Bonjour à tous ! Ça va peut-être vous paraître bizarre, mais je pense qu'il est grand temps de reparler de chiffrement, un dada chez moi me direz-vous. En effet, ça fait depuis mi-novembre (à cause des attentats du 13, en fait) que les choses ont commencé à s'agiter, Revenons sur l'actualité récente...

Bonjour à tous !

Ça va peut-être vous paraître bizarre, mais je pense qu'il est grand temps de reparler de chiffrement, undadachezmoi me direz-vous. En effet, ça fait depuis mi-novembre (à cause des attentats du 13, en fait) que les choses ont commencé à s'agiter,

Revenons sur l'actualité récente. Depuis dix jours, Apple s'est relancé dans la guerre pour le chiffrement, face au FBI et à la NSA. Suivit par le PDG de Whatsapp (et Mark Zucherberg) et celui de Google.

Si on s'arrête un moment, il est très curieux que ce soient des entreprises qui défendent des droits des utilisateurs — en l'occurrence celui d'avoir une vie privée — contre leur gouvernement. On s'attent plus typiquement au schéma inverse, mais là, non.

Si l'on se replonge dans l'actualité moins récente, ce n'est pas la première fois que ce débat prend une si grande importance dans les médias. Je pourrais citer des dizaines d'articles, mais ce qui me paraît essentiel, c'est de partir de la source, c'est-à-dire qu'il s'agit-là d'une demi-victoire pour Edward Snowden. En effet, cela fait trois ans (juin 2013, mais Edward Snowden était prêt depuis 6 mois, le temps que Glenn Greewald prenne en main Tails et des moyens pour communiquer avec du chiffrement fort, GPG, OTR et via Tor) que Snowden veut que nous ayons ce débat. Demi-victoire, puisque l'autre aspect important est le respect de la vie privée, pour lequel le chiffrement est nécessaire, mais pas suffisant, mais c'est un autre débat.

Du coup, cela fait depuis mi-novembre, comme je vous disais, que beaucoup d'articles prennent position en faveur ou contre le chiffrement. Au hasard celui-ci (et là) où le directeur de la NSA ment en affirmant que sans le chiffrement, les attentats de novembres auraient pu être évités (cf. ceci, téléphone non chiffré, communication via SMS), ou celui-là sur lequel je suis tombé récemment --- et dont on va reparler.

Ce qu'il y a de remarquable, c'est leur tonalité. Ils ne sont pas objectifs, puisqu'ils refusent d'aborder toutes les parties du débat. Du coup je vais me faire "avocat de la défense", vu qu'il y a déjà beaucoup de "procureurs" ayant fait des réquisitoires contre.

L'article titre "Un Terroriste est-il un client Apple comme les autres ?", à laquelle la réponse évidente semble être "non". Mais l'article aurait tout aussi bien pu titrer : "Faut-il forcer Apple à fournir une backdoor au gouvernement états-unien, au risque que la Chine en demande une, et s'en serve contre des dissidents de Hong-Kong ?", un titre un peu long, mais au moins aussi pertinent.

En effet, il y a deux côtés à cette histoire. Le fait qu'effectivement, le chiffrement permet de cacher de l'information. Et le fait qu'il est parfois nécessaire de cacher de l'information. Soit parce que c'est votre droit (comme par exemple celui de ne pas participer à sa propre incrimination) soit parce que votre pays a un régime fort au pouvoir. En effet, la notion de terroriste est très arbitraire. Il faut se rappeler que les résistants au régime de Vichy étaient appelés terroristes (aussi là).

Du coup pourquoi cette bataille a-t-elle lieu ? Deux arguments me font penser qu'il s'agit d'abord d'une bataille juridique, et d'une façon de faciliter le renseignement pour le FBI ensuite (& la NSA, mais elle a plus de moyens).

• Premièrement, les services de renseignement de la Grande-Bretagne (leur GCHQ), l'Allemagne, et les États-Unis (via le PATRIOT ACT) ont le droit de créer des malwares et autres chevaux de troie pour accéder aux ordinateurs de suspects de crimes graves (au moins terrorisme, peut-être pédophilie, mais je ne sais pas), la France en fabrique aussi, mais je ne sais pas si elle le fait déjà dans les affaires de terrorisme. Du coup, ces pays ont les moyens d'accéder a des iPhones, tant qu'ils ne s'y prennent pas mal.
• Deuxièmement, la NSA a été forcée de supprimer une base de données de conversations téléphoniques concernant des appels intra-États-Unis. D'où la nécessité pour eux d'obtenir un base de droit (jurisprudence ou autre) sur laquelle reposer.
• L'obtention d'une backdoor pour exploitation est donc importante, mais secondaire à mon avis.

L'enjeu est de taille comme je l'ai souligné un peu rudement tout à l'heure en proposant un autre titre à l'article contre le chiffrement. Si le gouvernement états-unien obtient une backdoor dans l'iPhone, il y a tout d'abord un problème de sécurité, celui de la garder inexploitable pour quiconque, mais il est aussi clair que d'autres gouvernements vont faire pression pour obtenir des backdoors dans iOS. Clairement, je vois bien la France, la Chine, l'Iran, l'Allemagne en obtenir. Ça pose deux problèmes.

• Premièrement on peut imaginer que plusieurs gouvernements distincts aient accès au téléphones d'une seule personne. En ce qui me concerne, déjà que je n'ai pas très envie que le gouvernement français mette ses pattes dans mon smartphone, vous imaginez un gouvernement moins tolérant.
• Deuxièmement, il faut se mettre en tête que ce ne sera pas la faute d'Apple si un ressortissant de Hong Kong se fait dézinguer par le gouvernement chinois (au hasard) pour résistance. Parce qu'Apple aura fait son possible pour fournir du chiffrement.

Les autres aspects sont des questions de principe. Le vulgum pecus a-t-il le droit à du chiffrement de haute qualité ? C'est important parce que le chiffrement ne sert pas seulement à cacher des données, il comporte une partie authentification très importante. Par exemple votre navigateur reçoit des scripts JavaScript qu'il exécute. Il s'agit donc de code distant exécuté sur votre ordinateur. Il faut faire vraiment confiance à un tiers pour le laisser exécuter un programme dans votre ordinateur. Parce qu'il pourrait l'endommager, supprimer vos fichier, mettre un malware etc. Du coup le HTTPS des sites webs empêchent la modification d'une page web lors du trajet vers votre ordinateur, en authentifiant la page. Ainsi sans chiffrement fort, on se retrouve à poil.

Le dernier argument est celui de la prospective : le chiffrement fort sur un système GNU/Linux est plus facile que sous Android/iOS à mon avis (même si j'utilise APG, qu'il y a CyanogenMod, etc., mais ce n'est pas très répandu), du coup savoir si la majorité a droit au chiffrement sur mobile est une décision importante maintenant, mais sur le long terme, je doute que l'interdiction du chiffrement soit viable, tout simplement parce que beaucoup d'algorithmes de chiffrement sont librement disponibles et améliorable sur internet.

On vit dans un monde avec du chiffrement. Le refuser ne peut donc qu'être une solution temporaire, qui nuirait pas mal à l'utilisateur.

Sur ce, je vous laisse méditer, mettre des questions ou remarques en commentaire, et aller vous faire votre propre opinion sur ce débat. Il me paraît essentiel qu'on ait ce débat, et qu'on n'ait pas la naïveté de cette image :

parce que si on ne fait rien, une décision sera prise, sans nous.

Bonne journée !

Motius

PS : toute dernière remarque : Apple peut vouloir viser un marché aimant avoir de la vie privée, au contraire de ce que Microsoft fait actuellement...

PPS : merci à Nyx qui m'a fourni l'image de couverture !

Après l'avoir officiellement annoncé le 26 janvier dernier, l'association pour la promotion du libre Framasoft a publié sur son blog la mise en route de l'organisme CHATONS, pour Collectif des Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires. Par cette étape, Framasoft ouvre un d...

Après l'avoir officiellement annoncé le 26 janvier dernier, l'association pour la promotion du libre Framasoft a publié sur son blog la mise en route de l'organisme CHATONS, pour Collectif des Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires. Par cette étape, Framasoft ouvre un deuxième âge dans son histoire.

Framasoft est connue pour sa campagne Dégooglisons Internet et les outils alternatifs qu'elle promeut face aux grandes sociétés centralisatrices, le fameux GAFAM (Google Apple Facebook Amazon Microsoft). On peut ainsi utiliser Framapad et Framacalc à la place des Google Docs, Framasphère à la place de Facebook (à ce propos, vous pouvez vous inscrire sur notre pod Diaspora, la même plateforme utilisée par Framasphère, et vous pouvez m'y suivre).

