Le flux internet qui arrive dans nos salons...

"Az Sam" <me@home.net> writes:

qu'entends tu par "complet" ?

Aucun filtrage quelque soit le protocole, je suis assez grand pour
m'occuper de la sécurité de mes équipements sans avoir à me reposer sur
les décisions prises par un tiers.

--
V> il faut revenir à l'éthymologie,
Ah ça. Boire ou écrire, il faut choisir.
-+- MW in <http://www.le-gnu.net> : Eau de vie de plume -+-

Eric Masson devait dire quelque chose comme ceci :

Et bien je suis heureux de vous faire part de ce lien <snip url>
qui indique que je ne suis pas le seul a le penser ;-)

Ce qui n'en fait toujours pas pour autant une bonne idée...

Avant toute chose, le lien en question ne dit pas du tout ce qu'Az
croit y avoir lu. Il n'y est pas question d'un filtrage mais d'une mise
en quarantaine, par les FAI, des clients infectés ; le tout évidement
couplé à une information sur la meilleure façon de régler le problème
et de l'éviter à l'avenir.

Eric Masson wrote:

Aucun filtrage quelque soit le protocole, je suis assez grand pour
m'occuper de la sécurité de mes équipements sans avoir à me reposer sur
les décisions prises par un tiers.

Le problème du filtrage ne se pose de toute façon pas en ces termes

Le seul et unique filtrage possible et imaginable qui peut être mis en
application par les FAI reposent tous sur des technologies de DPI (Deep
Packet Inspection) qui est:
* un tue-performance phénoménal, CHAQUE paquet devant être passé au crible
par les FAI
* inefficace, des techniques de contournement très simple des DPI étant
possible (envoi de mail contenant uniquement une image de spam ou encryptage
du flux malware, passage par IMAPS/HTTPS par exemple)
* liberticide, le FAI devant être capable et autorisé à analyser et accéder
à la moindre de mes données personnelles circulant sur le réseau, y compris
mes communications privées. Ici, on ne parle pas de fessebouc - qui est du
domaine de la vie publique - mais bien de mon mail à ma petite amie avec
vidéo incorporée, de ma dernière déclaration d'impôts en ligne ou encore de
mes communications de stratégies commerciales avec mes clients et mes
filiales. Bien sûr, pour être efficace, il faut aussi dire adieu à la
confidentialité garantie par SSL, le fAI devant être capable de lire toutes
vos communications (sisi, votre numéro de carte bancaire et votre code
confidentiel seront aussi deep-inspectés…)
* incontrôlable: qui contrôle le filtrage et ses applications? Un FAI mal
luné a-t-il le droit de se mettre à filtrer tout paquet contenant « Youtube
» ou « Free »? Un gouvernement peut-il décréter que « Tian'anmen » ou «
Amnesty International » est un mauvais contenu?

En plus, est-ce le rôle d'un FAI? Non
Dans FAI, il y a « fournisseur », « accès » et « Internet ». Le FAI doit se
limiter à me servir de relai entre moi et l'Internet (pardon, le Minitel 2.0
d'aujourd'hui), ni plus, ni moins.
Je n'ai jamais signé pour un contrôle de mes données et encore moins un
pseudo-accès révocable à tout moment à un truc totalement contrôlé par une
quelconque entité. Nous ne sommes pas en Chine ici!

Sans oublier le principal: qui est responsable de tout ceci? Les FAI? Ou
Madame Michu, 35 ans, qui clic sur tout mail contenant pour sujet « Vous
avez gagné 2.000.000€ » ou « Je t'aime :biggrin: :biggrin: :roll: :roll: »,
surf via IE 6 sans pare-feu ni anti-virus sur la moitié des sites
contrefaits référencés par Google et installe à la semaine 90%
d'applications « shareware » téléchargées d'on ne sait où?
La principale source de problèmes est et restera entre la chaise et l'écran…
Pour reprendre la parabole, imaginerait-on un avion (transportant une bombe
ou non) laissé aux mains de Madame Michu?

