Étiquette : Internet

C’est quoi « SS7 » ?

La semaine dernière, lors du 31C3 (le Chaos Communication Congress), deux chercheurs en sécurité ont présenté leurs travaux sur SS7, ou plutôt les failles qui permettent d’exploiter SS7.

Alors, SS7, c’est quoi exactement ?

Derrière l’acronyme se cache une panoplie de protocoles de signalisation téléphonique, utilisée sur la quasi-totalité du globe par des opérateurs de téléphonie.

« SS » c’est pour Signaling System ou Système de Signalisation et 7, c’est parce qu’avant, il y avait SS6, puis SS5 …

SS7, c’est un ensemble de protocoles de signalisation téléphonique, en français : c’est un moyen que les éléments du réseau téléphonique utilisent pour échanger des informations, ni plus, ni moins.

Si c’est un peu nébuleux, voici quelques exemples plus explicites :

  • Vous tentez d’appeler quelqu’un qui est déjà en appel. SS7 le voit, demande à ce que l’appel soit libéré et à ce qu’on vous renvoie une tonalité d’occupation.
  • Vous tentez d’appeler quelqu’un d’autre. C’est SS7 qui annonce qu’un appel est tenté vers tel numéro. Pour vulgariser, il demande « où je dois envoyer l’appel s’il vous plait ? »

Dans les grandes lignes, le rôle de SS7 c’est : la signalisation d’appel, l’interconnexion des appels, des réseaux, l’échange d’informations entre les utilisateurs et plein d’autres choses, dont les messages.

Ah, j’oubliais un détail très important : SS7 a aussi pour rôle de faire passer un appel téléphonique à travers les réseaux.

Pour ce faire, il doit impérativement disposer d’un certain nombre d’informations :

  • D’où vient l’appel ?
  • Par quels équipements l’appel passe ?
  • Par quelles lignes téléphoniques l’appel passe ?
  • Vers où doit aller l’appel ?
  • Est-ce que le réseau est disponible ou non ? Et si ce n’est pas le cas, comment doit passer l’appel ?

SS7 est donc une importante source d’informations puisqu’il doit savoir qui fait quoi, quand, où, avec qui …

Voilà. Vous avez le réseau SS7 dans les (très) grandes lignes mais elles me semblent suffisantes pour la suite.

Reprenons donc… Au 31c3, deux chercheurs venaient présenter leurs travaux sur SS7. Le 29 décembre, le journal Le Monde, via sa chronique Pixels, publiait un article intitulé « Le SS7, le réseau des opérateurs qui permet de surveiller vos téléphones portables ».

Première « erreur » : SS7 ce n’est pas un réseau. C’est un ensemble de protocoles, comme nous avons pu le voir. Bon c’est tout bête comme erreur, mais c’est dommage. J’ai d’abord pensé que c’était compliqué d’expliquer, mais puisque je viens de le faire je pense que c’est accessible.

Que dit cet article ?

Un petit peu trop anxiogène à mon gout, l’article dit qu’il est possible de se faire localiser d’une façon très précise, de se faire intercepter ses SMS et ses appels… Bref, de se servir de ce que fait SS7 à la base.

Les chercheurs ont souligné un point bien plus dérangeant en revanche : l’accès « open bar » à SS7, c’est là qu’il faut s’alarmer, sans pour autant basculer dans la paranoïa, il faut simplement comprendre :

  • les fonctions de SS7 n’ont rien de dérangeant en soi : pour fonctionner, SS7 doit localiser d’une façon très précise un terminal, il doit faire transiter des messages et des appels, il est donc possible de les intercepter, puisque les messages transitent grâce à ce SS7
  • le fait qu’un utilisateur lambda ou qu’autre chose qu’un opérateur puisse se servir de SS7, là, c’est une autre histoire, bien plus dérangeante.

Cet open bar, c’est volontaire ?

Oui et non.

Non car techniquement parlant, SS7 est très ancien, il date de 1975. Depuis, de nombreuses (r)évolutions ont vu le jour et le protocole ne s’est pas spécialement adapté. C’est techniquement faux mais on pourrait dire que SS7 est un protocole de 1975 avec plein de rajouts.

Oui car à l’époque, il y avait une sécurité suffisante avec SS7. Oui également car cette ouverture permet de faciliter bien des choses sur le plan technique.  Pour les opérateurs, qui ont moins de contraintes. Pour faciliter la rapidité des échanges également. Puis c’est pratique pour ceux qui ont besoin d’aller mettre leur nez dedans.

Et ça se corrige ?

A nouveau, oui et non.

Non, ça ne se corrige pas car il faudrait presque repenser un nouveau protocole et que c’est très compliqué, puisque la quasi-totalité des opérateurs téléphoniques passent à un moment ou à un autre avec SS7.

