reflets.info

Selon la presse allemande, l’Allemagne aurait espionné la France et l’Union européenne pour le compte de la NSA. Etonnament, pensent certains, la France se tait. Comme si finalement, il n’y avait pas là une sorte de cassure dans le couple franco-allemand. Arte a demandé à Reflets ce qu’il en pensait. Nous ne sommes pas des experts de l’espionnage mais nous avons quand même une idée ou deux sur le sujet.

Premier point, comme l’expliquait déjà Bluetouff en juin 2013, la collaboration très étroite entre la Grande-Bretagne, l’Allemagne et les Etats-Unis en matière d’écoute n’est pas une nouveauté. L’armée américaine et la NSA, évidemment, exploitent des bases monumentales dans ces pays. Des bases dans lesquelles les employés sont américains. Lorsqu’un pays donne le droit à un autre de mettre en place des stations d’écoute très sophistiquées et « autonomes » sur son sol, on est en droit d’imaginer que la collaboration dans ce domaine est maximale.

Deuxième point, il est désormais établi que les pays, amis plus ou moins proches, ont mis en place après le 11 septembre une gigantesque bourse d’échange de renseignements. Tu espionnes machin, ça m’intéresse. Moi j’espionne truc et ça t’intéresse. Ça tombe bien, nos législations locales nous interdisent d’espionner machin ou truc, on n’a qu’à échanger ces données. #Spamoi qui l’ai fait, c’est mon copain. Ainsi, les Etats-Unis puisent en Grande-Bretagne les informations concernant leurs ressortissants et la Grande-Bretagne va chercher aux Etats-Unis les données concernant les sujets de sa majesté. Pratique.

Les Etats-Unis, comme l’avait déjà évoqué Reflets, ont une mauvaise connectivité avec l’Afrique. La France, à l’inverse, a de gros tuyaux qui passent par cette région. Les Américains utilisent donc des métadonnées récoltées par la France. Ceci, très probablement dans le cadre du mystérieux accord Lustre que la France refuse catégoriquement de commenter depuis la révélation de son existence. Jean-Jacques Urvoas allant même jusqu’à quitter la salle lorsque Reflets l’interrogeait sur ce sujet dans une réunion publique.

Cette collaboration asymétrique (les Etats-Unis ont des capacités d’écoute bien plus importantes) a bien entendu un volet désagréable. Lorsque Edward Snowden envisageait de demander l’asile à l’Allemagne, les Etats-Unis ont expliqué à leurs amis allemands qu’il n’en était pas question, sous peine de perdre l’accès à cette bourse d’échanges.

On peut aisément imaginer que les demandes d’espionnage du gouvernement français ou de la communauté européenne étaient également des demandes que l’on ne peut refuser. Sous peine de perdre ce fameux accès aux informations.

Troisième point, on voit mal la France, que ce soit le gouvernement ou les députés et sénateurs, monter au créneau sur cette affaire alors qu’ils défendent tous (ou presque) becs et ongles le projet de Loi sur le renseignement qui va mettre en place des outils permettant de faire… exactement la même chose. Placer sur écoute globale (surf, discussions, mails, vidéos, téléchargements, voix sur IP, etc.) une personne. Y compris probablement à l’étranger.

Je te tiens, tu me tiens, par la barbichette, tralalalalaaa…

Enfin, l’espionnage entre amis n’est pas plus une nouveauté que la collaboration étroite entre l’Allemagne et les Etats-Unis. Tout le monde espionne tout le monde. C’est pratique, par exemple, lorsque des accords internationaux sont en discussion, cela permet de savoir ce que les « amis » en face ont dans la manche. Et comme la France doit probablement faire exactement la même chose, elle n’a aucun intérêt à s’offusquer publiquement de ce que fait l’Allemagne. Sous peine d’avoir l’air un peu bête le jour où ses activités seront éventuellement dévoilées.

Un bon exemple de cette problématique avait été révélée par le patron de la NSA à l’époque où l’on venait d’apprendre que la France avait été « écoutée » par la NSA. Selon Le Monde, 70,3 millions de métadonnées sur les Français auraient été récoltées en un seul mois. Panique à bord, protestations molles du gouvernement français, et surtout, apparition de Keith Alexander, patron de la NSA devant les représentants américains :  « ce sont ces pays qui nous ont transmis ces données ». Traduction en langage non diplomatique : arrêtez de nous critiquer sinon on va révéler l’étendue de notre coopération. Message reçu par Paris et les autres capitales européennes concernées. Paris explique que ces données proviennent des terrains d’opérations (et ne concernent donc pas des Français), qu’il s’agit de métadonnées, donc, rien de grave. Nos lecteurs savent pourtant combien les métadonnées sont bavardes…

Dans le monde gris et un peu louche, pétri de compromissions, du renseignement, tout le monde se tient par la barbichette. Le premier qui rira aura une tapette ! Méfiance…

 

The Tor Browser is known to be used by activists, journalists, and people who need a high level of privacy while they’re surfing.
Every possible way to track people on Internet are a serious concern for the Tor developers because anonymization doesn’t support approximation and leads to take decisions that could seem « over-paranoid » to others developpers communities.

