Qui veut la peau des logiciels libres de caisse ?

Isabella Vanni : Le tout premier sujet qu’on a sélectionné pour vous, qu’on a choisi parce que ça concerne aussi l’actualité de l’April. On parle des logiciels libres de caisse qui étaient en danger suite au vote du Sénat qui avait adopté l’amendement supprimant l’attestation individuelle, imposant la certification comme seul mode de preuve de la conformité de la solution. Cet amendement aurait particulièrement impacté les logiciels libres de caisse sous licence libre. Avec la censure du gouvernement, le projet de loi de finances pour 2025 est à l’arrêt, du coup, pour le moment, les logiciels libres sont tirés d’affaire, mais seulement pour le moment. On verra pour la suite.
Je ne sais pas trop comment cela se passe. Les travaux parlementaires pour le projet de loi de finances sont-ils à l’arrêt définitivement ? Est-ce qu’on reprend à partir du projet, est-ce qu’on refait ? Comment ça marche ? Je ne suis pas trop au courant.

Pierre Beyssac : Bonjour à tout le monde.
Je crois qu’il va falloir tout reprendre, sachant qu’ils ont déjà commencé. François Bayrou, le nouveau Premier ministre, est supposé être favorable au logiciel libre, on va voir si ça peut avoir une influence sur ce genre de texte. Pour expliquer, l’idée, c’est que les logiciels de comptabilité doivent être certifiés par l’éditeur, ce qui pose un problème aux logiciels libres, parce que, obtenir cette certification peut être coûteux et il était quand même permis, aux éditeurs, de se donner la certification eux-mêmes, donc, en gros, certifier sur leur honneur, si on peut dire.

Isabella Vanni : Ce qu’on appelle l’attestation individuelle.

Pierre Beyssac : Cette disposition a été interdite par le projet de loi de finances qui vient d’être censuré, qui est parti à l’eau. Cela pouvait poser de gros problèmes, parce que ça oblige à payer un cabinet d’audit externe, c’est beaucoup plus coûteux et, pour du logiciel libre, ça peut être extrêmement problématique.

Isabella Vanni : Rappelons que le gouvernement précédent, le gouvernement qui s’est fait censurer, avait, étonnamment, donné un avis contraire par rapport aux amendements qui ont quand même été adoptés par le Sénat.

Pierre Beyssac : Le gouvernement voulait protéger un peu, parce que ça affecte, bien entendu, les petites entreprises, essentiellement. C’est le genre d’amendement que les gros éditeurs adorent, évidemment, parce qu’ils ont les moyens et le volume nécessaire, la masse critique pour absorber ça sans surcoût, ce qui n’est pas le cas des PME et des PME du Libre en particulier.

Isabella Vanni : Est-ce que Gee ou Florence souhaitent rebondir sur ce sujet ? Ce n’est pas une obligation.

Gee : On a dit que les logiciels libres sont tirés d’affaire « pour le moment ». On a effectivement changé de gouvernement. Le gouvernement d’avant n’était déjà pas favorable, donc, est-ce que ça va changer quelque chose pour le prochain budget ? Est-ce que, du coup, le Sénat et l’Assemblée nationale vont revoter les mêmes amendements pour imposer cette procédure de certification ? Je pense que rien du tout ne l’interdit. Ça a l’air d’être un soulagement assez temporaire. D’autant plus que ce n’est pas comme si le gouvernement allait changer de bord complètement. On prend un peu les mêmes et on recommence, il faut être honnête. Donc, oui, je pense qu’il va falloir rester vigilant, de toute façon, sur ce qu’il va se passer.

Isabella Vanni : En tout cas, l’April s’était déjà mobilisée déjà en novembre dernier pour appeler les sénatrices et sénateurs à ne pas sacrifier les logiciels libres de caisse en votant ces amendements. Nous avions notamment publié une lettre ouverte et l’April reste, bien évidemment, mobilisée. Nous ne sommes pas à l’abri d’une bonne surprise, mais, comme tu disais, nous allons rester vigilantes et vigilants.

Pierre Beyssac : Pour les signataires potentiels, il y a une lettre ouverte proposée par l’April.

Isabella Vanni : On a publié cette lettre et je l’ai mise dans les références de l’émission du jour, vous pourrez y accéder. On l’a publiée le 27 novembre et le Sénat a voté la suppression de l’attestation individuelle le 29 novembre. La lettre ouverte restera publiée, on essaiera de l’élaborer à nouveau pour que ça ne soit pas qu’un appel aux sénateurs et sénatrices, mais à tous les parlementaires. On verra la suite de ce projet.

Étienne Gonnu : Redire qu’on va effectivement rester mobilisés, repréciser qu’avec la censure du gouvernement et sa chute, le projet de loi actuel est fini. Ils vont faire une loi spéciale pour les affaires courantes mais, comme Gee l’a très bien résumé, la question va revenir dans un an lors de la prochaine loi de finances. Par contre, ce qu’on a maintenant le temps de faire, et on va essayer d’utiliser ce temps aussi utilement que possible, c’est-à-dire aller contacter les parlementaires, aller contacter, une fois qu’on aura un nouveau gouvernement, les cabinets ministériels et l’administration, parce qu’on se demande aussi d’où vient cette volonté d’imposer la certification, sans doute pour simplifier le travail de Bercy, mais à quel prix ? On va essayer d’engager à nouveau, comme on l’avait fait en 2016, sur ces questions-là, de réenclencher la conversation avec les parties prenantes, notamment tous les éditeurs et les intégrateurs de logiciels libres de caisse, pour essayer de trouver une solution un peu plus équilibrée que celle qui nous est proposée. Ça va notamment être sur la table de l’April en 2025.

Pierre Beyssac : Une petite question. Souvent, sur les amendements parlementaires, il y a une citation de la source, d’où vient la proposition. Est-ce qu’on a un indice de ce type-là sur cet amendement ?

Étienne Gonnu : Non. C’est vrai qu’on l’a parfois vu ces dernières années, mais j’ai l’impression que c’était quand même plus l’exception que la norme. Là, on ne sait pas d’où est partie l’impulsion. J’ai le sentiment que ça viendrait de Bercy lui-même, sans doute. On ne sait pas trop. C’est vrai que ça fait partie des mystères de nombreux amendements. D’où est-ce que ça vient ? Qui a tenu la plume ?

Florence Chabanois : J’avoue que je pensais que c’étaient des lobbies. Ça existe des lobbies de grands groupes ?

Étienne Gonnu : C’est possible aussi.

Gee : Qui peut croire ça !

Isabella Vanni : J’ai tendance à dire que derrière ces choix malheureux, il y a aussi beaucoup d’ignorance. Je suis sensible à ta suggestion, Étienne. D’ailleurs, je suis ravie que mon collègue, qui est justement chargé d’affaires publiques, qui a contacté pas mal de sénatrices et sénateurs pour les prévenir du danger qui planait sur les logiciels libres, qui a rédigé la lettre ouverte dont on a parlé, soit avec nous aujourd’hui.
On en a terminé avec ce sujet ?

