Entretien avec Ludovic Dubost sur la protection de la vie privée, la cybersécurité et les technologies décentralisées et open-source

En 2020, dans une interview précédente, Ludovic a exprimé ses inquiétudes quant à la centralisation du pouvoir dans l'industrie technologique, les entreprises technologiques devenant trop puissantes et contrôlant les données et l'infrastructure cloud. Amazon contrôle plus d'un tiers de l'ensemble du marché des services cloud, tandis qu'un autre tiers revient à Google et Azure combinés !

Cette centralisation croissante constitue une menace pour la confidentialité des données personnelles et augmente le potentiel de manipulation, y compris lors des élections, mais il y a encore de l'espoir, comme l'explique Ludovic dans cette nouvelle interview avec Website Planet, où il partage ses perspectives sur l'état actuel de la centralisation des données, la sensibilisation à la cybersécurité et la confidentialité en ligne, trois ans après sa première mise en garde.

L'histoire de Ludovic Dubost et XWiki

En 2003, lorsque j'ai quitté mon ancienne entreprise, une start-up spécialisée dans la mesure de l'audience, dont j'étais le directeur technique, j'ai voulu créer quelque chose de nouveau.

J'avais toujours été intéressé par les logiciels web et intranet depuis l'époque où j'étais consultant chez Netscape. J'ai découvert et mis en œuvre un wiki et j'ai été stupéfait de voir à quel point cela avait changé la collaboration et le partage d'informations au sein de mon équipe, j'ai donc décidé de créer un moteur wiki basé sur ce que j'avais appris en tant qu'utilisateur.

Le moteur de wiki que j'utilisais à l'époque (Twiki ou FOSWiki depuis qu'il a été forké), n'avait pas la capacité de structurer les données, et je sentais qu'il avait des faiblesses techniques d'implémentation. Après 6 mois de travail en solitaire, j'ai obtenu une première version que j'ai publiée en open source et j'ai créé un service de wiki gratuit en ligne. XWiki était né.

J'ai alors commencé à le faire connaître, à inciter les utilisateurs à l'installer et à promouvoir ses capacités d'extension pour construire des sites web collaboratifs à partir de XWiki. J'ai eu mes premiers clients, ce qui m'a permis de gagner de l'argent et de financer l'amélioration du logiciel.

C'était le début, il y a 19 ans, et depuis 2003 nous sommes devenus une entreprise de 50 personnes, avec plus de 7000 organisations mondiales utilisant XWiki et plus de 500 clients de toutes tailles. Notre plateforme XWiki est par exemple utilisée en interne par Amazon, qui en a financé une (petite) partie du développement, et par Lenovo, qui l'utilise comme base de connaissances. En outre, XWiki est disponible pour l'auto-hébergement et également comme service cloud.

Enfin, dans le cadre de projets de recherche, nous avons lancé un nouveau logiciel, CryptPad, qui vise à permettre l'édition de documents cryptés de bout en bout en temps réel et la collaboration. En 2016, nous avons lancé un prototype en ligne, et en 2018, nous avons décidé de poursuivre le projet et de lancer le service cryptpad.fr. CryptPad.fr compte aujourd'hui 50 000 utilisateurs hebdomadaires et plus d'un million de pads ouverts/mois. Comme c'est un projet open-source, près de 800 autres instances sont actuellement utilisées.

Quel est votre point de vue actuel sur l'équilibre entre la centralisation et la décentralisation ? Comment a-t-il évolué depuis 2020 ?

L'internet a été considéré comme décentralisé, avec des protocoles créés pour permettre l'interopérabilité. Malheureusement, au fil du temps, les sites web ont remplacé les protocoles, et les forces économiques du marché poussent à la recentralisation de l'internet, en promettant aux utilisateurs que tout ira bien. Depuis 2020, nous constatons que les entreprises Big Tech ont encore renforcé leur pouvoir et leur emprise sur les utilisateurs et les sociétés. Leur puissance financière leur permet de faire taire la concurrence.

Pourtant, cette concurrence existe. Vous avez de nombreux fournisseurs d'alternatives, qui permettent beaucoup plus de liberté, que ce soit par le biais de protocoles ouverts, de normes ou de code source ouvert. CryptPad, par exemple, propose une alternative open-source aux plateformes centralisées d'édition de documents. Tout notre code est ouvert, et n'importe qui peut installer notre solution sur ses propres serveurs.

Nous sommes également soutenus par de nouvelles réglementations (telles que la DSA et la DMA en Europe) qui remettent en question le pouvoir des géants de la technologie et tentent de recréer une plus grande concurrence.

Avez-vous remarqué des changements réglementaires ou politiques importants liés à la confidentialité des données et à la technologie qui ont eu un impact sur l'ensemble de votre secteur d'activité ?

En Europe, la DSA et la DMA sont désormais en place, et nous commençons à voir les premières actions qui y sont liées. Les grandes entreprises technologiques se battent déjà contre les nouvelles obligations à l'égard des « gardiens » que ces nouvelles réglementations prévoient. Même si nous pensons qu'il faudra beaucoup de temps pour que ces réglementations modifient la dynamique du marché, il s'agit d'un pas dans la bonne direction.