Une nouvelle aire

Framasoft est passée à la vitesse supérieure. J'entends par là que Framasoft prend du recul et se remet elle-même en question, refusant de devenir une grande usine à gaz centralisatrice comme celles qu'elle combat depuis sa création. En effet, c'est ce qui arriverait si les services hébergés par Framasoft avaient "trop" de succès, c'est à dire s'ils devenaient des incontournable d'internet, en dépit des tentatives d'essaimage prôné par l'association.

Ainsi,  CHATONS serait un regroupement d'hébergeurs indépendants adhérant à un manifeste et obéissant à une charte communes, basées sur la transparence, la communauté et la solidarité. Tout cela afin de maintenir la décentralisation, mutualiser le savoir et promouvoir ce genre d'initiative.

Framasoft tient à montrer sa volonté de rester un organisme parmi tant d'autres.

Précisons tout de suite qu’il ne s’agit pas d’un projet interne à Framasoft, même si c’est Framasoft qui l’impulse. Nous serons à terme un chaton parmi les autres.

Un chaton parmi les autres, c'est à dire les entreprises qui acceptent de se soumettre à des contraintes qui ne découlent pas forcément de source.

Tout le monde pourra être un chaton ?

Déjà, par "tout le monde", j'entends les hébergeurs manifestant un intérêt pour la décentralisation, la liberté des logiciels et/ou l'économie solidaire. Les potentiels intéressés se limitent à un ensemble assez restreint, et les particuliers ne pourront pas directement aspirer à devenir des chatons.

Certains points de la charte (encore largement en construction) de cet organisme peuvent mettre un frein à l'enthousiasme de certaines entreprises/association de l'hébergement informatique. Même si on peut avoir d'autres points de vue que lui, je vous invite à lire les remarques de Philippe Scoffoni à ce sujet, qui contiennent beaucoup de points intéressants et qui ne manqueront pas d'être abordés lors des négociations ultérieures. Soulignons les obligations imposées par la charte sur la transparence des comptes financiers, la participation de la communauté au maintiens des services. Certains organismes peuvent être amenés à dissimuler le plus possible leurs stratégies financières pour des raisons de compétitivité, et il est difficilement envisageable que n'importe quel client/adhérent d'une société/association puisse avoir des responsabilités dans des domaines sensibles et capitaux qui nécessitent le plus souvent au moins un minimum d'expertise et de confiance.

Cependant il s'agit d'un idéal (je n'emploie volontairement pas le terme "utopie"), un but vers lequel il nous faut tendre à défaut de jamais l'atteindre un jour. Même si ce collectif reste rachitique ou si des concessions sont accordées, à choisir, ce collectif mérite d'être tenté plutôt que de ne jamais voir le jour.

Saluons donc ce genre d'initiative et prenons exemple sur Framasoft. Et de conclure sur le slogan de l'association particulièrement judicieux : "la route est longue, mais la voie est libre".

Après l'avoir officiellement annoncé le 26 janvier dernier, l'association pour la promotion du libre Framasoft a publié sur son blog la mise en route de l'organisme CHATONS, pour Collectif des Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires. Par cette étape, Framasoft ouvre un d...

Après l'avoir officiellement annoncé le 26 janvier dernier, l'association pour la promotion du libre Framasoft a publié sur son blog la mise en route de l'organisme CHATONS, pour Collectif des Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires. Par cette étape, Framasoft ouvre un deuxième âge dans son histoire.

Framasoft est connue pour sa campagne Dégooglisons Internet et les outils alternatifs qu'elle promeut face aux grandes sociétés centralisatrices, le fameux GAFAM (Google Apple Facebook Amazon Microsoft). On peut ainsi utiliser Framapad et Framacalc à la place des Google Docs, Framasphère à la place de Facebook (à ce propos, vous pouvez vous inscrire sur notre pod Diaspora, la même plateforme utilisée par Framasphère, et vous pouvez m'y suivre).

Une nouvelle aire

Framasoft est passée à la vitesse supérieure. J'entends par là que Framasoft prend du recul et se remet elle-même en question, refusant de devenir une grande usine à gaz centralisatrice comme celles qu'elle combat depuis sa création. En effet, c'est ce qui arriverait si les services hébergés par Framasoft avaient "trop" de succès, c'est à dire s'ils devenaient des incontournable d'internet, en dépit des tentatives d'essaimage prôné par l'association.

Ainsi,  CHATONS serait un regroupement d'hébergeurs indépendants adhérant à un manifeste et obéissant à une charte communes, basées sur la transparence, la communauté et la solidarité. Tout cela afin de maintenir la décentralisation, mutualiser le savoir et promouvoir ce genre d'initiative.

Framasoft tient à montrer sa volonté de rester un organisme parmi tant d'autres.

Précisons tout de suite qu’il ne s’agit pas d’un projet interne à Framasoft, même si c’est Framasoft qui l’impulse. Nous serons à terme un chaton parmi les autres.

Un chaton parmi les autres, c'est à dire les entreprises qui acceptent de se soumettre à des contraintes qui ne découlent pas forcément de source.

Tout le monde pourra être un chaton ?

Déjà, par "tout le monde", j'entends les hébergeurs manifestant un intérêt pour la décentralisation, la liberté des logiciels et/ou l'économie solidaire. Les potentiels intéressés se limitent à un ensemble assez restreint, et les particuliers ne pourront pas directement aspirer à devenir des chatons.

Certains points de la charte (encore largement en construction) de cet organisme peuvent mettre un frein à l'enthousiasme de certaines entreprises/association de l'hébergement informatique. Même si on peut avoir d'autres points de vue que lui, je vous invite à lire les remarques de Philippe Scoffoni à ce sujet, qui contiennent beaucoup de points intéressants et qui ne manqueront pas d'être abordés lors des négociations ultérieures. Soulignons les obligations imposées par la charte sur la transparence des comptes financiers, la participation de la communauté au maintiens des services. Certains organismes peuvent être amenés à dissimuler le plus possible leurs stratégies financières pour des raisons de compétitivité, et il est difficilement envisageable que n'importe quel client/adhérent d'une société/association puisse avoir des responsabilités dans des domaines sensibles et capitaux qui nécessitent le plus souvent au moins un minimum d'expertise et de confiance.

Cependant il s'agit d'un idéal (je n'emploie volontairement pas le terme "utopie"), un but vers lequel il nous faut tendre à défaut de jamais l'atteindre un jour. Même si ce collectif reste rachitique ou si des concessions sont accordées, à choisir, ce collectif mérite d'être tenté plutôt que de ne jamais voir le jour.

Saluons donc ce genre d'initiative et prenons exemple sur Framasoft. Et de conclure sur le slogan de l'association particulièrement judicieux : "la route est longue, mais la voie est libre".

Bonjour les gens, J'aimerai revenir sur une notion dont on a beaucoup parlé (au moins ici et là) et dont on parlera beaucoup encore, vu qu'il s'agit d'un pan important de ce pourquoi nous nous battons. J'aimerais clarifier et élargir toutes les très jolies choses que l'on met derrière ce terme, et é...

Bonjour les gens,

J'aimerai revenir sur une notion dont on a beaucoup parlé (au moins ici et là) et dont on parlera beaucoup encore, vu qu'il s'agit d'un pan important de ce pourquoi nous nous battons.

J'aimerais clarifier et élargir toutes les très jolies choses que l'on met derrière ce terme, et éviter qu'il continue de vous faire peur afin que vous puissiez enfin dormir enfin à peu près convenablement.

Ce que l'on vous a déjà dit

Comme a dû vous le dire Motius, le net d'aujourd'hui, ou du moins tel qu'il est en voie de devenir, est méchant. Enfin il n'est pas méchant, mais les gens qui ont la main dessus le sont. Où plutôt, rien ne peut les empêcher de l'être. Pourquoi ? Parce que ces acteurs du net détiennent un quasi-monopole des services qu'ils proposent, et pire encore, ils les accumulent. Désormais, les gens reposent leur entière activité internet sur deux ou trois sociétés, que ce soit pour les mails, les contacts, la communication instantanée, les réseaux sociaux... On a donc très peu de gros centres de services conséquents dans le monde. Mais ça vous le saviez déjà.

La décentralisation, au sens strict du terme, c'est la tendance à délaisser les centres des services au profit d'une répartition de la charge sur l'ensemble des utilisateurs de ce service. Cela passe par des protocoles spéciaux d'un type que l'on nomme pour l'occasion pair à pair, bien connu sous son nom anglais peer-to-peer. Mais ça, vous le saviez aussi.

