source: Framablog
Vous en avez sans doute entendu parler. Cet événement est l’occasion de revenir sur quelques usages de Wikipédia… en lui souhaitant un très joyeux anniversaire !
Crédit : Simon Gee Giraudot (Creative Commons By-Sa)
Lorsqu’une personnalité notoire du Libre comme Carl Chenet s’attaque avec pertinence à la tendance massive du « tous sur GitHub » et égratigne la communauté du Libre pour son immobilisme (et même sa paresse !), Framasoft trouve que c’est une bonne occasion de lui donner un peu plus de voix encore.
S’adressant principalement aux développeurs, il pointe les dangers d’un logiciel (et d’un service) centralisateur, privateur, qui uniformise les pratiques en étouffant les alternatives. Ça ne vous rappelle rien ? Oui, les mêmes écueils contre lesquels nous vous mettons en garde dans notre campagne degooglisons ! Ajoutons que nous avons déjà basculé sur GitLab, comme le recommande Carl, dès 2014 et mis à la disposition de tous depuis le mois de mars 2015 notre GitLab qui héberge à ce jour 3017 projets, 2071 utilisateurs inscrits, 242 groupes.
Nous reprenons ici avec son autorisation le récent billet de Carl qui a déjà suscité d’intéressants commentaires et en provoquera probablement d’autres ici même.
Un article de Carl Chenet d’abord publié sur son blog
Alors que le projet CPython (implémentation historique du projet Python) a annoncé son passage chez GitHub (avec quelques restrictions, nous reviendrons là-dessus), il est plus que jamais important de s’interroger sur les risques encourus d’utiliser un logiciel propriétaire dans notre chaîne de création du Logiciel Libre.
Des voix critiques s’élèvent régulièrement contre les risques encourus par l’utilisation de GitHub par les projets du Logiciel Libre. Et pourtant l’engouement autour de la forge collaborative de la startup Californienne à l’octocat continue de grandir.
L’octocat, mascotte de GitHub
Ressentis à tort ou à raison comme simples à utiliser, efficaces à l’utilisation quotidienne, proposant des fonctionnalités pertinentes pour le travail collaboratif en entreprise ou dans le cadre d’un projet de Logiciel Libre, s’interconnectant aujourd’hui à de très nombreux services d’intégration continue, les services offerts par GitHub ont pris une place considérable dans l’ingénierie logicielle ces dernières années.
Quelles sont ces critiques et sont-elles justifiées ? Nous proposons de les exposer dans un premier temps dans la suite de cet article avant de peser le pour ou contre de leur validité.
L’application GitHub appartient et est gérée par une entité unique, à savoir GitHub, inc, société américaine. On comprend donc rapidement qu’une seule société commerciale de droit américain gère l’accessibilité à la majorité des codes sources des applications du Logiciel Libre, ce qui représente un problème pour les groupes utilisant un code source qui devient indisponible, pour une raison politique ou technique.
De plus cette centralisation pose un problème supplémentaire : de par sa taille, ayant atteint une masse critique, elle s’auto-alimente. Les personnes n’utilisant pas GitHub, volontairement ou non, s’isolent de celles qui l’utilisent, repoussées peu à peu dans une minorité silencieuse. Avec l’effet de mode, on n’est pas « dans le coup » quand on n’utilise pas GitHub, phénomène que l’on rencontre également et même devenu typique des réseaux sociaux propriétaires (Facebook, Twitter, Instagram).
Lorsque vous interagissez avec GitHub, vous utilisez un logiciel privateur, dont le code source n’est pas accessible et qui ne fonctionne peut-être pas comme vous le pensez. Cela peut apparaître gênant à plusieurs points de vue. Idéologique tout d’abord, mais peut-être et avant tout pratique. Dans le cas de GitHub on y pousse du code que nous contrôlons hors de leur interface. On y communique également des informations personnelles (profil, interactions avec GitHub). Et surtout un outil crucial propriétaire fourni par GitHub qui s’impose aux projets qui décident de passer chez la société américaine : le gestionnaire de suivi de bugs.
