tag:linuxfr.org,2005:/tags/vie-priv%C3%A9e/publicLinuxFr.org : les contenus étiquetés avec « vie-privée »2020-06-18T01:18:02+02:00/favicon.pngtag:linuxfr.org,2005:Diary/391752020-05-29T03:27:03+02:002020-05-29T03:27:03+02:00StopCovid : inefficace, dangereux, totalitaireLicence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<p>"J'aime mieux attraper le covid-19 dans un pays libre que d'y échapper dans un état totalitaire".<br>
Jean-Luc Mélenchon, Assemblée nationale, Paris, 27 mai 2020.</p>
<p>L'intervention complète dure ~11min. Ça vaut le coup de l’écouter en entier:<br>
<a href="https://youtu.be/WJlPf3Xn_wU">https://youtu.be/WJlPf3Xn_wU</a></p>
<div><a href="https://linuxfr.org/users/gurumekun/journaux/stopcovid-inefficace-dangereux-totalitaire.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/120601/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/users/gurumekun/journaux/stopcovid-inefficace-dangereux-totalitaire#comments">ouvrir dans le navigateur</a>
</p>
gurumekunhttps://linuxfr.org/nodes/120601/comments.atomtag:linuxfr.org,2005:Diary/389582020-02-21T17:09:29+01:002020-02-21T17:09:29+01:00Consultation publique de la CNIL sur les bannières de cookieLicence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<p>Il devient quasiment impossible de naviguer sur le web sans être tracé par des dizaines, voire des centaines d'entreprises publicitaires. <a href="https://petsymposium.org/2019/files/papers/issue2/popets-2019-0023.pdf">74% des sites web utilisent des cookies tiers</a>, avec une moyenne de <a href="https://www.cs.princeton.edu/%7Earvindn/publications/webtap-chapter.pdf">20 trackers par site</a> (40 pour les sites d'information !).</p>
<p>Cette collecte d'information massive, en plus d'être incompatible avec les principes du libre, pose des sérieux problème de société, comme la possibilité de manipuler des élection (<a href="https://fr.wikipedia.org/wiki/Scandale_Facebook-Cambridge_Analytica">scandale Cambridge Analytica</a>), ou les <a href="https://www.theverge.com/2019/1/29/18197541/health-data-privacy-hipaa-policy-business-science">discriminations aux assurances</a>.</p>
<p>La CNIL a <a href="https://www.cnil.fr/fr/la-cnil-lance-une-consultation-publique-sur-son-projet-de-recommandation-cookies-et-autres-traceurs">lancé</a> le mois dernier une <a href="https://www.cnil.fr/fr/consultation-publique/cookies-et-autres-traceurs-0">consultation sur les cookies et autres traceurs</a>. Comme une association de publicitaires a lancé une <a href="https://www.cpa-france.org/project/cnil_mobilisons_nous/">campagne de communication</a> pour inciter les publicitaires à participer en masse, il est important de contrebalancer cela par une mobilisation en faveur de la vie privée.</p>
<p>Il ne reste que quelques jours pour participer, <a href="https://www.cnil.fr/fr/consultation-publique/cookies-et-autres-traceurs-0">profitez-en</a> ! Cela peut aller du commentaire à la simple notation des réponses présentes.</p>
<p>PS: pour rappel, ce que les législateurs appellent « cookies », c'est toute technologie de stockage (cookie technique, web storage etc.), et cela exclue les cookies fonctionnels (par ex votre PHPSESSID).</p>
<div><a href="https://linuxfr.org/users/perdu/journaux/consultation-publique-de-la-cnil-sur-les-bannieres-de-cookie.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/119471/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/users/perdu/journaux/consultation-publique-de-la-cnil-sur-les-bannieres-de-cookie#comments">ouvrir dans le navigateur</a>
</p>
Perduhttps://linuxfr.org/nodes/119471/comments.atomtag:linuxfr.org,2005:News/384682019-11-06T11:48:58+01:002019-11-30T15:15:18+01:00HTTPS, Tor, VPN : de quoi est‐ce que ça protège exactement ?Licence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<div><p>La dépêche « <a href="/news/proteger-sa-vie-privee-sur-le-web-exemple-avec-firefox">Protéger sa vie privée sur le Web, exemple avec Firefox</a> » (février 2018) a ouvert <a href="/news/proteger-sa-vie-privee-sur-le-web-exemple-avec-firefox#comment-1731111">des questions</a> sur la protection par HTTPS, Tor et VPN. Ces techniques protègent, mais contre quoi et dans quelles limites ? Cet article essaie de l’expliquer plus en détails. N’ayez pas l’illusion d’être totalement protégés en utilisant l’une d’elles : soit, elle ne permet pas vraiment ce que vous croyez, soit il faut l’utiliser d’une certaine façon ou la compléter d’autres précautions pour avoir le résultat attendu.</p>
<p>En effet, pour bien dissimuler votre navigation il faut tenir compte des limites techniques. C’est comparable au chiffrement de vos courriels (même de bout en bout) qui peut être insuffisant pour dissimuler entièrement votre message à un espion. Par exemple, si vous chiffrez votre courriel, mais que celui-ci a pour objet « j’ai des morpions » ou que vous l’adressez à <code>sos-morpions@sante.gouv.fr</code>, le contenu et les pièces jointes de votre message ont beau être chiffrés, un espion peut quand même en avoir une relativement bonne idée, car les <a href="http://libre-ouvert.toile-libre.org/?article180/rassurez-vous-il-ne-s-agit-que-de-metadonnees-vraiment-mais-ne-s-agit-il-pas-que-de-votre-vie-privee-en-fait">métadonnées</a> et l’objet ne sont pas chiffrés.</p>
