Plubliée il y a quelques jours, une nouvelle vidéo explique simplement d’utilité et le fonctionnement du réseau Tor. De plus en plus populaire notamment depuis les révélation de Snowden, on peut parier sans trop se tromper que les nouvelles lois françaises concernant la censure et la surveillance des communications ne feront qu’élargir l’utilisation de ce logiciel libre.

Simple d’utilisation, le réseau permet de renforcer l’anonymat et de contourner les blocages de sites Internet. Vous êtes journaliste, militant-e, ou « simple » Internaute tenant à sa vie privée et à l’accès à Internet non censuré? Tor est fait pour vous!

Plus d’articles sur Tor

Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

La nouvelle circule petit à petit via les sites d’information et les réseaux sociaux: Twitter bloque dorénavant les  créations de comptes via Tor si  les utilisateurs ne renseignent pas leur numéro de téléphone. Une grave attaque contre un outil de protection de la vie privée utilisé par de nombreux dissidents politiques dans le monde.

Alors qu’il a longtemps bénéficié d’une image un peu plus préservée que Facebook question respect de la vie privée des internautes, le réseau Twitter continue depuis plusieurs années sa construction d’un modèle basé sur la récolte de données personnelles et la publicité. Après le « printemps arabe », la plateforme de microblogging avait pourtant la côte. On le présentait comme un modèle de journalisme citoyen et on en avait vanté les bienfaits face aux abus des pouvoirs et contre les tentatives de limitation de la liberté d’expression:

Vidéo de l’agence Marcel pour France 24 en 2011

Toujours en 2011, Amnesty.be titrait: « Aujourd’hui, les réseaux sociaux font mal aux dictatures ».

À cette époque, Twitter se targuait de faire de la résistance face aux demandes de communication des données relatives aux twittos.

Un étau qui se resserre autour des outils de communication

Mais ces dernières années, la pression se fait de plus en plus forte, et de nombreux gouvernements dont le notre, enjoignent le réseau à jouer le rôle de censeur lorsque les lois ne sont pas suffisamment efficaces face à certains problèmes. On l’a vu en France vis à vis de la propagande « islamiste » ou des propos racistes et discriminants.
Ainsi, du 1er juillet au 31 décembre 2014, la demande de retrait d’informations a quasiment augmenté de 84% (la France étant en 4e position).

Effet de la pression ou droite lignée du modèle anti-anonymat porté par Facebook? Quelles que soient les raisons motivant cette décision de forcer le dévoilement de l’identité des utilisateurs de Tor, ça n’est plus aux dictatures mais aux résistances que Twitter fait du mal.
Basé sur le principe d’un réseau décentralisé encapsulant nos communications dans plusieurs couches de chiffrement, l’anonymat du réseau Tor devient totalement illusoire lorsque l’on décide de communiquer des informations personnelles, surtout vers des serveurs qui sont soumis à la surveillance de la NSA comme c’est le cas de Twitter.

Espérons que peu nombreux seront ceux à fournir leur numéro de téléphone alors qu’ils cherchent la discrétion. Quoi qu’il en soit, l’alternative Diaspora* existe toujours, et n’attend que la notoriété pour dévoiler tout son potentiel.

Malgré le fait que les smartphones soient de plus en plus surnommés « mouchards de poche » (et c’est bien mérité), lorsqu’on en possède un, on a bien envie de s’en servir pour tous ses usages habituels. Pour beaucoup, Twitter est un moyen d’information quotidien, et ce malgré ses nombreux défauts (non repect des données personnelles, système centralisé, licence propriétaire etc.).
Nous allons voir comment limiter au maximum les dégâts question vie privée, tout en profitant de cet outil de veille.

« Mouais, encore un truc à la con »

L’une des solutions les plus employées passe par l’utilisation de l’application officielle de Twitter. Cette option-là est à oublier tout de suite si vous avez un tant soit peu de respect pour vos données privées. Jetez un œil sur les permissions requises, ça vaut le détour:

• accès au stockage
• accès au numéro de téléphone
• accès au carnet d’adresse
• géolocalisation
• etc.

Il sera donc préférable d’utiliser une application libre et moins intrusive. Vous pouvez tester par exemple Twidere, qui se trouve notamment sur le dépôt d’applications Fdroid.

Cette dernière a l’avantage de pouvoir être paramétrée pour utiliser un proxy. On va donc s’en servir, et passer par le réseau Tor, ce qui aura de multiples avantages:

• Faire chier votre opérateur et tous ceux qui pourraient analyser votre trafic
• Conserver un peu d’anonymat si votre compte Twitter n’est pas nominal
• Isoler l’activité relative à votre compte de ce que vous pourriez faire à côté de cela
• Accéder au réseau s’il est censuré dans votre pays
• [Optionnel] Participer à l’avènement de la cryptoanarchie en augmentant le volume de données non espionnables qui transitent sous les yeux de nombreux curieux
• [Optionnel] Vous la péter en société ou aux repas de famille

Bon ok, mais comment on fait alors?

Pour passer par le réseau Tor sur votre smartphone, il va vous falloir Orbot, et Orweb, le navigateur associé. Le tout est assez intuitif et facile d’utilisation.
À partir de là, deux solutions se posent à vous:

1. « Torrifier » Twidere directement depuis Orbot (mais il faut être root sur sa machine)
   → Paramètres / Transparent proxying, puis Select Apps et vous cochez Twidere
2. Vous allez dans les paramètres Réseau de Twidere, cochez Proxy Http, remplissez locahost pour l’hôte du proxy, puis 8118 pour le port du proxy

Personnellement je préfère l’option n°2, car le gros défaut de la première, c’est que si vous n’êtes pas connecté à Tor, l’application fonctionnera tout de même, et se connectera donc de façon non sécurisée, révélant ainsi votre position voire votre identité. On a vite fait de cliquer par mégarde sur une icône, surtout avec du tactile. En configurant la connexion par un proxy, pas de Tor: pas de connexion au réseau.

Vous pourrez ensuite obliger Twidere à utiliser Orbot pour ouvrir les liens qui se trouvent dans votre fil, ce qui évitera de laisser des traces dans votre navigateur habituel, et surtout d’être trop facilement identifiable par son empreinte, ou tout simplement par les boutons de partage présents sur les pages que vous visiterez.

Quelques « détails » pour ne pas tout foutre en l’air…

Autre chose pour les personnes désirant être un poil plus discrètes: Twidere tourne en tâche de fond même si vous pensez l’avoir fermé. Vous pourriez donc utiliser Tor pour quelque chose de tout à fait différent, et être trahi par l’application qui continuerait à se connecter à votre compte Twitter.

Vous devriez donc activer les options développeur en cliquant quelque chose comme 8 fois sur « Numéro de build » dans « À propos du téléphone » (Paramètres). Un nouveau menu « Options pour développeurs » apparaîtra, et il vous sera possible de cocher « tuer avec le bouton retour ». Ceci fait, un appui long sur « retour » fermera réellement vos applications.

