Jeudi 26 mars, une conférence de presse s’est tenue dans les locaux de La Quadrature Du Net afin de faire entendre la parole d’acteurs de la société contre la Loi sur le Renseignement, laquelle doit être votée à partir du 13 avril 2015.

Parmi les présents, on trouvait La Quadrature du Net, Amnesty International France, Reporters Sans Frontières, l’Observatoire des Libertés et du Numérique, le CREIS-Terminal, la Ligue des Droits de l’Homme, le Syndicat de la Magistrature, le Syndicat des avocats de France et le CECIL.

Ce qui frappe d’emblée dans ces prises de parole, c’est l’absence d’ambiguïté quant à la dénonciation d’un risque de surveillance de masse.  Trois autres problèmes fondamentaux structurent le positionnement commun:

• La question du rythme de l’étude du projet. L’utilisation de la procédure d’urgence pour voter cette loi ne permet pas l’installation d’un temps de réflexion pour la société civile.
• La question de la légalisation automatique des pratiques illégales des Renseignements (« allégales » selon le gouvernement).
• La question du recours pour les personnes pensant être sujettes à la surveillance qui est « quasiment inexistant ».

Une loi qui pourra impliquer les organisations politiques, syndicales et le mouvement associatif

Pour la LDH, il faut souligner que le discours du gouvernement présente le projet comme étant vertueux, alors qu’il légalise selon eux « des pratiques délinquantes et liberticides ». L’absence de volonté de négociation est elle aussi pointée du doigt.

Comme plusieurs autres acteurs, la Ligue rappelle qu’il ne s’agit pas d’une loi contre le terrorisme, comme on pourrait le penser étant donné le contexte politique et la communication gouvernementale, mais d’une loi sur le Renseignement. Cette distinction apparemment anodine a le mérite de proposer une prise de recul vis à vis d’une loi qui a été préparée bien avant les attentats de janvier, et dont le champ d’application dépasse très largement le problème de la supposée menace terroriste sur le territoire.

L’ouverture est en effet immense. La LDH considère donc que les organisations politiques, syndicales, et le mouvement associatif pourront tout à fait être concernés par cet élargissement du champ d’intervention. On se souvient alors du fichier EDVIGE. C’est également un projet qui organise « l’impunité des agents de l’État » et « le privilège donné au jugement administratif » qui est dénoncé.

Pour conclure, Pierre Tartakowski de la LDH lance: « C’est un projet qui ne fait pas confiance à la société mais qui demande à la société de faire confiance à l’État. Mais ce que nous avons appris, c’est que face à l’État, il ne faut pas de la confiance, il faut des garanties ».

La liberté de la presse menacée

Infatigable refrain fredonné depuis les attentats contre Charlie Hebdo, la menace vis à vis de la liberté de la Presse n’est plus ici l’apanage des terroristes. Pour RSF, la loi aura un impact direct sur les libertés des journalistes et pourrait bien compromettre la protection des sources. L’association demande donc une exception journalistique en s’appuyant sur la recommandation de la CNIL. Son porte parole Christophe Deloire critique également le blocage administratif d’un site mis en œuvre courant mars, au prétexte qu’un discours d’un responsable de l’État Islamique avait été cité.

Pas de doute, les inquiétudes sont grandes chez les journalistes aussi…

Un contrôle et des recours aux contours bien flous

Amnesty International France s’offusque par le biais de Geneviève Garrigos de l’absence de réflexion sur la problématique du Renseignement. Elle le définit ainsi: ce sont « des agences qui travaillent dans l’opacité et qui recueillent des informations ». Si le texte propose officiellement d’entraver ces risques de dérives, il est une fois encore présenté comme étant loin de se limiter au domaine du terrorisme. Elle relève notamment la protection des intérêts économiques de la France et la lutte contre les violences collectives, et anticipe elle aussi un ciblage des mouvements sociaux.

Le Droit fondamental est mis de côté: c’est le droit à la sûreté qui est sacrifié (garanti normalement face aux abus de la puissance publique), au profit du renforcement d’une protection des agents.
La CNCTR (Commission Nationale de Contrôle des Techniques de Renseignement) censée contrôler les mesures de surveillance, est de ce fait consultative. Si un individu est susceptible de participer à des mobilisations collectives ou de remettre en cause la sécurité d’une entreprise située en France, il pourra faire l’objet de mesures de surveillance. Mais seul le premier ministre pourra prendre la décision de cibler un individu. Pour Amnesty, il s’agit là d’une « remise en cause du principe d’inviolabilité du domicile et du droit à l’intimité », et d’un « refus d’un droit de regard indépendant [vis à vis] du politique ».

Si l’on pense être visé par une mesure de surveillance, la saisie du Conseil d’État sera possible, mais celui-ci ne pourra que confirmer s’il y a une mesure. La personne ne pourra être informée de ce qui a été mis en place, ni pour combien de temps. Le secret défense prévaudra. Là encore, « on empêche le contrôle démocratique » déclare Geneviève Garrigos . L’article 7 étend pour cela la pénalisation de la révélation sur l’existence de mesures de surveillance, même illégales. On pense rapidement au sort envisagé pour les lanceurs d’alertes.

L’Amérique, je veux l’avoir, et je l’aurai

Comme Joe Dassin, La Quadrature du Net s’est donnée pour mission de scruter outre-Atlantique pour comparer les ressemblances en terme de pratiques de Renseignement. L’association dénonce en avant-propos une politique de l’autruche car les pratiques de la DGSE et les accords LUSTRE n’ont « donné lieu à aucune réaction publique claire », et ce malgré des mois de polémiques autour des révélations Snowden. Cette omerta sur les pratiques américaines s’avère moins surprenante lorsque l’on observe les projets de renseignement français. L’article L851-4 sur les « boîtes noires » est ainsi mis en parallèle avec la loi britannique installant la pièce centrale de la surveillance systématique du GCHQ (Renseignements britanniques, alliés à la NSA).

De même, les communications émises ou reçues de l’étranger sont visées par la loi en préparation, ce qui recouvre une « très grande partie des communications » pour La Quadrature. Là encore, on fait le lien avec le placement de mouchards et la collecte « upstream » de la NSA, c’est à dire directement branchée sur les câbles Internet. Les modalités de surveillance feront également l’objet d’un décret non publié, autre outil dont se sont dotés les américains avec l’article 702 de la FISA, cette cour secrète couvrant les agissements de la NSA.

Enfin, pour la Quadrature, l’article qui immunise les agent de « criminalité informatique » si les faits sont réalisés à l’étranger fait irrémédiablement penser aux pratiques de hacking de la NSA.

Le bilan n’est donc pas très réjouissant pour toutes ces associations, mais leur message est clair, il est temps de nous faire entendre.

Fuité par le Figaro, le projet de loi relatif au renseignement a été présenté par Manuel Valls jeudi 18 mars au conseil des ministres. Il doit être voté en procédure accélérée (ça devient une habitude). Élargissant considérablement les capacités de surveillance et d’interception des communications sans passer par une autorité judiciaire, cette loi se voit déjà attribuer le surnom de Patriot Act à la française.

D’après Geneviève Garrigos, présidente d’Amnesty International France: « Par ce projet de loi, la France autorise la surveillance de masse pour la prévention du terrorisme sans contrôle judiciaire ni recours effectif pour les victimes de surveillance ».

Depuis de nombreuses années mais plus encore après les attentats de Paris début février, le discours sécuritaire est omniprésent dans les prises de paroles politiques. Ceux qui considéraient que le rythme était trop élevé sous Sarkozy en ont pour leur compte: la même semaine où la censure de sites présumés terroristes sans intervention d’un juge apparaît en France, le gouvernement tente de passer en vitesse une loi qui légalise les pratiques  obscures des renseignements. C’est l’un des aspects surprenants de la communication officielle: justifier en bloc des pratiques illégales. Les à côté en matière de surveillance pourront maintenant se légitimité par les textes. « Bonne » nouvelle!

Prévenir et prédire les comportements jugés suspects avec le Big Data

Les férus de science-fiction vont encore atteindre le point Orwel ou le point K. Dick. Selon les analyses, il serait question de poser des « boîtes noires » chez les fournisseurs d’accès afin de« détecter automatiquement une succession suspecte de données de connexion ». Des algorythmes devraient donc se charger de faire le tri afin de repérer des schémas ou des empruntes censées correspondre avec l’idée que les renseignement se font d’une communication déviante. Selon quels critères? Mystère.
Le premier ministre pourra demander la levée de « l’anonymat » en cas de suspicion d’une préparation d’un acte de terrorisme.

La première interrogation qui vient en tête concerne alors la taille de la botte de foin. Pour pouvoir dénicher l’aiguille, il faut bien retourner la paille, y jeter un œil… Rien qu’un petit peu. Doit-on donc s’attendre à une surveillance généralisée du trafic? Ou alors y a-t-il une technique miraculeuse permettant de ne surveiller directement que les méchants?

Irrémédiablement, on pense alors à l’utilisation du Deep Packet Inspection, c’est à dire à l’analyse des contenus des communications. Si le gouvernement s’en défend et évoque la seule observation des métadonnées (qui parle avec qui? À quelle heure? Combien de temps? etc.), le passif du gouvernement français vis à vis de cette technologie parfois comparée au nucléaire pour sa grande dangerosité pose question.

Souvenez-vous: 2011, Kadhafi est renversé et on trouve de jolies machines françaises estampillés Amesys. Utilisées pour observer la totalité de la population Libyenne, nous apprenions pour de vrai ce que signifie être leaders dans le domaine de la surveillance, et à quel point la France était compétente en la matière. L’affaire éclaboussa jusqu’au plus hauts lieux du pouvoir français mais aujourd’hui, silence. L’utilisation dans les dictatures aurait-elle servi de phase beta pour une introduction sur notre sol?
Nous ne pouvons tirer des conclusions hâtives mais la chose n’est plus impossible.

Si la méthode reste obscure, c’est aussi le cas pour les raisons qui pourront justifier une surveillance. Jugez par vous-même:

1. L’indépendance nationale, l’intégrité du territoire et la défense nationale
2. Les intérêts majeurs de la politique étrangère, l’exécution des engagements internationaux, la prévention de toute forme d’ingérence étrangère
3. Les intérêts économiques ou scientifiques majeurs
4. La prévention du terrorisme, des atteintes à la forme républicaine et à la stabilité des institutions, de la reconstitution ou du maintien de groupement dissous
5. La prévention de la criminalité et de la délinquance organisées
6. La prévention de la prolifération des armes de destruction massive
7. La prévention des violences collectives de nature à porter gravement atteinte à la paix publique

C’est déjà pas mal…
Qu’on se le dire, les comportements « suspects » seront bien encadrés.

