Un appel à expérimentation vient d’être publié par  l’Hadopi  concernant les logiciels de sécurisation, arlésienne que le texte prévoit dès l’origine mais qui depuis plus de deux ans ne débouche sur rien. Cet appel est une sorte de demi aveux d’échec d’une idée politique qui comme je l’ai déjà  évoqué ne repose sur aucun fondement technique.

Un premier projet envisageait de mettre le module au sein de la box, comme je l’envisageait dans mon article de 2009, solution que je ne jugeai pas faisable pour des raisons de couts et de standardisation, d’une part, mais aussi de par le fait qu’elle ne prouve aucunement de l’innocence de qui que ce soit dans la majeure partie des cas. Le nouveau projet envisage donc l’utilisation de composant interne au réseau, distribué sous forme d’un logiciel à installé. Voila en gros le cahier des charges de l’Hadopi en manque d’idées.

Voici maintenant en quoi il ne sera jamais possible de prétendre de l’innocence ou de la culpabilité d’un personne avec un tel produits, ni même, ce qui pourrait être acceptable, de la bonne foi du prévenu :

Il y a deux cas d’usage qui peuvent être envisagés : le premier est de voir  cet outil comme un mouchard gardant trace des échanges sur le réseau, le suivant étant d’empêcher les flux P2P ou de streaming sur le réseau.

Prenons le premier cas d’usage:

L’objectif de l’opération, dans ce cas est de différencier l’usage illicite fait par l’utilisateur propriétaire de la ligne de l’usage effectué par un tiers usurpant son identité (ayant donc pénétré son réseau) pour ainsi prouver que le prévenu n’est pas l’auteur du téléchargement.

Si l’on peut considérer que les flux issus d’un réseau local LAN ne peuvent être usurpés, il n’est pour autant pas possible de les écouter en un point de par la généralisation des switchs, par ailleurs enregistrer certains trafics permettrait de constituer un élément de preuve à charge contre la personne. Hors, il n’est pas franchement courant de nos jours d’avoir ce type de connexion au profit du wifi où le principe de non usurpation ne tient plus. Par ailleurs pourquoi installer un outil de preuve à charge ?

L’utilisation de connexion wifi rend le principe précédent caduque car il n’existe pas de système purement logiciel et ne touchant pas au point d’accès existant et permettant de distinguer une connexion faite par le propriétaire ou un tiers extérieur. Par ailleurs les récentes failles sur WPS montrent qu’il n’est aucunement possible de garantir la fiabilité de ce type de réseau. J’élimine bien entendu les systèmes de type radius et authentification forte qui demandent d’une part la modification des équipements et une configuration complexe qui pourrait être fiables (auquel cas il n’y aurait plus objet à démontrer son innocence) ou non fiables (et nous ramèneraient au cas initial). En conséquence de quoi tout système enregistrant le trafic wifi ne peut que confirmer ce qui est reproché au prévenu, sans pour autant prouver qu’il en soit l’auteur, dès lors qu’il n’a pas à la fois la mauvaise idée d’installer le mouchard sans prendre soin d’utiliser une adresse MAC dédiée ou transformé pour l’usage du téléchargement reproché. L’outil produit ainsi au mieux une preuve de culpabilité.

Enfin, tout outil s’acharnant à enregistrer des échanges réseau se verrai vite confronté aux problèmes de cryptage des flux rendant la preuve du contenu téléchargé sur le P2P improbable. Cependant, ce serait un moyen potentiel de détection des flux streamé dont l’url peut être identifié. Type de flux que l’Hadopi actuellement ne peut surveiller de par son caractère point à point.

Voyons le second cas d’usage

Il s’agit d’offrir à l’internaute sans compétence un outil à installer lui permettant de distinguer le bien du mal en scrutant ses flux pour venir par exemple couper les communications illégales.

Imaginons un premier cas d’installation locale : nous pouvons imaginer un moyen de détecter des destinations non autorisées, des protocoles non recommandés et demander à l’utilisateur de valider ou non cet usage exactement comme ce qui peut être fait dans un personnal firewall.Si pour autant cet outil peut être pédagogique, il n’est en aucun cas une preuve ni de bonne foi, ni d’innocence. Il ne pourra qu’enregistrer le souhait volontaire de passer outre la loi. En effet le système pourra ne pas être installé sur tous les périphériques informatique de la maison et donc contourné allègrement.

Imaginons un second cas plus évolué où le système détecte des communications non recommandables sur le réseau local. Pour ce faire, il ne pourra utiliser que l’écoute du wifi et devra agir sur la box pour stopper ces communications, le système n’est donc pas autonome et ne répond plus au cahier des charges. Pour que le système puisse être autonome, il faudrait qu’il devienne un point de passage obligatoire pour l’ensemble du trafic, donc un point d’accès, ou, jouer le rôle de routeur sur le réseau local, hors l’internet non surveillé restera quoi qu’il arrive accessible directement via la box / AP tant que celle-ci ne sera touchée par la solution.

En conclusion

La seule chose dont cet appel a expérimentation devrait accoucher est donc un personnal firewall amélioré auquel on pourrait créditer un intérêt pédagogique permettant de rassurer un minimum les parents inquiet de l’usage fait d’Internet par leur enfants. Ce serait aussi un éléments liberticide décidant des sites bon des sites mauvais, des protocoles bons et des protocole mauvais, le tout tenu à jour dans une base centralisée géré par l’état où ses représentants…

Pour le reste, ce pourrait être au mieux un système permettant aux idiots de se voir prouver leur culpabilité de façon systématique (la trace prouve l’usage) ou au malins de prouver leur innocence de façon tout autant systématique (l’absence de trace prouve l’innocence). Reste que ceux qui refuseraient le système car liberticide et totalement abscons comme je viens de le démontrer seraient des coupables tout désignés, ne pouvant se prévaloir d’être des malins innocents.