Un livre vient d’être mis en ligne en français, qui aide à s’y retrouver parmi la multitude d’outils et techniques permettant de mettre en échec la censure sur Internet, et qui révèle également comment cette censure prend place en coulisses. Le livre traite aussi des risques liés à l’utilisation de ces outils de contournement, et comment minimiser ces risques grâces aux technique de cryptage et d’anonymat en ligne.

Le livre en html

Le livre en .pdf

Le livre en epub

Le BxLUG est une association d’utilisateurs de logiciels libres créée en 1999 et dont l’objectif est la promotion de GNU/Linux et autres logiciels libres dans la région de Bruxelles. Ils organisent de manière plus ou moins régulière des rencontres pour aider tout un chacun à installer et configurer des systèmes libres, à approfondir leurs connaissances et à découvrir de nouveaux horizons.
Ils proposent également sur leur site de la documentation écrite par leurs membres et fournissent des listes de discussion ouvertes à tous pour l’entraide quotidienne.

Le site de BxLUG

Le SSTIC la principale conférence francophone sur le thème de la sécurité de l’information, ce qui comprend à la fois les vecteurs d’information (comme les systèmes informatiques ou les réseaux) et l’information elle-même (cryptographie ou guerre de l’information). Il se déroule cette année à Rennes du 8 au 10 juin 2011.

Voici la liste des thèmes abordés: Thoughts on Client Systems Security ; BitLocker ; Silverlight ou comment surfer à travers .NET ; XSSF: démontrer le danger des XSS ; Rainbow Tables probabilistes ; Memory Eye ; Attaque d’implémentations cryptographiques par canaux cachés ; Sécurité du système Android ; Attaques DMA peer-to-peer et contremesures ; Sticky fingers & KBC Custom Shop ; Virtualisation d’un poste physique depuis le boot ; Attacking and Fixing PKCS#11 Security Tokens with Tookan ; Peut-on éteindre l’Internet ? ; Architecture DNS sécurisée ; Rump Sessions ; RRABBIDS, un système de détection d’intrusion pour les applications Ruby on Rails ; Usages offensifs de XSLT ; Faille de sécurité ou défaut de sécurité ; Typologie des attaques contre nos libertés online ; Système de stockage-en-ligne de photos avec confidentialité des données personnelles ; Un framework de fuzzing pour cartes à puce: application aux protocoles EMV.

Détail des thématiques sur le site du SSTIC

Les iPhone et iPad 3G fonctionnant sous le système d’exploitation iOS4 (disponible depuis juin 2010) enregistrent régulièrement la localisation des produits dans un fichier caché, dont le contenu est restauré à chaque sauvegarde ou migration d’appareil. Les localisations sont stockées dans un fichier appelé consolidated.db, avec coordonnées géographiques évoluant en fonction de la date d’enregistrement. La chose n’est pas toujours archi précise, triangularisation oblige :

Un logiciel baptisé iPhone Tracker est disponible pour lire à son tour ce genre de traces. En mouvement (soit en faisant évoluer la chronologie), ça donne ça :

A ce stade, rien ne prouve que ces données puissent échapper au contrôle de l’utilisateur. De même, l’existence même de ce type d’informations n’est pas en soi une nouvelle : les opérateurs téléphoniques en disposent et peuvent les transmettre aux autorités dans certaines circonstances (enquêtes, etc.), mais uniquement sur demande en bonne et due forme (mandat, par exemple). Le problème ici soulevé est que le fichier en question n’est pas du tout crypté, donc facilement accessible en cas de vol ou d’emprunt de téléphone, par exemple. Des fonctionnalités permises par l’iOS4, comme la classification automatiques des photos prises par l’iPhone en fonction du lieu de la prise de vue (cf capture à droite), peuvent éventuellement constituer une piste d’explication quant à la présence d’un tel fichier dans le téléphone. Parmi les pistes suggérées pour éviter ce genre de désagrément, on peut citer l’option « Encrypt iPhone Backup » accessibles via les paramètres d’iTunes une fois l’appareil connecté à l’ordinateur.

Le lien vers pour le logiciel iPhone Tracker

Comment contourner les systèmes de traçabilité ? est un article de Jean-Marc Manach, journaliste à InternetActu.net et LeMonde.fr, animateur du blog bugbrother consacré à la défense de la vie privée face au contrôle social informatique.

Cet article a été une première fois publié dans Hermès n°53, 2009 (« Traçabilité et réseaux »), publiée par le CNRS. C’est un excellent survol de la problématique dont nous ne pouvons que conseiller la lecture.

Lire l’article en .pdf

Ce mardi, Google a lancé un nouveau site internet de statistiques. Celui-ci révèle, pays par pays, le nombres de demandes de censures et d’informations sur les internautes effectuées par les agences gouvernementales. Les services concernés par ces requêtes vont de la messagerie électronique Gmail aux sites internet en passant par YouTube, propriété de Google. La censure des Etats sur le web augmente de plus en plus, et consiste en des demandes de blocage total de sites, de leur filtrage, ainsi qu’en des décisions judiciaires limitant l’accès à l’information et aux législations obligeant l’auto-censure. Les agences gouvernementales font également appel à la société américaine pour qu’elle leur fournisse des informations sur ses utilisateurs.

