Vladimir Poutine a validé d’une signature la nouvelle loi interdisant l’usage des solutions VPN et proxy pour accéder à des contenus interdits. Elle entrera en vigueur le 1er novembre, laissant trois mois aux éditeurs pour s’adapter. Une autre loi imposera un peu plus tard de lier son numéro de téléphone aux services de messagerie.
La Russie veut en finir avec les communications anonymes et autres transmissions intraçables. Les évolutions législatives de ces dernières années se dirigent toutes vers un cadre plus strict pour les communications électroniques. On se souvient récemment des soucis de Telegram, qui a accepté d’effectuer les démarches administratives nécessaires, mais refuse de stocker des données dans des serveurs en Russie, alors même que la loi l’impose désormais.
Il y a un peu plus d’une semaine, la Russie passait cependant à un stade supérieur, allant plus loin que la Chine : l’interdiction des solutions proxy, VPN ou de tout autre moyen permettant d’accéder à des contenus interdits ou n’étant pas officiellement disponibles dans le pays, pour quelque raison que ce soit. Ce texte, voté par la Douma (chambre basse du parlement russe), a été signé hier par Vladimir Poutine.
Nouveau haro sur les VPN
Ce n’est pas la première fois que les réseaux privés virtuels sont visés par un tel encadrement. Nous évoquions hier le cas de la Chine dans nos colonnes : Apple y a supprimé, dans son App Store, la plupart des clients VPN. Les éditeurs doivent ainsi depuis le début de l’année obtenir une autorisation spéciale pour commercialiser une telle solution. Certains ont accusé Apple de faire le jeu de la censure, la firme s'en défend en invoquant l’obligation de se mettre en conformité avec la loi.
La loi russe, bien qu’arrivant des années plus tard, va cependant plus loin : tout réseau privé virtuel, serveur proxy ou service proxy est désormais interdit. Pour les législateurs russes, il s’agit officiellement de lutter contre deux fléaux : les contenus extrémistes et le piratage, même si la première raison est celle la plus mise en avant – une situation qui n’a d’ailleurs rien de spécifique à la Russie.
Le texte entrera en application le 1er novembre. Les éditeurs concernés doivent donc se préparer à quitter le marché russe. Pour ceux qui n’exerçaient que dans le pays, la situation promet d’être plus complexe. On attend également les réactions d’Apple, Google, Microsoft et de toutes les entreprises proposant des boutiques susceptibles d’abriter les applications touchées par cette interdiction.
En finir avec les communications anonymes
Pour la Russie, il est devenu intolérable que l’on puisse encore se cacher à travers de tels outils. Le pays rêve de pouvoir relier toute adresse IP ou numéro de téléphone à une personne unique, et souhaite manifestement légiférer autant qu’il le faudra pour y parvenir. Même si les dernières lois votées risquent déjà d’avoir de fortes retombées.
La loi sur les VPN et proxys n’est en effet pas la seule à avoir été votée. À compter du 1er janvier 2018, tout service de messagerie instantané sera ainsi tenu d’exiger le numéro de téléphone de l’internaute pour être utilisé. Dans la pratique, c’est déjà le cas d’un grand nombre d’entre elles. Mais pour Facebook Messenger par exemple, il faudra procéder à des aménagements, sous peine d'être interdit dans le pays.
Là encore, il sera intéressant de voir comment les sociétés visées répondront à cette nouvelle obligation. On imagine sans mal la volonté de rester sur un marché qui compte plus de 146 millions d’habitants, mais le protectionnisme ambiant aura nécessairement des conséquences commerciales pour les entreprises qui veulent proposer leurs produits, quand leur activité n’est pas purement et simplement bloquée.
Commentaires (119)
#1
oh sa va poser des problèmes pour des vendeurs de clé steam douteux…
#2
l’interdiction des solutions proxy, VPN ou de tout autre moyen permettant d’accéder à des contenus interdits ou n’étant pas officiellement disponibles dans le pays, pour quelque raison que ce soit.
La RIAA approuve cette courageuse décision en faveur du geoblocking.
#3
si c’est déjà des vendeurs douteux, ça ne devrait pas leur poser tant que ça de problèmes, au contraire. Les frileux feront moins de concurrence :)
#4
plus de télétravail alors en russie
#5
Bon par contre, j’aimerai savoir comment techniquement on peut déterminer si un client avec une IP connue (la seule donnée qui me semble impossible à masquer) utilise sa connexion pour utiliser derrière un VPN ou proxy afin d’accéder à du contenu non approuvé ?