Pour le plat de résistance

Le projet est un véritable chef d’œuvre de la fuite en avant sécuritaire:

• Surveillance des communications internationales et incitation à une collaboration étroite avec les acteurs des nouvelles technologies (Google, Facebook, Skype etc.) dans le cas de suspicion de la préparation d’un acte terroriste.
• Possibilité dans les mêmes cas d’intercepter en temps réel des informations sans passer par l’intermédiaire des fournisseurs d’accès (on se branche directement aux petits tuyaux des Internets).
• Introduction du secret de la défense nationale pour les entreprises devant collaborer en vue d’une surveillance.
• Conservation des enregistrements de 10 à 30 jours minimum et pouvant aller jusqu’à 5 ans.
• Dans le cas d’interceptions de données chiffrées, c’est le moment où elles deviennent lisibles qui marque le décompte
• Possibilité d’installer des mouchards dans l’habitat privé, dans le véhicule ou l’ordinateur (keyloggers), de localiser des individus et d’enregistrer tous types de conversations ou images à cette occasion (privées, confidentielles etc.)
• Utilisation d’IMSI catchers pour récolter des informations sur les téléphones portables situés dans une zone donnée
  

Alors que les précédentes loi anti-terroristes n’ont toujours pas été complètement appliquées, Médiapart évoque déjà une volonté gouvernementale de s’attaquer au chiffrement des communication, dernière garantie d’une vie privée préservée. Il s’agirait d’exiger des acteurs du net que soient remises les clés de chiffrement.

Un projet qui provoque déjà de nombreuses oppositions

Si l’unité nationale semble animer les « représentants » du peuple, ça n’est heureusement pas le cas de nombreuses associations, personnalités et commissions:

« Il ne s’agit plus seulement d’accéder aux données utiles concernant une personne identifiée, mais de permettre de collecter de manière indifférenciée, un volume important de données qui peuvent être relatives à des personnes tout à fait étrangères à la mission de renseignement. »

La CNIL (Commission nationale Informatique et Libertés)

« Il ne suffit pas de répéter qu’il ne s’agit pas d’un Patriot Act à la française. Pour s’en assurer, il faut inclure de manière contraignante le principe selon lequel la surveillance de masse, généralisée et indifférenciée, est étrangère à l’Etat de droit ».

Godefroy Beauvallet, vice-président du CNNum (Conseil National du Numérique)

« Alors que la loi sur le renseignement était annoncée comme une grande loi permettant de protéger les droits fondamentaux, l’instrumentalisation sécuritaire des événements meurtriers de janvier risque d’aboutir à une incroyable dérive du gouvernement en matière de surveillance des citoyens. »

La Quadrature Du Net

[Ces nouveaux moyens sont] «tellement intrusifs qu’ils ne devraient pas être utilisés hors cadre judiciaire. Il est répété qu’il s’agit d’un encadrement, alors que le texte revient à entériner des pratiques des services au lieu de fixer des limites».

Laurence Blisson, Syndicat de la Magistrature

[La surveilance est] «beaucoup trop généralisée sur l’ensemble des individus : on ne peut pas surveiller l’ensemble d’une population sur un lieu donné. Cela pose de vrais problèmes en matière de respect de la vie privée».

Floran Borg, Syndicat des avocats de France

« Ces pouvoirs exorbitants se feront sans contrôle judiciaire. Ne mentons pas aux Français en présentant ce projet comme une loi antiterroriste. Il ouvre la voie à la généralisation de méthodes intrusives, hors du contrôle des juges judiciaires, pourtant garants des libertés individuelles dans notre pays. »

Marc Trevidic, juge antiterroriste

« Le gouvernement français va surveiller tout le monde avec un algorithme. Big Brother devient une réalité »

Tristan Nitot, Fondateur de Mozilla Europe

« Tous ces gens, demain, pourraient entrer chez vous, chez moi, en douce, avec de fausses clés, de jour comme de nuit, pour y placer de minuscules bidules afin de nous surveiller au sein de notre intimité. Avec, je le suppose, des instructions précises : si cela devient trop hard, prière de détourner les yeux. […]

 

Qui va décider que cette manif qui a dégénéré devient ou non de la compétence de la DGSI ? […]

 

Pour mémoire, après Mai-68, la DST, l’ancêtre de la DGSI, a reçu l’ordre de mettre une grande partie de ses moyens pour faire la chasse aux gauchos. C’était De Gaulle. En 1982, Mitterrand a créé son petit service antiterroriste perso pour protéger sa vie privée et faire le ménage autour de lui. En 2015…

 

La Révolution française définissait la loi comme une « protection de la liberté publique et individuelle contre l’oppression de ceux qui nous gouvernent. ». Ce n’était qu’utopie, mais de là à inverser le concept ! »

Georges Moréas, Commissaire honoraire de la Police Nationale

C’est sûr, il y a de quoi s’inquiéter pour demain…

Problème récurrent lorsque l’on parle de données personnelles sur les smartphones, la question des permissions allouées aux applications fait souvent mal. Qu’un fond d’écran ou une lampe torche puissent accéder à votre carnet d’adresse, à l’espace de stockage, et communiquer avec le réseau, c’est tout à fait injustifé, et potentiellement dangereux. Qui sait précisément ce que peuvent communiquer certaines applis?

Afin de reprendre un minimum de contrôle sur son appareil et surtout sur sa vie privée, un petit firewall peut s’avérer utile. AFWall+ fait ce travail (fork de DroidWall qui a été racheté par Avast), et vous pourrez vous le procurer notamment sur Fdroid. C’est évidemment sous licence libre GPLv3, donc mangez-en sans retenue.
Note: vous devrez avoir rooté votre téléphone pour vous en servir. [edit] Cela peut remettre en cause la garantie, mais au stade où nous en sommes, un choix est à faire avec les mouchards de poche: la garantie, ou la vie privée. En effet, beaucoup d’applications indispensables nécessitent cette manipulation.

Ceci étant dit, le reste n’est qu’une formalité. Vous n’aurez qu’à choisir pour chaque application si elle peut accéder au réseau local (il me semble que cela doit concerner le bluetooth et peut-être le NFC, mais c’est à confirmer), au wifi, ou au réseau mobile (Edge/3G/4G etc.).

AFWall+ peut fonctionner selon le principe de la liste blanche ou de la liste noire (on coche les applis qui peuvent accéder aux réseaux, ou on coche celles qui ne le peuvent pas); il suffit pour cela de cliquer sur le mode en haut de l’écran (il est par défaut en liste blanche).

Enfin, les applications système sont en rouge, afin de vous aider à ne pas trop foutre le bordel dans votre téléphone. Certaines peuvent être interdites de réseau sans problèmes, mais pour d’autres, cela peut entraver le fonctionnement normal de votre machine. Si vous ne savez pas de quoi il s’agit, il vaut mieux laisser l’accès, ou faire vos propres tests, ce qui aura l’avantage de vous faire un peu mieux comprendre le fonctionnement d’Android.

Il sera bien entendu nécessaire de désactiver le firewall une fois de temps en temps afin de laisser se faire les mises à jours. Mais attention, cela veut dire que les applications curieuses pourront alors communiquer des données personnelles à ce moment.

Vous l’aurez compris, si AFWall+ est un indispensable pour le contrôle de ses données, il ne peut être qu’un complément à une application de gestion des permissions qui elle garantira un blocage d’accès aux carnets de contacts et autres sésames de votre intimité.
Pour faire ce boulot, vous pourrez télécharger Privacy Guard ou mieux, installer CyanogenMod qui gère ça de façon native.

Nous avons récemment « fêté » dans l’allégresse les un an des révélations Snowden sur la surveillance des canaux de communication opérée par la NSA. Depuis l’été 2013, les questions de vie privée et de surveillance des communications font désormais partie du paysage médiatique (bien plus qu’avant en tout cas), et les discours portant sur la protection des données personnelles deviennent audibles.

Afin de ne pas en rester aux généralités et de pouvoir construire son argumentation sur des faits avérés, et non pas uniquement des vérités générales sur « big brother », un petit bilan de ce qui a été établi s’avère très instructif.

La stratégie du feuilletonnage choisie par Snowden et Greenwald est efficace en ce qui concerne le maintien de la pression sur les médias, mais elle n’influe malheureusement que très peu sur le côté indigeste de la masse de révélations proposées.

Framablog propose une traduction d’un récapitulatif de l’Electronic Frontier Foundation. J’ai toujours rêvé de faire ce bilan, mais la tâche est ardue. Donc, cela n’arrive que très rarement, mais là je vais le faire: un gros repompage d’article, un bon vieux copié-collé style DM de maths fait à la dernière minute. 😉 (mais c’est l’autre qui avait copié en premier m’sieur jvous jure!)

65 choses sur la surveillance par la NSA que nous savons maintenant mais que nous ignorions il y a un an

Article original sur le site de l’Electronic Frontier Foundation

par Nadia Kayyali et Katitza Rodriguez

Traduction Framalang : hack, Diab, teromene, r0u, Thérèse, goofy, mrtino

Voilà un an que le journal The Guardian a publié pour la première fois le Foreign Intelligence Surveillance Court order, révélé par Edward Snowden, ex-sous-traitant de la NSA. Le document démontrait que la NSA avait mené des opération de surveillance généralisée sur des millions de personnes innocentes. Depuis lors, toute une vague de révélations choquantes, de divulgations, d’aveux partiels des autorités gouvernementales, d’appels aux lois qui garantissent la liberté de l’information, et de poursuites judiciaires, a déferlé sans interruption. Pour l’anniversaire de cette première révélation, voici 65 choses sur la surveillance par la NSA que nous savons maintenant mais que nous ignorions il y a un an.

1. Nous avons vu un exemple des décisions de justice qui autorisent la NSA à récolter potentiellement tout appel téléphonique aux USA – ce qui veut dire qui vous appelez, qui vous appelle, quand, pendant combien de temps et quelquefois même où.

2. Nous avons découvert les diaporamas en Powerpoint de la NSA qui détaillent comment est menée la récolte « en amont », par la collecte d’informations captées directement dans l’infrastructure des opérateurs de télécoms.

3. La NSA a conçu une vaste « drague du Web » en s’assurant qu’elle peut intercepter non seulement les communications d’une cible lorsqu’elle fait partie d’une communication mais aussi celles qui « concernent une cible, même si la personne ciblée ne participe pas à une communication ».

4. La NSA a confirmé qu’elle recherche des données collectées selon les clauses de la section 702 des amendements à la FISA (FISA Amendments Act) pour avoir accès sans mandat aux communications des citoyens des USA, grâce à ce que le sénateur Ron Wyden a appelé « le vide juridique de la recherche via porte dérobée ».

