C’est le témoignage d’un agent fédéral américain devant un tribunal à Denver qui a révélé en décembre, que plusieurs agences de sécurité américaines, comme le FBI et le US Marshals Service, utilisaient depuis deux ans déjà un dispositif de radar leur permettant de voir efficacement dans les maisons à plus de 15 mètres. Les radars fonctionnent en utilisant les ondes hertziennes pour détecter des mouvements aussi légers que la respiration humaine. Ces appareils, initialement élaborés pour servir en Irak et en Afghanistan, permettent de repérer la présence d’un individu dans une maison, sa position et ses déplacements.

La Cour suprême des Etats-Unis a indiqué que les officiers de police ne pouvaient généralement pas utiliser de détecteurs de haute technologie pour révéler l’intérieur d’une maison à moins d’obtenir auparavant un mandat de perquisition, ce qui n’a pas été le cas dans l’affaire de Denver.

Vous connaissez peut-être Cryptocat, un service de communication chiffré parmi les plus faciles à utiliser et les plus sécurisés. Celui-ci ne nécessite pas de s’inscrire ou d’installer quoi que ce soit. Il a récemment eu une petite publicité puisque les journalistes qui ont publié le ‘swissleaks’ l’utilisaient.

Le créateur de Cryptocat, Nadim Kobeissi (cette création lui a valu d’être arrêté et interrogé en voyageant aux USA. Le FBI a également tenté de le piéger via Sabu qui avait piégé l’anarchiste Jeremy Hammond), vient de lancer un nouveau programme nommé ‘Peerio’, qui permet non seulement l’échange d’e-mails cryptés entre ses utilisateurs, mais également un stockage chiffré de bout-en-bout d’un 1Go, permettant d’envoyer de gros documents sensibles. Peerio fonctionne sur le même principe que PGP mais a simplifié grandement son utilisation.

Les avantages de Peerio sont nombreux : gratuit, pas de pub, chiffrés sur le trajet, sur le serveur. Peerio se définit lui-même comme réunissant le meilleurs des ‘deux mondes’ : cela ne sert à rien de protéger la route vers un data-center pas protégé, comme cela ne sert à rien de mettre ses données dans un data-center très bien protégé dont le fournisseur est le seul à avoir la clé. Avec Peerio , la connexion est sécurisée et les développeurs n’ont aucun accès aux données.
Il est à noter que Peerio a un autre énorme avantage : il est open-source et le code a été audité, ce qui signifie que le code a été vérifié.

Peerio est disponible sous la forme d’une application Chrome, ce qui signifie qu’il peut être utilisé via n’importe quel système d’exploitation bureau (Windows, OSx, Linux et Chrome OS). Les applications Android et iOS sont en construction et devraient être disponibles sous peu.

Peerio, le futur de la messagerie sécurisée ?

Depuis 1991, PGP (puis OpenPGP et GnuPG) est le système de chiffrement civil le plus efficace au monde. Son efficacité venant de son fonctionnement, il n’a pas subit d’énormes changements ces dernières années, il doit toutefois être maintenu, hébergé et protégé par des développeurs non-anonymes (pour être sûr de sa provenance), etc… En plus de son utilité pratique pour tous ceux qui se soucient de leur vie privée, GPG a inspiré et a été la base de très nombreux logiciels. Pourtant, malgré l’importance cruciale de ce logiciel pour l’existence même du net, l’unique développeur permanent de GPG mettait en garde (ici) les utilisateurs il y a quelques jours : moins d’un tiers de l’argent annuel nécéssaire au maintien de GPG a été récolté en 2014. Ceci mettant en péril l’existence de ce logiciel. Pourtant, au regard d’autres logiciels, il ne nécessite que 120.000$/an pour continuer à vivre. Ce cri d’alarme a retenti comme il le fallait : la ‘Core Infrastructure Initiative’ (une initiative de sécurisation des connexions OpenSSL sur internet regroupant les géants du net) a versé 60.000$, Facebook et Stripe ont chacun versé 50.000$ et finalement la Wau Holland Stiftung (une fondation proche du Chaos Computer Club) a versé 19.000€ et 57 bitcoins (un total de 34.000$). L’argent nécessaire est donc récolté, pour cette année.

On pourrait s’interroger sur la participation des géants du net dans le financement d’un tel logiciel, les raisons sont pourtant simples : ces sommes sont dérisoires pour eux (l’équivalent d’un gros serveur et d’un salaire de développeur), une petite publicité, mais c’est aussi simplement parce que malgré les discours hostiles au chiffrement informatique, internet ne peut -de par sa nature- tout simplement pas se passer d’un chiffrement fort et indéchiffrable.

