Discussions générales

On parle de tout le reste

886 Sujets 10.3k Messages
  • 0 Votes
    1 Messages
    8 Vues

    En bref :
    (Résumé généré automatiquement par IA)

    Richard Stallman retrace la genèse du projet GNU et de la FSF : une mission philosophique centré sur la liberté des utilisateurs face aux logiciels privateurs.

    – Il distingue fermement les mouvements “logiciel libre” (éthique) et “open source” (méthodologie), dénonçant le glissement de certaines entreprises vers des compromis utilitaristes.

    – Concernant l’IA et la surveillance de masse, il exige des modèles exécutables localement et dénonce l’usage d’outils privateurs imposés aux citoyens.

    Samedi 4 octobre 2025, la Free Software Foundation (FSF) fête ses 40 ans d’existence ! 4 décennies pour défendre les 4 libertés fondamentales sur lesquelles se fonde le logiciel libre.

    la liberté d’exécuter le programme, pour tous les usages ; la liberté d’étudier le fonctionnement du programme et de l’adapter à ses besoins ; la liberté de redistribuer des copies du programme (ce qui implique la possibilité aussi bien de donner que de vendre des copies) ; la liberté d’améliorer le programme et de distribuer ces améliorations au public, pour en faire profiter toute la communauté.

    Pour revenir sur ces 40 ans de combat en faveur du logiciel libre, j’ai eu l’honneur de pouvoir avoir un entretien avec Richard Stallman (RMS), fondateur du projet GNU, de la FSF, et l’initiateur du mouvement du logiciel libre.

    Vous trouverez la transcription de cet entretien dans cette dépêche, ainsi que le lien vers la vidéo de celle-ci.

    – Vidéo complète de l’entretien avec Richard Stallman (1h20)

    Merci du fond du cœur à Richard pour sa gentillesse, sa patience et sa bienveillance pour cette interview qui était une première pour moi. Entre le stress et mes bégaiements, il fallait bien quelqu’un d’aussi cool que lui. 😅

    Et un grand merci aussi à Aurore, la monteuse de cette vidéo, qui a réussi astucieusement à masquer ces fameux bégaiements ! 😉

    Le texte de cet entretien est sous licence CC-BY-ND

    Logo 40 ns FSF

    Stéphane :
    Bonjour Richard.

    Richard :
    Bonjour, c’est un plaisir.

    Stéphane :
    Le plaisir est pour moi également. Merci beaucoup de me permettre de t’interroger à l’occasion des 40 ans de la Free Software Foundation. Pour commencer, puisque l’histoire de la FSF est indissociable de celle du projet GNU, j’aimerais revenir aux origines. Comment est né le projet GNU ? Pourquoi ce nom, quelle en était la philosophie, les fondements techniques ? Et en quoi la création de la FSF, deux ans plus tard, a-t-elle été une continuité de ce projet ?

    Richard :
    J’ai d’abord décidé de développer un système d’exploitation constitué uniquement de logiciels libres. Dans les années 1970, j’utilisais déjà un système libre, développé dans le même laboratoire que moi, et mon travail consistait à l’améliorer en modifiant son code. Tout le monde pouvait accéder à ce code, c’était dans les faits du logiciel libre. Mais ce système a fini par disparaître, ainsi que la communauté qui l’entourait.

    Pour moi, ce fut une perte immense. J’ai alors pris conscience du caractère injuste et tyrannique du logiciel privateur. J’ai compris que cela ne pourrait jamais être juste. Pour remplacer ce que j’avais perdu, je voulais créer un autre système libre, capable de soutenir une communauté similaire. J’ai choisi de m’inspirer de l’organisation d’Unix : c’était le meilleur modèle à suivre.

    Je cherchais aussi un acronyme récursif comme nom : GNU, pour GNU’s Not Unix. Cela ajoutait une touche d’humour. J’ai annoncé publiquement le projet en septembre 1983 et invité d’autres personnes à développer les différents composants, car un système de type Unix se compose de nombreux éléments plus ou moins indépendants.

    Deux ans plus tard, nous avions suffisamment de succès pour qu’il devienne utile de créer une fondation : pour gérer les financements, conserver les droits d’auteur et soutenir le projet. C’est ainsi qu’est née la FSF, Free Software Foundation, ou Fondation pour le logiciel libre en français.

    Ce point est d’ailleurs important : en français, la distinction entre “gratuit” et “libre” est claire. Cela m’a appris à préciser en anglais : depuis vingt ans, je n’emploie plus “free” pour dire gratuit, je dis gratis. Et pour la liberté, j’utilise toujours freedom. Ainsi, il n’y a plus d’ambiguïté.

    Stéphane :
    En anglais, l’ambiguïté est apparue avec le logiciel : auparavant, le contexte levait toute confusion. Mais dans l’informatique, on trouve des programmes gratuits… qui ne sont pas libres du tout.

    Richard :
    C’est vrai. Et inversement, on peut payer pour acquérir une copie d’un programme libre. Les deux catégories — libre et gratuit — sont indépendantes.

    Stéphane :
    Exactement. Et donc, la FSF permettait non seulement de financer le projet, mais aussi de garantir les droits d’auteur. Car il est légalement impossible de rédiger une licence qui assure à 100 % qu’un programme restera libre. Par exemple, si je publie un logiciel sous GPL, ceux qui utiliseront mon logiciel, devront publier leurs modifications sous la même licence. Mais moi, je pourrais rendre à tout moment le code privateur…

    Richard :
    Il faut bien distinguer deux choses : ce que l’auteur peut faire, et ce que les utilisateurs, qui reçoivent le logiciel sous une licence libre, peuvent faire. Les utilisateurs sont légalement contraints par la licence : s’il s’agit d’une licence avec gauche d’auteur (copyleft), ils ne peuvent créer que des versions libres.

    Mais l’auteur, lui, ne dépend pas de sa propre licence : il reste propriétaire du code. Il peut donc publier une autre version, y compris privatrice. Mais s’il est un activiste du logiciel libre, il ne voudra pas le faire.

    Stéphane :
    Bien sûr. Et c’est là qu’une fondation comme la FSF est essentielle : elle garantit que les logiciels sous son copyright resteront toujours libres.

    Richard :
    Oui. C’est la mission de la FSF : protéger la liberté des utilisateurs. Autrement dit, éviter qu’un utilisateur ne prenne du pouvoir sur les autres. Si la liberté est pour tous, ça veut dire que personne n’a de pouvoir sur personne.

    Stéphane :
    On comprend donc bien le rôle essentiel de la FSF, en complément du projet GNU : protéger juridiquement, notamment via le droit d’auteur, et assurer aussi un soutien financier. Parce qu’il arrive que certaines entreprises publient des logiciels qu’elles qualifient de « libres » ou « open source » — les deux termes étant souvent confondus —, mais parfois dans l’unique but de profiter du travail bénévole, avant de fermer le code…

    Richard :
    Je préfère qu’on n’utilise pas les termes « ouvrir » ou « fermer », car cela renvoie à la logique de l’open source. Or, moi, je ne défends pas l’open source, je défends la liberté.
    Il est vrai que la plupart des programmes dits open source sont aussi libres. Mais certains ne le sont pas, et il est important de faire la distinction. Puisque notre combat porte sur le logiciel libre, il est plus clair d’éviter les expressions qui risquent de brouiller le message et de laisser croire qu’il s’agit simplement d’open source.

    Stéphane :
    Du coup, j’avais une autre question par rapport au début du projet GNU. Avant l’arrivée de Linux… Moi, quand je parle de Linux, comme toi, je parle uniquement du noyau, parce qu’il y a un amalgame terrible entre le système GNU/Linux et le noyau Linux.
    Alors, avant 1991, comment les utilisateurs de GNU faisaient-ils pour utiliser le système ?

    Richard :
    Ils l’utilisaient sur Unix. C’était la seule manière. Nous n’avions pas encore de noyau libre, donc pas de système complet. Les gens installaient les composants GNU et d’autres composants libres sur Unix, pour remplacer certains éléments. Mais il était impossible de tout remplacer. C’était le but, mais il n’était pas encore atteint.

    Quand Torvalds a publié la première version de Linux, son noyau n’était pas libre. Il avait assisté à ma conférence en Finlande, mais n’avait pas suivi mes conseils. Il a choisi une licence qui ne donnait pas toutes les libertés nécessaires. Mais six mois plus tard, il a finalement publié Linux sous la GPL de GNU. C’est à ce moment-là que Linux est devenu libre.

    De notre côté, nous avions déjà commencé un projet de noyau libre, le Hurd. Au départ, d’après l’évaluation d’un ami, Linux ne paraissait pas très intéressant. Mais il avançait très vite, alors que notre conception, trop complexe, posait beaucoup de difficultés. Finalement, nous avons décidé d’utiliser Linux comme noyau.

    Stéphane :
    Justement, à ce moment-là, quand Linux a commencé à prendre de l’ampleur, comment se passaient les relations entre la FSF et le projet GNU d’un côté, et Linus Torvalds de l’autre ? Est-ce qu’il a été question, à un moment donné, d’intégrer Linux officiellement comme projet GNU ?

    Richard :
    Non. Linus n’était pas très amical envers nous. Je soupçonne que notre insistance sur le nom “GNU/Linux” le dérangeait. Il n’aimait pas que nous refusions d’appeler notre projet “Linux”, comme si c’était le sien. Je crois qu’il avait des émotions contradictoires. Parfois, il reconnaissait l’histoire, et parfois il revenait dessus. C’était compliqué, et je ne peux pas deviner ses sentiments exacts.

    Stéphane :
    Une autre question : le noyau Hurd, qui au départ s’appelait “Alix” si je ne me trompe pas… Est-ce que le fait de le développer comme un micro-noyau a freiné son avancée ? Parce que tu disais que Linux progressait très rapidement. Est-ce que c’était une approche trop avant-gardiste, qui a permis à Linux de prendre l’avantage ?

    Richard :
    Oui, le développement du Hurd a traîné très longtemps. Et il a rencontré des problèmes fondamentaux, très difficiles à résoudre. Personne ne savait vraiment comment les résoudre. C’est ça qui m’a convaincu qu’il ne valait plus la peine d’insister.

    Quant au nom “Alix”, c’était au départ une blague. J’avais une copine qui s’appelait Alix, administratrice d’un groupe Unix. Elle avait plaisanté en disant qu’il faudrait donner son prénom à un noyau. J’ai décidé de le faire, secrètement, pour la surprendre.

    Stéphane :
    Ça a dû lui faire plaisir.

    Richard :
    Oui, un peu. Mais ensuite des évènements ont changé les plans, le développeur principal du Hurd préférait le nom “Hurd”. Il a relégué “Alix” à une seule partie du code. Un changement de conception a finalement supprimé cette partie. Et puis, ma copine a changé de nom, et nous nous sommes séparés. Mais certains avaient déjà vu “Alix” apparaître dans le code, la rumeur a circulé, et elle en a ri.

    Stéphane :
    Donc, si je comprends bien, à l’origine “Alix” désignait l’ensemble du noyau, puis seulement une composante, et cette composante a finalement été supprimée ?

    Richard :
    Exactement. “Alix” désignait la partie qui gérait les appels système. Mais on a fini par se rendre compte qu’il n’y avait pas besoin de cette couche spécifique : la bibliothèque C pouvait très bien assurer la communication avec les serveurs du Hurd.

    Stéphane:
    Vous avez laissé le développement de Hurd quand Linux est arrivé.

    Richard:
    Non, pas immédiatement, quelques années plus tard.

    Stéphane :
    Au début des années 1990, beaucoup de choses se sont mises en place. On a vu l’arrivée du noyau Linux en 1991, qui, combiné avec GNU, permettait enfin un système complet. Dès 1992, certaines sociétés ont commencé à distribuer des versions commerciales de GNU/Linux, comme Red Hat ou SUSE.
    Comment perçois-tu aujourd’hui leur rôle ? Red Hat, par exemple, contribue énormément à des projets libres comme GNOME, dont ils sont même les principaux contributeurs. Mais en même temps, dans leurs discours, ils se revendiquent davantage du mouvement “open source”.

    Richard :
    Ah non. Ce n’est pas exact de parler d’un “mouvement open source”. L’idée de l’open source n’était pas de se constituer en mouvement.

    Stéphane :
    C’est vrai.

    Richard :
    Le mouvement du logiciel libre, est un mouvement pour corriger un mal dans la société, une injustice. Nous disons qu’il faut remplacer les programmes privateurs par des logiciels libres, afin de libérer les utilisateurs de l’informatique. Ceux qui ont lancé l’idée d’“open source”, eux, ont rejeté cette dimension éthique. Ils ne voulaient pas reconnaître l’injustice qu’il y avait à priver les gens de liberté.

