Personnellement, je pense que le modèle SVOD / licence globale derrière la proposition 5.3 (je peux facilement comprendre mes droits vis-à-vis des films que je loue, achète ou stream avec un abonnement illimité) est loin d’être idéale, on le voit clairement avec Deezer/Spotify.

A défaut, je prends le clavier et ce billet sera sous la forme Creative Commons BY 2.0, ainsi on pourra le copier librement ailleurs et le modifier comme on veut. Si quelques volontaires souhaite monter une association, un chemin long, fastidieux mais certainement positif pour le dialogue des acteurs du secteur, qu’il se sente pousser des ailes.

Pour les pressés, aller directement à la synthèse des propositions à la fin du billet.

Plus le temps passe (et presque rien ne change), plus il devient urgent pour les gens de l’autre coté de la barrière – les ayants-droits (AD) en tête – comprennent l’offre qu’aimeraientt trouver les gens dans leur salon, depuis leur chambre d’étudiant, derrière leur clavier.

Fût une époque pas si lointaine où les gens autour de moi étaient fiers de revenir chez eux avec un CD ou un DVD. Aujourd’hui, ces formats sont socialement devenus ringards et aucune plateforme n’a réellement bonne presse. Oui, les gens en arrivent à dépenser  pour accéder à des plateformes comme feu MegaUpload, et re-oui, les sommes versées (une soixantaine d’euros) sont insuffisantes. A l’opposé, dépenser dans du matériel home-cinéma, dans des galettes DVD/Blu-Ray et en cinéma, coûte cher.

Subscription VoD (SVoD) versus consommation à l’acte

Ces deux modèles font débat. Le modèle à l’acte est certainement le plus rémunérateur surtout si l’on regarde ce que touchent les artistes via les systèmes d’abonnement Premium comme Deezer ou Spotify. C’est aussi un modèle défendeur par Apple et son fondateur Steve Jobs : chaque oeuvre doit être rémunérée.

Pourquoi ne pas dynamiser les modèles à l’acte comme dans la distribution classique ? Les idées ne manque pas :

• lot de films (3 pour 30 €)
• abonnement jusqu’à y films par mois (aux plateformes de VoD de prendre les risques calculés),
• modèle à étage (jusqu’à 10 films/mois pour 100 € puis 50 € les 10 films suivants) ?

La fraîcheur et la taille du catalogue

Contrairement aux Etats-Unis ou le marché de la vidéo est plus créatif en terme d’idées (regardez HBOGo, ou UltraViolet), la France est dotée de mécanismes complexes que peu d’entre nous sont à même de comprendre. Une simplification des dates de disponibilité et des supports s’impose pour regagner la confiance des consommateurs.

L’idée d’avoir une sortie mondiale (DMMS #4.1) est séduisante mais me paraît compliquée mais intéressante. Pourquoi ne pas la garder sous forme d’exception ou de quota ?

Il gaut garder en têtre que de nombreux métiers qui se sont créés ces derniers décennies : la vente de film sur support physique, les loueurs -physiques ou en lignes-, les chaînes de télévision Premium comme Canal+. A cela est venu s’ajouter les offres de VoD puis les abonnements type SVoD. Faire table rase de cette hiérarchie complexe nécessite des arbitrages. Comment faire ? Tout allant plus vite aujourd’hui, l’exploitation d’une vidéo devrait être plus proche de celle d’un jeu vidéo que d’une VHS. Quelques semaines en exclusivité au cinéma puis une mise à disposition DVD/VoD simultanée. Après tout DVD et VoD sont équivalents non ?

La qualité

Les amateurs de musique et de vidéos (films, série, documentaires…) ont vu d’énormes changements ces dernières années : avènement du CD-Audio, puis le DVD jusqu’à encore récemment le Blu-Ray pour la haute définition. Avant cela, on s’épuisait les yeux sur des VHS et sans parler de nos oreilles (laissons de coté le vinyl :)

Sans vraiment que personnellement je comprenne pourquoi, on a fait un retour en arrière avec les MP3 et films disponibles en VoD, idem avec la télévision par ADSL. Qu’on soit dans l’offre légale ou dans l’hypothèse d’un film « piraté », le résultat était une catastrophe : basse résolution, une seule bande son en stéréo, pas de sous-titre.

Ces dernières années, les distributeurs et ayant-droits ont commencé à comprendre cela et on trouve maintenant (enfin !) les films en HD à la location ou l’achat. Mais l’expérience est très loin d’égaler le DVD ou le Blu-Ray car il manque souvent des pistes audios, des pistes de sous-titres (critères #2 de DMMS) et les bonus ne font quasiment jamais parti de l’offre.

Mais quel est le problème ? Vous avez certainement entendu des réponses comme cela :

• le haut débit n’est pas assez développé, il faut que « ça passe » partout
• les machines pour lire le film ne seront pas assez puissante
• ça coûte trop cher à diffuser en bande passante
• bref, c’est trop compliqué…

Lisibilité

Trouver un film à acheter ou à louer reste un casse tête :

• Clavier virtuel pas pratique sur les TV, consoles ou box
• Pas de recherche universel sur la télévision
• A l’inverse sur le web où Allociné et MySkreen tente de cataloguer le maximum d’oeuvres, c’est Google qui fait office de première étape bien souvent avec une pollution des résultats. Un sujet visiblement étudié de près à l’Hadopi.

Le prix

Vaste sujet, regardons les coûts de produits similaires ou connexes

• Les abonnements musique Premium : 10 € par mois
• Un abonnement à Canal+ : 40 € par mois
• Un DVD/Blu-Ray fraîchement sorti : 15/20 €
• Un DVD/Blu-Ray plus ancien de quelques mois seulement peut tomber à 5/10 €
• Abonnement Premium MegaUpload : 5 €

Les prix de la VoD sont entre 5 et 8 € un film en location. Et entre 10 et 15 € un film à l’achat. Beaucoup moins qualitatif, impliquant  beaucoup moins d’intermédiaires (pas de gravure, d’emballage, de transport, étiquettage, mise en rayon).

