Wifi Robin est maintenant disponible en France

wifirobin
Wifi Robin disponible en France

Il y a quelques temps, je vous avais parlé de Wifi Robin, un petit boiter magique qui envoi des lutins dans les airs pour capturer des trames et automatiser des attaques sur le protocole de chiffrement sans fil WEP qui comme chacun le sait n’est pas HADOPIProof. Et bien maintenant ça y est, Wifi Robin est disponible à la vente en France, chez Greezbee, pour 139 euros. C’est par ici que ça se passe (et non je n’ai pas d’actions). Tout comme les cartes Alfa (dont je soupçonne être le coeur de la bête, avec son chipset Realtek RTL8187L), ça patate quand même à 1w soit 10 fois la puissance autorisée en France… elle est donc bridée mais facilement débridable, il faut juste prendre soin de ne pas dormir à côté.

Si comme moi vous n’avez pas 139 euros à mettre dans ce gadget mais que la bidouille vous amuse et que vous avez une ou deux foneras qui trainent à la maison, allez donc jeter un oeil sur HostileWRT, un projet du /tmp/lab dont vous trouverez les slide de présentation au Hack.lu ici.

Il va de soi que vous ne jouerez avec que sur votre réseau local et que vous n’utiliserez pas la connexion de votre voisin pour seeder comme un puerco.

Merci à Abysce pour l’info 😉

tmplab HostileWRT 5

Wifi ROBIN une nouvelle quiche derrière le crâne d’HADOPI

EDIT : Attention, plusieurs personnes confirment un retour d’expérience négatifs avec ce produit, ne vous ruez donc pas aveuglément dessus.

Alors que la Haute Autorité se dit prête à envoyer les premiers mails d’avertissement, que les premiers relevés d’IP ont été effectués par les sociétés mandatées pour le faire. Après que seedfuck les ai contraint à alourdir encore une procédure que l’on souhaitait automatisée avec le moins de justice et autre lourdeurs… et que de son côté la Mission Riguidel ai été rendue publique malgré le caractère confidentiel que la HADOPI souhaitait lui donner….

Voici WifiRobin, un nouveau petit dispositif composé d’une carte wifi surpuissante (1w, soit 10 fois la puissance autorisée en France) et du nécessaire logiciel pour automatiser des attaques sur le chiffrement WEP qui équipe encore de nombreux réseaux sans fil de particuliers puisque des fournisseurs d’accès livrent encore leur box et autres routeurs avec ce chiffrement activé par défaut. Concrètement, le WifiRobin, ça se passe comme ça :

  • vous l’allumez,
  • vous le posez,
  • vous le laissez travailler,
  • quelques minutes plus tard vous avez un réseau wifi avec sa clef de chiffrement WEP,
  • vous pouvez surfer.

Cette opération qui nécessitait autrefois quelques connaissances, même très rudimentaires, est maintenant à la portée de n’importe qui, il suffit de savoir appuyer sur un bouton et de patienter quelques minutes. En zone d’agglomération, avec une importante densité de réseaux, cette carte qui peut porter jusqu’à 2 kilomètres (plus encore avec une antenne adaptée) devrait faire un carton.

La bête est donnée pour un prix de $155 soit 118 €, frais de port offerts.

Il va falloir ajouter deux ou trois choses dans la liste de préconisations pour sécuriser nos « accès Internet », non ?

Merci@bricamac pour la trouvaille

Hole196 : Une vulnérabilité identifiée dans WPA2

Le WPA2 est le protocole de chiffrement pour communications sans fil considéré jusque là comme le plus robuste. Des chercheurs de AirTight semblent avoir mis en évidence une faiblesse permettant à un utilisateur du réseau de bypasser le chiffrement de la clef privée ansi que l’authentification. Il devient ainsi capable d’intercepter le trafic qui transite sur le réseau et donc d’attaquer les machines qui s’y trouvent. Une présentation de la vulnérabilité et de son exploitation aura lieu au Defcon de Las Vegas à la fin du mois, nous en saurons alors un peu plus sur ce trou affectueusement baptisé Hole196.

En attendant, et à juste titre, Numerama et PCInpact s’interrogent sur notre désormais célèbre délit de négligence caractérisée qui tendrait à vouloir que le commun des mortels sécurise son accès Internet, alors que le gouvernement lui même a bien du mal à sécuriser ses propres sites web et pour reprendre l’ expression consacrée qui me fait bien rire, manque de diligence dans la mise en oeuvre de la résolution de l’incident .

