Sous les octets, la plage …
Suite à la découverte le mois dernier et plus récemment sur PCInpact ou Zataz de l’admin@pwal de Frédéric Lefèbvre, ce dernier a été finalement corrigé, les pages sont maintenant en accès interdit … oui mais voilà il en reste un peu et visiblement, Frédéric Lefèbvre a une préférence pour la culotte de Madonna :
Frédéric Lefèbvre aime donc Ségolène Royal et Madonna, on en apprend de belles sur son site 🙂
La petite histoire remonte à il y a plus d’un mois, j’avais souhaité signaler ici, des curiosités sur le site web de Frédérique Lefèbvre directement à l’intéressé, via une emission de radio, pour laquelle le Figaro avait lancé un appel aux questions. Mais j’ai eu la déception de me faire censurer à de multiples reprises.
Aujourd’hui c’est au tour de PCInpact ou de Zataz de s’émouvoir des courants d’air numériques de Frédéric Lefèbvre.
Ca fait donc plus d’un mois qu’on était au courant par ici mais ça fait toujours plaisir de savoir qu’on est pas tout seul à en rire 🙂
…. 5 gus dans un garage, valent mieux que deux gus dans une cave 🙂
« J’ai commencé à communiquer sur Internet avant même la création de Wanadoo, parce que mon frère qui vit aux États-Unis en est l’un des pionniers.(…) Il y a plus de dix ans, j’ai passé quelques bouts de nuits à ses côtés dans certaines caves du 18e arrondissement (…)
« L’absence de régulation du Net provoque chaque jour des victimes ! Combien faudra-t-il de jeunes filles violées pour que les autorités réagissent ? Combien faudra-t-il de morts suite à l’absorption de faux médicaments ? Combien faudra-t-il d’adolescents manipulés ? Combien faudra-t-il de bombes artisanales explosant aux quatre coins du monde ? Combien faudra-t-il de créateurs ruinés par le pillage de leurs œuvres ? Il est temps, mes chers collègues, que se réunisse un G20 du Net qui décide de réguler ce mode de communication moderne envahi par toutes les mafias du monde. […] La mafia s’est toujours développée là ou l’État était absent ; de même, les trafiquants d’armes, de médicaments ou d’objets volés et les proxénètes ont trouvé refuge sur Internet, et les psychopathes, les violeurs, les racistes et les voleurs y ont fait leur nid. »
Frederic Lefèbvre
Comment vous expliquer notre « hilaritude » quand Christine Albanel qui n’a décidemment pas peur du ridicule, soutient qu’avec une adresse ip on peut identifier un coupable et lui couper automatiquement sa connexion sans passer par la case justice ? Voici une superbe démonstration des dommages collatéraux que la riposte graduée va causer, le Tribunal de Grande Instance de Bonneville distribue sur son « site » des warez : films et logiciels « piratés » … par les admins du site ?
Alors, on coupe ?
Si vous avez loupé l’épisode des hackers chinois c’est par ici que ça se passe, pour mémoire, le Secrétaire Général à la Défense Nationale annonçait que la France était victime de cyber terroristes chinois, que c’était très sérieux … et que c’était un trojan dans MsWord qui avait failli mettre à mal les infrastructures de notre pays (un gros lol confirmé par quelques recherches). Le syndrome du hacker chinois, c’est cette idée très rependue chez les profanes qu’Internet est une zone de non droit peuplée exclusivement de pirates, souvent chinois (cyber racisme ?), de pédophiles et de dangereux gauchistes. Par delà les fous rires que Madame Albanel provoque dans les directions informatique de France et de Navarre lorsqu’elle soutient à la TV avec aplomb que l’adresse ip suffit à confondre, à coup sur, un internaute, se cachent d’autres réalités moins plaisantes.
Je me suis exprimé sur le projet de loi Création et Internet à plusieurs reprises :
Ce qui me pousse à vous reparler, une fois encore de la riposte graduée, est une question que de nombreux autres wifistes partageurs me posent.
« Le wifi communautaire est-il mort, la riposte graduée aura t-elle raison de FON et d’Open Mesh … ainsi que de tous les réseaux publics ? »
Voici la réponse que je souhaitais vous faire :
NE DEBRANCHEZ PAS VOS POINTS D’ACCES : Continuez à partager votre connexion, si le mécanisme induit par la Riposte Graduée vous fait écoper d’un email d’avertissement alors que vous n’avez rien à vous reprocher, ceci voudra dire que votre connexion a été utilisée pour échanger des fichiers copyrightés (et là encore je vous promets une belle tranche de rigolade quand je vous reparlerai d’Advestigo et CoPeerRight, mais ce n’est pas encore le moment). Ce téléchargement « illicite » a été fait depuis votre connexion donc l’HADOPI dit que c’est vous le responsable. Que vous partagiez ou non votre connexion volontairement, ceci peut très bien vous arriver et arrivera à de nombreuses personnes.