Enfin, les DNS utilisés par Twitter sont ceux de Google. Cela peut se changer dans les paramètres, pour quelque chose d’un peu plus respecteux de votre vie privée…

Pour renforcer encore un peu le contrôle de votre smartphone Android, reportez-vous à la catégorie Outil/Android de ce site…

Lorsque l’on utilise Tor Browser, un Firefox modifié qui permet de se connecter au réseau Tor, le module NoScript autorise javascript par défaut. Et lorsque l’on a bien appris sa leçon, on sait que javascript c’est plutôt moche question sécurité. Mais le problème qui se pose alors, c’est que sans scripts, c’est souvent le site visité qui devient moche, voir inutilisable. Dilemme…

S’il n’y a comme d’habitude pas de solution miracle, mais la FAQ du site du projet Tor propose une explication à la question que vous vous étiez peut-être comme moi posée.

Premièrement, l’équipe souligne que l’importance qu’a pris javascript dans la construction des sites aujourd’hui porte le débat non plus uniquement sur la sécurité, mais aussi sur « l’accueil » des nouveaux utilisateurs de Tor. Si les sites sont à moitié fonctionnels ou ont l’air de ne pas être consultables par le biais Tor, le risque le plus probable est que ces personnes cessent tout simplement d’utiliser car ne sachant pas configurer NoScript, ce qui n’est évidemment pas souhaitable.

D’un autre côté, le problème de sécurité reste, mais il n’est pas nécessairement résolu non plus par des choix plus restrictifs de l’utilisateur. En effet, le fait de n’accepter que les scripts de quelques sites, pourrait s’avérer aussi parlant sur vos habitudes, et surtout votre indentité, qu’une bonne paire de cookies déposés sur votre ordinateur. Ouch! N’avais pas pensé à celle-là.

Les développeurs de Tor ont ainsi équipé le Torbutton (le petit oignon vert en haut à gauche) de fonctionnalités permettant de bloquer les scripts potentiellement dangereux. Et NoScript est toujours là pour s’occuper d’éventuelles attaques jouant sur les failles éventuelles du navigateur, même si les scripts sont autorisés.

Si vous le pouvez, il est donc toujours préférable de tout bloquer à l’aide de NoScripts, mais en cas de besoin, vos arrières sont assurés. Ça n’est pas une raison pour aller regarder des vidéos en flash non plus! 😉

Pour les plus consciencieux d’entre vous, il reste la solution du système live Tails, qui probablement renforcera encore vos chances d’augmenter votre sécurité et votre anonymat…

Moralité: les outils c’est bien, mais des outils et de la réflexion c’est mieux.

Problème récurrent lorsque l’on parle de données personnelles sur les smartphones, la question des permissions allouées aux applications fait souvent mal. Qu’un fond d’écran ou une lampe torche puissent accéder à votre carnet d’adresse, à l’espace de stockage, et communiquer avec le réseau, c’est tout à fait injustifé, et potentiellement dangereux. Qui sait précisément ce que peuvent communiquer certaines applis?

Afin de reprendre un minimum de contrôle sur son appareil et surtout sur sa vie privée, un petit firewall peut s’avérer utile. AFWall+ fait ce travail (fork de DroidWall qui a été racheté par Avast), et vous pourrez vous le procurer notamment sur Fdroid. C’est évidemment sous licence libre GPLv3, donc mangez-en sans retenue.
Note: vous devrez avoir rooté votre téléphone pour vous en servir. [edit] Cela peut remettre en cause la garantie, mais au stade où nous en sommes, un choix est à faire avec les mouchards de poche: la garantie, ou la vie privée. En effet, beaucoup d’applications indispensables nécessitent cette manipulation.

Ceci étant dit, le reste n’est qu’une formalité. Vous n’aurez qu’à choisir pour chaque application si elle peut accéder au réseau local (il me semble que cela doit concerner le bluetooth et peut-être le NFC, mais c’est à confirmer), au wifi, ou au réseau mobile (Edge/3G/4G etc.).

AFWall+ peut fonctionner selon le principe de la liste blanche ou de la liste noire (on coche les applis qui peuvent accéder aux réseaux, ou on coche celles qui ne le peuvent pas); il suffit pour cela de cliquer sur le mode en haut de l’écran (il est par défaut en liste blanche).

Enfin, les applications système sont en rouge, afin de vous aider à ne pas trop foutre le bordel dans votre téléphone. Certaines peuvent être interdites de réseau sans problèmes, mais pour d’autres, cela peut entraver le fonctionnement normal de votre machine. Si vous ne savez pas de quoi il s’agit, il vaut mieux laisser l’accès, ou faire vos propres tests, ce qui aura l’avantage de vous faire un peu mieux comprendre le fonctionnement d’Android.

Il sera bien entendu nécessaire de désactiver le firewall une fois de temps en temps afin de laisser se faire les mises à jours. Mais attention, cela veut dire que les applications curieuses pourront alors communiquer des données personnelles à ce moment.

Vous l’aurez compris, si AFWall+ est un indispensable pour le contrôle de ses données, il ne peut être qu’un complément à une application de gestion des permissions qui elle garantira un blocage d’accès aux carnets de contacts et autres sésames de votre intimité.
Pour faire ce boulot, vous pourrez télécharger Privacy Guard ou mieux, installer CyanogenMod qui gère ça de façon native.

Edit: Suite à une demande des personnes s’occupant du VPN wnh, quelques modifications ont été apportées à cet article (en rouge). Merci à eux pour leur aide.

J’avais déjà évoqué les VPN lors d’un petit tuto pour Android. Faisant partie des outils de base participant à une meilleures protection de nos excursions en ligne, le VPN sait se montrer peu contraignant une fois installé.

Popularisé ces derniers temps par les personnes qui téléchargent illégalement, voire par le mouvement Anonymous, le VPN, pour Virtual Private Network, peut remplir plusieurs fonctions assez différentes. On parle souvent de tunnel pour illustrer son fonctionnement. En effet, son principe consiste à « encapsuler » les informations transmises entre nous et le serveur VPN, pour ensuite laisser à ce dernier une fonction de proxy. Cela signifie en clair que les sites consultés n’auront théoriquement accès qu’à l’adresse IP du serveur VPN, et non à la votre.

Définir ses besoins

Il convient avant toute chose de se poser la question des raisons qui peuvent vous pousser à l’utilisation de cet outil. En effet, cette réflexion doit permettre de vous orienter vers telle ou telle solution. Un VPN, ça peut servir à:

• Se connecter de manière sécurisée au serveur de son entreprise, de chez soi
• Contourner la censure pour accéder à des sites bloqués dans son pays
• Se prémunir de la surveillance des intermédiaires techniques comme les fournisseurs d’accès à Internet
• Renforcer (un peu) son anonymat

Le moment du choix est donc décisif, et ne doit pas être pris à la légère. En ce qui concerne une utilisation orientée protection de la vie privée, plusieurs éléments doivent être considérés:

• Le serveur VPN aura accès à l’intégralité de vos surfs. N’offrez pas ces informations à n’importe qui, d’autant plus qu’un véritable marché s’est développé dans le domaine. Attention donc aux « gratuits ». Tous les VPN ne se valent pas, et la confiance est votre seule garantie (soit quelque chose d’assez léger en terme de sécurité)
• L’opérateur conserve t-il les logs de connexion? Analyse t-il le trafic? Bloque t-il certains protocoles? Certains sites etc.?
• La législation du pays dans lequel les serveurs se trouvent, notamment en ce qui concerne la conservation des données et l’interception légale
• Les pratiques réelles, hors cadre légal, des services de renseignement ou des entreprises
• La fonction recherchée, et les habitudes réservées à l’utilisation de ce VPN. L’utiliser pour quelque chose de pas très légal pour ensuite se connecter à son compte en banque peut être un pari un peu délicat
• Avoir conscience qu’un VPN n’offre en aucun cas une navigation anonyme. Il y a de très nombreuses manières d’authentifier quelqu’un par ses cookies, son emprunte numérique (logiciels, modules, caractéristiques matérielles…),  ses habitudes etc.

