Les débats au sujet du projet de Loi sur le Renseignement sont très intéressants ces jours-ci. Sans doute un peu bousculé par une inhabituelle fronde incluant les journalistes et les entreprises, le gouvernement propose des arguments et justifications qui ne sont pas toujours très au point. Mais des paroles contradictoires et du flou entourant les déclarations des défenseurs du projet, on retiendra quelque chose qui ne fait aucun doute: chiffrer ses communications est maintenant devenu suspect.

Une communication désastreuse et des demi-aveux en cascade

Tandis que le projet de loi collectionne les opposants et les surnoms (Frenchiot Act, loi scélérate…), Le Monde est revenu sur un hypothétique dispositif de surveillance de masse de la DGSE: le PNCD. En plus d’être totalement hors contrôle, les bases de données constituées seraient à la disposition des services intérieurs. Alors que la chose avait déjà été évoquée il y a plusieurs années, c’est en plein débat sur la collecte massive de données que resurgit cette enquête.

Invité le dimanche 19 avril au court de l’émission Le supplément sur Canal+, François Hollande a tenté d’éclairer nos lanternes:

« Maïtena Biraben : La PNCD, ce n’est pas encadré…
– François Hollande : Avant il y avait des choses qui n’étaient pas encadrées… Qui fonctionnaient… Personne ne s’en inquiétait…
– Vous le saviez ?
– On a découvert quand même un certain nombre de choses. […] – Je précise, PNCD pour “plateforme de cryptage et de décryptement”, un système complexe et occulte mis en place par la DGSE depuis 2007…
– Oui ! Ben justement, ça existait… ça existait… et il n’y avait pas de loi pour le contrôler.
– Mais ça n’est pas encadré par la loi sur le renseignement…
– Mais si, ce sera encadré par la loi ! Puisque la DGSE… Tout ce qu’elle fait à l’extérieur… C’est à l’extérieur…
– Ce n’est pas du ressort de la loi française…
– Mais tout ce qui est fait à l’intérieur est contrôlé… »

De deux chose l’une: soit François Hollande vient de faire une putain de boulette en avouant l’existence d’un programme dont son propre ministre de l’Intérieur avait nié la réalité quelques jours auparavant, soit le Président ne pipe pas un mot de ce qu’il raconte. Ceux favorables à la deuxième option pourraient rétorquer: « quand on entend François Hollande nous expliquer qu’un algorithme est une machine, la question se pose »; et ils n’auraient pas tout à fait tort. 😉

C’est probablement vers la synthèse de ces deux points de vue qu’il faut creuser pour y comprendre quelque chose.

De son côté, Médiapart est allé chercher les propos du Ministre de la Défense Jean-Yves Le Drian:

Le 15 avril, Jean-Yves Le Drian ajoutait qu’il existait bien depuis 1999 un PNCD pour « Pôle national de cryptanalyse et de décryptement » mais qu’il s’agit uniquement d’un outil « consacré au déchiffrement » « nécessaire pour bien maîtriser la surveillance des communications internationales »

Bon, on en saura pas beaucoup plus sur le fond de cette affaire pour l’instant tant les déclarations sont brouillonnes. Notons tout de même que Jean-Marc Manach, journaliste spécialiste de ces questions, doute de la possibilité d’une surveillance de masse opérée par la DGSE.

Si l’utilisation qui est faite du PNCD reste pour l’instant mystérieuse, l’existence du programme était en fait un secret de polichinelle. Le Parisien a en effet retrouvé sa trace dans des documents publics de la commission de la Défense sur le projet de loi de finances 2006, et des journalistes avaient déjà traité la question à plusieurs reprises.

Par Tor, les VPN, le chiffrement des mails: tout le monde est suspect

Outre ces cafouillages plus ou moins contrôlés, il reste tout de même une certitude: le chiffrement des communications est aujourd’hui clairement visé par le pouvoir. Que la DGSE travaillait sur la question n’était pas un secret. Que cela emmerdait clairement les renseignements intérieurs ne surprend pas d’avantage. Mais ce qui est tout de même un peu nouveau, c’est l’affirmation publique que les techniques garantissant la confidentialité ou l’anonymat en ligne sont en soi suspectes.

Le retour sur le devant de la scène du PNCD n’a pas été la seule sortie anti-chiffrement de la semaine. Dans le projet de Loi sur le Renseignement, il est en effet question de pouvoir accéder « sans délais » aux clés de chiffrement. Cela signifie que l’État pourrait accéder en temps réel à ces clés permettant de lire le contenu des communications des internautes. Déjà, ça fait peur.

Si le chiffrement s’est démocratisé, c’est bien pour permettre à chacun de disposer d’une vie privée. N’en déplaise à Bernard Cazeneuve pour qui ce droit n’est pas une liberté, il est affirmé notamment dans l’article 12 de la Déclaration universelle des droits de l’homme de 1948, et dans la sphère numérique, on beau chercher, seule la cryptographie le garantit.

Malgré ça, le Ministre de l’Intérieur l’a bien fait comprendre dans l’hémicycle, le chiffrement est suspect. En tirant à nouveau sur les grosses ficelles des discours anxiogènes développés aux premiers jours du net, il diffuse lentement l’idée que le chiffrement pourrait cacher n’importe qui, surtout des terroristes:

« Mes services de renseignement ont pu, par des échanges d’informations, savoir que des terroristes procédaient, sur le darknet, à des communications cryptées donnant des éléments précis sur leur intention de commettre des actes terroristes. […]

 

[Les terroristes utilisent] une multitude d’adresses IP qui se masquent les unes les autres, à partir de messages postés depuis différentes boîtes situées partout sur la planète. »

Il s’agit là d’un raisonnement au moins aussi « fouillé » que celui qui consistait il y a peu à expliquer que 90% des terroristes sont allés sur Internet pour se radicaliser avant de passer à l’acte, mais on reconnaît sans aucune ambiguïté une charge contre le réseau Tor et les techniques d’anonymisation sur Internet.

La question qui se pose alors est celle de la présomption d’innocence. Devra t-on renoncer à ce droit si l’on utilise des techniques de chiffrement? Comme bien d’autres, j’ai interrogé Bernard Cazeneuve le 16 avril lors de sa session questions/réponses sur Twitter:

Après plusieurs relances de différents internautes, la réponse se fait toujours attendre. Probablement encore un sujet qui nécessite de lever le secret défense!

Vers la transparence pour tous (enfin presque)

Ce que l’on peut déceler derrière ces discours et ces pratiques, c’est le glissement vers les citoyens de la nécessité de transparence. En appliquant les exigences de transparence demandées à l’État aux citoyens, le gouvernement se place dans la droite ligne de la mythologie libertarienne du tout privatisable d’un Facebook, ou du Darwinisme technologique d’un Google. Quand Facebook affirme que la vie privée appartient au passé, le gouvernement la réduit à néant en faisant mine d’être dans la norme. Et quand Google défend la transparence radicale au nom du progrès technologique, le gouvernement le fait au nom de la lutte contre le terrorisme. Des arguments différents pour des effets similaires.

Bernard Cazeneuve a d’ailleurs lui-même évoqué la politique des GAFA à l’Assemblée (Google, Amazon, Facebook, Apple),en s’étonnant que l’on puisse faire des reproches au gouvernement alors que leurs pratiques n’émouvaient personne (ce qui est un mensonge grotesque puisque les CNIL européennes ne cessent de s’attaquer aux géants du net sur la question de la vie privée).