L'intérêt du pair à pair, c'est que les utilisateurs du service ne sont plus dépendants de l'énorme araignée de la toile dans laquelle ils sont tenus prisonniers, mais de porter eux même les données ou de servir de point d'accès pour d'autres utilisateurs de ce même service. Donc plus il y a d'utilisateurs, plus le service est efficace, à l'opposé d'un service centralisé traditionnel (même si souvent les centres en question déploient des moyens colossaux et peuvent ainsi traiter beaucoup, beaucoup, mais genre vraiment beaucoup de demandes). De même, la censure d'un tel service est très difficile, car l'information est en elle-même insaisissable. Pour arrêter le service, il faut faire tomber un à un tous les pairs du service, et Dieu sait que parfois ça fait beaucoup. Ainsi il est impossible d'enrayer le téléchargement illégal du dernier Twilight en pair à pair, les autorités se réduisant à établir une liste des utilisateur du service afin de faire tomber le glaive impitoyable de la justice et de les châtier à grand coups de pied là ou je pense.

Rappelons que ces protocoles pair à pair ne sont pas illégaux, ce sont certains usages qui en sont fait qui le sont. On ne va pas interdire la gravité parce que la chute inattendue d'un rhinocéros du haut d'un immeuble sur la tête est potentiellement néfaste pour la santé du propriétaire de ladite tête (et pour le rhinocéros par la même occasion).

Principal responsable de l'interdiction totale de la gravité (décret de 2035).

Tout cela vous le saviez. En tout cas vous devriez le savoir. Bon de toute façon, maintenant vous le savez.

Mais...

Je pense que je dois partager mon ressenti sur cette philosophie de la décentralisation.

L’inconvénient du pair à pair, c'est que trop peu de protocoles l'utilisent, ce qui le réduit aujourd'hui à un usage très marginal, dont celui qui n'est pas apprécié par ces respectables personnes chez Hadopi. On a bien quelques tentatives de démocratisation de services tout public en pair à pair, mais ils ont pour le moins beaucoup de mal à percer. Cela soulève également le problème de la standardisation, qui pourrait faire l'objet d'une autre tribune.

D'autre part, cela induit une conception totalement différente des principes des internets que l'on croyais acquis, dont le sacrosaint concept d'architecture client-serveur. En pair à pair, ça change du tout au tout, car il n'y a alors que des utilisateurs qui jouent les deux rôles à la fois, dans une sorte d'orgie de l'information.

Alors que faire ? Doit-on se plier à la dictature des grands de ce monde qui abusent de nos données et dont nous sommes la matière première ? N'ayez crainte, nous sommes les Gentils du Net, et même si le moment venait un jour de rendre les armes et de courber l'échine devant le totalitarisme des sociétés gangster cannibales et sans pitié d'un monde impitoyable, dénué de liberté et d'utilité par le fait, ce jour n'est pas arrivé !

À mon sens, la solution idéale dans l'état actuel des choses, quitte à adopter la décentralisation totale plus tard, passe par un élargissement du sens de cette décentralisation. Plutôt que de renoncer aux centres de services, créons-en énormément ! Je m'explique : je pense qu'il est louable que créer les propres services que nous utilisons. C'est le principe de l'auto-hébergement : on n'est jamais mieux servi que par soi-même. Et cela a l'avantage de pouvoir facilement éditer un contenu que vous mettez à disposition, puisque tous les accès dépendent de vous.

Cette structure n'est pas sans rappeler les premier jours des internets, à l'époque ou vous aviez une multitude de concurrents valables pour un même service. D'ailleurs, énormément de services vieux comme le net ont été conçu pour être compatibles entre différents centres. Les mails en sont un très bon exemple. Du coup, vous pouvez créer votre propre service mail, et pour le coup aller envoyer paitre Gmail, créer votre propre messagerie XMPP et envoyer valser Skype/Facebook...

Tant que les services sont conçus pour que les centres se comprennent, on participe alors à la fédéralisation des services, qui est une forme plus progressiste de la décentralisation.

Le fait de s'auto-héberger est également un très bon moyen / le meilleur moyen / le seul moyen de se familiariser avec les techniques d'administration système. Car en vérité je vous le dit, à Hashtagueule, on encourage les gens à s'instruire, tant sur le point de vue de l'actualité que sur celui du savoir-faire, je pense que vous l'aurez compris. Et bien sûr, bien que vous puissiez trouver des masses de tutoriels sur la plupart de ces services sur le web, on vous en concoctera quelques-uns, avec nos astuces personnelles, c'est ça la valeur ajoutée Hashtagueule.

Je pensais que ce petit billet était utile afin de proposer une solution de plus à notre combat quotidien.

Un jour peut-être, le monde sera prêt à passer en pair à pair total. En attendant, soyez votre propre centre de services.

Et restez gentils.

Bonjour les gens, J'aimerai revenir sur une notion dont on a beaucoup parlé (au moins ici et là) et dont on parlera beaucoup encore, vu qu'il s'agit d'un pan important de ce pourquoi nous nous battons. J'aimerais clarifier et élargir toutes les très jolies choses que l'on met derrière ce terme, et é...

Bonjour les gens,

J'aimerai revenir sur une notion dont on a beaucoup parlé (au moins ici et là) et dont on parlera beaucoup encore, vu qu'il s'agit d'un pan important de ce pourquoi nous nous battons.

J'aimerais clarifier et élargir toutes les très jolies choses que l'on met derrière ce terme, et éviter qu'il continue de vous faire peur afin que vous puissiez enfin dormir enfin à peu près convenablement.

Ce que l'on vous a déjà dit

Comme a dû vous le dire Motius, le net d'aujourd'hui, ou du moins tel qu'il est en voie de devenir, est méchant. Enfin il n'est pas méchant, mais les gens qui ont la main dessus le sont. Où plutôt, rien ne peut les empêcher de l'être. Pourquoi ? Parce que ces acteurs du net détiennent un quasi-monopole des services qu'ils proposent, et pire encore, ils les accumulent. Désormais, les gens reposent leur entière activité internet sur deux ou trois sociétés, que ce soit pour les mails, les contacts, la communication instantanée, les réseaux sociaux... On a donc très peu de gros centres de services conséquents dans le monde. Mais ça vous le saviez déjà.

La décentralisation, au sens strict du terme, c'est la tendance à délaisser les centres des services au profit d'une répartition de la charge sur l'ensemble des utilisateurs de ce service. Cela passe par des protocoles spéciaux d'un type que l'on nomme pour l'occasion pair à pair, bien connu sous son nom anglais peer-to-peer. Mais ça, vous le saviez aussi.

L'intérêt du pair à pair, c'est que les utilisateurs du service ne sont plus dépendants de l'énorme araignée de la toile dans laquelle ils sont tenus prisonniers, mais de porter eux même les données ou de servir de point d'accès pour d'autres utilisateurs de ce même service. Donc plus il y a d'utilisateurs, plus le service est efficace, à l'opposé d'un service centralisé traditionnel (même si souvent les centres en question déploient des moyens colossaux et peuvent ainsi traiter beaucoup, beaucoup, mais genre vraiment beaucoup de demandes). De même, la censure d'un tel service est très difficile, car l'information est en elle-même insaisissable. Pour arrêter le service, il faut faire tomber un à un tous les pairs du service, et Dieu sait que parfois ça fait beaucoup. Ainsi il est impossible d'enrayer le téléchargement illégal du dernier Twilight en pair à pair, les autorités se réduisant à établir une liste des utilisateur du service afin de faire tomber le glaive impitoyable de la justice et de les châtier à grand coups de pied là ou je pense.

Rappelons que ces protocoles pair à pair ne sont pas illégaux, ce sont certains usages qui en sont fait qui le sont. On ne va pas interdire la gravité parce que la chute inattendue d'un rhinocéros du haut d'un immeuble sur la tête est potentiellement néfaste pour la santé du propriétaire de ladite tête (et pour le rhinocéros par la même occasion).

Principal responsable de l'interdiction totale de la gravité (décret de 2035).

Tout cela vous le saviez. En tout cas vous devriez le savoir. Bon de toute façon, maintenant vous le savez.

Mais...

Je pense que je dois partager mon ressenti sur cette philosophie de la décentralisation.

L’inconvénient du pair à pair, c'est que trop peu de protocoles l'utilisent, ce qui le réduit aujourd'hui à un usage très marginal, dont celui qui n'est pas apprécié par ces respectables personnes chez Hadopi. On a bien quelques tentatives de démocratisation de services tout public en pair à pair, mais ils ont pour le moins beaucoup de mal à percer. Cela soulève également le problème de la standardisation, qui pourrait faire l'objet d'une autre tribune.

D'autre part, cela induit une conception totalement différente des principes des internets que l'on croyais acquis, dont le sacrosaint concept d'architecture client-serveur. En pair à pair, ça change du tout au tout, car il n'y a alors que des utilisateurs qui jouent les deux rôles à la fois, dans une sorte d'orgie de l'information.

Alors que faire ? Doit-on se plier à la dictature des grands de ce monde qui abusent de nos données et dont nous sommes la matière première ? N'ayez crainte, nous sommes les Gentils du Net, et même si le moment venait un jour de rendre les armes et de courber l'échine devant le totalitarisme des sociétés gangster cannibales et sans pitié d'un monde impitoyable, dénué de liberté et d'utilité par le fait, ce jour n'est pas arrivé !