Lorsque tout est clair dans votre esprit et que votre compagnon de route est choisi, nous pouvons nous lancer pour l’installation et la configuration.

Installer son VPN

Pour ce tuto, nous prendrons comme pré-recquis que nous sommes sous Debian GNU/Linux ou une distribution dérivée comme Ubuntu, avec Gnome (ou Unity) comme environnement de bureau.

Allez, on se lance! On ouvre un terminal!

Installation

Sous Debian (en root):

aptitude install network-manager-openvpn-gnome

/etc/init.d/network-manager restart

Sous Ubuntu:

sudo apt-get install network-manager-openvpn-gnome

sudo service network-manager restart

Configuration

Ouvrez les paramètres réseaux, et ajoutez un VPN, puis sélectionnez OpenVPN.

Pour l’exemple, nous prendrons le VPN gratuit proposé par Telecomix. Attention, celui-ci est basé en France, donc soumis aux lois concernant la conservation des données personnelles. Son usage répond donc essentiellement aux volontés de brouiller la surveillance des fournisseurs d’accès à Internet, ou à contourner la censure.
De plus, des difficultés dues au temps nécessaire à la maintenance et à l’établissement d’une documentation exhaustive en font un outil qu’il faut utiliser avec précaution. Évitez-donc pour l’instant ce VPN pour des usages nécessitant un haut niveau de sécurité. Tenez-vous informés sur le site dédié à ce VPN.

La configuration sera un poil plus simple que d’habitude, car il n’y a pas de compte à créer et un fichier de configuration est déjà tout prêt 🙂

• Téléchargez le certificat crt, dans un dossier dédié, ça sera moins le bordel. Vous y rangerez aussi le fichier qu’on va créer juste après. Des mirroirs sont disponibles en cas de problème d’accès
• Le certificats sera bientôt renouvelé, donc gardez l’œil ouvert.
• Avec Gedit par exemple, générez un fichier nommé wnh.ovpn avec le contenu suivant:

client
dev tun
proto tcp
remote vpn.wnh.me 1194 # Will hopefull be a roundrobin to all VPN entrypoints of the darknet
resolv-retry infinite
nobind
persist-key
persist-tun
script-security 3
# Because server does not require certificate, it has to ask for credentials, but anything can be entered
auth-user-pass# The root CA used to sign the _server_ certificate
# download it from a mirrow below the config
ca wnh-ca.crt
comp-lzo
route-nopull # do not ask the server for any routing setting
route 10.0.0.0 255.0.0.0 # route the 10.* net to the VPN
route-metric 10 # set a higher metric, to prevent routing of
# local nets staring with 10 to the Darknet

• Dans les paramètres de connexion, importez une configuration, et choisissez le fichier que vous venez de créer.
• Note: Sous certaines version de Gnome Shell, il semble ne pas y avoir cette option. Vous pouvez installer l’extension Old Network Manager pour avoir l’ancienne interface en plus et régler ce problème.
• Choisissez un identifiant et un mot de passe au hasard, et enregistrez tout ça.
• Il ne vous reste plus qu’à vous connecter au VPN dans votre gestionnaire de connexions, et à rester prudents avec votre nouveau joujou!

Note: Si vous êtes à la recherche d’une solution permettant un anonymat plus renforcé, je vous conseille de vous orienter vers des logiciels comme Tor, ou encore des systèmes d’exploitation Live comme Tails.

(Mise à jour: il semblerait que la version gratuite du VPN Arethusa utilisé pour la démonstration ne soit plus disponible…)
Pour préserver sa vie privée en ligne, le VPN est dans bien des cas un allié. Son rôle est de chiffrer votre trafic, ainsi, le fournisseur d’accès à Internet et les potentiels curieux ne pourront pas savoir quelles sont vos activités (et ça emmerde bien le monde donc c’est plutôt une bonne chose! 😉 ) L’image du tunnel est souvent utilisée pour illustrer ce phénomène. Toutes les données sortantes sont alors prises en charge.

Une fois activé, les sites visités ne connaîtront que l’adresse IP du serveur VPN, et non pas la vôtre. Cela masque votre localisation, mais facilite également l’accès à des sites qui seraient censurés dans votre pays.
Petit troll en prime, si vous êtes chez Free mobile, cela vous permettra certainement aussi d’avoir un débit acceptable au cas où vous traîneriez du côté de Youtube ou Dailymotion! (#NetNeutrality)

[cc_half_col_left background_color= »#515151″ radius= »60″ shadow_color= »888888″] OpenVPN est comme son nom l’indique, libre. Il est réputé plus sécurisé que le protocole PPTP (Point to Point) qui comporterait des failles permettant de révéler votre véritable adresse IP. [/cc_half_col_left] Avant de se lancer, plusieurs pré-requis sont nécessaires:
– Avoir un téléphone rooté.
– Avoir une distribution Android qui supporte OpenVPN (CyanogenMod par exemple). Si vous n’êtes pas dans ce cas, jetez un œil du côté de OpenVPN installer.

Une fois ces questions réglées, vous installerez OpenVPN Settings (on le trouve sur le Play Store mais aussi sur FDroid).
Créez un dossier openvpn à la racine de votre carte SD sur le téléphone, et mettez-y le fichier de configuration et la clé de chiffrement du VPN que vous aurez choisi.
Pour l’exemple, nous prendrons le VPN gratuit Arethusa (attention, il n’est pas libre donc il n’y a aucun moyen de s’assurer de son sérieux et du niveau de sécurité qu’il offre).
Pour ce VPN, les fichiers se trouvent sur cette page. Mettez-les dans le dossier openvpn que vous venez de créer.

Ouvrez ensuite OpenVPN Settings, et si tout va bien, Arethusa sera maintenant disponible (voir image ci-contre).
Il n’y a plus qu’à activer OpenVPN (première case), puis arethusa-free.ovpn.

Vérifiez tout de même que tout est en ordre en vous rendant sur un site quelconque permettant d’afficher votre IP et votre localisation. ex: http://www.mon-ip.com/

Avertissement: Changer d’IP c’est comme mettre une cagoule. Si on reconnaît vos fringues, ça ne sert pas à grand chose! 😉
N’oubliez pas que Google et consorts ont une mémoire d’éléphant et que de nombreux éléments peuvent permettre un recoupement des informations préalablement récoltées (compte Google, cookies, numéros uniques d’identification des applications etc.). Ne vous croyez donc pas à l’abri de tout…

Autre chose: gardez à l’esprit que tout ce qui passe par le VPN et qui n’est pas chiffré peut être vu par les personnes qui l’administrent. Cela nécessite donc une certaine confiance et pose la question de la conservation des données. En France par exemple, il est obligatoire de conserver les logs pendant 1 an… Privilégiez donc des pays plus respectueux du droit à l’anonymat, et des VPN sans logs.