Selon la chargée de communication de Google, l’augmentation de la censure des gouvernements sur internet est la conséquence du nombre record de personnes disposant d’un accès à internet et du fait qu’ils créent plus de contenu que jamais. Pour elle, cette situation est devenu un véritable défi pour des gouvernements habitués à contrôler les médias écrits et télédiffusés.

Le Brésil récolte la première place des pays demandant des retraits de données (291 demandes entre juillet et décembre 2009), suivi par l’Allemagne, l’Inde et les Etats-Unis. En ce qui concerne les demandes d’informations personnelles, c’est à nouveau le Brésil qui est en tête (3663 requêtes), talonné par les Etats-Unis et la Grande-Bretagne. Google précise que les données publiée sur le site www.google.com/governmentrequests/ ne sont ni complètes, ni précises à 100%, mais promet des améliorations et sa mise à jour tous les six mois. Notons enfin que cette nouveauté apparaît alors que les autorités de protection des données personnelles de dix pays ont écrit à la société américaine cette semaine pour l’exhorter à respecter les lois relatives à la protection de la vie privée.

En mai 2008, des policiers du monde entier, dont des Français, sont invités par Microsoft, pour découvrir, dans les locaux de Microsoft, à Redmond, COFEE (Computer Online Forensic Evidence Extractor), un outil permettant d’aider les forces de l’ordre a mettre à mal les sécurités installées dans Windows Vista. Un stage de luxe qui regroupe le FBI, Interpol, l’armée. Parmi les ‘cours’, comment récupérer des preuves sous Hotmail ou sous Windows. Parmi les possibilités, le programme COFEE.

Le matériel est simple, une clé USB et un programme capable de trouver différentes données cachées sur un disque dur. Un programme aux 150 commandes qui permet de retrouver toutes données liées à une affaire en un temps record. Décryptage des mots de passe, analyse des activités sur la toile, et cela par un policier qui n’a plus besoin d’être un expert. Bref, rien de révolutionnaire, ce type d’outil existait depuis longtemps mais Microsoft semble avoir réuni tout ce petit monde sous le même programme. Des milliers de clés de ce type sont déjà en action dans 15 polices de par le monde. Microsoft les offre. ‘Nous investissons beaucoup de temps et d’argent dans la mise au point de ces nouveaux outils, mais notre but n’est pas d’en tirer des profits en argent. Nous le faisons afin de nous assurer qu’Internet demeure un endroit sécurisé‘ confiait Brad Smith, de chez Microsoft. A noter que cette clé permet de passer outre le chiffrement ‘Bitlocker’ mis en place par Microsoft dans Windows Vista. Il suffit aux enquêteurs de brancher la clé sur la machine allumée du suspect pour utiliser l’un des 150 outils mis à disposition avec COFEE. En moins de 30 minutes, la clé enregistre les données dites ‘sensibles’ pour les enquêteurs.

Début novembre, un fichier archive circulait sur le net avec, à l’intérieur, une image de COFEE. Colmatée depuis, la fuite finit de se répandre sur Internet. Mais le mal est fait. Si la diffusion de l’utilitaire a été bloquée, des pirates en ont profité pour développer une contre-application qui permettait de se débarrasser des ‘trous’ exploités par COFEE et qu’ils ont nommée DECAF (Detect and Eliminate Computer Assisted Forensics). Téléchargeable sur leur site decafme.org, cette application s’adressait à des utilisateurs avancés. Yahoo en avait parlé. Mais le 18 décembre, un petit message intitulé Gamer Over sur le site de DECAF, nous apprend que le but était simplement d’attirer l’attention du public sur la sécurité et que les versions téléchargées sont désormais inopérantes…

Lors de l’arrestation des membres du Secours Rouge le 5 juin dernier, les médias ont fait grand cas des communications cryptées entre la section belge du SRI et le secrétariat international de Zurich, et interceptées par la police. Un an et demi plus tard, les services spécialisés de la police fédérale ne sont toujours pas parvenu à décrypter ces mails…

Le cryptage des mails ne fait pas partie de la culture militante en Belgique, alors qu’il est extrêmement répandu en Allemagne ou en Suisse, et alors qu’en Belgique même, il est courant dans le domaine commercial et bancaire. Il est important de généraliser les techniques de cryptage. Crypter toutes les communications politiques, même les plus banales, est essentiel pour tous ceux qui veulent éviter de nourrir les fichiers policiers.

