Madame la Ministre de la Culture,
novembre 6th, 2008En tant qu’administrateur système et réseau, la Loi Création et Internet qui instaure un organisme en-dehors de la Loi me pose un sacré paquet de problèmes, auxquels j’espère que vous pourrez me donner une réponse rassurante.
Comme il est évident que lorsqu’un texte législatif de cette portée est écrit, il est mûrement réfléchi grâce à l’avis de nombreux professionnels du secteur, je ne doute pas que mes craintes soient infondées, et j’attends donc votre réponse avec impatience.
De mon point de vue, la Hadopi a de fortes chances de se perdre (et de perdre des innocents) dans une forêt technique où les arbres changent de place, d’espèce et de taille à loisir ou sans même le vouloir.
Il est vrai que viser les réseaux P2P entraînera une migration vers d’autres systèmes où personne d’extérieur au service ne pourra voir ce qui se passe entre le serveur et le client, et que la Haute Autorité pourra, et vous avec, se féliciter d’avoir fait baisser les échanges P2P en France.
Mais certainement pas le piratage numérique dans sa globalité, en tous cas pas de façon significative.
Je me permettrais également de douter de l’efficacité de la Hadopi même à court terme, car quand les sites P2P tels The Pirate Bay verront un nouveau bloc d’IP surveiller nombre de fichiers torrents à une date correspondant à la mise en service de la Hadopi, ils bloqueront ces IP (qui seront vite connues et diffusées aux autres sites de ce type) et la Haute Autorité n’aura plus que ses yeux pour pleurer le jour même de sa mise en service. Il en va de même pour les serveurs eDonkey et les « listes noires » qui sont régulièrement mises à jour chez les Internautes qui partagent illégalement (ces listes côté client empêcheront même une intervention réussie via le protocole Kademlia).
La Hadopi devra donc avoir un pool d’adresses IP publiques très important, réparti sur plusieurs blocs.
Nul besoin de préciser que les adresses IP coûtent cher (d’autant plus qu’il n’en reste pas énormément en IPv4), et que si un Whois (demande d’informations publiques sur le propriétaire d’un ensemble d’adresses IP) indique plus ou moins clairement une origine relative à la Hadopi, les IP en question seront peut-être bloquées avant même la mise en service de la Haute Autorité.
Personnellement, je bloque des IP suspectes sur mes serveurs tous les jours, donc c’est un processus courant qui n’est pas de l’affabulation, et il ne faut pas sous-estimer le plaisir qu’ont les sites de partage de fichiers à contourner les mesures de surveillance ou de blocage mises en place par les Etats ou les entreprises anti-piratage, faisant de la Haute Autorité une cible privilégiée tant qu’elle sera efficace.
Et ce n’est pas tout, mais d’autres vous expliqueront bien mieux que moi comment tout cela peut être contourné légalement, que ce soit gratuitement ou pour une somme modique, et comment n’importe quel partageur de fichiers non-autorisés pourra mettre en place ces mesures dès qu’il sentira le vent tourner.
La raison d’être de ce courriel est surtout de parler de l’impact que la loi Création et Internet aura sur ceux qui, comme moi, doivent gérer les serveurs et les postes d’une entreprise.
Tout d’abord, et c’est le premier point, comment est-ce que la Hadopi pourra savoir à quel e-mail correspond une adresse IP ?
Les FAI eux-mêmes ne le savent pas forcément.
Chez Free par exemple, la création d’un compte haut débit ne crée pas de compte mail associé : c’est à l’utilisateur de créer lui-même une ou plusieurs boîtes mail.
Et, dans le cas où plusieurs boîtes sont crées, il n’y a aucun moyen pour le FAI de savoir quelle est la boîte principale : par extension, comment la Haute Autorité pourrait-elle le savoir ?
Une solution que je vois serait d’imposer à tous les FAI de demander par courrier postal à chacun de leurs abonnés quelle adresse e-mail indiquer à la Haute Autorité lorsque celle-ci la leur demandera.
Il va sans dire que les FAI n’accepteront jamais de financer cet envoi massif de courrier.
Et quid des cas où il n’existe aucune adresse e-mail liée au compte ?
Comment la Hadopi réagira-t-elle si elle reçoit une erreur à l’envoi du mail, expliquant que l’adresse e-mail n’existe pas ?
