Ressources numériques en sciences humaines et sociales OpenEdition Nos plateformes OpenEdition Books OpenEdition Journals Hypothèses Calenda Bibliothèques OpenEdition Freemium Suivez-nous

Étiquette : données personnelles

IXmaps: voir les routes, comprendre l’architecture

logo du projet IXmaps – www.ixmaps.ca

Savez vous par où, par quels “lieux” transitent vos données?

Quelles “routes” elles empruntent?

Qui contrôle ce réseau, cette architecture complexe qu’est Internet?

Cette vidéo de présentation du projet IXmaps tâche de répondre à ces quelques questions. Développé autour de la faculté d’information de L’Université de Toronto, le projet universitaire IXmaps (Université de Toronto, Ontario College of Art and Design, Information Policy Research Program – Canada) est un outil de cartographie et de suivi de paquets qui transitent sur Internet. Il permet de reconstituer le chemin que ces derniers empruntent d’un nœud du réseau vers un autre nœud. On peut ainsi reconstituer l’itinéraire des paquets que l’on envoie à un destinataire lorsqu’on lui transmet un email par exemple. L’outil permet en d’autres termes de voir par quelles “routes” et par quels endroits passent nos informations et de nous en donner un aperçu sur une carte (USA et Canada uniquement).

Après la très médiatique affaire Snowden qui dévoilait les centres de surveillance de la NSA du trafic web américain la vidéo met en image l’organisation de ce trafic et nous rappelle à quel point l’Internet est matériel et éloigné de cette idée de “nuage”, de “cloud”. La vidéo présente également certaines caractéristiques du routage des paquets entre États (notamment le “boomerang routing”), de la surveillance du trafic outre atlantique depuis le 11 septembre 2001 et l’établissement du “Patriot Act” (accords entre opérateurs de télécommunications et gouvernement américain) et de l’aspect centralisé et centralisateur de l’architecture globale de l’Internet (l’essentiel du trafic américain transitant par au moins l’un des 18 nœuds centraux du territoire américain).

À regarder:

 

What Is IXmaps? from The New Transparency on Vimeo.

François Huguet

PhD student in Communication Studies at the Codesign Lab & Media Studies at Telecom ParisTech. Supervisor: Annie Gentès / Co-supervisor: Jérôme Denis

More Posts - Website

Follow Me:
TwitterDelicious

Un regard critique sur les architectures décentralisées

Un article de 2012, par Arvind Narayanan, Solon Barocas, Vincent Toubiana, Helen Nissembaum and Dan Boneh, librement disponible en ligne sur la plateforme ArXiv, porte un “regard critique” sur les architectures de réseau décentralisées dans des contextes d’application qui impliquent un traitement des données personnelles.

Le problème central auquel se confronte le papier est la distance entre la promesse des architectures décentralisées, face à la centralisation progressive des fournisseurs de service, et le  manque d’application à large échelle, sauf exceptions, de ces architectures. En parallèle aux avantages, le papier discute les inconvénients de la décentralisation, qui restent, d’après les auteurs, souvent cachés sous la promesse d’une plus grande liberté et protection.

« …for all these efforts, decentralized personal data architectures have seen little adoption. This position paper attempts to account for these failures, challenging the accepted wisdom in the web community on the feasibility and desirability of these approaches. »

« for the most part decentralized social networking appears not to have anticipated the success of mainstream commercial, centralized social networks, but rather developed as a response to it. »

« we present some underappreciated drawbacks of decentralized architectures. Not all of these apply to all types of systems, nor is any of them individually a decisive factor. But collectively they may help explain why decentralization faces a steep road ahead, and why even if adopted, decentralization will not necessarily provide all the benefits that its proponents believe will automatically flow from it. »

« We hope to kick off a more tempered discussion of the future of personal data architectures in both scholarly and hobbyist/entrepreneurial circles, one that is informed by the lessons of history. There is much work to be done along these lines — application of economic theory can shed light on questions such as the relative strength of network effects in centralized vs. decentralized systems. Empirical methodology such as user and developer interviews would also be tremendously valuable. »

On est ravis d’apprendre qu’on est en train de contribuer à une démarche intéressante.  ;-)

 

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

À propos de la mort d’Aaron Swartz

Boston Wiki Meetup – CC BY-SA 2.0 Sage Ross (http://www.flickr.com/photos/ragesoss/)

Vendredi dernier, à l’age de 26 ans, Aaron Swartz se donnait la mort à New York. Celui qui passe aujourd’hui pour un prodige de l’informatique et de l’internet (fondateur de Reddit, ami de Lawrence Lessig et membre de l’équipe d’invention des flux RSS et des Creative Commons) avait piraté le site de Jstor. Il était inculpé pour cela. Lister l’ensemble des articles qui discutent du suicide de celui qui est en passe de devenir le “Martyr” du web serait difficile; néanmoins, voici une liste d’articles qui ont retenu notre attention:

Anglais:

Sa vision de l’internet comme un système-réseau complètement distribué était particulièrement intéressante, Cf. cette vidéo:

