Il y a un peu moins d’un an nous faisions le constat que Framapad était de plus en plus souvent utilisé dans l’éducation. En illustrant cela avec, entre autres, un billet sur l’expérience de Frédéric Véron, professeur de SVT dans l’Académie de Créteil.

Il nous propose ici, merci à lui, 3 tutoriels vidéos récemment mis en ligne.

Découverte et utilisation de Framapad (pads publics)

Comparaison et avantages de la création d’un compte (pads privés)

Attention : La création de compte risque d’être bientôt suspendue parce que non maintenue, nous vous invitons plutôt à utiliser les pads publics.

Exemple de travail collaboratif avec des élèves de Sixième

Après un premier billet pour se mettre en ordre de marche et un article d’au revoir à Gmail, Framasoft poursuit sa « chronique d’une migration annoncée ».

Or si la messagerie concernait avant tout notre popote interne, c’est toute notre communauté qui est impactée ici puisque ces listes constituent notre principal outil de travail pour coordonner nos nombreux projets (les Frama***).

Confier nos listes à Google, c’était déjà un problème en soi avant l’affaire Snowden (il fallait ainsi avoir un compte Gmail par exemple pour accéder aux archives) et ça l’est devenu plus encore après. Vous étiez quelques uns à nous le faire remarquer à juste titre, avec plus ou moins de bienveillance et d’impatience 😉

Nous venons donc de passer au moteur de listes Sympa. Voici nos nouvelles listes déjà en production (pour s’inscrire par exemple à Framalang c’est par ici). Cela donne plus de travail à nos serveurs et notre équipe technique mais nous nous sentons d’un coup plus légers, pour ne pas dire plus libres.

Rendez-vous le mois prochain pour de nouvelles aventures…

EDIT : notre Sympa ne servira que pour nos listes, au moins dans un premier temps.
Si par la suite nous constatons que notre infra tourne parfaitement bien et que nous avons quelqu’un qui se sent de gérer ça, nous réfléchirons à ouvrir la création de listes à plus de monde… mais clairement pas maintenant alors qu’on commence seulement le test en conditions réelles.

Dans l’œil du cyclone…

Au lendemain de « la journée de la riposte », nous vous proposons une édifiante histoire qui peut arriver à chacun d’entre nous.

L’affaire Brandon Mayfield : une surveillance terrifiante

Face aux excès de la NSA, plus personne n’est à l’abri du biais de confirmation.

The terrifying surveillance case of Brandon Mayfield

Matthew Harwood – 8 février 2014 – America Aljazeera
(Traduction : bouzim, amha, Nemecle, Diab, Achille, Scailyna, z1tor, Robin Dupret, sinma, peupleLà + anonymes)

Fin janvier, dans un webchat en direct, Edward Snowden le lanceur d’alertes de la NSA, a exposé l’un des dangers les moins débattus à propos de la surveillance de masse. En balayant aveuglement les enregistrements de toutes les conversations téléphoniques et communications internationales des États-Uniens, le gouvernement a la possibilité d’initier une enquête rétroactive, autrement dit de rechercher dans les données passées des cibles n’importe quelle preuve d’activité suspecte, illégale ou seulement embarrassante. C’est une possibilité qui a de quoi déranger : même ceux qui sont persuadés d’être eux-mêmes des gens honnêtes devraient y réfléchir à deux fois avant de proclamer haut et fort : « Qu’ai-je à craindre puisque je n’ai rien à cacher ».

Mais il y a un autre danger que Snowden n’a pas mentionné, inhérent au fait que le gouvernement dispose facilement d’un accès aux énormes volumes de données que nous générons chaque jour : il peut insinuer la culpabilité là où il n’y en a pas. Quand des enquêteurs ont des montagnes de données sur une cible donnée, il est facile de ne retenir que les éléments qui confirment leurs théories — en particulier dans les enquêtes de contre-terrorisme où les enjeux sont si importants — tout en ignorant ou minimisant le reste. Nul besoin d’une quelconque malveillance de la part des enquêteurs ou des analystes, même s’il ne fait aucun doute que les préjugés sont de la partie : il s’agit seulement de preuves circonstancielles et de cette dangereuse croyance en leur intuition. Les chercheurs en sciences sociales nomment ce phénomène « biais de confirmation » : lorsque des personnes sont submergées de données, il est bien plus simple de tisser ces données dans une trame narrative qui confirme les croyances auxquelles elles adhèrent déjà. Le criminologue D. Kim Rossmo, un inspecteur de la police de Vancouver à la retraite, était tellement soucieux du biais de confirmation et des échecs qu’il entraîne dans les enquêtes qu’il a incité les officiers de police dans le Police Chief Magazine à toujours se montrer vigilants sur le sujet. « Les éléments du biais de confirmation », écrit-il, « comprennent le fait de ne pas chercher de preuves qui démantèleraient une théorie, de ne pas utiliser une telle preuve s’ils en trouvaient, de ne pas envisager d’hypothèses alternatives et de ne pas évaluer la recevabilité de la preuve ».

Pour nous faire une meilleure idée de ces dangers, examinons l’affaire Brandon Mayfield.

Une erreur d’identité

Le 11 mars 2004 à Madrid, des terroristes proches de la mouvance d’Al-Qaïda ont coordonné un attentat à la bombe sur plusieurs trains de banlieue durant l’heure de pointe matinale. 193 personnes furent tuées et environ 1 800 furent blessées. Deux empreintes digitales partielles découvertes sur un sac de détonateurs au cours de l’enquête par la Police Nationale Espagnole (PNE) furent partagées avec le FBI par le biais d’Interpol. Les deux empreintes furent entrées dans la base de données du FBI, qui retourna vingt concordances possibles pour l’une d’entre elles : sur ces vingt concordances, l’une appartenait à Brandon Mayfield. Ancien chef de peloton de l’armée américaine, Mayfield officiait alors à Portland, dans l’Oregon, comme avocat spécialisé dans les gardes d’enfants, les divorces et les lois sur l’immigration. Ses empreintes étaient répertoriées dans le système du FBI parce qu’il avait fait son service militaire mais aussi parce qu’il avait été arrêté sur un malentendu vingt ans auparavant. Les charges avaient ensuite été abandonnées.

