16/01/2016

Internet: Peerio est compromis

Il y a un an, nous vous avions parlé d’une nouvelle application de messagerie et de stockage cloud, le tout chiffré. Peerio était le dernier né du jeune cryptographe libanais Nadim Kobeissi, à qui l’on doit notamment l’application Cryptocat.

Peerio était très prometteur car simple, attrayant, multi-plateforme et qu’il amenait avec lui Nadim Kobeissi comme une « guarantie » (si cela pouvait exister en sécurité informatique). Malheureusement, après quelques semaines le projet a tourné court: Kobeissi claque la porte. La direction de Peerio avait prévu comme business model de fournir Peerio gratuitement, mais de vendre des versions « privées » aux entreprises. Lors de l’une des premières entrevues avec une entreprise, celle-ci demande immanquablement s’il est possible de mettre une backdoor dans l’application, ce à quoi la direction de Peerio acquiesce. C’est à ce moment que Kobeissi, le cryptographe de Peerio, quitte le navire. Comme nous l’apprennent les récents événements, ll ne sera pas remplacé par quelqu’un à sa hauteur.

Il y a quelques jours, Cure53, une boite de pentesting (sécurité IT) berlinoise a rendu ses conclusions au sujet de Peerio, et de nombreuses failles (17 dont deux graves) ont été découvertes dans le code. L’une des failles est particulièrement grave puisqu’elle concerne directement le code critique de chiffrement en y utilisant la fonction javascript eval();. Ce qui permet d’exécuter une attaque XSS en envoyant un message à la cible.

Le rapport de Cure53 peut être consulté à cette adresse. Une alternative viable, grand publique, « approuvée par Snowden » et déjà utilisée par de nombreux militants semblent être l’application Signal de Whisper System. Cette dernière a récemment été publiée en tant qu’application Chrome (à la manière de Peerio). Et bien évidemment PGP, qui n’est pas prêt de céder à des failles aussi énormes.

Dossier(s): Archives Sécurité IT Tags: Internet, Technique de répression

13/01/2016

France/Internet: Wikipédia bloque le Ministère de l’Intérieur pour « vandalisme » et « foutage de gueule »

L’encyclopédie en ligne Wikipédia peut être éditée par n’importe qui. Elle est toutefois conçue de façon à ce qu’un article mensonger ou modifié à la faveur/défaveur subjective d’une page soit rapidement détecté par la communauté. Si une personne « vandalise » donc trop souvent des articles en les modifiant à ses fins propres, elle peut être bannie pour une certaine durée.

C’est la mésaventure qui vient d’arriver au Ministère de l’Intérieur français. Le compte qui en émanait a apporté 4.000 modifications à des pages depuis 2007 dont une bonne partie contenaient des grossièretés ou des irrégularités. Le compte a déjà été bloqué huit fois depuis 2008 pour des durées allant de trois jours à un mois. On sait par exemple que la page concernant le préfet de police Bernard Boucault avait été raccourcie, que la page concernant « Wikipédia » lui-même avait été recouverte d’insultes. Une liste non-exhaustive est disponible sur la page de discussion qui a abouti à l’expulsion du « vandale ».

L’adresse IP utilisée étant celle du Ministère, plus aucune modification ne pourra avoir lieu depuis ce lieu pendant un an. Le cas se présente habituellement pour des collèges où les élèves s’amusent à modifier les pages Wikipédia, la sanction concerne dans ce cas également l’établissement entier. C’est l’administrateur « Jules78120 » qui a posé le geste final pour bloquer l’adresse IP 212.234.218.196, en soulignant que le Ministère se permettait en plus de pister ceux qui lui faisaient des remarques et d’inventer des règles fantaisistes alors même qu’il était découvert… Le Ministère de l’Intérieur n’a pas souhaité réagir à la polémique pour l’instant.