Android App Inventor

Je parlais il y a encore peu de Google et de sa stratégie par rapport à celle d’Apple pour prendre la tête du marché des smartphones, et il y a deux ans, les développeurs iPhone utilisé jouissaient d’un splendide SDK, là où le développement sur Android n’était pas douloureux, mais nous devons admettre que c’était franchement moins sexy que sur iPhone. Apple est également depuis devenu tristement célèbre pour avoir rejeté de nombreuses applications jugées non en phases avec la morale puritaine de Steve Job (ou pas en phase avec son business model). Ceci f’ait d’Apple un univers tyrannique mais toujours aussi attirant pour son design, son utilisabilité, … et accessoirement sa censure.

Google a de son côté récemment montré qu’il pouvait supprimer à distance des applications sur votre Smartphone Android. C’est n’est pas du meilleur effet non plus dans la méthone … Mais avec Google, « c’est pour votre sécurité« .
L’ouverture de Linux n’était donc pas un facteur suffisant, le confort des développeurs est un point très important. Qui d’autre pour développer les meilleures applications pour « le meilleur des smartphones » ? Et les non-développeurs, no’nt ils pas toujours été jusque là un peu oubliés  ? Comment peuvent-ils créer leurs propres petites applications ?

App Inventor est un projet qui vise à fournir une boîte à outils très simple et entièrement graphique pour vous permettre de construire des petites applications , des jeux, des quizz (…) sur Android. « App Inventor ne nécessite aucune connaissance en programmation » et permet à tous de construire et  exploiter ses propres applications. Voyons ce que ça donne en vidéo :

Les Google cars de Google Street view récupéraient des données qui passaient en clair sur les réseaux wifi

On a beau nous expliquer que ceci était accidentel, personnellement, je n’y crois pas un instant. Je ne sais pas si vous vous souvenez d’un billet dans lequel je m’inquietais de voir tourner une voiture autour d’une installation d’un réseau openmesh que j’avais déployé.

Il s’agissait d’une Google car, suréquipée (antenne wifi, gps, laptops embarqués). Cela laissait peu de doute, il y avait bien une cartographie wifi en cours.

Mais ce n’est pas tout, une simple cartographie n’aurait pas nécessité le curieux manège que j’ai pu observer. Les équipements que l’on pouvait observer sur les Google car à l’époque n’embarquaient pas de cameras Elphel utilisées pour Google Street View mais le parfait équipement du wardriver.

Et bien devinez quoi ? Google nous apprend aujourd’hui, que ces petites voitures auraient « accidentellement » collecté des données passant en clair sur les réseaux ouverts. Les Google car sniffaient les connexions et récupéraient les données qui transitaient en clair sur ces réseaux (pages web, texte, images, mais aussi mots de passe …). J’ai pu constater, pendant plusieurs jour, le manège de cette voiture qui s’arretait plusieurs minutes, tournaient autour de l’installation plusieurs fois. C’est pour cela que j’affirme que Google savait très bien qu’il collectait illégalement ces données, une simple cartographie n’aurait jamais nécessité de si fréquents arrêts. Ces stationnements attestent de la volonté de collecter des données, cela ne fait aucun doute en ce qui me concerne.

Je cherchais quelque chose à reprocher à Google, c’est aujourd’hui chose faite, cette société a employé des méthodes de voyous et a collecté soit disant accidentellement vos données personnelles.

Réaction à l’interview de Michel Zumkeller : Seedfuck, c’est juste l’apéritif…

Une interview de Michel Zumkeller a aujourd’hui été publiée sur 01Net. Le député a récemment demandé au ministre de la culture, de s’expliquer sur un problème laissé en suspend depuis bientôt un an qui est le risque important de voir de nombreux innocents accusés à tort par la HADOPI d’avoir illégalement téléchargé des oeuvres. Le journaliste de 01Net titille un peu Michel Zumkeller sur Seedfuck et j’abonde dans la démarche de Michel Zumkeller qui sans éluder la menace pose son regard sur le problème de fond sans plonger dans la psychose des vilains pirates, c’est franchement tout à son honneur.

Les faits à propos de Seedfuck:

  • Seedfuck est un proof of concept et non un logiciel hostile (ce que ces successeurs pourraient devenir).
  • Seedfuck n’est que l’apéritif, l’INRIA a par exemple validé la thèse des attaques par scan DHT pour confondre des utilisateur du P2P derriere le réseau TOR, à n’en pas douter, cette attaque se retournera contre les sociétés mandatées part les majors. Peu de temps avant la publication de cette étude, j’en parlais d’ailleurs dans ce billet.
  • Seedfuck n’est pas une arme technique mais une arme psychologique qui est là pour rappeler la faiblesse de la seule adresse IP comme preuve : ça c’est le premier problème majeur.
  • Seedfuck pourrait très vite faire grimper substantiellement la facture de la collecte des adresses ip que le gouvernement souhaitait complètement automatisée, « comme avec des radarts sur une autoroute », sans l’intervention d’un juge pour ceux qui n’ont pas la mémoire courte. On s’est donc orienté vers des ordonnances pénales, ce qui est une manière détournée d’évacuer le problème.

