Jean Baptiste Favre a écrit un billet L'auto-hébergement à l'heure de la surveillance de masse où il parle de l'autohébergement. J'aime beaucoup sa conclusion Mais la plupart des gens n'ont pas intérêt à s'auto-héberger. Il feraient bien mieux de se regrouper en association ou de monter de petites entreprises s'ils en ont l'envie et les compétences. En tout état de cause, se regrouper permet de se cacher de manière plus efficace. Le tout est de trouver la limite à partir de laquelle la taille de l'organisation joue contre ses membres. Encore une fois, l'exemple des FAI associatifs en la matière devrait être étudié et suivi.

Elle me force à poster ce billet un peu en avance. Je pensais le continuer, le retravailler, mais comme je souhaite faire part de mon commentaire personnel, voici donc quelques éléments issus de ma propre réflexion.

Framasoft avec son projet de Dégooglisation

Framasoft avec son projet de Dégooglisation cherche à montrer l'exemple qu'une alternative à l'usage des services fournis par Google et autre est possible. Dans le cas de Google, le fait que les services offerts soient gratuits implique une exploitation des données personnelles en vue d'en faire différentes exploitations (pour des publicités, revente de données ou autre). Le but de Framasoft n'est pas de remplacer Google mais de montrer qu'une alternative est possible.

Les logiciels sont là, plus ou moins accessibles, plus ou moins clefs en main et l'autohébergement reste encore quelque chose de très geek. On ne s'improvise pas administrateur système et les contraintes de l'autohébergement ne sont pas à négliger : qu'en est il du support ? Que se passe-t-il, quelles sont les conséquences si un service (les mails par exemple), n'est pas disponible pendant quelques heures, une journée ou plus ?

Mes réflexions personnelles sur le sujet

L'autohébergement, ce n'est pas uniquement mettre un PC chez soi (surtout quand on a une connexion ADSL, l'asymétrie de la ligne peut vite devenir problématique). Cela peut être de louer un serveur dédié...

Nombreuses sont les start-up et autres sociétés qui lancent des sites Internet permettant d'offrir un service. Elles se lancent sur des créneaux déjà exploités ou nouveaux. Leur modèle économique et de prendre une part sur la transaction effectuée suite à la mise en relation entre l'offre et la demande. Cela peut être de la location de biens ou autre....

Je me pose la question suivante : pourquoi ne pas faire la même chose, mais à l'échelle d'un quartier, d'une collectivité. Je n'ai pas besoin de savoir que quelqu'un à l'autre bout de la France loue sa perceuse. Ce que j'ai besoin de savoir, c'est que mon voisin trois rue plus loin, lui, en a une à me prêter. Proposer ce même type de service, mais à une échelle plus locale. Il y a des choses qui doivent rester à grande échelle : si je pars en vacances, c'est généralement loin de chez moi. Mais pour des choses du quotidien, prêt de livres, de DVD, de matériel, échanges de services, cela peut s'envisager.

En quoi cela rejoint-il les problématiques de l'autohébergement ? Physiquement, je sais où sont les données : je peux potentiellement voir la machine physique.
Je connais les personnes qui gèrent ces machines et qui ont accès aux données et je leurs fais confiance.

Récréer du lien. Je fais confiance à mon voisin qui vient me dépanner pour un problème de plomberie ou de bricolage car lui connait ces domaines et a de la maitrise de l'expertise. Il me fait confiance dans la gestion de ses données et de son cloud personnel, pour la sécurisation et les sauvegardes.

Si on prend l'exemple des membres de la Fédératon FDN, c'est exactement ce qu'ils font. Ils fournissent une connexion à Internet à une échelle locale plus ou moins grande. Il n'y pas d'enjeu de type recherche de profits, d'actionnaires. Il y a de l'argent en jeu pour payer les coûts, mais il y a également beaucoup de bénévolat et de temps.

Il est une nécessité que chaque structure, chaque association se réapproprie ses outils informatiques et ses données. On entend parler d'autohébergement, ou chacun met ses données chez soi, dans une sorte de cloud personnel mais cela reste réserver à des passionnés, des connaisseurs technophiles (en dehors des considérations liés à l'espionnage de masse, la sécurité, la fiabilité...)

