Préambule : bonjour tout le monde, j'ai écrit cet article il y quelques jours (NdM: sur son blog, puis republié par Reflets.info), j'en profite pour le partager avec vous. La version originale possède énormément de liens et je ne peux pas tout mettre ici, vous avez le lien vers l'article en question en bas de la page.

En 1988, on commença à parler du programme Echelon ; vient ensuite Frenchelon ; et bien sûr le lanceur d'alerte Edward Snowden. La Quadrature du Net a mis en place le site nsa-observer pour regrouper les infos. Dans la suite de la dépêche, un petit tour d'horizon rapide de ce site.

GNUnet est un framework sous licence GPL pour le réseau peer-to-peer (pair à pair) sécurisé éponyme. Le réseau GNUnet est complètement décentralisé et ne repose sur aucun service centralisé de confiance. Le but de ce projet est de fournir une base logicielle solide pour construire un réseau global sécurisé, notamment en ce qui concerne l’anonymat.

La particularité de GNUnet par rapport aux autres réseaux peer-to-peer est qu’il place la barre très haut au niveau de la sécurité et de l’anonymat. Le réseau est ainsi conçu pour fonctionner dans un monde où un adversaire pourrait voir l’ensemble du traffic sur Internet, et possèderait beaucoup de nœuds traîtres dans le réseau, pouvant ainsi voir bon nombre des échanges entre les nœuds innocents. Bref, pas si loin de la réalité.

Merci aux participants de cette dépêche collective, c.-à-d. ack, Adrien Dorsaz, alendroi, Anthony Jaguenaud, BAud, baud123, Bruce Le Nain, deor, etbim, fabienwang, Florent Zara, frayd, gUI, HLFH, j, jcr83, jeberger, Jiehong, Laurent Pointecouteau, lenod, M5oul, Mildred, Nicolive, nullard3d, Nÿco, olivierweb, palm123, SidStyler, SKy, tetraf, Thom, titiii, tux-tn, ver2terre, Viish, Vincent Gay, vlamy, Xinfe et Yves Bourguignon

Aujourd'hui, le net est occupé en grande partie par les services de grosses entreprises privées. Ceci pose de nombreux problèmes : logiciels privateurs, centralisation des données, pistage permanent, censure, exploration de données, dépendance à des tiers, etc.

Cette série décrit (et critique) des alternatives soit utilisables en auto-hébergement, soit via des services basés sur des logiciels libres. Dans cette première dépêche, nous allons nous intéresser aux moteurs de recherche. Les commentaires sont là pour préciser des oublis ou corriger les éventuelles erreurs.

Le Parlement français cherche-t-il à légaliser un dispositif de surveillance de masse d'Internet au détour d'un projet de loi sur l'armée ? C'est la question qui agite de plus en plus d'associations et journalistes spécialisés, après que plusieurs d'entre eux se sont alarmés du contenu de l'article 13 du projet de loi de programmation militaire, actuellement examiné par le Parlement.

En cause, la possibilité donnée aux services de renseignement de collecter en temps réel les informations et documents transitant sur les réseaux électroniques…

Voici la suite des « études » des leaks (fuites) de Snowden menées pour NSA-Observer. Dans cet article, nous allons revenir sur les révélations du Spiegel datant de fin décembre lors du 31c3 (Chaos Computer Congress) et du 17 janvier 2015 portant sur les moyens offensifs de la NSA ainsi que d'autres agences concernant la cryptographie.

La conférence « Reconstructing narratives » de Laura Poitras et Jacob Appelbaum présentant ces documents est visible ci-dessous (mais aussi sur le site du CCC) :

• mp4
• webm

BULLRUN, qu'est ce que c'est ?

BULLRUN est un « programme » de la NSA exploitant différents moyens pour accéder à du contenu chiffré. Le New York Times avait abordé le sujet fin 2013 dans son article « Secret Documents Reveal N.S.A. Campaign Against Encryption » mais sans aucun détail (comme The Guardian ou encore propublica).

