Les quelques conseils qui suivent sont élémentaires et relèvent du bon sens plus que de la technique. Ils doivent cependant être répétés sans cesse tant il nous est facile de passer outre et de négliger ce qui peut pourtant nous rendre un fier service…

Saviez-vous que Mozilla dispose d’une équipe et d’un site Internet Citizen qui publie de semaine en semaine des conseils pour que chacun puisse agir et « Protéger la plus vaste ressource globale partagée » ? C’est sur ce portail que j’ai choisi l’article de M.J. Kelly, à la suite duquel vous trouverez quelques pistes pour aller plus loin. Mais avant d’installer un VPN, de chiffrer notre disque dur ou de créer un nœud Tor, si nous commencions par sécuriser nos mots de passe ?

Devez-vous vraiment masquer votre webcam ?

Source : Should you cover your webcam?

par M.J. Kelly

Lorsque les médias nous ont révélé que des personnalités comme le PDG de Facebook Mark Zuckerberg et le directeur du FBI James Comey masquaient leurs webcams, nous avons été amenés à nous demander si nous ne devrions pas tous en faire autant. Mettre un post-it ou un bout de sparadrap sur la caméra peut vous donner l’impression que vous gardez le contrôle en vous protégeant contre l’espionnage d’un pirate. C’est vrai, tant que votre webcam est masquée, on ne peut pas vous voir, mais est-ce une protection efficace pour votre sécurité ?

Marshall Erwin, responsable du département Vie privée et confidentialité chez Mozilla, répond : « — pas tant que ça… »

Masquer votre webcam pourrait en réalité aggraver la situation, précise Erwin. Les pirates pourraient encore vous écouter en utilisant le microphone, par exemple. Si vous avez masqué la caméra et ne voyez pas le voyant lumineux à côté de la lentille, vous ne saurez pas que le pirate a activé la caméra et vous écoute.

Erwin souligne également que votre webcam peut être compromise par d’autres moyens, comme le piratage des appels vidéo, appelé piggybacking⁽¹⁾. Masquer votre webcam n’est pas une défense parfaite.

Avant de la débrancher carrément, il existe de meilleures solutions que de lui coller un pansement ou de la jeter à la poubelle. Vous pouvez faire preuve d’astuce et vous protéger des intrusions de sécurité avant qu’elles ne surviennent

Voici quoi faire :

• Choisissez des mots de passe forts. Que ce soit pour votre box chez vous ou pour vos comptes sur les réseaux sociaux, choisir des mots de passe robustes est votre meilleure protection contre toutes sortes de menaces sur le Web. C’est avec de bonnes pratiques de sécurité comme celle-là qu’il sera plus difficile de compromettre les appareils que vous utilisez, au passage votre webcam sera protégée elle aussi.
• Méfiez-vous des liens. Des délinquants utilisent toute sortes d’astuces pour accéder à vos ordinateurs, Ils vous envoient entre autres des liens qui ont l’air inoffensifs. Ils recèlent en réalité des logiciels malveillants ou des virus qui sont ensuite les vecteurs de corruption de votre ordinateur. Si un lien ou un téléchargement ne vous semble pas tout à fait sûr, il ne l’est probablement pas. Vérifiez que tous les logiciels que vous installez proviennent de sources fiables et ne cliquez pas à tout-va sur des ressources qui paraissent vaguement suspectes, même si vous pensez en connaître l’origine.
• Installez un système de sécurité. Les logiciels antivirus ne vous protégeront pas contre toutes les menaces mais c’est un bon début. Si vous installez un dispositif de sécurité, maintenez-le à jour et utilisez-le pour analyser régulièrement la sécurité de vos appareils. Des entreprises spécialisées gagnent leur vie en combattant les menaces, pour que vous n’ayez pas à le faire.
• Faites appel à un spécialiste. Si vous pensez que votre webcam a été compromise, c’est-à-dire piratée, vérifiez avec un professionnel expérimenté en informatique pour savoir comment faire. Soyez conscient-e qu’il va vous falloir déployer beaucoup de patience pour que votre appareil soit remis en état.

En définitive, vous n’avez pas vraiment de raisons d’avoir peur d’utiliser des webcams. Elles ne représentent qu’un petit élément parmi une foule de technologies web qui rendent Internet dynamique et plaisant. Restez conscient-e de la possibilité d’avoir une webcam piratée, mais faites preuve de bon sens. Mettez un cache sur votre webcam (une gommette, un postit™, un autocollant avec un chat…) si ça vous fait plaisir, mais ne vous figurez pas que vous tenez là une solution radicale.

Efforcez-vous surtout d’agir en citoyen.ne du numérique avisé.e et conscient.e de sa sécurité en ligne, que la caméra soit ou non activée.

Vous voudrez sûrement aller plus loin :

• D’autres conseils et astuces pour maîtriser la confidentialité de vos données personnelles, sur le site de Mozilla
• Le livre //:Surveillance de Tristan Nitot qui conjugue de façon accessible à tous analyse des risques et recommandations utiles
• L’excellent petit Guide d’hygiène numérique (lien direct vers le .pdf) de l’ami Genma, qui ne demande qu’à être complété ou amélioré sur le Framagit.

(1) Voyez l’entrée Piggybacking du glossaire en français du site panoptinet.com

L’affaire a eu un certain retentissement : une entreprise qui propose du courrier électronique chiffré à ses clients et dont la croissance commence à faire de l’ombre à Gmail disparaît subitement des écrans de radar, ou plutôt des premières pages de la recherche Google, ce qui met en danger son modèle économique.

Aujourd’hui tout est réparé, mais cet épisode illustre une fois de plus le pouvoir de nuisance de Google dans la recherche sur Internet, qui est désormais un tentacule parmi d’autres de la pieuvre Alphabet.

Traduction Framalang : Penguin, goofy, Asta, Rozmador, Lumibd, KoS, xi
Article original sur le site de ProtonMail : Search Risk – How Google Almost Killed ProtonMail

Le risque de la recherche — Comment Google a bien failli faire disparaître ProtonMail

par Andy Yen

Ces deux derniers mois, nombre d’entre vous nous ont contactés pour en savoir plus sur le mystérieux tweet que nous avons envoyé à Google en août. Chez ProtonMail, la transparence est une valeur fondamentale, et nous essayons d’être aussi transparents envers notre communauté que possible. Comme beaucoup de gens continuent à nous poser des questions, nous devons être plus transparents à ce sujet pour éviter toute confusion et spéculation. C’est pourquoi nous racontons toute l’affaire aujourd’hui pour clarifier ce qui est arrivé.

Que s’est-il passé ?

Pour faire court, depuis un an Google ne faisait pas apparaître ProtonMail dans les résultats de recherche (NdT : en langue anglaise) sur les requêtes telles que secure email (e-mail sécurisé) et encrypted email (e-mail chiffré). C’était très suspect car ProtonMail a longtemps été le plus important fournisseur de messagerie chiffrée au monde.

Lorsque la version bêta de ProtonMail a été lancée en mai 2014, notre communauté a rapidement grandi tandis que des gens du monde entier se sont réunis et nous ont soutenu dans notre mission de protection de la vie privée à l’ère numérique. Notre campagne de financement collaboratif a battu tous les records en récoltant plus d’un demi-million de dollars des donateurs et nous a fourni les ressources nécessaires afin d’être compétitifs, même contre les plus gros mastodontes du secteur de l’e-mail.

À l’été 2015, ProtonMail avait passé la barre du demi-million d’utilisateurs et était le service sécurisé de courriels le plus connu au monde. ProtonMail était aussi bien classé à l’époque dans les résultats de recherche de Google, sur la première ou la deuxième page pour la plupart des requêtes comme secure email et encrypted email. Pourtant, à la fin du mois d’octobre 2015, la situation avait complètement changé, et ProtonMail n’apparaissait mystérieusement plus dans les résultats de recherche pour nos deux mots-clefs principaux.

Entre le début de l’été et l’automne 2015, ProtonMail a, il faut le souligner, connu beaucoup de changements. Nous avons lancé ProtonMail 2.0, sommes passés complètement en open source, nous avons lancé des applications mobiles en bêta, et nous avons mis à jour notre site, remplaçant notre ancien domaine de premier niveau .ch par .com, plus connu. Nous avons aussi doublé en taille, atteignant près d’un million d’utilisateurs à l’automne. Tous ces changements auraient dû amélioré le classement de ProtonMail dans les résultats de recherche puisque nous offrions une solution de plus en plus pertinente pour davantage d’utilisateurs.