</div><ul></ul><div><h2 class="sommaire">Sommaire</h2>
<ul class="toc">
<li>
<a href="#toc-https">HTTPS</a><ul>
<li>
<a href="#toc-explications-techniques">Explications techniques</a><ul>
<li><a href="#toc-fonctionnement-et-limites-du-proc%C3%A9d%C3%A9">Fonctionnement et limites du procédé</a></li>
<li><a href="#toc-attaque-de-lhomme-du-milieu">Attaque de l’homme du milieu</a></li>
</ul>
</li>
<li><a href="#toc-exemples">Exemples</a></li>
<li><a href="#toc-conseil-technique">Conseil technique</a></li>
</ul>
</li>
<li>
<a href="#toc-tor">Tor</a><ul>
<li><a href="#toc-explications-techniques-1">Explications techniques</a></li>
<li><a href="#toc-exemple">Exemple</a></li>
<li><a href="#toc-conseil-technique-1">Conseil technique</a></li>
<li><a href="#toc-dons">Dons</a></li>
</ul>
</li>
<li>
<a href="#toc-vpn-virtual-private-network">VPN (Virtual Private Network)</a><ul>
<li><a href="#toc-explications-techniques-2">Explications techniques</a></li>
<li><a href="#toc-exemples-1">Exemples</a></li>
<li><a href="#toc-conseil-technique-2">Conseil technique</a></li>
</ul>
</li>
<li><a href="#toc-utilisation-conjointe-de-tor-et-dehttps">Utilisation conjointe de Tor et de HTTPS</a></li>
<li><a href="#toc-annexe-i2p-linvisible-internet-project">Annexe : I2P, l’Invisible Internet Project</a></li>
<li><a href="#toc-annexe-internet-ne-sarr%C3%AAte-pas-aunavigateur">Annexe : Internet ne s’arrête pas au navigateur !</a></li>
</ul>
<p><img src="//img.linuxfr.org/img/68747470733a2f2f6c6976652e737461746963666c69636b722e636f6d2f323134352f323333333234333235385f613264313937366566645f622e6a7067/2333243258_a2d1976efd_b.jpg" alt="I feel like a secret detective, par binkle_28, sous CC BY-SA 2.0" title="Source : https://live.staticflickr.com/2145/2333243258_a2d1976efd_b.jpg"> <em>I feel like a secret detective, par binkle_28, sous CC BY-SA 2.0</em></p>
<h2 id="toc-https">HTTPS</h2>
<p>HTTPS n’a pas été conçu pour dissimuler l’identité (techniquement, le <em>hostname</em>, ou nom d’hôte) du site accédé.</p>
<h3 id="toc-explications-techniques">Explications techniques</h3>
<h4 id="toc-fonctionnement-et-limites-du-procédé">Fonctionnement et limites du procédé</h4>
<p>HTTPS consiste à chiffrer les échanges HTTP avec <a href="https://fr.wikipedia.org/wiki/Transport_Layer_Security">TLS</a> (originellement, du SSL). Toute la requête HTTPS est donc chiffrée, le chemin mais aussi le nom d’hôte (contenu dans l’en‑tête <code>Host</code>). Cependant, le nom d’hôte (l’adresse du site Internet) peut fuiter d’autres manières. Par exemple, parce que la requête DNS du nom est faite juste avant la requête HTTP. Mais ce qui le donne le plus souvent est l’extension <a href="https://fr.wikipedia.org/wiki/Server_Name_Indication">SNI</a>, qui donne justement le nom en clair à l’initiation de la connexion TLS.</p>
<p>SNI n’a pas comme objectif principal de détruire la vie privée mais simplifie le fonctionnement quand la communication est chiffrée. Il permet à un serveur Web qui possède plusieurs certificats de présenter celui que le client attend. Il permet aussi à un répartiteur de charge d’envoyer la requête sur le bon serveur sans devoir déchiffrer le TLS (et peut donc gérer plus de connexions). Une nouvelle version, Encrypted SNI, permet justement de cacher ce nom de domaine. Elle est en cours de déploiement par les navigateurs et les serveurs Web.</p>
<p>Le HTTPS ne cache pas non plus l’adresse IP de destination.</p>
<h4 id="toc-attaque-de-lhomme-du-milieu">Attaque de l’homme du milieu</h4>
<p>Il est relativement aisé de procéder à une attaque <a href="https://fr.wikipedia.org/wiki/MITM" title="Définition Wikipédia">MITM</a> et ainsi d’accéder au contenu de la communication en clair : votre employeur qui a installé le certificat de son autorité de certification interne sur votre poste (vous chiffrez alors sans le savoir avec la clé de votre employeur…), votre FAI ou une agence gouvernementale qui a accès aux certificats d’une autorité supposée de confiance, etc. Le système de « sécurité » de votre employeur peut aussi être obsolète, on a pu voir des boîtes noires communiquer en SSL et non plus en TLS vers Internet, ce qui peut entraîner des fuites de données en plus de celle extraite du serveur mandataire (proxy) menteur.</p>
<h3 id="toc-exemples">Exemples</h3>
<p>Mettons de côté l’attaque par déchiffrement décrite ci‑dessus, et supposons qu’un espion qui ne peut pas déchiffrer ma communication souhaite en savoir plus sur mes activités en ligne, voici des exemples de ce qu’il pourra observer.</p>