François Huguet

PhD student in Communication Studies at the Codesign Lab & Media Studies at Telecom ParisTech. Supervisor: Annie Gentès / Co-supervisor: Jérôme Denis

More Posts - Website

Follow Me:
TwitterDelicious

Les alternatives aux réseaux sociaux : l’architecture distribuée et le design de média

Critique du livre Les Réseaux sociaux – Culture politique et ingénierie des réseaux sociaux et de l’article Les alternatives aux réseaux sociaux : l’architecture distribuée et le design de média – Annie Gentès, François Huguet – Collection du Nouveau Monde industriel sous la direction de Bernard Stiegler (éditions Fyp, Paris, 2012) sur Nonfiction.fr

 

Des réseaux pas si sociaux, un ouvrage collectif qui remet en question nombre d’idées reçues sur notre façon de vivre le “Web social” par Maxime Vaudano, étudiant à l’école supérieure de journalisme de Lille. Retrouvez la critique ici.

Les alternatives aux réseaux sociaux – l’architecture distribuée et le design de média-Gentes, Huguet – Culture politique et ingénierie des réseaux sociaux (direction Bernard STIEGLER) Annie GENTES & François HUGUET

 

 

 

François Huguet

PhD student in Communication Studies at the Codesign Lab & Media Studies at Telecom ParisTech. Supervisor: Annie Gentès / Co-supervisor: Jérôme Denis

More Posts - Website

Follow Me:
TwitterDelicious

Freedom Box, la brique d’une architecture de liberté?

La sixième conférence re:publica se conclut aujourd’hui à Berlin, et les réseaux sociaux alternatifs et décentralisés sont à l’honneur. Ils l’ont notamment été dans l’appel qu’Eben Moglen, professeur de droit et d’histoire à l’Université de Columbia, a lancé hier : c’est le moment, a-t-il dit, de ne pas reculer face aux problématiques les plus pressantes des réseaux sociaux sur l’Internet d’aujourd’hui: la surveillance, les atteintes à la liberté de pensée, et les limitations de la vie privée des individus.

Selon M. Moglen, les réseaux sociaux comme Facebook, les moteurs de recherche comme Google, ou les centres commerciaux en ligne comme Amazon seraient en train de « consommer » les utilisateurs. Les gouvernements de toutes tailles sont désireux de réutiliser le profilage et les prédictions effectuées par ces services afin de cibler certaines activités, et sont en train d’adopter des lois qui leur permettraient de stocker ces données indéfiniment. En particulier, nos appareils mobiles sont toujours en modalité « confession 24/7 ».

« La Stasi aurait bien peu à faire cette fois, M. Zuckerberg fait le travail à sa place, » a souligné M. Moglen, en ajoutant que Facebook est un important magasin de données contenant les pensées et les comportements d’un milliard de personnes, ou des moyens directs de les reconstruire. Le discours de M. Moglen n’a pas non plus épargné Steve Jobs, le « guru » d’Apple récemment décédé, qualifié de « monstre moral » qui avait une profonde aversion pour le partage en toutes ses formes.

Eben Moglen a déclaré qu’il y a un besoin de plus en plus urgent de médias non surveillés, de logiciels libres, et de réseaux non contrôlés par les opérateurs de réseau. Sans ces possibilités, la liberté de pensée sera définitivement perdue, a-t-il dit. L’appel du professeur américain a été particulièrement bien reçu à re:publica, qui se construit année après année comme la plus importante conférence sur l’Internet « alternatif » en Europe.

La conférence re:publica est le dernier endroit où M. Moglen a présenté son projet actuel, Freedom Box – le prototype d’un système de désintermédiation des communications via l’Internet, qui devrait permettre aux utilisateurs d’entrer en contact directement. La Freedom Box Foundation compte présenter bientôt la version bêta et, à la fin de 2012, commercialiser le produit – une petite boîte métallique ressemblant à un vieux modem, qui communique d’un côté avec la prise téléphonique et de l’autre avec l’ordinateur.

La philosophie qui sous-tend le projet Freedom Box est assez simple : Facebook a recueilli l’énergie de nos désirs sociaux et nous a convaincu d’accepter un compromis excessif, en créant une structure qui donne un accès gratuit au Web et à ses contacts humains en échange d’un « espionnage » gratuit et continu. Ce qui ne veut pas dire que Facebook devrait être illégal, mais que ceux qui savent créer et développer doivent « remédier par la technique » à la situation. Selon M. Moglen, nous sommes en mesure de le faire et Facebook sera bientôt obsolète. « Il n’y a aucune raison pourquoi l’architecture d’un réseau social devrait inclure une telle invasion de la vie privée. En fait, le matériel et les logiciels nécessaires pour construire un réseau dans lequel les gens conservent le contrôle direct de ses informations, sans intermédiaires, existe déjà. Il faut juste construire un meilleur système. »

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

“Privacy by Design”: la technologie au service de la vie privée

Compte-rendu de l’atelier ANR « Privacy by Design (PbD) . Mettre la technologie au service de la vie privée : Enjeux, limites et perspectives », Paris, 23 mars 2012