Voilà, il ne reste plus qu’à choisir le vôtre!

En naviguant sur le web, nous communiquons énormément d’informations sur nous-mêmes, notre matériel, notre configuration etc., et laissons donc énormément de traces qui permettent de nous identifier. J’avais écrit deux petits articles à ce sujet qui permettent de se faire une première idée pour les personnes qui ne connaissent pas du tout la problématique, ici et là.

User what?

Parmi ces informations transmises, on trouve le user-agent. Lorsque l’on accède à une page, un dialogue s’opère entre votre machine et les serveurs hébergeant le site (pour faire vite mais c’est plus compliqué 🙁 ). Parmi les informations échangées, on va trouver par exemple la langue souhaitée, le type de navigateur, de système d’exploitation etc. Cela permet d’afficher un contenu attendu, ou encore de l’adapter selon le matériel de l’internaute (proposer directement le téléchargement d’un logiciel adapté à votre système d’exploitation par exemple).

Pour visualiser un peu, le user-agent, c’est un truc qui ressemble à ça:

Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

On retrouve donc bien les informations concernant le système d’exploitation (Windows NT 5.1 soit Windows XP), et sur le navigateur (MSIE pour Microsoft Internet Explorer).
Note: Mozilla/4.0 correspond au nom et à la version de l’application (Internet Explorer s’identifie comme le navigateur de Mozilla pour des raisons historiques).

L’extension Firefox: User Agent Switcher vous propose donc d’assurer facilement ce changement, et donc de faire croire que vous utilisez Internet Explorer 6, 7 ou 8 sous XP, que vous êtes un robot Google, ou même un iPhone 3!

Pour ajouter des profils (si vous avez envie d’« avoir » Chrome ou Windows 7, je sais pas moi 😉 ), c’est très simple. Dans les options de l’extension, vous allez dans « Edit User Agent » et « New ». Vous trouverez facilement une liste de modèles, comme cette sur cette page Wikipédia par exemple.

Pour checker si votre nouvelle « identité » est bien en place, vous pouvez vérifier sur un site comme anonymat.org.

Ça y est j’suis super anonyme?

La réponse est assez simple: vraiment pas. Si cela permet de contrôler un peu mieux les traces que vous laissez, notamment si vous avez une configuration un peu trop exotique qui pourrait attirer l’attention sur vous (voir papier assez marrant de Reflets.info), la question n’est absolument pas réglée.

Changer son user-agent, c’est donc surtout un petit plus mais qui ne protège en rien des nombreuses autres façons de vous identifier. Donc soyez prudents! Pensez donc au minimum à camoufler votre adresse IP (par un proxy, VPN, Tor…), à bloquer ou nettoyer vos cookies, ou encore bloquer javascript qui peut permettre de vérifier vos plugins installés et de trouver une « empreinte » unique vous identifiant (utilisez NoScrip pour vous en prémunir). Sur ce dernier point, Panopticlick, un projet de l’Electronic Frontier Foundation permet de prendre la mesure ce problème. Enfin, pour un anonymat plus poussé, il sera certainement plus simple de jeter un œil du côté des systèmes d’exploitations live comme Tails.

Quoi qu’il en soit, ne perdons pas de vue que l’anonymat à 100% reste dans l’absolu impossible, et que s’en rapprocher ne peut être réduit à une simple addition d’outils. Donc réfléchissez bien!

Il n’y a pas que Facebook qui mériterait des claques dans le domaine du respect de la vie privée en ligne. Oh non! Alors que l’entreprise de Zuckerberg fait ses choux gras sur le mythe du « connecting the world », d’autres comme Google, se la jouent Che Guevara. Dernier exemple en date, la possibilité de flouter les visages sur YouTube. On pense de suite à un outil plutôt pratique pour les militant-e-s, et notamment dans les pays où publier des vidéos constitue l’un des rares moyens de communiquer avec l’extérieur, comme en Syrie.

Chouette pourrait-on donc se dire! Ça nous change de Facebook qui automatise le fichage biométrique par la photo! Mouais. Sauf qu’à peine quelques jours après, des premiers retours d’internautes inscrits sur Google + témoignent d’un fait nouveau. Pour rappel, au lancement du réseau social, Google avait fait la guerre aux pseudos, et beaucoup y sont donc présent-e-s sous leur véritable nom. Vous le savez également, tous les services Google sont connectés entre eux, il suffit d’une simple adresse gmail pour y accéder. Pas cons à Google, ils se sont dit: « puisqu’on les a bien fait chier sur G+ (et que ça marche en plus), ya plus qu’à attaquer sur YouTube! ». Hé ben c’est parti. Dorénavant, les personnes connectées à leur compte G+ qui posteront quelque chose sur le portail de vidéo avec un pseudonyme, seront sommées d’inscrire leur véritable nom.

Une fois l’accord donné, il semblerait qu’il s’applique alors à toutes les publications passées et futures de l’internaute.

Illustration tirée de l’article de Numerama sur le sujet.

À quoi joue Google? Et bien moi je dirais au con, comme d’habitude! D’un côté on fait le beau avec le floutage vidéo, ça mange pas de pain, ça fait résistant face aux méchantes dictatures qui menacent les États-Unis; et de l’autre, on impose un bon gros fichage à la Facebook avec harcèlement automatisé en prime pour les personnes qui n’auraient pas compris les règles du jeu. De plus, ça leur permet juste de reprendre la main et de revenir sur la mini concession opérée pour Google + en autorisant partiellement les pseudos.

Mais après tout, je ne sais même pas pourquoi j’emmerde le monde avec ces conneries car comme Éric Schmidt le dit: « seuls les criminels se soucient de protéger leurs données personnelles ». Tout est dit.

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

 Cette conférence de Jean-Marc Manach et Fabrice Epelboin ne date pas de cette année mais d’il y a deux ans. Une fois encore, elle est extrêmement intéressante et très accessible au grand public. Au programme donc, une introduction aux questions de sécurité en ligne, au hacking, aux lois de surveillance (en ligne mais aussi dans la rue), et une présentation des enjeux de vie privée liés au développement des réseaux sociaux comme Facebook.

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

Cette première vidéo est une conférence de Skhaen, l’un des protagonistes du mouvement hacktiviste Telecomix. Elle traite de la cryptographie et de la sécurité dans les communications, de leurs principes de fonctionnement, mais aussi des applications disponibles pour se protéger de la surveillance, notamment sous Android. Si vous ne comprenez rien à tout ça et/ou que vous souhaitez en connaître davantage sur les outils sécurisés disponibles, installez-vous dans le canap’!

Envoyer un mail anonyme, cela peut être utile et nécessaire pour diffuser une information sans se mettre à jour, notamment à destination de la presse ou d’organisations militantes, pour signer des pétitions en ligne, créer un compte sur un site, réseau…

Communiquer avec sa propre boîte mail, c’est risquer de dévoiler sa véritable identité, de laisser des traces sur les serveurs de votre service de messagerie, votre fournisseur d’accès à Internet etc. Une première solution pour remédier à la question est de chiffrer vos e-mails, mais là encore, votre identité n’est pas protégée, seul le contenu l’est.

