Filtrage... vous avez dit filtrage ?

Dans un récent papier d'humeur, le bouillonnant Jérôme Narvic nous parle du fond du problème qui se cacherait derrière la trilogie de loi DAVDSI, HADOPI, LOPSI 2. Qu'en fait l'unique objectif de contrôle de l'Etat sur nos communications par filtrage, serait l'agenda caché poursuivi par l'Elysée.
Très bien pour l'explication paranoïaque du café du commerce, mais à mon avis, c'est, dans un autre registre d'aveuglement, manquer le véritable problème posé par les avancées technologiques d'aujourd'hui, notamment ce qui doit être adressé comme utilisation de la Deep Packet Inspection ou DPI.
Cette technologie de la DPI revêt maints usages, dont, accessoirement, la solution ultime de filtrage des usages de l'Internet. Elle est même si puissante, qu'elle en devient intellectuellement inévitable, c'est à dire que l'on voit mal comment les acteurs de la société pourraient décider de s'en passer. Soyons précis, nous sommes en effet très loin de l'aspect rudimentaire de l'interdiction de quelques sites par blocage DNS, qui inspire le Ministre de l'intérieur MAM ou Nadine Morano, ou des ridicules logiciels d'espionnage qui seront aisément contournés, une fois sur l'ordinateur personnel.
Si nous décidons de laisser proliférer dans l'ombre et sans contrôle, la DPI, nous en subirons les aspects les plus nocifs :
  • Être une arme anti-concurrentielle ; vous êtes opérateur, vous avez décidé sur votre territoire de favoriser votre site de streaming vidéos, vous allez donc en appliquant un filtrage conditionnel accélérer le réseau pour vos livraisons de contenus et pouvoir dégrader les performances et le service de plateforme concurrentes telles que Youtube, Dailymotion au autre.
  • Rendre possible n'importe quel filtrage conditionnel, soit pour élimination, dégradation de performance de la connexion ou simple espionnage de l'utilisateur.
  • Profilage de l'utilisateur pour rendre possible un ciblage publicitaire continu sur tous les sites affiliés par contrat qu'il visite, vous rêviez d'un vrai concurrent de Google ? et bien voilà...
  • etc.
Mais il n'y a pas que des exemples négatifs, il faut se rendre compte qu'il s'agit d'une arme de premier ordre pour contrer l'action globale des virus, spam, et vers proliférant sur Internet.
Cela mérite que l'on s'y attarde, car les utilisateurs d'Internet n'ont en effet que très peu de notions solides en terme de sécurité informatique et ne savent pas, pour la plupart, dans leur comportement en ligne et la gestion de leurs machines protéger leur système.
Il apparaîtra alors comme complètement évident et nécessaire de vouloir les protéger contre leur gré, et ceci sur un mode non intrusif, c'est à dire agir en amont de leur propre réseau familial...Ne serait-ce que pour la sécurité et l'écologie commune du réseau. 
[Il est à noter que ce n'est pas qu'un problème concernant que l'utilisateur, plusieurs technologies massivement employées par les entreprises sur le Web et qu'il serait idiot de croire que pour des raisons de sécurité de leurs clients elles tiendraient à s'en passer, comme le Flash, se révèlent être de véritables portes ouvertes pour l'implantation de programmes malveillants.]
Autre potentialité d'importance, qu'entraîne l'adoption de la DPI : la modélisation du trafic de l'utilisateur qui représente une valeur ajoutée immédiate au niveau du service que l'opérateur est en mesure de lui apporter. Il est possible d'orienter à façon, d'une manière positive au niveau des priorités d'acheminement de ses envois et réceptions, le flux Internet de chaque utilisateur pourvu qu'il accepte le principe d'un certain profilage initial.
Comme tout bon technologiste le sait, la technologie n'est pas mauvaise "en soi", c'est l'utilisation qui en est faite qui doit provoquer discussion, négociation et adaptation. Il faut pourtant reconnaître que sur bien des bouleversements récents, la société française est curieusement passive et réactive mais en aucun cas pro-active. Cela est peut-être du à de multiples facteurs dont le refus de comprendre et d'intégrer les avancées scientifiques et technologiques, étant donnée l'excessive polarisation littéraire de son bassin intellectuel depuis plus d'un siècle.
Quoiqu'il en soit, une première chose doit être adressée en urgence et par l'Etat lui même. A l'instar de l'initiative du gouvernement canadien, ouvrir un site d'information grand public sur la technologie DPI, où a minima des communications devraient être engagées par des experts, pour que le public puisse saisir les enjeux de celle-ci.
Deuxièmement, et cela ne va pas être évident, il va falloir à un moment redéfinir ce que l'on entend par intimité ou vie privée et constitutionnaliser les principes de sa protection pour un monde technologique qui a radicalement évolué. 
Cela va être excessivement difficile, car cela n'est pas un sujet qui peut être abordé d'emblée par les institutions européennes, vu que la perception de l'intimité et de la vie privée diffère selon les cultures nationales. Pourra alors naître seulement un encadrement par la loi de l'emploi de la technologie DPI par les opérateurs, les entreprises et les institutions.
Dans l'attente, agiter des chiffons rouges anti-sarkoziens sur le filtrage, ou croire qu'on a atteint le cœur du sujet en dénonçant un complot d'Etat à la "nine eleven" sont des réflexes inopérants, car ils reposent sur la même vision à court terme, qui sied si mal à nos préoccupations globales actuelles.
C'est encore une fois sur le terrain de la construction d'idéaux (et sur quel autre terrain se situeraient les véritables inspirations constitutionnelles ?), qu'apparaît la seule voie mature de résolution de ces problématiques. Définir en commun positivement les frontières de ces lieux pour mieux guider le législateur. 
Raisonner en terme de valeurs qui seraient déjà présentes comme le propose Jérôme Narvic dans une résistance passive, c'est emboîter le pas au Fukuyanisme, à la fin de l'histoire, c'est dans une perspective personnelle faire du dandysme ou du Carrisme, mais c'est collectivement dangereux car c'est se placer en unique détenteur de la vérité, et casser les raisons collectives d'affronter son destin, face à des problèmes nouveaux et complexes, qui méritent d'être vulgarisés, compris, et débattus.

