Compare and chill

Vous êtes perdus dans la jungle des forfaits en fibre optique sur le fixe ? Next vous aide à choisir en mettant l’accent sur les options incluses, notamment les abonnements à des plateformes de streaming. On vous propose un grand tableau comparatif dans lequel vous pouvez cocher les options que vous souhaitez puis comparer les montants sur un et deux ans.

Avec le lancement de B&You Pure Fibre qui ne propose que de la fibre et rien d’autre, Bouygues Telecom prend le contre-pied de Free qui n’a de cesse d’ajouter des options dans ses offres, faisant ainsi grimper le prix pour les clients, mais aussi les revenus de l’opérateur.

Mais il n’est pas toujours facile de choisir entre les différentes propositions commerciales. Vous regardez Netflix et Disney+, mais le reste ne vous intéresse pas ? Pure Fibre est-elle une offre plus intéressante que la Freebox Ultra ou que la Livebox Max sur le long terme ? Qu’en est-il si on ajoute Amazon Prime et La Chaine Live de Canal+ ?

Perdu dans les calculs ? Next est là !

Comment se positionnent les autres opérateurs ? La même question se pose avec Orange qui propose 5 euros de remise pas mois sur vos abonnements Disney+, Netflix et HBO. Chez SFR, vous avez Netflix, Bouquet famille et RMCS Sport qui sont inclus pendant six à neuf mois seulement, alors que l’engagement est d’un an.

Pour vous aider à y voir plus clair, nous avons regroupé les principales caractéristiques techniques des forfaits des opérateurs dans un grand tableau dynamique. Dynamique car vous pouvez cocher les cases derrière les plateformes de streaming qui vous intéressent et ainsi voir le tarif sur un ou deux ans des différentes offres des opérateurs.

Voilà à quoi cela ressemble pour Bouygues Telecom, sans Disney+ et Netflix dans la première capture, et avec dans la seconde (les autres opérateurs sont dans le tableau complet) :

La Freebox Ultra par exemple vous coûtera 649 euros sur un an et 1 369 euros sur deux (avec Disney+, Netflix, Amazon Prime, Universal+ et Canal+ La Chaine en live. Pure Fibre sera respectivement à 336 et 624 euros.

Si on reprend le même calcul en ajoutant Netflix, Disney+ et Amazon Prime, le forfait de Bouygues Telecom passe à 564 et 1 079 euros. Pure Fibre garde l’avantage, mais le perd avec la Chaine Live de Canal+. Bref, à chacun de choisir en fonction des options qui l’intéressent.

Sur le lien ci-dessous, vous retrouvez le tableau comparatif sous la forme d’une feuille de calcul Spreadsheet de Google. Il est en lecture seule (vous ne pouvez donc pas cocher les cases), mais vous pouvez en créer une copie sur votre compte et le modifier ensuite comme vous le souhaitez.

Paf, amende

Dans un précédent article, nous nous sommes intéressés aux gains de productivité permis par l’intelligence artificielle chez les développeurs. Cette fois, nous nous penchons sur les notions d’explicabilité et d’interprétabilité. Liées à l’éthique et peu considérées jusqu’à présent, elles ont soudain été remises en avant par l’AI Act en Europe.

Lors de la BDX I/O, qui s’est tenue le 8 novembre au Palais des Congrès de Bordeaux, nous avons discuté avec bon nombre de développeurs. Il ressortait de leurs usages un recours massif de l’IA, sous forme d’assistants divers (principalement GitHub Copilot et Claude) pour gagner du temps, particulièrement sur les tâches rébarbatives.

• À Bordeaux, IA et productivité au cœur des discussions chez les développeurs

Le même jour se tenait, parmi les présentations auxquelles nous avons assisté, une conférence de 45 min portant sur l’explicabilité et l’interprétabilité, par Cécile Hannotte, data scientist et ingénieure en mathématiques chez OnePoint. Une thématique « iceberg », car posant de nombreuses questions sur l’IA et les usages que l’on en fait.

Une question de confiance

De quoi parle-t-on ? Pour résumer, l’interprétabilité permet de comprendre ce que fait une IA, tandis que l’explicabilité consiste à savoir pourquoi elle a pris une décision spécifique. Ces deux thèmes étaient l’objet de la conférence et sont liés à de nombreux aspects pratiques de l’IA.

Un an après avoir investi 4 milliards de dollars dans Anthropic, Amazon double la mise : la société vient en effet d’annoncer qu’elle allait apporter 4 milliards de dollars de fonds supplémentaires à cette startup spécialisée dans l’IA, éditrice des grands modèles de langage Claude. En dépit de ces 8 milliards de dollars d’investissement, Amazon reste à ce stade un actionnaire minoritaire d’Anthropic, prend soin de préciser la startup.

Cet apport d’argent frais intervient dans le cadre d’un partenariat plus global entre les deux entreprises qui fait d’AWS, la division cloud d’Amazon, le principal partenaire d’Anthropic en matière d’infrastructures, qu’il s’agisse de faire tourner les modèles au quotidien ou de les entraîner.

Anthropic indique par ailleurs renforcer sa collaboration avec les Annapurna Labs d’AWS, l’entité chargée de développer les accélérateurs Trainium dédiés à l’IA, dont la deuxième génération avait été présentée fin 2023 par Amazon. « Grâce à une collaboration technique approfondie, nous écrivons des noyaux de bas niveau qui nous permettent d’interagir directement avec le silicium Trainium et de contribuer à la pile logicielle AWS Neuron pour renforcer Trainium », écrit Anthropic.

Soutenue par Amazon, mais aussi par Google (2 milliards de dollars investis à l’automne 2023), Anthropic se positionne comme la grande rivale d’OpenAI sur le marché en plein essor de l’intelligence artificielle générative. Début septembre, l’entreprise a par exemple lancé une offre baptisée Claude for Enterprise, qui concurrence directement la formule dédiée aux grands comptes de ChatGPT.

• Face à ChatGPT, Anthropic lance Claude for Enterprise

Lancé en octobre 2022, NumSpot est pour rappel une alliance entre quatre acteurs afin de développer une offre de « cloud souverain et de confiance ». On y retrouve Docaposte (filiale numérique du groupe La Poste et chef de file du projet), la Banque des Territoires, Dassault Systèmes et Bouygues Telecom.