    Ils présentent l’open source comme quelque chose de plus agréable, une manière plus commode de développer ou d’utiliser un logiciel, si tu en as envie. Mais ils n’ont pas l’objectif de corriger cette injustice. Donc, pour moi, ce n’est pas un mouvement.

    Stéphane :
    C’est plus une méthode de travail.

    Richard :
    Oui. D’ailleurs, Eric Raymond a associé l’open source à une méthode de développement particulière. Ce n’était pas uniquement lui : Linus Torvalds avait sans doute initié cette approche. Mais une fois qu’Eric Raymond l’a décrite dans ses écrits, beaucoup de gens ont commencé à l’expérimenter, y compris les développeurs du Hurd.

    Finalement, cette méthode s’est retrouvée liée à l’expression “open source”. Mais en vérité, le choix d’une méthode de développement est indépendant de toute philosophie morale.

    Stéphane :
    Tout à fait. Et donc, dans ce contexte, l’open source, officiellement, naît en 1998 avec l’Open Source Initiative. Mais Red Hat et SUSE distribuaient déjà des versions commerciales de GNU/Linux dès 1992. Est-ce qu’avant la création de l’OSI, ces sociétés avaient la volonté de collaborer réellement avec le mouvement du logiciel libre ?

    Richard :
    Elles collaboraient parfois, oui. Mais elles agissaient aussi à l’inverse de notre éthique. Les deux en même temps.

    Stéphane :
    Donc elles avaient déjà des contradictions à l’époque ?

    Richard :
    Je ne dirais pas des contradictions, car elles n’ont jamais vraiment adhéré aux principes du mouvement du logiciel libre. Dès le début, elles distribuaient un système qui mélangeait beaucoup de programmes libres avec, parfois, des programmes privateurs. Pour nous, c’était un problème.

    Nous ne pouvions pas recommander ces distributions, ni dire à quelqu’un “installez Red Hat” ou “installez SUSE”, si elles contenaient des logiciels privateurs.

    Stéphane :
    Bien sûr. Mais malgré tout, par leurs contributions importantes à des projets libres, est-ce qu’elles pouvaient être considérées comme des alliées ?

    Richard :
    Oui, en un sens. Mais c’était difficile pour nous de savoir comment en parler. Dans une logique de “donnant-donnant”, on aurait pu se dire : “Puisqu’elles contribuent beaucoup, la récompense naturelle serait de recommander leur système.” Mais pour nous, c’était impossible.

    Nous ne pouvions pas recommander l’installation de quoi que ce soit qui contienne un logiciel privateur, car ce serait cautionner une injustice. Cela nous aurait placés dans une contradiction morale.

    Stéphane :
    Donc, quand l’OSI est créée en 1998, c’est bien une scission. Certains ne se reconnaissaient pas dans l’éthique du logiciel libre. Qu’est-ce qui a réellement provoqué cette séparation ? Était-ce le copyleft ?

    Richard :
    Non, ça n’avait rien à voir avec le copyleft. C’était une divergence philosophique, fondamentale. Pour nous, tout repose sur une question de liberté et de justice face à l’injustice. Imposer à quelqu’un l’interdiction de partager des copies est injuste et immoral. C’est détestable ! Il faut ne jamais le faire.

    Quand il s’agit d’œuvres fonctionnelles — c’est-à-dire destinées à être utilisées — les gens méritent la liberté de collaborer avec les autres. Dans la communauté du logiciel libre, tout le monde n’était pas d’accord avec cette philosophie, mais cela n’empêchait pas de contribuer. On peut contribuer pour d’autres raisons, et ces contributions gardent leur valeur.

    Mais la philosophie reste importante.

    Stéphane :
    Donc, la question du copyleft, à elle seule, n’aurait pas pu provoquer cette scission ? Parce que longtemps j’ai cru qu’un logiciel libre sans copyleft n’était pas vraiment libre.

    Richard :
    C’etait une erreur. Pourquoi tant de gens la commettent, je ne comprends pas. Sur gnu.org, nous avons une liste de licences que nous avons évaluées, et tu peux voir lesquelles sont libres ou non. Tu verras que beaucoup de licences sans gauche d’auteur — que beaucoup appellent à tort “licences open source” — sont aussi des licences libres.

    Les gauches d’auteurs, c’est une autre question philosophique. Entre deux manières de respecter la liberté des utilisateurs :

    soit on exige que les versions modifiées restent libres sous la même licence, soit on permet que quelqu’un publie une version modifiée non libre.

    Le gauche d’auteur est la méthode qui impose que toute version modifiée reste libre de la même manière. Les licences “permissives”, elles, autorisent des versions modifiés non libres.

    Stéphane :
    Certaines personnes te trouvent trop radical. Mais finalement, je me rends compte que par certains côtés, j’étais encore plus radical que toi, puisque je voulais exclure du logiciel libre les programmes sans copyleft.

    Richard :
    C’est vrai, mais j’avais mes raisons. Mon objectif était de pouvoir distribuer un système d’exploitation complet qui respecte la liberté fondamentale des utilisateurs. Et pour cela, les licences sans gauche d’auteur pouvaient suffire pour certains composants de ce système.

    Dès les années 1980, il existait déjà des logiciels libres utiles publiés sous des licences sans gauche d’auteur, car ce type de licence existait avant même le gauche d’auteur. Comme il n’était pas nécessaire de les rejeter, je préférais les utiliser.

    Stéphane :
    Je comprends. Mais sans copyleft, j’ai l’impression qu’il y a un risque : celui qu’un programme soit, un jour, fermé…

    Richard :
    Soit fermé ou restreint

    Stéphane :
    Restreint, disons… Oui, je n’ai pas encore ce réflexe de langage d’éviter de dire « fermé ». Ce que je voulais dire, c’est que sans copyleft, on prend un risque : celui que la liberté disparaisse.
    Je pense notamment à macOS, basé sur FreeBSD. C’est une version d’Unix libre, mais protégée par des licences sans gauche d’auteur. Résultat : Apple a pu reprendre tout ce travail et construire un système qui prive complètement les utilisateurs de leur liberté. C’est pour ça que je considère le copyleft comme important.

    Richard Stallman :
    Oui, mais il faut préciser que FreeBSD existe toujours, n’est-ce pas ?

    Stéphane :
    Tout à fait, c’est vrai.

    Richard Stallman :
    Les mots que tu as employés laissaient entendre qu’Apple avait pris le pouvoir sur FreeBSD et l’avait rendu privateur. Mais ce n’est pas le cas. Apple a créé sa propre version privatrice, mais n’a pas converti FreeBSD en projet privateur.

    Stéphane :
    C’est vrai.

    Richard Stallman :
    Il faut éviter ce genre d’exagération, car elle porte à confusion.

    Stéphane :
    Mais même s’ils ne l’ont pas supprimé, FreeBSD existe toujours, c’est vrai. Pourtant, Apple bénéficie énormément du travail qui a été fait de manière, disons, « ouverte », et a eu le droit de le « fermer ». Et c’est vrai que…

    Richard Stallman :
    « Ouverte » et « fermée »…

    Stéphane :
    Oui, tu as raison. J’ai intégré certains réflexes, comme ne pas confondre open source et logiciel libre. Mais dans les discussions avec des développeurs, les termes « ouvert » et « fermé » reviennent tellement souvent que j’ai tendance à les répéter. Je dois faire attention à ce tic de langage.

    Richard Stallman :
    Je veux souligner un point philosophique. Le vrai problème, c’est qu’Apple distribue des programmes privateurs. Le fait qu’elle ait utilisé du code libre provenant de FreeBSD pour le développer est secondaire, un détail.
    Ce n’est pas pour ça que les actions d’Apple sont injustes. Si Apple avait embauché beaucoup de programmeurs pour écrire un autre code, sans réutiliser celui de FreeBSD, mais avec le même résultat, l’injustice aurait été exactement la même.

    Stéphane :
    C’est vrai.

    Richard Stallman :
    Les chercheurs et développeurs de FreeBSD ont écrit ce code, et maintenant Apple l’utilise sans contribuer en retour à la communauté. C’est une autre question morale, mais qui ne relève pas directement du mouvement du logiciel libre.

    Stéphane :
    D’accord, je comprends.

    Richard Stallman :

    Le mal qu’Apple fait est un mal à tous les utilisateurs des produits d’Apple. Tout programme privateur, fait toujours du mal à ses utilisateurs. Ma mission est de faire comprendre aux gens cette question.

    Je ne veux pas que ce soit confondu avec la question de savoir si les développeurs de FreeBSD ont été récompensés comme ils le méritaient. C’est une autre question qui n’appartient pas à la question du logiciel libre.

    Stéphane :
    Oui, c’est une question à part, en quelque sorte. On peut avoir un avis dessus, mais ça reste extérieur au mouvement du logiciel libre.

    Richard Stallman :
    Oui. Et imagine qu’Apple ait payé 100 millions de dollars aux développeurs de FreeBSD pour obtenir l’autorisation de faire ce qu’elle a fait. Est-ce que ça aurait changé quoi que ce soit au problème moral ?

    Stéphane :
    Non, pas du tout. En réalité, ma question n’était pas sur la rémunération. Elle concernait surtout le fait que l’absence de copyleft a permis à Apple de créer une version dérivée de FreeBSD — même si ce n’est plus vraiment FreeBSD aujourd’hui, vu toutes les modifications — sans donner aux utilisateurs la possibilité de vérifier comment le code fonctionne.

    Richard Stallman :
    Sans les quatre libertés essentielles qui définissent le logiciel libre. Pour moi, distribuer un programme non libre est toujours injuste, car cela prive les utilisateurs de ces quatre libertés fondamentales, nécessaires pour avoir le contrôle de leur informatique.

    Stéphane :
    Je voulais aussi te parler de Debian GNU/Linux, lancé en 1993 par Ian Murdoch, avec au départ le soutien de la FSF. Debian a sa propre définition du logiciel libre, un peu différente de celle de la FSF. Comment cela s’est-il passé au début ? Y avait-il une collaboration entre la FSF et Debian ?

    Richard :
    Oui. La FSF a financé Debian à son commencement. Mais rapidement, le projet, qui comptait plus de contributeurs, a voulu formuler une définition de la liberté différente, avec l’intention d’être équivalente.

    À l’époque, j’ai commis une erreur : j’aurais dû vérifier plus attentivement s’il pouvait y avoir des divergences d’interprétation entre le projet GNU et Debian. La définition me paraissait équivalente, même si elle était formulée autrement. J’ai dit : “C’est bon.” Mais en réalité, il y avait des problèmes potentiels.

    Plus tard, quand l’open source a émergé, ils ont repris la définition de Debian, je ne sais plus s’il ont changé quelques mots mais ils ont surtout changé l’interprétation. Dès lors, elle n’était plus équivalente à celle du logiciel libre. Il existe aujourd’hui des programmes considérés comme “open source” mais pas comme logiciels libres, et inversement.

    J’ai d’ailleurs expliqué ces différences dans mon essai Open Source Misses the Point.

    Mais je dois noter, que Debian, enfin, voulait inclure des programmes privateurs dans leur distribution, mais les ont mis ailleurs, pour établir une séparation très claire entre les composants libres et privateurs. Et comme ça, il était possible de recommander la section main de Debian pour installer un système libre. Mais, après quelques changements de politique il y a quelques années ce n’est plus vrai.

    Stéphane :
    Pourtant, Debian, à l’époque, voulait maintenir une séparation claire entre le libre et le non libre.

    Richard :
    Oui. Debian mettait les programmes privateurs dans une section distincte, et la partie “main” de Debian pouvait être recommandée comme un système libre. Mais il y a quelques années, ils ont changé leur politique. Aujourd’hui, même l’installeur officiel de Debian peut inclure des pilotes privateurs. Pour cette raison, nous ne pouvons plus recommander Debian, pas même sa section “main”. Et c’est dommage.

    Stéphane :
    C’est vrai. Oui, ils ont récemment changé leur contrat social qui donne, certains disent, plus de souplesse. Mais en fait, en réalité, c’est que maintenant, il peut y avoir automatiquement quelques pilotes privateurs, que l’installeur officiel de Debian peut installer.

    Richard :
    Et pour ça, nous ne pouvons plus recommander l’installation de Debian, ni même de la section main de Debian. Et c’est dommage.

