Fuité par le Figaro, le projet de loi relatif au renseignement a été présenté par Manuel Valls jeudi 18 mars au conseil des ministres. Il doit être voté en procédure accélérée (ça devient une habitude). Élargissant considérablement les capacités de surveillance et d’interception des communications sans passer par une autorité judiciaire, cette loi se voit déjà attribuer le surnom de Patriot Act à la française.

D’après Geneviève Garrigos, présidente d’Amnesty International France: « Par ce projet de loi, la France autorise la surveillance de masse pour la prévention du terrorisme sans contrôle judiciaire ni recours effectif pour les victimes de surveillance ».

Depuis de nombreuses années mais plus encore après les attentats de Paris début février, le discours sécuritaire est omniprésent dans les prises de paroles politiques. Ceux qui considéraient que le rythme était trop élevé sous Sarkozy en ont pour leur compte: la même semaine où la censure de sites présumés terroristes sans intervention d’un juge apparaît en France, le gouvernement tente de passer en vitesse une loi qui légalise les pratiques  obscures des renseignements. C’est l’un des aspects surprenants de la communication officielle: justifier en bloc des pratiques illégales. Les à côté en matière de surveillance pourront maintenant se légitimité par les textes. « Bonne » nouvelle!

Prévenir et prédire les comportements jugés suspects avec le Big Data

Les férus de science-fiction vont encore atteindre le point Orwel ou le point K. Dick. Selon les analyses, il serait question de poser des « boîtes noires » chez les fournisseurs d’accès afin de« détecter automatiquement une succession suspecte de données de connexion ». Des algorythmes devraient donc se charger de faire le tri afin de repérer des schémas ou des empruntes censées correspondre avec l’idée que les renseignement se font d’une communication déviante. Selon quels critères? Mystère.
Le premier ministre pourra demander la levée de « l’anonymat » en cas de suspicion d’une préparation d’un acte de terrorisme.

La première interrogation qui vient en tête concerne alors la taille de la botte de foin. Pour pouvoir dénicher l’aiguille, il faut bien retourner la paille, y jeter un œil… Rien qu’un petit peu. Doit-on donc s’attendre à une surveillance généralisée du trafic? Ou alors y a-t-il une technique miraculeuse permettant de ne surveiller directement que les méchants?

Irrémédiablement, on pense alors à l’utilisation du Deep Packet Inspection, c’est à dire à l’analyse des contenus des communications. Si le gouvernement s’en défend et évoque la seule observation des métadonnées (qui parle avec qui? À quelle heure? Combien de temps? etc.), le passif du gouvernement français vis à vis de cette technologie parfois comparée au nucléaire pour sa grande dangerosité pose question.

Souvenez-vous: 2011, Kadhafi est renversé et on trouve de jolies machines françaises estampillés Amesys. Utilisées pour observer la totalité de la population Libyenne, nous apprenions pour de vrai ce que signifie être leaders dans le domaine de la surveillance, et à quel point la France était compétente en la matière. L’affaire éclaboussa jusqu’au plus hauts lieux du pouvoir français mais aujourd’hui, silence. L’utilisation dans les dictatures aurait-elle servi de phase beta pour une introduction sur notre sol?
Nous ne pouvons tirer des conclusions hâtives mais la chose n’est plus impossible.

Si la méthode reste obscure, c’est aussi le cas pour les raisons qui pourront justifier une surveillance. Jugez par vous-même:

1. L’indépendance nationale, l’intégrité du territoire et la défense nationale
2. Les intérêts majeurs de la politique étrangère, l’exécution des engagements internationaux, la prévention de toute forme d’ingérence étrangère
3. Les intérêts économiques ou scientifiques majeurs
4. La prévention du terrorisme, des atteintes à la forme républicaine et à la stabilité des institutions, de la reconstitution ou du maintien de groupement dissous
5. La prévention de la criminalité et de la délinquance organisées
6. La prévention de la prolifération des armes de destruction massive
7. La prévention des violences collectives de nature à porter gravement atteinte à la paix publique

C’est déjà pas mal…
Qu’on se le dire, les comportements « suspects » seront bien encadrés.

Pour le plat de résistance

Le projet est un véritable chef d’œuvre de la fuite en avant sécuritaire:

• Surveillance des communications internationales et incitation à une collaboration étroite avec les acteurs des nouvelles technologies (Google, Facebook, Skype etc.) dans le cas de suspicion de la préparation d’un acte terroriste.
• Possibilité dans les mêmes cas d’intercepter en temps réel des informations sans passer par l’intermédiaire des fournisseurs d’accès (on se branche directement aux petits tuyaux des Internets).
• Introduction du secret de la défense nationale pour les entreprises devant collaborer en vue d’une surveillance.
• Conservation des enregistrements de 10 à 30 jours minimum et pouvant aller jusqu’à 5 ans.
• Dans le cas d’interceptions de données chiffrées, c’est le moment où elles deviennent lisibles qui marque le décompte
• Possibilité d’installer des mouchards dans l’habitat privé, dans le véhicule ou l’ordinateur (keyloggers), de localiser des individus et d’enregistrer tous types de conversations ou images à cette occasion (privées, confidentielles etc.)
• Utilisation d’IMSI catchers pour récolter des informations sur les téléphones portables situés dans une zone donnée
  

Alors que les précédentes loi anti-terroristes n’ont toujours pas été complètement appliquées, Médiapart évoque déjà une volonté gouvernementale de s’attaquer au chiffrement des communication, dernière garantie d’une vie privée préservée. Il s’agirait d’exiger des acteurs du net que soient remises les clés de chiffrement.

Un projet qui provoque déjà de nombreuses oppositions

Si l’unité nationale semble animer les « représentants » du peuple, ça n’est heureusement pas le cas de nombreuses associations, personnalités et commissions:

« Il ne s’agit plus seulement d’accéder aux données utiles concernant une personne identifiée, mais de permettre de collecter de manière indifférenciée, un volume important de données qui peuvent être relatives à des personnes tout à fait étrangères à la mission de renseignement. »

La CNIL (Commission nationale Informatique et Libertés)

« Il ne suffit pas de répéter qu’il ne s’agit pas d’un Patriot Act à la française. Pour s’en assurer, il faut inclure de manière contraignante le principe selon lequel la surveillance de masse, généralisée et indifférenciée, est étrangère à l’Etat de droit ».

Godefroy Beauvallet, vice-président du CNNum (Conseil National du Numérique)

« Alors que la loi sur le renseignement était annoncée comme une grande loi permettant de protéger les droits fondamentaux, l’instrumentalisation sécuritaire des événements meurtriers de janvier risque d’aboutir à une incroyable dérive du gouvernement en matière de surveillance des citoyens. »

La Quadrature Du Net

[Ces nouveaux moyens sont] «tellement intrusifs qu’ils ne devraient pas être utilisés hors cadre judiciaire. Il est répété qu’il s’agit d’un encadrement, alors que le texte revient à entériner des pratiques des services au lieu de fixer des limites».

Laurence Blisson, Syndicat de la Magistrature

[La surveilance est] «beaucoup trop généralisée sur l’ensemble des individus : on ne peut pas surveiller l’ensemble d’une population sur un lieu donné. Cela pose de vrais problèmes en matière de respect de la vie privée».

Floran Borg, Syndicat des avocats de France

« Ces pouvoirs exorbitants se feront sans contrôle judiciaire. Ne mentons pas aux Français en présentant ce projet comme une loi antiterroriste. Il ouvre la voie à la généralisation de méthodes intrusives, hors du contrôle des juges judiciaires, pourtant garants des libertés individuelles dans notre pays. »

Marc Trevidic, juge antiterroriste

« Le gouvernement français va surveiller tout le monde avec un algorithme. Big Brother devient une réalité »

Tristan Nitot, Fondateur de Mozilla Europe

« Tous ces gens, demain, pourraient entrer chez vous, chez moi, en douce, avec de fausses clés, de jour comme de nuit, pour y placer de minuscules bidules afin de nous surveiller au sein de notre intimité. Avec, je le suppose, des instructions précises : si cela devient trop hard, prière de détourner les yeux. […]

 

Qui va décider que cette manif qui a dégénéré devient ou non de la compétence de la DGSI ? […]

 

Pour mémoire, après Mai-68, la DST, l’ancêtre de la DGSI, a reçu l’ordre de mettre une grande partie de ses moyens pour faire la chasse aux gauchos. C’était De Gaulle. En 1982, Mitterrand a créé son petit service antiterroriste perso pour protéger sa vie privée et faire le ménage autour de lui. En 2015…

 

La Révolution française définissait la loi comme une « protection de la liberté publique et individuelle contre l’oppression de ceux qui nous gouvernent. ». Ce n’était qu’utopie, mais de là à inverser le concept ! »

Georges Moréas, Commissaire honoraire de la Police Nationale

C’est sûr, il y a de quoi s’inquiéter pour demain…

Paru depuis plusieurs années, le Guide d’autodéfense numérique comporte depuis l’automne 2014 un tome 2. Alors que le premier volume traitait de la sécurité hors ligne, le nouvel opus nous propose d’explorer la sécurité en ligne.

Les deux ouvrages sont conséquents mais c’était la moindre des choses pour approcher sérieusement cette question de la sécurité matérielle et de la protection des données en ligne. S’il est nécessaire d’y entrer avec un minimum de motivation, les auteurs ont pris soin de rester explicites et didactiques.

Publié sur le site activiste boum.org (hébergeur du projet Tails utilisé par Edward Snowden), les auteurs se sont engagés dans une démarche de réappropriation des nouvelles technologies qui fait du bien à l’heure de l’intrusion de plus en plus poussée des logiques de profilage dans notre quotidien.

