S'identifier / Créer un compte
  • Actualités
  • Dossiers
  • Tests
  • Commentaires
  • INpactiens
Publicité

Filtrage dans les box : Vivendi en rêvait, Hadopi l'enclenche

De quoi finir la journée sur une bonne nouvelle

P2P rapidshare megaupload streaming hadopiLa Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Hadopi) vient donc de publier sa seconde version des spécifications fonctionnelles des moyens de sécurisation. Une publication importante, puisque « les conclusions relatives à cette seconde consultation serviront à l’élaboration de la version finale des spécifications fonctionnelles » précise la Hadopi.

Il s’agit de plus d’une étape importante pour le « business » entourant la loi Hadopi. En effet, ces spécifications serviront aux développeurs d’applications afin d’être labélisés Hadopi, logiciels qui seront vendus aux internautes "terrorisés". Analyse.

Avant tout, rappelons que ces applications ne déresponsabiliseront pas nécessairement l'abonné de son obligation de sécurisation. Malgré leur labellisation Hadopi, les logiciels n'auront pas pour autant une valeur juridique. Il est important de le préciser. Cela pourra tout au plus prouver votre bonne foi, mais en aucun cas vous dédouaner si votre ligne est flashée. La riposte graduée touchera donc bien les abonnés optant pour une application labellisée Hadopi.

Que retrouve-t-on dans ce long document PDF de 77 pages ? Une description plus ou moins détaillée des quatre grands modules des Spécifications Fonctionnelles Hadopi (SFH), les fonctionnalités et « divers compléments des spécifications fonctionnelles à destination du grand public ».

Hadopi dans les box, la victoire de Vivendi

Cependant, avant de résumer ce document et notamment ces quatre modules, un point a particulièrement attiré notre attention. Le sujet est connu, mais est ici plus que confirmé. La mise en gras est de notre fait :

Page 10 : Les mesures techniques comprennent une Application qui s’appuie sur les outils de sécurité traditionnels, exploitée et administrée directement par le titulaire de l’abonnement, ou indirectement sous sa responsabilité via des fournisseurs de services (FAI, Opérateurs de télécoms, Opérateurs de sécurité, etc.) et/ou des vendeurs d’équipements (vendeurs d’ordinateurs et/ou de logiciels, etc.) et/ou des éditeurs de solution de sécurité.

Page 63 : Pour les particuliers ou les TPE, l’Application peut être, par exemple, des dispositifs sous la responsabilité du titulaire de l'abonnement, soit dans les boîtiers ADSL, soit sur chacun des ordinateurs, soit répartis sur ces appareils informatiques.

Page 63 toujours : La solution, déployée sur les boîtiers, peut-être identifiée comme un filtre en amont de toutes les machines du titulaire, permettant à la fois, une granularité de politique de sécurité selon les utilisateurs et une identification physique et logique des machines pouvant être connectées, sécurisant ainsi la liaison entre ces machines et le point d’accès internet.

Page 64 : Il existe alors un contrat clair qui fixe les responsabilités entre le FAI d’une part et l’opérateur de sécurité d’autre part, ainsi qu’un contrat clair entre l’opérateur de sécurité et le client, titulaire de l’abonnement, notamment pour le respect de la sphère privée numérique et la confidentialité des données à caractère personnel (l’opérateur de sécurité devra pouvoir exhiber au client les traitements avec une certaine transparence de façon à éviter les portes dérobées, les captures de flux).

Page 70 : L’Application peut par ailleurs demander au FAI de vérifier que les clés (WPA) du boîtier ne sont pas des clés faibles (ex : 12345) et de vérifier les adresses MAC des équipements physiques connectés.

Page 71 : On pourrait envisager que le FAI puisse transmettre une alerte (par mail ou par SMS) à l’abonné, si ce dernier le désire. Une telle fonctionnalité, si elle est retenue par l’abonné, devra prévoir une conservation a minima des informations. L’abonné devra avoir été clairement informé par le FAI de la politique de conservation mise en œuvre par ce dernier.

Cela signifie donc que les FAI seront cette fois totalement impliqués, que ce soit de leur plein gré ou à leur insu. Il est même question d’un contrat entre eux et l’opérateur de sécurité, ce qui les impliquera juridiquement.