5. Même si la NSA a déclaré de façon répétée qu’elle ne ciblait pas les citoyens des États-Unis, ses propres documents montrent que les fouilles de données menées sous l’égide de la section 702 sont conçues pour déterminer avec un degré de confiance de 51% seulement si la cible est étrangère.

6. Si la NSA n’établit pas l’origine étrangère d’une cible, elle ne va pas arrêter d’espionner cette cible pour autant. Au lieu de ça, la NSA va présumer que la cible est étrangère tant qu’elle ne peut être « identifiée positivement comme une personne des États-Unis ».

7. Un audit interne de la NSA révélé par une fuite a donné les détails de 2776 violations de règles ou de décisions judiciaires en une seule année.

8. Les hackers de la NSA ciblent les administrateurs systèmes, indépendamment du fait que ces administrateurs systèmes peuvent eux-mêmes être totalement innocents de tout acte répréhensible…

9. La NSA et la CIA ont infiltré des communautés de jeu en ligne comme World of Warcraft et Second Life pour récolter des données et mener leur surveillance.

10. Le gouvernement a détruit des preuves dans des procès pour espionnage intentés par l’EFF contre la NSA. Comble de l’ironie, le gouvernement a également prétendu que les clients de l’EFF avaient besoin de ces preuves pour établir la recevabilité de leur plainte.

11. Le directeur du renseignement national, James Clapper, a menti au Congrès lorsqu’il a été interrogé directement par le sénateur Ron Wyden pour savoir si la NSA était en train de rassembler des données de quelque nature que ce soit sur des millions d’habitants des USA.

12. Microsoft, comme d’autres sociétés, a collaboré étroitement avec le FBI afin de permettre à la NSA de « contourner le chiffrement pour avoir accès aux données des utilisateurs ».

13. Pendant la seule année 2013, le budget du renseignement était de 52,6 milliards de dollars — ce chiffre a été révélé par la fuite d’un document, et non par le gouvernement. Sur ce budget, 10,8 milliards de dollars ont été attribués à la NSA. Cela équivaut approximativement à 167 dollars par personne résidant aux Etats-Unis.

14. La Cour fédérale de la surveillance et du renseignement (Foreign Intelligence Surveillance Court) a rendu des décisions qui autorisent la NSA à partager des données brutes — non expurgées des informations permettant d’identifier les personnes — avec le FBI, la CIA et le Centre national de lutte antiterroriste (National Counterterrorism Center).

15. Conformément à un protocole d’accord (memorandum of understanding), la NSA partage régulièrement des données brutes avec Israël sans en expurger les informations personnelles permettant d’identifier les citoyens des USA.

16. Les divulgations de Snowden ont montré clairement que l’administration Obama avait induit la Cour suprême en erreur à propos de questions clés dans le procès intenté par l’ACLU à la NSA pour espionnage, Clapper v. Amnesty International, ce qui a conduit à un renvoi de l’affaire pour manque de preuves.

17. La NSA « a pénétré le système de communication interne d’Al Jazeera ». Les documents de la NSA font état de ce que « les cibles sélectionnés avaient un “fort potentiel en tant que sources de renseignement” ».

18. La NSA a utilisé des cookies soi-disant anonymes de Google comme balises de surveillance, aidant ainsi à pister les utilisateurs individuels.

19. La NSA « intercepte “des millions d’images par jour” – dont environ 55 000 “images de qualité suffisante pour la reconnaissance faciale” » et les traite avec de puissants logiciels de reconnaissance faciale.

20. Le programme de reconnaissance faciale de la NSA « peut maintenant comparer les photos des satellites d’espionnage avec les photos personnelles interceptées prises en extérieur, pour déterminer leur localisation ».

21. Bien que la réforme de la NSA se soit essentiellement focalisée sur la Section 215 du PATRIOT Act, et que la plupart des magistrats aient également poussé à réformer la Section 702 du FISA Amendments Act, certains des pires espionnages de la NSA ont été effectués conformément au décret 12333, que le président Obama pourrait abroger ou modifier dès aujourd’hui.

22. La NSA a collecté les informations de localisation des téléphones mobiles des citoyens des USA durant deux ans sous couvert d’un projet pilote ayant pour but de voir comment pourraient être analysées de telles informations dans ses énormes bases de données.

23. Au cours du seul mois de mars 2013, la NSA a rassemblé 97 milliards de renseignements en provenance de réseaux informatiques du monde entier, dont 3 milliards de renseignements des réseaux propres aux USA.

24. La NSA a ciblé Tor, un ensemble d’outils qui permet aux internautes de naviguer sur le net de manière anonyme.

25. Le programme MUSCULAR de la NSA infiltre des liens entre les data centers mondiaux des sociétés technologiques comme Google et Yahoo. De nombreuses sociétés ont répondu à MUSCULAR en chiffrant le trafic sur leur réseau interne.

27. Le programme XKEYSCORE analyse les courriers électroniques, les conversations en ligne et l’historique de navigation de millions de personnes n’importe où dans le monde.

28. À travers BULLRUN, la NSA sabote les outils de chiffrement auxquels se fient les utilisateurs ordinaires, les entreprises et les institutions financières, cibles ou non, dans un effort sans précédent visant à affaiblir la sécurité des utilisateurs d’Internet, vous y compris.

28. L’opération Dishfire a collecté 200 millions de textos par jour à travers le globe, qui peuvent être utilisés pour extraire des informations intéressantes sur vous : localisation, contacts, données de carte de crédit, appels manqués, alertes d’itinérance (qui indiquent que vous franchissez une frontière), cartes de visite électroniques, informations sur vos paiements par carte, alertes aux voyageurs, et renseignements sur vos réunions.

29. À travers l’opération CO-TRAVELER, les États-Unis collectent des informations de localisation provenant de relais de téléphonie mobile GSM, d’émetteurs Wi-Fi et de concentrateurs GPS, qui sont ensuite analysées en fonction du temps pour déterminer entre autres avec qui une cible voyage.

30. Un mémo de 2004 intitulé DEA – The “Other” Warfighter (DEA – « l’autre » combattant) montre que la NSA et la DEA « profitent d’échanges réciproques d’information ».

31. Quand la DEA agit sur les renseignements que sa division « Opérations spéciales » reçoit de la NSA, ils cachent la source de l’information à travers une « construction parallèle », une mascarade recréant une enquête imaginaire destinée à cacher la source de l’indice, non seulement au défenseur, mais à la Cour. Il s’agit de faire en sorte qu’aucun tribunal ne rende de décision sur la légalité ou la finalité de l’usage qui sont faits des données de la NSA dans les enquêtes ordinaires.

32. Le produit de la surveillance de la NSA finit régulièrement entre les mains de l’IRS (NdT : le fisc des États-Unis). Tout comme la DEA, l’IRS utilise la « construction parallèle » pour dissimuler l’origine de l’indice.

33. Même le Conseil de surveillance de la vie privée et des libertés civiles (Privacy and Civil Liberties Oversight Board), dont les membres sont triés sur le volet par le président des États-Unis, a recommandé que le gouvernement fasse cesser la collecte massive des enregistrements téléphoniques autorisée par la section 215 [NdT : du PATRIOT Act], cette collecte étant inefficace, illégale, et probablement anticonstitutionnelle.

34. La NSA a des projets pour infecter potentiellement des millions d’ordinateurs en y implantant des malwares dans le cadre du programme Tailored Access Operations (opérations d’accès personnalisé).

35. La NSA a eu un contrat secret de 10 millions de dollars avec la société de sécurité RSA pour créer une « porte dérobée » dans ses produits de chiffrement, largement utilisés par les entreprises.

36. « Dans le cadre d’une proposition visant à salir la réputation de ceux dont l’agence pense que les discours incendiaires radicalisent les autres », la NSA a surveillé leurs accès aux contenus pornographiques et rassemblé d’autres informations d’ordre explicitement sexuel.

37. La NSA et ses partenaires exploitent les applications mobiles, comme le jeu populaire Angry Birds, pour accéder à des informations privées sur les utilisateurs comme la localisation, l’adresse personnelle, le genre, et plus encore.

38. Le Washington Post a révélé que la NSA récolte « des centaines de millions de carnets d’adresses provenant de comptes personnels de courriel ou de messagerie instantanée du monde entier, dont beaucoup sont des citoyens des USA ».

Beaucoup de révélations de Snowden ont concerné les activités de la NSA à l’étranger, ainsi que les activités de certains des plus proches alliés de la NSA, comme son homologue britannique le GCHQ. Certaines de ces activités ont été des entreprises coopératives. En particulier, les « Cinq Yeux » – les États-Unis, la Nouvelle Zélande, l’Australie, le Royaume-Uni et le Canada – se communiquent mutuellement les données concernant leurs citoyens, constituant ainsi des failles susceptibles de saper la législation nationale.

39. La NSA a versé à son homologue britannique, le GCHQ, 155 millions de dollars ces trois dernières années « pour sécuriser l’accès aux programmes de collecte du renseignement britannique et les influencer ».

40. The Guardian a rapporté ceci : « Sur une période de six mois en 2008, [le GCHQ] a collecté les l’images de webcam – y compris une quantité importante de communications explicitement sexuelles – de plus d’1,8 millions de comptes utilisateurs Yahoo à l’échelle mondiale. »

41. Le GCHQ a utilisé des logiciels malveillants pour compromettre des réseaux appartenant à l’entreprise belge de télécommunications Belgacom.

42. Les principales entreprises de télécommunications, y compris BT, Vodafone, et Verizon business ont fourni au GCHQ un accès illimité à leurs câbles de fibre optique.

43. Le GCHQ a utilisé des attaques DDoS et autres méthodes pour interrompre les communications des Anonymous et de LulzSec, y compris les communications de personnes qui n’étaient accusées d’aucun délit.

44. La station Bude du GCHQ a surveillé des dirigeants de l’Union européenne, de l’Allemagne et d’Israël. Elle a également ciblé des organisations non gouvernementales comme Médecins du monde.

45. Partenaires de la NSA aux antipodes, les services de l’Australian Signals Directorate, ont été impliqués dans des violations de communications entre avocat et client couvertes par le secret professionnel, remettant en question un principe fondamental de notre système de justice pénal commun.

46. Les agents du renseignement australien ont espionné les téléphones mobiles du cabinet ministériel indonésien et du président Susilo Bambang.

47. En 2008, l’Australie a offert de partager les données brutes concernant ses citoyens avec ses partenaires du renseignement.

48. Le CSEC a aidé la NSA à espionner les dirigeants politiques durant le sommet du G20 au Canada.

49. Le CSEC et le CSIS ont été récemment réprimandés par le juge d’une cour fédérale pour l’avoir induit en erreur dans une demande de réquisition faite il y a 5 ans, à propos de l’utilisation des ressources des Cinq Yeux pour pister les Canadiens à l’étranger.