C’est pour cela que d’autres types de services ont été créés, permettant temporairement de disposer d’une boîte mail anonyme. Vous pouvez donc envoyer et recevoir en toute discrétion.

En voici donc quelques uns auxquels ont devrait pouvoir faire confiance:

• Anonbox, lancé par le Chaos Computer Club.
• awxcnx.de
• Safe-mail (sur inscription)

Si besoin, vous pourrez trouver d’autres sites et des informations supplémentaires sur le Wiki de l’Internet libre.

La boîte aux lettres morte

Autre possibilité, dans le cas où vous seriez déjà en contact avec les personnes avec qui vous souhaitez échanger, il est aussi possible de créer une boîte mail partagée (dont tous les protagonistes ont les codes), chez un prestataire de confiance. Mais au lieu d’envoyer des messages, la technique de la boîte aux lettres morte consiste à ne créer que des brouillons, ce qui permet de limiter les informations circulant sur le réseau, et d’attribuer une même identité à toutes les personnes écrivant. (Attention, il s’agit ici de l’identité déclarée, cela ne constitue pas une solution quant aux traces que vous pouvez laisser autrement.)

Quelques précautions d’usage

Avant tout, assurez-vous bien sûr que les services choisis vous proposent au moins une connexion https, et donc un chiffrement des contenus transférés.
D’une manière générale, évitez de faire confiance à des services commerciaux dont la fortune repose sur l’analyse des contenus de vos communications comme Gmail, Hotmail ou encore Yahoo!

Ensuite, il est recommandé de les coupler à l’utilisation d’autres outils renforçant l’anonymat tels que Tor, un proxy https, ou un VPN. Sans cela, votre identité pourrait être révélée simplement par votre adresse IP.

Enfin, n’oubliez pas que c’est aussi le contenu de votre message qui permettra potentiellement de vous identifier, donc réfléchissez bien avant d’écrire!

Ce n’est pas nouveau, Facebook ne supporte pas les pseudonymes. En janvier dernier, Randi Zuckerberg, la sœur du grand chef et directrice de la branche marketing de Facebook, s’était clairement élevée contre le principe de l’anonymat:

“Je pense que l’anonymat sur Internet doit disparaître. Les gens se comportent beaucoup mieux lorsque leurs véritables noms est visible. Je pense que les gens se cachent derrière l’anonymat et ont le sentiment de pouvoir dire ce qu’ils veulent derrière des portes closes”

Va donc dire ça à Bradley Manning!

On veut des noms!

Sur le réseau social, on retrouve cet état d’esprit, notamment dans les conditions générales d’utilisation (oui, le truc que personne ne lit). Ainsi, il est en principe formellement interdit de créer un profil sous pseudonyme. Mais quand on établit des règles, il faut souvent un moyen de les faire respecter! Et c’est là que ça devient compliqué!

Régulièrement, des comptes d’internautes ne révélant pas leur véritable nom sont supprimés. Mais depuis peu vous allez pouvoir participer à cette grande entreprise démocratique, en dénonçant vos amis « superficiels et pas courageux » comme dirait Nadine Morano.

C’est nikopik qui a fait tourner l’information hier, Facebook  demande désormais (avec insistance) aux personnes de signaler si leurs amis ne respectent pas la charte d’utilisation:

Vive la délation!

Ce qui est assez drôle, c’est qu’on retrouve toutes les techniques de déculpabilisation de la dénonciation: « pour nous aider à comprendre la façon dont les gens utilisent Facebook » (ouais ouais, c’est pas pour balancer tes potes!), « votre réponse restera anonyme » (au cas où, on ne saura pas que c’est toi), « et n’affectera pas le compte de votre ami(e) » (il/elle transgresse les règles mais on lui fera rien!).

Démocratie quand tu nous tiens

Après avoir normalisé l’autofichage à vie et la reconnaissance faciale automatisée auprès de 900 millions de personnes, Facebook continue à éduquer le citoyen de demain et propage la délation!

Loin de se sentir honteux de telles pratiques, le réseau a répondu à nikopik par l’intermédiaire d’un porte parole de Facebook France (in inglich siouplé):

Facebook’s mission is to make the world more open and connected. People use Facebook to stay connected with friends and family, to discover what’s going on in the world, and to share and express what matters to them.
Facebook has always been based on a real name culture. This leads to greater accountability and a safer and more trusted environment for our users. It’s a violation of our policies to use a fake name or operate under a false identity, and we encourage people to report anyone they think is doing this, either through the report links we provide on the site or through the contact forms in our Help Center. We have a dedicated User Operations team that reviews these reports and takes action as necessary.
Facebook is based on real people making real-world connections and people on Facebook will get the most value out of the site by using their real identity. We will consider removing a profile if we determine that it is not authentic and false information is being communicated on it.

Heu, par contre je croyais que cela n’affecterait pas le compte de mon ami(e)… On m’aurait menti? ^^

Une bonne leçon?

Les commentaires fusent déjà sur les forums, et certains en arrivent presque à accuser les usagers car il est vrai qu’ils ont un profil sur un réseau dont il devient difficile d’ignorer les pratiques dégueulasses. Certes, on serait tenté de dire « qui fait le malin, tombe dans le ravin »! Mais la force de Facebook réside aussi dans l’ampleur de son réseau, et chacun espère y retrouver ses connaissances en créant un compte. S’attaquer aux utilisateurs ne me paraît donc pas être la solution la plus pédagogique pour faire avancer les idées des partisans du respect de la vie privée en ligne.
Il me paraît important de continuer d’informer et de relever ces écarts du joujou de Marc Zuckerberg plutôt que de culpabiliser, tout en faisant évidemment la promotion des propositions libres, éthiques et respectueuses de nos données.

Au fait, vous connaissez Diaspora*? 😉

La nouvelle semble dater du mois dernier, mais ce n’est qu’aujourd’hui que je m’en suis rendu compte : le moteur de recherche Scroogle est mort !

Il s’agissait sans doute de l’une des alternatives à la pieuvre de Mountain View les plus utilisées. Basiquement, Scroogle proposait un proxy permettant de faire tampon entre vos requêtes et les serveurs de Google, et d’empêcher ainsi l’entreprise de vous accabler de publicités et d’espionner vos moindres faits et gestes.

Depuis 2003, Daniel Brandt avait lancé ce service, permettant ainsi à de nombreuses personnes d’assurer une transition en douceur vers des outils plus sains, tout en gardant un accès aux résultats du moteur de recherche le plus utilisé au monde.

Fin décembre, il semblerait que les serveurs de Scroogle aient subi de nombreuses attaques DDoS, lesquelles consistent à saturer de requêtes un serveur, pour en empêcher l’accès.
En février, c’est Google qui est passé à l’attaque en coupant de façons de plus en plus longue et régulière, l’accès à Scroogle. Sous prétexte de lutte anti-spam, la firme américaine a su assiéger le moteur alternatif, jusqu’à lui faire rendre les armes.
Daniel Brandt déclare à Beta Beat que les noms de domaines de ses sites sont tous retirés, et que l’expérience est bel et bien terminée.