L’atelier « Privacy by Design (PbD) . Mettre la technologie au service de la vie privée : Enjeux, limites et perspectives », organisé pour et avec le concours de l’Agence Nationale de la Recherche, a eu lieu le 23 mars 2012 à Le Ponant de Paris, près du Parc André Citroen dans le 15ème arrondissement de Paris. Il se proposait d’examiner la notion de « Privacy by Design » (PbD), un principe qui souligne la nécessité de prendre en compte le respect de la vie privée des personnes dès les premières phases de conception des technologies de l’information et de la communication (TIC) et des technologies de sécurité et de surveillance, ainsi que de la mise en place des services de réseautage social. L’atelier a réuni des chercheurs en sciences politiques, des juristes, des sociologues, des philosophes, des économistes, des ingénieurs et des spécialistes de l’informatique ainsi que des industriels et des représentants des organismes de protection des données personnelles.

Les données personnelles, au cœur de la société de l’information

Pour les organisateurs de l’atelier, les données personnelles constituent de loin « la » composante essentielle de la société de l’information, de la société de surveillance et de l’économie numérique, car elles sont au cœur à la fois des systèmes d’identification électronique (e-ID), des réseaux sociaux, et des dispositifs de surveillance et de traçage, dont la principale caractéristique est d’être de plus en plus intelligents. Leur exploitation intensive questionne cependant la vie privée des individus à une pluralité de niveaux. L’existence et le fonctionnement même de ce qu’on appelle le « web relationnel », dans son état actuel, dépend d’une utilisation massive des informations et des données personnelles, créant à la fois de nouveaux services et opportunités économiques et de nouveaux types de risques. Les données personnelles constituent également les ressources stratégiques des activités de sécurité et justice, et sont à ce titre stockées et traitées dans de multiples bases de données et échangées entre différentes agences de sécurité, en tant qu’instrument essentiel de la lutte contre le terrorisme et le crime organisé.

La fabrication d’une norme techno-juridique de privacy

Le PbD, pouvant se traduire en français par l’expression « la prise en compte de la vie privée dès la conception », a été présenté comme le principe selon lequel toute technologie exploitant les données personnelles doit intégrer la protection de la vie privée dès sa conception, et s’y conformer tout au long de son cycle de vie. C’est une forme de prévention du risque d’exploitation abusive de ces données qui se met en place, en intégrant un dispositif technique de protection dès la conception des solutions et services.

Le PbD est en train de devenir l’un des piliers techno-juridiques destinés à garantir la protection des données personnelles et la privacy des individus. Comme ont souligné Ann Cavoukian, Commissaire de l’Office de la protection des données d’Ontario au Canada (en vidéoconférence), et sa directrice politique Michelle Chibba, le PbD est désormais propulsé outre-Atlantique comme un principe obligatoire à intégrer dans toutes les TIC et les technologies de sécurité comme la vidéosurveillance, basées sur la collecte, l’analyse et l’échange des données personnelles. Au niveau de l’Union Européenne, la Commissaire européenne chargée de la justice, le Contrôleur Européen de la Protection des Données (CEPD) et le G29 on récemment exprimé le souhait que ce principe soit intégré à la législation européenne, en tant que principe concernant toute institution ou organisation, publique ou privée, pour qui les données personnelles constituent une importante ressource fonctionnelle et stratégique.

Un concept à explorer pour un cadre juridique européen en évolution

Le sens précis du concept de PbD, son efficacité, son coût, sa transposition juridique, la méthodologie qui permet de l’intégrer concrètement dans des systèmes technologiques et ses impacts individuels et sociétaux ne sont pas encore clairement adressés par ces mêmes autorités qui plaident pour son introduction dans les solutions technologiques. Il est pourtant nécessaire, a-t-on souligné à plusieurs reprises pendant l’atelier, de les examiner de façon précise afin de pouvoir évaluer l’apport de ce concept à la protection de la vie privée des individus, tant sur le plan de l’efficacité que de l’impact social, éthique et juridique, dans un contexte où l’explosion et la globalisation des nouvelles technologies ont rendu nécessaires la révision et la mise à jour de la directive européenne 95/46 relative à la protection des données personnelles, un des principaux instruments de droit communautaire encadrant la privacy. Cette révision a abouti à une refonte du cadre européen, qui sera dorénavant fondé sur deux actes juridiques : un règlement général sur la protection des données et une directive portant sur la protection des données utilisées dans le cadre des affaires de police et justice pénale. C’est dans cette nouvelle configuration que la Commission européenne prévoit de rendre obligatoire l’approche « protection des données personnelles dès la conception », et propose l’adoption du PbD pour tous les produits/services et systèmes exploitant ce type de données.