Description

In previous WordPress versions (prior to 4.2) Gravatar was already known to be detected as tracker by some tools like Ghostery. But with gravatars disabled, only logged in users get the warning due to the admin bar.
4.2 update on wp-includes/formatting.php introduced a new way to check if emoji are enabled or not, injecting in wp-head an emoji detection script using canvas.


window._wpemojiSettings = {"baseUrl":"https:\/\/s.w.org\/images\/core\/emoji\/72x72\/","ext":".png","source":{"concatemoji":"https:\/\/mywebstite.com\/wp-includes\/js\/wp-emoji-release.min.js?ver=4.2"}};
!function(a,b,c){function d(a){var c=b.createElement("canvas"),d=c.getContext&&c.getContext("2d");return d&&d.fillText?(d.textBaseline="top",d.font="600 32px Arial","flag"===a?(d.fillText(String.fromCharCode(55356,56812,55356,56807),0,0),c.toDataURL().length>3e3):(d.fillText(String.fromCharCode(55357,56835),0,0),0!==d.getImageData(16,16,1,1).data[0])):!1}function e(a){var c=b.createElement("script");c.src=a,c.type="text/javascript",b.getElementsByTagName("head")[0].appendChild(c)}var f;c.supports={simple:d("simple"),flag:d("flag")},c.supports.simple&&c.supports.flag||(f=c.source||{},f.concatemoji?e(f.concatemoji):f.wpemoji&&f.twemoji&&(e(f.twemoji),e(f.wpemoji)))}(window,document,window._wpemojiSettings);


This new addition, even with emoji disabled, and logged off, leads the Tor Browser to print the following warning message

WordPress owners running a website with high privacy concerns cannot let the highly trustable Tor browser giving an alert prompt to each reader about a possible privacy issue on their website. The ability to let Tor Browser users allow or block canvas hash decoding fearing a malicious use has been discussed here and here and appears in Tor Reference documentation as a fingerprinting threat.

« We display the warning if websites attempt to render image data and then silently extract it, because this is a major, high-entropy, highly stable fingerprinting vector. »

« After plugins and plugin-provided information, we believe that the HTML5 Canvas is the single largest fingerprinting threat browsers face today. Initial studies show that the Canvas can provide an easy-access fingerprinting target: The adversary simply renders WebGL, font, and named color data to a Canvas element, extracts the image buffer, and computes a hash of that image data. Subtle differences in the video card, font packs, and even font and graphics library versions allow the adversary to produce a stable, simple, high-entropy fingerprint of a computer. In fact, the hash of the rendered image can be used almost identically to a tracking cookie by the web server. »

Even if this not a security issue with WordPress, i guess the WordPress community should reconsider the use and implementation of this feature which is not critically useful for most of us, considering trust and privacy are useful an critical for vulnerable people who use Tor to protect themselves.

How to disable ?

If you want to disable this feature to avoid this useless warning on a clean / no tracking website, you have 2 solutions :

• The quick & dirty way : editing the wp-includes/formating.php and removing the code shown above ;
• The quick & smart way : adding the following line in wp-includes/formating.php to avoid this code to be injected in wp-head :

remove_action( 'wp_head', 'print_emoji_detection_script', 7 );

We hope the WordPress team will consider this issue. Even if it’s not related to security, it’s related to trust, the trust between : over-paranoid people who sometimes have good reasons to be such paranoid and website owners who try to run a state of the art WordPress for privacy, just like it should be out of the box.

Thanks to @recifs, @ScreenFeedFr & Yoshi for alerting us and helping us to fix.

Nous avons été alertés ce matin d’une incongruité sur reflets.info. Celle ci concerne une extension du Tor Browser, signalant un problème de confidentialité que nous avons pris au sérieux. Nous avons donc temporairement fermé Reflets, le temps pour nous d’essayer de comprendre d’où ceci pouvait venir.

Après de multiples vérifications, nous en sommes venus à confirmer sur un sujet des forums de WordPress que ceci était fort probablement lié à la dernière mise à jour de wordpress 4.2. Nous avons un doute sur l’intégration de petits gadgets, inutiles à la publication (gravatars et Emoji), qui peut conduire votre navigateur à fournir à au serveur web le moyen d’identifier votre navigateur de manière unique à des fins de tracking.

Confiant en la politique globale de WordPress en matière de confidentialité, nous ne doutons pas que ceci sera prochainement réglé. En attendant, pour une confidentialité accrue, nous vous invitons à utiliser une version à jour de Tor Bundle pour bloquer la requête faite à votre navigateur.