[…] nous n’avons pas envie d’être contrôlables par quelque « Big Brother » que ce soit. Qu’il existe déjà ou que l’on anticipe son émergence, le mieux est sans doute de faire en sorte qu’il ne puisse pas utiliser, contre nous, tous ces merveilleux outils que nous offrent — ou que lui offrent — les technologies numériques. […]

Même si l’on choisit de ne pas les utiliser directement, d’autres le font pour nous. Alors, autant essayer de comprendre ce que ça implique. […]

À consommer sans modération, en ligne ou sur papier, et en licence Art libre s’il vous plaît!

https://guide.boum.org/

La nouvelle circule petit à petit via les sites d’information et les réseaux sociaux: Twitter bloque dorénavant les  créations de comptes via Tor si  les utilisateurs ne renseignent pas leur numéro de téléphone. Une grave attaque contre un outil de protection de la vie privée utilisé par de nombreux dissidents politiques dans le monde.

Alors qu’il a longtemps bénéficié d’une image un peu plus préservée que Facebook question respect de la vie privée des internautes, le réseau Twitter continue depuis plusieurs années sa construction d’un modèle basé sur la récolte de données personnelles et la publicité. Après le « printemps arabe », la plateforme de microblogging avait pourtant la côte. On le présentait comme un modèle de journalisme citoyen et on en avait vanté les bienfaits face aux abus des pouvoirs et contre les tentatives de limitation de la liberté d’expression:

Vidéo de l’agence Marcel pour France 24 en 2011

Toujours en 2011, Amnesty.be titrait: « Aujourd’hui, les réseaux sociaux font mal aux dictatures ».

À cette époque, Twitter se targuait de faire de la résistance face aux demandes de communication des données relatives aux twittos.

Un étau qui se resserre autour des outils de communication

Mais ces dernières années, la pression se fait de plus en plus forte, et de nombreux gouvernements dont le notre, enjoignent le réseau à jouer le rôle de censeur lorsque les lois ne sont pas suffisamment efficaces face à certains problèmes. On l’a vu en France vis à vis de la propagande « islamiste » ou des propos racistes et discriminants.
Ainsi, du 1er juillet au 31 décembre 2014, la demande de retrait d’informations a quasiment augmenté de 84% (la France étant en 4e position).

Effet de la pression ou droite lignée du modèle anti-anonymat porté par Facebook? Quelles que soient les raisons motivant cette décision de forcer le dévoilement de l’identité des utilisateurs de Tor, ça n’est plus aux dictatures mais aux résistances que Twitter fait du mal.
Basé sur le principe d’un réseau décentralisé encapsulant nos communications dans plusieurs couches de chiffrement, l’anonymat du réseau Tor devient totalement illusoire lorsque l’on décide de communiquer des informations personnelles, surtout vers des serveurs qui sont soumis à la surveillance de la NSA comme c’est le cas de Twitter.

Espérons que peu nombreux seront ceux à fournir leur numéro de téléphone alors qu’ils cherchent la discrétion. Quoi qu’il en soit, l’alternative Diaspora* existe toujours, et n’attend que la notoriété pour dévoiler tout son potentiel.

J’avais abordé il a quelques mois un changement prévu par Mozilla dans le célèbre navigateur open source. Il s’agissait d’utiliser les tuiles (Directory Tiles) habituellement occupées par notre historique à l’ouverture d’un nouvel onglet. On sentait venir la chose lorsque certains évoquaient du contenu sponsorisé adapté aux utilisateurs. Ça sentait gros le discours marketting habituellement fleuri d’arguments pro-ciblage faisant passer la publicité pour une chance donnée à l’utilisateur d’explorer un peu plus ses centres d’intérêts. On espérait juste que les responsables de Mozilla n’avaient pas fait leur ce discours manipulateur.

T’en veux de l’esprit du libre?

Depuis quelques semaines c’est donc fait, Firefox intègre des publicité dans ces vignettes. Alors qu’on nous promettait la mise en avant de partenaires de Firefox ou de tiers respectueux des principes de Mozilla, on se retrouve avec des Booking.com, et autres sociétés fleurons de l’esprit du libre. Je n’ai pas vu toutes les publicités proposées étant donné que je ne les croise qu’au boulot, mais ces deux-là sont déjà assez cocasses! Quand on pense que c’est Mozilla qui nous propose un logiciel soit disant orienté sécurité et propriétaire comme Dashlane, on touche le fond. Bonjour l’esprit du libre, et bonjour les leçons tirées de l’affaire Snowden!
Comme garantie actuellement: les données collectées concernent essentiellement les clics sur les annonces, et sont d’après la fondation anonymisées.

De plus, pour certains sites comme Amazon, relate le site du navigateur, au lieu d’avoir une capture d’écran, ce pourra être un logo qui sera affiché à la place. Rappelons que le rôle des logos publicitaires est de rester en mémoire, d’imprimer un cliché, lequel sera rangé parmi les images qui nous sont familières, en attendant la prochaine situation où il faudra faire un choix pour un achat. Les techniques publicitaires sont assez proches des méthodes de propagande, et c’est ce qui les rend dangereuses et non souhaitables, surtout dans un environnement libre.

Quoi qu’il en soit, Mozilla a les deux pieds dedans, et la fuite en avant est engagée. Firefox n’est dorénavant plus qu’un navigateur, mais également un prescripteur de sites d’achat.

La pé-da-go-gie (ou l’éducation pour ceux qui ont déjà appris)

Comme à l’accoutumée lorsqu’il s’agit de faire du fric, l’avis des utilisateurs n’est pas demandé par défaut. Il va falloir passer en mode classique en cliquant sur la petite roue en haut à gauche à l’ouverture d’un nouvel onglet. On peut déjà parier que de très nombreux utilisateurs ne se poseront pas la question et continueront leur chemin utilisant Google par défaut, avec les pubs intégrées dans Firefox par défaut elles aussi.
Une option un peu surprenante lorsque l’on écoute les positionnements pro éducation à la vie privée de Firefox, moins lorsque l’on aborde les méthodes des régies publicitaires en général.

La polémique est aujourd’hui bien engagée, et opposerait les sempiternels « pragmatiques » face aux « puristes ». Au-delà des postures, force est de constater que le web a de plus en plus de mal à s’envisager sans l’économie libérale et sans la publicité. Même si l’objectif annoncé est une libération de la tutelle de Google (toujours 85% des revenus), on est pas sûrs de gagner au change.
Si la centralisation de la firme de Mountain View est bien un problème démocratique, un morcellement des relations que nous avons avec les entreprises commerciales en ligne ne réglera pas forcément le problème des méthodes de captation de l’attention et des portes monnaie que nous subissons constamment.

Il semble bien loin le web sauvage des premiers temps, et c’est davantage à un centre commercial interactif que ressemble ce Frankeinstein qui a grandit sous nos yeux.
Alors? Vous préférez quoi? De la pub Google, ou de la pub sponso Mozilla? Les deux?

Ne touchez à rien…

Lorsque l’on utilise Tor Browser, un Firefox modifié qui permet de se connecter au réseau Tor, le module NoScript autorise javascript par défaut. Et lorsque l’on a bien appris sa leçon, on sait que javascript c’est plutôt moche question sécurité. Mais le problème qui se pose alors, c’est que sans scripts, c’est souvent le site visité qui devient moche, voir inutilisable. Dilemme…

S’il n’y a comme d’habitude pas de solution miracle, mais la FAQ du site du projet Tor propose une explication à la question que vous vous étiez peut-être comme moi posée.

Premièrement, l’équipe souligne que l’importance qu’a pris javascript dans la construction des sites aujourd’hui porte le débat non plus uniquement sur la sécurité, mais aussi sur « l’accueil » des nouveaux utilisateurs de Tor. Si les sites sont à moitié fonctionnels ou ont l’air de ne pas être consultables par le biais Tor, le risque le plus probable est que ces personnes cessent tout simplement d’utiliser car ne sachant pas configurer NoScript, ce qui n’est évidemment pas souhaitable.

D’un autre côté, le problème de sécurité reste, mais il n’est pas nécessairement résolu non plus par des choix plus restrictifs de l’utilisateur. En effet, le fait de n’accepter que les scripts de quelques sites, pourrait s’avérer aussi parlant sur vos habitudes, et surtout votre indentité, qu’une bonne paire de cookies déposés sur votre ordinateur. Ouch! N’avais pas pensé à celle-là.

Les développeurs de Tor ont ainsi équipé le Torbutton (le petit oignon vert en haut à gauche) de fonctionnalités permettant de bloquer les scripts potentiellement dangereux. Et NoScript est toujours là pour s’occuper d’éventuelles attaques jouant sur les failles éventuelles du navigateur, même si les scripts sont autorisés.

Si vous le pouvez, il est donc toujours préférable de tout bloquer à l’aide de NoScripts, mais en cas de besoin, vos arrières sont assurés. Ça n’est pas une raison pour aller regarder des vidéos en flash non plus! 😉

Pour les plus consciencieux d’entre vous, il reste la solution du système live Tails, qui probablement renforcera encore vos chances d’augmenter votre sécurité et votre anonymat…

Moralité: les outils c’est bien, mais des outils et de la réflexion c’est mieux.

Problème récurrent lorsque l’on parle de données personnelles sur les smartphones, la question des permissions allouées aux applications fait souvent mal. Qu’un fond d’écran ou une lampe torche puissent accéder à votre carnet d’adresse, à l’espace de stockage, et communiquer avec le réseau, c’est tout à fait injustifé, et potentiellement dangereux. Qui sait précisément ce que peuvent communiquer certaines applis?

