L’omniprésence des GAFA analysée par les acteurs français

L’omniprésence des GAFA analysée par les acteurs français

Le 14 juin 2018 se tenait une conférence organisée par l’EBG, sur le thème des alternatives au géant Google, et plus globalement aux GAFA. Y étaient présents des ambassadeurs de la réussite française : Arno Pons (DG de l’agence 5ème Gauche), Mathieu Llorens (DG d’AT Internet), Xavier Perret (CDMO d’OVH), Geoffrey La Rocca (DG de Teads), ainsi qu’Antoine Jouteau (DG de LeBonCoin).

En cette année de RGPD, la position de leader de Google pose plus que jamais la question sur la protection de nos données, mais pas seulement. Sa position dominante est de plus en plus contestée par les entreprises européennes, qui critiquent une concurrence déloyale. À la question « qu’est-ce qui vous différencie des GAFA ? », les orateurs répondent l’indépendance, la maîtrise totale des données, l’expertise forte dans un secteur en particulier.

Comment analysent-ils le succès des GAFA ? L’exemple Google

Le premier facteur de réussite de Google, selon Mathieu Llorens, est sa gratuité. Elle permettrait au géant américain de détruire tous les écosystèmes dans lesquels il s’introduit : publicité, médias, moteur de recherche. Après son installation dans le secteur, la monétisation démarre pour obtenir des services de plus grande qualité. C’est ce qui permet à Google, selon le DG d’AT Internet, de ne laisser aucune chance à ses concurrents. Le second facteur, sur lequel tous les intervenants s’accordent, est la faculté de Google d’être à la fois fournisseur et concurrent de ses clients. Son positionnement ambigu fait de la société une menace omniprésente.

Quel phénomène est le plus dangereux dans l’hégémonie des GAFA ?

Pour tous les participants à la table ronde, l’enjeu démocratique est fort. Mathieu Llorens démontre le lien réel entre l’augmentation du chiffre d’affaires de Google et la diminution des emplois dans le domaine des médias. Il est soutenu par Geoffrey La Rocca qui soutient que l’Etat se doit d’investir auprès de ce secteur. Antoine Jouteau, lui, pointe le risque de « trop » de diversification des acteurs américains, phénomène par ailleurs déjà enclenché. Tous les intervenants s’accordent sur les efforts établis par les entreprises européennes à l’occasion de la RGPD, qui démontrent une volonté de gestion propre des données personnelles. Xavier Perret et Antoine Jouteau insistent sur la différence de vision sur la protection des données entre les Etats-Unis et l’Europe. Un des phénomènes les plus dangereux causé par la montée exponentielle des GAFA est la surutilisation des données personnelles dans le but de développer des services annexes.

Comment faire sa place en tant qu’entreprise française ?

Selon Antoine Jouteau, l’Europe tient un rôle primordial dans la protection de ses acteurs : la responsabilité n’est pas uniquement française. Dans un premier temps, les GAFA doivent être mis sur un pied d’égalité en ce qui concerne les taxes, afin de ne pas défavoriser les entreprises européennes. Le Directeur Général de LeBonCoin insiste sur l’importance du regroupement des acteurs français/européens pour peser dans le débat public. Aller défendre seul les intérêts du numérique auprès des instances européennes est vain, selon lui. Le rôle des dirigeants d’entreprise est d’assurer la compréhension des enjeux d’une omniprésence des GAFA. Xavier Perret, lui, parle d’une cohérence à adopter pour défendre les services européens en les privilégiant dans la vie quotidienne.

Les intervenants présents à l’EBG confirment tous la prise de conscience en cours chez les entreprises françaises, et alertent sur le rôle de chacun dans la promotion de l’utilisation des services européens.

Une éducation au numérique doit s’opérer

Fake news - Une éducation au numérique doit s’opérer
Source de l’image : pixel2013 via Pixabay

A plusieurs reprises, j’ai pu évoquer dans ces colonnes la nécessité de comprendre la logique des noms de domaine : il n’y en n’a pas. Une extension de nom de domaine peut être réservée pour certains usages et du jour au lendemain, cette limite peut être supprimée. C’est le cas de l’extension .PRO qui hier réservée aux professionnels, est aujourd’hui ouverte à tous. Malgré une campagne de communication de la libéralisation, le grand public garde encore en mémoire que le .PRO est réservé aux pros.