En vous priant de bien vouloir nous excuser pour ce désagrément.

Merci à @recifs et Yoshi de nous avoir remonté ce problème.

/b

Le Monde publiait dernièrement un article sur Predpol, si l’information est intéressante à rappeler, elle n’est pas récente et Predpol lui même n’est pas le nec plus ultra en matière de surveillance prédictive. La prédiction de la criminalité sur les réseaux n’est pas nouvelle nous avions il y a quelques années déjà eu vent d’ Indect (projet de recherche porté par la communauté européenne visant à détecter et prévenir les comportements criminels et le terrorisme). Et un troisième, mais nous y reviendrons plus tard…

Il est donc temps pour nous d’aborder ce pan méconnu de la surveillance basée sur des statistiques, que nous abordions par ailleurs déjà en 2010 sans que cela n’émoustille grand monde et que nous définissions de cette manière :

Le calcul stochastique est une approche de calcul probabiliste datant des années 50. Ses applications aux réseaux sont elles, très contemporaines. On déduira des diverses choses trouvées sur le Net que la SPI est donc une approche probabiliste d’inspection de paquets visant à en déterminer sa nature et à appliquer des règles en fonction de l’observation de ce qui transite sur le réseau. 

 

Nous parlions donc de Stochastic Packet Inspection, une inspection des paquets IP basée sur une approche probabiliste. L’approche probabiliste appliquée aux réseaux présente l’avantage de recentrer la surveillance active sur les signaux faibles en partant d’une interception, elle, bien massive… sinon, comme le rappelait Andréa Fradin dans cet excellent article … ça ne fonctionne pas de manière optimale. Mais de quoi parle t-on quand on parle d’écoute massive ? C’est là qu’il y a souvent une confusion entre le mot lui même et ce que la pratique, en environnement de production, permet de faire. La NSA s’est dotée des systèmes de renseignement d’origine électromagnétique les plus gargantuesques, aspirant tout et n’importe quoi et nécessitant des traitements que la France n’aurait pas les moyens de s’offrir. Les révélations d’Edward Snowden ont permis une certaine prise de conscience générale sur les dommages collatéraux en terme de libertés publiques. Mais, Snowden ou pas, la réelle menace terroriste planant sur certaines nations, dont la France, conduit de nombreuses entreprises privées, la recherche publique, et les autorités, à repenser une surveillance plus efficace.

L’épisode (en plusieurs parties) qui va suivre nous rappelle vaguement une vieille connaissance de Reflets, c’est l’histoire de ce qui n’est pour l’instant qu’un projet de recherche universitaire, directement interconnecté à un besoin à des fins de renseignement et de surveillance, pour prévenir la criminalité. La surveillance algorithmique des populations, afin de détecter et de prévenir des comportements criminels a t-elle un avenir en France ? On peut le craindre. Car pour rendre un algorithme intelligent, il faut l’alimenter avec un maximum d’informations, pour lui permettre d’apprendre. Les statistiques ne sont fiables que si les échantillons sont ultras représentatifs, et plus on a de données, plus ils sont représentatifs… et plus la prédiction a des chances d’être efficace. Il y a bien au moins un projet en ce sens à l’étude en France, réunissant des acteurs assez sérieux pour qu’il prenne forme un jour.

De la même façon que le marketing prédictif ou les algorithmes de high frequency trading sont boulimiques d’informations, la surveillance des personnes à des fins de prévention des crimes et délits seront naturellement d’énormes consommateurs de métadonnées, métadonnées qui vous renseignent souvent bien plus que les contenus des correspondances sur les activités d’une personne.

Et heu .. au fait, ça fonctionne comment votre truc niveau libertés publiques tout ça ? Et bien les libertés publiques dans tout ça, c’est pas folichon. Bernard Cazeneuve a beau répéter que « non on ne viole pas les communications, on intercepte que des métadonnées  », si les « algorithmes » correspondent à une approche probabiliste « (open)data centric », les informations dont nous disposons aujourd’hui nous laissent distinctement entrevoir une utilisation de ces métadonnées qui fait froid dans le dos. Si Predpol ne nous transporte pas encore dans l’ère « Minority Report  », la loi sur le renseignement, les boites noires qui nous font tant fantasmer et les algorithmes probabilistes à des fins de détection comportementale sur les réseaux pourrait bien tout droit nous y conduire. Cette orientation ne peut pousser qu’à faire du massif, toujours plus massif, pour rendre un algorithme plus efficace, plus intelligent, plus intrusif. Nous ne serions même plus dans de la « surveillance de masse  », mais dans le cybereugénisme. Du délit de sale gueule au délit de sales métadonnées, il n’y a désormais qu’un pas, et il pointe à l’Horizon.