Dossier(s): Archives France - Autres sujets Tags: France, Internet, Technique de répression

11/01/2016

USA/Tech: Des robots-flics luttent contre le crime dans la Silicon Valley

Si les robots tueurs ne sont pas encore une réalité, de plus en plus d’appareils autonomes ou semi-autonomes rejoignent les rangs des forces de l’ordre à travers le monde. Dernier en date, le K5 Security Robot produit par la firme Knightscope de Palo Alto. Ces robots autonomes de 137kg patrouillent déjà dans les rues de la vallée des startups afin de dissuader et de récolter des données. Bardés de capteurs et d’une vision 360°, ils réagissent particulièrement aux bruits « suspects » comme des coups de feu ou des bruits de vitre, auxquels cas ils enregistreront tout ce qui passent par leurs capteurs: reconnaissance faciale des personnes à proximité, plaques d’immatriculation, photos, vidéos,…

Toutes les données récoltées par les K5 sont disponibles via une plateforme en ligne accessible à la police. Les robots sont mis en location en tant que MaaS (Machine as a Service) pour 4.500$ par mois. Patrouillant 24h/24 et 7j/7, ces machines « travaillent » donc pour 6.25$ de l’heure.

K5 est disponible depuis décembre 2013 et était déjà utilisé au quartier-général de Microsoft, dans des universités,…

Dossier(s): Amérique du Nord Archives Tags: Etats-Unis, Technique de répression

05/01/2016

Internet: Microsoft annonce qu’il préviendra les utilisateurs d’Outlook s’ils sont espionnés

Rejoignant Google, Facebook et Twitter, Microsoft a également annoncé qu’il préviendra les utilisateurs de son service d’e-mails, Outlook, si ceux-ci sont espionnés par un état. Comme pour les trois cas précédents, impossible de vérifier la sincérité de la firme bien connue pour mettre son nez dans les ordinateurs de ses clients.

Seul Twitter a, à l’heure actuelle, prouvé sa bonne fois en prévenant plusieurs militants des libertés numériques, dont plusieurs français, qu’ils étaient espionnés.

Dossier(s): Archives Sécurité IT Tags: Internet, Technique de répression

04/01/2016

Tech: Les robots de Google ne sont pas encore prêts pour la guerre

La société de robotique Boston Dynamics, émanation du MIT qui avait été rachetée par Google à la fin de l’année 2013, avait proposé le robot tout-terrain LS3 à l’armée américaine. Après 5 années de test, les Marines viennent de recaler l’engin, jugé trop bruyant pour des missions militaires.

Le LS3 (a.k.a AlphaDog) avait été conçu et proposé par Boston Dynamics avait été conçu avant que la firme ne soit rachetée par le géant du net, il était capable de porter 180kilos de matériel sur 30 kilomètres pendant 24h. Il était également capable de se déplacer dans des terrains très accidentés, de suivre des militaires, de se déplacer via GPS, etc…

Les robots conçus par Boston Dynamics après qu’elle ait été rachetée par Google, comme Spot et Wildcat, ne sont pas moins effrayants.

Dossier(s): Archives Techniques de la répression Tags: Etats-Unis, Technique de répression

04/01/2016

Belgique: Le niveau d’alerte pour la police descend d’un cran

Le niveau d’alerte antiterroriste de l’OCAM (Organe de Coordination et d’Analyse de la Menace) a été abaissé du niveau 3 au niveau 2 sur une échelle qui en compte 4, pour ce qui concerne « la menace » envers policiers et militaires. Le niveau 3 reste en vigueur sur « l’ensemble du territoire » mais surtout pour les lieux à forte concentration.

Dossier(s): Archives Belgique - Autres sujets Tags: Belgique, Technique de répression

03/01/2016

Technologie: Apple a produit les logiciels les plus vulnérables de 2015

Contrairement à ce que sa réputation laisse entendre, les logiciels d’Apple comportent de nombreuses failles de sécurité. Un classement des logiciels ayant eu le plus de failles pour l’année écoulée donne aux deux produits phares de la pomme (OSx et iOS) des scores plus déplorables encore que ceux d’Adobe Flash (pourtant largement considéré comme la passoire la plus utilisée au monde).

