Pour ceux qui n’en ont jamais entendu parler, il s’agit d’un roman d’anticipation, une dystopie, et probablement LA référence en la matière. Allégorie du despotisme moderne, écrit en 1949, il décrit avec vigueur ce que le XXe siècle pouvait offrir de pire. Il présente un monde en guerre permanente, sous la coupe d’un parti totalitaire en apparence inspiré du système soviétique, mais les liens avec le nazisme, et le fascisme sont tout aussi évidents : Parti unique, culte de la personnalité du chef « Big Brother », confusion volontaire des pouvoirs, plans de productions triennaux, parades et manifestations, rationnement, slogans, camps de travail, trucage de l’Histoire, propagande, etc. La liberté d’expression n’existe plus. Toutes les pensées sont minutieusement surveillées, et d’immenses affiches sont placardées dans les rues, indiquant à tous que « Big Brother vous regarde »
Tout au long de la lecture de ce roman, on ne peut s’empêcher d’y voir par extension les dérives dans lesquels nos propres gouvernements glissent subrepticement : régime policier totalitaire,réduction des libertés, mais aussi la société de surveillance permanente qui est déjà bien en place, portée à la fois par les industries privées (réseaux sociaux et collectes d’informations) et les gouvernements (vidéosurveillance urbaine couplée à la reconnaissance faciale). Outre la connaissance absolue de ce que vous faites et ce que vous dites, les réseaux sociaux permettent aussi de réaliser un évènement important décrit par Orwell : les manifestations de haine collective, embrasements grégaires et cathartiques qui canalisent les ressentiments des masses, et que l’on retrouve si clairement dans les débats stériles sur internet. Sur Facebook par exemple, il est toujours de bon ton de se (dé)solidariser publiquement d’un évènement atroce et d’afficher son empathie publique, sa haine du mal, tant il est rassurant de se réunir face à un ennemi commun bien identifié. On retrouve aussi dans le quotidien de 1984 les débats mineurs, voire triviaux, alimentés par les médias afin de nous détourner des problèmes de fonds de la société. Merci le JT de 13h !
Un autre aspect pernicieux parmi les manipulations du Parti réside dans la destruction de la langue et de la logique, promue par la Novlangue, un vocabulaire simpliste et polysémique qui ne permet plus ni subtilités ni argumentations. Certains avancent même que cette Novlangue est aujourd’hui déjà apparue, matérialisée par les smileys que nous échangeons au quotidien. Un appauvrissement des interactions écrites, des petits 🙂 qui permettent de faire passer un message pour du second degré, ou pas… Le roman, avec ses 3 parties bien distinctes, n’est certes pas le plus vibrant du monde, mais sa lecture est hypnotisante, tant elle fait froid dans le dos. Chaque paragraphe nous donne à réfléchir et on y trouve de nombreux passages poignants de réalisme qui font écho à notre propre société.
Passages choisis :
« Déguiser ses sentiments, maîtriser son expression, faire ce que faisaient les autres étaient des réactions instinctives »
« Si tous les autres acceptaient le mensonge imposé par le Parti – si tous les rapports racontaient la même chose –, le mensonge passait dans l’histoire et devenait vérité. « Celui qui a le contrôle du passé, disait le slogan du Parti, a le contrôle du futur. Celui qui a le contrôle du présent a le contrôle du passé. » »
« le véritable but du novlangue est de restreindre les limites de la pensée ? À la fin, nous rendrons littéralement impossible le crime par la pensée car il n’y aura plus de mots pour l’exprimer. »
« Le travail physique épuisant, le souci de la maison et des enfants, les querelles mesquines entre voisins, les films, le football, la bière et, surtout, le jeu, formaient tout leur horizon et comblaient leurs esprits. »
« L’isolement, dit-il, avait son prix. Chacun désirait disposer d’un endroit où se trouver seul à l’occasion. »
« c’est sur les gens incapables de la comprendre que la vision du monde qu’avait le Parti s’imposait avec le plus de succès. On pouvait leur faire accepter les violations les plus flagrantes de la réalité parce qu’ils ne saisissaient jamais entièrement l’énormité de ce qui leur était demandé et n’étaient pas suffisamment intéressés par les événements publics pour remarquer ce qui se passait. »
« En résumé, une société hiérarchisée n’était possible que sur la base de la pauvreté et de l’ignorance. »
« Si les contacts avec les étrangers lui étaient permis, il découvrirait que ce sont des créatures semblables à lui-même et que la plus grande partie de ce qu’on lui a raconté d’eux est fausse. Le monde fermé, scellé, dans lequel il vit, serait brisé, et la crainte, la haine, la certitude de son bon droit, desquelles dépend sa morale, pourraient disparaître. »
« Le but du groupe supérieur est de rester en place. Celui du groupe moyen, de changer de place avec le groupe supérieur. Le but du groupe inférieur, quand il en a un – car c’est une caractéristique permanente des inférieurs qu’ils sont trop écrasés de travail pour être conscients, d’une façon autre qu’intermittente, d’autre chose que de leur vie de chaque jour – est d’abolir toute distinction et de créer une société dans laquelle tous les hommes seraient égaux »
« Avec le développement de la télévision et le perfectionnement technique qui rendit possibles, sur le même instrument, la réception et la transmission simultanées, ce fut la fin de la vie privée. »
« il est indifférent de savoir quelles opinions les masses soutiennent ou ne soutiennent pas. On peut leur octroyer la liberté intellectuelle, car elles n’ont pas d’intelligence »
« l’espèce humaine avait le choix entre la liberté et le bonheur et que le bonheur valait mieux »
« La terre est aussi vieille que nous, pas plus vieille. Comment pourrait-elle être plus âgée ? Rien n’existe que par la conscience humaine. – Mais les rochers sont pleins de fossiles d’animaux disparus, de mammouths, de mastodontes, de reptiles énormes qui vécurent sur terre longtemps avant qu’on eût jamais parlé des hommes ? – Avez-vous jamais vu ces fossiles, Winston ? Naturellement non. Les biologistes du XIXe siècle les ont inventés. Avant l’homme, il n’y avait rien. «
« Si vous désirez une image de l’avenir, imaginez une botte piétinant un visage humain… éternellement. »
La traduction originale date de 1950 est vieillissante et un peu lourde, mais une nouvelle traduction totalement revue vient de paraître cette année : le texte est transposé du passé au présent par exemple, ce qui lui conférerait apparemment beaucoup plus de dynamisme. C’est un texte prophétique qu’il faut lire pour saisir les écueils vers lequel nous nous dirigeons si l’on veut les éviter avec lucidité.
« Les meilleurs livres, se dit-il, sont ceux qui racontent ce que l’on sait déjà.»
Les bénéfices de la blockchain peuvent ils s’appliquer à la cybersécurité ? En quoi la Blockchain peut-elle apporter des solutions pour sécuriser tout ou partie de nos systèmes d’information ? Et ces solutions blockchain : sont-elles elles-mêmes sécurisées et exemptes de toute vulnérabilité ?
1. Les apports de la Blockchain à la Cybersécurité
La Blockchain a bien plus à offrir que le simple transfert d’argent. Les bénéfices de cette technologie sont avérés (Désintermédiation, Traçabilité, Certification, …), et l’adoption de cette technologie est aujourd’hui incontestable, tant les cas d’usages métier sont nombreux.
La Blockchain a initialement été créée pour transférer de l’argent de manière décentralisée, sans intermédiaire, tout en maintenant la confiance historiquement opérée par les banques. Derrière ce cas d’usage, et tous ceux qui ont découlé dans la décennie qui a suivi, se cachent des concepts techniques dont on pressent les affinités avec le monde de la cybersécurité. En quoi la Blockchain peut être un nouvel outil pour sécuriser nos systèmes d’informations ?
Les critères de sensibilité de l’information communément admis sont regroupés sus la triade CIA : Confidentiality, Integrity, Availability (Disponibilité, Intégrité et Confidentialité) :
Disponibilité, Intégrité et Confidentialité
Confidentialité : Garantir que l’information est protégée et accessible sur autorisation explicite uniquement.
La Blockchain, qu’elle soit publique ou privée, est pensée comme une architecture ouverte et s’appuie sur les protocoles de partage Pair-à-pair (P2P). Les transactions effectuées sont publiques afin de pouvoir être vérifiées par le consensus. En revanche, la capacité d’initier une nouvelle transaction reste restreinte au seul propriétaire du portefeuille. Cette gestion des accès repose sur des algorithmes de chiffrement asymétriques éprouvés (clés publiques / clés privées) garantissant un haut niveau de confidentialité.