Ironie du sort, certaines opérations de la NSA ont ciblé des pays qui avaient collaboré directement avec l’agence en d’autres circonstances. Et certaines semblaient simplement non indispensables et disproportionnées.

50. Les documents de la NSA montrent que tous les gouvernements ne sont pas transparents sur leur propre niveau de coopération avec la NSA. Comme le rapporte The Intercept : « Peu de dirigeants élus ont connaissance de cet espionnage, voire aucun ».

51. La NSA intercepte, enregistre et archive chaque communication de téléphone mobile des Bahamas.

52. La NSA a surveillé les communications téléphoniques d’au moins 35 chefs d’États.

53. La NSA a espionné des diplomates français à Washington et aux Nations Unies.

54. La NSA a piraté les réseaux de l’entreprise chinoise Huawei et volé les sources de son code.

55. La NSA a posé des mouchards dans les ambassades de l’Union européenne à New York et à Washington. Elle a copié des disques durs dans les bureaux de l’UE à New York, et a mis sur écoute le réseau informatique interne des ambassades de Washington.

56. La NSA a collecté les métadonnées de plus de 45 millions d’appels téléphoniques italiens sur une période de 30 jours. Elle a également entretenu des stations de surveillance à Rome et à Milan.

57. La NSA a stocké les données d’approximativement 500  millions de connexions des systèmes de communication allemands chaque mois.

58. La NSA a collecté les données de plus de 60 millions d’appels téléphoniques espagnols sur une période de 30 jours, fin 2012 et début 2013, et a espionné des membres du gouvernement espagnol.

59. La NSA a collecté les données de plus de 70 millions d’appels téléphoniques français sur une période de 30 jours, fin 2012 et début 2013.

60. The Hindu, sur la base de documents de la NSA, a rapporté que « Sur une liste exhaustive des pays espionnés par les programmes de la NSA, l’Inde est en cinquième place. »

61. La NSA a pénétré le compte officiel de courriel de l’ancien président mexicain Felipe Calderon.

62. D’après The Guardian : « La NSA a, pendant des années, systématiquement écouté le réseau des télécommunications brésiliennes et et a intercepté, collecté et stocké sans discrimination les courriels et enregistrements téléphoniques de millions de Brésiliens ».

63. La NSA a surveillé les courriels, les appels téléphoniques et les textos de la présidente brésilienne Dilma Rousseff et de ses plus proches collaborateurs.

64. Les agences du renseignement allemand ont coopéré avec la NSA et ont implémenté le programme de la NSA XKeyscore, tandis que la NSA était en train d’espionner les dirigeants allemands.

65. Le quotidien norvégien Dagbladet a rapporté que la NSA a acquis des données sur 33 millions d’appels de téléphones mobiles norvégiens sur une période de 30 jours.

Il ne fait aucun doute que les relations internationales qu’Obama s’était engagé à restaurer, de même que la confiance du peuple des États-Unis dans le respect de sa vie privée et de ses droits constitutionnels, ont été sapées par la surveillance tous azimuts de la NSA. Mais un an après, le gouvernement des USA aussi bien que les gouvernements d’autres pays n’ont pas pris les mesures nécessaires pour faire en sorte que cette surveillance cesse. C’est pourquoi chacun doit se mobiliser – contactez votre député, rejoignez Reset the Net, et apprenez comment la loi internationale s’applique à la surveillance états-unienne aujourd’hui.

Toutes les images sous licence CC BY 2.0, par EFF, JeepersMedia et Richard Loyal French.

Source de la traduction: Framablog

Vous avez certainement déjà croisé ce nom quelque part: javascript. C’est moche, ça fait peur, et ça peut mordre en plus (tout comme le logo de NoSript quoi). Pourtant, javascript, c’est un machin qui a participé à révolutionner le web, et facilité le passage dans le fameux 2.0, le web collaboratif. Grâce à lui, il a été possible de dynamiser les pages, de modifier une partie de celles-ci sans les recharger entièrement; et ça ça veut dire possibilité de commenter directement, d’intégrer des contenus extérieurs, de tweeter grâce au joli bouton tout bleu etc. etc.

Mais javascript, c’est aussi potentiellement votre pire ennemi si vous souhaitez surfer discrètement, car s’il garantit fonctionnalités et design modernes, il peut tout aussi bien servir aux indiscrets de tous bords.

Back to the Future?

Ça faisait un bail que je voulais parler de cette superbe extension libre pour Firefox qu’est NoScript, mais il faut dire que la flemme aura toujours eu le dessus. Aussi connue soit-elle, je ne pouvais faire l’impasse sur le sujet.

Son principe est simple: bloquer tous les scripts par défaut, et vous laisser le loisir de décider quelles sont les pages que vous jugez dignes de confiance. Il est également possible de définir une liste noire, c’est à dire d’interdire des scritps (Google Analytics, au hasard), même si l’on décide d’autoriser une page temporairement pour pouvoir profiter davantage de ses fonctionnalités. [NDA: édit]

Je ne vous cacherai pas que la prise en main et la configuration ne sont pas des plus rapides. En effet, il va falloir pour chaque site, faire le tri entre le grain et l’ivraie, entre les scripts légitimes et ceux qui servent à vous traquer par exemple, à l’image de celui qui correspond à Google Analytics. Vous l’aurez compris, NoScript fait aussi un peu le boulot d’un Ghostery ou d’un Disconnect.

Autre point, soyez conscient que l’affichage des sites risque d’être « quelque peu » altéré… Non vous n’êtes pas retourné en 1995! Il reste simplement un ou deux petits réglages à faire pour redonner à votre site préféré son petit côté bling bling, mais n’ayez crainte, vous n’allez pas vous transformer pour autant en affreux geek-barbu-pro-sites-moches adepte de la navigation sur le web dans un terminal (enfin ça viendra, mais pas tout de suite 😉 ).

La page Google affichée dans un terminal par w3m (sous linux)

Mais à quoi bon?

S’il s’agit d’une tâche fastidieuse que d’apprivoiser la bête lorsqu’on découvre le principe de la liste noire, on y trouve en retour largement son compte. Premièrement, constater le nombre de scripts et leurs utilités est le premier apport. Comme pour Ghostery ou disconnect, les curieux pourront affiner leur connaissance du web, et comprendre un peu mieux comment tout cela fonctionne. Vous apprendrez si vous ne le savez pas encore que sur une page, de nombreux tiers peuvent intervenir, et donc récolter des informations sur vous.
Cerise sur le gâteau: il n’est pas impossible que vous gagniez en temps de chargement des pages.

Ensuite, comme précisé ci-dessus, cela vous débarrassera d’un certain nombre de trackers publicitaires, de pop-up envahissantes et autres désagréments de l’Internet moderne.

Sont également concernés, les contenus Flash, Silverlight, Java etc. qui peuvent poser de gros problèmes de sécurité (ils permettent à un pirate d’effectuer des attaques), et « d’anonymat » (voir l’article sur Flash Player). Les vidéos ne s’afficheront donc pas à moins que vous ne le décidiez.

Cette extension est pleine de ressource et vous aussi protégera contre plusieurs autres menaces dont le XSS (cross-site scripting), ou le clickjacking.

Pour vous faire une idée de l’utilité du machin, faîtes un tour sur quelques sites après avoir installé Ligthbeam (ex Collusion), puis avec NoScript…

Enfin, quelques conseils en terme de paramétrage:

• Activez l’extension et bloquez tous les scripts (et oui, c’est con mais il ne faut pas oublier).
• Pour limiter le temps d’affichage des pop-up signalant la présence de scripts: Options > Notifications, et faîtes « cacher après 1 seconde ».
• Dans Options > Apparence, n’autorisez que les adresse complètes histoire de garder un maximum de contrôle, et de ne pas se fier à un nom de domaine entier.
• Pour accéder au menu contextuel de l’extension au clavier: Ctrl+Shift+S.

Allez, amusez-vous bien, il reste encore de nombreuses chose à découvrir sur cette extension, et ne vous découragez pas pour la prise en main, cette addon vaut vraiment le coup!

Pour creuser un peu plus sur le sujet:

https://securityinabox.org/fr/firefox_noscript

http://assiste.com/NoScript.html

Il en a été question à mainte et mainte reprises ici, le modèle de l’entreprise Google repose quasi exclusivement sur la récolte de données personnelles en vue de personnaliser davantage les publicités et résultats affichés par le moteur de recherche et les sites traitants avec des partenaires. En clair, Google est une régie publicitaire proposant des services qui ont pour fonction d’augmenter ses bases de données sur les utilisateurs et leurs centres d’intérêts.

Hégémonie et coups fourrés

Ses services sont très nombreux, et bien souvent les plus populaires. Le moteur de recherche est de loin le plus utilisé en France et dans de nombreux pays, Android est premier sur le marché des OS mobiles, Youtube draine des flux monstrueux de données, Gmail, Google Maps ou encore Google Drive, sont des références dans leurs domaines. Inutile de parler également des Chrome Books, lesquels ne laissent absolument aucune porte de sortie pour échapper aux serveurs du géant de Moutain View.

Il y a peu, le logiciel libre Firefox tenait le haut du pavé dans le domaine des navigateurs web. Les possibilités en terme de personnalisation offertes par l’ouverture du code ont incontestablement participé à la popularisation d’un web plus ouvert, et adaptés à nos besoins. Mais aujourd’hui, Google Chrome est devenu le premier navigateur, et renforce la domination de Google dans les technologies web.

Supposé plus simple et plus rapide, il n’inquiète que peu de gens, et s’installe parfois sans même prévenir. C’est le cas en particulier avec le très célèbre antivirus gratuit Avast. Notons que cette méthode d’installation liée à un autre logiciel fait irrésistiblement penser aux vieux adwares (programmes publicitaires) et sypwares (programmes espions) qui s’installent sournoisement sur notre machine, ajoutant telle ou telle barre de recherche envahissant notre navigateur, ou ces programmes dont on ignore la présence et qui communiquent bien des informations vers des serveurs dont on ne soupçonne l’existence à priori.

Pourquoi Google Chrome est-il un spyware?

À peine sorti en 2008, le navigateur avait déclenché les foudres de certains internautes, et était accusé de cacher des fonctionnalités malveillantes. La polémique s’était notamment orientée vers un petit programme au fonctionnement louche et qui aurait permis à Google de continuer à tracker les utilisateurs même après avoir desinstallé le navigateur.