Quel serait le juste prix ? Pour démarrer je dirais entre 50 et 100 € par mois. C’est l’équivalent de 5 Blu-Ray, ça vise le marché haut de gamme, à l’image de toutes les nouvelles technologies sur le marché. Certains critiqueront qu’une telle offre est inaccessible. C’est toujours mieux que rien du tout, c’est aussi le prix d’une sortie à quatre personnes au cinéma.

En résumé

1. Catalogue : un catalogue large et frais, au diable la chronologie des médias d’un autre siècle
2. Qualité : Haute Définition (off et on-line), pistes audio DTS voire plus, sous-titres (au minimum le français !)
3. Positionnement/prix : visez haut de gamme, entre 50 et 100 € par mois
4. Gestion des droits : simplifier et réguler les offres (les labels sur un site inconnu ne suffisent pas)

Et vous quelle est votre offre idéale ?

Les datas

Ca serait bien qu’Orange se mette sérieusement à l’authentification EAP-SIM. Quitte à autoriser le Wi-Fi illimité aux points d’accès Orange (et parfois certains partenaires), c’est stupide de ne pas laisser décoller les usages data via le WiFi et de laisser saturer les réseaux mobiles. Une application qui se connecterait toute seule au hotspot Orange ou partenaire ça serait bien aussi, à l’image de ce que fait SFR.

Si WiFi il y avait, le forfait data serait moins sollicité. Et surtout il pourrait servir au mode modem. C’est mesquin de faire payer l’option sur une offre pro. Bref, personne ne demande à ce que ce soit sur les forfait premier prix, mais passé un certain budget mensuel, ça devrait être intégré !

Je ne sais pas pour vous mais le mode push sur iPhone m’empêche de recevoir correctement les appels. Ok, je reçois plusieurs centaines d’emails par jour. Je ne sais pas si c’est un défaut de l’iOS ou la façon dont s’est géré par Orange. C’est dommage, en attendant je sauve de la batterie :-)

Les datas à l’étranger

Je n’ai toujours pas compris la facturation à la session. Mais bon, soit. Orange, vous faites des forfaits quand on est à l’étranger. Sauf que pour y accéder c’est la croix et la bannière via les menus du service vocal (il faut 5 ou 6 numéros pour y accéder !) ou via le site web. C’est un vrai parcours du combattant. Une option dans une de vos applications ou une commande via le clavier du téléphone ça serait tellement mieux.

Reporting

Connaitre l’usage de son forfait data, c’est compliqué. L’application Orange et moi c’est un peu le désert pour ce qui est des consommations de data. On sait qu’on a l’option, on ne sait pas où on en est sauf quand la sanction du débit limité va intervenir bientôt. Dommage. Ca doit quand même pas être si compliqué si ?

En France passe encore. Mais à l’étranger, c’est indispensable.

Qualité du réseau

Je dois admettre qu’à part quelques endroits ennuyants (genre sur mon lieu de travail mais il paraît que ça va s’arranger « un jour »), la réception est bonne et les débits data toujours performants. Dommage qu’il n’y ait pas d’option « femtocell » disponible pour les particuliers, ça aurait été idéal. On a beau se vanter être le meilleur réseau, ça passe pas partout Monsieur Orange.

Ca serait bien aussi d’avoir une meilleure connectivité dans les transports en commun. Je comprends toujours pas que dans la gare Transilien de la Défense on ne puisse pas correctement se connecté. Ni même dans le hall des quais du RER A. Pas assez de clients à servir ?

Au rayon des vieillerie, l’option (gratuite la plupart du temps) Unik est toujours possible sur Blackberry et quelques autres modèles.

Le service client

J’ai rarement eu à faire à l’équipe de support à vrai dire. La dernière fois, il m’avait downgrader mon forfait sur une offre qui n’était pas au catalogue. C’était il y a déjà pas mal de temps. Depuis pas de nouvelle en dehors d’un ou deux questionnaires de satisfaction pour lesquels on m’avait proposé un réengagement contre quelques maigres euros de réduction. Je déteste cette méthode et visiblement elle fait aussi des émules chez la concurrence (lire l’excellent billet de Numérama à ce sujet).

Le reste est de qualité moyenne de ma petite expérience. Mon premier désimlockage a nécessite 3 appels (!) et le second est en passe de faire la même chose (le menu sur le site ne fonctionne pas ? embouteillage passagé ?).

Petite anecdote au passage : lors d’un voyage à l’étranger, je me suis vu avoir besoin de data en roaming. Orange coupe par sécurité après quelques warning par SMS sur l’usage et les frais que cela implique. J’ai du appelé le service client à une heure pas recommandable pour que la situation s’arrange et ça s’est débloqué dans les minutes qui ont suivie.

Récemment est arrivé le support Twitter via @orange_conseil. La petite équipe derrière est efficace, rapide et plein de bonne volonté. Une bonne alternative pour les gens qui savent de quoi ils ont besoin.

Ce qui manque le plus, c’est un service à la carte où l’on composerait un peu le forfait idéal. Je débattrais pas là dessus mais trouver le bon équilibre entre qualité du support et le prix (téléphone, communication, data…) est important quand son téléphone est un outil de travail.

Les autres options

L’assurance « smartphone » à 9 € n’est pas une mauvaise option si vous êtes exposé aux risques de vol et de casse accidentelle. Attention les conditions sont très limitées et un défaut matériel ne sera pas pris en charge. Il faut le coupler à une extension de garantie comme l’AppleCare si vous souhaitez être presque totalement couvert.

Quoi d’autres ? La navigation sur le portail n’est pas au top, le changement de mobile fait à chaque fois regretter des années de fidélité.

Ci-dessous : illustration de la cohérence du portail d’Orange.

