Internet – Page 2 – ElectroDétour

Imposture numérique

En cette période de coupe du monde de Football l’appétit des amateurs de ce sport pour les moyens de visionnage des matchs en direct est décuplé. Les commerçants sont à l’affût et des efforts financiers ont été consentis en amont par les diffuseurs pour négocier la retransmission de ces directs. Le sport de façon générale et les évènements sportifs majeurs sont un produit d’appel pour les chaînes de diffusion par abonnement (exemple: canal+ dans ses années fastes). C’est aussi un support marketing de façon plus générale.

Une question inattendue m’a été posée aujourd’hui par un ami qui n’a pas envie de dépenser une partie de sa pension de retraité dans des abonnements à des services de diffusion. Voici la question:

La RTBF diffuse gratuitement pour ses ressortissants belges tous les matchs de la coupe du monde et nombre d’événements sportifs payants sur les chaînes françaises. J’ai essayé d’ouvrir un compte avec une fausse vraie adresse d’une maison en Belgique mais ça ne marche pas. J’ai cru lire que il faut un téléphone belge ou une identification IP belge. Est ce à supposer que l’achat d’une tablette en Belgique pourrait me permettre de devenir un faux « vrai belge » aux yeux de la RTBF.

La réponse à cette question passe par une approche technique de l’identification des clients sur l’internet. Les FAI (Fournisseurs d’Accès Internet) nationaux utilisent des plages d’adresses IP qui sont attribuées par l’ICAAN. Le rôle de l’ICANN n’est pas de gérer le système mais d’aider à coordonner les attributions d’adresses IP pour éviter les doublons et les plantages. L’ICANN est également un référentiel central d’adresses IP, à partir duquel des plages d’adressage sont fournies aux registres régionaux, qui les distribuent à leur tour aux fournisseurs d’accès. Considérant ce schéma d’attribution des adresses IP aux FAI nationaux, il devient clair qu’une adresse IP permet de savoir dans quel pays réside le client. Pour ce qui concerne la discrimination entre citoyen résident Belge et reste du monde, c’est bien l’adresse IP qui est prise comme référence. C’est valable aussi bien pour une connexion fixe que pour les mobiles.

Pour profiter de la diffusion des chaînes belges sur internet il faut donc utiliser une connexion avec adresse IP identifiée en Belgique. Pour cela il faut utiliser les services d’un VPN (Virtual Private Network). Un service VPN permet de récupérer une adresse IP Belge (si des serveurs du fournisseur du service VPN sont installés en Belgique) et de rendre invisible votre propre adresse. C’est une façon de masquer sa propre adresse IP en passant par un intermédiaire, au travers d’une liaison cryptée. C’est utilisé par les citoyens qui veulent profiter des services de diffuseurs étrangers (comptes Netflix avec programmes USA, par exemple) ou par les citoyens qui veulent masquer leur adresse IP réelle pour d’autres raisons….

Bien entendu le recours à un service VPN n’est pas gratuit. Une comparaison récente des meilleurs VPN accessibles en France est donnée par le CNET ici. Pour donner une référence: NordVPN est un des mieux placés avec un abonnement à 2,99 € / mois. À noter que NordVPN compte 5448 serveurs stationnés dans 59 pays (en 2022).

Je suis désolé de ne pouvoir proposer d’autres solutions plus économiques, mais franchement le VPN est LA solution.

Et voila.

Gestion des Mots de passe

Qui n’a jamais pesté contre la multitude d’identifiants et de mots de passe qui doivent être utilisés dans la vie numérique. La dématérialisation des échanges avec le moindre fournisseur de service ou le moindre commerce électronique a sérieusement diminué les échanges avec les vrais gens. Dans le même temps elle a sérieusement compliqué les sécurités d’accès aux sites web qui permettent des échanges d’informations sensibles (exemple: les services bancaires, certains services publiques, les compagnies d’assurance, etc..). Il n’est pas rare qu’un citoyen lambda ait à conserver une trentaine de mots de passe. J’en utilise régulièrement une quarantaine et je ne prétends pas faire d’excès.

Il existe à ma connaissance deux attitudes pour gérer cette multitude de mots de passe. La première consiste à tenir un carnet (papier ou informatique – genre tableau MS Excel). La seconde consiste à utiliser un coffre fort numérique spécialisé. J’utilise depuis quelques années un de ces coffres forts numériques. Le côté pratique, la sécurité et la facilité d’utilisation de ce service m’ont immédiatement convaincu.

Sur cette niche du marché des services numériques l’offre est assez limitée. On peut citer des services sous licence propriétaire: 1pasword, Keeper, Dashlane et Sticky Password. Ces derniers sont des offres commerciales (payantes). Il existe un service sous Licence Open Source: Bitwarden qui est gratuit pour une utilisation individuelle. C’est celui que j’utilise actuellement.

Ce coffre fort numérique fonctionne avec un service cloud: un serveur distant accessible par le web. Ce serveur distant peut être celui de Bitwarden, ou le votre en auto-hébergement. Les échanges avec le serveur sont cryptés pour assurer un niveau de sécurité optimal. Le service assure la synchronisation avec les différents clients installés sur mes équipements (smartphone, micro-ordinateurs). Les mots de passe et identifiants contenus dans le coffre fort sont accessibles sur tous ces équipements simultanément. Un mot de passe unique permet l’accès au coffre fort. En cas de besoin pour renforcer la sécurité (je n’en suis pas encore là), un accès en deux étapes peut être installé.

L’installation du client Bitwarden est possible sous la forme d’une extension de navigateur internet (par exemple Firefox, Edge ou Chrome). Dans ce cas de couplage avec le navigateur, le service permet de compléter directement identifiant et mot de passe sur n’importe quelle page web qui les demande (pour peu que ces informations soient déjà enregistrées dans le coffre fort). Sinon le service propose d’enregistrer les identifiants et mots de passe qui sont entrées au clavier sur la page web qui les demande.

Voilà.