Est-ce que la Haute Autorité demandera un accusé de réception électronique aux courriels envoyés, afin de s’assurer que les Internautes auront bien pris conscience de ce qui leur a été reproché ?
Sachant évidemment qu’avec tous les logiciels de courriel, il est possible de ne pas retourner l’accusé de réception électronique…
En PME, il est courant que l’abonnement à Internet de la société soit au nom du PDG.
Or, que se passe-t-il si le PDG n’utilise pas l’adresse e-mail liée à l’abonnement à Internet (en supposant qu’elle peut être connue, voir le paragraphe précédent), mais utilise plutôt celle gérée sur les serveurs mêmes de la société ?
Il est plus important pour un PDG d’avoir dans son adresse électronique le nom de sa société que celui de son fournisseur d’accès, ainsi n’utilisera-t-il que la première et laissera la seconde accumuler le pourriel.
Le deuxième point, assez effrayant, ce sont les faux positifs, qui s’annoncent nombreux à cause de l’initiative de The Pirate Bay d’inonder les partages d’adresses IP prises au hasard, initiative qui pourra être reprise avec un malin plaisir par les autres sites du même genre dans le but de torpiller la Haute Autorité.
Supposons que la PME où je travaille reçoive un courriel ou un recommandé de la Haute Autorité, et qu’après investigation je sois certain que personne n’a utilisé le réseau de la société pour échanger illégalement des fichiers.
Le PDG me chargera alors de le prouver à la Haute Autorité, et je serai dans l’embarras vu que la Haute Autorité considère tout le monde comme coupable par défaut.
Je pourrais donc être sanctionné pour ne pas avoir réussi l’impossible.
Faudra-t-il que j’installe sur tous les serveurs, ordinateurs portables et postes clients le logiciel que vous nous proposerez pour certifier que le poste n’a rien fait d’illégal ?
Et devrai-je l’imposer également aux consultants ou partenaires commerciaux qui franchiront le seuil de notre porte ?
Sachant qu’en entreprise il y a souvent des systèmes Windows, Linux (souvent sans interface graphique), mais parfois aussi des systèmes AIX ou Mac OS, et qu’il faudra que le logiciel soit compatibles avec tous.
De même, j’ai acheté un micro-PC à base de processeur ARM et fonctionnant sous Linux.
En théorie, il peut parfaitement faire tourner des logiciels de P2P, ainsi faudra-t-il que j’y installe le logiciel en question, qui devra donc aussi être disponible pour les plate-formes Linux utilisant des processeurs ARM.
Et si ce n’est pas le cas ? Devrai-je m’interdire de faire entrer cet appareil au sein de l’entreprise, alors que les possibilités de dépannage qu’il offre sont importantes ?
De plus, vous n’êtes pas sans savoir qu’un ordinateur ne vit pas éternellement : le disque dur est souvent la première pièce à tomber en panne.
Sur les serveurs ayant une capacité plus importante à résister à ces pannes grâce à la technologie RAID (des disques durs de sauvegarde permanente, pour simplifier) le problème ne se pose pas, mais je n’ai clairement pas envie d’acheter une panoplie de disques durs supplémentaires pour faire du RAID sur tous les postes clients (et encore moins sur les portables, où c’est tout simplement impossible car l’intérieur de la coque ne le permet pas).
Que faire donc, si je ne peux pas certifier l’innocence de tous les postes clients parce qu’un est tombé en panne ?
Devrai-je vous envoyer le disque dur fautif afin que vous facturiez la récupération de données à une entreprise spécialisée ? Autant prévenir d’office : le coût est prohibitif.
Et que devra-t-on faire lors d’une réinstallation du système ?
Le logiciel en question devra également prévoir ce cas de figure.
Troisième point : le risque de phishing (hameçonnage) et de contamination massive par des trojans (troyens).
Je reçois fréquemment des e-mails de ce type :
Your internet access is going to get suspended
The Internet Service Provider Consorcium was made to protect the rights of software authors, artists.
We conduct regular wiretapping on our networks, to monitor criminal acts.We are aware of your illegal activities on the internet wich were originating from
You can check the report of your activities in the past 6 month that we have attached. We strongly advise you to stop your activities regarding the illegal downloading of copyrighted material of your internet access will be suspended.