Afin de reprendre un minimum de contrôle sur son appareil et surtout sur sa vie privée, un petit firewall peut s’avérer utile. AFWall+ fait ce travail (fork de DroidWall qui a été racheté par Avast), et vous pourrez vous le procurer notamment sur Fdroid. C’est évidemment sous licence libre GPLv3, donc mangez-en sans retenue.
Note: vous devrez avoir rooté votre téléphone pour vous en servir. [edit] Cela peut remettre en cause la garantie, mais au stade où nous en sommes, un choix est à faire avec les mouchards de poche: la garantie, ou la vie privée. En effet, beaucoup d’applications indispensables nécessitent cette manipulation.

Ceci étant dit, le reste n’est qu’une formalité. Vous n’aurez qu’à choisir pour chaque application si elle peut accéder au réseau local (il me semble que cela doit concerner le bluetooth et peut-être le NFC, mais c’est à confirmer), au wifi, ou au réseau mobile (Edge/3G/4G etc.).

AFWall+ peut fonctionner selon le principe de la liste blanche ou de la liste noire (on coche les applis qui peuvent accéder aux réseaux, ou on coche celles qui ne le peuvent pas); il suffit pour cela de cliquer sur le mode en haut de l’écran (il est par défaut en liste blanche).

Enfin, les applications système sont en rouge, afin de vous aider à ne pas trop foutre le bordel dans votre téléphone. Certaines peuvent être interdites de réseau sans problèmes, mais pour d’autres, cela peut entraver le fonctionnement normal de votre machine. Si vous ne savez pas de quoi il s’agit, il vaut mieux laisser l’accès, ou faire vos propres tests, ce qui aura l’avantage de vous faire un peu mieux comprendre le fonctionnement d’Android.

Il sera bien entendu nécessaire de désactiver le firewall une fois de temps en temps afin de laisser se faire les mises à jours. Mais attention, cela veut dire que les applications curieuses pourront alors communiquer des données personnelles à ce moment.

Vous l’aurez compris, si AFWall+ est un indispensable pour le contrôle de ses données, il ne peut être qu’un complément à une application de gestion des permissions qui elle garantira un blocage d’accès aux carnets de contacts et autres sésames de votre intimité.
Pour faire ce boulot, vous pourrez télécharger Privacy Guard ou mieux, installer CyanogenMod qui gère ça de façon native.

Nous avons récemment « fêté » dans l’allégresse les un an des révélations Snowden sur la surveillance des canaux de communication opérée par la NSA. Depuis l’été 2013, les questions de vie privée et de surveillance des communications font désormais partie du paysage médiatique (bien plus qu’avant en tout cas), et les discours portant sur la protection des données personnelles deviennent audibles.

Afin de ne pas en rester aux généralités et de pouvoir construire son argumentation sur des faits avérés, et non pas uniquement des vérités générales sur « big brother », un petit bilan de ce qui a été établi s’avère très instructif.

La stratégie du feuilletonnage choisie par Snowden et Greenwald est efficace en ce qui concerne le maintien de la pression sur les médias, mais elle n’influe malheureusement que très peu sur le côté indigeste de la masse de révélations proposées.

Framablog propose une traduction d’un récapitulatif de l’Electronic Frontier Foundation. J’ai toujours rêvé de faire ce bilan, mais la tâche est ardue. Donc, cela n’arrive que très rarement, mais là je vais le faire: un gros repompage d’article, un bon vieux copié-collé style DM de maths fait à la dernière minute. 😉 (mais c’est l’autre qui avait copié en premier m’sieur jvous jure!)

65 choses sur la surveillance par la NSA que nous savons maintenant mais que nous ignorions il y a un an

Article original sur le site de l’Electronic Frontier Foundation

par Nadia Kayyali et Katitza Rodriguez

Traduction Framalang : hack, Diab, teromene, r0u, Thérèse, goofy, mrtino

Voilà un an que le journal The Guardian a publié pour la première fois le Foreign Intelligence Surveillance Court order, révélé par Edward Snowden, ex-sous-traitant de la NSA. Le document démontrait que la NSA avait mené des opération de surveillance généralisée sur des millions de personnes innocentes. Depuis lors, toute une vague de révélations choquantes, de divulgations, d’aveux partiels des autorités gouvernementales, d’appels aux lois qui garantissent la liberté de l’information, et de poursuites judiciaires, a déferlé sans interruption. Pour l’anniversaire de cette première révélation, voici 65 choses sur la surveillance par la NSA que nous savons maintenant mais que nous ignorions il y a un an.

1. Nous avons vu un exemple des décisions de justice qui autorisent la NSA à récolter potentiellement tout appel téléphonique aux USA – ce qui veut dire qui vous appelez, qui vous appelle, quand, pendant combien de temps et quelquefois même où.

2. Nous avons découvert les diaporamas en Powerpoint de la NSA qui détaillent comment est menée la récolte « en amont », par la collecte d’informations captées directement dans l’infrastructure des opérateurs de télécoms.

3. La NSA a conçu une vaste « drague du Web » en s’assurant qu’elle peut intercepter non seulement les communications d’une cible lorsqu’elle fait partie d’une communication mais aussi celles qui « concernent une cible, même si la personne ciblée ne participe pas à une communication ».

4. La NSA a confirmé qu’elle recherche des données collectées selon les clauses de la section 702 des amendements à la FISA (FISA Amendments Act) pour avoir accès sans mandat aux communications des citoyens des USA, grâce à ce que le sénateur Ron Wyden a appelé « le vide juridique de la recherche via porte dérobée ».

5. Même si la NSA a déclaré de façon répétée qu’elle ne ciblait pas les citoyens des États-Unis, ses propres documents montrent que les fouilles de données menées sous l’égide de la section 702 sont conçues pour déterminer avec un degré de confiance de 51% seulement si la cible est étrangère.

6. Si la NSA n’établit pas l’origine étrangère d’une cible, elle ne va pas arrêter d’espionner cette cible pour autant. Au lieu de ça, la NSA va présumer que la cible est étrangère tant qu’elle ne peut être « identifiée positivement comme une personne des États-Unis ».

7. Un audit interne de la NSA révélé par une fuite a donné les détails de 2776 violations de règles ou de décisions judiciaires en une seule année.

8. Les hackers de la NSA ciblent les administrateurs systèmes, indépendamment du fait que ces administrateurs systèmes peuvent eux-mêmes être totalement innocents de tout acte répréhensible…

9. La NSA et la CIA ont infiltré des communautés de jeu en ligne comme World of Warcraft et Second Life pour récolter des données et mener leur surveillance.

10. Le gouvernement a détruit des preuves dans des procès pour espionnage intentés par l’EFF contre la NSA. Comble de l’ironie, le gouvernement a également prétendu que les clients de l’EFF avaient besoin de ces preuves pour établir la recevabilité de leur plainte.

11. Le directeur du renseignement national, James Clapper, a menti au Congrès lorsqu’il a été interrogé directement par le sénateur Ron Wyden pour savoir si la NSA était en train de rassembler des données de quelque nature que ce soit sur des millions d’habitants des USA.

12. Microsoft, comme d’autres sociétés, a collaboré étroitement avec le FBI afin de permettre à la NSA de « contourner le chiffrement pour avoir accès aux données des utilisateurs ».

13. Pendant la seule année 2013, le budget du renseignement était de 52,6 milliards de dollars — ce chiffre a été révélé par la fuite d’un document, et non par le gouvernement. Sur ce budget, 10,8 milliards de dollars ont été attribués à la NSA. Cela équivaut approximativement à 167 dollars par personne résidant aux Etats-Unis.

14. La Cour fédérale de la surveillance et du renseignement (Foreign Intelligence Surveillance Court) a rendu des décisions qui autorisent la NSA à partager des données brutes — non expurgées des informations permettant d’identifier les personnes — avec le FBI, la CIA et le Centre national de lutte antiterroriste (National Counterterrorism Center).

15. Conformément à un protocole d’accord (memorandum of understanding), la NSA partage régulièrement des données brutes avec Israël sans en expurger les informations personnelles permettant d’identifier les citoyens des USA.

16. Les divulgations de Snowden ont montré clairement que l’administration Obama avait induit la Cour suprême en erreur à propos de questions clés dans le procès intenté par l’ACLU à la NSA pour espionnage, Clapper v. Amnesty International, ce qui a conduit à un renvoi de l’affaire pour manque de preuves.

17. La NSA « a pénétré le système de communication interne d’Al Jazeera ». Les documents de la NSA font état de ce que « les cibles sélectionnés avaient un “fort potentiel en tant que sources de renseignement” ».

18. La NSA a utilisé des cookies soi-disant anonymes de Google comme balises de surveillance, aidant ainsi à pister les utilisateurs individuels.

19. La NSA « intercepte “des millions d’images par jour” – dont environ 55 000 “images de qualité suffisante pour la reconnaissance faciale” » et les traite avec de puissants logiciels de reconnaissance faciale.

20. Le programme de reconnaissance faciale de la NSA « peut maintenant comparer les photos des satellites d’espionnage avec les photos personnelles interceptées prises en extérieur, pour déterminer leur localisation ».

21. Bien que la réforme de la NSA se soit essentiellement focalisée sur la Section 215 du PATRIOT Act, et que la plupart des magistrats aient également poussé à réformer la Section 702 du FISA Amendments Act, certains des pires espionnages de la NSA ont été effectués conformément au décret 12333, que le président Obama pourrait abroger ou modifier dès aujourd’hui.

22. La NSA a collecté les informations de localisation des téléphones mobiles des citoyens des USA durant deux ans sous couvert d’un projet pilote ayant pour but de voir comment pourraient être analysées de telles informations dans ses énormes bases de données.

23. Au cours du seul mois de mars 2013, la NSA a rassemblé 97 milliards de renseignements en provenance de réseaux informatiques du monde entier, dont 3 milliards de renseignements des réseaux propres aux USA.

24. La NSA a ciblé Tor, un ensemble d’outils qui permet aux internautes de naviguer sur le net de manière anonyme.

25. Le programme MUSCULAR de la NSA infiltre des liens entre les data centers mondiaux des sociétés technologiques comme Google et Yahoo. De nombreuses sociétés ont répondu à MUSCULAR en chiffrant le trafic sur leur réseau interne.

