Follow

Alors ça, c’est un putain de gros mensonge (ou Qwant serait dans l’illégalité la plus totale…)

Techniquement, c’est particulièrement faux sauf à étayer à mort de comment ils font pour rendre le stockage des logs (qui je le rappelle est une obligation légale) anonymes.

Sur mandat de perquisition, il y a toutes les chances du monde pour que Qwant fasse exactement comme toute autre boîte FR : elle filera tout ce qu’elle connaît sur vous (ou en tout cas les IP qui vous seront associées)

Par défaut, la recherche Qwant passe dans un GET (et non un POST), et donc peu être présente dans les logs systèmes fonction de la configuration du serveur en face.

Par défaut, la query part est stockée dans les logs. Sur réquisition judiciaire, c’est donc l’intégralité de vos recherches qui seraient communiquées, sauf config spécifique faite côté Qwant.

Bon, alors vu qu’on me tanne pas mal avec ce post, une petite mise-au-point et éclaircissement 😊

On va commencer par le méa-culpa : je pensais à l’époque de ce tweet que la collecte des logs serveurs web était une obligation légale. Il s’avère que j’avais tord sur ce point.

Je vais du coup reformulé mon propos : je ne pense pas que Qwant soit en mesure de réaliser ce que Léandri dit qu’il fait. Je vais détailler en essayant de faire court, parce que ça peut être long 😂

La collecte des logs serveurs est à mes yeux légitimes et ne remettrait pas en question une étiquette « respect de la vie privée ». Pour des raisons de sécu en particulier, il est légitime de conserver suffisamment longtemps ces données pour pouvoir remonter une intrusion, ou même à des fins purement techniques (suivi des erreurs…)

On peut faire les choses très proprement, cloisonner le stockage, purger régulièrement les données, se refuser à en faire un usage autre que technique (revente, analyse…).

On peut strictement tout faire sauf… refuser de les communiquer sur une réquisition judiciaire qui les demanderait. Ou en tout cas ça serait extrêmement compliqué et l’objet d’une procédure longue et compliquée (et je sais de quoi je parle 😂).

On peut chercher à mettre en place des mesures de sécurité supplémentaires, « anonymiser » les données sans perdre les finalités de post-mortem & cie. C’est compliqué. Souvent encore l’objet d’études scientifiques. Et certainement pas dans les top priorité de Qwant vu le bordel ambiant.

Et quand on est une start-up, d’autant plus pas encore rentable (et je sais aussi de quoi je parle 😂), on ne va pas aller faire de la conf système aux petits oignons quand on n’a même pas encore son cœur de cible opérationnel… Faut pas trop déconner non plus.

Dans le cas spécifique du post de Léandri, il y a une chose encore plus intrigante qui me fait aussi me dire qu’il n’a pas réfléchit du tout à ce qu’il a dit.

Dans le cas d’une utilisation professionnelle de Qwant, il y a toutes les chances du monde qu’il y ait un proxy journalisant en sortie de réseau. Et donc l’intégralité du trafic des gendarmes est *DÉJÀ* journalisé en interne et l’employeur est parfaitement capable de dire qui a visité quoi et fait quelle recherche.

(Et dans la gendarmerie & cie, je parierais même pour du MITM TLS sur le proxy histoire de bien avoir tout le trafic y compris chiffré)

Que l’administration utilise du coup Qwant, Google, Bing ou autre, il est plus que probable que ça ne change pas grand chose en terme de vie privée de la personne.

Sinon que les données ne sont pas exploitées de manière commerciales. Mais du coup sur réquisition, on aura les infos. Que ça soit Qwant qui les file. Ou l’employeur.

Bref, Qwant a perdu beaucoup en confiance/crédibilité vu l’actualité. Et les propos de Léandri manquent au mieux d’une bardée de petites étoiles et mentions complémentaires pour ne pas prendre le lecteur pour un pigeon…

Ceci n’est que mon opinion personnelle sur le sujet. Faites-vous la vôtre 😊

@aeris

La seule reponse que t'aura c'est "Tu fais partie d'une cabale contre qwant"

@aeris Et donc c'est quoi la config côté qwant ? Et sinon, quel meilleur moteur qui puisse tenir de vrais engagements ? Duckduckgo ?

@Nestasolis @aeris j'imagine que la même chose est valable pour ddg, étant donné que la recherche est en GET par défaut. Dans le cas de ddg tu peux rajouter le fait qu'ils sont soumis à la réglementation américaine (NSA, etc)

@aeris
Après si on applique le droit européen la période de rétention est plutôt courte non ? 🤔
"Nous appelons tous les hébergeurs à rejeter cette pratique illicite et à se conformer au droit de l'Union européenne : à ne retenir aucune données de connexion concernant leurs utilisateurs pour une durée supérieure à 14 jours."
laquadrature.net/fr/requisitio

@aeris Je rappelle que l’obligation légale des logs est pour la création de contenus, pas la consultation.

@framasky Laisse, @aeris aime tout particulièrement se faire des amis 🙄…

@framasky Certes, mais en pratique tu ne sais pas dire si ton backend est sémantiquement conforme HTTP… Donc effectivement, tu pourrais juridiquement te limiter à POST/PATCH/PUT, mais en pratique des GET peuvent aussi avoir des modifications côté back…

@aeris C’est pour ça que Lutim et Lufi mettent les infos des créateurs de contenu en BDD : comme ça, OSEF les logs du serveur web 🙂

@framasky IP *ET* port source *ET* destination, avec l’heure en UTC et l’ensemble des paramètres de la requête ? 😂

@aeris Bah destination, c’est 443, couillon ! L’heure est un timestamp unix et oui, IP et port source.
Quand à l’ensemble des paramètres de la requête, on s’en balec : c’est pour pousser une image ou un fichier. Au pire, y a qu’à regarder les paramètres de l’image ou du fichier en question pour les reconstituer.

