Sujets-libres.fr

Informatique, logiciels libres, internet, humeurs et… le reste !

internet

Mise à jour blog vers PluXml 5.6

Rédigé par -Fred- / 23 avril 2017 / Aucun commentaire

Quelques jours après la sortie officielle de la version 5.6 de PluXml, je viens de faire la mise à jour de mon blog. Je ne suis pas trop à la recherche de la dernière "fonctionnalité de la mort qui tue" car l'usage que j'en fait est finalement assez basique. La principale raison de la mise à jour tient dans le fait qu'elle prend en compte quelques corrections de bugs. J'apprécie toujours autant la simplicité d'utilisation, la légèreté forcement et la simplicité de mise à jour.

L'enjeu derrière nos usages numériques

Rédigé par -Fred- / 14 février 2017 / 1 commentaire

J'ai eu récemment la chance de pouvoir faire une présentation de GNU/Linux à quelques personnes d'horizons variés et aux motivations diverses. J'avais bien entendu préparé mon intervention et j'avais prévu de pouvoir faire le grand écart afin de répondre à un éventail assez large de questions. En effet, je ne savais pas à l'avance qui j'aurais en face de moi.

La présentation s'est plutôt bien déroulée malgré un petit couac lorsque j'ai voulu présenter l'installation d'un système dans une machine virtuelle (l'effet Bonaldi, pour ceux qui se souviennent :p ). J'avais en outre prévu une petite présentation de l'historique ayant amené à la situation actuelle dans le logiciel libre en général, un focus sur ce qu'est une distribution GNU/Linux, un moment pour discuter de GNU/Linux au quotidien et un autre pour parler de quelques idées reçues.

Chose intéressante, et dont je veux parler dans ce billet, les interrogations de l'une des personnes venue assister à cette présentation. Il s'agissait d'un utilisateur Windows n'ayant pas apprécié la mise à jour quasi forcée vers Windows 10 et le côté intrusif de ce système, donc pas quelqu'un de spécialement technique à la base mais plutôt un utilisateur normal quoi. Un ami à cette personne lui avait conseillé d'installer (GNU/)Linux à la place parce que ce système protège la vie privée et qu'il ne décide pas tout seul de ce qui est bien pour vous.

En passant, j'étais un peu gêné car le système d'exploitation quel qu'il soit est capable de plein de choses, c'est sûr, mais il n'a pas directement vocation à protéger la vie privée de ses utilisateurs. Bon, dans le cas de Windows, la tendance va plutôt dans le sens opposé mais pour en revenir à GNU/Linux, même si cet environnement n'est pas curieux de nature concernant vos données, ce n'est qu'un outil. C'est votre usage de l'outil qui est le plus important là dedans.

L'idée que j'ai essayé de faire passer lors de cette présentation, c'est que l'enjeu important derrière nos usages numériques, c'est la confiance que l'on porte dans les systèmes que l'on utilise. Le mot "Confiance" est vraiment central. En fait, et c'est là ou je veux en venir, c'est qu'en fonction des outils qu'on utilise et des usages que l'on en a, on va tous consciemment ou non définir notre zone de confiance propre. Dans cette zone, on peut s'exprimer librement, expérimenter, penser quelque chose puis se dire que non, c'était une bonne grosse idée de merde, on peut avoir une certaine intimité, de la même manière que dans la vie réelle. Hors de cette zone, il y a tout ce qui est potentiellement public et que l'on peut donc vous reprocher ensuite. Par défaut, vous vous modérez, vous êtes prudent et vous montrez peut être même une nouvelle personne au monde qui vous entoure. Un être humain normal a besoin de ces deux zones.

Partant de là, la limite de la zone de confiance de l'utilisateur dont je parlais plus haut se situe à peu près entre ses mains et son clavier. C'est en tout cas se qui se passe à mon sens quand on ne peux pas faire confiance à sa propre machine car elle ne joue pas avec vous mais pour un autre. Comme dans la vraie vie, il me semble dangereux de ne plus avoir d'espace où avoir une vraie intimité. Une zone où cacher toutes ces choses auxquels on ne pense plus quand on prétend ne rien avoir à cacher par exemple. Agrandir et préserver cette zone demande de nombreux efforts mais c'est important et nécessaire. Tous ceux qui se cassent un peu la tête pour utiliser ou faire du logiciel libre, pour s'auto-héberger ou pour avoir un regard critique sur leurs pratiques en ligne ont probablement, consciemment ou pas, déjà fait ce constat bien avant moi.