En novembre 2015, nous nous sommes aperçu du problème et avons consulté un certain nombre d’experts en référencement reconnus. Aucun d’entre eux ne pouvait comprendre le problème, en particulier parce que ProtonMail n’a jamais utilisé de tactiques déloyales de référencement, et que nous n’avons jamais observé l’utilisation de ces mêmes techniques contre nous. Mystérieusement, le problème était entièrement restreint à Google, puisque cette anomalie n’était constatée pour aucun autre moteur de recherche. Ci-dessous, le classement dans les résultats de recherche de ProtonMail pour les mots-clefs secure email et encrypted email au début du mois d’août 2016 pour les principaux moteurs de recherche. Nous apparaissons sur la première ou la deuxième page partout sauf pour Google où nous n’apparaissons pas du tout.

Tout au long du printemps 2016, nous avons tenté activement d’établir le contact avec Google. Nous avons créé deux tickets sur leur formulaire de signalement de spam où nous expliquions la situation. Nous avons même contacté le président des Relations Stratégiques EMOA chez Google, mais n’avons ni reçu de réponse ni constaté d’amélioration. Vers cette époque, nous avons aussi entendu parler de l’action liée au droit de la concurrence engagée par la Commission Européenne contre Google, accusant Google d’abuser de son monopole sur les recherches pour abaisser le classement de ses concurrents. Il s’agissait d’une nouvelle inquiétante, car en tant que service de courriels qui valorise d’abord la vie privée des utilisateurs, nous sommes la première alternative à Gmail pour les personnes qui souhaitent que leurs données personnelles restent confidentielles.

En août, à défaut d’autre solution, nous nous sommes tournés vers Twitter pour exposer notre problème. Cette fois, nous avons enfin eu une réponse, en grande partie grâce aux centaines d’utilisateurs de ProtonMail qui ont attiré l’attention sur notre situation et l’ont rendue impossible à ignorer. Quelques jours plus tard, Google nous a informés qu’ils avaient « réparé quelque chose » sans fournir plus de détails. Les résultats ont été visibles immédiatement.

Classement dans les résultats de recherche Google de ProtonMail pour Encrypted Email

Dans le graphique ci-dessus, l’axe des abscisses représente le temps et l’axe des ordonnées le classement dans les résultats (les nombres les plus bas sont les meilleurs). Les dates pour lesquelles il n’y a pas de point correspondent à des moments où nous n’apparaissions pas du tout dans les résultats de Google. Après les quelques changements de Google, le classement de ProtonMail s’est immédiatement rétabli et ProtonMail est maintenant n°1 et n°3 respectivement pour secure email et encrypted email. Sans plus d’explications de la part de Google, nous ne saurons sans doute jamais pourquoi ProtonMail a été déclassé. En tout cas, nous apprécions le fait que Google ait enfin fait quelque chose pour résoudre le problème, nous aurions seulement souhaité qu’ils le fassent plus tôt.

Le risque de la recherche

Cet incident souligne cependant un danger auparavant méconnu que nous appelons maintenant le « Risque de la Recherche ». Le danger est que n’importe quel service comme ProtonMail peut facilement être supprimé par les entreprises qui gèrent les moteurs de recherche, ou le gouvernement qui contrôle ces entreprises. Cela peut même arriver à travers les frontières nationales. Par exemple, même si Google est une société américaine, elle contrôle plus de 90 % du trafic de recherche européen. Dans ce cas précis, Google a directement causé une réduction de la croissance mondiale de ProtonMail de plus de 25 % pendant plus de dix mois.

Cela signifiait que les revenus que Protonmail tirait de ses utilisateurs ont été aussi été réduits de 25 %, mettant de la pression financière sur nos activités. Nous sommes passés  de la capacité à  couvrir toutes nos dépenses mensuelles à la nécessité de puiser de l’argent de notre fonds de réserve d’urgence. La perte de revenus et les dommages financiers consécutifs ont été de plusieurs milliers de francs suisses (1 CHF = 1,01 USD), qui ne seront jamais remboursés.

La seule raison pour laquelle nous avons survécu pour raconter cette histoire est que la majeure partie de la croissance de ProtonMail provient du bouche à oreille, et que notre communauté est trop active pour l’ignorer. Bien d’autres entreprises ne seront pas aussi chanceuses. Cet épisode montre que bien que les risques en matière de recherche internet sont sérieux, et nous soutenons donc maintenant la commission européenne : compte tenu de la position hégémonique de Google sur la recherche web, plus de transparence et de surveillance sont indispensables.

Se défendre contre le risque de la recherche

Cet épisode démontre que pour que ProtonMail réussisse, il est important que nous puissions nous développer indépendamment des moteurs de recherche, de sorte qu’il devienne impossible pour n’importe quelle entreprise qui gère la recherche de nous paralyser sans le vouloir. Plus facile à dire qu’à faire, mais voici une liste d’actions que nous pouvons tous mener pour préserver l’avenir de ProtonMail :

• Parler de ProtonMail à vos amis et votre famille. Vous en tirerez également un autre avantage : le chiffrement automatique de bout en bout lorsque vous leur enverrez un courriel ;
• Écrire des billets de blog sur ProtonMail et aidez à diffuser le message sur l’importance de la vie privée en ligne ;
• Passer à un compte payant ou faites un don afin que nous puissions reconstituer plus rapidement notre fonds de réserve d’urgence épuisé ;
• Aider ProtonMail à atteindre davantage d’utilisateurs à travers les réseaux sociaux. Vous pouvez tweeter ou partager ProtonMail sur Facebook avec les boutons de partage ci-dessous.

Plus nous diffuserons l’idée que la vie privée en ligne est très importante, plus nous rendrons impossible de supprimer ou interdire les services de messagerie chiffrés tels que ProtonMail, ou d’exercer sur eux une pression quelconque. Nous croyons que la vie privée en ligne est essentielle pour un avenir ouvert, démocratique et libre, et quels que soient les obstacles devant nous, nous allons continuer à élaborer les outils nécessaires pour protéger cet avenir. Nous vous remercions de nous soutenir et de rendre cela possible.

Cordialement,
L’équipe ProtonMail

Une question épineuse pour les projets libres et open source est leur maintenance à long terme, et bien évidemment les ressources, tant financières qu’humaines, que l’on peut y consacrer. Tel est le sujet qu’aborde ce nouveau chapitre de l’ouvrage de Nadia Eghbal Des routes et des ponts que le groupe Framalang vous traduit semaine après semaine (si vous avez raté les épisodes précédents)

Elle examine ici une série de cas de figures en fonction de l’origine de l’origine projet.

Comment les projets d’infrastructure numérique sont-ils gérés et maintenus ?

TraductionFramalang : Diane, Penguin, Asta, Rozmador, Lumibd, jum-s, goofy, salade, AFS, Théo

Nous avons établi que les infrastructures numériques sont aussi nécessaires à la société moderne que le sont les infrastructures physiques. Bien qu’elles ne soient pas sujettes aux coûts élevés et aux obstacles politiques auxquels sont confrontées ces dernières, leur nature décentralisée les rend cependant plus difficiles à cerner. Sans une autorité centrale, comment les projets open source trouvent-ils les ressources dont ils ont besoin ?

En un mot, la réponse est différente pour chaque projet. Cependant, on peut identifier plusieurs lieux d’où ces projets peuvent  émaner : au sein d’une entreprise, via une startup, de développeurs individuels ou collaborant en communauté.

Au sein d’une entreprise

Parfois, le projet commence au sein d’une entreprise. Voici quelques exemples qui illustrent par quels moyens variés un projet open source peut être soutenu par les ressources d’une entreprise :

Go, le nouveau langage de programmation évoqué précédemment, a été développé au sein de Google en 2007 par les ingénieurs Robert Griesemer, Rob Pike, et Ken Thompson, pour qui la création de Go était une expérimentation. Go est open source et accepte les contributions de la communauté dans son ensemble. Cependant, ses principaux mainteneurs sont employés à plein temps par Google pour travailler sur le langage.

React est une nouvelle bibliothèque JavaScript dont la popularité grandit de jour en jour.
React a été créée par Jordan Walke, ingénieur logiciel chez Facebook, pour un usage interne sur le fil d’actualités Facebook. Un employé d’Instagram (qui est une filiale de Facebook) a également souhaité utiliser React, et finalement, React a été placée en open source, deux ans après son développement initial.
Facebook a dédié une équipe d’ingénieurs à la maintenance du projet, mais React accepte aussi les contributions de la communauté publique des développeurs.

Swift, le langage de programmation utilisé pour iOS, OS X et les autres projets d’Apple, est un exemple de projet qui n’a été placé en open source que récemment. Swift a été développé par Apple en interne pendant quatre ans et publié en tant que langage propriétaire en 2014. Les développeurs pouvaient utiliser Swift pour écrire des programmes pour les appareils d’Apple, mais ne pouvaient pas contribuer au développement du cœur du langage. En 2015, Swift a été rendu open source sous la licence Apache 2.0.

