Une équipe de chercheurs de l’Université Baptiste de Hong Kong a développé un nouveau système d’identification biométrique qui s’appuie sur le mouvement des lèvres lorsque le mot de passe est énoncé. Dans sa base de données, on retrouve des informations concernant la texture des lèvres, leurs formes et la vitesse de leurs mouvements. Pour pouvoir s’authentifier, il suffira de prononcer son mot de passe devant l’appareil : Le système est capable de distinguer le même mot de passe prononcé par deux personnes différentes.

Ce système biométrique serait plus efficace que les systèmes précédents. L’inconvénient principal des empreintes digitales est d’empêcher toute forme de renouvellement en cas de vol de donnée. Dans le même ordre, l’activation vocale est parasitée par les bruits environnants. Et cette nouvelle reconnaissance biométrique ne rejette pas non plus à la marge des personnes pouvant souffrir d’une élocution ou d’une ouïe défaillante. La barrière de la langue est également un obstacle qu’elle permet de surmonter. Les concepteurs pensent que cet outil pourrait parfaitement s’intégrer aux systèmes de reconnaissance faciale pour faire d’une pierre deux coups…

Le professeur Cheung Yiu-Ming, qui dirige l’équipe, faisant la démonstration du système

Une mise à jour majeure de l’application de messagerie sécurisée Signal a été publiée. Le plus gros changement visible: les appels sont beaucoup plus stables et légers et permettent la vidéo à présent. Signal a transité vers la technologie WebRTC pour ce faire. Cela implique un autre changement: les services Google Play ne sont plus requis, il reste recommandé de télécharger Signal via le Play Store (afin par exemple de profiter des mises à jour de sécurité aussitôt qu’elles sont publiées, mais les fichiers APK sont également disponibles à l’adresse suivante. Note: ne téléchargez jamais un APK de Signal en-dehors du site officiel de Signal.

Autres changements au menu: sur iOS (ce changement est déjà disponible sur Android), Signal utilise désormais CallKit, une API (interface) d’Apple qui permet à Signal de se comporter comme l’application téléphone par défaut. On peut désormais répondre aux appels directement depuis l’écran de verrouillage. Les appels sont inscrits dans le journal d’appel par défaut, etc. Pour protéger les utilisateurs qui synchronisent leur journal d’appel sur iCloud, le nom de l’appelant est par défaut « Signal User », cela peut être changé dans les paramètres.

Troisième changement, pour accélérer les appels Signal et diminuer la latence, les appels peuvent désormais être téléchargés en peer-to-peer, ce qui implique qu’un attaquant peut tenter de localiser une personne en l’appelant. L’utilisation du peer-to-peer ne se fera que dans deux cas: si l’utilisateur fait l’appel (donc qu’il ne le reçoit pas) ou s’il reçoit un appel de quelqu’un dans son carnet d’adresses.

Les appels vidéos disponibles sur Signal

Moxie Marlinspike, le fondateur et principal développeur de Signal a été interviewé par la radio NPR aux Etats-Unis. Lors de cette interview, Moxie a mis en évidence plusieurs choses. Premièrement, que le fait que la CIA contourne tout le système Android pour pouvoir accéder à des conversations chiffrées à posteriori, sans arriver à casser le chiffrement en lui-même « Si vous envoyez un message chiffré et que quelqu’un regarde par dessus votre épaule le chiffrement n’aide pas non plus ». Il met également en évidence qu’il ne s’agit pas de surveillance de masse et que la CIA doit avoir des cibles précises dans ce cas précis « Ce n’est pas comme si un agent de la CIA appuyait sur un bouton et avait soudainement accès à votre téléphone. Vous auriez été impliqué auparavant, par exemple en étant incité à installer une app de la CIA, ou à cliquer sur un lien et à installer quelque chose par là. Ce n’est pas de la surveillance de masse et c’est une distinction importante ». Lorsqu’on lui demande si des améliorations liées à la sécurité auront lieu à cause de ces révélations « Les vulnérabilités sont dans des choses comme Android. En outre, les révélations de ce dossier ne sont jusqu’ici pas très impressionnantes, techniquement. C’était embarrassant pour la CIA que ces informations sortent, mais c’était aussi embarrassant que ce soit ça leur niveau de sophistication. On pourrait penser que la CIA a des capacités incroyables alors que je pense que la vérité est toute autre. » Il apparait en effet que de nombreuses failles que la CIA utilise, par exemple pour cibler des appareils Android, ont déjà été corrigées (même si, vu la lenteur des constructeurs à déployer les mises à jour de sécurité, cela concerne tout de même de très nombreux appareils). La totalité de l’interview peut être lue et écoutée en anglais ici.