    Stéphane :
    Oui, c’est dommage. C’est quand même une distribution qui est populaire et c’est vrai que c’est dommage qu’elle se dirige du mauvais côté en plus. Et est-ce que tu fais quand même une distinction entre, comment on pourrait dire ça, c’est vrai qu’il n’y a pas de mouvement de l’open source, mais dire les partisans de l’open source et Debian, est-ce que quand même Debian s’inscrit plus dans une logique éthique que l’open source ou est-ce que tu penses qu’aujourd’hui…

    Richard :
    Oui, c’est vrai. Mais Debian ne le suit pas complètement comme avant. Dommage.
    Pour plus d’informations sur ce sujet, je recommande de consulter la page gnu.org/distros.

    Stéphane :
    Si l’on retrace les 40 années de lutte pour le logiciel libre, on a beaucoup parlé d’acteurs qui se revendiquaient proches du mouvement. Mais il y a aussi eu un adversaire de taille : Microsoft. À l’époque, leur modèle reposait sur la vente de logiciels privateurs à des prix élevés, uniquement en version binaire. En 2001, face à la montée en puissance du logiciel libre, Microsoft s’est inquiété et a multiplié les attaques, en particulier contre la GPL, en tentant de la discréditer.
    À ce moment-là, tu avais donné une conférence à l’Université de New York en réponse. Peux-tu nous parler de cette période et de ses enjeux ?

    Richard Stallman :
    Les grands éditeurs de logiciels privateurs n’ont pas détruit le logiciel libre, ni le mouvement, ni le système GNU — heureusement. Mais je n’ai plus beaucoup de souvenirs précis de cette époque. Par exemple, la conférence à New York… J’en ai donné tellement à travers les années que je ne sais plus laquelle tu évoques.

    Stéphane :
    Ah, tu ne t’en souviens plus ? Je pensais que cette conférence avait marqué un tournant. Microsoft, à l’époque, avançait notamment l’argument — faux — d’une supposée « viralité » de la GPL, prétendant qu’un programme sous GPL contaminait tout logiciel tournant sur le même système.

    Richard Stallman :
    Évidemment, c’est faux. Ce qui est vrai, c’est que si tu prends un programme distribué sous GPL et que tu combines son code avec un programme privateur pour en faire un seul logiciel que tu veux redistribuer, tu es confronté à une incompatibilité : tu ne peux pas respecter à la fois la licence privatrice et la GPL. Mais deux programmes distincts tournant sur le même système, ce n’est pas du tout le même cas.

    Stéphane :
    Et aujourd’hui, quelles sont les relations entre la FSF et Microsoft ?

    Richard Stallman :
    Il n’y a pas de relation. Nous critiquons simplement les fonctionnalités malveillantes présentes dans leurs logiciels privateurs. Nous en avons une longue liste, avec des centaines d’exemples, publiée sur gnu.org/malware.

    Un programme est malveillant lorsqu’il est conçu pour maltraiter l’utilisateur. C’est une tentation forte dans le modèle privateur : le développeur a du pouvoir sur l’utilisateur et peut être tenté de l’abuser, en ajoutant des fonctionnalités qui renforcent son contrôle.

    Stéphane :
    Et en plus de ça, il y a aussi l’impossibilité de corriger des erreurs légitimes.

    Richard Stallman :
    Oui. Les logiciels privateurs ont beaucoup d’effets négatifs, mais je distingue clairement les erreurs des fonctionnalités malveillantes.

    Stéphane :
    Je voudrais aborder le cas particulier du jeu vidéo. Tu en as un peu parlé au début : c’est un domaine qui mêle différents types d’œuvres…

    Richard Stallman :
    Oui. Je distingue les œuvres fonctionnelles des œuvres artistiques. Les œuvres fonctionnelles — par exemple les logiciels, les recettes de cuisine, les plans d’architecture ou les patrons de couture — sont faites pour être utilisées. Ces œuvres doivent être libres.
    À l’inverse, la fiction ou l’art sont destinés à être appréciés, pas utilisés de manière pratique. Dans un jeu vidéo, il y a les programmes qui implémentent les règles — eux doivent être libres, puisque ce sont des logiciels fonctionnels. Mais il y a aussi de l’art, de la musique, de la narration. Ceux-ci peuvent rester privateurs.
    Un exemple : le code source de Doom a été libéré, mais pas l’art, pas la musique. Cela a permis à la communauté de créer d’autres variantes du jeu avec des ressources alternatives.

    Stéphane :
    Oui, exactement. C’est l’exemple que je voulais évoquer : John Carmack avait libéré le moteur, mais pas les assets artistiques. Et cela a donné naissance à une multitude de déclinaisons. D’où ma question : faut-il une licence spécifique pour le jeu vidéo ?

    Richard Stallman :
    Non. La confusion vient du fait qu’on pense au jeu vidéo comme à un tout, un paquet qui contient tout. En réalité, il faut le décomposer : le moteur, qui est un programme, doit être libre ; l’art et la musique peuvent ne pas l’être. Comme ça, la question devient facile.

    Stéphane :
    Je voudrais maintenant aborder un sujet de plus en plus présent : la surveillance de masse. Cela inclut les caméras algorithmiques, la reconnaissance faciale, mais aussi les services de messagerie comme WhatsApp, propriété de Meta. Tout cela pose de grandes questions sur la vie privée. Est-ce que la FSF envisage de lutter contre ces technologies, ou est-ce en dehors de son champ d’action ?

    Richard Stallman :
    La FSF ne peut pas faire grand-chose sur ce terrain. Son rôle est de promouvoir le logiciel libre. Mais si un logiciel de surveillance appartient à l’État, il doit être libre : l’État doit avoir le droit de le modifier. Ce serait même dangereux qu’il dépende d’une entreprise privée pour gérer ses propres systèmes.
    Cependant, le problème de la surveillance ne disparaît pas parce que le logiciel utilisé est libre. Ce sont deux questions distinctes : d’un côté, l’exigence que l’État utilise du logiciel libre ; de l’autre, la nécessité d’imposer des limites à ce que l’État peut faire. La FSF, qui reste une organisation modeste, n’a pas les moyens de lutter directement contre la surveillance de masse.

    Moi, je ne vois pas de caméras de reconnaissance faciale dans les rues. Je ne vois pas non plus ce que fait WhatsApp, ou ce qu’il ne fait pas, parce que je refuse de l’utiliser. Son programme client est privateur : je refuse de l’utiliser.

    Il y a beaucoup d’injustices dans ces soi-disant services qui exercent du pouvoir sur leurs utilisateurs. Par principe, je ne les utilise jamais. Je résiste.
    Il existe des logiciels libres qui permettent de communiquer de façon chiffrée, et je les utilise. Mais jamais avec une application privatrice, jamais via le serveur d’une entreprise dont je me méfie.

    Et puis, il y a d’autres systèmes de surveillance. Par exemple, en France, l’obligation d’inscrire son nom sur un billet de train est injuste. Il faut lutter pour supprimer ce type de suivi.

    Il y a aussi des systèmes dont l’objectif, en soi, est admirable, mais qui sont conçus de manière à identifier chaque participant. Par exemple, un système pour réduire les émissions toxiques : c’est une bonne chose de vouloir les réduire. Mais il faut pouvoir participer à ce système pour atteindre son objectif sans avoir à s’identifier.

    Il faut éviter d’imposer à chacun l’utilisation d’un programme client privateur pour s’identifier auprès d’un serveur et obtenir, par exemple, l’autocollant à coller sur sa voiture.

    L’État français s’intéresse à l’usage du logiciel libre dans ses ministères, et c’est une bonne chose : cela l’aide à échapper au pouvoir injuste des grandes entreprises. Mais il devrait aussi veiller à protéger les citoyens — et même les visiteurs en France — contre le danger du contrôle numérique. Car le suivi des gens, la surveillance de masse, est extrêmement dangereuse. On peut le voir en Chine : c’est la base idéale pour répression.

    Et aussi, imposent souvent l’utilisation de programmes privateurs. De tels programmes ne pourraient pas tourner sur mon ordinateur, sauf s’ils sont écrits en JavaScript. Mais dans ce cas, je bloque le JavaScript privateur, et je refuse de m’identifier sur ces sites.

    J’ai imaginé une solution au problème des zones à faibles émissions. Chaque ville participante devrait installer, à des endroits bien signalés, des points de vente où l’on puisse acheter, en liquide, les plaques nécessaires, en fournissant uniquement les informations sur le véhicule. Cela permettrait de respecter les règles de réduction des émissions, mais sans passer par un système numérique injuste. Quelques points de ce type, placés sur les principales routes d’accès, suffiraient pour chaque ville.

    Ainsi, on éviterait aussi le piège consistant à devoir acheter ces plaques avant même d’entrer en France. Et il est important que le paiement puisse se faire en liquide : c’est une protection contre la surveillance et la répression.

    Si, dans un magasin, il te manque de l’argent liquide pour payer, il vaut mieux aller retirer de l’argent à un distributeur plutôt que d’utiliser une carte. Car si tu paies en espèces, le système saura seulement où tu as retiré ton argent, mais pas ce que tu as acheté avec. Et pour moi, c’est essentiel.

    Je n’utilise jamais ma carte pour mes achats quotidiens. J’ai bien une carte de crédit, mais je ne m’en sers qu’exceptionnellement, par exemple pour les billets d’avion — puisqu’on ne peut pas voyager anonymement — ou pour certaines factures à mon nom, comme celles de mon appartement. Pour les soins médicaux et les ordonnances, je peux payer par chèque. Mais en dehors de ces cas particuliers, je règle toujours en liquide.

    Stéphane :
    C’est donc surtout pour éviter d’être tracé dans tes achats, en fait ?

    Richard :
    Non, c’est plus large que ça. La question n’est pas simplement d’éviter, moi, d’être suivi personnellement. Il s’agit de résister à la tendance générale qui impose une surveillance à tout le monde.
    Moi, je fais ma part : je résiste à la surveillance quand elle me concerne directement. Mais résister à la surveillance qui pèse sur toi ou sur les autres, ça, je ne peux pas le faire à leur place. Chacun doit assumer sa part.

    Stéphane :
    Oui, l’idée est d’éviter que ce système ne se généralise trop.

    Richard :
    Mais il est déjà trop généralisé ! Il y a beaucoup trop de contrôle, trop de surveillance, trop de suivi… et donc trop de répression.

    Stéphane :
    Et donc, pour terminer, le dernier thème que j’aimerais aborder avec toi, c’est ce que les médias de masse appellent l’intelligence artificielle. Parce que là aussi, derrière, il y a du logiciel. Je voulais savoir quelle est aujourd’hui la position de la FSF sur ce sujet. Et est-ce qu’il existe, selon toi, une définition d’un modèle de LLM éthique ?

    Richard Stallman :
    Je dois d’abord distinguer mon opinion des suppositions contenues dans ta question.

    Stéphane :
    D’accord.

    Richard Stallman :
    Je fais la différence entre ce que j’appelle l’intelligence artificielle et ce que j’appelle les générateurs de merde. Les programmes comme ChatGPT ne sont pas de l’intelligence.
    L’intelligence, ça veut dire avoir la capacité de savoir ou de comprendre quelque chose, au moins dans un domaine réduit. Mais plus que rien.

    ChatGPT, lui, ne comprend rien. Il n’a aucune intelligence. Il manipule des phrases sans les comprendre. Il n’a aucune idée sémantique de la signification des mots qu’il produit. C’est pour ça que je dis que ce n’est pas de l’intelligence.

    En revanche, il existe des programmes qui comprennent vraiment dans un domaine restreint.
    Par exemple, certains peuvent analyser une image et dire si elle montre des cellules cancéreuses, ou bien identifier un insecte : est-ce une guêpe en train d’attaquer des abeilles ? C’est un vrai problème dans certains pays. Ce sont des immigrants vraiment dangereux.
    Ces programmes, dans leur petit champ, comprennent aussi bien qu’un humain. Je les appelle donc de l’intelligence artificielle.

    Mais les LLM, les grands modèles de langage, ne comprennent rien. Il faut insister pour ne pas les appeler « intelligence artificielle ». C’est uniquement une campagne de marketing destinée à vendre des produits, et malheureusement presque tout le monde l’accepte. Cette confusion fait déjà des dégâts dans la société.

    En dehors de ça, si tu veux utiliser un LLM, il faut avoir les quatre libertés essentielles. Tu dois pouvoir l’exécuter dans ton propre ordinateur, pas l’utiliser dans le serveur de quelqu’un d’autre, parce que dans ce cas-là c’est lui qui choisit le programme, et si le programme est libre, c’est lui qui a le droit de le changer, pas toi. Et si tu l’exécutes chez toi mais que tu n’as pas le droit de le modifier, ni de l’utiliser comme tu veux en liberté, évidemment c’est injuste. Donc je ne dis pas que les LLM sont essentiellement injustes, mais normalement ils ne respectent pas la liberté des utilisateurs, et ça, c’est injuste.