Triste nouvelle donc pour les défenseurs de la vie privée sur internet. J’avoue que cette news n’est pas de toute dernière fraîcheur : j’étais depuis ces dernières semaines en train de tester le méta-moteur Seeks. Je vous invite donc à traîner vos guêtres de ce côté, mais aussi à voir Ixquick et Startpage, le second étant un équivalent à Scroogle, ou encore DuckDuckGo, si la vie privée fait encore partie de vos préoccupations numériques…

Article en lien: Mon moteur de recherche

Certains en ont peut-être déjà entendu parler, mais la PirateBox est le genre de projets que l’on croise habituellement dans les milieux hackers (non, pas les cyclopes mangeurs d’enfants… pas ceux-là). Grâce à ce type d’outil, il devient possible de créer de mini réseaux entre ordinateurs, et donc d’échanger de l’information entre pairs et en tout anonymat.

C’est David Darts, un professeur à la Steinhardt School de New York qui semble avoir développé le concept. Concrètement, il s’agit d’un petit routeur sur lequel les ordinateurs (portables, smartphones, tablettes…), vont pouvoir se connecter en wifi. Cela étant fait, les utilisateurs auront la possibilité de déposer ou télécharger toutes sortes de fichiers, lesquels seront stockés sur la clé USB branchée au routeur.

Vous pouvez lâcher les soirées troc de fringues, place aux soirées geeks!

Vers de nouveaux réseaux libres?

Légitimement, on pourra se demander à quoi peut bien servir un tel machin alors qu’existe une chose comme internet. Et bien ce type de projet arrive comme un appel d’air à l’heure ou internet subit les violentes attaques des industries du divertissement, notamment avec ACTA. Les États aussi ne cessent de renforcer la surveillance et la censure en imposant des lois comme le Patriot Act, lequel permet au gouvernement américain de saisir n’importe quelle information qui passe par un prestataire du net, ou comme en France avec la loi de sécurité quotidienne (LSQ), qui oblige les FAI (Fournisseurs d’Accès à Internet) à conserver les données de tous les utilisateurs sur une période d’un an, pour les remettre aux forces de l’ordre en cas de demande (cela a été par la suite élargi aux réseaux sociaux, hébergeurs mails…).

Le net et son projet de liberté sont aujourd’hui de plus en plus dénaturés par la volonté des grandes entreprises du numérique de toujours tracker davantage les utilisateurs, de les géolocaliser, d’en faire un profil, de prévoir leurs comportements, de leur proposer des publicités ciblées pour les pousser à la consommation etc.

Pour les Google, Apple, Facebook, Twitter, et autres géants de la toile, c’est par la concentration des données qu’il est possible de tout connaître des utilisateurs, et non pas par l’échange décentralisé entre pairs (Peer to Peer), ni l’échange local, ou encore l’auto-hébergement. Mangez Google le matin, le midi et le soir qu’ils disent!

L’esprit de partage

L’intérêt de la PirateBox est donc de pouvoir recréer des espace de liberté et d’autonomie, en dehors du contrôle des États et des grandes entreprises du net. Utiliser une PirateBox, c’est reprendre le droit d’échanger, de communiquer, sans nécessairement laisser des traces, sans apparaître dans quelques bases de données hors de notre contrôle, ou encore sans craindre que la loi Hadopi nous tombe sur le dos pour des raisons plus ou moins fondées et légitimes.

En tant qu’outil de « pirates », c’est aussi l’esprit du libre qui est mis en avant, celui du copyleft, du bien commun. C’est ce que promeut Jean Debaecker, un professeur de l’université de Lille 3 dans le nord de la France, et qui lance dans la métropole « la première PirateBox lilloise, […] pour partager librement des données libres », et propose sur son site un tutoriel en français pour permettre à chancunE de monter la sienne.
Il est aujourd’hui possible de se procurer ce micro-routeur TP-LINK TL-MR3020 pour une somme de 30 à 40 €.

On ne peut qu’espérer que le projet fera contagion dans les autres villes de France, et qu’à l’image des radios pirates il y a quelques décennies, la culture et le partage puissent enfin reprendre leurs droits.

PBox : 1e PirateBox de Lille from Jean Debaecker

Liens utiles:

Le wiki de David Darts
Le site de la PirateBox lilloise
Sur les traces de la PirateBox (Owni)
Surfez sans entraves (Le Monde)

Contacté par une journaliste du site de débat Newsring (lancé sous la direction éditoriale de Frédéric Taddeï) pour participer à un sujet sur « Nouvelles technologies : peut-on échapper à l’emprise américaine ? », je me suis plié à l’exercice.
C’est à partir de l’annonce du retrait de Dassault du projet de Cloud computing « à la française » que la journaliste s’est posé la question de la possibilité pour la France de développer son indépendance face à des services majoritairement américains.
Le débat et sa présentation sont disponibles à cette adresse.

Le point de vue développé ici s’attardera davantage à se demander s’il est possible d’échapper à l’emprise des États et des entreprises qui font fortune sur la surveillance des communications.

Il est coutume de dire qu’internet n’a pas de centre, et c’est vrai. En tant que réseau de réseaux décentralisé, il est en théorie conçu pour pouvoir fonctionner quelles qu’en soient les parties amputées. Mais il est aussi fréquent d’entendre que s’il devait y en avoir un, il serait aux États-Unis.

Avec le développement de la toile, de nombreuses entreprises américaines ont acquis un statut dominant voire quasi monopolistique dans certains domaines. Plus de neuf français sur dix utilisent des logiciels Microsoft et surfent sur le net grâce à Google, et près d’un sur trois a un profil Facebook.

Lorsque l’on parle de stockage des données en ligne (cloud computing), cela pose de façon évidente la question de la conservation et de la concentration des informations, et interroge sur le cadre juridique duquel elles dépendent.

Cette concentration pose problème dans plusieurs domaines :

La confidentialité des données

Concernant la confidentialité des données, et le respect à la vie privée, la constitution de supers bases de données contenant des quantités parfois astronomiques de détails sur nos habitudes de navigation, nos goûts, nos achats, nos symptômes, nos préoccupations, nos désirs etc., pose de sérieux problèmes.
Pour prendre le cas Google, il a été le premier groupe à dépasser le milliard de visiteurs uniques en mai dernier (selon comScore), et Youtube (appartenant à Google) annonce ce mois-ci les mille milliards de vidéos vues en 2011. Chacune de ces visites est l’occasion pour l’entreprise de peaufiner le profil des utilisateurs en fonction de leurs comportements.

La question du droit de l’information

À qui appartiennent les informations publiées par les internautes ? Dans le cas de Facebook par exemple, nous savons que les données « confiées » peuvent être réutilisées dans un cadre publicitaire notamment, et sont à la disposition de l’entreprise, même après suppression du compte (voir l’affaire de l’étudiant autrichien Max Schrems qui a reçu plus de 1200 pages d’informations sur sa personne après 3 ans d’utilisation du réseau et un compte soi disant supprimé).