Pour faire une donation à GnuPG, cliquez ici.

Werner Koch, le principal développeur de GnuPG.

Les nouvelles conditions d’utilisation de Facebook s’appliquent maintenant. – à tout moment et sans demander votre permissionSi vous en tant qu’utilisateur acceptez les nouvelles conditions d’utilisation, vous autorisez Facebook à utiliser votre GPS, Bluetooth et wifi pour déterminer votre emplacement. Le site social pourra non seulement demander votre emplacement, mais en profiter aussi à des fins commerciales. Il n’y aura pas d’option pour garder votre emplacement secret.

Facebook pourra non seulement suivre ce que vous postez, ce que vous aimez, partagez, envoyez dans vos messages privés et ce que vous pensez des autres (tant sur le site que dans les applis Facebook et Messenger). Votre comportement de navigation, qui pourra être ‘suivi’ par Facebook. En outre, le réseau social saura quels appareils vous utiliserez: type, numéro de téléphone, fournisseur,… Et puis, il y a encore WhatsApp, Instagram, Oculus, l’appli de ‘fitness-tracking’ Moves, le service publicitaire vidéo LiveRail,…: toutes des entreprises que Facebook a englouties et dont il collecte par conséquent aussi les données des utilisateurs. C’est ainsi que WhatsApp transmettrait par exemple à qui et quand vous envoyez des messages.

Nous vous avons déjà parlé de l’EFF (Electronic Frontier Foundation), une association anti-surveillance états-unienne qui publie régulièrement quantités de matériels utiles contre la surveillance en ligne. Dernièrement publiés, un detecteur de spywares gouvernementaux et un comparatif des niveaux de sécurité de toutes les grandes messageries en ligne. Voici une page depuis longtemps en ligne mais qui n’avait jamais été publiée ici : le ‘guide d’auto-défense à la surveillance’. Ecrit en anglais (en espagnol et en arabe pour certaines pages) et pour un contexte américain, mais largement utilisable ailleurs. Le guide contient tout ce qui est utile : analyse de risques, effacement sécurisé, chiffrement, communication sécurisée…

Pour consulter ce guide : cliquez-ici

Logo du guide de l’EFF

Lors d’une conférence du mythique Chaos Computer Club, des documents de la NSA ont été analysés par Jacob Appelbaum (l’un des architectes de TOR qui a déjà représenté Wikileaks dans le passé et a contribué à montrer les failles de Truecrypt et d’autres logiciels) et Laura Poitras (réalisatrice du film Citizenfour). (Voir la vidéo) On sait à peu près ce qui était indéchiffrable en 2012. La NSA pourrait avoir avancé en 2 ans, mais cela est peu probable.
Commençons par ce qui est déchiffrable : les connexions https et les connexions vpn. Pour le VPN, difficile de savoir si le piratage se fait au niveau du fournisseur ou bien du protocole. Difficile donc de savoir si des VPN comme celui de Riseup sont concernés. En 2012, la NSA craquait 20.000 connexions VPN par heure et 10 millions de connexions HTTPS par jour ! Tout ce qui concerne le chiffrement via les fournisseurs de services est également facilement attaquable pour la NSA : le projet d’implémentation de PGP à l’intérieur de Gmail par exemple sera un jeu d’enfants à déchiffrer.
Concernant TOR, ils ont du mal mais ils y arrivent : leur recette favorite étant de pirater directement l’ordinateur de la cible pour intercepter les données avant qu’elles ne transitent par TOR.
Du coté de l’indéchiffrable : c’est toujours PGP et OTR (Off the Record) qui sont les bêtes noires des services secrets. Truecrypt est également très solide, même si le projet a été abandonné (et reprit par d’autres équipes prometteuses comme Truecrypt.ch et Veracrypt).
On peut se sentir à l’abris de la NSA en Europe : mais l’enjeu est que si la NSA ne peut pas attaquer ces logiciels, il y a peu de chance qu’une autre agence y parvienne.

Pour bien choisir son outil de communication, voir l’infographie de l’EFF.

Le « portrait-robot génétique » est un nouvelle technique consistant à extraire d’une trace génétique des renseignements sur l’apparence physique d’un suspect inconnu. Si les Pays-Bas ou l’Espagne ont intégré cette technologie dans leurs méthodes d’enquête, elle était jusqu’à il y a peu interdite en France. Seule était autorisée la comparaison, à des fins d’identification, de segments précis de l’ADN avec les profils enregistrés. En dehors du sexe – exception tolérée par le législateur –, ces dix-huit segments ne livraient aucune information sur la morphologie de la personne. L’analyse des segments de l’ADN renseignant l’apparence d’un individu était réservée aux domaines scientifique et médical.