Il y a un juste milieu entre tout mettre chez soi et tout mettre chez Google. On peut donc imaginer que des associations proposent des services d'autohébergement combinés à d'autres services. En déléguant, je fais confiance. Les limites sont l'imagination et le temps de bénévolat disponible pour gérer l'infrastructure informatique.

Qu'est ce que le protocole UPnP ?

UPnP, comme son nom l'indique, est dérivé de PnP (Plug aNd Play), qui est une technologie qui permet de faciliter l'installation, la configuration et l'ajout de périphériques informatiques à un micro-ordinateur. Universal Plug And Play (UPnP) étend cette simplicité en incluant l'ensemble du réseau informatique, permettant la découverte et le contrôle des périphériques, y compris les dispositifs et services en réseau, tels que les imprimantes connectées au réseau ou les équipements électroniques.
Avec UPnP, un périphérique peut joindre le réseau dynamiquement, obtenir une adresse IP, transmettre ses capacités, en savoir plus sur la présence et les capacités d'autres périphériques et tout cela automatiquement sans recourir à aucune configuration du réseau. Les périphériques peuvent par la suite communiquer avec les autres périphériques directement. De plus UPnP est indépendant de tout système d'exploitation, langage de programmation ou support physique Source

Formulé autrement et de façon plus simple, La fonction UPnP AV vous permet d'accéder simplement et depuis votre téléviseur (relié au boîtier TV) à un ou plusieurs ordinateurs se trouvant sur votre réseau local (qu'ils soient connectés à la Freebox en Ethernet ou en WiFi). Vous pourrez alors en parcourir le contenu (vidéos, images,...) et le diffuser sur votre téléviseur, à l'aide de votre télécommande Freebox.http://www.free.fr/assistance/2298.html

Les risques pour la sécurité

Comme tout ce qui touche à l'informatique, il peut y avoir des failles En temps normal, une application de partage de fichiers fonctionnant sur un ordinateur peut demander via UPnP à un routeur d'ouvrir un port spécifique et le lier au réseau local de son ordinateur afin d'ouvrir le partage de fichiers avec des utilisateurs distants.(...) UPnP est principalement destiné aux réseaux locaux, mais au cours des tests qu'ils ont effectués entre juin et novembre 2012, les chercheurs en sécurité de Rapid7 ont comptabilisé plus de 80 millions d'adresses IP publiques uniques ayant répondu à des requêtes UPnP envoyées via Internet. En outre, ils ont constaté que 20 % - 17 millions - de ces adresses IP renvoyaient à des appareils exposés à Internet par le service SOAP (Simple Object Access Protocol) UPnP. « Ce dernier peut permettre aux pirates de cibler des systèmes installés derrière un pare-feu et expose leurs informations sensibles », ont expliqué les chercheurs de Rapid7.

Dans un de ces billets, Aeris dit du protocole UPnP et je sais aussi qu'il est totalement déconseillé par toute personne qui tient plus ou moins à la sécurité de son réseau. En effet, ce protocole a pour objectif de permettre l'ouverture automatique de port sur la box ADSL à la demande d'un logiciel situé sur un autre ordinateur. C'est donc un énorme trou de sécurité, toute machine infectée pouvant alors se publier seule sur Internet et typiquement exposer le port SSH (...). Ce protocole(UPnP)doit donc être désactivé chez tous les utilisateurs.

Si on effectue une recherche sur le web, on peut trouver des articles comme comment ouvrir des ports sans le mot de passe du routeur qui explique comment installer un logiciel qui, si UPnP est activé sur le routeur du réseau, permet d'ouvrir un port vers l'extérieur...

Alors quoi faire ?

Il est vrai que le protocole UPnP est bien pratique pour récupérer des fichiers vidéos ou audio en partage sur son réseau local, sans que l'on est à s'occuper d'une quelconque configuration. Mais comme souvent, dès lors que l'on simplifie les choses, qu'on les rend facile et accessible, on cache ce qu'il y a derrière... et on introduit des risques potentiels.

Les box, par défaut, font du NAT et l'ouverture et la redirection de ports doivent être configurés par les utilisateurs dans l'espace de gestion). Le fait de pouvoir ouvrir n'importe quel port sur un routeur fait qu'un ordinateur ayant un virus sera accessible depuis l'extérieur sans qu'on le sache. On perd alors tout l'intérêt de ce routeur comme outil de protection (sic). Puisse se billet sensibiliser à cette problématique de l'UPnP.