Nous recommandons régulièrement l’utilisation de l’application Signal et la considérons comme une alternative viable à PGP depuis qu’elle supporte l’envoi de pièces-jointes pesant jusqu’à 100Mo. Mais il est toujours compliqué d’envoyer des pièces-jointes plus lourdes. Mozilla, qui développe le célèbre navigateur Firefox et le client de messagerie Thunderbird vient de lancer Send, un projet expérimental qui ressemble fort à WeTransfer: il permet d’envoyer des pièces-jointes pesant jusqu’à 1Go, les liens expirent automatiquement après 24h ou après le premier téléchargement.

L’éditeur de logiciels Adobe a finalement posé une date pour la fin définitive du Flash Player. Ce logiciel existe depuis 1996 et est connu pour comporter énormément de failles de sécurité informatique. Ces failles ont longtemps servi les hackers, mais aussi les polices et gouvernements qui les utilisaient à des fins d’espionnage. Adobe Flash Player rejoindra d’autres véritables dangers publics d’internet récemment discontinués, comme Internet Explorer (remplacé par Microsoft Edge en janvier 2015). Les failles (mais aussi la lourdeur et la forte demande en ressources matérielles) avaient poussé de nombreux systèmes à limiter ou retirer le support de Flash: Apple OSx et iOS, Google Chrome, Mozilla Firefox,… pour le remplacer par des solutions HTML5. Le développement et la distribution du Flash Player seront complètement arrêtés dans l’année 2020.

Dans un précédent article, nous expliquions comment le gouvernement indonésien faisait pression contre Télégram pour les forcer à censurer les channels « hébergeant du contenu terroriste ». L’Indonésie avait bloqué la version web de l’application, comme un ultimatum avant le blocage de l’app mobile. Télégram à annoncé ce dimanche qu’il mettait une équipe spéciale en place, ayant la « connaissance de la culture et de la langue indonésienne » afin de « lutter contre le terrorisme ».

C’est pour nous l’occasion de recommander une fois de plus l’utilisation de l’application Signal à la place de toute autre application prétendant protéger la vie privée de ses utilisateurs. Les groupes Signal ne sont pas encore aussi ergonomiques que les channels Télégram, mais il est impossible de par leur structure de connaître leur existence, leur contenu, leurs intervenants, de les censurer,… En acceptant de coopérer, Télégram accepte de rechercher activement le contenu « illégal » et envoie le message qu’il est possible d’interférer dans une application qui utilise un modèle cryptographique fort. Dans les faits : une application comme Signal est incapable de censurer/fournir du contenu ou de dénoncer des utilisateurs. Elle n’a elle même aucune connaissance du contenu ou des utilisateurs.

Utilisez Signal.

Les 11 adresses permettant d’accéder aux versions web de l’application de messagerie Telegram ont été bloquées en Indonésie, une menace brandie par le Ministère des Communications et Technologies de l’Information qui annonce une mesure d’interdiction totale de l’application (mobile cette fois) si Telegram ne « cesse pas d’être un forum pour la propagande radicale et les militants violents ». La mesure est censée permettre à l’état indonésien de lutter contre Daesh, mais des millions d’Indonésiens n’ont plus accès à l’application web dans l’un des pays où elle est le plus utilisé.

Sortie habituelle de la nouvelle version de Tails. Plusieurs failles de sécurité ont été corrigées ainsi que plusieurs bugs non-critiques introduits dans la version 3.0. N’oubliez donc pas de mettre à jour Tails, soit via l’utilitaire de mise à jour automatique (qui démarrera automatiquement dans Tails), soit via la mise à jour manuelle si l’automatique ne fonctionne pas, soit en faisant une nouvelle installation. Tout est décrit ici.

L’équipe de Tails présente aujourd’hui la nouvelle version de Tails, la version 3.0. C’est la première version à être basée sur Debian 9. C’est une version majeure, et à ce titre il y a beaucoup de nouveautés visibles:
– Rafraichissement de l’expérience utilisateur pour le démarrage (toutes les options sont sur un seul écran.
– Rafraichissement de l’expérience utilisateur l’arrêt du système, l’écran devient complètement noir et est moins suspect.
– Rafraichissement du bureau (thème sombre de Gnome, plus moderne et plus discret).
– Tails tentera d’être synchronisé sur les dates de sortie de Debian (il parait d’ailleurs trois jours à l’avance puisque Debian 9 sort le 17 juin).
– Amélioration de la zone de notifications.
– Tails ne supporte plus les ordinateurs 32 bits.
– Icedove redevient Thunderbird.
– Et beaucoup d’autres mises à jour.

Suite aux rencontres de la communauté SPIP à Toulouse, des versions de maintenance ont été publiées le 9 juin. Il s’agissait des versions 3.0.26 (pour la branche 3.0.X)n 3.1.5 (pour la branche 3.1.X) et 3.2 (pour la branche beta). Un certain nombre de corrections de bugs ont été apportées (8 pour la 3.0, 25 pour la 3.1, 40 pour la 3.2). Pas de failles de sécurité selon l’équipe de Spip. Mais ce 12 juin, une nouvelle série de mises à jour a été publiée : 3.1.6 et 3.2 beta 3. La branche 3.0 n’est pas concernée par le problème. Le problème en question est une faille de sécurité plus ancienne.

Mettez au plus vite votre site à jour.