Et lorsque l’on jette un œil sur la définition de logiciel espion sur Wikipédia, on tombe là-dessus:

Un logiciel espion (aussi appelé mouchard ou espiogiciel ; en anglais spyware) est un logiciel malveillant qui s’installe dans un ordinateur dans le but de collecter et transférer des informations sur l’environnement dans lequel il s’est installé, très souvent sans que l’utilisateur en ait connaissance. L’essor de ce type de logiciel est associé à celui d’Internet qui lui sert de moyen de transmission de données.

Voyons donc comment se comporte le navigateur de Google, et constatons à quel point cette définition lui sied bien.

Dans l’avis de confidentialité de Google Chrome, on trouve ceci:

Sur les informations récoltées:

« Lorsque vous utilisez un navigateur, y compris Chrome, pour contacter les serveurs Google, Google reçoit par défaut des informations de connexion standards comprenant l’adresse IP de votre système, ainsi qu’un ou plusieurs cookies. »

Chaque copie du navigateur est identifiable également par un numéro unique, facilitant sans nul doute la reconnaissance des utilisateurs en ligne. Des statistiques peuvent également être envoyées à Google concernant l’usage fait du logiciel à l’installation.

Mais Google est aussi partageur:

« Pour accéder à certains contenus, il est possible que le navigateur Chrome pour Windows, Chrome OS ou le Chromecast doive transmettre à divers partenaires de contenu et sites Web un identifiant unique stocké sur votre système, à l’aide d’Adobe Flash Access. »

« Les tiers auxquels votre identifiant unique est transmis peuvent l’associer aux informations personnelles que vous leur communiquez. L’utilisation par Google d’un identifiant unique dans le but de fournir des contenus depuis les serveurs Google est soumise aux règles de confidentialité Google. »

Mais à quoi peuvent-elles bien servir?

« Les informations envoyées à Google lorsque vous utilisez Chrome sont traitées en vue de l’exécution et de l’amélioration du navigateur et d’autres services Google. Les informations envoyées à d’autres opérateurs de sites Web sont soumises aux règles de confidentialité de ces sites. Chrome stocke des informations sur votre système dans le but d’améliorer ses performances, et de vous fournir des fonctionnalités et des services utiles. » [???]

Sur les recherches effectuées:

« Lorsque vous saisissez des URL ou des requêtes dans la barre d’adresse de Chrome (l’omnibox), ou dans le champ de recherche du lanceur d’applications, les premières lettres peuvent être transmises à votre moteur de recherche par défaut afin que des prédictions de termes ou d’URL vous soient automatiquement proposées. »

« De plus, pour les utilisateurs connectés, le texte que vous saisissez dans le champ de recherche du lanceur d’applications peut être envoyé à Google afin que des recommandations vous soient proposées pour vos contacts et les applications que vous recherchez éventuellement. »

Marque pages, Historique de navigation, Téléchargements, et sites consultés sont eux-aussi enregistrés analysés, et bien sûrs mis en relation avec votre compte si vous en avez un:

« Si vous vous connectez au navigateur Chrome, à Chrome OS ou à un appareil Android sur lequel Chrome a été préinstallé avec votre compte Google, la fonctionnalité de synchronisation est alors activée. Nous stockons certaines informations associées à votre compte Google sur nos serveurs, telles que les favoris, l’historique et d’autres paramètres. »

Mais Chrome vous aide à parler toutes les langues…

« Lorsque vous utilisez la fonctionnalité de traduction de Chrome, le contenu que vous saisissez est envoyé au moteur de recherche Google afin d’être traduit. »

… Et aussi à mieux maîtriser la votre…

« Lorsque vous utilisez la fonctionnalité de vérification orthographique de Chrome, qui est basée sur la même technologie que celle de la recherche Google pour détecter les fautes d’orthographe, le texte saisi est envoyé à Google pour vous proposer des suggestions de corrections orthographiques et grammaticales. »

Si vous utilisez des outils de reconnaissance vocale et que vous avez accepté l’envoi de statistiques, « d’autres informations sont envoyées à Google, y compris l’URL du site Web sur lequel vous utilisez la saisie vocale, la version de votre système d’exploitation, ainsi que le fabricant et la marque de l’appareil et du matériel audio que vous utilisez. »

Vous utilisez la fonction de géolocalisation intégrée au navigateur? Google sera heureux d’envoyer vers ses serveurs « certaines informations concernant votre réseau local aux services de géolocalisation de Google afin de déterminer votre position approximative. »

Cela peut comprendre:

« [Des] caractéristiques des routeurs Wi-Fi et les identifiants des antennes-relais les plus proches de vous, la puissance du signal de votre connexion Wi-Fi ou de votre mobile, ainsi que l’adresse IP actuellement attribuée à votre appareil. Nous utilisons ces informations pour déterminer votre position, ainsi que pour améliorer le fonctionnement et la qualité de Chrome et des services de géolocalisation de Google. »

« Dans le but d’aider à améliorer la fonctionnalité de navigation sécurisée, vous pouvez envoyer des données supplémentaires lorsque vous consultez un site qui semble contenir des logiciels malveillants.« 

Et en navigation privée?

« Le navigateur communique de plus régulièrement avec les serveurs de Google afin d’estimer à quels moments les personnes se connectent, pendant combien de temps etc. »

 Sous Android

N’oublions pas les terminaux mobiles, qui représentent une part grandissante des moyens d’accès au web. Installé par défaut, Chrome se montre assez gourmand en permissions. Jugez par vous-même:

Parmi les spécificités mobile: si vous avez autorisé l’accès à la géolocalisation par les applications Google, Chrome pourra par exemple s’en servir pour vous présenter des résultats personnalisés. L’un des marchés émergeant développe en effet des propositions de publicités ciblées lorsque l’on passe devant un magasin par exemple.

En bref

Enfin, et quelque soit le type de terminal, n’oublions pas qu’en tant que logiciel privateur (non libre), il n’est possible de connaître le fonctionnement de Chrome que par ce que ses concepteurs veulent bien nous en dire. Seul le logiciel libre nous permet de connaître exactement la manière dont les programmes se comportent.

Firefox sera donc préférable à Chrome, mais il sera tout de même nécessaire d’apporter quelques modifications, car là encore, l’hégémonie de Google en a fait un relais à sa récolte de données personnelles.

Il existe également Chromium, qui est le projet libre sur lequel est basé Chrome.

Droit de réponse…

En droit de réponse et en guise de loyauté, laissons la parole à Éric Schmidt, président du Conseil d’Administration de Google et ancien PDG, lequel défend fort bien la philosophie de ses produits:

« C’est un futur où vous n’oubliez rien. Dans ce futur nouveau, vous n’êtes jamais perdu. Nous connaîtrons votre position au mètre près et bientôt au centimètre près. Vous n’êtes jamais seul, vous ne vous ennuyez jamais, les idées ne viennent jamais à vous manquer. »

« Google a pour règle d’aller jusqu’au bord de ce qui pourrait vous donner la chair de poule et de ne pas aller plus loin. Je dirais qu’implanter des choses dans votre cerveau franchit cette ligne rouge. Du moins pour l’instant, jusqu’à ce que la technologie s’améliore. »

« Nous allons devenir de plus en plus forts au niveau de la personnalisation. L’objectif, c’est que les utilisateurs de Google puissent en venir à poser une question comme “ que dois-je faire à présent ?” ou encore “ quel job devrais-je prendre ?” « .

Le meilleur des monde…

Edit: Suite à une demande des personnes s’occupant du VPN wnh, quelques modifications ont été apportées à cet article (en rouge). Merci à eux pour leur aide.

J’avais déjà évoqué les VPN lors d’un petit tuto pour Android. Faisant partie des outils de base participant à une meilleures protection de nos excursions en ligne, le VPN sait se montrer peu contraignant une fois installé.

Popularisé ces derniers temps par les personnes qui téléchargent illégalement, voire par le mouvement Anonymous, le VPN, pour Virtual Private Network, peut remplir plusieurs fonctions assez différentes. On parle souvent de tunnel pour illustrer son fonctionnement. En effet, son principe consiste à « encapsuler » les informations transmises entre nous et le serveur VPN, pour ensuite laisser à ce dernier une fonction de proxy. Cela signifie en clair que les sites consultés n’auront théoriquement accès qu’à l’adresse IP du serveur VPN, et non à la votre.

Définir ses besoins

Il convient avant toute chose de se poser la question des raisons qui peuvent vous pousser à l’utilisation de cet outil. En effet, cette réflexion doit permettre de vous orienter vers telle ou telle solution. Un VPN, ça peut servir à:

• Se connecter de manière sécurisée au serveur de son entreprise, de chez soi
• Contourner la censure pour accéder à des sites bloqués dans son pays
• Se prémunir de la surveillance des intermédiaires techniques comme les fournisseurs d’accès à Internet
• Renforcer (un peu) son anonymat

Le moment du choix est donc décisif, et ne doit pas être pris à la légère. En ce qui concerne une utilisation orientée protection de la vie privée, plusieurs éléments doivent être considérés:

• Le serveur VPN aura accès à l’intégralité de vos surfs. N’offrez pas ces informations à n’importe qui, d’autant plus qu’un véritable marché s’est développé dans le domaine. Attention donc aux « gratuits ». Tous les VPN ne se valent pas, et la confiance est votre seule garantie (soit quelque chose d’assez léger en terme de sécurité)
• L’opérateur conserve t-il les logs de connexion? Analyse t-il le trafic? Bloque t-il certains protocoles? Certains sites etc.?
• La législation du pays dans lequel les serveurs se trouvent, notamment en ce qui concerne la conservation des données et l’interception légale
• Les pratiques réelles, hors cadre légal, des services de renseignement ou des entreprises
• La fonction recherchée, et les habitudes réservées à l’utilisation de ce VPN. L’utiliser pour quelque chose de pas très légal pour ensuite se connecter à son compte en banque peut être un pari un peu délicat
• Avoir conscience qu’un VPN n’offre en aucun cas une navigation anonyme. Il y a de très nombreuses manières d’authentifier quelqu’un par ses cookies, son emprunte numérique (logiciels, modules, caractéristiques matérielles…),  ses habitudes etc.

Lorsque tout est clair dans votre esprit et que votre compagnon de route est choisi, nous pouvons nous lancer pour l’installation et la configuration.

Installer son VPN

Pour ce tuto, nous prendrons comme pré-recquis que nous sommes sous Debian GNU/Linux ou une distribution dérivée comme Ubuntu, avec Gnome (ou Unity) comme environnement de bureau.

Allez, on se lance! On ouvre un terminal!

Installation

Sous Debian (en root):

aptitude install network-manager-openvpn-gnome

/etc/init.d/network-manager restart

Sous Ubuntu:

sudo apt-get install network-manager-openvpn-gnome

sudo service network-manager restart

Configuration

Ouvrez les paramètres réseaux, et ajoutez un VPN, puis sélectionnez OpenVPN.