Il se trouvait que l’empreinte de Mayfield ne concordait pas exactement avec l’empreinte laissée sur le sac de détonateurs. Malgré cela, les spécialistes des empreintes au FBI fournirent des justifications aux différences, selon un rapport du Bureau de l’inspecteur général du département de la Justice (OIG). D’après la règle de divergence unique, le laboratoire du FBI aurait dû conclure que Mayfield n’avait pas laissé les empreintes trouvées à Madrid — c’est la conclusion à laquelle était parvenu le PNE et qu’il avait communiquée au FBI à plusieurs reprises. Pourtant, le bureau local du FBI à Portland se servit de cette correspondance d’empreinte pour commencer à fouiller dans le passé de Mayfield. Certains détails de la vie de l’avocat ont convaincu les agents qu’ils tenaient leur homme. Mayfield s’était converti à l’Islam après avoir rencontré sa femme, une égyptienne. Il avait offert son aide juridique sur une affaire de garde d’enfant à l’un des « Portland Seven », un groupe d’hommes qui avait essayé d’aller en Afghanistan afin de combattre pour Al-Qaïda et les Talibans contre les États-Unis et leurs forces alliées. Il fréquentait aussi la même mosquée que les militants. À la suite des événements du 11 Septembre, ces innocentes associations et relations, quoique approximatives, étaient devenues pour les enquêteurs des preuves que Mayfield n’était pas un bon citoyen américain, mais un terroriste sanguinaire déterminé à détruire l’Occident.

Les détails biographiques de Mayfield, en particulier sa religion et l’image de terroriste qu’on lui prêtait, ont contribué à ce que les laboratoires du FBI se montrent réticents au réexamen de l’identification erronée. Selon l’OIG, « l’un des inspecteurs a clairement admis que si la personne identifiée n’avait pas eu ces caractéristiques, le laboratoire aurait pu revoir l’identification en se montrant plus sceptique et repérer l’erreur. »

Comme les agents du FBI n’avaient aucune preuve concrète que Mayfield était impliqué dans l’attentat à la bombe des trains de Madrid, ils décidèrent de ne pas faire une demande de mise sur écoute, qu’il faut justifier par un motif suffisant de croire à une activité ou intention criminelle. À la place, ils ont donc fait appel à un mandat FISA (NdT : Foreign Intelligence Surveillance Act, loi décrivant les procédures de surveillance sur des puissances étrangères) en affirmant qu’ils avaient des motifs suffisants de croire que Mayfield agissait pour le compte d’un groupe terroriste étranger. Ainsi, le FBI pouvait contourner le Quatrième Amendement : s’ils découvraient accidentellement au cours de leur activité de renseignement la preuve d’une activité criminelle; ils pourraient la partager avec les procureurs et les enquêteurs. La cour confidentielle de la FISA approuva la demande, comme elle le fait presque toujours, et c’est ainsi que le FBI a pu commencer la surveillance sous couverture de Mayfield et de sa famille, de manière clandestine et incroyablement intrusive.

Des théories inventées de toutes pièces

Des agents du FBI pénétrèrent par effraction dans la maison de Mayfield et dans son cabinet d’avocat. Ils fouillèrent dans des documents protégés par le secret professionnel entre un avocat et son client, ils mirent sur écoute ses téléphones, ils analysèrent sa comptabilité et son historique de navigation Internet, ils fouillèrent même ses poubelles. Ils le suivirent dans tous ses déplacements. Malgré tout cela, le FBI ne trouva pas le moindre indice qui puisse le relier aux événements de Madrid. Ils trouvèrent cependant, des recherches Internet sur des vols vers l’Espagne et découvrirent qu’il avait pris une fois des leçons de pilotage d’avion. Pour ces agents du FBI, d’ores et déjà convaincus de sa culpabilité, tout cela était la preuve que Mayfield était un terroriste en puissance. Ses recherches sur le web étaient cependant tout à fait banales : sa fille devait organiser des vacances fictives pour un projet scolaire. Quant aux leçons de vol, elles témoignaient de l’intérêt de Mayfield pour le vol en avion, et rien de plus.

Il peut sembler qu’il y a là un nombre bizarre de coïncidences. Mais quand on présenta les preuves qui démontraient l’innocence de Mayfield au FBI, le Bureau les déforma pour pouvoir soutenir la thèse première qui faisait de lui un coupable. Le passeport de Mayfield avait expiré, et le dernier enregistrement d’un passage de frontières remontait à son service militaire en 1994. En l’absence de preuves d’un voyage à l’étranger depuis des années, le FBI a tout simplement élaboré une théorie selon laquelle il avait forcément voyagé sous une fausse identité dans le cadre de ce complot terroriste .

Du fait des erreurs commises par le FBI — ils avaient laissé des empreintes de chaussures sur le tapis de la maison de Mayfield et fait irruption un jour où son fils était seul à la maison —, Mayfield en conclut qu’il était sous la surveillance des autorités fédérales. La paranoïa s’installa. Quand il était au volant, il vérifiait s’il n’était pas suivi par une voiture jusqu’à son domicile ou jusqu’à son bureau. Le FBI interpréta sa nervosité comme une preuve supplémentaire de culpabilité. Pensant que leur couverture avait sauté, les agents du FBI placèrent Mayfield en détention comme témoin matériel dans l’attentat de Madrid, au motif qu’ils craignaient un risque de fuite. Ils ne pouvaient pas l’arrêter car malgré leur surveillance intrusive ils n’avaient toujours aucune preuve tangible d’aucun crime. Il passa deux semaines en prison, terrifié à l’idée que ses codétenus apprennent qu’il était impliqué d’une manière ou d’une autre dans les attentats de Madrid et qu’ils ne l’agressent.

