Plubliée il y a quelques jours, une nouvelle vidéo explique simplement d’utilité et le fonctionnement du réseau Tor. De plus en plus populaire notamment depuis les révélation de Snowden, on peut parier sans trop se tromper que les nouvelles lois françaises concernant la censure et la surveillance des communications ne feront qu’élargir l’utilisation de ce logiciel libre.

Simple d’utilisation, le réseau permet de renforcer l’anonymat et de contourner les blocages de sites Internet. Vous êtes journaliste, militant-e, ou « simple » Internaute tenant à sa vie privée et à l’accès à Internet non censuré? Tor est fait pour vous!

Plus d’articles sur Tor

Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

J’avais abordé il a quelques mois un changement prévu par Mozilla dans le célèbre navigateur open source. Il s’agissait d’utiliser les tuiles (Directory Tiles) habituellement occupées par notre historique à l’ouverture d’un nouvel onglet. On sentait venir la chose lorsque certains évoquaient du contenu sponsorisé adapté aux utilisateurs. Ça sentait gros le discours marketting habituellement fleuri d’arguments pro-ciblage faisant passer la publicité pour une chance donnée à l’utilisateur d’explorer un peu plus ses centres d’intérêts. On espérait juste que les responsables de Mozilla n’avaient pas fait leur ce discours manipulateur.

T’en veux de l’esprit du libre?

Depuis quelques semaines c’est donc fait, Firefox intègre des publicité dans ces vignettes. Alors qu’on nous promettait la mise en avant de partenaires de Firefox ou de tiers respectueux des principes de Mozilla, on se retrouve avec des Booking.com, et autres sociétés fleurons de l’esprit du libre. Je n’ai pas vu toutes les publicités proposées étant donné que je ne les croise qu’au boulot, mais ces deux-là sont déjà assez cocasses! Quand on pense que c’est Mozilla qui nous propose un logiciel soit disant orienté sécurité et propriétaire comme Dashlane, on touche le fond. Bonjour l’esprit du libre, et bonjour les leçons tirées de l’affaire Snowden!
Comme garantie actuellement: les données collectées concernent essentiellement les clics sur les annonces, et sont d’après la fondation anonymisées.

De plus, pour certains sites comme Amazon, relate le site du navigateur, au lieu d’avoir une capture d’écran, ce pourra être un logo qui sera affiché à la place. Rappelons que le rôle des logos publicitaires est de rester en mémoire, d’imprimer un cliché, lequel sera rangé parmi les images qui nous sont familières, en attendant la prochaine situation où il faudra faire un choix pour un achat. Les techniques publicitaires sont assez proches des méthodes de propagande, et c’est ce qui les rend dangereuses et non souhaitables, surtout dans un environnement libre.

Quoi qu’il en soit, Mozilla a les deux pieds dedans, et la fuite en avant est engagée. Firefox n’est dorénavant plus qu’un navigateur, mais également un prescripteur de sites d’achat.

La pé-da-go-gie (ou l’éducation pour ceux qui ont déjà appris)

Comme à l’accoutumée lorsqu’il s’agit de faire du fric, l’avis des utilisateurs n’est pas demandé par défaut. Il va falloir passer en mode classique en cliquant sur la petite roue en haut à gauche à l’ouverture d’un nouvel onglet. On peut déjà parier que de très nombreux utilisateurs ne se poseront pas la question et continueront leur chemin utilisant Google par défaut, avec les pubs intégrées dans Firefox par défaut elles aussi.
Une option un peu surprenante lorsque l’on écoute les positionnements pro éducation à la vie privée de Firefox, moins lorsque l’on aborde les méthodes des régies publicitaires en général.

La polémique est aujourd’hui bien engagée, et opposerait les sempiternels « pragmatiques » face aux « puristes ». Au-delà des postures, force est de constater que le web a de plus en plus de mal à s’envisager sans l’économie libérale et sans la publicité. Même si l’objectif annoncé est une libération de la tutelle de Google (toujours 85% des revenus), on est pas sûrs de gagner au change.
Si la centralisation de la firme de Mountain View est bien un problème démocratique, un morcellement des relations que nous avons avec les entreprises commerciales en ligne ne réglera pas forcément le problème des méthodes de captation de l’attention et des portes monnaie que nous subissons constamment.

Il semble bien loin le web sauvage des premiers temps, et c’est davantage à un centre commercial interactif que ressemble ce Frankeinstein qui a grandit sous nos yeux.
Alors? Vous préférez quoi? De la pub Google, ou de la pub sponso Mozilla? Les deux?

Ne touchez à rien…

Malgré le fait que les smartphones soient de plus en plus surnommés « mouchards de poche » (et c’est bien mérité), lorsqu’on en possède un, on a bien envie de s’en servir pour tous ses usages habituels. Pour beaucoup, Twitter est un moyen d’information quotidien, et ce malgré ses nombreux défauts (non repect des données personnelles, système centralisé, licence propriétaire etc.).
Nous allons voir comment limiter au maximum les dégâts question vie privée, tout en profitant de cet outil de veille.

« Mouais, encore un truc à la con »

L’une des solutions les plus employées passe par l’utilisation de l’application officielle de Twitter. Cette option-là est à oublier tout de suite si vous avez un tant soit peu de respect pour vos données privées. Jetez un œil sur les permissions requises, ça vaut le détour:

• accès au stockage
• accès au numéro de téléphone
• accès au carnet d’adresse
• géolocalisation
• etc.

Il sera donc préférable d’utiliser une application libre et moins intrusive. Vous pouvez tester par exemple Twidere, qui se trouve notamment sur le dépôt d’applications Fdroid.

Cette dernière a l’avantage de pouvoir être paramétrée pour utiliser un proxy. On va donc s’en servir, et passer par le réseau Tor, ce qui aura de multiples avantages:

• Faire chier votre opérateur et tous ceux qui pourraient analyser votre trafic
• Conserver un peu d’anonymat si votre compte Twitter n’est pas nominal
• Isoler l’activité relative à votre compte de ce que vous pourriez faire à côté de cela
• Accéder au réseau s’il est censuré dans votre pays
• [Optionnel] Participer à l’avènement de la cryptoanarchie en augmentant le volume de données non espionnables qui transitent sous les yeux de nombreux curieux
• [Optionnel] Vous la péter en société ou aux repas de famille

Bon ok, mais comment on fait alors?

