ce bon vieux blog

Ce blog existe depuis août 2008. Si vous êtes un ancien lecteur, vous avez dû remarquer qu’il est passé par différentes phases. En mode « Pierre découvre le blogging » au début avec plusieurs articles par semaine, puis look sapin de noël avec des tas de rubriques colorées, pour finir aujourd’hui sur un format qui me convient bien. Simple, avec une mise en valeur du texte et peu d’images. Mais surtout vous avez dû remarquer que depuis août 2016 je suis beaucoup plus assidu et régulier ; je poste exactement un article chaque lundi, alors que ces dernières années c’était plutôt un article tous les six mois. Comment ai-je fait pour recommencer à écrire régulièrement et vaincre mon blocage de l’écriture ? C’est dû à trois trucs tout simples.

Premièrement j’ai réduit la « friction » liée à l’activité de blogging. Depuis que j’ai viré WordPress et adopté Hugo mon processus d’écriture et de publication des articles est devenu beaucoup plus rapide et agréable, ce qui enlève un gros frein à l’écriture. Par exemple je ne dois plus passer de temps à vérifier que les plugins WordPress sont à jour, à me battre avec les problèmes de compatibilité, etc.

Deuxièmement, je publie régulièrement mais je n’écris pas régulièrement. J’écris par vague d’inspiration, et je peux rester des semaines entières sans rien écrire. Mais lorsque la vague vient, j’écris plusieurs articles d’un coup. J’ai par exemple profité de mes vacances de juillet pour écrire plus d’une vingtaine d’articles. J’ai donc un paquet d’articles plus ou moins finalisés en réserve (cet article a par exemple été écrit le 10 décembre) et je les publie au fil de l’eau chaque lundi. Pour l’instant cette méthode s’est avérée très efficace pour moi, car elle supprime complètement l’angoisse de la page blanche. Résultat, j’ai publié le même nombre d’articles entre août 2016 et décembre 2016 (cinq mois) qu’entre mai 2012 et juillet 2016 (quatre ans) !

Ça ne veut pas dire que j’arriverai à maintenir ce rythme à long terme. 1 article par semaine pendant 10 ans, cela représenterait au total 520 articles. Mais au fond ça n’a pas d’importance ! Et c’est la troisième raison pour laquelle j’écris plus facilement : j’ai arrêté de me poser des questions inutiles. Je me fiche complètement d’arriver à maintenir ou non mon calendrier hebdomadaire de publication. Peu importe si un article ne rentre pas dans la ligne éditoriale. Je prends juste plaisir à écrire lorsque l’inspiration me vient, et finalement c’est bien ça qui compte !

2016 s’en va. Perçu comme une année pourrie par beaucoup, il ne faut pas oublier la chance que nous avons de vivre à notre époque. Nous n’avons pas connu de véritable guerre depuis des décennies grâce à l’Europe, et rien que pour ça le projet européen valait la peine. Nous vivons plus longtemps que jamais. Si nos ancêtres voyaient le confort matériel et la liberté dont nous jouissons aujourd’hui, ils se demanderaient si nous ne sommes pas un peu fous de nous plaindre autant, et ils auraient raison.

Mais tout cela c’est du passé, 2017 est là, et j’ai 23 ans d’Internet. C’est en 1994 que j’ai créé mon premier site, pour un petit magazine d’escalade local. À l’époque j’avais créé l’image pixel par pixel dans MacPaint sur l’écran noir et blanc de mon PowerBook Duo 210¹, car les écrans couleur coûtaient trop cher. En 1994, Internet c’était l’outil de liberté ultime. Un outil qui allait révolutionner le partage de la connaissance. Un outil qui allait offrir des opportunités incroyables.

C’est vrai, Internet a révolutionné l’accès à la connaissance. Rien que pour faire une recherche documentaire, ce qui prenait plusieurs jours avant ne prend plus que quelques secondes. La quantité d’information, bonne et moins bonne, accessible sur tous les sujets est phénoménale.

C’est vrai aussi qu’Internet a apporté des opportunités incroyables. Internet est essentiel au fonctionnement de mon entreprise actuelle, et a révolutionné tous les secteurs d’activité. C’est plus rapide d’envoyer un document de 1000 pages à Jakarta que d’aller acheter un pain à la boulangerie du coin.

Mais pour la liberté, c’est raté. Enfin, si je regarde le verre à moitié plein, c’est à moitié raté.