Lorsque l’OIG examina comment l’affaire Mayfield avait été traitée, il établit que les demandes déposées par le FBI pour auditionner des témoins matériels et pour obtenir des mandats de perquisitions « contenaient plusieurs inexactitudes qui reflétaient un manque regrettable d’attention aux détails ». Malgré toutes les preuves contraires, le FBI était tellement convaincu de tenir son homme qu’il fournit de fausses déclarations sous serment devant un juge. La seule raison pour laquelle Mayfield est un homme libre aujourd’hui, c’est que la police espagnole a répété à plusieurs reprises au FBI que l’empreinte récupérée sur le sac de détonateurs ne correspondait pas à celles de Mayfield. Pourtant, le FBI s’en est tenu obstinément aux résultats de ses laboratoires jusqu’à ce que les autorités espagnoles identifient de manière concluante les empreintes du vrai coupable, Ouhane Daoud, de nationalité algérienne. Ce n’est qu’alors que le voyage traumatisant de Mayfield dans les entrailles de la sécurité nationale prit fin.

Un récit édifiant

L’épreuve qu’a vécue Mayfield est un récit édifiant de ce qui peut arriver lorsqu’un gouvernement s’acharne sur ses suspects et refuse de desserrer son étau. Heureusement, dans le cas de Mayfield, le gouvernement a fini par le relâcher mais non sans que la procédure ait chamboulé son existence.

Près d’une décennie plus tard, les capacités du gouvernement en matière de surveillance confidentielle n’ont fait que croître, grâce aux médias sociaux, téléphones connectés et autres technologies. La collecte massive de données personnelles des États-Uniens augmente le risque que des faux positifs — des Mayfield innocents tombant sous l’examen approfondi du gouvernement – se produisent . Et quand ce faux positif est un musulman américain ou un anarchiste ou un féroce activiste écologiste, les agents du gouvernement et les analystes auront-ils la capacité de mettre de côté leurs préjugés et leur nervosité afin de soupeser chaque information, particulièrement les preuves contradictoires, avant de condamner ces quelques malheureux à des charges bidons et à la vindicte publique ?

Le biais de confirmation devrait nous rendre sceptiques quant à cette possibilité.

Crédit photo : Fabbio (Creative Commons By-Sa)

Avec La Quadrature, Mozilla et tant d’autres organisations, nous nous associons à l’opération de riposte The Day We Fight Back^[1], journée de mobilisation contre la surveillance de masse, également journée hommage à Aaron Swartz^[2] et date anniversaire du succès remporté contre SOPA.

Nous n’avons pas prévu d’actions d’éclat particulières aujourd’hui dans la mesure où nous estimons, comme l’April en campagne actuellement, que nous y participons au quotidien, par la défense et la promotion du Libre en général et du logiciel libre en particulier.

Nous agissons pour re-décentraliser le Web^[3] en offrant nos libres services en ligne que chacun peut installer sur son propre serveur ou utiliser librement sur notre portail. Ils sont regroupées sous le projet global « Framacloud » : Framapad, Framadate, Framindmap, Framanews, le petit dernier Framabag, etc.
Comme annoncé, nous avons aussi récemment entrepris notre « libération de Google », en commençant par le mail.
Brique après brique, construisons des alternatives à GAFA (Google, Apple, Facebook, Amazon), ces géants du Net parfaitement transparents pour la NSA.

Tous ensemble, faisons en sorte que notre optimiste slogan se concrétise chaque jour davantage : La route est longue mais la voie est libre.

Comme nous l’avions annoncé il y a un mois ici, demain c’est la journée d’action The Day We Fight Back.

On peut toujours gloser sur la réelle portée d’un tel événement, mais il a le mérite de mettre le focus sur un sujet fondamental, pas assez relayé par les médias et peu pris à bras le corps par nos politiques. L’occasion justement d’en parler autour de nous et de faire avancer la sensibilisation.

Le jour de la contre-attaque : un appel à la communauté internationale pour lutter contre la surveillance de masse

The Day We Fight Back: A Call To the International Community to Fight Against Mass Surveillance

Katitza Rodriguez – 27 janvier 2014 – EFF.org
(Traduction : nitot, Asta, amha, piero, GregR, maxauvy)

Les révélations de Snowden ont confirmé nos pires craintes au sujet de l’espionnage en ligne. Elles montrent que la NSA et ses alliés ont construit une infrastructure de surveillance globale pour « contrôler Internet » et espionner les conversations mondiales. Ces groupes de l’ombre ont sapé les normes de chiffrement de base, et criblé la dorsale Internet avec des équipements de surveillance. Ils ont collecté des centaines de millions d’enregistrements téléphoniques de personnes qui n’étaient soupçonnées d’aucun crime. Ils ont écouté les communications électroniques de millions de personnes, chez elles et à l’extérieur, sans distinction aucune, en exploitant les technologies numériques que nous utilisons pour échanger et nous informer. Ils espionnent les populations alliées, et partagent ces informations avec d’autres organisations, au mépris le plus complet des lois.

Nous n’allons pas laisser la NSA et ses alliés détruire Internet. Inspirée par la mémoire d’Aaron Swartz, alimentée par la victoire contre SOPA et ACTA, la communauté numérique tout entière est unie pour retourner au combat.