27. Le programme XKEYSCORE analyse les courriers électroniques, les conversations en ligne et l’historique de navigation de millions de personnes n’importe où dans le monde.

28. À travers BULLRUN, la NSA sabote les outils de chiffrement auxquels se fient les utilisateurs ordinaires, les entreprises et les institutions financières, cibles ou non, dans un effort sans précédent visant à affaiblir la sécurité des utilisateurs d’Internet, vous y compris.

28. L’opération Dishfire a collecté 200 millions de textos par jour à travers le globe, qui peuvent être utilisés pour extraire des informations intéressantes sur vous : localisation, contacts, données de carte de crédit, appels manqués, alertes d’itinérance (qui indiquent que vous franchissez une frontière), cartes de visite électroniques, informations sur vos paiements par carte, alertes aux voyageurs, et renseignements sur vos réunions.

29. À travers l’opération CO-TRAVELER, les États-Unis collectent des informations de localisation provenant de relais de téléphonie mobile GSM, d’émetteurs Wi-Fi et de concentrateurs GPS, qui sont ensuite analysées en fonction du temps pour déterminer entre autres avec qui une cible voyage.

30. Un mémo de 2004 intitulé DEA – The “Other” Warfighter (DEA – « l’autre » combattant) montre que la NSA et la DEA « profitent d’échanges réciproques d’information ».

31. Quand la DEA agit sur les renseignements que sa division « Opérations spéciales » reçoit de la NSA, ils cachent la source de l’information à travers une « construction parallèle », une mascarade recréant une enquête imaginaire destinée à cacher la source de l’indice, non seulement au défenseur, mais à la Cour. Il s’agit de faire en sorte qu’aucun tribunal ne rende de décision sur la légalité ou la finalité de l’usage qui sont faits des données de la NSA dans les enquêtes ordinaires.

32. Le produit de la surveillance de la NSA finit régulièrement entre les mains de l’IRS (NdT : le fisc des États-Unis). Tout comme la DEA, l’IRS utilise la « construction parallèle » pour dissimuler l’origine de l’indice.

33. Même le Conseil de surveillance de la vie privée et des libertés civiles (Privacy and Civil Liberties Oversight Board), dont les membres sont triés sur le volet par le président des États-Unis, a recommandé que le gouvernement fasse cesser la collecte massive des enregistrements téléphoniques autorisée par la section 215 [NdT : du PATRIOT Act], cette collecte étant inefficace, illégale, et probablement anticonstitutionnelle.

34. La NSA a des projets pour infecter potentiellement des millions d’ordinateurs en y implantant des malwares dans le cadre du programme Tailored Access Operations (opérations d’accès personnalisé).

35. La NSA a eu un contrat secret de 10 millions de dollars avec la société de sécurité RSA pour créer une « porte dérobée » dans ses produits de chiffrement, largement utilisés par les entreprises.

36. « Dans le cadre d’une proposition visant à salir la réputation de ceux dont l’agence pense que les discours incendiaires radicalisent les autres », la NSA a surveillé leurs accès aux contenus pornographiques et rassemblé d’autres informations d’ordre explicitement sexuel.

37. La NSA et ses partenaires exploitent les applications mobiles, comme le jeu populaire Angry Birds, pour accéder à des informations privées sur les utilisateurs comme la localisation, l’adresse personnelle, le genre, et plus encore.

38. Le Washington Post a révélé que la NSA récolte « des centaines de millions de carnets d’adresses provenant de comptes personnels de courriel ou de messagerie instantanée du monde entier, dont beaucoup sont des citoyens des USA ».

Beaucoup de révélations de Snowden ont concerné les activités de la NSA à l’étranger, ainsi que les activités de certains des plus proches alliés de la NSA, comme son homologue britannique le GCHQ. Certaines de ces activités ont été des entreprises coopératives. En particulier, les « Cinq Yeux » – les États-Unis, la Nouvelle Zélande, l’Australie, le Royaume-Uni et le Canada – se communiquent mutuellement les données concernant leurs citoyens, constituant ainsi des failles susceptibles de saper la législation nationale.

39. La NSA a versé à son homologue britannique, le GCHQ, 155 millions de dollars ces trois dernières années « pour sécuriser l’accès aux programmes de collecte du renseignement britannique et les influencer ».

40. The Guardian a rapporté ceci : « Sur une période de six mois en 2008, [le GCHQ] a collecté les l’images de webcam – y compris une quantité importante de communications explicitement sexuelles – de plus d’1,8 millions de comptes utilisateurs Yahoo à l’échelle mondiale. »

41. Le GCHQ a utilisé des logiciels malveillants pour compromettre des réseaux appartenant à l’entreprise belge de télécommunications Belgacom.

42. Les principales entreprises de télécommunications, y compris BT, Vodafone, et Verizon business ont fourni au GCHQ un accès illimité à leurs câbles de fibre optique.

43. Le GCHQ a utilisé des attaques DDoS et autres méthodes pour interrompre les communications des Anonymous et de LulzSec, y compris les communications de personnes qui n’étaient accusées d’aucun délit.

44. La station Bude du GCHQ a surveillé des dirigeants de l’Union européenne, de l’Allemagne et d’Israël. Elle a également ciblé des organisations non gouvernementales comme Médecins du monde.

45. Partenaires de la NSA aux antipodes, les services de l’Australian Signals Directorate, ont été impliqués dans des violations de communications entre avocat et client couvertes par le secret professionnel, remettant en question un principe fondamental de notre système de justice pénal commun.

46. Les agents du renseignement australien ont espionné les téléphones mobiles du cabinet ministériel indonésien et du président Susilo Bambang.

47. En 2008, l’Australie a offert de partager les données brutes concernant ses citoyens avec ses partenaires du renseignement.

48. Le CSEC a aidé la NSA à espionner les dirigeants politiques durant le sommet du G20 au Canada.

49. Le CSEC et le CSIS ont été récemment réprimandés par le juge d’une cour fédérale pour l’avoir induit en erreur dans une demande de réquisition faite il y a 5 ans, à propos de l’utilisation des ressources des Cinq Yeux pour pister les Canadiens à l’étranger.

Ironie du sort, certaines opérations de la NSA ont ciblé des pays qui avaient collaboré directement avec l’agence en d’autres circonstances. Et certaines semblaient simplement non indispensables et disproportionnées.

50. Les documents de la NSA montrent que tous les gouvernements ne sont pas transparents sur leur propre niveau de coopération avec la NSA. Comme le rapporte The Intercept : « Peu de dirigeants élus ont connaissance de cet espionnage, voire aucun ».

51. La NSA intercepte, enregistre et archive chaque communication de téléphone mobile des Bahamas.

52. La NSA a surveillé les communications téléphoniques d’au moins 35 chefs d’États.

53. La NSA a espionné des diplomates français à Washington et aux Nations Unies.

54. La NSA a piraté les réseaux de l’entreprise chinoise Huawei et volé les sources de son code.

55. La NSA a posé des mouchards dans les ambassades de l’Union européenne à New York et à Washington. Elle a copié des disques durs dans les bureaux de l’UE à New York, et a mis sur écoute le réseau informatique interne des ambassades de Washington.

56. La NSA a collecté les métadonnées de plus de 45 millions d’appels téléphoniques italiens sur une période de 30 jours. Elle a également entretenu des stations de surveillance à Rome et à Milan.

57. La NSA a stocké les données d’approximativement 500  millions de connexions des systèmes de communication allemands chaque mois.

58. La NSA a collecté les données de plus de 60 millions d’appels téléphoniques espagnols sur une période de 30 jours, fin 2012 et début 2013, et a espionné des membres du gouvernement espagnol.

59. La NSA a collecté les données de plus de 70 millions d’appels téléphoniques français sur une période de 30 jours, fin 2012 et début 2013.

60. The Hindu, sur la base de documents de la NSA, a rapporté que « Sur une liste exhaustive des pays espionnés par les programmes de la NSA, l’Inde est en cinquième place. »

61. La NSA a pénétré le compte officiel de courriel de l’ancien président mexicain Felipe Calderon.

62. D’après The Guardian : « La NSA a, pendant des années, systématiquement écouté le réseau des télécommunications brésiliennes et et a intercepté, collecté et stocké sans discrimination les courriels et enregistrements téléphoniques de millions de Brésiliens ».

63. La NSA a surveillé les courriels, les appels téléphoniques et les textos de la présidente brésilienne Dilma Rousseff et de ses plus proches collaborateurs.

64. Les agences du renseignement allemand ont coopéré avec la NSA et ont implémenté le programme de la NSA XKeyscore, tandis que la NSA était en train d’espionner les dirigeants allemands.

65. Le quotidien norvégien Dagbladet a rapporté que la NSA a acquis des données sur 33 millions d’appels de téléphones mobiles norvégiens sur une période de 30 jours.

Il ne fait aucun doute que les relations internationales qu’Obama s’était engagé à restaurer, de même que la confiance du peuple des États-Unis dans le respect de sa vie privée et de ses droits constitutionnels, ont été sapées par la surveillance tous azimuts de la NSA. Mais un an après, le gouvernement des USA aussi bien que les gouvernements d’autres pays n’ont pas pris les mesures nécessaires pour faire en sorte que cette surveillance cesse. C’est pourquoi chacun doit se mobiliser – contactez votre député, rejoignez Reset the Net, et apprenez comment la loi internationale s’applique à la surveillance états-unienne aujourd’hui.

Toutes les images sous licence CC BY 2.0, par EFF, JeepersMedia et Richard Loyal French.