Travailler via l’interface GitHub est considéré par beaucoup comme simple et intuitif. De très nombreuses sociétés utilisent maintenant GitHub comme dépôt de sources et il est courant qu’un développeur quittant une société retrouve le cadre de travail des outils GitHub en travaillant pour une autre société. Cette fréquence de l’utilisation de GitHub dans l’activité de développeur du Libre aujourd’hui participe à l’uniformisation du cadre de travail dudit développeur.
L’uniforme évoque l’armée, ici l’armée des clones
Comme dit précédemment, GitHub est aujourd’hui la plus grande concentration de code source du Logiciel Libre. Cela fait de lui une cible privilégiée. Des attaques massives par déni de service ont eu lieu en mars et août 2015. De même, une panne le 15 décembre 2015 a entraîné l’indisponibilité de 5 % des dépôts. Idem le 15 novembre. Et il s’agit des incidents récents déclarés par les équipes de GitHub elles-mêmes. On peut imaginer un taux d’indisponibilité moyen des services bien supérieur.
L’excuse n°1 des programmeurs pour se lâcher sans scrupules : « GitHub est en panne »
— Hé, au boulot les gars ! — Github est en panne !
— Ah bon, continuez alors.
Cette critique, avant tout idéologique, se heurte à la conception même que chacun des membres de la communauté se fait du Logiciel Libre, et en particulier d’un critère : contaminant ou non, qu’on résume en général par GPL versus MIT/BSD.
Framanote : MIT/BSD sont des licences permissives, laissant toutes les libertés, même celle de reprendre le code dans un logiciel privateur/propriétaire. Cela correspond à la CC-BY ou à la CC-0 dans les licences Creative Commons.
GPL est une licence copyleft (ou contaminante). Le principe est que tout développement utilisant un code sous licence contaminante doit rester Libre, donc être diffusé sous la même licence. Cela correspond à la mention SA dans les licences Creative Commons.
Les défenseurs du Logiciel Libre contaminant vont être gênés d’utiliser un logiciel propriétaire car ce dernier ne devrait pas exister. Il doit être assimilé, pour citer Star Trek, car il est une boîte noire communicante, qui met en danger la vie privée, détourne nos usages à des fins commerciales, gêne ou contraint la liberté de jouir entièrement de ce qu’on a acquis, etc.
Les tenants d’une totale liberté sont moins complexés dans leur utilisation des logiciels privateurs puisqu’ils acceptent l’existence desdits logiciels privateurs au nom d’une liberté sans restriction. Ils acceptent même que le code qu’ils développent aboutissent dans ces logiciels, ce qui arrive bien plus souvent qu’on ne le croit, voir à ce sujet la liste à couper le souffle des produits commerciaux reposant sur FreeBSD. On peut donc voir dans cette aile de la communauté du Logiciel Libre une totale sérénité à utiliser GitHub. Et ce qui est cohérent vis-à-vis de l’idéologie soutenue. Si vous êtes déjà allé au Fosdem, un coup d’œil dans l’amphithéâtre Janson permet de se rendre compte de la présence massive de portables Apple tournant sous MacOSX.
FreeBSD, principal projet des BSD sous licence MIT
Mais au-delà de cet aspect idéologique pur et pour recentrer sur l’infrastructure de GitHub elle-même, l’utilisation du gestionnaire de suivi de bugs de GitHub pose un problème incontournable. Les rapports de bugs sont la mémoire des projets du Logiciel Libre. Il constitue le point d’entrée des nouveaux contributeurs, des demandes de fonctionnalités, des rapports de bugs et donc la mémoire, l’histoire du projet qui ne peut se limiter au code seul. Il est courant de tomber sur des rapports de bugs lorsque vous copiez/collez votre message d’erreur dans un moteur de recherche. Mémoire précieuse non seulement pour le projet lui-même, mais aussi pour ses utilisateurs actuels et à venir.
GitHub propose d’extraire les rapports de bugs via son API, certes, mais combien de projets anticiperont une éventuelle défaillance de GitHub ou un retournement de situation arrêtant brusquement le service ? Très peu à mon avis. Et comment migrer vers un nouveau système de suivi de bugs les données fournies par GitHub ?