La Fibre – Nouvelle installation et expérience de l’IPv6

Si vous pouvez lire ces quelques lignes c’est que mes services auto-hébergés sont de nouveau en ligne (comprendre: accessibles dans le cyberespace). Il y a 20 jours mon épouse et moi déménagions dans une maison située à 100 m du point de livraison de notre fournisseur d’accès internet (la maison est à 70 m de la rue). Les serveurs hébergés à la maison ont été déménagés également et leur raccordement à la fibre optique a été nécessaire.

Le raccordement

Pour être raccordé au point de livraison de la fibre optique (la boite sur poteau, dans la rue) il faut mettre un conduit à disposition du technicien chargé de l’opération. En général, le conduit du téléphone est utilisé à cet effet. Dans notre cas, le conduit enterré du téléphone étant obstrué, il fallait soit ouvrir une tranchée, soit utiliser un autre conduit existant. Le plus simple étant d’opter pour un conduit existant, j’avais le choix entre:

le conduit électrique alimentant la maison depuis le compteur en limite de propriété;
le conduit d’évacuation des eaux usées raccordant la maison au réseau du tout à l’égout.

J’ai opté pour le passage dans le conduit électrique (il n’y circule aucune matière susceptible d’occasionner des incidents). La faisabilité de l’opération a été testée par passage d’une aiguille en fibre de verre de diamètre 4.5 mm depuis la sortie du conduit dans le sous-sol de la maison jusqu’à la limite de propriété (soit sur environ 75 m de longueur). La validation étant faite, pour trouver l’entrée dans le conduit coté rue il a fallu creuser le terrain sur environ 1 m de profondeur derrière l’armoire de raccordement EDF. Ensuite dégager la zone de raccordement entre conduit principal enterré sur 70 m (tube orange semi flexible diamètre 100 mm) et le câble électrique en gaine flexible grise de plus petit diamètre. L’extrémité d’un conduit flexible diamètre 50 mm a été engagée dans le conduit électrique principal. Ce conduit flexible a ensuite été enterré jusqu’à déboucher au pied du poteau téléphone en limite de propriété. L’aiguille en fibre de verre a été poussée depuis l’extrémité du conduit coté rue vers la maison pour enfin déboucher derrière le tableau de distribution électrique de la maison. L’aiguille étant en place, le technicien chargé du raccordement a attaché l’extrémité de la fibre optique à l’aiguille et tiré celle ci depuis la maison dans les 70 m de conduit enterré.

Pour réaliser l’opération il m’a fallu une bêche, une pioche, une barre à mine, une aiguille de 100 m de fibre de verre sur touret (100 € chez votre grande surface de bricolage), quelques mètres de conduit de récupération et quelques essais et échecs. Il faut également un peu de persévérance et ne pas hésiter à demander de l’aide dans les moments de découragement. En tout il a fallu environ deux semaines pour la préparation et deux jours pour l’installation effective de la fibre optique (incluant la prise de rendez-vous avec le FAI).

Les misères de l’IPv4

Une fois le raccordement à l’internet assuré par fibre optique (abonnement de 25 €/mois chez RED by SFR) et passé l’enthousiasme suscité par les tests de débit (1 Gbit/s), les surprises s’accumulent après l’installation de mes serveurs. Première déconvenue: après consultation de l’interface d’administration de la « box internet » installée par RED, les services de NAT (le traducteur d’adresses réseau) en IPv4 ne sont pas accessibles. Après vérification auprès des forums techniques traitant des réseaux fibre optique, je comprends que les FAI appliquent depuis peu des mesures techniques désignées par le terme CGNAT (Carrier Grade – Network Access Translation) pour pallier à la pénurie d’adresses internet disponibles en IPv4. Pour faire simple, cette stratégie consiste à connecter plusieurs clients au travers d’une même adresse iPv4. Il est alors impossible depuis internet d’accéder à un des clients qui partagent cette même adresse.

Cette modification des conditions d’accès à été réalisée à bas bruit, les FAI ne communicant pas sur les vrais aspects techniques de leur fourniture. C’est totalement passé inaperçu pour la grosse majorité des utilisateurs (en gros, tous ceux qui ne font pas d’auto-hébergement). La chose est d’ailleurs masquée par le fait que la « box internet » livrée par le FAI permet la gestion de l’IPv6 qui permet l’utilisation d’un nombre beaucoup, beaucoup plus important d’adresses IP (suffisant pour la demande future de points de raccordement).

La consultation des forums techniques m’a également permis de comprendre que ces dispositions techniques pouvaient être modifiées sur demande au FAI (retour à l’IPv4 d’origine). C’est la demande de modification qui est un parcours du combattant. Avec RED/SFR le service assistance peut être joint par téléphone (directement ou par rappel à partir de l’appli sur smartphone). Le premier contact est fait avec un personnel de niveau 1 (la personne qui lit une fiche et qui en réfère à un supérieur en cas de demande qui ne correspond pas à la fiche). Systématiquement la réponse est négative à une demande de rollback IPv4 (retour à la version IPv4 d’origine). Après plusieurs tentatives infructueuses je décide de tester l’IPv6 qui est proposé comme une solution. J’ai passé 2 jours à faire le tour de la question avec multiples expérimentations qui vont de l’obtention de nom de domaine paramétré IPv6 aux paramétrages de la « box internet » pour l’utilisation de l’IPv6 avec exposition des ports nécessaires à l’accès à mes serveurs. Tout fonctionne en réseau local. Aucun accès possible depuis l’extérieur (internet) à mes serveurs. J’en déduis que l’infrastructure du FAI n’est pas actuellement en mesure de supporter ce que je demande. D’autre part la majeur partie (environ 90%) des services accessibles sur le net fonctionnent avec un adressage IPv4. On peut le vérifier à l’aide de l’extension « IPvfoo » disponible sur Firefox (le navigateur internet) ou sur Chrome.

