Comme vous le savez si vous suivez régulièrement le dossier Snowden via le site du Secours Rouge, la NSA a réussi à outrepasser plusieurs normes de cryptages par internet. Le flux d’informations quotidien est tel qu’il est nécéssaire de re-faire des résumés régulièrement pour que chacun puisse comprendre.
Malheureusement, il est aujourd’hui plus court de résumer ce qui est sûr de ce qui ne l’est pas.
Mais voyons tout d’abord les deux dernières révélations.
Il y a quelques jours, c’était la capacité de la NSA a cracker bon nombres de chiffrements par internet. Nous avons maintenant plus de précisions à ce sujet : la NSA a travaillé pendant plus de 10 ans pour rendre le web transparent à leurs yeux. Le programme Bullrun est une batterie d’outils : la NSA a put obtenir grâce à la bonne volonté ou aux pressions exercées, les clés privées d’un très grand nombre de blindages SSL (le fameux httpS qui protège par exemple les paiements en ligne et les vols de cookies). Il y a aussi des « cassages » logiciels grâce à l’énorme puissance informatique des machines de la NSA.
TOR par exemple ne peut être considéré comme sûr actuellement : car les noeuds (les machines à travers lesquelles les connexions anonymes se propagent) ne sont pas mises à jour. Si la dernière version de TOR est 2.3.25, les machines tournant encore sous TOR 2.2 sont concernées par Bullrun. Profitez-en pour mettre votre logiciel à jour. Précisons que TOR n’a pas participé au programme et n’est pas complice de la faille !
Enfin, ce matin, ce sont les révélations peu surprenantes de la mise en place de portes dérobées chez iOS (Apple), Blackberry et Android (Google), qui permet à la NSA d’accéder facilement aux données des smartphones. Petit bonus pour iOS (ipad, iphone et ipod), la NSA peut pirater l’ordinateur connecté à l’iphone ! On retiendra comme seule surprise de cette histoire, que l’infiltration s’est faite chez certaines sociétés et à certains moments de façon secrète. C’est à dire que la NSA aurait placé ces portes dérobées de façon clandestine, sans même que la société concernée ne soit au courant ! Il y a cependant peu d’informations à ce sujet.
Pour en revenir à notre résumé. Faisons un point sur les différents systèmes sûrs, pas sûrs et inconnus.
Sont à considérer comme non-sûrs :
– Les systèmes d’exploitation Windows, OSX, iOS, Android et Blackberry.
– La plupart des connexions SSL.
– Tout chiffrement s’effectuant en ligne (sur une machine distante).
– Toute solution fournie par un éditeur sitée aux Etats-Unis.
Sont à considérer comme provisoirement non-sûrs :
– TOR,
– Le chiffrement local transmis via javascript (par exemple Mega), le temps que ceux-ci remplacent éventuellement leurs propositions logicielles.
Sont à considérer comme sûrs :
– Les systèmes open-source ET libres : majoritairement Linux (Firefox OS pour les smartphones).
– Le chiffrement par GPG.
– HTTPS Everywhere, est partiellement sûr. Comme annoncé par l’éditeur (EFF) « On ne peut pas vous protéger de tout, mais c’est mieux que rien ».
– Le chiffrement de disque sous Linux.
Beaucoup de gens se posent également la question de la sécurité sous Truecrypt. Celui-ci n’est jusqu’ici concerné par aucun programme révélé par Snowden. Cependant, le risque existe. Si le logiciel est open-source, il n’est pas libre. Il y a donc peu de participants à son développement, et son code est si complexe qu’il n’a jamais été « fouillé ». Truecrypt est donc potentiellement « non-sûr ». Il pourrait être interessant de privilégier du chiffrement par GPG ou bien par l’outil « Utilitaire de disques » de Linux.