Nous suivons également de près le cadre de protection des données UE - États-Unis. Nous pensons que la confidentialité des données des utilisateurs européens n'est pas protégée si les transferts de données vers les États-Unis sont autorisés. Le CLOUD Act américain confère beaucoup trop de pouvoirs « secrets » au gouvernement des États-Unis pour qu'il puisse accéder aux données privées des citoyens ou résidents européens.

En Europe, nous sommes aussi très préoccupés par la proposition de « Chat Control » qui met en danger l'utilisation du cryptage de bout en bout et, par conséquent, la protection des données en général.

Notre secteur fait l'objet d'une grande attention, ce qui est normal étant donné l'importance de la technologie dans nos vies. Cependant, on ne sait pas encore très bien comment les nouvelles réglementations renforceront effectivement la protection des données. Dans notre cas, nous essayons de nous concentrer davantage sur le logiciel lui-même et de fournir un logiciel que toute personne ou organisation peut utiliser librement pour protéger ses données. Nous pensons que cette contribution est essentielle pour l'avenir de la protection des données.

Avez-vous constaté des progrès notables dans l'adoption et le financement des technologies décentralisées et open-source ?

Je pourrais parler de quelques avancées notables, et ce, grâce au financement, à savoir :

• Le projet openDesk : Ce projet vise à créer un environnement 100% open-source, sécurisé, décentralisé et respectueux de la vie privée pour l'administration publique allemande. Ce projet réunit 8 fournisseurs de logiciels libres de niche bien connus (XWiki, Nextcloud, Collabora Office, Element (Matrix), Open-Xchange (OX), OpenProject, Nordeck (Jitsi), et Univention), et nous sommes ravis d'en faire partie puisqu'il s'aligne sur les principes de la souveraineté numérique.
• L'initiative « France 2030 » : Le projet fournit également des fonds pour des solutions souveraines en Europe, et il engage 3 consortiums composés de 39 partenaires dont XWiki et CryptPad font partie. Cependant, tout le travail effectué dans le cadre de ces projets n'est pas open source. Malgré cela, nous sommes un partenaire majeur et nous pourrons améliorer nos solutions grâce à ces programmes.
• Le programme NGI (ngi.eu) continue de financer les solutions open-source. Des organisations telles que NLNet, OW2 ou l'université d'Aarhus gèrent certains appels ouverts du programme NGI et financent régulièrement des solutions open-source. Chez XWiki, nous avons récemment obtenu un financement de 150 000 euros pour travailler sur WAISE (Wiki Artificial Intelligence Search Engine) afin de permettre la création d'une « recherche en langage naturel » basée sur les LLM.

Quelles sont les stratégies qui ont le mieux fonctionné jusqu'à présent pour soutenir le financement et le développement des projets open-source ?

Il n'y a certainement pas d'approche unique, mais je peux parler de XWiki et de CryptPad. Ce que nous avons fait au début pour XWiki consistait à fournir des services en plus du produit et à être rémunérés pour l'améliorer. Au fil du temps, nous avons trouvé d'autres moyens de soutenir le produit, et c'est ce que nous faisons :

• Éduquer nos clients sur différents points de contact afin qu'ils comprennent pourquoi il est important de payer pour des logiciels libres et open-source. La véritable valeur des logiciels open-source ne réside pas dans le fait que l'on peut essayer d'éviter de payer les fournisseurs, mais dans la transparence du logiciel et dans la collaboration qui se produit sur le logiciel lui-même.
• Proposer des offres sur trois ans et des prix différents pour les clients qui ont des contrats d'assistance par rapport à ceux qui n'en ont pas. Cette approche nous a permis de créer des relations à long terme avec nos clients et de soutenir le développement du produit.
• Avoir des extensions prêtes à l'emploi incluses dans l'abonnement. Chez XWiki, nous publions tout le code source de nos extensions prêtes à l'emploi, mais nous ne les proposons que sous forme d'extensions payantes dans notre boutique d'extensions.
• La fourniture d'un service cloud est également une approche importante qui permet d'établir une relation directe avec les clients et les utilisateurs (payants et non payants).
• Financement de la recherche et R\&D payée par les clients.

Bien sûr, tout n'a pas été parfait dès le début, et nous avons appliqué pour CryptPad les leçons apprises lors du développement de XWiki. Aujourd'hui, parce que XWiki a atteint sa maturité commerciale, nous soutenons aussi le développement de CryptPad. Par ailleurs, nous finançons les développements de CryptPad principalement par des programmes de subventions à la R\&D, des abonnements et des dons par l'intermédiaire d'Open Collective, ainsi que par des projets de financement importants tels que le Développement d'une suite bureautique collaborative basée sur le cloud dans le cadre de la stratégie nationale cloud de France 2030.

