La loi sur le passe vaccinal a été publiée au Journal officiel hier. 

Elle est entrée en application aujourd’hui, à minuit et 1 seconde. Nous y reviendrons en détail. En attendant, le gouvernement s’est empressé de publier le même jour un décret d’application pour ajouter une nouvelle finalité à SI-DEP (Système d'Informations de DEPistage), le traitement de données à caractère personnel où sont enregistrés les résultats des laboratoires de tests Covid-19.

Concrètement, la réforme permet le contrôle, par les services préfectoraux, du respect de l'obligation de dépistage par les personnes faisant l'objet de mesures de mise en quarantaine ou de placement et de maintien en isolement. 

Autre modification : les QR-codes générés par SI-DEP « valant justificatif d'absence de contamination par la covid-19 ou certificat de rétablissement » peuvent désormais « contenir des informations relatives à la vaccination de la personne concernée ».

Ce décret a été pris après avis de la CNIL. Et une nouvelle fois la Commission se plaint de ne pas pouvoir évaluer l’efficacité de ces traitements qui portent atteinte au secret médical. 

« S'agissant de l'utilisation d'outils et de systèmes d'information dans le cadre de la lutte contre la covid-19, et comme elle l'a rappelé à maintes reprises, la Commission invite le Gouvernement à évaluer scientifiquement l'apport de ces outils à sa politique sanitaire et à lui transmettre cette évaluation, qui permettrait de mieux apprécier la proportionnalité des traitements mis en place ».

Selon notre décompte, c’est la cinquième fois que la CNIL appelle le gouvernement à lui fournir ces éléments. En vain. 

Tout est parti d’un mémo de Bill Gates aux employés en janvier 2002. La société devait prendre un virage résolument axé sur la sécurité, qu’il ne fallait plus considérer comme une simple couche supplémentaire.

Dans un billet, l’entreprise revient sur la genèse de ce mémo et les personnes impliquées. Michael Howard et David LeBlanc tout particulièrement, deux spécialistes de la sécurité à qui de nombreux développeurs posaient des questions au sein de Microsoft.

En 2001, ils écrivirent un livre, Writing Secure Code, enrichi par les dures leçons imposées par les vers CodeRed et Nimda. L’équipe chargée du compilateur C++ se demanda alors s’il n’était pas possible d’ajouter directement des défenses dans le code compilé et Microsoft Research commença un travail sur des outils d’analyse.

Lorsque le livre sortit en décembre 2001, Michael Howard fit une présentation avec Bill Gates sur les vulnérabilités. Il lui remit à cette occasion une copie du livre, que Gates aurait particulièrement apprécié.

Ce travail avait en fait créé des remous dans la société. Un programme plus large était en préparation et fut officialisé quelques jours plus tard par Craig Mundie. Le mémo Trustworthy Computing de Gates fut envoyé peu de temps après.

C’est ce mouvement qui avait d’ailleurs entraîné à l’époque le retard de Vista, l’équipe de Windows travaillant alors sur le Service Pack 2 de Windows XP, qui dotait pour la première fois un Windows d’un pare-feu intégré.

Aujourd’hui, la division Trustworthy Computing n’existe plus en tant que telle. Elle a été supprimée en 2014, Microsoft estimant que son travail était terminé. Les connaissances accumulées étaient diffusées et d’autres initiatives avaient été prises entre temps, notamment le Security Development Lifecycle, toujours un élément central de sécurité aujourd’hui.

Le Microsoft Security Response Center (MSRC) concentre aujourd’hui les efforts de sécurité dans l’entreprise. Lui aussi a été créé il y a presque 20 ans. Il « travaille avec des milliers de chercheurs et professionnels internes et externes pour corriger rapidement les failles dans les produits commercialisés ».

Le billet contient plusieurs anecdotes intéressantes de personnes impliquées dans ces projets durant les deux dernières décennies.

La Commission a réuni 200 000 euros pour lancer un programme de « bug bounty », autrement dit de chasse aux bugs. Objectif, payer celles et ceux qui signaleront des failles de sécurité dans une sélection de projets.