Plus que jamais, nous ne pouvons que réaffirmer le besoin d’ouvrir une vaste concertation sur ce qui n’est plus qu’un problème uniquement lié à la sécurité des personnes, mais un choix de société sur le long terme, que d’autres pays suivront une fois la boite de Pandore ouverte. Oui nous sommes menacés, mais ceci ne doit pas être le prétexte à faire peser sur nos démocraties des menaces encore plus lourdes. Le renseignement a probablement besoin de plus de retenue de la part des politiques, de plus de moyens humains, d’outils techniques et légaux adaptés à la problématique précise du terrorisme et qui ne risquent pas un jour de se retrouver à réguler l’ensemble de nos sociétés comme ils régulent déjà artificiellement les marchés financiers.

Dans le projet de loi sur le renseignement, deux points – au moins – posent question : pour chacun d’eux le gouvernement affirme l’inverse de ce que tous les experts dénoncent.

Pour le gouvernement – qui l’a répété à de nombreuses reprises – « il n’y aura pas ni DPI ni boîtes noires » (terme pourtant proposé par des conseillers de Matignon eux-mêmes lors de la présentation du texte à la presse, le 17 mars dernier).

Pour les spécialistes, cette affirmation sonne faux, puisque dans le même temps les services précisent ne vouloir accéder qu’aux métadonnées correspondant aux cibles que leur fameux « algorithme » aura définies.

Or de deux choses l’une: soit les services auront un accès direct aux données stockées par les fournisseurs de services (hébergeurs, serveurs de mail, moteurs de recherche…) français – exactement comme dans le programme PRISM de la NSA, qui fut à l’origine du scandale révélé par E. Snowden – soit il devra placer des sondes « boîtes noires » à des points stratégiques du réseau pour extraire du flux de toutes les données échangées celles qui l’intéresse. Ce qui ne peut se faire sans DPI.

 

We don’t need no DPI

On peut – sans prendre beaucoup de risque – supposer que le processus décrit par Octave Klaba (OVH) après la réunion entre hébergeurs et gouvernement correspond trait pour trait à la première option: contraints par le pouvoir en place, les hébergeurs devront fournir à la demande toutes les métadonnées en leur possession aux équivalents hexagonaux des DITUs du schéma ci-contre.

Pas besoin de faire du DPI quand on a un accès direct aux données émises ou reçues aux extrémités: le boulot a déjà été fait par la couche IP de l’hébergeur.

Du coup, « pas de DPI » ? Ce n’est pas si clair.

D’après les promesses du gouvernement (retranscrites dans le schéma ci-contre fait par Gandi), les données fournies par les hébergeurs se limiteront aux seuls services visés dans l’autorisation de l’exécutif: il n’y aura pas de surveillance générale de tous les sites hébergés. On en déduira que, forcément, l’information qui permet de sélectionner tel ou tel service, telle ou telle boîte email, viendra d’ailleurs: s’il y a « boîte noire » et « détection de signal faible », ça ne peut pas se faire en bout de chaîne, ni sur des services précisément définis. On n’est plus, là, dans la détection: on est dans la surveillance d’une cible déjà identifiée.

C’est déjà grave: c’est exactement ce que fait le programme PRISM, rappellons-le, le tout sans la moindre autorisation judiciaire.

Mais d’où viendront donc les renseignements permettant ce ciblage ?

 

Another brick in the net

Soyons clairs : meme si les hébergeurs partaient de France, comme ils ont menacé de le faire, le probleme resterait entier. Pourquoi ? Simplement parce que nous parlons d’écoute du réseau lui-même, et donc du rôle central des fournisseurs d’accès (FAI), qui sont eux aussi concernés par la loi.

Chez eux, point de métadonnées déjà décodées: ils ne sont pas en bout de chaîne, ce sont de simples tuyaux par lesquels passent tous nos petits paquets IP pas encore remis dans l’ordre. Les métadonnées sont quelque part dedans, mais éparpillées «façon puzzle», parfois chiffrées, souvent pas, en désordre complet. Impossible pour les fournisseurs d’accès de ne fournir « que les métadonnées » dont ils disposent: il n’en disposent pas.

Sauf si… Après tout, la promesse de ne pas « tout surveiller » et de ne recueillir « que les métadonnées », pour ce qu’elle vaut (rien n’a été inscrit dans la loi, tout se passera donc dans ses décrets d’application, modifiables à tout instant par d’autres décrets comme Gandi le remarque), cette promesse, donc, le gouvernement ne l’a faite qu’aux hébergeurs. Pas aux FAI.

Un FAI, par définition, ça ne peut pas s’expatrier, et ça dépend du pouvoir pour – notamment – l’attribution des fréquences de téléphonie portable: un FAI, ça ferme sa gueule ou ça démi ferme tout court.

Pour qu’un « algorithme de détection de signal faible » soit un tant soit peu efficace (mouahaha), il faut qu’il traite tout le tas de données disponibles en vrac pour essayer d’en extraire quelque chose d’intelligible. Et pour le faire, il faut du DPI.