• NUMSPOT : du « cloud de confiance » 100 % français, Docaposte en chef de file

La bêta déjà là, la version finale approche

En cette fin de semaine, « NumSpot annonce la commercialisation de sa plateforme de services au premier trimestre 2025 ». La plateforme, actuellement testée en version bêta, « intègrera des services d’infrastructure (IaaS) et des services de plateforme (PaaS) managés offrant ainsi aux utilisateurs une expérience complète ».

Au deuxième semestre, de nouvelles fonctionnalités seront ajoutées, notamment le multi-zones. Pour l’autoscaling, « mécanique de passage à l’échelle automatique, des services autour des données et des conteneurs », il faudra attendre 2026.

Certifications SecNumCloud et HDS en cours

NumSpot explique que sa solution « s’appuie sur des services disposant des qualifications et certifications conformes aux attentes de ces secteurs (HDS, SecNumCloud…), qui garantissent une mise en conformité plus facile et rapide avec les réglementations en vigueur telles que DORA, NIS2… ».

Mais la certification SecNumCloud n’est pas héréditaire, NumSpot n’en profite pas directement et doit en faire la demande. « Le dépôt du dossier de demande de qualification sur le périmètre de la plateforme cloud de NumSpot a été réalisé en septembre 2024 », ajoute la plateforme. Quant à HDS, « les travaux de mise en conformité de la plateforme NumSpot sont en cours. La certification est visée pour le premier semestre 2025 ».

Numspot et Docaposte se sont également associés à LightIOn et Aleia pour proposer une solution d’IA générative « souveraine et de confiance ».

Bleu et S3NS aussi sont dans la course

Bleu (Orange, Capgemini et Microsoft) aussi est dans le processus de certification SecNumCloud, tandis que S3NS a pris un peu d’avance puisque le « jalon 0 » est déjà validé, « sans réserve ». S3NS (Thales et Google) espère une certification durant l’été 2025, soit un an après l’étape J0.

• SecNumCloud : S3NS (Thales/Google) passe le « jalon 0 » de la certification ANSSI, sans réserve
• Bleu annonce 12 partenaires et devrait déposer son dossier SecNumCloud à la fin de l’année

Pas besoin de SecNumCloud

Le Conseil d’État a tranché : la validation par la CNIL de l’entrepôt de données de santé EMC2 n’était pas un excès de pouvoir. Le Health Data Hub, qui en est à l’origine, va donc pouvoir laisser les données dans Azure. C’est la deuxième fois que le Conseil d’État rejette une demande liée à l’hébergement des données par le HDH.

Le vent souffle fort cette année autour du Health Data Hub. La structure, conçue pour être le guichet unique dans les demandes d’accès aux données de santé dans un cadre de recherche, héberge les données dans l’infrastructure cloud Azure de Microsoft. Ces données comprennent notamment une partie du SNDS (Système National des Données de Santé).

Le sujet crispait déjà nombre d’acteurs français du cloud. Mais au début de l’année, une décision de la CNIL met le feu aux poudres : la Commission valide la création de l’entrepôt EMC2 (qui rassemble des données de santé de plusieurs pays européens) et son stockage des informations encore une fois dans Azure.

La CNIL avait décidé dans la loi. Le Data Privacy Framework (DPF) établit une adéquation entre les États-Unis et l’Europe pour la sécurité et le respect de la vie privée dans les données. La Commission n’avait donc pas de motif légitime de refuser cet hébergement. Le député Philippe Latombe nous avait alors indiqué que cette décision était contrainte, soulignant que le texte laissait apparaitre les réticences entre les lignes. Pour autant, aucune autre décision n’aurait pu être prise tant qu’existe le DPF.

« Ils n’ont pas eu le choix, encore une fois. Mais la décision laisse suffisamment de prise pour que tout le monde puisse la contester. Et je vous le promets : vous allez avoir, dans les jours qui viennent, des contestations de cette décision auprès du Conseil d’État. Vous n’imaginez même pas combien sont prêts », affirmait alors le député.

De fait, une demande de référé a rapidement été déposée devant le Conseil d’État. Portée notamment par Clever Cloud, Nexedi et Rapid.space, elle réclamait une intervention urgente pour invalider la décision de la CNIL. Au cœur de la demande figurait l’argument principal : Microsoft est une société américaine, soumise à des lois extraterritoriales, dont la Section 702 de la loi FISA. Les données européennes pouvaient donc se retrouver aux mains des services de renseignement américains. En outre, la décision de la CNIL niait les offres existantes chez les entreprises françaises et européennes.

Cette demande avait été rejetée en mars. La décision du Conseil d’État était tranchée : les sociétés requérantes n’auraient dans tous les cas pas eu le temps de se préparer. En outre, la CNIL n’a donné son aval que pour trois ans. Enfin, le Conseil d’État avait estimé que cette autorisation n’aurait qu’un « impact indirect et limité sur les activités » des sociétés requérantes.

La demande de référé n’ayant pas abouti, une décision sur le fond était attendue.

Nouveau rejet du Conseil d’État

Cette fois, c’est sur le fond que le Conseil d’État rejette la demande. Dans sa délibération, il explique que la CNIL « n’a pas, contrairement à ce qui est soutenu, entaché sa délibération d’irrégularité ». La décision de la Commission a été prise dans les règles.

Le Conseil note également que le projet EMC2 vise à établir un entrepôt de données en France, stocké sur des serveurs physiquement situés au sein des frontières. « Elle n’a pas pour objet et ne saurait avoir pour effet d’autoriser un transfert de données à caractère personnel vers un État tiers, les seules données susceptibles de faire l’objet d’un transfert vers des administrateurs situés aux États-Unis étant des données techniques d’usage de la plateforme », ajoute-t-il.

La décision aborde d’autres points, notamment le statut de Microsoft. Si le Conseil d’État note bien qu’il s’agit effectivement d’une entreprise américaine et qu’elle ne peut donc bénéficier à ce titre du label SecNumCloud, elle bénéficie quand même de la certification HDS (hébergeur de données de santé). Ce point, appuyé par les autres garanties du projet, dont la pseudonymisation des données, est clairement mis en avant par le Conseil d’État, qui rejette donc la demande.