Afin d’assurer une restriction d’accès aux données qui doivent rester confidentielles, le plus simple reste d’implémenter une Blockchain privée (accès privé) ou hybride (accès permissionné sur une Blockchain publique), sur lesquelles on pourra constituer des groupes de données et des groupes d’utilisateurs, puis implémenter des droits d’accès à l’information sur un modèle de « Contrôle d’Accès Basé sur les Rôles » (RBAC).
Cette gestion des accès n’est pas native sur les Blockchains publiques : on peut par exemple l’implémenter via des protocoles supplémentaires de type « Preuve à divulgation nulle de connaissance » (ZKP), ou bien via l’utilisation de frameworks dédiés comme Pantheon (Ethereum) ou BESU (Hyperledger).
Intégrité : Garantir que l’information est fiable, qu’elle n’a pas été falsifiée par malveillance ou corrompue par défaut d’implémentation.
Par définition, la Blockchain confère aux données un caractère immuable : toute transaction effectuée dans une Blockchain est stockée de manière irréversible. Il n’est plus possible de supprimer cette information. Elle peut être amendée a posteriori, mais on conservera toujours l’historique et la trace de la modification.
Le consensus de la Blockchain garantit que toute tentative de modification a posteriori serait immédiatement repérée dans le reste de la chaîne et, de fait, invalidée par l’ensemble des acteurs de la Blockchain.
Cette intégrité est fondée sur les signatures numériques des fonctions de hachage, est réputée inaltérable, et garantit une intégrité absolue de la donnée.
🛠 Fonctions de Hash
Le hachage est une empreinte numérique à sens unique, une signature unique qui ne peut être ni prédite ni forgée.
Le Hash change radicalement, même pour une petite modification en entrée.
Une information stockée dans une Blockchain est certifiée par son hash. Si un acteur malveillant voulait modifier cette information, il devrait s’assurer que le nouveau bloc (modifié) ait exactement le même hash, ce qui est statistiquement impossible puisque cette signature ne peut être prédite.
Impossible de changer « Alice donne 1 Bitcoin à Bob » en « Alice donne 3 Bitcoin à Bob », car on ne saurait pas comment retrouver le hash d’origine, même s’il existe.
Il existe peut-être une transaction modifiée qui présente le même hash, mais on ne peut la prédire
Ces fonctions de hachage sont présentes partout dans les Blockchains : elles sont justement la chaîne qui lie les blocs entre eux et les transactions entre elles. Pour minimiser la taille des signatures stockées, on effectue même des hash de hash de hash… dans ce que l’on appelle un « Arbre de Merkle », qui permet de ne stocker que le hash de l’ensemble :
Arbre deMerkle : un hash de hashs de hashs de hashs…
Disponibilité : Garantir un accès fiable aux données, à n’importe quel moment, quel que soit l’état du réseau.
La Blockchain est un réseau décentralisé de nœuds connectés entre eux en maillage, sur la base du modèle pair-à-pair (P2P), où chaque acteur de la Blockchain héberge, reçoit et envoie toute ou partie des données à ses pairs. L’absence de centralisation ou de point névralgique garantit que le réseau fonctionne même si une partie est indisponible ou isolée.
La robustesse de ce réseau garantit l’accès aux données, leur pérennité, mais aussi une protection face aux pannes et aux attaques de Déni de Service Distribué (DDoS).
En résumé, les données stockées sur une Blockchain sont hautement disponibles.
Traçabilité : Garantir l’imputabilité et l’auditabilité de l’information sur la base de preuves formelles.
Un quatrième critère est très souvent adjoint au triptyque CIA : la Traçabilité.
La traçabilité est un des piliers fondamentaux de la Blockchain : toute donnée peut et doit être tracée pour être validée selon les règles du consensus. Chaque transaction peut être suivie, et son historique retracé afin de reconstituer l’état d’un compte, de n’importe quelle donnée.
Transposée aux cas d’usages métiers, cette traçabilité garantit la validité de tout actif d’entreprise présent sur une Blockchain : données produits, clients, process.
Quid de l’anonymat ?
Si tous les échanges et données sont tracés et accessibles à l’ensemble des acteurs de la Blockchain, comment garantir l’anonymat ou la confidentialité de certaines données qui le nécessitent ?
Tout d’abord, il convient de rappeler que l’anonymat conféré par les Blockchains reste tout relatif. Certes, les acteurs sont anonymisés derrière des numéros de portefeuilles, mais il s’agit de pseudonymat plutôt que d’anonymat puisque qu’il est possible de remonter à la source des émetteurs / bénéficiaires d’une transaction comme on sait le faire avec des adresses IP, par exemple en reconstituant des regroupements et des schémas relationnels de comptes. (Ex : investigations criminelles et Lutte Contre le Blanchiment d’argent par Elliptic).
Si l’anonymat doit être un prérequis pour un cas d’usage, il peut être aisément implémenté dans le cadre d’une Blockchain privée. En revanche, dans le cas d’une Blockchain publique, le sujet devra être adressé dès la conception :
Certaines Blockchain publiques sont dédiées à l’anonymisation des transactions (Ex : Monero). Elles fournissent un anonymat extrême : les informations des transactions sont quasiment toutes inaccessibles sauf par l’expéditeur et le bénéficiaire. Cependant, leur réputation reste probablement trop équivoque pour les considérer dans le cadre d’une application industrielle.
Outre les techniques de mixage et d’obfuscation qui consistent à noyer les transactions parmi d’autres (Ex : protocole PrivateSend de la blockchain DASH), il est possible de concevoir des solutions de type “Blockchain Layer 2” : une surcouche aux Blockchains publiques permettant de stocker dans la chaîne, non pas une donnée, mais son empreinte numérique (hash). La donnée reste elle stockée hors-blockchain, dans une base de données classique (Ex : Woleet).
Il existe aussi des protocoles de chiffrement “Zero Knowledge Proof” fournissant des preuves à divulgation nulle de connaissance (ZKP) : les données stockées sur la Blockchain ne sont pas accessibles, et pourtant l’utilisateur peut fournir la preuve que cette donnée existe, qu’elle lui appartient, et peut choisir de ne pas divulguer les adresses de transactions (Ex : Zcash et son double système d’adresses transparentes & publiques vs. anonymes et masquées)
Autres apports à la cybersécurité
Outre ces bénéfices fondamentaux en matière de cybersécurité, la Blockchain apporte de nombreuses autres solutions spécifiques :
Lutte contre la fraude
Toute transaction au sein d’une Blockchain nécessite d’être validée par le réseau en suivant les règles du consensus, avant d’être formellement intégrée. La difficulté de validation du protocole peut être ajustée en fonction de la sécurisation que l’on souhaite garantir à la donnée. Un comportement malveillant qui ne suivrait pas les règles du consensus peut tout à fait être identifié comme tel, intercepté, et ne pas être diffusé au reste du réseau.
Les Blockchain publiques proposent des protocoles de validation souvent longs et complexes (Ex : une transaction sur Bitcoin n’est formellement validée qu’après plusieurs blocs, soit environ une heure), alors qu’une Blockchain privée entre acteurs de confiance peut se permettre d’abaisser ce niveau de complexité, au profit de la vitesse de validation (Ex : consensus PBFT)
Quel que soit le protocole adopté, les transactions stockées sur une Blockchain bénéficient donc de la validation du protocole, et donc d’une certification implicite favorable à la lutte contre la fraude.
Infrastructure de clés décentralisée (DPKI)
En cybersécurité, le chiffrement des données repose sur des clés. Le stockage de ces clés est un point crucial qui est historiquement adressé par des autorités centrales, organismes de confiance qui garantissent le stockage et la distribution des clés et des certificats : les PKI (Private Keys Infrastructures)
Le caractère centralisé de ces organismes crée une dépendance à des intermédiaires privés ou étatiques que l’on ne choisit pas toujours et qui imposent leur confiance au reste du réseau.
Cette centralisation présente par ailleurs un cas d’école pour les attaques de type Man in the Middle (MitM) : ARP Spoofing, IP Spoofing, DNS Spoofing, HTTPS Spoofing sont autant de méthodes exploitables pour se faire passer pour une Autorité Certifiante et délivrer des clés ou certificats corrompus (Ex : attaques sur DigiNotar).