<p>Lorsque je navigue en HTTPS sur Wikipédia, cet espion qui intercepterait ma requête saurait que j’accède à l’encyclopédie et pourrait en déduire que je la consulte. L’espion ne pourrait cependant pas pouvoir savoir quelle page de Wikipédia je consulte. Par conséquent, il ne pourrait pas savoir sur quel sujet je me renseigne étant donné que Wikipédia est un site généraliste.</p>
<p>En revanche, dans le cas où je me connecte, toujours en HTTPS, à un site spécialisé, le sujet qui m’occupe pourrait être déduit de la thématique du site car l’identité du site est elle‑même connue. Par exemple, le sujet qui m’intéresse pourrait être inféré à partir de l’identité du site si je consulte <code>www.j-ai-des-morpions.org</code>.</p>
<h3 id="toc-conseil-technique">Conseil technique</h3>
<p>L’extension multi‐navigateur <a href="https://www.eff.org/https-everywhere/">HTTPS Everywhere</a>, développée (sous licence libre GPL version 2+) collaborativement par l’<em>Electronic Frontier Foundation</em> (<a href="https://supporters.eff.org/donate">page de don</a>) et <em>The Tor Project</em> (<a href="https://donate.torproject.org/pdr">page de don</a>), permet de recourir, à chaque fois que cela est possible, à HTTPS.</p>
<p>Cela évite :</p>
<ul>
<li>d’une part, que le contenu transféré puisse être lu par ceux qui les intercepteraient (exemple : vos identifiants et mot de passe de connexion) ;</li>
<li>d’autre part, que ce contenu puisse être modifié par ces mêmes personnes.</li>
</ul>
<p>Mais, si vous souhaitez dissimuler l’identité du site accédé, cette technique doit être couplée à l’une de ces deux techniques : Tor ou VPN et qu’un serveur tiers puisse prendre facilement la place du serveur que vous voulez visiter (dans le cas d’un DNS menteur, par exemple).</p>
<h2 id="toc-tor">Tor</h2>
<p>Tor, est un réseau décentralisé qui permet de faire passer sa connexion par un circuit composé de trois relais (serveurs) différents. Ainsi le premier sait uniquement d’où vient le trafic, l’intermédiaire ne sait rien, et le dernier sait uniquement où va le trafic. Par conséquent, nul ne peut connaître à la fois l’expéditeur et le destinataire.</p>
<p>Tor n’est pas limité au Web uniquement, mais permet l’utilisation de tout protocole réseau basé sur <a href="https://fr.wikipedia.org/wiki/Transmission_Control_Protocol">TCP/IP</a>.</p>
<h3 id="toc-explications-techniques-1">Explications techniques</h3>
<p>Le recours à Tor peut recouvrir deux hypothèses :</p>
<ol>
<li>l’accès à un site Web « classique » (c’est-à-dire extérieur à Tor) en passant par le réseau Tor pour bénéficier d’un anonymat renforcé ; </li>
<li>l’accès à une version du site proposée au sein même de Tor (un tel site est doté d’une adresse en <em>.onion</em>) pour bénéficier d’un anonymat encore accru et/ou contourner la censure de sites.</li>
</ol>
<h3 id="toc-exemple">Exemple</h3>
<p>Sans quitter Tor, vous pouvez vous rendre sur Facebook à l’adresse <a href="https://en.wikipedia.org/wiki/Facebookcorewwwi.onion">https://facebookcorewwwi.onion</a>. C’est l’adresse d’un serveur qui appartient à Facebook et qui n’est accessible que depuis le réseau Tor. L’on sait que Facebook peut servir à mobiliser, à informer et à s’informer dans les pays répressifs : ce serveur peut permettre de contourner une éventuelle censure (plus <em><a href="https://www.lemonde.fr/pixels/article/2014/11/07/facebook-s-invite-sur-le-reseau-anonyme-tor_4518801_4408996.html">ici</a></em>).</p>
<h3 id="toc-conseil-technique-1">Conseil technique</h3>
<p>Il est facile de mal utiliser Tor. Par exemple, si les requêtes de DNS passent par le réseau « normal », on peut en déduire ce que vous tentez de joindre.</p>
<p>C’est pourquoi il est très fortement conseillé d’utiliser le <a href="https://www.torproject.org/download/download-easy.html.en">Tor Browser</a>, un navigateur libre, multi‐système et développé par le <a href="https://torproject.org/"><em>Tor Project</em></a>. Il est basé sur <a href="https://donate.mozilla.org/fr/">Firefox ESR</a> et développé grâce à la collaboration (notamment financière) de Mozilla. Il inclut par défaut des extensions comme HTTPS Everywhere (évoquée ci‑avant) ou NoScript, visant à protéger la vie privée et à supprimer les traces que vous pourriez laisser sur le Web.</p>
<p>Il faut aussi rappeler que les nœuds de sorties peuvent voir le trafic à destination des sites que vous visitez. Celui-ci peut intercepter votre trafic s’il est en clair (par exemple, si vous n’utilisez pas HTTPS).</p>
<h3 id="toc-dons">Dons</h3>
<p>Si vous souhaitez soutenir Tor, en France, vous <a href="https://nos-oignons.net/Donnez/index.fr.html">pouvez faire un don</a> à l’association <a href="https://nos-oignons.net/">Nos oignons</a>, qui maintient un certain nombre de nœuds de sorties. Vous pouvez aussi donner directement au <a href="https://donate.torproject.org/pdr">Tor Project</a>.</p>
<h2 id="toc-vpn-virtual-private-network">VPN (Virtual Private Network)</h2>
<p>Un VPN fait « sortir » votre connexion Internet (pas seulement le Web) à une autre adresse par un tunnel chiffré. Il est donc impossible d’intercepter des communications en clair à la sortie de votre machine.</p>
