Journal HADŒPI: interdiction des logiciels libres ou filtrage à la chinoise, seules solutions

Posté par .
Tags : aucun
20
30
juil.
2010
Le document préparatoire est en ligne chez numérama:
http://www.numerama.com/magazine/16363-exclusif-le-document-(...)

On rira en y lisant que le logiciel de sécurisation (en vrai c'est un mouchard, mais c'est comme la videosurveillance qui deviant la videoprotection, la novlangue permet de truquer le discours) doit fonctionner sur les logiciels et OS libres: «être réalisables sous forme de logiciels libres et pour des OS libres».

Cas n°1: le mouchard comme logiciel libre. Je prends les sources, je le modifie pour qu'il ne journalise pas les éléments de la liste noire, et puis je le fais chiffrer le journal avec la clef. Je sens que la fiabilité du truc libre ne va pas aller très loin. Un tel logiciel verrait les patchs se promener sur internet assez vite, et je sens qu'il va encore falloir interdire quelques nombres premiers.

Cas N°2: le mouchard, bloqué, ne peut pas êter modifié (pas libre) mais peut tourner sous un OS basé sur un noyau libre, comme linux. Je passe la question des architectures rares, mais comment le mouchard récupère-t-il les infos sur le traffic? Par les interfaces du noyau bien sûr. Un patch dans le noyau pour ne pas lui envoyer toutes les infos, un petit make-kpkg, et le tour est joué. Là encore un nombre premier va se retrouver illégal. La fiabilité du truc qui tourne sur un OS libre ne va pas chercher très loin non plus.

Pour faire court, aucun logiciel de hadopi ne peut être fiable avec les logiciels libres. Hadœpi et Linux sont mutuellement incompatibles.

Il ne reste que deux solutions: interdire les OS libres, ce qui semble difficile, et qui revient à avoir confiance dans la sécurité des OS proprio, ou filtrer ailleurs que sur les ordinateurs des particuliers. Chez le FAI. Et on arrive à une sécurisation d'nternet à la chinoise.

Au fait, la LOPSI sera votée à la rentrée.
  • # ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas install

    Posté par . Évalué à 8.

    Il me semble que selon la loi en question, l'utilisateur est tenu de sécuriser son réseau, et c'est le cahier des charges de cette sécurité qui est en discussion. Si tu utilises un patch noyau ou userland qui limite les fonctions du logiciel espion, alors tu n'as pas sécurisé conformément à la loi, et ce sera comme si tu ne l'avais pas installé (les juges ne sont pas stupides).
    Tu pourras toujours nier utiliser un patch et recompiler un noyau vanilla, mais ce serait commettre un délit de destruction de preuves (ou autre truc proche, IANAL), ce qui serait un risque juridique plus élevé que celui que tu voulais éviter, et même paradoxalement élevé si initialement tu n'avais rien fait d'illégal (je pars de l'hypothèse qu'en bon libriste, si tu as un problème avec La HADOPI c'est forcément une erreur de leur part ou un vol d'IP).

    (Merci pour ce journal vraiment très intéressant.)
    • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

      Posté par . Évalué à 10.

      je pars de l'hypothèse qu'en bon libriste, si tu as un problème avec La HADOPI c'est forcément une erreur de leur part ou un vol d'IP

      Je ne vois pas en quoi être un "bon libriste" implique nécessairement de condamner aveuglément ce que les médias appellent piratage.

      D'une part, l'image du pirate comme étant un vulgaire voleur qui prend plaisir à déposséder autrui de son bien est fausse et construite sur l'ignorance.

      D'autre part, la philosophie du libre n'a jamais inclus de prétention à l'hégémonie, quoiqu'en pense certains libristes. Ce n'est pas parce que l'on respecte les licences libres que l'on doit respecter toutes les autres licences, toutes les autres lois.

      Il n'y a aucune contradiction à être pirate et libriste, on peut à la fois aimer les 4 libertés et vouloir en créer de nouvelles.

      (Je viens de me rappeler que l'on est vendredi: aurais-je par inadvertance percuté un abominable troll? Trop tard...)
      • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

        Posté par . Évalué à 2.

