer, vérifier le fichiers, et lancer des poursuites.



            [1] http://www.stanford.edu/~mlustig/ssh_report.pdf

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.