Constat par plusieurs membres d'un certain nombre de choses douteuses sur le réseau WifiLib :

• une collecte importante de données personnelles
• des doutes sur le respect de la neutralité du réseau
• une information mensongère sur les obligations légales en terme de collecte de données personnelles
• une hypocrisie de la part de certains élus qui ont promu ceci comme une initiative de la ville, alors qu'il semblerait que ce soit purement le fait d'une entreprise privée en accord avec des cafés/bars/etc. acceptant d'installer les points d'accès, c'est-à-dire pas du tout dans l'espace public.

Un article paru récemment dans Presse Océan.

Il y a donc comme idée de faire une analyse de cette chose afin de produire un ou plusieurs billets sur le site. Les axes sont :

• technique : des blocages ? ralentissements ? atteinte à la Neutralité (via leur insertion de publicités notamment)
• juridique et communicationnelle : ils semblent collecter une foule de données personnelles, et incitent les patrons de bars et restaurant à utiliser leur solution en jouant sur la peur si ces derniers ne collectent pas lesdites données ;
• politicienne : à quel point cela a-t-il été récupéré par des élus de la ville ou de la métropole ?
• idéologique et politique : pourquoi on est très loin de ce que défend FAImaison pour démocratiser un accès à internet respectueux.

Voir le pad.

Rendez-vous à 11h, du côté du café le Chavallais à Nantes (proche du Flesselles), et peut-être après vers La Perle, où une borne y est également installée.

Fait : travail principalement réalisé à La Perle (le Chavallais était fermé), avec notamment :

• recherche de documents sur la stratégie de communication d'Afone auprès des municipalités et cafés ;
• liste des collectivités ayant fait appel à Wifilib où sur le territoire desquels Wifilib est déployé ;
• interception passive du trafic de la box wifilib de/vers internet (sur son port RJ45) pour en comprendre le trafic généré lors de différents évènements (allumage, connexion et déconnexion d'un client) ;
• inspection de l'application pour ordiphones, notamment avec tests sur l'API Web qu'elle utilise pour récupérer des données sur les bornes.

L'appareil vu est un Ruckus R300 (coût unitaire USD 390) (vue intérieure).

L'interception passive entre l'appareil et son lien montant montre :

• établissement d'un tunnel SSH rapidement après l'allumage de l'appareil, vers l'IP 46.225.54.113 (IP Afone), semble-t-il sans résolution DNS pour obtenir cette adresse
• un peu de trafic UDP régulier de/vers 46.255.54.232 sur le port 23233 (port à la fois source et destination)
• lorsqu'il y a du trafic généré par un client connecté, il passe dans cette connexion UDP : c'est donc une sorte de VPN
• quelques données en clair passent toutefois régulièrement sur ce lien UDP (exemple : WLAN:wlan0:1500:_WifiLib_HAUT_DEBIT_GRATUIT:R300:44000-NAN-ISRATP-WP-CAFELAPERLE-6308561593-001:94:F6:65:0A:1E:70:8, RUE PORT AU VIN, 44000, NANTES, on retrouve ces données à l'identique dans l'API exposée sous https://www.wifilib.com/api/)
• d'après la documentation de Ruckus (page 259) l'UDP est un tunnel GRE over UDP vers le SCG, et le tunnel est SSH est vers le Controller
• un burst de données à lieu dans le tunnel SSH au moment de l'association d'un client : cela peut être les infos sur le client qui sont poussées
• adresse attribuée au client dans le range 10.220.0.0/16 (même range sur deux AP différents testés dans Nantes), les clients semblent isolés les uns des autres, et leur adresse attribuée est probablement gérée directement à l'intérieur du VPN.

Les modèles d'appareils utilisés renvoyés par l'API sont tous de la marque Ruckus : R300, R500, T300, ZF7321, ZF7372, ZF7782, ZF7782-S.

L'installation globale utilisée par Afone est donc probablement le setup complet fournit par Ruckus, qui semble spécialiste en solutions de ce type : bornes à installer, gestion centralisée de ces bornes (probablement avec le “Zone Director”) et même géolocalisation.

Peut-être une surcouche spécifique faite par Afone au-dessus du setup Ruckus (champs en français, données qui semble spécifique au business d'Afone).

Les sources.

• Application html/js (cordova) ;
• Utilise principalement l’API ;
• Les paiement sont fait via google.

Probablement rien d’intéressant dans l’application elle même.

Semble très bavarde : /get_all_antenna.

Pas/peu de tests effectués, rien à signaler pour l'instant.

Wifilib est présent dans les villes suivantes : Nantes, Angers, Mulhouse, Saint Vincent de Tyrosse, Bordeaux, Monaco, Marseille, Montpellier, Lyon, Strasbourg, Reims, Paris, Metz, Amiens, Auxerre (en cours de déploiement, à priori).

Dans certaines d'entre elles, il apparait que le déploiement s'est fait à la demande des collectivités :

• Angers : notifié dans le CR du conseil municipal “Convention d'expérimentation entre la Ville d'Angers et la société Afone (DEL-2015-200)”
• Ville Neuve Loubet : notifié dans le CR du conseil municipal “Partenariat à titre expérimental pour la mise en œuvre d’une solution de WIFI Public WIFILIB”
• Mulhouse : notifié dans le rapport d'activité 2014 et dans l'actualité de la mairie
• Besançon : notifié dans le bulletin officiel de la commune “Expérimentation d'un réseau Wifi en centre-ville”…“La ville de Besançon et le Syndicat Lumière développeront avec l'opérateur AFONE un plan de communication sur l'usage de ce nouveau média”
• Saint Nom La Breteche : notifié dans le dossier de presse de la ville “la commune a souhaité offrir un nouveau service de wifi haut débit et gratuit à tous ses habitants, dans les lieux les plus fréquentés”
• Strasbourg : notifié dans un article “Le projet est en expérimentation pour une durée de dix-huit mois. La ville a signé une convention de partenariat avec l'opérateur AFONE qui va mettre à profit ces mois à venir pour ajuster ce service, l'adapter et le faire monter en puissance.”
• Amiens : notifié dans le journal de la ville “Wifilib c’est le nom du réseau public choisi par la Métropole pour couvrir le centre-ville amiénois.”