        > Il n'y a aucune contradiction à être pirate et libriste

        On s'attend naturellement à ce qu'un libriste ait une préférence pour la culture libre, et que corrélativement il ait une préférence négative pour la culture non-libre, y compris pour ses téléchargements. Si tu considères le sondage linuxfr sur les téléchargements [1], tu vois que les lecteurs de linuxfr répondent à 31 % qu'ils téléchargent à plus de 99 % légal Pourtant, une étude récente montre que seulement 0,3 % des torrents (téléchargés par le grand public) sont manifestement légaux [2]. Il faudrait une étude complète, mais ces chiffres permettent de voir la différence de comportement : par rapport à la population générale, les lecteurs de linuxfr téléchargent légalement bien plus souvent que les autres, et pour un nombre non négligeable d'entre eux, de façon exclusivement légale.

        [1] http://linuxfr.org/poll/send,180.html
        [2] http://arstechnica.com/tech-policy/news/2010/07/only-03-of-f(...)

        > La philosophie du libre n'a jamais inclus de prétention à l'hégémonie, quoiqu'en pense certains libristes.

        Euh... la philosophie du libre c'est ce qu'en disent les libristes, non ? Il n'y a pas d'hégémonie mais c'est seulement ta théorie à toi qui compte et « ce que pensent certains libristes » ne compte pas ? Ironique, non ?
        • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

          Posté par . Évalué à 1.

          On s'attend naturellement à ce qu'un libriste ait une préférence pour la culture libre

          Pour moi, un libriste est quelqu'un qui "pratique" le libre, c'est à dire qu'il a choisi d'utiliser des logiciels libres, et éventuellement y apporte sa contribution. Ça ne veux pas dire qu'il préfère systématiquement le libre au non-libre, et encore moins qu'il a une attitude négative envers le non-libre.

          Il ne faut pas confondre les militants, qui sont une partie nécessaire et particulièrement visible de toute philosophie, et les simples pratiquants, bien plus discrets et souvent plus variés dans leur comportement.

          Tu prends comme exemple linuxfr, mais je doute fort que le site soit représentatif de l'ensemble de la population libriste. D'autre part, une étude qui s'appuie sur une déclaration personnelle pour estimer la fréquence d'un comportement illégal a peu de valeur scientifique.

          Euh... la philosophie du libre c'est ce qu'en disent les libristes, non ? Il n'y a pas d'hégémonie mais c'est seulement ta théorie à toi qui compte et « ce que pensent certains libristes » ne compte pas ? Ironique, non ?

          J'ai un peu de mal à comprendre. Je ne dénie pas le droit à certains de militer pour une grande victoire finale du libre (de fait, j'aurais même plutôt tendance à me ranger dans cette catégorie). Mais que certains le pensent n'en fait absolument pas un attribut de la philosophie du libre, qui se doit d'englober toutes les personnes concernées. C'est une des approches possibles.
          • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

            Posté par . Évalué à 2.

            Je sais que les chiffres que je propose ne sont pas des vérités absolues, mais ils ont le mérite d'exister. Si tu en as de meilleurs, je suis preneur.

            Ensuite, c'est peut-être le lieu de notre malentendu, ma définition de libriste est plutôt celle d'un militant que d'un simple utilisateur, pour la raison qu'un nombre non négligeable d'utilisateurs ne savent pas qu'ils en sont, et qu'il est ainsi difficile de les compter même en leur demandant (notamment pour linux embarqué). Par exemple, on peut compter que 20-30 % de parts de marché pour Firefox, mais je doute que 20-30 % des internautes sachent dire que FF est un logiciel libre, ni expliquer ce qu'est un logiciel libre. Le mot n'apparait même pas sur la page d'accueil du site du logiciel.
            • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

              Posté par . Évalué à 2.

              Effectivement c'est plus une question de définition, dans ce cas. Je me garderai bien de décider quelle est l'utilisation juste de "libriste"...

              Note que dans ma définition, je n'inclus pas les utilisateurs qui utilisent du libre sans le savoir: seulement ceux qui ont fait le choix conscient d'en utiliser, et qui savent (au moins dans les grandes lignes) ce que c'est. Mais j'englobe ceux qui ne militent pas forcément pour sa diffusion, ni pour son utilisation exclusive.

              Enfin, si des chiffres ont pour seul mérite d'exister, je crois qu'ils n'ont pas leur place dans une argumentation [1]. Ils n'apportent aucune précision (puisqu'ils peuvent être totalement faux), et dans notre culture où la science est idéalisée, ils exercent une fascination inconsciente qui peut fausser le jugement.