Commentaires

  1. Tu me tailles probablement un costume bien grand pour moi. Il y a d'ailleurs une contradiction dans le reproche que tu me fais : j'aurais une thèse parnoïaque d'un agenda "caché", que j'illustrerais par une série de lois ou projet de loi, qui sont... "publics" ? Chercher l'interprétation abusvie et l'effet de style un peu téléphoné de ta part. :-))

    Quant à la philosophie des techniques, j'ai bien compris que tu avais à cœur d'inventer une nouvelle philosophie pour une nouvelle technique. Mais pour le moment, tu ne t'écartes guère de ce qu'on lisait déjà dans le Phèdre de Platon il y a 25 siècles au sujet de l'invention de l'écriture. Dans le domaine de la philosophie, les choses peuvent parraitre parfois étonnament immobiles dans un monde changeant. Et il y a aussi d'"éternels retours"... :-)

    RépondreSupprimer
  2. Salut narvic,
    Dsl, mais l'idée n'est pas celle que tu crois, c'est plutôt qu'on est loin d'imaginer ce qui est vraiment important : la possibilité du filtrage absolu ne viendra pas d'une volonté politique particulière mais d'une possibilité offerte sur un plateau à présent et avec une puissance inégalée.
    La que tu as reprise de Numérama est donc trompeuse.
    Et cela n'empêche que je te fais régulièrement des félicitations sur tes billets dans ton blog.
    Là où nous nous séparons, c'est sur la notion d'idéal et de son emploi. Mais rien de grave.

    RépondreSupprimer
  3. J'entends bien et tu connais très certainement ces questions techniques bien mieux que moi. Mais là, c'est surtout de technique politique qu'il s'agit, et c'est un autre domaine de compétences, ce qui redistribue un peu les cartes. ;-) Du coup, la thèse de Numérama est loin d'être aussi fragile que ça.

    La question est bien ce que le gouvernement va faire avec les technologies qu'il connait, selon les conseils qui lui sont donnés par ses conseillers (que je ne connais pas personnellement :o) ).

    On a vu l'exemple des DRM qui a avorté... J'ai bien compris que les experts informatiques souriaient à nouveau à l'évocation du "logiciel de sécurisation" prévu par Hadopi... Mais dans ce cas (le gouvernement a appris), ce logiciel n'est pas au coeur de sa stratégie (alors que le logiciel était au coeur de la stratégie DRM). Cette stratégie est plus modeste et réaliste : agir par la peur du gendarme sur le plus grand nombre. C'est une technique politique... ;-)

    Dans le domaine du filtrage chez les FAI, je crois que sa position est aussi pragmatique : en faire autant qu'on peut le faire, selon les conditions techniques, mais évidemment aussi économiques et juridiques, et surtout politiques. Et ce sera toujours ça de pris. C'est la tactique du pied dans la porte : on utilisera donc la question de la pédocriminalité pour commencer, car personne ne peut s'y opposer sans se discréditer. C'est ça la technique politique. :-)

    Bien sûr, si un avisé conseiller du président lui faisait miroiter les avantages mirobolants d'une autre solution technique, il se laisserait peut-être séduire par l'idée. C'est là que les conseillers en technologie doivent également faire preuve de technique politique...