LibreOffice, Mastodon, Odoo, Cryptpad et LEOS sont ainsi dans l’œil de la Commission, pour une raison simple : ils sont utilisés dans une ou plusieurs institutions européennes (Commission, Parlement et Conseil) et par des États membres.

Elle souhaite donc s’assurer que ces logiciels essentiels soient aussi auscultés que possible. Géré par l’Open Source Programme Office, le fonds ira récompenser d’un maximum de 5 000 euros les personnes ayant signalé d’importantes failles, majorées de 20 % si un correctif est fourni.

Ce programme s’inscrit dans une initiative plus large sur l’open source dans la période 2020-2023, qui vise plusieurs objectifs : améliorer l’offre logicielle, promouvoir des initiatives européennes, réviser les pratiques, pousser l’innovation, développer les compétences, renforcer la sécurité, etc.

On est cependant un peu surpris par le montant maximal de la prime, car 5 000 euros sont bien peu dans ce domaine. Le découvreur d’une faille pourrait la vendre au plus offrant.

Et pas besoin d’évoquer le dark web et autres sombres personnages : le marché gris des failles de sécurité est une activité commerciale « comme les autres ». Des sociétés comme Zerodium achètent – parfois à prix d’or – des brèches pour en faire profiter leurs clients, quels qu’ils soient.

Dans les programmes de chasse aux bugs, les montants des primes doivent donc être incitatifs pour motiver les personnes concernées à venir confier leurs découvertes. En particulier quand il s’agit de solutions utilisées dans des institutions publiques.

À titre d’exemple, Apple avait lancé son programme en 2016, avec des récompenses pouvant grimper jusqu’à 200 000 dollars. La somme avait été jugée un peu faible à l’époque. En 2019, la société avait révisé sa grille, incluant macOS et offrant jusqu’à un million de dollars. 

• Cybersécurité et open source : l’électrochoc Heartbleed « n’a pas changé grand chose »
• Log4Shell : derrière l'importante faille, l'éternelle question du soutien au logiciel libre

« La construction devrait commencer à la fin de 2022 et la production sera mise en service à partir de fin 2025 », explique le fondeur dans un communiqué. 3 000 embauches sont prévues.

« Les actions d’Intel vont aider à bâtir une chaîne d’approvisionnement plus résiliente et garantir un accès fiable à des semi-conducteurs de pointe dans les années à venir », explique Pat Gelsinger.

« Cet investissement est une immense victoire pour Intel, pour l’industrie américaine et pour les consommateurs américains, qui peuvent s’attendre à des prix plus bas au moment où nous faisons revenir à domicile la production des semi-conducteurs qui font tourner notre économie », indique la secrétaire au Commerce, Gina Raimondo.

Joe Biden a pour rappel lancé un plan de 2 000 milliards de dollars d’investissements publics dans les « infrastructures » au sens large du terme, dont 50 milliards pour la fabrication de semi-conducteurs. C’est d’ailleurs dans ce cadre qu’Intel avait annoncé deux nouvelles « fabs » en Arizona en mars dernier.

• IDM 2.0 : Intel veut devenir un fondeur comme les autres (mais souverain)

« L’annonce d’Intel dans l’Ohio précède par ailleurs une décision très attendue du groupe californien, qui devrait révéler dans les prochaines semaines le site qu’il a retenu en Europe pour implanter une usine de semi-conducteurs de pointe, l’Allemagne faisant figure de grande favorite », ajoute l’AFP.

Les gouvernements des deux côtés de l’Atlantique souhaitent renforcer leur autonomie dans le petit monde des semi-conducteurs. Un enjeu autant stratégique que souverain alors que le monde fait face à une pénurie et une dépendance à l’Asie pour son approvisionnement.

• Semi-conducteurs : l’Europe veut « quadrupler la production », une législation en février

Si cette proposition de loi est adoptée en l’état, « pour les infractions punies d'une peine d'emprisonnement inférieure ou égale à 3 ans il ne sera plus possible de requérir des données de connexion », constate Matthieu Aubibert, officier de gendarmerie et doctorant en droit privé et sciences criminelles.