[Clochette]

Hébergement des données de santé chez Microsoft

Isabella Vanni : Le sujet suivant, c’est l’hébergement des données de santé chez Microsoft qui a été validé par le conseil d’État. On parle de la plateforme Health Data Hub, en fait un projet dont le but est de faciliter la collecte des données de santé des Françaises et des Français pour travailler pour la recherche et pour l’innovation. L’idée c’est de centraliser toutes ces données de santé — déjà, la centralisation nous fait un peu peur —, et, en plus, le choix de l’hébergeur a été Microsoft. La Commission nationale de l’informatique et des libertés a autorisé, a donné un avis favorable pour que cet hébergement soit chez Microsoft et la mauvaise nouvelle, c’est maintenant la validation par le Conseil d’État.
Est-ce que vous voulez commenter cette triste nouvelle ?

Pierre Beyssac : C’est quelque chose qui traîne depuis longtemps. Un certain nombre de personnes veulent défendre un peu notre souveraineté, comme le parlementaire Philippe Latombe qui suit le dossier. C’est une question fondamentale et c’est un projet exemplaire sur ces sujets-là, c’est un gros projet de recherche, un parmi d’autres, et ça pose la question d’héberger nos données, ou pas, sur du cloud souverain, cloud souverain ou pas, d’ailleurs.
Le problème, dans le cas de Microsoft, c’est que ces données-là sont soumises aux lois étasuniennes type FISA [Foreign Intelligence Surveillance Act], qui permettent, en gros, aux services secrets étasuniens d’aller fouiner dans les données. Là, ce sont des données de santé anonymisées.

Florence Chabanois : Pseudonymisées.

Pierre Beyssac : Je ne suis pas sûr.

Gee : Si, c’est pseudonymisé.

Pierre Beyssac : D’accord, excusez-moi. Merci pour la précision.

Isabella Vanni : Quelle est la différence ?

Florence Chabanois : Pseudonymisé, on sait que c’est un rattaché à une personne, mais on ne sait pas laquelle, alors qu’anonyme, c’est vraiment anonyme, il n’y a aucun lien. Pseudonymisé, une fois qu’on regroupe plusieurs jeux de données, on peut remonter. Par exemple, si on dit « cette personne a une Ferrari rouge à Paris », je ne sais pas s’il y en a beaucoup, mais si on dit « une personne qui a une Ferrari rouge dans un village de 200 personnes », même si on ne sait pas qui c’est, en fait, on sait qui c’est parce qu’il n’y a qu’une seule personne.

Pierre Beyssac : Il y a un gros précédent là-dessus. AOL avait libéré ses requêtes de recherche théoriquement pseudonymisées, mais, en fait, des journalistes s’étaient aperçus qu’en croisant les recherches, ils pouvaient retrouver assez facilement un certain nombre de personnes. Donc là, potentiellement, il peut y avoir le même genre de souci. Il y a le problème de FISA, il y a le problème d’être dépendant d’un fournisseur étranger. Donc, ça pose tout un tas de soucis. La CNIL, dans son avis, avait dit, en gros : « On ne peut pas vraiment faire autrement parce qu’il n’y a pas vraiment d’offre comparable, en France », ce qui n’est pas totalement vrai. Il n’y a pas d’offre identique, évidemment, ça réclamerait peut-être un effort supplémentaire. La CNIL a dit : « On ne peut pas faire autrement, donc OK. »

Gee : Il y a un côté « quand bien même ». Ce truc de dire « c’est le mieux qu’on puisse faire, il n’y a pas d’alternative » m’agace. Peut-être que si on ne peut pas faire mieux que ça, il faut juste ne pas le faire. Cette espèce de fuite en avant m’agace, dire « de toute façon on va le faire. Donc, autant prendre le truc le mieux qui existe. On va dire que c’est Microsoft ! ». J’ai vu qu’il existe une espèce de spécification, qui s’appelle SecNumCloud, que les entreprises doivent remplir pour que ce soit accepté. En gros, visiblement, personne n’est capable d’être compliant comme on dit, d’être conforme.

Isabella Vanni : Tu parles d’être conforme au droit européen ?

Pierre Beyssac : Être conforme au SecNumCloud.

Gee : Si personne ne le fait, peut-être qu’il faut juste ne pas faire ce Health Data hub. Au bout d’un moment, est-ce qu’on a vraiment besoin de ça ? On a vécu longtemps sans l’avoir, ce n’est donc pas fondamental. Plutôt que, encore, filer un truc à Microsoft, ils ont déjà le ministère de la Défense, le ministère de l’Éducation nationale, ça commence à faire beaucoup. Edward Snowden, c’était il y a 11 ans quand même.

Isabella Vanni : C’est probablement déjà loin !

Gee : Ce serait bien de comprendre, une bonne fois pour toutes, qu’il ne faut pas mettre des trucs sur des services étasuniens et surtout pas des données aussi sensibles, que ce soit celles de la Défense ou les données de santé des Français et des Françaises.

Pierre Beyssac : Je voudrais quand même mettre un bémol. Ce sont des données de recherche qui sont quand même super utiles aux chercheurs. Le but, c’était d’avoir un entrepôt de données, comme on disait autrefois, pour l’accès aux recherches épidémiologiques, des choses comme ça. C’est donc utile à la recherche médicale. Par contre, effectivement, le problème de tomber dans la facilité d’offres commerciales étasuniennes, c’est qu’on perd en souveraineté. La souveraineté ce n’est pas quelque chose pour lequel on va forcément au plus facile. Ça peut vouloir dire faire des efforts pour essayer de rester autonomes dans nos moyens stratégiques. Ça coûte effectivement plus cher et c’est moins facile qu’aller au plus facile et au moins cher. C’est donc une question à se poser sur les compromis à faire en la matière et ce n’est pas forcément impossible de faire autrement. Voilà ! En gros, on pourrait faire autrement, ça réclamerait juste plus d’efforts.

Isabella Vanni : Il faut peut-être s’en donner les moyens !

Pierre Beyssac : C’est ça.

Florence Chabanois : Le fait que personne ne soit certifié SecNumCloud, ce n’est même pas vrai. Je ne vais pas trop les citer, mais plusieurs hébergeurs étaient dessus. J’ai peut-être rêvé, mais il me semble qu’il y en a un qui l’a eu il y a peu de temps. Je trouve qu’on est allé un peu vite, effectivement, et là c’est mon côté un peu parano, mais je suis sûre que le lobby Microsoft a très bien fait son travail en nous mettant devant cette réflexion de « il n’y a pas le choix », mais, en fait, on n’a pas beaucoup cherché.

Pierre Beyssac : Un dossier avait fuité. Un journaliste a fait une demande d’accès aux documents administratifs, une demande CADA, il a obtenu les documents internes de ce qui a donné lieu au choix et un certain nombre de gros hébergeurs français avaient répondu. On a donc quelques éléments là-dessus, mais ce n’est pas complet, évidemment. Le choix a quand même été celui de Microsoft à la fin.