Sur les réseaux sociaux, dès le début, n’importe qui peut être n’importe qui. Pas de logique, si ce n’est le badge « compte certifié ». Certifié ? Facebook a juste vérifié l’identité de la personne associée. Pas d’usurpation donc mais pas de vérification du contenu.

On pourrait imaginer intuitivement que personne ne croit aux comptes non authentifiés à des journalistes. Cependant, une tendance actuelle est la défiance des « autorités » : pourquoi les journalistes représenteraient la source d’information ? D’où l’idée de la « réinformation ».

Venons-en aux faits : les pages les plus ‘likées’ de Facebook ne sont pas forcément les plus fiables. C’est en croisant le classement effectué par le site ‘Strategies.fr’ et la page du Decodex du Monde que nous pouvons nous rendre compte de l’hémorragie informationnelle : les fake news pullulent, et les éditeurs de contenus associés sont certifiés.

Quatrième au classement, Santé Plus Mag se fait connaître, vous êtes invité à lire cet article pour vous faire une idée.

La recherche d’information sur Internet augmentant inexorablement, il convient pour les acteurs du monde numérique de développer l’éducation au numérique afin d’éviter toute prise de décision hâtive et péremptoire.

[INFOGRAPHIE] Passer son site web en HTTPS : Pourquoi ? Et quel certificat SSL choisir ?

En juillet 2018, avec l’arrivée de Chrome 68, les sites en HTTP seront considérés comme « Non Sécurisé », ceux en HTTPS seront marqués « Sécurisé » dans la barre d’adresse.

Et depuis le 25 mai 2018, le RGPD est entré en vigueur et les sites qui récoltent des données personnelles devront disposer du HTTPS.

De plus, certains nouveaux gestionnaires de noms de domaine imposent également le HTTPS pour pouvoir utiliser le nom de domaine (.app / .dev…).

Passer au HTTPS par défaut sur l’ensemble de vos sites Web va devenir indispensable, en faisant l’acquisition de certificat(s) SSL, avec les avantages suivants :

Confidentialité des échanges, authentification forte et intégrité des communications entre les internautes et vos sites web, jouant sur le niveau de confiance des internautes envers vos sites web et plus généralement votre image de marque liée à la sécurité en ligne.

Mais comment choisir le certificat qui répond à vos besoins ? Ci-dessous notre guide pour vous aider dans votre choix :

Passer son site web en HTTPS : Pourquoi ? Et quel certificat SSL choisir ?

Nameshield vous accompagne

Notre équipe d’experts SSL vous accompagne dans la formation de vos équipes, organise régulièrement des réunions d’information au sein de ses locaux pour vous permettre d’échanger avec d’autres acteurs du marché, met à votre disposition les outils nécessaires à la prise de décision (audit, analyse, conseil) et vous accompagne au quotidien sur tous ces sujets.

A noter : Le 21 juin prochain à Paris, un petit-déjeuner sera organisé autour de ce thème.
Pour plus d’informations et pour vous y inscrire ☛ Invitation au nameshield.cafe.

Un lycéen tente de faire modifier ses notes grâce au phishing

Le phishing est la technique de prédilection des cybercriminels pour détourner les données des utilisateurs, en se faisant passer pour un organisme de confiance et ainsi les inciter à livrer des informations personnelles. On imagine cette technique réservée aux pirates informatiques qui tentent de dérober des données bancaires ou encore très sensibles, et pourtant !

Un lycéen tente de faire modifier ses notes grâce au phishing
Source de l’image : mohamed_hassan via Pixabay

Un élève américain du lycée Ygnacio Valley High School en Californie, s’est amusé à recopier à l’identique le site sur lequel ses professeurs se connectent pour rentrer les notes et les appréciations. Ce même élève a alors demandé, par mail, aux professeurs de se connecter à la fausse interface du lycée, qui ressemblait exactement à l’originale. Ainsi, il a pu récupérer leurs identifiants et mots de passe, et les a ensuite utilisés afin d’augmenter certaines de ses notes, mais aussi de baisser celles d’autres camarades.

