Vous connaissez peut-être Cryptocat, un service de communication chiffré parmi les plus faciles à utiliser et les plus sécurisés. Celui-ci ne nécessite pas de s’inscrire ou d’installer quoi que ce soit. Il a récemment eu une petite publicité puisque les journalistes qui ont publié le ‘swissleaks’ l’utilisaient.

Le créateur de Cryptocat, Nadim Kobeissi (cette création lui a valu d’être arrêté et interrogé en voyageant aux USA. Le FBI a également tenté de le piéger via Sabu qui avait piégé l’anarchiste Jeremy Hammond), vient de lancer un nouveau programme nommé ‘Peerio’, qui permet non seulement l’échange d’e-mails cryptés entre ses utilisateurs, mais également un stockage chiffré de bout-en-bout d’un 1Go, permettant d’envoyer de gros documents sensibles. Peerio fonctionne sur le même principe que PGP mais a simplifié grandement son utilisation.

Les avantages de Peerio sont nombreux : gratuit, pas de pub, chiffrés sur le trajet, sur le serveur. Peerio se définit lui-même comme réunissant le meilleurs des ‘deux mondes’ : cela ne sert à rien de protéger la route vers un data-center pas protégé, comme cela ne sert à rien de mettre ses données dans un data-center très bien protégé dont le fournisseur est le seul à avoir la clé. Avec Peerio , la connexion est sécurisée et les développeurs n’ont aucun accès aux données.
Il est à noter que Peerio a un autre énorme avantage : il est open-source et le code a été audité, ce qui signifie que le code a été vérifié.

Peerio est disponible sous la forme d’une application Chrome, ce qui signifie qu’il peut être utilisé via n’importe quel système d’exploitation bureau (Windows, OSx, Linux et Chrome OS). Les applications Android et iOS sont en construction et devraient être disponibles sous peu.

Peerio, le futur de la messagerie sécurisée ?

Peerio, le futur de la messagerie sécurisée ?

Depuis 1991, PGP (puis OpenPGP et GnuPG) est le système de chiffrement civil le plus efficace au monde. Son efficacité venant de son fonctionnement, il n’a pas subit d’énormes changements ces dernières années, il doit toutefois être maintenu, hébergé et protégé par des développeurs non-anonymes (pour être sûr de sa provenance), etc… En plus de son utilité pratique pour tous ceux qui se soucient de leur vie privée, GPG a inspiré et a été la base de très nombreux logiciels. Pourtant, malgré l’importance cruciale de ce logiciel pour l’existence même du net, l’unique développeur permanent de GPG mettait en garde (ici) les utilisateurs il y a quelques jours : moins d’un tiers de l’argent annuel nécéssaire au maintien de GPG a été récolté en 2014. Ceci mettant en péril l’existence de ce logiciel. Pourtant, au regard d’autres logiciels, il ne nécessite que 120.000$/an pour continuer à vivre. Ce cri d’alarme a retenti comme il le fallait : la ‘Core Infrastructure Initiative’ (une initiative de sécurisation des connexions OpenSSL sur internet regroupant les géants du net) a versé 60.000$, Facebook et Stripe ont chacun versé 50.000$ et finalement la Wau Holland Stiftung (une fondation proche du Chaos Computer Club) a versé 19.000€ et 57 bitcoins (un total de 34.000$). L’argent nécessaire est donc récolté, pour cette année.

On pourrait s’interroger sur la participation des géants du net dans le financement d’un tel logiciel, les raisons sont pourtant simples : ces sommes sont dérisoires pour eux (l’équivalent d’un gros serveur et d’un salaire de développeur), une petite publicité, mais c’est aussi simplement parce que malgré les discours hostiles au chiffrement informatique, internet ne peut -de par sa nature- tout simplement pas se passer d’un chiffrement fort et indéchiffrable.

Pour faire une donation à GnuPG, cliquez ici.

Werner Koch, le principal développeur de GnuPG.

Werner Koch, le principal développeur de GnuPG.

Les nouvelles conditions d’utilisation de Facebook s’appliquent maintenant. – à tout moment et sans demander votre permissionSi vous en tant qu’utilisateur acceptez les nouvelles conditions d’utilisation, vous autorisez Facebook à utiliser votre GPS, Bluetooth et wifi pour déterminer votre emplacement. Le site social pourra non seulement demander votre emplacement, mais en profiter aussi à des fins commerciales. Il n’y aura pas d’option pour garder votre emplacement secret.