Florence Chabanois : En fait, je ne comprends pas, parce que, sur un sujet aussi critique, pour moi il devrait y avoir des appels d’offres, même si ce n’est pas une entreprise publique, dire qu’on soumet ça à la concurrence. On doit au moins donner leur chance à plusieurs entreprises de répondre à l’offre. On a vraiment l’impression que c’est un deal. Là, c’est moi qui parle, j’ai vraiment l’impression que c’est un deal, que ça a été fait sous le manteau.

Pierre Beyssac : Il me semblait qu’il y avait eu un marché, mais je ne suis pas totalement sûr de mon coup.

Florence Chabanois : Ça devrait être public dans ce cas-là.

Isabella Vanni : Ce sont des données qui servent à la recherche, à l’innovation. Qui va utiliser ces données ? Peut-être que la pression vient aussi de là. Il n’y a pas que les hôpitaux ou les organismes publics, il peut y avoir aussi des centres de recherche. Ce sont des deniers publics, probablement n’a-t-on pas vraiment tous les éléments pour savoir pourquoi il y a cette fuite en avant, comme disait Gee et pourquoi on ne se donnerait pas plus de temps pour trouver les moyens pour avoir un autre projet.

Pierre Beyssac : Le HDH a promis que ça serait à l’étude et que ce n’était pas une solution définitive. Ils ont dit que, d’ici x années, ils allaient tenter de migrer sur une architecture plus franco-française.

Isabella Vanni : Oui ! Mais on sait très bien comment marche la dépendance !

Gee : Des trucs temporaires qui deviennent définitifs !

Isabella Vanni : Exactement, et combien coûte aussi le changement et combien c’est difficile de le faire accepter. Donc, ce serait bien de commencer du bon pied tout de suite.
Je pense qu’on a terminé sur ce sujet.

[Clochette]

Fuite de données et conséquences surprises

Isabella Vanni : Maintenant, on va traiter un sujet qui a été suggéré par Florence. J’ai beaucoup aimé le titre que tu as donné à ce sujet : Fuite de données et conséquences surprises.

Florence Chabanois : C’est vrai, je ne me souvenais pas.

Isabella Vanni : J’ai beaucoup aimé, malheureusement des conséquences surprises, pas joyeuses, parce que la fuite de données est sans doute l’une des raisons de la fin du télétravail chez Free, par exemple. Tu veux en parler un peu plus ?

Florence Chabanois : Un site a été créé par Aeris, qui s’appelle bonjourlafuite.eu.org. Il y a donc énormément de fuites de données, d’attaques depuis quelques années et encore plus à peu près depuis la Covid, du coup, il y a des dommages collatéraux un peu inattendus, parce qu’il y a un peu cette injonction : on va réagir à ça et une des conséquences qui, pour moi, inattendue chez Free, c’est de se dire qu’on enlève le télétravail parce que le VPN, c’est dangereux. Il me semble qu’il y a eu une grève des équipes de Free disant, grosso modo, qu’on n’est pas capable de sécuriser un VPN, du coup on en profite pour attaquer des acquis sociaux.

Isabella Vanni : Peut-on rappeler ce qu’est un VPN pour les personnes qui nous écoutent ?

Florence Chabanois : On va dire que c’est un réseau sécurisé. C’est un réseau privé. C’est comme si on était dans l’entreprise, mais on n’est pas dans l’entreprise, on est dans le réseau de l’entreprise, du coup, les personnes qui sont à l’extérieur n’ont pas accès à ce réseau privé si elles n’ont pas les accès spécifiques. C’est ce qui permet, notamment, le télétravail, tout en ayant accès aux ressources de l’entreprise.
Il y a eu un problème de credentials, on va dire de mot de passe qui a été donné à quelqu’un et, apparemment, c’est comme cela que ça s’est passé.
Du coup, ça m’a fait penser à des conséquences inattendues. Tout à l’heure, on parlait des logiciels de caisse, on parlait de la cause. Je ne sais pas pourquoi ils veulent absolument que soit homologué et je me disais que c’était peut-être pour tout ce qui est fraude, en se disant que si c’est certifié par un organisme extérieur, ça devrait suffire. Pour les attaques ou pour éviter les fuites de données, la réponse qu’on entend parfois c’est qu’en mettant en open source les données on est transparent, du coup, on donne la possibilité aux gens de contrôler. Ce n’est pas dit que soit vraiment plus sécure, que l’effort est là.
J’avais proposé ce sujet pour savoir, selon vous, quelles sont les autres conséquences par rapport aux fuites de données, à part des conséquences, pas anecdotiques, mais d’organisation du travail dans les entreprises.

Gee : Ce que je trouve fascinant, déjà, c’est la quantité de données que toutes ces entreprises ont sur les gens. Je suis sur le site en question. Ces derniers temps, ça a été le festival. Il y a eu des fuites tous les deux jours : Top Achat, LDLC, Norauto, SFR, la Banque de France, Direct Assurance et Direct Assurance, ça remonte au 19 novembre, donc, en l’espace d’un mois, il y a toutes ces failles et d’autres que je ne cite pas. Je ne suis pas du tout expert en sécurité, peut-être que tous ces trucs-là étaient très bien sécurisés et que c’est la faute à pas de chance, on a des hackers, enfin des crackers, très forts en face. Mais j’ai un peu l’impression qu’il y a un côté magique au numérique. À partir du moment où on a un site, on se dit « c’est bon » et on n’a pas trop besoin d’investir dans la sécurité. C’est un peu comme si les entreprises avaient des entrepôts sans cadenas, ça paraîtrait quand même impossible, mais là, j’ai l’impression que c’est parfois un peu le cas.
Au-delà de ça, déjà la collecte ! On a quand même des entreprises qui sont accros à la collecte de données, qui collectent vraiment beaucoup de données et, parfois, on ne sait pas pourquoi. Il m’arrive de faire des achats sur Internet, maintenant, sur 95 % des sites il faut créer un compte ; pour acheter un truc une fois, est-ce que c’est vraiment utile d’avoir un compte quelque part ? Il y a quand même des entreprises qui arrivent à faire sans, j’ai déjà acheté des choses où on n’a pas de compte, on nous fait une espèce d’accès temporaire pour la commande et ça se passe très bien.

Isabella Vanni : Un compte invité.

Gee : Oui, voilà. Je suis dans une petite association, un petit café associatif dans la ville où j’habite et, il n’y a pas longtemps, nous avons eu ce débat parce que nous avons refait nos feuilles d’adhésion. On demandait plein d’infos et nous nous sommes demandé pourquoi on demande ça ? Pourquoi, comme info, faut-il préciser son âge ? Pourquoi faut-il préciser tel truc ? Des gens qui sont dans l’association ont dit « ça permet de faire des statistiques. » Mais on se demande si ça vaut vraiment le coup, en fait, d’avoir ces données, sachant que c’est juste pour venir boire des coups, c’est un café associatif !

