Étiquette : anonymat

Publié le

La différence entre un #VPN et Garcimore

Suite à ma récente condamnation par la Cour d’Appel de Paris (appel formé par le parquet suite à ma relaxe en première instance), pas mal d’articles circulent sur Internet et je vois revenir des éléments techniques parfois mal interprétés (et souvent proches du raisonnement de la cour d’appel). En plus du classique débat sur l’authentification à la racine de l’extranet, le cas assez emblématique est celui du VPN.

Un VPN est un réseau privé virtuel. Il permet de se connecter d’un point A à un point B de manière souvent chiffrée.

L’une des citations largement reprise, c’est celle ci :

Il y avait trouvé et téléchargé huit mille documents, par l’intermédiaire d’un réseau privé virtuel (VPN) vers une adresse IP située au Panama, ce qui explique que l’opération soit passée inaperçue. 

… Là, par exemple ce qui est en gras est un non-sens.

Les petits dessins

vpn1

Un VPN sert aussi bien à dissimuler son identité qu’il répond au besoin contraire, c’est à dire se connecter de manière sécurisée et parfaitement authentifiée, sans craindre l’interception de données par des tiers, par exemple pour se connecter à son compte bancaire ou à l’intranet de sa rédaction, quand on est un journaliste qui couvre les jeux olympiques d’hiver à Sotchi. La vocation première d’un VPN, c’est la protection de vos données personnelles et de votre identité sur Internet. Un VPN aujourd’hui devrait être une norme, proposée sans supplément par vos fournisseurs d’accès Internet.

Un internaute sans VPN, c’est ça :

ConnexionInternetNonSecure-413x550

Mythbusting

Je précise que sur la machine et le système (Debian GNU Linux) qui nous intéresse, le VPN se lance au démarrage de ma machine, l’adresse IP panaméenne m’est donc attribuée mais je peux choisir un point de sortie localisé dans un autre pays (Suisse, USA, Suède…), ou mieux si j’avais vraiment voulu brouiller les pistes, par un bridge TOR qui change mon adresse IP visible toutes les 10 minutes et spécialement dédié à renforcer l’anonymisation des connexions (mais pas de les rendre invisibles).

Si les enquêteurs sont remontés jusqu’à moi, c’est bien parce qu’ils m’avaient identifié, grâce à un tweet parfaitement public où j’appelais des journalistes à nous aider à comprendre les documents, ou peut-être justement parce que l’objet de la plainte, c’était un article sur Reflets.info… bref le VPN n’a rien à voir dans cette histoire.

Mais alors pourquoi c’est passé inaperçu ?

Tout simplement parce qu’il n’y a eu ni intrusion pour y accéder et donc justifiant de faire hurler un pare-feu, ni comportement déviant caractérisé par un téléchargement des contenus du répertoire, qui, encore une fois, ne comportait que des documents bureautiques et aucun fichier système pouvant mettre la puce à l’oreille que le repertoire n’avait pas à être public). Les octets naissent sur le papier libres et égaux en droits, et quand ils croisent le douanier du firewall de l’ANSES, ce dernier fait son travail correctement :

Accès régulier et usage régulier = rien à signaler.

Il aura fallu que l’ANSES constate un article publié sur Reflets et utilisant ces documents pour se rendre compte que ces documents, au bout du compte, c’est peut être pas normal qu’ils soient accessibles… c’est amusant car la vérification aurait par exemple pu être faite avant de porter plainte pour « piratage » non ?

Conclusion ?

Je ne suis pas Garcimore 🙁


Les Visiteurs Du Mercredi Garcimore par SUN42

Publié le

#PRISM : iTrust, ou le iBullshit souverain avec du iFud dedans

albundyLe site Toulouse7.com ayant décidé d’égarer mon commentaire en réaction à cet article, je me suis dit qu’au final, une réponse trouverait un peu plus d’écho sur ce blog pour sensibiliser les personnes qui pourraient se laisser berner. On se doutait bien que des petits malins allaient surfer sur la vague PRISM pour refourguer leurs « solutions » qui n’en sont pas. Je viens de tomber sur le parfait exemple d’article de page de pub totalement à côté de la problématique de fond pour mettre en avant une solution technique qui ne répond en rien à l’expression d’un besoin de confidentialité pourtant réel des entreprises comme des particuliers face à PRISM, Tempora, et tous les programmes de renseignement d’origine électromagnétique… qui se traduit, rappelons le, par ce qu’on appelle de l’interception massive sur les réseaux IP…

Par pitié, si vous êtes chef d’entreprise et que vous vous sentez concerné par la confidentialité de vos données professionnelles, ne vous laissez surtout pas endormir par ce genre de charlatan qui vous préconise une solution (la leur) alors qu’ils n’ont visiblement pas compris le problème. Nous le savons, le monde de la « sécurité » informatique raffole des peurs des uns et des autres. Un prospect qui a peur, c’est un client en puissance. Si en plus on joue sur sa fibre patriotique, c’est le jackpot.

Si vous vous souvenez par exemple du logiciel de « sécurisation » HADOPI qui n’a finalement jamais vu le jour et dont j’ai d’ailleurs largement parlé sur ce blog, vous vous souvenez peut être aussi des pseudo solutions à la con, comme les HADOPIPOWARES vendus par des sociétés comme Orange et beaucoup d’autres, ce alors qu’aucune spécification n’était rédigée. Un défilé de « solutions » toutes plus crétines les unes que les autres, quand elles n’étaient pas tout simplement vouées à créer plus d’insécurité que de sécurité. A n’en pas douter, et je m’y attendais, PRISM va provoquer le même phénomène, mais cette fois à l’échelle mondiale. Et ça c’est inquiétant.

i (won’t) Trust you

Notre premier winner s’appelle Jean-Nicolas Piotrowski, il dirige la société iTrust, dont je ne remets pas en cause la qualité des produits, je ne les connais pas, je ne les ai pas testé. En revanche je remets en cause ses propos sans queue ni tête pour vendre sa salade, et tout le iBullshit qu’il met autour pour nous enrober ça en se parant de sa blouse blanche.

Il commence d’ailleurs assez fort en mettant en branle son expertise en droit international, un terrain sur lequel peu d’experts en sécurité s’aventurent tant il est casse gueule :

L’espionnage par PRISM n’est pas légal et va à l’encontre à la fois de la règlementation US du tribunal fédéral relatif au renseignement étranger et de la règlementation européenne.

Ah bon ? PRISM ne serait donc pas « légal »… Please define « légal »… légal pour qui ? Légal pour quoi ? Le Patriot Act est illégal ? Un traité comme l’UKUSA est illégal ? J’entends déjà d’ici les britanniques ricaner… j’entends aussi tous les juristes se fendre la poire. Après ce bref interlude juridique, on rentre dans le FUD technique, un peu comme le coup du « connu inconnu » qui m’avait tant fait rigoler :

tel qu’il est techniquement décrit, il ne permet pas seulement de surveiller des individus (officiellement étrangers aux USA) mais permet aussi de perpétrer de l’espionnage économique (notamment à destination des entreprises utilisant les services tels que par exemple : Google, Microsoft, Apple.)

PRISM serait donc « techniquement décrit », intéressant. Bon si vous avez des spécifications techniques sous le coude, elles m’intéressent, n’hésitez pas à me les transmettre par mail. Chez Reflets, nous avons assez candidement cherché dans les moult gigas de PDF et PowerPoint tout laids de la DISA, et on est loin, très loin, d’avoir un descriptif technique du gros zizi américain. La surveillance de masse, c’est un peu comme une boite de chocolats, on ne sait jamais sur quelle agence on va tomber.

Maintenant que le lecteur est persuadé que PRISM est illégal et qu’il est face à un « expert », le voilà mûr pour se faire cueillir :

Alors que faire ? Il faut simplement appliquer ce que certaines instances européennes légitimes et certains experts préconisent

  • utiliser des logiciels et solutions professionnelles européennes (Préconisations faites par la CNIL, le rapport du sénateur Boeckel et l’agence européenne ENISA)
  • héberger des données d’entreprises dans des data centers sur sol européen,
  • choisir des prestataires informatiques privilégiant des solutions européennes dans leurs infrastructures et qui ne seront donc pas soumises au Patriot Act
  • choisir des prestataires de droits européens.

