Les OPES

De Digipirate
Aller à : navigation, rechercher

OPES : open pluggable edge service.
ONES : open networked edge services.
les boites noires pour intercepter/modifier les échanges internet.



Un OPES qu'est-ce que c'est ?

Un OPES, c'est très simple dans le principe :

  • une simple dérivation (sonde) ou déviation du trafic (capteur) dans une "boîte noire" en plastique ou virtuelle (agent souhaité ou malveillant).
  • pour le faire passer par un ordinateur tiers, local ou distant qui pourra interposer ses services pour, par exemple :
* copier
* bloquer
* facturer
* retarder
* modifier (exemple : traduire, processer, compléter, vérifier, etc., etc. ) le trafic échangé.

Elle peut être rendue un peu intelligente pour filtrer plus particulièrement un protocole, un type de trafic. Mais dans ce cas, il suffirait d'utiliser un nouveau protocole pour s'en affranchir ... pas très sûr pour de la surveillance générale.


Et un "ONES" ?

Un ONES (Overlay Networked Edge Systems) consiste en la mise en corrélation de trafics par la mise en réseau de leurs ordinateurs tiers associés.

C'est une proposition faite au Groupe de Travail de l'IETF qui a spécifié les OPES, mais qui sortait du cadre strict de son "charter" limité à la "prise intelligente" de la dérivation et ne s'étendant pas aux services eux-mêmes ni à l'organisation de leur serveurs.


Intrusions

Les ONES/OPES ne sont donc pas intrusifs des opérations des utilisateurs, mais de leurs relations. Leur rôle est donc la surveillance, la protection, la desserte intelligente et la manipulation des espaces relationnels.

Architecturalement, ils constituent une "frange" (RFC 1958) du réseau qui peut être voulue, inconnue ou acceptée par les utilisateurs. Ils sont au niveau du catenet, c'est à dire de la sous-structure commune aux différentes technologies (Internet, SDN, NDN, réseaux maillés, etc.). Leurs déviations peuvent être implantées sur des "edges" (chemin du trafic) de tout niveau : commutateurs, points d'accès, frontaux de serveurs, sockets, au sein d'une application ou du système d'exploitation - ou requis pas un protocole ou la supervision des opérations d'un réseau.


Alterations

L'un des rôle principal des OPES est l'altération demandée ou non par le destinataire du contenu qui lui est adressé. Tous les schémas d'altération y compris des métadonnées (routage, destination, classification, date, etc. etc.) et de recopie sont envisageables; ainsi que de restauration (le traffic sera différent sur une partie de son parcours, où pourront avoir été identifiées d'autres OPES).



Neutralité

Bien entendu un réseau pourvu d'OPES/ONES à l'intérieur du "bout en bout" ne peut pas être considéré comme neutre.

  • ni au niveau du service, puisque le trafic peut en être ralenti et peut être facilement modulé (cas d'une dérivation) et des additions injectées.
  • ni au niveau du contenu, puisque tout ou partie du contenu et des métadonnées peut être modifié - avec ou sans l'accord des parties.

Seule une augmentation relative des délais de bout en bout peut permettre la détection d'un ou plusieurs OPES/ONES sur une connexion.


"Algorithme des boites noires"

Il n'y a pas à proprement parler d'algorithme des boites noires dans le cas d'une déviation totale du trafic : un nœud du réseau est rajouté avec un aller-retour vers un ordinateur tiers.

Les solutions OPES spécifiées par les RFC de l'IETF inspectent les paquets et les envoient à un ou plusieurs ordinateurs tiers en fonction de leurs métadonnées. Rien n'interdit que ces métadonnées soient d'abord extraites du contenu au fil de l'eau ou en début de cession.

Lorsque l'on parle d'"algorithme des boites noires" comme Cazeneuve, Besancenot, etc., et la presse, l'on ne se réfère donc pas explicitement à un algorithme qui ferait clignoter la boîte noire à chaque échange terroriste, à partir de la composition de leur adresse e-mail ou à leur fournisseur d'accès, etc. (métadonnées). L'on parle d'une chaine informatique de plus en plus complexe et puissante connectée par ces boîtes noires et faisant appel à des masses de plus en plus importantes de données, en cherchant à les corréler.


