L’ITU et le DPI : ça va être dur d’expliquer ça à ma grand-mère

/101571

  • Les articles sur la nouvelle norme #UIT Y.2770 « Requirements for Deep Packet Inspection in Next Generation Networks » a déjà fait couler beaucoup d’encre. On a même lu des choses très exagérées comme « cette norme légalise le #DPI » comme si les gens qui utilisent le DPI pour filtrer ou bloquer ou censurer avaient attendu ce texte.

    Ce texte est une norme UIT http://www.itu.int/ITU-T/recommendations/rec.aspx?rec=11566 mais celle-ci ne distribue pas encore le texte de la norme http://www.itu.int/rec/T-REC-Y.2770/en Qu’une norme soit adoptée mais pas publiée n’est pas étonnant à l’UIT, organisation très fermée et très inefficace (des mois pour produire un PDF à partir d’un document Word et le mettre sur un site Web). Mais des versions préliminaires de la norme circulent un peu partout par exemple en http://cryptome.org/2012/12/itu-future-networks.pdf

    Alors, que trouve-t-on dans ce texte ? Il ne faut pas espérer des techniques extraordinaires, il s’agit d’un cahier des charges, indiquant ce que Big Brother voudrait voir dans les réseaux, sans que ce soit forcément réaliste. En outre, comme la plupart de textes UIT, il s’agit d’un document « de haut niveau », c’est-à-dire illisible et n’entrant pas dans les détails concrets. C’est néanmoins une lecture instructive (quoique aride) pour voir la mentalité des États et des opérateurs de télécommunication historiques (les deux groupes qui forment l’UIT).

    Le DPI (Deep Packet Inspection), c’est simplement examiner un paquet au delà des adresses IP et port, avant de prendre une décision le concernant (jeter, ralentir, signaler, etc). Chaque fois que vous installez un #IDS comme #Snort, ou meme un antispam, vous faites du DPI. Comme c’est une décision unilatérale, nul besoin de norme pour cela. Il existe déjà de nombreux États et entreprises qui se servent du DPI pour espionner leurs citoyens ou salariés. Le texte de l’UIT ne change donc rien.

    Mais ce texte montre quand même une absence de pudeur étonnante. Malgré le caractère ultra-sensible du sujet, le concept de vie privée, ou, d’une manière plus générale, les risques liés à cette technique ne sont pas mentionnés une seule fois (le document fait pourtant 87 pages). Il y a juste un rappel de la nécessite de respecter la loi (c’était l’excuse d’Amesys pour vendre du DPI à Kadhafi : ce n’était pas illégal). Aucune mention n’est faite de la distinction entre du DPI sur son propre réseau (l’exemple de l’IDS plus haut) et de la DPI sur un réseau public, qui est très grave.

    Les fonctions du système souhaité sont pourtant sans ambiguité : retardement, voire abandon du paquet sont cités mais surtout la possibilité de rediriger le paquet vers une autre interface (à des fins d’espionnage du trafic) est explicitement mentionnée (section 6.3.3.1).

    Parfois, Big Brother se laisse aller à rêver, par exemple en demandant que le système de DPI puisse traiter des flux chiffrés (donc, ceux que pour lesquels l’émetteur avait explicitement demandé qu’on ne regarde pas à l’intérieur). Techniquement, cette section 6.8 rappelle que ce n’est pas impossible : il y a les parties non chiffrées du trafic (avec IPsec, les adresses source et destination, avec PGP, les émetteurs et destinataires du message, ainsi que le sujet), il y a le cas où on dispose de la clé privée (le document discute ce cas froidement, sans préciser que cette clé privée n’a pu être obtenue que par le vol ou la contrainte), et quelques autres techniques.

    Les exemples d’utilisation donnés en annexe A sont classiques, pour ce monde de telcos et de polices : prioritiser certaines applications par rapport à d’autres, surveiller les communicatons, facturer selon l’usage.

    Les exemples de règles de l’annexe B reflètent également bien les préoccupations des auteurs de cette norme : SIP est l’un des protocoles les plus présents (cette norme de voix sur IP menace le fromage des telcos), la surveillance du partage de fichiers (MP3, dans l’exemple) est mentionnée, ainsi qu’une intéressante règle pour examiner les vCard (cartes de visites numériqus) pour se constituer un joli fichier nominatif. Et, bien sûr, un autre exemple est l’identification des utilisateurs de BitTorrent.

    Sinon, pour se détendre, la plus belle bogue de la norme est « The vulnerability of any packet-based network makes it possible that a packet might be contaminated with virus when it is forwarded along its path. » On sait que les telcos n’ont jamais vraiment accepté la commutation par paquets mais l’accuser de permettre de mettre des virus dans un paquet est grandiose.