Le logiciel utilisé par le Secours Rouge International est le classique PGP (Pretty Good Privacy). Philip Zimmermann, son développeur, a mis PGP en libre téléchargement en 1991. Le gouvernement a ouvert une enquête contre lui pour violation des lois limitant l’exportation pour les produits cryptographiques aux seuls clients validés par le gouvernement US. Zimmermann a développé PGP dans un souci de droit à la vie privée et de progrès démocratique: ‘PGP donne aux gens le pouvoir de prendre en main leur intimité. Il y a un besoin social croissant pour cela. C’est pourquoi je l’ai créé. (…) Si l’intimité est mise hors la loi, seuls les hors-la-loi auront une intimité. Les agences de renseignement ont accès à une bonne technologie cryptographique. De même les trafiquants d’armes et de drogue. Mais les gens ordinaires et les organisations politiques de base n’avaient pour la plupart pas eu accès à ces technologies cryptographiques de ‘qualité militaire’ abordable. Jusqu’à présent.‘

PGP est un logiciel de chiffrement et de signature de données utilisant la cryptographie asymétrique mais également la cryptographie symétrique. Il est d’une extrême facilité d’emploi. Il est basé sur un processus appelé ‘public-key’ (‘clé publique’). Tout utilisateur dispose d’une clé privée (une série de caractère, idéalement plus de 20, choisis par lui) et d’une clé publique produite par le programme et liée à la première par un algorithme complexe. La clé publique peut être transmise sous forme de ‘pièce jointe’, dans le corps d’un mail, par clé USB, disque, ou n’importe quel support de données. Elle peut être interceptée et connue sans nuire à la qualité du cryptage.

L’utilisateur communique donc sa clé publique à tous ceux qui doivent lui envoyer un message crypté. Ceux-ci cryptent leur mail ou leur document (traitement de texte, image, tableur) qu’ils lui destinent avec sa clé publique (ce qui se fait en deux ‘clics’). Pour décrypter, l’utilisateur tape dans le logiciel sa ‘clé privée’, connue de lui seul. A l’inverse, pour envoyer un message crypté, l’utilisateur doit disposer de la clé publique de son correspondant. Une fois qu’il a crypté le message, seul le correspondant pourra le décrypter avec sa ‘clé privée’. Même le crypteur n’est pas en mesure de décrypter son message.

Dans le cadre du week-end d’étude anti-répression co-organisé av ec le CLEA, le COI et le CAS, le Secours Rouge organise une formation à l’utilisation de PGP. Si vous apportez votre ordinateur portable, vous pourrez vous faire installer PGP et faire des essais de cryptage jusqu’à ce que vous en maîtrisiez la technique (dix minutes suffisent…). Si vous apportez une clé USB, vous pourrez avoir une copie du programme pour l’installer chez vous (version Linux, PC ou Apple).

Dimanche 10h-12h, Espace Morichar, 29-33 Place Morichar 1060 St Gilles, entrée gratuite.

Chapitre 1: Le cryptage de données

Ce guide est pour Mac (Pour Windows, cliquez ici)

Dans ce chapitre nous ne présenterons qu’un seul logiciel. Celui-ci a fait ses preuves, fonctionne sur Windows, Mac et Linux et est relativement simple d’utilisation. Ce logiciel est Truecrypt. Allons donc le télécharger sur https://truecrypt.ch/downloads/ et sélectionnons la version du programme compatible avec Mac OS X.

ATTENTION : Ne téléchargez pas Truecrypt sur http://www.truecrypt.org qui était le site originel. Le projet Truecrypt a été abandonné par ses créateurs et a été reprit par l’équipe suisse de TCNext : téléchargez la dernière version de Truecrypt (7.1a) sur le site https://truecrypt.ch/downloads/

Double-cliquons sur le fichier fraichement téléchargé et cliquons sur accepter. Dans la nouvelle fenêtre qui s’ouvre, cliquons sur Truecrypt 7.1a.mpkg. Continuer, Installer, Mot de passe, Fermer.

Truecrypt est à présent installé, on peut fermer les diverses fenêtres et glisser le “disque dur” Truecrypt qui est sur le bureau, dans la corbeille.

Ensuite, on ouvre une fenêtre Finder, dans la colonne de gauche on clique sur Applications et on clique sur Truecrypt dans la liste des applications.

Truecrypt est capable de faire plusieurs choses:

– Créer un ‘Conteneur’ crypté dans votre ordinateur. Ceci créera un fichier crypté dont
vous déciderez la taille, etc…

– Crypter une clé USB ou un disque dur portable ou tout autre support amovible.

– Crypter la totalité de votre disque dur (pour les utilisateurs avancés et amoureux du risque, nous ne détaillerons pas la procédure dans cette édition du guide mais vous trouverez facilement des tutoriels en ligne).

Dans ce tutoriel, nous verrons la pratique la plus courante et la plus pratique pour chacun : c’est à dire le cryptage d’un support amovible. Un support amovible est un support que vous pouvez connecter et déconnecter de votre ordinateur, par exemple : une clé usb, un disque dur portable, une carte SD ou micro-SD, etc…

Le tutoriel se pratique de la même façon pour chacun de ses supports. Nous parlerons plus loin de « la clé usb » pour simplifier, mais vous pouvez utiliser n’importe quel support pour ce tutoriel.

1. Préparer le support

La clé usb doit être vide. Si elle ne l’est pas, tout ce qui se trouve dessus sera effacé.

2. Démarrer Truecrypt

Double-cliquons sur l’icône de Truecrypt (dossier applications) pour le démarrer, et cliquons sur « Create Volume » pour commencer la procédure de création de notre volume crypté. Cochons la case Create a volume within a partition/drive, puis “Standard Truecrypt Volume”. On sélectionne enfin le volume (attention à choisir le bon !). Enfin, on laisse coché “Never save history” puis “Next” et “Yes”.