Pour passer par le réseau Tor sur votre smartphone, il va vous falloir Orbot, et Orweb, le navigateur associé. Le tout est assez intuitif et facile d’utilisation.
À partir de là, deux solutions se posent à vous:

1. « Torrifier » Twidere directement depuis Orbot (mais il faut être root sur sa machine)
   → Paramètres / Transparent proxying, puis Select Apps et vous cochez Twidere
2. Vous allez dans les paramètres Réseau de Twidere, cochez Proxy Http, remplissez locahost pour l’hôte du proxy, puis 8118 pour le port du proxy

Personnellement je préfère l’option n°2, car le gros défaut de la première, c’est que si vous n’êtes pas connecté à Tor, l’application fonctionnera tout de même, et se connectera donc de façon non sécurisée, révélant ainsi votre position voire votre identité. On a vite fait de cliquer par mégarde sur une icône, surtout avec du tactile. En configurant la connexion par un proxy, pas de Tor: pas de connexion au réseau.

Vous pourrez ensuite obliger Twidere à utiliser Orbot pour ouvrir les liens qui se trouvent dans votre fil, ce qui évitera de laisser des traces dans votre navigateur habituel, et surtout d’être trop facilement identifiable par son empreinte, ou tout simplement par les boutons de partage présents sur les pages que vous visiterez.

Quelques « détails » pour ne pas tout foutre en l’air…

Autre chose pour les personnes désirant être un poil plus discrètes: Twidere tourne en tâche de fond même si vous pensez l’avoir fermé. Vous pourriez donc utiliser Tor pour quelque chose de tout à fait différent, et être trahi par l’application qui continuerait à se connecter à votre compte Twitter.

Vous devriez donc activer les options développeur en cliquant quelque chose comme 8 fois sur « Numéro de build » dans « À propos du téléphone » (Paramètres). Un nouveau menu « Options pour développeurs » apparaîtra, et il vous sera possible de cocher « tuer avec le bouton retour ». Ceci fait, un appui long sur « retour » fermera réellement vos applications.

Enfin, les DNS utilisés par Twitter sont ceux de Google. Cela peut se changer dans les paramètres, pour quelque chose d’un peu plus respecteux de votre vie privée…

Pour renforcer encore un peu le contrôle de votre smartphone Android, reportez-vous à la catégorie Outil/Android de ce site…

Cette semaine, c’est la stupeur chez les utilisateurs de smartphones Samsung (en tout cas pour ceux qui se sentent concernés par leur vie privée en ligne). Le développeur Paul Kocialkowski, de chez Replicant, un système basé sur Android, alternatif et se voulant entièrement libre, a découvert ce qui est présenté comme une backdoor dans certains terminaux de la marque: Nexus, Nexus S, Galaxy S, S2, Note, ainsi que les tablettes Galaxy Tab 2 de 7 et 10,1 pouces et les Note 2 (détail).

Le problème se situerait au niveau du modem:

« Nous avons trouvé un programme propriétaire tournant sur les applications du processeur en charge du protocole de communication avec le modem. Il s’y trouve une backdoor qui autorise le modem à exécuter des opérations sur le système de fichier. Le programme est présent sur les terminaux Galaxy et il permet au modem de lire, d’écrire et de supprimer des fichiers sur le stockage du téléphone. Sur plusieurs modèles de téléphones, le programme dispose de suffisamment de droits pour accéder et modifier les informations personnelles de l’utilisateur »

Paul Kocialkowski

Autrement dit, ce sont carnets d’adresses, photos, fichiers et mots de passe qui sont concerné, mais aussi l’activation de la caméra ou du micro. Néanmoins, le programme ne se comporterait pas exactement de la même manière selon les appareils et les application installées.

Le débat est ouvert quant aux intentions de Samsung, ou même quant à sa connaissance du problème. Quoi qu’il en soit, nous savons aujourd’hui que l’Internet mobile constitue un élément central des stratégies de ciblage pour la publicité prédictive, mais aussi pour les agences comme la NSA. Volontaire ou non, cette ouverture dans la vie privée des utilisateurs s’avère très inquiétante, d’autant plus qu’elle concerne des terminaux très populaires.

Une fois encore, les technologies privatives prouvent leur incapacité à fonctionner de manière transparente et à assurer la sécurité des utilisateurs. S’il est évidemment possible d’insérer ce genre de fonctionnalité malveillante dans un logiciel libre, nous avons avec eux plus de chances de les repérer et d’y remédier.

La nouvelle n’est donc pas une grande surprise, mais elle a de quoi décourager et pose un certain nombre de questions. Pour Jeremy Zimmermann de la Quadrature du Net, l’un des grands enseignements de l’affaire PRISM est qu’on ne peut plus avoir une confiance aveugle en nos ordinateurs. Le débat sur le logiciel libre, s’il est loin d’être arrivé à son terme, aboutit petit à petit à des avancées. Mais l’urgence imposée par l’ampleur des révélations de cet été nous rappelle toute la complexité qu’entraîne la volonté de contrôler son informatique. Ainsi, les alternatives dans le hardware libre (le matériel), peinent à s’imposer et à rivaliser avec les produits grand public. On pourra jeter un œil ici pour s’en rendre compte.

Cette affaire pose donc pour l’instant plus de questions qu’elle n’apporte de réponses, car l’utilisation de ROM alternatives comme Replicant ou CyanogenMod ne permettraient pas nécessairement de se prémunir de la chose. De plus, il est raisonnable d’envisager que Paul Kocialkowski n’ait peut-être pas été le premier à remarquer la faille. Quel en a été l’usage? Par qui? Vouloir se protéger est-il illusoire? Une fois encore, les utilisateurs sont laissés à l’incertitude, et les nouveaux outils connectés se montrent encore un peu plus comme étant particulièrement sensibles et imprévisibles en matière de sécurité.