Le 11 février, le jour de la contre-attaque (NdT : The Day We Fight Back), le monde va exiger la fin de la surveillance de masse dans tous les pays, tous les états, quels que soient les frontières et les régimes politiques. Les manifestations contre SOPA et ACTA ont été un succès car nous avons tous participé en tant que communauté. Comme le disait Aaron Swartz, tout le monde est devenu « le héros de sa propre histoire ». Nous pouvons choisir une date, mais nous avons besoin de tout le monde, de tous les utilisateurs de l’Internet, pour faire de ceci un mouvement.

Voici une partie de notre plan (mais ce n’est que le début). L’an dernier, avant qu’Ed Snowden ne fasse ses révélations au monde, les militants des droits numériques se sont entendus sur 13 Principes. Ces Principes expliquaient clairement en quoi la surveillance généralisée représente une violation des Droits de l’Homme, et donnaient aux législateurs et juges une liste de correctifs qu’ils pouvaient appliquer aux barbouzes de l’Internet. Ce jour de la contre-attaque, nous voulons que le monde adhère à ces principes. Nous voulons que les politiciens s’engagent à les respecter. Nous voulons que le monde voie que nous sommes concernés.

Voici comment vous pouvez rejoindre le mouvement :

1. Nous encourageons les sites web à faire un lien vers le site The Day We Fight Back. Cela permettra à des personnes du monde entier d’apposer leur signature sous nos 13 Principes, en riposte à la surveillance de masse de la NSA, du GCHQ et d’autres agences de renseignement. Si vous pouvez informer vos collègues sur cette campagne et le site avant la fin de la journée, nous pourrons envoyer de l’information à ce sujet dans chaque pays.

2. Dites à vos amis de signer les 13 Principes ! Nous (NdT : EFF) sommes en train de nous organiser pour nous associer à la journée d’action. Nous allons continuer à utiliser ces Principes pour montrer à ceux qui nous gouvernent que le respect de la vie privée est un droit pour chacun et doit être protégé sans tenir compte des frontières.

3. Courriels : Si vous avez besoin d’un prétexte pour en parler à vos collègues ou à vos proches à ce sujet, le 11 février est pile le bon moment pour leur dire de contacter les politiques locaux sur des sujets comme l’espionnage via Internet. Il faut les encourager à agir et à comprendre l’importance du combat contre la surveillance de masse.

4. Réseaux sociaux : touittez ! Postez sur Facebook et Google Plus ! Nous voulons faire autant de bruit que possible. Nous voulons vraiment une campagne à l’échelle du globe, où tous les pays sont impliqués. Plus nous serons nombreux à signer les Principes, plus ceux qui nous gouvernent entendront nos exigences visant à arrêter l’espionnage de masse chez nous et dans d’autres pays.

5. Outils : développez des mèmes, des outils, des sites web et tout ce que vous pouvez pour encourager d’autres personnes à participer.

6. Soyez créatifs (NdT : exemple) : préparez vos propres actions et vos propres engagements. Descendez dans la rue. Faites la promotion des Principes dans votre pays. Ensuite, dites-nous ce que vous comptez faire, de façon à ce qu’on fasse un lien vers vos efforts et qu’on leur donne de la visibilité.

Ce serait génial si vous participiez de ces six façons (ou plus encore !) mais franchement, tout ce que vous pourrez faire aidera le mouvement.

Les espions d’Internet ont passé trop de temps à écouter nos pensées et peurs les plus privées. Il est maintenant temps qu’ils nous entendent vraiment à leur tour. Si vous partagez notre colère, partagez aussi nos principes et contre-attaquez.

Crédit photo : Greenoid (Creative Commons By-SA)

Nous l’avions dit lors de notre campagne de don 2013 : 2014 sera l’année du « Moins de Google et plus de Libre »

Un semblant de planning a été dévoilé dans le récent billet intitulé « Manger la pâtée de son chien ». C’est le 1er février que nous devions nous séparer de Gmail, et nous l’avons fait !

Nous sommes maintenant complètement autonomes pour la gestion de nos mails. Comme annoncé précédemment, nous avons choisi la solution BlueMind.

Il nous fallait un groupware pour remplacer Gmail : nous avions besoin de la gestion des mails, mais aussi de celle des agendas et des contacts, le tout en permettant le partage de ceux-ci, au moins entre nous.

Pendant notre recherche du Graal du groupware libre kivabien, nous en avons testé un bon nombre. Si certains n’étaient pas sans attraits, aucun n’avait la simplicité d’installation, de configuration et de maintenance de BlueMind tout en proposant une interface sympa et une synchronisation Exchange Active Sync^[1] sans devoir allonger la monnaie^[2].

Après avoir choisi BlueMind, un tweet de ma part nous a réservé une belle surprise : la souscription — facultative — auprès de BlueMind est offerte pour les associations du libre.
Même si nous étions partis pour nous débrouiller seuls, cette nouvelle était bienvenue car la souscription apporte un outil permettant de faire les mises à jour aussi simplement que l’installation^[3] (qui tient en deux lignes de commande).

Du temps en moins pour des mises à jour, c’est autant de temps en plus pour nos projets :D.

Bref, séduits par Bluemind, nous l’avons installé sur une machine virtuelle de notre nouvelle infrastructure^[4].

La formation des utilisateurs framasoftiens à la nouvelle interface ainsi que leur migration fut longue et pleine de mails de questions, de réponses, d’incompréhension… mais couronnée de succès.
La possibilité (récente) de pouvoir exporter sa boîte Gmail au format mbox a même donné lieu à une petite séance de modification d’un script python, IMAP Upload pour l’adapter aux labels de Gmail : les labels deviennent des dossiers lorsqu’ils passent dans gmail-mbox-to-imap et les mails y sont consciencieusement rangés. Peut-être ce script vous sera-t-il utile ?

Ce fut une belle migration. L’adminsys et le serveur se portent bien 😉 Nous pouvons donc aujourd’hui vous annoncer fièrement que nos mails sont libres et nous espérons que vous aurez envie de nous suivre dans cette voie.