Retour à la case départ. Je retente plusieurs fois la demande de rollback auprès de RED/SFR et cette fois j’insiste pour parler à un technicien de niveau 2. Au troisième essai ma demande de rollback est acceptée et 3 heures après avoir raccroché mon téléphone, ma « box internet » permet l’accès IPv4 avec gestion du NAT. Après paramétrage des ports du routeur à l’aide de l’interface NAT mes serveurs sont redevenus accessibles de partout dans le monde à l’aide d’une connexion internet.

En conclusion, l’auto-hébergement de services web ça demande un peu d’expertise, mais aussi et surtout d’avoir de la ténacité quand il s’agit de contacts techniques avec les services clients des FAI.

IP	Internet Protocol. Le protocole de communication fondamental de la suite des protocoles internet. Une adresse IP permet d’identifier un terminal connecté au réseau.
IPv4	Adressage IP sur un groupe de 4 octets (soit 32 bit). Exemple de notation: 93.23.120.243
octet	En informatique, un octet est un multiplet de 8 bits codant une information. Dans ce système de codage, s’appuyant sur le système binaire, un octet permet de représenter 2⁸ nombres, soit 256 valeurs différentes.

glossaire

La fibre !

Une expérience palpitante que la connexion internet par la fibre optique, surtout lorsque le service s’interrompt. C’est d’autant plus une aventure que votre abonnement est à prix réduit. Mon abonnement à la fibre par l’offre low cost « RED par SFR » à 25 € /mois a permis une liaison internet haut débit pendant les cinq premiers mois. Subitement cette liaison s’est interrompue sans que la facturation de mon abonnement le soit. Le diagnostic de l’origine de la panne est dans ce cas facile à réaliser sans trop de bagage technique ni d’équipement de test. J’ai donc rapidement diligenté les quelques manipulations nécessaires pour en déduire que la liaison était physiquement interrompue du coté des infrastructures à l’extérieur de mon domicile (et fort probablement au niveau de l’armoire de répartition sur la voie publique).

Jusqu’à ce moment tout semble simple. C’est maintenant que les difficultés surgissent. En effet, pour ce type d’abonnement à prix réduit le service client passe par le site web de RED/SFR (internet, donc). Moderne le service, sauf que la panne sus-mentionnée interdit l’accès au site web du service client. Reste à utiliser un abonnement à un service de fourniture internet non câblé (réseau mobile, avec téléphone portable). Heureux possesseur d’un abonnement chez un concurrent (orange) j’ai utilisé mon téléphone pour accéder au service client RED. Créer un compte sur « mon espace client », ensuite aller sur l’option « assistance » puis « état de ma ligne » et enfin comprendre que ça ne mène à rien (l’état de la ligne est toujours bon). Une lueur d’espoir reste toutefois au travers de l’option « Diagnostic de ma box » et l’application « RED et moi » (c’est moderne, ça fonctionne uniquement sur téléphone portable). Le truc c’est que cette fameuse application est une interface pour téléphone portable du site WEB qui me propose de la télécharger sur mon téléphone. Il n’est pas possible de prendre contact avec le service de dépannage à partir du site WEB, j’installe donc la fameuse application sur mon téléphone et je peux alors contacter un conseiller RED. En fait c’est un conseiller RED qui me rappelle sur mon téléphone portable après ma demande d’assistance sur l’interface de l’application. Le temps de latence est très court entre demande et rappel, c’est une heureuse surprise. j’entends alors une voix féminine avec accent étranger réciter un message et des instructions sur un ton monocorde. Il est question de réaliser des manipulations pour établir un diagnostic. J’avais déjà procédé à toutes ces manips mais je recommence pour que mon interlocutrice arrive à la conclusion elle même. La diode PON (Passive Optical Network) de mon boitier ONT (Optical Network Terminal) est de couleur rouge fixe, ce qui indique une coupure du signal optique sur la fibre en amont du boitier. Il ne s’agit pas d’une panne sur mon équipement et l’intervention d’un technicien est donc nécessaire pour établir un diagnostic et réparer. Un rendez-vous est pris dans la foulée pour la venue du technicien (dans le courant de la semaine suivante).

Le rendez-vous a été honoré par le technicien, à l’heure prévue. Il a fallu le questionner de façon insistante pour qu’il m’annonce que la panne venait de la casse d’une carte dans l’armoire de répartition située dans la rue à deux blocs d’immeubles de mon domicile. Cette fameuse armoire dans laquelle les sous-traitants des opérateurs de réseaux fibre (ORANGE, SFR, FREE etc..) viennent régulièrement réaliser des connexions pour raccorder des abonnés. Certaines de ces armoires restent ouvertes car les serrures sont cassées (plus ou moins massacrées) et dans lesquelles ont découvre parfois des « sacs de nouilles » tellement les branchements sont faits sans précaution.

Mon expérience s’inscrit en décalage avec les récriminations de nombreux client RED/SFR mécontents du service client. De plus les revues d’associations de consommateurs « 60 millions de consommateurs », UFC que choisir » relatent régulièrement les difficultés des abonnés pour obtenir un minimum d’efficacité de la part des services clients des opérateurs.

Voilà.

La ruée sur les données personnelles

Pour tous ceux qui ne se seraient pas encore aperçus qu’ils sont sujets à l’exploitation de toutes les données enregistrées sur leurs Smartphones, tablettes, et généralement leurs comptes sur les services qui sont liés, voici un des derniers exemples d’exposition incontrôlée de données personnelles.

Socialarks, développeur d’un CRM (« Customer Relashionship Management » ou « Gestion de la relation clients » en langue Française) accessible aux acteurs commerciaux sur l’internet (« Cloud Based » et accessible sur le web comme un service payant) est une entreprise de moins de 100 salariés basée en Chine. Elle vient d’exposer accidentellement pour la deuxième fois les données personnelles de deux millions d’utilisateurs des services des réseaux sociaux FACEBOOK, Instagram et Linkedin. Ces informations étaient en effet disponibles par une simple connexion sur l’adresse du site du CRM (pas nécessaire d’utiliser une identification et un mot de passe). Lire à ce sujet l’article du Figaro ‘Web & Tech’ daté de ce jour. Le business de Socialarks c’est la mise en relation d’entreprises commerciales du web avec des clients qui utilisent l’accès au web (entreprises ou particuliers). Pour alimenter son CRM, Socialarks fait du DATAMINING (collecte de données disponibles sur le web et à travers d’échange avec les sociétés qui font du commerce sur le web). Cette société fait donc office d’intermédiaire entre les vrais commerçants et les consommateurs au travers d’un système de gestion de la relation client. C’est déjà ce que font (mais directement et de façon systématique) GOOGLE ET FACEBOOK au travers de leurs services aux professionnels. Mais alors pourquoi, me direz-vous, d’autres entreprises font elles le même type de mise en relation ?