Partant de l’exigence de transparence à l’égard de l’État, c’est maintenant le peuple qui doit montrer patte blanche face au pouvoir. Avec la mise hors jeu du pouvoir judiciaire dans le contrôle des interceptions, c’est le deuxième hold up de cette loi: faire en sorte que ce ne soit plus à ceux à qui nous confions les manettes de rendre des comptes, mais à nous. Nous le constatons, c’est une vision assez asymétrique de la transparence qui nous est imposée ici.

La seule réponse que l’État veut bien donner à ce sujet est: ayez confiance! Sur le plateau de Canal, François Hollande n’agitait que des garanties de principes, comme l’avait fait Cazeneuve sur les recours possibles des citoyens en cas d’écoutes:

« Cessons de croire qu’il y a un système général d’écoutes. Pourquoi voudriez-vous que l’Etat, même les services, entreprennent de savoir ce que nous faisons, y compris dans notre vie privée ? »..

Il faut le dire, ces arguments ne valent pas mieux qu’un: « m’enfin ma bonne dame? Pourquoi vous méfiez-vous? On est les gentils nous… »

Mais dans une démocratie, ce qui est exigible de l’État, ce ne sont pas des paroles, mais des garanties.
Et la seule chose garantie pour l’instant, c’est que ceux qui protègent leur vie privée seront surveillés.

Plubliée il y a quelques jours, une nouvelle vidéo explique simplement d’utilité et le fonctionnement du réseau Tor. De plus en plus populaire notamment depuis les révélation de Snowden, on peut parier sans trop se tromper que les nouvelles lois françaises concernant la censure et la surveillance des communications ne feront qu’élargir l’utilisation de ce logiciel libre.

Simple d’utilisation, le réseau permet de renforcer l’anonymat et de contourner les blocages de sites Internet. Vous êtes journaliste, militant-e, ou « simple » Internaute tenant à sa vie privée et à l’accès à Internet non censuré? Tor est fait pour vous!

Plus d’articles sur Tor

Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

Malgré le fait que les smartphones soient de plus en plus surnommés « mouchards de poche » (et c’est bien mérité), lorsqu’on en possède un, on a bien envie de s’en servir pour tous ses usages habituels. Pour beaucoup, Twitter est un moyen d’information quotidien, et ce malgré ses nombreux défauts (non repect des données personnelles, système centralisé, licence propriétaire etc.).
Nous allons voir comment limiter au maximum les dégâts question vie privée, tout en profitant de cet outil de veille.

« Mouais, encore un truc à la con »

L’une des solutions les plus employées passe par l’utilisation de l’application officielle de Twitter. Cette option-là est à oublier tout de suite si vous avez un tant soit peu de respect pour vos données privées. Jetez un œil sur les permissions requises, ça vaut le détour:

• accès au stockage
• accès au numéro de téléphone
• accès au carnet d’adresse
• géolocalisation
• etc.

Il sera donc préférable d’utiliser une application libre et moins intrusive. Vous pouvez tester par exemple Twidere, qui se trouve notamment sur le dépôt d’applications Fdroid.

Cette dernière a l’avantage de pouvoir être paramétrée pour utiliser un proxy. On va donc s’en servir, et passer par le réseau Tor, ce qui aura de multiples avantages:

• Faire chier votre opérateur et tous ceux qui pourraient analyser votre trafic
• Conserver un peu d’anonymat si votre compte Twitter n’est pas nominal
• Isoler l’activité relative à votre compte de ce que vous pourriez faire à côté de cela
• Accéder au réseau s’il est censuré dans votre pays
• [Optionnel] Participer à l’avènement de la cryptoanarchie en augmentant le volume de données non espionnables qui transitent sous les yeux de nombreux curieux
• [Optionnel] Vous la péter en société ou aux repas de famille

Bon ok, mais comment on fait alors?

Pour passer par le réseau Tor sur votre smartphone, il va vous falloir Orbot, et Orweb, le navigateur associé. Le tout est assez intuitif et facile d’utilisation.
À partir de là, deux solutions se posent à vous:

1. « Torrifier » Twidere directement depuis Orbot (mais il faut être root sur sa machine)
   → Paramètres / Transparent proxying, puis Select Apps et vous cochez Twidere
2. Vous allez dans les paramètres Réseau de Twidere, cochez Proxy Http, remplissez locahost pour l’hôte du proxy, puis 8118 pour le port du proxy

Personnellement je préfère l’option n°2, car le gros défaut de la première, c’est que si vous n’êtes pas connecté à Tor, l’application fonctionnera tout de même, et se connectera donc de façon non sécurisée, révélant ainsi votre position voire votre identité. On a vite fait de cliquer par mégarde sur une icône, surtout avec du tactile. En configurant la connexion par un proxy, pas de Tor: pas de connexion au réseau.

Vous pourrez ensuite obliger Twidere à utiliser Orbot pour ouvrir les liens qui se trouvent dans votre fil, ce qui évitera de laisser des traces dans votre navigateur habituel, et surtout d’être trop facilement identifiable par son empreinte, ou tout simplement par les boutons de partage présents sur les pages que vous visiterez.

Quelques « détails » pour ne pas tout foutre en l’air…

Autre chose pour les personnes désirant être un poil plus discrètes: Twidere tourne en tâche de fond même si vous pensez l’avoir fermé. Vous pourriez donc utiliser Tor pour quelque chose de tout à fait différent, et être trahi par l’application qui continuerait à se connecter à votre compte Twitter.

Vous devriez donc activer les options développeur en cliquant quelque chose comme 8 fois sur « Numéro de build » dans « À propos du téléphone » (Paramètres). Un nouveau menu « Options pour développeurs » apparaîtra, et il vous sera possible de cocher « tuer avec le bouton retour ». Ceci fait, un appui long sur « retour » fermera réellement vos applications.

Enfin, les DNS utilisés par Twitter sont ceux de Google. Cela peut se changer dans les paramètres, pour quelque chose d’un peu plus respecteux de votre vie privée…

Pour renforcer encore un peu le contrôle de votre smartphone Android, reportez-vous à la catégorie Outil/Android de ce site…

Edit: Suite à une demande des personnes s’occupant du VPN wnh, quelques modifications ont été apportées à cet article (en rouge). Merci à eux pour leur aide.

J’avais déjà évoqué les VPN lors d’un petit tuto pour Android. Faisant partie des outils de base participant à une meilleures protection de nos excursions en ligne, le VPN sait se montrer peu contraignant une fois installé.

Popularisé ces derniers temps par les personnes qui téléchargent illégalement, voire par le mouvement Anonymous, le VPN, pour Virtual Private Network, peut remplir plusieurs fonctions assez différentes. On parle souvent de tunnel pour illustrer son fonctionnement. En effet, son principe consiste à « encapsuler » les informations transmises entre nous et le serveur VPN, pour ensuite laisser à ce dernier une fonction de proxy. Cela signifie en clair que les sites consultés n’auront théoriquement accès qu’à l’adresse IP du serveur VPN, et non à la votre.