Nous continuons à conseiller l’utilisation de l’application de messagerie sécurisée Signal, le fait que la CIA doive contourner tout le système Android pour réussir à obtenir des messages est d’ailleurs un nouvel argument pour l’utiliser. Pour télécharger Signal, visitez signal.org

L’application de messagerie sécurisée Signal

Cette série d’article est consacrée à « Vault 7 », une longue série de documents fuités par Wikileaks et concernant la CIA et ses immenses capacités d’espionnages. Lire la première partie, concernant les failles 0Day ici.

Les backdoors sont des accès cachés à l’utilisateur, dans une application afin de prendre le contrôle d’un système. On accuse régulièrement des éditeurs de logiciels (Google, Apple, Microsoft,…) de mettre des backdoors en place pour permettre aux renseignements d’accéder aux données des utilisateurs. Mais lorsque ces éditeurs deviennent frileux (c’était, au moins en apparence, le cas après les révélations de Snowden, la vie privée était devenu un argument marketing), les agences de renseignements peuvent tenter d’infiltrer un développeur dans une société informatique ou de soudoyer quelqu’un qui y travaille afin de mettre en place une backdoor à l’insu même de l’éditeur. Ces faits sont confirmés par les documents de Vault7.

Un autre type d’attaque consiste à attaquer des ordinateurs qui ne sont pas connectés à internet. A cette fin, plusieurs attaques ont été imaginées. L’une d’entre elles est un ensemble d’applications portables vérolées (comme VLC, Chrome, Thunderbird, 7Zip…) qui, une fois placée sur une clé USB, seront lancées sur l’ordinateur de la cible. Tout en se lançant normalement, elles extrairont des données vers la clé USB. La CIA a également développé un système pour infecter des CD et DVD « vierges » sans que cela ne soit détecté par le logiciel de gravure.

La CIA a également développé énormément d’attaques visant les appareils sous android. Par exemple, la faille Spottsroide permet d’activer le mode « Moniteur Wifi » d’un appareil et ainsi de voler des données circulant sur un réseau wifi (et donc, possiblement depuis d’autres appareils connectés sur le même réseau. Spottsroide pouvait entre autres être activé à travers le lecteur de musique Apollo (installé par défaut sous les roms Cyanogenmod).

Le cadre légal qui entoure les agences américaines a été modifié suite à l’affaire Snowden. Les agences sont théoriquement obligées de rapporter les failles informatiques dont elles connaissent l’existence afin d’éviter qu’elles ne servent à une puissance « ennemie ». La CIA a créé un réseau interne à elle-même afin de dissimuler ces failles, un comportement dangereux compte tenu du nombre de personnes qui avaient accès à ces failles (5000 à la CIA, plus les personnes qui ont découvert ces failles en-dehors de l’agence). D’autres scandales politiques couvent après la révélation des documents: on y découvre par exemple que la CIA, lorsqu’elle ne peut pas rester indétectable en faisant une cyber-attaque, laisse des traces numériques caractéristiques d’autres agences, et fait croire que l’attaque a été opérée par un autre pays (nommément, la Russie).

CIA – Information Operations Center

La nouvelle version du système d’exploitation ultra-sécurisé Tails est sortie ce 8 mars. Au menu des changements: Tails 2.11 sera la dernière version à supporter I2P, un réseau d’anonymisation autrefois beaucoup plus populaire (qui n’a plus été mis à jour depuis un an). Tails explique cette fin de support par le temps et le risque que prennent le maintien de tels logiciels. Tails a d’abord tenté de trouver un développeur pour s’en charger. Tails maintient cependant que si un développeur veut s’en charger, il sera le bienvenu.