Au lieu d’apporter plus de liberté, Internet a rendu possible l’automatisation de la surveillance de masse par les gouvernements. Fini la blague de croire que Twitter était un outil qui allait aider les révolutionnaires à renverser les dictatures et à apporter la démocratie dans leur pays ; lorsque Twitter a été utilisé pour manifester dans les démocraties, l’oiseau a rapidement arrêté de chanter et les protestataires ont vite déchanté. Très vite les dictatures ont appris à ne laisser passer sur Internet que ce qu’elles souhaitaient. Aujourd’hui ce sont les démocraties qui veulent définir ce qui est acceptable ou non. Fini l’illusion que nos données sont plus sécurisées dans le Cloud que chez nous. Apple reçoit la liste complète des appels téléphoniques émis et reçus sur votre iPhone lorsque celui-ci est connecté à un compte iCloud. La NSA a un accès pratiquement illimité à nos documents stockés sur Dropbox et OneDrive. Skype a été modifié par Microsoft pour mettre les conversations sur écoute. Mieux, les informations dont ne disposent pas les services de renseignement, nous les postons nous-mêmes avec entrain sur Facebook et Twitter (la NSA connaît donc mon goût pour le Mac et les dessins animés japonais des années 80).

Combinée à un affaiblissement progressif de la constitution et des principes démocratiques, cette capacité à surveiller les citoyens en masse doit nous alarmer. Imaginons que demain une base centralisée des citoyens se mette en place, sous le bon vieux prétexte de la sécurité, et qu’elle soit reliée à tout ce que nous disons et faisons sur Internet. Grâce à la géolocalisation, les gouvernements pourront savoir exactement où nous sommes à n’importe quel moment de la journée, ce que nous faisons, ce que nous pensons. Et imaginons qu’un gouvernement Néo-Nazi arrive au pouvoir. Nous leur aurions nous-mêmes donné le moyen d’enterrer la démocratie.

Heureusement ce n’est pas inéluctable. Mais nous devons nous battre, dès maintenant, avec le clavier. Battons-nous en 2017 contre la montée de l’extrémisme, en votant et en aidant les gens qui en ont besoin. Battons-nous contre la montée en puissance des outils de surveillance anticonstitutionnels, en adoptant les outils sécurisés. En 2017, battons-nous pour la liberté, sans oublier l’égalité et la fraternité.

Ça c’est passé en décembre…

Il y a 10 ans James Brown disparaissait.

Il y a 20 ans Apple rachetait NeXT, la société de Steve Jobs. À l’époque personne ne croyait que cela allait sauver Apple.

Il y a 30 ans l’avion Voyager accomplissait le premier tour du monde sans ravitaillement.

Il y a 40 ans les Eagles sortaient l’album Hotel California. 40 ans putain.

Avant je ne sais pas, je n’étais pas encore né.

2016 s’en va, 2017 point le bout de son nez.

2016 aura été une année difficile pour beaucoup de monde. Mais quelles que soient les difficultés rencontrées, quelle que soit notre religion ou nos croyances, prenons quelques minutes pour nous focaliser sur le positif, et simplement apprécier d’être là.

Joyeuses fêtes de fin d’année !

Rogue One, le nouveau film de la série Star Wars, vient de sortir. À cette occasion j’ai un scoop à vous présenter ! En exclusivité je vous montre le brouillon du synopsis de Star Wars VII - Le réveil de la force. Le voici publié pour la première fois !

Star Wars IV - Un nouvel espoir Star Wars VII - Le réveil de la force.

Après une catastrophe liée à l’Empire, Luke Rey doit quitter la planète désertique sur laquelle il elle s’emmerde pour mener une quête avec ses compagnons. Pendant toute l’aventure un méchant habillé tout en noir avec un casque sur la tête et qui respire bizarrement normalement va les pourchasser. Ce méchant est le subalterne d’un Sith encore plus méchant, l’Empereur Palpatine Le Leader Snoke.

Heureusement ils sont aidés par Han Solo et Chewbacca qui pilotent le Faucon Millennium. Ils voyagent de planète en planète, tuent des dizaines de méchants Stormtroopers. Ils découvrent alors que les méchants ont une arme secrète : l’Étoile Noire le Starkiller. Heureusement ils trouvent une faille dans les défenses de la machine de la mort trouvent une faille dans les défenses de la machine de la mort. Ils attaquent avec des X-Wings et - nouvelle idée originale !!! - des… EXPLOSIFS !!! La machine infernale est détruite.

Han Solo survit meurt. On se rend compte à un moment donné que c’est R2 qui contient les données cruciales. Luke Rey va à la cherche du maître Jedi disparu qui pourra achever sa formation.