Pour une entreprise, les incitations à maintenir un projet open source sont nombreuses. Ouvrir un projet au public peut signifier moins de travail pour l’entreprise, grâce essentiellement aux améliorations de la collaboration de masse.
Cela stimule la bonne volonté et l’intérêt des développeurs, qui peuvent alors être incités à utiliser d’autres ressources de l’entreprise pour construire leurs projets.

Disposer d’une communauté active de programmeurs crée un vivier de talents à recruter. Et parfois, l’ouverture du code d’un projet aide une entreprise à renforcer sa base d’utilisateurs et sa marque, ou même à l’emporter sur la concurrence. Plus une entreprise peut capter de parts de marché, même à travers des outils qu’elle distribue gratuitement, plus elle devient influente. Ce n’est pas très différent du concept commercial de « produit d’appel ».

Même quand un projet est créé en interne, s’il est open source, alors il peut être librement utilisé ou modifié selon les termes d’une licence libre, et n’est pas considéré comme relevant de la propriété intellectuelle de l’entreprise au sens traditionnel du terme. De nombreux projets d’entreprise utilisent des licences libres standard qui sont considérées comme acceptables par la communauté des développeurs telles que les licences Apache 2.0 ou BSD. Cependant, dans certains cas, les entreprises ajoutent leurs propres clauses. La licence de React, par exemple, comporte une clause additionnelle qui pourrait potentiellement créer des conflits de revendications de brevet avec les utilisateurs de React.

En conséquence, certaines entreprises et individus sont réticents à utiliser React, et cette décision est fréquemment décrite comme un exemple de conflit avec les principes de l’open source.

Via une startup

Certains projets d’infrastructures empruntent la voie traditionnelle de la startup, ce qui inclut des financements en capital-risque. Voici quelques exemples :
Docker, qui est peut-être l’exemple contemporain le plus connu, aide les applications logicielles à fonctionner à l’intérieur d’un conteneur. (Les conteneurs procurent un environnement propre et ordonné pour les applications logicielles, ce qui permet de les faire fonctionner plus facilement partout). Docker est né en tant que projet interne chez dotCloud, une société de Plate-forme en tant que service (ou PaaS, pour  platform as a service en anglais), mais le projet est devenu si populaire que ses fondateurs ont décidé d’en faire la principale activité de l’entreprise. Le projet Docker a été placé en open source en 2013. Docker a collecté 180 millions de dollars, avec une valeur estimée à plus d’1 milliard de dollars.

Leur modèle économique repose sur du support technique, des projets privés et des services. Les revenus de Docker pour l’année 2014 ne dépassaient pas 10 millions de dollars.

Npm est un gestionnaire de paquets sorti en 2010 pour aider les développeurs de Node.js à partager et à gérer leurs projets. Npm a collecté près de 11 millions de dollars de financements depuis 2014 de la part de True Ventures et de Bessemer Ventures, entre autres. Leur modèle économique se concentre sur des fonctionnalités payantes en faveur de la vie privée et de la sécurité.

Meteor est un framework JavaScript publié pour la première fois en 2012. Il a bénéficié d’un programme d’incubation au sein de Y Combinator, un prestigieux accélérateur de startups qui a également été l’incubateur d’entreprises comme AirBnB et Dropbox. À ce jour, Meteor a reçu plus de 30 millions de dollars de financements de la part de firmes comme Andreessen Horowitz ou Matrix Partners. Le modèle économique de Meteor se base sur une plateforme d’entreprise nommée Galaxy, sortie en Octobre 2015, qui permet de faire fonctionner et de gérer les applications Meteor.

L’approche basée sur le capital-risque est relativement nouvelle, et se développe rapidement.
Lightspeed Venture Partners a constaté qu’entre 2010 et 2015, les sociétés de capital-risque ont investi plus de 4 milliards de dollars dans des entreprises open source, soit dix fois plus que sur les cinq années précédentes.

Le recours aux fonds de capital-risque pour soutenir les projets open source a été accueilli avec scepticisme par les développeurs (et même par certains acteurs du capital-risque eux-mêmes), du fait de l’absence de modèles économiques ou de revenus prévisibles pour justifier les estimations. Steve Klabnik, un mainteneur du langage Rust, explique le soudain intérêt des capital-risqueurs pour le financement de l’open source :

« Je suis un investisseur en capital-risque. J’ai besoin qu’un grand nombre d’entreprises existent pour gagner de l’argent… J’ai besoin que les coûts soient bas et les profits élevés. Pour cela, il me faut un écosystème de logiciels open source en bonne santé. Donc je fais quoi? … Les investisseurs en capital-risque sont en train de prendre conscience de tout ça, et ils commencent à investir dans les infrastructures. […]
Par bien des aspects, le matériel open source est un produit d’appel, pour que tu deviennes accro…puis tu l’utilises pour tout, même pour ton code propriétaire. C’est une très bonne stratégie commerciale, mais cela place GitHub au centre de ce nouvel univers. Donc pour des raisons similaires, a16z a besoin que GitHub soit génial, pour servir de tremplin à chacun des écosystèmes open source qui existeront à l’avenir… Et a16z a suffisamment d’argent pour en «gaspiller » en finançant un projet sur lequel ils ne récupéreront pas de bénéfices directs, parce qu’ils sont suffisamment intelligents pour investir une partie de leurs fonds dans le développement de l’écosystème. »

GitHub, créé en 2008, est une plateforme de partage/stockage de code, disponible en mode public ou privé, doté d’un environnement ergonomique. Il héberge de nombreux projets open source populaires et, surtout, il est devenu l’épicentre culturel de la croissance explosive de l’open source (dont nous parlerons plus loin dans ce rapport).
GitHub n’a reçu aucun capital-risque avant 2012, quatre ans après sa création. Avant cette date, GitHub était une entreprise rentable. Depuis 2012, GitHub a reçu au total 350 millions de dollars de financements en capital-risque.

Andreessen Horowitz (alias a16z), la firme d’investissement aux 4 millards de dollars qui a fourni l’essentiel du capital de leur première levée de fonds de 100 millions de dollars, a déclaré qu’il s’agissait là de l’investissement le plus important qu’elle ait jamais fait jusqu’alors.
En d’autres termes, la théorie de Steve Klabnik est que les sociétés de capital-risque qui investissent dans les infrastructures open source promeuvent ces plateformes en tant que « produit d’appel », même quand il n’y a pas de modèle économique viable ou de rentabilité à en tirer, parce que cela permet de faire croître l’ensemble de l’écosystème. Plus GitHub a de ressources, plus l’open source est florissant. Plus l’open source est florissant, et mieux se portent les startups. À lui seul, l’intérêt que portent les sociétés d’investissement à l’open source, particulièrement quand on considère l’absence de véritable retour financier, est une preuve du rôle-clé que joue l’open source dans l’écosystème plus large des startups.
Par ailleurs, il est important de noter que la plateforme GitHub en elle-même n’est pas un projet open source, et n’est donc pas un exemple de capital-risque finançant directement l’open source. GitHub est une plateforme à code propriétaire qui héberge des projets open source. C’est un sujet controversé pour certains contributeurs open source.

Par des personnes ou un groupe de personnes

Enfin, de nombreux projets d’infrastructures numériques sont intégralement développés et maintenus par des développeurs indépendants ou des communautés de développeurs. Voici quelques exemples :

Python, un langage de programmation, a été développé et publié par un informaticien, Guido van Rossum, en 1991.
Van Rossum déclarait qu’il « était à la recherche d’un projet de programmation « passe-temps », qui [le] tiendrait occupé pendant la semaine de Noël. »
Le projet a décollé, et Python est désormais considéré comme l’un des langages de programmation les plus populaires de nos jours.

Van Rossum reste le principal auteur de Python (aussi connu parmi les développeurs sous le nom de « dictateur bienveillant à vie » et il est actuellement employé par Dropbox, dont les logiciels reposent fortement sur Python.

Python est en partie géré par la Python Software Foundation (NdT: Fondation du logiciel Python), créée en 2001, qui bénéficie de nombreux sponsors commerciaux, parmi lesquel Intel, HP et Google.

RubyGems est un gestionnaire de paquets qui facilite la distribution de programmes et de bibliothèques associés au langage de programmation Ruby.
C’est une pièce essentielle de l’infrastructure pour tout développeur Ruby. Parmi les sites web utilisant Ruby, on peut citer par exemple Hulu, AirBnB et Bloomberg. RubyGems a été créé en 2003 et est géré par une communauté de développeurs. Certains travaux de développement sont financés par Ruby Together, une fondation qui accepte les dons d’entreprises et de particuliers.

Twisted, une bibliothèque Python, fut créée en 2002 par un programmeur nommé Glyph Lefkowitz. Depuis lors,  son usage s’est largement répandu auprès d’individus et d’organisations, parmi lesquelles Lucasfilm et la NASA.
Twisted continue d’être géré par un groupe de volontaires. Le projet est soutenu par des dons corporatifs/commerciaux et individuels ; Lefkowitz en reste l’architecte principal et gagne sa vie en proposant ses services de consultant.