Le mot de la fin

Changera, changera pas… difficile à dire. Le service client est un besoin primordial tout comme une bonne réception… voix. Rien n’empêche d’aller chercher les mêmes options chez un autre opérateur voire même de compléter par des services externes, je pense aux assurances. Pas simple mais on jamais eux autant le choix que depuis le 10 janvier. A suivre.

C’est ce qui nous empêche de franchir le cap du numérique pour ce qui est de la vidéo légale.

A défaut d’avoir du temps, voici une idée qui mériterait d’être étudiée voire même développée :

Contexte (pas glorieux)

En France pour regarder un film récent, on a 2 ou 3 choix qui sont loin d’être « pratique » :

• Aller au cinéma : c’est fun mais parfois on est bien chez soi aussi !
• DVD/Blu-Ray : il acheter le fameux disque puis trouver un lecteur, ou l’importer sur un média center (au titre de la copie privée)
• S’abonner à Canal…

Il existe des tas d’autres solutions comme la VoD, la location etc… mais c’est assez peu pratique et au final on en revient souvent aux trois premières solutions si on veut voir une vidéo « récente ».

Bref, l’idée d’une communauté de petits cercles familiaux a fait son chemin de ma tête en prêtant des DVD régulièrements à des amis proches / collègues.

L’idée

Qui d’entre nous n’a pas ses armoires rempli de DVDs inutilisés ? La loi française autorise le prêt de ces objets/oeuvres dans la limite d’un cercle dit « familial ». Peu d’entre nous prennent le temps de lister ces DVDs afin que vos proches vous les empruntent.

L’idée serait de développer un lieu communautaire (un site) qui permettent à chacun d’entrer sa DVDthèque, puis d’y retrouver ses proches. Ces derniers pourrait consulter votre liste de DVD et d’un clin d’oeil vous demander de les apporter le lendemain ou la prochaine fois que vous les croiser.

Old school power

C’est complètement off-net, mais en attendant ça vous permettrait d’avoir mieux que la programmation de vos chaines. Cerise sur le gateau, les supports physiques sont quasiment tous en VO, avec des pistes sous-titrées et du son bien calibré (5.1 et plus).

Concrètement ça ressemblerait à un mélange entre le co-voiturage appliqué au DVD, saupoudré d’un soupçon de PriceMinister, Allociné et Facebook. Les groupes de proches resteraient complètement étanches et une personne pourrait appartenir à plusieurs cercles, pour coller au plus près à l’idée du législateur. Les valeurs de la rétributions des créateurs seraient primordiales : vous aimez le film qu’on viens de vous prêter ? Achetez-le.

Une telle initiative ne serait pas une incitation à un quelconque détournement de la loi mais plus une optimisation de l’utilisation de cette dernière. C’est dommage que vos DVD croupissent dans vos armoires non ?

Le modèle économique pour celui qui créer un tel site pourrait être simplement la publicité (affiliation par exemple) afin que les impatiences qui ne peuvent attendre quelques jours que leur proche leur apporte le DVD, puisse acheter directement le DVD ou la VoD s’il s’agit d’un film un peu ancien.

Vous en pensez quoi ?

A lire

• Blog ZDNet de Pascal Lechevallier : Exclusif : réunis par le CNC, les professionnels du cinéma veulent privilégier le maintien de la chronologie des médias actuelle

Il trouvera sa place certainement chez quelqu’un souhaitant découvrir le monde du Mac à moindre coût.

En quelques mots

C’est un MacBook Pro de 2006, référence officielle Apple MacBook Pro (Late 2006). Son écran 15 pouces est équipée d’une dalle matte. Le portable est boosté à son maximum de mémoire vive (3 Go) et doté d’un disque dur relativement récent (2 ans) d’un capacité confortable de 500 Go (montage assurée par un Apple Center). La machine sera livrée avec un OS X neuf, comme si elle était neuve. Elle est aussi livrée dans sa boîte d’origine et je dois avoir la facture AppleStore d’époque (sous réserve de recherches fructueuses).

Le tout fonctionne très bien, usage quasi quotidien avec de la virtualisation VMWare, Eclipse, Pixelmator,

Par contre, comme la machine a 5 ans d’âge, il y a quelques défauts à connaître

• il y a une rangée de pixels grisés (morts je suis pas sûr jugez par vous même) sur la partie inférieure gauche. Cela ne s’affiche pas ni ne clignote en rouge/vert/bleu, c’est un trait grisé qu’on a du mal à voir sauf à être sur un fond blanc comme le montre la photo ci-contre. Ce n’est pas un trace sur l’écran, même propre cet artefact reste affiché.
• Cette génération de MacBook Pro précédait la génération Unibody, et donc un peu de peinture est partie aux endroits de frottement sur le bas du clavier (en dessous des touches Control, Alt, Pomme et les flèches de direction)
• La batterie ne tiens plus très longtemps (pas plus de 15 minutes), mais elle est amovible et peut être changé par une Apple authentique (139 € ouch !) ou une compatible genre celle d’AboutBatteries (71 €, c’est déjà plus digeste)
• Le témoin de l’alimentation MagSafe reste « vert » même lorsqu’elle est débranchée du Mac, c’est cosmétique comme détail mais ça n’empêche pas la batterie de se recharger ni la machine d’être alimentée
• Le lecteur Superdrive a du mal a lire nombre de CD/DVD, j’ai commandé un disque de nettoyage et on verra si ça améliore les choses. Sinon ça fait comme un MacBook Air :-)

Transaction

Pour le montant, difficile à dire. J’ai vu des machines de l’époque moins bien dotée en disque mais presque sans défaut pour 400 €. Je propose donc un rabais significatif en dédommagement de ces défauts donc 250 €.

A régler en liquide, sur Paris-quartier Étoile ou La Défense.