    Et il faut bien reconnaître aussi ce qu’ils ne sont pas capables de faire : ils ne comprennent pas, ils ne savent pas.

    Stéphane :
    Oui, c’est vrai que c’est du marketing de les appeler « intelligence artificielle ». Mais beaucoup de gens y trouvent un usage utile. Je pense par exemple à la traduction, qui donne parfois des résultats corrects. Donc si les gens veulent utiliser des LLM, ce que tu recommandes, c’est de privilégier les modèles sous licence libre, c’est bien ça ?

    Richard Stallman :
    Oui. Nous sommes en train d’écrire comment adapter les critères du logiciel libre pour qu’ils s’appliquent aussi aux programmes d’apprentissage automatique.

    Stéphane :
    Donc ça, c’est quelque chose que la FSF va publier dans le futur ?

    Richard Stallman :
    Oui, mais ce n’est pas encore terminé.

    Stéphane :
    On arrive au bout des questions que j’avais prévues. Ça fait 40 ans que la FSF existe. Il y a eu, je pense, beaucoup d’avancées positives. Mais aujourd’hui l’informatique est partout dans nos vies, et donc la question des libertés informatiques est plus importante que jamais. Est-ce que tu aurais un message à lancer pour inciter les gens à rejoindre le logiciel libre ?

    Richard :
    Oui. D’abord, rejetez la technologie injuste : les applications non libres, celles qui identifient l’utilisateur, celles qui suivent les gens depuis ton ordinateur ou ton téléphone. Cherchez à remplacer chaque élément pour lequel il existe du logiciel libre, avec du chiffrement libre de bout en bout.
    Rejetez aussi les objets censés être « chez toi » mais qui t’écoutent, rejetez les produits où les commandes passent par le serveur du fabricant qui espionne tout, et résistez aux systèmes qui pistent leurs utilisateurs. Payez en liquide quand c’est possible.
    Et si tu es programmeur, tu peux contribuer au développement de programmes libres, et tu peux aussi t’inscrire comme membre de la FSF sur fsf.org. Regarde aussi gnu.org/help. Une chose encore : si tu travailles dans une université, invite-moi pour une conférence.

    Stéphane :
    D’accord. Et quand tu regardes ces 40 années de lutte pour le logiciel libre, est-ce que tu es satisfait de la tournure que prennent les choses aujourd’hui, de l’impact ?

    Richard :
    Non, bien sûr que non. Sous l’empire, les choses vont de pire en pire. Je ne suis pas satisfait. Parfois j’aurais pu agir plus efficacement, mais avec ce que je savais au début, je n’aurais pas su faire mieux. Mais je suis déçu de la direction que prennent les choses.

    Stéphane :
    C’est pour ça que c’est important que toutes les personnes sensibilisées contribuent autant que possible : en informant autour d’elles, en incitant à ne pas utiliser de logiciels privateurs et en aidant à passer au logiciel libre.

    Richard :
    Oui. Mais il faut aussi que les Français s’unissent pour exiger que les services numériques de l’État respectent le logiciel libre. Spécifiquement, qu’ils cessent de transmettre des programmes privateurs à exécuter sur la machine des utilisateurs, et qu’ils respectent davantage l’anonymat des individus. Parce que les données personnelles, une fois collectées dans une base, finiront par être abusées, peut-être même par l’État.

    Stéphane :
    Avec l’arrivée de Donald Trump, je sais par exemple que la fondation Mozilla a expliqué être en difficulté financière, parce qu’ils ont perdu des financements qu’ils avaient de l’État. Est-ce que la FSF est aussi victime financièrement ?

    Richard :
    Non, parce que nous ne recevions rien de l’État.

    Stéphane :
    Donc vous avez plus d’indépendance que Mozilla de base.

    Richard :
    Oui, et nous avons plus de financements grâce aux dons. C’est pour ça que je prie tout le monde d’adhérer à la FSF.

    Stéphane :
    Merci beaucoup, Richard, pour cet entretien. Donc là, on fête les 40 ans de la FSF. J’espère que pour les 50 ans, le logiciel libre sera beaucoup plus utilisé que le logiciel privateur. On verra bien.

    Richard:
    Puis-je faire un jeu de mots ?

    Stéphane:
    Bien sûr.

    Richard:
    J’adore le thé, mais je ne bois que les thés qui se dégradent avec le temps, parce que les autres sont détestables.
    Au revoir.

    Stéphane:
    Au revoir.

    Aller plus loin

    – Vidéo complète de l’entretien avec Richard Stallman (1h20)
    – Les 40 ans de la FSF sur leur site officiel
    – Programme et Livestream de la célébration

    – Source :

    https://linuxfr.org/news/40-ans-pour-l-informatique-libre-entretien-avec-richard-stallman

    –> Il y a aussi un dossier sur Richard Stallman, tout aussi intéressant ici 🙂

  • 2 Votes
    41 Messages
    287 Vues

    Ça prenait trop de place ^^

  • 0 Votes
    15 Messages
    26 Vues

    @duJambon pareil au lux, 3 langues officielles (plus le portugais présent sur pas mal de contrats ou de documents communaux^^), le luxembourgeois le français et l’allemand. bah le luxembourgeois est bcp parlé, écrit et bcp d’étrangers prennent des cours, qui sont pris d’assaut ( évidemment en majorité par ceux qui parlent déjà couramment français ou allemand ou sont des ressortissants de ces pays).

  • 0 Votes
    1 Messages
    13 Vues

    Les résultats portent un nouveau coup aux règles d’étiquetage des calories en Angleterre.

    Lorsque les restaurants sont obligés d’ajouter des étiquettes de calories à leurs menus, on pourrait penser qu’ils essaieraient de rendre leurs plats un peu plus sains – mais ils ne le font généralement pas, selon une nouvelle étude en Angleterre.

    En 2022, l’Angleterre a commencé à exiger que ses grands restaurants, pubs, cafés et fast-foods incluent des étiquettes de calories sur leurs menus, dans le but d’inciter les gens à choisir des options plus saines.

    Mais ces étiquettes ne semblent pas avoir fait une grande différence. En moyenne, le nombre de calories des menus a diminué d’environ 2 % après la mise en œuvre de cette politique, selon l’étude publiée dans la revue BMJ Public Health.

    Cela se traduit par un « impact modeste à limité sur la santé de la population », ont conclu les chercheurs des universités du Royaume-Uni.

    Les résultats portent un nouveau coup aux règles d’étiquetage des calories, que les défenseurs avaient salué comme une étape bienvenue pour lutter contre l’obésité. L’année dernière, une autre étude a révélé que les Anglais ont à peine changé leurs habitudes après l’adoption de la politique, consommant un nombre comparable de calories à l’extérieur.

    Prendre fréquemment des repas à l’extérieur est lié à l’obésité, qui augmente le risque de diabète de type 2, de maladies cardiaques et de plusieurs cancers.

    Les chercheurs avaient supposé que les étiquettes de calories pourraient inciter les restaurants à adopter une approche de « santé en catimini » en réduisant progressivement la quantité de sucre et de sel dans leurs aliments sans que leurs clients ne s’en aperçoivent.

    La nouvelle étude, qui a inclus plus de 31 000 articles de menu provenant de 78 chaînes avant et après la mise en place de la politique, a prouvé que cette hypothèse était erronée.

    En ne regardant que les aliments vendus avant et après l’entrée en vigueur de la politique, le nombre de calories est resté relativement stable. Cependant, il y a eu une réduction notable des calories pour les boissons gazeuses, les boissons non alcoolisées et les hamburgers.

    Il y avait également des différences selon le type d’établissement. Les lieux de sport et de divertissement ont enregistré la plus grande baisse de calories (13,5 %), suivis par les pubs (9 %) et les restaurants (5 %).

    Cela s’explique en grande partie par le retrait de certains aliments et boissons riches en calories de leurs menus, et l’ajout d’options moins caloriques – bien que pas suffisamment pour faire une différence significative dans l’ensemble.

    « Nous avons trouvé plus de preuves de changements de menu que de reformulation, avec des articles retirés des menus ayant une énergie plus élevée que les articles continus », ont déclaré les chercheurs.

    Ils ont déclaré que c’est pourquoi les politiques d’étiquetage des calories peuvent être moins efficaces que, par exemple, la taxe sur les boissons sucrées du Royaume-Uni, qui a incité les fabricants à modifier leurs recettes et à réduire la teneur en sucre.

    Les derniers résultats surviennent alors que l’Angleterre et le Royaume-Uni en général sont confrontés à une épidémie croissante d’obésité. On estime que 26,5 % des adultes en Angleterre sont obèses, reflétant une « tendance à la hausse » par rapport à il y a dix ans, selon les données de santé nationales.

    Parallèlement, parmi les personnes âgées de 16 ans et plus, seulement 31,3 % déclarent manger au moins cinq portions de fruits et légumes par jour.

    Le gouvernement britannique affirme que si sa population réduisait de seulement 50 calories par jour, cela pourrait sortir 2 millions d’adultes et 340 000 enfants de l’obésité.

    Source: https://fr.euronews.com/sante/2025/10/09/les-regles-sur-letiquetage-des-calories-dans-les-menus-nincitent-pas-les-restaurants-a-cha

    Il ne me semble pas non plus que la campagne “Fumer, Tue”, aie produit beaucoup d’effets.

  • Trump Make America Great Again, again

    1k
  • 0 Votes
    3 Messages
    29 Vues

    @Violence Je médite planifie une escroquerie dans ce beau pays 😉

    Sans me casser le cul, merci chatgpt.

  • Nouveau quinquennat pour Nicolas Sarkozy

    73
    0 Votes
    73 Messages
    592 Vues

    J’aime bien le “Au Revoir” de Giscard 😁

  • 0 Votes
    51 Messages
    484 Vues

    @Aurel Tu as raison, sûr de moi j’avais pas googlé, ça doit être le côté nature qui m’a fait attribuer le BNB au Costa Rica.

  • Propagande contre esprit critique

    9
    3 Votes
    9 Messages
    115 Vues

    @michmich
    Absolument d’accord avec toi, l’Europe traine trop par rapport à la situation.

  • La Boîte de Skinner appliquée aux réseaux sociaux

    2
    1 Votes
    2 Messages
    39 Vues

    Ce forum est un réseau social hein ?
    Du coup, on attend les post “récompenses” de violence et toi…
    ça va être dur de faire du profit hein !

    AAAHHHHhhhhh j’ai compris !!!
    C’est le topic darkiworld !

    [edit]
    Sinon, j’aime bien cette chaine “ethique et tac” qui va te prendre une partie d’une interview / conférence pour mettre en exergue un sujet en particulier.

  • 4 Votes
    3 Messages
    61 Vues

    @duJambon a dit dans Voici les principales arnaques à la cryptomonnaie à éviter :

    «Dépeçage de cochon»

    Ils payeront pour ça, non mais ho, total soutien.

    https://coinmarketcap.com/fr/currencies/pig-finance/

  • 0 Votes
    5 Messages
    46 Vues

    Réponse classique…

    L’Obamacare, n’est pas vraiment la Sécu.
    C’est une rustine sur un système privé, une réforme partielle du système US, qui garde une base privée : assureurs privés obligés de couvrir, subventions publiques, élargissement de Medicaid.

    À l’époque, beaucoup d’Américains y étaient en effet opposés… Mais il faut se demander pourquoi. Et surtout c’était il y a plus de 10 ans.
    C’était surtout parce qu’on leur racontait que c’était du “communisme médical” et en particulier de campagnes massives de désinformation.

    Résultat aujourd’hui soit un peu plus de 10 ans après : une majorité ne veut plus y toucher, et le débat là-bas porte carrément sur un vrai système public de type “Medicare for all”.

    Donc ton grand argument, c’est de citer… le seul pays développé qui n’a toujours pas de sécu universelle ? Les États-Unis sont un contre-exemple, pas un modèle : là-bas, un cancer peut te coûter ta maison. Pas étonnant qu’une majorité d’Américains réclament aujourd’hui l’extension d’Obamacare ou un vrai “Medicare for all”.

    Mais revenons en au point de départ : en Europe et dans le monde développé, la protection sociale existe presque partout.

  • Règles/sécurité des IA = facile à contourner ?