Comme le montrent tous ces exemples, les projets open source peuvent provenir de pratiquement n’importe où. Ce qui est en général considéré comme une bonne chose. Cela signifie que les projets utiles ont le plus de chances de réussir, car ils évitent d’une part les effets de mode futiles inhérents aux startups, et d’autre part la bureaucratie propre aux gouvernements. La nature décentralisée de l’infrastructure numérique renforce également les valeurs de démocratie et d’ouverture d’Internet, qui permet en principe à chacun de créer le prochain super projet, qu’il soit une entreprise ou un individu.
D’un autre côté, un grand nombre de projets utiles proviendront de développeurs indépendants qui se trouveront tout à coup à la tête d’un projet à succès, et qui devront prendre des décisions cruciales pour son avenir. Une étude de 2015 menée par l’Université fédérale de Minas Gerai au Brésil a examiné 133 des projets les plus activement utilisés sur Github, parmi les langages de programmation, et a découvert que 64 % d’entre eux, presque les deux tiers, dépendaient pour leur survie d’un ou deux développeurs seulement.

Bien qu’il puisse y avoir une longue traîne de contributeurs occasionnels ou ponctuels pour de nombreux projets, les responsabilités principales de la gestion du projet ne reposent que sur un très petit nombre d’individus.

Coordonner des communautés internationales de contributeurs aux avis arrêtés, tout en gérant les attentes d’entreprises classées au Fortune 500 qui utilisent votre projet, voilà des tâches qui seraient des défis pour n’importe qui. Il est impressionnant de constater combien de projets ont déjà été accomplis de cette manière. Ces tâches sont particulièrement difficiles dans un contexte où les développeurs manquent de modèles clairement établis, mais aussi de soutien institutionnel pour mener ce travail à bien. Au cours d’interviews menées pour ce rapport, beaucoup de développeurs se sont plaints en privé qu’ils n’avaient aucune idée de qui ils pouvaient solliciter pour avoir de l’aide, et qu’ils préféreraient « juste coder ».

Pourquoi continuent-ils à le faire ? La suite de ce rapport se concentrera sur pourquoi et comment les contributeurs de l’open source maintiennent des projets à grande échelle, et sur les raisons pour lesquelles c’est important pour nous tous.

Damgan est un petit village d’environ 1650 habitants dans le sud du Morbihan, région Bretagne. L’Université Populaire du Numérique de Damgan y est née le 27 septembre 2016, c’est une association qui compte déjà 48 adhérents au bout d’un mois.

Transparence : cet article est une reformulation des réponses que j’ai rédigées avec mon ami Pierre Bleiberg pour un article de Ouest France, mais très largement tronquées à la publication.

Qu’est ce qui vous a poussé à créer cette Université Populaire du Numérique de Damgan ?

Je pense qu’il y a urgence. Et depuis longtemps. La révolution numérique est d’ordre culturel, or la population dans sa grande majorité se sent exclue de cette culture. Les ordinateurs, les tablettes, les smartphones sont entrés dans les foyers et beaucoup se sentent démunis face à ce matériel informatique. Bien sûr il y a la nécessité d’apprendre des bases « techniques », mais surtout de se frotter à de nouveaux usages, à une nouvelle façon de faire société dans un monde où nous sommes tous connectés à tous les autres et où chacun, même celui qui se croit déconnecté, a une partie de sa vie stockée quelque part sous forme de 0 et de 1.

Une éducation est nécessaire et ce n’est pas l’état qui peut en être le moteur : comme partout ailleurs, une grande partie des responsables n’ont pas eux-mêmes cette culture. C’est un phénomène transversal qui touche toutes les populations, tous les milieux sociaux, et contrairement à ce que les plus anciens peuvent croire, tous les âges. Les jeunes sont plus à l’aise face à la machine, mais ils ne sont pas pour autant plus cultivés sur le numérique.

Cela fait déjà longtemps qu’on parle de fracture numérique. Je lisais dans un magazine informatique qu’il y a en France entre 8 et 10 millions de Français incapables de naviguer sur le net ou d’envoyer un mail ; c’est aussi handicapant que de ne pas savoir lire. Cette fracture n’a jamais été réduite. Une des raisons est que cette culture porte en elle un modèle de partage et d’horizontalité qui s’oppose violemment à celui de nos sociétés ultra-hiérarchisées. C’est pourquoi je pense que l’effort doit venir de la société civile, que nous devons nous éduquer nous-mêmes dans l’échange.

À qui s’adresse cette association ? Comment organisez-vous les ateliers ?

Nous sommes au tout début de l’aventure, nous ne pouvons pas encore parler d’organisation précise. Nous avons mis en place deux premiers ateliers avec à chaque fois une quarantaine de participants. D’abord un sur les forums car nous avons décidé de nous former sur un outil commun avant toute autre chose (notre forum). S’il n’y a pas d’interaction entre nous, l’objectif est manqué. Nous avons une composante locale, on se rencontre pour créer une sphère de confiance, mais il faut aussi pouvoir se retrouver en ligne en dehors des ateliers.

Nous avons également des listes de diffusion et un blog. Nous ne sommes pas encore présents sur les réseaux sociaux, on va y venir mais ensemble, doucement. Nous pensons créer les comptes en atelier.

La seconde séance a été consacrée aux notions de base de la micro-informatique : les ordinateurs et leurs composants. J’ai également refait l’atelier sur les forums avec d’autres adhérents.

Le public est le plus varié possible. La moyenne d’âge est assez élevée pour l’instant car elle correspond à la population de Damgan, mais nous avons quelques jeunes et espérons bien en trouver d’autres. Et nous avons déjà des personnes qui n’habitent pas Damgan qui participent, d’autres qui sont intéressées. Et je répète que nous accueillons tous les âges, tous les niveaux avec bienveillance.

Notre démarche s’appuie sur celle de l’éducation populaire, sur l’échange et le partage de connaissances. Si la grande majorité des premiers adhérents a « besoin d’apprendre », nous espérons bien que demain les mêmes pourront partager à leur tour leurs connaissances et leur expérience. Des adhérents ont déjà proposé des sujets qu’ils pourraient nous présenter dans une section du forum consacrée aux « offres ».

Comment gérez-vous les différents niveaux des participant-e-s ?

C’est la grande difficulté. Avec ces premières rencontres on apprend à se connaître et on débat ensemble de la façon dont on va pouvoir s’organiser. Nous avons eu beaucoup de monde et nous sommes bien conscients qu’il va falloir essayer de faire des ateliers plus petits et plus ciblés. Nous demandons à tous d’être un peu patients et nous remercions nos adhérents d’essuyer les plâtres. Ce qui est sûr c’est que le besoin est réel, les gens sont motivés et je suis certain que nous allons faire de grandes choses.

Faut-il amener son matériel ? Faut-il être « connecté-e » ?

Pour l’instant les gens sont venus en grande majorité avec des portables ou des tablettes. Nous allons certainement devoir consacrer des ateliers différents pour ce qui est de la pratique entre l’ordinateur d’un côté et les tablettes/smartphones de l’autre. Mais cela dépend du sujet. On parle beaucoup de pratique mais nos ambitions sont très larges. Si nous organisons des débats sur les données personnelles, il n’y pas besoin de matériel.

Nous souhaitons également nous mettre au service des gens « déconnectés », inviter ceux qui n’ont ni matériel ni internet, pour par exemple faire avec eux des démarches administratives en ligne. Pour ceux qui veulent venir voir et qui n’ont pas de matériel, c’est évidemment possible. Et pourquoi pas créer des créneaux de « libre accès » pour ceux qui en ont le besoin. Nous verrons, ça dépendra aussi de nos moyens financiers et humains.

Ressentez-vous l’appréhension face à cet univers ?

L’appréhension face au numérique, elle est omniprésente. Pour les plus anxieux, quand les gens viennent c’est déjà qu’ils ont fait un grand pas. Nous avons récemment accueilli une dame qui était totalement perdue et très émue de cette situation. Mais elle va s’accrocher et on va voir avec elle pour démarrer en douceur avec des ateliers très basiques.

Nous savons également qu’il nous faudra aller chercher ceux qui n’osent pas venir.

Nous ferons tout pour dédramatiser et casser cette peur avec un maximum de convivialité et d’entraide.

Avez-vous des objectifs, des projets, un plan pour l’avenir ?

Je ne vois aucune limite à nos projets, il y a tant de choses à faire. Rien n’est planifié mais c’est le fruit d’années de réflexions et d’implication dans le domaine du partage de connaissances et de la passion du numérique. Nous avons choisi de nous lancer avant même de savoir comment on allait faire car cela faisait trop longtemps qu’on y réfléchissait, à un moment on s’est dit que si on attendait de pouvoir embrasser tout le spectre des besoins et des possibilités, d’avoir tout planifié, on ne démarrerait jamais. Alors on a fait le grand saut, et on a confiance en l’avenir !