Définir ses besoins

Il convient avant toute chose de se poser la question des raisons qui peuvent vous pousser à l’utilisation de cet outil. En effet, cette réflexion doit permettre de vous orienter vers telle ou telle solution. Un VPN, ça peut servir à:

• Se connecter de manière sécurisée au serveur de son entreprise, de chez soi
• Contourner la censure pour accéder à des sites bloqués dans son pays
• Se prémunir de la surveillance des intermédiaires techniques comme les fournisseurs d’accès à Internet
• Renforcer (un peu) son anonymat

Le moment du choix est donc décisif, et ne doit pas être pris à la légère. En ce qui concerne une utilisation orientée protection de la vie privée, plusieurs éléments doivent être considérés:

• Le serveur VPN aura accès à l’intégralité de vos surfs. N’offrez pas ces informations à n’importe qui, d’autant plus qu’un véritable marché s’est développé dans le domaine. Attention donc aux « gratuits ». Tous les VPN ne se valent pas, et la confiance est votre seule garantie (soit quelque chose d’assez léger en terme de sécurité)
• L’opérateur conserve t-il les logs de connexion? Analyse t-il le trafic? Bloque t-il certains protocoles? Certains sites etc.?
• La législation du pays dans lequel les serveurs se trouvent, notamment en ce qui concerne la conservation des données et l’interception légale
• Les pratiques réelles, hors cadre légal, des services de renseignement ou des entreprises
• La fonction recherchée, et les habitudes réservées à l’utilisation de ce VPN. L’utiliser pour quelque chose de pas très légal pour ensuite se connecter à son compte en banque peut être un pari un peu délicat
• Avoir conscience qu’un VPN n’offre en aucun cas une navigation anonyme. Il y a de très nombreuses manières d’authentifier quelqu’un par ses cookies, son emprunte numérique (logiciels, modules, caractéristiques matérielles…),  ses habitudes etc.

Lorsque tout est clair dans votre esprit et que votre compagnon de route est choisi, nous pouvons nous lancer pour l’installation et la configuration.

Installer son VPN

Pour ce tuto, nous prendrons comme pré-recquis que nous sommes sous Debian GNU/Linux ou une distribution dérivée comme Ubuntu, avec Gnome (ou Unity) comme environnement de bureau.

Allez, on se lance! On ouvre un terminal!

Installation

Sous Debian (en root):

aptitude install network-manager-openvpn-gnome

/etc/init.d/network-manager restart

Sous Ubuntu:

sudo apt-get install network-manager-openvpn-gnome

sudo service network-manager restart

Configuration

Ouvrez les paramètres réseaux, et ajoutez un VPN, puis sélectionnez OpenVPN.

Pour l’exemple, nous prendrons le VPN gratuit proposé par Telecomix. Attention, celui-ci est basé en France, donc soumis aux lois concernant la conservation des données personnelles. Son usage répond donc essentiellement aux volontés de brouiller la surveillance des fournisseurs d’accès à Internet, ou à contourner la censure.
De plus, des difficultés dues au temps nécessaire à la maintenance et à l’établissement d’une documentation exhaustive en font un outil qu’il faut utiliser avec précaution. Évitez-donc pour l’instant ce VPN pour des usages nécessitant un haut niveau de sécurité. Tenez-vous informés sur le site dédié à ce VPN.

La configuration sera un poil plus simple que d’habitude, car il n’y a pas de compte à créer et un fichier de configuration est déjà tout prêt 🙂

• Téléchargez le certificat crt, dans un dossier dédié, ça sera moins le bordel. Vous y rangerez aussi le fichier qu’on va créer juste après. Des mirroirs sont disponibles en cas de problème d’accès
• Le certificats sera bientôt renouvelé, donc gardez l’œil ouvert.
• Avec Gedit par exemple, générez un fichier nommé wnh.ovpn avec le contenu suivant:

client
dev tun
proto tcp
remote vpn.wnh.me 1194 # Will hopefull be a roundrobin to all VPN entrypoints of the darknet
resolv-retry infinite
nobind
persist-key
persist-tun
script-security 3
# Because server does not require certificate, it has to ask for credentials, but anything can be entered
auth-user-pass# The root CA used to sign the _server_ certificate
# download it from a mirrow below the config
ca wnh-ca.crt
comp-lzo
route-nopull # do not ask the server for any routing setting
route 10.0.0.0 255.0.0.0 # route the 10.* net to the VPN
route-metric 10 # set a higher metric, to prevent routing of
# local nets staring with 10 to the Darknet

• Dans les paramètres de connexion, importez une configuration, et choisissez le fichier que vous venez de créer.
• Note: Sous certaines version de Gnome Shell, il semble ne pas y avoir cette option. Vous pouvez installer l’extension Old Network Manager pour avoir l’ancienne interface en plus et régler ce problème.
• Choisissez un identifiant et un mot de passe au hasard, et enregistrez tout ça.
• Il ne vous reste plus qu’à vous connecter au VPN dans votre gestionnaire de connexions, et à rester prudents avec votre nouveau joujou!

Note: Si vous êtes à la recherche d’une solution permettant un anonymat plus renforcé, je vous conseille de vous orienter vers des logiciels comme Tor, ou encore des systèmes d’exploitation Live comme Tails.

La Quadrature du net a publié ce mardi 11 février une vidéo financée par les internautes et ayant pour ambition de sensibiliser le grand public à la question de la surveillance de masse.

Depuis cet été, cette surveillance remplit quotidiennement les colonnes des journaux (et sites web). Plus de 6 mois après les révélations de l’ancien employé de la NSA Edward Snowden sur les agissements de son employeur, les affaires s’empilent et donnent le vertige.

De très nombreux programmes pensés par l’agence ont aujourd’hui été découverts, et il semblerait qu’il faille envisager la possibilité que toute communication puisse être captée par les renseignements américains.
La collaboration plus ou moins active de nombreux pays européens discréditent largement les larmoiements de certains grand-e-s dirigeant-e-s de l’Union, et laissent les internautes de base bien démuni-e-s devant leur clavier.

Autre enseignement qui ressort de cette affaire: c’est aussi grâce à la collecte de données massive opérée par les géants américains de l’informatique (Google, Facebook, Apple, Microsoft…), et les bases de données centralisées qu’ils ont constituées, que la NSA n’a eu qu’à se baisser pour se servir et mettre à jour ses fichiers. Nos banales pratiques quotidiennes ont donc à leur échelle également favorisé cette surveillance.

C’est dans cette optique que la Quadrature du net (et d’autres bien sûr!) mettent l’accent sur trois éléments fondamentaux permettant d’assainir nos usages numériques:

• L’utilisation de services décentralisés (comme le p2p)
• La chiffrement de point à point (ex GPG pour les mails, OTR pour le chat…)
• L’utilisation de logiciels libres (dont on peut comprendre le fonctionnement et vérifier les failles de façon collaborative et indépendante)

Cliquez sur l’image pour accéder à la vidéo
Licence: CC-BY-SA

Une partie de la solution est entre nos mains, donc au boulot! 😉

Ça faisait un moment que beaucoup l’attendaient, la version Android de Https Everywhere est maintenant disponible.

Pour rappel, cette extension au navigateur web Firefox permet de rediriger automatiquement l’utilisateur vers les pages en versions chiffrées (https), lorsqu’elles existent, et si elles sont prises en compte par l’extension.

Par défaut, le trafic est en clair, c’est à dire visible par un tiers, s’il s’en donne les moyens, mais il peut également être altéré, modifié, sans que l’on ne s’en rendre compte.Le chiffrement garantit donc une certaine confidentialité et une authentification de l’interlocuteur.

Pour l’installer, rendez-vous sur le site de l’EFF, l’organisation de défense des intérêts de internautes qui développe cet outil simple et efficace.

(Mise à jour: il semblerait que la version gratuite du VPN Arethusa utilisé pour la démonstration ne soit plus disponible…)
Pour préserver sa vie privée en ligne, le VPN est dans bien des cas un allié. Son rôle est de chiffrer votre trafic, ainsi, le fournisseur d’accès à Internet et les potentiels curieux ne pourront pas savoir quelles sont vos activités (et ça emmerde bien le monde donc c’est plutôt une bonne chose! 😉 ) L’image du tunnel est souvent utilisée pour illustrer ce phénomène. Toutes les données sortantes sont alors prises en charge.