Oui, ça se corrige, mais l’actuel blocage est plus politique et financier que technique. Pourquoi investir des milliards pour refaire quelque chose qui fonctionne actuellement ? Les états, opérateurs et j’en passe n’iront pas investir tant qu’ils n’y seront pas obligés et les pouvoirs politiques n’ont aucune raison de forcer les opérateurs à le faire.

On pourrait également dire qu’à terme, avec l’arrivée de la 4G, SS7 serait de moins en moins utilisé. Les réseaux 4G ne se servent pas de SS7 pour la signalisation téléphonique, mais de SIP, un autre protocole. C’est techniquement faux, puisqu’il y aura toujours SS7 derrière… mais sur le papier, ça serait une jolie solution.

Rajoutons à cela que pour voir cette solution arriver, il faudrait que tout passe par le réseau 4G, tout le temps, sans jamais basculer en 3G ou 2G ou GSM. Autant dire que c’est impossible.

Et je dois être parano ?

Très sincèrement ? Non. Ces accès « open bar » ne datent pas d’hier, un article du Washington Post en parlait déjà au mois d’aout (EN) et, à mon humble avis, ils existaient bien avant.

Ce n’est pas SS7 qui pose problème, c’est sa facilité d’accès, certainement utilisée par des particuliers curieux, par des agences de renseignement, CIA, NSA et j’en passe, qui me dérange. A nouveau, il convient de ne pas sombrer dans la paranoïa, ce n’est pas parce qu’ils peuvent le faire qu’ils espionnent l’ensemble de la planète.

Résumons donc : SS7 est un ensemble de protocoles qui fait ce qu’on lui demande : faire de la signalisation d’appel. Ces protocoles fonctionnent mais l’accès à SS7, lui, est un peu trop ouvert parce que c’est vieux et que ça n’a pas bougé depuis et ça, ce n’est pas génial.

Problème assez sérieux qui ne sera hélas pas corrigé demain, ni dans un an, peut-être même pas dans 10…

SnapChat est-il un outil sécurisé ?

Il y a quelques jours, sur 4chan, des pirates déclaraient avoir récupéré plus de 13 Go de données en provenance du service « SnapChat ». Ce service permet, pour celles et ceux qui ne le connaissent pas, de partager des clichés divers et variés, officiellement de façon temporaire.

Le principe de SnapChat, c’est que le cliché, le « snap » dispose d’une durée de vie limitée. L’application est donc conçue pour transmettre un contenu avec une durée de vie programmée par l’utilisateur qui envoie le contenu.

Une partie de la stratégie de SnapChat repose sur ce principe : la durée de vie des contenus, le second étant la facilité à les partager. En jouant sur ces deux variables, SnapChat souhaite toucher le plus de monde possible, des plus jeunes aux moins jeunes, et permettre le partage de tous types de contenus… de la photo de vacances à la dernière partie de jambes en l’air, en passant par la photo d’adolescents ou d’enfants qui s’amusent, aux photos de famille, d’amis ou encore aux « SnapSex », comme des sextos, mais via SnapChat.

C’est l’argument clef. Du moins, c’est ainsi qu’il est compris et présenté: « je n’ai aucun risque à partager une photo de famille, des enfants, soft, porno, explicite ou autre, puisque les photos ont une durée de vie limitée. »

Et c’est ainsi que des utilisateurs ont fait confiance à une application pour partager des photos. De cul, parfois, oui.

En passant, je vous invite à relire mon billet au sujet des photos de ce type (des photos de cul, comprenez). Ne vous méprenez pas, je ne condamne pas l’usage, mais plutôt le moyen utilisé, ou presque.

Dans les faits, la fuite de ces données n’incombe pas à SnapChat mais plutôt à des applications tierces, proposées par d’autres sociétés, pour satisfaire les demandes des utilisateurs du service. En effet, certains utilisateurs souhaitent conserver les clichés envoyés, fonction que SnapChat ne propose pas, puisque son argument principal repose sur l’aspect éphémère des clichés.

A besoin spécifique, application spécifique. Des sociétés ont vu là un moyen de se faire de l’argent et proposaient des services de réception et de conservation des clichés. C’est ainsi que SnapSave et Snapsaved.com ont vu le jour. Et c’est de là que vient la faille selon Dagbladet.no, site norvégien. Elle vient de snapsaved.com selon le Business Insider.

Premièrement, il faut savoir que ces sociétés ne sont pas liées à SnapChat et que ce dernier déconseille fortement, voire interdit, l’utilisation d’applications tierces, comme c’est indiqué dans leurs conditions générales d’utilisation.

Ensuite, la société éditrice du logiciel a fait savoir, via un communiqué de presse, qu’elle n’était pas responsable de la fuite de ces données, en profitant d’ailleurs pour rappeler qu’elle s’oppose à l’utilisation d’applications tierces et qu’elle les traque sur les marchés.