Mais il y a bien pire que Seedfuck…

Si on peut trouver une parade à un proof of concept, il y a un adage, chez nous qui dit la chose suivante : « There Is No Patch To Human Stupidity »… on ne patch pas la bêtise. J’y ajouterai que patcher l’ignorance a un cout financier social et humain que la HADOPI (donc le contribuable) risque de sentir passer avec ce qui va suivre.

Je vous en ai longuement parlé dans ce livre blanc. Il s’agit du WiFi, aujourd’hui présent dans toutes les box des founisseurs d’accès à Internet, livré par activé par défaut de manière non sécurisé chez certains fournisseurs d’accès (comme Numéricable).

Chaque année, depuis 5 ans maintenant, je me fais une session de wardriving. Il s’agit de recencer les réseaux WiFi et d’observer le chiffrement qu’ils utilisent. Cette année, les chiffres n’ont pas évolués, près de 60% des réseaux sans fil que j’ai relevé peuvent être pus ou moins facilement crackés. Le fichier de dump contenant les noms des réseaux et les adresses mac des points d’accès, je ne sais pas si j’ai le droit de les diffuser publiquement, toutefois si vous êtes journaliste et que votre demande est motivée par le besoin de vérifier mes propos dans un but d’information je vous invite à m’en faire la demande. En voici un court extrait (le fichier comporte plus de 2000 points d’accès recensés (non crackés, je précise) :

L’étape suivante, que je ne pratique pas car elle ne m’intéresse pas, c’est de géolocaliser ces réseaux, il suffit de brancher un GPS sur la machine qui réalise le wardriving (tout comme Google lui même le fait). Et vous devinez la suite ?

Imaginez une carte Google, qui serait mise à jour par des milliers d’internautes et qui recenserait des réseaux WiFi avec

  • leur position exacte,
  • leur SSID (nom de réseau)
  • leur clef WEP ou WPA qu’une personne aurait déja cracké

Les logiciels de sniffing WiFi incluent déjà tout ce qu’il faut pour cette pratique, comme l’export du dump pour Google Earth ou la visualisation géolocalisée des réseaux :

Enfin, WiFi ou pas WiFi, avec plus de 90% du parc informatique sous Windows (et plus de 40% dans des versions obsolètes, crackées ou pas à jour), le délit de négligence caractérisée devient une présomption de culpabilité et il n’est toujours pas proposé aux internautes une défense équitable ni un moyen de sécurisation absolu … car il n’existe pas. Dans ces conditions je ne m’étonne pas un instant de n’avoir encore vu passer la moindre bribe de spécification du logiciel de sécurisation de Christine Albanel et voté dans HADOPI 2 (le « Anéfé réjeté, gogogadjeto’firewallopenoffice« , ça marche à l’Assemblée Nationale, mais dans la vie réelle, c’est une autre paire de manches). C’est bien là toute l’absurdité de la loi HADOPI que nous dénonçons depuis le début.

Les récentes et consternantes déclarations de Franck Riester sont la pour nous rappeler qu’HADOPI est une guerre perdue d’avance car la loi elle même, comme les personnes qui l’ont rédigé, ne connaissent pas leurs ennemis ni leurs alliés.

HADOPI était sourde dans l’Hémicycle, elle est aujourd’hui aveugle.

BPhone : Pourquoi je vais jeter mon iPhone à la poubelle ?

J’en bave encore sur mon clavier. J’attendais ça depuis 4 ans, le voici ! Enfin un digne successeur du Zaurus et qui en plus téléphone ! Ecran rotatif, système d’exploitation propre, le Bphone, sur le papier, c’est une tuerie. Ce device semble tout frais, je ne saurais donc vous dire ce qu’il vaut réellement mais voilà les specs :

  • Operating system – ARM Linux 2.6
  • CPU – Marvell PXA310(624MHz)
  • Memory – 256MB NAND Flash, 128MB SDRAM
  • FM Radio – Pick up your favorite FM radio stations wherever you are.
  • Bluetooth – High speed wireless technology.
  • Touch Screen – Easy-to-use and responsive touch screen function for smooth navigating.
  • Full Screen View – Crystal clear viewing with our cinematic full-screen mode.
  • Fully Unlocked – Works on all four main GSM frequency bands for great reception world wide.
  • Java Enabled – Get the latest cool Apps on your phone with Java technology!
  • Flip Function – More compact and more stylish.
  • Built-In GPS – Never get lost with an accurate GPS system built in.
  • WiFi – Check emails, connect online, or surf the Web with advanced WiFi technology.
  • QWERTY Keypad – Full QWERTY keypad for ease of use.