Ce point unique de défaillance (SPOF) peut être adressé par une approche alternative décentralisée : Les Decentralized Public Key Infrastructure (DPKI). Les clés sont alors stockées dans une Blockchain décentralisée qui résout le point unique de défaillance des schémas centralisés des PKI traditionnels. La Blockchain confère une haute disponibilité de ces clés et certificats, et par ailleurs offre plus de sécurité face aux attaques de MitM.
Identity & Access Management
L’IAM est un des piliers de la cybersécurité. Les outils et solutions de l’IAM (Active Directory, Single Sign On, Revues d’accès, etc.) reposent sur des architectures centralisées qui exposent de fait un Point Unique de Défaillance.
Ce modèle est vulnérable aux attaques d’interception et manipulation des données de type MitM. On voit aussi apparaître une certaine défiance des utilisateurs à céder leurs informations personnelles à des organismes centraux (solutions privées) ou fédérés (Google, Facebook).
Des alternatives décentralisées apparaissent afin de résoudre ces vulnérabilités et défiances : L’identité Souveraine Décentralisée (Self Sovereign Identity), portée par une Blockchain, où l’utilisateur reste le seul propriétaire de ses identités numériques et accorde ou révoque les droits d’accès à ses informations à sa guise (ex : Hyperledger INDY / Sovrin).
Vote Numérique
Le vote numérique est un des cas d’usage idéal pour la Blockchain : chaque personne peut voter individuellement via une application et grâce à sa clé privée, sans avoir à transiter par un organisme central, sans avoir à se déplacer.
La confiance est garantie par un Smart Contract automatisé qui assure l’unicité des votes, puis comptabilise automatiquement les résultats, sans intervention ni validation d’un organisme tiers. La blockchain confère la confidentialité du vote, la sécurité et la transparence des résultats. (ex : Le Vote, service de Orange)
La Blockchain est donc un outil supplémentaire à notre attirail en matière de cybersécurité. Mais cet outil est-il lui-même exempt de failles ? Bien que sécurisée par construction, la Blockchain présente-t-elle des vulnérabilités connues ? Sont-elles adressées ?
2. La Blockchain face a ses propres enjeux de sécurité
Les Blockchains sont avant tout des architectures techniques possédant leurs propres infrastructures, protocoles, et applications. Elles se projettent de fait sur l’ensemble du modèle OSI, dont chacune des couches est exposée aux éventuelles attaques.
Types d’attaques classiques pour chaque couche du modèle OSI
Si les Blockchains savent résister aux cyber attaques traditionnelles, le monde du hacking a naturellement su élaborer de toutes pièces des attaques spécifiques aux Blockchains :
Vulnérabilités du réseau
Les Blockchain reposent sur des infrastructures distribuées (P2P) garantissant en théorie une réplication et une validation de l’information. En pratique, un réseau distribué n’offre pas une réplication parfaite (cf. théorème CAP) et chaque nœud d’une Blockchain n’est connecté qu’à un nombre limité de ses pairs : 9 nœuds pour le réseau Bitcoin et 13 pour Ethereum par exemple. Ainsi, il est possible d’opérer des attaques niveau réseau sur des Blockchains :
Attaque par Déni De Service (DOS)
L’attaquant perturbe le réseau en inondant les nœuds du réseau avec des nombreuses transactions de faible valeur. Cette saturation d’information peut faire tomber un nœud et le sortir du réseau, au profit d’autres nœuds contrôlés par l’attaquant. La Blockchain Bitcoin a été victime d’une telle attaque en Septembre 2018. Cf. CVE-2018–17144
Attaque Sybil
L’attaquant prend le contrôle de plusieurs nœuds du réseau, entourant la victime de nœuds malveillants et l’isolant du reste du réseau. Les nœuds corrompus minent et valident ce qu’ils veulent et orientent la Blockchain dans le sens de l’attaquant, permettant par exemple des attaques de type double dépense.
Attaque Sybil
Attaque Eclipse
L’attaquant modifie les informations de connections sortantes du nœud de la victime, forçant ses requêtes à être adressées à des adresses IP qu’il contrôle. Ce « node spoofing » permet d’isoler la cible et de ne lui envoyer que les informations de son choix : double dépense, fausses transactions.
Vulnérabilités des Protocoles
La valeur ajoutée des Blockchains repose principalement sur leurs protocoles. Ces derniers sont bien souvent disponibles en open source, et les contributions sont nombreuses pour répondre à la frénésie de l’innovation. Encore peu éprouvés, ces protocoles s’exposent parfois à des vulnérabilités de type « zero day ».
Faille d’implémentation
Le 15 août 2010, la Blockchain du Bitcoin a été victime d’une faille dans l’implémentation de son protocole : une vulnérabilité de type « value overflow » a permis de créer 184 milliards de Bitcoins à partir de rien (la limite totale de Bitcoins étant de 21 millions…). Le code ne vérifiait pas que des montants trop importants pouvaient dépasser la limite, devenir négatifs et ainsi être validés. L’incident a été corrigé et la transaction annulée. Cf. CVE-2010–5139
Forge de monnaie à partir de rien
Dans l’exemple précédent, il a été facile de repérer l’incident, de corriger le code, et d’annuler la transaction en revenant sur le bloc fautif. En revanche, quand ce type de malveillance arrive sur des cryptomonnaies à fort anonymat (Monero, Zcash), il est très difficile de prouver que de la monnaie a été créée (minée ou reçue) légitimement et non à partir de rien (« from thin air ») puisque par définition, ces protocoles offrent peu de traçabilité publique.
Collision de Hash
Comme vu précédemment, les Blockchains s’appuient fortement sur les fonctions de hash pour garantir l’intégrité et l’inaltérabilité des données de transactions. Nous avons vu que les fonctions de hash généraient une signature unique… Mais en réalité pas totalement. Des collisions peuvent survenir, c’est-à-dire que 2 données différentes pourraient avoir le même hash :
Exemple de collision de hash MD5
En pratique, les algorithmes de hash garantissent que ces collisions sont très peu probables (inférieures à une chance sur 1066). En théorie, cela reste possible, et on pourrait imaginer le scénario suivant :
L’attaquant altère une donnée de Blockchain dans le passé (modification d’une transaction)
L’attaquant trouve une collision de hash qui permet au bloc de conserver son hash initial malgré sa modification.
Le bloc conserve sa signature et ne brise pas en cascade la chaîne de hash des blocs suivants.
L’altération est implicitement validée par l’ensemble du réseau puisque ce bloc a déjà été validé dans le passé.
💡 Il convient donc d’utiliser des fonctions de hash reconnues et éprouvées (ex : SHA256) et surtout de ne pas tenter de réinventer sa propre fonction, comme a voulu le faire la Blockchain IOTA, leur fonction de Hash s’étant avérée beaucoup trop sensible aux collisions.
Exploitation du Consensus
Une des vulnérabilités les plus connues de la Blockchain repose sur le consensus le plus utilisé : la preuve de travail (Proof Of Work). Dans ce protocole, le mineur qui créera le prochain bloc est déterminé au hasard, au prorata de la puissance de calcul qu’il met à contribution pour le réseau. Un mineur qui possède 1% de la puissance de calcul totale du réseau a donc 1% de chance de miner le prochain bloc. Ainsi, un attaquant qui possèderait 51%, c’est-à-dire plus de la moitié de la puissance de calcul pourrait valider les transactions de son choix et opérer une attaque de « double dépense » :
L’attaquant prétend donner un certain montant à sa cible, et récupère la contrepartie en échange. « 👴Charlie donne 5 BTC à 👱♀️Alice » (et récupère des Euros en échange par exemple)
Il effectue en parallèle une autre transaction dans laquelle il renvoie le même montant à un complice. « 👴Charlie donne 5 BTC à 🧔Bob »
L’attaquant manipule la Blockchain et grâce à ses 51%, l’oriente à sa guise de manière à invalider la 1ère transaction « 👴Charlie donne 5 BTC à 👱♀️Alice » au profit de la seconde « Charlie donne 5 BTC à 🧔Bob »
Alice réalise — trop tard — que la transaction « Charlie donne 5 BTC à 👱♀️Alice » n’est plus valide. Elle a perdu sa contrepartie.