Pour moi les principaux responsables de la « Catastrophe Internet » sont
tout ceux qui tentent de démocratiser l'accès à l'informatique et font
croire que « c'est à la portée de tout le monde » ( en partie vrai, mais
avec BEAUCOUP de formation et d'apprentissage, en particulier sur les
risques et les bonnes pratiques ) et que c'est « plug and forget » ( ça
c'est carrément faux, l'informatique ça a toujours été chronophage
et demande 1 à 2h de gestion hebdomadaire pour un poste bureautique familial
standard )

Aeris n'était pas loin de dire :

Pour reprendre la parabole, imaginerait-on un avion (transportant une bombe
ou non) laissé aux mains de Madame Michu?

Et pourquoi pas, une fois qu'on lui aura appris à le piloter, moi je
monterais dans son avion à Madame Michu.

Pour moi les principaux responsables de la « Catastrophe Internet » sont
tout ceux qui tentent de démocratiser l'accès à l'informatique et font
croire que « c'est à la portée de tout le monde » ( en partie vrai, mais
avec BEAUCOUP de formation et d'apprentissage, en particulier sur les
risques et les bonnes pratiques ) et que c'est « plug and forget » ( ça
c'est carrément faux, l'informatique ça a toujours été chronophage
et demande 1 à 2h de gestion hebdomadaire pour un poste bureautique
familial standard )

Mais pourquoi donc s'arrêter à l'informatique ? Conduire une voiture
d'une façon responsable demande plus que de l'apprentissage, voter
demander plus qu'un âge minimum, et j'en passe. Tiens, il y en a même
qui ne savent pas tenir un budget, on devrait arrêter de leur donner de
l'argent à ceux-là, c'est beaucoup trop dangeureux.

Stephane Catteau wrote:

Aeris n'était pas loin de dire :

Pour reprendre la parabole, imaginerait-on un avion (transportant une
bombe ou non) laissé aux mains de Madame Michu?

Et pourquoi pas, une fois qu'on lui aura appris à le piloter, moi je
monterais dans son avion à Madame Michu.

J'ai justement jamais dis le contraire

Mais pourquoi donc s'arrêter à l'informatique ? Conduire une voiture
d'une façon responsable demande plus que de l'apprentissage, voter
demander plus qu'un âge minimum, et j'en passe. Tiens, il y en a même
qui ne savent pas tenir un budget, on devrait arrêter de leur donner de
l'argent à ceux-là, c'est beaucoup trop dangeureux.

C'est bien pour ça qu'on a inventé le permis de conduire, l'âge légal de
vote, la tutelle/curatelle…
C'est aussi pour ça que je vais chez mon garagiste quand je veux faire
réparer ma voiture, que je laisse mon banquier gérer mon argent ( ou en tout
cas que je lui demande conseil ), que j'achète mon pain chez mon boulanger,
que je laisse mon maçon construire ma maison…

Pourquoi l'informatique est le SEUL domaine PROFESSIONNEL où tout le monde
pense parvenir à utiliser, faire et comprendre ce que nous, ingénieur, avons
mis 8 ans d'études à utiliser, faire et comprendre?
Pourquoi trouve-t-on en grande surface des machines présentées comme «
simple et ergonomique » quand le simple fait de brancher cette machine
justement de manière simple et ergonomique expose son détenteur ( mais aussi
tous ses contacts et le reste d'Internet ) à tous les dangers et va à
l'encontre de tous les principes minimaux de sécurité?

Ce n'est pas le filtrage ou les dangers d'Internet qui sont en cause ici,
mais tout ce que la société a monté autour de l'informatique.
Quand les gens seront formés sinon conscients qu'avoir un ordinateur à la
maison réclame un minimum de compétences informatiques:
* qu'est-ce qu'un virus, un vers, un malware
* comment tenir un PC à jour
* pourquoi un antivirus/parefeu et à quoi ça sert
* bonnes pratiques du mail ( ne pas ouvrir un mail inconnu, ne pas répondre
à une chaîne de mail… )
* bonnes pratiques d'Internet ( privilégier les sites officiels, pas de
téléchargement/installation de logiciels louches… )
* …
et que ce PC leur réclamera 1 à 2h obligatoires de maintenance par semaine,
alors on aura fait un grand pas en avant et 50% du trafic potentiellement
dangeureux du Net disparaîtra de lui-même.
On a démocratiser quelque chose qui est tout sauf démocratisable.