Si Jean-Nicolas Piotrowski avait la moindre idée de ce qu’est PRISM, il ne sortirait pas de telles énormités. Nous l’avons expliqué depuis le début, PRISM est un tout petit machin au sein d’un programme bien plus global… et un programme faisant l’objet d’accords internationaux… avec des pays européens, les britanniques en tête (avec TEMPORA), mais pas que. En outre les USA sont loin d’être les seuls à wiretaper les câbles sous marins ou le cul des iX. Britaniques et français (pour ne citer qu’eux) s’adonnent aussi très certainement à ce genre de pratiques. Prétendre que la problématique de l’interception de masse se limite à PRISM, c’est faire preuve d’un manque de discernement et d’information crasse sur le monde fou fou fou du renseignement d’origine électromagnétique. Je passe sur le clin d’œil au rapport Bockel (et non Boeckel) et le troll sur les routeurs chinois en vous invitant à lire ce billet de Stéphane Bortzmeyer pour vous laisser prendre la mesure de tout le FUD autour de ce sujet.

La conclusion de Jean-Nicolas Piotrowski, on s’y attendait un peu :

Les solutions existent, la preuve en est, j’en ai développé une non soumise au Patriot Act qui garantit une totale confidentialité des données. L’histoire de PRISM nous montre que ce n’est pas le cas pour les solutions américaines.

Wahou… un solution non soumise au Patriot Act ! c’est fort ça ! Nous voila rassurés ! Mais mesurons le degré de soumission au Patriot Act de manière un peu plus objective.

  • Le domaine iTrust.fr est déposé chez Gandi, jusque là tout est souverain
  • iTrust est hébergé sur l’AS39405, un AS souverain (Full Save Network)… jusque là tout va bien, mais attention, le peering est moins souverain (Level3, Cogent et Hurricane sont tout les trois soumis au Patriot Act).

On va dire que pour la tuyauterie, c’est à peu près bon, regardons les dessous. C’est tout de suite moins souverain…

fbscript

C’est d’ailleurs assez curieux pour une société de sécurité informatique d’avoir des trackers Facebook et une fan page sur ce réseau social soumis au Patriot Act et collaborant directement avec la NSA, mais pourquoi pas… C’est bien mignon de claironner qu’on a développé un logiciel non soumis au Patriot Act, ce qui est au passage une tautologie pour une entreprise française, mais si on veut se positionner commercialement de manière sérieuse dans les solutions « PRISMproof », on commence par éviter les trackers Facebook sur son site professionnel.

PRISMproof ?

Avant que vous ne me posiez la question « alors comment on fait pour échapper à PRISM », je vais tenter de vous faire une (trop) brève réponse, elle n’est pas parole d’évangile mais elle ne vise qu’à vous donner des pistes, en fonction de vos activités (car il serait idiot de penser que nous avons tous les mêmes besoins et les mêmes exigences en matière de confidentialité, ce en fonction de nos activités) :

  • Oui, on conserve ses données de préférence sur le territoire national et encore, tout dépend… Vous imaginez bien que nous n’irons par exemple pas héberger Reflets.info ni même ce blog chez Numergie (le cloud by Bull / Amesys), ou dans le cloud de Thales.
  • Oui on chiffre son trafic (et tout son trafic), oui on utilise un VPN, mais pas n’importe lequel, on choisi correctement son point d’entrée, son point de sortie (ce en fonction du contexte à protéger lors de vos activités en ligne). J’ai fais le choix de privilégier de l’ OpenVPN (L2TP, c’est la loose). Je privilégie également une PKIx509 en PFS (Perfect Forward Secrecy). Le PFS a une vertu : même si la clé master tombe dans les mains de la NSA, elle ne pourra pas déchiffrer tout le trafic, il lui faudra casser de la clé session par session… ce qu’elle ne manquera pas un jour de faire, sachez le !
  • Non, on utilise pas son VPN pour aller superpoker tout son carnet de contact chez Facebook !
  • On durci son navigateur, par exemple avec JonDoFox et en utilisant, au cul du VPN, un bridge TOR, et des proxys différents pour les autres applications (mail, chat etc… que l’on chiffre également… PGP, OTR tout ça …)
  • Pour une sécurité accrue, on recommandera l’utilisation de machines virtuelles, ce afin d’isoler les différents contextes liés à nos différentes activités (une vm sous GNU/Linux pour les mails, qui sort en Suisse, une vm pour bittorrent, qui sort en Suède, etc…)
  • Oui c’est plus lent, mais vous apprendrez plein de choses passionnantes et vous corrigerez vos comportements en ligne pour gagner en confidentialité et en sécurité.
  • Enfin, on gardera en tête qu’il n’y a pas de secret numérique éternel : toute donnée chiffrée sera déchiffrable un jour ou l’autre (les américains stockent le trafic chiffré, et c’est bien dans le but de le déchiffrer un jour ! Pensez donc à l’anonymiser)

D’une manière générale, ne croyez jamais un commerçant qui affirme vous rendre 100% anonyme sur le Net, c’est forcément un menteur. D’une manière générale ne croyez jamais une personne qui après 20 lignes pour vous expliquer PRISM conclura par « la preuve, j’ai moi même développé la solution qui garantie la confidentialité de vos données« , car ce dernier n’a non seulement rien prouvé, mais c’est très probablement un menteur. Et en matière de confidentialité, il y a certains pays ou ces menteurs peuvent finir avec des morts sur la conscience…

Enfin, ne croyez jamais un expert en sécurité qui sort les mêmes âneries qu’un ministre qui dépend de Bercy.

Un pourcentage non négligeable de la confidentialité se passe entre la chaise et le clavier, non sur un disque dur.

Publié le

La revue de presse du pire des internets et des internets du pire

lolcatgrrrLes journalistes se sont ils passé le mot ? Y a t-il un concours dont nous n’aurions pas été tenus au courant ? Tout a commencé il y a deux jours lors de ma petite revue de presse, celle que je fais avant d’attaquer mon café. Par trois fois, j’ai repeint mon clavier, mon écran, j’ai bondi, j’ai hurlé. Le constat est là, nous sommes en 2013 et le stoytelling journalistique, savamment mixé avec un zeste d’incompétence, deux pincées de mauvaises foi et une cuillère à soupe de peur de l’inconnu… est roi.

Les Internets où tu meures dedans

On commence par la perle des perles avec les Internets de « on va tous mourir ». La technologie tue voyez vous, et Internet, bien qu’ayant fait moins de morts que Mac Donalds, est selon le journal de Montréal un outil criminel. L’auteur passe en revue pas moins de 8 façons de mourir à cause des vilains pirates du Net. De quoi foutre la trouille à… personne en fait. Attention, le titre et le visuel décapent :

Capture d’écran 2013-05-11 à 14.05.36

On apprend donc dans le Journal de Montréal que les pirates du net sont des meurtriers en puissance… ben voyons. Alors comment s’y prennent ils les pirates pour perpétrer des meurtres sur Internet ? Vous le saurez en lisant cet article. De mon côté après cette lecture j’ai ressenti une subite envie de me pendre à un RJ45 et ajouter une 9e façon de mourir à cause d’Internet, d’une journaliste qui a de curieux fantasmes. Journal de Montréal pirate ! Assassin !

Les Internets anonymes des criminels

Je vous en ai parlé ce matin sur Reflets, je n’ai plus trop envie d’y revenir, mais oui je trouve regrettable qu’un journaliste de Marianne s’abaisse à ce genre sensationnalisme dans un article, « Plongée dans l’Internet criminel » qui transpire l’incompétence et le parti pris de l’Internet du pire en occultant de définir les outils mentionnés pour ce qu’ils sont, à savoir, dans pas mal de pays, des outils indispensables à l’exercice de la liberté d’expression ou à la sécurité physique des journalistes et des citoyens. Si ce n’est pas déjà fait allez quand même le lire, et n’hésitez pas à expliquer à son auteur à quel point il est à côté de la plaque. Il ne manquera pas de vous répondre que oui il sait mais c’est pour vulgariser, car les lecteurs sont vraiment trop cons.