Parce que si je dis pas de bêtise, à partir du moment où je monte un tunnel ssh chiffré, je ne pense pas qu’il soit possible de savoir sur quel sites, autorisés ou non, je me rends.
edit : ok… j’avais pas vu que c’était TOUTE utilisation de vpn/proxy qui était interdite. Ca me semble tellement fou oO
#6
Donc, comme sur la news d’Apple d’hier, on va avoir de nombreux commentateurs nous expliquant que ce que fait la Russie est bien….
" />
" />
#7
#8
aouch
Et tor ?
#9
A n’en pas douter, toutes les pseudo démocraties, dont la France, vont aussi le faire.
Tout ces trucs, ça n’est pas être anonyme, c’est utiliser une identité qui n’est pas la notre. L’usurpation d’identité, c’est déjà interdit en réel. Donc ce sera interdit dans le numérique.
Là où le bas blesse, c’est que c’est quasiment la mise en place de l’écoute de tout le monde 24⁄24, ce qui n’a pas d’équivalent, même dans la grande URSS. Et il y en a qui croient que ça ne concerne que les clés steams…
Il faut n’avoir rien dans le cerveau pour penser n’avoir rien à cacher.
#10
> les contenus extrémistes et le piratage, même si la première raison est celle la plus mise en avant
" />
" />, tu tomberais à chaque fois sur des plateforme à la vkontakte, ou okrachépukoi, avec un sentiment d’impunité à peu près total des sites russes
en même temps, la Russie qui lutte contre le piratage
Dans l’hypothèse où je connaîtrais des gens qui s’adonnent au piratage
#11
Suffit que demain quelqu’un a la TV dit que le VPN c’est utilisé par les terroristes que le lendemain notre gouvernement a tout les bills pour interdire le VPN en France.
#12
TOR est donc interdit aussi, de facto. Alors là, je suis curieux de savoir combien de temps ça va mettre à germer dans la tête de Macron ce genre d’idée à la con. Sûrement au prochain attentat.
On est clairement là dans une tentative de contrôle de la population même pas dissimulé, et ça fini toujours de la même façon ce genre d’histoire.
#13
Je ne comprends pas, c’est uniquement pour des contenus interdits ou c’est pour tout type de contenu?
Comment font les entreprises en Russie pour communiquer avec leur équivalent à l’extérieur (Total RU avec Total FR par exemple) pour des outils internes, si plus de VPN?
#14
#15
“Le souverainisme, c’est accepter que le pays voisin soit une dictature.”
Localhost, 2017. (célèbre grand penseur)
#16
#17
[quote:5919378:Cacao]Bon par contre, j’aimerai savoir comment techniquement on peut déterminer si un client avec une IP connue (la seule donnée qui me semble impossible à masquer) utilise sa connexion pour utiliser derrière un VPN ou proxy afin d’accéder à du contenu non approuvé ?[quote:5919378:Cacao]
C’est comme pour les plaques auto ou hadopi, la loi considère que tu es responsable, que tu as les moyens de te protéger de tout vol, emprunt, ou prêt à une personne de ton entourage ‘indélicate’.
[quote:5919378:Cacao]Parce que si je dis pas de bêtise, à partir du moment où je monte un tunnel ssh chiffré, je ne pense pas qu’il soit possible de savoir sur quel sites, autorisés ou non, je me rends[quote:5919378:Cacao]Le fait d’utiliser un tunnel chiffré sera délictueux ou criminalisé, selon le degré de dictature. Si tu n’as rien à te reprocher comme certains ici, pourquoi te cacher?
Seuls les criminels veulent posséder une arme ou le cryptage SSL. C’est assez simple à comprendre. En tout cas, ceux qui n’ont rien à cacher te l’expliqueront. Ton dossier médical, tes préférences sexuelles, qui tu aimes en secret, à quoi tu rêves, pourquoi cacher tout cela? Seul un criminel peut vouloir cacher ce genre de choses, pour pouvoir en cacher d’autres’.
#18
Et comment vont faire les entreprises russes qui ont un VPN vers Azure ou AWS???