              [1] sauf en politique, bien entendu.
    • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

      Posté par . Évalué à 4.

      > Il me semble que selon la loi en question, l'utilisateur est tenu de sécuriser son réseau, et c'est le cahier des charges de cette sécurité qui est en discussion.
      Non. En effet l'utilisateur est tenu à la sécurisation mais cela a plus ou moins déjà été définit (obligation de crypter son Wifi, ...). Mais là le cahier des charges est pour définir ce que devront implémenter les spyware "Hadopi-compatible" que les utilisateurs pourrons installer pour pouvoir se disculper au cas où ils se font choper (en gros : regardé le logiciel dit que je ne faisais rien, donc ce n'est pas moi)
      • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

        Posté par . Évalué à 2.

        Ok merci pour cette clarification. Tu peux faire s/sécuriser/installer un spyware/g dans mon texte, le raisonnement reste valable : si le spyware (libre) est modifié ou est incapable de logguer les informations pertinentes (par exemple en raison d'un patch noyau), il respecte pas le cahier des charges, et donc tu ne peux pas t'en prévaloir pour te disculper.
        • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

          Posté par (page perso) . Évalué à 3.

          Le problème, c'est au vu du nombre d'inculpation prévue, on ne fera pas un examen minutieux du PC de chaque suspect. Si le suspect a souscrit un service Hadopi-compatible, il sera blanchi et donc, si le logiciel dit qu'il est actif, on ira pas plus loin vu qu'il y a une preuve que la ligne est sécurisée. Ou alors, les budgets doivent être revus à la hausse.

          « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

    • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

      Posté par . Évalué à 2.

      Si tu utilises un patch noyau ou userland qui limite les fonctions du logiciel espion, alors tu n'as pas sécurisé conformément à la loi, et ce sera comme si tu ne l'avais pas installé.
      à ceci près que le conseil constitutionnel a censuré l'idée de renverser la charge de la preuve. Donc si tu as installé le logiciel (eh m'sieur, j'ai le journal !) c'est à l'hadœpi d'apporter la preuve que tu as pu utiliser un autre ordi, que tu as explosé le système à coup de patch, ou que c'est quelqu'un d'autre qui a utilisé ta connexion. S'il ne le peut pas il ne peut pas te poursuivre pour "défaut de sécurisation", il ne reste plus que la plainte pour contrefaçon, avec tous les frais que ça implique, comme avant hadœpi.

      Comme il est impossible de sécuriser chez l'abonné de mauvaise foi pour les raisons que j'ai expliqué (à moins d'interdire les OS libres) la conclusion logique est que l'hadœpi ne peut pas fonctionner avec un mouchard chez l'abonné. C'est donc un filtrage chez le FAI qui s'annonce. Je vois deux possibilité:
      - filtrage via la box, qui implique de considéré à priori qu'un quidam qui se connecte via son propre boitier adsl est de mauvaise foi.
      - filtrage dans les locaux du FAI, la censure à la chinoise.

      Une conséquence logique de tout ça est de devoir interdire les connexions chiffrées, qui peuvent cacher VPN et autres P2P sécurisés.

      Je pars de l'hypothèse qu'en bon libriste, si tu as un problème avec La HADOPI c'est forcément une erreur de leur part ou un vol d'IP
      En fait, je me sens concerné par le filtrage et le mouchard obligatoire, mais pas par la lutte contre la contrefaçon...

      C'est le genre de situation qui donne envie de relire «Nous autres» [http://fr.wikipedia.org/wiki/Nous_autres] de Zamiatine.
      • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

        Posté par (page perso) . Évalué à 2.

        J'en reviens à quelque chose que j'ai soulevé il y a quelques temps, et à laquelle personne n'a apporté de réponse constructive:
        Il est explicitement indiqué qu'on s'expose à des représailles uniquement en cas de défaut de sécurisation.

        Alors je prends le scénario tout bête: j'installe le mouchard _ET_ je télécharge des choses illicites.
        --> je ne tombe pas sous le coup d'ADOPI puisque j'ai installé le mouchard.
        • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

          Posté par . Évalué à 3.

          Par contre, pour la contrefaçon, tu es condamnable.

          Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.

          • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

            Posté par (page perso) . Évalué à 2.

            Par contre, pour la contrefaçon, tu es condamnable.
            Vi, mais c'est là que l'arme légale donne à plein: si on vient t'enquiquiner avec ADOPI car tu as des contrefaçons (et que ça rate, donc), on ne peut pas ensuite te re-poursuivre pour contrefaçon. On ne juge pas deux fois pour le même motif.

            A moins d'une astuce telle que:
            ADOPI = contrefaçon
            poursuite suivante = recel

            A voir.
            • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

              Posté par . Évalué à 2.

              On ne peut poursuivre que le titulaire de l'abonnement pour défaut de sécurisation. Pour contrefaçon il faut trouver quel utilisateur est coupable (femme, belle-doche, enfant en pleine crise d'adolescence, etc). Ce ne sont pas les mêmes délits, on peut poursuivre les deux.

              Mais pour la contrefaçon il faut faire une descente matinale, saisir les ordinateurs, expertiser, constater la présence de fichiers contefaits. Tout ça coûte cher. Quelques condamnations par an ne suffisent pas à Pascal Nègre et ses copains.

              L'invention du défaut de sécurisation, c'est pour permettre des poursuites à la chaîne et pour moins cher. Et pour bien faire régner la terreur, on a décidé de faire partir des mails d'avertissements avant les poursuites proprement dites, parce qu'il semble bien que les poursuites en question ont assez peu de chances d'aboutir au final.

              On va se retrouver probablement avec:
              - quelques milliers de mails d'avertissements bien médiatisés (message: "on vous suirveille").
              - quelques poursuites sporadiques contre quelques gros téléchargeurs, pour contrefaçon.
              - autant de condamnation pour le délit de défaut de sécurisation que pour violation de DADVSI.

              Le but dhadœpi c'est plutôt mettre en place une surveillance généralisée que de réprimer. Habituer les gens à être surveillés en permanence.


              Arrivé à la maison, je courus au guichet, montrai au gardien mon ticket rosé et reçus en échange la permission d’utiliser les rideaux. Nous n’avons ce droit qu’aux jours sexuels. D’habitude, dans nos murs transparents et comme tissés de l’air étincelant, nous vivons toujours ouvertement, lavés de lumière, car nous n’avons rien à cacher, et ce mode de vie allège la tâche pénible du Bienfaiteur. Autrement, on ne sait ce qui pourrait arriver. Il se peut que les demeures opaques des anciens aient engendré chez eux leur misérable psychologie cellulaire. « Ma (sic) maison est ma forteresse. » Ils auraient pourtant pu réfléchir davantage.

              Nous Autres: http://infokiosques.net/lire.php?id_article=347
        • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

          Posté par . Évalué à 0.

          mais le mouchard est là pour te disculpé. Si tu a le mouchard ET que tu télécharge (sans contournement du système) et bien tu recevras le mail, puis la lettre recommandé puis la coupure de connexion
    • [^] # Re: ÀMA si tu modifies le logiciel c'est comme si tu ne l'avais pas ins

      Posté par . Évalué à 3.

      un délit de destruction de preuves
      IANAL non plus, mais il me semble qu'on ne peut pas à la fois poursuivre quelqu'un pour un délit et pour avoir tenté de détruire les preuves de ce même délit. De la même façon que nul ne peut être forcé de témoigner contre lui-même, ce serait absurde de poursuivre quelqu'un à la fois pour faux témoignage contre lui-même et pour l'éventuel délit.
  • # À terme : filtrer ailleurs

    Posté par (page perso) . Évalué à 5.

    Il ne reste que deux solutions: [...] ou filtrer ailleurs que sur les ordinateurs des particuliers. Chez le FAI. Et on arrive à une sécurisation d'nternet à la chinoise.

    C'est cette deuxième solution qui est envisagée : le document semble envisager d'installer le mouchard hadopien directement sur les *Box des FAI...
    • [^] # Re: À terme : filtrer ailleurs

      Posté par . Évalué à 2.

      Ça va peut-ètre légèrement redynamiser le marché des modems adsl hors abonnement,

      quand j'en avais cherché un neuf dans une boutique en dur le choix était inexistant, et les prix chez les petits commerçants plutôt irréalistes. (Boitier noname chinois a 140€...)
  • # OS libres == OS embarqués sur les box

    Posté par . Évalué à 5.