Le rapport à la justice

C’est également vis à vis de la justice qu’il faut s’interroger, et plus particulièrement de l’État. C’est suite à des « révélations » de Gordon Frazer (directeur général de Microsoft) que la question du Patriot Act a refait surface sur le net. Rédigé suite aux attentats du 11 septembre 2001, le texte impose à toute entreprise américaine de fournir les renseignements dont elle dispose si l’État en fait la demande. Étant dans cette situation, Microsoft a, à l’occasion de la prise de parole de son responsable, avoué avoir déjà été en situation de répondre à cette exigence patriotique. C’est quasiment dans la foulée que le géant Google avait également confirmé avoir fait de même.

Il convient de préciser que le Patriot Act concerne toutes les entreprises américaines, qu’elles soient basées sur le sol américain ou non. Les serveurs de Google en Europe sont par exemple concernés, et toutes les données qu’ils renferment sont donc potentiellement réquisitionnables par les autorités d’outre-Atlantique.

C’est alors que se repose la question de la concentration des données. Avec 900 000 serveurs estimés dans le monde, une utilisation particulièrement élevée de son moteur de recherche en France, et une omniprésence de Google Analytics qui permet d’afficher des statistiques de fréquentation 1 2, Google prend l’allure d’une pieuvre menaçante tant pour la sécurité des internautes que pour celle des entreprises.

Le contrôle du réseau

L’intégrité du réseau ainsi que la garantie d’une circulation libre des contenus dépendent également, du fait de la main mise des entreprises américaines sur le web, du droit états-unien. L’actualité récente braque les projecteurs vers la chambre des représentants et le sénat américains, lesquels discutent deux projets de loi très similaires: Stop Online Piracy Act (SOPA) et Protect IP Act (PIPA). Ces deux Patriot Acts numériques visent à mettre en place des systèmes de contrôle et de censure d’internet dignes des plus grandes dictatures mondiales, et ce afin de préserver les seuls intérêts des ayants droit des industries culturelles américaines. Le passage de tels projets affecterait sans nul doute la totalité de la toile puisque qu’une grande partie des sites en ligne dépendront de ces textes.

Un cloud à la française ?

Cette situation de dépendance à l’égard du droit américain amène divers projets, dont Andromède, présenté comme un cloud à la française, à destination de l’e-administration, puis éventuellement des entreprises de l’hexagone.

Plutôt que de se concentrer directement sur l’administration et les entreprises, il me semble important d’aborder la question de façon plus large, dans le rapport à l’utilisateur en général.

En ce qui concerne la sécurité des données, il conviendrait de désigner clairement celui dont on souhaite se protéger. S’il s’agit de l’État, il n’y a nul doute pour dire que l’État Français ne se montre pas plus vertueux que son homologue américain, en témoignent l’adoption de la très répressive Loppsi II, la troisième position acquise par la France en tant que pays demandant à Google de dévoiler des informations sur ses utilisateurs (octobre 2011), ou encore son implication présumée dans l’affaire d’espionnage d’Amesys (voir ci-dessous).

Mais avec qui ?

Les partenaires associés au projet Andromède laissent perplexes les internautes qui auront rapidement mis le nez dans les questions de sécurité : Orange, Thales et Dassault (qui s’est retiré du projet en décembre).

France Télécom (qui possède la marque Orange), s’est illustré (bien que cela n’ait fait grand bruit), de façon indirecte dans l’affaire Amesys. En effet, l’entreprise possède de nombreuses actions chez Bull, dont Amesys est une filiale.
Cette dernière a été, suite à des révélation des sites Owni, Reflets.info, Wikileaks et le Wall Street Journal, accusée d’avoir vendu au régime de Kadhafi des armes numériques permettant la surveillance du réseau et des dissidents libyens , ainsi que des communications téléphoniques et satellites.

Thales a également été répertoriée par Wikileaks dans les Spy Files, comme étant l’une des entreprises françaises développant des outils de monitoring de masse sur les réseaux téléphoniques et internet.

Orange, c’est également l’annonce d’un bridage du net à 100 MO pour la fibre (et donc techniquement une remise en cause de l’illimité), ainsi que la volonté de développer le DPI (Deep Packet Inspection), la même technologie d’analyse des flux utilisée par Amesys en Libye, pour des usages courants. Parmi les dernières propositions, on notera la possibilité de faire analyser tout son trafic par Orange afin de pouvoir recevoir des publicités plus ciblées (c’est tout de même grandiose!).
Nombreux sont également ceux qui s’interrogent sur son respect de la neutralité du net, notamment en tant que propriétaire du portail Dailymotion. L’entreprise est en effet suspectée de brider le trafic à destination de son concurrent Youtube.

On ne présente plus non plus Dassault pour ce qui est de la construction et la vente d’armes et de matériel de guerre, pour ses relations commerciales avec Amesys, Thales ou d’autres, et sa complicité par la vente d’armes avec la dictature de Kadhafi.

Bref, on pourrait se demander ce qu’il y aurait à gagner à confier la gestion de nos données et leur sécurisation à de tels énergumènes.

Saucisson pinard ou autonomie ?

Parler de l’information sur le net, au-delà même du cloud (à la française ou non), pose donc un certain nombre de questions qui n’ont finalement pas toujours grand chose à voir avec des problématiques liées à la souveraineté nationale.
Il convient en effet de resituer les contextes d’énonciation : si l’État français peut chercher à gagner en indépendance grâce à Andromède, il n’en reste pas moins extrêmement conciliant (et d’avantage encore : voir l’inauguration des bureaux parisiens de Google par Nicolas Sarkozy) avec une entreprise comme Google, qui évite pourtant sciemment la fiscalité française en se basant en Irlande.
Son indépendance vis à vis de la juridiction américaine, notamment dans le domaine de la sécurité nationale ne semble représenter que peu d’intérêt pour l’internaute moyen, étant données les pratiques auxquelles il semble s’adonner sur son propre territoire ou dans les pays du Maghreb et du Moyen-Orient.

D’autre part, on va de ce fait observer une fuite des militants vers les États-Unis pour échapper à la surveillance et la censure française, comme ce fut le cas pour le site Copwatch Nord Île-de-France par exemple. Pour ces activistes, être « autonome » (hébergé) en France ne signifie pas pour autant liberté.

Héberger ses données à distance amène enfin à prendre en compte d’abord la question du chiffrement, afin de garantir une confidentialité à minima de ce qui est entreposé sur des serveurs tiers, mais aussi celle des outils secondaires qui peuvent être utilisés. Gardons en tête l’exemple de Google Analytics, lequel fait office de véritable cheval de Troie sondant pour le géant de Mountain View, une bonne partie des visites de sites sur la toile.

Finalement, ne serait-ce pas l’occasion de réhabiliter dans certains cas le principe l’auto-hébergement et l’hébergement coopératif, probablement l’une des pratiques la plus en phase avec l’écologie du net ?

V’là la deuxième infographie que nous propose le site hardabud, après celle sur le filtrage franco-khadafien du net en Libye!

C’est toujours aussi beau, toujours aussi clair (et en licence Creative Commons By en plus!), et permettra aux personnes qui n’ont pas nécessairement des connaissances techniques très précises de ce qu’est le réseau internet, de s’y retrouver un peu plus.

Pour toutes celles et ceux qui veulent comprendre les grandes lignes de ce qu’est la censure d’Internet, et appréhender quelques moyens de la contourner, c’est pour vous!