Simple: parce-que c’est un marché énorme qui aiguise la convoitise des start-up de tous poils. Socialarks est une startup qui a commencé son activité en 2014 (comme marqueur temporel et pour ceux qui suivent ma publication, je rappel que FACEBOOK a racheté Whatsapp la même année). Nous parlons donc et pour résumer de Big Data, Trading platform et Marketing. Et pour parler simplement, de l’exploitation des données personnelles de milliards de consommateurs influençables. Vous et moi, nous faisons partie, et pour la plupart sans le savoir, de ces consommateurs.

Posséder ces énormes bases de données sur l’identité et le comportement de millions de personnes n’est pas seulement utile pour faire du commerce sous influence, mais peut également servir à orienter les choix des citoyens pour des élections ou le comportement de ces mêmes citoyens par rapport à d’autres enjeux. Les fuites de plus en plus fréquentes, la vulnérabilité des bases de données constituées, sans compter le commerce « légal » qui est fait de nos données personnelles devraient nous conduire à réagir, nous les consommateurs.

L’Union Européenne au travers de la directive « GRPD » (en 2016) a fait un premier pas (très timide à mon avis, et parce-que l’UE est avant tout un marché) dans le sens de la protection des données personnelles. Bien, mais c’est d’abord individuellement, par notre comportement, que nous sommes en mesure de lutter contre cette hydre qui utilise les ressources des sciences du comportement humain et de la manipulation à grande échelle.

Pour une information plus complète sur la manipulation de masse, regardez donc le documentaire disponible sur Netflix: « Au travers de nos écrans de fumée » (« The Social Dilemma » dans la langue originale). Pour résumer le sujet en quelques mots, il s’agit d’interviews de personnalités qui ont eu des responsabilités importantes dans des sociétés comme Google, Facebook, Twitter, Pinterest, etc. Tous (ou presque) ont quitté leur fonction en raison de leur désaccord avec le modèle économique de ces sociétés. Et ne vous en faites pas pour eux, ils sont devenus riches (pour la plupart).

En conclusion et vous vous y attendiez, je vous recommande d’adopter une attitude responsable. Ne vous abonnez pas à des réseaux sociaux qui ont un modèle économique déviant (ils ne veulent pas votre bien, ils veulent vous manipuler). Pour faire suite à mon article précédent, je vous recommande également de supprimez votre compte Whatsapp et de remplacez Whatsapp par Signal (une messagerie qui n’a pas encore été rachetée par les commerçants).

Voilà.

Bienvenue chez les nouveaux commerçants

Avec le rachat et l’intégration par les GAFAM de toutes les applications qui peuvent être utiles au recueil des données personnelles nous voici arrivés à un point de non retour. Ce matin, si vous utilisez la messagerie WHATSAPP vous avez reçu un message de la part de FACEBOOK pour vous annoncer les nouvelles conditions d’utilisation de Whatsapp et vous demander de les accepter. Le rachat par Facebook de Whatsapp il y a maintenant 7 ans (pour un montant de 20 milliards de dollars) devait nécessairement mener à une intégration totale de Whatsapp dans le puzzle commercial de Facebook.

Les nouvelles conditions d’utilisation incluent le partage de vos données personnelles avec Facebook. Fort heureusement la directive Européenne (GRPD) limite de-facto les conditions de ce partage pour les citoyens des états Européens. Reste à savoir comment l’Europe peut effectivement vérifier que pour les citoyens de l’UE les conditions de non-partage des données personnelles des utilisateurs de Whatsapp seront respectées par Facebook. J’ose ici faire un parallèle avec l’évasion fiscale et la libre concurrence. En effet que pèsent les amendes infligées par l’UE aux GAFAM par rapport aux monstrueux bénéfices de ces derniers ?

Pour situer l’action en cours, d’abord un petit rappel de l’histoire de Whatsapp.

Whatsapp (forme abrégée de What’s up – « qu’est-ce qui se passe » en Français approximatif ou « quéçadit » en encore plus fleuri). Les noms de ces applications sont décidément des blagues d’informaticiens. L’idée originale des créateurs de Whatsapp était de remplacer la messagerie SMS des téléphones portables par un système de messagerie plus performant passant non plus uniquement par la liaison téléphonique de base mais par internet (une forme de messagerie de type email en plus sympathique). Whatsapp a été développé à partir de 2007 et lancé en 2009 par deux anciens de Yahoo! (vous savez, le fameux moteur de recherche). Succès immédiat et en 2013 Google proposait d’acheter l’application pour 1 milliard de dollars. Les utilisateurs de la messagerie sont devenus un marché qui grossit et les prédateurs se précipitent. En 2014, c’est Facebook qui finalement rachète Whatsapp pour environ 20 milliards de dollars. C’est relativement peu par rapport au marché que représentent les 450 millions d’utilisateurs de la messagerie (en février 2014). Pour Facebook, le marché dont il est question ici, passe par la vente à des commerçants, promoteurs, officines diverses des données collectées par l’ensemble des applications de la firme (Instagram, Whatsapp, Facebook) sur leurs utilisateurs (pas seulement leurs identités et données personnelles, mais aussi leurs profils psychologiques – habitudes de consommation, tendances politiques au travers de leurs choix etc..). En France et d’après une étude IPSOS, actuellement environ 52 % des citoyens utilisent la messagerie pour communiquer avec la famille et les proches. Et tout ça gratuitement. L’application Whatsapp est gratuite, c’est ce qui explique sa popularité. La rentabilité d’une telle plateforme de communication passe par le commerce des données de ces utilisateurs.