L’exemple de l’utilitaire de gestion de listes de choses à faire (TODO list) Astrid, racheté par Yahoo ! il y a quelques années reste un très bon exemple de service ayant grandi rapidement, largement utilisé et qui a fermé du jour au lendemain, proposant pendant quelques semaines seulement d’extraire ses données. Et il s’agissait là d’un simple gestionnaire de tâches à faire. Le même problème chez GitHub serait dramatiquement plus difficile à gérer pour de très nombreux projets, si on leur laisse la possibilité de le gérer. Certes le code reste disponible et pourra continuer de vivre ailleurs, mais la mémoire du projet sera perdue, alors qu’un projet comme Debian approche aujourd’hui les 800 000 rapports de bugs. Une vraie mine d’or d’informations sur les problèmes rencontrés, les demandes de fonctionnalités et le suivi de ces demandes. Les développeurs du projet CPython passant chez GitHub ont anticipé ce problème et ne vont pas utiliser le système de suivi de bugs de GitHub.
Debian, l’un des principaux projets du Logiciel Libre
avec autour de 1000 contributeurs officiels
La communauté du Logiciel Libre oscille sans cesse entre un besoin de normes afin de réduire le travail nécessaire pour l’interopérabilité et l’attrait de la nouveauté, caractérisée par l’intrinsèque besoin de différence vis-à-vis de l’existant.
GitHub a popularisé l’utilisation de Git, magnifique outil qui aujourd’hui touche des métiers bien différents des programmeurs auxquels il était initialement lié. Peu à peu, tel un rouleau compresseur, Git a pris une place si centrale que considérer l’usage d’un autre gestionnaire de sources est quasiment impossible aujourd’hui, particulièrement en entreprise, malgré l’existence de belles alternatives qui n’ont malheureusement pas le vent en poupe, comme Mercurial.
Un projet de Logiciel Libre qui naît aujourd’hui, c’est un dépôt Git sur GitHub avec un README.md pour sommairement le décrire. Les autres voies sont totalement ostracisées. Et quelle est la punition pour celui qui désobéit ? Peu ou pas de contributeurs potentiels. Il semble très difficile de pousser aujourd’hui le contributeur potentiel à se lancer dans l’apprentissage d’un nouveau gestionnaire de sources ET une nouvelle forge pour chaque projet auquel on veut contribuer. Un effort que fournissait pourtant tout un chacun il y a quelques années.
Et c’est bien dommage car GitHub, en proposant une expérience unique et originale à ses utilisateurs, taille à grands coups de machette dans les champs des possibles. Alors oui, sûrement que Git est aujourd’hui le meilleur des système de gestion de versions. Mais ça n’est pas grâce à cette domination sans partage qu’un autre pourra émerger. Et cela permet à GitHub d’initier à Git les nouveaux arrivants dans le développement à un ensemble de fonctionnalités très restreint, sans commune mesure avec la puissance de l’outil Git lui-même.
Le combat contre la centralisation est une part importante de l’idéologie du Logiciel Libre car elle accroît le pouvoir de ceux qui sont chargés de cette centralisation et qui la contrôlent sur ceux qui la subissent. L’aversion à l’uniformisation née du combat contre les grandes firmes du logiciel souhaitant imposer leur vision fermée et commerciale du monde du logiciel a longtemps nourri la recherche réelle d’innovation et le développement d’alternatives brillantes. Comme nous l’avons décrit, une partie de la communauté du Libre s’est construit en opposition aux logiciels privateurs, les considérant comme dangereux. L’autre partie, sans vouloir leur disparition, a quand même choisi un modèle de développement à l’opposé de celui des logiciels privateurs, en tout cas à l’époque car les deux mondes sont devenus de plus en plus poreux au cours des dernières années.
L’effet GitHub est donc délétère au point de vue des effets qu’il entraîne : la centralisation, l’uniformisation, l’utilisation de logiciels privateurs comme leur système de gestion de version, au minimum. Mais la récente affaire de la lettre « Cher GitHub… » met en avant un dernier effet, totalement inattendu de mon point de vue : la fainéantise. Pour les personnes passées à côté de cette affaire, il s’agit d’une lettre de réclamations d’un nombre très important de représentants de différents projets du Logiciel Libre qui réclament à l’équipe de GitHub d’entendre leurs doléances, apparemment ignorées depuis des années, et d’implémenter de nouvelles fonctionnalités demandées.