Source: http://www.hardabud.com

Je m’en faisais l’écho la semaine dernière, une équipe de chercheurs menée par Éric Filiol prétendait avoir réussi à prendre le contrôle du réseau d’anonymisation Tor, cassant à la fois le chiffrage et l’anonymisation.

Quelques jours plus tard, nous n’avons pas plus d’informations précises, mais pris un peu plus de recul sur la manière dont les choses ont été annoncées, et les motivations possibles des acteurs…

C’est par une conférence de presse que Éric Filiol a donné les résultats des expériences menées par son équipe et lui-même. Leur conclusion est sans appel: ils sont capables de casser la protection proposée par le célèbre réseau.

Rien ne filtre, une stratégie médiatique?

Le souci est que nous disposons d’assez peu d’informations précises.
Quelques unes ont été fournies, mais on reste dans l’ordre du possible, ce qui laisse un sentiment très désagréable pour les utilisateurs de Tor. Comment juger les annonces de Filiol autrement qu’en appliquant un principe de précaution, et donc en considérant que le réseau n’est pour le moment plus fiable?

Le gros problème dans cette affaire en dehors du fait que des failles aient potentiellement été découvertes – ainsi va le processus de sécurisation des systèmes – c’est le contraste entre la faiblesse des informations données sur les failles, et la grandiloquence des déclarations de Filiol et son équipe.

D’autant plus que les membres de la Fondation Tor sont totalement laissés dans le doute, et sont eux aussi réduit à l’émission d’hypothèses étant donné que le chercheur refuse de leur donner plus d’information avant la « tant attendue » conférence « Hackers to Hackers » des 29 et 30 octobre à São Paulo au Brésil.

Cette attitude un peu puérile pourrait passer si on parlait de la sécurisation de la dernière version du démineur de Windows 7. Mais ici, c’est tout de même potentiellement avec la vie de personnes qui s’appuient sur Tor pour communiquer dans des contextes répressifs que joue Filiol en refusant de communiquer les informations qui permettraient à la Fondation Tor de corriger le logiciel et ainsi, aux personnes qui l’utilisent de retrouver une certaine « sécurité ».
Dans ce contexte, l’annonce en grandes pompes de la conférence de la fin du mois laisse un arrière goût d’opération publicitaire morbide.

Par ailleurs, bien que compétent dans son domaine, le chercheur a déjà été surpris à s’emporter quelque peu dans ses annonces médiatiques pas toujours bien étayées, comme ce fut le cas en 2003 lorsqu’il avait prétendu casser le chiffrement AES. Le code qui accompagnait sa déclaration ne permettait en réalité rien de tel.

Autre information à prendre en compte, Filiol fait partie des personnes qui considèrent que la cryptographie est dans certains cas non souhaitable, car l’État peut selon lui avoir des raisons légitimes de prendre connaissance des informations. Ce qui revient à dire que l’État devrait toujours avoir la possibilité d’accéder aux données échangées sur son sol.
Ce raisonnement est bien connu et part d’un a priori pour le moins contestable : nous vivrions dans des pays où les États n’abusent pas de leur pouvoir et respectent la vie privée des personnes. Bienvenue chez les bisounours ! Pas sûr qu’il dorme avec un t-shirt de la Fondation Tor le soir.

Lâcher Tor?

Cette question est centrale et montre bien à quel point l’attitude de Filiol et son équipe est dommageable. Il n’y a pour l’instant rien d’autre qu’une annonce, un court résumé et des vidéos, pas même d’expérimentation de la méthode en dehors du laboratoire.
À chacun-e de voir si ça doit l’amener à prendre la décision de lâcher Tor maintenant. En cas de faille avérée (ce qui est envisageable pour le moment mais invérifiable), il parait évident – à moins de tomber dans la théorie du complot – que la Fondation Tor tentera de la résoudre.

Cette affaire a néanmoins le mérite de rappeler que la course à la sécurité sur le net n’est jamais une affaire gagnée. Le chiffrement est certes une réponse crédible aux systèmes de surveillance, mais cela implique d’une part que l’on fasse confiance à des équipes de développement que l’on ne connaît pas directement (et au fait que le code du logiciel soit libre), et d’autre part, que l’on se pose la question du devenir des algorithmes d’aujourd’hui: probablement déchiffrés en partie, ou en totalité pour certains !

Gardons cette idée en tête lorsque nous pensons naviguer en toute sécurité : aucun système n’est infaillible et encore moins éternel.

Le réseau Tor (The Onion Router) est un dispositif proposant l’une des solutions les plus crédibles en ce qui concerne l’anonymisation de la navigation sur le web (voir article). Il est utilisé par des journalistes, militants et des dissidents du monde entier, notamment dans les pays où il est indispensable de contourner les systèmes de censure étatiques pour communiquer.

Mais cette semaine, Éric Filiol (directeur du laboratoire de recherche en cryptologie et virologie de l’ESIEA) et son équipe, ont semble t-il réussi à prendre le contrôle du réseau.

La nouvelle est extrêmement grave. C’est lors d’une conférence tenue la semaine dernière que Éric Filiol a montré comment, lui et son équipe, ont mis le réseau à nu. Ils ont pour cela, développé une attaque qu’ils ont menée en plusieurs temps:

L’inventaire des nœuds du réseau

• Ceux-ci sont publiques et présents dans le code source: il y a en tout 9 039 adresses IP soit 5 827 nœuds (car certains utilisent des adresses IP dynamiques (qui changent)).
• Ils ont découvert des nœuds cachés qui permettent aux personnes vivant dans des dictatures de passer par ces relais non censurés par les autorités. Lorsqu’une personne souhaite utiliser ce service, une adresse de nœud secret lui est fournie.
• En utilisant un algorithme de scripts, ils ont automatisé la demande de passer par un nœud secret et ont ainsi pu en dénombrer 181.

L’infection et la prise de contrôle du réseau

• Après un audit de sécurité sur l’ensemble du réseau, il ressort que 41,4 % des machines tournent sous Windows, et qu’environ 30 % de la totalité des nœuds sont vulnérables
• Cela permet de contrôler une partie des relais et d’en attaquer  le chiffrement des données (2 couches sur 3).
• Avec des analyses statistiques, la dernière couche de chiffrement est cassée.
• En saturant une partie du réseau, il est alors possible de réduire le nombre de nœuds disponibles pour favoriser un passage par ceux qui sont sous contrôle, et analyser les données transférées.

Conclusions

Grosso modo, il faut malheureusement considérer que Tor n’est actuellement plus fiable, et il faut espérer que les rectificatifs nécessaires seront rapidement effectués.
Autre fait inquiétant: les propos tenus par Éric Filiol sont extrêmement durs et semblent accuser la fondation Tor:

« La cryptographie implantée dans TOR est mauvaise…On a réduit considérablement le degré de deux des trois couches de chiffrement. »

« On ne peut pas imaginer que la fondation derrière TOR ne soit pas consciente de ses failles »

Reste à attendre patiemment les premières réactions de la fondation Tor, mais aussi la conférence « Hackers to Hackers » des 29 et 30 octobre à São Paulo au Brésil pour une présentation officielle de cette prouesse des chercheurs.