[OSM-talk-fr] Questionnaire sur votre profil en tant que contributeur

[Philippe Verdy]

Le mer. 21 avr. 2021 à 19:59, Harry Light <brunelt7 at gmail.com> a écrit :

> La partie "profils" est anonyme et les données à caractère personnel (il y
> en a pas trop) seront conservées dans la limite d'un an à partir de la
> clôture du questionnaire. Je considère qu'il n'y a pas trop de recueil de
> données à caractère personnel dans la mesure où par exemple: un nom, une
> photo, une empreinte, une adresse postale complète, une adresse mail, un
> numéro de téléphone, un numéro de sécurité sociale, un matricule interne,
> une adresse IP, un identifiant de connexion informatique, un enregistrement
> vocal, etc n'ont pas été demandé et ne permettent pas de retracer un
> individu.
>

Note: l'adresse  IP (et les horodatages associés) n'ont pas à être
demandés, ils sont implicites et même leur conservation dans un fichier
"log" est obligatoire légalement. Ce fichier log en revanche ne doit pas
être exploité dans l'étude et est au seul usage de l'hébergeur pour remplir
ses obligations légales uniquement (il peut leur être demandé, mais il doit
le justifier par une demande officielle, cela impose un archivage très
sécurisé durant la durée légale minimale de conservation, puis une
destruction définitive au delà, c'est comme pour les enregistrements de
fichiers vidéo de télésurveillance, qui par ailleurs doivent être signalés,
comme aussi le fait qu'il y ait cette collecte d'adresse IP par
l'hébergeur, qui doit donc être cité explicitement avec un moyen de contact
approprié et à jour pour l'autorité légale demandeuse).

Ce fichier log n'a pas besoin d'enregistrer autre chose (donc normalement
il faudrait même en purger les URL demandées et autres infos qu'on trouve
typiquement dans les logs d'Apache ou d'autres serveurs web, qui mettent
ces infos non pas pour des raisons légales mais pour une exploitation
d'analyse statistique ou de sécurité pour pouvoir expliquer certains
comportements du serveur, les temps de réponse, les échecs et leurs causes
via les numéros de statuts HTTP, et les quantités de données soumises en
POST ou renvoyées, ou encore leur type MIME; généralement ces fichiers ne
comportent pas les données POST, dont les contenus soumis par formulaire
chiffré, et les requêtes relayées par streaming HTTP; les logs incluent
tous les protocoles utilisés: HTTP, HTTPS, FTP, IRC, au moins les débuts et
fins de session et pas la session complète.

Quelque soit le site utilisé il y a toujours ces logs légaux minimaux. Le
but étant juste de pouvoir rapprocher les IP utilisées à des horodatages
précis, afin de pouvoir enquêter sur des abus relayés par d'autres réseaux.
En principe on n'est pas obligé de tenir ces logs sur un serveur web chez
soi, c'est le fournisseur d'accès internet qui le fait pour vous, mais ça
peut être utile si vous hébergez chez vous un service chiffré faisant un
relais/proxy via une canal chiffré réutiliser sur le canal relais par un
grand nombre de visiteurs (et faire attention aux mises à jour de sécurité
et à protéger les accès wifis privés, pour tout ce que vous ne pouvez pas
suivre sur les services web que vous ne mettez pas en place vous-même, et
bien régler vos "box" d'accès internet pour qu'elles aient le filtrage par
défaut, et qu'elles ne soient pas configurées sans la protection adéquate
avec des mots de passe faible pour leur interface d'administration ; notez
que malgré ce réglage personnel, votre fournisseur d'accès dispose de son
propre accès sécurisé à votre box pour, le cas échéant, forcer à remettre
une sécurité de base, ou y ajouter des règles de parefeux si vos
équipements informatiques sont contaminés et causent des préjudices à des
tiers: il ne s'occupera pas de réparer vos matériels, mais au moins il peut
limiter les dégâts aux tiers qui lui sont signalés, et le FAI devrait vous
informer des mesures de protection prises. e cas est de plus en plus
fréquent avec nombre "d'objets connectés" à domicile qui n'ont pas les
protections suffisantes mais sont facilement hackés depuis votre réseau
local et peuvent faire ensuite office de relais proxy , par exemple pour
des attaques DDOS :les FAI utilisent les logs qu'ils tiennent pour vous
pour détecter ces cas suspects; s'ils ne parveiennet pas à régler votre
box, ils mettront votre ligne sur un parefeu spécifique)

Bref l'IP est collectée qu'on le veuille ou non (et les règles de la CNIL
en France ne permettent pas de s'opposer à cette collecte, mais juste de
limiter leur usage pour d'autres fins que la sécurité et la législation
applicable, toute autre utilisation est dangereuse, et doit être signalée
dans l'accord de vie privée et on a le droit aussi de s'opposer que cette
autre utilisation soit réalisée par quelqu'un d'autre que l'hébergeur, y
compris l'exploitant du site qui n'a pas cette obligation légale qui lui
est imposée). Ce qui change selon le site c'est la juridiction applicable à
la collecte obligatoire d'IP par l'hébergeur sur service (et non à
l'exploitant ou le créateur du service), et c'est là que le choix de
l'hébergeur par l'exploitation du service est important. Si on veut éviter
des problèmes avec la CNIL ou les utilisateurs français (ou de l'UE, ou de
l'EEE), l'exploitant du service devrait choisir un hébergeur français ou
dans l'EEE (ou disposant d'une filiale légalement enregistrée et
responsable dans l'EEE, ce qui est le cas de Google, Amazon... à condition
qu'ils ne vous imposent pas le transfert de données personnelles hors de
l'EEE où ces données deviennent hors de contrôle).

Tout le monde est concerné (même les vendeurs de VPN qui prétendent que
l'IP sera "anonyme": ils ne peuvent en fait que vous dire qu'ils
n'exploiteront pas ces données pour autre chose que la sécurité et la
législation qui qui s'applique à eux, là où ils sont). Si on veut
réellement être "anonyme" sur le web, il faut nécessairement violer une
règle et hacker un matériel sans autorisation, ce qui n'est pas le cas
quand on est abonné ou client d'un fournisseur légal quelconque, ou bien
parvenir à faire installer sur vos matériels une "porte dérobée" (illégale,
mais il y en a plein dans tout ce qu'on achète souvent abandonnées ensuite
par leur créateur, mais ensuite réexploitées de façon illégale par des
tiers qui les auraient découvertes; malheureusement nombre de fournisseurs
sont négligents et ne "condamnent" pas ces porte dérobées dont ils veulent
taire même l'existence; la dernière solution est aussi d'utiliser les
bogues découverts, notamment par des "side channels" utilisant des méthodes
statistiques et prédictives, devenues aujourd'hui diablement efficaces du
seul fait des performances élevées des matériels actuels, et de l'énorme
quantité de données collectées et échangées ou revenues sur le web sans
votre accord (notamment les réseaux publicitaires).