Pour l’exemple, nous prendrons le VPN gratuit proposé par Telecomix. Attention, celui-ci est basé en France, donc soumis aux lois concernant la conservation des données personnelles. Son usage répond donc essentiellement aux volontés de brouiller la surveillance des fournisseurs d’accès à Internet, ou à contourner la censure.
De plus, des difficultés dues au temps nécessaire à la maintenance et à l’établissement d’une documentation exhaustive en font un outil qu’il faut utiliser avec précaution. Évitez-donc pour l’instant ce VPN pour des usages nécessitant un haut niveau de sécurité. Tenez-vous informés sur le site dédié à ce VPN.

La configuration sera un poil plus simple que d’habitude, car il n’y a pas de compte à créer et un fichier de configuration est déjà tout prêt 🙂

• Téléchargez le certificat crt, dans un dossier dédié, ça sera moins le bordel. Vous y rangerez aussi le fichier qu’on va créer juste après. Des mirroirs sont disponibles en cas de problème d’accès
• Le certificats sera bientôt renouvelé, donc gardez l’œil ouvert.
• Avec Gedit par exemple, générez un fichier nommé wnh.ovpn avec le contenu suivant:

client
dev tun
proto tcp
remote vpn.wnh.me 1194 # Will hopefull be a roundrobin to all VPN entrypoints of the darknet
resolv-retry infinite
nobind
persist-key
persist-tun
script-security 3
# Because server does not require certificate, it has to ask for credentials, but anything can be entered
auth-user-pass# The root CA used to sign the _server_ certificate
# download it from a mirrow below the config
ca wnh-ca.crt
comp-lzo
route-nopull # do not ask the server for any routing setting
route 10.0.0.0 255.0.0.0 # route the 10.* net to the VPN
route-metric 10 # set a higher metric, to prevent routing of
# local nets staring with 10 to the Darknet

• Dans les paramètres de connexion, importez une configuration, et choisissez le fichier que vous venez de créer.
• Note: Sous certaines version de Gnome Shell, il semble ne pas y avoir cette option. Vous pouvez installer l’extension Old Network Manager pour avoir l’ancienne interface en plus et régler ce problème.
• Choisissez un identifiant et un mot de passe au hasard, et enregistrez tout ça.
• Il ne vous reste plus qu’à vous connecter au VPN dans votre gestionnaire de connexions, et à rester prudents avec votre nouveau joujou!

Note: Si vous êtes à la recherche d’une solution permettant un anonymat plus renforcé, je vous conseille de vous orienter vers des logiciels comme Tor, ou encore des systèmes d’exploitation Live comme Tails.

Depuis la modification de l’article 5(3) de la directive 2002/58/CE, l’Union Européenne oblige les sites Internet à recueillir le consentement des utilisateurs lorsque des cookies utilisés pour le traçage sont déposés. Vous l’avez peut-être remarqué, un bandeau apparaît dorénavant sur certains sites.

En cette période de révélations fracassantes sur la surveillance globale menée notamment par la NSA, on pourrait penser qu’il s’agisse de broutilles. Néanmoins, toute avancée aussi minime soit-elle est bonne à prendre, surtout si elle permet de mieux comprendre le fonctionnement du réseau et les pratiques de traçage en général.

En effet, n’oublions pas que la surveillance d’État tire profit de la collecte et de l’accumulation centralisée de données par les entreprises du web (lorsqu’on a le Patriot Act, il ne suffit plus que de se baisser pour les ramasser). C’est donc aussi grâce à ces immenses bases de données qu’il est plus aisé de surveiller, et c’est par la normalisation, et par l’incompréhension de ces méthodes, que les États liberticides continuent leurs pratiques dans une indifférence résignée face à l’apparente complexité du phénomène.

La CNIL a donc publié une petite vidéo pédagogique expliquant le fonctionnement des cookies, lesquels intéressent en principe chacun des internautes, ainsi que des conseils pour mieux comprendre la directive européenne et se mettre en conformité si l’on administre un site.

(Je ne m’étends pas sur le scénario présentant une fois de plus la femme comme étant chiante, jalouse, colérique, et qui a besoin de son compagnon pour lui expliquer comment fonctionne un ordinateur, mais bon…)

Des outils sont disponibles pour gérer ses cookies, j’ai par exemple évoqué ici l’excellent Cookie Monster, une extension Firefox qui permet de n’accepter que les cookies de sites désignés par l’utilisateur.

Hasard du calendrier ou obstination sans fin, c’est quasiment un an après jour pour jour que le FBI relance l’idée de placer des backdoors sur les sites web fréquentés. Selon le Washington Post, un projet de loi serait dans les cartons.

Cela semble être la grande mode depuis pas mal d’années aux États-Unis: il faut épier, espionner, tout contrôler. Alors que le Patriot Act avait utilisé (et utilise toujours) l’excuse du 11 septembre pour permettre la saisie de toutes les données stockées par des entreprises américaines, les projets de lois s’enchaînent et renforcent encore le fichage et la surveillance d’État. Les regards s’étaient récemment à nouveau tournés vers la loi CISPA, en attente d’être voté par le Sénat après avoir été validé par la Chambre des représentants. Cette dernière prévoit un rapprochement entre les agences de surveillance et les grandes entreprises du web, mais il faut croire que cela n’est pas suffisant, puisque ce nouveau projet porté par le FBI de loi permettrait une surveillance directe des internautes par le biais de backdoors.

Évidemment, on peut parier que les Google, Facebook et Cie seront parmi les premiers visés par ce projet, car drainant une énorme partie du trafic. Comme pour le Patriot Act, ce sont les utilisateurs du monde entier qui sont concernés par un tel projet puisque que nos données transitent également par ces sites. De plus, n’oublions pas que la France compte parmi les pays qui émettent le plus de demande d’informations personnelles aux géants américains.

Encore une raison pour se précipiter vers les alternatives aux grands sites commerciaux, surtout lorsqu’on constate le peu d’opposition, que certains ont pu montrer face à des projets comme CISPA (allez, ils ont été une paire à soutenir disons le clairement!).

Malgré l’image un peu plus respectable dont jouit encore Twitter, il ne doit pas y avoir méprise: le réseau fonctionne comme beaucoup sur le principe de « si c’est gratuit c’est que vous êtes le produit ». Depuis le 17 avril, le réseau permet aux annonceurs de cibler leurs annonces en fonction des mots-clés utilisés par les abonnés. De nouvelles perspectives de traçage sont à prévoir.

L’épicerie du coin

Jusqu’à présent, ce sont les centres d’intérêt des utilisateurs qui servaient à « proposer » des messages sponsorisés. Désormais, les mots-clés utilisés permettront d’aller encore un peu plus loin. L’argumentaire proposé par le réseau est d’ailleurs bien rodé. En effet, grâce à cela, les amateurs de musique pourront profiter d’informations locales (l’annonce d’un concert par exemple) et se verront ainsi mis au courant de quelque chose qui les intéresse, près de chez eux. Dans ce contexte, le côté « local » passe presque pour du commerce de proximité, un label genre « producteur du coin ». C’est assez cocasse et bien amené.

« J’irai où tu iras » (Céline Dion)

Le véritable « avantage » dans cette affaire c’est d’augmenter la proximité géographique ET temporelle des annonces. Grâce aux dispositifs nomades (smartphones, tablettes…), il va être possible d’associer localisation de l’internaute et profil établi. Par exemple, vous pourrez recevoir une publicité pour un magasin de vêtements se trouvant à proximité si cela est jugé pertinent par rapport à l’analyse du contenu de vos tweet. Ce modèle est sans nul doute l’avenir proche pour l’ensemble du modèle de traçage publicitaire en ligne (il se pratique déjà dans certaines régions).

« Non, Non, rien a changé » (Les Poppys)

Évidemment Twitter jure sur la vie de sa grand-mère qu’il n’y aura pas plus de publicité proposée. Quoi qu’il en soit, un nouveau cap a été franchi et il convient de toujours garder en tête que ce réseau social comme d’autres, n’a pour objectif que d’augmenter ses profits en établissant des profils des utilisateurs pour les annonceurs publicitaires. Selon le cabinet spécialisé eMarketer, Twitter viserait le milliard de recettes pour 2014.

Gros cas de conscience quand on arrive sous Android et qu’on est Googlophobe: reste t-on en autarcie avec les seules applications natives, ou crée t-on un compte Google avec l’adresse Gmail qui va avec, la récolte des données de votre téléphone, et l’un des derniers bastions de votre intimité livré au géant du profilage commercial? En attendant une éventuelle alternative crédible du côté d’Ubuntu Phone, ne baissons pas les bras, FDroid est là!

FDroid, c’est un dépôt et une application qui propose tout un tas de logiciels libres pour Android. Cela peut donc remplacer (ou compléter, c’est selon), le Google Play Store. Ce dépôt présente de nombreux avantages par rapport à celui de la firme de Mountain View.

C’est d’la bonne!

Premièrement, FDroid ne propose que des applications libres. Et alors? Une application sous licence libre, c’est faire le choix de l’éthique et de la sécurité. Un choix éthique parce que les applis sont bien souvent développées en collaboration, et qu’elles participent à l’enrichissement du bien commun numérique face au tout propriétaire et au dogme du brevet. La question de la sécurité vient rapidement car la philosophie du libre pousse bien souvent les développeurs et les utilisateurs à refuser les logiques de récolte des données personnelles et de profilage. FDroid vous proposera donc pour les applications ne respectant pas ces principes, d’assurer un filtrage au préalable:

• Filtrages pour les applications qui contiennent des publicités,
• qui épient et rapportent votre activité,
• qui promeuvent des extensions privatives (non libres),
• qui promeuvent des réseaux privateurs,
• qui dépendent d’autres applications non libres.

Enfin, l’ouverture du code source, le développement et l’utilisation dans un esprit collaboratif sont également de plus grandes garanties d’une inspection et d’une réparation rapide des éventuelles failles de sécurité. Que des choses à y gagner donc!

J’ai pas mon CAP astronaute… Je peux l’installer?

Il n’y a vraiment rien de particulièrement difficile à installer tout ça. Tout d’abord, rendez-vous sur http://f-droid.org/. Vous cliquez sur ssl download et l’appli se télécharge. Android vous demandera si vous souhaitez autoriser l’installation d’applications issues de sources inconnues. Acceptez. Si ce n’est pas le cas, allez dans « Paramètres » / « Sécurité » et cochez la case.
Ayé c’est fini. Trop forts les gars! (et les filles) 😉

Il n’y aura plus qu’à lancer l’application FDroid et picorer dans la liste. Vous constaterez également que pour chaque application, la licence sera précisée (ce qui est loin d’être le cas sur le Play Store!).