Autant dire que la lecture de cette proposition de loi provoque quelques froncements de sourcils parmi les OPJ. Au détour de ce texte destiné à lutter contre le harcèlement scolaire, un article 4bis a en effet été ajouté pour répondre à une décision d’inconstitutionnalité rendue en décembre dernier.

Les Neuf Sages ont en effet jugé inconstitutionnelle la réquisition des données de connexion par le Procureur de la République dans le cadre d’une enquête préliminaire. Ils reportaient néanmoins l’abrogation au 31 décembre 2022, afin de laisser au législateur le temps de patcher le régime en vigueur.

Ces réquisitions sont pourtant indispensables afin d’« identifier les auteurs de harcèlement scolaire commis par le biais de réseaux sociaux, ce qui est fréquemment le cas », souligne la sénatrice Jacqueline Eustache-Brinio, rapporteure pour avis de la proposition de loi, dans un amendement destiné à éviter de couper ce robinet informationnel.

Ainsi, « afin d’éviter l’impunité de ces personnes, il importe de compléter le code de procédure pénale pour prévoir, en matière de réquisition de données de connexion, des garanties répondant aux exigences constitutionnelles, en prévoyant que ces réquisitions ne seront possibles que pour les crimes ou les délits punis d’au moins trois ans d’emprisonnement, et si les nécessités de la procédure l’exigent ».

Un objectif qui ne suit pas vraiment la plume. Si son amendement, déjà adopté en commission, est maintenu dans la loi, il ne sera plus possible de requérir des données de connexion pour des atteintes à la vie privée, note l’officier de gendarmerie, qui rappelle que l'infraction de cyberharcèlement dans le Code pénal « est punie au maximum de deux ans d'emprisonnement ». Et donc sous le seuil fixé par la sénatrice pour autoriser les réquisitions.

On dispose aujourd’hui d’algorithmes performants pour reconnaître des objets ou concepts dans des tâches précises comme des voitures dans des photos ou vidéos. On crée pour cela des modèles que l’on entraîne dans des réseaux neuronaux.

Mais si l’on dispose par exemple d’un bon algorithme pour trouver des véhicules dans des images, il en faudra un autre pour détecter que l’on parle d’un tel objet dans une conversation.

Une équipe de Meta AI (nouveau nom de Facebook AI Research) annonce donc Data2vec. Ce nouvel algorithme réussirait plusieurs tours de force, notamment être aussi à l’aise avec les images qu’avec la voix et le texte, mais aussi afficher des performances aussi bonnes – sinon plus – que les algorithmes et modèles dédiés. Le tout, sans avoir besoin de données labellisées.

Meta parle d’apprentissage auto-supervisé (on n’est pas encore sur de l’apprentissage non supervisé), qui n’est d’ailleurs pas de son invention. Il se base sur les récents progrès de modèles comme GPT-3, déjà conçus pour traiter des données sans étiquettes. Michael Auli, l’un des chercheurs, précise que l’idée est venue après s’être rendu compte que toutes les recherches dans le domaine utilisaient des techniques différentes pour atteindre le même but.

La « magie » s’opère via deux réseaux neuronaux : l’un professeur, l’autre étudiant. Le professeur est entraîné de manière classique sur des images, textes et sons. L’étudiant, lui, est entraîné à une tâche unique : prédire la représentation interne du professeur. Dans le cas d’un chien, il aboutirait à la même « image mentale » quand le professeur voit une photo d’un labrador ou reconnaît un aboiement.

Une publication scientifique a été mise en ligne ici, tandis que data2vec est disponible sur GitHub, avec des modèles pré-entraînés pour le texte et l’audio, ceux pour les images arriveront prochainement. 

Pour Meta AI, il s’agit d’une première étape : « Cela ouvre la voie à un apprentissage auto-supervisé plus général et nous rapproche d’un monde où l’IA pourrait utiliser des vidéos, des articles et des enregistrements audio pour en apprendre davantage sur des sujets compliqués, tels que le football ou différentes façons de cuire du pain ». 

« Nous espérons également que data2vec nous rapprochera d’un monde où les ordinateurs ont besoin de très peu de données étiquetées pour accomplir des tâches », ajoute le réseau social.