La première chose à savoir, c'est que le projet de loi ne parle bien évidemment pas de "pare-feux". Le texte parle de "moyens de sécurisation" :
la Haute Autorité établit une liste labellisant les moyens de sécurisation dont la mise en œuvre exonère valablement le titulaire de l’accès de sa responsabilité Ces moyens de sécurisation sont destinés à prévenir l’utilisation illicite de l’accès à un service de communication au public en ligne ou de communications électroniques et la mise en oeuvre de l'un d'entre eux peut être imposée par l'HADOPI à un internaute.

Honnêtement, je ne comprends pas la fonctionnalité exacte de ces moyens de sécurisation. Et je ne suis pas le seul puisque Lionel Tardy, un des députés qui maitrisent le mieux le sujet, demandait lors des débats :
Pourrait-on également nous expliquer ce qu’est un pare-feu, puisqu’il est présenté comme la solution à tout ?

Qu'est ce que l'on sécurise exactement ? Un élément du réseau (un PC, un routeur, un point d'accès wifi, ...) de telle sorte que seules les personnes autorisées puissent y avoir accès ? L'impossibilité d'effectuer ou de faire transiter une copie illicite par ces mêmes éléments ?

La question des autorisations d'accès est bien connue de tous ceux qui s'intéressent à la sécurisation des réseaux face aux potentielles intrusions. En théorie, la plupart des entreprises sont déjà sensibilisées à ces questions. Les particuliers le sont beaucoup moins mais, par chance, le système à sécuriser est, dans ce cas, généralement peu complexe. La configuration usuelle ne comporte que 2 points d'entrée sensibles : un point d'accès wifi et un modem qui fait le lien avec internet.

Pour ce qui est de l'accès wifi, la norme la plus récente, WPA2 est raisonnablement sure mais elle a un gros défaut : elle n'est pas supportée par la plupart des matériels en activité. La grosse majorité d'entre eux fonctionnent sur des normes plus anciennes relativement vulnérables.
Donc, 1er réel problème, soit les moyens de sécurisation imposent la norme récente et des millions d'appareils wifi deviennent bons pour la casse, soit les moyens de sécurisation tolèrent des normes plus anciennes et ils ne sécurisent pas grand chose.

Pour ce qui est de l'accès internet, les choses sont un peu plus compliquées. C'est là que l'on va trouver les désormais célèbres pare-feux.
Si on essaie de vulgariser la chose, un échange de donnée via le réseau est caractérisé par 3 éléments :

  • une adresse IP qui identifie, à un instant donné, l'abonné. C'est un peu l'équivalent de l'adresse postale d'un logement.
  • un numéro de port qui est une convention pour trier les données qui arrivent à la même adresse. Pour garder l'analogie avec le courrier papier, quand on vide sa boite au lettre on peut par exemple immédiatement faire 2 piles sans ouvrir d'enveloppe : la pile des prospectus publicitaires et celle du "vrai courrier". L'apparence de chaque document respecte une convention qui permet de faire le tri sans se préoccuper du contenu.
  • un protocole qui représente le langage utilisé pour l'envoi des données. Il entre en jeu dès que l'on s'intéresse au contenu.

A partir de là, un pare-feu, c'est un logiciel qui, grace à un ensemble de règles va autoriser ou interdire certains échanges. La règle la plus courante c'est l'interdiction de la plupart des échanges de données effectuées à l'initiative de quelqu'un qui est à l'extérieur du système que l'on veut protéger.
En reprenant l'exemple du papier, toute personne qui affiche sur sa boite aux lettres "pas de publicité, merci" et qui met immédiatement à la poubelle sans les regarder tous les prospectus qui auraient malgré tout atteint la boite, joue un rôle de pare-feu.