A oui dernier détail pour me contacter : antoine (a.r.o.b.a.s.e) drochon (p.o.i.n.t) net (retirez les caractères superflus {espace, point, parenthèse}

Détails techniques

Laissons parler « Informations Système »

Matériel :

Informations matériel :

Nom du modèle : MacBook Pro
Identifiant du modèle : MacBookPro2,2
Nom du processeur : Intel Core 2 Duo
Vitesse du processeur : 2,16 GHz
Nombre de processeurs : 1
Nombre total de cœurs : 2
Cache de niveau 2 : 4 Mo
Mémoire : 3 Go
Vitesse du bus : 667 MHz
Version de la ROM de démarrage : MBP22.00A5.B07
Version SMC (système) : 1.12f5
Numéro de série (système) : W864314AW0K
UUID du matériel : 00000000-0000-1000-8000-0017F2C3E25D
Capteur de mouvement brusque :
État : Activé

Gravure de disque :

MATSHITA DVD-R UJ-857D :

Révision du programme interne : KCVB
Interconnexion : ATAPI
Gestion de la gravure : Oui (lecteur livré par Apple)
Cache : 2048 Ko
Lecture de DVD : Oui
CD gravables : -R, -RW
DVD gravables : -R, -RW, +R, +R DL, +RW

Cartes Ethernet :

Marvell Yukon Gigabit Adapter 88E8053 Singleport Copper SA :

Cartes vidéo / moniteurs :

ATI Radeon X1600 :

Jeu de composants : ATY,RadeonX1600
Type : Processeur graphique (GPU)
Bus : PCIe
Longueur de la voie PCIe : x16
VRAM (totale) : 128 Mo

Disque dur :

WDC WD5000BEVT-00A03T0 :

Capacité : 500,11 Go (500 107 862 016 octets)
Modèle : WDC WD5000BEVT-00A03T0
Révision : 01.01A01
Numéro de série : WD-WXL409750108

Cette décision est justifiée avec des arguments qui parfois se tiennent, d’autres parfois frisent le ridicule comme le pretexte de la sécurité.

Microsoft suit  donc Apple qui avait ouvert le débats avec des MacBook Air livrés sans plugin Flash en novembre 2010, sans compter le système iOS, lui complètement dépourvu de Flash natif.

Flash n’est pas bon pour l’autonomie

Microsoft et Apple évoquent le problème d’autonomie diminuée à cause de la surconsommation de ressources CPU. C’est un fait. Même si Adobe a fait des efforts, certaines applications Flash s’avèrent très gourmandes et mettent facilement à genoux des ordinateurs un peu vieillissant. Il reste aussi une part de responsabilité aux développeurs, généralement peu soucieux des performances, fautes aux contraintes de temps et de budget. On pensera notamment aux publicités en ligne, souvent inutilement sur-cadencées.

L’expérience la plus flagrante est d’installer un plugin comme AdBlock et ainsi constater comment l’expérience de navigation sur Internet est différente !

Maintenant, cette même expérience prouve aussi que le Flash utilisé modérément est un bon outil, d’ailleurs la majorité des sites de vidéos de la planète reposent dessus ! Les expérimentations HTML5 sont prometteuses mais pas encore assez satisfaisante pour des conditions de production confiait YouTube sur son blog. Les vidéos sont maintenant accélérées par les cartes graphiques, ce qui rend la consommation de Flash bien moins importante.

Les standards HTML 5, CSS, Javascript

Selon Microsoft, cette décision serait justifiée car les normes d’aujourd’hui permettraient de se passer de Flash.

Pour certains besoins, c’est vrai.

Les fabricants de nos navigateurs – Apple, Mozilla, Google, Opera – se livrent à des batailles à coup d’histogrammes et de benchmarks, exactement comme dans l’industrie du hardware.

L’innovation est donc importante, et les technologies standardises telles que Javascript et CSS n’ont jamais été aussi performantes.

L’argument se tient à mon sens pour ce qui est animation simple dans les pages HTML 5. Le choix va donc pousser naturellement les webmasters à continuer leurs efforts dans ce sens. Cela va redonner une certaine universalité au web, tout comme il l’était avant l’apparition des plugins propriétaires.

Les impacts de cette décision

Les secteurs de la publicités en ligne et ceux de la vidéo vont être les premiers impactés par la décision de Microsoft.

Pour la publicité, le marché est assez complexe mais souvent déjà bien organisé techniquement pour utiliser du Javascript qui affiche soit une version Flash soit une version image animée (souvent GIF). Du fait de la complexité du parc des navigateurs installés, il y a fort à parier que cette solution va persister, le temps qu’HTML5 dispose d’outils matures comme l’a fait AJAX avec le Javascript.

Sur la partie vidéo, c’est beaucoup plus compliqué, la bataille des codecs (algorithme de codage/décodage de vidéo) fait toujours rage au niveau des navigateurs et des systèmes d’exploitation. HTML5 ne résoud rien car il ne prend le partie d’aucune solution. Celles les plus ouvertes sont le progressive download, le format HTTP Live Streaming (HLS) instauré par Apple et pour lequel Google promet un support partiel à partir d’Android 3 (Honeycomb). L’autre piste tourne autour du cousin d’HLS nommé MPEG DASH (Dynamic Adaptive Streaming over HTTP).

Si on ne sait pas comment réagiront les internautes, il y fort à parier qu’une partie d’entre eux souhaitant accéder aux vidéos sur la toile installeront d’eux même le plugin d’Adobe. D’autres seront frustrés et partiront sur les sites les plus offrants.

♦ ♦ ♦

Microsoft avait déjà semé un pavé dans la marre en apportant un soutien à HTML5 alors qu’il y a un plugin maison nommé Silverlight. Ce dernier n’a toujours pas su rivaliser avec Flash, toujours très en avance en terme de pénétration de part de marché. Internet Explorer quant à lui, subit une érosion de ses parts de marché, maintenant en dessous de 40%. De son coté Google avait fait le choix de réunir Chrome et le plugin Flash pour justement améliorer la sécurité de ce dernier. L’intégration avait été aussi plus poussée coté Firefox.

