S. Bortzmeyer ✅ utilise mastodon.gougere.fr. Vous pouvez læ suivre et interagir si vous possédez un compte quelque part dans le "fediverse". Si ce n’est pas le cas, vous pouvez en créer un ici.

Bonjour, Choisiy-le-Roi ! Deuxième journée de ! Des lapins, de l'Internet, de la liberté, du numérique, de la bière, de la société, du pain ! passageenseine.fr/

Et on commence avec m4dz sur le "privacy by design". Je suis au premier rang, sur le canapé.

« Avec son smartphone, on a l'impression d'avoir de super-pouvoirs, mais les éditeurs des apps savent bien qu'on est des gamins attardés. »

« Cybercommerçant, vous utilisez un PrestaShop avec le template de base, vous captez des données personnelles dont vous n'avez pas besoin (date de naissance, dans le formulaire par défaut) » et vous violez le sans en être conscient.

Places aux PETs (Privacy-Enhancing Technologies). Chiffrement, gestion des permissions, vérification légale intégrée au code, etc.

Déjà, dès la conception du projet, pensez vie privée, ne demandez pas trop de permissions, réfléchissez « en ai-je vraiment besoin ? »

Un bon exemple, le site patronal FemmesNumérique ,femmes-numerique.fr/ bien fait question vie privée (on peut personnaliser les permissions, ce n'est pas uniquement "tout accepter").

« Voici un exemple. Désolé pour le JS, je suis un fronteux. »

« Personne ne vous demande d'être cryptographe, mais il y a des tas de bibliothèques bien faites, aucune excuse pour ne pas chiffrer les données. »

« Votre application doit fonctionner aussi bien quand l'utilisateur a refusé toutes les permissions de collecte. » @m4dz tue le game de la France Tèche : avec des conseils comme ça, comment pourra-t-on faire aussi pire que les GAFA ?

« C'est aimable, vous pouvez faire ce que vous voulez. » Ah, non, en fait, je crois qu'il disait que le truc était thémable.

Webmestres qui voulez des stats, utilisez (ex-Piwick).

Et ne faites pas comme la banque de @m4dz qui flique ses clients avec Google Analytics.

Autre bon dark pattern : quand l'utilisateur demande ses données, lui envoyer un tas de fichiers texte pas structurés.

Rappel sur l'anonymisation : la plupart du temps, ça ne marche pas. On arrive très souvent à retrouver les gens. Utiliser des techniques comme "differential privacy", qui introduit du bruit dans les données.

Les traces que laissent les utilisateurs, vues par l'admin système, par Nanar de Nardon à

Utiles pour résoudre les problèmes techniques, ou pour répondre aux amis du petit déjeuner.

Les équipements Wifi qui envoient une "trap" SNMP à chaque désassocation/association (et l'admin a snmptrapd qui tourne sur sa machine...)

Sur la sécurité et la vie privée avec DHCP, ne pas manquer le RFC 8386 rfc-editor.org/info/rfc8386

Beaux exemples de traces liées au trafic (l'utilisateur qui regarde "un-jeu-réaliste-pour-les-hommes.DOMAINE"...)

Excellent exposé, très concret, avec plein d'exemples, sur toutes les traces qu'on laisse en se connectant au réseau. (Dans les logs du proxy, Xhamster…)

« Le monde se divise en deux : ceux qui ont l'UID 0 et ceux qui contactent le support. Toi, tu contactes le support. »

« Et s'il utilise Tor ? »

« Alors, la seule trace sera qu'il utilise Tor. C'est déjà important. »

« Au CNRS, des tas d'unités utilisent des mauvais certificats (car c'est trop galère d'avoir des "bons"), donc il y a toujours des avertissements, donc les utilisateurs sont entrainés à cliquer OK, donc HTTPS ne protège plus. »

Discussion sur la stratégie de la crèpe, pour contrer Google.

Maintenant, l'avenir de Next Inpact, par David Legrand. Faut-il avoir une presse libre ?

Next Inpact a quinze ans (mais ça s'appelait PC Inpact avant et d'autres noms avant).

J'ai oublié l'uèrèleu : nextinpact.com/ (Il avait été proposé de faire un PSES entièrement consacré à Next Inpact, mais ça a été refusé)

« Il y a 20 ans, les sites Web étaient jaunes avec des liens bleus. » Ping @Natouille

« Mais, globalement, le Web s'est amélioré depuis. » On voit qu'il n'a pas vu mon blog.

Il y a longtemps, bien longtemps, dans un Web très lointain, Next Inpact était un site de hardware, « on testait des cartes-mères »...

« Fausses nouvelles et putaclic partout, information nulle part. » L'évolution de la presse technique

Ah, il ne faut pas dire putaclic, il faut dire « nouvelle engageante ».

Question de fond : l'information doit-elle être gratuite ? Si le lecteur ne paie pas, qui ?