Source de la traduction: Framablog

Une nouvelle pas si surprenante mais qui n’en reste pas moins très inquiétante vient de tomber: Axa, par le biais d’une offre/concours, propose à ses clients de s’équiper d’objets connectés en échange de chèques-cadeaux pour de la médecine douce. C’est le tracker Pulse 02 de Within qui a été choisi. Celui-ci peut récupérer des données concernant le rythme cardiaque, le taux d’oxygène dans le sang ou la qualité du sommeil.
Ainsi, les 1000 premiers souscripteurs de l’offre Modulango d’Axa Santé recevront des avantages financiers plus ou moins déguisés s’ils maintiennent une moyenne de 7000 pas par jour pendant un mois (50€ de chèque), ou de 1000 pas p/ jours pendant un mois (100€).

Cette annonce est un premier pas vers un possible modèle de contrats d’assurances basés sur une surveillance des données du Quantified Self. Certes, nous n’en sommes qu’à d’éventuelles prémisses et à une probable phase de test concernant la réception, mais l’argumentaire est déjà là:

« L’assurance maladie comme les assurances complémentaires ont intérêt à encourager les assurés à s’équiper, en offrant ou en subventionnant l’achat de telles solutions. Cela permet d’encourager les comportements vertueux »

Cédric Hutchings, directeur général de Withings

Dans les bureaux, on réfléchit déjà à cette opportunité de faire entrer d’avantage d’argent, tout en promouvant ces « comportements vertueux ».

« La révolution de notre quotidien par les objets connectés est en marche. De plus en plus intelligents, ils vont rapidement s’imposer dans tous les secteurs d’activités, dont l’assurance »

Minh Q. Tran, directeur du fonds d’investissement d’Axa dans les start-ups.

C’est pour notre bien. Et puis il faut l’avouer, certains abusent de ces bons samaritains. Pourquoi assurer au même prix un fumeur, un obèse, un mangeur de hamburgers, alors que d’autres ont su passer au bio et font leur footing matinal avant d’aller gentillement travailler?

Évidemment, ces questions « d’hygiène » de vie ne sont qu’une question de volonté, et les moyens financiers, la pénibilité du travail et le lot de souffrances psychologiques qui en découlent, la répartition des tâches ménagères etc., ne sont que blabla sociologique.

Et au delà de ces débats « d’un autre âge », qui pourrait renoncer à l’idée d’un esprit sain dans un corps sain? (je vous laisse le loisir de tirer tous les points Godwin qui vous plairont de cette petite expression).

Un scénario si paranoïaque que cela?

Le modèle de l’assurance en fonction des comportements est déjà développé notamment dans le domaine de l’automobile par le biais du principe pay as you drive.  Ainsi, certaines assurances aux États-Unis vont collecter des données concernant votre conduite (freinages brusques, accélérations, vitesse…), pour définir le taux de risque de votre profil.

De même dans le domaine bancaire, la start-up Jumiya propose des conditions de financement à l’utilisation d’appareils mesurant l’activité physique. Selon des études, santé financière et santé physique seraient liées.

Le marché des objets connectés et notamment ceux liés au Quantified Self se développe grandement ces derniers temps, et risque fort de prendre son envol dans les mois et les années à venir: on parle même déjà de nouvelle révolution technologique. Parmi les géants, Apple et Samsung ont déjà commencé à investir, et à constituer des bases de données alimentées par des données de santé de leurs utilisateurs. Si le débat est épineux et permet encore le maintien de certaines protections (les utilisateurs restent pour l’instant propriétaires de leur informations), les liens entre ces industriels et le monde de la santé existent déjà.

Les domaines d’application sont nombreux. Par exemple, on pourrait se demander ce que pourrait donner un partenariat entre une entreprise et des laboratoires pharmaceutiques, quand cette première collecte des données sur le sommeil, l’humeur, ou la prise de poids…

Dans le marketing, le moment de mise en contact avec le message publicitaire pourra être plus finement choisi, en fonction de la réceptivité maximale supposée suite à l’analyse de toutes ces données, enrichies parfois même par l’analyse prédictive. Des applications mobiles sollicitent par exemple les utilisateurs pour connaître leur humeur, et font entrer petit à petit dans les mœurs cette normalisation de la transparence totale à l’égard des marchands de vie privée.

Mais tout cela sera bien entendu au nom de la santé et du bien être.

Les données liées au corps et à la santé intéressent de plus en plus d’acteurs économiques

La question des données liées au corps est déjà largement envisagée outre-Atlantique. Ainsi, des entreprises, dont Google (par le biais de 23andMe, entreprise de l’épouse de Sergey Brin), travaillent à la récolte d’informations liées à l’ADN. Si cela reste encore cher, il ne faut pas être devin pour envisager que la gratuité soit atteinte, en échange d’un partage de ces données, notamment avec les acteurs économiques intéressés (assurances, mutuelles, laboratoire pharmaceutiques etc.), au même titre que pour le profilage comportemental qui est aujourd’hui le modèle de financement majoritaire sur le web. Les laboratoires pharmaceutiques ont déjà flairé le filon, et investissent dans le domaine. Ainsi, Johnson & Johnson avaient participé au financement de 23andMe, aux côtés de Google.

PruHealth, une compagnie d’assurance britannique, propose même des bracelets connectés à ses employés pour augmenter leur productivité et réduire les arrêts maladies. Une généralisation de ce type de pratiques pourrait laisser présager un avenir bien sombre dans lequel ultra-capitalisme et outils numériques seraient définitivement en symbiose.

Au pays de l’oncle Sam, les complémentaires santé reprennent ce modèle, et conditionnent fréquemment leurs offres à l’utilisation d’objets connectés contrôlant les pratiques physiques.
Le coup d’essai d’Axa est donc loin d’être innocent: c’est peut-être une nouvelle stratégie que l’entreprise est en train d’introduire en France.

Dans cette perspective, on pourra également envisager l’analyse prédictive liée aux données de la santé comme étant également une aubaine pour assurer les missions d’assurance:

Ainsi, le magazine Argus de l’Assurance consacré à l’innovation (n°7294, p.56) définit le métier d’assureur comme suit:

“Connaître les risques pour mieux les anticiper, les maîtriser et les tarifer au plus juste, tel est, ni plus ni moins, le coeur du métier de l’assurance.”.

Tout en douceur…

L’autre aspect intéressant qui est à observer est celui de l’adoption volontaire de ces outils par les utilisateurs. Se prendre en charge, consulter des statistiques, être productif… autant de nouvelles compétences perçues comme modernes et nécessaires, voire responsables, et qui nous transforment en entrepreneurs de notre corps. « Il faut faire remonter la courbe! » La logique productiviste pourra être appliquée à soi-même, son corps, son mental, son intimité.
Une belle victoire d’un certain modèle idéologique…

La pratique sportive introduit également ces outils subrepticement car ils s’accordent aisément avec la logique compétitive et rentabilisatrice de ce type d’activités.
Axa choisit le jeu pour faire accepter son modèle, mais nuls doutes qu’une certaine morale hygiéniste saura en cas de succès accompagner le mouvement afin de porter l’utilisation de ces mouchards au niveau de la nécessité morale. Bien heureusement, nous n’en sommes pas encore là.

Et à plus grande échelle?

Enfin, la question qui se pose encore et toujours est celle des concentrations de données provoquées par les monopoles. Des entreprise comme Google, Facebook ou encore Apple sauront certainement se montrer compétitives sur ce type de marchés, et croiseront ces données avec les innombrables autres informations déjà en leur possession. La personnalisation des messages publicitaires, toujours plus convaincants et perçus comme utiles, alimentera encore pour quelques temps les caisses des annonceurs, et interrogera d’autant plus profondément le concept de libre arbitre.

De même, nous serons en droit de nous demander quel pourra être l’usage fait par les États de telles bases des données, à l’heure où il paraît de plus en plus évident que collecte privée et surveillance étatique forment un tout solidaire dessinant les nouvelles sociétés panoptiques.

Il reste donc à attendre une évolution des législations favorable à notre protection et/ou une réaction des utilisateurs.
Mais dans un cas comme dans l’autre, le coup d’essai opéré par les géants du web concernant la collecte des intérêts personnels pour le profilage publicitaire nous montre que la pilule risque malheureusement de passer sans trop de soucis.

Et si demain vous aviez tout de même quelque chose à cacher: votre santé..?

Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

À l’occasion de la sortie de son livre Nulle part où se cacher, Glenn Greenwald, l’un des journalistes à l’origine des premières révélations concernant les écoutes mondiales de la NSA, était de passage à Paris les 27 et 28 mai 2014.

Depuis un an, les informations se succèdent, et dessinent un monde tout à fait nouveau, dans lequel le rapport aux technologies de l’information et de la communication a radicalement changé pour une partie grandissante des individus.

Un large débat sur ces technologies est aujourd’hui urgent, et il est vital que chacun d’entre nous entame un travail de réappropriation des outils numérique, si tant est que cela soit toujours possible en l’état.

Pour alimenter ce débat, je vous propose de revoir et de réécouter les interventions de Glenn Greenwald au journal Le Monde et à France Culture.

Enfin, vous pouvez vous procurer le livre du journaliste aux éditions JC Lattès pour un prix éditeur de 20€. Nul doute que sa lecture s’annonce très instructive.

Lecture à caler à 71minutes pour le début de l’émission. (lien externe)

Grand entretien avec Glenn Greenwald… by lemondefr

Glenn Greenwald : « le terrorisme est un prétexte » by lemondefr

Glenn Greenwald : « grâce aux métadonnées, on… by lemondefr

Glenn Greenwald : “les Etats Unis ont peur que… by lemondefr

Greenwald : « l’histoire la plus explosive, c… by Europe1fr

Vous vous souvenez de cette scène dans Minority Report, au court de laquelle le héros entre dans un centre commercial, et que les écrans de publicité scannent son iris pour pouvoir adapter les contenus diffusés? Si nous sommes encore bien loin de ce type de procédés, le principe de la publicité personnalisée et géolocalisée commence à se développer depuis quelques temps. Dans sa dernière mise à jour, l’assitant multifonctions pour Android, Google Now, franchit un pas décisif en proposant ce type de service à tous ses utilisateurs.