• Site de l’université populaire du numérique de Damgan
• Page de contact

Dans ce nouveau chapitre de l’ouvrage de Nadia Eghbal Des routes et des ponts que le groupe Framalang vous traduit semaine après semaine (si vous avez raté les épisodes précédents), l’autrice⁽¹⁾ établit cette fois-ci une comparaison éclairante entre l’infrastructure physique dont nous dépendons sans toujours en avoir conscience et l’infrastructure numérique dont la conception et le processus sont bien différents.

Qu’est-ce qu’une infrastructure numérique, et comment est-elle construite ?

Traduction Framalang : Diane, Penguin, Asta, teromene, Julien / Sphinx, Luc, salade, AFS, xi, goofy

Dans un chapitre précédent de ce rapport, nous avons comparé la création d’un logiciel à la construction d’un bâtiment. Ces logiciels publiquement disponibles contribuent à former notre infrastructure numérique. Pour comprendre ce concept, regardons comment les infrastructures physiques fonctionnent.

Tout le monde dépend d’un certain nombre d’infrastructures physiques qui facilitent notre vie quotidienne. Allumer les lumières, aller au travail, faire la vaisselle : nous ne pensons pas souvent à l’endroit d’où viennent notre eau ou notre électricité, mais heureusement que nous pouvons compter sur les infrastructures physiques. Les partenaires publics et privés travaillent de concert pour construire et maintenir nos infrastructures de transport, d’adduction des eaux propres et usées, nos réseaux d’électricité et de communication.

De même, même si nous ne pensons pas souvent aux applications et aux logiciels que nous utilisons quotidiennement, tous utilisent du code libre et public pour fonctionner. Ensemble, dans une société où le numérique occupe une place croissante, ces projets open source forment notre infrastructure numérique. Toutefois, il existe plusieurs différences majeures entre les infrastructures physiques et numériques, qui affectent la manière dont ces dernières sont construites et maintenues. Il existe en particulier des différences de coût, de maintenance, et de gouvernance.

Les infrastructures numériques sont plus rapides et moins chères à construire.

C’est connu, construire des infrastructures matérielles coûte très cher. Les projets sont physiquement de grande envergure et peuvent prendre des mois ou des années à réaliser.

Le gouvernement fédéral des États-Unis a dépensé 96 milliards de dollars en projets d’infrastructure en 2014 et les gouvernements des différents états ont dépensé au total 320 milliards de dollars cette même année. Un peu moins de la moitié de ces dépenses (43 pour cent) a été affectée à de nouvelles constructions ; le reste a été dépensé dans des opérations de maintenance de l’infrastructure existante.

Proposer puis financer des projets de nouvelles infrastructures physiques peut être un processus politique très long. Le financement des infrastructures de transport a été un sujet délicat aux États-Unis d’Amérique au cours de la dernière décennie lorsque le gouvernement fédéral a été confronté à un manque de 16 milliards de dollars pour les financer.

Le Congrès a récemment voté la première loi pluriannuelle de financement des transports depuis 10 ans, affectant 305 milliards de dollars aux autoroutes et autres voies rapides après des années d’oppositions politiques empêchant la budgétisation des infrastructures au-delà de deux années.

Même après qu’un nouveau projet d’infrastructure a été validé et a reçu les fonds nécessaires, il faut souvent des années pour le terminer, à cause des incertitudes et des obstacles imprévus auxquels il faut faire face.

Dans le cas du projet Artère Centrale/Tunnel à Boston, dans le Massachusetts, connu aussi sous le nom de Big Dig, neuf ans se sont écoulés entre la planification et le début des travaux. Son coût prévu était de 2,8 milliards de dollars, et il devait être achevé en 1998. Finalement, le projet a coûté 14,6 milliards de dollars et n’a pas été terminé avant 2007, ce qui en fait le projet d’autoroute le plus cher des États-Unis.

En revanche, les infrastructures numériques ne souffrent pas des coûts associés à la construction des infrastructures physiques comme le zonage ou l’achat de matériels. Il est donc plus facile pour tout le monde de proposer une nouvelle idée et de l’appliquer en un temps très court. MySQL, le second système de gestion de base de données le plus utilisé dans le monde et partie intégrante d’une collection d’outils indispensables qui aidèrent à lancer le premier boum technologique, fut lancé par ses créateurs, Michael Widenius & David Axmark, en mai 1995. Ils mirent moins de deux années à le développer.

Il a fallu à Ruby, un langage de programmation, moins de trois ans entre sa conception initiale en février 1993 et sa publication en décembre 1995. Son auteur, l’informaticien Yukihiro Matsumoto, a décidé de créer le langage après une discussion avec ses collègues.

Les infrastructures numériques se renouvellent fréquemment

Comme l’infrastructure numérique est peu coûteuse à mettre en place, les barrières à l’entrée sont plus basses et les outils de développement changent plus fréquemment.

L’infrastructure physique est construite pour durer, c’est pourquoi ces projets mettent si longtemps à être planifiés, financés et construits. Le métro de Londres, le système de transport en commun rapide de la ville, fut construit en 1863 ; les tunnels creusés à l’époque sont encore utilisés aujourd’hui.

Le pont de Brooklyn, qui relie les arrondissements de Brooklyn et de Manhattan à New York City, fut achevé en 1883 et n’a pas subi de rénovations majeures avant 2010, plus de cent ans plus tard. L’infrastructure numérique nécessite non seulement une maintenance et un entretien fréquents pour être compatible avec d’autres logiciels, mais son utilisation et son adoption changent également fréquemment. Un pont construit au milieu de New York City aura un usage garanti et logique, en proportion de la hausse ou la diminution de la population. Mais un langage de programmation ou un framework peut être extrêmement populaire durant plusieurs années, puis tomber en désuétude lorsque apparaît quelque chose de plus rapide, plus efficace, ou simplement plus à la mode.

Par exemple, le graphique ci-dessous montre l’activité des développeurs de code source selon plusieurs langages différents. Le langage C, l’un des langages les plus fondamentaux et les plus utilisés, a vu sa part de marché diminuer alors que de nouveaux langages apparaissaient. Python et JavaScript, deux langages très populaires en ce moment, ont vu leur utilisation augmenter régulièrement avec le temps. Go, développé en 2007, a connu plus d’activité dans les dernières années.

Tim Hwang, dirigeant du Bay Area Infrastructure Observatory, qui organise des visites de groupe sur des sites d’infrastructures physiques, faisait remarquer la différence dans une interview de 2015 donnée au California Sunday Magazine :

« Beaucoup de membres de notre groupe travaillent dans la technologie, que ce soit sur le web ou sur des logiciels. En conséquence, ils travaillent sur des choses qui ne durent pas longtemps. Leur approche c’est ‘On a juste bidouillé ça, et on l’a mis en ligne’ ou : ‘On l’a simplement publié, on peut travailler sur les bogues plus tard’. Beaucoup d’infrastructures sont construites pour durer 100 ans. On ne peut pas se permettre d’avoir des bogues. Si on en a, le bâtiment s’écroule. On ne peut pas l’itérer. C’est une façon de concevoir qui échappe à l’expérience quotidienne de nos membres. »

Cependant, comme l’infrastructure numérique change très fréquemment, les projets plus anciens ont plus de mal à trouver des contributeurs, parce que beaucoup de développeurs préfèrent travailler sur des projets plus récents et plus excitants. Ce phénomène est parfois référencé comme le « syndrome de la pie » chez les développeurs, ces derniers étant attirés par les choses « nouvelles et brillantes », et non par les technologies qui fonctionnent le mieux pour eux et pour leurs utilisateurs.

Les infrastructures numériques n’ont pas besoin d’autorité organisatrice pour déterminer ce qui doit être construit ou utilisé

En définitive, la différence la plus flagrante entre une infrastructure physique et une infrastructure numérique, et c’est aussi un des défis majeurs pour sa durabilité, c’est qu’il n’existe aucune instance décisionnelle pour déterminer ce qui doit être créé et utilisé dans l’infrastructure numérique. Les transports, les réseaux d’adduction des eaux propres et usées sont généralement gérés et possédés par des collectivités, qu’elles soient fédérales, régionales ou locales. Les réseaux électriques et de communication sont plutôt gérés par des entreprises privées. Dans les deux cas, les infrastructures sont créées avec une participation croisée des acteurs publics et privés, que ce soit par le budget fédéral, par les entreprises privées ou les contributions payées par les usagers.

Dans un État stable et développé, nous nous demandons rarement comment une route est construite ou un bâtiment électrifié. Même pour des projets financés ou propriétés du privé, le gouvernement fédéral a un intérêt direct à ce que les infrastructures physiques soient construites et maintenues.