« Le Conseil d’État s’est trompé », estime Philippe Latombe

Joint par téléphone, le député nous dit ne pas être « surpris par la décision du Conseil ». « En revanche, je pense qu’ils se sont trompés ».

« Je trouve que les arguments donnés ne sont pas les bons. Dire que Microsoft est un hébergeur de données de santé, donc qu’il y a une qualification particulière, donc qu’il y a audits, donc que c’est sûr : non, je ne suis pas d’accord. C’est simplement ISO 27001 et une journée de consultant. Ce n’est pas sécurisé au sens où le Conseil d’État le laisse supposer dans sa décision », nous explique Philippe Latombe.

« Ils mettent également en avant que les données sont pseudonymisées, donc que ça ne pose aucun problème. Sauf que l’on sait bien que des données pseudonymisées peuvent être reconstituées, et leur chiffrement n’est fait qu’au repos, pas pendant le transport », ajoute le député.

Il note quand même deux points positifs : « La seule chose de bien dans la décision est qu’ils ne rentrent pas dans une quantification du volume de données pour dire que c’est possible ou non, ce qui aurait été gênant. EMC2 est une petite partie du SDNS, et je ne suis pas sûr que la décision aurait été la même pour la totalité du SNDS. Et deuxième point, ils ne parlent pas du délai. Ils n’abordent pas la question des trois ans. Donc il reste un peu de marge ».

Le député a ajouté qu’il y aurait « d’autres saisines du Conseil d’État dans d’autres chambres » et que « le sujet n’est pas clos ».

• Une cartographie des entrepôts de données de santé en France

Un rapport parlementaire publié en octobre demande « a minima » la « stabilisation » de la dotation de la CNIL. L’autorité évoque pourtant souvent son manque de financements et se voit régulièrement critiquée pour l’engorgement du traitement des demandes.

Le 19 octobre, les députés Charles de Courson (du groupe LIOT) et Marie-Christine Dalloz (du groupe Les Républicains), tous deux faisant partie de la commission des finances de l’Assemblée, ont déposé un rapport à l’occasion de la discussion sur la Loi de finance 2025.

Les budgets des autorités indépendantes de protection des libertés pointés du doigt

Celui-ci dénonce, entre autres, l’augmentation du budget du programme de crédits alloué aux autorités indépendantes exerçant leurs missions dans le champ de la protection des droits de l’homme et des libertés publiques et individuelles.

« Il progresse de 14,3 millions d’euros en AE [ndlr : autorisations d’engagement, limite supérieure des dépenses autorisées] (+ 10,2 %) et même de 18,4 millions d’euros (+ 13,3 %) par rapport aux crédits demeurant ouverts pour 2024 après le décret du 21 février 2024 portant annulation de crédits et le décret du 18 avril 2024 portant virement de crédits », pointent les députés.

Une demande de « stabilisation de sa dotation, voire une diminution » de la dotation de la CNIL

Première autorité listée, la CNIL. Les deux députés soulignent que le Projet de loi de finance 2025 présenté par le gouvernement et en cours de discussions au Parlement prévoit l’augmentation de la dotation de l’autorité de « de 6,8 % pour s’élever à 30,6 millions d’euros ».

Ils expliquent que « cette hausse doit permettre notamment à la CNIL de poursuivre son programme initié en 2023 de refonte de son système d’information, de développement d’outils d’information et d’externalisation du traitement de certaines plaintes ».

Mais dans ce rapport, Marie-Christine Dalloz relève que « ses moyens ont augmenté de 52 % en cinq ans pour passer de 18,8 millions d’euros en LFI 2019 à 28,6 millions d’euros en 2024 ». Elle pointe aussi l’augmentation des effectifs au sein de l’autorité : « le plafond d’emplois de l’autorité est passé de 189 ETP en Loi de finance initiale (LFI) 2015 à 301 ETP dans le Projet de loi de finance (PLF) 2025. Elle bénéficie de 8 ETP supplémentaires dans le PLF 2025 par rapport à la LFI 2024 ».

Marie-Christine Dalloz explique, dans le rapport, avoir « bien conscience de l’élargissement des missions et de l’augmentation du nombre de réclamations que doit traiter l’autorité » et saluer « la stratégie mise en place pour faire face à ce surcroît d’activité (audits et réforme des procédures, modernisation des outils et du système d’information, constitution de cellules d’aide à l’instruction, externalisation du traitement de certaines plaintes simples…) ».

Mais elle exprime son souhait que « les crédits supplémentaires attribués à la CNIL, notamment pour se réformer, se traduisent enfin, a minima, par une stabilisation de sa dotation, voire une diminution, à l’instar de ce qui est demandé pour 2025 à l’ensemble des ministères, qui eux aussi voient leurs missions augmenter avec moins de moyens pour les assumer ».

De plus en plus de fuites, un manque de budget pointé par l’autorité

Cette demande de stabilisation, voire de diminution, se fait alors que nous relevons toujours plus de fuites de données chez diverses entreprises françaises. Boulanger, Cultura, DiviaMobilités, Truffaut, Cybertek et Grosbill (qui font partie du même groupe), l’Assurance retraite, RED by SFR, Meilleurtaux, Ornikar, Free (fixe et mobile), Picard, Molotov, et récemment Auchan ainsi que le Point.

Dans son bilan de l’année 2023, la présidente de la CNIL (récemment reconduite), Marie-Laure Denis soulignait le manque de financements de l’autorité. Elle mettait en avant son volet accompagnement pour essayer d’y palier :« pour remédier à des moyens qui restent insuffisants, la CNIL diffuse de nombreux outils pratiques pour aider les professionnels à assurer leur conformité et les particuliers à exercer leurs droits ».

Mais, comme l’expliquaient nos collègues de France Info, La CNIL fait moins peur. Nous l’évoquions aussi en début d’année, l’autorité est accusée de ne pas remplir « sa mission de veiller au respect du RGPD ».

Le Gb/s c’est so 2000

Nous terminons notre tour des solutions pour dépasser cette satanée limite du Gb/s sur nos ordinateurs avec une carte PCI Express dotée d’un port RJ45 à 2,5 Gb/s. Pour 17 euros et le sacrifice d’un emplacement PCIe sur votre machine, elle « fait le job ».