Arrêté par la police, l’élève a déclaré que ce qu’il avait fait était « aussi simple que voler un bonbon à un bébé ». Renvoyé de son lycée, il a été identifié grâce à l’adresse IP de son ordinateur.

Plutôt légère en conséquence, cette tentative de corruption de données met en lumière la facilité d’accès à cette technique de piratage informatique. Le phishing est aujourd’hui une des méthodes les plus prisées et les plus faciles à mettre en œuvre. Dupés par la ressemblance, les internautes n’y voient que du feu et renseignent alors des données personnelles, parfois très sensibles.

Bataille juridique autour du nom de domaine France.com

France.com, un nom de domaine qui fait parler de lui
Source de l’image : jackmac34 via Pixabay

France.com, un nom de domaine qui fait parler de lui

L’entrepreneur Jean-Noel Frydman attaque la République Française pour récupérer son nom de domaine France.com, dont le Ministère des Affaires étrangères s’est réapproprié l’usage par décision de justice.

Petit retour sur l’origine de France.com

Pour rappel, les faits ont commencé lors de l’éveil du web en 1994. A cette époque, l’homme d’affaire américain, d’origine française, Jean-Noel Frydman a déposé le nom de domaine France.com auprès de web.com, destiné à l’exploitation de sites commerciaux, tels que la première agence de voyage en ligne française.

Si le nom France.com hébergeait sans heurt depuis 20 ans un site de tourisme et de réservations de voyage relativement prospère, c’était sans compter sur l’attaque en justice du propriétaire par le Ministère des Affaires étrangères en 2015, revendiquant la titularité légitime du gouvernement français.

Le Ministère des Affaires étrangères soutient en effet que « France » est un nom de marque déposé et que de ce fait le nom « France.com » lui revient légitimement. On reproche de plus à l’entrepreneur de faire concurrence à Atout France, l’agence chargée du développement touristique du pays.

Le tribunal de grande instance de Paris accédera d’ailleurs à la requête du Ministère et ordonnera le transfert du nom à l’Etat français en juillet 2016, décision confirmée en appel en septembre 2017.

Face à cela, le 22 septembre 2017, la Cour d’appel de Paris a décidé que France.com était en train d’enfreindre les lois relatives à la propriété intellectuelle, alors des contre-mesures ont été déployées à la Cour de cassation. Par la suite, sans compensation et à l’insu de son initiateur, web.com a remis le nom de domaine France.com entre les mains de l’Etat français. De nos jours, le portail de tourisme français France.fr tend vers une interprétation anglophone.

La France dans le box des accusés

L’affaire ne s’arrête bien sûr pas à cela. Après un pourvoi déposé devant la Cour de cassation, M. Frydman conteste la décision en portant plainte le 19 avril dernier auprès du tribunal américain contre la République Française, Atout France, le Ministère de l’Europe et des Affaires étrangères, et le Ministre Jean-Yves Le Drian. Son but : tenter de recouvrer la titularité du nom de domaine France.com mais également de percevoir des dédommagements pour ce qu’il qualifie de « cybersquatting » de la part de l’Etat français. Il estime en effet que la perte de son nom de domaine lui aurait déjà coûté plusieurs millions d’euros.

Webstresser.org, la source de millions d’attaques DDoS a été démantelée

Webstresser.org, la source de millions d’attaques DDoS a été démantelée
Source de l’image : typographyimages via Pixabay

La bonne nouvelle vient d’arriver, Webstresser.org l’un des sites le plus responsable de millions d’attaques DDoS vient d’être démantelé. Cette fermeture a été rendue possible grâce à l’intervention active d’Europol.

Pour rappel, un DDoS est une attaque informatique. Son mode de fonctionnement consiste à saturer les serveurs de requêtes afin que les sites web hébergés sur ces mêmes serveurs ne puissent plus servir les internautes.