Comme le souhaitait ardemment Vivendi (désormais détenteur à 100 % de SFR), le moyen de sécurisation d’Hadopi pourra passer par la box ADSL. Ce n'est pas une obligation, faut-il le préciser. Bien évidemment, la notion d'un filtrage plus poussé est sur toutes les lèvres. On sait par où ça commence, mais on ne connait pas la finalité...

Hadopi figure 1

"Des mesures imparfaites"

Dès la 7ème page, un paragraphe au sujet des Mesures de Sécurisations (MS) devrait en intéresser plus d’un. On y lit que « ces MS sont imparfaits, ne garantissent pas une sécurité absolue, mais l’état de l’art en la matière toujours en évolution assure un niveau d’assurance de sécurité qui fait que ces boîtes à outils sont devenues indispensables ». De quoi conclure pour la Hadopi que « ne pas les utiliser met l’utilisateur dans une situation périlleuse ».

Que sont ces MS précisément ? Il s’agit des méthodes et procédés techniques et fonctionnels dont le but est de sécuriser l’accès aux réseaux sur les matériels et leurs logiciels. Cela concerne tous les réseaux internet, donc aussi bien les lignes fixes que mobiles.

L’application issue de ces spécifications devra donc couvrir bien des machines s’il veut toucher le grand public, même si les ordinateurs des foyers seront logiquement les principaux visés. La Hadopi note tout de même que l’application n’aura pour but que de « réduire notablement les risques d’utilisation de son accès internet à des fins de contrefaçon ».

Se voulant « efficace », « pédagogique », et « extensible », l’application est bien entendu facultative et en aucun cas obligatoire.

Quatre modules composent les SFH :
  1. Les fonctions d’administration (page 26)
  2. Les fonctions de traitement (page 29)
  3. Les fonctions de production de journaux des événements (page 37)
  4. Les fonctions de sécurité (page 41)
Le premier volet (l’administration) implique que l’application soit facile à installer, à désinstaller, à activer et à désactiver par l’Administrateur de la machine. « Il est nécessaire d’être Administrateur pour installer l’Application, dans le cas d’une installation sur ordinateur » précise-t-on. Et la désinstallation doit être « complète », c’est-à-dire « sans reste informatique » explique le document. Enfin, et nous le savions déjà aussi, les mises à jour sont jugées « déterminantes », afin que le logiciel protège au mieux son utilisateur.

Le deuxième module (le traitement) est divisé en trois sous-modules :
  1. d’analyse statique de configuration
  2. de statistique
  3. d’analyse dynamique de flux de réseau
La Hadopi note néanmoins que seul le sous-module d’analyse statique de configuration est obligatoire. « Les 2 autres sous-modules sont à la discrétion et dans les termes choisis par le titulaire de l’accès internet. »

Concernant le troisième sous-module, le document précise qu’il a « pour but d’observer en temps réel et sans enregistrement des flux et protocoles qui transitent par l’accès. Sur la base de l’observation et de la politique de sécurité choisie, une ou plusieurs des actions techniques suivantes peuvent s’appliquer :
  • laisser faire ou bloquer selon des critères ;
  • réduire le débit (montant et/ou descendant) de la connexion correspondant à l’adresse physique de l’équipement. Cette réduction de débit est optionnelle. »
Point intéressant, le document décrit le moteur d’analyse protocolaire. L’application comprend un moteur de deux niveaux. Le moteur de bas niveau « capte à la volée le trafic réseau et décode syntaxiquement les différentes couches protocolaires de manière à en extraire des caractéristiques (motifs distinctifs, signature protocolaire) ». La Hadopi donne comme exemple l’analyse des URL par une comparaison avec des URL définis dans une liste.

Le moteur de haut niveau pour sa part consiste en une analyse en léger différé des éléments et des événements générés par le premier moteur, « et agit selon des règles de haut niveau d’abstraction de la politique de sécurité, prenant en compte le contexte. Ces règles sont des canevas d’analyse qui prennent en compte le contexte statique (la configuration présente de l’ordinateur) et le contexte dynamique (les flux entrant et sortant). Ces règles seront, à plus long terme, après le déploiement des solutions, mises à jour au fil du temps. »

La journalisation, un sujet délicat

Le troisième module, celui des journaux, est classique. Optionnelle, il est bon de le préciser, la journalisation détaille vos actions, tels les démarrages, les mises à jour, les arrêts, etc. En somme, cela analyse l’historique de votre machine et de l’application. Il est par contre bien écrit que « le contenu des fichiers, l’historique des pages visitées ne sont pas enregistrées dans le journal ».