Le guide de l’anonymat sur Internet raconté par Bozo le clown

Voici un article qui m’a tout bonnement mis hors de moi. Pourquoi ? Parce que l’anonymat sur le Net est quelque chose de trop sérieux pour que le premier journaliste en mal de revenus publicitaires (et dont le code des pages transpire les tracking cookies) raconte tout et surtout n’importe quoi dessus, sans même en maitriser les bases les plus élémentaires. L’article a visiblement été retiré du site tellement il était ridicule, mais il est encore disponible dans le cache de Google et j’en ai conservé une petite copie téléchargeable ici au format PDF. On y apprend par exemple que CCleaner est un outil d’anonymisation (lol), ou que le honeypot hidemyass, « une solution de transfert de fichiers cryptés » (dans l’eau, le transfert de fichiers en mode chiffré, c’est SFTP ou SSH… Hydemyass, c’est un VPN qui chiffre l’intégralité du trafic quand c’est pas trop mal fait) est recommandé par l’auteur… peu importe si ce dernier file ses logs au FBI. En outre sortir un « Hydemyass » du chapeau c’est bien mais encore faut il expliquer que ce dernier utilise 3 protocoles OpenVPN, L2TP et PPTP… et surtout que seul OpenVPN implémenté correctement peut réellement garantir l’anonymat.. et encore, ce n’est pas magique car il existe 1001 façons de faire leaker votre véritable IP (plugins de navigateurs web, DNS, javascripts…).

Puis, On se rend vite compte que l’auteur confond lui aussi chiffrement du payload et anonymat (nécessitant chiffrement et protection du contexte). Si vous lisez cet article gardez à l’esprit que chiffrer n’est pas anonymiser, le chiffrement sans protection du contexte fait de vous et de votre interlocuteur des personnes parfaitement identifiables même si le contenu des messages est chiffré.

Pour conclure sur cet article, j’aurais vraiment voulu y répondre par un commentaire, mais voilà, « le guide de l’anonymat sur Internet » ne proposait qu’un fil de commentaires nécessitant une authentification à Facebook… you failed at failing.

Publié le

A TOR… ou à raison

Vous avez peut être vu passer le vent de panique qui souffle sur TOR depuis qu’Eric Filiol, directeur du laboratoire de recherche en cryptologie et virologie de l’ESIEA, a annoncé le fruit du travail de son équipe sur le réseau « onion routé », venant ébranler la confiance dans l’anonymisation offerte par TOR. Rappelons que dans certains pays, moins cléments que le notre concernant la liberté d’expression (si ça existe!), l’anonymat est la seule manière d’exprimer des points de vues politiques, culturels, religieux ou artistiques…

Que s’est il donc passé ? L’affaire est très bien expliquée sur le site ITEspresso.

Première surprise, Eric Filiol annonce 181 nodes cachés découverts grâce à un algo maison, cartographiant le réseau TOR sur une Google Map :

« Il existe des noeuds cachés non répertoriés dans le code source. Seule la fondation TOR connaît ces routeurs cachés. On a développé un algorithme compliqué pour les identifier. On en a écrit une librairie (181 TOR bridges découverts à ce jour). C’est une base non publique mais il est illusoire de penser que ce niveau de sécurité n’est pas accessible (…) Le code source sera mis à disposition mi-novembre. »

On apprend également que sur les plus de 9000 nodes, environ 1500, seraient vulnérables à des escalations de privilèges.

Le routage complexe de TOR a lui été semble t-il mis en défaut par les chercheurs, ce par le biais d’un virus agissant sur la mémoire et provocant des embouteillages sur certains noeuds. Ainsi il devient possible selon le chercheur d’orienter les flux sur des nodes… en somme, de la prédiction de routage…on sent bien ce qui va venir juste après.

« J’infecte une partie du réseau TOR, je peux contrôler les flux qui passent. »

Il devient par ce biais, sans avoir besoin de saturer le réseau, de créer des micro-congestions afin de faciliter le packet sniffing.

Mais il y a plus fâcheux : la couche de chiffrement, assurant la secret dans le transport des données, toujours selon Eric Filiol, ne serait pas au top :

« La cryptographie implantée dans TOR est mauvaise…On a réduit considérablement le degré de deux des trois couches de chiffrement. »

Le directeur de recherche du laboratoire indique également que la fondation n’a pas très bien réagi à l’annonce de ces travaux :

« La fondation a fait une demande de manière agressive pour me faire comprendre en évoquant la dimension de ‘responsible disclosure’. Mais tout ce qui m’importe, c’est de savoir si c’est légal ou pas » 

Et enfonce le clou :

« On ne peut pas imaginer que la fondation derrière TOR ne soit pas consciente de ses failles » 

Cette dernière accusation semble elle, plus grave et surtout moins objective car comme le souligne ITEspresso, elle sous-entend que la finalité du réseau TOR, qui a obtenu le soutien financier du gouvernement américain ne serait pas si limpide que cela. Et ça pour tout vous dire, je peine à y croire. Quoi qu’il en soit, en attendant la conférence qui se tiendra à la fin du mois à Sao Paulo au Brésil où l’équipe de chercheurs devrait dévoiler ses travaux, mon sentiment est que :

1° Eric Filiol n’est pas du genre à bluffer

2° Les vecteurs d’attaques expliqués sont tout à fait crédibles

3° Si la sécurité est une affaire de confiance, alors, le réseau TOR est aujourd’hui ébranlé.

 

 

Publié le

Je vous présente le blog d’un nouveau copain

sécuritéCher Gnuzer,
Tu as pris le temps de répondre, de manière argumentée, à certaines de mes positions. Je trouve ta démarche honorable, du coup, je vais te donner un petit coup de pouce en te répondant publiquement et surtout en te donnant la visibilité que mérite ta réponse. Je suis assez embêté de ne pouvoir linker l’article lui même mais ceci est du à la redirection de ton nom de domaine, un AName aurait été préférable. Là le pointage de ton nom de domaine n’observe pas la première des bonnes pratiques du web, à savoir une URL par contenu.
Je passe sur tes attaques personnelles, je ne m’abaisserai même pas à y répondre. Je vais me concentrer sur ton contre-argumentaire…

1° « Thèse : Le VPN, Çaylemal. »
Là tu as soit un problème de lecture, soit tu tombe dans le travers que tu me reproche dans le premier couplet de ta chanson.

2° « Ça, c’est le bruit de la claque que prend dans la tronche un cyberrésistant récemment converti au crypto-anarchisme comme moi »
Si tu as besoin de mettre en avant tes talents de crypto anarcho pour contourner HADOPI c’est que tu n’as pas compris grand chose :

  • ni à la loi HADOPI
  • ni à Internet

Tu te qualifies de cyber résistant ? En te cachant pour downloader un MP3 ? C’est où que tu résistes dans l’histoire là ?
Tu fais la bêtise de confondre clicodrome VPN et cryptoanarchisme, là on est carrément dans l’amalgame de noobs qui va pas tarder à nous dire qu’il est rentré dans la matrice pour échapper à HADOPI.

3° « le lectorat de Bluetouff’s blog n’est finalement pas aussi élitiste que peuvent le faire croire ses articles très pointus sur la sécurité informatique. »
Je n’ai pas la prétention de m’adresser  aux l33tz, d’ailleurs je doute qu’ils trouvent des choses intéressantes dans mon blog, mon action se situe plutôt au niveau de la sensibilisation, et à te lire, je vois que j’ai encore du travail.

4° « N’oublions pas qu’avec HADOPI et LOPPSI nous sommes tous des criminels… »
Tu te présente aux élections présidentielles ? Tu es déjà en campagne là ?

5° « Remarque : Bluetouff clarifie sa pensée dans sa réponse à Korben : selon Bluetouff, il ne faudrait pas se cacher pour exercer notre activité illégale »
Ok c’est donc que tu as bien tout compris de travers, selon moi cette activité ne devrait pas être illégale, et te cacher c’est comme bloquer un site web, ça s’appelle fermer les yeux, c’est une attitude de couille molle.