De leur côté, les projets d’infrastructures numériques sont conçus et construits en partant du bas. Cela ressemble à un groupe de citoyens qui se rassemblent et décident de construire un pont ou de créer leur propre système de recyclage des eaux usées. Il n’y a pas d’organe officiel de contrôle auquel il faut demander l’autorisation pour créer une nouvelle infrastructure numérique.

Internet lui-même possède deux organes de contrôle qui aident à définir des standards : l’IETF (Internet Engineering Task Force) et le W3C (World Wide Web Consortium). L’IETF aide à développer et définit des standards recommandés sur la façon dont les informations sont transmises sur Internet. Par exemple, ils sont la raison pour laquelle les URL commencent par “HTTP”. Ils sont aussi la raison pour laquelle nous avons des adresses IP – des identifiants uniques assignés à votre ordinateur lorsqu’il se connecte à un réseau. À l’origine, en 1986, il s’agissait d’un groupe de travail au sein du gouvernement des USA mais l’IETF est devenue une organisation internationale indépendante en 1993.

L’IETF elle-même fonctionne grâce à des bénévoles et il n’y a pas d’exigences pour adhérer : n’importe qui peut joindre l’organisation en se désignant comme membre. Le W3C (World Wide Web Consortium) aide à créer des standards pour le World Wide Web. Ce consortium a été fondé en 1994 par Tim Berners-Lee. Le W3C a tendance à se concentrer exclusivement sur les pages web et les documents (il est, par exemple, à l’origine de l’utilisation du HTML pour le formatage basique des pages web). Il maintient les standards autour du langage de balisage HTML et du langage de formatage de feuilles de style CSS, deux des composants de base de n’importe quelle page web. L’adhésion au W3C, légèrement plus formalisée, nécessite une inscription payante. Ses membres vont des entreprises aux étudiants en passant par des particuliers.

L’IETF et le W3C aident à gérer les standards utilisés par les pièces les plus fondamentales d’Internet, mais la couche du dessus – les choix concernant le langage utilisé pour créer le logiciel, quels frameworks utiliser pour les créer, ainsi que les bibliothèques à utiliser – sont entièrement auto-gérés dans le domaine public (bien entendu, de nombreux projets de logiciels propriétaires, particulièrement ceux qui sont régis par de très nombreuses normes, tels que l’aéronautique ou la santé peuvent avoir des exigences concernant les outils utilisés. Ils peuvent même développer des outils propriétaires pour leur propre utilisation).

Avec les infrastructures physiques, si le gouvernement construit un nouveau pont entre San Francisco et Oakland, ce pont sera certainement utilisé. De la même façon, lorsque le W3C décide d’un nouveau standard, tel qu’une nouvelle version de HTML, il est formellement publié et annoncé. Par exemple, en 2014, le W3C a annoncé HTML 5, la première révision majeure de HTML depuis 1997, qui a été développé pendant sept ans.

En revanche, lorsqu’un informaticien souhaite créer un nouveau langage de programmation, il ou elle est libre de le publier et ce langage peut ou peut ne pas être adopté. La barre d’adoption est encore plus basse pour les frameworks et bibliothèques : parce qu’ils sont plus faciles à créer, et plus facile pour un utilisateur à apprendre et implémenter, ces outils sont itérés plus fréquemment.

Mais le plus important c’est que personne ne force ni même n’encourage fortement quiconque à utiliser ces projets. Certains projets restent plus théoriques que pratiques, d’autres sont totalement ignorés. Il est difficile de prédire ce qui sera véritablement utilisé avant que les gens ne commencent à l’utiliser.

Les développeurs aiment se servir de l’utilité comme indicateur de l’adoption ou non d’un projet. Les nouveaux projets doivent améliorer un projet existant, ou résoudre un problème chronique pour être considérés comme utiles et dignes d’être adoptés. Si vous demandez aux développeurs pourquoi leur projet est devenu si populaire, beaucoup hausseront les épaules et répondront : « C’était la meilleure chose disponible ». Contrairement aux startups technologiques, les nouveaux projets d’infrastructure numérique reposent sur les effets de réseau pour être adoptés par le plus grand nombre.

L’existence d’un groupe noyau de développeurs motivés par le projet, ou d’une entreprise de logiciels qui l’utilise, contribue à la diffusion du projet. Un nom facilement mémorisable, une bonne promotion, ou un beau site Internet peuvent ajouter au facteur « nouveauté » du projet. La réputation d’un développeur dans sa communauté est aussi un facteur déterminant dans la diffusion d’un projet.

Mais en fin de compte, une nouvelle infrastructure numérique peut venir d’à peu près n’importe où, ce qui veut dire que chaque projet est géré et maintenu d’une façon qui lui est propre.

(1) pourquoi « autrice » ? Il semble que ce mot soit légitime au regard de l’histoire de la langue. Voyez aussi une étude plus complète.

Vous prendrez bien un peu une petite DDoSe de paranoïa ce matin ? Blague à part, j’avais choisi de ne pas vous proposer la traduction de cet article de Bruce Schneier, lorsqu’il est paru au mois de septembre, en pensant qu’il allait un peu loin dans l’énoncé de la menace : en route vers la cyberguerre, pas moins.

L’épisode récent qui a vu hier « tomber » des sites populaires comme Twitter ou eBay et bien d’autres m’incite à y revenir.

Attention toutefois : cette récente attaque n’a probablement rien à voir avec ce que décrit Schneier (voyez par exemple cet article sur la récente « panne »), et par ailleurs les intuitions ou soupçons de ce spécialiste de la cybersécurité ne sont nullement des preuves : il serait trop « facile » d’accuser des puissances présumées hostiles quand de « simples » négligences, des erreurs humaines ou la zombification d’objets connectés sans sécurité peuvent s’avérer responsables.

L’intérêt de cet article est plutôt de montrer la toile de fond de la Toile, sa fragilité surtout dont nous ne prenons véritablement conscience que lorsqu’elle se déchire brutalement, révélant un bric-à-brac high-tech dont on se demande par quel miracle il ne tombe pas en panne de lui-même plus souvent.

Pas grand-chose à faire, conclut de façon pessimiste Bruce Schneier.

Re-décentraliser Internet, peut-être ?

Quelqu’un est en train d’apprendre à faire tomber Internet

par Bruce Schneier

article original sur son blog : Someone Is Learning How to Take Down the Internet

Depuis un ou deux ans, quelqu’un a sondé les défenses des entreprises qui font tourner des composantes critiques d’Internet. Ces sondes prennent la forme d’attaques précisément calibrées destinées à déterminer exactement comment ces entreprises peuvent se défendre, et ce qui serait nécessaire pour les faire tomber. Nous ne savons pas qui fait cela, mais ça ressemble à un grand État-nation. La Chine ou la Russie seraient mes premières suppositions.

Tout d’abord, voyons la toile de fond. Si vous voulez vous emparer d’un réseau sur Internet, la meilleure façon de le faire est avec une attaque (DDoS) distribuée par déni de service. Comme son nom l’indique, il s’agit d’une attaque destinée à empêcher les utilisateurs légitimes d’accéder au site désiré. Ça peut être plus subtil, mais, fondamentalement, cela signifie saturer le site cible de tellement de données qu’il est débordé. Ces attaques ne sont pas nouvelles : les pirates l’utilisent contre des sites qu’ils n’aiment pas, et les criminels l’utilisent comme une méthode d’extorsion. Il y a toute une industrie, avec un arsenal de technologies, consacrée à la défense DDoS. Mais surtout, il est une question de bande passante. Si l’attaquant a un plus gros pipeline pour déverser ses données que le défenseur, c’est l’attaquant qui gagne.

Récemment, quelques-unes des grandes entreprises qui fournissent l’infrastructure de base qui fait fonctionner Internet ont vu une augmentation des attaques DDoS contre elles. De plus, elles ont repéré un certain type d’attaques. Ces attaques sont nettement plus importantes que ce qu’elles sont habituées à voir. Elles durent plus longtemps. Elles sont plus sophistiquées. Et elles ressemblent à des coups de sonde. Une semaine, l’attaque commencera à un niveau particulier d’attaque et progressera lentement avant de cesser. La semaine suivante elle commencera à ce point élevé et continuera. Et ainsi de suite, selon ce même processus, comme si l’attaquant était à la recherche du point exact de fragilité fatale

Les attaques sont également configurées de manière à voir la totalité des défenses de l’entreprise ciblée. Il existe de nombreuses façons de lancer une attaque DDoS. Plus vous utilisez de vecteurs d’attaque simultanément, plus le défenseur doit multiplier ses diverses défenses pour les contrer. Ces entreprises voient davantage d’attaques qui utilisent trois ou quatre vecteurs différents. Cela signifie que les entreprises doivent utiliser tout ce qu’elles ont pour se défendre. Elles ne peuvent pas garder de munitions. Elles sont obligées de démontrer leurs capacités de défense face à l’attaquant.