Mais depuis quand des projets du Logiciel Libre qui se heurtent depuis des années à un mur tentent-ils de faire pleurer le mur et n’implémentent pas la solution qui leur manquent ? Lorsque Torvald a subi l’affaire Bitkeeper et que l’équipe de développement du noyau Linux n’a plus eu l’autorisation d’utiliser leur gestionnaire de versions, Linus a mis au point Git. Doit-on rappeler que l’impossibilité d’utiliser un outil ou le manque de fonctionnalités d’un programme est le moteur principal de la recherche d’alternatives et donc du Logiciel Libre ? Tous les membres de la communauté du Logiciel Libre capables de programmer devraient avoir ce réflexe. Vous n’aimez pas ce qu’offre GitHub ? Optez pour Gitlab. Vous n’aimez pas Gitlab ? Améliorez-le ou recodez-le.
Logo de Gitlab, une alternative possible à GitHub
en choisissant la version Communauté
Que l’on soit bien d’accord, je ne dis pas que tout programmeur du Libre qui fait face à un mur doit coder une alternative. En restant réaliste, nous avons tous nos priorités et certains de nous aiment dormir la nuit (moi le premier). Mais lorsqu’on voit 1340 signataires de cette lettre à GitHub et parmi lesquels des représentants de très grands projets du Logiciel Libre, il me paraît évident que les volontés et l’énergie pour coder une alternative existe. Peut-être d’ailleurs apparaîtra-t-elle suite à cette lettre, ce serait le meilleur dénouement possible à cette affaire.
Finalement, l’utilisation de GitHub suit cette tendance de massification de l’utilisation d’Internet. Comme aujourd’hui les utilisateurs d’Internet sont aspirés dans des réseaux sociaux massivement centralisés comme Facebook et Twitter, le monde des développeurs suit logiquement cette tendance avec GitHub. Même si une frange importante des développeurs a été sensibilisée aux dangers de ce type d’organisation privée et centralisée, la communauté entière a été absorbée dans un mouvement de centralisation et d’uniformisation. Le service offert est utile, gratuit ou à un coût correct selon les fonctionnalités désirées, confortable à utiliser et fonctionne la plupart du temps. Pourquoi chercherions-nous plus loin ? Peut-être parce que d’autres en profitent et profitent de nous pendant que nous sommes distraits et installés dans notre confort ? La communauté du Logiciel Libre semble pour le moment bien assoupie.
Le « lion » du Libre assoupi devant la cheminée (allégorie)
Liens :
Bruce Schneier est un spécialiste reconnu de la sécurité informatique auquel nous donnons souvent un écho sur ce blog. Il chronique régulièrement les avancées et les risques de l’Internet des objets dont la montée en puissance semble irrésistible. On peut présager que dans un délai sans doute très rapproché ces objets vont centupler le volume des données collectées sur nous, puisque non seulement ils nous environnent ou vont le faire, mais ils participeront à notre propre construction sensorielle et mentale du monde, jusqu’au plus secret de notre intimité. (1)
La vitesse de développement de ce marché en fait le nouveau Far-west des géants comme Intel, Cisco, Microsoft ou HP, et bien sûr des fabricants d’électronique. L’espoir de profit qui les anime les fait franchir sans scrupules la barrière de la vie privée (2) : non seulement l’implémentation de la sécurité sur ces objets est minime voire inexistante, mais ils sont aussi de parfaits petits espions programmés pour moucharder.
Nous n’échapperons pas plus à l’Internet des objets que nous n’avons échappé à l’ubiquité des smartphones. Faut-il cependant renoncer définitivement à notre vie privée au profit de ces objets intrusifs ? Quelles limites poser et comment ? Au fait, existe-t-il des objets connectés libres et éthiques ?
Source : The Internet of Things that Talk About You Behind Your Back (cet article a fait l’objet d’une première publication sur Vice Motherboard).
Traduction Framalang :
SilverPush est une startup indienne qui essaie de lister les différents appareils que vous possédez. Elle embarque des sons inaudibles dans des pages web que vous lisez et dans les publicités télévisées que vous regardez. Un logiciel secrètement embarqué dans vos ordinateurs, tablettes, et smartphones récupère ces signaux, et utilise des cookies pour transmettre ces informations à SilverPush. Au final, cette société peut vous pister d’un appareil à l’autre. Elle peut associer les publicités télévisées que vous regardez avec les recherches web que vous effectuez. Elle peut relier ce que vous faites sur votre tablette avec ce que vous faites sur votre ordinateur.