Début septembre, l’un de nos premiers Nextpresso (des tests express de produits informatiques) était consacré à un adaptateur USB vers RJ45 (Ethernet) à 2,5 Gb/s. Il coutait 17 euros seulement et faisait le job, sans trop chauffer.

Tour du propriétaire, Realtek aux commandes

On teste aujourd’hui un très proche cousin avec la version PCIe, elle aussi vendue 17 euros, mais on en trouve d’autres à partir de 15 euros. Il existe également des cartes avec deux ports RJ45 à 2,5 Gb/s pour moins de 40 euros.

On ne se refait pas : première opération avant même d’installer la carte : on enlève le radiateur pour découvrir, sans surprise, une puce Realtek RTL8125BG.

Le fabricant annonce une prise en charge du PCI Express 2.1 et la carte est au format x1. Cela signifie qu’elle peut prendre place dans un emplacement PCIe x1 sur une carte mère, mais aussi sur des emplacements x4, x8 et x16. Nous l’avons d’ailleurs installé sur l’unique port PCIe x16 de notre AB350 Gaming-ITX/ac de chez ASRock.

Avec une seule ligne (d’où le x1), le PCIe 2.1 propose un débit de 500 Mo/s, largement suffisant pour du 2,5 Gb/s en Ethernet qui plafonne aux alentours de 300 Mo/s en théorie, souvent un peu moins en pratique. Pour le reste, rien à signaler.

L’installation de la carte ne demande aucune attention particulière : on éteint son ordinateur, on la positionne dans un emplacement PCIe, on redémarre et le tour est joué. Elle est automatiquement reconnue sous Windows et Linux.

Dans les options, on retrouve des Jumbo Frame de 4k, 9k et 16k (4088, 9014 et 16128 bytes respectivement). On peut changer le VLANID et de quoi régler la fonction Wake on Lan pour démarrer une machine à distance en lui envoyant un « magic packet ».

2,5 Gb/s : promesse tenue ?

Reste donc la question des débits : on ne va pas tourner autour du pot : on s’approche des 2,5 Gb/s d’après le gestionnaire des taches de Windows (Windows 11 à jour, sur un Athlon 220G d’AMD avec 16 Go de mémoire vive.

Nous avons utilisé le générateur de fichiers intégré à la Freebox (via la commande http://adresseIpFreebox/gen/5G pour récupérer un fichier de 5 Go. Plusieurs mesures nous donnent un résultat moyen de 244 Mo/s, soit 2 Gb/s avec une conversion bête et méchante. Le résultat était le même avec plusieurs navigateurs : Brave, Edge et Firefox.

• Temps moyen pour télécharger 5 Go : 21 secondes, soit 244 Mo/s

Attention à la charge CPU sur notre Athlon 220G

Par contre, notre processeur était à plus de 90 % d’utilisation pendant la quinzaine de secondes de téléchargement du fichier. Afin de vérifier si cela ne venait pas de notre système d’exploitation, nous avons réinstallé intégralement Windows sur un autre SSD (M.2 NVMe qui tient 1,4 Go/s en lecture et écriture), avec le même résultat.

Notre processeur (Athlon 220G avec 2C/4T) est clairement un CPU d’ancienne génération et daté, mais on voit qu’il est quand même capable de tenir les 2 Gb/s. Nous avons également installé une carte PCIe ASUS XG-C100F (PCIe 2.0 x4 et cage SFP+, pour 90 euros) afin de voir quel débit nous pouvions atteindre. On dépassait parfois les 500 Mo/s, mais on était plus souvent entre 300 et 400 Mo/s. Dans tous les cas, on ne saturait pas le lien à 10 Gb/s, contrairement au processeur qui était bien chargé.

Qu’importe, même sur un CPU poussif comme l’Athlon 220G la différence de débits entre une connexion à 1 Gb/s et une autre à 2,5 Gb/s se fait bien ressentir, sur une machine plus puissante cela ne pourra qu’aller mieux.

Maintenant qu’on a fait le tour des cartes, adaptateurs et switchs, on se retrouve la semaine prochaine pour un bilan et un tuto sur comment passer son réseau local en 2,5 Gb/s pour moins de 100 euros !

Comme l’a repéré Neowin, la nouvelle version 7.34.0 de Signal est officiellement compatible avec les appareils sous Windows 11 utilisant des processeurs ARM.

« Cette mise à jour introduit la prise en charge de nouveaux processeurs sous Windows, tels que le Snapdragon X Elite », explique la note de version, ajoutant que l’application n’a désormais plus besoin d’émulation.

En effet, comme nous l’avions vu dans notre test d’un PC Copilot+ équipé d’un Snapdragon X, Signal était très lent et la différence était flagrante avec l’application utilisée sur un x86.

Selon des sources de l’agence de presse Reuters, la Commission européenne devrait lancer en 2025 une enquête sur d’éventuels abus de position dominante à l’encontre d’Amazon.

La plateforme de vente en ligne est suspectée de favoriser les produits de sa propre marque. Cette pratique est interdite pour les « contrôleurs d’accès » (gatekeepers) listés dans le cadre du DMA et dont fait partie Amazon.

L’entreprise de Jeff Bezos risque une amende d’un montant pouvant aller jusqu’à 10 % de son chiffre d’affaires mondial annuel.

L’entreprise affirme que ses algorithmes ne font pas de distinction selon qu’il s’agit d’un produit Amazon ou d’un produit tiers. Le traitement serait de la même façon équivalent entre les produits vendus par Amazon et ceux vendus par un tiers.

Ad débloqueurs

Un journaliste allemand a réussi à obtenir, gratuitement, d’un databroker américain, un échantillon de plus de 3 milliards de données géolocalisées révélant les déplacements d’environ 11 millions de téléphones portables. Y figurent notamment des milliers de militaires et d’employés de services de renseignement allemands, et américains. Un phénomène dont l’ampleur interpelle, alors même que les projets de législations visant à renforcer la protection de la vie privée achoppent depuis dix ans aux États-Unis.