Un pare-feu peut donc protéger de certaines intrusions mais il est loin d'être efficace à 100%. Son plus gros problème est le cas où l'échange de données est initié depuis l'intérieur de la zone à protéger et où les caractéristiques de l'échange (IP, port, protocole) n'ont rien de suspect.
Le cas n'est pa anodin puisque l'on peut désormais louer des ensemble de machines zombie, c'est à dire des machines dont le contrôle a été pris à l'insu de leur propriétaire pour, sur un simple ordre, effectuer une action sur le réseau. Le principal usage à l'heure actuelle est l'envoi d'emails mais on peut tout imaginer...

On notera bien évidemment que si ce genre d'utilisations peut survenir à l'insu de celui qui veut se protéger, le contournement est d'autant plus aisé pour celui qui n'est intéressé que par l'illusion de la sécurisation.
D'où le 2ème problème pour les moyens de sécurisation Hadopi : les pare-feux sont, avant toute chose, destinés à se protéger contre une intrusion indésirable. Ils ne peuvent pas grand chose dans le cas où quelqu'un résidant à l'intérieur de la zone protégée souhaite contourner le système.

Pour gagner en efficacité, le seul moyen est d'aller effectuer la sécurisation dans les entrailles des données échangées. S'il s'agissait de courrier papier, la façon de procéder est simple : il faut ouvrir les enveloppes comme le racontait fort à propos KaG il y a un an dans une jolie fable.
Certaines techniques commencent à apparaitre pour déterminer la licéité d'un échange de données. Les gros hébergeurs de contenu, tels youtube, testent ce genre de système mais toute généralisation est pour l'instant illusoire.
Et si jamais cela se mettait en place, diverses techniques de cryptographie commenceraient à fleurir pour échanger des données, ce qui n'est pas sans poser d'autres problèmes que je ne vais pas détailler ici (il y a de la matière pour un billet entier)

Mais, au delà de la contrainte technique, un tel système d'analyse des contenus échangés poserait le problème de l'intrusion d'un élément tiers dans le système d'un utilisateur, un élément sur lequel l'utilisateur ne pourrait avoir aucune prise puiqu'il faudrait que l'Hadopi puisse avoir confiance en cet élément.
Christian Paul n'a pas manqué de le rappeler à Christine Albanel qui n'a pas jugé utile de répondre (mon avis personnel est qu'elle n'a même pas compris la question) :
La seconde conséquence ne vous passionnera sans doute guère : dans notre pays et hors de nos frontières se développe un mouvement essentiel pour l’avenir de la civilisation numérique, le logiciel libre. Vous parliez tout à l’heure d’installer un pare-feu sur les ordinateurs. Or les contrôles d’usage que vous proposez, auxquels s’apparentent au fond les pare-feux pour les utilisateurs, reposent sur l’idée qu’une partie de l’ordinateur devient une terre d’accueil pour les fournisseurs de contenus. Une telle approche s’oppose frontalement aux principes du logiciel libre, selon lesquels chaque utilisateur doit avoir un contrôle intégral de son ordinateur.

Et c'est là un 3ème problème pour les moyens de sécurisation : Hadopi doit avoir confiance en leur efficacité. Ils ne peuvent donc pas être mis en oeuvre dans un système libre puisque, par définition, dans un tel système l'utilisateur aurait le droit d'altérer leur fonctionnement.
Ceci est une conséquence trop peu médiatisée de ce projet de loi. Georges Orwell a imaginé les "télécrans". La France est en train de les faire entrer par la petite porte au sein de chaque foyer. Les "moyens de sécurisation" peuvent, de par leur nom, donner l'impression de protéger l'utilisateur. En réalité, ils ne sont là que pour espionner ses actions.

1984.jpg

L'Hadopi va inciter tous les français à installer, à leur insu, une caméra de surveillance dans leur salon. Et s'il y a des récalcitrants, l'Hadopi aura le pouvoir d'imposer cette installation.

Que faut-il faire pour que les français comprennent ce qui est en train de se passer et s'y intéressent ?