Selon le site CVE Details qui archive les failles de sécurité découvertes, OSx arrive en tête du classement avec 384 failles, suivi de près par son cousin mobile iOS qui fait 375 failles. Les mauvais élèves habituels Adobe Flash, Adobe Air et Internet Explorer complètent le top 5 avec respectivement 316, 246 et 231 failles chacun. Enfin, Google Chrome (187 failles), Mozilla Firefox (178 failles), Windows Server 2012 (155 failles), Ubuntu (152 failles) et Windows 8.1 (151 failles) complètent la liste des logiciels ayant eu le plus grand nombre de failles rapportées.

Le classement par éditeur met lui aussi Apple dans l’embarras: Apple (654 failles), Microsoft (571 failles), Cisco (488 failles), Oracle (479 failles), Adobe (460 failles), Google (323 failles), IBM (312 failles), Mozilla (188 failles), Canonical (153 failles), Novell (143 failles).

Points positifs pour la sécurité informatique en cette année 2015: la mort annoncée d’Adobe Flash (au profit des technologies HTML5) et d’Internet Explorer (au profit de Microsoft Edge) qui, eux, justifiaient pleinement leur réputation de dangers publics.

Ces chiffres annoncent une fois de plus l’importance de mettre à jour ses logiciels, puisque les failles informatiques sont largement utilisées par les services de police et de renseignements pour espionner les internautes.

Dossier(s): Archives Sécurité IT Tags: Internet, Technique de répression

30/12/2015

France/Tech: ECA promet des robots « humanoïdes » sur les champs de bataille dés 2020

ECA Dynamics, une alliance entre la firme française d’équipements militaires automatisés ECA Group et Wandercraft, autre firme française qui projette de fabriquer des exosquelettes pour personnes handicapées, vient de présenter à la Direction Générale de l’Armement un projet de robot censé ressembler à un humain et prêter assistance aux militaires en opérations. Comme on peut le voir dans la bande-annonce, les robots portent les sacs à dos d’hommes armés tout en se déplaçant sur la pointe des pieds. Un premier prototype de l’engin en question est censé être présenté en 2016-2017 pour une mise en service prévue en 2020-2025.

Dossier(s): Archives France - Autres sujets Tags: France, Technique de répression

30/12/2015

Internet: L’erreur 451 remplacera l’erreur 404 en cas de censure

Tous les internautes connaissent « l’erreur 404 » affichée par un site lorsqu’une page demandée n’existe pas ou plus. L’IESG (Internet Engineering Steering Group) qui crée la plupart des standards d’internet vient d’émettre une notice pour standardiser le genre d’erreur qui doit être affichée lorsqu’une page est inaccessible pour des raisons légales et qu’elle est bloquée par les autorités. Auparavant, dans un pareil cas, c’était soit l’erreur 404 qui s’affichait, soit l’erreur 403 (contenu interdit pour le visiteur qui affiche la page), ce pourra dorénavant « l’Erreur 451 », dont le nom ne doit rien au hasard: il est inspiré du roman de Ray Bradbury « Fahrenheit 451 », tirant lui-même son nom de la température de combustion du papier.

Notons que dans le cas où un site n’aurait pas l’autorisation de préciser qu’un contenu a été censuré, il affichera probablement une erreur 404.

Dossier(s): Archives Sécurité IT Tags: Internet, Technique de répression

28/12/2015

USA: Le successeur du Humvee à l’épreuve des IED

C’est Oshkosh Defense, une branche d’Oshkosh Corporation, basée dans le Wisconsin et spécialisée dans la fabrication de véhicules militaires qui produira pour 26 milliards d’euros le JLTV (Joint Light Tactical Vehicle) qui remplacera progressivement le classique Humvee (connu au civil sous le nom de Hummer), utilisé depuis 1989. Les militaires déploraient que le blindage de leurs Humvee ne les protégeaient pas des innombrables embuscades à l’IED essuyées en Irak et en Afghanistan. Le JTLV aura une armure protectrice de tank léger lui permettrait de résister à ces attaques. Au total, l’armée américaine pourrait commander à Oshkosh pas moins de 50.500 véhicules pour l’armée de terre, et 5.500 pour les marines.

Dossier(s): Amérique du Nord Archives Tags: Etats-Unis, Technique de répression