La CNIL et la Commission nationale de contrôle des techniques de renseignement (CNCTR) organisaient la semaine passée un colloque intitulé « La surveillance dans tous ses états. Quelle éthique pour protéger nos libertés ? ». Sébastien Bourdon, vice-président d’Open Facto (dont l’objectif est de fédérer les acteurs de l’OSINT, ou renseignement d’origines sources ouvertes) et journaliste au Monde, y est notamment revenu sur sa récente enquête consacrée aux traces laissées par les gardes du corps d’Emmanuel Macron, Joe Biden et Vladimir Poutine sur l’application Strava.

• Des centaines d’agents de services de renseignement étaient « à poil » sur Strava, depuis 4 ans

En réaction, Nicolas Lerner, directeur général de la sécurité extérieure (DGSE), a quant à lui opportunément pointé du doigt les problèmes, encore plus grands, que pose l’ADINT (pour ADvertising INTelligence), du nom donné à la collecte de données publicitaires, potentiellement encore plus intrusives.

• Une régie publicitaire surveillait plus de 5 milliards de portables via 500 000 applications

L’été dernier, Bayerischer Rundfunk (BR, le service public audiovisuel de la Bavière) et le média indépendant netzpolitik.org, défenseur des libertés numériques, ont ainsi révélé, dans toute une série d’articles, qu’il était possible de géolocaliser des personnes à l’intérieur de bâtiments de l’armée et des services de renseignement allemands.

Après un bref appel téléphonique, Sebastian Meineck, de netzpolitik.org, avait en effet réussi à obtenir, de la part d’un courtier de données états-unien, un fichier comportant 3,6 milliards de points de localisations collectés sur une période d’environ huit semaines fin 2023.

Il y a les adeptes du « vocal », et ceux que la pratique agacent : après tout, il est souvent plus rapide de lire un message que de l’écouter. Le sujet ne devrait bientôt plus être un motif de friction pour les utilisateurs de WhatsApp. Le réseau social, propriété de Meta, annonce avoir commencé à déployer une fonctionnalité de transcription des messages vocaux au sein de son application.

« La transcription des messages vocaux est générée sur votre appareil. Vos messages vocaux personnels restent protégés par le chiffrement de bout en bout. Personne, pas même WhatsApp, ne peut écouter vos messages vocaux ou voir le contenu de leurs transcriptions », promet la société.

WhatsApp indique que cette nouvelle fonctionnalité – déjà testée depuis plusieurs semaines en bêta – sera déployée dans le monde entier, « dans les semaines à venir », avec une prise en charge des langues qui dépend du système d’exploitation, dont les API sont utilisées pour la traduction en local. Sur Android, le réseau social indique ainsi gérer l’anglais, l’espagnol, le portugais et le russe. La liste est plus longue sur iOS (version 16 minimum), où s’ajoutent le français, l’arabe, le chinois, le coréen, le japonais.

Sur Android comme sur iOS, le réglage permettant d’activer ou de désactiver la transcription des messages audio est accessible via le menu Paramètres > Discussions > Transcrire les messages vocaux. « Il nous tarde de développer davantage cette expérience pour l’améliorer et la rendre plus transparente », promet WhatsApp.

• Messagerie « universelle » : Meta vante son intégration dans WhatsApp et Messenger

C’est, en effet, le 18 novembre 2014 que le projet a été annoncé officiellement. Son ambition était de devenir une autorité de certification gratuite permettant à tout un chacun d’avoir un certificat SSL/TLS. Il était alors lancé par l’Internet Security Research Group (ISRG), qui regroupait notamment Mozilla, l’Electronic Frontier Foundation (EFF), l’Internet Society, Akamai, Cisco et Automattic.

L’attente aura été longue avant que la beta publique n’arrive, en décembre 2015. Un mois avant, Let’s Encrypt signait un accord avec l’autorité de certification IdenTrust, permettant à ses certificats d’être reconnus par pratiquement tous les navigateurs existants. Un rappel toujours salutaire : un cadenas ne signifie pas qu’un site est fiable, simplement que la liaison est sécurisée.

Début 2016, nous avions publié un long dossier sur l’arrivée de Let’s Encrypt et la tentative ratée CAcert, une « Autorité de Certification communautaire qui émet gratuitement des certificats pour tous » fondée en 2003. Problème, faute d’accord comme celui entre let’s Encrypt et IdenTrust, CAcert n’a jamais vraiment pu décoller.

On parle d’une époque lointaine où Next INpact (c’était notre nom de l’époque) entamait sa transition vers HTTPS… Depuis, nous avons toujours eu à cœur de respecter la confidentialité et la vie privée. Notre site est pour rappel sans aucune publicité, ni trackeur, ni cookies tiers pour l’ensemble des visiteurs (abonnés ou non). C’est d’ailleurs pour cela que nous n’avons pas besoin de vous afficher de bandeau RGPD.

Il y a quelques semaines, Refuznik nous a proposé une vidéo de Nota Bonus (la chaine bonus de Nota Bene) dans laquelle il reçoit avec Anthony Galluzzo autour du sujet : « Le mythe de l’entrepreneur : on casse les clichés ».

Dans un précédent LIDD, Anthony Galluzzo était déjà revenu sur « le “mythe de l’entrepreneur”, une contre-histoire d’Apple » dans le cadre d’un podcast chez France Culture. Rien de surprenant sur le fond puisqu’il a écrit un livre sur le sujet.

« Quand on parle de Steve Jobs, plusieurs idées peuvent nous venir en tête, comme ses débuts dans un garage où il serait parti de rien, le fait qu’il serait un génie, un modèle à suivre… Et cette figure de l’entrepreneur, elle est loin de ne concerner que lui, et ne date d’ailleurs pas d’aujourd’hui, puisqu’elle remonte à la fin du 19e siècle, avec Thomas Edison par exemple ! Une figure, qui n’est d’ailleurs pas si réelle que ça… ».

Touché, pas coulé, déconnecté

Alors que l’Allemagne, la Finlande, la Suède et le Danemark ont évoqué la possibilité d’un sabotage sur les câbles C-Lion1 et BCS East-West situés en mer Baltique, on peut se poser la question de l’incidence de ce genre de problème sur le trafic Internet. Des données et analyses partagées par le registre Internet régional RIPE NCC ainsi que par Cloudflare donnent quelques pistes.

Dimanche et lundi, comme nous l’avons rapporté, deux incidents sur des câbles sous-marins ont été détectés en mer Baltique.

