Wikileaks a publié hier « Vault 7 », une série de 8.761 documents fuités issus de la CIA. Les documents révèlent les techniques de l’agence, non seulement à espionner mais aussi à éviter les embûches posées à la NSA suites aux révélations Snowden. Cette première série de documents est baptisée « Year Zero« , en référence aux nombreuses failles « 0Day » (Zero Day) qui la composent. Les failles 0Day sont des failles informatiques qui n’ont pas été détectées par les développeurs ou par la communauté de la sécurité informatique, dont elle est à priori la seule à connaître l’existence et qu’elle utilise pour infecter les machines. Il faut noter que cette première partie de Vault7 représente plus de pages publiées que les trois premières années de publications des fuites de Snowden. Les révélations sont immenses et concerne une agence qui reçoit plus de budget que la NSA depuis 2001.

En premier lieu, les documents démontrent l’immensité de l’arsenal de cyber-guerre de la CIA: si l’agence a récemment fait mine de dévoiler l’essentiel de son arsenal, faisant semblant d’être « bon joueur » aux côtés d’une NSA « déraisonnable », c’est simplement parce qu’elle a beaucoup en stock. Fin 2016, la division Hacking de la CIA employait 5.000 personnes et avait produit plus d’un millier de systèmes de piratages, chevaux de Troie, virus et autres logiciels malveillants militarisés (Weaponized Malwares), représentant tous ensemble plus de lignes de code que ce qu’utilise Facebook pour fonctionner. Les documents semblent avoir circulé parmi d’autres agences et hackers avant de tomber dans les mains de Wikileaks via une source interne à l’agence, il faut donc considérer que la CIA n’est plus la seule à jouir de cette puissance de feu. Les malwares militarisés de la CIA permettent de pirater la plupart des objets connectés à internet. Les ordinateurs sous Windows, MacOS et Linux et les appareils Android et iOS peuvent aisément être attaqués par l’agence qui a en stock des dizaines de failles 0Day. Mais la CIA suit l’innovation technologique de près: les objets connectés peuvent, pour la plupart, être transformés en appareils d’écoute. C’est notamment le cas des SmartTV de Samsung, visées par le virus Weeping Angels, développé conjointement avec le MI5, qui permet de placer la télévision dans un état faussement éteint: alors que l’écran est noir, la télévision enregistre les conversations et les transmet aux serveurs de la CIA via la connexion internet de la cible. La CIA s’essaie également depuis octobre 2014 à la prise de contrôle à distance des voitures modernes pour en faire des engins de meurtre indétectables. La CIA a une unité dédiée à iOS (iphone et ipad) malgré le fait que ces appareils ne représentent que 14,5% du marché des smartphones, ce qui serait expliqué par leur popularité dans les élites. L’unité visant les engins sous Android avait développé à la fin de l’année dernière 24 failles 0Day militarisées. Ces failles ont soit été développées à l’interne, soit obtenues du GCHQ, de la CIA ou de marchands de cyber-armes. Ces 24 failles permettent de contourner des applications parfois très sécurisées (WhatsApp, Signal, Telegram,…) Il faut noter que la CIA n’a à priori pas cassé le chiffrement de Signal: les données sont tout simplement volées avant d’être chiffrées. Le fait qu’elle soit obligée de contourner entièrement des applications comme Signal (que nous conseillons à tous d’utiliser) est paradoxalement rassurant.

S’il ne faut retenir qu’une chose de cet arsenal de failles 0Day, c’est qu’elles démontrent l’importance des mises à jour. De par leur nature même, les failles 0Day s’appuient sur les logiciels qui ne sont pas mis à jour.

Suite au signalement d’une faille de sécurité dans le code de SPIP, une nouvelle version a été publiée dans toutes les branches maintenues : SPIP 3.1.4, SPIP 3.0.25 et SPIP 2.1.30. Cette faille est critique et permet l’exécution arbitraire de PHP. Il est vivement conseillé de mettre à jour sa version de SPIP et de tous ses plugins, notamment si vous utilisez le plugin SPIPDF. Pour les personnes ne pouvant pas mettre à jour rapidement,
il est nécessaire d’installer la version 1.3.0 de l’écran de sécurité qui corrige cette faille.