Ce premier jalon dans notre entreprise de libération ne fait qu’ouvrir la voie à la ribambelle de changements que nous opérerons cette année.
Le prochain épisode sera celui du passage des Google Groups à notre propre serveur de listes de diffusion basé sur Sympa (1er mars si tout se passe comme prévu).

Librement,
Sky, pour Framasoft

Crédits photo:

• Capture d’écran : Sky, CC-0
• Chat dans un ordinateur : Tim Avatar Bartel, CC-BY

Le 21 novembre dernier, nous annoncions sur le Framablog une « opération de libération » du web-documentaire « No Es Una Crisis ». En effet, les ressources de ce documentaire produit par ‘‘La Société des Apaches” sont libres (CC BY-SA), malheureusement sa réalisation utilisant la technologie Flash empêchait sa visualisation sur bon nombre de supports (smartphones, tablettes, systèmes d’exploitation libres, anciennes versions de Windows, etc.).

L’objectif était d’arriver, en un week-end, à produire collectivement et bénévolement, une version HTML5 du webdoc permettant sa visualisation sur tous les supports disposant d’un navigateur web récent.

Pierre-Yves Gosset était, avec Fabien Bourgeois, le co-organisateur de ce « marathon de libération ».

Bonjour Pierre-Yves. La première question qui me vient à l’esprit est « Alors, l’objectif a-t-il été atteint ? »

La réponse est : malheureusement non, puisque nous n’avons pas été en mesure de publier la version HTML5 le 15 au soir.

Heureusement, « la route est longue, mais la voie est libre ». Et ne pas avoir atteint l’objectif fixé le dimanche soir ne signifiait pas pour autant la mise au placard du travail effectué le week-end.
Ce qui me permet aujourd’hui d’annoncer qu’une version – non-finalisée, mais fonctionnelle – est en ligne.

Que s’est-il passé ?

Il faut d’abord préciser quelques éléments de contexte.

Nous nous sommes réunis les 14 et 15 décembre 2013, à Lyon, à Locaux Motiv (qui héberge le local de Framasoft).
Suite à l’appel lancé via le Framablog, nous étions 7 le samedi : Adrien, Fabien, Sheetal, tonton, JosephK, Luc, pyg (+ Julien et Frib pour l’équipe du webdoc). Nous avons eu deux désistements de dernière minute. Le dimanche, nous étions 5 : Fabien, tonton, Luc, JosephK et pyg.
Pour la plupart, ces personnes n’avaient jamais travaillé ensemble et ne se connaissaient pas.

Concernant le déroulé, après un présentation du projet de webdoc par les Apaches, nous avons réparti les participants en différentes équipes : vidéos (JosephK et Adrien), panneaux interactifs (Fabien et Luc), panneau « portraits » (tonton, avec l’aide ponctuelle de Luc et Fabien), et « petites mains » (Sheetal et pyg).

Le rendez-vous était donné à 10h, mais je pense que nous n’avons commencé à prendre nos marques que vers 14h, après les traditionnelles pizzas-bières.
Le choix était fait dès le départ de combiner le libérathon avec une soirée « détente » : l’anniversaire de l’association Locaux Motiv (qui nous accueillait). Donc, à 21H, nous avons troqué nos claviers contre des pintes de bière (ou de jus de fruits) au bar De l’Autre Côté du Pont.
La soirée s’est transformée en nuit, puisque certains participants (dont votre serviteur) n’ont retrouvé leur lit que vers 5H du matin.
Cela ne nous a pas empêché de reprendre vaillamment le travail le dimanche vers 10 h 30.
Seulement, à 15 h, il fallait se rendre à l’évidence, nous n’aurions pas le temps d’atteindre notre objectif avec les choix techniques retenus (pourtant pertinents, mais la montre jouait contre nous).

Nous avons donc fait le choix stratégique de changer d’option technologique : l’agencement CSS des éléments des panneaux nous aurait pris trop de temps pour « boucler » à l’heure, et nous sommes donc partis sur une piste « dégradée » (une image par panneau, avec une imagemap, pas de vidéo/son de fond, etc.).

Ce choix s’est avéré payant, puisqu’à 21h, nous avions bien les 4 panneaux interactifs « fonctionnels », mais dans un mode relativement dégradé : peu d’interactivité, pas de titres de séquences, et plein de « petits détails » simples à régler mais dont le nombre ne permettait pas d’envisager une publication le soir même.

Cependant, il restait quelques points bloquants (la transition « accueil > vidéo intro > instructions » non fonctionnelle, certains fichiers json mal encodés empêchant le lancement de certaines vidéos, etc.).

Bref, il manquait peut-être 4 à 6h de travail pour avoir un rendu « publiable », mais l’équipe était épuisée (et affamée !).

Quels sont les obstacles que vous avez rencontrés ?

Notre incapacité à publier le dimanche soir résulte d’une double cause.

D’abord, nous avons sous-estimé la phase de préparation. En effet, un webdoc de 3 heures, ce sont beaucoup de ressources diverses (des pictos, des logos, des images, des vidéos, des sons, etc.). Sans compter qu’il s’agit d’un webdoc multilingue (FR/ES/EN), ce qui complexifie encore les choses. Or, si nous avions bien accès aux sources, une partie de ces dernières étaient intégrées dans les fichiers .psd et .fla (Adobe Photoshop et Flash). Il a donc parfois fallu extraire des ressources de ces fichiers parfois très lourds et complexes (j’en profite pour remercier Sheetal et la société Mobiped pour leur aide précieuse et la mise à disposition d’une machine disposant de ces logiciels propriétaires, car Gimp refusait évidemment d’ouvrir des .psd de 2 Gio avec plus de 200 calques).
Pourtant, Fabien et moi avions passé plusieurs heures en amont à préparer ce libérathon (identifier les ressources, réfléchir à l’organisation, faire la mise en place, etc.).
Cependant, sans connaitre le nombre exact de participants (nous nous attendions à des défections) et leurs compétences, difficile d’être plus prêts.