Petite astuce supplémentaire: il est possible d’étoffer un peu la liste en ajoutant le dépôt orienté sécurité et vie privée de Guardian Project. Pour cela, rendez-vous dans « Gestion des dépôts » / « Nouveau dépôt », et ajoutez https://guardianproject.info/repo/.
Vous y trouverez notamment Orbot, l’équivalent de Tor pour Android!

En naviguant sur le web, nous communiquons énormément d’informations sur nous-mêmes, notre matériel, notre configuration etc., et laissons donc énormément de traces qui permettent de nous identifier. J’avais écrit deux petits articles à ce sujet qui permettent de se faire une première idée pour les personnes qui ne connaissent pas du tout la problématique, ici et là.

User what?

Parmi ces informations transmises, on trouve le user-agent. Lorsque l’on accède à une page, un dialogue s’opère entre votre machine et les serveurs hébergeant le site (pour faire vite mais c’est plus compliqué 🙁 ). Parmi les informations échangées, on va trouver par exemple la langue souhaitée, le type de navigateur, de système d’exploitation etc. Cela permet d’afficher un contenu attendu, ou encore de l’adapter selon le matériel de l’internaute (proposer directement le téléchargement d’un logiciel adapté à votre système d’exploitation par exemple).

Pour visualiser un peu, le user-agent, c’est un truc qui ressemble à ça:

Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)

On retrouve donc bien les informations concernant le système d’exploitation (Windows NT 5.1 soit Windows XP), et sur le navigateur (MSIE pour Microsoft Internet Explorer).
Note: Mozilla/4.0 correspond au nom et à la version de l’application (Internet Explorer s’identifie comme le navigateur de Mozilla pour des raisons historiques).

L’extension Firefox: User Agent Switcher vous propose donc d’assurer facilement ce changement, et donc de faire croire que vous utilisez Internet Explorer 6, 7 ou 8 sous XP, que vous êtes un robot Google, ou même un iPhone 3!

Pour ajouter des profils (si vous avez envie d’« avoir » Chrome ou Windows 7, je sais pas moi 😉 ), c’est très simple. Dans les options de l’extension, vous allez dans « Edit User Agent » et « New ». Vous trouverez facilement une liste de modèles, comme cette sur cette page Wikipédia par exemple.

Pour checker si votre nouvelle « identité » est bien en place, vous pouvez vérifier sur un site comme anonymat.org.

Ça y est j’suis super anonyme?

La réponse est assez simple: vraiment pas. Si cela permet de contrôler un peu mieux les traces que vous laissez, notamment si vous avez une configuration un peu trop exotique qui pourrait attirer l’attention sur vous (voir papier assez marrant de Reflets.info), la question n’est absolument pas réglée.

Changer son user-agent, c’est donc surtout un petit plus mais qui ne protège en rien des nombreuses autres façons de vous identifier. Donc soyez prudents! Pensez donc au minimum à camoufler votre adresse IP (par un proxy, VPN, Tor…), à bloquer ou nettoyer vos cookies, ou encore bloquer javascript qui peut permettre de vérifier vos plugins installés et de trouver une « empreinte » unique vous identifiant (utilisez NoScrip pour vous en prémunir). Sur ce dernier point, Panopticlick, un projet de l’Electronic Frontier Foundation permet de prendre la mesure ce problème. Enfin, pour un anonymat plus poussé, il sera certainement plus simple de jeter un œil du côté des systèmes d’exploitations live comme Tails.

Quoi qu’il en soit, ne perdons pas de vue que l’anonymat à 100% reste dans l’absolu impossible, et que s’en rapprocher ne peut être réduit à une simple addition d’outils. Donc réfléchissez bien!

Alors que l’enquête de Médiamétrie révélait hier que 3/4 des Français fréquenteraient les réseaux sociaux, on peut sans prendre trop de risques, affirmer qu’une bonne partie de ces personnes ignore (volontairement ou non), l’implication de ces usages sur la préservation de leur vie privée.

Dans ce domaine, il faut bien comprendre que la gratuité apparente de ces services n’est en fait qu’une façade, masquant la réalité d’un nouveau modèle économique dans lequel la matière première est constituée par les données des utilisateurs (données volontairement renseignées et récoltées en fonction des usages). Sur les réseaux, on dit généralement que le véritable produit c’est VOUS. Mais d’un certain point de vue, on peut aussi affirmer que les usagers sont les producteurs de ce système, puisqu’ils fournissent les informations, les classent, les organisent, les font circuler etc. Et ce service que LES USAGERS fournissent GRATUITEMENT, ça vaut des millions, voire des milliards! Une machine bien huilée en somme!

Une infographie publiée par l’éditeur de logiciel Baynote propose une synthèse exposant la manière dont les données sont récoltées sur six grands sites populaires, ainsi que les objectifs de cette récolte.

Cependant, si j’ai trouvé ça utile pour une comparaison entre les réseaux, c’est pour moi assez illisible pour ce qui est de comprendre ce que chaque site récupère (et je ne serais peut-être pas le seul dans ce cas ^^). C’est pourquoi je vous propose en complément une simple liste pour chacun d’eux.
Note: Selon les cas, d’autres méthodes que celles décrites ici peuvent être employées.

Google +

150 millions d’utilisateurs; $36,38 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, les clics sur les publicités, la localisation, les  informations de profil, les informations de routage sms.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, des dispositifs de traçage, Doubleclick et Adsense.

Récolte des données pour:
La publicité ciblée, localiser, des notifications, intégrer plusieurs comptes.

Facebook

901 millions d’utilisateurs; $3,7 milliards de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, localiser, des notifications.

Twitter

140 millions d’utilisateurs; $140 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’heure et la date, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, la localisation, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Linkedin

161 millions d’utilisateurs; $226 millions de recettes publicitaires par an.

Récolte des données sur:
Le navigateur, l’adresse IP, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, la localisation, le système d’exploitation, la connexion à des tierces parties, les informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, intégrer plusieurs comptes.

Pandora

52 millions d’utilisateurs; $70,6 millions de recettes publicitaires par an.

Récolte des données sur:
Les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, les clics sur les publicités, la localisation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, dispositifs de traçage.

Récolte des données pour:
La publicité ciblée, des notifications, les vendre aux agences marketing, intégrer plusieurs comptes.

Pinterest

10,4 millions d’utilisateurs; pas de recettes publicitaires.

Récolte des données sur:
Le navigateur, les requêtes de recherche, l’adresse e-mail, le numéro de téléphone, des informations spécifiques à la machine, le système d’exploitation, la connexion à des tierces parties, les  informations de profil.

Récolte des données par:
Les cookies, les requêtes de recherche, des tierces parties, les informations de profil, les données de log, dispositifs de traçage.

Récolte des données pour:
Des notifications, intégrer plusieurs comptes.

Ce n’est que peu surprenant tant les technologies RFID (Radio Fréquency IDentification) appellent à ce genre d’utilisation donnant vie aux pires cauchemars de George Orwell…

À l’heure où ces technologies se développent de plus en plus dans un pays où le fichage de l’ensemble de la population est à l’ordre du jour (la France pour ceux qui n’auraient pas compris!), nous ferions mieux de garder en tête ces tristes exemples tels que celui présenté par le Brésil….

Sommes-nous à nouveau en marche vers le totalitarisme? La question se pose sérieusement lorsque l’on observe les évolutions du rapport des États à Internet. Bien sûr, le temps du parti unique semble révolu, mais l’attitude de l’État (quels qu’en soient ses gérants) ne reste t-elle pas d’une terrifiante constance?
Prenons le Patriot Act par exemple. Voté par l’un des présidents américains les plus détestés, et sous couvert d’une lutte contre le terrorisme dont on sait qu’elle a bon dos, n’est-il pas toujours en vigueur (et renforcé) quand bien même l’opposition est au pouvoir?

Au Royaume-Uni, cette constante macabre (consistant à durcir la surveillance des États années après années) s’observe également. En 2006, le Labour Party proposait de surveiller toutes les communications téléphoniques incluant SMS et internet. Et c’est aujourd’hui cette même opposition qui criait à l’époque au scandale qui est sur le point d’imposer la surveillance généralisée des communications.

Big Brother le retour

Leur souhait: enregistrer le détail des communications téléphone, e-mails, et visites de sites, afin de les mettre à disposition des services secrets en temps réel, et sans mandat. Ceux-ci ne devraient pas avoir accès au contenu des communications mais peut-être n’est-ce qu’un début… Quoi qu’il en soit, établir les liens de communication entre les individus constitue déjà une somme d’informations considérable en vertu du principe « dis-moi qui sont tes amis et je te dirai qui tu es ». C’est d’ailleurs en partie sur cet adage que Facebook établit ses profils d’utilisateurs.

Numérama rappelle dans cet ordre d’idée que les méta-données (les informations sur l’information) sont de première importance pour les services de renseignement:

« On les stocke, sur des années et des années, et quand on s’intéresse à une adresse IP ou à un n° de tel, on va chercher dans nos bases de données, et on retrouve la liste de ses correspondants, pendant des années, et on arrive à reconstituer tout son réseau. »

Bernard Barbier, Directeur technique de la DGSE.

L’argument du terrorisme

À tous ceux qui n’ont rien à se reprocher: ce projet est pour vous. Une fois encore, c’est avec l’argument de la lutte contre le terrorisme que les autorités tentent de justifier l’injustifiable:

« Il est crucial que la police et les services de sécurité soient en mesure d’obtenir certaines données sur les communications, dans certaines circonstances, afin d’enquêter sur les crimes graves et le terrorisme et pour protéger la population »

Se faire surveiller pour son propre bien en sorte. Nous ne rappellerons pas que pendant les révoltes il y a quelques mois, le gouvernement projetait de couper les réseaux sociaux, les communications téléphoniques, et de déchiffrer certaines communications d’un service de BlackBerry. On n’ose imaginer ce qu’il serait capable de faire avec une telle loi…

La reine annoncera en principe le 9 mai prochain si ces mesures prendront effet ou non dans le royaume.

Il fallait s’y attendre, les assassinats de Toulouse et Montauban servent déjà de prétexte pour renforcer une fois encore l’avancement de la société sécuritaire à laquelle pense Sarkozy quand il se rase le matin.

Fidèle à sa technique habituelle: un fait isolé, une loi pour tous, il persiste et signe malgré la quarantaine de lois sécuritaires déjà mises en place depuis 2002. Il s’agirait donc de punir de sanctions pénales les personnes ayant consulté des sites « terroristes ».