Depuis des années, Firefox a sans aucun doute été un acteur majeur de la promotion du logiciel libre auprès du grand public. Ayant été le premier navigateur, il a démocratisé l’idée de logiciel gratuit et pourtant non commercial (en gros), à l’inverse des shareware que l’on pouvait utiliser auparavant, ou plus récemment des navigateurs comme Chrome qui ne sont que des spyware récoltant toutes nos données.

Mais dorénavant, nous devrons nous attendre à l’introduction de publicités dans le navigateur, comme l’a annoncé hier Mozilla.

Libres de communiquer nos données

Cependant, lorsqu’on y regarde de plus près, on se rend compte que si les visées n’étaient jusque là pas commerciales, l’utilisateur n’était pas pour autant protégé des logiques mercantiles. Le poids écrasant de Google dans le financement du projet (plus de 80%), ne s’est évidemment pas négocié sans contreparties. La présence du moteur de recherche par défaut ainsi que de très nombreux autres « petites » intrusions dans notre quotidien font de Firefox un outil pas si bienveillant que cela. De même, on peut être plus ou moins satisfait de trouver Google Analytics, l’outil de statistiques mouchard le plus répandu du web, sur le site permettant de télécharger de nouvelles extensions, alors que des alternatives libres et respectueuses de notre vie privée existent.

Bien qu’utilisant du libre, nous renforçons pourtant l’emprise de Google et remplissons ses bases de données (et son compte en banque), ainsi que celles de la NSA. Et l’ambiguïté de tout cela, c’est que c’est en utilisant des outils censés être respectueux de la vie privée. Mozilla ne manque pourtant pas de s’inscrire dans les mouvements de protestation comme ce fut le cas le 11 février pour la journée anti-NSA.

L’argument du pragmatisme

L’importance de Google en terme de financement pour Firefox pose pour tout le monde un problème d’indépendance du projet. Mais il semblerait que cette indépendance, et surtout la crainte d’une non reconduction du contrat, soit pour les décideurs dans la communauté ce qui prévale sur la nocivité des fonctionnalités intégrées par défaut. Parce que s’il est effectivement possible de tout désactiver, cela nécessite d’avoir la connaissance que problème il y a, mais aussi la capacité de le régler. Sur ce point, on ne peut pas dire que Mozilla fasse énormément de publicité aux nouveaux utilisateurs novices.

Pour les personnes qui voudront continuer à utiliser Firefox: cela sera probablement configurable en tapant about: config dans la barre d’URL, puis en mettant  browser.newtabpage.enabled à false.

Enfin, cet argument du pragmatisme fait irrésistiblement penser au basculement opéré dans ses premières années par Google, lorsque les visées pseudo-humanistes ont laissé peu à peu place au mercantilisme intrusif par l’introduction de publicités ciblées dans les résultats. Comment la fondation Mozilla peut croire qu’elle sera capable de résister à la pression de ce système? Est-ce bien sage de ne se donner comme choix que d’être financé soit par le premier espion de la planète, soit par l’utilisation des méthodes de ce dernier?

Il est d’autant plus décevant que le même verbiage mensonger promettant la mise au centre de l’utilisateur grâce à la consommation soit maintenant employé par Mozilla dans son article. « Être au centre… » Flatter l’égo des utilisateurs dans le seul but de faire passer la pilule les rendant non plus utilisateurs mais produits, est totalement mesquin de la part de personnes qui comprennent tout à fait le fonctionnement commercial du web actuel. Le dicton « si c’est gratuit, c’est que vous êtes le produit » prend une fois encore tout son sens, au détriment de l’esprit du libre.

Contrôle des données, transparence, vie privée

Le logiciel libre fait en général la promesse d’un plus grand contrôle des utilisateurs. Puisque le code est consultable et modifiable, la liberté de l’utilisateur grandit. Mais l’un des schismes qui a touché le mouvement nous a très vite appris que l’éthique n’était pas pour tous une donnée de premier ordre. L’Open Source a donc parallèlement diffusé l’idée de logiciels libres à visées tantôt commerciale, tantôt sans respect de la vie privée, voire les deux à la fois. Si dans le logiciel libre le contrôle est nécessaire, ce n’est pas que pour laisser le choix, mais aussi parce que les programmes trop curieux et les blocages au nom de la propriété intellectuelle proposés par défaut sont un problème. Le mouvement porte donc dans ses fondements l’idée de vie privée, et de liberté de partage.

Les publicités prétendument discrètes qui seront proposées par Firefox dans les « tuiles » visibles au démarrage trahissent totalement cet état d’esprit, et Mozilla adopte ainsi la rhétorique des Google et compagnie, promettant discression et personnalisation. Parce que si la publicité est vécue par beaucoup comme étant envahissante, on sait bien que le ciblage et une bonne dose d’intégration au contenu, de contextualisation, font augmenter les chiffres d’affaire. Elles sont de ce fait moins identifiées comme étant hétérogènes au contenu premièrement sélectionné par l’internaute.

Cette stratégie est loin d’être nouvelle, Google l’a adoptée depuis longtemps et c’est le visage de l’utilisateur-produit qui s’est aujourd’hui imposé sur internet.
Malheureusement, Mozilla avoue aujourd’hui vouloir en faire partie. Nous devons en faire le deuil.

La Quadrature du net a publié ce mardi 11 février une vidéo financée par les internautes et ayant pour ambition de sensibiliser le grand public à la question de la surveillance de masse.

Depuis cet été, cette surveillance remplit quotidiennement les colonnes des journaux (et sites web). Plus de 6 mois après les révélations de l’ancien employé de la NSA Edward Snowden sur les agissements de son employeur, les affaires s’empilent et donnent le vertige.

De très nombreux programmes pensés par l’agence ont aujourd’hui été découverts, et il semblerait qu’il faille envisager la possibilité que toute communication puisse être captée par les renseignements américains.
La collaboration plus ou moins active de nombreux pays européens discréditent largement les larmoiements de certains grand-e-s dirigeant-e-s de l’Union, et laissent les internautes de base bien démuni-e-s devant leur clavier.