Vos données numériques parlent de vous derrière votre dos, et la plupart du temps, vous ne pouvez pas les arrêter… ni même savoir ce qu’elles disent.
Ce n’est pas nouveau, mais cela empire.
La surveillance est le business model d’Internet, et plus ces sociétés en savent sur les détails intimes de votre vie, plus elles peuvent en tirer profit. Il existe déjà des dizaines de sociétés qui vous espionnent lorsque vous surfez sur Internet, reliant vos comportements sur différents sites et utilisant ces informations pour cibler les publicités. Vous le découvrez quand vous cherchez quelque chose comme des vacances à Hawaï, et que des publicités pour des vacances similaires vous suivent sur tout Internet pendant des semaines. Les sociétés comme Google et Facebook font d’énormes profits en reliant les sujets sur lesquels vous écrivez et qui vous intéressent avec des sociétés qui veulent vous vendre des choses.
Le pistage entre tous les appareils est la dernière obsession des commerciaux sur internet. Vous utilisez probablement plusieurs appareils connectés à Internet : votre ordinateur, votre smartphone, votre tablette, peut-être même votre télévision connectée… et de plus en plus, des appareils connectés comme les thermostats intelligents et consorts. Tous ces appareils vous espionnent, mais ces différents espions ne sont pas reliés les uns aux autres. Les startups comme SilverPush, 4Info, Drawbridge, Flurry et Cross Screen Consultants, ainsi que les mastodontes comme Google, Facebook et Yahoo sont tous en train de tester différentes technologies pour « régler » ce problème.
Les revendeurs sont très intéressés par ces informations. Ils veulent savoir si leur publicité télévisée incite les gens à rechercher leurs produits sur internet. Ils veulent corréler ce que les gens recherchent sur smartphone avec ce qu’ils achètent sur ordinateur. Ils veulent pister les positions des personnes grâce aux capacités de surveillance de leur téléphone, et utiliser cette information pour envoyer des publicités ciblées géographiquement sur leur ordinateur. Ils veulent que les données de surveillance des appareils connectés soient reliées avec tout le reste.
C’est là que l’Internet des objets aggrave le problème. Comme les ordinateurs sont de plus en plus embarqués dans les objets que nous utilisons au quotidien, et pénètrent encore plus d’aspects de nos vies, encore plus de sociétés veulent les utiliser pour nous espionner sans que nous soyons au courant et sans notre consentement.
Techniquement, bien sûr, nous avons donné notre accord. Les accords de licence que nous ne lisons pas mais que nous acceptons légalement quand nous cliquons sans y penser sur « J’accepte », ou lorsque nous ouvrons un colis que nous avons acheté, donnent à toutes ces sociétés les droits légaux de procéder à cette surveillance. Et quand on voit la façon dont les lois sur la vie privée aux États-Unis sont actuellement écrites, ils sont propriétaires de toutes ces données et n’ont pas besoin de nous laisser y accéder.
Nous acceptons toute cette surveillance internet parce que nous n’y pensons pas réellement. S’il y avait des dizaines de personnes provenant d’entreprises publicitaires avec leurs stylos et leurs carnets qui regardent au-dessus de notre épaule lorsqu’on écrit un mail sur Gmail ou tout simplement quand on navigue sur Internet, la plupart d’entre nous s’y opposeraient. Si les sociétés qui fabriquent nos applications sur smartphones nous suivaient réellement toute la journée, ou si les sociétés qui collectent les plaques d’immatriculation pouvaient être vues lorsque nous conduisons, nous exigerions qu’elles arrêtent. Et si nos télévisions, nos ordinateurs et nos appareils mobiles parlaient de nous à voix haute et se coordonnaient d’une manière qu’on peut entendre, nous serions épouvantés.
La commission fédérale du commerce (FTC) est en train d’examiner les technologies de pistage d’un appareil à l’autre, avec la volonté de pouvoir les réguler. Mais si nous nous fions à l’histoire récente, toute résolution prise sera mineure et inefficace pour s’occuper du plus gros du problème.