Il est probable, si on veut croire (re-mouahaha) les promesses du gouvernement, que seul un équivalent de PRISM soit imposé aux hébergeurs.

Tout comme il est quasi-certain que, côté FAI, on conservera boîte-noire, algorithme, et surveillance de masse. Et, que vos serveurs soient ou non hébergés en France, vous passerez toujours par votre FAI pour y acceder.

Et donc, quoi qu’en dise Bernard Cazeneuve (qui a sans doute un peu trop écouté les vendeurs de solutions de surveillance prêts à tout pour emporter le marché), on fera bien du DPI.

Ce qui nous amène au second point posant question: l’affirmation selon laquelle il n’y aura « pas de surveillance de masse ».

 

We don’t need no thought control

On est là, typiquement, dans une pure sémantique politicienne.

Pour n’importe quelle personne normale, dès lors que tous les échanges passent au travers de filtres gouvernementaux, il ne peut s’agir d’autre chose que de surveillance de masse, et ce quel que soit l’usage qui sera fait de ces filtres.

Pour un politicien qui veut défendre son bout de gras, cependant, c’est cet usage qui va définir si oui ou non on pèche « au chalut » ou « au harpon »: selon lui, du moment qu’il ne fait que regarder tout ce que nous faisons sans rien en faire (pour le moment) sauf si ça touche au terrorisme, alors il ne s’agit que de pèche au harpon.

Pur artifice de langage, qu’on peut traduire en français courant par « je regarde tout ce que tu fais, mais promis je te surveille pas ». Ou, pour rester dans la métaphore chalutière, « pour savoir où planter le harpon, il faut d’abord utiliser le sonar ».

Accessoirement se pose une question rigolote : un fonctionnaire qui découvre un crime ou un délit – même s’il n’a rien à voir avec le terrorisme – est tenu d’en informer les autorités judiciaires. Est-ce que l’algorithme du gouvernement est considéré comme un fonctionnaire ? Si oui, évitez de sortir des clous de quelque manière que ce soit, puisque vous serez poursuivis selon le bon-vouloir d’une machine, réglée par le gouvernement alors en place.

On peut – naïvement – imaginer que le gouvernement n’a pas les compétences techniques pour comprendre que son projet implique l’usage de DPI: après tout sa seule faute aura été dans ce cas d’avoir pris conseil auprès de commerçants (souvenez-vous de la vraie-fausse intervention de Bluecoat à l’Assemblée) plutôt qu’auprès de scientifiques.

Mais on peut être certain qu’en matière de double-langage, Bernard Cazeneuve n’a de conseil à recevoir de personne.

Nous vous en parlions sur Reflets en octobre 2013, une proposition de loi portée par le sénateur Richard Yung visant au renforcement de la lutte contre la contrefaçon est actuellement en train de faire son nid, totalement dans l’ombre de la loi de renseignement. Etrangement… Comme tous les coups tordus, elle fit l’objet d’une procédure accélérée pour être finalement adoptée fin février 2014. Aujourd’hui, c’est le moment de la douloureuse de tout épisode législatif, celui des décrets d’application.

Et quel moment plus opportun que celui où parallèlement à ces décrets, le parlement examine sur une loi de surveillance à l’origine destinée à la lutte contre le terrorisme, mais que le gouvernement a déjà élargi à :

• L’indépendance nationale, l’intégrité du territoire et la défense nationale (amendement 151)
• Les intérêts majeurs de la politique étrangère et la prévention de toute forme d’ingérence étrangère (152)
• Les intérêts économiques, industriels et scientifiques majeurs de la France (153)
• La prévention du terrorisme
• La prévention de la reconstitution ou d’actions tendant au maintien de groupements dissous (155
• La prévention de la criminalité et de la délinquance organisée. 
• La prévention de la prolifération des armes de destruction massive (154).

Aucun rapport ?

Effectivement, à priori, une loi anti-contrefaçon n’a rien à voir avec une loi visant à prévenir le cyberterrorisme. Sauf que dans cyberterrorisme, il y a « cyber », et que « cyber », c’est un peu le mot idéal pour y coller tout et n’importe quoi. Le volet cyber de la loi sur le renseignement (et c’est une loi principalement orientée là dessus), a déjà intégré « Les intérêts économiques majeurs de la France » partant de là, il y a déjà une frontière relativement poreuse entre le volet terroriste et le volet des intérêts économiques. En suivant ce raisonnement, il suffira d’arguer qu’Internet est un nid d’évadés fiscaux et de contrefacteurs pour justifier une nouvelle extension de la surveillance d’Internet, cette fois-ci applicable à la contrefaçon et à l’évasion fiscale… pourquoi se priver alors qu’on peut faire coup double ?

Et si on mettait les boites noires de Bercy chez les cybercommerçants ?