Explication un peu plus poussée

Comprenons : le Terre est un vaste ordinateur quantique qui calcule à chaque instant son microétat, c'est-à-dire un chiffre binaire fait de milliards de milliards de bits : c'est la datamasse. On veut collecter une partie de cette datamasse pour tenter d'y trouver le signal d'un danger terroriste. Pour cela on va utiliser des algorithmes successifs. Le premier est celui de la loi : l'on parie que là où on va trouver le plus d'informations c'est sur le réseau, on va donc le forer par des "boîtes noires". Et on en demande l'autorisation. Il est possible qu'on se trompe et que les meilleures données sont ailleurs. On apprend. Ce que l'on sait est que les US (NSA, etc.) se sont ménagé une certaine avance qui leur permet peut-être de nous manipuler.

C'est cela l'algorithme des boîtes noires : ce n'est que le début d'une cascade d'algorithmes qui vont tenter d'en savoir le plus possible sur tout le monde sous forme de "0" et de "1" (on se moque de ce que cela veut dire) et de corréler ces "0" et "1" avec d'autres motifs de "0" et de "1" correspondant de près ou de loin à des actes douteux. Et on va recommencer, et recommencer - comme pour le spam.


Attention aux fausses alertes

A la fin, il y aura des positifs et des faux positifs pour lesquels il faudra :

  • soit lever le doute (enquête)
  • ou prendre une décision dans le doute (action)
  • ou assigner devant le Juge pour qu'il instruise l'alerte reçue qui semblera ressembler au signal d'un délit. En sachant que des faux pourront être volontaires (manipulations, intrusions, virus, bugs).

C’est ainsi qu’aux US une none s’est retrouvée menottée sous la menace de quelques mitraillettes, car elle roulait dans la voiture d’une organisation terroriste … qui venait d'être retenue pour le Prix Nobel de la Paix. L'algorithme responsable a été modifié : il y avait un bug dans le menu d'entrée des données de la Police qui taggait comme "terroriste", les organisations "autres".


La décision du législateur français (mai 2015)

Ce qui est demandé au législateur est l'algorithme que doit suivre l'opératif. C'est là qu'une doctrine nationale de cyberdefense et de souveraineté digitale est nécessaire (cf. réclamation du sénateur Bockel depuis des années). Le législateur doit décider - vu les avantages et les risques de l'algorithme qui lui est proposé - quel est le mieux pour la France. En particulier dans ce cas de définir jusqu'où l'Etat peut-il aller pour terroriser les terroristes.


RFCs

Les OPES sont des fonctionnalités intrinsèques à l'architecture de l'internet.

  • RFC 3238 - IAB Architectural and Policy Considerations for Open Pluggable Edge Services
  • RFC 3705 - High Capacity Textual Conventions for MIB Modules Using Performance History Based on 15 Minute Intervals
  • RFC 3752 - Open Pluggable Edge Services (OPES) Use Cases and Deployment Scenarios
  • RFC 3835 - An Architecture for Open Pluggable Edge Services (OPES)
  • RFC 3836 - Requirements for Open Pluggable Edge Services (OPES) Callout Protocols
  • RFC 3837 - Security Threats and Risks for Open Pluggable Edge Services (OPES)
  • RFC 3838 - Policy, Authorization, and Enforcement Requirements of the Open Pluggable Edge Services (OPES)
  • RFC 3897 - Open Pluggable Edge Services (OPES) Entities and End Points Communication
  • RFC 3914 - Open Pluggable Edge Services (OPES) Treatment of IAB Considerations
  • RFC 4037 - Open Pluggable Edge Services (OPES) Callout Protocol (OCP) Core
  • RFC 4236 - HTTP Adaptation with Open Pluggable Edge Services (OPES)
  • RFC 4902 - Integrity, Privacy, and Security in Open Pluggable Edge Services (OPES) for SMTP
  • draft-ietf-opes-rules-p-02 P: Message Processing Language

Links and Documents