    Ce que dit aussi le document, c'est que l'Hadopi a la volonté d'intégrer ce logiciel directement aux box des FAI, ce qui explique le besoin de tourner sur des OS libres mais ne permet absolument pas à l'utilisateur d'en prendre le contrôle !

    pour le moment le parc des boitiers ADSL est très hétérogène, et les boitiers sont dimensionnés de telle manière qu'il est difficile de loger des applications supplémentaires dans ces boitiers. Pourtant, on peut réfléchir à ces solutions pour les futures générations de boitiers, dans le cadre du renouvellement général du parc

    Alors, ça sera ça la grande innovation de la Freebox V6 ?
    • [^] # Re: OS libres == OS embarqués sur les box

      Posté par (page perso) . Évalué à 3.

      Ne pas oublier que tu peux remplacer la box par un simple modem/routeur ADSL du commerce...

      Ceci dit c'est assez flippant comme idée, ceci dit on ne maîtrise absolument pas ce que fait la freebox, c'est potentiellement une brèche de sécurité importante, sans compter qu'en tant que switch elle peut aussi accéder au trafic du réseau interne (nfs, smb, etc. donc documents sensibles).

      C'est un périphérique dangereux qu'il serait urgent de libérer (ça en est où l'action de l'APRIL ?).

      « Je vois bien à quels excès peut conduire une démocratie d'opinion débridée, je le vis tous les jours. » (Nicolas Sarkozy)

      • [^] # Re: OS libres == OS embarqués sur les box

        Posté par (page perso) . Évalué à 3.

        Ne pas oublier que tu peux remplacer la box par un simple modem/routeur ADSL du commerce...

        Pour le moment... qui dit que la *box sera toujours facultative ? Tant qu'à persévérer dans le délire hadopien/loppsi, pourquoi les autorités n'imposeraient pas dans un futur plus ou moins proche aux FAI de fournir obligatoirement leur propre *box pour que la connexion fonctionne ? Avec bien sûr, mouchard labellisé inside.
  • # Document PDF

    Posté par (page perso) . Évalué à 4.

    Dans l'autre journal qui en parle, le document a été proposé en lien megaupload.

    Mais je pense que je ne suis pas le seul à qui ça gonfle de devoir attendre 45 secondes avec des pubs pour télécharger un petit document.

    Voici donc un lien direct pour le voir : http://bordel.unevu.com/Groaw.pdf

    Envoyé depuis mon lapin.

  • # Doit ? euh

    Posté par (page perso) . Évalué à 3.

    Je ne sais pas ou tu as lu qu'il "DOIT fonctionner sur les logiciels et OS libre", moi je lis :

    "Les moyens peuvent être réalisés à partir de logiciels libres et/ou fonctionner sur
    des systèmes d’exploitation libres."

    Ce qui veut dire qu'un parti peut être libre. Mais pas obligatoirement et qu'il peut fonctionner, mais pas obligatoirement.

    Des objectifs clés on a bien :

    "intégration possible dans tout environnement (y compris le domaine du logiciel libre)"

    Mais cela veut simplement dire que l'intégration est possible. Pas qu'elle est obligatoire.
    • [^] # Re: Doit ? euh

      Posté par . Évalué à 3.

      Sauf mention contraire, toutes les lignes du cahier des charges sont des obligations. Le cahier dit ainsi que l'intégration doit obligatoirement être « possible » (c'est-à-dire possible pour le FAI utilisateur sans modification du logiciel). Dans le cas contraire ils auraient utilisé le mot « optionnel ».
    • [^] # Re: Doit ? euh

      Posté par (page perso) . Évalué à 2.

      Je ne sais pas ou tu as lu qu'il "DOIT fonctionner sur les logiciels et OS libre"
      Le texte au début n'est pas clair. Il est indiqué en gros que ça peut, pas que c'est obligatoire.

      Page par contre: intégration possible dans tout environnement (y compris le domaine du logiciel libre)

      Mais ça ne reste qu'un brouillon. Ils ont bien le temps de changer ça. Et d'avoir un consultant un peu moins crétin que les autres pour leur faire piger qu'il faut intégré ça chez le FAI, pas chez les utilisateurs.
  • # C'est toujours comme ça...

    Posté par . Évalué à 9.