A l’étape suivante il nous sera proposé de choisir un algorythme de cryptage et un algorythme de hash. Nous voilà dans le vif du sujet et quelques explications s’imposent.

3. Qu’est-ce-qu’un algorythme de cryptage ?

Un algorythme de cryptage, en gros, c’est la méthode mathématique que votre ordinateur utilisera pour crypter l’information. Par exemple, un algorythme utilisable pour un humain serait de remplacer chaque lettre par celle qui la suit dans l’alphabet pour écrire ‘BONJOUR’ on écrira plutôt ‘CPOKPVS’. Evidemment, l’ordinateur crypte des quantités beaucoup plus grandes que de simples mots et avec des méthodes mathématiques inutilisables par un cerveau humain. Un algorythme est donc un langage codé utilisé par un ordinateur. Truecrypt nous propose trois algorythmes : AES, Twofish et Serpent. Il nous propose également des « cascades » d’algorythmes. C’est à dire qu’après avoir crypté en AES, il crypte à nouveau en Twofish, etc…

Quelle est la différence entre AES (aussi appellé RSA), Twofish et Serpent ? Lorsque le gouvernement américain a mis à jour ses méthodes de sécurité informatique en 1997, il a organisé un concours visant à trouver un algorythme de cryptage puissant, capable de protéger les secrets gouvernementaux, le gagnant allait devenir le AES (Advanced Encryption Standard). Les trois finalistes étaient RSA, Twofish et Serpent, trois algorythmes remarquablement complexes. C’est RSA qui a gagné le concours. Mais apparement, Twofish était tout aussi puissant et a perdu à cause de sa vitesse plus lente, et Serpent a perdu car il aurait été impossible à décrypter au besoin. Moralité de cette petite histoire (imprégnée de légendes urbaines?) Ces trois algorythmes sont tous les trois extrêmement performants, et vous opterez sans doute pour une cascade des trois. Pas d’inquiétude donc et sélectionnez « votre préféré ».

Note : Le cryptage est un enjeu extrêmement important tant au niveau gouvernemental et répressif qu’au niveau technologique (la plupart des appareils informatiques utilisent le cryptage) qu’au niveau antirépressif. Certaines personnes travaillent quotidiennement à rechercher des failles de sécurité permettant de casser ces algorythmes et de les rendre obsolètes. Si ces méthodes semblent aujourd’hui incassables, celles qui les précédaient l’ont pourtant étées (alors qu’elles étaient elles aussi réputées incassables). C’est pourquoi il peut-être intéressant de s’informer si jamais un de ces algorythmes venait à être brisé. L’algorythme AES étant l’un des plus utilisé au monde, s’il venait à être cassé, de nombreux gouvernements devraient le remplacer par un autre (probablement Twofish ou Serpent). Il faut garder en mémoire que si ces méthodes sont sûres aujourd’hui elles ne le seront pas éternellement.

Dans notre exemple, nous choisirons donc un algorythme en cascade : AES-TWOFISH-SERPENT. Et un Hash Algorythm SHA-512. Précisons que si le cryptage est légal en Belgique il ne l’est pas partout. En France par exemple, il est illégal de crypter un document ou une communication avec un algorythme impossible à décrypter par les autorités !

Cliquons sur Next deux fois pour arriver à l’étape du choix du mot de passe.

4. Le choix du mot de passe

Nous avons déjà vu comment créer un mot de passe au début, mais pour rappel :

– Votre mot de passe doit compter au moins 20 caractères, et contenir lettres minuscules et majuscules, des chiffres et des caractères spéciaux (comme $*^ par exemple). Ce mot de passe ne doit pas contenir de mots existants, de prénoms ou de noms, de dates, etc…

– Dans les cas de Truecrypt et de PGP (comme on le verra au chapitre « Crypter ses e-mails ») il est particulièrement important de bien choisir un mot de passe qui ne sert qu’à ça.

Et voici notre mot de passe : 6tN82_9=w5^J_qXnEdA(

On écrit donc notre mot de passe dans les champs adéquats.
On ne cochera pas la case « use keyfiles » cette fois, mais sachez que cette fonction permet de créer un petit fichier clé que l’on stockera sur une autre clé usb et qui serait nécessaire à l’ouverture de notre clé usb.
A l’étape suivante, on choisira dans la case “Filesystem type” la réponse “FAT”. Puis “Next” à nouveau. Vous pouvez cocher la case “Quick Format” si votre clé USB est neuve, puisque le formatage rapide permettrait une récupération des fichiers auparavant sur la clé USB.

A l’étape suivante, on devra secouer la souris au-dessus de la fenêtre Truecrypt. Pourquoi ? Simplement parce qu’un ordinateur étant une machine ‘logique’ il lui est à peu près impossible de générer de l’aléatoire. Il utilisera donc « l’entropie » (le désordre) générée par notre main humaine pour rendre l’algorythme encore plus complexe.