Il semble tout savoir faire (quadriband 3g ready) une interface qui claque comme un compiz ben configuré, le tout semble en plus relativement fluide. D’origine hong-kongaise il est l’oeuvre de Sojeng (attention les sites web c’est pas trop leur truc en revanche), le cofondateur semble être un français). Le prix annoncé est de 569$, et disponible via le site Chinagrabber… Bon dis donc les ours ? Il est quand dispos sur Hackable:Devices celui ci ?

Lettre ouverte aux députés qui ont voté HADOPI et qui tuent des PME

NetNeutralityCantWaitMessieurs, Mesdames, Mesdemoiselles les députés,

Comme prévu, les premiers effets néfastes de la loi Création et Internet sur le tissu économique de certaines PME est déjà en train de se faire ressentir, ce alors qu’aucun décret d’application n’a encore été communiqué. La loi HADOPI est venue mettre fin aux usages que de millions de personnes ont de l’Internet mobile ouvert et gratuit. Le Ministère de la Culture a semble t-il un peu de mal à répondre aux questions pourtant cruciales posées par les députés Loos et Carayon (deux députés qui ont voté par 2 fois en faveur d’HADOPI et qui s’interrogent après …), l’urgence est pourtant là. Malgré les nombreuses mises en garde des professionnels, nous déplorons aujourd’hui un manque de pro-activité parlementaire qui a engendré un déni des réalités techniques et socio-économiques.

Là où le ministère de la culture se targuait d’avoir consulté des professionnels et être arrivé à un large consensus, les professionnels ont surtout le souvenir d’un néant abyssal de communication et d’une intolérable opacité. Les opérateurs câble et ADSL, dont certains ont avoué avoir signé des feuilles blanches, ne peuvent être cités comme exemple sur ces questions car ils sont juges et partie (comment ne pas voir un mécanisme de compensation dans la poursuite du versement de l’abonnement en cas de coupure ?).

Aujourd’hui les acteurs du wifi s’inquiètent et le silence du législateur impacte chaque jour un secteur à la fois innovant et porteur de solutions de complément pour la couverture en haut débit mobile de la France entière. HADOPI vient de poser un frein important à cette technologie, à l’apparition de nouveaux opérateurs locaux, et vient concentrer un peu plus un marché déjà oligarchique. Plus qu’une entrave à l’innovation, HADOPI est une atteinte manifeste à la liberté d’entreprendre, elle restreint un marché autrefois ouvert à tous, le wifi, aux quelques gros acteurs qui pourront financer le renouvellement de tous leurs équipements et mettre en place des adresses ip publiques pour leurs utilisateurs.

HADOPI vient donc planter un clou supplémentaire dans le cercueil technologique que nous promet une politique clientèliste en faveur exclusive des industries culturelles :

  • Meteor Networks, acteur historique est en difficulté (même dans les Mac Donalds, le wifi, c’est bientôt finit).
  • Vous allez entendre FON gronder dans peu de temps, le temps que le siège à Madrid comprenne qu’ HADOPI n’est pas une blague, mais bien une loi …
  • En l’absence de cadre légal, des clients ne reconduisent pas les contrats de maintenance et mettent fin à l’existence de leur réseaux wifi : la fin de l’année approche c’est maintenant que se reconduisent ou pas les contrats, pas après les élections régionales.
  • Le wifi va t-il devenir une technologie opérateur pour remercier ces derniers de ne pas avoir fait « trop de bruit » pour HADOPI ? Cette technologie autrefois ouverte sera t-elle désormais disponible au public uniquement de manière payante ?
  • Les cafés, hôtels et restaurants qui proposent du wifi à leurs clients sont également dans l’expectative, nous nous devons de vous mettre en garde, en l’absence de réponses claires et réalistes, du risque important de vous mettre à dos une profession elle aussi complètement oubliée de la soit disant consultation lancée pour les accords Olivennes.