Voilà voilà. Espérons que Rogue One sera plus imaginatif.

Avertissement : la sécurité informatique est un sujet très complexe et difficile à mettre en œuvre. Je ne suis moi-même pas un expert en sécurité, mais je base cet article sur ce que j’ai pu lire sur différents sites. Mais à vous de vous documenter plus si vous souhaitez vérifier la sécurité des applications listées ci-dessous.

Saviez-vous que chaque email que vous envoyez peut être très facilement lu par des personnes mal intentionnées ? Non seulement les emails ne sont pas chiffrés sur votre machine, mais ils ne sont pas chiffrés non plus sur les serveurs distants. Pire, ils ne sont pas chiffrés non plus pendant le transfert de votre machine à celle de votre correspondant ! L’email standard est le niveau 0 de la sécurité : il n’y a aucun chiffrage, que ce soit au niveau du stockage ou au niveau du transport ! Concrètement cela signifie que n’importe quelle agence à trois lettres qui souhaite lire vos emails peut le faire très facilement. C’est d’ailleurs assez ironique de voir à quel point les grandes entreprises si jalouses de leurs secrets n’hésitent pas à utiliser l’email pour envoyer des documents confidentiels.

Évidemment la parade à cela, c’est le chiffrage. Le problème c’est que le chiffrage, c’est loin d’être simple. Autant pour des raisons mathématiques que techniques et surtout politiques.

Le chiffrage et la sécurité nationale

Les solutions de chiffrage efficaces sont souvent présentées comme des armes pour les terroristes, les pédophiles et autres êtres malfaisants. On arrête l’hypocrisie. La France et bien d’autres pays n’ont aucun remords à vendre des armes bien réelles et des systèmes de surveillance électronique à des dictatures. Comble de l’ironie, ces superbes deals sont protégés par l’excuse du secret défense ! Il faut voir aussi à quel point nos démocraties sont promptes à condamner le Great Firewall of China alors qu’elles-mêmes bloquent de plus en plus facilement ce qu’elles considèrent comme contraire à leurs intérêts. Alors bien sûr que les sites qui font l’apologie du terrorisme ne sont pas acceptables, mais sans cadre légal démocratique strict la dérive totalitaire est très facile.

La réalité c’est que sur le point de la surveillance nos pays sont bien mieux équipés que la plupart des dictatures. Dans un réflexe spontané d’auto-préservation les États démocratiques font tout pour surveiller les individus au détriment du respect de leurs libertés et de leur vie privée et sans aucune réflexion sur les dégâts potentiels à long terme.

Le chiffrage des transmissions de données ce n’est pas le vrai chiffrage !

Lorsque vous voyez l’icône du cadenas dans votre navigateur web vous pouvez vous croire protégé. Faux. Archi-faux. Ce qui est chiffré c’est uniquement la transmission des données entre votre machine et le serveur situé quelque part ailleurs sur terre. Toute personne qui a accès à votre machine ou la machine à distance pourra accéder à vos données. Quelques exemples de services qui ne chiffrent que la transmission des données ? Voilà :

• gmail
• Dropbox
• OneDrive
• iCloud
• Hotmail
• Slack
• Facebook

Je continue ? 99,99% des services internet ne chiffrent nos données que durant la transmission. Par exemple une personne mal intentionnée qui accède à la machine sur laquelle sont stockées vos fichiers Dropbox peut les lire sans aucune difficulté. Certaines données, comme le mot de passe, sont souvent chiffrées, c’est vrai (avec différentes méthodes comme le hash et le salt trop longues à décrire ici), mais toutes les autres données sont stockées sans aucun chiffrage.

Le chiffrage de bout en bout, seule véritable solution sécurisée

Pour avoir des données réellement sécurisées, il faut utiliser ce qu’on appelle le chiffrage de bout en bout. Les données sont chiffrées partout. Seul le propriétaire, et éventuellement le destinataire, doivent pouvoir lire les données. De plus il faut que la mise en œuvre du chiffrage soit : 

• fiable, ce qui est très difficile à faire (par exemple la NSA a poussé à l’adoption de certains algorithmes de chiffrage comportant des faiblesses qui rendent le déchiffrage beaucoup plus facile),
• auditable pour vérifier qu’elle ne comporte pas de « porte dérobée » (par exemple via un mot de passe secret qui permettrait à une agence de renseignement d’accéder à vos données),
• chiffre également ce qu’on appelle les méta-data ou du moins en minimise l’empreinte. Un exemple de méta-data c’est la liste des appels que vous avez passé depuis votre téléphone ; ce sont des données supplémentaires qui sont nécessaires pour transmettre les données principales, mais qui peuvent être utilisées contre vous.