Enfin, nous constatons que le financement par capital-risque peut constituer un véritable défi pour les logiciels libres. Alors que la majorité des logiciels open-source ont été créés par des entreprises soutenues par des sociétés de capital-risque, nous constatons également que certains investisseurs ont tendance à pousser ces entreprises à fermer leur contribution à l'open-source afin de privilégier le profit. Cela a été au cœur de la décision de Hashicorp de passer à une licence non open-source, ce qui a finalement conduit au "fork" de Terraform, appelée OpenTofu, qui a rejoint la Fondation Linux.

Nous pouvons constater que le financement par capital-risque est une arme à double tranchant. Chez XWiki, nous ne pensons pas qu'il s'agisse d'un comportement commercial éthique et nous avons préféré rester indépendants et faire du "Community Open Source" sans "Contributor License Agreement", ce qui signifie que notre activité est basée sur les principes du logiciel libre aujourd'hui et aussi à l'avenir.

Y a-t-il eu des changements notables dans la manière dont les entreprises donnent la priorité à la cybersécurité plutôt qu'à la commodité ? Quelles sont les erreurs qu'elles commettent encore et comment y remédier ?

Les fournisseurs de services cloud ont promis la commodité et la réduction des prix grâce à leur capacité de mutualisation, ce qui était peut-être vrai jusqu'à ce qu'ils aient recueilli une énorme quantité de données.

Aujourd'hui, les utilisateurs se rendent compte que plus il y a des données, plus il y a des raisons d'essayer de les voler, et même si les grandes entreprises du cloud promettent d'être très compétentes en matière de sécurité, elles ont encore des failles.

De plus, au fur et à mesure que les exigences en matière de cybersécurité augmentent, la promesse de prix bas s'évanouit également. Par ailleurs, certains fournisseurs de logiciels ont décidé d'arrêter de servir leurs clients sur site, en dépit des souhaits de ces derniers. Nous sommes particulièrement bien placés pour le savoir, car nous avons vu de nombreux clients d'Atlassian venir nous voir en raison de la décision d'Atlassian d'arrêter "Confluence Server" et de pousser les clients vers le cloud ou de passer à une offre beaucoup plus onéreuse pour rester sur site.

Nous voyons toujours des clients qui ne sont pas aveuglés par les promesses de déléguer toute leur informatique au cloud. Chez XWiki, nous considérons que nous devons donner le choix à nos clients de fonctionner sur le cloud pour des raisons de commodité ou sur site pour un contrôle total. De plus, nous avons spécifiquement construit CryptPad pour fournir une solution qui apporte une couche supplémentaire de sécurité cryptographique sur les données de l'utilisateur.

Avez-vous observé une amélioration de la compréhension et de la priorité accordée à la cybersécurité par les utilisateurs finaux depuis 2020 ?

Alors que de nombreux clients adorent CryptPad et nous félicitent sur Mastodon pour le travail que nous avons accompli, la majorité des utilisateurs et des organisations ne comprennent toujours pas. L'industrie de la sécurité a également une grande responsabilité, car elle est plus encline à vendre de la protection qu'à orienter les utilisateurs vers des solutions qui sont sécurisées dès leur conception. Nous espérons voir un changement dans les prochaines années.

Que doivent faire les gens pour protéger leurs données et leur vie privée contre la centralisation croissante du pouvoir ?

Cela dépend vraiment du niveau de compétence personnelle pour comprendre la manière dont les données sont collectées, traitées et partagées, ainsi que des différences réelles entre les différents fournisseurs techniques.

Si vous êtes un technologue ou une entreprise dotée d'un département informatique, vous avez la possibilité de comprendre comment fonctionne réellement la confidentialité des données et de lire derrière les lignes des offres marketing. Vous auriez même la possibilité d'installer vous-même certains logiciels.

La première étape consiste maintenant à décider de donner une chance à une solution alternative. Dans le cadre de la centralisation actuelle du pouvoir, les principaux acteurs choisissent tout pour vous. Alors que vous pensez choisir d'utiliser une solution Big Tech spécifique, la réalité est que vous finissez par utiliser leurs services en raison de l'emprise qu'ils ont sur le marché.

Si, comme nous, vous êtes préoccupés par ce pouvoir, la première chose à faire est d'agir, de dire « non » aux entreprises Big Tech et de choisir des solutions alternatives qui proposent une autre façon de faire les choses.

L'une des choses importantes que nous avons apprises avec CryptPad est que plus nous avons d'utilisateurs, plus les utilisateurs comprennent CryptPad, et cela devient plus naturel pour eux. À un moment donné, certains de nos utilisateurs reviennent à une solution Big Tech et la trouvent difficile à utiliser parce qu'ils se sont habitués à notre solution. L'une des principales raisons pour lesquelles les gens ne passent pas à d'autres solutions est qu'ils y sont habitués, et non pas qu'elles soient meilleures en elles-mêmes.

En tant qu'utilisateur, vous n'avez donc qu'à faire la transition. Donnez la priorité à votre vie privée et à la protection de vos données, et donnez la priorité à l'open source. Incitez d'autres personnes à vous rejoindre. Plus nous serons nombreux, plus toutes les alternatives deviendront la nouvelle norme.