L'auto-hébergement garde-t-il du sens si le plus important n'y est pas ?

Rédigé par -Fred- / 04 janvier 2017 / 13 commentaires

Récemment, Genma a publié un article au sujet de l'impact de diverses coupures électriques sur son activité auto-hébergée : Coupure-de-courant-et-auto-hebergement. Diverses idées sont développées dans ce billet mais celle qui a retenu mon attention est la suivante : L'auto-hébergement c'est bien mais il ne faut pas le faire pour les services sensibles et desquels on est fortement dépendant. J'ai bien entendu laissé un commentaire sur son blog mais je trouvais justifié de développer un peu plus mon point de vue ici.

En gros, le blog et le mail seraient à ne pas héberger derrière une ligne ADSL car on ne peut se permettre soit un blog inaccessible, soit la non réception de ses mails. On a chacun des priorités variables mais je conçois aussi que ces deux usages soient importants. Dans le cas des coupures électriques à répétition il est évident que ça perturbe fortement l'activité de ces services et que si c'est prolongé, ça fini par causer des pertes définitives de données. Typiquement, vous commencez à perdre des messages si votre serveur mail n'est pas en mesure de les réceptionner pendant plusieurs jours d'affilée et dans la mesure du possible, il est préférable d'éviter ça. A l'inverse les divers services moins importants peuvent être auto-hébergés.

J'ai en fait une approche diamétralement opposée et forcement, j'en arrive à préconiser à peu près l'inverse. J'ai décidé de m'auto-héberger, non pas pour tester des services mais parce que j'ai éprouvé le besoin de reprendre le contrôle de mes données personnelles, notamment le mail. J'ai alors décidé de m'auto-héberger. Forcement de mon point de vue, l'auto-hébergement perd fortement de son sens si on décide de ne pas y stocker les données que l'on a de plus précieuses.

Alors oui, le faire soit même présente des risques car on a rien sans rien. Il faut cependant se donner les moyens de ses ambitions. Dans des billets de blog divers et variés, je vois que certains peuvent utiliser des machines peu fiables pour faire de l'auto-hébergement (typiquement des Raspberry Pi avec un système sur carte SD). Sur le principe bon, pourquoi pas, c'est amusant et très formateur. Le côté Geek en plus, c'est cool aussi.

Pourtant quand on se lance là dedans pour vraiment rapatrier ses données personnelles, le jeu doit être pensé sérieusement dès le départ. Grossièrement, il faut déjà penser à se faire son analyse de risques puis identifier ceux qui sont les plus impactants et corriger ce qui doit vraiment l'être par des actions les plus efficientes possible. Et comme on pense à l'avenir, et bien on planifie ce qui n'aura pas pu être mené immédiatement tout en prévoyant des mesures palliatives si d'aventure le pire devait arriver.

Dans le cas de multiples coupures électriques de quelques heures il est assez simple d'évaluer l'impact que ça peut avoir sur ses services auto-hébergé. On peut alors apprécier les risques encourus : perdre des visiteurs de blog ? voir ses mails arriver avec 1 jour de retard ? Perdre carrément des mails ? Risquer de la casse matérielle ? Perte définitive des données stockées ? Risque très probable d'avoir d'autres priorités que les services auto-hébergés à gérer lorsque la coupure survient ? Tout ça est prévisible et si on pense son auto-hébergement sérieusement on peut immédiatement éliminer certains risques, atténuer les effets encourus par d'autres risques et dans tout les cas avoir une meilleure vue sur l'ensemble des risques résiduels. Le tout encore une fois, c'est de penser ce jeu de manière sérieuse car le risque, ça se gère.

Je pense que différentes motivations poussent à s'auto-héberger. Je me garderai bien d'être catégorique sur ce qu'il convient ou non de faire. La seule chose sur laquelle il faut à mon sens être clair quand on parle d'auto-hébergement, ce sont justement les motivations qui conduisent à s'y essayer. Ça aide à mettre en perspective les propos des uns et des autres et à les replacer dans le bon contexte. Les propos de Genma sont tout à fait pertinent dans son contexte et, à mesure que j'y réfléchi, pas du tout dans le mien.