<h3 id="toc-explications-techniques-2">Explications techniques</h3>
<p>Votre machine établit un tunnel chiffré avec un serveur VPN et route tout le trafic par le tunnel, sauf le trafic chiffré lui-même (eh oui, sinon ça ne marcherait pas).</p>
<p>Le serveur VPN se charge alors d’acheminer votre trafic à bon port via sa connexion Internet. Tout le trafic sur votre interface réseau se résumera à une connexion <a href="https://fr.wikipedia.org/wiki/User_Datagram_Protocol">UDP</a> ou <a href="https://fr.wikipedia.org/wiki/Transmission_Control_Protocol">TCP</a>, au choix, à un seul serveur (celui du service VPN).</p>
<p>Dans le cas d’<a href="https://fr.wikipedia.org/wiki/OpenVPN">OpenVPN</a>, c’est le serveur qui décide des routes à configurer sur le client.</p>
<p>Même si l’on en parle souvent pour changer d’adresse IP, un réseau privé virtuel (<em>Virtual Private Network</em>) peut fournir un réseau local virtuel. Donc, vous pouvez par exemple installer un serveur chez vous, mettre un VPN dessus et, une fois connecté, accéder à votre réseau comme si vous étiez à la maison.</p>
<p>Attention au <a href="https://www.dnsleaktest.com/results.html">DNS Leak</a> : si vous contactez les serveurs DNS de votre FAI, ça revient à leur donner les sites que vous visitez… autant rester en HTTPS !</p>
<h3 id="toc-exemples-1">Exemples</h3>
<p>Si vous achetez un abonnement chez un fournisseur de VPN par crainte de voir vos données capturées par les méchants FAI, le VPN permettra effectivement de cacher votre trafic de votre FAI. Sur Internet, votre adresse IP publique aura changé. Cependant, c’est maintenant l’opérateur du service VPN qui peut regarder votre trafic !</p>
<p>Il est donc crucial de bien <a href="https://le-routeur-wifi.com/pourquoi-pas-utiliser-vpn-gratuits/">se renseigner sur la politique de protection des données</a> du fournisseur VPN que vous choisirez. Certains fournisseurs de service VPN (souvent gratuits) procèdent en effet au même type de récolte/revente des données que les FAI : passer par leur service revient donc à ne rien utiliser du tout ! </p>
<p>Si l’idée vous prenait d’utiliser un réseau Wi‑Fi public qui n’est pas chiffré, comme on en trouve dans certains bars, cafés, restaurants, gares et aéroports, alors les communications en clair (sans crypto) peuvent être interceptées et analysées. La meilleure solution, c’est, soit d’éviter ces connexions, soit d’utiliser des protocoles de communications chiffrés avec vérification de la clé (par exemple, HTTPS signé ou SSH). Dans la plupart des cas, les conditions d’utilisation de ces points d’accès devraient vous refroidir. Mais si vous devez absolument utiliser des connexions non chiffrées, alors un VPN est le bienvenu pour protéger vos communications.</p>
<h3 id="toc-conseil-technique-2">Conseil technique</h3>
<ul>
<li>utiliser ce <a href="https://github.com/Angristan/OpenVPN-install">script pour installer OpenVPN</a> ou <a href="http://www.pivpn.io/">PiVPN</a> ;</li>
<li>dans le futur, <a href="https://en.wikipedia.org/wiki/WireGuard">WireGuard</a> sera peut-être une solution intéressante ; pour le moment, il n’en existe encore qu’une version expérimentale du code.</li>
</ul>
<h2 id="toc-utilisation-conjointe-de-tor-et-dehttps">Utilisation conjointe de Tor et de HTTPS</h2>
<p>Pour voir l’effet de l’utilisation conjointe de Tor et de HTTPS, consultez <a href="https://www.eff.org/pages/tor-and-https">ce site</a>. Ci‑dessous, la traduction des instructions que vous trouverez en anglais sur le site.</p>
<p>Les données potentiellement visibles comprennent : le site que vous visitez (<em>site.com</em>), votre nom d’utilisateur et mot de passe (<em>user/pw</em>), les données que vous transmettez (<em>data</em>), votre adresse IP (<em>location</em>) et si vous utilisez ou non Tor (<em>tor</em>) :</p>
<ul>
<li>cliquez sur le bouton « Tor » pour voir les données visibles par les espions lorsque vous utilisez Tor ; le bouton devient vert pour indiquer que Tor est allumé ;</li>
<li>cliquez sur le bouton « HTTPS » pour voir les données visibles par les espions lorsque vous utilisez HTTPS ; le bouton devient vert pour indiquer que HTTPS est activé ;</li>
<li>lorsque les deux boutons sont verts, vous voyez les données visibles par les espions lorsque vous utilisez les deux outils ;</li>
<li>lorsque les deux boutons sont gris, vous voyez les données visibles par les espions lorsque vous n’utilisez aucun des deux outils.</li>
</ul>
<h2 id="toc-annexe-i2p-linvisible-internet-project">Annexe : I2P, l’Invisible Internet Project</h2>
<p><a href="https://geti2p.net">I2P</a> est une autre solution pour surfer de manière anonyme. Quand l’objectif de Tor est d’abord d’accéder à l’Internet « normal » de manière anonyme et ensuite de pouvoir se connecter à des sites accessibles seulement au réseau Tor (<em>Tor hidden services</em>), I2P permet, quant à lui, en premier lieu, d’accéder aux sites <code>.i2p</code> (ainsi que d’en publier) et, dans une moindre mesure, (il existe moins de portes de sorties) d’accéder à tout l’Internet. Quelques applications sont également accessibles : forum, tchat, partage de documents, téléchargement de torrents ou courriel interne au réseau.</p>