L'informatique doit être vue comme une contrainte au même titre que de
conduire une voiture, et non comme quelque chose de ludique.
Conduire une voiture ne peut pas être ludique car expose à mettre sa propre
vie et celles des autres usagers en danger. L'informatique ne l'est pas plus
car expose à mettre en danger ses propres données et celles des milliards
d'usagers à qui nous sommes connectés par le simple fait d'avoir un câble
entre notre PC et notre prise téléphonique…

dans (in) fr.comp.securite, Aeris <aeris@imirhil.fr> ecrivait (wrote) :

Bonjour,

Le problème du filtrage ne se pose de toute façon pas en ces termes

[...]
Je ne l'aurais peut-être pas exprimé comme ça, mais je suis globalement
d'accord avec ce que tu dis.

Le seul et unique filtrage possible et imaginable qui peut être mis en
application par les FAI reposent tous sur des technologies de DPI (Deep
Packet Inspection) qui est:
* un tue-performance phénoménal, [...]
* inefficace, [...]
* liberticide, [...]
* incontrôlable: [...]

C'est pourtant le rêve de nos gouvernants (français, je précise puisque
nous somme dans une hiérarchie francophone et non franco-française) de
mettre ce genre de système en place. Certains sont même allés jusqu'à
proposer que les certificats ssl soient déposés sur des « serveurs de
confiance » (sic), par lesquels transiterait l'ensemble du trafic, afin
de pouvoir décrypter les flux à la volée pour « vérifier que les données
transportées ne sont pas illégales ou nuisibles » (re sic).

J'avais lu un article sur ce sujet sur Numerama il y a quelques mois...

Et visiblement, le fait que ce soit encore plus délirant et inapplicable
que l'HADOPI (ce qui n'est déjà pas rien) ne semble pas les déranger.

--
Eric Demeester - http://www.galacsys.net

dans (in) fr.comp.securite, "Az Sam" <me@home.net> ecrivait (wrote) :

Bonjour,

"Benoit" <benoit.sansspam@leraillez.sansspam.com> :
> Le responsable est celui qui envoie le paquet, pas celui qui le
> livre.

oui lui aussi et en 1er lieu bien sur. C'est une lapalissade.
Mais aussi celui qui prend en charge ce paquet, celui (ceux) qui le relaie
et celui qui le délivre a Mme Michu. C'est toute un chaine.

Donc, pour reprendre une analogie souvent utilisée, La Poste est
responsable du contenu des courriers qu'elle transporte, du préposé qui
relève les boîtes aux lettres aux facteurs qui distribuent le courrier,
en passant par les employés des centres de tri ?

Et si comme il est question dans l'article, les FAI, ceux "d'entrée" comme
ceux de "sortie" agissent, les chances de détruire le paquet, avant qu'il
n'explose, augmentent.

Je ne suis bien entendu pas d'accord. Comme dit par d'autres, le boulot
du FAI est de fournir un accès et de transporter des paquets de données
d'un point A à un point B, dans les conditions techniques de fiabilité
et de rapidité précisées dans le contrat conclu avec ses clients. Point.

Il peut ensuite jouer aussi le rôle de FSI (Fournisseurs de Services
Internet) et, en tant que tel, proposer, si ça les intéresse et sans
jamais les leur imposer, des services complémentaires à ses clients, ces
services pouvant avoir trait, pour revenir en thème, à la sécurité
informatique (antipam, antivirus), à la protection des enfants (contrôle
parental), etc.

Pour reprendre un exemple cité récemment dans fr.comp.mail, un FAI, et a
fortiori un FSI de qualité, proposera à ses clients des outils antispam,
que ces derniers configureront à leur convenance, parce que chacun a sa
vision de ce qu'est le spam.

Par exemple, je filtre toutes les adresses et les noms de domaines dans
lesquels figure « marketing », parce que je sais que dans 99.9% des cas,
il s'agira de messages dont je n'ai rien à battre cherchant à me vendre
un truc ou un autre.