    ... et ca m'enerve.

    On voit sur internet des tas de guignols parler de VPN, de ci, de ça.

    J'ai l'impression que le seul enjeu est de continuer à pomper des contenus sous copyright... Sans se poser une seule question.

    Bien sûr qu'ils vont cibler les box; bien sûr qu'avec les mises à jour auto Bouygues & Orange (et les autres) vont avoir une diffusion de masse, et ainsi de suite. S'il le faut, seules les box FAI seront utilisables sur les réseaux ADSL (ou fibre) français. La séparation entreprise/particuliers, avec les VPNs bloqués sur les box grand publics.

    Bref, peu importe le moyen technologique, ces gens là peuvent aller trés loin. A mon avis, c'est uniquement une affaire de statistique, et de volonté politique.
    • [^] # Re: C'est toujours comme ça...

      Posté par . Évalué à 2.

      quand je parle de VPN bloqués, ce n'est pas littéral, mais plutôt une liste de sites labellisés pour le https ou autre moyen tordu pour contrôler (via source/destination, via volume, peu importe) l'établissement d'un canal de communication crypté.
  • # Chiffré et compressé

    Posté par (page perso) . Évalué à 2.

    En feuilletant je suis tombé sur le passage des deux journaux. Bon le premier normal, mais le deuxième doit être signé, compressé et chiffré en temps réel.

    "Il existe deux sortes de journaux qui sont produits en temps réel dans deux
    bases de données distinctes :
    [...]
    Un journal sécurisé.
    [...]
    Pour des raisons de sécurité, cette
    seconde version du journal est en mode binaire, compressée, signée
    électroniquement, chiffrée, et archivée pendant une période d’au moins une année."

    Je sais pas, mais ça consomme pas mal de ressource de compressé, signé et chiffré le journal à chaque action.

    "It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell

    • [^] # Re: Chiffré et compressé

      Posté par (page perso) . Évalué à 1.

      Oué enfin les actions c'est "le logiciel a démarré", "le logiciel a été arrêté", "le logiciel a été configuré", "le logiciel à bloqué", ...

      C'est rien du tout en terme de ressource.
      • [^] # Re: Chiffré et compressé

        Posté par (page perso) . Évalué à 2.

        Et chaque connexion (d'après l'exemple), donc si t'as quelques onglets ouvert sur des sites ayant des chat HTTP (genre facebook), tu arrives vite à plusieurs connexions par seconde, ensuite tu partages des fichiers légaux en p2p, chaque connexion entrante sera certainement inscrite aussi, ...
        Donc si tu as une dizaine de connexions par seconde, tu as une dizaine de d'inscriptions compressées, signées et chiffrées par seconde (donc ton journal complet, tu es en fin d'un journée, donc un journal déjà bien large) ...

        "It was a bright cold day in April, and the clocks were striking thirteen" - Georges Orwell

    • [^] # Re: Chiffré et compressé

      Posté par . Évalué à 4.

      ce que moi je sais c'est que le stockage de fichiers sur un disque dur c'est pas forcément fiable, ça peut avoir des soucis mécaniques (chaleur en été) ou bien ça peut se corrompre (panne de courant avec un fichier ouvert, virus ou trojan qui fera ce qu'il veut avec...)

      je ne parle même pas des réinstallations de Windows qui iront effacer ce glorieux fichier magique et secret. ou de la vente après 3-6 mois d'un ordi qui aura passé son temps à télécharger comme un goret : c'est son nouveau propriétaire qui risque d'être surpris.


      il n'y a qu'à voir avec quelle facilité Firefox sous Windows peut perdre ses bookmarks, son history, sa config en cas d'arret brutal. ou encore mieux, les bases sqlite se retrouvent bloquées sans prévenir et l'utilisateur s'aperçoit 6 mois après qu'aucun de ses nouveaux bookmarks n'avait été ajouté


      s'ils n'ont pas prévu de le récupérer à intervalles réguliers on risque de rire... et ils ne le feront pas car ils deviendraient alors dépositaires et garants de cette espèce de preuve de mise en conformité à Hadopi, qui exonerait alors l'utilisateur final - "j'ai bien installé le bordel, je suis couvert !" - ce qu'aucun prestataire ne voudra gérer.
      • [^] # Re: Chiffré et compressé

        Posté par (page perso) . Évalué à 4.