Pierre Beyssac : Normalement, au sens du RGPD [Réglement général sur la protection des données], on n’est pas censé collecter des données dont on n’a pas l’usage. Les données collectées sont censées être nécessaires.

Gee : Si on fait des statistiques sur le PDF de l’AG, est-ce que c’est un usage ? Je ne sais pas.

Pierre Beyssac : Il y aurait une minimisation des données à faire. C’est clair.

Gee : On a donc eu ce débat et, finalement, on a retiré plein de trucs sur les nouveaux bulletins d’adhésion parce qu’on a conclu qu’on n’en avait pas besoin. Du coup, ce ne serait pas mal que les entreprises fassent aussi ce boulot. Au moins, quand il y a une fuite, ça peut évidemment arriver à tout le monde d’avoir une brèche de sécurité, qu’on ne se retrouve pas avec tout et n’importe quoi !
Le site bonjourlafuite liste un peu tout ce qui a fuité, souvent c’est nom, prénom, adresse, ça arrête souvent. Pour Norauto, je vois « numéro de pièce d’identité ». Pourquoi Norauto a-t-il besoin du numéro d’une pièce d’identité ? C’est quand même un truc ! Donc oui, ce serait bien que ça provoque un petit peu quelque chose, que ce soit au niveau légal ou juste, déjà, que les entreprises fassent un peu leur autocritique là-dessus.

Pierre Beyssac : Au niveau législation, on a aussi tout un tas d’obligations de vérification, notamment en matière automobile, peut-être pour les contrôles techniques, je ne sais pas. La législation oblige aussi, parfois, à collecter des données sensibles en fait. L’exemple typique, c’est la preuve d’âge sur Internet qui oblige à collecter des données, au niveau identité, quand même assez gênantes.
Toutes ces fuites, en fait, ça existe depuis des années. Aeris a décidé de monter ce site assez récemment pour montrer un peu le torrent d’attaques réussies. Il y a certainement des problèmes de sécurisation, mais il y a aussi beaucoup de sites mal conçus. Pour reprendre ton excellente image de l’entrepôt, c’est un peu comme si on avait un entrepôt avec des données sensibles et 10 000 personnes qui ont la clé. On est donc à peu près sûr que dans les 10 000 clés il y en a quelques-unes qui vont se retrouver là où elles ne devraient pas et, une fois que les gens sont dans l’entrepôt, ils peuvent faire ce qu’ils veulent. Il y a des problèmes de permission par rapport aux accès qu’on donne. On n’a pas beaucoup de retours dessus, mais, manifestement ce qui se passe, c’est qu’un employé égare son mot de passe – d’ailleurs, dans le cas de Free, si ça se trouve c’est accessible sans VPN, je ne sais pas. Donc un employé perd son mot de passe, c’est ce qui s’est passé, je crois, pour les attaques sur France Travail qui a eu un exemple similaire. Un employé perd son mot de passe, un pirate le récupère et se met à récupérer toutes les informations auxquelles l’employé a accès. Il lance un programme qui va tourner pendant deux mois et récupérer, consulter 100 000 comptes individuels. Cela n’est pas normal ! On devrait mettre des alertes sur les sites pour dire « c’est bizarre, ce compte-là est à Pau et il a consulté les données de 250 000 personnes des Hauts-de-France ! ». Il y a peut-être un manque de vigilance sur les volumes d’accès et on a très peu de retours sur ces événements, ce qui est assez embêtant. On a très peu de retours d’expérience, que ce soit de l’administration ou du privé, pour savoir ce qui s’est passé, ce qui permettrait un peu à tout le monde d’être sensibilisé aux failles à éviter, aux précautions à prendre pour mieux gérer ça dans la conception elle-même des sites. Il ne suffit pas de rajouter une couche de sécurité par-dessus, il faut vraiment que ce soit pensé au niveau des fonctions du site.

Isabella Vanni : Et pourquoi n’y a-t-il pas cette attitude de partage, de la visibilité ?

Pierre Beyssac : Pas encore ! Ça existe en matière aéronautique : les accidents d’avion donnent lieu à des enquêtes publiques avec des retours d’expérience, ça existe en ferroviaire, ça existe en routier. Il faut faire quelque chose au niveau informatique.

Isabella Vanni : Peut-être que ça va venir, c’est une question de temps.

Florence Chabanois : Pour moi c’est le cas, au moins en partie, sur le site de la CNIL. Comme tout incident de ce type demande une déclaration auprès de la CNIL et une des actions possibles, c’est justement de publier ce qui s’est passé. Après, il y a des niveaux de détails qui sont variables, ils ne vont pas forcément dire que c’est tel mot de passe, même s’ils le disent parfois. Ils donnent donc un peu de contexte, je sais pas s’ils le font sur tous.
Par rapport à la sécurité, je suis assez d’accord avec toi dans le sens où c’est dès la conception qu’on doit y penser, la démarche c’est plus limiter les dégâts, alors qu’aujourd’hui la mentalité, par contre, c’est plus d’acquérir du marché : c’est gagner de l’argent plus que limiter les pertes. Ça fait aussi qu’on a tendance à se renfermer en disant « le Libre c’est un risque et on doit tout verrouiller ». Je pense que c’est un des travers. Je n’ai pas d’exemple très concret, peut-être une des news d’après sur les données ouvertes de la SNCF dont on va parler tout à l’heure.
Gee, par rapport à ce que tu disais sur les données anonymisées, je pense que c’est vrai dans le cas de nos retours sur la carte d’identité. En fait, ça a rien à voir, on n’en a pas besoin, on peut prendre le numéro de carte grise, pas de la carte d’identité. C’est un peu la mentalité du RGPD qui disait « on arrête d’être glouton. »

Gee : On peut envoyer sa carte d’identité pour prouver son âge à un instant donné et que ce ne soit pas stocké.

Florence Chabanois : Exactement, ou c’est supprimé juste derrière.

Pierre Beyssac : Ce qui peut être pénalisant dans l’autre sens, c’est que les sites de vente peuvent aussi supprimer les comptes au bout d’un mois, plutôt un an. Du coup, si on fait des commandes un an plus tard, on est obligé de recréer un compte.

Florence Chabanois : Mais je préfère quand même ça.

Pierre Beyssac : Ça peut être mieux ! Vu le nombre de fuites qu’il y a en ce moment, ça peut être mieux !

Florence Chabanois : Normalement, c’est la finalité qui justifie la durée de conservation. Du coup, si, par exemple, j’achète une voiture tous les cinq ans, ça ne sert à rien. On ne devrait pas, n’a pas le droit, même, de garder les données ad vitam æternam. C’est par rapport à un cycle de vie et créer un compte, ce n’est pas si coûteux que ça !