    10
    0 Votes
    10 Messages
    149 Vues

    @michmich a dit dans Règles/sécurité des IA = facile à contourner ? :

    Pour contourner une I.A. il suffit de réfléchir! :ahah:

    a man with glasses and the name malynx on the bottom

  • 0 Votes
    9 Messages
    133 Vues

    @duJambon ils sont plutôt BDSM ? :unsure_couettes:

  • 0 Votes
    2 Messages
    45 Vues

    Technologiquement on sait faire tout ça, y compris en France (voir les start-up Dioxycle, Elyse Energy, Fermentalg, pour ne citer qu’elles) ou à l’échelle internationale LanzaTech, ou Twelve. Le problème est plutôt d’ordre économique me semble t-il (tant qu’il y a des subventions cela fonctionne…)

    Après, si j’osais, je relèverais le fait que la Chine n’est pas, en la matière (volonté de décarbonation), le meilleur élève mondial, loin de là 😉

  • Besoin de clés pour ESET ?

    11
    0 Votes
    11 Messages
    95 Vues

    @PouetPouet oui c’est bien pour un an complet, jour pour jour, je l’utilise depuis des années 😉

    c’est juste que c’est le marché gris, ce sont des licences destinées à se retrouver utilisées dans un autre pays 😉

  • 2 Votes
    1 Messages
    18 Vues

    En bref :

    – Mathématicien converti au reverse engineering, Thomas Dullien alias Halvar Flake a révolutionné le domaine avec BinDiff, un outil graphique de comparaison de binaires

    – Fondateur de zynamics, primé en 2006, acquis par Google en 2011, il découvre le Rowhammer, une faille hardware majeure exploitée depuis le navigateur. Un véritable coup de tonnerre dans la sécurité.

    – Aujourd’hui, il continue d’innover : après Google, il co-fonde Optimyze (racheté par Elastic), puis devient Venture Partner chez eCAPITAL, alliant performance logicielle et investissements stratégiques.

    Pour ce dernier article de ma série de l’été, je vais vous raconter l’histoire d’un type absolument génial que vous ne connaissez peut-être pas mais qui, lui aussi, a mis sa pierre à l’édifice de la sécurité informatique. Thomas Dullien, plus connu sous le pseudo “Halvar Flake”, c’est un peu le MacGyver du reverse engineering, sauf qu’au lieu de désamorcer des bombes avec un trombone, il désamorce des malwares avec des graphes mathématiques.

    Ce gars est surtout à l’origine de BinDiff , un outil légendaire capable de comparer des binaires, très utile par exemple pour comprendre ce que Microsoft a patché dans une mise à jour de sécurité. Cet outil peut vous sortir une analyse graphique qui vous montre exactement où se trouvent les différences entre l’ancienne et la nouvelle version. À l’époque, en 2005, cet outil c’était comme avoir des super-pouvoirs.

    Mais commençons par le début. Thomas Dullien, c’est un mathématicien allemand qui a grandi à une époque où Internet commençait tout juste à exploser. Le gars était destiné à devenir avocat, mais à la dernière minute, il change d’avis et s’inscrit en maths à l’Université de Bochum. Best decision ever, comme on dit. Il finit par obtenir son Master en mathématiques en 2008, après avoir commencé un doctorat qu’il abandonne pour se concentrer sur son entreprise.

    Son pseudo “Halvar Flake” vient d’un personnage de dessin animé. C’est le chef d’un village viking dans la série télé “Vicky le Viking”. Et l’anecdote est géniale quand il l’explique :

    J’étais petit, gros, j’avais des cheveux longs, et je buvais beaucoup de bière, alors les gens m’appelaient Halvar,

    raconte-t-il avec humour. Bon, aujourd’hui le nom est resté même si la description ne colle plus vraiment !

    Dans les années 90, alors qu’il est encore adolescent, Thomas commence à s’intéresser au reverse engineering et à la gestion des droits numériques (DRM). À l’époque, c’est le Far West total. Les protections logicielles sont simplistes, les entreprises pensent que leur code est impénétrable, et de petits génies comme lui s’amusent à démonter tout ça pièce par pièce. Il écrit même son premier fuzzer à 19 ans, mais refuse de l’utiliser lui-même par fierté… en vrai il préfère trouver les bugs en lisant le code ! Des années plus tard, il admettra que c’était stupide et que le fuzzing est quand même une technique incroyablement efficace.

    En 2000, à seulement 19-20 ans, il fait alors sa première présentation à Black Hat Amsterdam sur “Auditing binaries for security vulnerabilities”. En réalité, il voulait rencontrer un pote du Sri Lanka mais aucun des deux n’avait les moyens de payer le billet d’avion alors ils ont décidé de faire une présentation à la même conférence. C’est donc comme ça qu’il commence sa carrière de formateur en reverse engineering… une carrière qui durera plus de 20 ans.

    Pendant les années qui suivent, Halvar devient alors LA référence en matière de reverse engineering. Il développe des techniques révolutionnaires comme l’exploitation des tas Windows ( heap exploitation ), le patch diffing (comparer des versions patchées et non patchées de logiciels), et plein d’autres trucs que les chercheurs en sécurité utilisent encore aujourd’hui. Il donne des talks sur l’analyse binaire basée sur les graphes à Blackhat USA 2002, Blackhat Asia 2002, et CanSecWest 2002, où il se plaint déjà qu’IDA Pro ne gère pas bien les fonctions non-contiguës !

    Mais son coup de génie, c’est au printemps 2004 quand il fonde SABRE Security, qui deviendra rapidement zynamics. L’idée c’est qu’au lieu de comparer les binaires octet par octet comme tout le monde, il utilise la théorie des graphes. En gros il faut voir ça comme une carte routière avec des intersections (les fonctions) et des routes (les appels entre fonctions). Et chaque programme a la sienne. BinDiff compare alors ces cartes pour trouver les différences.

    Cette approche est innovante parce qu’elle fonctionne même si les programmes sont compilés avec des options différentes ou des compilateurs différents. Entre la publication DIMVA de 2004 et début 2005, Rolf Rolles, un autre génie du reverse engineering, contribue au projet avec de nouvelles idées qui améliorent grandement la capacité de BinDiff à matcher les blocs de base.

    Puis en 2005, ils publient ensemble “Graph-based comparison of executable objects” au SSTIC… une présentation que Thomas donne en français et qu’il décrit comme “la seule présentation de conférence que j’ai jamais donnée en français. Et parce que j’étais terrifié, c’est probablement aussi celle que j’ai le plus répétée de ma vie”.

    En 2006, coup de tonnerre : zynamics remporte le prix Horst Görtz, avec une récompense de 100 000 euros, pour leur technologie de classification de malwares. C’est à l’époque le plus gros prix privé en sciences naturelles d’Allemagne ! Ce prix récompense leur travail sur la similarité de code basée sur les graphes et cet argent leur permet de rester indépendants sans avoir besoin de capital-risque. “Le capital-risque était trop restrictif”, explique Thomas, qui finissait alors son Master tout en dirigeant l’entreprise.

    L’entreprise grandit alors jusqu’à une douzaine d’employés, tous des ninjas du reverse engineering. Ils développent non seulement BinDiff, mais aussi BinNavi (essentiellement un IDE pour le reverse engineering centré sur la visualisation interactive de graphes, l’analyse de couverture et le débogage différentiel) et VxClass , qu’ils décrivent comme “un laboratoire d’analyse antivirus dans une boîte”.

    L’impact de BinDiff sur l’industrie est énorme. Le nom devient même un verbe… les gens disent “je vais bindiff ça” pour dire qu’ils vont comparer deux binaires. C’est un peu comme quand on dit “googler”… alors quand votre outil devient un verbe, vous savez que vous avez réussi !


    – Thomas Dullien

    Mais l’histoire prend un tournant dramatique en juillet 2007. Halvar arrive aux États-Unis pour donner sa formation annuelle à Black Hat Las Vegas, une formation qu’il donne depuis 7 ans sans problème. Mais cette fois, catastrophe, les douanes américaines trouvent ses supports de présentation dans ses bagages et le retiennent pendant 4 heures et demie. “Si vous allez faire du profit en tant que conférencier individuel, vous avez besoin d’un visa différent”, lui disent-ils. Le problème c’est qu’il avait un contrat avec Black Hat Consulting en direct en tant qu’individu, pas en tant que représentant de son entreprise.

    L’ironie de la situation c’est que la plupart des participants à ses formations sont des employés du gouvernement américain ! Mais ça ne change rien et ils le renvoient en Allemagne sur le prochain vol. “Vous n’avez aucun droit, parce que techniquement vous n’êtes pas encore dans le pays”, lui ont-ils dit. Le programme d’exemption de visa lui est désormais interdit à vie. La communauté Black Hat est furieuse, mais Thomas reste philosophe… il finit par obtenir un visa business et revient l’année suivante, plus fort que jamais.

    VxClass devient alors rapidement le produit phare de zynamics. C’est une infrastructure capable de traiter automatiquement les nouveaux malwares en les classifiant automatiquement en familles en utilisant l’analyse de graphes de flux de contrôle. L’outil peut générer des signatures privées en octets (au format ClamAV) pour toute une famille de malwares. VxClass peut par exemple, à partir de 160 extraits de malwares, les classifier automatiquement comme une seule famille et générer un seul pattern pour trouver chaque variante. Mandiant annonce même l’intégration avec VxClass dans leur logiciel de forensique mémoire Memoryze.


    – Le chevauchement de 2 malwares de la même “famille”

    Et en mars 2011, Google rachète zynamics. C’est la consécration ! C’est d’ailleurs probablement VxClass qui intéresse le plus Google dans ce deal, étant donné l’intérêt de l’entreprise pour classifier les malwares et les sites malveillants. Le prix de BinDiff passe alors de plusieurs milliers de dollars à seulement 200 dollars. Google veut démocratiser ces outils de sécurité, et Halvar se retrouve propulsé dans la cour des grands avec le titre de Staff Engineer.


    – Illustration du principe de l’attaque Rowhammer

    Chez Google, il travaille d’abord sur l’intégration et le scaling de sa technologie, puis il retourne à la recherche [censored] et dure et c’est là qu’il tombe sur quelque chose d’absolument dingue : le Rowhammer.

    Le Rowhammer avait été découvert en juin 2014 par des chercheurs de Carnegie Mellon et Intel Labs (Yoongu Kim et ses collègues) dans leur papier “Flipping Bits in Memory Without Accessing Them”. Mais là où les académiques voient un problème de fiabilité, Thomas et Mark Seaborn de l’équipe Project Zero de Google voient une faille de sécurité monumentale.

    Le Rowhammer, c’est une de ces découvertes qui font dire “mais comment c’est possible ?!”. En gros, imaginez que la mémoire de votre ordinateur est comme un parking avec des places très serrées. Si vous ouvrez et fermez la portière de votre voiture des milliers de fois très rapidement (on appelle ça “marteler” une ligne de mémoire), les vibrations peuvent faire bouger les voitures garées à côté (les bits dans les lignes adjacentes). Plus concrètement, quand on accède sans arrêt à une même zone de la mémoire, ça crée des perturbations électriques qui peuvent modifier les données stockées juste à côté… un peu comme si l’électricité “débordait” sur les zones voisines.

    En mars 2015, Thomas et Mark publient alors leur exploit sur le blog de Project Zero. Les contributions techniques de Thomas incluent une méthode pour attaquer la mémoire des deux côtés en même temps (le “double-sided hammering”… imaginez-vous en train de marteler un mur par les deux faces pour le faire céder plus vite) et une technique astucieuse (le “PTE spraying”) pour transformer cette faille en véritable exploit, même s’il admet modestement que Mark a fait 90% du travail.

    Ils surnomment même affectueusement le premier ordinateur où l’exploit fonctionne “Flippy the laptop” ! Leur exploit fonctionne donc en utilisant le row hammering pour induire un bit flip (une inversion de bit) dans une entrée de table de pages (PTE) qui la fait pointer vers une page physique contenant une table de pages appartenant cette fois au processus attaquant. Ça donne alors au processus attaquant un accès en lecture-écriture à une de ses propres tables de pages, et donc à toute la mémoire physique. Les chercheurs rapportent des bit flips avec seulement 98 000 activations de lignes !

    La présentation de leurs résultats à Black Hat 2015 fait alors l’effet d’une bombe. Hé oui, une faille qui existe dans pratiquement toute la RAM moderne, qui ne peut pas être patchée par du logiciel, et qui peut être exploitée même depuis JavaScript dans un navigateur ! C’est le cauchemar ultime des responsables sécurité. Cette découverte devient alors le point d’origine de toute une famille d’attaques hardware (RowPress, Half-Double, etc.).