Plusieurs pays se sont donnés la main pour démanteler le réseau

Selon les études de la National Crime Agency, Webstresser.org a été utilisé par les pirates informatiques pour le lancement de près de 4 millions d’attaques de par le monde. Parmi ses victimes figurent plusieurs banques anglaises notamment. Pour mener à bien cette opération d’envergure, cinq pays, à savoir la Croatie, l’Ecosse, le Canada, les Pays-Bas et la Serbie ont affrété leurs meilleurs policiers pour prêter main forte à Europol.

Bien qu’il s’agisse d’une opération à intérêt international, les autorités allemandes, néerlandaises et américaines se sont chargées de fermer définitivement le site. A présent, ses opérateurs ne peuvent plus y accéder et un message laissé par le Ministère de la Défense américaine fait office de page d’accueil.

De lourdes sanctions pour les pirates

La fermeture de Webstresser.org a aussi entrainé une vague d’arrestations, dans plusieurs pays comme l’Ecosse, la Croatie et la Serbie. Selon la loi française, une cyberattaque est un acte criminel et les sanctions sont lourdes. Ainsi, si l’attaque vise les particuliers, le ou les pirates informatiques peuvent écoper de 5 ans de prison et d’une amende de 150 000 euros. Si l’attaque touche l’Etat ou ses institutions, la sanction peut aller jusqu’à 7 ans de prison, accompagnée d’une amende de 300 000 euros.

A la suite de ce gros coup de filet, la porte-parole d’Europol et coordinatrice des opérations, Claire Georges, a annoncé que des mesures seront prises à l’encontre de tous utilisateurs du site à travers le monde et que des arrestations seront prévues.

SPA vs SPA de France : Conflit de marques au cœur de la cause animale

SPA vs SPA de France : Conflit de marques au cœur de la cause animale
Source de l’image : Elionas via Pixabay

SPA, chaque individu entendant ces trois lettres, y reconnaîtra les chiens ou les chats sauvés des rues se retrouvant dans un refuge pour y attendre leur nouvelle famille.

Mais ce sigle est également à l’origine d’un conflit datant de plusieurs années.

D’un côté, nous avons la SPA, la Société protectrice des animaux, première association de protection animale en France, créée en 1845 qui œuvre pour assurer la protection et la défense des animaux en France.

De l’autre, la Confédération nationale des sociétés de protection des animaux de France, créée en 1926, regroupant 260 associations françaises indépendantes les unes des autres mais ayant pour même objectif la protection des animaux, sous le titre « Défense de l’animal ». Parmi ces associations, la plus ancienne a été créée en 1845.

Toutes deux reconnues d’utilité publique, un conflit oppose pourtant ces deux associations depuis plusieurs années : l’utilisation du sigle SPA.

Une bataille autour du sigle SPA qui dure depuis près de 30 ans

En 1981, des décisions de justice ont estimé que le sigle SPA ou l’appellation « société protectrice des animaux » ne présentaient pas « un caractère d’originalité suffisant pour les rendre susceptibles d’une appropriation privative », la SPA n’avait alors pas renouvelé ses marques.

De nombreuses associations portant le nom SPA (SPA de Lyon, SPA de Marseille…) et défendant la cause animale ont commencé à fleurir en France et se sont réunies depuis 1926, sous le nom « Défense de l’animal, Confédération nationale des sociétés de protection des animaux de France et des pays d’expression française ». En pratique, elle se présente comme « Confédération nationale des SPA de France » ou « SPA de France ».

En 1989, cette confédération a alors déposé à l’INPI la marque SPA de France et le logo correspondant à celle-ci.

Enjeu symbolique ou financier, l’utilisation du terme SPA, a alors fait l’objet de nombreuses procédures opposant la SPA et l’association Défense de l’animal, des attaques en justice venant de l’une comme de l’autre.

En effet, ce sigle à la renommée indiscutable, bien connu du grand public français, représente également des millions d’Euros de dons et de legs. Cependant, il n’est pas toujours facile de savoir à laquelle des deux associations ces dons sont destinés, d’où le véritable enjeu financier.