À mon sens, la solution idéale dans l'état actuel des choses, quitte à adopter la décentralisation totale plus tard, passe par un élargissement du sens de cette décentralisation. Plutôt que de renoncer aux centres de services, créons-en énormément ! Je m'explique : je pense qu'il est louable que créer les propres services que nous utilisons. C'est le principe de l'auto-hébergement : on n'est jamais mieux servi que par soi-même. Et cela a l'avantage de pouvoir facilement éditer un contenu que vous mettez à disposition, puisque tous les accès dépendent de vous.

Cette structure n'est pas sans rappeler les premier jours des internets, à l'époque ou vous aviez une multitude de concurrents valables pour un même service. D'ailleurs, énormément de services vieux comme le net ont été conçu pour être compatibles entre différents centres. Les mails en sont un très bon exemple. Du coup, vous pouvez créer votre propre service mail, et pour le coup aller envoyer paitre Gmail, créer votre propre messagerie XMPP et envoyer valser Skype/Facebook...

Tant que les services sont conçus pour que les centres se comprennent, on participe alors à la fédéralisation des services, qui est une forme plus progressiste de la décentralisation.

Le fait de s'auto-héberger est également un très bon moyen / le meilleur moyen / le seul moyen de se familiariser avec les techniques d'administration système. Car en vérité je vous le dit, à Hashtagueule, on encourage les gens à s'instruire, tant sur le point de vue de l'actualité que sur celui du savoir-faire, je pense que vous l'aurez compris. Et bien sûr, bien que vous puissiez trouver des masses de tutoriels sur la plupart de ces services sur le web, on vous en concoctera quelques-uns, avec nos astuces personnelles, c'est ça la valeur ajoutée Hashtagueule.

Je pensais que ce petit billet était utile afin de proposer une solution de plus à notre combat quotidien.

Un jour peut-être, le monde sera prêt à passer en pair à pair total. En attendant, soyez votre propre centre de services.

Et restez gentils.

29Bonjour à tous ! Aujourd'hui on va s'attaquer à un très gros morceau : la publicité. En tous cas celle en ligne. Et croyez-moi, il y a vraiment énormément à dire. Donc je ne pourrais pas tout traiter, mais je vais essayer d'aborder le plus possible les points essentiels, puis voir quel position ab...

29Bonjour à tous !

Aujourd'hui on va s'attaquer à un très gros morceau : la publicité. En tous cas celle en ligne. Et croyez-moi, il y a vraiment énormément à dire. Donc je ne pourrais pas tout traiter, mais je vais essayer d'aborder le plus possible les points essentiels, puis voir quel position aborder face à ce phénomène qui s'est emparé de toutes les pages web. Toutes ? non, seules une minorité résiste encore et toujours...

C'est vraiment dur de s'attaquer à un sujet aussi gros que celui-là. Où commencer, quel aspects traiter, quels sont les apports et les méfaits, etc. On va donc faire thématique, pour diviser le boulot.

Les inconvénients techniques de la publicité

Le rendu de la pubilicité

C'est bête à dire --- heureusement de moins en moins vrai sur la majorité des sites --- mais parfois les publicités empêchent la bonne lecture du site.  Soit que la publicité soit plus grande que prévue, qu'elle soit animée, avec du son, qu'elle clignote, soit qu'elle ne prennent pas en charge les mobiles. Et ça peut être particulièrement lourd.

La bande passante consommée

Indéniablement, charger de la publicité --- ie du contenu --- consomme de la donnée et diminiue la bande passante disponible durant la période de chargement.

Tracking

Pour cela il faut examiner le réseau de distribution de la publicité :

• la publicité d'un site web émane rarement de celui-ci, mais la grande majorité du temps de serveurs de pubs tiers (ex : googleads.g.doubleclick.net, adserver.yahoo.com, azure de Facebook --- vendu par Microsoft --- etc.) ;
• la raison à cela est que les vendeurs de pub ont besoin de savoir combien de fois leur pub a été vu / combien ont suivi le lien etc., il y a donc un problème de confiance si les vendeurs de publicité n'ont pas la main sur le serveur distribuant la publicité.

Ça pose un problème concernant le tracking des informations sur internet. En effet :

les boîtes les plus rentables en matières de publicité sont les plus grosses, il y a donc peu d'entreprises qui vendent de la pub. En fait on en connait la majorité (Google, Facebook, Twitter, Microsoft, via leurs services spécialisés), et les rares que le grand public ne connait pas sont des startups qui ont de bonnes idées/un bon algorithme, et qui finiront dans le ventre d'un des géants (critéo, etc.).

Ainsi le premier problème est qu'une minorité d'entités connaît la plupart des choses que nous faisons sur internet, ce qui constitue un genre d'espionnage permanent des communications numériques de tout le monde.

Le second problème vient de l'idée de valorisation de la publicité : pour éviter qu'une publicité sur les produits hygiéniques féminin ne soit vu par des hommes, il faut les cibler. De là découle le tracking par les entreprises sur internet. Une course à qui vendra le mieux ses internautes, en somme...

Format des publicités

On ne dirait pas mais c'est extrêmement important. Savoir si la publicité est une image JPG/PNG a priori beaucoup moins dangereuse qu'une publicité utilisant flash ou java. Il ne faut pas perdre de vue qu'un serveur http peut proposer une page, et demander au navigateur web d'aller chercher une page http sur un autre serveur, laquelle peut faire exécuter du code javascript par le navigateur. Eh bien ça, c'est vraiment un immense problème. C'est tout simplement inadmissible. Ça veut dire qu'on va sur le serveur a.chose qui appelle une page du serveur b.publicite et la page située à l'adresse b.publicite se permet d'exécuter du code sur votre ordinateur. Autant se balader à poil sur internet. Avec ce mécanisme l'utilisateur ne choisit plus en qui il a confiance.

Le "native advertising" alias publicité native (?)

Je ne connais pas l'équivalent français. Il s'agit de publicité ayant un contenu. Par exemple vous tombez sur un article qui à l'air d'être du contenu, mais qui en fait est une publicité.

Certains américains se targuent de l'avoir inventé en 2012, mais ça a toujours existé, sous la forme d'une biographie sponsorisée, sous la forme d'un blogueur spécialisé à propos d'une entreprise, etc.

Ça pose pas mal de problèmes, notamment concernant la confiance dans internet. Selon les sites qu'on visite et les thèmes de prédilection, on peut avoir une confiance plus ou moins grande dans ce qu'on lit sur internet. Et bien ceci ne va pas aider. Surtout en ce qui concerne l'éducation des enfants.

Petite parenthèse sur la publicité, la confiance dans l'information qu'on reçoit et l'actualité :

À propos de ce sujet, la loi que le gouvernement essaie de faire passer pour interdire la publicité sur les chaînes publiques destinées à des moins de 12 ans est sympa, mais très en retard ! La majorité de ceux né au moment de ces débats passeront beaucoup plus de temps sur internet qu'à regarder la télévision (enfin j'espère !). Il y a tout de même un débat qu'on n'a pas eu, c'est celui sur l'étendue de l'application de la loi. À ce jour, celle-ci est supposée être limitée à la télévision publique, mais ça pose un problème d'inégalité entre le public et le privé qu'on peut résoudre de plusieurs manières :

• une version assez "communiste"/État stratège de la chose où l'on impose la même aux entreprises privées ;
• une version où l'on ne fait rien, et l'on garde le déséquilibre ;
• une version où l'on abroge la loi.

De là à dire qu'il faut un pacte des acteurs du numériques sur la publicité et l'éducation des enfants... On verra comment ce sera traité.

Fin de la parenthèse

Perte de valorisation de la publicité

Je vais oser commencer par le trop entendu "trop de x tue le/la x" : trop de pub tue-t-il la pub ?

Le but de la publicité ciblée était d'éviter les publicité ne concernant pas les gens. De ce constat, on en est arrivé à une course à qui affichera la publicité la plus adaptée. Il y a littéralement des enchères qui sont faites sur un profil de l'utilisateur pendant le chargement de certaines pages web.

Pourtant plus on affiche de publicité, et moins elles ont de valeur. Pas parce qu'on y est moins réceptifs --- il faudrait prouver cela, et ça me paraît difficile --- mais tout simplement parce que la publicité incite à l'achat, et que la capacité d'achat (oui, j'ai fait exprès) n'est pas infinie.

On aperçoit ici deux vision du monde de la publicité :

• celle où l'on s'écharpe, c'est la guerre à qui fera la meilleure publicité, la vendra le mieux, au prix le moins cher, et après tout, c'est compréhensible dans un monde de compétition ;
• celle où le nombre de publicité est limité, où chacune possède une plus grande valeur, et nécessairement où l'on a trouvé un moyen pour réguler ce bazar --- c'est pas dit.

