SAMEDI 31 JUILLET    2010

 Moyens de sécurisation d'Hadopi : un document secret dévoilé
 Record du secret gardé le moins longtemps

Alors que la Hadopi vient d’ouvrir une « consultation publique relative aux spécifications fonctionnelles des moyens de sécurisation », le « document relatif au Projet de spécifications fonctionnelles des moyens de sécurisation », est lui, bizarrement, classé top secret, alors que son importance est évidente.

En effet, il s’agit des règles que devront appliquer les sociétés qui développeront les fameux logiciels de sécurisation. Leurs caractéristiques nous intéressent donc au plus haut point. Mais le mystère n’a cependant pas tenu longtemps, puisque notre confrère Numérama a pu se procurer le fameux document.

Le document fait 36 longues pages. Mais qu’apprend-on ? Quelques détails, même si Hadopi n’a plus beaucoup de secrets. La politique de sécurité doit bien être décidée par le titulaire de l’accès à Internet, et elle doit être « définie en choisissant des règles et des procédures parmi un catalogue d’actions techniques possibles ».

Quatre éléments « cumulatifs » sont notés dans le document :

• Élément 1 : Observation en temps réel et sans enregistrement des flux et protocoles qui transitent par l’accès ; sur la base de l’observation et de la politique de sécurité choisie, une ou plusieurs des actions techniques suivantes peuvent s’appliquer : laisser faire ou bloquer (selon des critères définis dans le présent document, et qui incluent notamment le type de flux ou protocoles, selon le protocole applicatif, des listes, des caractéristiques de formats, de débits, de volumes, des profils d’utilisateurs, des plages horaires).
• Élément 2 : Analyse optionnelle de la gestion de configuration informatique (ex : analyse statique de la configuration de postes informatiques ; logiciels installés), analyse statique de la configuration réseau (ex : analyse de la configuration routeur / boîtier ADSL) ; analyse dynamique des logiciels en fonctionnement, et contrôle des utilisations par le titulaire de la connexion.
• Élément 3 : Affichage de notifications et d’alertes pédagogiques (ex : « Vous allez télécharger un fichier en utilisant le protocole pair à pair « nom du protocole » : voulez-vous continuer ? »).
• Élément 4 : Double journalisation (version normale en clair et version sécurisée ; les deux versions sont identiques, sauf si la version en clair est manipulée) des événements significatifs (ex : éléments de la vie interne du moyen de sécurisation : démarrage, arrêt, activation, désactivation, modification des profils de sécurité, etc.

  Sachant que concernant l'élément 4, crucial pour prouver votre innocence, le document note que « les journaux sécurisés doivent être archivés et conservés par le titulaire de l’abonnement pendant la période d’une année, période où le titulaire pourrait demander à une tierce partie de confiance, un déchiffrement des journaux correspondant à des dates fixées et une copie certifiée conforme du déchiffrement de ces journaux. »

Il est de plus bien précisé que « les éléments 1, 2 et 3 sont à la discrétion et dans les termes choisis par le titulaire » de la ligne Internet. Alors que « l’élément 4 est obligatoire et s’opère automatiquement dès lors que le moyen de sécurisation est en fonctionnement (même si les éléments 1, 2 et 3 ne sont pas activés) ».

Point intéressant, le document pousse la justesse des détails au point de préciser que « les moyens de sécurisation sont eux-mêmes sécurisés ».

SUITE =====>>>