Du PbD à la “Privacy by Using”

Une table ronde particulièrement intéressante (et vive!) a porté sur les enjeux économiques du PbD entre marché et régulation. Alain Rallet et Fabrice Rochelandet de l’Université Paris XI ont discuté l’efficacité du PbD. En termes économiques, la régulation de la privacy poursuit soit une minimisation du coût social, soit une maximisation du bien-être social. Cependant, il y a beaucoup de mal à identifier les “pollueurs” et les “pollués” en termes de privacy, ce qui gêne beaucoup les économistes. Les données personnelles sont traitées en tant que biens informationnels et on en suit les fuites, les confinements, la diversité de régulations. La PbD est l’une de ces régulations, de type ex ante : on intervient avec un ensemble de choix de design et de conception avant qu’un endommagement soit fait – puisse être fait. Les coûts de la PbD sont surtout supportés pas les technology providers, les ISPs, etc. Mais comment définir l’efficacité des standards PbD? Qui met en place ces standards? Quel est le rôle des experts et qui sont-ils ? Aussi, il y a la possibilité de règles trop laxistes ou trop strictes. Comment fixe-t-on la norme optimale? Les défis résident surtout dans les changements technologiques rapides, qui le sont tout particulièrement dans le domaine des services Internet, et dans le renouvellement des usages qui peuvent rendre les normes obsolètes. A. Rallet et F. Rochelandet ont également souligné la possibilité d’un « effet parapluie percé » dans la mise en œuvre du PbD : si on peut le protéger avec des firmes de grande taille, d’autres acteurs sont plus difficilement contrôlables. Quels types de sanctions légales peut-il y avoir dans ces cas? Le problème de l’ « illusion du contrôle » sur lequel travaille beaucoup Alessandro Acquisti à la Carnegie Mellon University, est aussi à considérer : les individus sont surtout intéressés par l’existence du contrôle elle-même, pas par l’objet qui est le résultat de ce contrôle. Les renouvellements fréquents des paramétrisations dans les réseaux sociaux en sont un exemple.

Enfin, le PbD change comme problématique par rapport aux types de réseau. Dans les réseaux sociaux, on a un paradoxe économique : ceux-ci ont leur principe de business dans le matching des individus grâce aux données personnelles, et il y a fort consensus entre les utilisateurs et les service providers par rapport à cette dynamique. Comment un paradigme PbD peut-il s’insérer dans ce discours ? La conclusion d’A. Rallet et F. Rochelandet est donc qu’il est souhaitable de reformuler le PbD comme « Privacy by Using », un processus adaptatif dans lequel l’utilisateur occupe une place centrale : la construction et la prise en compte d’outils pour en savoir plus sur des questions de privacy, et incorporer celles-ci dans les outils dans un deuxième temps. Autrement, on risque de construire la PbD « comme quelque chose qu’on n’a pas… à donner à quelqu’un qui n’en veut pas. »

Un label, pas une méthode… mais des vraies conséquences

Si Philippe Mouttou de Thalès a invité à prolonger dans le cas de la PbD, en particulier dans le champ de la vidéosurveillance, le principe fondateur de quarante-cinq années de droit européen qui consiste à mettre « l’individu en premier », l’intervention de Nicolas Desrumaux, de l’Université de Lille 2, a porté la discussion sur le PbD sur un plan plus controversé en invitant l’audience à questionner l’ontologie de ce concept d’un point de vue plus juridique, « acceptable comme philosophie mais peut-être pas d’une exceptionnelle utilité ». D’après l’orateur, il faut se poser nombre d’autres questions avant : en premier lieu, de quoi parle-t-on? Le PbD serait à l’heure actuelle plutôt un processus, l’importation d’un concept marchand de partage d’information dans un contexte européen surtout intéressé par la protection. Le débat sur la privacy se base souvent sur des idéaux parfois difficile à traduire en pratique : le flou qui existe autour de ces idéaux serait maintenant en train de porter préjudice à la stabilisation de la notion même de PbD? Quand même, il existe des véritables enjeux politiques, normatifs et économiques autour de cette notion en devenir : la détermination voir l’imposition de standards industriels, la dissémination et la mise en place de spécifications, des verrous juridiques à faire sauter, de la discrimination entre intérêts contradictoires. Le PbD est préconisé par des institutions ad hoc au moment même que la validité du concept n’est pas véritablement démontrée. En conclusion, selon N. Desrumaux, le PdB n’est pas (encore?) une norme juridique car il ne possède pas de protocole de validation scientifique, et serait même nuisible, dans sa forme actuelle, à l’application du droit : un label est offert, mais pas une méthode, car l’application de ce label ne préconise pas de garanties.

La conclusion de Robert Picard, du Ministère des Finances, a noté comment les deux mots clé de cette table ronde, régulation et marché, ont sous-tendu des réflexions variées et polémiques : variété et polémique à attribuer au fait que, si le concept et l’ontologie même du PbD sont fortement débattus, il existe déjà autour de ce concept des objets, des marchés, des réalités économiques : il faut dès lors assurer un suivi et une mise en œuvre de la part des instances de régulation nationales, européennes et internationales. L’articulation entre normes et standards techniques reste à construire : les premières sont très strictes, mais leur rapport avec la technique demeure peu clair. Le PbD est l’un des chantiers les plus intéressants pour expérimenter avec cette articulation.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

YaCy, la recherche web décentralisée

 

 

 

 

 

YaCy est un moteur de recherche décentralisé participatif permettant à tout utilisateur d’indexer le web. Selon ses concepteurs, “Il peut être utilisé de façon autonome, mais sa principale force est de pouvoir fonctionner en réseaupeer-to-peer, cequi fait que sa puissance s’accroit avec le nombre d’utilisateurs, qu’il est entièrement décentralisé (tous les “peers” sont égaux et il n’y a pas un organisme administratif central) et qu’il n’est pas censurable et ne stocke pas le comportement des utilisateurs”.