Principe d’une attaque de double dépense
Plusieurs Blockchains ont déjà été victimes d’attaques de ce type :
💡 Une des solutions consiste à adopter un autre consensus moins sensible aux attaques de ce type (ex : Proof of Stake) ou un consensus privé (ex : Ripple). Gardons à l’esprit que cette attaque n’est envisageable que pour une Blockchain peu minée pour laquelle acquérir 51% serait envisageable, ce qui n’est pas le cas du Bitcoin, qui, par construction et par son adoption, en fait une Blockchain très résiliente.
Vulnérabilités des Applications
Même si les fondations des protocoles de Blockchain sont sécurisées et verrouillées, ces dernières mettent à disposition des interfaces d’instanciations et d’interactions qui multiplient les surfaces d’attaques. C’est tout particulièrement le cas avec les Blockchains proposant des interfaces de programmation : les fameux Smart Contracts.
Cette couche applicative crée une dimension supplémentaire de vulnérabilités qui ont depuis longtemps été exploitées. On ne compte plus les attaques sur les plateformes, les marchés, et plus globalement les services tierces s’appuyant sur des Blockchains :
DAO
DAO était une Organisation Autonome Décentralisée lancée sur la Blockchain Ethereum en 2016, proposant un modèle d’entreprise décentralisé, sans structure de gestion ni conseil d’administration. Le concept était novateur et son financement participatif a levé l’équivalent de 120 millions de $.
Mais l’aventure a tourné court lorsque le service s’est fait hacker et voler un tiers de ses fonds quelques semaines plus tard. (60 millions de $)
La vulnérabilité exploitée était applicative : une faille dans le code permettait un appel récursif à une fonction de retrait de fonds, qui opérait le transfert du montant avant de mettre à jour la balance des comptes.
Il est intéressant de noter que ce Hack a été corrigé puis résolu par la manière forte : Afin de récupérer les fonds volés, la communauté Ethereum a choisi de revenir dans le temps et de reprendre la Blockchain avant l’exploitation de la vulnérabilité, via un « hard fork » qui a donné naissance à « Ethereum Classic »
Mt. Gox
La plateforme d’échange Mt. Gox a subi en 2014 une attaque menant à sa faillite. La vulnérabilité était fondée sur la « malléabilité de transactions » de la Blockchain Bitcoin, permettant à un attaquant de changer l’identifiant d’une transaction avant sa confirmation. L’attaquant, qui avait pu récupérer une clé privée du wallet central a pu forger une signature valide et prétendre être le bénéficiaire de transactions avant même leur validation dans un bloc.
On estime que 450 millions de $ ont ainsi été détournés.
Parity
Parity est un portefeuille dédié à la blockchain Ethereum. Cette surcouche propose des services comme la gestion « MultiSgnature » des portefeuilles Ethereum, permettant d’assigner plusieurs clés d’accès à un même portefeuille.
En juillet 2017, le portefeuille Parity a été hacké. La vulnérabilité applicative venait du code du Smart Contract qui était hérité (importation d’une bibliothèque externe) dans l’implémentation de Parity. La fonction « constructeur » du portefeuille pouvait être appelée à nouveau après son instanciation et permettait à l’attaquant de devenir le propriétaire du portefeuille. Une fois propriétaire, rien de plus simple que d’en vider le contenu.
Notons qu’un groupe de White Hackers (hackers éthiques), a rapidement identifié puis exploité cette même faille pour hacker les portefeuilles encore vulnérables et mettre sous verrou les fonds restants.
On estime que 32 millions de $ ont ainsi été détournés.
Ces exploits restent malheureusement assez fréquents et leur impact souvent coûteux. Gardons à l’esprit que ces vulnérabilités peuvent survenir chez les meilleurs, tant les environnements de développement des Blockchain sont encore complexes et les technos encore peu matures.
💡 Quelques bonnes pratiques pour éviter ce type de vulnérabilités applicatives :
Utiliser les standards ERC des Smart Contracts, qui sont audités, éprouvés, et éviteront une majorité du rework et de générer de nouvelles failles.
Utiliser les dernières versions du compilateur de Solidity qui alertent sur les failles connues.
Vérifier le code source des Smart Contracts utilisés ou hérités (avec Etherscan par exemple)
Utiliser des compilateurs à Preuve Formelle qui garantissent la sortie attendue du Smart Contract (ex : langage OCaml, ou le Michelson de TEZOS)
Vulnérabilités des utilisateurs
Sur une Blockchain, les utilisateurs doivent conserver précieusement les clés privées qui leur permettent d’accéder à leur portefeuille. Ces clés sont doublement précieuses :
Elles sont le seul moyen d’accéder à son portefeuille et de dépenser ses cryptomonnaies. Un attaquant qui récupère la clé privée peut utiliser (et vider) le portefeuille sans autre contrainte.
Elles ne peuvent pas être récupérées en cas de vol ou de perte. Contrairement à un mot de passe qui peut être réinitialisé, les clés privées sont uniques et non récupérables.
Ownership
La majorité des vols de cryptomonnaies sont imputables à des vols de clés privées. L’utilisateur étant totalement responsable de ses clés (True ownership), il en est le seul gestionnaire, et offre par conséquent un angle d’attaque idéal : Cette somme d’utilisateurs individuels représente une surface d’attaque étendue pour les attaquants, et la majorité des utilisateurs n’ont pas les compétences nécessaires en matière de cybersécurité pour sécuriser correctement l’accès à leurs clés.
💡 La conservation des clés n’est pas triviale et si les portefeuilles électroniques sont une bonne solution, il s’agit de bien les choisir afin de minimiser les risques :
Portefeuilles corrompus
De nombreux portefeuilles sont disponibles sous forme d’applications pour smartphones. Il a été révélé que certains d’entre eux, directement développés par des attaquants, envoient les clés ou siphonnent les comptes des victimes.
Ex : les applications « Trezor Mobile Wallet » et « Coin Wallet » qui transmettent les logins et mots de passes de la victime sur le site de l’attaquant :
Et plus récemment, GetMonero, le wallet de Monero a été piraté en novembre 2019 : la version malveillante interceptait les codes du portefeuille et les envoyait à l’attaquant.
💡 Il vaut mieux privilégier les portefeuilles physiques (hardware wallets) contenant un Secure Element qui stockent la clé et valident les transactions par confirmation physique (ex : Ledger)
Portefeuilles légers
Certains portefeuilles applicatifs, non malveillants par essence, n’utilisent pas les protocoles les plus sécurisés et s’exposent ainsi à des exploitations de failles de protocole — Blockchain ou plus classiquement HTTP.
Par exemple, les portefeuilles légers comme Mycelium ou Electrum, afin de d’optimiser le poids de l’application et le temps de validation, n’utilisent pas le protocole Bitcoin complet mais s’appuient sur un protocole léger de vérification des transactions : le « simple payment verification » (SPV). Ce dernier ne télécharge pas l’ensemble de la Blockchain mais uniquement les entêtes de blocks et demande la validation à des nœuds aléatoires.
De fait, la confiance dans nœuds n’est pas certifiée : une attaque de type « Man in the Middle » (MitM) peut bloquer ou valider certaines transactions, voire modifier les montants en manipulant les méthodes HTTP.
💡 Les protections sont plus complexes à mettre en place dans ce cas de figure. S’il semble difficile de se connecter à son propre nœud Blockchain, on peut toujours se connecter en VPN, ou a minima éviter l’envoi de transactions via les Wi-Fi publics pour éviter les attaques MitM.
Vulnérabilités structurelles
Certaines Blockchains présentent par ailleurs des vulnérabilités structurelles, dont on a souvent dit qu’elles mèneraient à leur perte à long terme :
Recentralisation
Si l’on regarde la répartition de la puissance de calcul (hashrate) de la Blockchain Bitcoin, on constate qu’une grande majorité est aujourd’hui localisée en Chine :
Répartition du Hashrate de la Blockchain Bitcoin
La Blockchain n’a pas été conçue ni prévue pour une telle recentralisation, qu’elle soit géographique ou économique. Outre les attaques à 51% qui pourraient être opérées via de tels regroupements, toute manipulation de la Blockchain serait à craindre dans l’absolu.
Les mineurs chinois ont un accès facilité à de l’énergie à bas prix, et le consensus (Proof of Work) devient hackable pour qui a les moyens de produire du hashrate. Idéalement, un consensus non contrôlable devrait reposer sur quelque chose qui ne peut pas s’acheter.
Gouvernance
La Blockchain est décentralisée par définition. Cela sous-entend une absence structurelle de gouvernance, qui a déjà causé son lot de dégâts dans le milieu des cryptomonnaies. Sans gouvernance, difficile de prendre des décisions ou d’imposer à la communauté des contraintes, qui pourraient pourtant s’avérer nécessaires vis-à-vis de la sécurité et/ou de la régulation.