Car c’est bien ça qui est en train de se jouer actuellement : permettre à l’administration de tracer tous les échanges commerciaux sur le net, tout comme le fait de tracer toutes communications. Maintenant que la rhétorique gouvernementale en matière de surveillance est bien rodée, il faut s’attendre au même discours que pour la loi de renseignement, à savoir :

« on ne vous flique pas, ce ne sont que des métadonnées« 

… Et ça tombe bien, car à l’échelle du commerce en ligne, les métadonnées, ce n’est pas ce qu’il manque, paniers, factures, contrats, bons de livraisons, l’administration serait devenue boulimique de données de transactions commerciales…. Ainsi, nos sources font état de demandes surréalistes de la part des douanes qui sont actuellement faites, portant sur un historique à 5 ans de toutes les données relatives aux transactions. L’enjeu qui se joue en ce moment est celui d’un accès direct aux systèmes d’information des cybercommerçants et des transporteurs, alors qu’il fallait jusque là que ces derniers transmettent ces données sur une période précise et raisonnable, sur un public ciblé.

Bougeons avec la Poste !

Si vos correspondances électroniques sont scrutées par l’administration, pourquoi votre courrier physique ne le serait t-il pas ? Nous le répétons souvent ici sur Reflets : tout ce qui est sur Internet finit un jour par en sortir, et ceci inclut évidemment les atteintes aux libertés fondamentales. Que votre correspondance soit électronique ou non, l’administration veut en garder trace. Ainsi, les transporteurs risquent de se voir contraints d’ouvrir leur système de tracking à l’administration… et attention, il risque d’être ouvert à la hache avec les prochains décrets d’application puisqu’ils devraient intégrer au moins deux points contre lesquels les professionnels du fret express, dont l’UFEX (Union Française de l’Express) s’élèvent :

1. La possibilité des douanes de s’affranchir de l’information préalable du procureur de la République pour contrôler de façon inopinée des envois dans nos centres de distribution régionaux, alors que des contrôles douaniers sont déjà opérés dans nos centres de tri nationaux (article 12), et 
2. La mise à disposition systématique des données dont les entreprises disposent (article 13), y compris lorsque celles-ci concernent les envois intra-communautaires (Les « expressistes » fournissent déjà des informations sur les envois intercontinentaux et contrôler l’intra-communautaire serait contraire au principe de libre circulation des marchandises). 

Se passer d’un juge, tracer tous les échanges, stocker 5 ans de métadonnées… ça ne vous rappelle rien ?

Le FRench Network Operators Group (FRnOG), se définit lui même comme un « groupe d’échange d’informations qui rassemble des personnes intéressées par les domaines de la sécurité, la recherche et le fonctionnement d’Internet en France. » Réunissant les principaux acteurs qui s’impliquent dans l’écosystème  Internet en France, c’est évidemment avec une grande attention qu’il faut suivre les échanges sur ses mailing listes.

La nouvelle loi sur le renseignement a évidemment préoccupé les acteurs chez qui le gouvernement voulait placer ses « boites noires ». Et à en croire un mail posté sur FRNog, nous l’avons échappé belle, avec une mention spéciale pour OVH qui a mené de front son opposition au placement de sondes en coeur de réseau chez les opérateurs, ce qui représentait le dispositif le plus intrusif que l’on puisse imaginer. Et ce mail tranche très sérieusement avec la communication gouvernementale puisque le ministre qui insistait sur le caractère non massif, non intrusif, non attentatoire aux libertés publiques, était en train de défendre dans les faits le placement du pire dispositif imaginable, un peu sur les modèles syriens et libyens, Un dispositif qui dans sa version la plus extrême aurait non seulement pu intercepter à volonté le contenu de toutes communications, mais également les altérer en modifiant ces mêmes contenus, sans que les opérateurs n’en soient eux mêmes informés… comme ça, depuis leur infrastructure… le concept des « boites noires ».

En coulisses, loin de l’intérêt des médias, il s’est joué une très importante bataille qui a été partiellement relatée sur FRNog par Philippe Bourcier. Une pétition réunissant 60 opérateurs signataires faisant part des vives inquiétudes d’un dispositif gouvernemental  d’interception sur leurs infrastructures a conduit à une négociation avec le gouvernement pour que ce dernier abandonne l’idée de sondes capables d’intercepter le contenu des communications. Et les opérateurs ont été entendus (mieux vaut tard que jamais), puisque ces négociations ont conduit à l’adoption d’un amendement à l’article L.851-4.

L’article L. 851-4 prévoit que le Premier ministre peut ordonner aux opérateurs de communications électroniques et aux fournisseurs de services de détecter, par un traitement automatique, une succession suspecte de données de connexion, dont l’anonymat ne sera levé qu’en cas de révélation d’une menace terroriste.

Nous vous relatons ici directement les propos de Philippe Bourcier pour bien comprendre la subtilité de ce à quoi nous avons échappé in extremis.