6° « Tout délinquant essaye d’échapper à la répression. Si désormais nous sommes tous des délinquants, il est naturel que nous essayions tous d’échapper à la répression. »
Tu te considère comme un délinquant ? Bravo, moi pas et j’essayais de me battre pour expliquer que tu n’en étais pas un… ton billet me refroidit pas mal…

7° « je donne d’avantage de chances de survie aux “planqués” qu’aux héros contestataires. »
A chacun son truc mais en dehors du fait qu’on a pas besoin d’être un héro pour dire qu’on est pas d’accord avec une loi débile, il va falloir que tu m’explique comment un planqué peut faire changer une loi injuste. Ce qui me fait dire que tu n’es pas du tout un cyber résistant, tu es juste une personne qui ne pense qu’à sa tronche et à pouvoir télécharger tranquilement… planquée. Ce qui compte ici c’est ta survie à toi, surement pas le respect des libertés d’autrui.

8° Je ne reviendrai pas une fois de plus sur les usages du VPN, mais la « panacée » c’est :

  • un darknet privatif où on accorde confiance à chaque node
  • l’utilisation de protocoles non standards multiplexés, bien évidemment chiffrés, end to end (on est loin du VPN à papa là)
  • une connaissance juridique sur les points d’entrées et de sorties
  • Le tout dans une VM avec un OS fait pour (au pif OpenBSD)
  • Un serveur X over SSH
  • Pas de plugin à la con dans le navigateur
  • … et accessoirement allumer son cerveau pendant qu’on surf.

9° Sur la suite c’est amusant car tu as une bonne compréhension technique de la problématique, c’est donc bien sur la philosophie que nos avis divergent. Le hic c’est que j’ai du mal à percevoir ton contre argumentaire philosophique dans tout ça. Enfin il y a quand même une erreur technique « Ceux-ci sont renvoyés par le VPN et atteignent leur destination finale par le chemin le plus court. » Quand tu visite le site de la HADOPI derrière un VPN dont le noeud de sortie est à HongKong, j’ai le sentiment que tu dis une bêtise… je sais pas pourquoi…

10° « c’est en revanche parfaitement raisonnable dans un pays où le gouvernement a des tendances orwelliennes. »
Tu prêtes des facultés au gouvernement qu’il n’a pas, ce qu’il a mis en place jusque là atteste plus de son e-gnorance que de quelques volontés orweliennes. Le blocage des sites sur LOPPSI, c’est pas orwerlien, c’est de la lâcheté qui vise à dire « la pédopornographie n’existe pas ».

11° « Je vois ces sûrcoûts engendrés plus comme un effet collatéral du système répression + résistance. »
Encore une fois, tu ne résistes pas, tu te planques.

Publié le

Notre Internet est malade, ne l’achevez pas…

Il n'est pas trop tard

Bon, c’est pas la première fois que je peste sur les VPN qui pourrissent notre Internet. Mais à la lecture d’un commentaire sur le billet précédent, je viens de m’apercevoir que ce qui parait évident pour certaines personnes, est loin d’être acquis pour tout le monde. Je commence à peine à prendre la mesure des dégâts d’HADOPI sur notre Internet. Aujourd’hui je dois vous avouer que je suis particulièrement inquiet et énervé de voir des internautes qui se ruent sur ces solutions de _merde_ pour tenter de contourner une loi de _merde_… Résultat, c’est l’Internet qui trinque et l’Internet c’est vous tous.

Pour comprendre de quoi je parle, il faut certaines bases qui font autant défaut aux personnes qui ont porté HADOPI, qu’aux personnes crédules qui se ruent sur les VPN en pensant qu’ils résoudront tous leurs problèmes.

L’Internet est un réseau acentré et ouvert. Chaque machine reçoit et émet des données. Pour que ceci soit possible, elles ont besoin de se voir ces machines. Aujourd’hui elles se voient encore à peu près, où qu’elles se trouvent . Ce sont ces machines, situées en extrémités du réseau qui sont sensées apporter au réseau son l’intelligence. En masquant ces extrémités, en cherchant à disparaitre, vous amputez le réseau de son intelligence et vous laissez aux FAI comme marchands de minitel en haute définition, un boulevard pour qu’ils apportent leur intelligence à eux.

Oui je suis en rogne, car l’usage massif des VPN  ou des solutions d’anonymat pour le téléchargement, c’est la mort de l’Internet ouvert !

  • En adoptant les VPN pour télécharger vous êtes en train de transformer l’Internet en Minitel !
  • Vous êtes en train de laisser gagner les gens qui cherchent à vérouiller le Net !
  • Vous verrouillez le Net vous même !

Réveillez vous bordel !

En cherchant à disparaitre d’Internet vous tuez un bout de l’Internet, vous luttez contre le réseau… c’est complètement stupide !

Les solutions d’anonymat sont nécessaires pour l’exercice de libertés, par exemple pour des journalistes ou pour des opposants politiques de certains pays dont nous ne faisons pas encore partie. Les utiliser pour se cacher de son propre Etat à cause d’une loi aussi débile qu’HADOPI est une solution extrême, un pas de plus vers une escalade inacceptable pour les valeurs auxquelles nous sommes tous plus ou moins consciemment attachés. En cela, HADOPI est une loi terroriste, qui par effet non mesuré par ses géniteurs, est en train de TUER notre Internet.  Si le mal trouve ses origines dans les mesures d’un gouvernement qui n’a pas su mesurer le risque qu’il encourait en les prenant, ne lui donnez pas raison, par pitié, faites lui remarquer en vous exprimant mais pas en vous cachant.

Vous cacher c’est renoncer alors que vous êtes dans votre bon droit et c’est au moins aussi irresponsable que d’avoir voté HADOPI.

Publié le

Anonymat – Acte 2 : Les solutions d’anonymat tiennent-elles réellement leurs promesses ?

Anonymat sur le Net
Anonymat sur le Net

L’anonymat sur le Net est quelque chose de bien trop sérieux pour laisser une place au hasard. Dans certain pays, il est le garant de la liberté de certaines personnes (journalistes, opposants politiques…), pour certaines personnes, une erreur et leur vie peut être mise en danger. Dans le premier billet de cette petite série, nous avons fait la différence entre la protection du contenu et du contexte. Nous avons vu que la protection des contenus passait par le chiffrement des données et que la protection du contexte, bien plus complexe, nécessitait un ensemble de mesures adaptées à des problématiques variées et qu’il existait une forte interdépendance entre ces mesures. Ce que l’on souhaite quand on parle d’anonymat, c’est bien évidemment une solution capable de protéger tant le contenu que le contexte.
Nous allons nous pencher maintenant sur quelques solutions d’’anonymat communément utilisées et tenter de comprendre ce qu’elles protègent exactement.