Isabella Vanni : En ce qui concerne les mots de passe, je me demande s’il y a une vraie politique de mots de passe dans toutes les boîtes, petites, moyennes ou grandes. Il y a des recommandations sur le site de la CNIL, la Commission nationale de l’informatique et des libertés qu’on a déjà citée à plusieurs reprises, et ça ne plaisante pas. Il y a vraiment un numéro minimum de chiffres à utiliser, des caractères spéciaux à utiliser. Il faut faire attention. Dans mes expériences de travail, mis à part à l’April, il n’y avait pas d’équipe informatique qui venait nous dire « attention, pour les mots de passe, il faut absolument utiliser ça et ça. »

Pierre Beyssac : On a un peu dépassé ça. C’est utile d’avoir un mot de passe très protégé, il n’y a pas de doute là-dessus.

Isabella Vanni : Peut-être que je me fais des illusions.

Pierre Beyssac : Mais c’est devenu insuffisant. Maintenant, c’est facile. Tout un tas d’attaques permettent de récupérer ton mot de passe en te le faisant taper toi-même, des attaques de phishing notamment. Maintenant la tendance, qui devient assez complexe pour tout un chacun, c’est de mettre ce qu’on appelle un deuxième facteur. Ça peut être un mot de passe envoyé par SMS, mais, là aussi, ce n’est pas très sûr, un numéro unique envoyé par SMS ou bien un numéro unique généré par une petite application de calcul. C’est assez technique, mais c’est une meilleure protection parce qu’un pirate qui te vole ton mot de passe ne peut pas accéder au compte parce qu’il n’a pas la deuxième partie, le deuxième facteur.

Isabella Vanni : Ça peut se faire aussi en entreprise.

Pierre Beyssac : Ça peut se faire à peu près partout. Bien sûr, des logiciels libres le permettent, permettent de s’intégrer dans les tous les systèmes web.

Isabella Vanni : Qu’on puisse le faire, je m’en doute, mais est-ce que c’est une pratique ?

Pierre Beyssac : C’est une pratique qui se répand de plus en plus, notamment sur tous les comptes un peu sensibles type courrier électronique. Google le fait depuis longtemps parce qu’ils avaient énormément de piratage, c’étaient des points ultrasensibles. Les réseaux sociaux comme Twitter le font également. Ça se développe pas mal parce que ça complique considérablement les possibilités de piratage et, typiquement, sur des réseaux sociaux où il y a des comptes extrêmement sensibles de personnes médiatiques ou politiques qui ont besoin de se protéger, qui sont la cible d’attaques permanentes, il y a vraiment besoin de ça, sinon le réseau risque d’engager sa responsabilité et risque même d’avoir pas mal d’ennuis.

Florence Chabanois : J’en profite pour préciser, c’est un peu mon côté très RGPD, il faut distinguer données sensibles et données personnelles. Sensibles, ça va être les données de santé, politiques, alors que les données personnelles sont celles qu’on voit sur le site, pour la plupart, comme l’e-mail, le nom et le prénom, qui sont propres à une personne et qu’on ne peut pas stocker sans motivation réelle, alors qu’on ne peut pas le faire tout court pour les données sensibles, même pour la religion. Il faut faire une déclaration explicite à la CNIL qui doit nous autoriser à le faire et, du coup, c’est rarissime de le faire. On n’a jamais le droit de les stocker si on n’a pas cette autorisation de la CNIL.
Par rapport à ce que tu disais, Isabella, sur les mots de passe, la CNIL a effectivement changé ses règles. Maintenant, par exemple, c’est plus la longueur qui va jouer que la différence de caractères. J’ai vu un des travers de ça il n’y a pas si longtemps : j’étais dans un magasin, il y avait un Post-it avec le mot de passe parce qu’il était trop compliqué à retenir. Je n’ai pas osé le dire, je me suis dit « hum ! »

Pierre Beyssac : C’est le défaut des mots de passe trop compliqués.

Florence Chabanois : Donc plus c’est compliqué, moins ça aide aussi. Du coup, avec toutes ces fuites, ce sont souvent des humains, qui donnent les mots de passe, la cause de ces piratages. On arnaque les gens. Ce n’est pas tellement un problème de sécurité informatique, ce n’est pas quelqu’un, un ninja ou une ninja qui passe par un tunnel, qui travaille nuit et jour pour pirater. Non ! C’est juste que le pirate se fait passer pour quelqu’un et la personne le donne sans le faire exprès, il se fait passer pour un client qui a oublié son mot de passe, par exemple. Franchement, c’est super facile, en fait. Ce n’est pas tellement la technique qui va nous prémunir de ça.

Pierre Beyssac : Il y a des démonstrations incroyables. Récemment, j’ai vu une démonstration. Un journaliste était dans une conférence de hackers et une jeune femme, spécialiste en sécurité, qui n’a aucune information à part son numéro de téléphone, et encore, je ne suis même pas sûr. Elle appelle son opérateur téléphonique et elle lui vole son compte téléphonique en deux minutes.

Isabella Vanni : En baratinant ?

Pierre Beyssac : En baratinant. Elle met des bruits de bébé en disant « excusez-moi », elle montre qu’elle est un peu paniquée, « mon mari a changé », elle baratine et, en fait, elle fait remettre à zéro le mot de passe du gars, elle récupère son compte en deux minutes à peu près. La vidéo circule. Donc, même avec un mot de passe parfait, on peut quand même trouver des contournements pour attaquer des gens.
Une autre chose existe, dont, je pense, il est utile de parler, c’est ce qu’on appelle les gestionnaires de mots de passe qu’il y a souvent dans les navigateurs. Je me sers d’un. Déjà, pour toutes les applications sur le Web, c’est utile parce que ça permet de tout stocker dans le navigateur. Après, il faut protéger avec un mot de passe maître, évidemment, pour ne pas se faire voler tout l’ensemble.

Isabella Vanni : Il faut avoir confiance dans son navigateur.

Pierre Beyssac : Il faut avoir confiance dans son navigateur, c’est essentiel, effectivement, par contre, ça ne gère pas les mots de passe hors applications web. Il y a donc des gestionnaires de mots de passe plus généraux, qui gèrent à la fois le côté web et le côté applications classiques. Ça évite de s’arracher les cheveux et ça évite aussi de mettre partout le même mot de passe, ce qui est extrêmement dangereux, parce que vous vous le faites piquer d’un côté et le pirate peut attaquer vos autres comptes avec le même mot de passe.

Isabella Vanni : Donc, on apprend un seul mot de passe compliqué ou très difficile.

Pierre Beyssac : C’est ça. Le mot de passe maître. Il est alors stocké chez vous et, comme cela, les mots de passe que vous donnez à des tiers, à des sites tiers, sont totalement différents partout.

Isabella Vanni : Gee, tu voulais ajouter quelque chose peut-être.

Gee : Effectivement, malgré toute la technique qu’on peut avoir, le facteur humain est important. Ça me rappelle une scène dans une très chouette série que je vous conseille, qui s’appelle Mr. Robot, une des rares séries avec de l’informatique réaliste dedans, ce n’est pas si fréquent, où justement, à un moment, il se demande comment infiltrer un repère, je sais plus quoi. Ils disent : « Ce repère a une sécurité réputée inviolable, il n’y a aucune faille ! ». Et là, le protagoniste regarde et dit : « J’en vois cinq sur ton plan » et, en fait, ce sont les cinq employés. Ce sont les failles.