L’enquête sur les causes et responsabilités commence tout juste, mais un bateau chinois, le Yi Peng 3, a été arraisonné par la Marine danoise. Néanmoins, les responsables politiques de l’Allemagne, la Finlande, la Suède et le Danemark n’ont pas attendu pour faire des déclarations évoquant un éventuel sabotage.

Mette Frederiksen, la Première ministre danoise, a par exemple affirmé à l’agence de presse Ritzau qu’ « il y a un risque d’attaques hybrides, de cyberattaques et d’attaques contre les infrastructures essentielles ».

De son côté, un porte-parole du ministère chinois des Affaires étrangères a affirmé que « la Chine a toujours rempli pleinement ses obligations en tant qu’État du pavillon et exige des navires chinois qu’ils respectent scrupuleusement les lois et les réglementations en vigueur ».

Si les raisons ne sont pas encore établies, on peut commencer à regarder les conséquences de ce double incident sur le trafic Internet dans la région.

RIPE Atlas, un réseau de sondes d’observation

Le registre Internet régional RIPE NCC a publié une première analyse basée sur son réseau de sondes RIPE Atlas, tout en précisant que les résultats sont encore préliminaires. Comme l’explique Stéphane Bortzmeyer dans un récent article de l’Afnic, ces sondes forment « le plus grand réseau d’observation de l’Internet » et « permettent à tous et toutes de regarder si ça marche ».

Pour les quatre pays concernés, on peut voir ci-dessous les différentes sondes cartographiées par le RIPE NCC :

Quelques latences, mais quasiment pas de pertes de paquets

Pour le câble BCS East-West, dans l’analyse des données de ses sondes dans l’intervalle de temps entre 12 heures avant et 12 heures après l’incident, le RIPE NCC a pu observer des décalages de latence coïncidant avec l’heure de l’incident signalée par certains. Il a donc cherché à savoir quels taux de trajets étaient affectés.

« Nous constatons que 80 % des trajets […] ne présentent pas de différence de latence significative, tandis que les 20 % restants ont subi une augmentation de la latence », explique le registre Internet régional. Il ajoute que « les 10 % de chemins présentant la plus grande différence de latence enregistrent une augmentation comprise entre 10 et 20 ms ».

En analysant la perte de paquets, toujours avec ses sondes, RIPE NCC observe qu’il n’y en a globalement pas, même si des pics occasionnels sont relevés. « Mais l’observation la plus frappante est qu’il n’y a pas d’augmentation de la perte de paquets coïncidant avec l’heure de la coupure du câble », s’étonne-t-il.

Concernant C-Lion1, le RIPE NCC a aussi pu observer des décalages de latence qui correspondent à l’heure d’incident envisagée. Pour ce câble, il constate « qu’environ 70 % des chemins n’ont pas de différence de latence […], ce qui signifie qu’environ 30 % en ont ». Il précise que « 20 % des chemins présentent des augmentations de latence de 5 ms ou plus ».

Ici, s’agissant de la perte d’informations transmises, le RIPE NCC constate « une perte de paquets de 0,5 % à 1,0 % pendant la majeure partie de cette période ». Par contre, « l’heure de l’événement (02:00 UTC) n’est pas particulièrement visible » dans ces données, s’étonne-t-il, « cela indique que l’événement n’a pas provoqué de perte de paquets supplémentaire, du moins pas pour cette mesure que nous pouvons extraire ».

Le registre Internet régional conclue que ce résultat « indique la résilience de l’internet dans la mesure où nous la mesurons avec les ancres RIPE Atlas […]. Cela suggère que, dans la région de la Baltique, l’internet a réussi à contourner les dommages survenus ».

CloudFlare rassurant aussi

De son côté, CloudFlare a publié un billet de blog qui s’appuie sur les données échangées entre ses clients et les internautes. Pour l’entreprise de sécurisation de trafic internet, les « deux récentes coupures de câbles survenues dans la mer Baltique n’ont eu que peu ou pas d’impact observable sur les pays concernés, comme nous l’expliquons ci-dessous, en grande partie en raison de la redondance et de la résilience significatives de l’infrastructure Internet en Europe ».

Sur le câble BCS East-West, CloudFlare explique ne pas avoir observé « d’impact apparent sur les volumes de trafic dans les deux pays au moment où les câbles ont été endommagés » entre ses clients et les utilisateurs. Il en est de même à propos du lien C-Lion1 : « il n’y a pas eu d’impact apparent sur les volumes de trafic dans les deux pays au moment où les câbles ont été endommagés ».

Poussée mercredi sur le canal Canary dédié aux membres du programme Windows Insider, la version 27754 de Windows 11 introduit quelques améliorations, principalement cosmétiques, au niveau de Windows Hello et de la barre des tâches.

Le principal changement concerne Windows Hello, avec une mise à jour qualifiée de « significative » de l’interface, censée passer aux standards de design en vigueur sur le reste de l’environnement Windows 11.

« Nous avons repensé l’expérience utilisateur liée aux identifiants de sécurité Windows pour les clés d’accès, créant ainsi une expérience plus claire qui prend en charge une authentification sécurisée et rapide », affirme notamment l’éditeur, qui accentue depuis plusieurs semaines ses efforts autour de l’intégration de clés d’accès fournies par des éditeurs tiers.

La nouvelle iconographie dédiée à Windows Hello apparaît désormais au même niveau que les autres options d’authentification sur l’écran d’accueil du système d’exploitation. Microsoft précise également que cette mise à jour s’appliquera aux futures mécaniques de protection associées au compte administrateur.

Annoncées cette semaine dans le cadre de la conférence Ignite, celles-ci reposent pour mémoire sur la création, via Windows Hello, d’un jeton temporaire d’authentification lors de l’exécution de tâches exigeant des droits élevés.

• Azure AI Foundry, SQL Server 2025 : Microsoft simplifie encore l’accès à l’IA

Windows 11 Insider Preview Build 27754 est par ailleurs l’occasion de tester de légères modifications cosmétiques au niveau de la barre des tâches, qui profite d’un rendu et d’une animation rafraîchis au niveau de la prévisualisation des fenêtres ouvertes.