Le but de la pétition a été atteint !

Le projet de loi n’instaure plus une vague idée de surveillance
permanente en mode sniffer directement en coupure (passive (quoi que…
la suite logique c’était la possibilité de modifier les paquets…)) sur
vos réseaux. Un retour en arrière à l’époque de la Stasi ou encore
actuelle du Patriot Act…

Les modalités ont été précisées et le système doit :
– être alimenté par l’hébergeur ou l’opérateur (donc c’est vous qui
faites un port-mirroring du port d’un ou plusieurs serveurs/IPs), ce
n’est plus une sonde qui capture tout, tout le temps, sans que vous le
sachiez…
– ne plus être alimenté en permanence (type DPI/sniffer « black box »),
mais n’est alimenté que durant 4 mois pour chaque demande précise.

*** En gros, le texte n’apporte pas de nouveautés par rapport à ce qui
se faisait déjà (officieusement), là où le risque était d’avoir un
équipement en coupure sur les réseaux et sur lequel personne n’avait de
visibilité ! ***
La différence est même que désormais les limites et le cadre légal
seront clairement établis !

Et effectivement, nous pouvons tous remercier OVH et tous les opérateurs signataires qui ont empêché ce vers quoi le gouvernement s’orientait, c’est à dire un dispositif qui aurait fait passer Orwell pour un « bisounours hémiplégique ».

C’est un peu comme la politique. Tout le monde est persuadé d’avoir raison. Chacun son point vue, opposé, souvent. Dans le cas qui nous intéresse, Qosmos, la société française qui parade actuellement à la conférence RSA, tout récemment placée sous le statut de témoin assisté du chef de complicité de crimes de torture commis en Syrie, ne voit dans cette décision des juges qu’une confirmation de ce qu’elle n’a rien à se reprocher. De l’autre côté du ring, les association de lutte pour les Droits de l’Homme qui y voient une confirmation que la mise en examen se rapproche à grands pas.

Allez, le match :

L’événement vu depuis chez Qosmos :

« La société Qosmos a été auditionnée ce jour en tant que témoin assisté par les magistrats instructeurs dans le cadre de l’information judiciaire ouverte le 4 avril 2014 et qui suit son cours », indique l’entreprise dans un communiqué adressé à l’AFP. « A l’issue de cette audition, le statut de témoin assisté lui a été confirmé. Les magistrats instructeurs considèrent donc qu’en l’état, aucune charge ne pèse contre la société », ajoute la PME.

Qosmos (…) a toujours affirmé qu’aucun de ses équipements ou logiciels n’avait jamais été opérationnel en Syrie. L’entreprise concède avoir envisagé de travailler avec une société allemande sous-traitante d’une société italienne qui travaillait avec la Syrie. Mais elle affirme avoir dénoncé unilatéralement ce projet en octobre 2011, sept mois après le début du conflit.

Vu depuis la FIDH :

« Cette décision vient confirmer le bien fondé de la démarche entreprise par nos organisations à-travers le dépôt de notre plainte en juillet 2012 », a déclaré Patrick Baudouin, avocat et président d’honneur de la FIDH.

Il importe de rappeler que le statut de témoin assisté, qui peut être le préalable à une mise en examen, vise toute personne mise en cause par un témoin ou contre laquelle il existe des indices rendant vraisemblable qu’elle ait pu participer, comme auteur ou comme complice, à la commission des infractions dont le juge d’instruction est saisi.

Qui a raison, qui a tort ? Où se trouve la vérité ?

Quelques pistes de réflexion :

• Qosmos, toujours par le biais d’une autre société (Amesys, Utimaco, Area SPA) a essayé de vendre ses sondes à la Libye de Kadhafi et à la Syrie de Bachar el-Assad.
• Pour la Libye, les sondes n’étaient pas assez performantes. Le deal avec Amesys est tombé à l’eau, un arrangement à l’amiable a été recherché (lequel ?).
• Pour la Syrie, sept mois après le déclenchement des « troubles », Qosmos a compris, que cela devenait très mauvais en termes d’image et s’est retirée du projet.
• Dans tous les cas, Qosmos souhaitait participer avec ses technologies à un projet d’écoute massif de la population dans des pays dictatoriaux connus pour leur répression des opposants.
• Si en Libye, pour Qosmos, les sondes n’ont jamais été livrées, ni n’ont été opérationnelles, l’histoire n’est pas similaire en Syrie:
  • Plusieurs sondes ont été livrées en Syrie.
  • Des tests de captation de données ont été réalisés chez plusieurs FAI sur place par un salarié de Qosmos.
  • Le contrat signé avec Utimaco permettant le projet syrien est signé par Qosmos en janvier 2009 et est résilié par Qosmos en mai 2012.
  • Mi-2011, les sondes étaient déployées en Syrie et fonctionnaient (au moins partiellement). Le début des troubles dans le pays date du 15 mars 2011.