Par contre, une personne travaillant dans le service marketing d'une
boîte n'aura pas la même perception des choses, et sera peut-être même
intéressée par la lecture de messages provenant d'autres services
marketing, même si elle n'a rien demandé, parce que c'est son boulot et
que voir les comportements de la concurrence présente un intéret à ses
yeux.

Et nous avons raison tous les deux. Le FAI délivre, le client définit
ses règles de filtrage et tout le monde est content.

On pourrait multiplier les exemples à l'infini, mais en résumé, je
m'oppose catégoriquement à ce que des intermédiaires auxquels je ne
demande rien m'imposent des choix qui me pénalisent dans mon utilisation
d'Internet.

--
Eric Demeester - http://www.galacsys.net

dans (in) fr.comp.securite, Aeris <aeris@imirhil.fr> ecrivait (wrote) :

Bonjour,

Pourquoi l'informatique est le SEUL domaine PROFESSIONNEL où tout le monde
pense parvenir à utiliser, faire et comprendre ce que nous, ingénieur, avons
mis 8 ans d'études à utiliser, faire et comprendre?

Je précise que je ne suis pas ingénieur en informatique (la formation en
question n'était pas très répandue quand je faisais mes études,
l'informatique non plus à vrai dire), mais autodidacte en la matière.

J'ai commencé à bricoler sur des ordinateurs en 1977, avant d'en faire,
par hasard parce que j'ai eu l'opportunité et que ça me plaisait, mon
métier quelques années plus tard. J'ai développé des logiciels
« métier », prodigué des conseils avisés à des clients concernant
l'oganisation de leur informatique... Maintenant, entre autres, je suis
FSI, développeur web et conseil en informatique.

Pourquoi trouve-t-on en grande surface des machines présentées comme «
simple et ergonomique » quand le simple fait de brancher cette machine
justement de manière simple et ergonomique expose son détenteur ( mais aussi
tous ses contacts et le reste d'Internet ) à tous les dangers et va à
l'encontre de tous les principes minimaux de sécurité?

Une machine sous Windows sans antivirus ni firewall branchée pour la
première fois à Internet via une connexion permanente, est
statistiquement infectée en moins de 10 minutes à compter de
l'établissement de la connexion.

Voila le genre de choses qu'il serait important d'expliquer à Madame
Michu, au lieu de lui proposer d'installer le kit de connexion magique
du FAI qui ne sert à rien d'autre qu'à imposer un navigateur maison avec
un accès par défaut sur son site portail.

Ce n'est pas le filtrage ou les dangers d'Internet qui sont en cause ici,
mais tout ce que la société a monté autour de l'informatique.

Tout à fait. Ça fait des lustres que je m'évertue à expliquer que
piloter correctement un ordinateur, contrairement à ce qu'affirment les
marketoïdes, est bien plus difficile que de piloter une bagnole et
nécessite un apprentissage plus compliqué.

Et, s'il existe un permis de conduire une automobile, il n'existe pas de
permis de conduire un ordinateur.

Quand les gens seront formés sinon conscients qu'avoir un ordinateur à la
maison réclame un minimum de compétences informatiques:

Oui.

et que ce PC leur réclamera 1 à 2h obligatoires de maintenance par semaine,
alors on aura fait un grand pas en avant et 50% du trafic potentiellement
dangeureux du Net disparaîtra de lui-même.

Oui mais non. Il y a un truc qui m'énerve au plus haut point depuis
toujours quand on parle de sécurité informatique, c'est ce pré-requis à
la noix supposé incontournable estimant que les trous de sécurité
concernent Ms-Windows toutes versions confondues dans 99% des cas (c'est
vrai), et que comme « tout le monde ou presque » utilise Ms-Windows, la
solution consiste à éduquer les utilisateurs de Ms-Windows (c'est faux).

Non et trois fois non ! La solution, enfin une des solutions, mais c'est
à mon avis la plus raisonnable même si elle est difficile à imposer,
consiste à faire comprendre à Madame Michu qu'elle serait bien moins
embêtée si elle utilisait MacOs, Linux, FreeBSD ou Android.