Dans un arrêt du 25 juin, passé relativement inaperçu, la Cour de cassation a jugé que le « portrait-robot génétique » ordonné par un juge d’instruction lyonnais dans une affaire de viol était conforme au droit, contre l’avis du ministère de la justice. L’avocat général de la Cour de cassation s’était prononcé contre la légalité du « portrait-robot » en se référant aux deux articles du code civil qui encadrent les possibilités d’exploitation de l’ADN (ainsi l’article 16.10 prévoit que l’examen des caractéristiques génétiques d’un individu ne peut être entrepris qu’à des fins médicales ou de recherche scientifique et avec son consentement). Mais la Cour de cassation a considéré que ces articles ne s’appliquait pas dans ce cas.

Prise de cours, la chancellerie multiplie depuis les consultations pour encadrer cette nouvelle technique. Dans l’attente d’une circulaire du ministère, les cinq laboratoires de l’Institut national de la police technique et scientifique (INPS) se préparent à produire des portraits-robots génétiques pour le premier semestre 2015. Un rapport ADN donne des conclusions du type « Origine biogéographique européenne avec une très forte probabilité, individu aux cheveux châtains avec une teinte majoritairement claire et des yeux bleus », mais les scientifiques travaillent déjà sur de nouveaux marqueurs exploitables : écartement des pupilles, largeur de la mâchoire, volume de la boîte crânienne…

Si vous utilisez TAILS, cette distribution linux sur live-cd et live-usb très sécurisée et très efficace, et que vous avez l’habitude de la mettre à jour sur votre clé USB, vous devriez installer la dernière version (1.2.2) manuellement sur votre clé USB. La raison est que l’hébergeur de Tails, Boum.org changera de certificat le 3 janvier prochain et qu’il ne pourra donc plus prouver son identité aux anciennes versions de Tails qui recevront un message d’erreur si elles tentent de se mettre à jour.

Pour télécharger la dernière version de ce formidable outil, rendez vous sur le site de TAILS.

Sur son blog officiel, le projet TOR a annoncé avoir reçu des informations alarmantes sur une possible attaque majeure contre le réseau TOR. Si le réseau en lui-même est décentralisé, il y a en fait 9 serveurs qui fournissent eux-mêmes la liste des nœuds anonymes aux utilisateurs, ces serveurs sont appelés ‘directory authorities’ (en français ‘autorités des annuaires’). Ce serait contre ces serveurs dispersés aux Etats-Unis et en Europe, que les menaces pèsent. Si des rumeurs pointaient déjà du doigt l’enquête contre les ‘hackers nord-coréens’, le staff de TOR a répondu que ce n’était probablement pas le cas.

A propos des risques : le staff précise que si une telle attaque se produisait : la saisie de l’un ou de plusieurs ‘directory authorities’ ne permettrait pas à la police de trouver des informations sur les utilisateurs de TOR. En outre, si la police ne saisit pas les 9 serveurs d’un coup, le réseaut TOR cessera simplement de faire transiter le réseau par les serveurs saisis. Cette attaque ne pourra donc pas faire tomber le réseau TOR, elle pourra toutefois le faire ralentir et lui coûter cher.

La meilleure solution si vous devez utiliser TOR dans les prochains jour est de vérifier s’il n’y a pas eu d’attaques : sur le blog officiel de TOR, et sur leur compte Twitter. Si l’un ou l’autre est hors ligne, il vaut mieux ne pas utiliser TOR en attendant plus d’informations.

L’EFF (Electronic Frontier Foundation, ONG américaine contre la surveillance numérique) et Amnesty International viennent de dévoiler un logiciel nommé Detekt. Ce programme une fois installé permet de détecter les spywares gouvernementaux les plus connus. Pour le moment, Detekt n’est disponible que pour Windows puisque c’est l’OS le plus utilisé. Detekt fonctionne sous Windows XP, Vista, 7, 8 et 8.1. Notons qu’un bug empêche Detekt de fonctionner sous les versions 64bits de Windows 8.1, le bug devrait être résolu très bientôt.

Pour utiliser Detekt :

Telecharger l’éxécutable sur le site officiel.

Coupez votre connexion internet.

Coupez tous les programmes en cours d’exécution.

Clic-droit sur detekt.exe et ‘Executer en tant qu’administrateur’.

Detekt