Autre enseignement qui ressort de cette affaire: c’est aussi grâce à la collecte de données massive opérée par les géants américains de l’informatique (Google, Facebook, Apple, Microsoft…), et les bases de données centralisées qu’ils ont constituées, que la NSA n’a eu qu’à se baisser pour se servir et mettre à jour ses fichiers. Nos banales pratiques quotidiennes ont donc à leur échelle également favorisé cette surveillance.

C’est dans cette optique que la Quadrature du net (et d’autres bien sûr!) mettent l’accent sur trois éléments fondamentaux permettant d’assainir nos usages numériques:

• L’utilisation de services décentralisés (comme le p2p)
• La chiffrement de point à point (ex GPG pour les mails, OTR pour le chat…)
• L’utilisation de logiciels libres (dont on peut comprendre le fonctionnement et vérifier les failles de façon collaborative et indépendante)

Cliquez sur l’image pour accéder à la vidéo
Licence: CC-BY-SA

Une partie de la solution est entre nos mains, donc au boulot! 😉

Au cas où certains n’auraient pas encore eu l’occasion de le visionner sur Arte, voici l’excellent documentaire Une contre histoire de l’Internet. Sylvain Bergère et Jean-Marc Manach y proposent proposent un tour d’horizon de l’internet d’en bas, celui que nous participons tous à façonner. Ici, point de baratinage sur la mystique de Steve Jobs ou l’universalisme des patrons de Google. On parle pionniers du net, logiciel libre, hackers etc.

L’Histoire et les grands enjeux du réseau sont exposés intelligemment et avec un discours clairement militant: il faut préserver l’internet libre tel qu’il était à ses débuts. Comprendre cette nécessité passe donc par un exposé critique des discours matraqués et trop convenus au sujet su réseau mondial: la menace « pédo-nazi », la place de la propriété intellectuelle, le contrôle et la censure du réseau…

Ce documentaire est donc un excellent outil de « remise à niveau » pour tous ceux qui auraient suivi d’une oreille distraite (voire bouchée), les grands débats sur la liberté du réseau.

À consommer sans modération!

Note: voir aussi le site participatif associé lancé par Arte: http://lesinternets.arte.tv/

(Mise à jour: il semblerait que la version gratuite du VPN Arethusa utilisé pour la démonstration ne soit plus disponible…)
Pour préserver sa vie privée en ligne, le VPN est dans bien des cas un allié. Son rôle est de chiffrer votre trafic, ainsi, le fournisseur d’accès à Internet et les potentiels curieux ne pourront pas savoir quelles sont vos activités (et ça emmerde bien le monde donc c’est plutôt une bonne chose! 😉 ) L’image du tunnel est souvent utilisée pour illustrer ce phénomène. Toutes les données sortantes sont alors prises en charge.

Une fois activé, les sites visités ne connaîtront que l’adresse IP du serveur VPN, et non pas la vôtre. Cela masque votre localisation, mais facilite également l’accès à des sites qui seraient censurés dans votre pays.
Petit troll en prime, si vous êtes chez Free mobile, cela vous permettra certainement aussi d’avoir un débit acceptable au cas où vous traîneriez du côté de Youtube ou Dailymotion! (#NetNeutrality)

[cc_half_col_left background_color= »#515151″ radius= »60″ shadow_color= »888888″] OpenVPN est comme son nom l’indique, libre. Il est réputé plus sécurisé que le protocole PPTP (Point to Point) qui comporterait des failles permettant de révéler votre véritable adresse IP. [/cc_half_col_left] Avant de se lancer, plusieurs pré-requis sont nécessaires:
– Avoir un téléphone rooté.
– Avoir une distribution Android qui supporte OpenVPN (CyanogenMod par exemple). Si vous n’êtes pas dans ce cas, jetez un œil du côté de OpenVPN installer.

Une fois ces questions réglées, vous installerez OpenVPN Settings (on le trouve sur le Play Store mais aussi sur FDroid).
Créez un dossier openvpn à la racine de votre carte SD sur le téléphone, et mettez-y le fichier de configuration et la clé de chiffrement du VPN que vous aurez choisi.
Pour l’exemple, nous prendrons le VPN gratuit Arethusa (attention, il n’est pas libre donc il n’y a aucun moyen de s’assurer de son sérieux et du niveau de sécurité qu’il offre).
Pour ce VPN, les fichiers se trouvent sur cette page. Mettez-les dans le dossier openvpn que vous venez de créer.

Ouvrez ensuite OpenVPN Settings, et si tout va bien, Arethusa sera maintenant disponible (voir image ci-contre).
Il n’y a plus qu’à activer OpenVPN (première case), puis arethusa-free.ovpn.

Vérifiez tout de même que tout est en ordre en vous rendant sur un site quelconque permettant d’afficher votre IP et votre localisation. ex: http://www.mon-ip.com/

Avertissement: Changer d’IP c’est comme mettre une cagoule. Si on reconnaît vos fringues, ça ne sert pas à grand chose! 😉
N’oubliez pas que Google et consorts ont une mémoire d’éléphant et que de nombreux éléments peuvent permettre un recoupement des informations préalablement récoltées (compte Google, cookies, numéros uniques d’identification des applications etc.). Ne vous croyez donc pas à l’abri de tout…

Autre chose: gardez à l’esprit que tout ce qui passe par le VPN et qui n’est pas chiffré peut être vu par les personnes qui l’administrent. Cela nécessite donc une certaine confiance et pose la question de la conservation des données. En France par exemple, il est obligatoire de conserver les logs pendant 1 an… Privilégiez donc des pays plus respectueux du droit à l’anonymat, et des VPN sans logs.

Voilà, il ne reste plus qu’à choisir le vôtre!

Gros cas de conscience quand on arrive sous Android et qu’on est Googlophobe: reste t-on en autarcie avec les seules applications natives, ou crée t-on un compte Google avec l’adresse Gmail qui va avec, la récolte des données de votre téléphone, et l’un des derniers bastions de votre intimité livré au géant du profilage commercial? En attendant une éventuelle alternative crédible du côté d’Ubuntu Phone, ne baissons pas les bras, FDroid est là!

