Vous avez probablement entendu parler il y a quelques temps d'une étude de l'université de Washington[1] concernant les procédés utilisés par les agences américaines pour traquer les utilisateurs de BitTorrent coupables de téléchargement de contenus protégés.
J'avais personnellement lu l'annonce de l'étude en diagonale, sans y accorder trop d'intérêt à l'époque. Je viens enfin de prendre le temps de lire le papier original, et je dois avouer que je suis assez intéressé par les possibilités offertes par leurs conclusions. Voici donc un rapide résumé :

La majorité des agences (américaines, mais je serais étonné que ce soit différent chez nous avec nos amis de la SACEM) utilisent des méthodes qui ne sont pas concluantes pour déterminer la culpabilité des utilisateurs.

Il est possible de faire accuser n'importe quelle adresse IP de téléchargement illégal, et ce de différentes manières.

Par extension, il est possible de réfuter quasiment toute preuve de téléchargement illégal via BitTorrent.

Pour mieux comprendre les affirmations précédentes, il convient de rentrer un peu plus en détail dans le fonctionnement de BitTorrent. La première étape pour utiliser BitTorrent est de fournir à son client un fichier .torrent contenant globalement les coordonnées du tracker, qu'on pourrait qualifier de coordinateur, et des informations sur le contenu que l'on souhaite récupérer. Immédiatement, le client se connecte à ce tracker et obtient une liste des autres clients connectés. Le tracker ajoute alors automatiquement notre adresse à la liste des clients connectés ou, s'il gère une extension du protocole, une adresse que nous lui avons annoncée, qui peut être différente de la nôtre (essentiellement pour des problèmatiques de NAT et de configuration réseau asymétrique). Enfin, notre client entre en contact avec un autre client connecté et récupère des données, se préparant à les envoyer à tout autre client connecté en faisant la demande.

La bonne méthode (dite "directe") pour identifier un utilisateur téléchargeant du contenu illégal nécessiterait donc de se connecter au tracker, puis de se connecter aux différents clients pour leur demander de nous envoyer le fichier concerné. Cela permettrait de valider non seulement que le fichier obtenu est bien un contenu sous copyright, mais également que le client concerné est effectivement actif en téléchargeant et distribuant des données. Cela est d'autant plus important qu'à ma connaissance les tribunaux français n'ont jamais condamné que pour "mise à disposition" et non pour "téléchargement".
Malheureusement (ou heureusement pour les accusés) cette seconde méthode est plus complexe et plus longue, donc plus coûteuse, et il semble que la majorité des accusations soient faites en se basant sur la méthode dite "indirecte", c'est à dire uniquement sur la liste des clients connectés envoyée par le tracker. Or il est tout à fait possible de ne se connecter au tracker que pour obtenir cette liste, et de n'avoir à aucun moment participé à l'activité d'échange de contenus protégés par le droit d'auteur, ce qui démontre bien l'irrecevabilité des "preuves" fondées sur la méthode indirecte.

Le papier démontre ensuite de quelle façon il est possible de faire accuser une personne de téléchargement illégal.

Passons sur les méthodes "brutales" que sont le spoofing d'adresse à la connexion, une attaque de type Man in the middle, la mise en place d'un faux tracker, les malwares et autres détournements de points d'accès. Une extension du protocole mentionnée plus haut semble bien plus intéressantes. Elle permet d'indiquer au tracker d'enregistrer une autre adresse IP que la nôtre, et ce sans aucune vérification dans la majorité des cas, ce qui signifie que l'on peut forcer le tracker à annoncer dans la liste des clients connectés une personne dont la machine peut tout à fait être éteinte, que ce soit celle de notre voisin ou du président de la SACEM. Cette méthode ne fonctionne pas sur tous les trackers, et ne tient évidemment pas la route face à la méthode "directe", mais je pense qu'on pourrait obtenir des résultats sympathiques en impliquant des personnalités bien choisies :)

Je vous invite à lire l'article complet pour plus d'informations, il contient des pistes que je n'ai pas détaillées ici, notamment l'exploitation du peer gossip, ainsi que des analyses statistiques intéressantes montrant comment détecter les sondes de la RIAA et à quel point les blacklists actuelles sont incomplètes.


[1] Michael Piatek, Tadayoshi Kohno et Arvind Krishnamurthy : Challenges and Directions for Monitoring P2P File Sharing Networks, disponible en ligne : http://dmca.cs.washington.edu/

Il semble qu'une modification effectuée sur les serveurs d'AIM empêche les utilisateurs de la version 2.4.1 de pidgin de se connecter, et demande d'upgrader à une version plus récente.

En conséquence, le site officiel de Pidgin est victime d'un joli DDOS, et n'est plus joignable. Je vous invite donc à utiliser directement l'adresse de download sur les mirroirs sourceforce : http://sourceforge.net/project/showfiles.php?group_id=235.

Sinon, j'ai temporairement placé l'archive des sources au format bz2 ici :

http://www.coredump.fr/pidgin-2.4.3.tar.bz2
http://www.coredump.fr/pidgin-2.4.3.tar.bz2.asc

edit: J'ai juste oublié d'indiquer le patch pour la 2.4.2 :)
http://developer.pidgin.im/attachment/ticket/6220/pidgin-oscar-versionfix.patch

Du coup j'ai mis à jour le lien vers la version 2.4.3. Merci à TiMiD pour la remarque :)

Ca y est, c'est fait. Une nouvelle loi démontrant une fois de plus la profonde incompréhension de nos dirigeants pour tout ce qui touche aux "nouvelles technologies".

Je ne vais pas vous dire pourquoi je pense que cette loi est ridicule, inefficace et dangereuse à différents niveaux, d'autres le font bien mieux que moi. Je ne vais pas vous dire d'écrire à vos élus, vous ne le feriez pas. Je ne vais pas me présenter aux prochaines élections (quoique).

Je me demande juste si les gens qui comprennent vraiment les enjeux de ces "nouvelles" technologies[1], parce que c'est leur passion, leur métier, ne devraient pas faire entendre leur voix de la seule manière qui semble efficace ces temps-ci. A quel point serait-ce compliqué, pour tous ces opérateurs, ces hébergeurs, ces FAI, d'éteindre pour quelques heures une large part de l'internet français ?

Mais je ne me fais pas d'illusions. Trop à perdre, trop peu à gagner, et surtout une longue habitude de fermer nos gueules.





[1] et qui sont bien représentés dans mes modestes visiteurs :)

J'ai eu le plaisir d'obtenir samedi dernier une très jolie dédicace de Marianne Eskenazi dont le premier album, "Le maillot rouge"[1], est récemment paru aux éditions Paquet.

J'avais beaucoup apprécié son travail au travers de son blog - le blog de Paprika - et c'était à la fois impressionnant et très agréable de rencontrer cette artiste et d'échanger pendant quelques dizaines de minutes.

Bref, je vous conseille vivement cet album !

Dans un autre style, je conseille également celui de Cmax, Kamila[2] également paru aux éditions Paquet.

[1] http://www.blogdepaprika.com/le_maillot_rouge/index.html
[2] http://cmaxbd.free.fr/kamila.htm

Suis-je le seul à avoir le sentiment que le second évènement médiatique tombe curieusement au bon moment pour éclipser le premier ?

La Constitution Française modifiée

Le (re-)mariage du petit nicolas[1]

Décidément, notre beau pays n'a pas fini de m'étonner..


[1] Et pendant ce temps-là, au siège du parti socialiste.. ah bah non rien, ils se sont abstenus.