L'abus de requêtes inter-domaines

Rédigé par -Fred- / 19 octobre 2016 / Aucun commentaire

S'il y a un truc qui me pose problème quand je navigue sur le web, c'est bien les requêtes inter-domaines. Prenez un site quelconque, et regardez la liste des domaines hébergeant les ressources nécessaires à l'affichage d'une page. On peut s'amuser à les compter si on veut (un petit "tcpdump port 53" par exemple est assez instructif). A titre indicatif, se connecter sur www.lemonde.fr nécessite d'effectuer plusieurs dizaines de requêtes DNS, pointant vers presque autant de domaines différents. Histoire de ne pas en accabler un plus qu'un autre, tout en restant dans les journaux en ligne, le constat est identique pour www.mediapart.fr , pour rue89.nouvelobs.com ou pour www.ouest-france.fr.

Sans forcement examiner dans le détail l'ensemble des domaines contactés, dans le lot on voit quand même passer beaucoup de domaines dont on sent bien qu'ils ne sont pas là pour apporter des contenus mais plutôt pour tracer l'activité des visiteurs ou pour afficher de la pub.

J'ai pris l'exemple des journaux en ligne mais bien entendu, ça ne se limite pas à eux (allez voir la page d'accueil de www.marmiton.org pour rigoler). Je constate que c'est plutôt, et de loin, la norme pour les sites un peu gros générant du trafic. Les sites plus confidentiels sont globalement plus propres de ce point de vue. Je me doute bien que les sites en question n'ont pour vocation première de pister leurs visiteurs mais ils font peut être quelque chose de plus grave : globalement ils s'en fichent, tout simplement.

Ce qui est gênant, pour l'internaute que je suis en tout cas, c'est de voir que parmi les sites abusant de ce type de pratiques, on retrouve à peu près toujours les mêmes fournisseurs de services CDN, les mêmes outils d'analyse de trafic, les mêmes régies de pub. Indépendamment c'est sûr rien à signaler car il n'y a pas d'entente à proprement parler entre les gestionnaires des sites en question mais à grande échelle, ils font tous les mêmes choix et créent ainsi, sans vraiment s'en rendre compte, de la centralisation.

Quand on met en place un outil sur son site, on se doit de prendre en compte tout les aspects de l'outil en question. Les gestionnaires de ces sites sont peut être entre l'enclume et le marteau car ils doivent composer avec des contraintes économiques et probablement tout un tas d'autres choses. Pour autant, ils sont les premiers responsables du pistage des internautes car ce sont eux, chacun dans leur coin mais quand même tous ensemble finalement, qui placent la majeure partie des sondes pour le compte des gros silos de données.

C'est principalement pour cette raison que j'utilise le plugin request policy dans firefox. Ça ne résoud pas tout, loin de là mais ça permet de faire un peu le ménage. A l'usage, je dois quand même régulièrement autoriser l'accès à tel ou tel CDN pour voir les contenus sur tel ou tel site. En de rares occasions, je constate même que pour accéder aux contenus de certains sites il faut autoriser l'accès à un grand nombre de domaines depuis tel autre domaine, ce qui est déplaisant car j'ai parfois l'impression que ça ne s'arrête pas.

Affaiblir le chiffrement ?

Rédigé par -Fred- / 23 août 2016 / Aucun commentaire

Le chiffrement est devenu la cible prioritaire de tous les décideurs politiques dans de nombreux pays alors que dans le même temps, les spécialistes sont unanimes : il est impossible d'affaiblir le chiffrement au seul bénéfice des "Gentils".

Deux visions s'opposent : d'une part, celle des décideurs, qui sont convaincu qu'une solution intermédiaire est trouvable entre le chiffrement actuel et pas de chiffrement du tout. Ces mêmes décideurs qualifiant d'irresponsables, voir de dangereux, ceux qui n'iraient pas dans leur sens. D'autre part, celle des spécialistes qui affirment que cela est tout bonnement impossible.

Où se situe les problèmes principaux ?

Je ne suis pas du tout spécialiste du chiffrement mais pourtant, les problèmes me semblent tout à fait simples à comprendre.

Tout d'abord, introduire volontairement une faille dans un protocole ou une application, ça fait baisser le niveau global de sécurité. Même en sachant que tel protocole ou application dispose d'une porte dérobée contrôlée par X, rien ne permet de dire que Y n'en a pas connaissance et ne l'utilise pas sans que X ne soit au courant.