FDroid, c’est un dépôt et une application qui propose tout un tas de logiciels libres pour Android. Cela peut donc remplacer (ou compléter, c’est selon), le Google Play Store. Ce dépôt présente de nombreux avantages par rapport à celui de la firme de Mountain View.

C’est d’la bonne!

Premièrement, FDroid ne propose que des applications libres. Et alors? Une application sous licence libre, c’est faire le choix de l’éthique et de la sécurité. Un choix éthique parce que les applis sont bien souvent développées en collaboration, et qu’elles participent à l’enrichissement du bien commun numérique face au tout propriétaire et au dogme du brevet. La question de la sécurité vient rapidement car la philosophie du libre pousse bien souvent les développeurs et les utilisateurs à refuser les logiques de récolte des données personnelles et de profilage. FDroid vous proposera donc pour les applications ne respectant pas ces principes, d’assurer un filtrage au préalable:

• Filtrages pour les applications qui contiennent des publicités,
• qui épient et rapportent votre activité,
• qui promeuvent des extensions privatives (non libres),
• qui promeuvent des réseaux privateurs,
• qui dépendent d’autres applications non libres.

Enfin, l’ouverture du code source, le développement et l’utilisation dans un esprit collaboratif sont également de plus grandes garanties d’une inspection et d’une réparation rapide des éventuelles failles de sécurité. Que des choses à y gagner donc!

J’ai pas mon CAP astronaute… Je peux l’installer?

Il n’y a vraiment rien de particulièrement difficile à installer tout ça. Tout d’abord, rendez-vous sur http://f-droid.org/. Vous cliquez sur ssl download et l’appli se télécharge. Android vous demandera si vous souhaitez autoriser l’installation d’applications issues de sources inconnues. Acceptez. Si ce n’est pas le cas, allez dans « Paramètres » / « Sécurité » et cochez la case.
Ayé c’est fini. Trop forts les gars! (et les filles) 😉

Il n’y aura plus qu’à lancer l’application FDroid et picorer dans la liste. Vous constaterez également que pour chaque application, la licence sera précisée (ce qui est loin d’être le cas sur le Play Store!).

Petite astuce supplémentaire: il est possible d’étoffer un peu la liste en ajoutant le dépôt orienté sécurité et vie privée de Guardian Project. Pour cela, rendez-vous dans « Gestion des dépôts » / « Nouveau dépôt », et ajoutez https://guardianproject.info/repo/.
Vous y trouverez notamment Orbot, l’équivalent de Tor pour Android!

Quand on est habitué à Linux sur l’ordinateur et qu’on passe au smartphone, ça fait un peu mal… Plus de bidouillage, des applications propriétaires installées par défaut sans qu’on puisse y toucher, des données personnelles envoyées dans tous les sens etc. Blurp! Heureusement, point de fatalité, CyanogenMod permet de reprendre un peu le contrôle de son appareil!

CyanogenMod est un système d’exploitation (en fait on dit « ROM » pour Read Only Memory), libre et conçu pour les smartphones et tablettes. Il est basé sur Android. Très populaire chez les utilisateurs de smartphones, cette ROM permet un plus grand paramétrage de l’interface et propose de nombreuses fonctionnalités comme le réglage plus fin au niveau du processeur. Autre grand avantage pour beaucoup, elle est installable sur de nombreux appareils, même sur ceux pour lesquels les dernières versions d’Android n’auront pas été prévues.

Les libristes seront donc également satisfaits de constater que nativement, CyanogenMod ne contient que des logiciels libres (mis à part les drivers). Pas d’applis Google non plus donc! Pour celles et ceux qui souhaiteront tout de même les ajouter (notamment pour le Play Store), vous les trouverez dans un fichier séparé à installer.

Les puristes (ce n’est pas une maladie hein! 😉 ) pourront eux compenser Google Play Store par le dépôt d’applis libres Fdroid (pensez à autoriser les sources inconnues dans Paramètre / Sécurité) et pourquoi pas le compléter des quelques applications orientées sécurité / vie privée de The Guardian Project (il faut pour cela ajouter le dépôt https://guardianproject.info/repo/ dans Fdroid). On y trouve notamment Orbot et Orweb, permettant de se connecter au réseau Tor grâce à son smartphone.

Pour télécharger CyanogenMod, rendez-vous sur le site officiel.
Actuellement la dernière version stable est la 9 (correspond à IceCream Sandwich), mais les 10 et 10.1 (qui permettent donc d’obtenir Jelly Bean), sont tout à fait utilisables bien qu’elles soient en nightly build (en cours de développement avec mise à jour quotidienne).

Pour ceux qui ne connaissent pas la manœuvre pour l’installation, la vidéo de Korben sur le sujet vous en donnera les clés pour CM10 sur le Galaxy S3.

Ça y est, voici 10 ans que les licences Creative Commons ont été créées, et qu’elles popularisent auprès du grand public la philosophie du libre. Simples d’utilisation et compréhensibles par tous, elles proposent une alternative à un droit d’auteur restrictif entravant les possibilités de partage de la culture et des connaissances…

Pour rappel, 4 attributs permettent de personnaliser la licence de ses créations selon ses besoins (note: les attributs NC et ND sont généralement considérés comme non libres):

• BY: Attribution : Obligation de citer le nom de l’auteur du travail original
• NC: Non Commercial : Pas d’utilisation dans un cadre commercial
• ND: No derivative works : Pas de modification de l’œuvre possible
• SA: Share alike : Obligation de repartager l’œuvre sous une licence identique

Parmi les célèbres initiatives ayant porté ce type de licences, on pourra citer l’encyclopédie libre Wikipédia. Le contenu textuel de Révolte Numérique est lui même sous licence CC-By-Sa (sauf mention contraire).

Source: Owni

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

La vidéo qui suit est une conférence de Benjamin Bayart, président du plus vieux fournisseur d’accès à Internet français: FDN (French Data Network). Si vous ne le connaissez pas, ne vous attendez pas à tomber sur un Xavier Niel. Outre la profession et une passion commune pour le minitel¹ 😉 , point de comparaison possible! On retrouve donc ici du Bayart pur jus, zélateur extrémiste, au point de foutre en l’air tout le système des ayants droits des industries « culturelles » et de la télécommunication.