Une fois activé, les sites visités ne connaîtront que l’adresse IP du serveur VPN, et non pas la vôtre. Cela masque votre localisation, mais facilite également l’accès à des sites qui seraient censurés dans votre pays.
Petit troll en prime, si vous êtes chez Free mobile, cela vous permettra certainement aussi d’avoir un débit acceptable au cas où vous traîneriez du côté de Youtube ou Dailymotion! (#NetNeutrality)

[cc_half_col_left background_color= »#515151″ radius= »60″ shadow_color= »888888″] OpenVPN est comme son nom l’indique, libre. Il est réputé plus sécurisé que le protocole PPTP (Point to Point) qui comporterait des failles permettant de révéler votre véritable adresse IP. [/cc_half_col_left] Avant de se lancer, plusieurs pré-requis sont nécessaires:
– Avoir un téléphone rooté.
– Avoir une distribution Android qui supporte OpenVPN (CyanogenMod par exemple). Si vous n’êtes pas dans ce cas, jetez un œil du côté de OpenVPN installer.

Une fois ces questions réglées, vous installerez OpenVPN Settings (on le trouve sur le Play Store mais aussi sur FDroid).
Créez un dossier openvpn à la racine de votre carte SD sur le téléphone, et mettez-y le fichier de configuration et la clé de chiffrement du VPN que vous aurez choisi.
Pour l’exemple, nous prendrons le VPN gratuit Arethusa (attention, il n’est pas libre donc il n’y a aucun moyen de s’assurer de son sérieux et du niveau de sécurité qu’il offre).
Pour ce VPN, les fichiers se trouvent sur cette page. Mettez-les dans le dossier openvpn que vous venez de créer.

Ouvrez ensuite OpenVPN Settings, et si tout va bien, Arethusa sera maintenant disponible (voir image ci-contre).
Il n’y a plus qu’à activer OpenVPN (première case), puis arethusa-free.ovpn.

Vérifiez tout de même que tout est en ordre en vous rendant sur un site quelconque permettant d’afficher votre IP et votre localisation. ex: http://www.mon-ip.com/

Avertissement: Changer d’IP c’est comme mettre une cagoule. Si on reconnaît vos fringues, ça ne sert pas à grand chose! 😉
N’oubliez pas que Google et consorts ont une mémoire d’éléphant et que de nombreux éléments peuvent permettre un recoupement des informations préalablement récoltées (compte Google, cookies, numéros uniques d’identification des applications etc.). Ne vous croyez donc pas à l’abri de tout…

Autre chose: gardez à l’esprit que tout ce qui passe par le VPN et qui n’est pas chiffré peut être vu par les personnes qui l’administrent. Cela nécessite donc une certaine confiance et pose la question de la conservation des données. En France par exemple, il est obligatoire de conserver les logs pendant 1 an… Privilégiez donc des pays plus respectueux du droit à l’anonymat, et des VPN sans logs.

Voilà, il ne reste plus qu’à choisir le vôtre!

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

 Cette conférence de Jean-Marc Manach et Fabrice Epelboin ne date pas de cette année mais d’il y a deux ans. Une fois encore, elle est extrêmement intéressante et très accessible au grand public. Au programme donc, une introduction aux questions de sécurité en ligne, au hacking, aux lois de surveillance (en ligne mais aussi dans la rue), et une présentation des enjeux de vie privée liés au développement des réseaux sociaux comme Facebook.

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

Cette première vidéo est une conférence de Skhaen, l’un des protagonistes du mouvement hacktiviste Telecomix. Elle traite de la cryptographie et de la sécurité dans les communications, de leurs principes de fonctionnement, mais aussi des applications disponibles pour se protéger de la surveillance, notamment sous Android. Si vous ne comprenez rien à tout ça et/ou que vous souhaitez en connaître davantage sur les outils sécurisés disponibles, installez-vous dans le canap’!

L’heure est très grave pour les Iraniens. Alors que le gouvernement de ce pays est réputé pour sa très grande dureté vis à vis de la liberté d’expression sur internet, et de la circulation des informations, la nouvelle est ici tombée hier, mais la chose aurait été constatée depuis le 7/02 : le trafic SSL/TLS (soit l’accès à des pages chiffrées marquées « https » par exemple), serait bloqué.

D’après Iran Media Research, ce sont les sites basés à l’étranger qui seraient concernés, notamment Google (ainsi que Gmail), Facebook, Twitter… Les raisons de ce durcissement seraient liées à l’approche de l’anniversaire, ce samedi, de l’arrestation de deux opposants, et donc à la possibilité de manifestations appelées par l’opposition.

Selon Reporters Sans Frontières, les Proxy et les VPN, permettant de contourner les systèmes de censure seraient eux aussi touchés. Notons que c’est également le cas de Tor.

Un site prétend d’ailleurs permettre de vérifier quels sont les sites bloqués: http://www.blockediniran.com/

Page Google en Iran le 9/02

Tor contre-attaque

Les hacktivistes du réseau Tor ont un lourd passif de soutien aux militants opprimés par les dictatures, notamment en Iran. L’outil est fréquemment utilisé pour contourner les systèmes de censure et rétablir les communications privées, loin des regards indiscrets de l’État.

Pour répondre à cette nouvelle urgence, les membres de la Fondation Tor proposent en test, un outil nommé obfsproxy, et dont l’objectif est de dissimuler le chiffrement du trafic. En clair ( 😉 ), il s’agira de faire passer la communication comme étant non-chiffrée, et donc non détectée. C’est effectivement l’un des points faibles du chiffrement: ça se voit! Andrew Lewman de la fondation explique:

« L’idée est de faire ressembler votre Ferrari à une Toyota en mettant une carrosserie de Toyota au dessus de la Ferrari. »

Le principe consisterait donc à faire passer un protocole pour un autre (masquer du SSL en XMPP par exemple, XMPP étant censé être du chat).
Selon les premiers retours d’utilisateurs, malgré quelques bugs, obfsproxy fonctionnerait dans le pays.

Comment participer?

Voici des liens vers les procédures pour participer au projet obfsproxy proposé par la Fondation Tor. Les pages sont en anglais donc, dans l’urgence, désolé pour celles et ceux qui ne comprennent pas cette langue.
https://www.torproject.org/projects/obfsproxy-instructions.html.en

Le billet de la liste Tor avec quelques instructions supplémentaires importantes:
https://lists.torproject.org/pipermail/tor-talk/2012-February/023070.html

Contacté par une journaliste du site de débat Newsring (lancé sous la direction éditoriale de Frédéric Taddeï) pour participer à un sujet sur « Nouvelles technologies : peut-on échapper à l’emprise américaine ? », je me suis plié à l’exercice.
C’est à partir de l’annonce du retrait de Dassault du projet de Cloud computing « à la française » que la journaliste s’est posé la question de la possibilité pour la France de développer son indépendance face à des services majoritairement américains.
Le débat et sa présentation sont disponibles à cette adresse.

Le point de vue développé ici s’attardera davantage à se demander s’il est possible d’échapper à l’emprise des États et des entreprises qui font fortune sur la surveillance des communications.

Il est coutume de dire qu’internet n’a pas de centre, et c’est vrai. En tant que réseau de réseaux décentralisé, il est en théorie conçu pour pouvoir fonctionner quelles qu’en soient les parties amputées. Mais il est aussi fréquent d’entendre que s’il devait y en avoir un, il serait aux États-Unis.

Avec le développement de la toile, de nombreuses entreprises américaines ont acquis un statut dominant voire quasi monopolistique dans certains domaines. Plus de neuf français sur dix utilisent des logiciels Microsoft et surfent sur le net grâce à Google, et près d’un sur trois a un profil Facebook.