En défendant HTML5 et en luttant ainsi contre Flash, Microsoft cherche à redorer son blason sur le web, c’est indéniable. Les puristes apprécieront.

Maintenant, quelles solutions Microsoft va-t-elle promouvoir pour la vidéo ? C’est un secteur en pleine explosion et hautement stratégique. Dans sa division logicielle à destinations des professionnels, elle a commencé à se diversifier avec la possibilité de diffuser des vidéos au format HLS, juste après s’être révisé en faveur du codec H.264 et après avoir poussé le codec maison VC-1. La vidéo représente une partie importante de l’arsenal Microsoft, au même titre que la protection DRM nommé PlayReady qui s’appuie sur … Silverlight qui lui aussi sera évincé par défaut de Windows 8.

Au final, c’est le consommateur qui va devoir télécharger et cliquer et faire des installations. Est-ce réellement un progrès ?

Liens

• Mac4Ever : Quand Microsoft signe l’arrêt de mort de Flash

Apache HTTPD Security ADVISORY

==============================

Title: Range header DoS vulnerability Apache HTTPD 1.3/2.x

CVE: CVE-2011-3192:
Date: 20110824 1600Z
Product: Apache HTTPD Web Server
Versions: Apache 1.3 all versions, Apache 2 all versions

Description:
============

A denial of service vulnerability has been found in the way the multiple
overlapping ranges are handled by the Apache HTTPD server:

http://seclists.org/fulldisclosure/2011/Aug/175

An attack tool is circulating in the wild. Active use of this tools has
been observed.

The attack can be done remotely and with a modest number of requests can
cause very significant memory and CPU usage on the server.

The default Apache HTTPD installation is vulnerable.

There is currently no patch/new version of Apache HTTPD which fixes this
vulnerability. This advisory will be updated when a long term fix
is available.

A full fix is expected in the next 48 hours.

Mitigation:
============

However there are several immediate options to mitigate this issue until
a full fix is available:

1) Use SetEnvIf or mod_rewrite to detect a large number of ranges and then
either ignore the Range: header or reject the request.

Option 1: (Apache 2.0 and 2.2)

# Drop the Range header when more than 5 ranges.
# CVE-2011-3192
SetEnvIf Range (,.*?){5,} bad-range=1
RequestHeader unset Range env=bad-range

# optional logging.
CustomLog logs/range-CVE-2011-3192.log common env=bad-range

Option 2: (Also for Apache 1.3)

# Reject request when more than 5 ranges in the Range: header.
# CVE-2011-3192
#
RewriteEngine on
RewriteCond %{HTTP:range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$)
RewriteRule .* – [F]

The number 5 is arbitrary. Several 10′s should not be an issue and may be
required for sites which for example serve PDFs to very high end eReaders
or use things such complex http based video streaming.

2) Limit the size of the request field to a few hundred bytes. Note that while
this keeps the offending Range header short – it may break other headers;
such as sizeable cookies or security fields.

LimitRequestFieldSize 200

Note that as the attack evolves in the field you are likely to have
to further limit this and/or impose other LimitRequestFields limits.

See: http://httpd.apache.org/docs/2.2/mod/core.html#limitrequestfieldsize

3) Use mod_headers to completely dis-allow the use of Range headers:

RequestHeader unset Range

Note that this may break certain clients – such as those used for
e-Readers and progressive/http-streaming video.

4) Deploy a Range header count module as a temporary stopgap measure:

http://people.apache.org/~dirkx/mod_rangecnt.c

Precompiled binaries for some platforms are available at:

http://people.apache.org/~dirkx/BINARIES.txt

5) Apply any of the current patches under discussion – such as:

http://mail-archives.apache.org/mod_mbox/httpd-dev/201108.mbox/%3cCAAPSnn2PO-d-C4nQt_TES2RRWiZr7urefhTKPWBC1b+K1Dqc7g@mail.gmail.com%3e

Actions:
========

Apache HTTPD users who are concerned about a DoS attack against their server
should consider implementing any of the above mitigations immediately.

When using a third party attack tool to verify vulnerability – know that most
of the versions in the wild currently check for the presence of mod_deflate;
and will (mis)report that your server is not vulnerable if this module is not
present. This vulnerability is not dependent on presence or absence of
that module.

Planning:
=========

This advisory will be updated when new information, a patch or a new release
is available. A patch or new apache release for Apache 2.0 and 2.2 is expected
in the next 48 hours. Note that, while popular, Apache 1.3 is deprecated.

La semaine dernière, TorrentFreak a présenté un rapport sous un angle différent : celui d’un P2P apprécié des fournisseurs d’accès à Internet.

Un peu d’histoire

Le Peer-to-Peer est devenu populaire dès la fin des années 1990 avec Napster. L’idée de départ était de pouvoir échanger des données non plus depuis un serveur centralisé mais depuis un ou plusieurs internautes. On parle donc d’échange d’égal à égal contrairement aux échanges comme le FTP – plus ancien – qui de-facto implique une hiérarchie : un serveur où se connecte plusieurs clients.

Dix ans plus tard, le P2P a connu bien des disgrâces. BitTorrent fût sans doute celui qui a regagné quelques lettres de noblesses. La marque a su s’offrir quelques soutiens de poids dans l’industrie du jeux vidéos dont Blizzard. Pour que les joueurs puissent télécharger les volumineux fichiers d’installation de StarCraft II ou World of Warcraft, Blizzard a fait le choix d’une distribution complètement décentralisée, basée sur la technologie BitTorrent.

P2P à l’époque du réseau téléphonique commuté, du câble et du xDSL

Les technologies P2P ont cette particularité d’être intelligentes mais d’avoir à affronter des contraintes de poids, notamment la bande passante remontante (upload bandwith) des internautes (de leur connexion vers l’Internet).