<p>Vu de loin, I2P fonctionne sur les mêmes principes que Tor, par couches de chiffrement successives. Basé sur un fonctionnement pair à pair, I2P est plus décentralisé. Ainsi, sa recherche initiale de pairs ne repose pas sur une liste connue à l’avance, et est adéquate pour un téléchargement de torrents.</p>
<p>Tor est beaucoup plus utilisé, la question se pose de savoir si I2P pourrait passer à l’échelle. Tor a fait l’objet de plus de recherche et son chef de projet est connu. À l’inverse, les développeurs d’I2P sont uniquement connus par leurs pseudonymes et ils considèrent ne pas avoir eu assez de revues de code par la communauté scientifique pour valider le système et passer officiellement à la fameuse version 1.</p>
<p>C’est en évaluant les différences et le niveau de sécurité désiré que l’on opte pour l’une ou l’autre solution.</p>
<p>Le client officiel est en Java et il existe le client <a href="https://github.com/PurpleI2P/i2pd">i2pd</a>, écrit en C++ pour une meilleure consommation des ressources.</p>
<h2 id="toc-annexe-internet-ne-sarrête-pas-aunavigateur">Annexe : Internet ne s’arrête pas au navigateur !</h2>
<p>Si vous utilisez Debian et le gestionnaire de paquets <a href="https://fr.wikipedia.org/wiki/Advanced_Packaging_Tool">APT</a>, vous utilisez peut‐être le protocole HTTP pour contacter un dépôt et ainsi récupérer les mises à jour et les paquets à installer. Cependant, cette utilisation est potentiellement risquée (<a href="https://fr.wikipedia.org/wiki/Attaque_par_rejeu">attaque par rejeu</a>, <em>cf.</em> <a href="https://unix.stackexchange.com/questions/317698/yum-install-http-is-this-safe">1</a> et <a href="https://isis.poly.edu/%7Ejcappos/papers/cappos_mirror_ccs_08.pdf">2</a> ou <a href="https://fr.wikipedia.org/wiki/Attaque_de_l%27homme_du_milieu">attaque de l’homme du milieu</a>, <em>cf.</em> le récent <a href="https://lists.debian.org/debian-security-announce/2019/msg00010.html">CVE-2019-3462</a>). Le paquet <a href="https://packages.debian.org/search?keywords=apt-transport-https">apt-transport-https</a> (intégré au paquet apt depuis Debian Buster/Ubuntu Bionic) permet de chiffrer la partie HTTP de ce trafic Internet. Si vos miroirs habituels sont compatibles, ouvrez votre fichier <code>/etc/apt/sources.list</code> et remplacez <code>http</code> par <code>https</code> :</p>
<pre><code>deb https://foo distro main
</code></pre>
<p>Les paquets <a href="https://packages.debian.org/search?keywords=apt-transport-tor">apt-transport-tor</a> et <a href="https://packages.debian.org/search?keywords=onionbalance">onionbalance</a> vous permettent de faire passer les mises à jour et les paquets par le réseau Tor. Ainsi, pour <em>Stretch</em>, votre fichier <code>/etc/apt/sources.list</code> devrait simplement contenir :</p>
<pre><code>deb tor+http://vwakviie2ienjx6t.onion/debian stretch main
deb tor+http://vwakviie2ienjx6t.onion/debian stretch-updates main
deb tor+http://sgvtcaew4bxjd7ln.onion/debian-security stretch/updates main
</code></pre>
<p>N. D. A. : par sécurité, vous devriez vérifier les adresses en vous appuyant sur d’autres sources ! <a href="https://onion.debian.org/">https://onion.debian.org/</a></p>
<p>Vous pouvez également utiliser l’extension expérimentale <a href="https://trac.torproject.org/projects/tor/wiki/torbirdy">TorBirdy</a> pour le client de messagerie Thunderbird. Ainsi, la connexion entre votre machine et votre serveur de messagerie transitera par le réseau Tor. Votre serveur de courriel n’aura donc pas connaissance de votre localisation.</p>
<p>Si le service Tor est actif, vous pouvez utiliser <a href="https://gitweb.torproject.org/torsocks.git/refs/">torsocks</a> (vérifiez dans les dépôts de votre distribution) pour forcer un logiciel à faire passer son trafic par Tor, par exemple :</p>
<pre><code>torsocks clawsmail [options de clawsmail]
</code></pre>
</div><div><a href="https://linuxfr.org/news/https-tor-vpn-de-quoi-est-ce-que-ca-protege-exactement.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/113842/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/news/https-tor-vpn-de-quoi-est-ce-que-ca-protege-exactement#comments">ouvrir dans le navigateur</a>
</p>