Et c’est finalement la SPA qui aura le dernier mot. Pour la Cour de Paris, l’association Défense de l’animal avait profité qu’en 1989 le sigle SPA était considéré comme descriptif et dépourvu d’originalité, pour déposer sa marque SPA de France, communiquer avec celle-ci sur ses supports et enregistrer les noms de domaine lesspasdefrance avec les extensions .org, .net, .com, .fr ainsi que spadefrance.fr et spa-france.asso.

En conclusion, la Cour d’Appel de Paris a prononcé dans son arrêt du 30 mars 2018,  la nullité de la marque SPA de France, jugeant que « l’association Défense de l’animal avait commis des actes de concurrence déloyale en entretenant la confusion dans l’esprit du public entre ces deux entités ».

La SPA a ainsi obtenu de la Cour d’Appel de Paris l’interdiction pour l’association Défense de l’animal d’utiliser le signe SPA de France « en tant que marque, nom de domaine, dénomination et slogan » et « de façon générale tous signes mettant en exergue le sigle SPA ou l’expression « sociétés protectrices des animaux »».

Swaziland, le pays qui change de nom, et d’extension

swaziland
Source de l’image : OpenClipart-Vectors via Pixabay

Nous avons appris par voix de presse que le Swaziland allait changer de nom à la volonté de son monarque.

En effet, ce petit territoire d’Afrique du Sud n’a pas changé de dénomination à la suite de la décolonisation, cinquante ans plus tôt. Ce sera donc bientôt chose faite, avec le terme eSwatini, le pays des Swazis. Si cette information relève de la géopolitique, elle aura un impact sur l’abréviation des pays, au sein de la norme ISO 3166-1 alpha 2, et son extension évoluera donc ; une situation analogue à celle du Kazakhstan et déjà abordée dans ces colonnes.

Un nouvel exemple qui souligne l’importance de la stabilité du pays dans le choix d’une extension utilisée pour une communication active.

Google rend le chiffrage HTTPS obligatoire pour ses 45 nouveaux TLDs : .dev / .app / .how…

Google rend le chiffrage HTTPS obligatoire pour ses 45 nouveaux TLDs - HSTS
Source de l’image : Sean MacEntee via flickr

Dans un article récent de ce blog, nous avions évoqué l’arrivée de Chrome 68 en juillet 2018 et le HTTP désormais considéré comme « non sécurisé ». Et ce n’est pas la seule arme que Google a dégainé pour favoriser l’adoption massive du chiffrage des sites web !

Vous ne le savez peut-être pas, mais Google a soumis un certain nombre de candidatures auprès de l’ICANN dans le cadre du programme des nouveaux TLDs, et obtenu la gestion en tant que registre de 45 domaines de premier niveau*. A l’instar des .bank et .assurance par exemple, qui imposent certaines règles de sécurité très strictes, Google a annoncé l’implémentation et le pré-chargement HSTS sur les nouveaux TLDs qu’il contrôle et donc rendu obligatoire la mise en place de HTTPS.

Qu’est-ce que HSTS ?

HSTS (HTTP Strict Transport Security), est un moyen pour un site Web d’insister pour que les navigateurs s’y connectent en utilisant le protocole HTTPS chiffré, au lieu du HTTP non sécurisé. Un navigateur qui tente de visiter le site http://www.nameshield.net, par exemple, est redirigé vers une URL qui utilise HTTPS et dit d’ajouter le site à sa liste de sites auxquels il faut toujours accéder via HTTPS. A partir de là, le navigateur utilisera toujours HTTPS pour ce site, quoi qu’il arrive. L’utilisateur n’a rien à faire, qu’il ait accédé au site via un favori, un lien ou simplement en tapant HTTP dans la barre d’adresse.

HSTS a été adopté pour la première fois par Chrome 4 en 2009, et est depuis intégré dans tous les principaux navigateurs. La seule faille dans ce schéma est que les navigateurs peuvent toujours atteindre une URL HTTP non sécurisée la première fois qu’ils se connectent à un site, ouvrant une petite fenêtre pour que les attaquants puissent effectuer des attaques de type Man-in-The-Middle, détournement de cookies ou encore l’attaque Poodle SSLv3 très médiatisée en 2014.