Tout va donc pour le mieux, ceux qui utilisent les services de SnapChat et aucune application tierce ne sont pas en danger… enfin, c’est une question de point de vue.

J’ai décidé d’attaquer ce billet sous un angle différent de ce qui est présenté actuellement dans les médias, à savoir le scandale des photos et vidéos dénudées d’adultes, d’adolescents et d’enfants de 13 ans ou plus, puisque SnapChat en compte parmi ses utilisateurs. Qui plus est, les enfants ou ados qui se touchent ce n’est pas spécialement mon truc, et pour les adultes, il y a Youporn.

J’ai décidé d’attaquer mon billet sous l’angle suivant : est-ce que SnapChat est réellement un outil qui protège votre vie privée, du moins, réellement les informations que vous décidez de partager ?

Si la réponse semble évidente pour certains, elle ne l’est sans doute pas pour d’autres, sinon, la fuite de données ne serait jamais arrivée.

Commençons par l’application en elle-même. L’application n’est pas open-source, selon leurs conditions d’utilisations (qui sont en anglais) :

Snapchat Content

You agree that you will not copy, reproduce, republish, frame, download, transmit, modify, display, reverse engineer, sell, or participate in any sale of, rent, lease, loan, assign, distribute, license, sublicense, or exploit in any way, in whole or in part, Snapchat Content, the Services or any related software, except as expressly stated in these Terms.

Prohibited Activities

Reverse engineer any aspect of the Services or do anything that might discover source code or bypass or circumvent measures employed to prevent or limit access to any area, content or code of the Services

Première conclusion : le code source de SnapChat ne semble pas ouvert, nous ne pouvons donc pas savoir comment cela fonctionne, sauf à se mettre en non-conformité avec leurs conditions…

L’application fonctionne sur un principe simple : vous envoyez un « snap » à une personne disposant de l’application. Cet envoi, jusqu’aux dernières versions de l’application, était protégé par une clef de chiffrement identique sur chaque périphérique et contenu, ce qui sous-entend qu’une fois la clef trouvée, il était possible de passer n’importe quelle protection pour récupérer du contenu.

Depuis la dernière mise à jour, l’application fonctionne autrement, elle chiffre chaque contenu avec une clef différente… cependant, il est possible de récupérer ces clefs là et de les tester sur le contenu récupéré, ce qui, personnellement, ne me donne pas franchement confiance dans l’application. Je vous invite à suivre ce lien pour de plus amples explications (c’est un poil technique mais très bien expliqué).

Ensuite, SnapChat copie temporairement vos données sur leurs serveurs :

For example, we collect information when you create an account, use the Services to send or receive messages, including photos or videos taken via our Services (« Snaps”) and content sent via the chat screen (« Chats »), request customer support or otherwise communicate with us

Ce n’est que temporaire, mais c’est déjà suffisant. Pour un service de photos et de chat éphémères, ça fait un peu « tache » d’avoir une copie des contenus sur les serveurs, même temporaire. Certes SnapChat explique qu’une fois que les destinataires ont vu le snap, il est automatiquement effacé des serveurs et leurs services sont programmés pour effacer le snap des périphériques des autres utilisateurs, mais pourquoi les copier, même de façon temporaire, sur leurs serveurs ?

Imaginons un instant une brèche de sécurité chez eux, cette copie temporaire ne représenterait-elle pas un risque pour les échanges aspirés dans ce laps de temps ?

Autre point étrange sur l’application, elle permet de prendre des copies d’écran :

We also cannot prevent others from making copies of your messages (e.g., by taking a screenshot). If we are able to detect that the recipient has captured a screenshot of a Snap that you send, we will attempt to notify you

En français, cela donne : Nous ne pouvons pas vous protéger contre les utilisateurs qui souhaiteraient copier vos messages (en prenant des captures d’écran par exemple). SI nous arrivons à détecter que le destinataire a fait une copie d’écran, nous tenterons de vous le notifier.

Cette déclaration me laisse pantois. D’autant plus qu’on m’a confirmé à 5 reprises qu’il était bel et bien possible de faire une copie d’écran de SnapChat. L’utilisateur est potentiellement averti, comme nous l’avons vu, mais le simple fait que cette fonction existe me laisse… perplexe.

D’autres applications comme TextSecure savent très bien interdire la copie d’écran, alors pourquoi pas SnapChat ? En y réfléchissant, quand bien même cela serait interdit, il est tout de même possible d’installer d’autres applications pour faire des captures d’écran…

Point positif : si SnapChat détecte cette copie d’écran, il vous le notifie. Ce qui fait que vous êtes au courant de cette copie d’écran, reste à voir si la personne accepte de l’effacer si tel est votre désir ou votre besoin… mais ce n’est plus le problème de SnapChat, c’est le vôtre.

