Pour aider la police à détecter des individus recherchés, les entreprises entreprises de biométrie développent des algorithmes de plus en plus évolués qui vont servir non seulement à identifier des personnes mais également à les suivre grâce aux caméras déjà déployées. L’explosion du volume de données de vidéosurveillance a d’ailleurs amené Morpho (1,5 milliard d’euros de chiffre d’affaires en 2014 dont 8% consacré à la R&D), filiale de Safran spécialisée dans les solutions biométriques, a développé un outil qui va aider les enquêteurs à trier et classifier les informations.

Baptisé Morpho Vidéo Investigator, celui-ci peut traiter plusieurs centaines d’heures de vidéo en quelques heures grâce à des algorithmes d’analyse automatique de vidéos. Lesquels sont conçus pour détecter, enregistrer et classifier les éléments en mouvement contenus dans les images. Il s’agit du premier logiciel de tracking biométrique associé à des indices multifactoriels. Il devrait être commercialisé cette année avec un premier déploiement aux Etats-Unis.

Technologie Morpho (groupe Safran)

Ces derniers jours, Apple a refait parler de lui pour avoir refusé de fournir une backdoor au FBI (voir notre précédent article) dans une affaire de terrorisme. L’iphone est -apparemment- incrackable car il superpose une seconde sécurité au-delà du code à 4 chiffres: s’il est erroné 10 fois, le contenu du téléphone est effacé. Si un ordinateur peut tester très rapidement les 10.000 combinaisons possible, c’est impossible dans ce cas.

Un engin nommé « IP Box » et utilisé sous le manteau chez certains réparateurs de téléphone permet de contourner cette sécurité. La machine introduit un code et détecte selon le changement de luminosité de l’écran si le code est erroné, si c’est le cas, la machine redémarre l’iphone avant que celui-ci n’ait pu enregistré dans sa mémoire qu’un code erroné avait été introduit, il est donc incapable de compter jusqu’à 10. Cette technique a son inconvénient, elle est extrêmement lente puisqu’il faut redémarrer le téléphone, ce qui prend environ 40 secondes. Il faut donc 4 jours et demi pour venir à bout de toutes les possibilités. Il y a un moyen assez simple de se prémunir contre l’IP Box, il suffit simplement de choisir un code qui contient plus de chiffres: pour cracker un code à 7 chiffres (10.000.000 de possibilités) il faudrait ainsi 12 ans et demi. Devant cette info -qui date en fait de mars 2015- la lettre que Tim Cook a écrit il y a quelques jours semble bien faible vu qu’il parait peu probable que le FBI ne connaisse pas l’existence d’un tel engin.

Mise à jour: Sans la fonction « d’autodestruction » qui détruit les données après 10 essais erronés, il est tout de mème -à priori- difficile de tenter toutes les possibilités puisque Apple prétend ralentir volontairement le procédé pour qu’un essai prenne 80 millisecondes, quelque soit la puissance de la machine de l’attaquant. Dans ce cas de figure, il faut un code pin à 11 chiffres. Il faudrait alors 253 ans pour tester toutes les possibiltiés (et 127 ans en moyenne compte tenu du fait que le bon pin peut tomber plus tôt que prévu.

Plus d’informations sur The Intercept (journal fondé par Glenn Greenwald)

Dans ses plans « anti-terroristes », Facebook propose à présent d’offrir des espaces publicitaires gratuitement à ceux qui « discréditent les discours extrêmistes ». Ceux qui partageront des contenus textuels, des images ou des vidéos contre le « terrorisme » pourront recevoir gratuitement 1.000$ de crédit sur la plateforme de pub du réseau social.

Facebook présente

L’année dernière, Apple était cité dans une affaire de stupéfiants dans un tribunal new-yorkais (voir notre article) pour avoir refusé de déchiffrer l’iphone de l’accusé. Hier soir, Tim Cook publiait une « Lettre à ses consommateurs » pour expliquer le « conflit » qui l’oppose au FBI dans un dossier terroriste cette fois. Le FBI a demandé à Apple de fournir un logiciel qui serait capable de déchiffrer le seul iphone du tueur de San Bernardino. Apple se défend en affirmant que le chiffrement ne peut être craqué et que si la firme fournissait un outil pour cracker « ce seul iphone », elle mettrait en péril la sécurité de tous ses clients.

Comme toujours, impossible de savoir ce qui est vrai de ce qui est faux (Snowden avait lui-même évoqué les pleurnicheries des espions américains alors qu’ils avaient accès à tout les systèmes qu’ils souhaitaient infiltrer). Que les iphones soient inviolables ou pas (comme nous vous le disions dans un précédent article, ils sont en tout cas vulnérables), c’est une opération de pub réussie pour Apple.

EDIT: En fait, il est déjà possible de cracker les iphones…

Pour répondre à la menace que constituerait les drones pour la sécurité de certains sites sécurisés tels que des terrains d’entraînement de l’armée ou les centrales nucléaires, la police néerlandaise forme plusieurs aigles à l’interception de drones en plein vol. Pour ce faire, elle a travaillé avec une firme spécialisée dans l’entraînement des oiseaux de proie, Guard From Above, qui a entraîné les rapaces de la police néerlandaise à intercepter des drones sans les abîmer, afin que les propriétaires du drone puissent être identifiés. Les spécialistes de Guard From Above étudient la possibilité de concevoir des prothèses permettant de protéger les griffes des aigles des hélices des drones.

L’aigle interceptant un drone

Difficile de savoir si c’est un bug involontaire ou un fonctionnement délibéré (la première option étant plus probable vu que le mode « Navigation privée » n’est pas vraiment efficace quoi qu’il arrive pour se protéger face à la répression), mais il s’avère que le mode ne « Navigation privée » de Microsoft Edge, le navigateur qui a succédé au détestable Internet Explorer, n’est pas du tout efficace.