Whonix est un système d'exploitation qui met l'accent sur l'anonymat, la confidentialité et la sécurité. Il est basé sur Tor, Debian GNU/Linux et la sécurité par l'isolement. Les fuites DNS sont impossibles, et même des malwares avec des privilèges root ne peuvent pas trouver l'IP réelle de l'utilisateur.

Whonix se compose de 2 machi­nes vir­tuel­les. La pre­mière appelé Whonix-Gateway fait tour­ner Tor et tient le rôle de pas­se­relle vers le net. La seconde appelé Whonix-Workstation est celle que l’uti­li­sa­teur aura devant les yeux et a la par­ti­cu­la­rité d’être tota­le­ment isolée sur le réseau. Seules les connexions à tra­vers Tor sont pos­si­bles.

La sécurité et la vie privée sont des sujets de plus en plus récurrents et sensibles, maintenant aussi aux yeux de la presse généraliste et du grand public depuis les informations fournies par Edward Snowden. Le flot continu de révélations ne calmera pas la situation de sitôt. Mais il n'y a pas que E.Snowden qui fait l'actualité en sécurité informatique, c'est aussi la faille Heartbleed dans OpenSSL et son impressionnante taxonomie, la fin de la liste Full Disclosure, etc. l'actualité sur le sujet ne manque pas. Si tout n'est pas parfait chez LinuxFr.org, nous tâchons de montrer l'exemple. Pour vous inciter à partager encore plus sur le sujet, nous vous proposons de gagner un des trois exemplaires du livre Hacking, sécurité et tests d'intrusion avec Metasploit (édité par Pearson), en espérant aussi que cela vous sensibilisera et vous permettra de monter en compétence sur ces sujets essentiels.

Bonne chance !

En juin 2013, Edward Snowden, un informaticien de 30 ans travaillant à l’agence de sécurité américaine (NSA) a révélé des informations top secrètes concernant les programmes de surveillance américains à travers les journaux Guardian et Washington Post. Ces révélations distillées au compte-goutte par les médias ont été un choc pour la planète et ont relancé les débats sur la prise d’information et la surveillance généralisée.

Synthèse des programmes les plus importants révélés dernièrement.

Ne trouvant aucune base de données des différents programmes provenant des fuites de Snowden, nous avons travaillé à la création d'une base de données concernant la NSA et le GCHQ. L'article qui suit est une synthèse d'une partie de nos travaux.

NdM : cet article poursuit la série commencée par NSA-observer — quels sont les programmes de la NSA ?, NSA - temps de faire le (premier) point et Que peut faire le service d'élite JTRIG du GCHQ ?.

Nous (nsa-observer) allons aborder aujourd'hui le "catalogue" du groupe d'élite de la NSA nommé TAO (pour Tailored Access Operations). La mission de ce groupe est, depuis sa création en 1997, d'identifier, de monitorer et de trouver un chemin vers des réseaux ou des systèmes pour collecter des informations. Ce département a gagné la réputation de collecter certains des meilleurs renseignements parmi les services de renseignements US, que ce soit sur la Chine, sur des groupes terroristes, ou sur les activités politiques, militaires et économiques d'un pays.

Nous sommes tous américains ! s'exclamait à deux reprises le 13 septembre 2001 Jean-Marie Colombani dans un éditorial du Monde dont il était alors le directeur.

En relisant l'éditorial d'alors on aura du mal à crier au génie visionnaire, mais la phrase elle-même est passée à la postériorité.