« Toute personne qui consultera de manière habituelle des sites Internet qui font l’apologie du terrorisme ou qui appellent à la haine sera punie pénalement. »

Soit. Comme avec la pédopornographie, le sujet risque peu de faire polémique au café du coin. Et pour cause, qui pourrait se sentir menacé par ce type de déclarations? (ben ouais, ça ne concerne que les terroristes! Parce quand on a rien à se reprocher…).

C’est kiki pose des bombes?

Mais pourtant, définir le terroriste ne me parait pas si aisé, surtout par les temps qui courent. Souvenez-vous l’affaire Tarnac! Les méchants terroristes éleveurs de chèvres, et tapis dans une ferme… Intervention du GIGN, perquisitions, arrestations, interrogatoires, détention provisoire, contrôle judiciaire: on a eu la totale! Et finalement? Rien. Mais aurait-il également fallu condamner toutes les personnes ayant lu L’insurrection qui vient? Ou peut-être celles qui auraient consulté leur blog?

Aux États-Unis, nous avons appris il y a peu que Bradley Manning, l’un des informateurs présumés de Wikileaks dans l’affaire des cables diplomatiques, est aujourd’hui accusé d’avoir aidé Al-Qaïda. Donc conclusion: Wikileaks = terroriste (ou tout au moins complice de terrorisme).
N’avez vous jamais fait un tour sur ce site de santé publique?

Une fois encore, l’expérience et la place laissée ici à l’arbitraire, nous permettent d’envisager toutes les dérives. Et nous n’abordons même pas la question des sites qui « appellent à la haine! »

Partie d’échecs

Des déclarations comme celle que vient de sortir notre bon président ne servent en réalité qu’à conforter la société sécuritaire, et à renforcer un peu plus le contrôle de l’État sur le réseau. Aujourd’hui, les cibles sont les pédophiles et les terroristes, mais demain? N’y a t-il pas qu’un petit pas pour intégrer aux blacklists des sites politiques un peu trop gênants (Copwatch?).

La menace qui plane réellement aujourd’hui est celle du DPI (Deep Packet Inspection), un système de surveillance généralisée très « populaire » en Iran, et au sujet duquel beaucoup se demandent encore s’il ne faudrait pas le considérer comme une arme. D’ailleurs, si la grossière manipulation consistant à imputer la responsabilité des meurtres de Toulouse à Internet peut paraître ubuesque, elle n’est pas si surprenante lorsque l’on connaît la dangerosité de notre président en matière de numérique.

Pour ne prendre que les dernières pierres apportées à l’édification d’un régime autoritaire, on pourra donc citer maintenant les tentatives désespérées d’imposer le fichage généralisé des « gens honnêtes », et la proposition aujourd’hui d’espionner la totalité des communications des internautes.

Pour rappel, le pays est déjà placé sous surveillance par Reporter Sans Frontières depuis deux années consécutives, précisément en raison de son traitement de la question numérique.

Probablement connaissez-vous l’extension pour Firefox (et Chrome): Adblock Plus. Très populaire, elle permet de bloquer de nombreuses publicités qui envahissent nos pages lors de la navigation. Et bien une mise à jour a été effectuée il y a peu et désormais, certaines publicités sont jugées « acceptables ».

Adblock est le compagnon de beaucoup d’internautes pour qui la publicité est une plaie à tous les niveaux: visuel, auditif, intellectuel etc. Toujours plus intrusives, elles vont, grâce à la personnalisation rendue possible par le traçage des régies publicitaires, pouvoir proposer des annonces toujours plus susceptibles de vous faire revenir dans l’église de la Sainte Consommation (au cas où vous vous seriez égaré-e-s).

Nouvelle mise à jour, nouvelle politique

Il faut croire que le slogan: « les publicités c’est du passé ! » soit à remodeler quelque peu. Suite à une nouvelle mise à jour, certaines publicités seront désormais considérées comme « acceptables ». L’argumentaire mis en avant est bien rodé: permettre aux petits sites qui vivent de la publicité de s’en sortir. Qui pourrait critiquer cela?

Pour les plus dogmatiques de l’antipub, on précise tout de même que les publicités autorisées seront parmi les moins intrusives:

• « Les publicités statiques seulement (pas d’animation, de son ou choses similaires)
• De préférence textuelles, sans image accrocheuse
• Au maximum un script ralentissant le chargement de la page (en particulier, une seule requête DNS) »

What is a publicité non intrusive??

Si elle ne bouge pas ou ne nous claque pas le dernier single au top 5 de la semaine, il faudrait donc considérer qu’une publicité est non intrusive… Mais avez-vous demandé à voir cette pub en allant sur votre site préféré? Avez-vous tapé l’URL du site de la régie et accepté de vous connecter à leurs serveurs, et donc de laisser de nombreuses traces permettant de construire votre profil? L’avez-vous autorisée à déposer des cookies sur votre machine afin de pouvoir être tracé-e-s?

Publicité non intrusive ne veut de plus pas dire petite régie publicitaire (d’ailleurs Google ne semble pas se retrouver à la rue dans cette histoire). Cela change-t-il quelque chose de voir une pub moins flashy si c’est pour être ciblé-e une fois de plus par l’une des quelques grandes régies qui dominent sur le web? La question du traçage et de la concentration des données n’est absolument pas réglée ici…

Pour ma part, le rejet des pubs n’est pas lié à une simple question esthétique (même s’il faut bien avouer qu’avec les pop up et les vidéos en flash, il y a de quoi péter un câble pour cette seule raison).

La pub ou rien

Cet étrange changement de politique laisse tout de même passer une idée qui est assez gênante: sans pub, point de web. Si ses sources de financement sont effectivement souvent les premières à faire tourner les sites, il existe bien d’autres modèles qui pourraient faire tout aussi bien.
Notons qu’un site comme celui de l’encyclopédie libre Wikipédia, l’un des plus consultés au monde, et fonctionnant même avec des salarié-e-s, fonctionne sans aucune forme de publicité!
De façon (beaucoup) plus modeste, Révolte Numérique fait de même (sans salariés 😉 ).
Comme quoi…

Ajoutons que c’est également la question de l’indépendance des sites qui se pose. Peut-on prétendre qu’elle existe lorsque l’on est soumis à une régie publicitaire (qui peut également avoir ses « préférences » en termes de contenu diffusé), et qu’on ne peut produire sans elle?

Que faire?

Heureusement, si les pubs « acceptables » sont désormais autorisées par défaut, il n’est pas encore interdit d’être un affreux gauchiste primaire et de refuser toute publicité!
Il vous faudra pour effectuer ce petit réglage, vous rendre dans le menu des « modules complémentaires », aller dans les préférences d’Adblock Plus, puis « préférences de filtre » et décochez « autoriser les publicités non-intrusives ».

Ça y est, vous êtes à nouveau un-e infâme pirate qui asséchera le web comme d’autres assèchent la création en téléchargeant de la musique!

Suite aux révélations de Wikileaks cette semaine, mais également à l’excellent travail mené par Owni ou encore des sites comme reflet.info, j’ai pensé qu’il serait intéressant de reposter ces vidéos sur l’implication de la France dans cette affaire.

La première revient avec un journaliste de Owni sur l’implication de Amesys, entreprise française, dans la surveillance du peuple libyen. Sont également évoquées, les questions qui se posent vis à vis de la responsabilité de l’État français dans cette affaire, qui lui même est actionnaire de Bull, l’entreprise mère, mais aussi de l’utilisation de ces technologies en France.

La seconde met en scène le patron de Qosmos, l’une des entreprises françaises pointées par Wikileaks comme développant des technologies de surveillance. Même si c’est un peu long, ça vaut le détour: il est pas très à l’aise pépère! 😀

Wikileaks, OWNI et d’autres organismes de presse ont effectué un sérieux travail de recensement des entreprises participant à la surveillance du réseau au niveau mondial, et nous proposent une carte interactive.
De nombreux documents originaux (près de 1100) sont une fois encore mis à disposition du grand public.

Les outils de surveillance utilisés par ces entreprises provenant en grande majorité de démocraties occidentales sont rangés en  5 catégories:

• Les systèmes de surveillance d’Internet (Internet monitoring)
• Les outils de pénétration ou chevaux de Troie (Trojan)
• Les systèmes d’écoutes téléphoniques (Phone monitoring)
• Les outils de captation et d’analyse de la voix (Speech analysis)
• Les systèmes d’interception des SMS (SMS monitoring)
• Les outils de géolocalisation (GPS Tracking).

On remarque une fois de plus que la France n’est pas en reste, notamment « grâce » au travail de l’entreprise Amesys, filiale de Bull dont l’État est actionnaire à 5%, et qui s’est largement illustrée de par sa collaboration avec le régime de Kadhafi.

Rappelons également que la France s’était équipée des mêmes outils de surveillance de masse pour son propre territoire, et que nous apprenions il y a peu que le Maroc fait également partie des clients de la boîte…

Lecture du dossier du site OWNI fortement conseillée!
– Internet massivement surveillé
– Des réfugiés sur écoute
– La carte d’un monde espionné
– Dossier de presse Scoop it

Cliquez pour accéder au site

C’est l’une des infos croustillantes de la semaine. Facebook continuerait, selon le hacker Nik Cubrilovic, à tracer les utilisateurs même hors connexion.

Conservés indéfiniment, les cookies et particulièrement les cookies de déconnexion, permettraient au réseau « social » de continuer à mettre en rapport pages visitées et identité de la personne:

Avec mon navigateur déconnecté de Facebook, toutes les fois que je visite une page avec le bouton Like de Facebook, ou un bouton de partage, ou n’importe quel autre widget, l’information, dont mon identifiant unique (ID) de compte, est toujours envoyée à Facebook (rapporte le hacker pour ZDNet). »

Un ingénieur de l’entreprise a très rapidement été sacrifié et jeté en pâture aux journalistes pour affirmer qu’en aucun cas, Facebook ne traçait ses usagers.
L’expert nous a donc expliqué que des raisons de sécurité motivaient le dispositif: repérer les tentatives de fishing et de spam (aaah d’accord! Ça n’est pas comme si la collecte d’informations personnelles et le profiling publicitaire étaient les sources des 80 milliards de dollars que vaut la firme).

Mais comme Facebook n’a rien à se reprocher, ils opéreront tout de même des modifications: deux cookies seront supprimés à la déconnexion (le cookie « a_user » dans lequel se trouve l’identifiant unique, et « a_xs »).

Sans vouloir être mauvaise langue (ça n’est pas mon genre), je me demande pourquoi il a fallu un an, deux réclamations écrites de Nik Cubrilovic et la publication de l’information sur de nombreux sites d’information pour supprimer ces cookies qui ne le nécessitaient pas?

Pensez donc à passer régulièrement un coup de Kärcher dans votre navigateur pour effacer vos cookies et autres traces de navigation!