Microsoft indique par ailleurs soumettre aux utilisateurs une version simplifiée de la zone dédiée aux notifications. La date y apparaît sous une forme abrégée et la cloche dédiée aux notifications disparait quand le mode concentration est activé. Les changements restent réversibles via les paramètres, rassure l’éditeur, qui rappelle par ailleurs la finalité de la branche Canary : tester des changements, pour éventuellement valider leur intégration dans de futures mises à jour.

Comme elle l’avait fait lors de précédentes fins de support, l’entreprise commence à afficher des messages en plein écran pour avertir de la fin prochaine de Windows 10. Le support technique de ce dernier se terminera le 14 octobre 2025. L’éditeur s’y prend à l’avance, mais l’ampleur de la tâche est immense, le système comptant pour environ 60 % du parc Windows aujourd’hui.

• Dans un an, fin de route pour Windows 10

Comme on peut le voir chez plusieurs médias anglo-saxons, dont Ars Technica et Neowin, les messages ne sont pas toujours les mêmes. Dans certains cas, les qualités de Windows 11 pour les jeux vidéo sont mises en avant. Pourtant, les deux systèmes sont au coude à coude sur ce terrain. Windows 10 a même l’avantage sur une partie des jeux, comme l’a montré TechSpot dans ses tests en août dernier.

Dans d’autres cas, Microsoft insiste sur les gains de sécurité. Il est vrai qu’en exigeant du matériel beaucoup plus récent, dont une puce TPM 2.0, Windows 11 part sur de meilleures bases. L’éditeur travaille également sur des améliorations importantes, comme nous l’avons signalé dans notre actualité sur la conférence Ignite 2024.

• Azure AI Foundry, SQL Server 2025 : Microsoft simplifie encore l’accès à l’IA

Mais parfois, le panneau plein écran insiste sur la facilité à transiter vers Windows 11, voire fait la promotion des PC Copilot+. Il s’agit donc d’une publicité. On trouve en conséquence de nombreux messages agacés sur X, voire de franche colère.

Ces panneaux, en plus d’être en plein écran, flirtent avec le dark pattern. Ils mettent en avant un bouton bleu « En apprendre plus », tandis que « Me rappeler plus tard » est dans un bouton blanc sur fond blanc. En outre, ils ne font pas mention de l’option payante pour prolonger le support de Windows 10. Microsoft a en effet annoncé récemment que l’on pourrait payer 30 dollars pour une année supplémentaire de correctifs de sécurité.

Il est où mon rein ?

En tant que régulateur des données personnelles, la CNIL a observé l’augmentation des projets d’entrepôts de données de santé. Son laboratoire de recherche, le LINC, a entrepris de lister tous les entrepôts de données de santé situés en France pour les étudier et comprendre les dynamiques en cours. Il partage ses travaux via une carte permettant de les « matérialiser ».

Le laboratoire de la CNIL, le LINC vient de publier sa carte des entrepôts de données de santé (EDS) français. Celle-ci permet de voir la distribution géographique de ses entrepôts, mais aussi d’accéder à certains détails qui les caractérisent.

La CNIL rappelle, dans son communiqué à propos de cette carte, son rôle de régulateur des données personnelles en général. Mais, parmi ces données, celles concernant la santé sont reconnues particulièrement sensibles par le législateur via différentes lois.

On peut citer la loi sur le secret médical, la loi Informatique et Libertés, celle sur l’hébergement des données de santé, la mise à disposition des données de santé ou encore les interdictions de constitution et d’utilisation ou de cessions à des fins de prospection ou de promotion commerciales de certaines informations médicales.

L’autorité de contrôle doit donc particulièrement faire attention à l’utilisation de ces données de santé. Mais, si cette utilisation est très encadrée, elle est indispensable, notamment pour suivre les patients, faire de la recherche, administrer des institutions de soin, par exemple. Les « entrepôts de données de santé » permettent de stocker et de gérer ces données. « Ils peuvent être constitués tant par des acteurs publics (comme un établissement public de soin) que privés (comme un courtier de données ou une startup), sous réserve de respecter le cadre juridique applicable », explique la CNIL.

Une augmentation des projets

Elle explique avoir observé leur multiplication ces derniers temps ainsi que des organismes souhaitant en constituer (voir les deux graphiques ci-dessous). Son laboratoire, le LINC, a donc pris l’initiative de créer un outil « permettant à la fois de comprendre les dynamiques à l’œuvre et d’améliorer la transparence de l’usage des données de santé dans le cadre de la recherche ».

Dans une note plus détaillée, le LINC analyse un peu plus ce développement dont le début a été « assez lent, avec peu de projets sur les deux premières années (2017 – 2018) » mais qui a ensuite connu une « accélération à partir de 2020 avec une prépondérance des acteurs publics et un fort développement des entrepôts « généralistes » ». Le laboratoire de la CNIL explique aussi qu’à partir de 2022, il constate une « diversification des acteurs et des projets ».

Le LINC explique que cette diversification a été « facilitée notamment par la publication du référentiel entrepôt de données de santé l’année précédente (et donc la possibilité de se déclarer conforme), le secteur public se renforçant via des appels à projets et des mises en réseau ».

• Ce que contient le référentiel CNIL sur les entrepôts de données de santé

Il souligne aussi le cas de la plateforme AgorIA d’accès simplifié et sécurisé à de multiples Données de Santé en Vie Réelle (DSVR), qualifié de « notable puisque les co-responsables sont deux entreprises pharmaceutiques, une entreprise de conseil et d’innovation dans le secteur de la santé et une entreprise du secteur numérique, soit une co-responsabilité de quatre acteurs distincts pour un même entrepôt ».

Le laboratoire tient aussi à souligner un changement du côté des entrepôts de données de santé hospitaliers (EDSH) en citant le rapport de la HAS [PDF] sur le sujet : « Les premiers EDSH ont été conçus pour faciliter la construction de l’information hospitalière pour le financement ou le pilotage des établissements et pour des usages proches du soin. C’est aujourd’hui la finalité de recherche qui motive la construction et le développement des EDSH ».