Plus d’informations ICI

 

FSCONS: YaCy Demo from Michael Christen on Vimeo.

François Huguet

PhD student in Communication Studies at the Codesign Lab & Media Studies at Telecom ParisTech. Supervisor: Annie Gentès / Co-supervisor: Jérôme Denis

More Posts - Website

Follow Me:
TwitterDelicious

Qu’est ce qu’un réseau social distribué?

 

Une Bande Dessinée qui présente les caractéristiques d’un réseau social distribué:

What’s a Distributed Social Network?
par Sterling Gee, Bruce Mercado et David Eisenberg.

Versions:

 

Creative Commons License

This work is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 3.0 Unported License

 

 

D’autres travaux de représentations sont disponibles ici

 

 

François Huguet

PhD student in Communication Studies at the Codesign Lab & Media Studies at Telecom ParisTech. Supervisor: Annie Gentès / Co-supervisor: Jérôme Denis

More Posts - Website

Follow Me:
TwitterDelicious

Le Cloud: une architecture virtualisée

Dans l’analyse des modèles d’architecture en réseau, dont l’architecture distribuée est un cas spécifique, il nous a paru intéressant d’explorer les questions de l’architecture du cloud computing qui actuellement pose des questions juridiques de grande ampleur. Nous avons donc participé à un Atelier de l’ADIJ dédié aux problèmes juridiques du Cloud, et qui s’intéresse essentiellement au Cloud d’entreprise.  La question commune d’emblée évidente est que le pair à pair et le cloud essaient de résoudre chacun de leur façon la mutualisation de ressources face aux capacités limitées. Ils ont aussi en commun l’élasticité du modèle, la modulabilité, le self-provisioning. Un deuxième aspect commun est celui du sort des données personnelles. Alors que dans le cas du pair à pair, les données personnelles des utilisateurs sont par nécessité transmises dans un réseau de pairs, dans le cas du Cloud Computing, les données personnelles sont stockés dans des data centers dont la localisation exacte est souvent inconnue aux utilisateurs et dont la sécurité est incertaine. C’est ainsi que la CNIL qui a participé à cet Atelier a aussi mis en place un Groupe de travail interne sur ce thème. Nous reprenons ici les principaux points de cet Atelier qui se rapportent à nos interrogations.

Le 3 novembre 2011, l’atelier « Cloud Computing » de l’Association pour le Développement de l’Informatique juridique (ADIJ) animé par H.F. Jul-Hansen, B. Delmasx-Linel& D. Feldman  a  terminé sa première tranche de réflexions à l’Espace Hamelin.  L’atelier, qui avait été lancé le 23 septembre 2010, a accueilli durant ses séances de nombreux avocats et représentants de sociétés leaders du Cloud Computing (tel que Microsoft, Google, IBM, WMWare, etc) qui se sont réunis tous autour d’une même table pour entreprendre une discussion ouverte et constructive sur les atouts, les risques et les enjeux juridiques du Cloud Computing. L’atelier s’est terminé avec un compte-rendu de ce qui a été dit dans les séances précédentes.

Avant même de se mettre d’accord sur une définition, le groupe était divisé sur la question : s’agit-il  ou non d’une révolution technique ? N’était ce pas plutôt une innovation (voire un coup) commerciale ? Il est dit notamment que le terme « Cloud Computing » ne veut  rien dire en soi, que  c’est un outil de marketing qui fait vendre des services, mais qui fait aussi peur aux clients. Le Cloud Computing est sans doute une révolution mais elle n’est pas technique. La virtualisation de l’architecture et la mutualisation des données permettent une plus grande élasticité et flexibilité des ressources informatiques, mais leur déplacement sur le réseau comporte une perte de maîtrise qui comporte des risques importants. Les problématiques juridiques principales concernent essentiellement le droit à la vie privée, la sécurité des données, et l’encadrement contractuel. La question est de savoir si ces problèmes sont inhérents au Cloud Computing, ou s’ils sont dus simplement à la jeunesse de ces architectures.

I.               Encadrement contractuel

La difficulté majeure est celle de formuler des contrats qui puissent prendre en compte tout problème potentiel. Alors que dans le cas des Clouds publics (versus Clouds privés), l’utilisation de contrats-type est a priori possible, la négociation des contrats pour les Clouds privés est beaucoup plus complexe. Les Clouds hybrides, eux, essaient de trouver un équilibre entre l’exportation des données en dehors de l’entreprise et le maintien de certaines opérations au sein de l’entreprise.

Le problème de fond se trouve dans l’opposition entre les utilisateurs qui exigent un maximum de garanties et les prestataires de services en amont qui ne veulent assumer aucune responsabilité. Les intermédiaires se voient donc obligés de gérer et de mettre en balance les intérêts de tous leurs partenaires. Si le contrat est déséquilibré, il y a souvent un problème au niveau de l’expression des besoins.

