Pourquoi il ne faut plus utiliser le (partage de fichiers via) peer to peer?

A priori, presque tout le monde (et à fortiori les amateurs de séries, de films et de musique) a déjà été amené à télécharger quelque chose (et si ce n’est pas vous, votre petite soeur ou votre fils l’ont fait pour vous) via peer to peer (P2P).

Le peer to peer (pair à pair en français), pour rappel, ce n’est pas un système de téléchargement mais une conception du réseau : le réseau est vue comme décentralisé, c’est à dire que chaque noeud (chaque pair) est à la fois client et serveur. C’est une conception du réseau à opposer au fonctionnement client vs. serveur.  Ses applications les plus connues sont le partage de fichiers (via différentes architectures, à l’origine centralisée avec Napster, puis décentralisée comme avec BitTorrent), la VoIP (par exemple avec le logiciel Skype) ou le calcul distribué (SETI@home, Folding@home).

Jusqu’à il y a peu, le téléchargement via peer to peer ne représentait pas de grands dangers (au niveau liberté individuelle, je parle pas des malwares, ou des virus) pour les utilisateurs car la mise en pratique pour les chercher/retrouver semblait plutôt ardue.

Il y a un mois une équipe de chercheurs de l’INRIA (Institut National de Recherche en Informatique et Automatique) a publié Bluebear, son outil de surveillance des réseaux peer to peer (non pas pour faire la chasse aux pirates mais pour sensibiliser les utilisateurs sur les risques d’atteinte à la vie privée sur BitTorrent). Vous trouverez le site du projet et les publications s’y rapportant ici.

L’abstract de leur article commence par « En utilisant cette faille pendant une période de 103 jours, nous avons collecté 148 millions d’IPs téléchargeant 2 milliards de copies de contenu. Nous avons identifié l’adresse IP des fournisseurs de contenu de 70% des fichiers de BitTorrent que nous avons espionné. Nous avons aussi montré que ce sont peu d’utilisateurs qui fournissent la majorité des fichiers initiaux de BitTorrent et que ces fournisseurs de contenu sont situés à l’étranger. » Le ton est donné, ça fait un peu/assez froid dans le dos, et ça leur fait une bonne publicité.

Le projet n’a rien de révolutionnaire en fait quand on y réfléchit bien : quand vous téléchargez un fichier (i.e. lorsque vous êtes un leecher, une sangsue) chez quelqu’un (une source, appelée seeder) via un torrent, il faut bien que vous puissiez trouver les adresses des personnes possédant le fichier (sinon comment télécharger?) : ceci ce fait via un tracker (un fichier hébergé sur un serveur, comme the PirateBay ou autre) qui montre qui possède quoi à l’instant t (qui est un seed (une source) ou un peer (pas toute la source, mais un bout de la source, comme la motié du film par exemple)).

Quand vous téléchargez un fichier, vous devenez vous aussi un peer (pendant le téléchargement) puis un seed (quand vous avez tout le fichier) : c’est le concept du BitTorrent. Vous êtes donc référencé par le tracker (serveur ayant la liste de tous les gens qui partagent un fichier).

Jusque là ça va?

En gros, si vous pouvez trouver les gens qui possèdent un fichier (pour le télécharger) pourquoi les gens qui cherchent ceux qui partagent (et ceux qui téléchargent aussi, voir remarque ci dessus) ne pourraient pas?

Bluebear, l’outil que vient de publier cette équipe de l’INRIA, est un outil de surveillance qui permet donc de démasquer les internautes qui téléchargent via peer to peer. Mais cet outil va plus loin, il permet :

1. de trouver la première personne à partager le fichier (patient 0)
2. d’identifier toutes les personnes (ip) qui partagent et/ou téléchargent un fichier
3. d’identifier celles qui se cachent derrière un trafic détourné et crypté (comme Tor).

Pour identifier le premier fournisseur d’un fichier, Bluebear récupère en permanence la liste des nouveaux fichiers torrents sur les sites de partage (par exemple The PirateBay, MiniNova, etc), et se connecte ensuite immédiatement à ces nouveaux torrents (pour trouver l’IP du premier fournisseur, le patient 0). Une autre méthode pour identifier les fournisseurs si la précédente n’est pas possible (torrent privé devenu public, ou torrent en ligne depuis un certain temps) est de récupérer sur les sites webs/forums les nouveaux torrents et de les regrouper par nom d’utilisateur (login de l’uploader). Il recherche ensuite l’IP qui distribue le plus ces torrents, et par recoupement l’associe au login.

