Malgré le fait qu‘elle implémente le réputé protocole de chiffrement Signal, et que l’application soit régulièrement bloquée au Brésil pour cette raison, Whatsapp souffrirait de quelques failles sur iOS (le système d’exploitations des iphones et ipads), des failles qui mettent à mal le chiffrement. Première faille, l’effacement censé être définitif des conversations ne fonctionne pas sur iOS à cause d’un bug de la bibliothèque de moteur de base de données SQLite qui fait en sorte que des copies des messages sont stockées localement et sur iCloud. Cette faille n’affecte pas seulement Whatsapp, mais également d’autres apps qui utilisent SQLite. iMessage par exemple, souffre du même bug. Il est possible d’effacer ces fonds de bases de données en désinstallant l’application. Notons que Whatsapp propose à ces utilisateurs de stocker leurs messages sur Google Drive ou sur iCloud, ceci mettrait à mal le chiffrement qui n’est pas censé fonctionner sur plus d’un terminal à la fois.

Le second « bug » concerne le chiffrement justement, si les messages sont chiffrés durant leur transit, ils ne sont pas chiffrés lorsqu’ils sont sur l’appareil, une fonction que propose par contre l’application Signal originale. En fin de compte, même si Whatsapp, Google Allo et Facebook Messenger implémentent le protocole Signal dans leurs apps, l’application Signal est probablement plus sécurisée de par sa conception.

Facebook Messenger adopte Signal

Parmi le club très fermé des applications ultra-sécurisées, TOR occupe une place de choix en offrant à ses utilisateurs de naviguer le web anonymement en redirigeant leur connexion à travers un réseau de volontaires (leurs machines sont appelés nodes ou nœuds). Une course permanente l’oppose toutefois aux services de renseignements américains qui tentent régulièrement de faire apparaitre une masse critique de relais-espions à l’intérieur du réseau TOR. Lors d’une première époque, les attaquants tentaient d’intervenir entre le dernier node et la page de destination pour intercepter des données, mais la stratégie est à présent d’augmenter la proportion de nodes compromis pour être capable de suivre la connexion d’un utilisateur à travers plusieurs nodes et éventuellement retrouver son point de départ pour le désanonymiser, ce sont des attaques Sybil. Les services de renseignements n’ont probablement eu qu’un succès mitigé dans ce genre de stratégie, puisqu’ils étaient rapidement repérés par le réseau TOR à l’aide de « honeypots » (des appâts) que seul un node espion pourrait vouloir espionner. Les espions sont toutefois de plus en plus efficaces, ce qui a poussé des chercheurs du MIT (l’université) et de l’Ecole Polytechnique de Lausanne a développé une alternative à TOR qui se renforce là où TOR faiblit, son nom est Riffle.

De base, Riffle utilise le même principe que TOR ainsi que du réseau .onion, mais il disperse et mélange les paquets de données avant de les envoyer à travers le réseau de telle façon à ce qu’un node compromis qui intercepterait plusieurs paquets ne pourrait pas même les replacer dans le bon ordre et identifier des données. Un protocole de chiffrement/signature permettra également de vérifier les données et d’identifier une éventuelle manipulation par un attaquant externe. Bonus, en plus d’être plus sécurisé, Riffle sera plus rapide (10X plus) et consommera moins de ressources processeur que son grand-frère. Riffle est présenté à la Privacy Enhancing Technologies Symposium qui se déroule du 19 au 22 juillet à Darmstadt. Pour en lire plus, voir le document publié sur le site du MIT.

Riffle

Suite à l’attentat de Nice, le coordinateur européen pour la « lutte contre le terrorisme » était en visite en Israël, notamment car l’Union Européenne cherche à acquérir des technologies qui permettent à l’état d’Israël de repérer les ‘loups solitaires’ sur les réseaux sociaux (ou pas, voir notre précédent article), c’est à dire des personnes qui passent à l’acte sans être liée à une quelconque organisation et donc sans se faire repérer par ses liens, communications, casiers judiciaires,… Les technologies qui intéressent l’UE seraient donc susceptibles de repérer ces personnes. Mais contrairement aux logiciels qui parcourent automatiquement les réseaux sociaux à la recherche de contenus illégaux, ici c’est plus un « comportement » qui doit être repéré. Les logiciels israéliens font donc intervenir des opérateurs humains pour départager les énormes masses de données. Le Coordinateur a également souligné que les services secrets européens avaient moins de marge de manœuvre que leurs homologues israéliens. Le fonctionnement de ces logiciels qui scannent vraisemblablement les posts Facebook à la recherche de messages d’adieu est d’ailleurs à peu près opaque.