Pour mettre Spip à jour, c’est ici.

Nous faisons régulièrement la promotion de Signal, une application de messagerie instantanée extrêmement simple d’utilisation et très sécurisée, au point d’être sponsorisée par Edward Snowden. Signal est une application open-source, et à ce titre des débats ont régulièrement lieu entre ses développeurs sur des forums dédiés. Un débat revenait régulièrement, celui de l’utilisation de services Google à deux endroits: d’une part l’utilisation de GCM (Google Cloud Messaging, une plateforme « push » qui permet à l’application de recevoir instantanément un message ou un appel sans devoir vérifier toutes les 15 minutes si un nouveau message a été reçu), d’autre part la dépendance aux Google Play Services (qui permet de distribuer l’application en garantissant qu’elle n’a pas été modifiée, de la mettre à jour automatiquement lorsqu’une faille est présente, de rapporter bugs et statistiques aux développeurs, etc.) Il faut noter qu’à aucun moment Google n’a accès à des informations: dans le premier cas, Google n’a accès qu’à des dates et heures sans pouvoir les mettre en relation avec des messages chiffrés, dans le second ce sont simplement les utilisateurs qui ne veulent pas installer les services Google sur leur smartphone qui sont pénalisés.

De récents changements techniques (en particulier la refonte du système d’appels et de vidéo) ont levé le blocage de principe qui empêchait Signal de fonctionner sur des téléphones où ne sont pas installés les Google Play Services, ces changements ont été apportés par la mise à jour 3.30. Ils requièrent pour l’instant de compiler soi-même un fichier APK depuis le GitHub de l’application (Master). Et pour ceux qui n’ont rien compris à cette dernière phrase, Signal devrait probablement bientôt mettre en ligne un fichier installable sur son propre site, nous ne manquerons pas d’en parler le moment venu. Les changements en détail sont disponibles ici.

Avec retard, voici le compte-rendu de la cryptoparty. Entre 30 et 40 personnes s’y sont rendues, et de nombreux sujets ont pu être abordés durant les quatre heures de ce premier atelier:

– Analyse de risques
– Fonctionnement et utilisation de la navigation avec Tor
– Brève démonstration de Tails
– Introduction à la sécurité sur Android. (Slides)
– Fonctionnement de Signal, une application pour chiffrer ses communications via son smartphone. (Slides)
– Chiffrement via PGP

La prochaine séance de Cryptoparty sera divisée en deux parties, dont la première sera un atelier plus complet sur l’utilisation de Tails, et la seconde une séance libre comme celle-ci.

Quoi ?
La cryptoparty est un évènement qui a pour but d’encourager le chiffrement, la protection de la vie privée et l’anonymat. Elle est ouverte à tout le monde, quels que soient le niveau technique et les attentes.

Où ?
Au Sacco-Vanzetti, 54 Chaussée de Forest à 1060 Saint-Gilles. Wifi gratuit, café, snacks et boissons sur place.

Pourquoi ?
Alors que la surveillance généralisée est avérée et que des outils simples et gratuits existent, ils restent sous-utilisés. L’évenement est organisé par le Secours Rouge, qui encourage depuis plusieurs années l’utilisation du chiffrement dans le milieu militant.

Comment ?
Tout ce dont vous avez besoin est un ordinateur portable, une tablette ou un smartphone. Si vous avez des questions que vous n’avez jamais osé poser, si vous avez des réponses que vous n’avez jamais osé partager, si vous avez envie de participer à des discussions sur la pratique militante de la sécurité informatique, ou si vous avez juste envie de boire un café, la Cryptoparty est ce que vous cherchez.

Quand?
La première Cryptoparty aura lieu ce dimanche 19 février de 16h à 20h.

Tails vient de sortir sa version 2.10 stable. Au menu des nouveautés: OnionShare (qui permet de partager des fichiers via TOR) a été installé, et la « Circuit View », qui permet d’avoir une vision claire des noeuds par lesquels la connexion TOR est redirigée a été ajoutée au navigateur TOR intégré. Pour le reste, les mises à jour de tous les programmes intégrés ont été installées. Aucune faille spécifique n’a due être bouchée. Si vous utilisez une clé USB Tails sous une version égale ou plus récente à la 2.7, vous pouvez mettre à niveau via l’outil automatique.