Le mode de navigation privée est une fonctionnalité qui est aujourd’hui présente sur tous les navigateurs web modernes, et qui permet tant qu’il est ouvert de ne conserver aucune donnée sur l’ordinateur (historique, cookies, recherches,…) sauf que celui de Edge stocke les données dans le dossier WebCache de l’ordinateur. Pire encore, les fichiers ouverts en navigation privée sont spécifiquement marqués (pour pouvoir être réouverts en cas de crash, un non-sens absolu). Pire encore, si la synchronisation de fichiers de Windows est activée, cette historique sera synchronisée entre tous les ordinateurs connecté à l’identifiant Microsoft de l’utilisateur. Microsoft a été mis au courant du bug et a promis de le régler. En attendant, mieux vaut utiliser le mode de navigation privée de Firefox.

Le mode de navigation pas du tout privée de Microsoft Edge

Il y a un an, nous vous avions parlé d’une nouvelle application de messagerie et de stockage cloud, le tout chiffré. Peerio était le dernier né du jeune cryptographe libanais Nadim Kobeissi, à qui l’on doit notamment l’application Cryptocat.

Peerio était très prometteur car simple, attrayant, multi-plateforme et qu’il amenait avec lui Nadim Kobeissi comme une « guarantie » (si cela pouvait exister en sécurité informatique). Malheureusement, après quelques semaines le projet a tourné court: Kobeissi claque la porte. La direction de Peerio avait prévu comme business model de fournir Peerio gratuitement, mais de vendre des versions « privées » aux entreprises. Lors de l’une des premières entrevues avec une entreprise, celle-ci demande immanquablement s’il est possible de mettre une backdoor dans l’application, ce à quoi la direction de Peerio acquiesce. C’est à ce moment que Kobeissi, le cryptographe de Peerio, quitte le navire. Comme nous l’apprennent les récents événements, ll ne sera pas remplacé par quelqu’un à sa hauteur.

Il y a quelques jours, Cure53, une boite de pentesting (sécurité IT) berlinoise a rendu ses conclusions au sujet de Peerio, et de nombreuses failles (17 dont deux graves) ont été découvertes dans le code. L’une des failles est particulièrement grave puisqu’elle concerne directement le code critique de chiffrement en y utilisant la fonction javascript eval();. Ce qui permet d’exécuter une attaque XSS en envoyant un message à la cible.

Le rapport de Cure53 peut être consulté à cette adresse. Une alternative viable, grand publique, « approuvée par Snowden » et déjà utilisée par de nombreux militants semblent être l’application Signal de Whisper System. Cette dernière a récemment été publiée en tant qu’application Chrome (à la manière de Peerio). Et bien évidemment PGP, qui n’est pas prêt de céder à des failles aussi énormes.

Faille critique dans le code de Peerio.

De très nombreux militants connaissent le site riseup.net qui fournit depuis de nombreuses années des outils internet aux révolutionnaires. Après les adresses e-mails, les listes de diffusion (que nous utilisons par exemple pour notre newsletter), les VPN et les outils de collaboration bureautique, Riseup vient aujourd’hui de faire sortir « We Riseup » de sa beta, considérant ainsi que le logiciel est assez mature pour être utilisé par tous.

We Riseup est basé sur le logiciel « Crabgrass » également développé par Riseup. Pour le définir simplement, Crabgrass reprend de nombreuses fonctionnalités qu’offrent aujourd’hui les réseaux sociaux. Il est prévu pour servir d’outils aux divers groupes politiques en offrant des fonctions de travail collaboratif et de réseautage. Des dizaines de milliers de personnes l’utilisent déjà à l’heure actuelle.

Comme avec toute technologie internet: il faut se rappeler de ne jamais l’utiliser pour quelque chose de sensible. Riseup souligne qu’il n’y a pas de chiffrement coté client (et qu’il n’en existe à l’heure actuelle pas d’assez fiable que pour l’utiliser) et qu’il faut se comporter comme si Riseup pouvait accéder aux données. Notons également que les comptes de « We Riseup » sont indépendants des autres services de Riseup, il faudra donc créer un nouveau compte.

Riseup Crabgrass

Rejoignant Google, Facebook et Twitter, Microsoft a également annoncé qu’il préviendra les utilisateurs de son service d’e-mails, Outlook, si ceux-ci sont espionnés par un état. Comme pour les trois cas précédents, impossible de vérifier la sincérité de la firme bien connue pour mettre son nez dans les ordinateurs de ses clients.

Seul Twitter a, à l’heure actuelle, prouvé sa bonne fois en prévenant plusieurs militants des libertés numériques, dont plusieurs français, qu’ils étaient espionnés.

L’un des utilisateurs de Twitter espionné

La société de robotique Boston Dynamics, émanation du MIT qui avait été rachetée par Google à la fin de l’année 2013, avait proposé le robot tout-terrain LS3 à l’armée américaine. Après 5 années de test, les Marines viennent de recaler l’engin, jugé trop bruyant pour des missions militaires.

Le LS3 (a.k.a AlphaDog) avait été conçu et proposé par Boston Dynamics avait été conçu avant que la firme ne soit rachetée par le géant du net, il était capable de porter 180kilos de matériel sur 30 kilomètres pendant 24h. Il était également capable de se déplacer dans des terrains très accidentés, de suivre des militaires, de se déplacer via GPS, etc…

Les robots conçus par Boston Dynamics après qu’elle ait été rachetée par Google, comme Spot et Wildcat, ne sont pas moins effrayants.

Le robot LS3