  • Utiliser le wifi du voisin : sachez dans un premier temps que ceci est parfaitement illégal, à moins que vous n’ayez expressément été invité à le faire. Sinon ça porte un nom : intrusion et maintien dans un système de traitement automatisé de données, auquel la LOPPSI devrait même venir ajouter une usurpation d’identité, et ça coûte relativement cher, à savoir de deux ans d’emprisonnement et de 30000 euros d’amende (Loi Godfrain amendée par la Loi dans la Confiance en l’Economie Numérique dont le petit nom est LCEN), et 3 ans et 45000 euros d’amende en cas de modification ou destruction de données. Dans le cas de l’utilisation de la connexion wifi d’un tiers, l’anonymat est loin d’être garanti. L’administrateur du réseau local peut très bien intercepter vos données directement sur son LAN et ce type d’intrusion est facilement détectable (tien une ip en plus sur le réseau)… Si en plus vous faites tout passer en clair, vous avez intérêt à faire extrêmement confiance en la bienveillance ou l’ignorance de votre victime… au fait vous êtes bien sur que le réseau wifi utilisé n’est pas tout simplement un honeypot uniquement destiné à intercepter vos données personnelles ? Bref vous l’aurez compris, cette solution n’en est pas une, en outre elle protège une partie du contexte, mais surement pas le contenu.
  • Les serveurs proxy : un serveur proxy permet de masquer son IP pour une utilisation donnée correspondant au port utilisé par une communication. On trouve aisément des proxy pour les usages les plus fréquents (navigation web, transferts de fichiers…). Les proxy ne sont pas une solution satisfaisante pour l’anonymat, il ne protègent qu’une toute petite partie du contexte. Il est impératif d’utiliser SSL pour protéger le contenu de la communication et la protection du contexte peut également être améliorée en utilisant plusieurs proxy en chaîne (proxy chain). Attention, la contrepartie, c’est que chaque proxy est également un maillon faible puisqu’il peut loguer les connexions. Les proxy sont cependant un terme très générique et il convient de porter son choix sur les proxy anonymes qui ne loguent pas les communications et ne révèlent pas votre adresse ip à tous vents (attention, toujours dans le cadre d’une communication sur un port donné). On distinguera également les proxy SOCKS et CGI (généralement une page web avec une barre d’adresse dans laquelle on place l’url que l’on souhaite visiter discrètement), d’une manière générale les proxy SOCKS sont plus difficilement identifiables par le site cible que les CGI. Attention enfin aux proxy open socks, il s’agit en fait souvent de machines compromises par des hackers qui peuvent prendre un malin plaisir à intercepter vos données. Les proxy payants peuvent donc êtres considérés comme plus fiables. Les proxy ne gèrent pas correctement la protection du contexte, la protection du contenue, si elle est assurée par SSL peut également être faillible par Man in the Middle.
  • Le chaînage de proxy : une méthode également assez répandue mais qui a pour effet de ralentir les surfs, est de passer par plusieurs serveurs proxy. Là encore ce n’est pas parce qu’on utilise 3 ou 4 proxy de suite que l’on peut se considérer comme réellement anonyme. Ces proxy doivent être anonymes, ne pas loguer les connexions et ceci ne dispense absolument pas de chiffrer les contenus, l’utilisation de SSL n’est pas une option, mais là encore, certains vous diront à raison que SSL c’est bien … mais… Les protocoles plus exotiques apporteront donc une sécurité accrue mais seront évidemment plus difficiles à mettre en place ou à utiliser. C’est ce genre de solution, couplé à des règles drastiques sur les noeuds qui composent son réseau, que repose la solution JonDonym (JAP) : géographiquement distribués, préalablement audité, opérateurs de noeuds conventionnés, JonDonym est une solution de proxychain assez évoluée qui tend à protéger le contexte de manière quasi satisfaisante pour peu que l’utilisateur observe quelques bonnes pratiques complémentaires (comme utiliser pour surfer une machine virtuelle sous OpenBSD avec une redirection du serveur X sur SSH, la désactivation ds cookies ou de toutes les extensions de navigateur dangereuses dont nous allons parler un peu plus loin…).  Attention cependant JonDonym se traîne une réputation sulfureuse, et des rumeurs de backdoors ont couru. La police allemande se serait intéressée de près à ce réseau.
  • Les VPN : Un VPN est un réseau privé virtuel. On le dit virtuel car il n’y a pas de ligne physique dédiées qui relie les nœuds. On le dit également privé parce qu’il utilise le chiffrement. Les VPN utilisent un chiffrement fort entre les nœuds pour accentuer la protection du contenu (on ne se contente pas de faire confiance aux noeuds). Une des principales différences entre un proxy et un VPN est que le proxy opère sur la couche applicative du modèle OSI, alors que le VPN opère sur la couche réseau. Le VPN est donc naturellement plus résistant à des fuites d’adresses IP. En clair, un proxy anonymise une application (un client mail, un navigateur…), un VPN, lui, tend à anonymiser le trafic d’un OS, c’est à dire l’ensemble de ses applications en opérant sur la couche réseau permettant à ces applications de communiquer. Usuellement les services VPN utilisent des noeuds dans des juridictions offshore mais ceci ne suffit pas. En outre, les vertus anonymisantes des VPN ont largement été survendues, d’ailleurs, il n’est pas rare que certains (mêmes gros) acteurs qui prétendent ne pas loguer les connexion, en pratique, les loguent. Autant vous le dire tout de suite, les providers américains loguent, ils en ont la quasi obligation(Patriot Act).
  • Tor : Tor est une solution d’anonymat basée sur le concept d’onion routing (routage en oignon), il implique un chiffrement des données préalable qui, passant de noeud en noeud se voit cryptographiquement dénudé d’une couche, d’où son nom. Le concept d’onion routing a initialement été développé par l’US Navy et Tor est son implémentation la plus connue. Tor est un réseau semi-centralisé qui se compose d’un programme et d’un réseau d’environ 200 noeuds. Un utilisateur peut utiliser le réseau passivement ou choisir de relayer le trafic d’autres utilisateurs. Les communications passent par trois noeuds avant d’atteindre un noeud de sortie. Les routes des noeuds sont chiffrées, ainsi que le contenu. Chaque nœud enlève une couche de chiffrement avant de transmettre les communications. Contrairement à SSL, Tor est connu pour être résistant à des attaques par Man in the Middle en raison d’un chiffrement sur 80 bits (pas énorme mais suffisant) de l’authentification post communication. Nous reviendront dans le prochain billet sur Tor, ses vulnérabilités, ainsi que sur Freenet et I2P. Nous verront pour ces solutions que le contexte est faillible.
Les maillons faibles

Ce qui va suivre est loin d’être exhaustif, ces quelques éléments ne sont là que pour vous guider un peu mieux sur les bonnes solutions et les bonnes pratiques, en fonction du niveau de protection de vos données personnelles recherché. Il y a dont une bonne et une mauvaise nouvelle (nous creuserons plus tard la mauvaise). On commence par la mauvaise la quasi intégralité des solutions sont plus ou moins vulnérables aux éléments de protection de contexte ci-dessous. La bonne est que ce n’est pas innéluctable et que vous connaissez très bien votre pire ennemi, c’est à dire vous même.

  1. Les plugins de navigateurs bavards : Le premier maillon faible, c’est votre navigateur web et d’une manière générale toutes les applications qui se connectent à l’internet. Si sur la route, les protocoles de chiffrement peuvent vous protéger, vous n’êtres pas du tout à abri d’un plugin de navigateur trop bavard. Au hit parade de ces extensions, Acrobat Reader, Windows Media, QuickTime, et Flash.
  2. Les réseaux trop sociaux et les identifications un peu trop fédératrices : L’identification sur un site web, particulièrement quand il s’agit d’un super réseau social tout de javascript vêtu avec de supers API faites dans le but louable de rapprocher des personnes qui ne se connaissent pas et exportables sous forme de widgets sur des sites web tiers… toutes ressemblance avec un certain Facebook est purement pas du tout fortuite… est un danger énorme pour vos données personnelles. Il est même particulièrement simple de révéler votre véritable adresse IP en exploitant l’API du dit réseau social. La règle de base est donc de ne jamais s’identifier sur plus d’un site à la fois… finit les 57 onglets dans votre fenêtre de navigateur si vous voulez la paix, il faut être avant tout méthodique : une machine virtuelle = une authentification sur le Net. Au dessus, vous vous exposez de fait à un vol de session.
  3. Les mauvaises implémentations logicielles : Un mécanisme de sécurité, comme un algorithme de chiffrement, peut être compromis, ou plutôt contourné, suite à une mauvaise implémentation. Là encore c’est dramatiquement banal, on a par exemple tous encore tête la réintroduction d’une faiblesse d’implémentation du mécanisme de génération des clef WPA des BBox, les box du fournisseur d’accès Internet Bouygues. Attention, les mauvaises pratiques de développement ne touchent pas que des clients lourds, elles touchent aussi des sites web… oui même des gros sites très célèbres… surtout des gros sites très célèbres. Ainsi, un XSS bien placé et c’est le vol de session. Un simple cookie est susceptible de dévoiler votre véritable identité. Dans le monde de la sécurité les cookies ont deux fonctions : être mangés ou être supprimés (non acceptés c’est encore mieux).
  4. L’interface chaise / clavier : Si vous ne voyez pas de quoi je parle, il s’agit tout simplement de l’utilisateur lui même. Le vrai problème est qu’aujourd’hui, non seulement tout est fait dans les systèmes d’exploitation moderne pour vous masquer le plus posssible les couches complexes (combien de personnes ici savent comment fonctionnent une pile TCP/IP), mais tout ces marchands de sécurité, FAI en tête exploitent votre méconnaissance du réseau et s’en font un business particulièrement lucratif. Avec HADOPI, tout ce petit monde a une occasion rêvé pour vous vendre des solutions tantôt de sécurisation, tantôt de contournement. Le résultat est le même et la démarche est toute aussi sujette à réflexion.
  5. Le contenu cible : En fonction de votre solution d’anonymat, les sites que vous visitez peuvent eux aussi représenter une menace, il n’est pas rare que certains sites, eux mêmes victimes de failles distribuent du malware et compromettent la sécurité des données personnelles de leur visiteurs. D’autres encore, spécialement destinés à piéger les visiteurs, n’hésiteront par exemple pas à doter un formulaire de contact ou d’inscription d’une fonction de keylogin (une pratique pas courante mais existante sur certains sites de warez et destinée à dépouiller les visiteurs qui auraient la mauvaise idée d’utiliser pour ces sites les mêmes mots de passe qu’ils utilisent pour leur compte Paypal ou leur messagerie).