Et de la centralisation naquit le pouvoir...

Une chose à ne pas perdre de vue, c'est que beaucoup des noms célèbres sur internet ont eu des problèmes avec les sociétés vendant de la publicité, au point que certains --- je pense à quelques blogueurs renommés --- se sont vu intimé l'ordre de retirer un contenu ou risquer de perdre une source de revenus sur la toile.

Ça veut évidemment dire que critiquer les entreprises vendant de la publicité ou leurs intérêts est limité voire impossible, problème de censure, de critique du pouvoir, donc de type dictatorial.

Ça veut aussi dire qu'il n'y a pas une assez grande concurrence, puisqu'une personne ayant une sérieuse réputation aura du mal a faire jouer la concurrence.

Intérêt de la publicité

Un tweet à l'air provocateur de Marissa Mayer prétend que la publicité peut améliorer internet... vu qu'afficher la publicité est le comportement par défaut des navigateurs web, et qu'une partie des internautes s'acharne à installer adblockeur sur adblockeur, on peut vite répondre sur la valeur des publicité indésirables...

Cet exemple n'est pas seul. Qui ne s'est jamais retrouvé, au bout d'une suite de trois vidéos suggérées sur youtube, avec une vidéo n'ayant pas de rapport avec la première ? En ce qui me concerne, je suivais sur twitter le compte @MSDN de news de microsoft, et me suis retrouvé avec des tweets sponsorisés par Microsoft® --- dont je n'ai pas grand chose à faire, puisque j'évite le plus possible cette plateforme, et que l'intérêt que je porte à MSDN est lié aux nouvelles technologies, à l'actualité scientifique et technique...

Une dernière chose --- je vais faire mon vieux con ici --- parfois la publicité engendre de mauvais comportement (c'est pour cela que les publicité sur l'alcool sont accompagnées d'un message de prévention). Avoir de la publicité à outrance n'est pas sain.

Les raisons de la publicité

On nous a rebattu les oreilles avec, mais faisons-le encore.

Le marketing

Faire connaître un produit ou un service est une tâche complexe. On s'en rend compte à hashtagueule.fr, où nous cherchons à faire entendre notre voix.

Financement

Une bonne partie des choses qui nous coûtaient dans le monde analogique est devenu "gratuit" --- enfin pas tout à fait --- dans le monde numérique où l'on ne développe plus ses photos pour en faire un album qu'on triera, mais on les publie sur un site qui se charge de tout. Idem pour le mail, etc. Un des inconvénients de passer d'une société de biens à une société de services, la transition coûte cher, et il faut définir le nouveau business modèle.

La publicité est donc le modèle choisi par beaucoup pour financer leur activité (journalistes, blogueurs, hébergeurs de contenu, etc.).

Design et représentation graphiques

La publicité c'est aussi l'occasion pour les marques de créer une identité visuelle, et pour les designers en tous genre --- du graphistes jusqu'au webdesign --- d'inventer la représentation visuelle de nos produits et sesrvices. Il n'y a qu'à demander aux fans de toutes les industries liées de près ou de loin au luxe, la puublicité a une histoire.

Avenir de la publicité

Il y a peu de temps duckduckgo.com a anoncé être bénéficiaire. DuckDuckGo est un moteur de recherche plutôt centré sur le monde anglophone (il donne aussi des résultats français) qui affirme de pas tracker ses utilisaterus --- et donc leur fournir du contenu non ciblé. Et pourtant, DuckDuckGo arrive à être rentable, et à ce que publicités ne soient pas vaines.

Qwant.com vient de lever 25 millions d'euros pour se développer, et va tenter de percer dans le marcher allemand (il est français à la base, mais donne aussi des résultats en anglais). Lui aussi a un business modèle sympa :

• il ne fait pas de publicité, mais propose des résultats liés à l'achat/vente que lorsque les termes recherchés semblent indiquer l'intention de faire du shopping ;
• il se rémunère à l'aide d'un partenariat avec des vendeurs.

En définitive

La publicité non personnalisée --- à l'aide de tout un tas de trackers --- a un avenir chez ceux qui  font de la publicité intelligente, qui servent les pubs à bon escient.

Comme Google a influencé la construction du web à via son algorithme pagerank etc. puisque les sites veulent --- généralement --- être indexés et bien recensés, peut-être que les bloqueurs de pubs pourront transformer le web de telle sorte qu'une partie des sites web adoptent une politique de présentation des publicités plus éthique. On pourrait avoir entre autres (pas nécessairement pour chacune d'elles) :

• des publicités sans animation ;
• des publicités sans images (plus rapide à charger) ;
• un cadre réservé au publicité avec la mention "publicité" (pour éviter, par exemple, que des journaux ne perdent en crédibilité à cause du native advertising) ;
• des publicité hébergées par le possesseur du site web (peut-être à condition de pouvoir mettre en place un mécanisme de vérification par le vendeur de pubs (pas toujours nécessaire : on sait approximativement combien de personnes sont lecteurs de tel ou tel journal)) ;
• etc.

Motius

29Bonjour à tous ! Aujourd'hui on va s'attaquer à un très gros morceau : la publicité. En tous cas celle en ligne. Et croyez-moi, il y a vraiment énormément à dire. Donc je ne pourrais pas tout traiter, mais je vais essayer d'aborder le plus possible les points essentiels, puis voir quel position ab...

29Bonjour à tous !

Aujourd'hui on va s'attaquer à un très gros morceau : la publicité. En tous cas celle en ligne. Et croyez-moi, il y a vraiment énormément à dire. Donc je ne pourrais pas tout traiter, mais je vais essayer d'aborder le plus possible les points essentiels, puis voir quel position aborder face à ce phénomène qui s'est emparé de toutes les pages web. Toutes ? non, seules une minorité résiste encore et toujours...

C'est vraiment dur de s'attaquer à un sujet aussi gros que celui-là. Où commencer, quel aspects traiter, quels sont les apports et les méfaits, etc. On va donc faire thématique, pour diviser le boulot.

Les inconvénients techniques de la publicité

Le rendu de la pubilicité

C'est bête à dire --- heureusement de moins en moins vrai sur la majorité des sites --- mais parfois les publicités empêchent la bonne lecture du site.  Soit que la publicité soit plus grande que prévue, qu'elle soit animée, avec du son, qu'elle clignote, soit qu'elle ne prennent pas en charge les mobiles. Et ça peut être particulièrement lourd.

La bande passante consommée

Indéniablement, charger de la publicité --- ie du contenu --- consomme de la donnée et diminiue la bande passante disponible durant la période de chargement.

Tracking

Pour cela il faut examiner le réseau de distribution de la publicité :

• la publicité d'un site web émane rarement de celui-ci, mais la grande majorité du temps de serveurs de pubs tiers (ex : googleads.g.doubleclick.net, adserver.yahoo.com, azure de Facebook --- vendu par Microsoft --- etc.) ;
• la raison à cela est que les vendeurs de pub ont besoin de savoir combien de fois leur pub a été vu / combien ont suivi le lien etc., il y a donc un problème de confiance si les vendeurs de publicité n'ont pas la main sur le serveur distribuant la publicité.

Ça pose un problème concernant le tracking des informations sur internet. En effet :

les boîtes les plus rentables en matières de publicité sont les plus grosses, il y a donc peu d'entreprises qui vendent de la pub. En fait on en connait la majorité (Google, Facebook, Twitter, Microsoft, via leurs services spécialisés), et les rares que le grand public ne connait pas sont des startups qui ont de bonnes idées/un bon algorithme, et qui finiront dans le ventre d'un des géants (critéo, etc.).

Ainsi le premier problème est qu'une minorité d'entités connaît la plupart des choses que nous faisons sur internet, ce qui constitue un genre d'espionnage permanent des communications numériques de tout le monde.

Le second problème vient de l'idée de valorisation de la publicité : pour éviter qu'une publicité sur les produits hygiéniques féminin ne soit vu par des hommes, il faut les cibler. De là découle le tracking par les entreprises sur internet. Une course à qui vendra le mieux ses internautes, en somme...

Format des publicités

On ne dirait pas mais c'est extrêmement important. Savoir si la publicité est une image JPG/PNG a priori beaucoup moins dangereuse qu'une publicité utilisant flash ou java. Il ne faut pas perdre de vue qu'un serveur http peut proposer une page, et demander au navigateur web d'aller chercher une page http sur un autre serveur, laquelle peut faire exécuter du code javascript par le navigateur. Eh bien ça, c'est vraiment un immense problème. C'est tout simplement inadmissible. Ça veut dire qu'on va sur le serveur a.chose qui appelle une page du serveur b.publicite et la page située à l'adresse b.publicite se permet d'exécuter du code sur votre ordinateur. Autant se balader à poil sur internet. Avec ce mécanisme l'utilisateur ne choisit plus en qui il a confiance.