La bande passante disponible dans les accès à internet domestiques sont en large majorité fortement asymétriques. Ce, depuis que nous surfons avec des modems connectés sur le réseau téléphonique. Vous pouvez télécharger 10 fois plus vite que ce que vous pouvez envoyer. On retiendra un ratio 1/10.

C’est un choix qui reflète nos usages : nous téléchargeons plus d’information plus que nous en envoyons. Un internaute n’est donc pas à même de dialoguer avec un autre internaute d’égal à égal. Cela n’impêche pas la logique P2P de fonctionner, mais cela consistue un frein pour l’égalité et la réciprocité des échanges.

Fibre et autre technologies

Les réseaux ont évolué et en France nous avons pu voir l’apparition de forfait moins asymétrique, à ratio 1/2. Ainsi Free et SFR, dans le cadre de leur offre fibre, proposent tous deux 100 Mbps dans le sens descendant et 50 Mbps dans le sens montant. De quoi relancer l’intérêt du P2P ! A noter qu’en France, Orange a fait le choix de garder son ratio de 1/10 même sur la fibre.

P2P et fournisseurs d’accès, le big ♥ ?

Il y a le bon P2P et le mauvais P2P. D’un coté le P2P « professionnel », minutieusement calibré et respectueux des réseaux (avec tout au plus quelques sessions ouvertes en simultané) et des équipements chez l’utilisateur. De les versions brutes, sans réel ajustement qui permet d’ouvrir des centaines de sessions, sous prétexte que cela peut aller accélérer les échanges.

La première catégorie a longtemps fait l’objet d’un certain silence vis à vis des fournisseurs d’accès. On s’arrête souvent à l’argument de bande passante qui n’est plus directement à la charge de l’expéditeur des données. Cet argument n’est pas totalement vrai car bien souvent les technologies peer-to-peer on besoin d’annuaire centralisé pour mettre en relation les pairs entre eux. Dans d’autres implémentations on va même jusqu’à trouver des serveurs pour compléter la capacité des échanges en P2P, on parle alors de solutions hybrides.

Là, on entre dans le domaine de l’optimisation de la diffusion, de la fluidication des échanges. Dans une diffusion traditionnelle client-serveur, les données s’écoulent par un seul chemin (déterministe, relativement fixe) passant par les interconnexions des fournisseurs d’accès.

Les solutions P2P cassent ce modèle, éclatent le nombre de chemin empruntés, apportent une meilleure efficacité, redondance et résilience.

Question de timing

Pourquoi ne peer-to-peerise pas nos réseaux ? La mise en place de telle solution n’est pas simple. Il existe de nombreuses solutions propriétaires et la toile ne s’est pas encore entendu sur un norme commune à l’image du HTML5 ou CSS. Le W3C s’y intéresse via un groupe de travail Web Real-Time Communication. L’aboutissement de cette première étape est prévue pour 2013.

En France, la chasse au Peer-to-Peer, symbolisée par la création de l’Hadopi, n’a pas aidé à la démocratisation de cette technologie, ni même à faire émerger de talentueuses entreprises dans ce domaine.

Malgré tout, des acteurs importants se positionnent, le P2P « pro » s’immiscent lentement dans Skype ou dans Spotify.  Et cela va continuer à mesure que le réseau grandit.

Liens

• TorrentFreak : Large ISPs Profit From BitTorrent Traffic, Study Finds [en]
• Royal PingDom : How P2P is finding legitimacy as BitTorrent sites struggle to change [en]

Les commentaires sont les bienvenus.

Nous consommons tous des données sur Internet. Ces données sont produites par d’autres usagers, à titre personnel (blog, forum, communautés) ou dans le cadre de leur profession. Pour mettre tout le monde en relation, il y a des réseaux connectés. L’essence même de l’internet. Ces réseaux sont plus ou moins importants, entretenus et améliorés par des acteurs comme les fournisseurs d’accès, de services, de contenus, de services de mise en relation. Tous ces acteurs échangent des données mais ce n’est pas là le plus important. Ces protagonistes de l’internet produisent de la valeur, contribuent à l’économie du réelle avec des services innovants, créent des emplois.

Cet écosystème évolue. Nous sommes de plus en plus à avoir un accès. Nous utilisons de plus en plus d’équipements différents pour se connecter. Autre point non négligeable, nous échangeons des données de plus en plus volumineuses, de plus en plus vite. Parce qu’une image vaut mieux qu’un long discours, disons que l’image ci-dessous est assez représentative, même si je la trouve pessimiste (la pente est souvent plus accentuée).

Source : Cisco

Et si on regarde de plus près ce qui transite, Cisco nous éclaire avec ce graphique illustrant les natures des contenus et leur pourcentage.

Source : Wired - The Web Is Dead. Long Live the Internet, Septembre 2010

Je vais volontairement écourter le chapitre tuyauterie pour aborder un sujet finalement très peu abordé, le travail des entreprises qui font cet écosystème.

Les fournisseurs d’accès

Le premier maillon de la chaîne, c’est le fournisseur d’accès à Internet (FAI). La définition française est assez limitante et nos FAI sont plutôt des fournisseurs de services comme le reflète mieux la définition anglaise : Internet Service Provider (ISP).

Et oui, Internet n’est qu’un service parmi tant d’autres qui sont la télévisions, le téléphone, l’accès aux portails privés de vidéo à la demande, l’enregistreur numérique et plus récemment les services comme les jeux vidéos. La liste n’est pas complète, peu importe.

Il est important de comprendre que les fournisseurs d’accès construisent, entretiennent et font évoluer leur réseau pour soutenir chacun de ses services, Internet compris. Les abonnés paient un abonnement qui couvre ces frais et leur permet d’accéder à Internet selon les conditions commerciales et techniques propres à votre lieu de connexion.

Notre pays a fait décoller le haut débit avec l’ADSL qui a démarré avec des abonnements dissuasifs à plus de 60 € / mois pour atterrir à des prix plancher au dessous des 30 € mensuels. En 2011, les prix des abonnements ont réamorcé une hausse, principalement pour des raisons de rééquilibrage par rapport à la réglementation. Reste que le coût de l’accès en France reste particulièrement bas, comparé à nos voisins anglais ou allemands ou même outre-Atlantique.