Une concentration sur Paris peu étonnante

Le LINC souligne qu’à la mi-2024, « les acteurs responsables d’EDS en France sont localisés à 48,5% dans la région Ile-de-France, portée notamment par une présence plus grande d’acteurs privés (les sièges sociaux d’entreprises) et d’acteurs privés à but non lucratif (les sièges sociaux d’associations, de Centres de lutte contre le cancer – CLCC, etc.). Le secteur public y représente par ailleurs moins d’un tiers (27%), quand il représente pourtant 48% à l’échelle nationale ».

L’Auvergne-Rhône-Alpes vient en deuxième position, mais loin derrière, avec 9,5 %, « porté par des organisations privées à but non lucratif, composé de réseaux de recherche (Groupe Français de Pneumo-Cancérologie, Lymphoma Academic Research Organisation, Réseau des urgences de la vallée du Rhône) et du secteur public (CHU de Grenoble, Lyon et le CH d’Annecy Genevois) ». Il remarque que les tendances et répartitions sur le territoire « changent finalement assez peu au fil du temps, l’importance de la région parisienne se renforçant au fil du temps » et note l’absence du sud de la France.

Sur la carte de la CNIL, sont donnés, en plus de la localisation géographique du dépôt :

• le nom et une description de l’acteur gérant l’entrepôt ;
• le statut de l’acteur (public, privé ou privé à but non lucratif) ;
• le nom et une description de ou des entrepôts géré(s) par cet acteur ;
• la date de l’autorisation ou de déclaration de conformité de l’entrepôt (si applicable).

Un « rappel méthodologique et de lecture de la cartographie » est aussi fourni par le laboratoire.

L’équipe sécurité de Canonical indique avoir publié des mises à jour de sécurité dédiées à deux paquets présents dans les différentes variantes d’Ubuntu, mais aussi de Debian et d’autres distributions : needrestart et libmodule-scandeps-perl.

Elles corrigent un ensemble de cinq vulnérabilités (CVE-2024-48990, CVE-2024-48991, CVE-2024-48992, CVE-2024-11003, CVE-2024-10224), découvertes par l’éditeur Qualys, grâce auxquelles un attaquant disposant d’un accès local (au moyen par exemple d’un malware ou d’un compte utilisateur compromis) serait en mesure d’obtenir des droits administrateur sur la machine visée.

« Dans deux des vulnérabilités, CVE-2024-48990 et CVE-2024-48922, l’attaquant local peut définir une variable d’environnement (PYTHONPATH ou RUBYLIB), puis exécuter un script pour attendre que needrestart s’exécute et l’amener à utiliser l’environnement de l’attaquant pour exécuter du code arbitraire », illustre l’éditeur.

Certains y verront sans doute une forme d’ironie : needrestart est l’utilitaire chargé de déterminer si un service doit être redémarré après l’application d’une mise à jour.

Toutes les versions actuellement maintenues d’Ubuntu sont concernées par la mise à jour, de la 16.04 à la récente 24.10.

• Ubuntu 24.10 est disponible en version finale

Publiée le 18 novembre dernier, la dernière version en date du modeleur 3D open source FreeCAD corrige un problème historique du logiciel. Pour l’occasion, le logiciel bascule dans une branche stable, et se voit affublé d’une version 1.0, plus de vingt ans après la sortie de sa première version, en 2002.

FreeCAD, distribué sous licence LGPL et disponible sous Windows, macOS ou Linux, appartient pour mémoire à la famille des outils de CAO 3D open source. Il se destine principalement à la conception d’objets « réels » de toute taille, de la mécanique de précision à l’ingénierie d’un bâtiment.

 Et si FreeCAD passe finalement en version 1.0, c’est parce que l’équipe en charge du projet indique avoir enfin corrigé l’un des défauts historiques du logiciel, son « problème de dénomination topologique ».

De quoi s’agit-il ? Ce problème « fait référence aux conséquences d’une forme qui change de nom interne après une opération de modélisation (protrusion, coupe, union, chanfrein, congé, etc.). Cela a pour conséquence la casse ou le calcul incorrect d’autres caractéristiques paramétriques dépendantes de cette forme », indique le wiki dédié au logiciel.

Pour corriger ce problème (inhérent à tous les logiciels de conception 3D), l’équipe indique avoir planché pendant plus d’un an à l’intégration d’un algorithme dédié. Elle salue par ailleurs la mémoire de Bradley McLean (bgbsww), l’un des principaux artisans de cette intégration, à qui est dédiée cette version 1.0.

FreeCAD 1.0 inaugure par ailleurs un nouvel atelier d’assemblage intégré, des améliorations au niveau de l’interface utilisateur, à commencer par l’affichage d’un indicateur de centre de rotation, ou de nouveaux filtres de sélection. Le logiciel s’orne également d’un nouveau logo.

Les notes de version détaillent la liste complète des changements, également analysée au travers de cette dépêche Linuxfr.

Les responsables de la sécurité informatique de l’Assemblée ont adressé aux députés un e-mail, consulté par POLITICO, les alertant de plusieurs « compromissions de compte » Telegram.

Plusieurs députés auraient, en effet, cliqué sur un lien frauduleux leur proposant notamment de visionner des photos « de votre professeur d’école primaire ». La compromission toucherait « tous les groupes politiques », explique à POLITICO un député, qui précise avoir vu plusieurs de ses collègues « faire la queue au comptoir du numérique de l’Assemblée », en charge d’aiguiller les élus sur leurs pratiques numériques.

Il leur a été recommandé de changer leur mot de passe et d’activer la double authentification pour accéder à leur compte.

La semaine passée, La Lettre avait par ailleurs révélé que Matignon avait donné pour consigne aux membres du gouvernement et à leurs cabinets de privilégier la messagerie chiffrée Signal. Les services du ministère de l’Intérieur ont en outre invité les conseillers ministériels à désinstaller Telegram de leurs téléphones.

Ces voltefaces interviennent alors qu’il y a un an, une circulaire avait obligé les cabinets ministériels à migrer sur Olvid en une semaine seulement. La circulaire, signée par Élisabeth Borne, avait depuis été balayée lorsque Gabriel Attal l’avait remplacée. La Lettre ne précise pas si les services de Michel Barnier ont émis des recommandations pour ce qui est de l’utilisation de la messagerie sécurisée française Olvid.

• Olvid gouvernemental : « les ministres étrangers utilisent tous WhatsApp ou Telegram »…