Les Forks de Blockchain sont donc légion, que ce soit pour imposer une nouvelle fonctionnalité (Bitcoin Cash, Bitcoin Gold, Segwit, etc.) ou pour corriger une vulnérabilité et annuler les effets d’une attaque (Ethereum Classic).
De nouvelles Blockchains adressent ce problème, en proposant une gouvernance inscrite par construction dans l’algorithme. C’est le cas de la Blockchain française TEZOS, qui est auto-régulée par ses utilisateurs : les évolutions sont votées par la communauté, les développeurs soumettent des propositions pour faire évoluer le protocole, chaque proposition est testée, votée, puis implémentée de manière décentralisée.
Cet auto-amendement permet à la blockchain TEZOS d’éviter les forks et la division de la communauté.
En conclusion
La plupart de ces critiques sont légitimes mais concernent souvent les Blockchains les plus anciennes — et aussi les plus populaires par conséquent. Ethereum aura bientôt 5 ans et le Bitcoin en a passé le cap des 10 ans… autant dire une éternité dans le monde de l’innovation galopante des systèmes d’informations.
Aujourd’hui, de nouvelles Blockchains adressent aisément ces failles structurelles par de nouveaux consensus, de nouveaux protocoles, de nouveaux types de gouvernance. Sans parler des Blockchains privées qui couvrent encore la majorité des applications Blockchain industrielles et qui, par définition, adoptent les protocoles et consensus qui leur conviennent le mieux afin de garantir toutes ces contraintes de sécurité, régulation et gouvernance, quitte à s’éloigner des fondamentaux activistes de la Blockchain tel que Satoshi Nakamoto les avait originellement pensés.
Les biais cognitifs (aussi appelés biais psychologiques) sont des formes de pensée qui dévient de la pensée logique ou rationnelle et qui ont tendance à être systématiquement utilisées dans diverses situations.
Ils constituent des façons rapides et intuitives de porter des jugements ou de prendre des décisions qui sont moins laborieuses qu’un raisonnement analytique qui tiendrait compte de toutes les informations pertinentes.
Ces jugements rapides sont souvent utiles mais sont aussi à la base de jugements erronés typiques.
Le concept a été introduit au début des années 1970 par les psychologues Daniel Kahneman (prix Nobel en économie en 2002) et Amos Tversky pour expliquer certaines tendances vers des décisions irrationnelles dans le domaine économique. Depuis, une multitude de biais intervenant dans plusieurs domaines ont été identifiés par la recherche en psychologie cognitive et sociale.
Certains biais s’expliquent par les ressources cognitives limitées. Lorsque ces dernières (temps, informations, intérêt, capacités cognitives) sont insuffisantes pour réaliser l’analyse nécessaire à un jugement rationnel, des raccourcis cognitifs (appelés heuristiques) permettent de porter un jugement rapide. Ces jugements rapides sont souvent utiles mais sont aussi à la base de jugements erronés typiques.
D’autres biais reflètent l’intervention de facteurs motivationnels, émotionnels ou moraux ; par exemple, le désir de maintenir une image de soi positive ou d’éviter une dissonance cognitive (avoir deux croyances incompatibles) déplaisante.
Voici une liste de 25 biais cognitifs fréquents :
Le biais de confirmation est la tendance, très commune, à ne rechercher et ne prendre en considération que les informations qui confirment les croyances et à ignorer ou discréditer celles qui les contredisent.
Le biais de croyance se produit quand le jugement sur la logique d’un argument est biaisé par la croyance en la vérité ou la fausseté de la conclusion. Ainsi, des erreurs de logique seront ignorées si la conclusion correspond aux croyances. (Maintenir certaines croyances peut représenter une motivation très forte : lorsque des croyances sont menacées, le recours à des arguments non vérifiables augmente ; la désinformation, par exemple, mise sur la puissance des croyances : Pourquoi la désinformation fonctionne ?)
Le biais d’autocomplaisance est la tendance à s’attribuer le mérite de ses réussites et à attribuer ses échecs à des facteurs extérieurs défavorables.
L’erreur fondamentale d’attribution est la tendance à surestimer les facteurs personnels (tels que la personnalité) pour expliquer le comportement d’autres personnes et à sous-estimer les facteurs conjoncturels.
L’effet de halo se produit quand la perception d’une personne ou d’un groupe est influencée par l’opinion que l’on a préalablement pour l’une de ses caractéristiques. Par exemple, une personne de belle apparence physique sera perçue comme intelligente et digne de confiance. L’effet de notoriété est aussi un effet de halo.
Le biais rétrospectif est la tendance à surestimer, une fois un événement survenu, comment on le jugeait prévisible ou probable.
L’excès de confiance est la tendance à surestimer ses capacités. Ce biais a été mis en évidence par des expériences en psychologie qui ont montré que, dans divers domaines, beaucoup plus que la moitié des participants estiment avoir de meilleures capacités que la moyenne. Ainsi, plus que la moitié des gens estiment avoir une intelligence supérieure à la moyenne.
Le biais de négativité est la tendance à donner plus de poids aux expériences négatives qu’aux expériences positives et à s’en souvenir davantage.
L’effet Barnum (ou effet Forer) consiste à accepter une vague description de la personnalité comme s’appliquant spécifiquement à soi-même. Les horoscopes jouent sur ce phénomène.
L’aversion de la dépossession (ou effet de dotation) désigne une tendance à attribuer une plus grande valeur à un objet que l’on possède qu’à un même objet que l’on ne possède pas. Ainsi, le propriétaire d’une maison pourrait estimer la valeur de celle-ci comme étant plus élevée que ce qu’il serait disposé à payer pour une maison équivalente.
L’illusion de corrélation consiste à percevoir une relation entre deux événements non reliés ou encore à exagérer une relation qui est faible en réalité. Par exemple, l’association d’une caractéristique particulière chez une personne au fait qu’elle appartienne à un groupe particulier alors que la caractéristique n’a rien à voir avec le fait qu’elle appartienne à ce groupe.
Le biais de cadrage est la tendance à être influencé par la manière dont un problème est présenté. Par ex. la décision d’aller de l’avant ou pas avec une chirurgie peut être affectée par le fait que cette chirurgie soit décrite en termes de taux de succès ou en terme de taux d’échec, même si les deux chiffres fournissent la même information.
Le biais d’ancrage est la tendance à utiliser indument une information comme référence. Il s’agit généralement du premier élément d’information acquis sur le sujet. Ce biais peut intervenir, par exemple, dans les négociations, les soldes des magasins ou les menus de restaurants. (Dans les négociations, faire la première offre est avantageux.)
Le biais de représentativité est un raccourci mental qui consiste à porter un jugement à partir de quelques éléments qui ne sont pas nécessairement représentatifs.
Le biais de la disponibilité en mémoire consiste à porter un jugement sur une probabilité selon la facilité avec laquelle des exemples viennent à l’esprit. Ce biais peut, par exemple, amener à prendre pour fréquent un événement récent.
Le biais de statu quo est la tendance à préférer laisser les choses telles qu’elles sont, un changement apparaissant comme apportant plus de risques et d’inconvénients que d’avantages possibles. Dans divers domaines, ce biais explique des choix qui ne sont pas les plus rationnels. (Un biais se rapprochant du biais de statu quo est celui de la tendance à la justification du système qui se distingue par une plus forte composante motivationnelle.)
Le biais d’omission consiste à considérer que causer éventuellement un tort par une action est pire que causer un tort par l’inaction. Ainsi, le biais d’omission pourrait contribuer à expliquer que, dans l’incertitude, certains choisiront de refuser la vaccination pour leurs enfants.
Le biais de faux consensus est la tendance à croire que les autres sont d’accord avec nous plus qu’ils ne le sont réellement. Ce biais peut être particulièrement présent dans des groupes fermés dans lesquels les membres rencontrent rarement des gens qui divergent d’opinions et qui ont des préférences et des valeurs différentes. Ainsi, des groupes politiques ou religieux peuvent avoir l’impression d’avoir un plus grand soutien qu’ils ne l’ont en réalité.
La croyance en un monde juste est la tendance à croire que le monde est juste et que les gens méritent ce qui leur arrive. Des études ont montré que cette croyance répond souvent à un important besoin de sécurité. Différents processus cognitifs entrent en œuvre pour préserver la croyance que la société est juste et équitable malgré les faits qui montrent le contraire.