Consulter c’est vouloir acheter

Le principe est assez simple: à partir de vos recherches effectuées avec Google search, l’application Google Now prendra l’initiative de vous envoyer des notifications signalant la présence d’un produit déjà consulté sur la toile, au passage devant une boutique censée le vendre. Pour l’instant, les questions de stocks ne sont pas prise en compte, mais le développement des puces RFID dans les marchandises permettrait à l’avenir d’affiner les informations proposées. Autre interrogation: nous ne savons pas jusqu’à quand ce traçage peut remonter dans les historiques de consultation.

D’ici peu, vous passerez donc devant un magasin, et Google vous rappellera aimablement que vous aviez consulté une page concernant un produit situé à proximité, et que c’est le moment d’aller assouvir vos pulsions consommatrices, que le bonheur est à portée de main.

En lisant quelques commentaires sur la question, je suis tombé sur des critiques sous-entendant que la faille de ce système résidait dans le fait qu’elle considère que consulter c’est vouloir acheter, ce qui est faux pour beaucoup d’entre nous.

Certes, le net s’est à tel point transformé en boutique géante que nous tombons très régulièrement sur des offres commerciales, volontairement ou non, et que nous ne souhaitons pas acquérir tout ce que nous voyons. Mais y voir une erreur de la part de Google me semble illusoire. Le principe est en fait plutôt traditionnel dans la pub, et consiste à créer un besoin qui n’existe peut-être pas encore, et à installer l’image de la marque dans nos esprits, dans le champ des options possible au moment de l’achat.

Pour Google, cette application a pour but de « vous rappeler que vous voulez ce produit ». Cette phrase est en fait à ranger dans les slogans assurant la promotion de l’application, et non au rang d’une quelconque analyse de son utilité. Car lorsque les dirigeants de l’entreprise se lâchent un peu, c’est un tout autre discours qui émerge, beaucoup plus proche de l’idée de création du besoin:

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ? ».

Plus qu’un assitant, Google Now renforce donc un peu plus les stratégies des vendeurs de rêves, et les énormes capacités de la firme de Moutain View en tant que régie publicitaire.

Certes, tout cela peut paraître bien inoffensif.  Mais ces technologies se développant, il est tout à fait légitime de questionner la place qu’occupera demain le libre arbitre dans une société qui repose à ce point sur la suggestion et la prescription des comportements à tous les niveaux: ici celui des achats, mais parfois celui des interactions sociales (propositions d' »amis » sur les réseaux, et géolocalisation de ceux-ci), sur les des choix politiques (voir les campagnes 2.0 d’Obama et dans une moindre mesure de François Hollande), sur fonction des corps (normalisation, biométrie…) etc.

Ne perdons pas de vue non plus que les messages publicitaires sont en pleine mutation « grâce » au réseau, et que ceux-ci se font de plus en plus viraux (partagés volontairement sur les réseaux à l’occasion de buzz par exemple), incluant le consommateur à la source (leur contenu est orienté par la récolte des données privées, le succès ou non validé par le partage et les commentaires outrés ou approbateurs) etc.

Le format somme toute très classique de l’annonce identifiée comme telle que propose Google Now n’est sans aucun doute qu’une première étape d’un long processus en développement.

Reste la certitude enfouie en chacun de nous, que notre volonté ne craint pas de si grossières manipulations.
Fin avril, Google affichait pourtant une croissance de 19% de son chiffre d’affaires à 15,42 milliards de dollars…

Alors? Qui va gagner le pari?

Il en a été question à mainte et mainte reprises ici, le modèle de l’entreprise Google repose quasi exclusivement sur la récolte de données personnelles en vue de personnaliser davantage les publicités et résultats affichés par le moteur de recherche et les sites traitants avec des partenaires. En clair, Google est une régie publicitaire proposant des services qui ont pour fonction d’augmenter ses bases de données sur les utilisateurs et leurs centres d’intérêts.

Hégémonie et coups fourrés

Ses services sont très nombreux, et bien souvent les plus populaires. Le moteur de recherche est de loin le plus utilisé en France et dans de nombreux pays, Android est premier sur le marché des OS mobiles, Youtube draine des flux monstrueux de données, Gmail, Google Maps ou encore Google Drive, sont des références dans leurs domaines. Inutile de parler également des Chrome Books, lesquels ne laissent absolument aucune porte de sortie pour échapper aux serveurs du géant de Moutain View.

Il y a peu, le logiciel libre Firefox tenait le haut du pavé dans le domaine des navigateurs web. Les possibilités en terme de personnalisation offertes par l’ouverture du code ont incontestablement participé à la popularisation d’un web plus ouvert, et adaptés à nos besoins. Mais aujourd’hui, Google Chrome est devenu le premier navigateur, et renforce la domination de Google dans les technologies web.

Supposé plus simple et plus rapide, il n’inquiète que peu de gens, et s’installe parfois sans même prévenir. C’est le cas en particulier avec le très célèbre antivirus gratuit Avast. Notons que cette méthode d’installation liée à un autre logiciel fait irrésistiblement penser aux vieux adwares (programmes publicitaires) et sypwares (programmes espions) qui s’installent sournoisement sur notre machine, ajoutant telle ou telle barre de recherche envahissant notre navigateur, ou ces programmes dont on ignore la présence et qui communiquent bien des informations vers des serveurs dont on ne soupçonne l’existence à priori.

Pourquoi Google Chrome est-il un spyware?

À peine sorti en 2008, le navigateur avait déclenché les foudres de certains internautes, et était accusé de cacher des fonctionnalités malveillantes. La polémique s’était notamment orientée vers un petit programme au fonctionnement louche et qui aurait permis à Google de continuer à tracker les utilisateurs même après avoir desinstallé le navigateur.

Et lorsque l’on jette un œil sur la définition de logiciel espion sur Wikipédia, on tombe là-dessus:

Un logiciel espion (aussi appelé mouchard ou espiogiciel ; en anglais spyware) est un logiciel malveillant qui s’installe dans un ordinateur dans le but de collecter et transférer des informations sur l’environnement dans lequel il s’est installé, très souvent sans que l’utilisateur en ait connaissance. L’essor de ce type de logiciel est associé à celui d’Internet qui lui sert de moyen de transmission de données.

Voyons donc comment se comporte le navigateur de Google, et constatons à quel point cette définition lui sied bien.

Dans l’avis de confidentialité de Google Chrome, on trouve ceci:

Sur les informations récoltées:

« Lorsque vous utilisez un navigateur, y compris Chrome, pour contacter les serveurs Google, Google reçoit par défaut des informations de connexion standards comprenant l’adresse IP de votre système, ainsi qu’un ou plusieurs cookies. »

Chaque copie du navigateur est identifiable également par un numéro unique, facilitant sans nul doute la reconnaissance des utilisateurs en ligne. Des statistiques peuvent également être envoyées à Google concernant l’usage fait du logiciel à l’installation.

Mais Google est aussi partageur:

« Pour accéder à certains contenus, il est possible que le navigateur Chrome pour Windows, Chrome OS ou le Chromecast doive transmettre à divers partenaires de contenu et sites Web un identifiant unique stocké sur votre système, à l’aide d’Adobe Flash Access. »

« Les tiers auxquels votre identifiant unique est transmis peuvent l’associer aux informations personnelles que vous leur communiquez. L’utilisation par Google d’un identifiant unique dans le but de fournir des contenus depuis les serveurs Google est soumise aux règles de confidentialité Google. »

Mais à quoi peuvent-elles bien servir?

« Les informations envoyées à Google lorsque vous utilisez Chrome sont traitées en vue de l’exécution et de l’amélioration du navigateur et d’autres services Google. Les informations envoyées à d’autres opérateurs de sites Web sont soumises aux règles de confidentialité de ces sites. Chrome stocke des informations sur votre système dans le but d’améliorer ses performances, et de vous fournir des fonctionnalités et des services utiles. » [???]

Sur les recherches effectuées:

« Lorsque vous saisissez des URL ou des requêtes dans la barre d’adresse de Chrome (l’omnibox), ou dans le champ de recherche du lanceur d’applications, les premières lettres peuvent être transmises à votre moteur de recherche par défaut afin que des prédictions de termes ou d’URL vous soient automatiquement proposées. »

« De plus, pour les utilisateurs connectés, le texte que vous saisissez dans le champ de recherche du lanceur d’applications peut être envoyé à Google afin que des recommandations vous soient proposées pour vos contacts et les applications que vous recherchez éventuellement. »

Marque pages, Historique de navigation, Téléchargements, et sites consultés sont eux-aussi enregistrés analysés, et bien sûrs mis en relation avec votre compte si vous en avez un:

« Si vous vous connectez au navigateur Chrome, à Chrome OS ou à un appareil Android sur lequel Chrome a été préinstallé avec votre compte Google, la fonctionnalité de synchronisation est alors activée. Nous stockons certaines informations associées à votre compte Google sur nos serveurs, telles que les favoris, l’historique et d’autres paramètres. »

Mais Chrome vous aide à parler toutes les langues…

« Lorsque vous utilisez la fonctionnalité de traduction de Chrome, le contenu que vous saisissez est envoyé au moteur de recherche Google afin d’être traduit. »

… Et aussi à mieux maîtriser la votre…

« Lorsque vous utilisez la fonctionnalité de vérification orthographique de Chrome, qui est basée sur la même technologie que celle de la recherche Google pour détecter les fautes d’orthographe, le texte saisi est envoyé à Google pour vous proposer des suggestions de corrections orthographiques et grammaticales. »

Si vous utilisez des outils de reconnaissance vocale et que vous avez accepté l’envoi de statistiques, « d’autres informations sont envoyées à Google, y compris l’URL du site Web sur lequel vous utilisez la saisie vocale, la version de votre système d’exploitation, ainsi que le fabricant et la marque de l’appareil et du matériel audio que vous utilisez. »

Vous utilisez la fonction de géolocalisation intégrée au navigateur? Google sera heureux d’envoyer vers ses serveurs « certaines informations concernant votre réseau local aux services de géolocalisation de Google afin de déterminer votre position approximative. »

Cela peut comprendre:

« [Des] caractéristiques des routeurs Wi-Fi et les identifiants des antennes-relais les plus proches de vous, la puissance du signal de votre connexion Wi-Fi ou de votre mobile, ainsi que l’adresse IP actuellement attribuée à votre appareil. Nous utilisons ces informations pour déterminer votre position, ainsi que pour améliorer le fonctionnement et la qualité de Chrome et des services de géolocalisation de Google. »

« Dans le but d’aider à améliorer la fonctionnalité de navigation sécurisée, vous pouvez envoyer des données supplémentaires lorsque vous consultez un site qui semble contenir des logiciels malveillants.« 

Et en navigation privée?