@framasky Non, ce n’est pas 443. Pas forcément au moment où tu as loggué ta donnée 😊

@aeris La destination ? La destination est mon serveur pourtant 🤔
Au fait, genre toi t’as le port source dans tes logs de serveur web ?

@aeris @framasky Le RFC 6302 n'est pas une norme, mais un BCP. Le titre indique clairement que c'est une recommandation de la part des auteurs : si l'ip est logguée, alors ils est recommandé que le port source soit enregistré. (Et ils ne prennent pas position sur le log de l'ip) :)

@framasky Ton serveur peut avoir changé d’IP depuis les 1 ans de la collecte…

@aeris Pas grave : au bout d’un an, j’ai plus l’info sur le créateur de contenu 😛

Et franchement, dans un délai d’un an, je peux retrouver où était le serveur et à quelle IP avant la migration.

@framasky Quand tu as une réquis, ils s’en foutent un peu de si tu peux combler les trous manuellement ou pas : ils veulent des logs complets.

@aeris Chaque fois que j’ai eu une réquisition, ils avaient strictement rien à foutre d’où était mon serveur au moment où y a eu l’upload. Mais royal.

@framasky Oui, ils font assez peu chier avec ça pour le moment, mais avec CGNAT & cie, ça va devenir un poil plus embêtant…

@aeris Il dit qu’il voit pas le rapport.
Le CGNAT change des trucs pour identifier l’utilisateur, pas mon serveur. Je vois franchement pas ce qu’ils foutraient avec l’IP de mon serveur. Les réquisitions que j’ai eues, c’est « Qui a uploadé ce truc et ce truc ? »
Et quand bien même on me demanderait « Telle IP, tel port source, tel intervalle de temps : qu’est-ce qu’il a déposé chez vous ? », je pourrais toujours répondre.

@framasky C’est aussi pour ça qu’on fait la journalisation sur les fronts et pas sur les backs, qui n’ont généralement pas accès à l’IP accédée *par l’utilisateur*.

@aeris Après vu que tu contrôles tes log, tu peux te fixer des règles, par exemple "si c'est une connexion via mon /blog qui est en statique, donc 0 point d'entrée, je supprime les 4 derniers chiffres", non ?

@Kcchouette Non, pour du post-mortem d’intrusion, tu veux avoir l’IP réelle du gus, pas un vague /24 avec 65000 IP derrière.

@aeris Dans les écoles aussi probablement... étant donné que pour respecter la règlementation on doit le faire nous de notre côté...

@Eragon
@aeris
J'ai plus le nom de la loi mais y a un archivage légal obligatoire des logs pour savoir quelle IP est allé où sur les accès internet par les fai et côté hébergement la startup comme la grosse boîte doivent fournir des logs pendant 1 an en cas de requête judiciaire.

@wallace @aeris Il me semblait que c'était que côté fai...
mais bon ça change pas grand chose au final... que ce soit le fai ou l'hébergeur

@Eragon @wallace Tu as une obligation légale niveau FAI, mais tu as une obligation « responsabilité » côté employeur & cie.

@Eragon @wallace Si tu ne tiens pas un journal, tu es responsable pénalement des délits commits. Si tu as un journal, tu peux te retourner contre l’employé/utilisateur/whatever.

@Eragon @wallace Mais a priori, j’en étais aussi tout autant persuadé jusqu’à avant hier, il n’y a strictement aucune obligation de journalisation côté hébergeur ou éditeur…

@aeris
@Eragon
La France bataille pour porter cela à 2 ans et FDN et la Quadrature ont fait un recours à l'EU pour ramener la France sur le maxi de l'EU qui se compte en quelques mois. @bayartb tu saurais sans doute nous éclairer ? Il me semble que c'était la LCEN.

@Eragon
@aeris
Exemple reçu y a 10 ans, un gars de suicide, la gendarmerie a demandé les logs du surf des derniers mois au fai, et nous avions des ip dans la liste, on nous a demandé les logs d'acces web avec les pages demandées avec une requête en référé.

@wallace @Eragon Oui, côté FAI c’est obligatoire. Côté éditeur/hébergeur non.

@aeris
@Eragon
legifrance.gouv.fr/affichTexte c'est bien la LCEN ça prend tout service mis à disposition d'utilisateur. En tant qu'infogereur on garde donc les acces web, mail, sftp,... Tout ce qui vient requêter les serveurs.

@wallace @Eragon Pour les personnes mentionnées au 1 du I du même article et pour chaque connexion de leurs abonnés :

@aeris
@Eragon
legifrance.gouv.fr/affichTexte oui c'est très clair le fait de mettre à disposition par une personne physique ou morale même à titre gratuit. Donc c'est bien tout le monde fai comme hébergeur et infogereur ou boite qui administre son infrastructure.

@wallace @Eragon Spa ce que me remonte les avocats & gendarmes depuis quelques jours…

Show more
Sign in to participate in the conversation
Mastodon

The social network of the future: No ads, no corporate surveillance, ethical design, and decentralization! Own your data with Mastodon!