Autres changements: les utilisateurs utilisant un processeur 32-bit seront avertis qu’ils ne pourront pas utiliser la version 3.0 de Tails (qui sera la prochaine grosse mise à jour de fond). Tor Browser et le noyau Linux ont été mis à jour, des fouilles ont été bouchées et d’autres modules du noyau de Linux pour des protocoles réseaux rares ont été désactivés.

La prochaine version Tails 2.12 est prévue pour le 18 avril prochain environ.

Tails

Wikileaks a publié hier « Vault 7 », une série de 8.761 documents fuités issus de la CIA. Les documents révèlent les techniques de l’agence, non seulement à espionner mais aussi à éviter les embûches posées à la NSA suites aux révélations Snowden. Cette première série de documents est baptisée « Year Zero« , en référence aux nombreuses failles « 0Day » (Zero Day) qui la composent. Les failles 0Day sont des failles informatiques qui n’ont pas été détectées par les développeurs ou par la communauté de la sécurité informatique, dont elle est à priori la seule à connaître l’existence et qu’elle utilise pour infecter les machines. Il faut noter que cette première partie de Vault7 représente plus de pages publiées que les trois premières années de publications des fuites de Snowden. Les révélations sont immenses et concerne une agence qui reçoit plus de budget que la NSA depuis 2001.

En premier lieu, les documents démontrent l’immensité de l’arsenal de cyber-guerre de la CIA: si l’agence a récemment fait mine de dévoiler l’essentiel de son arsenal, faisant semblant d’être « bon joueur » aux côtés d’une NSA « déraisonnable », c’est simplement parce qu’elle a beaucoup en stock. Fin 2016, la division Hacking de la CIA employait 5.000 personnes et avait produit plus d’un millier de systèmes de piratages, chevaux de Troie, virus et autres logiciels malveillants militarisés (Weaponized Malwares), représentant tous ensemble plus de lignes de code que ce qu’utilise Facebook pour fonctionner. Les documents semblent avoir circulé parmi d’autres agences et hackers avant de tomber dans les mains de Wikileaks via une source interne à l’agence, il faut donc considérer que la CIA n’est plus la seule à jouir de cette puissance de feu. Les malwares militarisés de la CIA permettent de pirater la plupart des objets connectés à internet. Les ordinateurs sous Windows, MacOS et Linux et les appareils Android et iOS peuvent aisément être attaqués par l’agence qui a en stock des dizaines de failles 0Day. Mais la CIA suit l’innovation technologique de près: les objets connectés peuvent, pour la plupart, être transformés en appareils d’écoute. C’est notamment le cas des SmartTV de Samsung, visées par le virus Weeping Angels, développé conjointement avec le MI5, qui permet de placer la télévision dans un état faussement éteint: alors que l’écran est noir, la télévision enregistre les conversations et les transmet aux serveurs de la CIA via la connexion internet de la cible. La CIA s’essaie également depuis octobre 2014 à la prise de contrôle à distance des voitures modernes pour en faire des engins de meurtre indétectables. La CIA a une unité dédiée à iOS (iphone et ipad) malgré le fait que ces appareils ne représentent que 14,5% du marché des smartphones, ce qui serait expliqué par leur popularité dans les élites. L’unité visant les engins sous Android avait développé à la fin de l’année dernière 24 failles 0Day militarisées. Ces failles ont soit été développées à l’interne, soit obtenues du GCHQ, de la CIA ou de marchands de cyber-armes. Ces 24 failles permettent de contourner des applications parfois très sécurisées (WhatsApp, Signal, Telegram,…) Il faut noter que la CIA n’a à priori pas cassé le chiffrement de Signal: les données sont tout simplement volées avant d’être chiffrées. Le fait qu’elle soit obligée de contourner entièrement des applications comme Signal (que nous conseillons à tous d’utiliser) est paradoxalement rassurant.

S’il ne faut retenir qu’une chose de cet arsenal de failles 0Day, c’est qu’elles démontrent l’importance des mises à jour. De par leur nature même, les failles 0Day s’appuient sur les logiciels qui ne sont pas mis à jour.