Principe de propriété, brevets, Hadopi, neutralité du net et nouveaux enjeux de la téléphonie mobile; vous trouverez une approche assez large des problématiques qui se posent aujourd’hui, s’articulant autour d’un exercice de proposition de mesures permettant de sortir par le haut, autrement qu’en vampirisant les artistes et en fliquant les 3/4 de la population connectée.

¹: Xavier Niel a commencé sa carrière dans le minitel rose, et Benjamin Bayart dénonce lui la minitelisation d’un Internet qui se centralise et perd son potentiel collaboratif.

Début juin, le CoHacking Space Pas sage en Seine a mis à l’honneur de nombreux sujets intéressants relatifs à la sécurité, la vie privée, la surveillance sur le net etc. Comme la teneur reste assez accessible et participe à la vulgarisation et au partage des connaissances sur des thématiques extrêmement importantes, j’ai trouvé utile d’en relayer quelques unes. Vous trouverez en ligne des archives des conférences depuis 2010 sur le site de la Cantine).

Cette première vidéo est une conférence de Skhaen, l’un des protagonistes du mouvement hacktiviste Telecomix. Elle traite de la cryptographie et de la sécurité dans les communications, de leurs principes de fonctionnement, mais aussi des applications disponibles pour se protéger de la surveillance, notamment sous Android. Si vous ne comprenez rien à tout ça et/ou que vous souhaitez en connaître davantage sur les outils sécurisés disponibles, installez-vous dans le canap’!

En tournée en Tunisie, Richard Stallman, l’une des grandes figures historiques du mouvement du logiciel libre, s’est dit qu’un petit passage par les locaux de Bull s’imposait. Pour rappel, Bull est l’entreprise française qui s’est illustrée par le biais de sa filliale Amesys, dans l’affaire de la vente à Kadhafi d’armes numériques pour la surveillance massive des communications à l’échelle d’un pays.

Accompagné de militant-e-s, il revêt ses habits de St-Ignucius afin d’exorciser les locaux de Bull, truffés de logiciels privateurs et de machines servant à la surveillance des Tunisien-ne-s. #QuartDheureRigolade !

(Sous-titres français disponibles)

Certains en ont peut-être déjà entendu parler, mais la PirateBox est le genre de projets que l’on croise habituellement dans les milieux hackers (non, pas les cyclopes mangeurs d’enfants… pas ceux-là). Grâce à ce type d’outil, il devient possible de créer de mini réseaux entre ordinateurs, et donc d’échanger de l’information entre pairs et en tout anonymat.

C’est David Darts, un professeur à la Steinhardt School de New York qui semble avoir développé le concept. Concrètement, il s’agit d’un petit routeur sur lequel les ordinateurs (portables, smartphones, tablettes…), vont pouvoir se connecter en wifi. Cela étant fait, les utilisateurs auront la possibilité de déposer ou télécharger toutes sortes de fichiers, lesquels seront stockés sur la clé USB branchée au routeur.

Vous pouvez lâcher les soirées troc de fringues, place aux soirées geeks!

Vers de nouveaux réseaux libres?

Légitimement, on pourra se demander à quoi peut bien servir un tel machin alors qu’existe une chose comme internet. Et bien ce type de projet arrive comme un appel d’air à l’heure ou internet subit les violentes attaques des industries du divertissement, notamment avec ACTA. Les États aussi ne cessent de renforcer la surveillance et la censure en imposant des lois comme le Patriot Act, lequel permet au gouvernement américain de saisir n’importe quelle information qui passe par un prestataire du net, ou comme en France avec la loi de sécurité quotidienne (LSQ), qui oblige les FAI (Fournisseurs d’Accès à Internet) à conserver les données de tous les utilisateurs sur une période d’un an, pour les remettre aux forces de l’ordre en cas de demande (cela a été par la suite élargi aux réseaux sociaux, hébergeurs mails…).

Le net et son projet de liberté sont aujourd’hui de plus en plus dénaturés par la volonté des grandes entreprises du numérique de toujours tracker davantage les utilisateurs, de les géolocaliser, d’en faire un profil, de prévoir leurs comportements, de leur proposer des publicités ciblées pour les pousser à la consommation etc.

Pour les Google, Apple, Facebook, Twitter, et autres géants de la toile, c’est par la concentration des données qu’il est possible de tout connaître des utilisateurs, et non pas par l’échange décentralisé entre pairs (Peer to Peer), ni l’échange local, ou encore l’auto-hébergement. Mangez Google le matin, le midi et le soir qu’ils disent!

L’esprit de partage

L’intérêt de la PirateBox est donc de pouvoir recréer des espace de liberté et d’autonomie, en dehors du contrôle des États et des grandes entreprises du net. Utiliser une PirateBox, c’est reprendre le droit d’échanger, de communiquer, sans nécessairement laisser des traces, sans apparaître dans quelques bases de données hors de notre contrôle, ou encore sans craindre que la loi Hadopi nous tombe sur le dos pour des raisons plus ou moins fondées et légitimes.

En tant qu’outil de « pirates », c’est aussi l’esprit du libre qui est mis en avant, celui du copyleft, du bien commun. C’est ce que promeut Jean Debaecker, un professeur de l’université de Lille 3 dans le nord de la France, et qui lance dans la métropole « la première PirateBox lilloise, […] pour partager librement des données libres », et propose sur son site un tutoriel en français pour permettre à chancunE de monter la sienne.
Il est aujourd’hui possible de se procurer ce micro-routeur TP-LINK TL-MR3020 pour une somme de 30 à 40 €.

On ne peut qu’espérer que le projet fera contagion dans les autres villes de France, et qu’à l’image des radios pirates il y a quelques décennies, la culture et le partage puissent enfin reprendre leurs droits.