        Ce qui me choque c'est que le journal "sécurisé" ben il est illisible par le commun des mortels. Alors qu'il serait si facile d'avoir juste une empreinte cryptographique. Donc journal lisible.

        Car là, tu n'es même pas certain que le contenu du journal soit le même que celui en clair. Et l'autorité de confiance ahah.... ayez confiance... on s'occupe de votre sécurité.
        Ca fera quoi lorsque le nain voudra que tu ais des emmerdes ? Il téléphone à l'autorité de confiance, et hop, t'es marron (alors que ton fichier en clair ne contient aucune trace de ce qu'on te reproche, puisque tu n'as rien fait).
  • # 2 machines ?

    Posté par . Évalué à 2.

    Je ne comprends pas comment l'utilisation de plusieurs machines ne pourra pas simplement contourner ce filtre-mouchard.

    "La première sécurité est la liberté"

    • [^] # Re: 2 machines ?

      Posté par . Évalué à 4.

      C'est un premier pas pour surveiller la majorité des internautes, ceux qui n'ont pas les connaissances en informatique pour contourner le système. Ça laisse le temps d'étudier une solution au niveau réseau et de mettre tous les FAI d'accord.
      Chopper tous les internautes en même temps ils s'en foutent, du moment que l'essentiel de la population est sous contrôle, pardon, je voulais dire "protégée d'elle-même".
    • [^] # Re: 2 machines ?

      Posté par . Évalué à 3.

      En tout cas ils le demandent dans leurs exigences techniques :
      "Un utilisateur utilise normalement les moyens de sécurisation sur
      un premier poste en téléchargeant légalement des fichiers, et
      télécharge simultanément et illégalement des fichiers sur un second
      poste sans moyen de sécurisation, simulant ainsi la présence d’une
      machine pirate. "


      En gros, le mouchard devra se faire une idée par lui-même de toute la topologie du réseau, ce qui est impressionnant !
      • [^] # Re: 2 machines ?

        Posté par (page perso) . Évalué à 2.

        J'imagine bien un scan du réseau mais comment va-til savoir que derrier sur le réseau c'est un téléphone, ou le frigo, ou un autre ordinateur, ou le lecteur DVD du salon ?

        Dans ce cas le logiciel ne sert à rien, il va dire, vous avez plusieurs ordinateur dont X sans mouchard. Mais il ne sera pas possible d'installer le dit programme sur le lecteur DVD de salon...
        • [^] # Re: 2 machines ?

          Posté par . Évalué à 2.

          Au pire, si il y a un firewall entre les 2 machines, le filtreur/mouchard ne verra rien du tout.

          "La première sécurité est la liberté"

      • [^] # Re: 2 machines ?

        Posté par . Évalué à 2.

        "simulant ainsi la présence d’une machine pirate"

        ils se sont mal exprimés, je suppose. ici le méchant pirate simule une utilisation légitime avec une machine sécurisée et dispose d'une autre qui télécharge à fond les ballons à coté.
  • # Drôle

    Posté par . Évalué à 10.

    Page 16 :
    L’application ne doit pas pouvoir être contournée. En cas de tentative de contournement, le logiciel devra la détecter.

    Je sens que ça va être une réussite …
  • # C'est complêtement irréalisable.

    Posté par . Évalué à 4.

    On sent bien la grande compétence dans ces phrases :

    La configuration réseau de l’ordinateur. L’analyse doit signaler toutes
    configurations réseau atypique (utilisation d’un proxy douteux, connexion à un
    réseau Wi-Fi non sécurisé, boot à partir d’un CD, etc.). En cas de découverte d’une
    configuration atypique, une notification de bas niveau est générée.


    Non seulement je vois pas le rapport, mais en plus, aujourd'hui je me demande si c'est réalisable ...

    Sur le paragraphe juste après, ça parle de filtrage d'adresse MAC, vous savez, le truc qui rend une connexion moins sécurisée ...

    la partie parlant de NTP over SSH est bien marrante elle aussi ;)

    enfin bref, si aucun logiciel n'est labelisable, tant mieux ;)
    • [^] # Re: C'est complêtement irréalisable.

      Posté par . Évalué à 0.