Sincerely
ICS Monitoring Team
Évidemment il est facile, pour quelqu’un qui a suffisamment d’intelligence technique, de reconnaître que c’est faux : d’une part il n’y a en France aucune ICS Monitoring Team qui enverrait ses textes en Anglais, d’autre part aucune loi n’autorise encore ce qui y est écrit.
Mais lorsque les premiers mails d’Hadopi arriveront, les pirates (les vrais !) vont très facilement, vu le nombre de courriers électroniques envoyés, s’en procurer une copie et l’envoyer à tout va en y ajoutant soit un lien vers un site qui récupèrera leurs informations personnelles (du genre « Venez régler une amende à cette adresse avec votre Carte Bleue »), soit une pièce jointe supposée lister leurs activités illégales (il faudra bien que les gens sachent ce qui leur est reproché !) mais qui transformera leur machine en « zombie » (machine effectuant des attaques au hasard sur tout Internet) et/ou en « spambot » (machine envoyant des centaines, voire bien plus, de pourriels par jour).
Qu’avez-vous préparé sur ce point ?
Avez-vous prévu une campagne de prévention pour éviter que d’innocentes personnes ne se fassent avoir ?
Est-ce que les mails envoyés par l’Hadopi seront signés numériquement, et si oui comptez-vous imposer à tous les Internautes de France l’installation d’un module complémentaire à leur logiciel de messagerie afin de certifier l’origine du message ?
Ou est-ce que toutes ces victimes feront partie des pertes acceptables ?
Mr Pasqua disait à propos d’un sujet controversé « on ne fait pas d’omelette sans casser des œufs ».
J’ai peur que beaucoup trop d’œufs soient cassés, directement ou non à cause de la Hadopi, et pour une omelette qui ne sera pas forcément bonne.
Quatrième point, et non des moindres : la sécurité intérieure.
Le logiciel de contrôle cité au second point devra être lancé avec des droits élevés, afin d’être certain de voir tout ce qui se passe sur la connexion réseau : sous les systèmes Unix, il devra être lancé en tant que super-utilisateur pour pouvoir accéder directement à la pile TCP/IP avant que d’autres outils ne puissent masquer certains éléments au programme.
Ce qui pose un énorme risque de sécurité : si le logiciel de contrôle souffre d’une faille de type débordement de tampon, tous les ordinateurs sur lesquels il tourne seront vulnérables et pourront exécuter, avec les droits les plus élevés, n’importe quelle commande… comme une commande qui supprimerait l’intégralité du contenu du disque dur, ou qui enverrait des données privées vers des serveurs étrangers.
Vu que l’un des buts de la loi Création et Internet semble être d’imposer subtilement l’installation de ce logiciel de contrôle sur tous les ordinateurs reliés ou reliables à Internet en France (car si on ne l’installe pas, on ne peut pas se défendre et l’on risque une coupure de son accès à Internet), une attaque massive d’une puissance ennemie paralyserait une partie du pays pendant de longues semaines et entrainerait des pertes colossales.
Bien sûr, le couple firewall+antivirus bloquerait beaucoup d’attaques directes… mais pas les indirectes : un serveur renvoyant une chaîne malformée à une requête d’un utilisateur pourrait attaquer à la fois l’ordinateur routeur et le poste client.
Pire encore, un ver de type Blaster (qui, justement, se propageait en 2003 grâce à un dépassement de tampon dans un service système de Windows) pourrait, après avoir contaminé un des postes internes d’une société, se répliquer sur tous les autres pour déclencher à une date prédéfinie son attaque finale.
J’ai l’air de faire dans le catastrophisme, mais demandez leur avis à la Direction Centrale de la Sécurité des Systèmes d’Information.
Si tous les ordinateurs d’un pays deviennent potentiellement attaquables, c’est du pain béni pour les attaquants.
Et tout ces œufs cassés… seraient la conséquence d’une innocente volonté de combattre la distribution non-autorisée d’œuvres audiovisuelles.
Dans l’attente de votre réponse qui, je l’espère, ne me confortera pas dans l’idée d’exercer ma profession dans un autre pays qui en aura besoin et qui sait légiférer sur un sujet en connaissance de cause, je vous prie de bien vouloir agréer, Madame la Ministre, l’expression de ma très haute considération.
________________
Note : je ne l’ai pas encore envoyé.
J’attends d’être sûr de ne rien oublier.
Par contre je finirai très probablement sur Edvige après avoir envoyé ça.