PBox : 1e PirateBox de Lille from Jean Debaecker

Liens utiles:

Le wiki de David Darts
Le site de la PirateBox lilloise
Sur les traces de la PirateBox (Owni)
Surfez sans entraves (Le Monde)

Vous avez peut-être entendu prononcer ce terme au cours des débats actuels sur SOPA et PIPA, ACTA ou encore les différents cas de censure sur le réseau. S’il s’agit à la base d’un enjeu qui peut paraître réservé au milieu des techniciens, la neutralité du net pose la question de la liberté d’expression et de l’organisation démocratique.

Ce principe est aujourd’hui attaqué de toutes parts, notamment par les industriels qui souhaitent étendre leur pouvoir à la censure de contenus copyrightés, par les fournisseurs d’accès à Internet qui sont de plus en plus tentés de discriminer les flux en favorisant l’accès à tel ou tel service selon leurs intérêts commerciaux, ou alors de carrément fragmenter les offres en proposant un accès à la carte comme pour les offres de TV par satellite.

Derrière tout ça, c’est notre accès à l’information et notre capacité à publier, partager et être diffusés de façon équitable qui est menacée, soit notre liberté d’expression. La force du net, et le pouvoir qu’il nous procure réside essentiellement dans la capacité pour chacun de publier, et d’avoir la même chance de se faire entendre que les gros médias traditionnels. Ne les laissons pas nous reprendre ce droit!

En html5: http://www.youtube.com/watch?v=xOkRbJrFu_M&&html5=1

Certain-e-s l’auront peut-être remarqué, une rubrique « pour aller plus loin » apparaît dans la colonne de droite de ce blog. L’idée est de partager les informations qui me paraissent intéressantes dans le cadre du sujet que je traite ici, mais pour lesquelles je n’ai malheureusement pas le temps d’écrire un article spécifique.

Depuis quelques mois, je me suis créé un profil sur identi.ca, un service de microblogging libre qui se présente comme une alternative à Twitter. Le fil d’actualité de mon blog sera désormais issu de ce profil et alimenté de façon plus régulière. Pour les personnes qui y jetaient un œil, va falloir être plus vifs! 😉

Pourquoi identi.ca?

La problématique des réseaux sociaux est ici surtout abordée par le biais de Facebook. Avec 800 millions de comptes à travers le monde et des pratiques désastreuses concernant la gestion des informations personnelles (tout contenu peut être réutilisé par l’entreprise à sa guise, les informations ne sont pas supprimées même après fermeture du compte, bouton espion etc…), la cible est trop belle!

Mais il ne faut pas penser pour autant que Facebook soit une exception, c’est plutôt le modèle. Google +, Twitter et la plupart des autres services gratuits en ligne proposant aux internautes de donner des informations sur leurs habitudes (Netvibes par exemple), fonctionnent à peu près de la même manière.

Sur identi.ca, les informations privées ne sont de plus pas vendues à des régies publicitaires, et elles ne sont pas récoltées pour forger un profil et proposer de la publicité ciblée.

Social, et libre!

Identi.ca est donc une alternative dans le sens où il est basé sur le logiciel libre StatusNet (licence AGPL). Cela signifie que son mode de fonctionnement peut être étudié, on sait comment il se comporte, comment il traite les données. C’est assurément un plus lorsque l’on confie des informations et des productions personnelles.

Tout contenu publié sur identi.ca est en licence libre 3.0. Cela signifie que vous en gardez la paternité, mais qu’il devient partageable par tous (dans la mesure où l’information est publiée publiquement). Cela signifie donc que vous pouvez vous même reprendre légalement du contenu trouvé sur le profil de quelqu’un d’autre si vous le trouvez intéressant.

La panacée?

Identi.ca pourrait presque être parfait s’il n’était pas centralisé (et ouais faut quand même critiquer un peu hein!). En ce qui concerne un stockage des données garantissant le plus grand respect de la vie privée, il est toujours préférable d’avoir des systèmes décentralisés, comme c’est le cas pour le p2p par exemple.
C’est de plus, plus proche de l’esprit du net qui est basé sur le partage et l’égalité entre les machines (chaque ordinateur peut être client et serveur).

En théorie, il est possible d’avoir un profil en installant StatusNet sur son propre serveur (identi.ca est une façon d’accéder au réseau StatusNet), mais cela comporte malheureusement pas mal de difficultés au point de ne pas pouvoir se présenter comme une alternative décentralisée accessible au grand public pour l’instant.

Enfin, mais c’est là que certain-e-s d’entre vous entrent en jeu, identi.ca est certes relativement bien fréquenté (à ne pas comparer avec Twitter tout de même!), mais essentiellement encore par des « libristes » et des geeks. Même s’il permet de ce fait de trouver très facilement des personnes intéressantes dans ces milieux, on ne peut pas réellement parler de réseau populaire comme peut l’être Twitter. Mais sauter le pas n’est qu’une histoire de clics!
Pour les accros à Twitter, la transition peut se faire en douceur car identi.ca permet la publication simultanée sur les deux réseaux.

Mon compte identi.ca: https://identi.ca/revoltenumerique

Vous pouvez également récupérer le flux dans votre propre lecteur:

• RSS 1.0

• RSS 2.0

• Atom

Je m’en faisais l’écho la semaine dernière, une équipe de chercheurs menée par Éric Filiol prétendait avoir réussi à prendre le contrôle du réseau d’anonymisation Tor, cassant à la fois le chiffrage et l’anonymisation.

Quelques jours plus tard, nous n’avons pas plus d’informations précises, mais pris un peu plus de recul sur la manière dont les choses ont été annoncées, et les motivations possibles des acteurs…

C’est par une conférence de presse que Éric Filiol a donné les résultats des expériences menées par son équipe et lui-même. Leur conclusion est sans appel: ils sont capables de casser la protection proposée par le célèbre réseau.

Rien ne filtre, une stratégie médiatique?

Le souci est que nous disposons d’assez peu d’informations précises.
Quelques unes ont été fournies, mais on reste dans l’ordre du possible, ce qui laisse un sentiment très désagréable pour les utilisateurs de Tor. Comment juger les annonces de Filiol autrement qu’en appliquant un principe de précaution, et donc en considérant que le réseau n’est pour le moment plus fiable?