#19
“toutes les pseudo démocraties, dont la France”Je pense qu’on peut utiliser le bon mot pour définir le gouvernement actuel: Oligarchie… voir même ploutocratie.La France n’est pas une démocratiehttp://etrecitoyen.org/la-france-est-elle-une-democratie/
#20
J’ai pas bien compris, c’est les “solutions proxy” (services type HideMyAss) qui sont interdites ou
" />
le système VPN, sans distinction entre le mec qui regarde du streaming et le mec qui bosse de chez lui? (ex une boite qui met en place un vpn pour ses salariés)
Si c’est le deuxième cas je me demande comment vont faire les expat’, entreprises avec des sites distants, commerciaux, personnel en déplacement, en télétravail… C’est un sacré retour dans le passé !
edit : grillé par manus
#21
Donc au revoir au SSH et HTTPS pour les russes …
C’est vraiment la plus débile des décisions.
#22
#23
De toute façon, suffit d’avoir un serveur, et faire de l’obfuscation…
OpenVPN + clé 2048 bits + obfsproxy, voilà comment les chinois “dissidents” s’en sortent en ce moment pour échapper à la censure et leur “grand firewall”
Si la Chine, les rois de la censure, avec tous ses moyens, est incapable de, ils peuvent toujours courir pour arriver à leurs fins. La Russie et la France sont de petits joueurs à côté.
#24
C’est une décision clairement politique, qui vise les opposants qui mettent en cause le pouvoir, en leur interdisant d’utiliser des outils qui protègent leur identité.
" />
Et la seule réaction qui te vient, c’est sur les vendeurs de clés Steam ?
#25
C’est là ou j’ai du mal à saisir le truc, est-ce que c’est en tant que service, ou c’est le systeme vpn lui même qui est interdit, quand on voit sur la news sur la Chine qui dit qu’Apple a supprimé tous les clients vpn de son store, ça va un peu plus loin que bloquer hidemyass et freedom ip, tu peux avoir une utilisation tout à fait légitime d’un client vpn sur ton smartphone…
#26
#27
#28
#29
#30
#31
Les services d’espionnage étrangers sont en train de faire péter le champagne…
#32
#33
Oui mais là on parle des éditeurs VPN, pas forcément de la boite qui a une activité tout autre mais qui a mis en place un vpn pour permettre à ses commerciaux de bosser en déplacement, en fait effectivement le texte est clair, mais ça me parait tellement invraisemblable …
#34
#35
#36
Quand je dis que le progrès tend à mener à la surveillance globale et généralisée.
#37
Vu que la Russie est juste dans la continuité, je ne voie pas en quoi je vais avoir une réaction plus que ça.
#38
#39
#40
#41
Ca reste assez flou il faut dire :) je le voyait dans le genre, tu donnes un certifications a cisco par exemple, ils sont obligé de montrer patte blanche, et les boites sont obligées de passer par cisco vpn. Bien sûr, aucune chance pour cisco :P mais c’était pour imager.
A voir…
#42
RIP à l’option VPN de Kaspersky qui venait de sortir sur la suite 2017.
" />
La suite Russe, qui proposait simplement de choisir un pays et cliquer sur connect pour faire un VPN pour naviguer tranquille.. Forcément, tant de simplicité, ca ne devait pas être bien vu par le Gouvernement
#43
#44
#45
#46
#47
#48
#49
#50
#51
#52
#53
#54
Par politesse, j’ai lu ta réponse. Je n’était pas obligé.
#55
#56
#57
T’es trop positive.
" />
La connerie humaine n’a aucune limite, tout comme mes fautes en français.
#58
What? Shut up and take my money !
#59
Il faudrait savoir si c’est aussi valable pour les entreprises, parce que sans vpn ni proxies, ça va changer drastiquement le champ d’activité de certains…
#60
De ce que l’on peut lire, c’est que ca touche surtout les services de VPN pour anonymiser le trafic “utilisateur” classique. Le tunnel VPN entre deux sociétés, les télétravailleurs (interne à la Russie en tout cas) ne devraient pas être touché par la mesure…
#61
#62
#63
#64
#65
#66
#67
Tu peux postuler pour être rédacteur de sous-titres chez NextINpact
" />
#68
#69
#70
#71
la seule chose qui différencie les deux c’est le statut de l’utilisateur, ça rend le contrôle ardu. A moins que les contrôles ne ciblent les gens “embêtants”, mais c’est pas le genre
" />
#72
Ton dossier médical…
quand-même celui-là* !
(le reste à la rigueur, et encore…………….)
* (par exemple)
oh…il trouvera, bien, “une faute pro.” pour me licencier, non ?
les remb. ne seront pas assurés !
psst : j’ai rien à me reprocher, non plus (comme toi), mais je NE VOUDRAI pas, c’est tout !!!