    En août 2015, Halvar reçoit le Pwnie Award pour l’ensemble de sa carrière. C’est l’Oscar de la sécurité informatique, avec un jury de chercheurs en sécurité renommés qui sélectionne les gagnants. Et ces derniers reçoivent des trophées “My Little Pony” dorés ! À seulement 34 ans, il est alors décrit comme un “gourou du reverse engineering ayant déjà révolutionné le domaine plusieurs fois”.


    – Le fameux trophée Pwnie Award - un “My Little Pony” doré remis aux légendes de la sécurité informatique

    Quoi qu’il en soit, cette découverte du Rowhammer change profondément la vision de Thomas sur l’informatique. Il se passionne pour la physique informatique, c’est-à-dire ce qui se passe réellement dans le processus de fabrication des puces. “C’est le plus grand spectacle sur Terre”, dit-il, et tire plusieurs leçons importantes. La première c’est qu’on a besoin d’une vraie théorie de l’exploitation. Aussi, que le hardware n’est pas correctement analysé pour anticiper tout ce qui pourrait arriver de pire, et enfin que la recherche sur les défauts des puces dus aux variations de fabrication est extrêmement intéressante.

    Après un congé sabbatique d’un an, il retourne alors chez Google en 2016 et rejoint Project Zero, l’équipe d’élite qui cherche les failles zero-day. Son travail se concentre sur la découverte automatique de fonctions de bibliothèques liées statiquement dans les binaires et sur des recherches de similarité ultra-efficaces sur d’énormes quantités de code.

    Mais en janvier 2019, nouveau virage à 180 degrés. Thomas quitte Google et co-fonde Optimyze. Cette fois, il change complètement de domaine : fini la sécurité, place à la performance et à l’économie du cloud ! Après 20 ans passés à casser des trucs, il décide de les rendre plus efficaces.

    L’idée d’Optimyze est géniale puisqu’avec la fin de la loi de Moore et le passage au SaaS/Cloud, l’efficacité logicielle redevient super importante. Leur produit est un profileur continu multi-runtime qui peut s’installer sur des milliers de machines Linux et vous dire exactement où votre flotte dépense ses cycles CPU, jusqu’à la ligne de code, peu importe le langage (C/C++, Java, Ruby, PHP, Perl, Python, etc.). Le tout avec une technologie eBPF qui permet un déploiement sans friction.

    Thomas remarque en effet qu’il y a, je cite, “une quantité énorme de calculs inutiles partout”. Avec les coûts du cloud qui explosent et l’attention croissante sur le CO2 et l’efficacité énergétique, aider les entreprises à optimiser leur code devient crucial.

    Avec la fin de la loi de Moore et de Dennard scaling, combinée avec le passage au cloud et la transformation digitale continue de la société, l’efficacité computationnelle va recommencer à compter

    En octobre 2021, Elastic rachète Optimyze. Leur idée c’est de combiner le profiling continu d’Optimyze avec les capacités d’analyse et de machine learning d’Elastic pour offrir une observabilité unifiée. Thomas devient alors Distinguished Engineer chez Elastic, où il continue à travailler sur l’efficacité à grande échelle.

    Début 2024, après avoir intégré Optimyze dans l’écosystème Elastic, Thomas annonce à nouveau qu’il quitte l’entreprise pour prendre une pause prolongée. Il veut se reposer, et se consacrer à sa famille, sa santé et l’écriture. Mais il ne reste pas inactif longtemps puisque depuis 2019, il est aussi Venture Partner chez eCAPITAL, où il se concentre sur les investissements en cybersécurité et technologies climatiques. Enfin, depuis 2025, il dirige avec Gregor Jehle le groupe de projet Engineering au CNSS e.V.

    Ces dernières années, on le voit donner des conférences passionnantes. Par exemple à QCon London en mars 2023, où il présente “Adventures in Performance”. Il y explique comment les choix de design des langages impactent les performances. Notamment comment la culture monorepo de Google et la culture “two-pizza team” d’Amazon affectent l’efficacité du code, et pourquoi la variance statistique est l’ennemi.

    À ISSTA 2024 en septembre à Vienne, il donne une keynote intitulée “Reasons for the Unreasonable Success of Fuzzing”, où il analyse pourquoi le fuzzing marche si bien alors que théoriquement, ça ne devrait pas. Il raconte notamment comment dans la culture hacker des années 90, le terme “fuzz-tester” était utilisé comme une insulte pour ceux qui ne savaient pas trouver des bugs en lisant le code.

    Ce qui est fascinant avec Thomas Dullien, c’est surtout sa capacité à voir les problèmes sous un angle complètement différent. Là où d’autres voient des bugs, il voit des opportunités. Là où d’autres voient de la complexité, il voit de jolis graphes. Là où d’autres voient des problèmes de fiabilité hardware, il voit des failles de sécurité. C’est cette vision unique qui lui a permis de faire progresser ses domaines de prédilection.

    Son approche de l’enseignement est aussi unique. Ses formations Black Hat étaient limitées à 18 étudiants maximum, avec des prérequis techniques élevés et aujourd’hui, Thomas continue d’influencer l’industrie. Que ce soit par ses recherches, ses talks, ou les outils qu’il a créés, son impact est partout. BinDiff est maintenant open source et supporte IDA Pro, Binary Ninja et Ghidra. Le Rowhammer a donné naissance à toute une famille d’attaques hardware et les idées d’Optimyze sur l’efficacité logicielle deviennent de plus en plus pertinentes avec la crise climatique.

    Voilà l’histoire de Thomas Dullien. C’est l’histoire d’un gars qui a su transformer sa curiosité en innovations. Une chose est sûre, quand Halvar Flake s’intéresse à quelque chose, l’industrie entière devrait y prêter attention. Que ce soit pour casser des trucs, les analyser, ou les rendre plus efficaces, il trouve toujours un angle nouveau que personne n’avait anticipé.

    – Sources : Site personnel de Thomas Dullien , Google Project Zero - Exploiting the DRAM rowhammer bug , Black Hat Archives - 2007 US Entry Denial Incident , Silver Bullet Podcast - Interview with Halvar Flake , Elastic acquiert Optimyze , ISSTA 2024 - Keynote on Fuzzing , QCon London 2024 - Adventures in Performance , Heise - Horst Görtz Prize 2006 , Dark Reading - Pwnie Awards 2015 , OffensiveCon - Halvar Flake Biography , eCAPITAL - Thomas Dullien Venture Partner , GitHub - BinDiff Open Source , zynamics - BinDiff , Intel Technology Podcast - Interview with Thomas Dullien , Wikipedia - Row hammer

    https://korben.info/thomas-dullien-halvar-flake-reverse-engineering.html

  • 1 Votes
    1 Messages
    29 Vues

    En bref :

    – Comment une CSO diplômée en… composition musicale a laissé 147 millions d’Américains à poil avec des mots de passe “admin/admin”.

    – Les espions chinois qui ont aspiré la moitié des États-Unis pendant que le certificat SSL dormait depuis 10 mois.

    – Le PDG qui empoche 90 millions après le pire hack de l’histoire pendant que les victimes touchent 7 dollars chacune.

    Je me souviens encore de ce 7 septembre 2017 quand j’ai vu l’annonce du hack d’Equifax débouler dans mes flux RSS. 143 millions d’Américains touchés avec leurs numéros de sécurité sociale, leurs dates de naissance, leurs adresses…etc… tout était dans la nature. Mais le pire dans cette histoire, c’est que ce n’était pas juste une faille technique. C’était un concentré de négligence, d’incompétence et de cupidité qui allait devenir le cas d’école de tout ce qu’il ne faut pas faire en cybersécurité. Trêve de blabla, je vous raconte tout ça tout de suite !

    Pour comprendre l’ampleur du désastre, il faut d’abord comprendre ce qu’est Equifax. Fondée en 1899 sous le nom de Retail Credit Company (oui, cette entreprise est plus vieille que le FBI), c’est l’une des trois grandes agences de crédit américaines avec Experian et TransUnion. Ces entreprises collectent des informations sur pratiquement tous les Américains adultes telles que l’historique de crédit, dettes, paiements, emplois… Bref, tout ce qui permet de calculer votre score de crédit, ce fameux nombre qui détermine si vous pouvez avoir un prêt, louer un appartement, ou même décrocher certains jobs.

    Le truc avec Equifax, c’est que vous n’avez jamais demandé à être leur client. Ils collectent vos données que vous le vouliez ou non. En 2017, ils avaient des dossiers sur environ 820 millions de consommateurs dans le monde, dont 147 millions rien qu’aux États-Unis. C’est comme si une entreprise privée détenait le dossier médical de chaque citoyen, sauf que là, c’est votre vie financière. John Oliver l’a parfaitement résumé pendant son émission : “Nous ne sommes pas les clients d’Equifax. On n’est pas le gars qui achète le bucket de poulet… On est les putains de poulets !”

    Richard Smith en était le CEO depuis 2005. Un vétéran de General Electric où il avait passé 22 ans, grimpant les échelons jusqu’à devenir Corporate Officer en 1999. Diplômé de Purdue University en 1981, Smith était le parfait exemple du CEO corporate américain : costard impeccable, sourire Colgate et salaire de base de 1,45 million de dollars par an, plus des bonus qui pouvaient tripler ce montant. Sous sa direction, Equifax était devenue une machine à cash, avec des revenus dépassant les 3 milliards de dollars par an et une capitalisation boursière qui était passée de 3 à 20 milliards.

    Mais derrière cette façade de réussite, l’infrastructure IT de l’entreprise était un véritable château de cartes…


    – Richard Smith lors de son témoignage devant le Congrès américain en octobre 2017

    Tout commence donc le 7 mars 2017. Ce jour-là, Apache Software Foundation publie un bulletin de sécurité critique estampillé CVE-2017-5638. C’est une vulnérabilité dans Apache Struts, un framework Java utilisé par des milliers d’entreprises pour leurs applications web. La faille est sérieuse car elle permet l’exécution de code à distance via une manipulation du header Content-Type dans les requêtes HTTP. En gros, un hacker peut injecter des commandes OGNL (Object-Graph Navigation Language) et prendre le contrôle total du serveur.

    Bref, si vous avez une application vulnérable exposée sur Internet, n’importe qui peut devenir root sur votre machine…

    Apache publie alors un patch le jour même. C’est là que les choses deviennent intéressantes car le 8 mars, le Department of Homeland Security envoie une alerte à toutes les grandes entreprises américaines, dont Equifax. “Patchez immédiatement”, dit le message. Le 9 mars, l’équipe sécurité d’Equifax fait suivre l’alerte en interne avec pour instruction de patcher tous les systèmes vulnérables sous 48 heures. Graeme Payne, le Chief Information Officer responsable des plateformes globales, supervise l’opération.

    Sauf que voilà, Equifax, c’est une entreprise avec des milliers de serveurs, des centaines d’applications, et une dette technique monumentale. Le portail ACIS (Automated Consumer Interview System) datant des années 1970, et utilisé pour gérer les litiges des consommateurs sur leur crédit, tourne aujourd’hui sur une vieille version d’Apache Struts, et devinez quoi ? Personne ne le patche. Les scans de sécurité lancés le 15 mars ne trouvent rien.

    Pourquoi ?

    Et bien parce que l’outil de scan n’était pas configuré pour vérifier le portail ACIS. En gros, c’est comme chercher ses clés partout sauf dans la poche où elles sont.


    – Apache Struts, le framework vulnérable au cœur du hack d’Equifax

    Le 10 mars 2017, trois jours après la publication du patch, les premiers hackers frappent. Ce ne sont pas encore les gros poissons, juste des opportunistes qui scannent Internet avec des outils automatisés. Des kits d’exploitation de CVE-2017-5638 circulent déjà sur le dark web, et Metasploit a même sorti un module le 7 mars à 6h21 UTC. Les premiers intrus trouvent alors le portail ACIS d’Equifax grand ouvert.

    Les logs montreront plus tard que ces premiers hackers étaient probablement des amateurs. Ils se baladent un peu dans le système, réalisent qu’ils sont chez Equifax, mais ne vont pas plus loin. Pourquoi ? Probablement parce qu’ils ne réalisent pas la mine d’or sur laquelle ils sont tombés. Ou peut-être qu’ils ont eu peur. Toujours est-il qu’ils font ce que font tous les petits hackers quand ils trouvent un gros poisson : ils vendent l’accès.

    C’est là qu’entrent en scène nos véritables protagonistes : l’unité 54th Research Institute de l’Armée Populaire de Libération chinoise. Wu Zhiyong, Wang Qian, Xu Ke et Liu Lei. Quatre officiers de l’armée chinoise spécialisés dans le cyber-espionnage économique. Ces types, c’est pas des script kiddies qui utilisent des outils trouvés sur GitHub. Non, ils font partie de l’élite cyber de la Chine, formés et financés par l’État pour voler les secrets économiques de l’Occident. Le 54th Research Institute, c’est le cousin moins connu mais tout aussi dangereux de la fameuse Unit 61398 (APT1) basée à Shanghai dont je vous parlais il y a quelques jours.