Le "native advertising" alias publicité native (?)

Je ne connais pas l'équivalent français. Il s'agit de publicité ayant un contenu. Par exemple vous tombez sur un article qui à l'air d'être du contenu, mais qui en fait est une publicité.

Certains américains se targuent de l'avoir inventé en 2012, mais ça a toujours existé, sous la forme d'une biographie sponsorisée, sous la forme d'un blogueur spécialisé à propos d'une entreprise, etc.

Ça pose pas mal de problèmes, notamment concernant la confiance dans internet. Selon les sites qu'on visite et les thèmes de prédilection, on peut avoir une confiance plus ou moins grande dans ce qu'on lit sur internet. Et bien ceci ne va pas aider. Surtout en ce qui concerne l'éducation des enfants.

Petite parenthèse sur la publicité, la confiance dans l'information qu'on reçoit et l'actualité :

À propos de ce sujet, la loi que le gouvernement essaie de faire passer pour interdire la publicité sur les chaînes publiques destinées à des moins de 12 ans est sympa, mais très en retard ! La majorité de ceux né au moment de ces débats passeront beaucoup plus de temps sur internet qu'à regarder la télévision (enfin j'espère !). Il y a tout de même un débat qu'on n'a pas eu, c'est celui sur l'étendue de l'application de la loi. À ce jour, celle-ci est supposée être limitée à la télévision publique, mais ça pose un problème d'inégalité entre le public et le privé qu'on peut résoudre de plusieurs manières :

• une version assez "communiste"/État stratège de la chose où l'on impose la même aux entreprises privées ;
• une version où l'on ne fait rien, et l'on garde le déséquilibre ;
• une version où l'on abroge la loi.

De là à dire qu'il faut un pacte des acteurs du numériques sur la publicité et l'éducation des enfants... On verra comment ce sera traité.

Fin de la parenthèse

Perte de valorisation de la publicité

Je vais oser commencer par le trop entendu "trop de x tue le/la x" : trop de pub tue-t-il la pub ?

Le but de la publicité ciblée était d'éviter les publicité ne concernant pas les gens. De ce constat, on en est arrivé à une course à qui affichera la publicité la plus adaptée. Il y a littéralement des enchères qui sont faites sur un profil de l'utilisateur pendant le chargement de certaines pages web.

Pourtant plus on affiche de publicité, et moins elles ont de valeur. Pas parce qu'on y est moins réceptifs --- il faudrait prouver cela, et ça me paraît difficile --- mais tout simplement parce que la publicité incite à l'achat, et que la capacité d'achat (oui, j'ai fait exprès) n'est pas infinie.

On aperçoit ici deux vision du monde de la publicité :

• celle où l'on s'écharpe, c'est la guerre à qui fera la meilleure publicité, la vendra le mieux, au prix le moins cher, et après tout, c'est compréhensible dans un monde de compétition ;
• celle où le nombre de publicité est limité, où chacune possède une plus grande valeur, et nécessairement où l'on a trouvé un moyen pour réguler ce bazar --- c'est pas dit.

Et de la centralisation naquit le pouvoir...

Une chose à ne pas perdre de vue, c'est que beaucoup des noms célèbres sur internet ont eu des problèmes avec les sociétés vendant de la publicité, au point que certains --- je pense à quelques blogueurs renommés --- se sont vu intimé l'ordre de retirer un contenu ou risquer de perdre une source de revenus sur la toile.

Ça veut évidemment dire que critiquer les entreprises vendant de la publicité ou leurs intérêts est limité voire impossible, problème de censure, de critique du pouvoir, donc de type dictatorial.

Ça veut aussi dire qu'il n'y a pas une assez grande concurrence, puisqu'une personne ayant une sérieuse réputation aura du mal a faire jouer la concurrence.

Intérêt de la publicité

Un tweet à l'air provocateur de Marissa Mayer prétend que la publicité peut améliorer internet... vu qu'afficher la publicité est le comportement par défaut des navigateurs web, et qu'une partie des internautes s'acharne à installer adblockeur sur adblockeur, on peut vite répondre sur la valeur des publicité indésirables...

Cet exemple n'est pas seul. Qui ne s'est jamais retrouvé, au bout d'une suite de trois vidéos suggérées sur youtube, avec une vidéo n'ayant pas de rapport avec la première ? En ce qui me concerne, je suivais sur twitter le compte @MSDN de news de microsoft, et me suis retrouvé avec des tweets sponsorisés par Microsoft® --- dont je n'ai pas grand chose à faire, puisque j'évite le plus possible cette plateforme, et que l'intérêt que je porte à MSDN est lié aux nouvelles technologies, à l'actualité scientifique et technique...

Une dernière chose --- je vais faire mon vieux con ici --- parfois la publicité engendre de mauvais comportement (c'est pour cela que les publicité sur l'alcool sont accompagnées d'un message de prévention). Avoir de la publicité à outrance n'est pas sain.

Les raisons de la publicité

On nous a rebattu les oreilles avec, mais faisons-le encore.

Le marketing

Faire connaître un produit ou un service est une tâche complexe. On s'en rend compte à hashtagueule.fr, où nous cherchons à faire entendre notre voix.

Financement

Une bonne partie des choses qui nous coûtaient dans le monde analogique est devenu "gratuit" --- enfin pas tout à fait --- dans le monde numérique où l'on ne développe plus ses photos pour en faire un album qu'on triera, mais on les publie sur un site qui se charge de tout. Idem pour le mail, etc. Un des inconvénients de passer d'une société de biens à une société de services, la transition coûte cher, et il faut définir le nouveau business modèle.

La publicité est donc le modèle choisi par beaucoup pour financer leur activité (journalistes, blogueurs, hébergeurs de contenu, etc.).

Design et représentation graphiques

La publicité c'est aussi l'occasion pour les marques de créer une identité visuelle, et pour les designers en tous genre --- du graphistes jusqu'au webdesign --- d'inventer la représentation visuelle de nos produits et sesrvices. Il n'y a qu'à demander aux fans de toutes les industries liées de près ou de loin au luxe, la puublicité a une histoire.

Avenir de la publicité

Il y a peu de temps duckduckgo.com a anoncé être bénéficiaire. DuckDuckGo est un moteur de recherche plutôt centré sur le monde anglophone (il donne aussi des résultats français) qui affirme de pas tracker ses utilisaterus --- et donc leur fournir du contenu non ciblé. Et pourtant, DuckDuckGo arrive à être rentable, et à ce que publicités ne soient pas vaines.

Qwant.com vient de lever 25 millions d'euros pour se développer, et va tenter de percer dans le marcher allemand (il est français à la base, mais donne aussi des résultats en anglais). Lui aussi a un business modèle sympa :

• il ne fait pas de publicité, mais propose des résultats liés à l'achat/vente que lorsque les termes recherchés semblent indiquer l'intention de faire du shopping ;
• il se rémunère à l'aide d'un partenariat avec des vendeurs.

En définitive

La publicité non personnalisée --- à l'aide de tout un tas de trackers --- a un avenir chez ceux qui  font de la publicité intelligente, qui servent les pubs à bon escient.

Comme Google a influencé la construction du web à via son algorithme pagerank etc. puisque les sites veulent --- généralement --- être indexés et bien recensés, peut-être que les bloqueurs de pubs pourront transformer le web de telle sorte qu'une partie des sites web adoptent une politique de présentation des publicités plus éthique. On pourrait avoir entre autres (pas nécessairement pour chacune d'elles) :

• des publicités sans animation ;
• des publicités sans images (plus rapide à charger) ;
• un cadre réservé au publicité avec la mention "publicité" (pour éviter, par exemple, que des journaux ne perdent en crédibilité à cause du native advertising) ;
• des publicité hébergées par le possesseur du site web (peut-être à condition de pouvoir mettre en place un mécanisme de vérification par le vendeur de pubs (pas toujours nécessaire : on sait approximativement combien de personnes sont lecteurs de tel ou tel journal)) ;
• etc.

Motius

Bonjour à tous ! Savez-vous comment marche le mécanisme de la confiance dans une page web reçue avec HTTPS ? Petit tour rapide et présentation de Let's Encrypt. Si vous êtes un lecteur régulier du site, vous savez que le chiffrement de bout en bout est un dada chez moi, plutôt que le chiffrement poi...

Bonjour à tous !

Savez-vous comment marche le mécanisme de la confiance dans une page web reçue avec HTTPS ? Petit tour rapide et présentation de Let's Encrypt.

Si vous êtes un lecteur régulier du site, vous savez que le chiffrement de bout en bout est un dada chez moi, plutôt que le chiffrement point-à-point. On n'a pas encore fait de glossaire, donc je vais le réexpliquer à cette occasion, mais on finira par se référer à un petit manuel de bases. Donc si vous connaissez, vous pouvez zaper la partie 0 qui suit.