    RépondreSupprimer
  4. Le DPI c'est joli, mais si il y a un passage massif vers le ssl c'est fini... comme le jour ou des FAI se sont amusé a faire du QoS sur les torrents, depuis les connexions BT sont massivements sur du ssl.

    RépondreSupprimer
  5. @Anonyme
    Un passage massif sur le ssl n'est en aucun cas la réponse adaptée :
    Premièrement il ne sécurise pas contre un profilage, car le ssl est un schéma d'encryption qui a été conçu pour protéger un contenu et non des URL Web qui sont à présent craquables ;-)
    Deuxièmement, toutes les utilisations d'Internet et surtout toutes les plateformes (penser aux smartphones et tablettes de lecture) ne permettront pas, sans inconvénient, de switcher sur le ssl.
    L'encryptage n'est qu'une réponse limitée et pire, parfois donne le sentiment d'une fausse sécurité lorsqu'il n'est pas adapté.
    un exemple : l'encryptage SSL ne protège en rien de la chasse aux IP sur les réseaux torrent.

    RépondreSupprimer
  6. @Narvic
    Je ne peux pas me prononcer sur quelqu'un que je ne connais pas.

    La thèse de Numérama est éminemment fragile dans le sens où elle est dépassée par l'actualité technologique et qu'elle relève d'une suite de faits orchestrés, parfois non concordants (remarquons les changements de camp de nombres d'acteurs de la vie politique entre DAVSI et HADOPI).
    Il est arrivé à l'un des plus célèbres champion du monde d'Echecs, Anatoly Karpov, de dire que toute analyse longue est nécessairement fausse, car dans une suite longue de coups une foule de détails importants peuvent être omis. Dans la pratique c'est pire, car ce jeu particulier de la vie est d'une complexité plus grande encore que les déplacements de pièces sur un échiquier.
    Le point de vue de Numérama est nécessairement faux et cela ne lui retire qu'une partie de son intérêt, car l'attrait de la belle histoire demeure.

    Si l'atmosphère générale est à la recherche de coupables ou de naïfs dans ce curieux monde de la critique de l'Internet, c'est que les divers intervenants ou commentateurs (en ligne ou hors ligne qu'importe) réagissent comme des prisonniers volontaires de leur propre coeur de sujet.
    Face à cette parole ambiante, je n'ose donc imaginer (ou mieux, je le vois) que peuvent penser le ou les politiques ? leurs réactions n'iront pas bien loin, aussi habiles qu'ils puissent être (elles ne portent effectivement pas loin puisqu'elles s'accrochent aux courtes vues des lobbies.)
    C'est comme si dans le débat sur la loi bio-éthique, la vedette était volée par le fait de savoir quel laboratoire ou groupe de recherche allait l'emporter sur tel autre. Nous y sommes en plein.
    Le sujet est pourtant simple et n'est pas technique, il n'y a plus de vie privée possible car les garanties habituelles taillées pour l'ancien monde ne sont plus suffisantes.
    Je crois donc que l'enjeu n'est pas de juger de ce qui plaît ou déplaît suivant des valeurs personnelles, mais de produire un ou plusieurs schémas capables de remporter l'adhésion, de créer une dynamique face à cette régression.

    RépondreSupprimer
  7. C'est fou les accrochages entre gens qui poursuivent, au fond, des objectifs similaires de liberté et de démocratie... Appelons cela un débat agité, car il faut reconnaitre que tout cela à le mérite de faire avancer l'ensemble.

    Thiery, je t'invite à me contacter si tu souhaite cross poster ce billet sur owni.fr, nous avons besoin de spécialistes pointus de ces sujets afin d'y voir plus clair (et d'éclairer) sur des sujets oh combien techniques, et dont les généralistes tels que moi ne maitrisent pas les subtilités (j'ai cru voir une menace à la net neutrality dans la remise en question d'IPv6 envisagée par NKM dans son récent appel, mais je suis bien incapable d'y apporter une réponse construite, par exemple).