REAGISSEZ TOUT DE SUITE : l’HADOPI devra tenir à disposition une hotline, contactez les aussitôt pour leur expliquer que vous partagez votre connexion volontairement, ou qu’au contraire votre connexion a été utilisée par un tiers à votre insu.
CONTESTEZ !!! Et pour vous préparer un dossier solide : adressez vous à FON ou Open Mesh pour qu’ils produisent les logs de connexion avec
RAPPROCHEZ VOUS du collectif La Quadrature du Net qui sera à même de vous orienter sur les démarches à suivre.
TENTEZ LE COUP DES HACKERS CHINOIS : après tout si le Secrétaire Général à la Défense Nationale le fait, pourquoi pas vous ?
Au pire, déconnectez le cable ethernet votre fonera et installez y un firmware Open Mesh afin que nous puissions créer notre propre réseau sans fil local à l’échelle d’un quartier, d’un village, d’une ville … construisons nos propres réseaux d’échange et de partage.
Enfin je m’inquiète sérieusement du poids de la contestation, toute légitime soit elle, de chacun. Les questions en rapport avec les réseaux informatiques sont souvent complexes et la justice leur donne des réponses simplistes non adaptées. Quand on peut lire ce genre d’inepties dans un constat d’huissier (ceci est authentique) :
« cet ordinateur se connecte chaque jour à un site pirate dont l’ip est 192.168.0.254 »
… comprenez qu’il y a de quoi avoir froid dans le dos avec l’HADOPI.
Des chercheurs Suisses auraient réussi a intercepter les frappes de claviers filaires par interception des champs electromagnétiques émis par ces derniers, si la presse web présente ça comme un fait marquant nouveau en faisant le rapprochement avec une éventuelle utilisation pour l’interception de données bancaires … je ne puis de mon côté que penser qu’il ne s’agit ni plus ni moins d’une méthode employée par les services secrets depuis plus de 15 ans, et connue sous le nom de TEMPEST (Transient Electro-Magnetic PulsE Surveillance Technology). TEMPEST était notamment utilisé pour intercepter les affichages d’écrans CRT par les services secrets, c’est aujourd’hui un secret de polichinelle et beaucoup de ressources sont disponibles sur le net, y compris des ressources militaires.
Les wifistes confirmés le savent bien : TOUT matériel électrique émets des ondes électromagnétiques (ondes pulsées), souvent sources de parasites sur les réseaux sans fils, ces ondes, avec le matériel adéquat peuvent être interceptées. La seule solution concernant les claviers est l’inclusion d’un chipset de chiffrement embarqué déjà présents sur certains matériels wireless (bluetooth), mais souvent avec des chiffrement bien trop légers (40 bits).
Voici en gros comment ça fonctionne (source):
Un code exploitant une énorme faille de sécurité dansun composant du CMS Joomla est disponible sur Milw0rm, c’est un 0day que des hackers polonais auraient utiiser pour défacer des sites turques. L’exploit est simple et efficace puisqu’il permet carrément de changer le pass admin.
Je n’ai pas trouvé de correctif officiel ni d’annonce de cet exploit tout frais sur joomla.org.
Vous avez peut être vu passer l’info sur l’Expansion, Clubic, Neteco, Planetwifi, ou plus modestement sur l’un de mes autres sites. Nous avons déployé un réseau wifi maillé assez important aux portes de Paris, au Marché aux puces de Saint-Ouen, au Marché Biron. L’idée était, pour un coût défiant toute concurrence, d’offrir une solution ouverte, open source et performantes. Nous avons réussi notre pari en flashant des foneras avec le firmware Open Mesh. La pose a été assurée par Entreprise Transparence, un autre spécialiste du wifi et de la vidéo-surveillance ip.
Ce type de déploiement est simple à mettre en place et offre l’avantage de mutualiser plusieurs connexions adsl à faible coût au lieu d’investir dans des lignes spécialisées bien plus onéreuses. Toonux y voit également une solution idéale qui, couplée au wimax, pourrait rendre service à bien des communes. Tout pourrait aller pour le mieux dans le meilleur des mondes s’il n’y avait pas la menace de l’HADOPI qui entend que nous posions des dispositifs de filtrage visant à empêcher tout téléchargement « illicites » … Le problème de la responsabilité en cas d’avertissement se pose donc : qui est responsable ? « La personne qui partage sa bande passante » souhaite répondre l’HADOPI, sur le seul principe qu’elle semble reconnaître « une ip, un coupable ».
Si tel était le cas, ce serait bien là la fin de l’aventure des réseaux mesh communautaires et ouverts pour servir les intérêts de maisons de disques et quelques ayants-droit dont une bonne partie ne paye même pas d’impôts en France.
En aucun cas Toonux ne posera des dispositifs de filtrages, pour la simple raison que n’importe quel filtrage d’Internet est aussi efficace qu’un panneau « interdiction de marcher sur le gazon ».
Allez, imaginez un réseau local wifi et maillé, non connecté à internet, chiffré … sans aucun coût autre que celui d’un boîtier à moins de $ 50 🙂 … plus d’internet, plus de contrôle possible, une multitudes de mini sub-lan échappant à tout contrôle.