Isabella Vanni : Ça me semble une excellente conclusion pour ce sujet. J’aurais voulu attaquer le sujet suivant, puisque c’est un petit peu en lien, mais c’est bien aussi de faire faire une petite respiration à l’émission avec une pause musicale.
Je vous propose d’écouter Mystère par A Virtual Friend. On se retrouve dans environ quatre minutes. Belle journée à l’écoute de Cause Commune, la voix des possibles.

Pause musicale : Mystère par A Virtual Friend.

Voix off : Cause Commune, 93.1.

Isabella Vanni : Nous venons d’écouter Mystère par A Virtual Friend, disponible sous licence libre CC By 3.0.

[Jingle]

Isabella Vanni : Nous allons poursuivre notre discussion. Je suis Isabella Vanni de l’April. Nous discutons des actualités du Libre avec Florence Chabanois, Gee et Pierre Beyssac.
N’hésitez pas à participer à notre conversation au 09 72 51 55 46 ou sur le salon web dédié à l’émission, sur le site causecommune.fm, bouton « chat ».

SNCF Open Data en danger

Isabella Vanni : Le prochain sujet est, en quelque sorte, en lien avec le sujet précédent, la fuite des données, parce qu’on parle de l’Open Data SNCF en danger. Avec plus de 20 000 utilisateurs chaque mois, 65 000 téléchargements, etc., la plateforme SNCF Open Data est l’une des plus utilisées en France. Mais bémol, il existe des poussées pour fermer l’Open Data ici ou là, sous couvert de sobriété ou de sécurité.
C’est un sujet sélectionné par Pierre, plussoyé, si j’ai bien compris, par Florence. À vous la parole.

Pierre Beyssac : Pour essayer d’aller rapidement, SNCF Open Data est l’un des plus gros sites français d’open data. Il y a énormément d’informations que ce soit en termes d’horaires, ce qui est utile pour les applications d’itinéraire, de perturbations de trafic, mais aussi de fréquentation des gares, de fréquentation des lignes, de longueur des lignes, il y a y compris des informations sur l’infrastructure.

Isabella Vanni : Open data, ça veut dire qu’on a accès à ces informations, qu’on peut aussi les télécharger, les réutiliser.

Pierre Beyssac : C’est sous licence libre, on peut les réutiliser librement, les rediffuser. C’est la licence OdbL [<em<Open Database License], une licence pour les bases de données en open data. On ne peut pas contribuer directement, comme sur un site contributif comme OpenStreetMap, le site de cartographie, mais on peut quand même remonter des informations à la SNCF quand on constate des choses bizarres ou des erreurs dans les données.
Mais, suite aux attentats qui ont eu lieu pendant les Jeux olympiques, les attentats sur les lignes TGV, la SNCF a préféré retirer quelques informations un peu sensibles. Ils ont retiré les tunnels, les ponts, la signalisation, des fichiers qui sont quand même d’utilité pour la cartographie, les passionnés ou pour différentes études. C’est aussi ça la beauté de l’open data, de la diffusion de la donnée, on n’a pas forcément connaissance de tous les usages qui pourraient en être faits par des tiers, il y a toujours des usages complètement inattendus. Là, c’est un peu dommage, parce que, à priori, on peut récupérer tous les tunnels et les ponts très facilement en cartographie, ce n’est pas quelque chose de très secret.
Il y a effectivement des poussées, au titre de la sécurité nationale ou autre, pour fermer certains jeux d’open data ou en réduire le contenu pour limiter les données qu’on diffuse. Il y a toujours des contraintes avec des compromis à faire pour essayer quand même d’ouvrir au maximum les choses parce qu’elles peuvent être utiles, mais ça ne plaît pas forcément à tout le monde. Il y a toujours des antagonismes sur la façon de traiter les choses.

Isabella Vanni : Ça m’intéresse d’avoir votre avis, justement sur ces compromis qu’on doit faire pour la sécurité.

Florence Chabanois : Ce n’est pas évident. Je fais la maline en disant « ah ! On verrouille tout ! ». Je trouve qu’on verrouille un peu vite dès qu’il y a un souci, c’est plus ça qui me pose problème.
Sur les données ouvertes de la SNCF, à l’époque, ce n’était pas du tout une pratique. L’article dit depuis sept ans, mais il me semble que c’était encore plus antérieur, pour moi c’était vraiment la première entreprise à proposer ses données à un moment où on ne savait pas du tout ce que ça allait donner. Aujourd’hui, c’est devenu complètement commun et banal de retrouver les données de trafic sur n’importe quel site de cartographie, avec des données très fines : est-ce qu’on est devant, où est la sortie de métro, à quel moment c’est bondé, avec les grèves. Pour moi, c’est vraiment un succès certain sur ça. Maintenant ils ont verrouillé, ça va encore pour l’instant. Je pense que c’est dommage de fermer ces données-là. J’espère qu’ils ne vont pas dégainer tout le temps trop vite, mais je ne suis pas trop critique sur ça.
Gee, je ne sais pas si tu as un avis.

Gee : Non, pas plus que ça. Il y a effectivement cette phrase qu’on répète souvent, que la sécurité par l’obscurité n’est pas la solution. Mais on peut aussi comprendre que, parfois, si on ne révèle pas certaines choses, ça évite effectivement quelques problèmes. Ce n’est donc pas simple du tout de trouver le curseur. Je n’ai pas plus d’avis que ça sur la question, vraiment.

Isabella Vanni : En tout cas, c’est effectivement un sujet intéressant à aborder. Merci, Pierre, de l’avoir sélectionné.

[Clochette]

Firefox, est-il mieux que Chrome ?

Isabella Vanni : On passe donc au sujet suivant : Firefox, est-il mieux que Chrome ?

Gee : Oui ! Sujet suivant. On a répondu ![Rires]

Isabella Vanni : Gee, je pense que tu as effectivement raison, résolument. Mais on va peut-être expliquer que ce titre, ce sujet vient d’une autre découverte de Pierre qui est allé voir sur le blog de Asindu, Asindu’s Journal — je me suis demandé comment tu as repéré cette source —, c’est un site en anglais. En quoi Firefox est mieux ? Non seulement parce que c’est libre, donc il nous garantit certaines libertés, mais aussi, je crois comprendre, pour ses extensions.