En résumé : une application qui utilise une clef de chiffrement unique, symétrique (identique d’un côté de l’envoi comme de l’autre pour la réception) et facilement utilisable, qui permet la copie d’écran sur des contenus considérés comme éphémères, tout en copiant temporairement des données sur leurs serveurs…

Non, non SnapChat n’est pas un outil sécurisé. Bien que la faute ne leur incombe pas, il est dommage de considérer ce service comme une solution assez protectrice de vos vies privées. Vos, car pour le coup, je ne suis pas utilisateur de cette application.

La bonne solution de sécurité consisterait à chiffrer le message de bout en bout, sur un protocole de chiffrement solide et éprouvé, avec un niveau de sécurité assez élevé pour que cela devienne trop long et couteux de s’y intéresser. Et surtout, ne pas copier de données, même de façon temporaire, sur des serveurs.

La faute incombe à d’autres sites certes, mais la casse aurait pu être limitée par une politique de sécurité plus sérieuse que deux bouts de ficelle et une punaise, même si je conçois que le niveau de sécurité que j’exige ne correspond pas au modèle de menace conçu par SnapChat…

On pourra saluer le paramétrage de SnapChat, qui permet à l’utilisateur de spécifier ses règles de confidentialité sur le partage du carnet d’adresse, la galerie d’images, la localisation ainsi que la gestion des cookies au sein des applications, mais ce n’est pas suffisant pour garantir la protection de ce qui circule dessus.

Dans tous les cas, le mal est fait. Et chez tout le monde.

Pour les utilisateurs, qu’ils soient jeunes ou non, qui vont se retrouver avec des photos et des vidéos de leurs vies exposées çà et là sur les tubes.

Pour les sites qui en dépendaient.

Pour SnapChat lui-même, qui va sans doute essuyer une très vive critique et prendre en pleine tête la colère et la perte de confiance de ses utilisateurs.

Alors, SnapChat, sécurisé ou pas ?

Pour moi, non. Pour eux, sans doute, ils ont monté le niveau de sécurité et l’ont adapté au modèle de menace pensé, mais était-ce suffisant ?

Qu’en pensez-vous ?

Faut-il monétiser nos données personnelles ?

Une étude d’Orange [PDF en anglais] estime que nos données personnelles valent entre 170 et 240€. Et qu’une seule donnée vaut, aux yeux des interrogés, entre 15€ et 17€. Cette étude est basée sur une enquête réalisée auprès d’un échantillon de consommateurs, considéré comme représentatif de la population, vous ne vous sentirez peut-être pas concernés si vous êtes déjà conscient de la nécessité de protéger ces données.

Je vous invite à lire l’article de Sébastien Gavois, journaliste chez Next INpact, qui fait un résumé de l’étude.

J’ai décidé de publier sur le sujet car je m’interroge, est-il réellement intéressant de monétiser ses données ?

L’intérêt pour le consommateur est certain, cela facilite la proposition de contenus « adaptés », entendez par là « ciblés », cela facilite l’analyse des comportements des uns et des autres pour proposer de nouveaux produits et des usages de mieux en mieux adaptés…

Mais à quel prix ?

Actuellement, les fournisseurs Internet collectent des données et forcément nos données personnelles, comme le font les fournisseurs de contenus et de services, tous supports confondus. Ce n’est d’ailleurs pas sans intérêt qu’Orange s’apprête à lancer une application de gestion et de collecte des données personnelles, ouverte, disponible, qui pourra s’interconnecter à d’autres services et d’autres entreprises partenaires d’Orange. Comme le dit le patron de l’entreprise, « nous sommes au début de l’ère du Big Data. »

Ces entreprises récupèrent donc déjà nos données personnelles, pourquoi souhaiter les monétiser, si ce n’est « par principe » ? Pour calmer les craintes et tensions liées aux utilisations de nos données ?

Comprenez ma réflexion de la façon suivante : « On te paye pour tes données et tu arrêtes de te plaindre que nous les collectons. », j’ai l’impression qu’on achète le consentement des utilisateurs.

Qui plus est, dans données personnelles, il y a « personnelles », ces données sont donc en lien direct avec la notion d’intimité, ou celle de vie privée. Hors, comme je l’ai expliqué dans une conférence il y a déjà quelques temps, il n’existe pas de de « bonne » définition de la vie privée, puisque l’appréciation de cette chose est propre à chaque personne. J’avais, de mémoire, dit la chose suivante : « il existe autant de définitions qu’il existe d’individus sur terre. »

Selon moi, cet argument s’applique aussi aux données personnelles. J’ai une définition très stricte des données personnelles, la marque du téléphone que j’utilise est une donnée qui peut tomber dans cette catégorie pour moi. Le fait de savoir que j’ai tant de produit de telle marque pouvant donner des informations sur mes goûts en matière de technologie.

Pour d’autres, la marque du téléphone n’est absolument pas une donnée personnelle. Je pense que vous comprenez ce que je souhaite expliquer ici.