Après avoir laissé les cases ‘Fat’ et ‘Default’ si on veut stocker des fichiers de moins de 4Gb, et ‘NTFS’ et ‘Default’ dans l’autre cas, on clique sur ‘Format’. Cette action effacera les éventuels fichiers que vous auriez laissé sur votre clé USB.

Voilà, l’odinateur est en train de crypter notre clé. Il ne nous reste plus qu’à patienter le temps que l’opération se termine.

Fin de la procédure.

5. Ouverture de notre clé cryptée

Une fois notre clé cryptée, nous allons voire comment ouvrir celle-ci pour y déposer les fichiers que l’on veut protéger.

Losque la clé usb est insérée dans l’ordinateur, on démarre Truecrypt et on clique sur « Mount all devices » pour ensuite taper notre mot de passe. Laissons les trois cases décochées pour plus de sécurité, et on clique sur OK.
Lorsqu’une fenêtre s’ouvre “Le disque que vous avez inséré n’est pas lisible par cet ordinateur”, cliquez sur “Ignorer”. Puis double-cliquer le le nouveau disque “No Name” qui est disponible sur le bureau. Vous pouvez glisser et déposer vos fichiers dedans (ou dehors).

Lorsque vous n’avez plus besoin de votre clé. Retournez à la fenêtre Truecrypt et cliquez sur ‘Dismount All’. Vous pouvez ensuite retirer la clé de votre ordinateur.

Chapitre 2: Crypter ses e-mails

Mise à jour 4 avril 2022 : Attention, depuis 2019 Thunderbird intègre nativement OpenPGP et le développement de l’extension Enigmail a été interrompu. Le procédé est largement simplifié. Nous vous renvoyons donc vers le site de Mozilla pour un guide à jour. Nous laissons ce guide en ligne pour les explications qu’il contient sur le fonctionnement.

Nous voici à un des plus importants chapitres, le cryptage des e-mails. Crypter ses e-mails c’est important : et spécialement si on a ‘rien à se reprocher’.

Crypter ses communications par e-mail c’est :

– Empêcher qu’on lise ses e-mails et protéger sa vie privée, même si on a rien à se reprocher,
– Être solidaire de ceux qui l’utilisent quotidiennement en créant une zone de flou,
– Empécher la lecture de ses e-mails par la répression avec une technique déjà éprouvée par de nombreux militants, dont ceux du Secours Rouge.

Si le cryptage d’e-mails avec GPG/OpenPGP semble être difficile, ce n’est comme bien souvent qu’une impression.

Les logiciels dont nous aurons besoin :
– GPGSuite sur http://www.gpgtools.org/
– Thunderbird : https://www.mozilla.org/fr/thunderbird/
– L’extension Enigmail (mais ne la télécharger pas tout de suite).

Nous pourrions choisir une adresse e-mail chez un fournisseur militant comme Riseup.net. Mais cela ne changera rien : une fois que les e-mails sont cryptés ils sont autant illisibles par Google, Yahoo ou Riseup.

1. Installer GPGSuite

Rendez-vous sur http://www.gpgtools.org/

On double-clique sur le fichier téléchargé et on procède à l’installation. Lorsqu’une fenêtre vous demande si “Keychain Access peut accéder à vos contacts”, sachez que ce ne sera utilisé que pour mieux automatiser les procédures de cryptage. Mais accepter ou refuser ne changera pas grand chose. Dans notre exemple, nous acceptons. Et GPG Keychain Access s’ouvre et nous propose tout de suite de créer une paire de clés.

Mais qu’est-ce-que c’est qu’une paire de clé GPG ?

Le chiffrement par GPG est appellé « chiffrement assymétrique », mais un dessin valant mieux que des paragraphes d’explication, voici une petite infographie qui expliquera mieux ce qu’est une paire de clé.

Explication du dessin :

Paul veut envoyer un e-mail à Georgette, pour se faire, nos deux protagonistes installent GPG sur leurs ordinateurs, et chacun d’eux crée une paire de clé. Une clé publique et une clé privée chacun.
Paul et Georgette s’échangent auparavant leurs clés publiques qui, elles, peuvent voyager sans être cryptées (mais nous verrons plus tard que ce n’est pas toujours vrai).

Nous apprenons donc plusieurs choses :

– Les clés publiques servent à crypter,

– Les clés privées servent à décrypter.

– Le cryptage et le décryptage se font sur l’ordinateur même et ne dépendent pas d’internet.

D’autres part, sachez que les clés sont en fait deux petits fichiers texte (se terminant par l’extension ‘.asc’)

Procédons : On rentre un nom (qui peut-être fictif) et l’adresse e-mail que l’on veut utiliser. Laissons la case “Upload key after generation” décochée pour l’instant. Dans le panneau “Advanced” on changera la longueur de clé à “4096” pour rendre la clé encore plus forte.

On rentre ensuite un mot de passe super compliqué (comme expliqué au début du guide). Pendant que la clé est générée, faites plein d’autres choses sur votre ordinateur (ouvrez photoshop, allez sur youtube, écrivez un roman,… Ce que vous voulez !) cela rendra la clé ENCORE plus forte puisque les ordinateurs ne peuvent pas créer de choses aléatoires sans l’aide d’actions humaines.