Dans le troisième et prochain billet de cette série, nous aborderons plus en détail les attaques possibles sur les solutions d’anonymat. Le billet sera donc un peu plus technique que celui-ci.

Publié le

Anonymat – Acte 1 : VPN et HADOPI… et vous vous pensez anonymes ?

Ce billet est le premier d’une petite série sur le thème de l’anonymat, des VPNs, et par extension, des attaques possibles. Pour un plus grand confort de lecture, ce qui ne devait faire qu’un seul billet va du coup en faire plusieurs, ils auront un caractère plus ou moins technique. Le premier est une (longue) introduction aux bases de l’anonymisation IP… bonne lecture.

/Greetz wizasys /-)

Fallait pas me chercher…

VPN par ci, VPN, par là, je commence à être blasé d’entendre ce mot utilisé n’importe comment et à toutes les sauces, et surtout d’entendre tellement de contre-vérités sur leurs vertus « anonymisantes ». Comme promis, voici quelques réflexions sur les VPNs, motivées par une recrudescence de spams sur ce blog liés à l’exploitation du bruit autour d’HADOPI. Si certains, plutôt courtois me proposent d’essayer leurs solutions, d’autres viennent carrément pourrir systématiquement tous les billets où ils décellent le mot « HADOPI » pour venir coller un lien sur leur site web qui prétend vendre de la sécurité à 5 euros par mois. Mais le plus dérangeant dans tout ça, c’est surtout les idées fausses qui sont véhiculées sur de nombreux sites ou wikis, et tendant à dire qu’un VPN est l’arme absolue pour vous mettre à l’abri de l’inspection en profondeur de paquets (DPI) et préserver votre anonymat.

Qu’est ce qu’un VPN ?

Un réseau privé virtuel ou VPN est un tunnel chiffré dans lequel on fait passer ses communications dans le but de les sécuriser. Ainsi, on entend contrôler les routes empruntées par les informations afin d’éviter la captation par des tiers non autorisés.

Si les VPNs sont pour l’instant une réponse très relativement efficace pour passer sous les radars de Trident Media Guard (je dis bien pour l’instant car sur certains protocoles de P2P, ça risque de ne pas durer, et pour le reste…), ils ne sont pas la panacée, et ne suffisent pas à garantir votre anonymat. Que ce soit sur les réseaux P2P ou sur de simples sites web, il existe, même derrière un VPN, plusieurs techniques permettant de révéler votre véritable adresse IP. Les pièges sont nombreux, ils émanent autant des sites que vous visitez que de votre propre fait, il est donc primordial d’en avoir conscience.

Les racines du mal

En pondant un texte aussi peu inspiré qu’HADOPI, notre bon législateur s’est involontairement exposé à une menace bien réelle dont on peut observer quelques effets indésirables dans d’autres pays. De nombreuses sociétés se sont engouffrées dans ce nouveau marché de la surveillance de masse et du contrôle généralisé, d’autres tentent d’y apporter des parades. Notre Ministre de l’industrie a de quoi se frotter les mains, il va ici voir emerger un nouveau pan de l’économie hexagonale, bien nauséabond, celui de la course à l’armement numérique. Sur Internet comme dans la vraie vie, les marchands de canons peuvent être des personnes très sympathiques, c’est de la protection qu’ils vous vendent sur le papier, mais la mort reste leur fond de commerce. Fabrice Epelboin en parlait très bien dans sa publication sur les révélations d’un CTO de réseau pédopornographique, ses prémonitions sont en train de se concrétiser. Jusque là, les gens qui avaient besoin d’assurer leur parfait anonymat étaient soit des professionnels dont la confidentialité des échanges est nécessaire de par la nature de leurs fonctions, soit des gens dont la nature illicite et criminogène des activités nécessitaient d’éviter de se faire pincer. En ramenant le besoin d’anonymat à des comportements d’ordre délictuels du type téléchargement de MP3 copyrightés, il ne faut pas s’étonner de voir certains réseaux mafieux se frotter les mains en se disant qu’ils vont pouvoir s’attaquer à des marchés plus grands publics. Leurs infrastructures sont là, elles n’attendent plus que les bons gogos… et ces gogos, c’est nous tous !

Ceci est très dérangeant et paradoxal car l’anonymat et la vie privée (ou la protection de la confidentialité) est un besoin légitime, la sécurisation des échanges l’est aussi. Les démarches administratives (impôts, URSSAF…), les opérations bancaires ou financières(…) nécessitent des échanges sécurisés.

On peut donc remercier nos élus d’avoir fait pour l’Internet ce choix de société, souvent par manque de courage politique, quelques fois par e-gnorance, mais aussi et surtout par jemenfoutisme. Vous trouvez que j’y vais un peu fort ? Dans ce cas, respirez un grand coup avant de lire la suite car je n’ai pas terminé… l’échauffement.

Internet est un réseau public

Internet n’a pas été pensé pour l’anonymat ou la vie privée, il s’agit d’un réseau public, les informations de routage sont donc publiques et les données ne sont à l’origine pas chiffrées. Internet permet naturellement le chiffrement mais ce dernier ne cache pas l’identité de l’émetteur ni du destinataire (le chiffrement cache le payload mais pas les informations de routage ni les métadonnées).

L’Internet est constitué d’AS (systèmes autonomes) qui appartiennent à des fournisseurs d’accès, les AS communiquent via des IX (Internet Exchange). C’est dans les AS (je n’ose imaginer que des ayants-droit ou des officines privées accèdent un jour aux IX) que des personnes qui veulent vous « sécuriser » iront, si on les laisse faire, placer leurs dispositifs d’écoute… tout simplement car c’est là que passent le plus de communications. Ce ne sera pas un problème pour Orange ou SFR (qui utilisent déjà le Deep Packet Inspection pour détecter les DDoS, Spam, Botnets et autres attaques virales) que de faire directement de l’écoute sur leur AS, en revanche sur les IX, d’autres FAI pourraient voir ça d’un très mauvais oeil. Mais aux USA, il est par exemple admis que la NSA puisse réaliser ses écoutes directement au niveau des IX. En France, on imagine bien que la DGSE puisse pratiquer elle aussi de telles captations sur un IX, mais Jean-Marc Manach vous en parlerait sûrement mieux que moi.

Toujours est-il que les FAI (beaucoup) conservent les logs au niveau des AS et sont en mesure de vous dire qui a communiqué avec qui à une date donnée. Je suis un peu plus circonspect concernant la production et la rétention des logs sur les IX, c’est un sujet que je ne maîtrise pas spécialement, mais selon les politiques de surveillance des agences gouvernementales de certains pays, certains IX font l’objet d’une capture de l’intégralité du trafic. A contrario, en Russie par exemple, où il existe peu d’IX, tout est extrêmement surveillé.

Les bases de l’anonymat

Je n’ai certes pas la prétention de donner un cours exhaustif sur l’anonymat mais ayant conscience de ce qu’il implique, je me permettrai simplement, je l’espère, de briser un mythe qui consiste à vous faire gober que des « solutions » simplistes répondant à peine à 10% des problématiques de l’anonymat sont des solutions pérennes pour la protection de votre identité sur les réseaux. Tout ceci est bien plus complexe qu’on aime à vous le dire.