La problématique ici est que la monétisation des données personnelles ne peut pas englober l’ensemble des définitions… et je doute fortement qu’une entreprise accepte de payer 15 ou 17 euros pour chaque donnée personnelle. Dès lors, nous avons plusieurs scénarios possibles :

Scénario 1, les entreprises acceptent de payer pour chaque donnée personnelle utilisée, les consommateurs sont satisfaits et un peu plus riches… et la société fait sans doute faillite très rapidement face aux frais engendrés.

Scénario 2, les entreprises arrêtent d’utiliser nos données personnelles. Autant se tirer une balle en pleine tête, ce scénario signe l’arrêt de mort de l’entreprise, devenue incapable de proposer des produits adaptés.

Scénario 3, les entreprises établissent une grille des données les plus utilisées, les monétisent le moins possible pour éviter de perdre trop d’argent, et continuent de récupérer les autres données (celles hors grille) « sous le manteau ». Les consommateurs ont donc l’impression d’être payés pour l’utilisation de leurs données, alors que c’est un énorme écran de fumé.

Régler le problème du traitement et de la gestion des données personnelles de cette façon, c’est, toujours selon moi, comme mettre la poussière sur le tapis : on ne voit plus où est le problème, mais il existe toujours.

La seule bonne solution consisterait, à nouveau selon moi, à refondre en profondeur la façon dont sont traitées les données personnelles par les différentes entreprises, et ce à plusieurs niveaux :

Côté interface, il faudrait avoir une gestion très fine de nos données afin de définir ce que l’on souhaite partager, quitte à indiquer les données vitales dont l’entreprise à besoin.

Côté transparence, il faudrait, pour créer ou rétablir la confiance des utilisateurs, des conditions générales d’utilisations claires et lisibles, où il serait indiqué où vont nos données personnelles, la façon dont sont traitées ces dernières et avec qui elles sont partagées.

Enfin, côté législation, il faudrait s’adapter, pour reconnaître la confidentialité de ces données. Pourquoi pas jusqu’à contraindre et sanctionner les entreprises qui ne respectent pas leurs engagements, dans les cas extrêmes, en gros : donner plus de pouvoir à la CNIL.

Je reste particulièrement méfiant face aux réflexions et aux débats qui semblent s’ouvrir un peu partout sur la gestion et la monétisation de nos données personnelles…

Et vous ?

Photos piratées et distribution de claques.

Hier, des photos de Jennifer Lawrence et de bien d’autres stars ont été publiées sur le WEB. Ces photos-là ont de particulier que lesdites stars sont nues dessus.

Sur le plan technique, il semblerait qu’un pirate ou un groupe de pirates ait récupéré des données depuis le service iCloud d’Apple et depuis dropbox, un système d’hébergement de fichiers pour celles et ceux qui ne voient pas ce que c’est.

Donc, jusque-là, histoire malheureusement classique… sauf que le traitement médiatique et la pensée puante de ce dernier ne me plait pas, j’ai donc décidé, dans ma grande bonté, de distribuer des claques numériques, un petit cadeau de noël en avance…

Parce que je trouve que le sujet est compliqué à traiter, je vais le présenter sous différents angles, en commençant par l’angle technique.

Sur le plan technique

Nous avons une faille de sécurité sur au moins deux services d’hébergement, ainsi qu’un problème de protection des données, au moins pour le cloud d’Apple…

D’ailleurs, on ne le dira jamais assez mais il vaut mieux faire très attention quand un fournisseur vous parle de « cloud » comme d’une solution miracle, c’est bien trop obscur pour qu’on sache vraiment ce qu’il se passe avec vos données.

Défaut de sécurisation donc, car Apple protège vos données sans vraiment les protéger : les données dans le cloud d’Apple sont chiffrées… mais Apple conserve la clef de chiffrement de vos données, de son côté. Une présentation de tout ceci est disponible chez Reflets [PDF], elle est abordable, bien qu’un peu technique.

Ce problème de protection des données chiffrées dans le cloud Apple n’est pas récent, des cas de piratage de données similaires, à savoir des photos de cul – soyons sérieux deux secondes – existent déjà.

Pour Dropbox, ce n’est pas non plus la première fois – ni la dernière d’ailleurs – que des données sont piratées chez eux, mais je n’ai pas encore eu le temps de creuser et d’avoir des informations sur eux.

Sur le plan technique, toujours, le cloud d’Apple est – corrigez-moi si je me trompe – activé par défaut pour la synchronisation des données du smartphone, le téléphone est protégé par un mot de passe, le cloud par une clef de chiffrement… un utilisateur lambda se dira que c’est amplement suffisant, ce qui est parfaitement normal.