#73
En tous cas, la responsabilité du titulaire de la ligne est engagée : https://www.hadopi.fr/usages-responsables/nouvelles-libertes-nouvelles-responsab…
Je pense qu’il y a peu de condamnation surtout parce que ce n’est pas le rôle de l’Hadopi. Ils n’ont pas un rôle de répression, mais plus de dissuasion.
#74
#75
#76
C’est même pas histoire d’avoir quelque chose à cacher.
" />
Ce genre de loi permet juste de condamner n’importe qui pour n’importe quoi puisqu’il n’y a rien de plus facile que de falsifier un log réseau et que pour traquer les tunnels chiffrés les opérateurs réseau seront sous contrôle policier…
C’est la différence entre être condamné pour avoir fait quelque chose et être condamnable par défaut pour avoir la possibilité de commettre quelque chose.
Les lois sur les drogues et les lois anti casseurs de l’après 68 en général ne servent pas à autre chose ceci dit.
#77
#78
La morale de mon jeu est que même un numéro d’identité n’identifie potentiellement personne. Surtout si quelqu’un l’a usurpé ou que la carte d’identité est une fausse.
ça serait balot que next-inpact impose ça en pseudo et que certains s’amusent à ne pas mettre leur vrai numéro…
La police devrait alors partir de l’ip pour m’identifier. Tiens, l’ip plus fiable qu’un numéro d’identité ! quelle est la couleur du chou, on avait dit quoi? c’était pas juste la réponse? si si, la réponse est juste.
Mais alors pourquoi est-il écrit dans les dix commandements que certains ont eu le privilège de recevoir, je ne sais plus quelle ligne: une n’identifie pas une personne. Poutine n’a rien compris. Mais un autre commandement dit qu’il est est con, c’est donc normal. Sa réponse n’est pas juste. Elle est donc fausse.
Mettez-moi un doigt s’il vous plait, j’ai déjà suffisamment abusé du pastis. Et allez, tournée générale, la même chose pour tout le monde !!!
#79
#80
#81
#82
C’est pour ça que l’usurpation d’identité et la falsification sont sévèrement sanctionnées.
Ceci dit, un numéro d’identité ne fait pas tout, voire même ,ne fait rien sans la photo, le nom, la date de naissance… Tous ces trucs qu’on te demande dès que tu dois t’identifier officiellement à l’état d’ailleurs.
Mais tu poses le problème : en quoi un numéro d’identité donné de manière déclarative et sans contrôle (ton hypothèse) est il moins sécurisé qu’une ip, donnée de manière déclarative et sans contrôle ?
Et qui contrôle la corrélation que fait le FAI entre un foyer et une IP au fait ?
#83
#84
#85
#86
#87
#88
les seules qui s’oppose de manière caché au pouvoir sont …. les mec de la CIA. Les autres sont dans l’opposition tous simplement !
" />
as tu deja regarder la douma lors du vote d’une loi ? en particulier celle là. c’est bien beau de dire que le président a signer la loi, c’est dans leur constitution, comme en france. Mais nous n’en faisons pas tout un plat.
#89
Ouf ça ma l’air super grave ! C’est comme si on interdisait l’isoloir pour voter. Les VPN et proxy sont super utiles pour diverses applications : télétravail, accès à des contenus disponibles que pour certains pays, anonymat des lanceurs d’alerte (surtout pour snowden qui est en russie…). Bientot l’interdiction de porter des gants en hivers sous pretext qu’on ne laisse pas d’empreintes ?
#90
#91
#92
#93
#94
Ah non, tu n’as pas à prouver ton innocence, c’est à la justice de prouver que c’était toi. ….
(je parle “en informatique”“)= Hadopi !
#95
Le tunnel ssh en entreprise ouais, c’est un peu obligatoire pour effectivement passer à travers les blocages mais aussi pour éviter qu’elle mate… J’ai déjà constaté de mes yeux des mecs regarder les logs “pour voir”. Du coup, si ils voient nextinpact à 9h, à 10h, à 11h, … euh
" />
#96
#97
#98
#99
L’adresse IP n’identifie pas la personne qui surf ou ce que tu veux sur internet, il identifie le propriétaire et responsable de la ligne.
C’est une nuance que tu ignores totalement dans tes propos, mais juridiquement est très importante.
L’exemple classique étant Hadopi, qui condamne le manque de sécurisation au lieu du téléchargement pour cette raison précise.
Si tu es chez un amis et que tu surfs sur internet, tu ne fais évidemment pas de l’usurpation d’identité comme tu peux le penser.