L’UE cherche à acquérir des technologies israéliennes contre les ’loups solitaires’

Quand un utilisateur de Tor s’y connecte, des couches de cryptage s’ajoutent au message. Ce dernier passe par plusieurs serveurs intermédiaires avant d’arriver à sa destination finale. La force du réseau anonyme Tor s’appuie sur des relais dont environ le quart constitue des relais de sortie. Ce sont eux qui font le pont entre le réseau et le reste d’Internet. On savait déjà que ces relais de sortie pouvaient être manipulés de sorte que le contenu envoyé par les utilisateurs de Tor ne soit plus anonyme. Or, une nouvelle faille vient s’ajouter à celle-ci.

D’autres types de relais-espions viennent d’être dévoilés par une nouvelle étude de l’Université Northeastern. Ces relais modifiés permettent à ceux qui sont derrière de trouver les adresses de sites qui sont supposés être secrets sur le deep web, qui regroupe les sites accessibles mais non indexés et auquel on accède via un réseau comme Tor. Les chercheurs ont créé 4500 adresses cachées en 72 jours en passant par Tor. Ils n’ont jamais parlé de ces sites nulle part et ceux-ci ne contenaient rien d’intéressant. Si ces adresses établissaient des connexions, c’était parce qu’un système espionnait le circuit qui passait par le réseau Tor. Au moins 110 de ces relais-espions ont tenté d’en savoir plus sur les adresses secrètes, les services qu’elles pouvaient fournir ou leur créateurs. Ce type d’attaque avait déjà été envisagé par les administrateurs de Tor qui travaillaient à restructurer leur système de services cachés.

This, Jen, is the internet

Si vous avez activé les paramètres nécessaires sur votre smartphone pour activer celui-ci à la voix, il vous est peut-être déjà arrivé d’entendre votre smartphone réagir « tout seul » en comprenant mal un son environnant. Sur les smartphones Android, il est en effet possible de demander quelque chose en disant « OK Google », alors que l’écran est verrouillé. C’est sur cette ‘faille’ que des chercheurs des universités de Georgetown et de UC Berkeley se sont basé pour tenter une attaque vocale alors même que la commande est à priori incompréhensible pour une oreille humaine. Dans la vidéo ci-dessous, on peut les voir énoncer plusieurs commandes (qui sont écrites à la suite et paraissent alors évidentes). Cette expérience vise surtout à démontrer qu’il est apparemment possible de faire effectuer des tâches à distances à un smartphone, aux conditions que son propriétaire ne soit pas dans la pièce pour s’en rendre compte, que l’attaquant ait la possibilité de jouer le son nécessaire (à travers une vidéo Youtube par exemple), et qu’il soit possible d’exécuter une commande intéressante. Ça fait beaucoup de ‘si’, mais ça fonctionne en théorie. Notons que l’expérience a également fonctionné avec Siri, l’équivalent iOS de Google Now.

L’application Signal à été popularisée par Edward Snowden qui en pensait le plus grand bien. Les développeurs de Signal ont dernièrement permis à d’autres développeurs d’intégrer le protocole de chiffrement de Signal dans leurs propres applications. On a donc pu voir Whatsapp adopter ce protocole pour la totalité de ses communications, écrites et vocales. Tout comme Google avec sa future application Allo (qui sera probablement déployée dans les prochaines semaines aux côtés de la mise à jour Android Nougat), Facebook adoptera un système de conversations secrètes qui pourront être utilisées à côté des conversations normales. Si Google et Facebook n’ont pas généralisé le chiffrement c’est probablement pour permettre aux « bots » d’intervenir dans les conversations, et de ce côté il n’y a aucune illusion à se faire, ces prémices d’intelligence artificielle se nourrissent des conversations des utilisateurs.