A défaut d’un communiqué précis de Qosmos sur son site à propos de son placement sous le statut de témoin assisté du chef de complicité de crimes de torture commis en Syrie, on ne peut que rebondir sur les termes de la dépêche AFP. Lorsque Qosmos dit que ses « équipements ou logiciels n’ont jamais été opérationnels en Syrie » la société est très éloignée de la réalité décrite par ses propres salariés lorsqu’ils ont été interrogés par la Justice -et dont certains propos ont été retranscrits par Le Monde. Des sondes ont été livrées. Elles ont été opérationnelles. Avec des bugs, soit, mais opérationnelles, sur place…

Tenter de masquer des agissements à tout le moins moralement condamnables en se déclarant sous-traitant d’un sous-traitant (#Spanous’), en laissant croire que le matériel n’a jamais été opérationnel (sous-entendu, jamais déployé sur place), est pour le moins pathétique.

Pour ce qui est du match décrit plus haut, laissons le lecteur se faire une opinion…

Très régulièrement, on voit fleurir sur Internet des articles très alarmistes sur la cigarette électronique. Des études qui n’en sont pas, des propos de chercheurs mal traduits, des protocoles de tests inexistants… mais peu importe, il y a toujours une agence de presse pour relayer des alertes toutes plus surréalistes les unes que les autres visant à faire passer la cigarette électronique pour quelque chose d’extrêmement dangereux, bien plus dangereux encore que la cigarette traditionnelle.

Car vous comprenez la cigarette traditionnelle, elle au moins on sait ce qu’elle fait, elle tue rien qu’en France 78 000 personnes chaque année. Mais par « principe de précaution » (NDLR : il doit s’agir d’une précaution fiscale), la nouvelle loi de santé, et prochainement la transposition d’une directive européenne, viendront encadrer la vape comme un produit du tabac. Ouais… sauf qu’il n’y a pas de tabac. Il peut y avoir de la nicotine, certes, mais dans la cigarette, ce n’est pas la nicotine qui tue, mais les goudrons, la combustion. Goudrons et combustion qu’on ne retrouve pas dans la cigarette électronique. Mais par « principe de précaution », le gouvernement semble très attaché à ses 78 000 morts par an… une mane fiscale providentielle, le cashflow de la relance, qui coûte quelques années plus tard très cher à la société en soins.

Après l’étude japonaise bidonnée, après l’étude norvégienne non moins bidonnée sur la « vapotage passif », une nouvelle « étude » relayée par le Boston Herald vous explique cette fois ci que la cigarette électronique provoquerait des cancers et une mutation des cellules… oui ! Toi vapoteur, tu vas devenir un X-Men ! L’étude en question, serait signée du Dr Avrum Spira, professeur de médecine à la Faculté de médecine de l’Université de Boston. Le problème, c’est qu’il n’y a derrière cette déclaration aucune publication scientifique et que le professeur en question explique en gros que « ce que l’on ne connait pas pourrait être dangereux pour nous »… et si ma tante en avait …

Et avant que l’AFP ne s’empresse de publier une dépêche qui sera reprise puis timidement démentie comme les précédentes, sachez que le Dr Avrum Spira était déjà à l’origine d’une polémique l’année dernière avec cette même annonce, des propos qui avaient été lourdement pondérés par le fait que si la cigarette traditionnelle crée bien des cellules cancéreuses, il n’a pas été mis en évidence que ceci était le cas avec la cigarette électronique.

Thx @avalonne_vero

Pour aller plus loin 

• Plus d’une centaine d’études sérieuses sur la e-cigarette
• Le site du professeur Farsalinos
• Le blog de Jacques le Houezec
• Le site de l’AIDUCE
• Le blog Ma-Cigarette

Attention, ce matin, Pierre Lellouche interviewé par Pierre Weill était remonté contre le projet de loi sur le renseignement. Le valeureux député UMP débute cet extrait en disant … »on est pas tous débiles » et s’inquiète des technologies de surveillance qui permettent d’écouter tout le monde sur le réseau, avec la fameuse technologie du « Deep Pocket Inspection », nous dit-il. Et ce n’est pas un lapsus, puisque ce brave Lellouche se fend d’une traduction pour l’auditeur qui ne comprendrait pas bien l’anglais : « l’inspection des poches profondes…  » (à 0’34)

<script type="text/javascript"> jQuery(document).ready(function($) { $('#wp_mep_1').mediaelementplayer({ m:1 ,features: ['playpause','current','progress','duration','volume','tracks','fullscreen'] ,audioWidth:400,audioHeight:30 }); });

Et oui, à l’UMP, on inspecte les « poches profondes » des internautes (et des contribuables ?), qui sont, ces poches, comme chacun le sait, sans fond. Mais chez Lellouche, il n’y a pas que les poches qui sont profondes, visiblement.