Lorsque l’on parle de stockage des données en ligne (cloud computing), cela pose de façon évidente la question de la conservation et de la concentration des informations, et interroge sur le cadre juridique duquel elles dépendent.

Cette concentration pose problème dans plusieurs domaines :

La confidentialité des données

Concernant la confidentialité des données, et le respect à la vie privée, la constitution de supers bases de données contenant des quantités parfois astronomiques de détails sur nos habitudes de navigation, nos goûts, nos achats, nos symptômes, nos préoccupations, nos désirs etc., pose de sérieux problèmes.
Pour prendre le cas Google, il a été le premier groupe à dépasser le milliard de visiteurs uniques en mai dernier (selon comScore), et Youtube (appartenant à Google) annonce ce mois-ci les mille milliards de vidéos vues en 2011. Chacune de ces visites est l’occasion pour l’entreprise de peaufiner le profil des utilisateurs en fonction de leurs comportements.

La question du droit de l’information

À qui appartiennent les informations publiées par les internautes ? Dans le cas de Facebook par exemple, nous savons que les données « confiées » peuvent être réutilisées dans un cadre publicitaire notamment, et sont à la disposition de l’entreprise, même après suppression du compte (voir l’affaire de l’étudiant autrichien Max Schrems qui a reçu plus de 1200 pages d’informations sur sa personne après 3 ans d’utilisation du réseau et un compte soi disant supprimé).

Le rapport à la justice

C’est également vis à vis de la justice qu’il faut s’interroger, et plus particulièrement de l’État. C’est suite à des « révélations » de Gordon Frazer (directeur général de Microsoft) que la question du Patriot Act a refait surface sur le net. Rédigé suite aux attentats du 11 septembre 2001, le texte impose à toute entreprise américaine de fournir les renseignements dont elle dispose si l’État en fait la demande. Étant dans cette situation, Microsoft a, à l’occasion de la prise de parole de son responsable, avoué avoir déjà été en situation de répondre à cette exigence patriotique. C’est quasiment dans la foulée que le géant Google avait également confirmé avoir fait de même.

Il convient de préciser que le Patriot Act concerne toutes les entreprises américaines, qu’elles soient basées sur le sol américain ou non. Les serveurs de Google en Europe sont par exemple concernés, et toutes les données qu’ils renferment sont donc potentiellement réquisitionnables par les autorités d’outre-Atlantique.

C’est alors que se repose la question de la concentration des données. Avec 900 000 serveurs estimés dans le monde, une utilisation particulièrement élevée de son moteur de recherche en France, et une omniprésence de Google Analytics qui permet d’afficher des statistiques de fréquentation 1 2, Google prend l’allure d’une pieuvre menaçante tant pour la sécurité des internautes que pour celle des entreprises.

Le contrôle du réseau

L’intégrité du réseau ainsi que la garantie d’une circulation libre des contenus dépendent également, du fait de la main mise des entreprises américaines sur le web, du droit états-unien. L’actualité récente braque les projecteurs vers la chambre des représentants et le sénat américains, lesquels discutent deux projets de loi très similaires: Stop Online Piracy Act (SOPA) et Protect IP Act (PIPA). Ces deux Patriot Acts numériques visent à mettre en place des systèmes de contrôle et de censure d’internet dignes des plus grandes dictatures mondiales, et ce afin de préserver les seuls intérêts des ayants droit des industries culturelles américaines. Le passage de tels projets affecterait sans nul doute la totalité de la toile puisque qu’une grande partie des sites en ligne dépendront de ces textes.

Un cloud à la française ?

Cette situation de dépendance à l’égard du droit américain amène divers projets, dont Andromède, présenté comme un cloud à la française, à destination de l’e-administration, puis éventuellement des entreprises de l’hexagone.

Plutôt que de se concentrer directement sur l’administration et les entreprises, il me semble important d’aborder la question de façon plus large, dans le rapport à l’utilisateur en général.

En ce qui concerne la sécurité des données, il conviendrait de désigner clairement celui dont on souhaite se protéger. S’il s’agit de l’État, il n’y a nul doute pour dire que l’État Français ne se montre pas plus vertueux que son homologue américain, en témoignent l’adoption de la très répressive Loppsi II, la troisième position acquise par la France en tant que pays demandant à Google de dévoiler des informations sur ses utilisateurs (octobre 2011), ou encore son implication présumée dans l’affaire d’espionnage d’Amesys (voir ci-dessous).

Mais avec qui ?

Les partenaires associés au projet Andromède laissent perplexes les internautes qui auront rapidement mis le nez dans les questions de sécurité : Orange, Thales et Dassault (qui s’est retiré du projet en décembre).

France Télécom (qui possède la marque Orange), s’est illustré (bien que cela n’ait fait grand bruit), de façon indirecte dans l’affaire Amesys. En effet, l’entreprise possède de nombreuses actions chez Bull, dont Amesys est une filiale.
Cette dernière a été, suite à des révélation des sites Owni, Reflets.info, Wikileaks et le Wall Street Journal, accusée d’avoir vendu au régime de Kadhafi des armes numériques permettant la surveillance du réseau et des dissidents libyens , ainsi que des communications téléphoniques et satellites.

Thales a également été répertoriée par Wikileaks dans les Spy Files, comme étant l’une des entreprises françaises développant des outils de monitoring de masse sur les réseaux téléphoniques et internet.

Orange, c’est également l’annonce d’un bridage du net à 100 MO pour la fibre (et donc techniquement une remise en cause de l’illimité), ainsi que la volonté de développer le DPI (Deep Packet Inspection), la même technologie d’analyse des flux utilisée par Amesys en Libye, pour des usages courants. Parmi les dernières propositions, on notera la possibilité de faire analyser tout son trafic par Orange afin de pouvoir recevoir des publicités plus ciblées (c’est tout de même grandiose!).
Nombreux sont également ceux qui s’interrogent sur son respect de la neutralité du net, notamment en tant que propriétaire du portail Dailymotion. L’entreprise est en effet suspectée de brider le trafic à destination de son concurrent Youtube.

On ne présente plus non plus Dassault pour ce qui est de la construction et la vente d’armes et de matériel de guerre, pour ses relations commerciales avec Amesys, Thales ou d’autres, et sa complicité par la vente d’armes avec la dictature de Kadhafi.

Bref, on pourrait se demander ce qu’il y aurait à gagner à confier la gestion de nos données et leur sécurisation à de tels énergumènes.

Saucisson pinard ou autonomie ?

Parler de l’information sur le net, au-delà même du cloud (à la française ou non), pose donc un certain nombre de questions qui n’ont finalement pas toujours grand chose à voir avec des problématiques liées à la souveraineté nationale.
Il convient en effet de resituer les contextes d’énonciation : si l’État français peut chercher à gagner en indépendance grâce à Andromède, il n’en reste pas moins extrêmement conciliant (et d’avantage encore : voir l’inauguration des bureaux parisiens de Google par Nicolas Sarkozy) avec une entreprise comme Google, qui évite pourtant sciemment la fiscalité française en se basant en Irlande.
Son indépendance vis à vis de la juridiction américaine, notamment dans le domaine de la sécurité nationale ne semble représenter que peu d’intérêt pour l’internaute moyen, étant données les pratiques auxquelles il semble s’adonner sur son propre territoire ou dans les pays du Maghreb et du Moyen-Orient.

D’autre part, on va de ce fait observer une fuite des militants vers les États-Unis pour échapper à la surveillance et la censure française, comme ce fut le cas pour le site Copwatch Nord Île-de-France par exemple. Pour ces activistes, être « autonome » (hébergé) en France ne signifie pas pour autant liberté.