Oui, une star, c’est un utilisateur lambda, oui. C’est juste un utilisateur lambda vachement connu, mais être une star ne donne pas la science infuse, aux dernières nouvelles. Ou alors j’ai loupé un truc avec Nabilla.

Première claque en pleine tête pour Apple, qui est conscient de ce problème de protection des données, sans pour autant agir en mettant en place des moyens décents.

De plus, lorsque vous supprimez des données de votre téléphone, elles restent généralement stockées quelque part dans le cloud… et ça il faut le savoir.

C’est un problème bien plus large qu’Apple, Facebook fait pareil, lorsque vous supprimez quelque chose, ça reste quand même stocké chez Facebook.

A quand une vraie suppression de données ?

Le cul

Le second angle, c’est donc celui des photos dénudées. J’ai vu et entendu beaucoup de personnes réprouver cette pratique, à grand coups de « faut être malade pour prendre des photos de soi à poil ».

J’ai envie de répondre, à ces gens-là, qu’il « faut être con pour penser comme ça », histoire de répondre de la même façon.

Le « sexting », le fait de se prendre en photo à poil pour l’envoyer à une personne, ce n’est pas nouveau, même si ça ne portait pas ce nom avant.

Depuis la nuit des temps, des personnes se représentent à poil pour quelqu’un d’autre. La Venus de Rubens est peut-être une forme d’ancien sexting… et tout le monde s’accorde à dire que c’est une œuvre d’art. Personne ne vient dire que Rubens était un malade obsédé qui faisait des peintures à poil.

Le sexting, c’est juste une adaptation des pratiques aux outils modernes. Avant, il y avait des photos autrement, puis des images autrement, puis des textes, puis tellement d’autres choses… Le sexting fait partie d’un jeu sexuel, c’est donner des envies à une personne, lui dire « regarde, regarde bien, et apprécie », c’est lui confier quelque chose sans avoir la garantie que ça ne sera pas publié sur la toile, c’est donc lui donner un semblant de pouvoir sur soi, et le pouvoir, c’est un pilier de la psychologie sexuelle.

Il n’y a donc rien de malsain dans cette pratique. C’est un jeu sexuel, vous pouvez ne pas aimer, ça ne vous autorise pas pour autant à considérer ses pratiquants comme des détraqués.

Le Slut Shaming

Là, on attaque la partie qui m’a donné envie de vomir. Le Slut Shaming consiste à faire se sentir coupable une femme donc le comportement ou l’attitude seraient jugés déplacés, honteux ou provocants. Ça consiste donc à blâmer une femme parce qu’elle parle, aime ou « pratique le sexe » d’une façon déplacée.

Le Slut Shaming, ça arrive même lorsqu’une femme se fait violer, c’est alors une double peine infligée à une victime. Dire à une femme violée « oui mais tu n’avais pas à te promener en jupe courte, c’était inévitable », c’est lui dire « c’est ta faute, connasse. », alors que ce n’est pas le cas.

Pour recentrer sur le sujet, des articles assez abjects sont sortis, hier. Ces derniers viennent culpabiliser un peu plus les victimes de ces fuites de photos.

Reposons les bonnes bases : ce sont des victimes. Ces photos sont des photos partagées sans le consentement de la personne, à son insu, récupérées par un pirate, c’est donc un viol de l’intimité, de la vie privée. Ces personnes sont donc des victimes, et non des coupables.

On pourra leur reprocher qu’à leur niveau, que de par leur célébrité, il aurait fallu faire plus attention – ce qui n’est sans doute pas faux – mais pas que c’est de leur faute. On pourra aussi imaginer que ces gens-là ont aussi une vie sentimentale, sinon sexuelle, le fait d’être des célébrités ne leur enlève aucun besoin humain, ils mangent, respirent et boivent… et envoient des « photos de cul », font du sexting, draguent, comme beaucoup d’entre nous. Ils sont juste humains, ni des dieux, ni des idoles.

On pourra donc leur reprocher de ne pas avoir pris assez de précautions, à la limite, mais pas leur reprocher la faute.

Cet argument me donne la nausée, c’est la même construction que l’argumentaire pourri qui consiste à dire « si tu t’es faite agresser ou violer, c’est de ta faute, il ne fallait pas être aussi indécente ».

Alors, quand je vois un article complètement abject de Melty, depuis retiré, ou encore un psychanalyste qui déclare «Tant pis pour elles !», je me dis que des grosses claques en pleine tête se perdent aussi.

Ah. Et vous êtes dedans aussi.

Vous, ici, ça représente celles et ceux qui se sont amusés à aller chercher et à véhiculer ces photos-là, ça représente ceux qui sont bien prompts à taper sur la tête de la N.S.A, mais qui ne sont, au final, pas spécialement mieux que ses agents, lorsqu’ils font tourner des photos de cul entre eux. Car ils le font, dixit Edward Snowden qui, je pense, est une source assez sûre.