    Ce qui nous attends devant nous (loppsi, et la suite) est complexe, très complexe, et pour y apporter une réponse cohérente et lisible, les débats qui ont lieu en ce moment même sont à mon sens une bonne chose, car nous avons le temps de nous comprendre, d'échanger, et surtout de nous rassembler, car, encore une fois, ce qui nous divise est bien moins important que ce qui nous réuni.

    RépondreSupprimer
  8. Ok Fabrice,
    Je veux bien voir de quoi il en retourne.
    Mais bon, j'adore assez ce que fait Narvic (avec Authueil, c'est ma paire favorite), ce qui fait que ce genre d'étripage est plus à mettre sur le compte d'un trop long Week end de l'Ascension.

    RépondreSupprimer
  9. Premièrement il ne sécurise pas contre un profilageLe papier est joli mais en 98, les pages web étaient différentes, statiques et non dynamiques, j'aimerais bien voir un papier équivalent aujourd'hui. Ce serait possible de voir que quelqu'un est sur gmail mais pas ce qu'il lit, etc. Dans tout les cas comme je le disais ça limite le DPI, faire du filtrage à l'aveuglette à travers du ssl y'aurait beaucoup trop de faux positifs.

    Deuxièmement, toutes les utilisations d'Internet et surtout toutes les plateformes (penser aux smartphones et tablettes de lecture) ne permettront pas, sans inconvénient, de switcher sur le ssl.La plupart des processeurs embarqués modernes ont un coprocesseur crypto justement parce que ils doivent supporter ssl sans mettre a genoux le proc.

    L'encryptage n'est qu'une réponse limitée et pire, parfois donne le sentiment d'une fausse sécurité lorsqu'il n'est pas adapté.Bien sur il faut être conscient des limites, le chiffrement des flux ne protegent pas de la chasse aux IPs sur bittorrent, mais ça protège quand même du DPI qui est le sujet de ce billet.

    RépondreSupprimer
  10. @Anonyme
    Pas besoin d'avoir peur, tu as le droit de te prendre un pseudo ou de donner ton nom.

    Il y avait des sites dynamiques en 1998, les technologies soit-disant Web 2.0 (mis à part l'Ajax) étaient déjà là. Et je ne vois pas en quoi une URL dynamique change profondément au niveau de sa structure d'une URL de page statique... faudrait m'expliquer la différence, car de toute façon, le ssl n'a pas été conçu pour sécuriser cette partie.
    Un profilage de surf est certainement suffisant, on peut par exemple savoir sur quels produits tu as trainé dans les boutiques en ligne, et quelles sont tes habitudes de consommation d'information, et te voir traîner sur beaucoup d'autres exemples de services, puisqu'on est sur le web, globalement sur le schéma une URL = Un document.
    Certes, je ne vais plus t'observer en temps réel, mais je pourrais reconstituer à tête reposée une bonne analyse de tes habitudes de consommation. Que demande le peuple ?

    Sur les smartphones ou outils connectés, l'essentiel des données transitées avec l'internet se feront par widgets, sans compter qu'à terme une partie des données personnelles ne se retrouveront pas que sur le téléphone lui-même, mais en ligne, dupliquées dans de gentils data cloud. Donc je crois qu'on peut oublier le cryptage, sauf bien sûr s'il a été systématiquement prévu par les développeurs... ;-)

    A présent on peut aller plus loin et montrer que l'emploi généralisé du SSL peut représenter une faille de sécurité plus grave que de passer volontairement par la DPI.
    Un exemple, tu conseilles, pour le faire le fier, à un de tes amis newbies, de ne pas jouer le jeu de la DPI de son FAI ou de son entreprise, et celui-ci donc navigue en SSL.
    Vient un jour où il se fait phisher son numéro de carte bleue ou de sécurité sociale.
    Remarquable... si ton ami n'avait pas suivi ton conseil, la DPI de son FAI aurait intercepté en trafic montant, son numéro de carte bleue ou de sécurité sociale, non protégé. Là, dommage, il n'a rien pu faire, tout était crypté... ton ami va surement t'acheter une bouteille de champagne pour l'avoir exposé de la sorte.

    Bon sans compter que tu seras aussi prochainement une future victime, mais à un autre niveau, sachant qu'un anti-virus chez un particulier est rarement à jour, en temps et en heure, et que les systèmes de black-listing pour les sites qui représentent des risques de compromission pour ton système sont inopérants, car pas suffisamment réactifs.