Une fois ceci terminé, fermez GPG Keychain Access.

2. Installer Thunderbird

Telecharger Thunderbird depuis www.mozilla.org/fr/thunderbird/ double-cliquez sur le fichier téléchargé et glissez-déposez le logo de Thunderbird sur le dossier “Applications”.

Ceci fait, fermez la petite fenêtre et glissez-déposez le “disque-dur” Thunderbird qui est sur le bureau dans la corbeille. Puis ouvrez Thunderbird qui est dans votre dossier “Applications”. Définissez Thunderbird comme application par défaut pour les e-mails (sauf si vous utilisez d’abord l’application “Mail” de Mac”). A l’ouverture de Thunderbird, cliquez sur “Passer cette étape et utiliser mon adresse existante.

On rentre ensuite nos informations : un nom (ce que vous voulez), l’adresse e-mail que l’on veut utiliser et le mot de passe que l’on utilise pour se connecter à ce compte.

Vous avez à choisir si vous voulez cocher la case « Retenir le mot de passe ». Ne pas la cocher compliquera les choses, mais ce mot de passe est très facile à voler si quelqu’un s’empare de votre ordinateur. Dans notre exemple, on cochera la case, mais sachez que si vos e-mails sont cryptés : même en ayant le mot de passe de la boîte mail on ne peut pas lire les courriers cryptés.

On clique donc sur suivant, et Thunderbird se chargera de remplir les cases à l’étape suivante, si vous utilisez un service plus ou moins mainstream. Sinon, cherchez sur google quels sont les paramètres IMAP de votre fournisseur e-mail.

Il nous propose alors de choisir entre ‘IMAP’ et ‘POP3’.

Un compte IMAP permet de conserver simultanément ses e-mails dans sa boite à mail en ligne ET sur son ordinateur, dans Thunderbird.

Au contraire, un compte POP3 récupérera tous les e-mails sur l’ordinateur que vous utilisez. Ce qui veut dire que si vous voulez utiliser cette adresse sur plusieurs ordinateurs, ou changer d’ordinateur tout en conservant vos e-mails : la tâche est rendue beaucoup plus complexe, voir impossible.

On laisse donc la case IMAP cochée et on clique sur ‘Terminer’.

3. InstallerEnigmail

Se rendre dans le menu “Outils” puis “Modules complémentaires”, rechercher Enigmail, “installer” et “redémarrer maintenant”.

4. Derniers paramètres

Enfin, cliquons sur “Outils”, “Paramètre des comptes” puis dans la colonne de gauche “OpenPGP”. On coche la case “Activer le support OpenPGP (Enigmail) pour cette identité. On coche la case “Chiffrer les e-mails par défaut”.

Toujours dans le même menu, on se rend dans l’onglet “Rédaction et adressage” dans la colonne de gauche” et on décoche la case “Rédiger les messages en HTML”.

Cliquez enfin sur OK.

5. Partager les clés publiques

Comme nous l’avons dit auparavant, nos contacts ont besoin de notre clé publique et nous avons besoin des leurs pour communiquer en GPG. Pour obtenir votre clé publique, ouvrez à nouveau “GPG Keychain Access” (via la recherche du finder). Séléctionnez votre clé dans la liste et cliquez sur “Exporter” en lui donnant le nom que vous souhaiter et en l’enregistrant dans un dossier facile à retrouver. Par exemple “Bureau”. Une fois ce fichier obtenu, on peut l’envoyer par e-mail à un ami, la donner via une clé usb, l’héberger sur son site web, etc…

6. Importer une clé publique

Lorsque l’on reçoit une clé publique d’un ami. On enregistre le fichier (sur le bureau par exemple). Puis on ouvre GPG Keychain Access, on clique sur importer, on sélectionne le fichier, et voilà !

7. Premier e-mail

Retour à Thunderbird, cliquons sur écrire (en haut à gauche). Tout d’abord, comme nous avons activé le chiffrement automatique de nos e-mails, si on veut envoyer un e-mail pas chiffré, on devra désactiver le chiffrement comme ceci :

Ensuite, lorsque l’on veut envoyer un e-mail chiffré cette fois, tout est automatique !

8. Pièces-jointes cryptées

Lorsque l’on veut enregistrer une pièce-jointe cryptée, on double-clique (ou ctrl + click) sur la pièce-jointe et “Déchiffrer et enregistrer-sous”.

1. Téléphones fixes

1. 1. Téléphones fixes

Le risque des téléphones fixes est largement connu. Lorsqu’on téléphone, on peut toujours supposer que les forces de la répression puissent écouter. Qu’il s’agisse d’un raccordement analogique traditionnel ou de l’ISDN. D’ailleurs, il est possible d’espionner une pièce par un microphone qui peut être placé dans le téléphone.

1. 2. Fax

Le fax est aussi facilement espionnable.

1. 3. Modem analogique ou ISDN

Il y a eu des essais d’écouter une pièce par le moyen d’un microphone dans un modem. Ces essais ont partiellement eu du succès. Même si le téléphone fixe est débranché, une possibilité d’écoute subsiste.