Aujourd’hui, certaines PME, dont la mienne, commencent à faire les frais de ce floue, ce silence en plus d’être pesant commence donc à avoir un coût. Qui va financer ce coût ? Allez vous attendre que la psychose s’installe chez nos clients ou comptez vous rapidement apporter des réponses claires à des questions pourtant simples ?

  • Combien de PME innovantes HADOPI va t-elle sacrifier pour les beaux yeux d’une profession qui en 10 ans n’a pas été capable de remettre en question son business model et que vous encouragez dans leur médiocrité ?
  • Quel mécanisme de compensation le gouvernement compte t-il mettre en place pour les nombreuses PME qui en sont déjà victimes ?
  • A quand une étude d’impact parlementaire sur les dégâts induits par HADOPI ?

Le wifi communautaire est mort, merci HADOPI.

Toonux, l’une des premières victimes d’HADOPI

keyser-tux-wifi-logo-2300Voilà, c’était assez prévisible, nous venons de recevoir par email une notification du conseil d’administration d’un de nos clients qui interrompt l’expérience du wifi maillé social que nous avions mis en place chez lui. Dans son mail, le CA explique noir sur blanc qu’il ne souhaite pas être tenu pour responsable des éventuels téléchargements illégaux qui pourraient être effectués par des visiteurs ou même des utilisateurs locaux, résidents en ses murs. En outre ce réseau était destiné principalement aux visiteurs, ceci n’a plus lieu d’être depuis HADOPI souligne le mail. Le client n’aura donc pas même attendu le premier mail d’avertissement, HADOPI dissuade c’est vrai, pas de télécharger, mais d’innover et d’entreprendre… nous venons d’en faire les frais. Pendant ce temps là, nous sommes toujours sans nouvelle de ce qui constituera une « négligence caractérisée ».

Finit l’accès libre en wifi, finit la confiance et le partage de connexion… merci HADOPI.

Nous envisageons sérieusement d’abandonner le déploiement de réseaux maillés, peut être devrions nous faire comme la SACEM et demander une taxe de 1 euro sur les ventes de CD (c’est « indolore » selon monsieur Miyet) pour compenser les pertes que cette loi idiote va engendrer pour de nombreuses PME comme la mienne.

Toujours est-il qu’à ce jour, nous n’avons aucun moyen d’informer correctement nos clients sur les modalités d’application de cette loi, en dehors de leur expliquer le mécanisme de riposte graduée. Les décrets d’application, il ne faut pas s’attendre à les voir avant les régionales, d’ici là si vous déployez du wifi, vous avez le temps de crever ou faire des pieds et des mains pour endiguer la psychose qui va commencer à s’emparer de vos clients.

Merci HADOPI.

Contourner HADOPI pour les nuls (partie 17) : faites accuser votre voisin pour 34$ avec WPACracker

Image 2Ce 17e volet de l’art de contourner HADOPI pour les nuls va vous présenter un service en ligne, complètement immoral, qui vous permettra de faire accuser à votre place n’importe quel internaute qui ne sait pas sécuriser correctement une connexion wifi, soit plus de 80% des internautes français. Le délit de négligence caractérisée est loin le plus bête, le plus méchant, le plus injuste et le plus stupide délit inventé par le législateur. Conséquence directe d’une loi bête et méchante, des services tout aussi bêtes et méchants se mettent en place pour générer du business sur la peur du gendarme.

C’est le cas de WPACracker qui propose un cluster de 400 processeurs pour venir à bout des mots de passe WPA/TKIP, technologie de chiffrement la plus répandue en France. WPACracker est un service en ligne, en mode SAAS qui permet à n’importe quel internaute de soumettre un « dump » (fichier de capture d’une écoute réseau) qui est ultra simplement réalisable avec toute une batteries de logiciels, disponibles pour tous les systèmes d’exploitation et gratuits que l’on trouve en ligne en deux clics. Le service coûte 34$, voici le prix de votre anonymat et de votre impunité de la manière la plus immorale qui soit.

On savait qu’HADOPI 2 allait générer de nouvelles économies parallèles comme le vente de cd / DVD gravés, l’explosion des VPN pour masquer votre adresse ip, le grand revival des newsgroups binaries over ssl … et bien voilà que le cloud computing est maintenant une alternative sérieuse pour qu’HADOPI vous fiche la paix.

Je savais que l’Internet qu’allait créé HADOPI ne me plairait pas du tout, WPACracker en est la parfaite illustration.

« Quand 10% des habitants d’un pays ont envie de prendre le maquis, c’est que la démocratie est franchement dans la merde » – Benjamin Bayart

Merci à Numerama d’avoir levé le lièvre 😉