La liste de services internet qui respectent ces critères pour le chiffrement de bout en bout est incroyablement courte. Pour plusieurs raisons. Premièrement, comme déjà évoqué, c’est très difficile à mettre en œuvre correctement et cela demande un niveau de compétences spécifiques très élevé. Deuxièmement les agences de surveillance font tout pour empêcher le développement de ces solutions. Voici néanmoins une liste de solutions qui, au mieux de mes connaissances, utilisent le chiffrage de bout en bout.

Email: Protonmail

Protonmail.

Protonmail est un service d’email sécurisé basé en Suisse. Attention, il ne fonctionnera de manière sécurisée que lorsque les emails sont échangées entre adresses @protonmail.com - si vous envoyez un email à une autre adresse, par exemple @gmail.com, cet email ne sera pas chiffré. C’est une limitation impossible à contourner à cause du fonctionnement non chiffré des messageries email classiques. Le service fonctionne bien, mais par contre il possède plusieurs faiblesses potentielles. La première est l’utilisation de JavaScript dans le navigateur pour assurer le chiffrage qui ne permet pas de garantir une sécurité à 100% (compromission des serveurs de Protonmail, man in the middle attack). L’utilisation de l’App iOS ou Android permet de résoudre ce problème. La deuxième est que vos clés de chiffrement sont stockées sur leurs serveurs. Néanmoins Protonmail semble un excellent compromis entre sécurité et facilité d’utilisation.

À noter que pour freiner l’adoption de Protonmail celui-ci a mystérieusement disparu des résultats de recherche de Google pendant plusieurs mois. Google n’a jamais fourni d’explication, mais on peut penser que la concurrence que Protonmail représente pour gmail n’y est pas étrangère.

Messagerie instantanée : Signal

Signal

Signal est à l’heure actuelle une des seules messageries instantanées qui supporte le chiffrage de bout en bout de manière suffisamment fiable et auditée.

Oubliez WhatsApp ou Skype. WhatsApp a été racheté par Facebook. Microsoft a modifié l’architecture de Skype pour permettre à la NSA d’écouter toutes les conversations.

GTD : Omnifocus

Omnifocus

Omnifocus 2 utilise les serveurs de Omni Group pour la synchronisation entre appareils et supporte le chiffrage de sa base de données de bout en bout. Le chiffrage a lieu avant que les données ne quittent vos appareils. Cela signifie que les données stockées sur les serveurs de Omni Group sont illisibles pour toutes les personnes qui ne disposent pas du mot de passe ; même les employés de Omni Group ne peuvent y accéder.

C’est un excellent pas dans la bonne direction, même si comme souvent il est impossible d’être certain qu’aucune porte dérobée n’existe.

Disque Dur : TrueCrypt ou VeraCrypt (Avertissement !)

TrueCrypt VeraCrypt

Vous pouvez utiliser TrueCrypt version 7.1a (la dernière vraie version de TrueCrypt, les versions plus récentes n’étant pas fiables). Mais attention, le projet n’est plus maintenu, après l’abandon brutal du projet par l’équipe de développement.

Vous pouvez également vous tourner vers son successeur, VeraCrypt. Même si ces solutions ne sont pas parfaites, ce sont celles qui ont le moins de risques de comporter une porte dérobée cachée.

Pour chiffrer le contenu de votre disque dur, vous pouvez faire confiance aux solutions standard fournies par Apple (FileVault) ou Microsoft (Bitlocker). Mais il faut savoir que Microsoft a laissé échapper par mégarde la clé de la porte dérobée pour accéder au contenu des disques lors du Secure Boot…. À l’heure actuelle aucun élément ne permet d’incriminer Apple, mais rien ne permet de garantir que FileVault ne comporte pas une porte dérobée. Par simplicité FileVault est la solution que j’utilise pour protéger mes données en cas de vol.

En conclusion…

Je veux encore rappeler que je ne suis pas un expert de la sécurité et que de nos jours en termes de sécurité on ne peut être sûr de rien. Adopter ces solutions chiffrées de bout en bout, c’est bien, mais vous allez vite vous rendre compte de la limite principale : l’humain. 90% des utilisateurs se fichent de la sécurité de leurs données et ne voudront pas utiliser Protonmail ou Signal. Tant pis pour eux. Je suis personnellement convaincu que ces solutions doivent être supportées activement pour permettre leur développement et leur adoption par un nombre croissant d’utilisateurs.