Les éditeurs de services

A l’autre bout des tuyaux de l’Internet, nous avons les fournisseurs de contenus et éditeurs services au sens large. Ils sont nombreux, certains sont des entreprises 100% Internet, d’autres ne consacrent qu’une partie de leurs activités au réseau des réseaux.

Ces éditeurs ont souvent besoin d’entreprises intermédiaires pour parler directement aux utilisateurs d’Internet, ou mettre ces derniers en relation les un avec les autres. Parmi ceux que vous utilisez au quotidien on retrouve des poids lourds : Apple, Amazon, Facebook, Google, Microsoft, Skype, sans oublier nos champions nationaux (Dailymotion, Price Minister, Vente Privée).

Pour ceux que ça intéresse voici un des nombreux classements des sites web sur le territoire national.

Les intermédiaires

Souvent méconnus, ils sont indispensables à la mécanique du maillage de l’internet. Les intermédiaires aident les deux extrémités (clients des FAI et éditeurs & utilisateurs de services)

Que font-ils ?

Ces entreprises investissent en recherche et développement, déposent des brevets, contribuent à des projets open-source. Elles créent des services et des produits et les vendent.

Qui sont-ils ?

Ce sont les très grands opérateurs réseaux Internet (dits tier-1) et petits & moyens, les hébergeurs, les équipementiers, les éditeurs de solutions logicielles, les Content Delivery Network (CDN) et les fournisseurs de solutions type Cloud. Ainsi on peut remonter toute la chaîne en tentant de les catégoriser ainsi :

• Réseaux (tier-1) : Tata, Level3, Tinet… (voir liste complète sur Wikipedia) ;
• Autres réseaux : ceux des FAI biensûr, puis OVH, Google, Limelight, Dailymotion, Iguane ;
• Equipementiers : Cisco, Alcatel, EMC, F5 ;
• Hébergeurs : Jet Multimedia, Typhon, Online/Iliad Entreprise, OVH ;
• CDN/Cloud : Akamai, Amazon, Limelight ;
• Editeurs logiciels : Projets open-source, Adobe, Oracle, Microsoft, Google, Mozilla, Apple… ;
• OVP : Brightcove, Ooyala, Kit Digital, Kaltura.

La « gray area »

Le point le plus important, rarement mis en avant dans les rapports d’experts, c’est le fait que ces acteurs évoqués ci-dessus ont souvent plusieurs cordes à leur arc.

Les hébergeurs opèrent des réseaux pour leur propre besoin, les FAI font de l’hébergement pour rééquilibrer la symétrie de leur réseau, et inversement, les CDN/Cloud offrent des services équivalents aux équipementiers… Les exemples sont nombreux :

• Level 3 est un opérateur réseau «Tier-1» mais fait aussi du CDN ;
• Les plus gros FAI offrent un support pour les offres de vidéos à la demande et télévision de rattrapage ;
• OVH historiquement hébergeur français, s’est lancé depuis quelques mois en tant que FAI ;
• Microsoft, éditeurs de logiciel (Windows Server, Internet Explorer, serveur web IIS, Silverlight), s’est lancé dans le Cloud avec Azure ;
• Google pour ses immenses besoins a du opérer un réseau et explore la partie FAI aux États-Unis ;
• Orange, FAI, hébergeur et opérateur réseau, possède désormais une partie importante d’éditeurs comme Skyblog, Dailymotion ou Deezer ;
• Enfin, les FAI, fort de l’augmentation du trafic, cherchent à optimiser leur réseau avec des technologies issues des CDN/Cloud.

Chacun y va de ses propres innovations mais tous doivent dialoguer avec les standards de l’internet. Ces abbréviations techniques au doux nom de TCP, IP, BGP, HTTP, HTML…

Pour innover, les entreprises ont du inventer des nouvelles technologies, souvent propriétaires mais fonctionnant au dessus des protocoles standards. L’une d’entre elle est le Flash d’Adobe mais il en existe des milliers. Vous remarquerez qu’on s’éloigne des réseaux mais pourtant, tout est lié : le succès de ces inventions permet aux éditeurs de services de créer des services inédits, d’attirer les utilisateurs, et donc de monétiser.

Dans leur développement, les éditeurs de services ont toujours été la recherche d’utilisateurs, de clients, c’est pourquoi ils se sont toujours intéressés à la fois aux solutions fermées comme celles des fournisseurs d’accès ou ouvertes comme les plateformes « Online Video Plateform » (OVP). Les deux environnements cohabitent mais Internet de part son ADN en constante évolution offre un éventail de possibilité bien plus large, ce qui a fait les succès de Google, Apple ou Facebook. Du coté FAI, on affiche une optimisation technique et une maîtrise du réseau de bout en bout.

C’est quoi le problème ?

Je le disais en début de billet, le volume de données a augmenté considérablement. On oublie assez souvent que ce qui a motivé les nouveaux services consommateurs en ressources (la vidéo), c’est la chute vertigineuse des coûts de bande passante chez les intermédiaires. Ce segment très dynamique a vu apparaître des nouveaux arrivants dont un des arguments commerciaux s’articulaient surtout autour du coût.

Des offres ont pu naître et on a pu assister à l’explosion de portails comme Google/YouTube, Dailymotion, WAT et autres Vimeo. D’autres services ont rencontré le succès : les services de télévision de rattrapage (M6 replay, Pluzz). Dans ce tableau, il reste la vidéo à la demande est un marché compliqué en France, à fort potentiel, mais encore aujourd’hui très anecdotique en terme de consommation réseau.