Un VPN (réseau privé virtuel), propose la création d’un tunnel, généralement chiffré entre votre ordinateur (ou dans certains cas votre routeur) et le fournisseur du service. Dans la majorité des cas, tout ce qui passe entre le fournisseur du service et le contenu que vous ciblez passe en clair sur le réseau. Peu de services proposent un chiffrement « end to end » (de bout en bout) , c’est là la première vulnérabilité des solutions de VPN. Si tout passe en clair entre votre prestataire et le contenu que cible votre visite, généralement sur un serveur distant, au fond à droite des Internets, vous avez intérêt à avoir sacrément confiance en lui. Prenez bien conscience qu’en choisissant un fournisseur de service VPN, vous lui confiez la même chose que ce que vous confiez à votre fournisseur d’accès Internet, la moindre des précautions est donc de connaitre la législation en vigueur dans le pays de ce fournisseur de service.

Au chapitre des erreurs, la plus communément observée est l’amalgame fait entre la protection du contenu (ie chiffrement) et la protection du contexte (ie anonymat), entre chiffrement et processus visant à réduire les risques de captation de données. Si on devait résumer ça simplement on dirait que :

  • Les contenus définissent l’information
  • Le contexte définit l’environnement et les modalités d’accès à l’information.
  • On protège les contenus par le biais du chiffrement.
  • On protège le contexte par une série de méthodes et techniques adaptées, et sûrement pas par un produit, qu’il soit matériel ou logiciel.

Si le contenu ou le contexte est compromis, c’est votre anonymat qui est compromis.

Il convient également de faire la différence entre protection de la vie privée et anonymat :

  • Anonymat : la faculté de ne pas se faire identifier par un tiers ;
  • Protection de la vie privée : la faculté de protéger ses communications de la captation par des tiers non autorisés… Autrement dit, d’empêcher des tiers de savoir ce que vous dites ou ce que vous faites.

Si vous m’avez bien lu, vous devez donc comprendre par exemple qu’un réseau chiffré n’est pas forcément garant de votre anonymat. Et inversement, TOR protège le contexte… mais pas le contenu (mais nous allons y revenir dans un prochain billet de cette même petite série).

Qui écoute quoi et où ?

Vous avez tous entendu une phrase stupide, même sortant de la bouche de personnes connues comme Mark Zuckerberg (le fondateur de Facebook) du type : « si on a rien à se reprocher, on a rien à cacher« . Il doit s’agir de personnes qui n’ont jamais par exemple effectué un achat sur Internet ou qui n’ont jamais échangé un mail ou des photos avec leur famille…

En France, la captation de données informatiques, particulièrement quand il s’agit de données à caractère personnel, est très encadrée, elle nécessite l’intervention d’un juge, une enquête judiciaire…

Oui mais voilà, si l’internet s’arrêtait aux frontières françaises, on appellerait ça le Minitel… ou l’Internet par Orange. Vos communications, même nationales empruntent des routes qui ne sont pas toujours sur le territoire national, et donc non soumises aux mêmes contraintes juridiques, un fournisseur de services peut très bien décider de capter ces données pour une raison x ou y… comme par exemple le Patriot Act aux USA. Du coup, si vous en venez à passer par un fournisseur de service VPN aux USA, il ne faudra pas vous étonner si vos communications sont interceptées par les services américains, c’est la loi américaine qui est ainsi. Son pendant européen est la loi sur la rétention des données. Le choix de l’implantation des serveurs du provider dans telle ou telle juridiction est particulièrement important. Fournir des solutions d’anonymat ou du VPN demande une vraie maitrise juridique car c’est un paramètre crucial.

Est-ce que vous confieriez vos données personnelles à ….

Allez, fermez les yeux, et imaginez un instant que je travaille pour Universal Music, comment je procéderai à votre avis si je voulais faire la chasse aux petits resquilleurs ? Bingo, je monterai un service de VPN plus ou moins clairement brandé « contourner hadopi », je l’appellerai par exemple Hadopi en verlan…. ça fait djeuns, ça fait rebelz, et c’est surtout un super moyen de diriger (et même capturer) tout le trafic des gros téléchargeurs vers chez moi afin de mieux les identifier… et en plus, pour une fois, ils sont assez gogos pour payer.

La suite dans : Anonymat – Acte 2 : Les solutions d’anonymat tiennent-elles réellement leurs promesses ? (to come soon)

Publié le

Le Sénateur Masson vs l’anonymat des blogs … xptdr … lol 2.0 #proxy #vpn #offshorehosting #tor

stay anonymousUn peu d’histoire

Je confesse volontiers que j’ai mis un peu de temps à venir mettre une petite quiche sur le coin du crâne du Sénateur Masson suite à son délirium sur l’anonymat des blogueurs hexagonaux. Comme beaucoup, au début, je me suis dit « tien, en voila encore un qui cherche des nouveaux followers sur Twitter et des copains à superpoker sur Facebook » (c’est gagné, il a réussi à faire parler de lui dans le monde entier, et comme à chaque fois en matière d’Internet, on passe pour des cons)… mais le mal était plus profond. De mal remonte à des temps que nombre d’entre nous n’ont pas connu … je dépoussière mon bouquin d’histoire et je remonte en des temps immémoriaux, en cette France paradisiaque d’après guerre, en pleine reconstruction, avec à sa tête un président … enfin un général volontariste et charismatique, à cette époque ou on ne passait pas 45 minutes à regarder le programme télévision … il n’y avait qu’une seule chaîne, l’ORTF … raaah la la ! Que c’était bien ce temps là ! Au moins quand on était à l’ORTF on ne risquait pas de se faire apostropher publiquement par une personne du « peuple ». Bon ok, les mauvais esprits ne manqueront pas de demander « comment on appelle un pays dirigé par un militaire et qui n’a qu’une seule chaine de télévision ?« . Mais maintenant avec son Internet « tout pourri » le peuple peut apostropher les hautes sphères publiquement et se faire « retweeter » tout en balançant des vidéos sur Youtube avec son téléphone portable… comme si l’ORTF donnait la parole aux citoyens entre deux interventions du général.

Les castes 2.0

Ce sont ces temps que certains députés et maintenant sénateurs semblent regretter. Car figurez vous que sous couvert d’anonymat, ces satanés blogueurs, qui comme le rappelle fort justement Murielle Marlan Militello, ne sont pas des citoyens, se permettent des familiarités avec une classe politique toujours irréprochable. Parmi les dangereux fauteurs de troubles, on se souviendra par exemple cette mère de famille, anonyme elle aussi, convoquée au commissariat de police pour avoir osé écrire en commentaire d’une vidéo sur un réseau social une injure de gros calibre à l’encontre de Nadine Morano, attention âmes sensibles ne lisez pas ce qui va suivre : « hou la menteuse« . Je sais pas si vous me suivez jusque là, mais je viens de dire « anonyme » et juste après, « convoquée au commissariat » … mais on va y revenir. Une telle preuve d’irrespect envers les plus hautes fonctions de la République est intolérable, vous le comprendrez bien, ça mérite au moins d’aller jusqu’au tribunal. Quand un président dit « casses toi pauvre con » à un citoyen lambda, c’est bien fait pour la tronche du citoyen qui n’avait qu’à pas être un « lambda ». Par contre quand un lambda s’en prend à la caste d’anciens combattants de la guerre 3615, il faut … légiférer ! Quitte à écrire un monceau de conneries comme pour HADOPI, … il faut légiférer… comme s’il n’y avait en ce moment pas de sujets plus importants à traiter. Vous voyez si j’avais l’esprit tordu, je dirais que Monsieur Masson a reçu l’ordre de balancer son projet de loi pour faire diversion… tant que les blogs restent loin de la crise économique et de la pré campagne de notre présipaute, tout va bien.

Le sénateur Masson et Jacques Myard ont le « même prof d’Internet ».