On a démocratiser quelque chose qui est tout sauf démocratisable.

Oui mais non (bis). Microsoft n'est pas une fatalité, et les gens
capables de passer le permis de conduire sont probablement capables
d'apprendre à utiliser un ordinateur fonctionnant avec autre chose que
Ms-Windows, pour peu qu'on les forme.

L'informatique doit être vue comme une contrainte au même titre que de
conduire une voiture, et non comme quelque chose de ludique.

Oui mais non (ter). Conduire une voiture comporte certes des
contraintes, mais c'est aussi, pour beaucoup de gens, dont moi, un réel
plaisir.

Et concernant l'informatique, je ne serais pas en train de répondre à
cet article à 03h42 du matin si je n'aimais pas ça :)

--
Eric Demeester - http://www.galacsys.net

Eric Demeester <eric+usenet@galacsys.net> wrote:

Et visiblement, le fait que ce soit encore plus délirant et inapplicable
que l'HADOPI (ce qui n'est déjà pas rien) ne semble pas les déranger.

Le principal pour un homme politique est ce qu'il dit et non ce
qu'il fait. Ils ont créé une loi pour protéger ce qui bénéficie de
droits d'auteur. La loi existe et ils ont donc fait parler d'eux.
Maintenant que la loi soit applicable ou non, utile ou non,
légale ou non... ils s'en foutent parce que ce n'est à pas eux de faire
appliquer les lois.

--
Benoît http://www.duvallois.com/

Avec des fumeurs c'est difficile de s'arrêter. Avec des branleurs,
là, par contre, c'est difficile de continuer.

"Aeris" <aeris@imirhil.fr> a écrit dans le message de
news:4cf96dd4$0$1587$426a74cc@news.free.fr...

La principale source de problèmes est et restera entre la chaise et
l'écran…
Pour reprendre la parabole, imaginerait-on un avion (transportant une
bombe
ou non) laissé aux mains de Madame Michu?

c'est pourtant bien ce que tu dis de faire en insistant pour que le FAI ne
filtre rien et que la protection et le blocage des entites malveillantes
soient du ressort de Mme Michu dont tu decris les manquements a
l'utilisation du net.
C'est la situation actuelle : toutes les Mme Michu du monde sont chargées de
securisé le reseau dans lequel leur machine est integrée, sinon elle sert de
vecteur de propagation.
Et ce modele actuel, on voit bien où il va, tu reprends toi meme le terme de
"catastrophe Internet"....

Pour moi les principaux responsables de la « Catastrophe Internet » sont
tout ceux qui tentent de démocratiser l'accès à l'informatique et font
croire que « c'est à la portée de tout le monde » ( en partie vrai, mais
avec BEAUCOUP de formation et d'apprentissage, en particulier sur les
risques et les bonnes pratiques ) et que c'est « plug and forget » ( ça
c'est carrément faux, l'informatique ça a toujours été chronophage
et demande 1 à 2h de gestion hebdomadaire pour un poste bureautique
familial
standard )

Pas faux. Sous prétexte "d'économie de papier" tout est dématérialisé, de
l'entreprise privée a l'administration....
D'ou ma radicalisation dans l'idée d'un internet multiple et isolé.

Par contre, si le DPI est retournable (mais pas si couteux, en voila un vrai
bon usage du Cloud), le PKI pour les mail aussi (tu n'en a pas parlé) , et a
condition de respecter le fait que le risque 0 n'existe pas, l'utilisation
de tunnels cryptes a l'intérieur d'un fleuve d'immondices (pardonnez moi
l'expression) est aussi une mauvaise idée.
Il vaudrait mieux avoir un réseau "administratif/bancaire/fiscal " a part,
un réseau "domotique et gadgets" et un réseau "information commerciale et
profilage social' (90% de l'utilité du net actuel).

Une scission en d'autres parties isolées peut aussi être envisagé : vidéo
surveillance, messagerie, échanges/partage base de données a usages
professionnels techniques (par opp. a commercial si ca existe) etc...
Il y a forcement de meilleures catégorisations que les miennes a définir.

--
Cordialement,
Az Sam.