Facebook pourra non seulement suivre ce que vous postez, ce que vous aimez, partagez, envoyez dans vos messages privés et ce que vous pensez des autres (tant sur le site que dans les applis Facebook et Messenger). Votre comportement de navigation, qui pourra être ‘suivi’ par Facebook. En outre, le réseau social saura quels appareils vous utiliserez: type, numéro de téléphone, fournisseur,… Et puis, il y a encore WhatsApp, Instagram, Oculus, l’appli de ‘fitness-tracking’ Moves, le service publicitaire vidéo LiveRail,…: toutes des entreprises que Facebook a englouties et dont il collecte par conséquent aussi les données des utilisateurs. C’est ainsi que WhatsApp transmettrait par exemple à qui et quand vous envoyez des messages.

Jeremy Hammond (a.k.a Anarchaos), hacker anarchiste qui avait piraté la base de données Stratfor et démontré la surveillance des groupes de gauche par cette compagnie de renseignements privée, faisait l’objet d’une inscription sur la liste TSC (Terrorist Screening Center). Cette liste émise par le FBI avertissait tout agent de police qui scannait la carte d’identité de Hammond de ne pas ‘prolonger la rencontre’ et de ne pas procéder à une arrestation s’il n’y avait pas d’infraction fédérale. Cette inscription soulève deux choses : que la définition de ‘terrorisme’ n’est pas clarifiée dans les textes de loi américains. Selon l’agence qui emploie le terme terrorisme, celui-ci peut être considéré comme ‘dangereux pour des vies humaines’, ‘dangereux pour la propriété ou les infrastructures’, ‘ayant pour but d’intimider la population civile’. Dans le cas de ce hacker qui dérobait des informations électroniques, ces définitions s’appliquent difficilement. En second lieu : il s’avérait en fait que Hammond allait être piégé par le FBI puisque c’est un informateur de l’agence fédérale, Sabu, qui a permis d’arrêter ce pirate informatique. Cette liste aurait donc permit de ne pas arrêter ‘Anarchaos’ avant qu’il ne procède à l’attaque informatique contre Stratfor.

Extrait de l’avis TSC

Extrait de l'avis TSC

Le Centre de la sécurité des télécommunications du Canada (CST) scrute des millions de documents, notamment vidéo, partagés en ligne chaque jour, a appris Radio-Canada grâce à des documents qui remontent à 2012 et font ainsi état de la situation à ce moment. On y apprend que le CST a espionné les partages de millions d’individus à travers le monde dans le cadre d’un programme de sécurité intitulé « Lévitation ». Des fichiers partagés par des Canadiens se sont retrouvés « par erreur » dans les lots de documents analysés. La loi interdisant à l’agence d’espionner des Canadiens, le CST soutient avoir mis en place des mécanismes pour protéger la vie privée de ses concitoyens contre ces intrusions.

Les analystes de l’agence peuvent scruter quotidiennement de 10 à 15 millions de fichiers partagés à partir de 102 sites Internet gratuits. L’agence de sécurité a notamment ciblé les sites de partage Rapidshare, Sendspace et Megaupload. Des 30 à 45 millions documents ainsi analysés chaque mois, seulement 350 d’entre eux sont dignes d’intérêt. Chaque geste posé (downloader ou uploader des fichiers de ces sites) est archivé, colligé et analysé.

Pour lire le document: http://fr.scribd.com/doc/253980511/Projet-Levitation

Canada: Information sur le programme d’espionnage du net

L’article ci-dessous est le dix millième paru sur le site du Secours rouge.
Nous remercions tous ceux qui ont rendu ces publications possibles en nous communiquant des liens, des infos, des communiqués etc.

Le site du Secours rouge va évoluer les mois qui viennent.
Notre système de publication est, au fil des années, devenu désuet et donc vulnérable. En changer demande du temps et du travail, et le récent piratage nous a surpris dans cette procédure.
Le fait que certaines fonctions restent inaccessibles depuis lors (recherches, albums…) est un choix: nous préférons activer le passage sur le nouveaux système plutôt que remettre complètement en fonction l’ancien (si tant est que les dégâts soient réparables).
Notre prochain site aura un nouvel hébergeur, un nouveau design, une nouvelle ergonomie, de nouvelles fonctions et aussi de nouvelles ambitions politiques.