Ensuite, nous manquions d’un expert CSS3. Alors évidemment, le web est plein de ressources, d’informations, de bibliothèques préexistantes, etc. Mais même si la courbe d’apprentissage est rapide et relativement sans douleur, on ne peut échapper à quelques tâtonnements. Et ces tâtonnements nous auront fait perdre bien du temps le samedi. Un expert CSS3 nous aurait permis de gagner plusieurs heures, très précieuses dans le cadre d’un « sprint » comme celui-ci.

Ajoutez à cela que nous étions tous bénévoles, et que l’ambiance et la bière étaient bonnes, et vous comprendrez bien qu’un des objectifs était aussi d’apprendre en s’amusant. Nous nous étions lancé un défi, mais nous ne voulions pas non plus nous mettre trop la pression. Il fallait quand même que cela reste un moment de partage et de plaisir !

Souvent, dans ce type de projet, les gens restent coder pendant la nuit. Ce ne fut pas notre cas. Si nous avions préféré rester enfermés plutôt que de sortir, nous aurions sans doute fini dans les temps, mais il n’y a pas que le code dans la vie !

Et aujourd’hui, où en est le webdoc ?

Il est en place !

Il nous aura fallu un peu de temps, car les vacances et les fêtes de fin d’année sont passées par là. Ainsi que l’assemblée générale de Framasoft. Le temps de pouvoir remettre les doigts dans le code, nous étions déjà fin janvier.

Le webdoc est donc accessible sur http://noesunacrisis.com. Ou directement sur http://noesunacrisis.framasoft.org/html5 (si vous avez Flash d’installé et que vous voulez accéder à la version HTML5)

Attention ! Je sens les critiques pleuvoir en commentaires :

• Utiliser des images maps en 2014, c’est nul !
• Le positionnement CSS n’est pas totalement responsive !
• Sur mon smartphone, la navigation est difficile.
• Vous auriez pu rajouter (un routeur javascript|les vidéos en fond d’écran|les transitions CSS entre les pages|etc), c’est franchement pas difficile !
• Et l’accessibilité, runtudju !
• etc.

Alors, croyez bien que nous sommes tout à fait conscient des (très grands) défauts de cette version. Mais il faut bien comprendre ce que je disais plus haut : nous avons dû faire un choix. Soit nous publiions une version « dégradée » mais fonctionnelle. Soit nous ne publiions pas du tout ! Tout simplement parce qu’aucune des personnes présentes à ce libérathon n’avait de temps à y consacrer après le week-end.

Donc, nous voyons bien tout ce qu’il aurait été possible de faire. Mais disons qu’on a privilégié le « release early » plutôt que de faire une version techniquement nickel en terme de code, de technologies employées, etc… Mais qui n’aurait probablement jamais été finalisée.

Par ailleurs, nous avons publié notre code (hors vidéos) sur notre compte Github : https://github.com/framasoft/noesunacrisis Vous pouvez donc signaler des bugs mais surtout proposer des améliorations du code (car on ne vous cache pas qu’il est assez peu probable qu’on ait beaucoup de temps à y consacrer).

Enfin, il y a des “effets de bord” positifs à ne plus utiliser Flash, en dehors du fait que cela évite d’utiliser un plugin propriétaire. Comme par exemple le fait de pouvoir pointer directement vers une vidéo ou un panneau. Ainsi, plutôt que de dire « Je te conseille de regarder la vidéo sur la comparaison entre la crise immobilière et la situation des clubs de football espagnols. Va sur http://noesunacrisis.com, puis clique sur “No Futur” (en bas), puis le dessin du stade de foot (à droite) », on peut se contenter de donner le lien
http://noesunacrisis.framasoft.org/html5/video.html#foot
(et on peut même changer les sous-titres en live, ce que ne permettait pas la version Flash).

Un dernier mot pour la fin ?

Comme il s’agit d’une œuvre culturelle, j’aimerais faire comme aux Oscars/Grammy/Césars et remercier tout plein de gens :

• d’abord bien évidemment tous les bénévoles qui sont venus !
• l’association Locaux Motiv pour avoir fourni une salle de réunion adaptée à notre petit sprint de code ;
• la société Mobiped pour le prêt de son matériel ;
• l’association Rézopole pour la mise à disposition de machines virtuelles, mais surtout de bande passante (ils hébergent pas mal de projets libres parmi lesquels des miroirs de LibreOffice ou d’OpenStreetMap, mais aussi notre miroir Abulédu, les vidéos du webdoc, et bientôt bien d’autres projets Framasoft) ;
• la société Tonnerre Total, qui était en charge de la réalisation Flash du documentaire (ce n’est pas parce que cette technologie nous pose problème qu’on ne doit pas les féliciter pour leur travail) ;
• et enfin, la Société des Apaches, pour avoir fait le choix de publier leur webdoc sous licence libre.

Cela aura vraiment été une expérience enrichissante !

Rappel des principaux liens :

• site web du webdoc : http://noesunacrisis.com
• lien direct version HTML5 : http://noesunacrisis.framasoft.org/html5
• le fichier .torrent du MKV (chapitré, mais sans interactivité), réalisé à l’initiative de Nyutag sur le Framablog : https://thepiratebay.se/torrent/9265631/NoEsUnaCrisis_-_Documentary
• le code source sur GitHub : https://github.com/framasoft/noesunacrisis

Blog vraiment anonyme : mode d’emploi !