Pour les autres, vous pouvez télécharger la dernière mouture sur le site officiel de Tails.

Deux ans déjà sont passés depuis la dernière édition du très complet « Guide d’autodéfense numérique », ouvrage qui vise à présenter l’ »absence d’intimité » du monde numérique et propose des méthodes pour ajuster ses pratiques quotidiennes en conséquence. Cette quatrième édition revue et corrigée du premier tome s’accompagne de le première révision du second tome. Elles prennent en considération les révélations concernant l’état actuel de la surveillance numérique ainsi que les dernières évolutions légales et techniques – et notamment les nouvelles versions des systèmes Debian et Tails. Disponible en consultation et en version imprimable à l’adresse http://guide.boum.org.

Lors d’une vidéo-conférence à Toronto, Snowden a dénoncé l’attitude de Blackberry (société canadienne) qui a construit son image sur la soi-disant sécurité de ses appareils et sur la protection des données de ses utilisateurs qui en découlerait. Blackberry a bien installé des backdoors (des portes dérobées qui permettent aux agences d’aller se servir dans les données). La pratique avait déjà été dénoncée l’année dernière. Blackberry collabore avec les autorités canadiennes depuis 2010 au moins, et s’était défendu en déclarant avoir refusé l’accès aux backdoors au gouvernement pakistanais… Par contre, lorsque le gouvernement indien leur a dit « nous vous empêcherons d’accéder au marché si vous refusez l’accès aux backdoors », ils ont obtempéré. Depuis ces scandales, Blackberry a successivement cessé de fabriquer ses propres smartphones et plus récemment commencé à utiliser le système d’exploitation de Google, Android.

Il y a deux jours, nous vous annoncions que Signal était censuré par l’état en Egypte et aux Emirats Arabes Unis (voir notre article), mais que les développeurs travaillaient déjà sur un mécanisme de contournement. Il n’aura pas fallu longtemps, la dernière mise à jour de Signal pour Android (disponible sur le canal béta pour iOS) incorpore pour les utilisateurs dont le numéro de téléphone commence par un indicatif téléphonique d’un pays censuré (+20 pour l’Egypte ou +971 pour les Emirats donc) une technique de contournement appelée « domain fronting » . Le but de la manoeuvre est de rendre les requêtes Signal indistinguables d’une requête https vers Google: pour couper l’accès à Signal, ces gouvernements devront donc couper l’accès à Google, ce qui semble plus difficile. Open Whisper Systems, les développeurs de Signal, généralisent et prévoient de rendre l’application « consiente » de la censure, afin qu’elle utilise automatiquement le mécanisme lorsqu’un utilisateur étranger visite un pays censuré par exemple. Cette dernière mise à jour propose également une autre nouveauté dont nous vous avions parlé il y a trois jours, à savoir le support des stickers, dessins et textes sur les images envoyées via l’app.

Pour télécharger Signal: Android, iOS, Chrome.

Après plusieurs jours d’enquête, Open Whipser Systems a confirmé que Signal était effectivement censuré en Egypte. Non seulement l’accès au site est impossible, mais en l’application ne fonctionne tout simplement pas. Les personnes qui veulent continuer à utiliser Signal en Egypte peuvent utiliser Tor ou un VPN. L’application Orbot (ou via le dépôt du Guardian Project sur F-Droid dans le cas où Orbot serait inaccessible sur le Play Store) permet notamment de rediriger une app à travers Tor (via « VPN Apps »), cela ne fonctionnera que pour le texte, les images et les pièces-jointes, pas pour les appels.

Open Whisper Systems travaille déjà sur une solution de contournement. C’est la première fois (documentée) que Signal est censuré dans un pays, même s’il est inaccessible sur les magasins d’applications dans certains pays, comme les Emirats Arabes Unis.

We've been investigating over the weekend, and have confirmed that Egypt is censoring access to Signal.

— Open Whisper Systems (@whispersystems) 19 décembre 2016

We'll begin deploying censorship circumvention in Signal over the next several weeks. Until then, Tor or a VPN can be used to access Signal.

— Open Whisper Systems (@whispersystems) 19 décembre 2016