SI le net est surveillé, plus personne ne passera par le net et passera ainsi complètement à côté d’une éventuelle offre légale, sujet sur lequel les maisons de disques n’avancent toujours pas …
Jeux set et match pour les pirates.
C’est vous dire à quel point le concept de riposte graduée nous fait rire de par le ridicule des solutions proposées, mortes de l’oeuf. S’attaquer au particulier est la pire des bêtises à faire, ça revient à créer artificiellement une masse critique d’utilisateurs pour que des développeurs proposent des solutions d’échanges cryptographiées ou encore encourager à l’utilisation de Freenet et GNUNet à des fins de piratage.
Ça devient assez courant de voir Google là où on ne l’attend pas du tout, cette fois c’est au tour du monde très touchy de la crypto. Google entend offrir les moyens au développeurs d’utiliser plus aisément des algorythmes des chiffrement afin de mieux sécuriser leurs applications. SI keycsar, n’a pas, de l’avoeu même de Google, vocation à remplacer les OpenSSL, Pycrypto et JavaJCE sur lesquels il repose. Les plus de Keycsar sont :
Et vous voilà dans un tiers monde numérique où la censure de site web est monnaie courante, avec un dispositif impressionnant de 30 000 « web cops » vous voilà espionnés, le gouvernement chinois vérifie que vous ne soyez pas trop informé de ce qui se passe au niveau des droits de l’homme dans le monde ou des manifestations pro-tibétaines.
Vous trouvez cette censure stupide et vous souhaitez tout de même accéder à des sites à caractère informatif que la chine censure ? Voici quelques petits outils qui devraient vous être utiles pour être en mesure de contourner cette stupide censure. Attention, les méthodes présentées ici ne sont pas infaillibles mais devraient amplement faire l’affaire pour échapper au contrôle des autorités chinoises
Tout d’abord l’arme ultime :
AnonymOS : elle se présente sous forme de Live cd, vous la gravez, et vous bootez dans un environnement sécurisé avec tout l’arsenal nécessaire pour avoir la paix sans trop laisser de trace. Basée sur l’excellente OpenBSD et vous offre nativement l’encryption de vos surf et met en pratiques des mécanismes d’anonymisation de vos surfs relativement efficaces après de petites configurations. Télécharger AnonymOS
Tor : Tor est un projet logiciel qui aide à la défense contre l’analyse de trafic, une forme de surveillance de réseau qui menace les libertés individuelles et l’intimité, les activités commerciales et relationnelles, et la sécurité d’état. Tor vous protège en faisant rebondir vos communications à l’intérieur d’un réseau distribué de relais maintenus par des volontaires partout dans le monde : il empêche qu’une tierce personne scrutant votre connexion internet connaisse les sites que vous avez visité, et empêche les sites que vous avez visité de connaître votre position géographique. Tor fonctionne avec beaucoup de nos applications existantes, comme les navigateurs web, les clients de messagerie instantanée, les connexions à distance et tout un nombre d’applications se basant sur le protocole TCP. (…)
Il y a trois choses fondamentales à connaître avant de commencer.
Firefox et ses extensions magiques 🙂
Un bon navigateur, c’est vraiment la base si vous voulez avoir la paix, exit donc internet Explorer, il est temps pour vous de passer à Firefox, qui offre une collection de pluggins fort intéressante et une sécurité accrue.
Torbutton est comme son nom l’indique un boutoin d’activation de tor pour Firefox, il offre donc à portée de clique le passage à un mode de surf crypté et anonymisé pour peu que votre configuration soit correcte.
Cryptez vos mails !
Thunderbird / Enigmail : là encore si vous ne souhaitez pas partager vos emails avec les 30 000 super flics de l’internet chinois, voici le duo gagnant. Thunderbird est un client mail open source très simple d’utilisation et très complet, grâce à son extension Enigmail, vous serez en mesure de crypter vos emails grâce à OpenPGP.
Bon surf 😉
Le framework d’attaque Metasploit s’était déjà introduit dans les routeurs linksys wrt54 via Fairuza, un firmware maison qui embarquait un arsenal à faire passer Kevin Meatnik pour un gamer. Nous avons également installé metasploit sur un prototype de Fonera puisque nous bénéficions d’un chipset atheros, très compatible avec aircrack, puisqu’idéal pour réaliser de l’injection 🙂
Avec la récente arrivée d’aircrack à l’arsenal de l’iPhone, il fallait bien se douter que ce terminal deviendrait de fait un outil de prédilection pour une communauté de plus 🙂
Metasploit est un outil à ne pas mettre dans toutes les mains, se nourrissant des derniers 0day exploits, il est capable de générer des payloads et d’automatiser des attaques sur des ranges ip entiers… en outre, il offre une plateforme de développement hallucinante pour les auditeurs et experts en sécurité (il dispose par exemple en stadard d’une interprèteur Ruby et d’un interpréteur Python).
Pour en savoir plus sur l’installation de Metasploit 3 sur un iPhone.