Héberger ses données à distance amène enfin à prendre en compte d’abord la question du chiffrement, afin de garantir une confidentialité à minima de ce qui est entreposé sur des serveurs tiers, mais aussi celle des outils secondaires qui peuvent être utilisés. Gardons en tête l’exemple de Google Analytics, lequel fait office de véritable cheval de Troie sondant pour le géant de Mountain View, une bonne partie des visites de sites sur la toile.

Finalement, ne serait-ce pas l’occasion de réhabiliter dans certains cas le principe l’auto-hébergement et l’hébergement coopératif, probablement l’une des pratiques la plus en phase avec l’écologie du net ?

V’là la deuxième infographie que nous propose le site hardabud, après celle sur le filtrage franco-khadafien du net en Libye!

C’est toujours aussi beau, toujours aussi clair (et en licence Creative Commons By en plus!), et permettra aux personnes qui n’ont pas nécessairement des connaissances techniques très précises de ce qu’est le réseau internet, de s’y retrouver un peu plus.

Pour toutes celles et ceux qui veulent comprendre les grandes lignes de ce qu’est la censure d’Internet, et appréhender quelques moyens de la contourner, c’est pour vous!

Source: http://www.hardabud.com

Je m’en faisais l’écho la semaine dernière, une équipe de chercheurs menée par Éric Filiol prétendait avoir réussi à prendre le contrôle du réseau d’anonymisation Tor, cassant à la fois le chiffrage et l’anonymisation.

Quelques jours plus tard, nous n’avons pas plus d’informations précises, mais pris un peu plus de recul sur la manière dont les choses ont été annoncées, et les motivations possibles des acteurs…

C’est par une conférence de presse que Éric Filiol a donné les résultats des expériences menées par son équipe et lui-même. Leur conclusion est sans appel: ils sont capables de casser la protection proposée par le célèbre réseau.

Rien ne filtre, une stratégie médiatique?

Le souci est que nous disposons d’assez peu d’informations précises.
Quelques unes ont été fournies, mais on reste dans l’ordre du possible, ce qui laisse un sentiment très désagréable pour les utilisateurs de Tor. Comment juger les annonces de Filiol autrement qu’en appliquant un principe de précaution, et donc en considérant que le réseau n’est pour le moment plus fiable?

Le gros problème dans cette affaire en dehors du fait que des failles aient potentiellement été découvertes – ainsi va le processus de sécurisation des systèmes – c’est le contraste entre la faiblesse des informations données sur les failles, et la grandiloquence des déclarations de Filiol et son équipe.

D’autant plus que les membres de la Fondation Tor sont totalement laissés dans le doute, et sont eux aussi réduit à l’émission d’hypothèses étant donné que le chercheur refuse de leur donner plus d’information avant la « tant attendue » conférence « Hackers to Hackers » des 29 et 30 octobre à São Paulo au Brésil.

Cette attitude un peu puérile pourrait passer si on parlait de la sécurisation de la dernière version du démineur de Windows 7. Mais ici, c’est tout de même potentiellement avec la vie de personnes qui s’appuient sur Tor pour communiquer dans des contextes répressifs que joue Filiol en refusant de communiquer les informations qui permettraient à la Fondation Tor de corriger le logiciel et ainsi, aux personnes qui l’utilisent de retrouver une certaine « sécurité ».
Dans ce contexte, l’annonce en grandes pompes de la conférence de la fin du mois laisse un arrière goût d’opération publicitaire morbide.

Par ailleurs, bien que compétent dans son domaine, le chercheur a déjà été surpris à s’emporter quelque peu dans ses annonces médiatiques pas toujours bien étayées, comme ce fut le cas en 2003 lorsqu’il avait prétendu casser le chiffrement AES. Le code qui accompagnait sa déclaration ne permettait en réalité rien de tel.

Autre information à prendre en compte, Filiol fait partie des personnes qui considèrent que la cryptographie est dans certains cas non souhaitable, car l’État peut selon lui avoir des raisons légitimes de prendre connaissance des informations. Ce qui revient à dire que l’État devrait toujours avoir la possibilité d’accéder aux données échangées sur son sol.
Ce raisonnement est bien connu et part d’un a priori pour le moins contestable : nous vivrions dans des pays où les États n’abusent pas de leur pouvoir et respectent la vie privée des personnes. Bienvenue chez les bisounours ! Pas sûr qu’il dorme avec un t-shirt de la Fondation Tor le soir.

Lâcher Tor?

Cette question est centrale et montre bien à quel point l’attitude de Filiol et son équipe est dommageable. Il n’y a pour l’instant rien d’autre qu’une annonce, un court résumé et des vidéos, pas même d’expérimentation de la méthode en dehors du laboratoire.
À chacun-e de voir si ça doit l’amener à prendre la décision de lâcher Tor maintenant. En cas de faille avérée (ce qui est envisageable pour le moment mais invérifiable), il parait évident – à moins de tomber dans la théorie du complot – que la Fondation Tor tentera de la résoudre.

Cette affaire a néanmoins le mérite de rappeler que la course à la sécurité sur le net n’est jamais une affaire gagnée. Le chiffrement est certes une réponse crédible aux systèmes de surveillance, mais cela implique d’une part que l’on fasse confiance à des équipes de développement que l’on ne connaît pas directement (et au fait que le code du logiciel soit libre), et d’autre part, que l’on se pose la question du devenir des algorithmes d’aujourd’hui: probablement déchiffrés en partie, ou en totalité pour certains !

Gardons cette idée en tête lorsque nous pensons naviguer en toute sécurité : aucun système n’est infaillible et encore moins éternel.

Le réseau Tor (The Onion Router) est un dispositif proposant l’une des solutions les plus crédibles en ce qui concerne l’anonymisation de la navigation sur le web (voir article). Il est utilisé par des journalistes, militants et des dissidents du monde entier, notamment dans les pays où il est indispensable de contourner les systèmes de censure étatiques pour communiquer.

Mais cette semaine, Éric Filiol (directeur du laboratoire de recherche en cryptologie et virologie de l’ESIEA) et son équipe, ont semble t-il réussi à prendre le contrôle du réseau.

La nouvelle est extrêmement grave. C’est lors d’une conférence tenue la semaine dernière que Éric Filiol a montré comment, lui et son équipe, ont mis le réseau à nu. Ils ont pour cela, développé une attaque qu’ils ont menée en plusieurs temps:

L’inventaire des nœuds du réseau

• Ceux-ci sont publiques et présents dans le code source: il y a en tout 9 039 adresses IP soit 5 827 nœuds (car certains utilisent des adresses IP dynamiques (qui changent)).
• Ils ont découvert des nœuds cachés qui permettent aux personnes vivant dans des dictatures de passer par ces relais non censurés par les autorités. Lorsqu’une personne souhaite utiliser ce service, une adresse de nœud secret lui est fournie.
• En utilisant un algorithme de scripts, ils ont automatisé la demande de passer par un nœud secret et ont ainsi pu en dénombrer 181.

L’infection et la prise de contrôle du réseau

• Après un audit de sécurité sur l’ensemble du réseau, il ressort que 41,4 % des machines tournent sous Windows, et qu’environ 30 % de la totalité des nœuds sont vulnérables
• Cela permet de contrôler une partie des relais et d’en attaquer  le chiffrement des données (2 couches sur 3).
• Avec des analyses statistiques, la dernière couche de chiffrement est cassée.
• En saturant une partie du réseau, il est alors possible de réduire le nombre de nœuds disponibles pour favoriser un passage par ceux qui sont sous contrôle, et analyser les données transférées.