Un Top Level Domain sécurisé dans son ensemble

Le pré-chargement HSTS résout ceci en pré-chargeant une liste de domaines HSTS dans le navigateur lui-même, fermant complètement cette fenêtre. Mieux encore, ce pré-chargement peut être appliqué à des TLDs entiers, et pas seulement à des domaines et sous-domaines, ce qui signifie qu’il devient automatique pour tous ceux qui enregistrent un nom de domaine se terminant dans ce TLD.

L’ajout d’un TLD entier à la liste de pré-chargement HSTS est également plus efficace, car il sécurise tous les domaines sous ce TLD sans avoir à inclure tous ces domaines individuellement. Comme les listes de pré-chargement HSTS peuvent prendre des mois à se mettre à jour dans les navigateurs, le paramétrage par TLD a l’avantage supplémentaire de rendre HSTS instantané pour les nouveaux sites Web qui les utilisent.

Pour utiliser un .app ou un .dev il faudra donc obligatoirement déployer HTTPS

Google rendra donc HSTS obligatoire pour ses 45 TLDs dans les mois à venir. Qu’est-ce que cela signifie ? Des millions de nouveaux sites enregistrés sous chaque TLD seront désormais HTTPS (et les propriétaires de domaines devront configurer leurs sites Web pour passer en HTTPS sous peine de ne pas fonctionner). Pour pouvoir utiliser un nom de domaine en .dev, .app, .ads, .here, .meme, .ing, .rsvp, .fly… il faudra donc acquérir un certificat SSL et déployer HTTPS.

Pour toute question sur ces TLDs, noms de domaine ou certificats SSL, notre équipe se tient à votre disposition.

* Les 45 TLDs de Google : .gle .prod .docs .cal .soy .how .chrome .ads .mov .youtube .channel .nexus .goog .boo .dad .drive .hangout .new .eat .app .moto .ing .meme .here .zip .guge .car .foo .day .dev .play .gmail .fly .gbiz .rsvp .android .map .page .google .dclk .search .prof .phd .esq .みんな .谷歌 .グーグル

L’ICANN joue la pleureuse dans l’application du RGPD

L’ICANN joue la pleureuse dans l’application du RGPD
Source de l’image : TheDigitalArtist via Pixabay

J’évoquais dans un précédent billet le retard de l’ICANN quant aux possibilités d’application du règlement général sur la protection des données (RGPD).

A un mois et une semaine de la deadline, force est de constater qu’à date rien n’a encore évolué. Et côté ICANN, les échanges sont plus que variés.

Rappel du contexte : L’ICANN est une organisation américaine, et autant dire que la première puissance mondiale n’a pas toujours eu l’habitude de se conformer aux desiderata des uns et des autres. Or, les Européens ont voté en avril 2016 un règlement, appelé RGPD et dont l’application devait se faire deux ans et un jour après la date d’entrée en vigueur, soit le 25 mai 2018.

Et même si le fameux règlement a été voté en Europe, toutes les parties sont concernées : l’ICANN n’a d’autre choix que de se conformer également et si l’organisation ne l’a pas encore fait, la deadline, elle, approche.

Pendant ce temps, l’ICANN cherche à négocier : https://www.icann.org/resources/pages/data-protection-correspondence-2017-12-08-en

Si l’on devait caricaturer les dialogues, voilà ce que cela donnerait :

  • ICANN : On a sous-estimé l’impact du RGPD, comment fait-on ?
  • G29 : Soyez conformes au RGPD et tout ira bien.
  • ICANN : Mais on ne sait pas faire, aidez-nous.
  • G29 : OK, mais soyez prêts pour le 25 mai.
  • ICANN : On n’y arrive pas, donnez-nous plus de temps.
  • G29 : Non, dura lex, sed lex

Alors que l’ICANN ne trouve pas de solution, les registres et registrars se conforment comme ils le peuvent au RGPD. Ces avancées à tâtons ne sont que des expérimentations. Le gouvernement des États-Unis a décidé d’intervenir :
https://www.theregister.co.uk/2018/04/17/us_government_whois_debacle/.

Affaire à suivre avant le 25 mai.