SI C’EST GRATUIT VOUS ÊTES LE PRODUIT.

On peut objecter à cela que les messages des utilisateurs de Whatsapp sont cryptés de bout en bout (et réputés inviolables). Le changement des conditions d’utilisation est un premier pas vers l’exploitation étendue des données des utilisateurs. A ce jour, rien n’apparait sur le site de Whatsapp concernant le changement des conditions d’utilisations. (voir en particulier https://www.whatsapp.com/security/). Je suis curieux de suivre dans les mois qui viennent les réactions (ou non-réactions) des instances en charge de la protection des « consommateurs », au niveau de l’UE ou des États Unis.

Pour vous faire une opinion sur l’ampleur de ce qui se passe je vous conseille de regarder l’excellent documentaire intitulé « Derrière nos écrans de fumée » (« The social Dilemma » dans sa langue originale) disponible sur Netflix. Dans ce réquisitoire contre les GAFAM interviennent les anciens dirigeants ou les personnes qui possédaient des postes clés dans les entreprises concernées. Ils ont tous démissionner pour des raisons éthiques. Ce document est bien fait, didactique, sincère et c’est glaçant.

De ces messageries et réseaux sociaux on peut se désabonner et choisir des messageries alternatives respectant la vie privée (voir mes articles précédents).

Voilà

Priorités pour la survie en période de pandémie

L’afflux de malades du Covid 19 va provoquer comme prévu une deuxième vague de surcharge des hôpitaux. Dans toute l’Europe les autorités en charge ont donc décidé d’organiser un nouveau confinement des populations pour limiter la surmortalité. La dégradation de l’économie et des conditions de vie suite au premier confinement pousse toutefois les gouvernants à plus de tempérance dans le choix des conditions de ce deuxième round.

Le choix des autorités, pour ce deuxième confinement, est de laisser ouverts les commerces de première nécessité (alimentation..), les services au public (postes, transports, santé) et les entreprises stratégiques. Très bien, la survie de la population en dépend.

Parmi les commerces de première nécessité sont listés les magasins d’électronique, d’informatique et applications apparentées. La survie de la population passerait-elle donc également par le maintien de l’ouverture de ces magasins ?

Ces magasins vont contribuer à maintenir opérationels les utilisateurs de Smartphones, Smart TV, Tablettes, Micro-ordinateurs. Ces citoyens qui pendant le confinement se servent de ces appareils pour télétravailler, travailler, communiquer, apprendre, avoir un semblant de vie sociale, et plus honteusement regarder des séries, films et programmes TV. Sans compter les petites entreprises qui ont besoin de maintenir leur parc informatique (et qui souvent passent par ces magasins pour l’achat ou la maintenance). D’autre part si les géants de la distribution par Internet (AMAZON) continuent de distribuer ces équipements, quelle incohérence ce serait de ne pas maintenir l’ouverture de ces magasins ! Tout choix des autorités peut être remis en question, surtout quand cela se traduit par le ressentiment (pourquoi lui et pas moi ?). Mais c’est un autre sujet.

En juin, à deux pas de chez moi, un entrepreneur a ouvert un magasin d’achat et revente d’occasion d’équipements électroniques et de DVD (type easy cash). Signe des temps, ou flair ?

La survie dans notre type de société passe, en partie, par l’accès aux nouvelles technologies. Le choix des autorités de considérer les commerces d’électronique et d’informatique comme relevant de première nécessité n’est pas anecdotique. Il confirme, s’il le fallait encore, une situation qui résulte d’une emprise technologique qui a réellement débuté il y a une trentaine d’années. Je passe rapidement la période qui a suivi les travaux sur les semi-conducteurs et l’invention du transistor (fin 1947) et qui a abouti à l’apparition des premiers micro-processeurs (1971). Le micro-processeur, sous la forme d’un circuit unique intègre des milliers (puis des millions) de transistors. Les micro-processeurs sont à l’origine des premiers micro-ordinateurs grand public (vers 1984). Ils sont maintenant utilisés dans la fabrication de vos Smartphones, Tablettes, Micro-ordinateurs, Smart-TV, Box (modem/routeurs/décodeur TV), Boitier photos, Aide à la conduite de votre voiture, Contrôle du chauffage du logement, Objets connectés, et autres gadgets pour le grand public. Dans l’industrie on les trouve partout dans le contrôle des processus de fabrication, le contrôle des machines, des robots, dans la logistique, dans la conception des machines et des produits de consommation, dans la gestion du personnel, dans les services commerciaux, dans les serveurs qui transmettent des pages web comme celle que vous lisez actuellement, etc… Partout.

La complexité croissante des systèmes de contrôle (de commande) des équipements que nous utilisons quotidiennement se traduit généralement par plus de confort d’utilisation. Si l’on n’a pas conscience de cette complexité on peut penser que c’est un peu par magie que tout fonctionne. Au delà de cet aspect magique et rassurant il y a des infrastructures de plus en plus complexes, des machines qui pour fonctionner ont besoin de microcontrôleurs, microprocesseurs, capteurs et actionneurs électroniques, réseaux informatiques de terrains, logiciels et de plus en plus une connexion internet. La moindre « simple » machine agricole utilise tout ça.

C’est passionnant et on n’est qu’au début d’une évolution où l’homme va devenir de plus en plus dépendant de la technologie. Mais me direz-vous, l’inter-dépendance à la société (en version mondialisée de la tribu) est dans la nature même de l’humanité. L’homme a besoin d’interagir avec ses semblables. Les réseaux sociaux et toutes ces choses magiques qui connectent les gens au travers d’internet sont en quelque sorte une réponse à ce besoin. Ces derniers temps, avec le confinement on a redécouvert l’importance des relations sociales. L’isolement est mortel.. Très bien, la belle affaire ! Alors est-ce que les nouvelles technologies pourraient combler le manque de relations sociales ? Et bien il semblerait que non à la lumière de l’expérience à grande échelle du dernier confinement. L’apéro ZOOM (du nom du logiciel de vidéo conférence) ne remplacera jamais le vrai apéro pris entre amis à la terrasse du bistro.

