Accueil > Dossiers > Sécurité IT

Sécurité IT

21 janvier 2017

IT : Nouvelle édition du "Guide d’autodéfense numérique"

Deux ans déjà sont passés depuis la dernière édition du très complet "Guide d’autodéfense numérique", ouvrage qui vise à présenter l’"absence d’intimité" du monde numérique et propose des méthodes pour ajuster ses pratiques quotidiennes en conséquence. Cette quatrième édition revue et corrigée du premier tome s’accompagne de le première révision du second tome. Elles prennent en considération les révélations concernant l’état actuel de la surveillance numérique ainsi que les dernières évolutions légales et techniques – et notamment les nouvelles versions des systèmes Debian et Tails. Disponible en consultation et en version imprimable à l’adresse http://guide.boum.org.

La couverture du guide La couverture du guide

Tags de cet article: - Nos sources
20 janvier 2017

IT : Blackberry utilise des backdoors contre ses utilisateurs, et c’est Snowden qui le dit

Lors d’une vidéo-conférence à Toronto, Snowden a dénoncé l’attitude de Blackberry (société canadienne) qui a construit son image sur la soi-disant sécurité de ses appareils et sur la protection des données de ses utilisateurs qui en découlerait. Blackberry a bien installé des backdoors (des portes dérobées qui permettent aux agences d’aller se servir dans les données). La pratique avait déjà été dénoncée l’année dernière. Blackberry collabore avec les autorités canadiennes depuis 2010 au moins, et s’était défendu en déclarant avoir refusé l’accès aux backdoors au gouvernement pakistanais... Par contre, lorsque le gouvernement indien leur a dit "nous vous empêcherons d’accéder au marché si vous refusez l’accès aux backdoors", ils ont obtempéré. Depuis ces scandales, Blackberry a successivement cessé de fabriquer ses propres smartphones et plus récemment commencé à utiliser le système d’exploitation de Google, Android.

Edward Snowden Edward Snowden

Tags de cet article: - - Nos sources
22 décembre 2016

Internet : Signal contourne déjà la censure en Egypte et aux EAU

Il y a deux jours, nous vous annoncions que Signal était censuré par l’état en Egypte et aux Emirats Arabes Unis (voir notre article), mais que les développeurs travaillaient déjà sur un mécanisme de contournement. Il n’aura pas fallu longtemps, la dernière mise à jour de Signal pour Android (disponible sur le canal béta pour iOS) incorpore pour les utilisateurs dont le numéro de téléphone commence par un indicatif téléphonique d’un pays censuré (+20 pour l’Egypte ou +971 pour les Emirats donc) une technique de contournement appelée "domain fronting" . Le but de la manoeuvre est de rendre les requêtes Signal indistinguables d’une requête https vers Google : pour couper l’accès à Signal, ces gouvernements devront donc couper l’accès à Google, ce qui semble plus difficile. Open Whisper Systems, les développeurs de Signal, généralisent et prévoient de rendre l’application "consiente" de la censure, afin qu’elle utilise automatiquement le mécanisme lorsqu’un utilisateur étranger visite un pays censuré par exemple. Cette dernière mise à jour propose également une autre nouveauté dont nous vous avions parlé il y a trois jours, à savoir le support des stickers, dessins et textes sur les images envoyées via l’app.

Pour télécharger Signal : Android, iOS, Chrome.

Signal contourne la censure et introduit les stickers Signal contourne la censure et introduit les stickers

20 décembre 2016

Internet : L’Egypte censure l’accès à Signal

Après plusieurs jours d’enquête, Open Whipser Systems a confirmé que Signal était effectivement censuré en Egypte. Non seulement l’accès au site est impossible, mais en l’application ne fonctionne tout simplement pas. Les personnes qui veulent continuer à utiliser Signal en Egypte peuvent utiliser Tor ou un VPN. L’application Orbot (ou via le dépôt du Guardian Project sur F-Droid dans le cas où Orbot serait inaccessible sur le Play Store) permet notamment de rediriger une app à travers Tor (via "VPN Apps"), cela ne fonctionnera que pour le texte, les images et les pièces-jointes, pas pour les appels.

Open Whisper Systems travaille déjà sur une solution de contournement. C’est la première fois (documentée) que Signal est censuré dans un pays, même s’il est inaccessible sur les magasins d’applications dans certains pays, comme les Emirats Arabes Unis.

Les messages peuvent maintenant s'effacer après une période définie. Les messages peuvent maintenant s’effacer après une période définie.