« Le navigateur communique de plus régulièrement avec les serveurs de Google afin d’estimer à quels moments les personnes se connectent, pendant combien de temps etc. »

 Sous Android

N’oublions pas les terminaux mobiles, qui représentent une part grandissante des moyens d’accès au web. Installé par défaut, Chrome se montre assez gourmand en permissions. Jugez par vous-même:

Parmi les spécificités mobile: si vous avez autorisé l’accès à la géolocalisation par les applications Google, Chrome pourra par exemple s’en servir pour vous présenter des résultats personnalisés. L’un des marchés émergeant développe en effet des propositions de publicités ciblées lorsque l’on passe devant un magasin par exemple.

En bref

Enfin, et quelque soit le type de terminal, n’oublions pas qu’en tant que logiciel privateur (non libre), il n’est possible de connaître le fonctionnement de Chrome que par ce que ses concepteurs veulent bien nous en dire. Seul le logiciel libre nous permet de connaître exactement la manière dont les programmes se comportent.

Firefox sera donc préférable à Chrome, mais il sera tout de même nécessaire d’apporter quelques modifications, car là encore, l’hégémonie de Google en a fait un relais à sa récolte de données personnelles.

Il existe également Chromium, qui est le projet libre sur lequel est basé Chrome.

Droit de réponse…

En droit de réponse et en guise de loyauté, laissons la parole à Éric Schmidt, président du Conseil d’Administration de Google et ancien PDG, lequel défend fort bien la philosophie de ses produits:

« C’est un futur où vous n’oubliez rien. Dans ce futur nouveau, vous n’êtes jamais perdu. Nous connaîtrons votre position au mètre près et bientôt au centimètre près. Vous n’êtes jamais seul, vous ne vous ennuyez jamais, les idées ne viennent jamais à vous manquer. »

« Google a pour règle d’aller jusqu’au bord de ce qui pourrait vous donner la chair de poule et de ne pas aller plus loin. Je dirais qu’implanter des choses dans votre cerveau franchit cette ligne rouge. Du moins pour l’instant, jusqu’à ce que la technologie s’améliore. »

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ?” « .

Le meilleur des monde…

Les utilisateurs de l’excellente extension pour Firefox, Cookie Monster, sont problablement comme moi un peu frustrés lorsqu’ils sortent le smartphone pour aller cliquer sur quelques liens. En effet, celle-ci n’est pas disponible sur la version mobile du navigateur open source, et l’on se retrouve donc à imaginer le nombre impressionnant de petits espions qui se nichent dans notre appareil, pour ensuite se lancer dans une frénétique suppression à la main des saletés qui se sont déposées dans les coins.

Si je n’ai pas trouvé aussi radical que Cookie Monster, une petite extension nommée Self Destructing Cookies fait honorablement son job. Le principe est simple: tous les cookies sont acceptés, mais détruits automatiquement quelques minutes après la fermeture du site les ayant déposés (ça vaut évidemment aussi pour les cookies tiers).

Donc en attendant mieux, n’hésitez pas, ça ne demande pas un gros effort!

L’émission de Canal + a récemment diffusé un reportage sur le Big Data (la collecte et l’analyse de données à grande échelle), et la surveillance privée et étatique.

Pour toutes les personnes qui sont déjà un peu sensibilisées à la question et même celles qui n’en savent rien, je vous conseille de jeter un œil sur cet excellente émission.

Au menu sont abordés:

• La collecte d’information par les géants du web dans une optique publicitaire, utilisant traces d’achats, géolocalisation et données sociales
• La prédiction à l’aide des algorithmes et du Big Data dans le domaine du sport, de la politique, de la prévention du crime etc.
• La vidéo surveillance
• Le lien entre collecte à des fins publicitaires et l’utilisation étatique des données
• …

Vouloir naviguer sur le web sans être capté par les serveurs de Google est devenu aujourd’hui une véritable galère. Utiliser le moteur de recherche ou les autres services de l’entreprise, le navigateur Chrome, consulter des sites qui intègrent un bouton Google+ ou une vidéo Youtube, l’outil d’analyse de trafic Google Analitycs etc. La liste des mouchards de Google est longue. Et pour ne rien arranger, se réfugier chez Firefox sans mettre un peu le nez dans le moteur n’arrangera pas les choses non plus. Vous le devinez, il ne fait pas bon être fâché avec la firme de Moutain View, tant son champ de vision est tentaculaire.

Tout cela pose de gros problèmes question vie privée et surveillance de nos habitudes par les entreprises, mais aussi par les États, puisque nous savons désormais que la collecte privée permet notamment à la NSA de se servir allègrement dans les gigantesques bases de données stockant nos faits et gestes.

Une mise à jour de WordPress… Et des bases de données de Google

Au cours de pérégrinations sur les réseaux sociaux, je suis tombé sur un article traitant des Google fonts, des polices d’écriture utilisées sur de nombreux blogs, notamment WordPress. Je n’y avais pas vraiment pris garde, mais depuis la mise à jours à la version 3.8, ces fameuses polices ont été intégrées par défaut. On les trouve en particulier dans l’interface admin ainsi que dans le nouveau thème Twenty 12. On pourrait se dire « et alors? Ce ne sont que des polices! ». Certes, mais fidèle à ses habitudes, Google investi le moindre de ses outils pour faire passer les internautes par ses serveurs afin d’engranger des informations comportementales. Là encore, ils n’ont pas raté le coche.
Un développeur de Wordress a par ailleurs lui-même concédé que cela pourrait poser des problèmes de vie privée…

Par l’intégration de Google Fonts, WordPress permet donc à Google de savoir qui administre tel ou tel site et qui consulte des sites qui en sont dotés, par le recueil des headers et des cookies Google qui auraient pu être déposés à la consultation d’un autre site incluant les services Google cités plus haut.

Les activistes tenant un site (notamment les américains), seront heureux d’apprendre que potentiellement, WordPress les balance dorénavant indirectement à la NSA (car qui communique avec Google, communique avec la NSA, la chose n’est plus à prouver depuis les révélations de Snowden cet été).

Heureusement, la légion des anti-Google s’élargit, et une extension nommée Disable Google Fonts est disponible par le biais de l’installateur d’extensions WordPress.

Inutile de préciser l’importance de l’installer sur son blog… Pour vous, pour vos lecteurs.

Depuis la modification de l’article 5(3) de la directive 2002/58/CE, l’Union Européenne oblige les sites Internet à recueillir le consentement des utilisateurs lorsque des cookies utilisés pour le traçage sont déposés. Vous l’avez peut-être remarqué, un bandeau apparaît dorénavant sur certains sites.

En cette période de révélations fracassantes sur la surveillance globale menée notamment par la NSA, on pourrait penser qu’il s’agisse de broutilles. Néanmoins, toute avancée aussi minime soit-elle est bonne à prendre, surtout si elle permet de mieux comprendre le fonctionnement du réseau et les pratiques de traçage en général.

En effet, n’oublions pas que la surveillance d’État tire profit de la collecte et de l’accumulation centralisée de données par les entreprises du web (lorsqu’on a le Patriot Act, il ne suffit plus que de se baisser pour les ramasser). C’est donc aussi grâce à ces immenses bases de données qu’il est plus aisé de surveiller, et c’est par la normalisation, et par l’incompréhension de ces méthodes, que les États liberticides continuent leurs pratiques dans une indifférence résignée face à l’apparente complexité du phénomène.

La CNIL a donc publié une petite vidéo pédagogique expliquant le fonctionnement des cookies, lesquels intéressent en principe chacun des internautes, ainsi que des conseils pour mieux comprendre la directive européenne et se mettre en conformité si l’on administre un site.

(Je ne m’étends pas sur le scénario présentant une fois de plus la femme comme étant chiante, jalouse, colérique, et qui a besoin de son compagnon pour lui expliquer comment fonctionne un ordinateur, mais bon…)

Des outils sont disponibles pour gérer ses cookies, j’ai par exemple évoqué ici l’excellent Cookie Monster, une extension Firefox qui permet de n’accepter que les cookies de sites désignés par l’utilisateur.

Malgré l’image un peu plus respectable dont jouit encore Twitter, il ne doit pas y avoir méprise: le réseau fonctionne comme beaucoup sur le principe de « si c’est gratuit c’est que vous êtes le produit ». Depuis le 17 avril, le réseau permet aux annonceurs de cibler leurs annonces en fonction des mots-clés utilisés par les abonnés. De nouvelles perspectives de traçage sont à prévoir.