#100
#101
C’est avant tout une question de responsabilité légale.
Ta DSI est tenue de pouvoir identifier un certains nombre de choses en cas d’usage illicite de sa connexion. Par exemple, et c’est malheureusement pas aussi rare qu’on le voudrait, si un employé a des penchants pédophiles. Si l’entreprise n’est pas capable d’identifier qui a fait les requêtes, et n’est pas capable de démontrer qu’elle a fait son possible pour les empêcher, les responsables (DG, DSI…) sont pénalement condamnables.
Crois-moi, ils s’en passeraient bien.
Ensuite, il y a une question de sécurité.
Certains sites, bien que très pratiques et ayant des tas d’utilisations légitimes, sont aussi utilisés pour diffuser du ransomware (tous les stockages cloud par exemple, dropbox, gdrive, etc…). La PJ du mail ne contient généralement qu’un downloader, et la charge malveillante est récupérée sur un de ces sites.
Une DSI bien organisée aura une procédure de demande d’exception pour les usages légitimes
La encore, ils se passeraient bien d’avoir à lutter en permanence contre les divers malwares en circulation.
Après, certains bloquent en plus des sites inoffensifs, mais ‘non professionnels’ (jeux vidéos, facebook…). Là c’est effectivement du flicage infantilisant, sans intérêt à mon sens, pour les raisons que tu cites (d’autant qu’un usage perso occasionnel d’internet est généralement autorisé par ces mêmes chartes informatiques).
Éventuellement, une limitation des sites de vidéos peut se défendre pour des questions de bande passante, bien que là aussi il y ait pas mal d’usages légitimes qui seront bloqués. J’ai connu une entreprise qui ne voulait pas les bloquer, mais qui avait des problèmes de BP à cause des nombreuses personnes qui écoutaient de la musique sur youtube en travaillant… au point de gêner d’autres activités.
Le surf sur ton smartphone ne concerne pas ton entreprise, ni d’un point de vue légal, ni SSI. Il ne pose un problème que dans l’hypothèse du filtrage infantilisant.
Le tunnel SSH, sauf erreur de ma part, ‘dédouane’ ton entreprise pour tout ce qui est aspects légaux (puisque ce sera l’arrivée de ton tunnel qui sera ‘flashée’ le cas échéant), mais pose les mêmes problèmes de sécurité que zéro filtrage.
La charte informatique n’est pas seulement un truc théorique que la hiérarchie pond pour se couvrir. C’est aussi un document qui fixe un cadre dans lequel les employés ne seront pas inquiétés. Même s’il n’est pas d’accord avec le fond, au moins, il sait à quoi s’en tenir.
Je serais curieux de savoir de que la DSI que tu cites trouvait inepte : le remplissage du minimum pour lui éviter d’aller en prison, ou la consigne de bloquer facebook qu’elle avait peut-être reçue de ses chefs.
#102
Numéro de sécu ?
#103
#104
#105
#106
#107
#108
#109
On est d’accord !
Ce que je voulais dire pour les boîtes : si les employés ont tendance à utiliser un dropbox ou google documents, ou whatever : il vaut mieux proposer un partenariat (par exemple avec dropbox), ou bien héberger une solution maison, et l’encourager, plutôt que de dire : ne partagez jamais de documents, ce qui ne sera pas respecté. Évidemment, la solution doit être accessible au public, pour savoir partager avec ton partenaire. Générlaement deans ce genre de cas, c’est copier-coller une URL pour télécharger un dossier.
#110
#111
ok !
#112
#113
On est pas en Corée du Nord ici, le droit de se connecter à ce que tu veux sur Internet est la règle générale, l’interdiction de certains sites un cas particulier.
C’est quoi ces menaces à peine dissimulées sur fond de gros FUD. On dirait un DSI de ma connaissance qui disait : attention si vous ne tracez pas les utilisateurs et ne bloquez pas la moitié du web, c’est vous qui devrez vous expliquer aux journalistes et aux familles des victimes.
Je rappelle qu’en Europe (arrête télé2), l’obligation générale de conservation des données ne saurait exister. Au contraire, loguer comme un malade peut te valoir un fulguro-poing de la CNIL. Tout est détaillé ici : https://www.cnil.fr/fr/conservation-des-donnees-de-trafic-hot-spots-wi-fi-cyberc… tu dois conserver les adresses IP (avec le port, dans certains cas, j’imagine) pendant 1 an, et faire des craderies par dessus est explicitement écarté.
#114
#115
#116
#117
#118
#119