Conclusions

Grosso modo, il faut malheureusement considérer que Tor n’est actuellement plus fiable, et il faut espérer que les rectificatifs nécessaires seront rapidement effectués.
Autre fait inquiétant: les propos tenus par Éric Filiol sont extrêmement durs et semblent accuser la fondation Tor:

« La cryptographie implantée dans TOR est mauvaise…On a réduit considérablement le degré de deux des trois couches de chiffrement. »

« On ne peut pas imaginer que la fondation derrière TOR ne soit pas consciente de ses failles »

Reste à attendre patiemment les premières réactions de la fondation Tor, mais aussi la conférence « Hackers to Hackers » des 29 et 30 octobre à São Paulo au Brésil pour une présentation officielle de cette prouesse des chercheurs.

Comment contourner la censure sur internet est un livre sous licence libre sorti cet été. Il est le fruit d’un booksprint, travail de rédaction coopérative éclair (en 5 jours).

Cet outil se propose de fournir, des pistes pour comprendre la censure et la surveillance sur le réseau, mais surtout des moyens de s’en prémunir.

On retrouve dans l’équipe de rédaction tout un tas d’activistes et de passionnés d’informatique, et notamment des personnes du Projet Tor ou encore de l’Electronic Frontier Foundation, les auteurs respectifs du logiciel d’anonymisation Tor, et de l’extension Firefox HTTPS Everywhere pour le chiffrement de la navigation.

L’ouvrage est disponible à cette adresse: http://www.howtobypassinternetcensorship.org/fr.html#

Vous y trouverez également quelques vidéos de présentation fort agréables pour celles et ceux pour qui tout cela peut paraître un peu technique, et manquant de chaleur humaine. 😉

Une petite vidéo sympa d’un certain Dave Null (qui est en fait sans images) pour toutes celles et ceux qui s’intéressent aux techniques d’anonymat.
C’est une bonne entrée en matière et permet de revenir sur des notions de base comme celles de réseau, d’adresse IP, de système d’exploitation, de chiffrement etc…
J’apprécie particulièrement l’accent mis sur l’importance de privilégier l’usage des logiciels libres, notamment pour des raisons de sécurité.

J’invite les débutants à ne pas se décourager devant certains termes qui ne sont pas compréhensibles dans un premier temps, mais qui peuvent aisément être réappropriés après quelques recherches rapides.

Cliquez sur l’image pour accéder à la vidéo

Note: La vidéo n’est pas intégrée dans cet article car la page dans laquelle elle se trouve comporte 5 web bugs. J’évite ainsi que ceux-ci aient accès aux informations concernant les visiteurs de Révolte Numérique.

L’une des solutions pour surfer avec un niveau d’anonymat plus important est de passer par ce que l’on appelle un système d’exploitation live. Il s’agit d’un OS (Operating System) qui sera lancé à partir d’un CD (d’un DVD ou d’une clé USB). Il ne sera pas nécessaire de l’installer car il est prévu pour fonctionner « en live ».

En ce qui concerne l’anonymat, cela comporte plusieurs avantages:

• Les OS que je vous propose sont basés sur GNU/Linux. Ces distributions sont réputées sécurisées et sont testées par de nombreux utilisateurs qui préviennent lorsque quelque chose ne fonctionne pas.

• Votre configuration est portable. Quel que soit l’endroit où vous connectez, vous pouvez utiliser vos outils et garder vos préférences (si cela n’est pas préjudiciable à votre anonymat).

• Tout est géré par la mémoire vive, rien n’est stocké sur l’ordinateur.
  Vous ne laissez donc (presque) aucune trace sur l’ordinateur utilisé (intéressant pour les agents secrets 🙂 ). À priori, le seul moyen de récupérer des infos sur ce que vous avez fait est une intervention du GIGN dans les secondes qui suivent la fin de votre session, et de congeler votre ordinateur (sérieux! 😛 ). En réalité, il y a un résidu d’informations dans la mémoire vive mais elle est très volatile et s’efface rapidement d’elle même (d’où le frigo pour ralentir ça!).
• La plupart de ces OS utilisent le réseau Tor pour les surfs ce qui en théorie est l’une des façon les plus sécurisée de naviguer (en terme d’anonymat).

Voici quelques systèmes live que vous pouvez tester:

Tails (The Amnesic Incognito Live System): basé sur l’OS GNU/Linux Debian. Utilise Tor pour le net.
https://tails.boum.org/

—————————————————————————————————————————

Odebian: Idem.
http://www.odebian.org/

—————————————————————————————————————————

Privatix: Toujours sous Debian, avec comme objectif de sécuriser les fichiers sensibles.
http://www.mandalka.name/privatix/index.html.en

—————————————————————————————————————————

Ubuntu Privacy Remix/ Un OS cette fois basé sur Ubuntu.
https://www.privacy-cd.org/

—————————————————————————————————————————

Note: Pour les personnes qui n’ont jamais lancé un OS en live. Il sera nécessaire de redémarrer votre ordinateur avec le CD de l’OS dans le lecteur (ou la clé USB branchée) et d’aller dans le BIOS tout au début du redémarrage (la façon d’y accéder est indiquée sur votre écran, la touche à presser dépend des modèles). Il faudra ensuite au clavier aller dans le menu (quelque chose comme « BOOT device ») qui permet à votre ordinateur de démarrer sur le CD ou la clé.

Une fois encore, je vous propose une extension de Firefox sous licence libre…
Et oui, sans même considérer les questions politiques (ou philosophiques, n’ayons pas peur des mots :P) qui peuvent motiver l’utilisation de logiciels libres, il me semble que du point de vue de la sécurité, il est toujours préférable de pouvoir comprendre comment les choses fonctionnent. C’est grâce à la mise à disposition de tous du code source que les différentes communautés du libre ont la capacité d’analyser les programmes, d’en déceler plus facilement les failles, mais aussi les éventuelles fonctionnalités nocives pour les usagers et leur vie privée.

La présence de cette extension pour Firefox dans le projet Tor Browser est à mon sens un certain gage de qualité et permet je pense d’accorder un certain crédit à l’initiative. L’Electronic Frontier Foundation (EFF) qui développe cet addon est de plus réputée pour le travail qu’elle effectue sur la question des libertés numériques des internautes. Le projet Tor auquel elle participe en est une illustration.

HTTPS Everywhere vous permettra donc de naviguer sur le web en privilégiant les sessions sécurisées SSL (d’où le https).
Quel intérêt? Et bien l’immense majorité de vos connexions sur le net sont en général en « clair ». Cela signifie qu’il est tout à fait possible de les intercepter et de les lire, surtout si vous êtes sur du Wifi.
Contrairement à ce qui se raconte et ce que peut sous-entendre le site de l’EFF à première vue, ce programme ne chiffre rien du tout. Si vous voulez parler anglais avec quelqu’un, il sera plus productif de vous adresser à une personne qui comprend cette langue… C’est la même chose pour le dialogue entre votre ordinateur et un serveur. Si le site n’est pas prévu pour proposer une connexion sécurisée, envoyer des données chiffrées ne mènera nul part!
L’extension se contente donc de vous rediriger sur les pages de sites chiffrées lorsqu’elles existent, et c’est déjà pas mal.