Pierre Beyssac : C’est effectivement un site que j’ai vu passer sur les réseaux sociaux, qui a pas mal circulé dans la communauté libre et autour de Firefox. Chrome a souvent la réputation d’être plus populaire et plus diffusé, il est plus diffusé, mais il a souvent la réputation de l’être parce qu’il serait meilleur que Firefox. Ce billet de blog expliquait en quoi ce n’est pas forcément vrai.
Je ne connais pas assez Chrome parce que je ne m’en sers pas, je me sers de Firefox, je suis donc mal placé pour savoir quels sont ses avantages plus concrets. Le billet revient sur quelques avantages.
Avec Firefox, on peut installer des extensions, même sur mobile, ce qui n’est pas le cas de Chrome, les extensions type blocage de pubs. D’ailleurs, au passage, Google vient de restreindre les fonctions de Chrome sur le blocage de pubs. On peut encore en faire, mais beaucoup moins qu’avant. Comme par hasard, ça arrange Google, mais évidemment, officiellement ça n’a rien à voir, c’est une simple coïncidence !
On peut lire des fichiers PDF directement dans Firefox. Je n’imaginais même pas que ça puisse ne pas être le cas dans Chrome. J’ai découvert ça.

Gee : On m’a dit un truc que je n’ai jamais utilisé : il paraît même qu’avec le lecteur PDF de Firefox, on peut éditer directement des choses. Si on a besoin de signer un PDF, apparemment on peut directement le faire dans Firefox sans imprimer.

Pierre Beyssac : Je ne savais pas. Je n’ai pas trouvé la fonction, je vais chercher. Je te remercie de l’info.
Il y a également le nettoyage automatique de l’historique. On peut dire à Firefox « lorsque je sors du navigateur, je veux que tu nettoies automatiquement l’historique. » Chrome ne le fait pas.
Sinon, il faut rappeler qu’il y a une apparente diversité de navigateurs au-delà de ces deux-là.
Il y a Brave, mais, en fait, c’est Chrome ; il y a Edge chez Microsoft, mais, en fait, c’est en Chrome ; il y a Ecosia, le navigateur vert, mais, en fait, c’est Chrome. Edge, Brave et Ecosia, c’est sur base Chrome, exactement la partie libre de Chromium qui est quand même tenue par Google.
Donc, en fait, il y a très peu de diversité dans les navigateurs. Il y a deux souches principales. Il y a aussi Opera, c’est également Chromium. Il y a très peu de diversité dans les navigateurs. Firefox est l’un des rares qui n’est pas Chrome.
Il y a aussi le navigateur de KDE qui s’appelle Konqueror. Je ne sais pas s’il existe encore.

Gee : Je pense que Safari, de Apple, ne doit pas être basé sur Chromium.

Pierre Beyssac : Justement, Safari reprend la souche de Konqueror, qui est un navigateur plus léger, qui venait de l’environnement GNU/Linux KDE.

Florence Chabanois : Il y a des navigateurs encore plus modernes, que je n’ai pas testés à vrai dire, comme Arc ou des choses comme ça, je ne sais pas si vous avez testé.

Pierre Beyssac : Non.

Isabella Vanni : As-tu testé, Florence ?

Florence Chabanois : Non !

Gee : Qu’est-ce que tu veux dire par plus modernes.

Florence Chabanois : Plus modernes. Je n’ai pas assez testé. J’ai l’impression que c’est plus pour les geeks et les geekettes qui sont vraiment dans une logique d’hyper-performance, ce que, visiblement, je ne suis pas, je n’ai même pas essayé !

Gee : Je sais que Chrome a eu beaucoup de succès pendant un certain temps, parce que, notamment il était plus rapide que Firefox, il fonctionnait mieux, il était plus léger, tout ça. Ce qui est devenu fou, il y a pas mal de temps, ça fait quelques années que Firefox est au moins aussi rapide, sinon plus et si on rajoute un bloqueur de pubs ! Il m’arrive d’aller chez des gens qui n’ont pas de bloqueur de pubs, je ne comprends pas comment ces gens font pour aller sur Internet sans péter un plomb !

Isabella Vanni : Pour vivre !

Gee : On pourrait même dire d’un point de vue écologique. J’avais regardé la différence, notamment quand on accède à une page type Le Monde, des trucs où, on va dire, il y a pas mal de pubs ; quand on le fait sans pub, on peut avoir dix fois moins de trafic réseau. Quand on fait ça à l’échelle de toutes les personnes qui peuvent lire Le Monde — je ne tape pas spécialement sur Le Monde, c’est le cas de plein de journaux en ligne —, parfois 90 % du poids de la page, c’est de la pub. Donc Firefox, de toute façon, ne serait-ce que pour ça, sera toujours meilleur que Chrome qui, visiblement, a décidé de serrer la vis sur les bloqueurs de pub. Mais même au-delà de ça, Firefox, en termes de pures performances, on ne voit pas vraiment la différence, apparemment, avec Chrome, donc cet argument n’est plus là. C’est mon côté libriste, mais, de toute façon, même si Firefox était plus lent que Chrome, je resterais quand même sur Firefox pour le côté liberté, pour le côté « ce n’est pas Google, ça ne nous espionne pas et tout ça ». La performance c’est important, avoir de l’efficacité, tout ça, mais ce n’est pas le seul truc ! La liberté, c’est quand même aussi important !

Florence Chabanois : Pareil pour moi. Le fait de se dire qu’avec ce navigateur toutes mes données sont envoyées à Google qui, après, me target, me renvoie des choses. Je n’ai pas envie qu’il sache qui est malade chez moi, quelles sont mes préoccupations, à quoi je rêve. Ça ne vaut pas la peine ! Je ne dis pas que si Firefox était tout pourri, que vraiment il y ait un grand écart ! Je n’utilise pas assez Chrome pour savoir, je suis effectivement plus sur Firefox. Je trouve que ça ne vaut pas la peine, que les deux sont suffisants pour aller sur Internet, qu’ils sont assez bons et fonctionnent bien.

Gee : J’ai installé Chromium sur mon ordinateur, que j’utilise dans les rares cas où des sites sont vraiment super mal foutus et n’arrivent pas à fonctionner sur Firefox, parce qu’ils ont été développés pour Chrome, comme du temps où les développeurs web développaient exclusivement pour Internet Explorer 6, mais c’est rare !

Pierre Beyssac : J’ai aussi installé Chromium pour la même raison, mais j’en ai très peu besoin. Pareil, à une époque j’en avais plus besoin. Il y a aussi certains sites qui sont mal fichus et qui ne marchent pas avec les modes les plus protecteurs de Firefox comme le mode strict [de protection renforcée contre le pistage, NdT]. On a l’impression que c’est un bug de Firefox, mais en fait non, c’est juste que le site est moins vigilant avec nos données.

Isabella Vanni : Après, il y a des gros sites, comme celui de la boutique de La Poste. J’ai expédié tout récemment un colis, eh bien avec Firefox, malheureusement, la partie formulaire était une fenêtre qui s’ouvrait latéralement, un grand n’importe quoi, et j’ai dû passer par Chromium. Là aussi, j’ai envie de demander « comment concevez-vous vos sites web ? ». C’est une autre histoire, ce n’est pas le sujet.