Il m’est impossible de donner des détails, parce que ces entreprises m’ont parlé sous couvert d’anonymat. Mais tout cela est conforme à ce que Verisign rapporte. Verisign est le registraire pour de nombreux domaines Internet parmi les plus populaires, comme.com et.net. Si Verisign tombe, on assiste à une panne mondiale de tous les sites et adresses électroniques des domaines les plus courants. Chaque trimestre, Verisign publie un rapport sur les tendances DDoS. Bien que sa publication n’ait pas le niveau de détail des propos que m’ont confié des entreprises, les tendances sont les mêmes : « au 2^e trimestre 2016, les attaques n’ont cessé de devenir plus fréquentes, persistantes et complexes »

Il y a plus. Une entreprise m’a parlé d’une variété d’attaques par sondage associées aux attaques DDoS : elles consistent à tester la capacité de manipuler des adresses et des itinéraires Internet, voir combien de temps il faut à la défense pour répondre, et ainsi de suite. Quelqu’un est en train de tester en profondeur les capacités défensives de base des sociétés qui fournissent des services Internet critiques.

Qui pourrait faire cela ? Ça ne ressemble pas à ce que ferait un activiste, un criminel ou un chercheur. Le profilage de l’infrastructure de base est une pratique courante dans l’espionnage et la collecte de renseignements. Ce n’est pas ce que font normalement les entreprises. En outre, la taille et l’échelle de ces sondes – et surtout leur persistance – pointe vers les acteurs étatiques. Tout se passe comme si l’armée électronique d’une nation essayait de calibrer ses armes dans l’éventualité d’une cyberguerre. Cela me rappelle le programme de la guerre froide des États-Unis qui consistait à envoyer des avions à haute altitude au-dessus de l’Union soviétique pour forcer son système de défense aérienne à s’activer, et ainsi cartographier ses capacités.

Pouvons-nous y faire quelque chose ? Pas vraiment. Nous ne savons pas d’où viennent les attaques. Les données que je vois suggèrent la Chine, une évaluation partagée par les gens auxquels j’en ai parlé. Mais d’autre part, il est possible de dissimuler le pays d’origine de ces sortes d’attaques. La NSA, qui exerce plus de surveillance sur la colonne vertébrale d’Internet que tout le reste du monde combiné, a probablement une meilleure idée, mais à moins que les États-Unis ne décident d’en faire un incident diplomatique international, on ne nous dira pas à qui l’attribuer.

Mais c’est ce qui se passe. Et ce que les gens devraient savoir.

• Pour aller plus loin, un article en anglais qui reprend et discute des arguments de Bruce Schneier, sans le contredire toutefois.

Photo de Bruce Schneier par Terry Robinson CC BY-SA 2.0

Le kit du semeur d’idées est le site d’une communicante française qui propose des conseils et des ressources sous licence libre, avec en plus une démarche éco-responsable. Le tout pour pas un radis.

Salut Nadine ! Nous avons découvert ton initiative pour permettre à toutes et tous de « cultiver l’éco-communication ». Ça veut dire quoi ?

Salut ! Alors éco-communiquer signifie « communiquer efficacement tout en réduisant son impact sur l’environnement ». Il s’agit de faire de l’éco-conception : prendre en compte l’environnement dès la conception de sa stratégie. Pour le terme de « cultiver », il y a une petit histoire ! Avant de lancer Cultive ta com’ et son kit du semeur d’idées, j’étais graphiste sous logiciels libres et je faisais de l’éco-conception de documents sous le nom de « Graine de pixel ». J’ai voulu faire évoluer mon projet vers la sensibilisation tout en gardant une partie de cette identité.

C’est vraiment important de concevoir sa comm’ en pensant aux économies d’encre ? Que penses-tu des extensions comme print-edit qui permettent d’économiser du papier et de l’encre en éliminant le superflu ?

Je trouve que cette extension est une très bonne initiative. Il est tout de même important de se demander au préalable s’il est possible d’éviter l’impression depuis le web. La meilleure façon d’économiser de l’encre c’est de ne pas en utiliser, non ?

Elles sont chouettes et claires tes fiches, mais on n’y trouve pas de liens vers des ressources ou exemples ou prolongements, c’est délibéré ?

Merci beaucoup, c’est très important pour moi qu’elles soient claires. Non ce n’est pas du tout délibéré, je dois ajouter les sources et des liens externes sur les mises à jour du Kit. Il est en mutation perpétuelle, rien n’est jamais définitif et je tiens à approfondir les fiches avec le temps.

Et tu fais tout ça avec des logiciels libres ? Sous licence libre ?

Oui, je ne travaille que sous logiciels libres (et sous OS libre). il était évident pour moi de proposer le kit sous licence libre… même si je n’ai pas encore choisi lesquelles. Il m’arrive de me perdre dans le méandre des licences. Les images et les exercices de PAO sont sous licence ArtLibre 1.3. Je vais probablement mettre les textes sous licence Creative Commons 4.0 – partage dans les mêmes conditions.

Hum, j’ai corrigé quelques bricoles mineures sur une fiche dans ton github. Tu es sûre de ne pas vouloir passer sur (frama-)gitlab ?

J’avoue ne pas y avoir pensé (mea culpa). Dans mon esprit, Github s’adressait surtout à un public de développeurs en informatique. Je me suis créée un compte il y a quelques mois pour tester l’hébergement de site statique et j’ai commencé peu à peu à comprendre son fonctionnement… En découvrant l’utilisation faite par David Revoy pour la traduction de ses bandes dessinées Pepper&Carrot, je me suis dit que je pourrai en faire autant avec le contenu du kit sur mon compte vide. Étant tout neuf, je peux le migrer aisément sur Framagit. Je vais m’en occuper. 🙂

Ça n’a pas été trop difficile de convaincre les internautes, pour le financement ?

J’ai répondu à l’appel à projet UP ! d’Auvergne Nouveau Monde en partenariat avec Ulule. J’ai pu profiter, comme une dizaine d’autres auvergnats, d’une formation au crowdfunding et d’une visibilité dans la presse régionale durant ma campagne. J’ai également communiqué sur les réseaux sociaux et notamment sur ma page Diaspora où j’ai trouvé une communauté prête à me soutenir dans cette aventure ! Merci encore à tous !

J’ai vu que ton site est hébergé par une société locale, on l’entendrait presque miauler ! C’est important, pour toi ?

Oui c’est très important. Je tâtonne sur les questions du numérique responsable. Je ne m’attendais pas à trouver un hébergeur local ! Et j’espère pouvoir entendre miauler prochainement vers chez moi !

D’ailleurs, tu revendiques ta localisation en province. C’est pas trop compliqué de faire de la comm depuis Clermont-Ferrand ? Les Parigots ne te regardent pas de haut ?
Je ne revendique pas ma localisation, mon projet est simplement basé là où je vis. Je pense qu’aujourd’hui il est possible d’implanter un projet numérique depuis n’importe où.

Tu vas sortir des infos régulièrement, sur ce site ?
J’espère pouvoir faire des mises à jours mensuelles avec de nouveaux contenus sur les fiches, de nouveaux thèmes et exercices.

Et alors, comment vois-tu la suite ? Tu prépares un nouveau financement participatif ou tu as d’autres idées pour faire vivre le projet ? Autrement dit, est-ce que tu as réfléchi au modèle économique ?
Le kit me tient à cœur et je souhaite le compléter et continuer à le faire évoluer. Je ne prépare pas de nouvelle campagne de financement, les mises à jour du kit seront faites sur mon temps libre. Mon modèle économique est basé sur le site de cultive-ta.com où je propose un accompagnement personnalisé en stratégie de communication responsable.

Il paraît que Pouhiou t’a fait du gringue pour que tu viennes nous donner un coup de main. On va se revoir, alors ? Tu peux en dire plus aux lecteurices du blog ?
Oui j’espère bien ! Pouhiou n’a pas eu besoin d’insister longtemps, haha ! Je propose un coup de patte de graphiste sous logiciels libres. Maintenant que mon kit est en ligne, j’espère avoir plus de temps pour pouvoir me rendre utile. Je vais aider Framabook dans la création des couvertures des futurs ouvrages aussi. Il y a de la place pour tous ceux qui souhaitent donner un coup de main et selon les compétences de chacun… et ça c’est chouette !

Et ton mot de la fin ?
Miaou ! Merci infiniment à Framasoft pour cet échange autour du kit !

Si Framasoft contribue régulièrement aux logiciels libres que nous utilisons, nous ne sommes pas pour autant  une association de développeurs. En vérité, tous nos services reposent sur des logiciels développés par d’autres communautés.

Tous…? Non.