L’illusion de savoir consiste à se fier à des croyances erronées pour appréhender une réalité et à ne pas chercher à recueillir d’autres informations. La situation est jugée à tort comme étant similaire à d’autres situations connues et la personne réagit de la façon habituelle. Ainsi, une personne pourra sous-exploiter les possibilités d’un nouvel appareil. (Des campagnes électorales qui misent sur l’illusion de compréhension chez les électeurs).
L’effet Dunning-Kruger est le résultat de biais cognitifs qui amènent les personnes les moins compétentes à surestimer leurs compétences et les plus compétentes à les sous-estimer. Ce biais a été démontré dans plusieurs domaines.
Le biais de conformisme est la tendance à penser et agir comme les autres le font.
L’effet boomerang est le phénomène selon lequel les tentatives de persuasion ont l’effet inverse de celui attendu. Les croyances initiales sont renforcées face à des preuves pourtant contradictoires. Différentes hypothèses sont avancées pour expliquer ce phénomène.
L’illusion de contrôle est la tendance à croire que nous avons plus de contrôle sur une situation que nous n’en avons réellement. Un exemple extrême est celui du recours aux objets porte-chance.
L’effet de simple exposition est une augmentation de la probabilité d’un sentiment positif envers quelqu’un ou quelque chose par la simple exposition répétée à cette personne ou cet objet. Ce biais cognitif peut intervenir notamment dans la réponse à la publicité.
Vous connaissez certainement le dilemme moral qui se posera aux intelligences artificielles lorsqu’elles seront en situation de faire un choix de vie ou de mort vis à vis de plusieurs individus. Que doit faire une voiture autonome si elle DOIT écraser SOIT un enfant SOIT une personne âgée ? Pour anticiper ces questions, des chercheurs ont mis en ligne le site http://moralmachine.mit.edu/hl/fr : un simulateur de situations qui évalue les choix moraux de la population mondiale, et qui permettra de définir la morale des I.A. que nous concevons. Les grandes idées qui ressortent de ce sondage, c’est :
La majorité des personnes souhaitent minimiser le nombre de morts
…mais elle préfèrent aussi acheter un véhicule qui va les protéger eux plutôt que les piétons. Les deux points ne sont pas compatibles… faites ce que je dis, mais pas ce que je fais.
La majorité des personnes accordent un bonus au nombre d’années restant à vivre : La vie des enfants est toujours privilégiée par rapport aux personnes plus âgées. Ce choix, comme tous les autres est discutable : comment évaluer la valeur d’un enfant par rapport à celle d’un adulte, en terme de contribution à notre société par exemple ? Quid d’un enfant gravement malade vs. un chirurgien cinquantenaire qui sauve des vies ?
Faites le test afin de vous confronter aux multiples dilemmes ! Rappelons pour finir, que de toutes façons, les voitures autonomes sauveront plus de vie que ne le ferait un humain. Le bénéfice sera toujours présent, même en cas de dilemme cornélien. Et pourquoi « Cornélien » ? Ces quelques vers du Cid, de Pierre Corneille, devraient illustrer l’origine de l’expression :
Que je sens de rudes combats! Contre mon propre honneur mon amour s’intéresse: Il faut venger un père, et perdre une maîtresse; L’un m’anime le cœur, l’autre retient mon bras. Réduit au triste choix, ou de trahir ma flamme, Ou de vivre en infâme, Des deux côtés mon mal est infini. O Dieu! l’étrange peine! Faut-il laisser un affront impuni? Faut-il punir le père de Chimène?
Votre santé mentale et physique passe avant tout. Le reste est secondaire.
Moins est souvent synonyme de plus. La simplicité est souvent la réponse.
En dehors de la physique, de la chimie et de la biologie, la plupart des sciences sont très incertaines. La méthode scientifique, cependant, est toujours l’arme la plus puissante à notre disposition.
Au-delà des lois scientifiques et sociétales, les règles n’ont de rigidité que celle que vous leur accordez.
Il faut de la chance pour réussir… mais la chance est une compétence qui se travaille. Faire de bons choix en est un des fondamentaux. Une grande partie de ce que nous attribuons à la bonne fortune relève de la persévérance.
Tout commence et finit dans l’esprit. Il est crucial de savoir comment votre cerveau pense et quels sont ses biais.
La joie n’est pas forcément un état d’allégresse permanent mais plutôt une satisfaction.
Tout le monde est hypocrite et souvent cela n’a pas d’importance. La vie ne se résume pas à une formule.
La lecture c’est de la télépathie. Un livre est la technologie la plus puissante jamais inventée.
C’est toujours facile de critiquer. La question est de savoir si cela change quelque chose ou non. Le monde n’a pas besoin de plus de bruit parasite. Il faut donner l’exemple plutôt que de se plaindre.
La lutte fait partie de la vie. Apprendre à se battre est déjà une récompense en soi.
Soit vous contrôlez vos désirs, soit vos désirs vous contrôlent. Choisissez sagement.
La diversité dans l’expérience alimente la diversité de la pensée. Vivez expérimentalement.
La connaissance est bon marché.
Nous sommes des algorithmes biologiques façonnés par ce qui nous alimente. Prenez soin de vos paramètres.
Au commencement, la logique importe le plus. Au fil du temps, c’est l’imagination qui fait la différence.
La nostalgie est très sélective. En moyenne, les choses sont aussi bonnes qu’elles l’ont été.
La gratitude devrait être un état mental par défaut.
Si vous vénérez l’argent, les possessions ou le prestige, vous n’en aurez jamais assez.
La comparaison à autrui est une perte de temps. Il n’y a pas de tableau des scores dans la vie.
La peur de la mort est en grande partie futile. Vivez si bien que vous serez toujours prêt.
Tout est approximatif. Ne cherchez pas à avoir raison, mais plutôt à avoir moins tort.
Il est préférable de ne pas avoir d’opinion que de suivre aveuglément celle de quelqu’un d’autre.
Le cynisme résulte souvent d’une mauvaise perspective.
La frontière est mince entre l’optimisme et la naïveté. Marchez prudemment.
L’honnêteté brutale, même si elle est parfois blessante, crée des liens plus forts.
La décision la plus importante est de choisir ce qui vous importe.
L’équité n’existe pas, et s’en morfondre rend malheureux. Cependant, se battre pour a de la valeur.
Oui, certaines personnes ont plus de talent inné. Mais le talent ne suffit pas.
L’estime de soi et la confiance intellectuelle sont primordiales. Travaillez-les.
Soyez indulgent avec vous-même face aux échecs. Ils ne vous définissent pas réellement.
La vie est longue. Si vous utilisez bien votre temps, vous pouvez faire ce que vous voulez.
La vie est courte. Ne perdez pas de temps avec ce qui n’en vaut pas la peine. N’attendez pas qu’il soit trop tard.
Je ne poste plus (directement) de contenu sur Facebook, pour des tas de raisons que j’ai longuement détaillées ici : Faites sortir vos proches de Facebook Or, aujourd’hui, Facebook a réussi à me rendre furieux, même si j’ai tout fait pour ne plus alimenter ce monstre qui se nourrit de notre vie privée. J’avais arrêté de poster des textes afin que Facebook n’analyse plus mes faits et opinions. J’avais arrêté de publier des photos afin que Facebook ne traque plus ma présence ni celle de mes proches. J’avais supprimé l’application qui consommait beaucoup trop de batterie, et pour cause : elle traque sans cesse notre géolocalisation et elle enregistre nos conversations en temps réel ! Cependant, j’avais conservé mon compte car nombre d’entre vous l’utilisent encore pour m’inviter à des événements, voire pour tenter de me joindre via Messenger.