19 décembre 2016

Internet : Signal ajoute encore des fonctionnalités dans sa dernière béta

Nous vous conseillons régulièrement d’utiliser Signal, cette application de messagerie sécurisée à la popularité grandissante. En plus d’être très sécurisée, d’être sponsorisée par Edward Snowden en personne, d’avoir récemment ajouté le support pour les messages "qui disparaissent tout seul", Signal vient d’ajouter une nouvelle fonctionnalité dans sa dernière beta. Elle permet d’ajouter stickers, emojis, dessins et texte lors de l’envoi d’une image. Si la fonction peut sembler simplement drôle au premier abord, Signal se démarque du monde habituellement austère et rigide du chiffrement des communications. En rendant son application aussi flexible que les applications concurrentes et non-respectueuses de la vie privée de ses utilisateurs, Signal peut rendre son chiffrement encore plus populaire. De plus, les stickers permettent d’anonymiser une photo à la volée.

Nous ne pouvons que vous recommander une fois encore d’installer Signal : Android, iOS, Chrome. Pour adhérer à la beta, rendez-vous sur le Play Store.

Les stickers peuvent également cacher des visages Les stickers peuvent également cacher des visages

Tags de cet article: - - Nos sources
14 novembre 2016

Internet : Signal affronte avec succès une première requête de la justice

L’application de messagerie chiffrée "Signal" (Android, iOS, Chrome) est de plus en plus populaire à travers le monde. Signal vient récemment de communiquer sur une requête de justice en lien avec un procès ayant eu lieu durant la première moitié de l’année 2016 au Grand Jury   en Virginie Orientale. La requête commandait à Open Whispers Systems (les développeurs de Signal) de livrer les informations qu’ils avaient en leur possession sur deux prétendus utilisateurs de Signal. Les seules données disponibles sont deux dates au format Unix : la date de création du compte et la date de la dernière connexion, ainsi que l’adhésion ou non d’un numéro de téléphone à Signal (en l’occurrence, l’un des deux numéros demandés ne correspondait à aucune donnée Signal). Aucune autre donnée n’est à disposition des développeurs, et donc de la justice. Les données qui ne sont pas disponibles incluent : les contacts de la cible, les hashes des contacts, n’importe quelle autre info sur les contacts, le nombre de groupes dont fait partie la cible, l’appartenance à un groupe en particulier, la liste des membres de ce groupe. Et bien entendu, le contenu des messages en eux-mêmes.

C’est la première fois qu’une telle requête est imposée à Signal, elle était à l’origine assortie d’une interdiction de communiquer à ce sujet mais Signal s’est fait représenter par l’ACLU (American Civil Liberties Union) pour obtenir ce droit. La requête est documentée de façon exhaustive (toutes les correspondances sont publiées) sur la page whispersystems.org/bigbrother/, les futures requêtes seront documentées au même endroit.

Les données Signal auxquelles la justice peut accéder Les données Signal auxquelles la justice peut accéder

10 novembre 2016

Internet : Des chercheurs en cryptographie ont testé et approuvé la sécurité de Signal

Cinq chercheurs en cryptographie issus de l’Université d’Oxford, du Queensland Institute of Technology et de la McMaster University Hamiltion au Ontario ont mené des recherches étendues sur le protocole Signal qui fait tourner l’application éponyme (que nous ne pouvons que vous recommander une fois de plus), ainsi que Whatsapp, Google Allo (Incognito Mode) et Facebook Messenger (Secret Conversation). C’est la toute première fois que le milieu académique mène une recherche profonde sur le fonctionnement de Signal. Ils ont testé l’analyse de la menace de l’application dans un contexte où le réseau serait entièrement contrôlé par un adversaire qui en aurait le contrôle. Le premier constat des chercheurs est que la sécurité de Signal est telle qu’il est même difficile de la tester : Fournir une analyse de sécurité du protocole Signal est un défi pour plusieurs raisons. Premièrement, Signal emploie une conception inédite et non-étudiée, impliquant plus de 10 types différents de clés et un procédé de mises à jour complexe qui mène à diverses chaines de clés liées. Cela ne rentre donc pas dans les modèles d’analyse existants. Deuxièmement, certaines des propriétés revendiquées n’ont été que récemment formalisées. Enfin, un obstacle plus quelconque est que le protocole n’est pas documenté substantiellement au-delà de son code source.

Les chercheurs n’ont trouvé aucune faiblesse dans la conception du protocole mais ont proposé quelques pistes pour rendre le protocole encore plus difficile à déchiffrer. Le rapport complet est disponible ici en PDF. Signal est disponible sur Android et iOS et peut ensuite être utilisé sur un ordinateur tournant sous n’importe quel système d’exploitation supportant Google Chrome. Signal a récemment rajouté deux fonctionnalités dans son application : l’une de sécurité qui permet d’établir un chrono dans une conversation pour que les messages s’auto-détruisent après avoir été lus. L’autre, permet d’importer un GIF depuis l’application Giphy.