    Une analyse de sécurité c'est un échange de contraintes et de bénéfices qui doivent aboutir à un équilibre opérationnel.
    Globalement, vouloir se priver des possibilités de la DPI en navigant par ssl, c'est peut-être ne pas réaliser le meilleur échange au niveau de la sécurité qu'il soit.

    C'est en celà que le sujet de mon papier est l'inévitabilité de cette technologie, et comme ce n'est pas la seule qui à la capacité de porter atteinte à notre vie privée - Gmail, Facebook, les agrégateurs on line, les communications VoIP, etc.
    Il faut donc s'extraire et prendre de la hauteur par rapport à technologie, qui ne peut résoudre à elle seule, cette problématique qui est celle de l'extinction de toute vie privée à terme.

    Le seul moyen est donc, l'information et la vulgarisation de ces techniques, le débat citoyen avec des contributions d'experts, puis la loi qui, basée sur des principes constitutionnels, encadrera les usages et pratiques.
    Ce qui représente une moitié de mon billet.

    RépondreSupprimer
  11. (ex-Anonyme, de toute manière, google connait mon ip et mon cookie ;))

    @Thierry
    Quand je parle des sites statiques vs sites dynamiques, c'est par exemple la diff entre un site comme ça:
    http://www.avalanche.org/~issw98/
    et http://en.wikipedia.org/wiki/Avalanche

    La première page possede probablement une signature unique sur l'ensemble des sites sur cette IP, alors que la deuxieme doit avoir un grand nombre de signatures très proche sur wikipedia.

    Pour le coup de la carte bleue et du SSN, j'espère que c'est une boutade et que personne ne pense serieusement que le DPI devrait protéger contre ça et que les informations sensibles devraient circuler en clair sur internet.

    Voila pourquoi je pense qu'un *filtrage* par DPI est très peu plausible, par contre comme tu le dis, du data mining oui, et malheureusement les gouvernements le font déjà.
    Et même dans ces cas la, la meilleure façon de leur compliquer la vie c'est d'utiliser du cryptage systématiquement.

    RépondreSupprimer
  12. "Pour le coup de la carte bleue et du SSN, j'espère que c'est une boutade et que personne ne pense serieusement que le DPI devrait protéger contre ça et que les informations sensibles devraient circuler en clair sur internet."Non, cela s'appelle le phishing, cela marche très fort en ce week end de l'ascension (clients de Free, Orange et Facebook) et la DPI peut protéger contre cela entre autres...

    Sinon, le coup du gouvernement obscur et malfaisant, oui, je connais cette rhétorique... ce ne serais pas toi Néo par hasard ?
    Tu as choisi la pilule bleue ou rouge ?
    lulz

    RépondreSupprimer
  13. Merci je connais le phishing, mais le DPI ne protège en rien. Et je me répète mais apprendre aux gens à faire circuler les données sensibles en clair sur internet c'est aller vers un désastre (faille DNS, hotspot/cyber café, connexions wifi, etc).

    Et le gouvernement, cherche l'histoire du whistleblower AT&T+NSA, c'est en 2006. Maintenant demande toi ce qui s'est passé en 3 ans.
    Le gouvernement français n'est pas resté les bras croisés pendant ce temps, herisson n'est qu'une petite partie...
    Regarde la loppsi avec l'autorisation de faire du data-mining sur les données cb/gsm/etc pour la police, tu penses que si la police est autorisé les outils n'existent pas (et ne sont pas déjà utilisés par les unités anti-terrorismes etc) ?

    Bien content de te faire lulz en tout cas, perso je préfère être conscient de ce que je laisse comme trace (portable, internet, cb, etc), et ce que ce à quoi elles servent.

    RépondreSupprimer
  14. Un dernier point, je ne pense pas que le gouvernement soit malfaisant. Par contre je ne pense pas que le fait qu'il se dote de ce genre d'outil soit bon dans une société démocratique. Il devrait y avoir des limites au contrôle et à la surveillance possible.

    RépondreSupprimer
  15. @'lil
    Je ne crois pas que tu ais compris mon exemple sur le phishing depuis le début. Relis.

    "Il devrait y avoir des limites au contrôle et à la surveillance possible."Tout à fait d'accord, c'est justement le sujet final de mon article, l'encadrement légal de cette technologie, qui a des points positifs qu'on ne peut ignorer.
    Encore faut-il comprendre et définir le concept de vie privée, et cela c'est à la société de le faire.
    Relis encore.

    RépondreSupprimer

Enregistrer un commentaire