Chiffrement de bout en bout vs chiffrement point à point.

C'est assez simple :

• le chiffrement de bout en bout signifie que votre ordinateur chiffre avec la clef de votre correspondant, et par conséquent sur le réseau, le message est toujours chiffré ;
• le chiffrement point à point est appliqué entre vous et votre pair direct, puis (éventuellement) votre pair chiffre avec son pair, etc. jusqu'à destination, le message peut donc :
  • traverser un bout du réseau sans chiffrement ;
  • être lu par tous les pairs qui ont acheminé le message.
  • En comparaison, c'est comme si une lettre à La Poste était lu par tous ceux qui l'ont en main, et que de temps en temps le service de poste était négligent, et laissait à tous la possibilité de lire la lettre.

Sur internet vous utilisez les deux :

• le mail utilise le chiffrment point à point (sur lequel vous pouvez rajouter du chiffrement de bout en bout avec GPG/PGP) ;
• parler HTTPS avec un serveur permet de récupérer une page qui sera chiffrée entre vous et le serveur, donc d'un bout du réseau à l'autre.

Comment fonctionne le HTTPS ?

HTTP vs HTTPS, méthode de chiffement

HTTP est un protocole qui permet de récupérer des pages web. Exemples de ce qu'on peut "dire en HTTP" :

• quand on est le client :
  • donne moi la page à cette URL ;
• quand on est le serveur :
  • la page que tu m'as demandé, je l'ai, la voici ;
  • la page que tu m'as demandé, je l'ai, mais attends un peu, je suis surbooké, là (schématiquement) ;
  • la page que tu m'as demandé, bah elle existe pas (404) ;
  • ce que tu demandes n'est pas ici, va voir ailleurs (301) ;
  • j'ai pas compris ce que tu m'as demandé (400) ;
  • ce que tu fais-là, tu n'en as pas le droit (403) ;
  • le serveur est en panne (503)...

Et beaucoup d'autres. HTTPS n'est que l'utilisation d'une couche de chiffrement (SSL/TLS) pour chiffrer les données :

• la requête (pas celles initiant le chiffrement) ;
• les données échangées par la suite.

Pour visualiser la couche de chiffrement, on peut se représenter un tunnel entre le client et le serveur dans lequel la donnée passe. Personne ne peut accéder à l'intérieur du tunnel parce qu'il est solide, et le tunnel a une entrée (le client) et une sortie (le serveur).

Confiance de HTTPS

Lorsqu'Alice va demander la page web de Bob en HTTPS, que va-t-il se passer ?

• Le client A (son navigateur web Firefox) va faire une requête vers un serveur B
• B qui va indiquer qu'il sait parler HTTPS ;
• A va interroger B ;
• B va répondre, et s'il a la page, la transmettre.

Tout ça s'est fait automatiquement. Voyons un peu l'architecture de chiffrement mise en place ici. Il s'agit d'une infrastructure clef publique/clef privée + autorité de confiance :

• A va obtenir via le réseau la clef publique de B.
• Le navigateur web de A va vérifier que la clef est valide, c'est à dire qu'il s'agit bien de la bonne clef (et pas celle d'un attaquant) et qu'elle est toujours valide (par mesure de sécurité, les clefs ont une durée de validité, d'un an en général).
• A va chiffrer ses messages pour B avec la clef publique de B.
• B déchiffre ses messages avec sa clef privée.

Ainsi, la confiance que l'on a dans HTTPS dépend de deux facteurs :

• comment le navigateur reconnait qu'un certificat est valide ;
• la qualité du chiffrement, ie les algorithmes utilisés (RC4 : mauvais, AES-256 très bon, à ce jour).

On ne parlera pas plus des algorithmes ici, à la place on se concentrera sur comment le navigateur a décidé de reconnaître un certificat, ou de l'invalider.

Réseau de confiance de l'architecture X509

Le problème de fond, c'est de reconnaître la validité d'une clef de chiffrement (publique) pouvant changer fréquemment obtenue via internet.

On utilise ce qu'on appelle un pair de confiance. Si un certificat est signé par un pair de confiance, alors le certificat est considéré comme valide. Le pair de confiance dans l'architecture X509 s'appelle une autorité de certification (AC, parce que j'ai pas envie de le réécrire ;) ). Par défaut Firefox fait donc confiance à un certaint nombre d'AC.

Ainsi lorsqu'une clef publique arrive depuis internet :

• si le certificat est signé par une AC, il est valide (sauf cas exceptionnel où l'utilisateur a interdit le certificat) ;
• si le certificat n'est pas signé par une AC, mais est accepté par l'utilisateur, il est valide ;
• le reste poubelle, la connexion est terminée.

Dans les AC vous en connaissez peut-être quelques unes dont Thawte, VeriSign, GoDaddy, CA-Cert, Gandi, Google (eh oui, il font ça aussi), et depuis peu Let's Encrypt.

Mais la chaîne de confiance n'est pas complète. Comment savoir quelles sont les entités reconnues, comment en rajouter sans mettre à jour tous les navigateurs ?

Eh bien à la base de la création de X509, on a généré une clef c0, et une clef c1, on a signé la clef c1 avec la clef c0 et découpé c0 en plusieurs (4 ?) parties qu'on a dispachées dans des coffres-forts. On fait donc en sorte que la clef 0 soit reconnue, et on signe les AC avec la clef c1. Les entités créent leur clef c_entite (plusieurs en fait), qui est valide, puisque signée par c1, elle-même valide puisque signée par c0.

Récapitulons. On fait confiance à c0. c0 signe c1, de telle sorte que :

• c1 puisse signer des certificats ;
• c1 puisse signer des AC ;

On signe les AC, qui créent leur clefs, qui sont signées par c1 de telle sorte que :

• elles puissent signer des certificats ;
• éventuellement elles puissent signer d'autres AC.

Ainsi, la chaîne de confiance est une hiérarchie. Faire confiance à c0 permet/implique a priori de faire confiance à beaucoup de gens (on peut cependant demander à Firefox de ne pas accepter un certificat valide).

Subtilité de X509, résilience

Vous avez peut-être remarqué que c0 ne sert qu'à signer c1, puis on demande au navigateur de reconnaître c0, puis on signe avec c1.

Vous vous demandez peut être pourquoi... Imaginons que c0 = c1 = c$latex \alpha $, c'est à dire qu'au début de la chaîne de confiance il y ait non pas deux mais une seule clef c$latex \alpha $.

Un problème se pose, et a pas mal de répercussions :

Si la clef $latex \alpha $ est perdue alors toute la sécurité de l'architecture X509 s'effondre.

• Dans le cas où on n'a qu'une clef c$latex \alpha $, on ne peut rien faire.
• Dans le cas ou on a c0 et c1, et c1 est perdue (on suppose que c0 n'est pas perdue, elle sous clef, éparpillée sur le globe), on révoque c1 à l'aide de c0, et on regénère une clef c1'. Ça permet notamment de pouvoir rapidement recréer un environnement de confiance, et de ne pas avoir besoin de rediffuser la clef à toutes les machines.

Let's Encrypt

Alors pourquoi est-ce que je vous rabats les oreilles avec tout ça ? Eh bien pour deux raisons :

• d'abord pour que vous sachiez quelle confiance accorder dans des connexions HTTPS ;
• ensuite pour vous parler spécialement d'une AC : Let's Encrypt.

Vous l'avez compris, il y a beaucoup d'enjeux concernant une AC. La confiance qu'on a, la qualité de son travail, de la façon dont elle sécurise ses données pour ne pas perdre sa clef et servir de vecteur d'attaque, etc. Il y a d'autres enjeux dont la possibilité pour tous de chiffrer facilement, en effet les certificats ne sont pas gratuits, sauf certains de CA-Cert, et de Gandi.

C'est pourquoi Mozilla Cisco l'EFF et d'autres se sont unis pour créer une AC dont le but serit de permettre à tous de pratiquer le chiffrement à tour de bras. Et voilà qui est fait.

Depuis le 19 octobre 2015 les certificats de Let's Encrypt sont de confiance par défaut dans les versions récentes de Firefox (probablement Chrome/Chromium, Microsoft Edge, et Safari).

Let's Encrypt va donc pouvoir se mettre à un rythme de croisière de signatures de certificats d'ici très peu de temps.

Bon chiffrement à tous et bonne journée !

Motius

Bonjour à tous ! Savez-vous comment marche le mécanisme de la confiance dans une page web reçue avec HTTPS ? Petit tour rapide et présentation de Let's Encrypt. Si vous êtes un lecteur régulier du site, vous savez que le chiffrement de bout en bout est un dada chez moi, plutôt que le chiffrement poi...

Bonjour à tous !