L’avenir est encore incertain mais les services basés sur Internet se multiplient : services sur téléphone mobile et tablette, boîtier complémentaire à brancher sur la TV : GoogleTV et ses équivalents (AppleTV, Boxee, Roku, etc), sans oublier la montée en puissance des télévisions désormais connectées au réseau. Tout ce joli monde rentre en concurrence frontale avec les services offerts par les fournisseurs d’accès.

On en arrive aux sujets chauds du moment : qui doit financer ces augmentations de capacité ? arrive-t-on à une saturation des réseaux ? comment préserver la neutralité du net ? Tout est une question de stratégie chez les différents acteurs. Personne n’a intérêt à creuser un trop gros déséquilibre qui enrayerait la machine.

Certains appellent ça une pression, pour moi il s’agit plus d’un équilibrage permanent. Contrairement au mythe, l’Internet ne va pas saturer. Il a cette faculté à rebondir. S’il venait à saturer, les acteurs ci-dessous ne manqueraient pas de trouver des solutions. Et c’est ce qu’ils font par anticipation, depuis plus d’une décénie, en apprenant à se connaître, à explorer.

Il ne faut pas négliger l’essor qu’a pris les solutions alternatives aux offres légales, trop peu intéressantes par leur faible diversité. L’essor du «direct download» et des VPN bouscule clairement l’équilibre. Les FAI travaillent sur des solutions pour désengorger les gros volumes, donc la vidéo. Les fournisseurs de solutions les aident dans cette voie, et les éditeurs de services ont parfaitement compris contraintes des uns et des autres.

Tout ceci prend du temps et n’est pas uniquement un problème de réseau. Il est aussi question ici d’ingénierie logicielle car les grands éditeurs de contenus ont recours à des technologies Internet variés, complexes, qui ne se limitent pas à de la tuyauterie. Au quotidien, ils travaillent à la sécurisation de leurs contenus, au respect des ayants-droit, à la compatibilité avec un nombre grandissant de terminaux.

Le mot de la fin

Que conclure ? On reproche une certaine opacité des acteurs. Cela vient certainement d’une expérience malheureuse sur le domaine de la téléphonie mobile.

Sur le fixe, les acteurs sont beaucoup plus diversifiés. C’est une chance pour le consommateur final, un challenge pour ceux qui doivent s’entendre et travailler ensemble, soit directement, soit via des intermédiaires. Internet n’a pas de frontière, cela ne rend pas forcément le dialogue facile et les progrès visible peuvent prendre plusieurs mois voire années. La diffusion de contenus et de services n’est pas une commodité, elle ne se limite pas au réseau, c’est un métier où l’aspect logiciel reste très important.

Tous ces acteurs n’ont qu’un seul et même objectif qu’il ne faut pas perdre de vue : satisfaire leur client, et – pour ceux à but commercial – faire du profit. Rien que pour cela, aucun ne se désintéressera du consommateur final.

♦ ♦ ♦

Quelques liens

• Blog de Pascal Lechevallier, anciennement à la tête de TF1 Vision
• Blog d’Edouard Barreiro, docteur en économie
• Blog de Benoît Tabaka, sur un terrain plus lobbyiste éditeurs
• Dossier Net Neutralité sur le site de l’ARCEP
• Le rapport trimestriel « State of The Internet », un bon aperçu global de ce qui se passe sur le réseau
• Etude en anglais : Internet Traffic and  Content Consolidation par Craig Labovit d’Arbor Networks
• A suivre sur Twitter de @lauredlr, @btabaka, @ZaraA, @nkgl, @rmaunier, @ED_BARR, @Turblog, @edasfr, @MissionTVco, @christianpaul58

Remerciements

Je tiens à remercier Raphaël Maunier pour son coup de main à la rédaction de l’article. Vous retrouverez des analyses « de terrain » sur son blog.

Tout ceci est très bien, et si la majorité des gens utilisait TimeMachine ou un équivalent, on éviterait les drames type « j’ai perdu mes 5 dernières années de photos numériques ». Balaud hein ?

Sauvegarder, oui, mais intelligemment

Au risque d’être parano (on a chacun nos petites mésaventures numériques), c’est toujours utile d’avoir un backup dans un lieu différent. Autrement dit, un disque de backup chez vous ne sert à rien si

• vous vous faites cambrioler l’ordinateur et le disque (c’est arrivé à 2 personnes autour de moi)
• votre appartement subit un désastre (incident, inondation…)
• un problème électrique vient à griller vos 2 équipements de stockages, principal et backup
• tout ce qu’on imagine pas

La solution Dolly Drive

Elle consiste à doubler le backup TimeCapsule dans le nuage. Entendez par là que c’est exactement la même idée que les DropBox ou MobileMe, mais avec la logique de Time Machine.

Les prix sont abordable et le service encore en beta.

Après quelques semaines de test, il s’avère que le produit fonctionne mais qu’il mobilise beaucoup de ressources sur un Mac même récent : en l’occurence sur un MacBook Pro Core i5. Cela se concrétise par de forts ralentissement au démarrage et à l’arrêt de la machine, à tel point qu’on est obligé de forcer l’arrêt par maintien du bouton On/Off.

Autre suggestion ?

DropBox et ses équivalents ne sont pas très adaptés aux sauvegardes incrémentales. Pratique pour copier ses documents et les partagés, ce n’est pas conçu à proprement dit pour du backup au sens plusieurs copies à plusieurs endroits.

Et vous, vous faites comment pour vos sauvegardes ? Si vous avez des solutions équivalentes, facile à utiliser, des témoignages, n’hésitez pas à en faire part ci-dessous.

Voir aussi : Comparatif des solutions des sauvegarde de fichiers en ligne pour particuliers et Très Petites Entreprises « Sauvegarde de fichier

Caractéristiques techniques : DDR3 PC3-8500 • CL=7 • Unbuffered • NON-ECC • DDR3-1066 • 1.5V

Elles fonctionnent au moins sur Mac Mini 2010 et MacBook Pro i5/i7 2010

Prix : 20 €
Transaction en main propre à faire sur Paris/92