Que dire alors de l’emprise sur les jeunes esprits des écrans de nos terminaux informatiques. Dès quelques mois après la naissance, les enfants sont attirés par les écrans comme des papillons par la lumière. Les ados sont accros à leurs réseaux sociaux et certains des adultes d’aujourd’hui (jusqu’à 30 ou 40 ans) considèrent leurs équipements comme un marqueur social (comme la bagnole). De nouvelles pathologies sont apparues à la suite de ces changements (dépendance aux écrans, retards scolaires, retards de développement). Les autorités médicales s’en inquiètent.

Tous ces comportements se sont installés pendant les 20 dernières années en même temps que les entreprises commerciales ont envahi Internet et le Web. Le Web, qui au départ était une initiative créée par des universitaires pour le partage du savoir à l’échelle de la planète est maintenant un repère de marchands. Les services qui à leur création se présentaient comme bienveillants (Google, Facebook) sont devenus des collecteurs de vos données personnelles. Ces données sont ensuite exploitées pour le commerce ou l’influence d’opinion. L’adage « si c’est gratuit, vous êtes le produit » s’applique à fond pour Google et Facebook. Pendant ce temps Wikipedia (l’encyclopédie universelle libre accessible sur internet) est en train de crever dans l’indifférence générale. Par ailleurs, l’indépendance du net n’est pas un fait acquis. L’ICANN (Société pour l’attribution des noms de domaine et des numéros sur Internet) est devenue une entité internationale autorégulée et à but non lucratif en 2016, alors que les USA en assuraient la gestion jusque là. L’ICANN fait l’objet de convoitise des états et de pressions de la part des gros acteurs privés. Pour sa part le grand public, cible innocente visée par les états et les sociétés mercantiles, est tellement sous l’emprise de la facilité d’accès aux services au travers de Google qu’il en vient à confondre Google et l’internet. Quelle importance ?

Ce désintérêt pour les aspects techniques du monde qui nous entoure et les enjeux afférents sont d’après moi les symptômes d’une régression. Et il n’est pas juste question de techniques de vente ou de marketing. Il est question d’une perte de contrôle grandissante et consentie par manque d’intérêt pour la façon dont tout cela fonctionne. La confiance créée par l’aspect superficiel de simplicité des objets magiques qui font partie de notre quotidien, voilà le vrai sujet. La confiance et l’aveuglement qui en résulte: l’opium du peuple. Les enjeux dépassent maintenant les spécialistes (ingénieurs, chercheurs et passionnés) qui possèdent les clés (multiples) du mécanno (référence au jeu de construction à base de pièces mécaniques qui a suscité des vocations chez des gamins, comme moi plus jeune).

Une société humaine qui est à ce point enfumée par la pensée magique et maintenue dans la dépendance à une forme de religion de la consommation, est-ce cela le futur de l’humanité ? Sur un autre plan de la réalité, pensez un peu à ce que devient l’éducation dans certaines parties des USA, ou à l’école on commence (ou on continue) à enseigner les sciences à travers la lecture de la bible. On est loin du modèle de l’école laïque républicaine à la Française. Et c’est un autre des symptômes d’une forme de régression sociétale. Je salue au passage l’initiative maladroite du ministère de l’éducation, d’introduire des rudiments d’apprentissage du codage informatique dans les petites classes en France.

Et bien, il en va de la liberté individuelle et du refus d’un certain modèle de société. Par nos comportements individuels, contribuons à maintenir Internet et le web à l’image du rêve de leurs créateurs: un cyber-espace de liberté et de partage de la connaissance. Et enfin, pour plus de détails sur Internet, les GAFA et les enjeux de liberté, je vous conseille de lire mes précédents articles sur ces sujets, en particulier « Pour un internet plus libre » et « Cyber-Espace (Internet) démystifié ».

Voilà

Changer de serveur DNS pour améliorer la protection des données personnelles et la sécurité

J’ai récemment été confronté à une panne du serveur DNS (Domain Name System) de mon fournisseur d’accès internet (SFR-Numericable). Ce type de panne a pour effet de rendre impossible l’accès aux sites web dont l’adresse utilise un nom de domaine (c’est à dire tous les sites). Ce type de panne qui nécessite un minimum de sagacité pour être diagnostiqué, a également pour effet de me mettre en rogne.

Qu’est-ce donc qu’un serveur DNS ? C’est tout bêtement le dispositif qui se charge de la traduction d’un nom de domaine (par exemple: impots.gouv.fr) en son adresse IP. L’accès à ce dispositif est nécessaire car l’adressage des machines (ordinateurs, tablettes, smartphones, et autres objets) connectées au web ne fonctionne qu’avec des adresses IP (par exemple: 89.123.213.90). Si comme le commun des utilisateurs vous gardez les réglages par défaut de votre terminal et/ou de votre routeur, le serveur DNS que vous utilisez sans le savoir est celui de votre Fournisseur d’Accès à Internet (FAI). Le DNS d’un FAI n’est accessible qu’aux clients de ce FAI. Jusqu’à cette panne c’est également comme ça que mon installation fonctionnait.

Pendant la panne du DNS de SFR j’ai donc changé de serveur DNS pour pouvoir continuer à accéder aux services que j’utilise quotidiennement. Pour le choix d’un serveur DNS public, plusieurs critères peuvent intervenir:

La rapidité de réponse;
Le respect de la vie privée;
La fiabilité (résistance aux attaques en particulier).