Elle fonctionne par défaut pour Google Search, Wikipedia, Scroogle, Mozilla, Amazon, Twitter, Facebook, bit.ly, GMX, WordPress.com blogs, The New York Times, Paypal, EFF, Tor, Ixquick et bien d’autres. La liste sera évidemment trop courte pour les explorateurs de la toile mais elle constitue un bon point de départ.
Grâce à cette page, il vous sera possible d’élargir la liste des sites pris en charge par HTTPS Everywhere. On regrettera cependant la relative difficulté de l’opération pour les novices ainsi que les explications uniquement disponibles en anglais. Mais bon, on peut pas tout avoir!

Pour télécharger HTTPS Everywhere: rendez-vous sur le site de l’Electronic Frontier Foundation.

Comment aborder la question de l’anonymat sur internet sans parler de Tor?
Le nom de ce logiciel libre ne fait pas référence au dieu du tonnerre scandinave mais il s’agit de l’acronyme de « The Onion Router » (le routage en oignon).
Il s’agit probablement de l’initiative la plus aboutie pour les internautes qui souhaitent naviguer sereinement sur le web.
Attention (MAJ du 16/10/11) : Il est difficile de savoir dans quelle mesure le réseau Tor est fiable actuellement en raison d’une découverte de chercheurs français.

MAJ du 2/06/14: Pas de nouvelles, bonnes nouvelles, Tor resterait la solution la plus efficace pour garantir un niveau acceptable d’anonymat, de l’avœu même de la NSA cette année.

Tor est un logiciel libre proposant de procurer un niveau d’anonymat assez élevé aux internautes. Son utilisation concerne tant le surf sur le web que l’envoi de mails, l’utilisation de tchats etc.
La technologie qu’il utilise est issue de recherches militaires et continue aujourd’hui d’être utilisée par les autorités, comme cela fût le cas pour l’armée américaine pendant la guerre en Irak.
Journalistes, militants, particuliers, entreprises, militaires… etc. utilisent Tor pour limiter les possibilités d’être tracés.

Le fonctionnement du réseau

Tor repose donc sur un réseau d’ordinateurs. Chaque utilisateur peut s’il le souhaite, s’enregistrer, et faire de son poste un « nœud », un relais dans le réseau.

Fig 1. Image modifiée. Original issu du site du projet Tor

Lorsque vous vous connectez via Tor pour accéder à un site, le client Tor (le logiciel que vous avez installé), va télécharger sur un serveur la liste des « nœuds ». Ce premier transfert d’informations est chiffré.

Fig 2. Image modifiée. Original issu du site du projet Tor

C’est à partir de cette liste de nœuds que le client Tor va définir un chemin aléatoire vers le serveur du site web que vous souhaitez consulter.
Là encore, les informations qui passent par le réseau sont chiffrées. Il n’est pas possible de les connaître même pour le propriétaire d’un ordinateur faisant partie du réseau et du chemin emprunté (flèches vertes).
Entre le dernier nœud et le serveur du site que vous souhaitez consulter (ici représenté par le serveur de bob), les informations sont transmises en « clair » afin que la requête soit compréhensible.

 Fig 3. Image modifiée. Original issu du site du projet Tor

 Le chemin est automatiquement modifié par Tor lorsque vous accédez à d’autres pages web afin de limiter les possibilités de vous identifier par d’autres moyens.

Le système de chiffrement

Pour que tout cela soit efficace, il est nécessaire de chiffrer un certain nombre d’informations afin que l’on ne puisse pas retrouver l’origine de la requête (votre ordinateur).

Source: xmco.fr

Dans l’exemple ci-dessus, l’utilisateur Y souhaite se connecter au site xmcopartners.com par le biais du réseau Tor. Le premier paquet de données indiquant notamment le site à consulter, est représenté ici par le cylindre blanc « data ».

Les « nœuds » du réseau Tor B,C,F et A ont chacun une clé publique (dont le chiffrage est représenté respectivement par les couleurs orange, bleu turquoise, jaune et bleu).

Le client Tor de l’utilisateur Y va donc télécharger les clés publiques de chacun des nœuds du réseau et dans l’exemple présent, va chiffrer sa requête avec quatre couches différentes. La première couche de chiffrement correspond à la clé du dernier relais (A), la seconde à l’avant dernier (F), la troisième au relais C, et enfin la dernière au relais B.
Ainsi, lorsque les données seront transmises, le nœud B pourra déchiffrer la couche du dessus (orange) avec sa clé privée, le nœud C la suivanteet ainsi de suite jusqu’au dernier nœud A qui transmettra le paquet initial en « clair » avec la demande de la page xmcopartners.com au serveur web Z.

Pour le serveur Z, c’est le nœud A qui a émis la requête et non l’utilisateur Y.

Tout au long du trajet, il est en raison de ce système, impossible de connaître l’identité de l’utilisateur Y ainsi que la destination du paquet.
Par exemple, le nœud C sait uniquement que les données viennent du nœud B, et doivent être transmises au nœud F.
Le contenu ne peut pas être connu non plus puisqu’il est toujours chiffré avec des clés publiques qui ne sont pas en relation avec la clé privée de ce relais.

Ne pas foncer tête baissée!

Évidemment, il va falloir changer vos habitudes de navigation. Comme expliqué, les données restent transmises en clair entre le dernier nœud et le serveur du site. L’anonymat est ainsi garanti, mais pas la confidentialité. Si vous envoyez un mail et signez avec votre nom et votre prénom, vous ne serez évidemment pas anonyme! (simple, mais à préciser quand même. On ne sais jamais!). Idem pour les messages sur les forum etc. Toutes les données sont à la fin transmises exactement comme si vous ne passiez pas par Tor, à la différence près que l’on ne peut pas dire à priori que vous en êtes l’expéditeur.
Chiffrer les données au départ, avant même de passer par le réseau peut-être une solution pour augmenter la confidentialité.

Pour un plus haut degré d’anonymat, il n’est pas conseillé d’utiliser Tor pour aller sur les mêmes sites que vous consultez quotidiennement. Il serait possible à l’aide de données statistiques, de faire des recoupements et potentiellement de vous identifier.

Des mises à jour sont régulièrement proposées. Il est donc conseillé de les surveiller afin de garder un logiciel le plus sécurisé possible.
Bien que cela soit l’une des propositions les plus performantes, Tor n’en est toujours pas à sa version 1.0. Cela signifie, de l’aveu même de ses concepteurs, qu’il n’est pas infaillible. Ceux-ci mettent d’ailleurs en garde les personnes ayant besoin d’un niveau d’anonymat maximal.

Pour approfondir ses connaissances et limiter les risques, vous pouvez consulter les sites suivants:
http://free.korben.info/index.php/Discussion:TOR
https://www.torproject.org/download/download.html.fr#Warning

Comment utiliser Tor?

Pour justement limiter le nombre d’erreurs lors de la navigation, je vous conseille de télécharger Tor Browser.
Il s’agit certainement de la solution la plus simple et la plus sécurisée pour naviguer sur le web (seul le navigateur Firefox qui y est embarqué est configuré pour utiliser Tor, mais rien ne vous empêche de paramétrer d’autres logiciels, comme un client IRC par exemple). Il n’y a rien à installer et un mini navigateur Firefox est inclus dans le programme. Vous serez ainsi sûr de ne pas confondre les sessions « classiques » et sessions Tor ou de ne pas faire d’erreurs en configurant votre navigateur.

Le Firefox qui est fourni intègre déjà l’extension No script. Elle permet de bloquer en particulier le javascript qui peut être utilisé pour vous identifier. Étant très répandu notamment avec le web 2.0, ne soyez pas surpris si toutes les pages ne s’affichent pas forcément aussi bien que vous pourriez l’espérer.

Ce logiciel réserve encore bien des surprises mais ce sera peut-être l’objet d’un autre article!

Site du projet Tor: https://www.torproject.org/index.html.fr