Ysabeau 🧶 🧦antistressAnonymetisaacDavy DefaudZeroHeurevoxdemonixclaudexNils Ratusznikpalm123Benoît SibaudYves BourguignonNicolas Boulaysebasdyno partouzeur du centredzecnivFlorent ZaraTrollgouinaurelMaderioscrackyBisalooColesOlivier HUMBERTPoupy-Le-Vicieuxjean_rPierre Tramalhttps://linuxfr.org/nodes/113842/comments.atomtag:linuxfr.org,2005:Bookmark/4662019-02-11T10:37:58+01:002019-02-11T10:41:52+01:00Marché noir de la vente de données de localisation aux États-Unis.<a href="https://cyberguerre.numerama.com/964-aux-etats-unis-les-chasseurs-de-prime-rachetent-des-donnees-de-localisation-aux-operateurs-telephoniques.html">https://cyberguerre.numerama.com/964-aux-etats-unis-les-chasseurs-de-prime-rachetent-des-donnees-de-localisation-aux-operateurs-telephoniques.html</a> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/116411/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/users/gabin_2-2/liens/marche-noir-de-la-vente-de-donnees-de-localisation-aux-etats-unis#comments">ouvrir dans le navigateur</a>
</p>
Gabin_2https://linuxfr.org/nodes/116411/comments.atomtag:linuxfr.org,2005:News/365452015-06-23T15:00:48+02:002016-04-25T23:48:13+02:00Atelier CLI : CryptoParty mardi 23 juin 2015 ⌚ 20h ⌘ Bègles (~Bordeaux)Licence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<div><p>Les Crypto-Party (ou chiffro-fêtes) consistent en l'organisation d'ateliers gratuits à destination de tous, pour découvrir, comprendre et utiliser les principes de base de la cryptographie et de la protection de sa vie privée sur les réseaux (web, chat, email).</p>
<h3 id="programme">Programme</h3>
<p>Mardi 23 juin 2015, c'est <strong>cryptoparty toute la soirée</strong> / nuit <a href="http://osm.org/go/b%7E%7EHz1Y--?layers=H&m=&node=2575631402">au L@Bx</a>. Entrée libre et gratuite. Amenez à manger, à boire et sac de couchage pour les plus courageux.</p>
<p><em>Tous les détails en seconde partie.</em></p></div><ul><li>lien nᵒ 1 : <a title="https://www.cryptoparty.in/bordeaux?&#juin_2015crypto-party_des_ateliers_cli_au_l_bx_begles" hreflang="fr" href="https://linuxfr.org/redirect/94492">Infos sur CryptoParty.in</a></li><li>lien nᵒ 2 : <a title="https://digisquare.net/bordeaux/evenement/1207/crypto-party-des-ateliers-cli-au-l-bx" hreflang="fr" href="https://linuxfr.org/redirect/94493">Infos sur Digisquare Bordeaux</a></li><li>lien nᵒ 3 : <a title="http://cli.labx.fr/agenda/" hreflang="fr" href="https://linuxfr.org/redirect/94494">Agenda des Ateliers CLI</a></li></ul><div><h3 id="quelques-idées-dateliers-">Quelques idées d'ateliers :</h3>
<ul>
<li>Créations / échanges de clés <code>GPG</code> ;</li>
<li>Gérer et protéger ses mots de passe avec <a href="http://keepass.info/">Keepass</a>/<a href="https://www.keepassx.org">KeepassX</a> ;</li>
<li>Chiffrement de disque dur avec <code>LVM</code>+<code>LUKS</code>, <code>encfs</code>, etc. ;</li>
<li>Mise en place d'un serveur de courriel <code>OpenSMTPd</code> ;</li>
<li>Traduction du <a href="https://github.com/cryptoparty/handbook">handbook cryptoparty</a> en se basant sur <a href="https://github.com/tetalab/handbook">le travail du Tetalab</a> ;</li>
<li>…</li>
</ul><h3 id="infos-pratiques">Infos pratiques</h3>
<ul>
<li>
<strong>Lieu :</strong> <a href="https://www.labx.fr/">L@bX</a>, <a href="https://maps.google.fr/?ll=44.812663,-0.554399&spn=0.001496,0.002642&t=h&z=19">Rue Marc Sangnier, Bègles</a>.</li>
<li>
<strong>Date :</strong> 23 juin 2015</li>
<li>
<strong>Contact</strong>: <a href="http://twitter.com/polymorphismes">@polymorphismes</a> et <a href="http://twitter.com/edouard_lopez">@edouard_lopez</a>
</li>
<li>IRC: <a href="https://kiwiirc.com/client/irc.freenode.net/?nick=cryptofan&theme=CryptoParty#ateliers_cli">#ateliers_cli</a>, <a href="https://kiwiirc.com/client/irc.freenode.net/?nick=cryptofan&theme=CryptoParty#labx">#labx</a>
</li>
</ul><p>Pour rappel, le <a href="http://osm.org/go/b%7E%7EHz1Y--?layers=H&m=&node=2575631402">L@Bx est un Hackerspace à Bègles</a> (Bordeaux Métropole). Il ouvre ses portes tous les mardis et vendredis soir.</p></div><div><a href="https://linuxfr.org/news/atelier-cli-cryptoparty-mardi-23-juin-2015-20h-begles-bordeaux.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/106157/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/news/atelier-cli-cryptoparty-mardi-23-juin-2015-20h-begles-bordeaux#comments">ouvrir dans le navigateur</a>
</p>
edouard-lopezZeroHeureBenoît Sibaudpalm123https://linuxfr.org/nodes/106157/comments.atomtag:linuxfr.org,2005:News/362572015-03-22T12:20:28+01:002015-03-22T23:51:45+01:00SMSSecure : les SMS et MMS chiffrés sur Android, ce n'est pas fini !Licence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<div><p>Le 6 mars 2015, Open Whisper Systems annonçait que la version 2.7 de TextSecure ne supportera plus le chiffrement des SMS <a href="https://www.eff.org/secure-messaging-scorecard">pourtant recommandé par l'EFF</a>, TextSecure fait marche arrière. De nombreux utilisateurs se sont plaints de cette décision dont le raisonnement n'a pas fait unanimité, et un fork de TextSecure a été créé.</p>
<p>(<s>anciennement SecuredText</s>) SMSSecure était né !</p></div><ul><li>lien nᵒ 1 : <a title="https://github.com/SecuredText/SecuredText" hreflang="en" href="https://linuxfr.org/redirect/93468">Dépôt du projet</a></li><li>lien nᵒ 2 : <a title="http://linuxfr.org/news/textsecure-les-sms-et-mms-chiffres-c-est-fini" hreflang="fr" href="https://linuxfr.org/redirect/93469">Dépêche concernant la fin des SMS/MMS chiffrés dans TextSecure</a></li></ul><div><p>SMSSecure a deux objectifs :</p>