L’encadrement contractuel est d’autant plus difficile qu’il n y a pas de transparence entre les opérateurs. Les utilisateurs communiquent exclusivement avec un intermédiaire (e.g. Dropbox), sans connaître l’identité ni des prestataires en amont (e.g. Amazon dans le cas de Dropbox) ni des responsables de l’infogérance et de l’hypervision (e.g. Xen dans le cas d’Amazon).

II.             Sécurité des données

Les problèmes de sécurité concernent  l’accessibilité et la confidentialité des données. Bien que les mêmes problèmes existaient auparavant, les risques sont perçu comme étant beaucoup plus graves dans le cadre du Cloud à cause de la distance et de l’échelle des opérations. Des centres de données  (data centers) accumulent de plus en plus de données qui ne sont accessibles que par l’intermédiaire du service Cloud. Dès lors qu’il y a une panne, de nombreux utilisateurs en souffrent et personne ne peut faire quoi que ce soit, si ce n’est attendre que les prestataires résolvent le problème. Ceci entraine un malaise psychologique du à la perte de maitrise.

Ainsi, bien que le Cloud offre d’énormes avantages en termes de disponibilité et accessibilité des données, il comporte aussi de gros désavantages du à la perte de maitrise et au manque d’interopérabilité. Plusieurs fournisseurs de services, notamment Google et Blackberry, ont déjà été confrontés à de tels risques.

Il ne s’agit là pourtant pas d’une nouvelle ménace, mais plutôt d’une confirmation que ces risques existent toujours. Alors que le Cloud ne multiplie pas la probabilité de perte des données, il en multiplie l’ampleur. Des problèmes, aussi minimes soient-ils, risquent d’entrainer des conséquences très importantes puisque le Cloud opère sur une grande échelle. De plus, bien que ces problèmes se posent à la même fréquence dans le Cloud ou ailleurs, leur nombre est susceptible d’augmenter avec le nombre d’intermédiaires.

Pour  sécuriser les données, il est donc encore plus nécessaire d’investir en redondance, mais aussi d’éduquer les utilisateurs à sauvegarder leurs données dès lors qu’ils ne sont pas prêts à accepter les risques.

III.           Droit à la vie privée

Les problématiques liées à la protection de la vie privée des utilisateurs sont de grande actualité dans le cadre du Cloud Computing. De plus en plus de juristes travaillent sur les questions relatives au Cloud Computing et à la protection des données personnelles. Les enjeux sont essentiellement dus au fait que les règles sur le traitement des données personnelles varient énormément selon des pays. Le cadre règlementaire européen est beaucoup plus strict que celui des Etats-Unis par exemple. Alors que ces problèmes existaient bien avant l’arrivée du Cloud Computing, le Cloud en a été un révélateur efficace.  Ainsi, bien qu’il n’ait pas modifié les comportements habituels des fournisseurs de services en termes de traitement des données, il a cependant acquis une connotation négative dans l’esprit des clients.

Il devient donc nécessaire de rassurer les clients. Alors que certains fournisseurs de service ne se préoccupent pas de contrôler l’emplacement de leurs serveurs ou de leurs prestataires, d’autres se sont engagés à proposer des offres qui garantissent que tous les serveurs soient en Europe, et en font ainsi un atout concurrentiel. De plus, même si rien n’a changé d’un point de vue pratique, les contrats d’infogérance (l’externalisation de tout ou partie de la gestion et de l’exploitation du service informatique à un prestataire informatique tiers)  se voient maintenant obligés de contempler tous les problèmes liés à la sécurité et à la confidentialité des données – bien que cela aurait du être fait bien avant l’arrivée du Cloud Computing.

Ces dangers ne sont pas seulement théoriques, comme l’ont prouvé récemment Sony, Amazon, Google et Blackberry. Avant d’acheter un service, de plus en plus de clients s’interrogent pour savoir si les fournisseurs de services sont bien assurés contre les risques associés au Cloud Computing. Des instituts d’assurance ont donc été appelés à intervenir pour amortir ces nouveaux risques.

La question principale est de savoir si ce sont les prestataires de service ou les utilisateurs finaux qui doivent s’assurer contre la perte ou la fuite des données. Les clients exigent souvent que les prestataires assument tous les risques, bien que cela soit difficile à mettre en œuvre. Plutôt que d’essayer de créer un contrat qui mette les garanties entièrement sur le dos des prestataires, il serait préférable de changer le modèle adopté pour satisfaire les besoins des clients (par exemple, en passant d’un Cloud public à un Cloud hybride). Obliger les fournisseur à s’assurer contre les risques liés à la perte des données et au respect de la vie privée risque de se traduire en une forme de forfaitisation, où le coût de l’assurance est partiellement reversé sur les clients qui se voient donc obligés de payer un premium pour assurer la sécurité de leurs données. De plus, bien qu’il soit important de répartir les responsabilités sur les différents prestataires, l’utilisateur peut aussi s’assurer par ses propres moyens. Ceci permettrait des négociations plus équilibrées entre tous les acteurs qui participent au service.