CIA – Information Operations Center

Suite au signalement d’une faille de sécurité dans le code de SPIP, une nouvelle version a été publiée dans toutes les branches maintenues : SPIP 3.1.4, SPIP 3.0.25 et SPIP 2.1.30. Cette faille est critique et permet l’exécution arbitraire de PHP. Il est vivement conseillé de mettre à jour sa version de SPIP et de tous ses plugins, notamment si vous utilisez le plugin SPIPDF. Pour les personnes ne pouvant pas mettre à jour rapidement,
il est nécessaire d’installer la version 1.3.0 de l’écran de sécurité qui corrige cette faille.

Pour mettre Spip à jour, c’est ici.

Mise à jour Spip 3.1.2

Nous faisons régulièrement la promotion de Signal, une application de messagerie instantanée extrêmement simple d’utilisation et très sécurisée, au point d’être sponsorisée par Edward Snowden. Signal est une application open-source, et à ce titre des débats ont régulièrement lieu entre ses développeurs sur des forums dédiés. Un débat revenait régulièrement, celui de l’utilisation de services Google à deux endroits: d’une part l’utilisation de GCM (Google Cloud Messaging, une plateforme « push » qui permet à l’application de recevoir instantanément un message ou un appel sans devoir vérifier toutes les 15 minutes si un nouveau message a été reçu), d’autre part la dépendance aux Google Play Services (qui permet de distribuer l’application en garantissant qu’elle n’a pas été modifiée, de la mettre à jour automatiquement lorsqu’une faille est présente, de rapporter bugs et statistiques aux développeurs, etc.) Il faut noter qu’à aucun moment Google n’a accès à des informations: dans le premier cas, Google n’a accès qu’à des dates et heures sans pouvoir les mettre en relation avec des messages chiffrés, dans le second ce sont simplement les utilisateurs qui ne veulent pas installer les services Google sur leur smartphone qui sont pénalisés.

De récents changements techniques (en particulier la refonte du système d’appels et de vidéo) ont levé le blocage de principe qui empêchait Signal de fonctionner sur des téléphones où ne sont pas installés les Google Play Services, ces changements ont été apportés par la mise à jour 3.30. Ils requièrent pour l’instant de compiler soi-même un fichier APK depuis le GitHub de l’application (Master). Et pour ceux qui n’ont rien compris à cette dernière phrase, Signal devrait probablement bientôt mettre en ligne un fichier installable sur son propre site, nous ne manquerons pas d’en parler le moment venu. Les changements en détail sont disponibles ici.

Possibilité d’utiliser Signal sans les Google Play Services

Avec retard, voici le compte-rendu de la cryptoparty. Entre 30 et 40 personnes s’y sont rendues, et de nombreux sujets ont pu être abordés durant les quatre heures de ce premier atelier:

– Analyse de risques
– Fonctionnement et utilisation de la navigation avec Tor
– Brève démonstration de Tails
– Introduction à la sécurité sur Android. (Slides)
– Fonctionnement de Signal, une application pour chiffrer ses communications via son smartphone. (Slides)
– Chiffrement via PGP

La prochaine séance de Cryptoparty sera divisée en deux parties, dont la première sera un atelier plus complet sur l’utilisation de Tails, et la seconde une séance libre comme celle-ci.

Quoi ?
La cryptoparty est un évènement qui a pour but d’encourager le chiffrement, la protection de la vie privée et l’anonymat. Elle est ouverte à tout le monde, quels que soient le niveau technique et les attentes.

Où ?
Au Sacco-Vanzetti, 54 Chaussée de Forest à 1060 Saint-Gilles. Wifi gratuit, café, snacks et boissons sur place.

Pourquoi ?
Alors que la surveillance généralisée est avérée et que des outils simples et gratuits existent, ils restent sous-utilisés. L’évenement est organisé par le Secours Rouge, qui encourage depuis plusieurs années l’utilisation du chiffrement dans le milieu militant.

Comment ?
Tout ce dont vous avez besoin est un ordinateur portable, une tablette ou un smartphone. Si vous avez des questions que vous n’avez jamais osé poser, si vous avez des réponses que vous n’avez jamais osé partager, si vous avez envie de participer à des discussions sur la pratique militante de la sécurité informatique, ou si vous avez juste envie de boire un café, la Cryptoparty est ce que vous cherchez.

Quand?
La première Cryptoparty aura lieu ce dimanche 19 février de 16h à 20h.