La protection de l’intimité des gens, ce n’est pas alternatif, c’est comme la liberté d’expression, tout le monde y a le droit.

Bleep : la vie privée, ce n’est pas en closed pre-alpha.

Ce matin, j’ai lu l’article de NextINpact qui concernait « Bleep », un service de messagerie instantanée développé par BitTorrent, qui fonctionne en peer-to-peer, sans passer par un quelconque serveur central.

Bleep propose à l’utilisateur de chiffrer ses communications en end-to-end, c’est-à-dire d’un utilisateur à un autre entièrement.

Bleep n’est disponible, pour l’instant, que sous Windows, en pré-alpha et n’est pas ouvert au public, c’est une version pré-alpha fermée.

Après en avoir parlé rapidement sur Twitter, notamment grâce à @koolfy (que je remercie au passage), mon point de vue est sans appel : cette application ne doit pas être utilisée, nous allons voir pourquoi.

Tout d’abord, et c’est un point positif, il faut aller voir les conditions d’utilisation, vous devez les lire et vous devez être d’accord, BitTorrent vous le rappelle d’ailleurs sur la page consacrée à Bleep (c’est du HTTP) :

Première erreur pour moi : il n’existe aucune version HTTPS du site. Je sais, le blog non plus ne fait pas de HTTPS, du moins pas du HTTPS propre, sauf que moi, je ne propose pas de télécharger une application dédiée à la protection et à la sécurisation de ses communications. L’absence de HTTPS me semble problématique dans la mesure où il est donc possible d’altérer les requêtes de votre navigateur et de changer la version de Bleep que vous allez télécharger depuis leur site, sans parler du manque de confidentialité lié à l’absence de connexion chiffrée.

Ensuite, le CLUF est très explicite :

Restrictions
The source code, design, and structure of the Software are trade secrets. You will not disassemble, decompile, or reverse engineer it, in whole or in part, except to the extent expressly permitted by law, or distribute it. You will not use the Software for illegal purposes. You will comply with all export laws. The Software is licensed, not sold.

Le code source et la structure des logiciels proposés par BitTorrent sont donc secrets, ils ne sont pas Open Source, vous n’avez pas le droit de démonter l’application, partiellement ou entièrement.

Problème : un logiciel qui n’est pas libre, je ne sais pas comment il fonctionne, je ne peux pas savoir comment il fonctionne, je n’en ai pas le droit. Je ne sais pas vraiment ce qu’il fait, comment, et pourquoi.

D’un côté, j’ai donc un logiciel qui me propose de chiffrer mes communications, de garantir mon intimité, alors que de l’autre, je suis incapable de savoir ce qu’il fait, comment il fonctionne.

Désolé BitTorrent, je ne fais pas confiance à un logiciel qui prétend me protéger si je ne sais pas comment il fonctionne, et je lui fais encore moins confiance si je n’ai pas le droit de savoir comment il fonctionne…

Et vous devriez avoir le même réflexe, on ne devrait jamais confier notre intimité à un logiciel, un site ou une entreprise, sans savoir exactement comment elle fonctionne, ou à minima, sans qu’elle nous permette de le savoir.

Le point 7a des conditions d’utilisation explique que BitTorrent se réserve le droit de surveiller ses différents services, à n’importe quel moment, sans obligation de vous en informer. Ce qui signifie que la société peut voir ce que je fais avec Bleep.

Oui, cette société déclare qu’il n’y a pas de serveur central… mais comment faire confiance à une société qui a, pour unique preuve, une déclaration qui contredit ses conditions d’utilisation ?

Le point 7b explique la chose suivante :

If, as a result of such investigation, BitTorrent believes that criminal activity has occurred, BitTorrent reserves the right to refer the matter to, and to cooperate with, any and all applicable law enforcement authorities.

En résumé, si BitTorrent pense qu’une activité illégale ou criminelle passe par ses services, la société se réserve le droit de travailler avec les autorités, en application des différentes lois des différents pays.

Sauf que… Sauf que la loi n’est pas la même partout et qu’un utilisateur de Bleep en Ukraine, au hasard, aura potentiellement des ennuis. Et vous aussi, si ladite société vient à penser que vous avez une mauvaise utilisation de son logiciel.

D’ailleurs, comment la société peut penser que je me sers de son logiciel à des fins criminelles si elle déclare chiffrer l’ensemble des communications de Bleep ? En toute logique, elle est incapable de voir ce que je fais de son logiciel, non ?

Je suis sans doute trop parano, mais ce point me semble bien étrange…

Si le but est de protéger mes communications et mon intimité, c’est mal parti.

Le fait que le logiciel ne soit pas Open Source et libre reste la plus grosse erreur faite par BitTorrent.

Qu’est-ce qui me prouve que le logiciel ne contient pas une backdoor ? Un morceau de code malicieux qui transfère mes données à une tierce personne ?