Enfin, un autre point intéressant porte sur la standardisation. L’idée serait de gérer les problèmes de sécurité et de confidentialité des données en s’appuyant sur une série de normes ou de standards. OVH, par exemple, a annoncé vouloir rechercher une certification ISO pour ses offres de Cloud privé, dans le but de fournir de meilleures garanties de sécurité aux clients.

La standardisation permet aux clients de contrôler la fiabilité des prestataires par l’intermédiaire de l’audit d’un tiers. Différents types de certifications sont déjà utilisés par plusieurs fournisseurs de services Cloud, tel que la certification SAS 70 par exemple, mais la plupart ne couvrent que les aspects financiers du service. Le problème est que les certifications proviennent d’entreprises privées, et il est donc toujours nécessaire de se mettre d’accord sur les standards à utiliser.

Aujourd’hui, le développement de normes ou de standards capables de garantir l’efficacité et la sécurité d’un service n’a pas beaucoup avancé dans le cadre du Cloud Computing. Cela est probablement du au fait que l’on est encore en phase de compétition dans le secteur. La standardisation des offres arrivera probablement à une phase successive, lorsque le marché commencera à se stabiliser. Est-ce que le Cloud est architecture nouvelle qui induit de nouveaux rapports assurantiels et contractuels ?

À la fin de cet atelier, nous avons compris que le Cloud Computing et les réseaux pair à pair ont plusieurs caractéristiques en commun. Tous les deux sont basés sur la virtualisation et la mutualisation des ressources et tous les deux présentent une architecture distribuée, dynamique et élastique – bien que l’architecture du Cloud est déterminée par les besoins des clients, alors que celle des réseaux pair à pair dépend de la disponibilité des ressources. Cependant il nous semble intéressant d’analyser en quoi ces deux architectures, qui sont toutes deux distribuées, se différencient. Il nous semble que, alors que le pair à pair est une architecture distribuée décentralisé, le Cloud est lui une architecture distribuée de façon centralisé.

Danièle Bourcier et Primavera De Filippi

primaveradefilippi

More Posts

Quitter Facebook et rester connectés : l’aube des réseaux sociaux décentralisés

Cet article est également paru sur Silicon Maniacs. Merci à Mael Inizan pour son assistance. Image originale par Rishibando.

Lors de la conférence de développeurs Facebook (f8) du 22 septembre dernier, le PDG de la firme, Mark Zuckerberg, présente la nouvelle version du populaire réseau social : il déclare que les nouvelles fonctionnalités de Facebook permettront dorénavant un partage « sans frictions » (frictionless sharing). Cette annonce est suivie par le dévoilement d’un reformatage radical des profils des utilisateurs, ainsi que d’un historique (timeline) qui liste en ordre chronologique toutes les informations que les utilisateurs ont partagées dans le passé au moyen du site. Zuckerberg note également que les applications tierces ayant accès au service pourraient dans le futur (avec l’accord des utilisateurs) partager automatiquement toute action entreprise par l’usager, que ce soit l’écoute d’une chanson ou le visionnage d’une vidéo.

Blogueurs et commentateurs des technologies sociales notent promptement les « inévitables frictions du frictionless sharing », et remarquent comment la conception de partage « excessivement facile » préconisée par le nouveau Facebook ne tient pas compte des motivations qui amènent les individus à sélectionner les informations qu’ils veulent – ou ne veulent pas – partager. Le nouveau Facebook soulève également des questions de protection et de confidentialité des données personnelles de l’utilisateur, ainsi que du contrôle exercé par celui-ci sur les opérations de partage et d’échange au moyen des outils sociaux. Comme plusieurs fois dans le passé, la question se pose : comment les utilisateurs pourraient-ils quitter Facebook et rester connectés ? Récemment, plusieurs projets de recherche et applications commerciales ont tenté de répondre à cette question en offrant des solutions alternatives, permettant de contourner au moins certains des risques posés par l’inconstante politique de confidentialité du « géant » Facebook.

Qu’est-ce qu’un réseau social décentralisé ?

Ce qui est souvent reproché aux services tels que Facebook, Google+ ou YouTube est la façon dont leurs conditions d’utilisation leur permettent de devenir indéfiniment propriétaires de tout ce qui est écrit ou téléchargé par les usagers sur et au moyen du service. Et ceci, sans s’exprimer clairement sur la manière dont ces données sont exploitées – donnant souvent à des applications externes la permission d’y accéder, et suivant parfois une stratégie commerciale « interne ».

Le contrôle de ces services sur les données personnelles des utilisateurs est facilité par le modèle technique sur lequel ils se basent, de type dit client/serveur. Avec des services tels que Google+ ou Facebook, chaque fois qu’un usager exécute une recherche ou met un album photo en ligne pour le montrer à ses amis, ces données sont envoyées aux serveurs de la firme, et téléchargées avant de rejoindre leur destinataire prévu, contribuant à façonner un Internet « concentré » autour de puissants centres de données appartenant aux fournisseurs de services.