<ul>
<li>maintenir le chiffrement des SMS/MMS ;</li>
<li>supprimer les dépendances aux services Google.</li>
</ul><p>L'effet de bord du deuxième objectif est que les messages push ne sont plus disponibles dans SMSSecure. Dans TextSecure, ceux-ci passent en effet par Google Cloud Messaging, ce qui n'est pas sans incidence sur la vie privée.</p>
<p>À long terme, SMSSecure se veut être ce que TextSecure n'est plus : une application de SMS et rien d'autre. Il est évident que même en chiffrant ses SMS, les opérateurs — et potentiellement les États — ont accès aux méta-données des conversations (cf <a href="//linuxfr.org/news/textsecure-les-sms-et-mms-chiffres-c-est-fini">la dépêche sur TextSecure</a>). En sachant cela, l'utilisateur est au courant des limites et il devrait sérieusement envisager un autre canal de communication s'il veut plus de confidentialité. SMSSecure et TextSecure ne sont pas incompatibles, au contraire : SMSSecure pour les SMS, TextSecure pour les discussion via Internet.</p>
<p>Pour le moment, les deux objectifs ci-dessus sont remplis. Il reste reste encore à nettoyer le code désormais encombré de nombreuses lignes inutiles. Toute aide est la bienvenue !</p>
<p>En outre, SMSSecure va refaire son apparition dans F-Droid (TextSecure avait été supprimé à cause d'un conflit avec le développeur). L'application sera également disponible sur le Play Store.</p></div><div><a href="https://linuxfr.org/news/smssecure-les-sms-et-mms-chiffres-sur-android-ce-n-est-pas-fini.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/105170/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/news/smssecure-les-sms-et-mms-chiffres-sur-android-ce-n-est-pas-fini#comments">ouvrir dans le navigateur</a>
</p>
BastienLQBenoît SibaudZeroHeurepalm123https://linuxfr.org/nodes/105170/comments.atomtag:linuxfr.org,2005:News/362092015-03-07T18:40:19+01:002015-03-07T23:23:20+01:00Textsecure : les SMS et MMS chiffrés, c'est finiLicence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<div><p>C'est une mauvaise nouvelle qui vient à nous ce soir concernant <a href="https://whispersystems.org/#encrypted_texts">TextSecure</a>, l'application Android permettant d'échanger des SMS et MMS de façon chiffrée. Il faut savoir que TextSecure permet trois choses : envoyer des SMS/MMS non chiffrés comme le ferait une autre application classique, envoyer des SMS/MMS chiffrés en passant par le réseau mobile et envoyer des messages chiffrés en passant par le réseau Internet. </p>
<p><img src="//img.linuxfr.org/img/68747470733a2f2f66722e6d61746c696e6b2e66722f696d616765732f32303135303330362f546578745365637572655f636f6e766572736174696f6e5f6c6973742e706e67/TextSecure_conversation_list.png" alt="Textsecure" title="Source : https://fr.matlink.fr/images/20150306/TextSecure_conversation_list.png"></p>
<p>Aujourd'hui, les développeurs annoncent qu'ils arrêtent le support de la partie SMS/MMS chiffrés à partir de la prochaine version (2.7.0) .</p></div><ul></ul><div><h3 id="pourquoi">Pourquoi ?</h3>
<p>Les <a href="https://whispersystems.org/blog/goodbye-encrypted-sms/">raisons évoquées</a> sont les suivantes (traduction quasi-directe) : </p>
<ul>
<li>l'envoi des SMS/MMS chiffrés ne peut se faire de façon transparente : les utilisateurs doivent manuellement créer un premier échange de clés. Le problème est que les gens ne savent pas tous ce que représente réellement "une clé", ce qui rend moins efficace ce genre de solution. </li>
<li>l'arrivée de la compatibilité iOS : avec Signal, iOS se voit disposer d'une solution compatible avec TextSecure. Cependant, iOS ne possède pas d'<a href="https://fr.wikipedia.org/wiki/Interface_de_programmation">API</a> qui permet à Signal d'envoyer/recevoir des SMS programmés rendant impossible la lecture des SMS chiffrés. Cela peut donc perturber les utilisateurs.</li>
<li>SMS et MMS sont un désastre concernant la sécurité : aucune métadonnée ne peut passer autrement qu'en clair sur le réseau mobile. Ainsi, tous les réseaux télécoms sont capables d'intercepter les SMS et d'en examiner les métadonnées, révélant beaucoup trop d'informations même si le contenu est indéchiffrable. Les développeurs ne veulent pas avoir mauvaise conscience en sachant que des gouvernements peuvent oppresser des dissidents qui utilisent ce genre de solution.</li>
<li>paranoïa sécuritaire : en voulant se focaliser sur la sécurité des SMS et MMS, les développeurs n'ont plus de temps à accorder au développement de TextSecure afin de la rendre meilleure.</li>
</ul><p><img src="//img.linuxfr.org/img/68747470733a2f2f66722e6d61746c696e6b2e66722f696d616765732f32303135303330362f776869737065722e706e67/whisper.png" alt="Open WhisperSystems" title="Source : https://fr.matlink.fr/images/20150306/whisper.png"></p>