    Les hackers chinois commencent leur travail mi-mai. Ils sont méthodiques, patients. D’abord, ils installent 30 web shells, des portes dérobées qui leur permettent de revenir quand ils veulent. Puis ils commencent à explorer le réseau. Et c’est là qu’ils tombent sur le jackpot, un truc tellement énorme qu’ils ont dû se pincer pour y croire.

    Dans un répertoire non protégé, ils trouvent un fichier texte. Un simple fichier texte contenant… les identifiants et mots de passe de dizaines de serveurs. En clair. Pas chiffrés. Juste là, comme ça…

    Parmi ces identifiants, plusieurs utilisent la combinaison sophistiquée “admin/admin”. Oui, vous avez bien lu. Une entreprise qui gère les données financières de 147 millions d’Américains utilisait “admin” comme nom d’utilisateur et “admin” comme mot de passe. C’est le genre de truc qu’on voit dans les films où on se dit “c’est trop gros, personne n’est aussi con”. Eh bien si.

    Mais attendez, ça devient encore mieux.

    Susan Mauldin, la Chief Security Officer d’Equifax à l’époque n’a aucun background en sécurité informatique. Elle a juste un Bachelor et un Master en… composition musicale de l’Université de Géorgie. Oui, la personne responsable de la sécurité des données de 147 millions d’Américains avait fait des études de musique. Certes, elle avait travaillé chez HP, SunTrust Banks et First Data avant d’arriver chez Equifax en 2013, mais son profil LinkedIn (qu’elle a rapidement rendu privé après le hack en changeant son nom en “Susan M.”) ne mentionnait aucune formation en sécurité. Dans une interview supprimée depuis, elle avait déclaré :

    On peut apprendre la sécurité.

    Visiblement, pas assez bien…

    Avec ces identifiants “admin/admin”, les hackers peuvent maintenant se balader dans le réseau d’Equifax comme chez eux. Ils accèdent à trois bases de données ACIS, puis à 48 autres bases de données. Au total, ils vont exécuter plus de 9 000 requêtes SQL sur une période de 76 jours. Plus de deux mois durant lesquels nos quatre militaires chinois pillent les données les plus sensibles de la moitié de la population américaine, et personne ne s’en aperçoit.

    Mais comment c’est possible ? Comment une entreprise de cette taille peut-elle ne pas voir que des téraoctets de données sortent de ses serveurs ? Et bien la réponse tient en deux mots : certificat expiré.

    Equifax avait bien des outils de monitoring réseau. Des trucs sophistiqués qui analysent le trafic, détectent les anomalies, sonnent l’alarme quand quelque chose cloche. Sauf que ces outils ont besoin de déchiffrer le trafic SSL pour voir ce qui se passe. Et pour ça, il leur faut un certificat SSL valide. Sauf que le certificat d’Equifax avait expiré… 10 mois plus tôt. Personne ne l’avait renouvelé, du coup, tout le trafic chiffré passait sans être inspecté. Les hackers pouvaient donc exfiltrer des gigaoctets de données chaque jour, et c’était invisible pour les systèmes de sécurité.

    Dommage…

    Et les hackers sont malins. Ils ne veulent pas se faire repérer, alors ils procèdent méthodiquement. Ils compressent les données en petits paquets de 10 MB. Ils utilisent 34 serveurs relais dans 20 pays différents pour masquer leur origine. Ils effacent les logs au fur et à mesure. C’est du travail de pro, le genre d’opération que seul un État peut financer et organiser.

    Entre mai et juillet 2017, ils aspirent tout : 145,5 millions de numéros de sécurité sociale, 147 millions de noms et dates de naissance, 99 millions d’adresses, 209 000 numéros de cartes de crédit avec leurs dates d’expiration, 182 000 documents personnels contenant des informations sur les litiges de crédit. Sans oublier les permis de conduire de 10,9 millions d’Américains et les données de 15,2 millions de Britanniques et 19 000 Canadiens. C’est le casse du siècle, version numérique.

    Pendant ce temps, la vie continue chez Equifax. Richard Smith touche son bonus de 3 millions de dollars pour l’année 2016. Susan Mauldin, la Chief Musician Security Officer, gère la sécurité de l’entreprise tranquillou. Les affaires tournent, l’action monte. Tout va bien dans le meilleur des mondes. C’est déjà le troisième incident de sécurité majeur depuis 2015, mais bon, qui compte ?


    – L’action Equifax continuait de grimper pendant que les hackers pillaient les données

    Puis le 29 juillet 2017, un samedi, un administrateur système décide enfin de renouveler ce fameux certificat SSL expiré. Probablement un stagiaire qui s’ennuyait ou un admin consciencieux qui faisait du ménage. Dès que le nouveau certificat est installé, les outils de monitoring se remettent à fonctionner, et là, c’est la panique ! Le système détecte immédiatement du trafic suspect vers la Chine avec des gigaoctets de données qui sortent du réseau.

    L’équipe sécurité est alors appelée en urgence. Ils coupent l’accès au portail ACIS, analysent les logs (ceux qui n’ont pas été effacés), et commencent à réaliser l’ampleur du désastre. Le 30 juillet, ils appellent Mandiant, la Rolls-Royce des entreprises de sécurité informatique rachetée par FireEye, spécialisée dans les incidents de ce type et qui avait déjà enquêté sur les attaques de l’Unit 61398.

    Et le 31 juillet, Graeme Payne informe Richard Smith de la situation. Le CEO comprend immédiatement que c’est une catastrophe. Smith dira plus tard au Congrès :

    J’étais ultimement responsable de ce qui s’est passé sous ma surveillance.

    Mais au lieu d’informer immédiatement le public, la direction décide d’abord de… “gérer la situation en interne”.

    Et c’est là que l’histoire devient vraiment sale. Le 1er et 2 août, alors que seule une poignée de dirigeants connaît l’ampleur de la fuite, trois executives d’Equifax vendent pour 1,8 million de dollars d’actions. Le CFO John Gamble vend pour 946 000$, le président de l’unité US Information Solutions Joseph Loughran pour 584 000$, et le président de Workforce Solutions Rodolfo Ploder pour 250 000$. [censored] coïncidence, bien sûr.

    Plus tard, une enquête interne conclura qu’ils n’étaient pas au courant de la fuite au moment de la vente. Smith témoignera devant le Congrès :

    Nous avons notifié le FBI et engagé un cabinet d’avocats le 2 août. À ce moment-là, nous ne voyions qu’une activité suspecte. Les trois individus ont vendu leurs actions les 1er et 2 août. Nous n’avions aucune indication de brèche de sécurité à ce moment.

    Permettez-moi d’être sceptique car c’est une sacrée coïncidence de vendre ses actions juste avant l’annonce d’une catastrophe qui va faire chuter le cours de 35%.

    Pendant ce temps, Mandiant mène son enquête. Leurs experts reconstituent le puzzle, identifient la vulnérabilité Apache Struts, découvrent les fichiers de mots de passe en clair, tracent les connexions vers la Chine via les 34 serveurs relais. Le rapport est accablant : négligence à tous les niveaux, absence de segmentation réseau, données sensibles non chiffrées, monitoring défaillant, 120 millions de numéros de sécurité sociale stockés en clair, données de cartes de crédit dans des fichiers Excel sans protection. C’est un manuel de ce qu’il ne faut pas faire en sécurité informatique.

    Le 7 septembre 2017, six semaines après la découverte, Equifax annonce enfin publiquement la faille. Le communiqué est un chef-d’œuvre de langue de bois corporate :

    Equifax a subi un incident de cybersécurité potentiellement impactant environ 143 millions de consommateurs américains.

    Potentiellement ? 143 millions, c’est 44% de la population des États-Unis !

    La réaction est immédiate et brutale. L’action chute en bourse de 13% en quelques heures, passant de 142$ à 92$ en quelques jours. Les médias s’emparent de l’affaire et John Oliver dédie un segment entier de “Last Week Tonight” au désastre, expliquant que si ça n’était pas arrivé pendant une période où chaque jour les gros titres étaient “Tout Part en Couilles Encore Aujourd’hui”, le hack d’Equifax aurait été LA nouvelle du mois. Les politiciens demandent des comptes et plus de 52 000 plaintes sont déposées. Les class actions pleuvent.

    Et les 147 millions de victimes ? Elles découvrent qu’elles sont peut-être victimes d’un vol d’identité sans avoir jamais entendu parler d’Equifax.

    Mais attendez, ça devient encore pire car Equifax met en place un site web pour que les gens puissent vérifier s’ils sont affectés : equifaxsecurity2017.com. Sauf que le site est tellement mal fait que les experts en sécurité pensent que c’est un site de phishing ! Brian Krebs, expert renommé en sécurité, qualifie la réponse d’Equifax de “dumpster fire” (feu de poubelle)et un développeur, Nick Sweening, achète même le domaine securityequifax2017.com pour démontrer à quel point c’est facile de créer un site de phishing crédible.

    Et vous voulez savoir le plus drôle ?

    Le compte Twitter officiel d’Equifax tweetera huit fois le lien vers le FAUX site !

    En plus, les termes et conditions du site incluent une clause d’arbitrage qui stipule que si vous utilisez le site pour vérifier si vous êtes affecté, vous renoncez à votre droit de poursuivre Equifax en justice ! La grogne est telle qu’ils doivent retirer cette clause après quelques jours. Sans compter que le site retourne des résultats apparemment aléatoires. Par exemple, des journalistes testent avec des fausses données et obtiennent quand même des réponses.

    Le 15 septembre, à peine une semaine après l’annonce publique, Susan Mauldin, la CSO, “prend sa retraite”. David Webb, le CIO, fait de même. Et leurs profils LinkedIn disparaissent comme par magie. Même leurs interviews sont retirées d’Internet. Equifax utilise d’ailleurs le mot “retraite” plutôt que “licenciement”, ce qui signifie qu’ils partent probablement avec de confortables indemnités.

    Et le 26 septembre, c’est au tour de Richard Smith. Le CEO “prend sa retraite” lui aussi, mais contrairement à ses subordonnés, on connaît exactement ce qu’il emporte : 90 millions de dollars. Oui, vous avez bien lu. 90 millions. 72 millions pour 2017 (salaire + stocks + options), plus 18,4 millions de retraite. Pendant que 147 millions d’Américains vont devoir surveiller le montant de leurs crédits pour le reste de leur vie, lui part avec l’équivalent de 61 cents par victime.

    Techniquement, il ne touche pas de prime de départ puisqu’il “démissionne”. Mais il garde toutes ses stock-options et ses droits à la retraite. C’est beau, le capitalisme américain, quand même non ?


    – Richard Smith est parti avec un parachute doré de 90 millions de dollars

    Pendant ce temps, Graeme Payne, le CIO qui avait supervisé les scans de sécurité ratés, se fait virer le 2 octobre. Pas de retraite dorée pour lui. Il est désigné comme bouc émissaire pour ne pas avoir fait suivre un email sur la vulnérabilité Apache Struts. Dans son témoignage au Congrès, il dira : “Dire qu’un vice-président senior devrait faire suivre chaque alerte de sécurité à des équipes trois ou quatre niveaux en dessous… ça n’a aucun sens. Si c’est le processus sur lequel l’entreprise doit compter, alors c’est ça le problème.”

    L’enquête du Congrès est un spectacle en soi. Le 4 octobre 2017, pendant que Smith témoigne devant le Senate Banking Committee, une activiste nommée Amanda Werner, déguisée en Rich Uncle Pennybags (le Monopoly Man), s’assoit juste derrière lui.

    Pendant toute l’audition, elle essuie son front avec des faux billets de 100$, ajuste son monocle et twirle sa moustache. Les images deviennent virales instantanément. Werner expliquera plus tard : “Je suis habillée en Monopoly Man pour attirer l’attention sur l’utilisation par Equifax et Wells Fargo de l’arbitrage forcé comme carte ‘sortie de prison gratuite’ pour leurs méfaits massifs.”


    – Amanda Werner déguisée en Monopoly Man trollant l’audition au Sénat

    Le témoignage de Smith devant le Congrès révèle l’ampleur de l’incompétence. Les sénateurs, notamment Elizabeth Warren, le grillent sur le timing suspect des ventes d’actions et les failles de sécurité. Warren est particulièrement féroce, demandant pourquoi Equifax a obtenu un contrat de sécurité avec l’IRS après le hack.