Framadate est l’irréductible exception qui confirme la règle. Ce service de sondages dates (et sondages classiques) « à la Doodle » a récemment évolué dans sa version 1, l’occasion de faire le tour des nouvelles fonctionnalités avec son équipe de développement.

Happy Hour : un Framadate plus clair et plus efficace !

L’équipe de dev de Framadate ne manque pas d’humour… Après avoir nommé Open Bar la version 0.9 (que vous utilisiez jusqu’à présent) ; ils ont choisi Happy Hour comme sobriquet de cette version 1. Au delà des paris sur le nom de la prochain mouture (After Party… ? Designated Driver… ?), ce qui nous intéresse vraiment, c’est de découvrir les nouveautés qui sont d’ores et déjà disponibles sur le service le plus utilisé chez Framasoft ! Et elles sont nombreuses…

Des fonctionnalités nouvelles :

• Vous pouvez protéger vos sondages par mot de passe !
• Vous pouvez choisir l’adresse web de votre sondage (du type https://framadate.org/NomDeVotreChoix)
• Vous pouvez modifier un sondage après son expiration
• Vous pouvez choisir des intervalles de dates (par exemple : du lundi 7 au lundi 28 novembre)
• De nombreuses traductions disponibles (qui ont été améliorées) : Allemand, Anglais, Espagnol, Français, Hollandais, Italien… Mais aussi Breton et Occitan.

Celles qui tiennent compte de vos utilisations :

• Désormais, envoyer un commentaire n’effacera plus les votes que vous aviez cliqués mais pas encore validés !
• Le mode « Chaque sondé peut modifier son propre vote » a été amélioré
• Affichage de la date et de l’heure pour les commentaires d’un sondage
• La description d’un sondage tient compte des sauts de ligne
• Une confirmation vous est demandée avant de supprimer une colonne (mais vous pouvez supprimer une colonne vide)
• L’abstention (pas de vote) est prise en compte (et plus comptabilisée comme un « non »)

Celles qui simplifient l’utilisation :

• L’écran de création de sondage a été simplifié (avec un menu « paramètres optionnels »)
• La légende pour les votes (au dessus du tableau des votes) est désormais cachée derrière un bouton
• Un clic suffit pour sélectionner le lien d’un sondage
• Les noms des champs que vous avez à remplir ont été repensés
• Le défilement de la page est plus fluide
• Le format des dates et des heures a encore été amélioré

Celles qui simplifient la vie à ceux qui ont installé Framadate sur leur serveur :

• Un joli fichier check.php pour vérifier la possibilité d’installation
• Un travail sur le service de notifications
• Les mails envoyés par Framadate sont compatibles avec les lecteurs d’emails qui n’aiment pas le HTML (envoi multipart)
• D’ailleurs, le format des emails a été amélioré (utilisation de PHPMailer)
• Nettoyage de code et Smartization

Allez, juste pour le plaisir voici l’écran de création d’un sondage quand on déroule les paramètres optionnels :

3 questions à l’équipe de développement

Partant du principe que « ce sont ceux qui le font qui en parlent le mieux », nous avons décidé de poser 3 questions à Olivier Perez et Antonin Murtin, qui ont pris le relais de JosephK (toujours présent, bien entendu) dans le maintien du développement de Framadate.

Question n°0001 : Bonjour ! L’équipe de développement a bien évolué depuis la reprise du projet… Vous pourriez la présenter au lectorat du Framablog ? Car on aimerait bien savoir comment cela se fait que des gens donnent de leur temps et de leur savoir faire pour améliorer ce projet… et où vous rejoindre pour aider ^^ !

Olivier :

Il y a aujourd’hui 3 personnes qui encadrent Framadate : JosephK, Antonin et Olivier. Notre rôle est d’organiser l’évolution du produit et d’assurer sa stabilité.

Avec Antonin nous sommes passionnés tous deux par le développement depuis pas mal d’années, et le fait que Framadate ait un code source ouvert dans un langage (PHP) très répandu nous a donné envie de le regarder.

Petit à petit, on se dit « le développeur aurait pu faire comme ça plutôt », « j’ai l’impression qu’il y a un bug en regardant ce bout de code » ou bien « j’aimerais bien, en tant qu’utilisateur pouvoir faire telle ou telle chose ». Et comme on sait modifier le code pour emmener le produit vers l’avant, on essaye. C’est aussi simple que ça, aucune peur, juste une envie d’essayer quelque chose.

Au début on a commencé en utilisateur de Framadate, puis cette envie nous a poussés à devenir contributeurs, puis à force d’avoir codé sur les différents modules on est devenu mainteneurs. Aujourd’hui, on lit les propositions des utilisateurs, on relit leurs contributions et on avance sur des sujets qui nous tiennent à cœur. On est vraiment LIBRES, c’est nous qui décidons si on veut bosser sur telle ou telle partie, c’est vraiment très sympa d’avoir autant de marge de manœuvre.

On le dit très souvent, sûrement parce que c’est vrai, mais pour contribuer à Framadate, il suffit d’être utilisateur. Si vous nous remontez des erreurs, ou des envies, c’est encore mieux.

Et si vous voulez coder, c’est surtout pour votre bonheur 😉

Question n°42 :  C’est très excitant d’arriver à la v1 d’un logiciel, surtout quand il est aussi utilisé. Quelles sont les parties/fonctionnalités/particularités de ce projet dont vous êtes le plus fiers ?

Olivier :

Perso, il y a 2 parties que j’ai beaucoup aimé livrer :

• dans l’administration de Framadate, la possibilité de rechercher des sondages. Ça aide énormément lorsqu’on est admin du service.
• l’envoie de mes sondages par mail. C’est un besoin perso, j’en avais marre de perdre les liens vers mes sondages ^^

Antonin :

La gestion de mots de passe sur un sondage ou encore la page « check.php » pour simplifier l’installation étaient vraiment sympa à faire. Mais question fierté, le simple fait de contribuer à ce projet est déjà très chouette !

Question n°1337 : C’est quoi la suite pour Framadate…? Vous avez des défis qu’il vous tarde de conquérir (ou bien des gros morceaux qui vous collent un peu les miquettes :p ?) Et du coup, si on rêve d’améliorations pour Framadate, on vous les propose où ?

Olivier :

On n’est pas assez ouvert 🙂 on ne l’est jamais assez. Mon kiffe serait de proposer une API qui permettrait de faire exactement TOUT, de la création de sondages, du votes, des commentaires, mais aussi de l’administration du service.

J’y vois 2 grands intérêts, la possibilité d’intégrer Framadate à d’autres services, ou la création d’applications tierces qui proposent l’accès à Framadate sur des supports différents (Smartphones, télés, montres, t-shirts ?, etc.)

Plusieurs personnes ont demandé à avoir la possibilité de créer un sondage via leurs propres systèmes informatiques.

Par exemple, une association de Tennis veut organiser des rencontres, elle pourrait générer un sondage qui aiderait 2 opposants à choisir la date et/ou le lieu de la rencontre.

Un collègue m’a avoué utiliser une alternative à Framadate car il n’avait pas l’application smartphone pour organiser ses événements, j’aimerais lui offrir la possibilité de sortir des griffes crochues de l’autre service non pas en développant l’application pour Framadate mais en donnant la possibilité à d’autres de la faire.

Antonin :

Entre les fonctionnalités qui nous manquent dans notre usage quotidien de Framadate et les innombrables propositions d’améliorations venant des utilisateurs, on ne manque pas d’idées !

Mais je pense qu’il y a surtout beaucoup d’améliorations à faire pour faciliter les contributions sur le projet, et ça commence par pas mal de documentation à mettre à jour. Donner plus de transparence et de possibilité de participation sur le pilotage du projet serait un plus !

On commence avec Olivier à réfléchir à un framework plus moderne pour se faciliter la vie sur les améliorations futures, car il y a quelques problématiques qui reviennent mais qu’on ne peut pas résoudre simplement. Mais ce n’est qu’au stade d’embryon de réflexion !

À vous de Dé-Doodliser votre entourage

C’est parfois difficile de se dégoogliser, d’abandonner le confort et les habitudes qu’on a prises dans les services des géants du web. Or, Framadate (en alternative à Doodle) est un des services les plus faciles à adopter : finalement, vous bénéficiez du libre sans trop (vous) y perdre… Et vos ami-e-s ayant une déficience visuelle y gagnent, puisque ce logiciel a été pensé pour être accessible, c’est-à-dire utilisable avec un lecteur d’écran et une navigation au clavier.

De fait, si vos proches ne savent pas comment se dégoogliser, vous pouvez leur proposer de commencer par se Dé-Doodliser 😉

• Utiliser Framadate
• Installer Framadate sur votre serveur
• Participer au développement
• Proposer des améliorations
• Dégooglisons Internet
• Soutenir Framasoft