Nous devons faire mieux. Nous devons avoir un débat sur les implications du pistage entre appareils sur notre vie privée, mais, surtout, nous devons réfléchir à l’éthique du marché de la surveillance. Voulons-nous vraiment que des entreprises connaissent les détails de notre vie, et qu’elles puissent garder ces données éternellement ? Croyons-nous vraiment que nous n’avons pas le droit d’accéder aux données collectées sur nous, de corriger les données erronées, ou de supprimer celles qui sont trop intimes ou embarrassantes ? Au minimum, nous devons mettre des limites sur les données comportementales qui peuvent légalement être récoltées, savoir pour combien de temps, avoir le droit de télécharger les données collectées sur nous, et pouvoir bannir le pistage par des publicités de parties tierces. Le dernier point est crucial : ce sont les entreprises qui nous espionnent de site en site ou d’appareil en appareil qui causent le plus de dommages à notre vie privée.
Le marché de la surveillance d’Internet a moins de 20 ans, et a émergé parce qu’il n’y avait pas de régulation pour limiter son comportement. C’est désormais une industrie puissante, et qui s’étend au-delà des ordinateurs et téléphones, dans tous les aspects de nos vies. Il est grand temps que nous posions des limites sur ce que peuvent dire et faire avec nous dans notre dos depuis longtemps les ordinateurs et les entreprises qui les contrôlent.
(1) Un article parmi d’autres pour en savoir plus sur les objets connectés et comment ils altèrent sensiblement notre mode de vie : Objets connectés : allons-nous tous devenir idiots ?
(2) Voici un article très récent sur les espoirs et les craintes qu’on peut éprouver : « Rapport de l’UIT sur Internet des objets : un grand potentiel de le développement mais des risques pour la confidentialité et l’interopérabilité » (source)
Quelques passages (ma traduction) :
L’UIT (Union Internationale des Télécommunications, un organisme qui dépend de l’ONU) a publié aujourd’hui son rapport [pdf] « Exploiter l’internet des objets pour le développement mondial », produite en collaboration avec Cisco Systems.
Les appareils connectés qui communiquent les uns avec les autres et avec les êtres humains pourraient résoudre les grands défis mondiaux et être un vecteur pour le développement mondial(…) Toutefois, des questions demeurent, telles que les stratégies visant à protéger la vie privée, et l’interopérabilité entre les dispositifs et systèmes.
(…) des défis importants persistent, selon le rapport, en particulier le fait que « la même infrastructure qui permet aux gens de créer, stocker et partager des informations peut également mettre en péril leur vie privée et leur sécurité »
« Ces mêmes techniques peuvent être utilisées pour la surveillance, qu’elle soit ciblée ou à grande échelle », dit le rapport.
Vous voulez sauver des chatons ? Nous aussi. Tout le monde aime les chatons. Cet article ne vous dira pas comment faire. Mais il vous apprendra (ou vous permettra d’apprendre à votre neveu) comment lire une adresse web. Ce qui est, n’en doutons pas, indispensable lorsque l’on veut sauver des chatons.
Nous avons donc décidé de piller sauvagement le blog Grise-Bouille de Gee, dessinateur libriste, chanteur yukuléliste, et framasoftien chevronné… parce qu’il a dessiné là un article d’utilité publique qui mérite d’être partagé (rappel : si vous ne le faites pas pour vous, faites-le pour les chatons !)
Aujourd’hui, parlons de l’une de ces nombreuses choses auxquelles on ne prête pas d’attention parce qu’elles semblent trop compliquées… alors qu’elles peuvent nous aider énormément : l’URL.
Je précise que cet article est une introduction pour novice et qu’il ne vise pas l’exhaustivité (on ne parlera pas de protocoles FTP, de ports ou de résolution DNS). En plus, il est déjà assez long comme ça !
Bonne lecture 
L’année 2015 n’a pas été la meilleure année du monde, et elle s’est malheureusement conclue avec un énième triste événement : le décès de Ian Murdock, célèbre créateur de Debian. Alors qu’une nouvelle année qu’on espère plus joyeuse commence, voici une petite BD pour lui rendre hommage.
Crédit : Simon Gee Giraudot (Creative Commons By-Sa)