<p>C'est l'ensemble de ces sus-citées raisons qui poussent <a href="https://whispersystems.org">Open WhisperSystems</a> à abandonner le support des SMS/MMS chiffrés (via le réseau mobile). <br>
Il est vrai que la façon dont sont conçus les SMS/MMS ne permet pas de conserver un minimum de vie privée et de sécurité : les métadonnées des SMS/MMS peuvent très souvent suffire à en savoir beaucoup sur le contenu du message qui transite, ce qui reste gênant.</p>
<h3 id="du-coup-que-puis-je-faire-je-trouvais-ça-cool-textsecure">Du coup, que puis-je faire ? Je trouvais ça cool, TextSecure !</h3>
<p>Oui, moi aussi. Mais il est vrai que vouloir sécuriser (et conserver sa vie privée avec) les SMS/MMS est peine perdue. <br>
Cependant, TextSecure permet l'envoi de messages via le transport TextSecure, qui lui protège les métadonnées. Bon, c'est pas aussi pratique que les SMS/MMS car il faut avoir une connexion internet active (Wifi ou bien Data), mais ce n'est pas ce qui manque de nos jours (<a href="https://twitter.com/TAbugharsa/status/573945270699950080">enfin dans certains pays c'est plus compliqué</a>).</p>
<p>En espérant que TextSecure continuera de fournir les SMS/MMS chiffrés sans accorder de support, ou qu'un fork naisse. En tous cas, merci aux devs d'avoir donné de leur temps, en cette ère <a href="https://en.wikipedia.org/wiki/Edward_Snowden">post-Snowden</a> !</p>
<p><a href="https://whispersystems.org/blog/goodbye-encrypted-sms/">source</a></p></div><div><a href="https://linuxfr.org/news/textsecure-les-sms-et-mms-chiffres-c-est-fini.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/105031/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/news/textsecure-les-sms-et-mms-chiffres-c-est-fini#comments">ouvrir dans le navigateur</a>
</p>
matlinkBenoît Sibaudpalm123https://linuxfr.org/nodes/105031/comments.atomtag:linuxfr.org,2005:News/359832014-12-27T15:47:16+01:002014-12-27T15:47:16+01:00Soirée pour les 4 ans de Lorraine Data Network le 17 janvier 2015Licence CC By‑SA http://creativecommons.org/licenses/by-sa/4.0/deed.fr<div><p>Vous êtes invité à une rencontre autour d'un apéro-buffet à Nancy, à l'occasion des 4 ans de l'association Lorraine Data Network (LDN). Cette rencontre se déroulera au Centre Culturel Autogéré de Nancy (CCAN) (69, rue de Mon-Désert, <a href="http://www.openstreetmap.org/?mlat=48.68361&mlon=6.17442#map=19/48.68361/6.17442">lien OpenStreetMap</a>) le 17 janvier 2015.</p>
<p>LDN est une association pour la défense d'un Internet libre, neutre et décentralisé en Lorraine. Elle est également fournisseur d'accès à Internet (FAI) et hébergeur de services, membre de la Fédération French Data Network (FFDN).</p>
<p>Ce sera l'occasion de rencontrer les adhérents de l'association, de venir poser vos questions ou simplement de profiter de l'occasion pour discuter libertés sur le réseau et moyens d'action.</p></div><ul><li>lien nᵒ 1 : <a title="http://ldn-fai.net/events/rencontre-ldn-4-ans-de-lassociation/" hreflang="fr" href="https://linuxfr.org/redirect/92628">Soirée des 4 ans (19h à minuit)</a></li><li>lien nᵒ 2 : <a title="http://ldn-fai.net/events/ago-2014/" hreflang="fr" href="https://linuxfr.org/redirect/92629">AGO 2014 qui précédera (16h30 à 18h30)</a></li><li>lien nᵒ 3 : <a title="https://framadate.org/l8qlvwoznex4vvor" hreflang="fr" href="https://linuxfr.org/redirect/92630">Inscription à la soirée et/ou l'AGO</a></li><li>lien nᵒ 4 : <a title="http://ldn-fai.net" hreflang="fr" href="https://linuxfr.org/redirect/92631">Lorraine Data Network</a></li><li>lien nᵒ 5 : <a title="http://ffdn.org" hreflang="fr" href="https://linuxfr.org/redirect/92632">Fédération FDN</a></li><li>lien nᵒ 6 : <a title="http://db.ffdn.org" hreflang="fr" href="https://linuxfr.org/redirect/92633">Une autre asso-FAI dans votre coin</a></li></ul><div><p>Pour la logistique, merci de penser à vous inscrire rapidement. Cette soirée aura lieu juste après l'Assemblée Générale Ordinaire 2014 (AGO) de l'association (de 16h30 à 18h30 au même endroit), à laquelle vous pouvez également assister.</p>
<p>Condition pour participer à la soirée :</p>
<ul>
<li>soit participer financièrement, à prix libre ;</li>
<li>soit profiter de l'occasion pour adhérer (ou renouveller une cotisation) ;</li>
<li>soit contribuer au buffet en amenant à boire ou à manger (en l'annonçant au préalable sur la liste de diffusion des bénévoles pour s'organiser) ;</li>
<li>soit apporter votre bonne humeur, si aucune des conditions listées ci-dessus ne vous est accessible.</li>
</ul><p>À bientôt autour d'un verre et d'une part de cake :) !</p></div><div><a href="https://linuxfr.org/news/soiree-pour-les-4-ans-de-lorraine-data-network-le-17-janvier-2015.epub">Télécharger ce contenu au format EPUB</a></div> <p>
<strong>Commentaires :</strong>
<a href="//linuxfr.org/nodes/104321/comments.atom">voir le flux Atom</a>
<a href="https://linuxfr.org/news/soiree-pour-les-4-ans-de-lorraine-data-network-le-17-janvier-2015#comments">ouvrir dans le navigateur</a>
</p>
juBenoît Sibaudhttps://linuxfr.org/nodes/104321/comments.atom