Qu’est-ce qui me prouve que le logiciel protège entièrement mes communications ? Et si une faille existe dans le logiciel, comment puis-je le savoir, puisque le logiciel n’est pas Open Source ?

Je dois donc prendre des déclarations comme seul élément de preuve ? Désolé BitTorrent, il en faudra plus que ça, Koolfy le résume très bien d’ailleurs :


En gros, la bonne façon de voir une application qui chiffre est la suivante : c’est pourri et truffé de backdoors jusqu’à preuve du contraire.

Et pour prouver le contraire, il faut avoir le droit de voir le code de l’application. Et pour ça, il faut que le logiciel soit Open Source.

Ce qui n’est pas le cas de Bleep.

Enfin, cette application est en « pré-alpha fermée ».

Pardon, BitTorrent, mais ma vie privée, mon intimité et la protection de mes communications ont besoin de plus qu’une application « pré-alpha fermée ».

La vie privée, ce n’est pas comme ça que ça se traite. Le temps du test, des utilisateurs vont échanger des choses avec Bleep et vont s’exposer à des failles de sécurité, des imperfections du logiciel, des fuites de leurs propres données…

Non, désolé, ce n’est pas une option envisageable.

Désolé, BitTorrent, mais Bleep, ça sera sans moi.

CAFAI, le F.A.I dont vous êtes le héros, épisode 2.

J’avais rédigé un petit truc, il y a un temps, sur C.A.F.A.I, un fournisseur d’accès à Internet neutre qui fait partie de la Fédération French Data Network (FFDN).

Les F.A.I neutres sont des associations, composées de membres, qui sont en capacité de proposer un accès à Internet, le « vrai Internet », pas la cam’ que les gros F.A.I vous refourguent.

Ces F.A.I fournissent un accès à Internet neutre. Pour rappel, la neutralité des réseaux est la pierre angulaire des Internets tels que vous les connaissez, pierre donc voici quelques principes (source) :

  • transmission des données par les opérateurs sans en examiner le contenu ;
  • transmission des données sans prise en compte de la source ou de la destination des données ;
  • transmission des données sans privilégier un protocole de communication ;
  • transmission des données sans en altérer le contenu.

En résumé, un F.A.I neutre… c’est un fournisseur qui respecte sa propre définition : un fournisseur d’accès à Internet, point.

Son rôle c’est juste de vous fournir des tuyaux, à la bonne taille, contre rémunération.

Sauf que, dans les faits, nos opérateurs sont plus des « F.A.S », des fournisseurs d’accès à des services, généralement les leurs, au détriment du reste d’Internet.

Ces fournisseurs d’accès piétinent la neutralité du Net en développant des modèles économiques discriminants, ils favorisent tel site par rapport à un autre, interdisent tel ou tel protocole et tous ont pour ambition d’aller encore plus loin : faire des offres « à tiroir » où il sera possible de monnayer l’accès à n’importe quel site web, protocole ou service.

Tous ? Non. Une bande de gus dans un garage plus si petit que ça défend toujours la neutralité du net, ils sont regroupés en associations et proposent un accès à Internet neutre.

Mais pour se faire, ils ont besoin de membres, de visibilité, de nous.

Et c’est là que la magie d’Internet, de nous donc, entre en jeu.

Pour que C.A.F.A.I puisse exister, comme les autres fournisseurs d’accès Internet associatifs, il leur faut un peu de visibilité, un peu plus que l’actuelle qui consiste à partager l’information entre gens « qui savent ». Il faut donc faire circuler l’information afin qu’elle touche un public plus large, c’est le but de ce billet.

Le second point, c’est qu’un F.A.I associatif à besoin de gens, d’adhérents, pour exister. C’est comme une entreprise qui n’existe que parce qu’elle a des clients, sauf que là, c’est bien mieux, c’est votre F.A.I, un fournisseur où vous pouvez participer, interagir, agir tout court. Alors, si vous avez du temps, de l’énergie et l’envie d’apporter votre contribution à un monde meilleur, n’hésitez pas.

Le dernier point, c’est que les abonnements sont ouverts chez C.A.F.A.I, et c’est là que ça se passe.

Vous pouvez retrouver le site de l’association ici : https://cafai.fr.

Si vous souhaitez les joindre par mail, vous pouvez le faire sur contact (at) cafai.fr.

CAFAI dispose aussi d’une mailing-list, vous pouvez demander à vous inscrire à cette dernière.

CAFAI dispose également d’un salon Jabber : cafai (at) chat.cafai.fr.

N’hésitez pas à les faire connaitre, reprenez ce billet ou partagez-le, ça ne pourra que leur faire du bien.

Pour finir, pour celles et ceux qui n’habitent pas en Champagne-Ardenne, la Fédération FDN est implantée çà et là, un peu partout en France, plus d’informations ici.