Gee : Il y a aussi, parfois, des sites qui vont te dire qu’ils ne marchent qu’avec Chrome et, en fait, ce n’est pas vrai. Avec le user agent, un truc un petit peu technique, en gros, Firefox peut se faire passer pour Chrome et, parfois, ça marche, ça suffit. Un truc connu, de plus en plus clair : Google, par exemple, est vraiment en train de taper sur pas mal de choses, notamment, comme ils savent que Firefox a des bloqueurs de pubs, ils rendent YouTube beaucoup moins fiable et efficace sur Firefox. Quand tu vas sur YouTube sur Firefox, apparemment ça a tendance à être un peu plus lent, parfois ça bugue un peu. Et si on met le user agent, si on fait passer Firefox pour Chrome, on n’a plus de problème. Ce n’est donc vraiment pas un problème technique, c’est vraiment volontaire, c’est du sabotage.

Florence Chabanois : Waouh !

[Clochette]

Framasoft propose un outil IA de transcription audio

Isabella Vanni : Je vous propose de changer de sujet parce que c’est un sujet qui vous intéresse tous les trois : Framasoft propose un outil IA, intelligence artificielle, de transcription audio qui s’appelle Lokas, j’aime beaucoup ce nom. Que peut-on dire là-dessus ?

Pierre Beyssac : En trois mots, c’est un petit logiciel qui permet de gérer des réunions, c’est orienté réunions, ça gère l’audio. Je ne l’ai pas encore essayé, c’est tout récent, ça date du 3 décembre. En gros, ça fait une transcription texte d’une réunion audio entre plusieurs personnes. Derrière, je crois que c’est une IA libre qui s’appelle Whisper, qui donne de très bons résultats en matière de transcription en texte. C’est un système entièrement libre, hébergé par l’association Framasoft qui ne travaille qu’avec des logiciels libres et qui fonctionne avec les dons des utilisateurs.

Florence Chabanois : Et en termes de données personnelles ? Parce que, pour une entreprise, dire « on envoie le contenu et la transcription de nos réunions Codir », même à Framasoft, ça peut faire bizarre. Du coup, je conseille de tester déjà sur des choses un peu légères. En tout cas, leur engagement c’est de supprimer le contenu dès que la transcription est terminée, un petit peu après le temps de pouvoir faire je ne sais pas quoi d’ailleurs, en tout cas très peu de temps après.
J’ai bien aimé aussi, dans les fonctionnalités, c’est qu’ils font des reconnaissances par voix, pour indiquer le genre, le temps de parole et la répartition, justement, en précisant hommes, femmes et non-binaires.

Pierre Beyssac : Ça rappelle une actu précédente dans laquelle tu nous en avais parlé.

Isabella Vanni : Tu pourras faire une chronique, Florence.

Florence Chabanois : Oui. En fait, c’est une appli que je voulais faire depuis longtemps, avant de voir que ça existait, que ça n’existait plus, et, ensuite, que c’est ressorti et, finalement, que ça ne marchait pas. Bon ! Pareil que Pierre, je n’ai pas encore testé, mais j’ai très hâte.

Gee : Je connais assez bien le sujet parce que je suis à Framasoft. C’est une idée d’appli dont parle Pierre-Yves Gosset, un des salariés historiques de Framasoft, depuis des années et des années. À chaque fois qu’on se voyait aux AG, c’est une idée qui revenait « ce serait bien de faire une appli qui ferait ça. ». Moi-même, j’avais essayé de faire un prototype en Python, il y a quelques années, sauf que j’étais parti de l’idée que ça serait fait en local, du coup, j’avais utilisé des trucs qui n’étaient pas très efficaces. J’avais fait des tests, ça marchotait, mais vraiment pas super bien. Il se trouve qu’on avait un nouveau salarié qui travaillait sur PeerTube à la base, qui est assez doué dans ce genre de truc, qui a dit : « Je pense que je sais faire ça. – Tu penses que ça te prendrait combien de temps ? Six mois ? – Trois jours ! – D’accord ! ». Ça s’est fait comme ça. C’est effectivement une expérimentation dans l’IA et c’est vrai que IA est un mot un peu repoussoir pour nous. Même moi, j’ai fait plein de chroniques où je crachais sur l’IA. Bon, c’est un certain type d’IA, ce n’est pas une IA générative. C’est fait en local, ce n’est pas fait sur des énormes clusters avec 15 000 cartes Nvidia. Voilà ! C’est une expérimentation, on va voir ce que ça va donner.

Isabella Vanni : Et ça a vraiment mis trois jours ?

Gee : Quand on dit trois jours ! Disons trois jours pour avoir un prototype, visiblement oui !

Pierre Beyssac : Trois jours d’informaticien ! En fait, ça fait 15 mois !

Gee : Après, il y a effectivement le travail sur l’interface, le travail sur plein de choses qui, évidemment, prennent plus de temps, mais pour avoir un proto où on parle et ça reconnaît des trucs, visiblement oui, ça été très rapide. Après, c’est parce que les technologies sont là, il n’a pas redéveloppé de zéro. Il s’est effectivement basé sur Whisper qui fonctionne déjà super bien.

Pierre Beyssac : Pour situer, Whisper est un logiciel d’IA assez compact, qui tourne sur un PC tout à fait classique. On peut mettre une mini carte graphique de gamer pour accélérer un peu, mais ça marche plutôt bien et, effectivement, il n’y a pas besoin d’avoir trois datacenters avec des mégawatts partout.

Florence Chabanois : Pour moi, il y a IA et IA. Ce n’est pas parce qu’il y a de l’intelligence artificielle que c’est directement du génératif ultra polluant.

Gee : Moi le premier, je l’ai déjà dit dans une des chroniques quand je tapais sur l’IA. Il m’arrive assez régulièrement d’utiliser DeepL, par exemple, pour de la traduction, c’est de l’IA aussi.

Isabella Vanni : Du coup, ça fait un impact environnemental ?

Gee : Une des réponses que Pierre-Yves faisait sur les réseaux quand on lui faisait cette remarque : en fait, tout le numérique a un impact environnemental. Quand on rajoute des clusters de serveurs pour que les Nextcloud qu’on héberge marchent mieux, ça a aussi un impact environnemental. C’est un argument qui s’entend, mais ce serait dommage de ne l’entendre que pour l’IA. Il faudrait avoir cette réflexion sur tous les usages numériques.

Isabella Vanni : Je vous propose d’arrêter là pour aujourd’hui, parce qu’on a une autre chronique à écouter. Je vous remercie Gee, Florence et Pierre, et je vous donne rendez-vous pour un Café libre l’année prochaine, en 2025.
Nous allons maintenant faire une pause musicale.

[Virgule musicale]

Isabella Vanni : Après la pause musicale, comme annoncé, nous entendrons la chronique de Gee sur le thème « Sauvons les hyperliens ! ».
Nous allons écouter There Ain’t Nothin par HoliznaCC0. On se retrouve dans trois minutes. Belle journée à l’écoute de Cause Commune, la voix des possibles.

Pause musicale : There Ain’t Nothin par HoliznaCC0.

Voix off : Cause Commune, 93.1.

Isabella Vanni : Nous venons d’écouter There Ain’t Nothin par HoliznaCC0, disponible sous licence libre Creative Commons CC0 1.0.

[Jingle]