10.000ème article sur notre site!

Nous vous avons déjà parlé de l’EFF (Electronic Frontier Foundation), une association anti-surveillance états-unienne qui publie régulièrement quantités de matériels utiles contre la surveillance en ligne. Dernièrement publiés, un detecteur de spywares gouvernementaux et un comparatif des niveaux de sécurité de toutes les grandes messageries en ligne. Voici une page depuis longtemps en ligne mais qui n’avait jamais été publiée ici : le ‘guide d’auto-défense à la surveillance’. Ecrit en anglais (en espagnol et en arabe pour certaines pages) et pour un contexte américain, mais largement utilisable ailleurs. Le guide contient tout ce qui est utile : analyse de risques, effacement sécurisé, chiffrement, communication sécurisée…

Pour consulter ce guide : cliquez-ici

Logo du guide de l’EFF

Logo du guide de l'EFF

Le site du ministère français de la défense a été inaccessible plusieurs heures mardi matin, puis de nouveau perturbé par intermittence en début d’après-midi. La technique utilisée serait “celle du déni de service distribué (DDoS)”, consistant à submerger les serveurs de requêtes pour les rendre inaccessibles ou les perturber. Le groupe Anonymous OpGPII a revendiqué sur Twitter cette attaque. Cette action aurait pour objectif de rendre hommage à Rémi Fraisse, le jeune écologiste tué par une grenade des gendarmes lors d’une manifestation contre la construction du barrage de Sivens.

Autour du 15 novembre 2014, l’ensemble du site qui hébergeait les archives du journal Cette Semaine (1992-2009) et les Brèves du désordre depuis 2003 a subi une attaque informatique massive. Le lien que nous avions établi à partir de notre page ‘contre-information’ était mort. Le site a été rétabli. On peut désormais retrouver l’ensemble ici :
– Site du journal Cette Semaine et ses annexes : cettesemaine.info
– Site des Brèves du désordre (2003-2013) : cettesemaine.info/spip
– Site des «nouvelles» Brèves du désordre (2013 à maintenant) : cettesemaine.info/breves

Lors d’une conférence du mythique Chaos Computer Club, des documents de la NSA ont été analysés par Jacob Appelbaum (l’un des architectes de TOR qui a déjà représenté Wikileaks dans le passé et a contribué à montrer les failles de Truecrypt et d’autres logiciels) et Laura Poitras (réalisatrice du film Citizenfour). (Voir la vidéo) On sait à peu près ce qui était indéchiffrable en 2012. La NSA pourrait avoir avancé en 2 ans, mais cela est peu probable.
Commençons par ce qui est déchiffrable : les connexions https et les connexions vpn. Pour le VPN, difficile de savoir si le piratage se fait au niveau du fournisseur ou bien du protocole. Difficile donc de savoir si des VPN comme celui de Riseup sont concernés. En 2012, la NSA craquait 20.000 connexions VPN par heure et 10 millions de connexions HTTPS par jour ! Tout ce qui concerne le chiffrement via les fournisseurs de services est également facilement attaquable pour la NSA : le projet d’implémentation de PGP à l’intérieur de Gmail par exemple sera un jeu d’enfants à déchiffrer.
Concernant TOR, ils ont du mal mais ils y arrivent : leur recette favorite étant de pirater directement l’ordinateur de la cible pour intercepter les données avant qu’elles ne transitent par TOR.
Du coté de l’indéchiffrable : c’est toujours PGP et OTR (Off the Record) qui sont les bêtes noires des services secrets. Truecrypt est également très solide, même si le projet a été abandonné (et reprit par d’autres équipes prometteuses comme Truecrypt.ch et Veracrypt).
On peut se sentir à l’abris de la NSA en Europe : mais l’enjeu est que si la NSA ne peut pas attaquer ces logiciels, il y a peu de chance qu’une autre agence y parvienne.

Pour bien choisir son outil de communication, voir l’infographie de l’EFF.