2. Téléphones mobiles

2. 1. L’écoute des communications

Un téléphone portable peut être intercepté tout comme les téléphones fixes traditionnels. Il en est de même pour les SMS et les MMS. Ces informations passent par la société téléphonique et peuvent y être observées ou enregistrées aisément.

2. 2. L’écoute d’ambiance

L’écoute d’un portable en veille ou même éteint est possible. Exactement par le même chemin qu’emprunte les SMS ou les configurations Internet pour les mobiles. L’ordre (« ouvre ton micro mais sans déclencher la sonnerie ou allumer l’écran ») arrive à la carte SIM qui l’exécute. Il faut que la carte SIM et le téléphone aient été prévus pour, ce qui n’est pas toujours le cas. Il y a ainsi un logiciel sous Symbian (l’OS des smartphones de Nokia), qui permet effectivement de transformer le téléphone en micro d’ambiance. Mais encore faut-il que ce logiciel soit installé sur le mobile, et il n’est possible de le faire que si un policier a pu avoir le téléphone en main quelques instants.
Car il y a bien une seconde méthode pour transformer de nombreux téléphones en espion. Elle consiste à pirater le logiciel du téléphone lui-même. Chaque appel de l’utilisateur déclenche un appel vers un autre utilisateur, en simultané. Il faut pour cela également avoir le gsm le téléphone en main pour le modifier (cela prend trois à quatre minutes dans les cas les plus simples).
Notons que ces logiciels sont en vente (avec comme argument de vente: « transformez votre téléphone en micro espion ») sur des sites comme celui-ci ou celui-ci.

2. 2. Profil de mouvement

Il est possible de surveiller la localisation d’un GSM. Dans les endroits avec de nombreuses cellules, par exemple dans les villes, les mouvements d’un GSM peuvent être observés de manière assez exacte.

2. 3. Saut de cellules

Une cellule est une ou plusieurs antennes qui transmettent les informations du téléphone portable, par exemple lors d’une communication, vers la société téléphonique. Par là, la société téléphonique peut voir quel GSM se trouve dans une certaine cellule. Dès qu’une communication s’établit, que ce soit par appel ou par SMS, le téléphone portable se raccorde à l’antenne assurant la meilleure réception. Si nous sommes en mouvement, nous laissons donc une trace et permettons de voir dans quelle direction nous nous dirigeons. Pour cette raison, il est inutile de nous diriger vers une réunion clandestine et d’éteindre notre GSM une fois que nous sommes arrivés. Si votre téléphone portable est surveillé, dès que vous écrivez un SMS, que vous appelez quelqu’un ou que vous recevez un SMS ping (on y reviendra), on peut voir où vous vous trouvez. Même s’il n’est pas possible d’écouter un GSM qui est éteint et qui se trouve à une réunion, il est important de savoir que, si des GSM surveillés se rencontrent dans un même endroit à une même heure, cet endroit ne doit plus être choisi comme lieu de rencontre après.

2. 4. SMS ping

Le SMS ping est une technique qui est utilisée pour localiser un GSM. La société téléphonique envoie un signal au téléphone, assez similaire à un SMS. Par là, une communication est établie qui permet à nouveau d’observer dans quelle cellule se trouve le GSM. Après ce bref moment, la communication est terminée. Le SMS ping est donc un moyen par lequel une communication est établie avec le téléphone portable sans que cela puisse se voir sur l’écran du téléphone.

2. 5. N° IMSI etc.

Un téléphone portable communique par différents numéros avec le service téléphonique et les cellules. Nous connaissons les numéros d’appel. Cependant, à côté de ce numéro, chaque téléphone a un numéro. Ce numéro est appelé n°IMSI. Grâce à ce numéro, le téléphone est toujours identifiable, même dans le cas du changement de la carte SIM.

2. 6. IMSI Catcher

Le IMSI Catcher est un outil que les policiers peuvent installer dans le coffre de leurs voitures. Il simule la cellule d’une société téléphonique, mais avec un peu plus de puissance. Par ce fait, les téléphones portables ne se connectent pas à la cellule officielle mais à ce IMSI Catcher. Par ce moyen, les policiers peuvent découvrir avec quel GSM on téléphone et prendre connaissance des numéros IMSI et IMEI. Dans ce cas, l’utilisation du GSM de quelqu’un d’autre ou d’un GSM réservé à la militance est inutile.

De plus, par le moyen du IMSI Catcher il est possible d’intercepter directement la communication à partir de la voiture. Les dernières versions connues de cet engin n’ont permis que la communication à partir du téléphone et pas les appels vers le téléphone. Ceci va probablement changer rapidement.

Le désavantage le plus grand pour les policiers est que, s’ils utilisent cet outil, ils doivent mener une filature. Ils doivent donc rester proche du GSM ciblé pour ne pas perdre le contact. Mais comme toutes les autres, cet outil va aller en se miniaturisant.