      Non seulement je vois pas le rapport, mais en plus, aujourd'hui je me demande si c'est réalisable ...
      avec TCPA ? http://www.lebars.org/sec/tcpa-faq.fr.html
      • [^] # Re: C'est complêtement irréalisable.

        Posté par (page perso) . Évalué à 2.

        Pour reconnaître le boot à partir d'un CD, effectivement c'est idiot... puisqu'il faut que le logiciel soit sur le CD. Autrement dit c'est un LiveCD spécial ADOPI.

        Ou alors ils veulent simplement dire que GRUB est sur un CD ? :-)
        Nan, m'étonnerait ça, z'on pas le niveau.
        • [^] # Re: C'est complêtement irréalisable.

          Posté par . Évalué à 1.

          Je présume que c'est un échange d'information avec la box qui est visé. La box signalant d'une façon ou d'une autre «dernière connection avec cette ordi il y a 42 min», si le logiciel ne le trouve pas dans le journal, il flaire une arnaque.

          Le document parle d'introspection des box je crois.
    • [^] # Re: C'est complêtement irréalisable.

      Posté par (page perso) . Évalué à 1.

      « La configuration du Boitier ADSL/Routeur. Si l’utilisateur se connecte à Internet
      par le biais d’un Boitier ADSL ou d’un routeur (et si ceux-ci permettent une
      introspection), l’analyse doit vérifier que la configuration du boitier ou du routeur ne
      facilite pas une éventuelle usurpation de ligne/identité sur internet (pas de
      sécurisation WPA, SSID en clair, routeur avec aucun contrôle sur les adresses MAC
      des appareils se connectant à lui, etc.). En cas de découverte d’une configuration
      fragile, une notification de bas niveau est générée. »

      Va falloir m'expliquer comment le logiciel pourra se connecter au routeur et ensuite gérer la multitude d'interfaces de configuration disponibles pour vérifier ça... Du grand lol.

      « Je vois bien à quels excès peut conduire une démocratie d'opinion débridée, je le vis tous les jours. » (Nicolas Sarkozy)

  • # Horodatage via NTP pour sécuriser les journaux.

    Posté par . Évalué à 0.

    Alors là je dis, trop fort.

    Bon je ne connais rien à ntp, mais à vue de nez, si on met le mouchard derrière un proxy transparent qui détourne le flux ntp vers un serveur local au réglage personnalisé?
    • [^] # Re: Horodatage via NTP pour sécuriser les journaux.

      Posté par (page perso) . Évalué à 2.

      Il est explicitement indiqué que ce sera via une connexion sécurisée, par exemple avec ssh.
      • [^] # Re: Horodatage via NTP pour sécuriser les journaux.

        Posté par . Évalué à 0.

        Il faudra donc que le logiciel contienne la clef publique ssh. D'une manière qui la rende impossible à changer, sauf par mise à jour automatique. Ça me semble difficile.
        • [^] # Re: Horodatage via NTP pour sécuriser les journaux.

          Posté par (page perso) . Évalué à 3.

          Effectivement, mais tu remarques que personne ici n'a dit que leurs propositions sont sensées :-)

          Il suffit de forger les réponses DNS (avec un bête serveur DNS), ou il suffit de modifier le code source, ou encore il suffit de changer la clef publique. Bref, il suffit de n'importe quelle manipulation basique pour tout mettre par terre.

          La seule et unique solution est que le dispositif soit chez le FAI.
          • [^] # Re: Horodatage via NTP pour sécuriser les journaux.

            Posté par . Évalué à 0.

            La seule et unique solution est que le dispositif soit chez le FAI.

            Ah bah voilà, c'est ça la logique de ce bazard, non ?
            Ce sera la prochaine "vraie" étape, alors ? Après avoir fait peur à tout le monde à propos d'un truc pas vraiment maîtrisable (donc effrayant), on met le truc ailleurs et on le maîtrise à la place des effrayés ?

            Et les FAI (AFA et autres), c'est no comment ?
            Ils avaient bien – un peu – crié au loup il y a quelque temps, non ?
  • # Ch'sais pas vous mais moi ...

    Posté par (page perso) . Évalué à 1.

    après la lecture (en diagonale, j'admets ...) du pdf cité plus haut, je ne peux m'empêcher de penser à un os pas si dans l'oubli que ça ...

    Allez, M. Riguidel, votre pseudo, c'est Jayce, non?

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.