L’épicerie du coin

Jusqu’à présent, ce sont les centres d’intérêt des utilisateurs qui servaient à « proposer » des messages sponsorisés. Désormais, les mots-clés utilisés permettront d’aller encore un peu plus loin. L’argumentaire proposé par le réseau est d’ailleurs bien rodé. En effet, grâce à cela, les amateurs de musique pourront profiter d’informations locales (l’annonce d’un concert par exemple) et se verront ainsi mis au courant de quelque chose qui les intéresse, près de chez eux. Dans ce contexte, le côté « local » passe presque pour du commerce de proximité, un label genre « producteur du coin ». C’est assez cocasse et bien amené.

« J’irai où tu iras » (Céline Dion)

Le véritable « avantage » dans cette affaire c’est d’augmenter la proximité géographique ET temporelle des annonces. Grâce aux dispositifs nomades (smartphones, tablettes…), il va être possible d’associer localisation de l’internaute et profil établi. Par exemple, vous pourrez recevoir une publicité pour un magasin de vêtements se trouvant à proximité si cela est jugé pertinent par rapport à l’analyse du contenu de vos tweet. Ce modèle est sans nul doute l’avenir proche pour l’ensemble du modèle de traçage publicitaire en ligne (il se pratique déjà dans certaines régions).

« Non, Non, rien a changé » (Les Poppys)

Évidemment Twitter jure sur la vie de sa grand-mère qu’il n’y aura pas plus de publicité proposée. Quoi qu’il en soit, un nouveau cap a été franchi et il convient de toujours garder en tête que ce réseau social comme d’autres, n’a pour objectif que d’augmenter ses profits en établissant des profils des utilisateurs pour les annonceurs publicitaires. Selon le cabinet spécialisé eMarketer, Twitter viserait le milliard de recettes pour 2014.

En naviguant sur le web, nous communiquons énormément d’informations sur nous-mêmes, notre matériel, notre configuration etc., et laissons donc énormément de traces qui permettent de nous identifier. J’avais écrit deux petits articles à ce sujet qui permettent de se faire une première idée pour les personnes qui ne connaissent pas du tout la problématique, ici et là.

User what?

Parmi ces informations transmises, on trouve le user-agent. Lorsque l’on accède à une page, un dialogue s’opère entre votre machine et les serveurs hébergeant le site (pour faire vite mais c’est plus compliqué 🙁 ). Parmi les informations échangées, on va trouver par exemple la langue souhaitée, le type de navigateur, de système d’exploitation etc. Cela permet d’afficher un contenu attendu, ou encore de l’adapter selon le matériel de l’internaute (proposer directement le téléchargement d’un logiciel adapté à votre système d’exploitation par exemple).

Pour visualiser un peu, le user-agent, c’est un truc qui ressemble à ça:

Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

On retrouve donc bien les informations concernant le système d’exploitation (Windows NT 5.1 soit Windows XP), et sur le navigateur (MSIE pour Microsoft Internet Explorer).
Note: Mozilla/4.0 correspond au nom et à la version de l’application (Internet Explorer s’identifie comme le navigateur de Mozilla pour des raisons historiques).

L’extension Firefox: User Agent Switcher vous propose donc d’assurer facilement ce changement, et donc de faire croire que vous utilisez Internet Explorer 6, 7 ou 8 sous XP, que vous êtes un robot Google, ou même un iPhone 3!

Pour ajouter des profils (si vous avez envie d’« avoir » Chrome ou Windows 7, je sais pas moi 😉 ), c’est très simple. Dans les options de l’extension, vous allez dans « Edit User Agent » et « New ». Vous trouverez facilement une liste de modèles, comme cette sur cette page Wikipédia par exemple.

Pour checker si votre nouvelle « identité » est bien en place, vous pouvez vérifier sur un site comme anonymat.org.

Ça y est j’suis super anonyme?

La réponse est assez simple: vraiment pas. Si cela permet de contrôler un peu mieux les traces que vous laissez, notamment si vous avez une configuration un peu trop exotique qui pourrait attirer l’attention sur vous (voir papier assez marrant de Reflets.info), la question n’est absolument pas réglée.

Changer son user-agent, c’est donc surtout un petit plus mais qui ne protège en rien des nombreuses autres façons de vous identifier. Donc soyez prudents! Pensez donc au minimum à camoufler votre adresse IP (par un proxy, VPN, Tor…), à bloquer ou nettoyer vos cookies, ou encore bloquer javascript qui peut permettre de vérifier vos plugins installés et de trouver une « empreinte » unique vous identifiant (utilisez NoScrip pour vous en prémunir). Sur ce dernier point, Panopticlick, un projet de l’Electronic Frontier Foundation permet de prendre la mesure ce problème. Enfin, pour un anonymat plus poussé, il sera certainement plus simple de jeter un œil du côté des systèmes d’exploitations live comme Tails.

Quoi qu’il en soit, ne perdons pas de vue que l’anonymat à 100% reste dans l’absolu impossible, et que s’en rapprocher ne peut être réduit à une simple addition d’outils. Donc réfléchissez bien!

Il n’y a pas que Facebook qui mériterait des claques dans le domaine du respect de la vie privée en ligne. Oh non! Alors que l’entreprise de Zuckerberg fait ses choux gras sur le mythe du « connecting the world », d’autres comme Google, se la jouent Che Guevara. Dernier exemple en date, la possibilité de flouter les visages sur YouTube. On pense de suite à un outil plutôt pratique pour les militant-e-s, et notamment dans les pays où publier des vidéos constitue l’un des rares moyens de communiquer avec l’extérieur, comme en Syrie.

Chouette pourrait-on donc se dire! Ça nous change de Facebook qui automatise le fichage biométrique par la photo! Mouais. Sauf qu’à peine quelques jours après, des premiers retours d’internautes inscrits sur Google + témoignent d’un fait nouveau. Pour rappel, au lancement du réseau social, Google avait fait la guerre aux pseudos, et beaucoup y sont donc présent-e-s sous leur véritable nom. Vous le savez également, tous les services Google sont connectés entre eux, il suffit d’une simple adresse gmail pour y accéder. Pas cons à Google, ils se sont dit: « puisqu’on les a bien fait chier sur G+ (et que ça marche en plus), ya plus qu’à attaquer sur YouTube! ». Hé ben c’est parti. Dorénavant, les personnes connectées à leur compte G+ qui posteront quelque chose sur le portail de vidéo avec un pseudonyme, seront sommées d’inscrire leur véritable nom.

Une fois l’accord donné, il semblerait qu’il s’applique alors à toutes les publications passées et futures de l’internaute.

Illustration tirée de l’article de Numerama sur le sujet.

À quoi joue Google? Et bien moi je dirais au con, comme d’habitude! D’un côté on fait le beau avec le floutage vidéo, ça mange pas de pain, ça fait résistant face aux méchantes dictatures qui menacent les États-Unis; et de l’autre, on impose un bon gros fichage à la Facebook avec harcèlement automatisé en prime pour les personnes qui n’auraient pas compris les règles du jeu. De plus, ça leur permet juste de reprendre la main et de revenir sur la mini concession opérée pour Google + en autorisant partiellement les pseudos.

Mais après tout, je ne sais même pas pourquoi j’emmerde le monde avec ces conneries car comme Éric Schmidt le dit: « seuls les criminels se soucient de protéger leurs données personnelles ». Tout est dit.

Alors que l’enquête de Médiamétrie révélait hier que 3/4 des Français fréquenteraient les réseaux sociaux, on peut sans prendre trop de risques, affirmer qu’une bonne partie de ces personnes ignore (volontairement ou non), l’implication de ces usages sur la préservation de leur vie privée.

Dans ce domaine, il faut bien comprendre que la gratuité apparente de ces services n’est en fait qu’une façade, masquant la réalité d’un nouveau modèle économique dans lequel la matière première est constituée par les données des utilisateurs (données volontairement renseignées et récoltées en fonction des usages). Sur les réseaux, on dit généralement que le véritable produit c’est VOUS. Mais d’un certain point de vue, on peut aussi affirmer que les usagers sont les producteurs de ce système, puisqu’ils fournissent les informations, les classent, les organisent, les font circuler etc. Et ce service que LES USAGERS fournissent GRATUITEMENT, ça vaut des millions, voire des milliards! Une machine bien huilée en somme!

Une infographie publiée par l’éditeur de logiciel Baynote propose une synthèse exposant la manière dont les données sont récoltées sur six grands sites populaires, ainsi que les objectifs de cette récolte.

Cependant, si j’ai trouvé ça utile pour une comparaison entre les réseaux, c’est pour moi assez illisible pour ce qui est de comprendre ce que chaque site récupère (et je ne serais peut-être pas le seul dans ce cas ^^). C’est pourquoi je vous propose en complément une simple liste pour chacun d’eux.
Note: Selon les cas, d’autres méthodes que celles décrites ici peuvent être employées.

Google +

150 millions d’utilisateurs; $36,38 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, les clics sur les publicités, la localisation, les  informations de profil, les informations de routage sms.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, des dispositifs de traçage, Doubleclick et Adsense.

Récolte des données pour:
La publicité ciblée, localiser, des notifications, intégrer plusieurs comptes.

Facebook

901 millions d’utilisateurs; $3,7 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, localiser, des notifications.

Twitter

140 millions d’utilisateurs; $140 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Linkedin

161 millions d’utilisateurs; $226 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, la localisation, le système d’exploitation, la connexion à des tierces parties, les informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Pandora

52 millions d’utilisateurs; $70,6 millions de recettes publicitaires par an.

Récolte des données sur:
Les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, les vendre aux agences marketing, intégrer plusieurs comptes.

Pinterest

10,4 millions d’utilisateurs; pas de recettes publicitaires.

Récolte des données sur:
Le navigateur, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
Des notifications, intégrer plusieurs comptes.