« Et si vous me trouvez, je serai vraiment très impressionné. »

Comment créer un blog anonyme

How to Start an Anonymous Blog

Anonyme (évidemment) – 26 janvier 2014 – Untraceable
(Traduction : crendipt, aKa, Diab, Penguin, Omegax, amha, nanoPlink, Paul, Scailyna, Scailyna, Asta, Unnamed, goofy, lamessen)

Introduction

Je crois qu’en suivant les étapes que j’expose dans ce billet, personne ne sera capable de dévoiler mon identité. Mon domaine peut être saisi et mon blog peut être fermé, mais je reste persuadé que mon identité restera un mystère.

Si je dis cela, c’est principalement parce que j’ai confiance dans un outil très important appelé Tor. Les développeurs et administrateurs des nœuds de Tor travaillent pour que chacun puisse être anonyme sur Internet. Tor est une sérieuse épine dans le pied pour la NSA et pour les autres organisations et pays qui font de l’espionnage sur Internet.

Vu que le réseau Tor rend très difficile l’identification des adresses IP et que l’enregistrement de domaines est désormais possible via Bitcoin, je n’ai à aucun moment besoin de fournir une quelconque information personnelle pour la mise en place de ce blog.

Outils et ressources

• Clé USB
• Système d’exploitation Tails
• Réseau Tor
• Bitcoins locaux – Acheter des bitcoins en espèces
• Comptes mail gratuits chez outlook.com et anonymousspeech.com
• Nom de domaine acheté chez IT Itch
• Site statique hébergé sur des pages GitHub

Tails / Tor

Tails est lancé depuis une clé USB qui inclut une partition chiffrée. Cette partition contient un porte-monnaie Bitcoin, le code source du blog et une base de données Keepass. Mes mots de passe pour des services tiers sont des mots de passe très forts générés aléatoirement. Avec Tails, il est difficile de se tromper, car toutes les connexions doivent obligatoirement passer par Tor. Par exemple, pour développer ce blog en local, je dois ajuster les règles du pare-feu pour autoriser les connexions locales au port 4000, télécharger un navigateur différent (Midori) et régler celui-ci pour qu’il n’utilise pas de serveur proxy. Le pare-feu bloque toutes les requêtes externes de Midori, mais je peux accéder à http://localhost:4000.

Donc, à moins d’agir de manière insensée, par exemple me connecter à StackOverflow au moyen de mon vrai compte Google et utiliser l’identifiant de « untraceableblog », je pense qu’il est quasiment impossible de me pister.

Je fais une sauvegarde de la clé USB sur mon ordinateur principal, sur un volume caché TrueCrypt. J’aime le concept des volumes cachés, j’ai l’impression d’être un putain d’espion. L’idée, c’est d’avoir un mot de passe factice qui déverrouille un faux dossier chiffré et un mot de passe réel pour déverrouiller le vrai dossier chiffré, sans qu’il y ait aucun moyen pour les autres de savoir lequel vous déverrouillez. Dans mon faux dossier chiffré, je garde ma base personnelle de Keypass, de cartes de crédit, et des scans de mon passeport et permis de conduire. Donc si quelqu’un me force à entrer mon mot de passe pour déverrouiller mon ordinateur et découvre que j’ai un volume TrueCrypt, il n’aura aucun moyen de savoir si j’ai entré le mot de passe réel ou bidon.

Cette fonctionnalité autorise une légère protection contre les tentatives d’extorsion de votre mot de passe par la force.

La plupart du temps, je cache la clé dans un endroit secret de la maison. Quand je dois aller quelque part et que je veux pouvoir mettre à jour ce blog, je le sauvegarde sur le volume caché, puis j’efface la clé de manière sécurisée et je peux l’emporter avec moi sans aucune crainte. C’est ce que je devrai faire jusqu’à ce que Tails intègre sa propre fonction pour les « volumes cachés ».

Messagerie électronique

J’ai créé un compte de messagerie gratuit sur Outlook.com et j’utilise anonymousspeech.com pour la vérification et la sauvegarde.

J’ai d’abord essayé Gmail, mais Google rend la création de compte très difficile quand on utilise Tor, à cause de la vérification par téléphone. C’est compréhensible, à cause des gens qui aiment créer un grand nombre de faux comptes pour envoyer du spam.

Blog

Ce blog est libre sur les pages GitHub, il utilise Octopress pour créer un site statique et j’ai installé le thème Page Turner. J’ai envoyé le contenu sur GitHub avec une clé SSH, bien entendu chiffrée et stockée sur ma clé USB.

Il me vient à l’esprit deux vecteurs susceptibles de vous donner des informations sur mon identité :

L’horodatage des messages

Le système d’exploitation Tails dispose d’une bonne stratégie pour forcer l’heure du système à être systématiquement en UTC. Mais si j’écris une série de billets dans les années à venir, vous pourriez en analyser l’horodatage pour déterminer mon fuseau horaire. Cependant, le site compilé indique uniquement la date. Par ailleurs, je voyage beaucoup (ou pas ?) 😉

Analyse de la fréquence des mots et caractères

Vous pourriez être capables de déterminer mon pays d’origine ou mon identité grâce à mes mots et mes phrases. Vous pourriez même trouver une corrélation avec les autres contenus que j’ai publiés en ligne sous ma véritable identité. Je contre cette possibilité en passant tous mes billets dans Google Translate. Je traduis dans une autre langue, puis en anglais et je corrige ensuite les erreurs. C’est parfait pour diversifier mon vocabulaire, mais j’aurais aimé que ça ne casse pas autant le Markdown et le HTML. Jusqu’ici vous pourriez croire que l’anglais est ma seconde langue. Mais laissez-moi vous assurer d’une chose : je n’ai jamais affirmé ni infirmé ce point.

Un des problèmes, c’est que Google peut voir mes messages originaux et probablement aussi la NSA. Si je voulais l’éviter, je pourrais poster des demandes de traductions anonymes et payer les traducteurs en bitcoins.