Le gros problème dans cette affaire en dehors du fait que des failles aient potentiellement été découvertes – ainsi va le processus de sécurisation des systèmes – c’est le contraste entre la faiblesse des informations données sur les failles, et la grandiloquence des déclarations de Filiol et son équipe.

D’autant plus que les membres de la Fondation Tor sont totalement laissés dans le doute, et sont eux aussi réduit à l’émission d’hypothèses étant donné que le chercheur refuse de leur donner plus d’information avant la « tant attendue » conférence « Hackers to Hackers » des 29 et 30 octobre à São Paulo au Brésil.

Cette attitude un peu puérile pourrait passer si on parlait de la sécurisation de la dernière version du démineur de Windows 7. Mais ici, c’est tout de même potentiellement avec la vie de personnes qui s’appuient sur Tor pour communiquer dans des contextes répressifs que joue Filiol en refusant de communiquer les informations qui permettraient à la Fondation Tor de corriger le logiciel et ainsi, aux personnes qui l’utilisent de retrouver une certaine « sécurité ».
Dans ce contexte, l’annonce en grandes pompes de la conférence de la fin du mois laisse un arrière goût d’opération publicitaire morbide.

Par ailleurs, bien que compétent dans son domaine, le chercheur a déjà été surpris à s’emporter quelque peu dans ses annonces médiatiques pas toujours bien étayées, comme ce fut le cas en 2003 lorsqu’il avait prétendu casser le chiffrement AES. Le code qui accompagnait sa déclaration ne permettait en réalité rien de tel.

Autre information à prendre en compte, Filiol fait partie des personnes qui considèrent que la cryptographie est dans certains cas non souhaitable, car l’État peut selon lui avoir des raisons légitimes de prendre connaissance des informations. Ce qui revient à dire que l’État devrait toujours avoir la possibilité d’accéder aux données échangées sur son sol.
Ce raisonnement est bien connu et part d’un a priori pour le moins contestable : nous vivrions dans des pays où les États n’abusent pas de leur pouvoir et respectent la vie privée des personnes. Bienvenue chez les bisounours ! Pas sûr qu’il dorme avec un t-shirt de la Fondation Tor le soir.

Lâcher Tor?

Cette question est centrale et montre bien à quel point l’attitude de Filiol et son équipe est dommageable. Il n’y a pour l’instant rien d’autre qu’une annonce, un court résumé et des vidéos, pas même d’expérimentation de la méthode en dehors du laboratoire.
À chacun-e de voir si ça doit l’amener à prendre la décision de lâcher Tor maintenant. En cas de faille avérée (ce qui est envisageable pour le moment mais invérifiable), il parait évident – à moins de tomber dans la théorie du complot – que la Fondation Tor tentera de la résoudre.

Cette affaire a néanmoins le mérite de rappeler que la course à la sécurité sur le net n’est jamais une affaire gagnée. Le chiffrement est certes une réponse crédible aux systèmes de surveillance, mais cela implique d’une part que l’on fasse confiance à des équipes de développement que l’on ne connaît pas directement (et au fait que le code du logiciel soit libre), et d’autre part, que l’on se pose la question du devenir des algorithmes d’aujourd’hui: probablement déchiffrés en partie, ou en totalité pour certains !

Gardons cette idée en tête lorsque nous pensons naviguer en toute sécurité : aucun système n’est infaillible et encore moins éternel.

Le réseau Tor (The Onion Router) est un dispositif proposant l’une des solutions les plus crédibles en ce qui concerne l’anonymisation de la navigation sur le web (voir article). Il est utilisé par des journalistes, militants et des dissidents du monde entier, notamment dans les pays où il est indispensable de contourner les systèmes de censure étatiques pour communiquer.

Mais cette semaine, Éric Filiol (directeur du laboratoire de recherche en cryptologie et virologie de l’ESIEA) et son équipe, ont semble t-il réussi à prendre le contrôle du réseau.

La nouvelle est extrêmement grave. C’est lors d’une conférence tenue la semaine dernière que Éric Filiol a montré comment, lui et son équipe, ont mis le réseau à nu. Ils ont pour cela, développé une attaque qu’ils ont menée en plusieurs temps:

L’inventaire des nœuds du réseau

• Ceux-ci sont publiques et présents dans le code source: il y a en tout 9 039 adresses IP soit 5 827 nœuds (car certains utilisent des adresses IP dynamiques (qui changent)).
• Ils ont découvert des nœuds cachés qui permettent aux personnes vivant dans des dictatures de passer par ces relais non censurés par les autorités. Lorsqu’une personne souhaite utiliser ce service, une adresse de nœud secret lui est fournie.
• En utilisant un algorithme de scripts, ils ont automatisé la demande de passer par un nœud secret et ont ainsi pu en dénombrer 181.

L’infection et la prise de contrôle du réseau

• Après un audit de sécurité sur l’ensemble du réseau, il ressort que 41,4 % des machines tournent sous Windows, et qu’environ 30 % de la totalité des nœuds sont vulnérables
• Cela permet de contrôler une partie des relais et d’en attaquer  le chiffrement des données (2 couches sur 3).
• Avec des analyses statistiques, la dernière couche de chiffrement est cassée.
• En saturant une partie du réseau, il est alors possible de réduire le nombre de nœuds disponibles pour favoriser un passage par ceux qui sont sous contrôle, et analyser les données transférées.

Conclusions

Grosso modo, il faut malheureusement considérer que Tor n’est actuellement plus fiable, et il faut espérer que les rectificatifs nécessaires seront rapidement effectués.
Autre fait inquiétant: les propos tenus par Éric Filiol sont extrêmement durs et semblent accuser la fondation Tor:

« La cryptographie implantée dans TOR est mauvaise…On a réduit considérablement le degré de deux des trois couches de chiffrement. »

« On ne peut pas imaginer que la fondation derrière TOR ne soit pas consciente de ses failles »

Reste à attendre patiemment les premières réactions de la fondation Tor, mais aussi la conférence « Hackers to Hackers » des 29 et 30 octobre à São Paulo au Brésil pour une présentation officielle de cette prouesse des chercheurs.