La plupart des avis plus ou moins autorisés promeuvent les serveurs DNS de Google comme étant les plus sûrs et plus rapides. Ils sont en effet parmi les plus rapides, mais ne sont pas les seuls. Les résultats dépendent en effet des conditions de test, et les différences se mesurent en millième de seconde. Le prix à payer pour bénéficier de cette rapidité de réponse c’est la confidentialité de vos données personnelles. Google fait du commerce et malgré ses engagements sur le respect de la confidentialité ne se cache pas d’exploiter la masse des informations qui transitent dans ses serveurs.

On peut diviser les services DNS en deux groupes: ceux qui sont proposés par des sociétés commerciales, et ceux qui sont proposés par des associations ou fondations n’ayant pas de visées commerciales.

Dans le premier groupe on trouve tous les FAI (orange, sfr, free, bouygues) et les gros acteurs du net (Google, Cloudflare, OpenDNS). Dans le dernier groupe (non commercial) on trouve en particulier CleanBrowsing et Quad9.

Ne comptez pas sur les serveurs DNS gérés par des sociétés commerciales pour préserver la confidentialité de vos données personnelles. Fervent défenseur des libertés j’ai donc décidé de choisir un serveur DNS qui apporte plus de garanties sur la confidentialité de mes données personnelles.

J’utilise actuellement les serveurs DNS de Quad9. Quad9 est géré par CleanerDNS, Inc., une organisation Californienne à but non lucratif (non-profit corporation). Il utilise les ressources d’IBM, Packet Clearing House (PCH), Global Cyber Alliance (GCA), d’autres organisations de cyber-securité , et des dons privés. Tous les acteurs qui fournissent des ressources pour le fonctionnement de Quad9 y trouvent leur compte en terme d’image et de partage d’expertise.

Les serveurs DNS de Quad9 filtrent les sites malveillants (phishing, malware, exploit kit domains). Ils supportent le protocole DNS over TLS (chiffrage des données). Les adresses IP des serveurs DNS Quad9 sont:

IPv4	9.9.9.9 149.112.112.112
IPv6	2620:fe::fe 2620:fe::9
DoH*	https://dns.quad9.net/dns-query

*DoH: DNS over HTTPS, protocole de sécurité ajouté aux requêtes DNS

Comment paramétrer votre terminal pour utiliser les serveurs DNS de Quad9 (ou d’autres serveurs DNS publics):

Les étapes pas à pas suivantes sont uniquement destinées aux micro-ordinateurs sous MS Windows (v10).

Accéder aux paramètres Windows;
Accéder aux paramètres internet et réseaux;
Modifier les options d’adaptateurs;
Accéder aux paramètres de carte réseau (ou wifi);
Accéder aux propriétés de la carte réseau (ou wifi);
Accéder aux propriétés du protocole IPV4;
Modifier les caractéristiques de serveur DNS (passer à la définition manuelle des adresses IPV4 du serveur) et entrer les adresses du serveur. Valider en sortant des réglages.

Il est également possible de réaliser le paramétrage du routeur de votre passerelle réseau (le plus souvent le grand public appelle ce truc « la box ») pour que tous les équipements connectés à votre réseau local utilisent le serveur DNS de votre choix. Voir à ce sujet mon article « Du bon usage de la boite – Le couple modem-router ». L’interface web de votre routeur est généralement accessible à l’adresse 192.168.0.1.

Pour ceux qui veulent malgré tout utiliser les serveurs DNS de sociétés mercantiles, voici quelques adresses:

Google Public DNS	8.8.8.8 8.8.4.4
Cloudflare	1.1.1.2 1.0.0.2

Voila.

Place à la cyberdélinquance

Le temps des casses contre les banques et autres grandes bijouteries de luxe fait partie des récits historiques mettant en scène des figures comme les membres de la bande à Bonnot (premier casse en automobile contre la Société Générale en 1911) ou les membres du gang des égoutiers (le casse de Nice contre la Société Générale en 1976). C’était durant le siècle précédent.

Les technologies d’aujourd’hui font évoluer l’appétit des délinquants sérieux vers des cibles moins bruyantes (les victimes communiquent peu, et les indices révélant les attaques restent peu visibles) et financièrement plus intéressantes.

J’ai mentionné dans mon article du mois dernier l’attaque de hackers contre la société Garmin. J’avais découvert cette attaque en tentant de me connecter aux services de Garmin ouverts aux possesseurs de leurs objets connectés.

Ceux qui s’intéressent, comme moi, aux technologies informatiques et au web, consultent occasionnellement les journaux « spécialisés » dont les colonnes sont alimentées par des professionnels ou des experts. Il ne se passe plus une semaine sans que les observateurs avisés relatent une ou des cyberattaques contre des sociétés, des groupes, des organisations gouvernementales qui peuvent dépenser des sommes très importantes pour nettoyer les effets des attaques. Cet été a été particulièrement chargé en attaques du type rançongiciel (ransomware: blocage de service et demande de rançon). Les informations qui suivent ont été publiées dans Le Monde Informatique le 28 aout (article de Jacques Cheminat).

Autorités judiciaires, policières et en charge de la cybersécurité sont formelles, la règle dans les affaires de ransomware est de ne jamais payer la rançon. Les arguments : le risque de ne récupérer ni la totalité ni même une partie des fichiers chiffrés et la promotion de ces activités cybercriminelles.

Mais derrière les positions de principe se cache une réalité bien différente, comme le montrent deux cas arrivés durant la période estivale. Le premier est Garmin victime du rançongiciel WastedLocker, paralysant plusieurs de ses services. Les analystes ont été surpris par la rapidité du rétablissement des activités de la firme et ont soupçonné le paiement d’une rançon pour obtenir un décrypteur. Le groupe Evil Corp derrière le ransomware exigeait 10 millions de dollars. Au-delà du probable paiement par Garmin, c’est la manière de procéder de l’éditeur, épaulé par les deux sociétés Emsisoft et à Coveware, qui interpelle. La première est une société en cybersécurité, connue pour fournir des décodeurs de ransomware à partir de ceux fournis par les cybercriminels. La seconde propose des services de négociation de rançons. Garmin aurait donc à la fois payé pour obtenir cet outil, mais aurait demandé à Emsisoft de l’analyser et de le rendre pleinement opérationnel afin de débloquer les machines et les fichiers.