Un gestionnaire de mots de passe ne permet pas simplement de se souvenir de dizaines de mots de passe, il permet également d’en générer de nouveaux plus puissants sans avoir à se soucier de pouvoir s’en souvenir. Mais la majorité des gestionnaires de mots de passe est propriétaire (utilisant des technologiques fermées), payante, ou peu sécurisée. L’alternative la plus connue étant gratuite et open-source est Keepass, un logiciel à l’interface austère. De ce constat, deux développeurs finlandais ont créé Buttercup, un gestionnaire de mots de passe chiffré et open-source. Des clients existent déjà pour Windows, Mac et Linux et des applications pour iOS et Android sont en cours de développements. Il existe également des extensions pour Chrome et Firefox afin que les mots de passe soient automatiquement « tapés » au besoin. Le gestionnaire peut sauvegarder un conteneur de mots de passe localement sur un ordinateur ou le stocker dans le cloud. Le protocole WebDAV est supporté nativement ainsi que les services OwnCloud et Dropbox. Les développeurs sont très réactifs concernant la résolution des bugs. Buttercup est écrit en NodeJS.

Un logiciel à essayer ici.

Au moins deux nouvelles armes faisant usage de la faille ‘ETERNALBLUE’ de la NSA ont été répertoriées. « Au moins », car ces attaques ne sont pas toujours aussi visibles que l’attaque Wannacry (voir notre article). Preuve en est, l’une de ces deux attaques, répandant le virus ‘Adylkuzz’ a été perpétrée avant Wannacry, elle a commencé entre le 24 avril et le 2 mai dernier. Elle n’a pas été tout de suite détectée car ce n’était pas un ransomware comme Wanacry (exigeant de l’utilisateur une rançon contre ses données) mais un crypto-miner, c’est à dire un logiciel qui « fabrique » de la monnaie virtuelle, en l’occurence du Monero (une autre monnaie comparable au bitcoin). Les hackers infectent donc des milliers d’ordinateurs pour les intégrer à leur parc informatique et augmenter leur puissance de calcul. Ce fonctionnement n’est pas aisément détectable par l’utilisateur, hormis le fait que son ordinateur est lent car concentré à sa tâche de minage. Cette attaque est beaucoup plus rentable pour les hackers (jusqu’ici, Wannacry n’a récolté que 80.000$), sans pour autant provoquer un vent de panique générale.

Passons à la troisième attaque, UIWIX, qui rassemble le pire des deux premiers. UIWIX est un ransomware, et il utilise la faille ETERNALBLUE de la NSA, mais il n’est pas basé sur le code de Wannacry, c’est un tout autre ransomware. Il est ‘fileless’, ce qui signifie qu’il ne s’installe pas dans le disque dur de la cible mais dans sa mémoire vive, rendant sa détection difficile. Il infecte via une DLL (entrée dans la base de registre de Windows) et non via un fichier exécutable. Qui plus est, UIWIX s’auto-détruit s’il détecte qu’il est dans une machine virtuelle, ceci afin d’éviter d’être analysé. Les éditeurs d’anti-virus installent en effet des « honeypots » (des appâts à virus, « pots de miel » littéralement) afin de détecter les nouvelles menaces. Enfin, contrairement à Wannacry, UIWIX ne dispose pas d’un killswitch qui permet de désactiver sa propagation.

La bonne nouvelle: c’est que ces trois virus utilisent la même faille ETERNALBLUE. Si vous avez entrepris de vous protéger contre Wannacry, vous êtes déjà protégés de ces héritiers. En revanche, si vous n’êtes pas encore protégés, voici les simples étapes à entreprendre.

1. Quelque soit votre version de Windows: démarrez Windows Update (menu démarrer, tapez « update » ou « mise à jour »), et faites une mise à jour. Ouvrez votre antivirus et vérifier que sa base de données a été mise à jour récemment (durant les trois derniers jours).
2. Si vous êtes sous Windows 10, vous êtes à priori protégés. Microsoft avait bouché cette faille il y a plusieurs mois.
3. Si vous êtes sous Windows XP, 2000 ou Vista, il est temps de passer à un système moderne. Windows 10 est bien plus sécurisé que ces prédécesseurs. Certes, il n’est pas respectueux de la vie privée de ses utilisateurs, mais aucune version de Windows ne l’est.
4. Enfin, vous pouvez fermer le service SMB de Windows qui est utilisé par la faille ‘ETERNALBLUE’. Pour celà: « Panneaux de configuration » -> « Programmes et fonctionnalités » -> « Activer ou désactiver des fonctionnalités Windows », et décocher la case correspondant au service SMB (le service SMB vous est inutile si vous n’utilisez pas le réseau local, voir SMB sur Wikipedia).

L’application de messagerie sécurisée Signal est à présent approuvée pour une utilisation par les sénateurs états-uniens. Des recommandations technologiques sont régulièrement faites aux sénateurs pour protéger leurs communication d’un éventuel espionnage. Cette approbation vient s’ajouter à la longue liste d’arguments pour l’utilisation de Signal. L’utilisation de Signal est encouragée par Snowden, son fonctionnement est encensé par les cryptographes les plus aguerris, la puissance de son protocole de chiffrement est utilisée par Google, Facebook et Whatsapp (entre autres). Son utilisation est simple, intuitive et ludique. Signal est censuré dans les dictatures de la péninsule arabique et du Maghreb et a contourné cette censure en moins de trois jours grâce à des développeurs extrêmement réactifs. Lorsque les e-mails de Hillary Clinton ont été piratés, son équipe est passée à Signal. Nous avons déjà exposé les failles de Telegram sur ce site, Signal n’en souffre pas. Signal est open-source et gratuit. Les appels audios et vidéos sont de plus en plus rapides et sans latence. L’application permet désormais d’envoyer n’importe quel type de pièce-jointe de moins de 100Mo. Vous l’avez compris, nous vous encourageons à utiliser cette application dès à présent et à encourager son utilisation.

Pour télécharger Signal, rendez-vous sur signal.org