Une information confirmée page 66 : « L’Application n’examine pas le contenu des échanges, n’identifie pas le contenu en transit comme étant – ou n’étant pas – protégé par un droit d’auteur, n’enregistre pas de noms de fichier ou d’historique de navigation, et ne transmet pas de données à des tiers. »

Pourtant, il est aussi précisé en début de document que « les URL visités et les noms des fichiers téléchargés en outrepassant la politique de sécurité, seront enregistrés dans le journal en clair ou dans le journal chiffré grâce à une fonction de hachage qui masquera les URL et les noms des fichiers téléchargés, afin de respecter la sphère privée des utilisateurs. (…) Il faut toutefois signaler et enregistrer les URL visités qui ont servis à un téléchargement illégal. On n’écrit alors que le haché des URL problématiques. Idem pour le nom du fichier problématique téléchargé : on n’indique que le haché du nom du fichier. »

Mais si le « hachage » est présent pour assurer « la sphère privée de l’utilisateur », une petite note indique aussi que « ce hachage est réversible ». En effet l’éditeur pourra inverser la fonction et ainsi « procéder au retour en clair à la demande d’un juge ».

Comme nous l’indiquions auparavant, le journal est donc à la fois une protection et une arme contre l’utilisateur… Ce sujet fera quoi qu'il en soit couler beaucoup d'encre.

Notez que le journal peut-être disponible en clair, ou être chiffré. Il y a donc au final trois options : pas de journalisation, journal en clair, ou journal chiffré. Un exemple est fourni dans le document (page 40).

Hadopi SFH Journalisation

Le quatrième module, celui sur la sécurité, a pour principale fonction de « protéger l’Application, les entrées et les sorties issues de l’Application, et il permet de construire et mettre en œuvre des politiques de sécurité par utilisateur ou par groupe d’utilisateurs ».

Point intéressant, le document fait remarquer que l’application doit absolument être disponible, c'est-à-dire « éviter les menaces de déni de service ». On se demande bien comment.

Concernant le volet sur les politiques de sécurité, il est bien spécifié que « le contrôle de la ligne permet au titulaire de l’abonnement internet ou de téléphonie mobile, grâce à un dispositif dédié (matériel et/ou logiciel), de surveiller, de restreindre l’accès aux utilisateurs sous sa responsabilité, à internet ou aux services réseaux, en le limitant à certaines catégories d’accès et en bloquant l’accès à certains sites ou services applicatifs de l’internet ou de la téléphonie mobile. »

Le module de sécurité permet de plus de paramétrer l’accès par des plages horaires, c’est-à-dire, plus précisément, de surveiller la machine pendant une plage horaire bien précise, et pourquoi pas de bloquer la machine en dehors de la plage horaire. Mieux encore, il sera possible de limiter certains types de connexion. La Hadopi donne ainsi comme exemples une limite de 15 minutes en streaming, ou encore des diminutions de débit ou de volume données échangées.

Page 44, le document rappelle bien que « le titulaire est souverain numériquement ; il est responsable de son patrimoine numérique et du comportement numérique des machines des internautes et des appareils mobiles qui dépendent de sa politique de sécurité ». En somme, la Hadopi rappelle que vous faites ce que vous voulez : vous installez l’application, ou pas, et vous l’activez, ou pas.

Enfin, la Haute Autorité en profite d’ailleurs pour parfaitement définir les rôles de chacun et responsabiliser au maximum le détenteur de la ligne. Un bon rappel qu’Hadopi ne puni pas celui qui télécharge mais plutôt le défaut de sécurisation de la ligne. D’où l’importance de ces spécificités sur lesquelles Vivendi place tous ses espoirts.

Voilà quoi qu'il en soit un document qui confirme que la sécurisation parfaite n'est pas possible, tout en demandant à l'abonné d'être lui-même parfait. Une situation ambigüe déjà mise à l'index dans le passé, où l'on demande au détenteur de la ligne de faire des miracles. Mieux, la sécurisation par la box pose bien des problèmes pour les abonnés, qui pour la plupart ne possèdent ni ne contrôlent réellement leur box...
Nil Sanyas

Journaliste, éditorialiste, créateur des LIDD. Essentiellement présent sur Google+.

Google+

Publiée le 20/04/2011 à 18:05

Soutenez l'indépendance de Next INpact en devenant Premium

  • Tout le contenu de Next INpact sans pub
  • Et bien plus encore...
;