Et aujourd’hui Facebook a dépassé les bornes : Ce matin, j’avais un rendez-vous professionnel avec un client que je n’avais jamais vu, jamais contacté, et dont je n’avais jamais entendu le nom. J’arrive à l’accueil, on demande cette personne, on passe 1h avec elle, puis je m’en vais. Sur le trajet de retour, je consulte Facebook, et là je vois apparaître la personne en question dans les « contacts suggérés » ! Au début j’ai cru que Facebook avait réussi à écouter mes conversations via la version mobile de mon navigateur, et puis j’ai réalisé que j’avais pris en photo la carte de visite de cette personne, et que je l’avais envoyée par WhatsApp… qui appartient à Facebook ! C’était évident : WhatsApp ne s’est pas privé de scanner ma photo, en lire le texte, repérer le nom de mon interlocuteur, remonter le tout à papa Facebook qui a pris l’initiative de me proposer ce nouvel ami. Quelle coïncidence, WhatsApp et Facebook viennent justement de recevoir une mise en demeure de la CNIL pour transmission de données illégale : https://www.cnil.fr/fr/transmission-de-donnees-de-whatsapp-facebook-mise-en-demeure-publique-pour-absence-de-base-legale
Et maintenant on fait quoi ? Vous je ne sais pas, mais personnellement je vais : Encore moins utiliser Facebook (svp, utilisez des alternatives pour m’inviter à vos événements) Désinstaller WhatsApp et passer à Signal : https://signal.org/ -> Aussi pratique, mais qui respecte votre vie privée.
Le principe d’équivalence, pierre angulaire de la théorie de la Relativité générale d’Einstein vient d’être testé et validé avec une précision inégalée.
Le satellite MICROSCOPE du CNES a démontré avec une précision de l’ordre de 10 puissance -14 (13 zéros après la virgule), que les corps tombent dans le vide avec la même accélération, quelle que soit leur masse, confirmant par là-même l’expérience de Galilée il y a 500 ans et la théorie centenaire d’Einstein. So Badass ! 😎 L’expérience a consisté à faire tomber deux masses (400g de platine et 300 g de titane, cf. photo) et de mesurer d’éventuels écarts de vitesse. Et plutôt que de les faire tomber de la Tour de Pise, pour les faire tomber vraiment très longtemps, on les a « jetées par terre tout en ratant le sol« , comme le précisait Douglas Adams... Bref, on les a mises en orbite à 700km de la terre.
On confirme donc que la gravitation n’est pas une force qui s’exerce depuis un objet vers un autre, mais une déformation de la structure même de l’espace-temps. Honnêtement, on n’est jamais vraiment serein à l’idée de tester à nouveau une telle théorie fondamentale… La relativité générale fonctionne très bien mais elle ne constitue pas aujourd’hui une théorie définitive puisqu’elle n’intègre pas les lois de la mécanique quantique, qui elles aussi fonctionnent très bien. On cherche toujours le cadre commun aux quatre interactions fondamentales. Et si le moindre écart avait été détecté, il aurait fallu tout revoir, tout repenser. Mais c’est ça la méthode scientifique : même quand on est certains, et parce que l’on souhaite toujours progresser, on teste en permanence, pour confirmer… ou infirmer, sans craindre de balayer instantanément des siècles de croyances.
Au milieu des médiocres et pathétiques actualités, entre un prince qui se marie et un chanteur alcoolique en fin de vie, voilà une information vraiment intéressante pour l’humanité
Carrie Poppy est journaliste d’investigation. Elle anime le podcast « Oh No, Ross and Carrie » dans lequel elle étudie les les allégations relatives au paranormal et à la spiritualité, en leur accordant toujours le bénéfice du doute. Elle infiltre des groupes de pseudo-sciences pour enquêter sur leurs pratiques et vérifier la probité des mystères annoncés. Elle va par exemple volontairement se faire exorciser pour vérifier si l’exorciste a recours à des stratagèmes psychologiques pour tenter de la convaincre qu’elle est possédée. Son approche vis à vis des croyances d’autrui est très respectueuse, et son analyse des vérités extérieures et vérités intérieures est empreinte de compassion. A ce jour, après plus de 70 enquêtes, même avec la plus grande bienveillance et l’envie farouche de constater un véritable phénomène inexpliqué, le constat est rude pour le paranormal… Car même derrière la plus grande des sincérités, les croyances restent des palliatifs que nous utilisons pour expliquer l’inexplicable. On n’y croit pas sur base de preuves. On y croit précisément parce que nous n’avons pas de preuve.
Je vous invite à écouter son TEDx enregistré à Vienne l’année dernière :
En octobre 2017, j’ai répondu aux questions du journal Agefi Luxembourg (actualité financière, économique et européenne) sur un sujet qui m’intéresse fortement : la Blockchain. Cet article a ensuite été relayé par onepoint, et je le place ici pour archive.
Longtemps le secteur financier a considéré avec défiance la technologie Blockchain. Il entrevoit aujourd’hui de réelles opportunités grâce à cette technologie. Quel est votre avis ?
Il est important de replacer la Blockchain dans le contexte historique de sa création afin de comprendre les enjeux auxquels elle a tenté de répondre. Il y a 10 ans débutait la « grande récession », la crise financière amorcée par les subprimes a créé une méfiance envers les titres de créances et plus généralement envers les institutions financières. C’est ce que Satoshi Nakamoto a tenté de résoudre en 2008, répondant ainsi au besoin d’une monnaie hors de l’emprise des banques et des gouvernements. « Le problème de fond avec les devises classiques réside dans la confiance nécessaire pour les faire fonctionner. La Banque Centrale doit s’engager à ne pas déprécier la devise, et pourtant l’histoire des devises fiduciaires est emplie de contre-exemples à l’encontre de cet engagement. Les banques doivent s’engager à détenir notre argent et à le transférer électroniquement, mais elles le prêtent dans des vagues de bulles de crédit avec à peine une fraction du montant en réserve. Nous devons leur faire confiance quant à notre vie privée, de crainte que des voleurs d’identités ne vident nos comptes » expliquait en 2009 Satoshi Nakamoto. En créant le Bitcoin, son postulat était clairement assumé : « Une version purement pair-à-pair d’argent électronique permettrait des paiements en ligne, envoyés directement d’une personne à l’autre, sans avoir à passer par une institution financière. » Bitcoin Whitepaper, 2008.
Une devise mondiale, échangeable de gré à gré, sans intermédiaire de confiance permettant d’assurer les mêmes garanties que les banques. Naturellement, cette méfiance fut réciproque, et c’est non sans une certaine incrédulité que le secteur financier regarda naître cette crypto-devise et ses concepts sous-jacents. Comment considérer autrement un outsider prétendant vous remplacer en renversant les fondations même de votre business model ? Les banques ne se voyaient pas substituées du jour au lendemain par des concepts algorithmiques et mathématiques, aussi puissants fussent-ils. Elles avaient survécu à l’émergence des banques en ligne. Et si cette Blockchain venait à confirmer ses prétentions ? Elles pourraient toujours adopter une stratégie équivalente en rachetant les principaux acteurs du marché. Et puis plus rien… outre la spéculation croissante autour du Bitcoin, qui atteignit sa parité avec le dollar en 2011, il fallut attendre 7 ans avant de voir bouger les pièces maîtresses de l’échiquier.
En 2015, on ne parlait alors plus de « la Blockchain » et du Bitcoin mais bien « Des Blockchains » agrémentées de nouveaux services bien plus prometteurs qu’une simple devise virtuelle. Ethereum était né et offrait via ses Smart Contracts de réelles opportunités au travers de cas d’usage concrets : ce code immutable distribué permettait de dématérialiser et de certifier de nombreux aspects de la chaîne des métiers bancaires : trading, règlement (on parle du remplacement de SWIFT par Ripple), dépôt de titres infalsifiables, bases de registres KYC partagées, lutte contre le blanchiment de capitaux, etc. La défiance était passée. Il convenait à présent aux acteurs de la finance de prendre le train déjà lancé qui pourrait finalement apporter de belles opportunités au secteur. Afin de ne pas avancer seuls, des consortiums furent créés. Il était nécessaire d’être présent et visible en lançant des initiatives. Cependant, rapidement, la communauté des crypto-devises comprit que, bien que fondées sur les concepts de la Blockchain, ses ambitions étaient empreintes d’une certaine réserve. Il devenait nécessaire pour les banques de s’approprier la Blockchain pour en faire un avantage. A ce titre, le Consortium R3, fondé en 2015 et qui compte aujourd’hui plus de 100 institutions financières du monde entier, a présenté en 2016 sa réinterprétation de la Blockchain : « Corda », une plateforme visant à faciliter les accords financiers entre les institutions, avec un postulat rejetant formellement cette parenté : « Nous ne construisons pas une Blockchain. (…) Nous rejetons la notion selon laquelle toutes les données devraient être partagées entre tous les participants. » expliquaitRichard Gendal Brown en 2016, créant ainsi la confusion sur la volonté réelle du secteur de s’engager dans ce domaine.