Pour identifier les personnes qui partagent et/ou téléchargent, les chercheurs ont d’abord récupéré la liste des identifiants uniques de chaque fichier partagé sur The PirateBay (via un des anciens trackers de The PirateBay). Une fois tout le catalogue récupéré, ils ont récupéré pour chaque fichier la liste des IP de chaque seeder et de chaque leecher, via le tracker et le client  BitTorrent de leur choix en faisait des requêtes de lancement et d’arrêt de partage jusqu’à ce qu’ils obtiennent 90% du nombre total de seeders et de leechers indiqués sur le tracker. L’étude précise que « Cette procédure prend aux alentours de 30 minutes pour entre 500 000 et 750 000 contenus ».

Enfin, pour identifier le trafic qui passe par Tor, il utilise une feinte sur les DHT (Distributed Hash Table), tables de routage distribuées, qui permettent de joindre de façon efficacement le pair lambda ayant le fichier mu sans avoir à connaitre tous les pairs et toutes leurs listes de fichiers. La DHT utilise le protocole UDP (User Datagram Protocol) qui lui n’est pas relayé par Tor. La véritable IP d’un pair apparait donc dans la DHT. Il suffit alors d’écouter la sortie d’un noeud Tor, et de rechercher ensuite dans la DHT le fichier observé en sortie du noeud pour l’associer à l’IP. Par ailleurs, une telle identification peut compromettre les autres trafics/flux passant par Tor (Web,HTTP,VoIP…) : il est facile de déterminer leur origine car ils empruntent tous le même chemin que BitTorrent (en gros ça veut dire coupez vos logiciels de peer to peer quand vous utilisez Tor).

Au final, tout cela pose un certain problème de confidentialité (même pour les fichiers légaux ou libres de droit) puisque n’importe qui peut savoir ce que vous téléchargez/partagez.

Si vous voulez en savoir plus vous pouvez consultez les articles suivant  :
http://www.korben.info/bluebear-bittorrent-p2p-inria.html
http://www.01net.com/editorial/516096/bluebear-la-surveillance-generalisee-de-bittorrent-est-possible/http://actualite.torrent-avenue.com/actualite/bluebear-surveillance-generale-bittorrent-possible

Vous pouvez retrouver le site du projet ici : http://www-sop.inria.fr/members/Arnaud.Legout/Projects/bluebear.html

Et les différentes publications de l’équipe de Arnaud Legout ici : http://hal.inria.fr/inria-00470324/en/, http://hal.inria.fr/inria-00471556/en/, http://hal.inria.fr/inria-00471556/en/ et http://hal.inria.fr/inria-00451282/en/.

Si vous voulez vous faire un peu peur ou jouer à super Hadopi, je vous conseille le site suivant qui vous présente un outil nommé bitAudit, comparable à BlueBear, et qui vous permet de traquer (pas de mauvais jeu de mot) les utilisateurs de bitTorrent sur les trackers publiques (en créant des logs des interactions clés au sein d’un essaim bitTorrent).

Pour ceux qui ne peuvent pas se passer de leur téléchargements (séries US super addictives par exemple), je vous conseille plutôt le téléchargement direct via des sites comme rapidshare, megaupload et hotfile. Vous pouvez retrouver des liens intéressants par exemple sur http://www.blogy.com.ar/.

Enfin, ces derniers temps je me suis fait la remarque suivante : la copie d’œuvres soumises au droit d’auteur sans l’autorisation de l’ayant droit est illégale … mais le nom et la taille d’un fichier ne sont en rien un preuve juridique du contenu du fichier. Donc en gros vous n’êtes pas en tort tant que vous n’avez pas téléchargé un fichier, tant que vous ne l’avez pas ouvert, et tant que vous n’avez pas constaté « ha oui c’est bien un fichier soumis au droit d’auteur ».

A bon entendeur, salut.