Statistiques

Les raisons de l’indisponibilité de Google Analytics vous sont données sous « Messagerie électronique ». À la place, j’ai choisi StatCounter.

Mais même si Google Analytics avait été disponible, je n’aurais pas utilisé une ID de suivi liée à mon identité réelle. Beaucoup de blogueurs anonymes ont été trahis par l’annuaire d’ID inversé proposé par Google.

Acheter des bitcoins avec le maximum d’anonymat

J’ai acheté les bitcoins en utilisant un compte anonyme créé via Tor. J’ai trouvé un vendeur qui souhaitait me rencontrer en personne et nous avons convenu d’un rendez-vous. Nous nous sommes rencontrés, je lui ai donné l’argent et il m’a transféré les bitcoins en utilisant son téléphone.

Acheter un nom de domaine avec des bitcoins

IT Itch est un registrar qui accepte les paiements via BitPay. Leurs noms de domaine sont assez chers,15 USD chacun, mais permettent un enregistrement totalement anonyme. Ce fut une démarche facile, mais il a fallu du temps pour que le domaine devienne actif (plus d’une heure). Une fois activé, j’ai configuré les enregistrements DNS pour GitHub Pages, et ensuite mon blog était accessible sur http://untraceableblog.com.

IT Itch a fait la grosse erreur de m’envoyer mon mot de passe en texte clair après la création du compte. PAS BIEN ! Si quelqu’un parvient à accéder à mon compte Outlook, il peut se connecter et détruire mon site. Donc j’ai effacé le message et changé mon mot de passe, et heureusement ils ne l’ont pas renvoyé par e-mail.

Comment je pourrais être découvert, 1ère partie

Pister les Bitcoins

En théorie, vous pouvez suivre la trace des transactions Bitcoins et découvrir mon identité. Toutefois, dans ce cas, il est très peu probable que même l’organisation la plus sophistiquée et la mieux financée puisse me découvrir.

Voyez-vous, j’ai acheté ces Bitcoins en utilisant un compte anonyme sur localbitcoins.com (créé en utilisant Tor). Nous avons convenu, le vendeur et moi, de nous rencontrer en personne, et j’ai payé en liquide. Pour dévoiler mon identité, il faudrait que vous puissiez casser les défenses de tous les services que j’ai utilisés ou bien travailler chez eux. Il faudrait par exemple :

1. Accéder à la base de données de ititch.com et trouver l’identifieur de la transaction BitPay pour untraceableblog.com
2. Accéder à la base de données de BitPay et trouver l’adresse Bitcoin qui a envoyé les Bitcoins pour cette transaction
3. Accéder à la base de données de localbitcoins.com. Trouver l’adresse Bitcoin qui a envoyé les Bitcoins à BitPay, retracer la transaction jusqu’à ce que vous trouviez l’adresse localbitcoins du dépôt fiduciaire.
4. À partir de l’adresse du dépôt fiduciaire, vous pourrez trouver le compte localbitcoins, et retrouver les messages que nous avons échangés pour nous rencontrer.
5. Vous devrez vous rendre au point de rendez-vous et espérer qu’il existe des caméras de surveillance qui auraient pu nous enregistrer ce jour-là.
6. Vous aurez enfin besoin d’accéder à la société de sécurité qui possède les enregistrements des caméras de surveillance, obtenir une bonne image de mon visage et faire tourner d’une façon ou d’une autre un logiciel de reconnaissance faciale pour découvrir mon identité. Travailler pour Facebook ou la NSA pourrait aider si vous avez réussi à parvenir à ce point.

Comment je pourrais être découvert, 2ème partie

Tout est hacké. Absolument tout.

Internet est une machine basée sur la confiance et il existe de nombreuses manières de briser cette confiance. Quelqu’un peut générer des certificats SSL de confiance pour n’importe quel domaine, exiger que son FAI route l’intégralité du trafic au travers de ces certificats, ou contrôler un grand nombre de nœuds Tor et réaliser des attaques par analyse de trafic. Je n’entrerai pas dans les détails mais si vous êtes intéressés, vous pouvez en apprendre davantage sur les attaques Tor :

• Comment la NSA attaque les utilisateurs de Tor / Firefox avec quantum et FOXACID
• Articles concernant les attaques sur le blog de Tor

Conclusion

Je n’ai fait ce blog que comme un exercice amusant d’anonymat, même si j’y posterai probablement des choses dans le futur. J’ai simplement utilisé des outils créés par des gens bien plus intelligents que moi et je ne suis sûrement pas le premier blogueur anonyme, mais j’espère vous avoir appris quelque chose.

Bien évidemment, on peut aller beaucoup plus loin que ça. J’aurais pu héberger ce blog sur un VPS que j’aurais loué avec des Bitcoins et installer le serveur comme un service Tor masqué. L’adresse IP du serveur aurait été totalement protégée mais, de ce fait, vous n’auriez pu consulter ce blog qu’au travers du réseau Tor, et les liens de nœud Tor (TBR) ça ne fait pas très chouette en page d’accueil. J’aurais également pu faire toutes mes actions depuis un cybercafé, juste au cas où Tor serait compromis, mais je n’aurais pas été découvert. Enfin, j’aurais pu choisir un domaine en « .se » si j’avais eu peur de l’intervention du gouvernement américain. C’est ce qui est actuellement utilisé par The Pirate Bay, et les Suédois leur laissent toute liberté d’action.

N’hésitez pas à m’envoyer quelques Satoshis (fractions de Bitcoins) si vous aimez ce billet : 146g3vSB64KxxnjWbb2vnjeaom6WYevcQb.

Et si vous me trouvez, je serai vraiment très impressionné.

Crédit illustrations : AndyRobertsPhotos (Creative Commons By) et XKCD