Avec un Bitcoin dépassant les 4000 euros en juillet dernier, 2017 est l’année où les premiers grands acteurs affichent clairement leur position non seulement vis-à-vis des Smart Contracts, mais aussi plus simplement vis-à-vis du Bitcoin et de la spéculation attenante. Par exemple, Goldman Sachs vient d’annoncer la possibilité imminente de traiter des Bitcoins et autres crypto-monnaies comme n’importe quelle autre devise. A contrario, Jamie Dimon, PDG de JPMorgan Chase, y voit une escroquerie et prédit leur implosion. Force est de constater que le secteur financier a maintenant admis que les Blockchains ont un bel avenir en perspective, et qu’il devient nécessaire de les intégrer pour développer et proposer des services autour de cette offre. Certains acteurs sont plus avancés que d’autres, mais entre ceux encore à la recherche de cas d’usage et ceux ayant déjà validé de nombreuses preuves de concept, les véritables sujets en production sont encore rares. Les sollicitations croissantes portent à croire que les premiers projets en production dans le secteur financier arriveront début 2018.
Comment la Blockchain change-t-elle nos façons de travailler ?
Aujourd’hui la Blockchain n’a encore rien révolutionné dans notre quotidien. Les acteurs du marché – qu’ils soient de l’IT ou de la Finance – en sont encore à la mise en œuvre. Et pourtant, nous sommes certainement face à une révolution équivalente à l’apparition d’Internet il y a 30 ans. Tout comme internet à l’époque, la démocratisation de la Blockchain prendra du temps. C’est un outil fabuleux dont il va falloir appréhender le fonctionnement et les opportunités. La Blockchain est avant tout un protocole d’échange, et à ce titre son implémentation dans les systèmes d’information devrait être transparente pour les utilisateurs et les clients. La sécurisation des transactions par exemple n’est pas un concept nouveau. En revanche, il faudra que chacun reste attentif sur les questions de vie privée, car la Blockchain est avant tout un registre public. Les transactions effectuées et les informations stockées peuvent être lues et retracées par tous. On imagine bien les conflits potentiels qui pourraient naître des exigences de la RGPD ou du droit à l’oubli numérique par exemple. A moyen terme, l’impact sur nos modes de travail pourrait être la remise en question totale de certaines activités professionnelles : quid des métiers reposant exclusivement sur la certification ou le dépôt de confiance ? On pense naturellement aux notaires mais certains services bancaires comme les dépôts de titres ne sont pas à l’abri ! La transformation digitale devra comme souvent être accompagnée d’une transformation RH.
J’ai envie de vous parler d’un mot rigolo : la zététique. Définie comme « l’art du doute », la zététique est présentée comme « l’étude rationnelle des phénomènes présentés comme paranormaux, des pseudosciences et des thérapies étranges ». Cette discipline existe depuis 2000 ans et promeut l’approche méthodologique scientifique pour faire la part entre la science et les pseudo sciences. Cette recherche de vérité scientifique s’effectue par une méthode de sélection des idées et des modèles intellectuels qui décrivent le réel, le tout étant de faire le tri et d’évincer tout ce qui essaie de singer l’autorité de la science (une blouse blanche, ça fait toujours crédible…) sans la méthode sur le fond. La science est humble et confesse qu’elle ne possède pas de vérité pérenne. En revanche, elle est auto-corrective. La vérité est une erreur rectifiée, et se démarque en ce sens de la croyance qui reste fondamentalement immuable. Les pseudo sciences profitent de ce doute et proposent de gérer les zones d’ombres pour lesquelles la science moderne n’a pas de certitude.
« La seule vérité sacrée est qu’il n’y a pas de vérité sacrée : toutes les affirmations doivent être examinées avec un esprit critique ; les arguments d’autorité sont sans valeur ; tout ce qui ne correspond pas aux faits doit être rejeté ou révisé. La science n’est pas parfaite. Elle est souvent mal utilisée. C’est seulement un outil, mais c’est le meilleur outil que nous ayons. » (Carl Sagan)
Pourquoi ces pseudo sciences se répandent si facilement ?
Tout d’abord parce que le raisonnement scientifique n’est pas naturel chez l’homme, et les théories qui en découlent sont parfois même totalement contre-intuitives, ce qui n’aide pas à leur accorder le crédit qui leur est dû. Bien souvent, les lois de la physique contredisent même toutes les observations :
« les corps chutent à la même vitesse, quelle que soit leur masse »… force est de constater que ce n’est pas vrai : une boule de bowling tombe plus vite qu’une plume… Cela s’explique certes facilement (les frottements de l’air qui sont inversement proportionnels à la masse volumique), mais pour qui ne cherche pas à comprendre, il est plus facile de réfuter la théorie scientifique, voire d’invoquer une force surnaturelle qui retiendrait le ballon de foot.
« La terre tourne autour du soleil »… honnêtement, une simple observation nous montre le contraire puisque c’est apparemment le soleil qui fait le tour. Ce qui fait peur c’est que, encore aujourd’hui, 30% des européens en sont convaincus !
Et si cela ne suffisait pas, les biais cognitifs nous enseignent que notre cerveau va plus facilement se réfugier derrière une justification irrationnelle plutôt que de remettre en question ses croyances et chercher à comprendre. Saleté de cerveau, on ne peut avoir confiance en personne… Les pseudo sciences profitent de ces doutes et alimentent une défiance envers les sciences. Rien que le vocabulaire employé sème la confusion : les mots sont judicieusement choisis pour induire en erreur : elles parlent de « médecine douce », en opposition à la médecine scientifique qui serait de fait dure et néfaste. Internet a grandement contribué à la diffusion large de ces croyances, et l’on sait que la libre concurrence des idées ne favorise pas toujours les approches les plus méthodiques. Et même quand des sujets ont déjà été réfutés depuis longtemps, les informations fallacieuses reviennent et abondent plus que jamais. Car les acteurs des pseudo-sciences ont vraisemblablement du temps libre et saturent l’espace d’expression, alimentant la confusion entre visibilité et représentativité. Et malheureusement, cette énergie n’a pas le même écho chez les scientifiques qui ne prennent pas assez le temps de réfuter, d’expliquer, de vulgariser. Il y en a de plus plus, c’est bien, mais il en faut encore plus, car corriger une erreur apparaît aussi important que de faire une nouvelle découverte.
A qui profite le crime ?
La science est testable et réfutable. Ceci dit, les pseudo-sciences le sont aussi. D’ailleurs, homéopathie, sophrologie, ostéopathie, astrologie, et voyance ont depuis longtemps été testées… et réfutées ! De 1987 à 2002 fut ouvert le « défi de la zététique : Vous prétendez avoir des pouvoirs… prouvez-le !« , avec comme récompense 200 000 euros pour qui parviendrait à prouver un phénomène paranormal. 264 candidatures, parmi lesquelles « Je peux détecter les billets de loterie gagnants, sans pendule« , « Je peux dialoguer avec l’au-delà via livres, télévisions, radios, télépathie acquise suite à une sortie hors du corps…« , « Je suis capable d’assurer la prévention des accidents d’avion par l’astrologie« , « Je peux lire dans le marc de café le passé, le présent et le futur d’une personne« , … bref, <spoiler> aucun candidat n’a jamais pu apporter de preuve. 264 échecs, mais finalement assez peu d’escrocs furent recensés. La plupart du temps, ceux qui croient dans les pseudo-sciences sont de bonne foi. Ils ont leurs raisons, même si elles sont subjectives et fausses. Malheureusement, même une croyance naïve peut devenir pernicieuse lorsque les acteurs de ces pseudo-sciences commencent à discréditer la médecine moderne et mettent ainsi en danger ceux qui les écoutent. La dernière mode ce sont les anti-vaccins, récemment portés par Isabelle Adjani. Non seulement leurs arguments sont tous faux, scientifiquement réfutés, mais ils bénéficient d’une acceptation inquiétante puisque aujourd’hui 41% des Français se méfient des vaccins. Pauvre Pasteur…
Retour au moyen-âge ?
Alors comment faut-il réagir ? Laisser dire et accorder un libre champ à la « démocratie des crédules » ? Surtout pas. Selon moi, l’éducation est la clé. Il faut initier les jeunes le plus tôt possible à la pensée méthodique et à l’esprit critique, leur donner les armes intellectuelles pour douter et ne pas accepter les arguments d’autorité.
« Rising prophecies, assuring, frightening, comforting A truth seems to rise from inevitable signs Or do we see signs where we want to see them ? » (The Aching Beauty – The Hundredth Name)