2. 7. Pour être certain…

Pour être certain qu’un téléphone portable n’émet plus de signaux, il est conseillé de retirer la batterie du téléphone. En faisant ceci, on peut être rassuré que le GSM soit éteint et en plus, les changements techniques qui ont peut-être été introduits ne peuvent pas fonctionner sans électricité. Cependant il faut être vigilant. Certains fabricants ont annoncé vouloir mettre sur le marché des GSM qui peuvent fonctionner pendant un certain temps grâce à une deuxième batterie intégrée (pour effectuer des appels d’urgence etc.). Si possible il vaut donc mieux déposer le GSM quelque part et le reprendre après la réunion. Enlever sa batterie sans éteindre le téléphone au préalable peut-être une opération plus discrète car, sauf si il y a une tentative de connexion, l’opérateur (et donc la police) ne recevra pas le signal « coupure du téléphone ». On a vu des dossiers d’instructions dans lesquels le fait d’avoir coupé au même moment son téléphone était un indice fort de complicité.

3. Écoutes directes

3.1. Micros cachés

La pose de micros dans les appartements, voitures ou même lieux publics est une vieille pratique policière. Les policiers ont des scénarios bien rodés pour s’assurer des complicités (pour que les serveurs d’un restaurant posent eux-même un micro sous une table où discutaient des révolutionnaires italiens, les policiers ont affirmé qu’ils enquêtaient sur un réseau pédophile). Les photos ci-dessous montrent un micro avec un émetteur à ondes courtes de 300 mhz retrouvé dans un squat milanais, à l’intérieur d’un compteur électrique fermé et scellé.

3.2. Micros directionnels

Des micros directionnels amplificateurs permettent d’écouter à distance les conversations. Leur efficacité varie énormément selon les modèles et selon les ambiances. Certains modèles sont particulièrement discrets.

3.3. Caméras cachées

Ce qui est vrai des micros est aussi vrai des caméras. Voici une caméra cachée par la police chez des activistes à Bruxelles:

3.4. Vidéosurveillance

Certains réseaux de vidéosurveillance peuvent servir en direct à des filatures. C’est le cas du réseau de caméra de la SNCB qui est, avec plus de trois mille caméras, le plus grand système de vidéosurveillance du pays. Le Security Operation Center de la SNCB travaille 24h sur 24, et un poste de travail y est en permanence réservé à des policiers chargés de ’filer’ des suspects de caméra en caméra.

4. Autres techniques de filature IT

4.1. Surveillance par GPS

De la même manière qu’ils peuvent placer un micro dans une voiture, les policiers peuvent placer une balise GPS dans une voiture. Une simple balise GPS, dotée de sa propre batterie, peut-être cachée en quelques secondes sous la voiture, derrière un pare-choc, etc. Quand il est doublé d’un micro, le dispositif GPS est souvent relié à l’alimentation électrique via les fils de la lumière de l’habitacle intérieur (quand ce n’est pas directement aux fusibles). Le dispositif retrouvé par des militants en Italie était composé d’un téléphone portable modifié, d’une antenne, d’un GPS et d’un micro. L’ensemble était placé entre la carrosserie et le revêtement intérieur, et fixé à l’aide de deux aimants.

La surveillance des personnes par balise GPS est plus problématique. Des gadget pour VIP existent bien (ceintures contenant une balise GPS invisible) mais placer un tel dispositif à l’insu d’une personne est problématique.

4.2. Surveillance par marqueur RFID

La technologie RFID (radio frequency identification) permet de mémoriser et récupérer des données à distance en utilisant des marqueurs. Ces marqueurs sont des étiquettes ou des capsules, qui peuvent être collés ou incorporés dans des objets ou des organismes. Ils comprennent une antenne associée à une puce électronique qui leur permet de recevoir et de répondre aux requêtes radio émises depuis l’émetteur-récepteur.

C’est ainsi que la carte MOBIB ou le passeport biométrique sont « lus » par les bornes ad-hoc. Les puces RFID ont cet avantage de n’avoir besoin d’aucune alimentation. Cette médaille a aussi son revers: il est besoin d’un lecteur proche capable de communiquer avec la puce. Cela en limite l’usage policier. Ce qui n’empêche pas cette technique d’être utilisées par les « services ». Le département de la Défense US a découvert à plusieurs reprises chez des entrepreneurs du secteurs de la défense des pièces de monnaie dans lesquelles étaient insérées des traceurs RFID.

4.3. Surveillance par drones

Dernier moyen de surveillance hi-tech: le drone. Plusieurs polices européennes (France, grande-Bretagne…) ont fait des essais de drones comme substitut économique aux hélicoptères (notamment pour le contrôle des manifestations et la surveillance du trafic), et les seuls problèmes rencontrés sont les tourbillons d’air générés par les grandes villes et les risques de collision avec les immeuble qui en résultent. L’usage policier du drone reste cependant, en Europe, exceptionnel ou expérimental.

Il est cependant appelé à se développer, les drones devenant de plus en plus fiables. Les forces spéciales israéliennes emploient déjà de manière opérationnelle un petit drone silencieux capable de mener une filature de jour comme de nuit en milieu semi-urbain. Le « Ghost » est un drone silencieux d’environ 4 kg, ayant une portée de 4 km, 30 mn d’autonomie, une vitesse d’environ 60 km à l’heure. Il mesure 1m47 de long et le rotor 75 cm, est capable de pénétrer à l’intérieur de bâtiments par les fenêtres.