Mais l'évolution ne s'est faite que dans un sens comme le démontre l'Affaire Snowden :

• d'un côté, oui, les citoyens du monde entier subissent les effets des lois américaines les plus scélérates. La prise de conscience est particulièrement forte en Allemagne, un pays qui s'est reconstruit sous la protection des Etats-Unis de l'après guerre, alors que l'autre moitié des allemands était soumis à la surveillance dictatoriale de la Stasi. Confer l'article de Guillaume Duval, fin connaisseur de l'Allemagne ;
• mais dans le même temps l'évolution annoncée ou souhaitée par Jean-Marie Colombani n'a pas eu lieu : les citoyens du monde entier dont les données sont stockés dans des data centers situés aux États-Unis (c'est-à-dire tout le monde) n'ont hélas pas voix au chapitre pour faire changer des lois qui pourtant les concernent. [NdM : les data centers n'ont pas besoin d'être physiquement aux États-Unis pour que leurs données soient accessibles à la NSA et autres grandes oreilles. Google en a hors États-Unis par exemple, et ça ne change rien.]

Est-ce la CNIL (pour la France, ou le G29 pour l'Union Européenne) qui va résoudre ce problème considérable ? Il est permis d'en douter.

Une autre stratégie consiste à faire la pleine lumière sur une loi et les pratiques qu'elle légalise et les soumettre à l'effet Dracula pour voir combien de temps elles résistent à la lumière.

Dans ce cadre le Transparency Report de Google contient une image étonnante :

Profitons-en pour rappeler que le framablog a traduit pour vous un miniguide intitulé "Le chiffrement, maintenant".

Il y a quelques mois, j’ai commencé à lister les programmes de la NSA, et je ne savais pas qu’il y en aurait autant. De fil en aiguille, l’idée est devenue un projet, puis un site hébergé par La Quadrature du Net.

Nous avons à ce jour un peu plus de 100 programmes « à jour » (71 programmes, 35 vecteurs d’attaque) (je vous conseille d’ailleurs d’aller voir PHOTOANGLO ;-)), mais surtout, nous avons encore environ 200 programmes pour lesquels il manque des informations.

La Quadrature lancera ce site le 11 février pour The day we fight back, il reste encore pas mal de boulot à faire avant sa mise en production finale.

Il faut, entre autres, compléter le plus possible les différents programmes.

Je propose donc de vous retrouver au local de La Quadrature (19 rue Richard Lenoir, 75011 Paris) — et en ligne — mardi 4 février, vers 19 h, pour avancer le plus possible là‐dessus. Le travail se fera sur trois pads (ce qui veut dire que vous pouvez le faire aussi à distance, et sans forcément attendre la semaine prochaine ;-)) :

Le travail est assez facile en lui‐même et ne demande pas de niveau technique particulier.

Si vous travaillez avec le framework Meteor (ou avec du JavaScript), que vous avez des idées d’infographies, de fonctionnalités, des bogues à remonter… et que vous voulez aider (merci !), n’hésitez surtout pas à faire signe, nous avons besoin de votre aide !

Et si vous avez des questions, n’hésitez pas !

Jericho Chat est un programme de communication chiffrée utilisant un vrai générateur de nombres aléatoires (TRNG: True Random Number Generator) et des masques jetables. L'objectif est d'offrir un programme libre, open source, dont les communications sont chiffrées, pour les journalistes, les avocats, les militants et les citoyens du monde qui ont besoin d'une réelle assurance que leurs communications ne soient pas censurées, contrôlées, ni surveillés par des gouvernements de régimes totalitaires ni par les agences de renseignement les plus puissantes.

Pour vaincre les meilleures agences de renseignement du monde, vous devez élever votre jeu à leur niveau. Cela signifie l'utilisation de chiffrement qu'ils ne pourront jamais, jamais rompre, indépendamment des progrès en mathématiques, physique quantique, cryptanalyse ou technologique (NdM : la méthode de masque jetable utilisée est théoriquement/mathématiquement impossible à casser, bien qu'en pratique elle reste vulnérable car nécessitant d'échanger des clés et de les conserver secrètes).

En 2ème partie, un résumé très succinct des possibilité du programme. Je ne peux que vous conseiller de lire la page d'accueil et les pages d'information technique du site qui sont en anglais.