Télécharger pour Android.
Télécharger pour Iphone.

Les messages peuvent maintenant s'effacer après une période définie. Les messages peuvent maintenant s’effacer après une période définie.

Tags de cet article: - - Nos sources
11 octobre 2016

Internet : Des installeurs de WinRar et TrueCrypt verolés infectent de nombreux utilisateurs en Italie, Belgique et Turquie

Les ingénieurs de l’antivirus Kaspersky Lab ont découvert un virus nommé StrongPity dans des fichiers d’installation de WinRar et TrueCrypt. Lorsqu’un utilisateur se rendait sur le site officiel de l’un de ces logiciels en faisant une faute de frappe, il pouvait tomber sur le site de l’attaquant, identique à l’original, excepté pour le fichier exécutable. Il est étrange que StrongPity se soit attaqué au légendaire logiciel de chiffrement TrueCrypt puisque celui-ci n’est plus publié depuis plusieurs années (il a été depuis remplacé).

Des quatre faux-sites, l’un était distribué en Italie (un faux WinRar) où des centaines de personnes l’ont téléchargé en Europe, en Afrique du Nord et au Moyen-Orient : 87% de victimes en Italie, 5% en Belgique, 4% en Algérie. L’autre était distribué en Belgique (toujours un faux WinRar) et a fait au moins 60 victimes dont 54% en Belgique même. Enfin, deux sites en ".com" ont infecté des centaines de personnes, dont la quasi-totalité en Turquie (95%) et le reste aux Pays-Bas. Des sites "honnêtes" ont repris le fichier infecté pour l’héberger eux-mêmes : de quoi rappeler une fois encore qu’il faut toujours télécharger ses fichiers d’installations sur le site officiel du logiciel, surtout quand il s’agit d’un programme aussi sensible que TrueCrypt. De très nombreuses victimes ont été infectées en Turquie.

Le virus permet à un attaquant de prendre totalement le contrôle de la machine de la victime, de dérober ses fichiers et de faire passer d’autres virus. Si vous avez téléchargé WinRar ou TrueCrypt depuis le mois de mai dernier et que vous n’êtes pas sûr de l’avoir téléchargé de cette adresse, vous pourriez avoir été infecté. Notez que TrueCrypt a été depuis remplacé par VeraCrypt qui a corrigé plusieurs failles de sécurité.

Carte représentative d’un millier d’infections à StrongPity.

Composition des infections par pays Composition des infections par pays

Tags de cet article: - - - Nos sources
9 octobre 2016

IT : Une app pour détecter la surveillance de la webcam et du micro sous Mac

Oversight est une application pour OSx qui permet de détecter si une application utilise la webcam ou le micro à l’insu de l’utilisateur. Généralement, une petite lampe s’allume lorsque la webcam est en service, mais elle n’empêche pas un éventuel virus d’utiliser la caméra en même temps qu’une application légitime comme Skype. En ce qui concerne le micro, cette lampe ne s’allume pas du tout. Oversight affiche une notification à chaque fois que la webcam ou le micro est utilisé par une application avec la possibilité de bloquer cette utilisation, ce qui aura pour effet de tuer le processus qui a fait la demande.

Pour télécharger le zip avec l’app dedans, c’est ici.

Oversight Oversight

Tags de cet article: - - Nos sources
26 septembre 2016

IT : Utiliser PGP partout dans Android grâce à Oversec

Oversec, une application Android, permet d’utiliser PGP par-dessus n’importe quelle autre application Android, et ainsi de chiffrer et de déchiffrer de façon transparente du contenu, peu importe qu’il provienne d’un sms, d’un message whatsapp, d’un e-mail ou de n’importe quel autre moyen de communication. Oversec recherche dans le texte affiché des données chiffrées, lorsqu’il en trouve, il affiche par-dessus celui-ci la version déchiffrée. Oversec propose également d’obfusquer le texte en le faisant passer pour autre chose afin que le chiffrement ne soit pas évident.

Oversec peut être téléchargé sur le Play Store, pour plus d’infos, le code-source (ouvert), etc... voir le site d’Oversec.

Tags de cet article: - - Nos sources

0 | 10 | 20 | 30 | 40 | 50 | 60 | 70 | 80 | ... | 200

SPIP | Plan du site | Qu'est-ce que le RSS?