L’autre cas est celui de Carlson WagonLit Travel (CWT), spécialiste des voyages d’affaire. Victime de Ragnar Locker, il aurait payé 4,5 millions de dollars pour remettre en route les 30 000 PC paralysés. Au départ, le gang réclamait 10 millions de dollars et c’est le directeur financier de CWT en personne qui a assuré la négociation. Plaidant les difficultés de l’entreprise liées à la crise sanitaire, il a réussi à réduire le montant de la rançon.
extrait du Monde Informatique – 28 Aout 2020

Une autre information datée de fin aout et confirmée par Elon Musk: un employé de Tesla a refusé un million de dollars de la part d’un « espion russe » pour infecter par un ransomware l’usine de Tesla dans le Nevada.

Le paysage cybercriminel est en évolution et le rançongiciel « ransomware as business » devient une activité structurée qui intéresse de plus en plus de groupes criminels. La rentrée risque d’être chargée sur ce front.

Les vols de données, usurpation d’identité, faux support techniques, phishing (hameçonnage), spoofing (usurpation d’identité email), et autres attaques au niveau des personnes (comme vous et moi) connectées au web sont moins spectaculaires mais peuvent causer plus de tracas lorsque on en est personnellement victime. D’après une étude menée en 2019 par l’institut nationale de la consommation, 9 Français sur 10 ont déjà été confrontés à la cybermalveillance. La prudence, des connaissances de base sur les méthodes employées par les auteurs de ces activités et un minimum de discernement dans l’utilisation des services Internet (web, email, etc..) peuvent vous éviter d’être la prochaine victime.

Je vous conseille une visite du site national dédié à la protection contre la cybermalveillance (cybermalveillance.gouv.fr). Il contient des informations sur les moyens utilisés par les cyber-malfaisants, des conseils pour se protéger et la possibilité de déposer plaintes, et demandes d’intervention.

Voila.

Objets Connectés – IoT (Internet of things)

Depuis 3 jours les services internet de GARMIN (le plus connu des fabricants d’équipements de guidage par GPS, montres et bracelets connectés) sont injoignables. Des individus malveillants armés d’un virus dernier cri ont réalisé une attaque massive des serveurs utilisés par GARMIN. En échange d’une rançon ils promettraient de supprimer les verrous logiciels installés par le virus. J’ai connaissance de la situation pour avoir tenté de faire fonctionner mon bracelet connecté GARMIN « VivoSmart HR » jeudi dernier. Cette petite merveille de technologie ne délivre toute ses possibilités qu’en étant connectée à un smartphone, une tablette ou à un micro-ordinateur. Et jeudi dernier, il fût impossible de connecter cette merveille de quelque façon que ce soit à quoi que ce soit. Donc plus possible de surveiller tous les paramètres liés à mon activité (y compris mon sommeil). Depuis lors les services de GARMIN sont inaccessibles (voir copie d’écran ci-dessous)

*Message de Garmin indiquant la pan*ne, sans préciser sa nature

C’est dans des moments comme celui là que l’on réalise les faiblesses de l’internet des objets (IoT). Tous ces objets, pour fonctionner correctement, doivent être connectés à un terminal (smartphone, tablette, micro-ordinateur) faisant tourner une application qui elle même est connectée aux serveurs de la firme qui produit les objets. Les données enregistrées par les capteurs d’un l’objet connecté sont stockées sur ces serveurs (certaines d’entre-elles peuvent alors être partagées avec d’autres possesseurs d’objets similaires). Dans le cas de mon bracelet de suivi d’activités les fréquences cardiaques, la position géographique et le tracé du parcours, les dénivelés, etc.. sont enregistrés sur les serveurs utilisés par GARMIN. Bien entendu je ne considère pas ces informations comme des informations critiques, mais peut-être suis-je optimiste ou insouciant. Si les serveurs utilisés par GARMIN peuvent être rançonnés par quelques individus malveillants, pourquoi ferais-je confiance à GARMIN (ou à d’autres) pour assurer la protection de mes données personnelles.

Il n’existe pas de loi qui garantisse à l’utilisateur le pouvoir de conserver de façon autonome la trace de ses données personnelles. On peut pousser le raisonnement sur la sécurité des serveurs plus loin en considérant toutes les informations conservées par les administrations et services publics. j’aime citer en exemple la défaillance des systèmes de retraite japonais dans les années 1990 « citation d’un article de 01net daté de 2007 »:

L’assurance sociale japonaise a, semble-t-il, trouvé un moyen efficace (et expéditif) de régler le problème des retraites. Selon Le Figaro, cette organisation vient en effet d’admettre qu’elle avait ‘ égaré ‘ 50 millions de dossiers de retraites lors de leur informatisation à la fin des années 1990. Le quotidien français explique que les coordonnées des cotisants qui figuraient sur les dossiers de retraite (nom, adresse et date de naissance) n’auraient pas survécu à la mise en place d’un numéro d’identification unique en 1997.Le principal parti d’opposition, à l’origine de la divulgation du scandale, affirme pour sa part qu’un million de cotisants ne reçoivent plus la totalité de leur pension de retraite. Cette nouvelle crise, souligne Le Figaro, démontre s’il en était besoin l’incroyable vétusté des réseaux informatiques du Japon, pays pourtant loué pour son avance en matière de high-tech.
01 net, 2007

Ce que cette panne majeure des services GARMIN fait ressortir, c’est la nécessité de permettre à l’utilisateur de reprendre le contrôle de ses données personnelles en en redevenant propriétaire. Certaines plateformes le permettent déjà (mais pas GARMIN, c’est sûr). Les informations qui sont collectées par GARMIN sont apparemment anodines du point de vue de l’utilisateur (adresse email, détails de paiement, localisation, données de santé) mais peuvent avoir une valeur avérée si on adopte le point de vue mercantile des grosses sociétés du net (les GAFAM), et autres commerçants.

Voila.