Le chiffrement est actuellement disponible pour quelques utilisateurs et devrait être disponible pour tout le monde d’ici à la fin de l’été.

Facebook Messenger adopte Signal

Le fondateur de Megaupload Kim Dotcom s’était rendu mondialement célèbre en étant le patron du site d’échanges de fichiers Megaupload avant que le FBI ne vienne le fermer lors d’une énorme opération en Nouvelle-Zélande en janvier 2012. Un an plus tard, il avait ouvert un nouveau site « Mega », offrant 50Go de stockage cloud (bien plus que la concurrrence, même actuelle) chiffré dans le navigateur. Mega n’a probablement pas été extrêmement sécurisé, mais il avait le mérite d’être massif et tout de même plus sécurisé que les autres services du même acabit. Le chiffrement était un argument de marketing et surtout une manière de protéger légalement la société qui ne pouvait censurer ce qu’elle ignorait. Encore une fois, la créature de Dotcom lui a échappé, cette fois-ci aux mains de ses co-dirigeants. Finalement, ce 5 juillet, Kim a commencé a parler sur Twitter d’un nouveau service « beaucoup mieux que Mega » avec 100Go de stockage gratuit et chiffrés à la volée, synchronisation entre les appareils, plus simple d’utilisation et surtout des transferts illimités (ce qui signifie que c’est seulement ce qui est hébergé sur le moment qui est payant et pas le nombre de fois qu’on l’uploade, contrairement à Mega qui facture à outrance cette opération). Si Kim Dotcom tient absolument à ce que des gens utilisent ses logiciels pour protéger leurs fichiers, il pourrait cette fois tenter d’en garder le contrôle.

A new site is in the making:
100gb free cloud storage
On-the-fly encryption
Sync all your devices
NO TRANSFER LIMITS#5thRaidAnniversary

— Kim Dotcom (@KimDotcom) 5 juillet 2016

Kim Dotcom

Le protocole Signal qui chiffre l’application éponyme ainsi que les communications faites sur Whatsapp sera implémenté dans la nouvelle app de messagerie Google Allo. Contrairement aux deux intégrations précédentes, le protocole Signal ne sera activé que lors du mode « Incognito », puisque l’application utilise des intelligences artificielles qui sont capables de lire les messages lorsqu’ils ne sont pas envoyés en mode incognito. Le protocole Signal est largement accepté comme sûr et est sponsorisé par Edward Snowden en personne.

Google Allo et Signal

BlackBerry a reconnu indirectement lundi avoir collaboré avec la police fédérale canadienne dans le démantèlement d’une organisation mafieuse de Montréal qui utilisait son système de messagerie, tout en insistant sur le fait que son système de sécurité est « impénétrable ». Le PDG John Chen a réitéré la position de longue date de BlackBerry selon laquelle « les sociétés de technologies, en tant qu’entreprises responsables, devraient se conformer aux demandes d’accès [à des informations, NDLR] légales et raisonnables ». Cette déclaration vient alimenter un débat public récurrent sur la manière d’équilibrer vie privée des utilisateurs et sécurité, déclenché par le refus d’Apple d’aider le FBI américain à décrypter l’iPhone.

[fond violet]

Blackberry reconnait avoir aidé la police

Apple a reçu quelque 30.000 requêtes de données formulées par des gouvernements du monde entier au second semestre 2015, et a fourni des informations dans la majorité des cas, rapporte le groupe informatique dans son dernier rapport de transparence. Apple a fourni des données au gouvernement américain dans 80% des 4.000 requêtes formulées sur cette période. Le groupe américain a reçu précisément 30.687 requêtes de données par différents gouvernements, qui concernaient 167.000 appareils. Au premier semestre 2015, Apple avait reçu 26.000 demandes qui concernaient 360.000 appareils.

Le gouvernement américain avait engagé une action en justice contre Apple qui refusait de débloquer l’iPhone ayant appartenu à l’un des auteurs de l’attentat de San Bernardino (Californie) le 2 décembre. Apple justifiait son refus au nom de la protection des données. Le gouvernement a finalement renoncé à son action judiciaire et utilisé les services de hackers professionnels pour débloquer le smartphone, mais plusieurs tribunaux ont été saisis de cas similaires.

Le siège d’Apple à Cupertino, en Californie