En revanche, le principe à la base des réseaux sociaux décentralisés (ou acentrés) est de laisser l’utilisateur du service maître de ses données, en lui donnant la possibilité d’héberger lui-même, sur son propre ordinateur, son profil, la liste de ses amis, les contenus numériques qu’il désire partager (textes, photos, vidéos). Soit les données ne quittent jamais la machine de l’utilisateur, soit elles le font en mode crypté, lors d’échanges directs, d’ordinateur à ordinateur, avec d’autres utilisateurs autorisés. Le modèle technique sous-jacent à ces applications répond à une logique de pair-à-pair (peer-to-peer, P2P) ; en éliminant les intermédiaires dans les activités de partage et de réseautage en ligne, des liens directs sont établis entre les utilisateurs, en reflétant au niveau de l’architecture technique le principe d’échange direct qui, dans un réseau social, motive les utilisateurs à partager.

Les débuts décentralisés d’internet

La mobilisation d’un modèle de réseau décentralisé – qui élimine la dualité entre le fournisseur de service et l’utilisateur, typique du modèle serveur/client, en la remplaçant par une situation où chaque client est aussi un serveur – loin d’être une nouveauté absolue, peut être considérée comme un retour aux origines de l’Internet. Depuis les débuts du « réseau des réseaux », en effet, le principe de décentralisation a été à la base des transmissions et communications qui y circulent. Pourtant, l’introduction du Web en 1990 a progressivement conduit à une large diffusion des modèles basés sur une architecture client-serveur ; les services Internet les plus répandus et les plus diffusés (réseaux sociaux, outils de messagerie instantanés, services de stockage de données numériques…) sont conçus à partir de modèles économiques et techniques dans lesquels l’utilisateur final demande une information, une donnée ou un service à de puissants centres de serveurs, qui stockent l’information et gèrent le trafic sur le réseau. Ainsi, même si sur internet le trafic fonctionne sur le principe de la distribution généralisée, il est aujourd’hui concentré autour de serveurs qui délivrent l’accès au contenu. Cependant, la décentralisation – la conception du réseau de manière à ce que les communications et les échanges aient lieu entre des nœuds jouant un rôle symétrique dans le système – demeure une des alternatives possibles, et peut-être celle qui est le plus à même d’assurer la durabilité du réseau internet.

Diaspora* et ses frères

Si la décentralisation des réseaux sociaux a pour la première fois trouvé un écho dans les médias avec l’histoire de Diaspora* – réseau où des ordinateurs totalement indépendants dits « graines » sont amenés à se connecter directement entre eux tout en abritant leur propre profil – nombre de projets relèvent actuellement le défi de créer le réseau social décentralisé qui puisse s’ériger à compétiteur crédible et fiable de Facebook. NoseRub est un protocole de réseau social décentralisé permettant aux utilisateurs du réseau de garder les informations de leur profil sur leurs propres terminaux, et à leurs terminaux d’interagir et de se synchroniser automatiquement. Le projet Appleseed, parti de la volonté de considérer l’utilisateur comme un «citoyen du net plutôt qu’un consommateur à cibler», est de nouveau sur les rails après des difficultés financières, et vise à construire un modèle de réseau distribué sur lequel le profil d’un site Appleseed soit capable de se lier avec un profil sur un autre site Appleseed, permettant une interaction directe entre les deux. En France, le projet Turbulences propose une solution technologique open-source, utilisable par une variété d’acteurs institutionnels et du secteur privé afin d’assembler et de lancer leur service de réseau social, intégré aux services en ligne existants au travers de protocoles et de standards libres.

Une véritable alternative?

L’« alternative » proposée par ces projets de réseaux sociaux décentralisés prendra-t-elle suffisamment pied pour constituer un véritable défi pour le « géant » Facebook, le forçant à reconsidérer ses politiques de confidentialité souvent controversées et sa conception un peu inquiétante de « partage sans friction » ? Le point d’interrogation principal concerne sans doute la réceptivité des utilisateurs à la possibilité de migrer non seulement vers une autre plate-forme, mais aussi vers une application dont la prise en main et les bénéfices d’utilisation sont peut-être moins immédiats, comportant la gestion en autonomie de son propre « petit serveur ». Les critiques dont Facebook fait l’objet rendent pourtant la question légitime et intéressante, bien que sa réponse ne soit pas encore claire: après tout, en travaillant à faire coïncider les liens sociaux avec les liens de réseau, les différents projets qui expérimentent avec la décentralisation appliquée aux réseaux sociaux représentent peut-être la première réelle tentative d’optimisation, à la fois sociale et technique, des outils de réseautage social.

 

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech Yahoo! Fellow in Residence, Georgetown University

More Posts - Website

“Private Yet Connected” sur ParisTech Review et Agora

L’article “Private Yet Connected? Yes, We Can: The Challenge of Decentralized Social Networks”, publié en février 2011 par ParisTech Review, est repris par le magazine canadien Agora dans le numéro de juin 2011. A l’honneur: les médias sociaux décentralisés.

Francesca Musiani

Chercheuse postdoctorale, MINES ParisTech Yahoo! Fellow in Residence, Georgetown University

More Posts - Website