Aujourd'hui, bien que cela ne se fasse officiellement pas, des failles sont régulièrement trouvées. Cela signifie que certains les cherchent sans même savoir si elles existent. Or, introduire volontairement des faiblesses dans des protocoles ou des applications, ça revient à envoyer un message disant : " Il y a au moins une faille là, elle ne demande qu'à être retrouvée ... ".

Si les outils de chiffrement venaient à être volontairement castrés de la sorte, quelles solutions resterait-il notamment pour les états et dans une moindre mesure, pour les entreprises ? Je passe volontairement outre les particuliers (lambda, journalistes, activistes, avocats...) car la sécurité qu'apporte le vrai chiffrement, ce n'est visiblement pas pour eux dans la mesure où c'est dans cette catégorie que se cachent les "terroristes". Comment les décideurs vont garantir leur propre sécurité et celle de leurs fleurons industriels si seuls des outils moisis sont utilisables ? Va-t-on se tourner vers un droit au chiffrement à deux vitesses ?

Est-ce qu'une application qui introduit une porte dérobée peut encore être libre ? La question n'intéressera pas grand monde à part les libristes mais elle me semble centrale. Si la faille se trouve au niveau de l'application, elle doit théoriquement être trouvable en analysant le code source (je ne prétend pas que ce soit simple mais je signale juste que c'est théoriquement possible) et cette anomalie peut être alors corrigée. Seule solution alors, ne pas fournir les sources des outils de chiffrement mais du coup, c'est moins libre, faut l'avouer.

C'est quoi un gentil ?

Comme ça, et sans trop réfléchir, je dirais que c'est quelqu'un avec qui on est d'accord sur l'essentiel. Au niveau des états, il y a au moins un groupe constitué des pays occidentaux. Sauf que même entre eux, on ne se dit pas tout et le copain veut parfois en savoir plus sur vous que ce que vous voulez bien lui dire. On a beau être amis, on ne peut pas tout se dire. Ceci n'est pas choquant, bien au contraire. Je ne déballerai pas non plus ma vie à mes voisins, même s'ils devenaient instants.

Rajoutons à cela que "Gentil" est un statut temporaire même si certains état on pris l'habitude de le rester entre eux sur de longues périodes. Aurions nous la même vision du monde si des extrêmes venaient à prendre le pouvoir en France ?

Donc en gros, on propose de brider volontairement les outils de chiffrement pour les "Gentils" alors même que la notion de "Gentil" est trouble et instable dans le temps. La seule solution dans ce cas est que chacun casse lui même le chiffrement dans son coin.

Et c'est quoi un terroriste ?

On doit pouvoir trouver une définition précise dans un bon dictionnaire. Toutefois, le mot "terroriste" et tout ce qui va avec est employé largement aujourd'hui dès qu'il a une menace sérieuse de trouble à l'ordre public. Je caricature probablement mais les premiers à faire les frais des premières mesures adoptées dans le cadre de l'état d'urgence sont des manifestants altermondialistes manifestant contre la COP21. "Si vous voulez vous débarrasser d'un chien, dites qu'il a la rage." Encore une fois, c'est caricatural mais l'idée est là à mon sens.

Et si affaiblir le chiffrement servait à autre chose qu'à lutter contre le terrorisme ?

L'affaiblissement du chiffrement ouvre la boîte de pandore. Une fois cela en place, c'est utilisable pour tout, ce n'est qu'une question d'imagination. J'évoquais ci-dessus la possibilité non nulle que des extrêmes (ou du moins leurs idées) arrivent au pouvoir en France prochainement. Ceux au pouvoir aujourd'hui, et intimement convaincu de le faire pour de bonnes raisons, ne seront probablement plus aux commandes une fois ces outils déployés. Les garanties qu'ils peuvent donner même de bonne foi aujourd'hui n'ont pas de valeur au delà des prochaines échéances démocratiques. Que feront les suivants avec un tel pouvoir ? Bien malin qui pourrait le prédire avec précision tant le champ des possibles est grand et tant le contexte peut évoluer. Une question d'imagination encore une fois.

En conclusion

En réponse à un problème bien réel, on propose une solution consistant à casser un outil largement utilisé y compris pour des usages tout à fait légitimes, ce qui en définitive pose plus de problèmes qu'il n'en solutionne.

À garder en tête :

" Si vous croyez que la technologie peut résoudre vos problèmes de sécurité, c’est que vous ne comprenez pas les problèmes et que vous ne comprenez pas la technologie. "
Bruce Schneier