Savez-vous comment marche le mécanisme de la confiance dans une page web reçue avec HTTPS ? Petit tour rapide et présentation de Let's Encrypt.

Si vous êtes un lecteur régulier du site, vous savez que le chiffrement de bout en bout est un dada chez moi, plutôt que le chiffrement point-à-point. On n'a pas encore fait de glossaire, donc je vais le réexpliquer à cette occasion, mais on finira par se référer à un petit manuel de bases. Donc si vous connaissez, vous pouvez zaper la partie 0 qui suit.

Chiffrement de bout en bout vs chiffrement point à point.

C'est assez simple :

• le chiffrement de bout en bout signifie que votre ordinateur chiffre avec la clef de votre correspondant, et par conséquent sur le réseau, le message est toujours chiffré ;
• le chiffrement point à point est appliqué entre vous et votre pair direct, puis (éventuellement) votre pair chiffre avec son pair, etc. jusqu'à destination, le message peut donc :
  • traverser un bout du réseau sans chiffrement ;
  • être lu par tous les pairs qui ont acheminé le message.
  • En comparaison, c'est comme si une lettre à La Poste était lu par tous ceux qui l'ont en main, et que de temps en temps le service de poste était négligent, et laissait à tous la possibilité de lire la lettre.

Sur internet vous utilisez les deux :

• le mail utilise le chiffrment point à point (sur lequel vous pouvez rajouter du chiffrement de bout en bout avec GPG/PGP) ;
• parler HTTPS avec un serveur permet de récupérer une page qui sera chiffrée entre vous et le serveur, donc d'un bout du réseau à l'autre.

Comment fonctionne le HTTPS ?

HTTP vs HTTPS, méthode de chiffement

HTTP est un protocole qui permet de récupérer des pages web. Exemples de ce qu'on peut "dire en HTTP" :

• quand on est le client :
  • donne moi la page à cette URL ;
• quand on est le serveur :
  • la page que tu m'as demandé, je l'ai, la voici ;
  • la page que tu m'as demandé, je l'ai, mais attends un peu, je suis surbooké, là (schématiquement) ;
  • la page que tu m'as demandé, bah elle existe pas (404) ;
  • ce que tu demandes n'est pas ici, va voir ailleurs (301) ;
  • j'ai pas compris ce que tu m'as demandé (400) ;
  • ce que tu fais-là, tu n'en as pas le droit (403) ;
  • le serveur est en panne (503)...

Et beaucoup d'autres. HTTPS n'est que l'utilisation d'une couche de chiffrement (SSL/TLS) pour chiffrer les données :

• la requête (pas celles initiant le chiffrement) ;
• les données échangées par la suite.

Pour visualiser la couche de chiffrement, on peut se représenter un tunnel entre le client et le serveur dans lequel la donnée passe. Personne ne peut accéder à l'intérieur du tunnel parce qu'il est solide, et le tunnel a une entrée (le client) et une sortie (le serveur).

Confiance de HTTPS

Lorsqu'Alice va demander la page web de Bob en HTTPS, que va-t-il se passer ?

• Le client A (son navigateur web Firefox) va faire une requête vers un serveur B
• B qui va indiquer qu'il sait parler HTTPS ;
• A va interroger B ;
• B va répondre, et s'il a la page, la transmettre.

Tout ça s'est fait automatiquement. Voyons un peu l'architecture de chiffrement mise en place ici. Il s'agit d'une infrastructure clef publique/clef privée + autorité de confiance :

• A va obtenir via le réseau la clef publique de B.
• Le navigateur web de A va vérifier que la clef est valide, c'est à dire qu'il s'agit bien de la bonne clef (et pas celle d'un attaquant) et qu'elle est toujours valide (par mesure de sécurité, les clefs ont une durée de validité, d'un an en général).
• A va chiffrer ses messages pour B avec la clef publique de B.
• B déchiffre ses messages avec sa clef privée.

Ainsi, la confiance que l'on a dans HTTPS dépend de deux facteurs :

• comment le navigateur reconnait qu'un certificat est valide ;
• la qualité du chiffrement, ie les algorithmes utilisés (RC4 : mauvais, AES-256 très bon, à ce jour).

On ne parlera pas plus des algorithmes ici, à la place on se concentrera sur comment le navigateur a décidé de reconnaître un certificat, ou de l'invalider.

Réseau de confiance de l'architecture X509

Le problème de fond, c'est de reconnaître la validité d'une clef de chiffrement (publique) pouvant changer fréquemment obtenue via internet.

On utilise ce qu'on appelle un pair de confiance. Si un certificat est signé par un pair de confiance, alors le certificat est considéré comme valide. Le pair de confiance dans l'architecture X509 s'appelle une autorité de certification (AC, parce que j'ai pas envie de le réécrire ;) ). Par défaut Firefox fait donc confiance à un certaint nombre d'AC.

Ainsi lorsqu'une clef publique arrive depuis internet :

• si le certificat est signé par une AC, il est valide (sauf cas exceptionnel où l'utilisateur a interdit le certificat) ;
• si le certificat n'est pas signé par une AC, mais est accepté par l'utilisateur, il est valide ;
• le reste poubelle, la connexion est terminée.

Dans les AC vous en connaissez peut-être quelques unes dont Thawte, VeriSign, GoDaddy, CA-Cert, Gandi, Google (eh oui, il font ça aussi), et depuis peu Let's Encrypt.

Mais la chaîne de confiance n'est pas complète. Comment savoir quelles sont les entités reconnues, comment en rajouter sans mettre à jour tous les navigateurs ?

Eh bien à la base de la création de X509, on a généré une clef c0, et une clef c1, on a signé la clef c1 avec la clef c0 et découpé c0 en plusieurs (4 ?) parties qu'on a dispachées dans des coffres-forts. On fait donc en sorte que la clef 0 soit reconnue, et on signe les AC avec la clef c1. Les entités créent leur clef c_entite (plusieurs en fait), qui est valide, puisque signée par c1, elle-même valide puisque signée par c0.

Récapitulons. On fait confiance à c0. c0 signe c1, de telle sorte que :

• c1 puisse signer des certificats ;
• c1 puisse signer des AC ;

On signe les AC, qui créent leur clefs, qui sont signées par c1 de telle sorte que :

• elles puissent signer des certificats ;
• éventuellement elles puissent signer d'autres AC.

Ainsi, la chaîne de confiance est une hiérarchie. Faire confiance à c0 permet/implique a priori de faire confiance à beaucoup de gens (on peut cependant demander à Firefox de ne pas accepter un certificat valide).

Subtilité de X509, résilience

Vous avez peut-être remarqué que c0 ne sert qu'à signer c1, puis on demande au navigateur de reconnaître c0, puis on signe avec c1.

Vous vous demandez peut être pourquoi... Imaginons que c0 = c1 = c$latex \alpha $, c'est à dire qu'au début de la chaîne de confiance il y ait non pas deux mais une seule clef c$latex \alpha $.

Un problème se pose, et a pas mal de répercussions :

Si la clef $latex \alpha $ est perdue alors toute la sécurité de l'architecture X509 s'effondre.

• Dans le cas où on n'a qu'une clef c$latex \alpha $, on ne peut rien faire.
• Dans le cas ou on a c0 et c1, et c1 est perdue (on suppose que c0 n'est pas perdue, elle sous clef, éparpillée sur le globe), on révoque c1 à l'aide de c0, et on regénère une clef c1'. Ça permet notamment de pouvoir rapidement recréer un environnement de confiance, et de ne pas avoir besoin de rediffuser la clef à toutes les machines.

Let's Encrypt

Alors pourquoi est-ce que je vous rabats les oreilles avec tout ça ? Eh bien pour deux raisons :

• d'abord pour que vous sachiez quelle confiance accorder dans des connexions HTTPS ;
• ensuite pour vous parler spécialement d'une AC : Let's Encrypt.

Vous l'avez compris, il y a beaucoup d'enjeux concernant une AC. La confiance qu'on a, la qualité de son travail, de la façon dont elle sécurise ses données pour ne pas perdre sa clef et servir de vecteur d'attaque, etc. Il y a d'autres enjeux dont la possibilité pour tous de chiffrer facilement, en effet les certificats ne sont pas gratuits, sauf certains de CA-Cert, et de Gandi.

C'est pourquoi Mozilla Cisco l'EFF et d'autres se sont unis pour créer une AC dont le but serit de permettre à tous de pratiquer le chiffrement à tour de bras. Et voilà qui est fait.

Depuis le 19 octobre 2015 les certificats de Let's Encrypt sont de confiance par défaut dans les versions récentes de Firefox (probablement Chrome/Chromium, Microsoft Edge, et Safari).

Let's Encrypt va donc pouvoir se mettre à un rythme de croisière de signatures de certificats d'ici très peu de temps.

Bon chiffrement à tous et bonne journée !

Motius