L'orateur cite "Nabila" comme exemple de sujet intéressant. C'est quoi, "Nabila" ? Une distribution Linux ?

« Le lecteur n'a pas toujours raison, mais il faut toujours l'écouter. » Tiens, c'est pareil avec les utilisateurs, quand on est développeur ou sysadmin.

Modèle économique actuel de Next Inpact : le paywall (comme Mediapart, Arrêt sur Images ou le Monde).

Un média comme Next Inpact coûte environ 700 000 € / an. Il ne suffit pas de louer un serveur chez OVH pour faire un site intéressant.

« S'il y a peu de journalistes à @PasSageEnSeine c'est aussi pour des raisons de coûts : les déplacements coûtent. »

Mouais, enfin, ils vont tous au CES à Las Vegas, qui est quand même plus cher que Choisy-le-Roi.

Dernier projet « La Presse Libre » beta.lapresselibre.fr/ un moyen de s'abonner d'un coup à divers médias.

La presse qui prend son avenir en main, au lieu de dépendre des GAFA.

Maintenant, @Shaft sur scène, sous les applaudissements nourris d'une foule en délire, enthousiaste malgré la chaleur équatoriale qui règne ici.

Première installation, démarrage de , il propose par défaut YouTube, Amazon, Facebook... (Et c'est pas juste un affichage, il envoie des requêtes , prévenant ainsi tout le monde.)

La page des extensions de utilise Google Analytics... « Ça ferait trop de travail de s'auto-héberger un Matomo. »

Et teste un module DNS-over-HTTPS qui envoie toutes les requêtes DNS à .

Bref, est loin de la "privacy by default". La config devrait être sécurisée par défaut, au lieu de demander à M. Michu de débrayer ces trucs.

sur Android est encore pire, avec quatre mouchards (dont seulement deux sont avoués par Mozilla, dont un avec données identifiant un individu). La vie privée, il y a le discours, et il y a la pratique.

Mozilla est une grosse usine : 1000 employés, 520 M$ de CA. C'est pas quatre gusses dans un garage.
La grande majorité des revenus vient de Google, payant pour que son moteur soit par défaut dans la liste des moteurs de recherche.

Suzanne Vergnolle et Benoit Piédallu vont nous parler des détails pratiques du , je crois.

« Tout le monde me parle du , dit des choses différentes. Tiens, je vais le lire, mais pas tout seul, des gens divers vont apporter des éclairages différents. » (novembre 2017) « Vous pouvez lire la loi »

« Il fallait un lieu neutre, on a pris un bar. »

Première discussion sur le texte du « c'est quoi, une personne physique ? » « C'est fait de chair et de sang. » Mais le RGPD protège-t-il les morts ? (Réponse : non)

Rappel : la pseudonymisation n'empêche pas les données d'être personnelles.

19h19 : on a défini les termes. On va passer à la politique : dans quel cas peut-on faire des traitements de données personnelles ?

Le consentement n'est pas nécessaire au traitement de données personnelles. Tu es renversé par une voiture, on cherche ton groupe sanguin sans demander de permission. Et on ne peut pas s'opposer au traitement de ses données par les impôts.

Plus l'excuse fourre-tout du : « intérêt légitime », qui sert à tout et n'importe quoi (justifier un mouchard sur la page Web d'un média car la survie de la presse via la pub relève de l'intérêt légitime).

Parmi les points les plus oubliés du : il faut *minimiser* les données. Arrêtez de collecter plein de données à tout hasard, sans même savoir pourquoi !

« Les données sont le pétrole du XXIe siècle »

Oui, elles polluent et sont dangereuses.

À chaque séance du club de lecture, une discussion sur l'actualité. Souvent une fuite de données (Equifax).

La conférence de Suzanne Vergnolle & Benoît Piédallu devrait être obligatoire pour tout citoyen·ne dont les données personnelles sont traitées (c'est-à-dire tout le monde). Très clair et très important.

Prochain (et dernier) le 2 juillet au Carpe DIem café à Paris. Viendez.

La juriste qui dit « ce n'est pas si désagréable que ça de lire la loi »

Bientôt un Book Club sur la lecture du code source de Linux « ce n'est pas si désagréable que ça de lire du C »

Et maintenant Marc Rees pour finir cette journée avec « Le pour les noobs »

« Suis-je conforme au ? »

« Si tu étais conforme à la loi I&L - qui date de 1978 - alors tu es conforme pour l'essentiel. »

Belle réponse à tous les paniquards on-va-tous-mourir-à-cause-du-RGPD.

Vous ne pouvez pas opposer le à des fichages liberticides comme le . Le RGPD exclut l'État, qui peut faire ce qu'il veut.

S. Bortzmeyer ✅ @bortzmeyer

« Le charme du , c'est qu'à chaque principe, vous avez beaucoup d'exceptions. »

· Web · 5 · 2