    Le rapport du Government Accountability Office qui s’en suivra est cinglant : “Equifax n’a pas segmenté ses bases de données pour limiter l’accès, n’a pas chiffré les données sensibles, et n’a pas maintenu à jour ses certificats de sécurité.” En gros, ils ont fait absolument tout ce qu’il ne fallait pas faire. Le rapport révèle aussi que le système ACIS datait littéralement des années 1970 et n’avait jamais été vraiment modernisé.

    Mais le plus fou dans tout ça, c’est que malgré l’ampleur du désastre, les conséquences pour Equifax ont été… limitées. En juillet 2019, ils acceptent un accord avec la FTC de 575 millions de dollars, extensibles à 700 millions. Ça paraît énorme, mais divisé par 147 millions de victimes, ça fait moins de 4 dollars par personne.

    Les victimes peuvent réclamer jusqu’à 125$ en cash, ou 10 ans de monitoring de crédit gratuit. Mais y’a un hic que personne n’a vu venir… le fond prévu pour les paiements n’est que de 31 millions. Avec 147 millions de victimes potentielles, si seulement 248 000 personnes demandent les 125$, le fond est vide. Au final, 4,5 millions de personnes réclament le cash. Alors la plupart des gens qui demandent cet argent cash reçoivent… 7 dollars. Pas 21 cents comme initialement calculé par les pessimistes, mais pas 125$ non plus. Sept malheureux dollars pour avoir eu toute leur vie financière exposée.

    Pendant ce temps, Equifax se porte bien. Leur action, qui était tombée à 92$ après le hack, est remontée à plus de 240$ en 2025. Ils ont même eu le culot d’essayer de vendre des services de protection d’identité TrustedID Premier aux victimes. “Vos données ont été volées à cause de notre négligence, mais pour 19,99$ par mois, on peut surveiller si quelqu’un les utilise !” Le cynisme à l’état pur. Sans compter que les termes d’utilisation de TrustedID incluaient initialement une clause d’arbitrage forcé où en vous inscrivant, vous renonciez à votre droit de les poursuivre.

    Et les hackers chinois ?

    En février 2020, le département de Justice inculpe officiellement Wu Zhiyong, Wang Qian, Xu Ke et Liu Lei. Les charges sont fraude informatique, espionnage économique, fraude électronique. Le grand jury d’Atlanta retient neuf chefs d’accusation contre eux mais c’est symbolique car comme vous le savez, ils sont en Chine, intouchables. Ils ne seront jamais extradés ni jugés et cela même si le FBI a bien mis leurs photos sur son site “Wanted”, avec une récompense pour toute information… Mais tout le monde sait que c’est du théâtre.

    L’ironie, c’est que malgré le vol de 147 millions d’identités, y’a eu étonnamment peu de cas de fraude directement liés au hack Equifax. Une étude de Carnegie Mellon University l’a même confirmé.

    Pourquoi ? Et bien parce que les hackers étaient des espions du 54th Research Institute, et pas des criminels de droit commun. Leur but n’était donc pas de vendre les données sur le dark web ou de vider des comptes bancaires. C’était de l’espionnage d’État, probablement pour identifier des cibles potentielles pour le recrutement, des agents à retourner, ou simplement pour constituer une base de données géante sur la population américaine pour de futures opérations.

    Mais ça ne rend pas la situation moins grave, au contraire car quelque part en Chine, y’a une base de données avec les informations personnelles et financières de la moitié de la population américaine. Et ces données ne périment pas… Dans 10, 20, 30 ans, elles seront toujours utilisables puisque les numéros de sécurité sociale ne changent pas. C’est donc une épée de Damoclès permanente au-dessus de la tête de 147 millions de personnes.

    Ce hack a eu pour effet d’accélérer l’adoption de lois sur la protection des données. Le CCPA (California Consumer Privacy Act) et d’autres réglementations similaires sont en partie une réponse au hack d’Equifax. L’idée que des entreprises puissent collecter et stocker des données sensibles sans le consentement explicite des consommateurs et sans protection adéquate est devenue inacceptable. Smith lui-même a suggéré dans son témoignage de remplacer les numéros de sécurité sociale par un système plus sécurisé, proposant un “partenariat public-privé pour évaluer comment mieux protéger les données des Américains”.

    Mais fondamentalement, le modèle n’a pas changé. Equifax, Experian et TransUnion continuent de collecter les données des américains sans leur permission. Elles continuent de les vendre à qui veut payer. Et elles continuent d’être des cibles de choix pour les hackers du monde entier. D’ailleurs, hasard de la publication, TransUnion vient en 2025 d’être victime d’un hack, exposant les numéros de sécu de 4,4 millions d’américains. L’histoire se répète…

    Bref, ce hack d’Equifax, c’est l’histoire de la faillite d’un système. Un système où des entreprises privées ont un pouvoir démesuré sur des vies, sans avoir de comptes à rendre. Un système où la négligence criminelle est punie par une tape sur les doigts et un golden parachute de plusieurs millions de dollars. Un système où les victimes sont laissées à leur compte pendant que les responsables s’en tirent….

    Mais c’est aussi une leçon sur le danger de la dette technique accumulée depuis les années 1970. Sur la nécessité de régulations strictes pour protéger les données personnelles. Et surtout, sur le fait qu’aucune entreprise n’est “too big to fail” quand il s’agit de cybersécurité. Si vous pouvez être hacké avec “admin/admin”, vous méritez presque de couler, d’ailleurs…

    Aujourd’hui, en 2025, Equifax a un nouveau CEO, Mark Begor, un nouveau CISO (un vrai cette fois), Jamil Farshchi, ancien de Visa et Time Warner, et des procédures de sécurité renforcées.

    Quoiqu’il en soit, dans le monde de la collecte de données, nous ne sommes pas des clients. Nous sommes le produit. Et quand le produit est volé, c’est encore nous qui en payons encore le prix.

    Et c’est ça, le vrai scandale.

    – Sources : Rapport officiel du Congrès américain sur le breach Equifax (2018) , Inculpation du Department of Justice contre les hackers chinois (2020) , Rapport du Government Accountability Office , Témoignage de Richard Smith devant le Congrès (2017) , Analyse technique de la vulnérabilité Apache Struts CVE-2017-5638 , Settlement FTC-Equifax (2019) , Rapport Mandiant sur l’investigation forensique , Timeline détaillée du breach - CSO Online , John Oliver sur Last Week Tonight , Interview d’Amanda Werner, le “Monopoly Man”

    https://korben.info/equifax-breach-2017-histoire-complete.html

  • Palantir, l'entreprise américaine qui voit tout?

    2
    1 Votes
    2 Messages
    33 Vues

    J’aime beaucoup la référence à Tolkien

  • 0 Votes
    1 Messages
    23 Vues

    Neuf mois après les incendies qui ont ravagé Los Angeles, certains habitants n’ont toujours pas pu regagner leur logement. Si les flammes ont épargné leur maison, la fumée a laissé derrière elle un poison invisible: métaux lourds, substances cancérigènes et particules toxiques qui imprègnent murs et meubles.

    41b84c92-9a84-4743-af17-0ada3f7fdf2b-image.png
    Cette vue aérienne prise le 20 août 2025 montre des terrains résidentiels déblayés après la destruction des maisons lors de l’incendie Eaton en janvier 2025, à côté de maisons encore debout

    Karen Girard ne peut toujours pas réemménager chez elle. La fumée a imprégné les murs, le parquet et les meubles d’un cocktail toxique qui l’oblige à porter un masque chaque fois qu’elle y pénètre. Sa maison est infestée de métaux lourds, notamment du plomb, de l’arsenic ou du zinc, et de substances volatiles toxiques, parfois cancérigènes, comme du cyanure et du furfural.

    Lorsque les flammes ont rasé les pavillons voisins, mais épargné sa propriété, Mme Girard s’est d’abord crue chanceuse.
    “J’étais tellement heureuse, je me suis dit que je devrais aller acheter des billets de loterie”, raconte à l’AFP cette habitante de la banlieue d’Altadena.
    Mais elle a progressivement déchanté, au fil des analyses.
    “J’ai réalisé que même si la maison est encore là, je risque de la perdre”, sanglote la designeuse de 58 ans.

    Asthmatique, elle subit de violentes crises à chaque fois qu’elle reste trop longtemps sur place. Au point que son médecin a changé son traitement.

    04d985bc-b1d8-4900-aa76-63ec9d64d602-image.png
    Karen Girard dans sa maison à Altadena, en Californie, le 21 août 2025

    Désastre invisible

    Avec 31 morts et plus de 16.000 bâtiments détruits, les incendies de Los Angeles ont surpris par leur ampleur, ravageant la ville d’Altadena et le quartier huppé de Pacific Palisades.
    Mais au cœur des flammes couvait un autre désastre, invisible: celui de la pollution provoquée par la combustion de tant de constructions, voitures, télévisions et autres objets plastiques.

    Poussée par des rafales atteignant 160km/h, la fumée toxique s’est infiltrée sous les portes et à travers les bouches d’aération.

    “La toxicité potentielle du mélange dégagé par ces incendies est probablement beaucoup plus importante que celle des autres grands incendies que nous avons connus aux États-Unis, car ils n’ont pas touché autant de structures urbaines”, explique Michael Jerrett, professeur de sciences environnementales à l’université UCLA.

    Au printemps, son équipe a testé l’atmosphère des communautés incendiées et y a trouvé du chrome hexavalent, une forme cancérigène du chrome, à des niveaux justifiant “une vigilance accrue” des autorités.

    Ces nanoparticules ont pu être transportées jusqu’à 10 kilomètres des zones sinistrées, affectant potentiellement des dizaines de milliers de personnes, selon lui.
    “Elles sont tellement petites qu’elles peuvent entrer dans les intérieurs avec une grande efficacité”, avertit-il. “Il est vraiment important que les habitants qui veulent revenir dans leurs maisons les fassent assainir correctement.”

    Mais la prise en charge par les assurances de cette procédure prohibitive s’avère extrêmement compliquée.
    Mme Girard est ainsi engluée dans une interminable bataille d’experts.
    L’hygiéniste qu’elle a engagé recommande de remplacer tous ses meubles et objets, de traiter la charpente de sa maison et de détruire les murs pour les reconstruire.
    Mais celui mandaté par son assurance assure qu’un simple coup d’aspirateur équipé d’un filtre à air capturant les particules fines suffirait à rendre l’endroit habitable.

    Les assurances pointées du doigt

    “Comment est-ce possible?”, s’interroge la Californienne, en soupçonnant son assurance de négliger sa santé. “Pour eux, c’est une question d’argent, mais pas pour moi. C’est ma maison. C’est un endroit où je vis depuis plusieurs décennies et où je veux désespérément rentrer”, regrette-t-elle.

    “Il n’y a pas de normes claires, les compagnies d’assurance peuvent refuser ce qu’elles veulent”, enrage Jane Lawton, fondatrice de l’association Eaton Fire Residents United.

    “Ça va être comme le 11 septembre”

    Son organisation a cartographié plus de 200 tests effectués sur des habitations d’Altadena. Tous montrent divers degrés de contamination.
    “Ça va être comme le 11 septembre”, redoute Mme Lawton. Elle rappelle qu’après l’attentat à New York en 2001, le voisinage étendu du World Trade Center a souffert de maladies respiratoires chroniques et d’un taux élevé de cancers.

    Consciente du problème, la Californie a lancé en mai une task force afin d’imposer aux assurances des règles claires pour indemniser les dommages causés par la fumée.

    Premier assureur de l’Etat, State Farm souligne avoir “versé plus de 4,5 milliards de dollars” aux victimes des incendies de janvier, et “évalue chaque demande d’indemnisation, y compris celles liées à la fumée, au cas par cas”.

    Mais pour Priscilla Muñoz, cliente chez eux, l’assureur traîne des pieds. Cette habitante de Pasadena résidant à 1,5 kilomètre de la zone sinistrée a bataillé de longues semaines pour obtenir une indemnisation afin d’être hébergée ailleurs.

    L’analyse de sa maison, qu’elle a payé 10.000 dollars de sa poche, révèle notamment du plomb. La quadragénaire ne sait toujours pas si l’assurance financera une décontamination et se fait un sang d’encre pour ses deux enfants.
    “Le plomb (…) ça s’infiltre dans les affaires”, craint-elle. “Je ne veux pas qu’ils se blottissent contre des peluches toxiques.”

    Source et vidéo: https://www.7sur7.be/monde/un-desastre-invisible-los-angeles-infestee-de-maisons-toxiques-apres-les-incendies~a7bdd910/