Quand on est sénateur, usuellement, on est sensé connaitre un minimum les texte qu’on a voté, c’est comme ça que notre Parlement est fichu, mais même comme ça, et bien ça ne fonctionne pas toujours comme ça devrait au niveau des connexions cérébrales. Visiblement, le sénateur Masson, lui, n’a pas lu le texte de la LCEN. Du coup il est persuadé que les internautes sont de vils couards anonymes et qu’une loi les obligeant à aller se présenter en préfecture avec leur carte d’identité biométrique avant ouverture d’un Skyblog va regler les problèmes de cet Internet « tout pourri » (© 2009 J.Myard), vous savez, « la pire des choses que l’homme n’ai jamais inventé » comme le soulignait le brillant professeur es sciences cognitives Jacques Seguela.

Et oui sauf que notre mère de famille qui a eu l’outrecuidance d’injurier Nadine Morano avec un si vulgaire « hou la menteuse » se croyait anonyme elle aussi. Jusqu’à ce que Nadine Morano ne décide (sûrement aux frais de la République d’ailleurs, mais à vérifier) de savoir qui se cachait derrière ce pseudo. Dans ces cas là, on commence par consulter un avocat, qui fait une belle lettre à Youtube, Youtube vous envoi sur les roses car tant qu’il n’y a pas une demande formalisée par un juge, il se fout complètement de vos demandes. On obtient donc ce qu’il faut au bout de quelques jours et quelques milliers d’euros et hop Youtube se décide enfin à vous filer l’adresse ip de l’auteur de cet abjecte commentaire « hou la menteuse »… mais l’enjeu en valait bien la chandelle non ? Il ne nous reste maintenant plus qu’à aller voir le fournisseur d’accès Internet pour lui demander quel était la personne qui se cachait derrière telle adresse ip à telle heure…. « You don’t mess with Nadine ! ». Quelques milliers d’euros pour un « hou la menteuse », la République pouvait bien se l’offrir, après tout Nadine Morano « le vaut bien ».

Notre Sénateur Masson, vous venez de le constater, fait une première erreur très « basique ». Non en France, les internautes ne sont pas réellement anonymes, il sont identifié par une adresse IP (puisque la HADOPI vous dit que c’est un élément fiable d’identité et que vous avez voté pour, vous devriez lui faire confiance monsieur le Sénateur), voir un. Cet anonymat relatif qui est ici la règle est une bonne chose car il représente un point d’équilibre entre liberté d’expression et efficacité d’une enquête judiciaire. Mettre fin à l’anonymat tout relatif des blogueurs c’est aussi le meilleur moyen de mettre en faillite tous les hébergeurs français et de rendre sourds et aveugles tous les services de renseignement (et oui, on va s’amuser quand il va falloir reconnaitre un flux toréfié de /bin/laden entre les flux torréfiés de khorben, de ReadWriteWeb, du blog de Morandini (ah non pas lui il parait que c’est un professionnel donc il a pas le droit à l’anonymat), du blog de l’amicale philatéliste  Saint-Albanaise…).

L’anonymat et les fantasmes d’une classe politique au bord de la crise de nerf

L’anonymat c’est un peu comme les frites Mc Cain c’est toujours ceux qui en savent le moins qui parlent le plus. On cherche donc des manières un peu smart pour calmer les ardeurs des blogueurs dissidents. c’est exactement le rôle de ce texte crétin sur le droit à l’oubli (on attend un texte sur le devoir d’être moins cons quand on est devant le Net), qui va permettre à nos hautes castes 2.0 de virer les casseroles affichées sur leur page Wikipedia. La fin de l’anonymat des blogs c’est un peu pareil, sur le papier on va vous le présenter comme un « droit » pour vous « protéger », en pratique, seuls les entreprises et les puissants de ce monde pourront se payer un avocat pour broyer un petit blog pour une broutille.

En clair, il faut vraiment que les politiques se trouvent dans une épouvantable détresse pour accoucher de ce type de  dangereuses absurdités. La fin de l’anonymat sur Internet, c’est la fin de 80% de ses contributions… enfin en France car un proxy ou un vpn, un hébergement gratuit à l’étranger … et hop le blogueur redevient anonyme en quelques secondes.

Si un tel projet de loi voit le jour en France, je vous fait la promesse de tuer ce blog pour en ouvrir un autre quelque part, dans une ile du Pacifique, où quelques une de mes machines seront ravies d’accueillir les blogs de tous mes copains (à la louche comme ça je dois avoir assez de place pour un bon millier de copains qui refuseront de se plier à cette absurdité). Si ce truc arrive dans l’hémicycle, ce blog tel que vous le connaissez disparaitra de la toile hexagonale et réapparaitra sous un autre nom, de manière anonyme cette fois, et il distribuera les baffes que je me retiens chaque jour de distribuer depuis plusieurs années.

En attendant un billet bien saignant de Maître Eolas sur ce sujet, je vous invite à signer cette pétition de Wikio qui s’oppose au projet de loi du Sénateur Masson.

Publié le

Le kit de survie numérique du Journaliste à Pekin pour les Jeux Olympiques

picture from daylife.com

Et vous voilà dans un tiers monde numérique où la censure de site web est monnaie courante, avec un dispositif impressionnant de 30 000 « web cops » vous voilà espionnés, le gouvernement chinois vérifie que vous ne soyez pas trop informé de ce qui se passe au niveau des droits de l’homme dans le monde ou des manifestations pro-tibétaines.

Vous trouvez cette censure stupide et vous souhaitez tout de même accéder à des sites à caractère informatif que la chine censure ? Voici quelques petits outils qui devraient vous être utiles pour être en mesure de contourner cette stupide censure. Attention, les méthodes présentées ici ne sont pas infaillibles mais devraient amplement faire l’affaire pour échapper au contrôle des autorités chinoises

Tout d’abord l’arme ultime  :

AnonymOS : elle se présente sous forme de Live cd, vous la gravez, et vous bootez dans un environnement sécurisé avec tout l’arsenal nécessaire pour avoir la paix sans trop laisser de trace. Basée sur l’excellente OpenBSD et vous offre nativement l’encryption de vos surf et met en pratiques des mécanismes d’anonymisation de vos surfs relativement efficaces après de petites configurations. Télécharger AnonymOS

Tor : Tor est un projet logiciel qui aide à la défense contre l’analyse de trafic, une forme de surveillance de réseau qui menace les libertés individuelles et l’intimité, les activités commerciales et relationnelles, et la sécurité d’état. Tor vous protège en faisant rebondir vos communications à l’intérieur d’un réseau distribué de relais maintenus par des volontaires partout dans le monde : il empêche qu’une tierce personne scrutant votre connexion internet connaisse les sites que vous avez visité, et empêche les sites que vous avez visité de connaître votre position géographique. Tor fonctionne avec beaucoup de nos applications existantes, comme les navigateurs web, les clients de messagerie instantanée, les connexions à distance et tout un nombre d’applications se basant sur le protocole TCP. (…)

Il y a trois choses fondamentales à connaître avant de commencer.

  1. Tor ne vous protège pas si vous ne l’utilisez pas correctement. Lisez notre liste d’avertissements et assurez vous de suivre avec attention les instructions pour votre platforme.
  2. Même si vous configurez et utilisez Tor correctement, il y a encore des attaques potentielles qui peuvent compromettre la capacité de Tor à vous protéger.
  3. Aucun système anonyme n’est parfait à ce jour, et Tor ne fait pas exception : vous ne devriez pas vous fier intégralement au réseau Tor si vous avez besoin d’une protection anonyme totale.

Firefox et ses extensions magiques 🙂

Un bon navigateur, c’est vraiment la base si vous voulez avoir la paix, exit donc internet Explorer, il est temps pour vous de passer à Firefox, qui offre une collection de pluggins fort intéressante et une sécurité accrue.

Torbutton est comme son nom l’indique un boutoin d’activation de tor pour Firefox, il offre donc à portée de clique le passage à un mode de surf crypté et anonymisé pour peu que votre configuration soit correcte.

Cryptez vos mails !

Thunderbird / Enigmail : là encore si vous ne souhaitez pas partager vos emails avec les 30 000 super flics de l’internet chinois, voici le duo gagnant. Thunderbird est un client mail open source très simple d’utilisation et très complet, grâce à son extension Enigmail, vous serez en mesure de crypter vos emails grâce à OpenPGP.

Bon surf 😉