Détails

Écrit par : Gildas Ribot

Catégorie : Informatique

Publié le : 8 Septembre 2013

Clics : 21604

Internet évolue, du grand bazar collaboratif des années 90 à l'organisation commerciale des années 2000, que devient il en 2013 ?

Les années 90 ont été pour moi l'âge d'or d'internet, un âge où l'innovation était sans limite, au grand désespoir de certains, un âge de jubilation, où on n'était qu'à un clic de souris d'une personne à l'autre bout de la planète, où les échanges étaient riches et pleines de promesses pour l'éducation, l'accès à la culture et aux partages d'informations.

Cet internet n'est plus depuis que les deux tours du World trade center se sont retrouvées au sol, dans un chaos de poussières, de morts et d'exposition médiatique des terroristes qui ont sût gérer la médiatisation de leurs actes et leurs demandes excessives par ce média qu'est internet (site internet, youtube etc).

Une très grande vigilance s'est emparée des gouvernements qui ont vu cet internet libre, qui permet de s'exprimer librement et d'échanger, comme une menace pour les démocraties et la sécurité de leurs concitoyens.

Internet à donc été mis sous écoute, pour éviter qu'une deuxième catastrophe humaine se renouvelle.

Mais est ce que ce trop pleins de sécurité nuit à la liberté ?

Faisons un petit tour "paranoïaque" de cette question.

Il était une fois la NSA.

La NSA est un organe de renseignements d'état des USA qui permettent de surveiller certaines personnes, certains groupes pour prévenir d'attentats terroristes.

Mettre en surveillance quelques personnes est une chose pour prévenir des risques d'attentats et sécuriser ainsi la vie des citoyens, mais du fait de l'ampleur de la tâche, de la nébuleuse terroriste, il est difficile de savoir qui fait quoi et si des personnes représentent une menace réelle ou pas.

Les moyens mis en oeuvre après le 11 septembre sont considérables:

• La NSA a les capacités d'analyser 75% du traffic internet américain en direct
• La NSA a le pouvoir d'archiver pendant les données chiffrées circulant sur le net
• La NSA a le pouvoir d'archiver 3 à 5 jours d'internet mondial via Xkeyscore
• ...

L'intendance est encore plus impressionnante:

 Les recherches en cryptologie (recherche sur le chiffrage/déchiffrage) aux USA:

• c'est: 8,4 milliards d'Euros par an,
• 35 000 cryptanalystes à plein temps

Il y a donc une véritable armée de mathématiciens, de programmeurs en pleines recherches, pour trouver des moyens d'accèder à nos données personnelles, contre notre volonté à cause de cette ambiance délétère du "Tous présumé coupable"

Aux USA, on note par exemple la loi "PatriotAct" qui permet d'accéder sans mandat ni demande de justice aux contenus et données privées des utilisateurs,

Ce qui pose des soucis aux utilisateurs français des services internet américains (Google, Yahoo, Gmail, Twitter, Facebook etc) car sans aucune demande de justice, ces services basées aux états unis peuvent fournir sans consentement de votre part vos coordonnées téléphoniques, bancaires, age, adresse, mails, ce que vous avez dit en Chat et avec qui vous communiquez.

Sachez encore que s'il vous vient l'idée suivante: "c'est pas grave, je vais chiffrer mes messages", ces messages chiffrés sont automatiquement archivé pour 5 ans (le temps qu'on les déchiffre si c'est important)

Les Compagnies française ne sont pas exempte du "PatriotAct".

Si une compagnie à une branche aux USA, la compagnie ENTIERE est soumise à la loi américaine (voir la petite explication gênée et courageuse d'Octave Kabla, le patron d'OVH à ce sujet)

Tous les grands noms du logiciel et des systèmes d'exploitation ont signés des accords avec la NSA et ménage des backdoors pour accèder à vos données, de même que les FAI

Android possède une fonction pour installer discrêtement des applications à distance discrêment

(si vous ne me croyez pas: allez sur le Google Play Store avec votre ordinateur, laissez votre portable androïd à 500 km de là. vous pourrez avec votre ordinateur ajouter ou retirer des applications sur votre smartphone à distance.

Un des backdoors imaginable est de ne rien laisser afficher sur cette mise à jour à distance en masquant le téléchargement et le nom de l'appli lancé (mon exemple montre que c'est possible, mais on voit qu'un téléchargement d'une appli est lancée et on voit son nom)

C'est pareil avec l'Iphone, Windows, Apple/Mac et tous les gros programmes du commerce (LotusNote. CryptoAG, etc (liste incomplête +++))

Vous me direz, si vous êtes libristes (fan de programmes opensources) que c'est bien fait pour ceux qui achetent et utilisent des programmes commerciaux, dont on ne peut vérifier le code source pour détecter les backdoors.

Vive le libre <3 ! concluerez vous.

Panorama du logiciel libre en 2013.

Le logiciel libre a un mérite de taille:

le code source est disponible, c'est programmé par 5/6 personnes, contrôlées vaguement par une vingtaine de personnes dans le meilleur des cas, et c'est tout à fait fonctionnel et ça fait le boulot d'un logiciel commercial.

Le fait que son code source soit disponible est sur le papier un gage de sécurité.

Détrompez vous !

Des entreprises privées (ex: la société VUPEN à Montpellier) font pas mal d'argent sur les bogues trouvés dans ses logiciels et les monétisent à des services gouvernementaux: il est beaucoup plus intéressant pour eux de ne pas dévoiler/divulguer les bogues trouvés car ces failles trouvées sont vendues et revendues à bon prix aux sociétés qui veulent accèder à des données utilisateurs.

C'est ainsi que des bogues se transforment en redoutable BackDoors (même si ça reste un bogue à l'origine, la fonction est identique)

Prenons comme exemple le logiciel de chiffrage "Cryptocat"

Cryptocat est une application web open source destinée à permettre des communications sûres et chiffrées. Cryptocat chiffre les chat côté client ; la confiance au serveur se limite à des données déjà chiffrées. Cryptocat est accessible par HTTPS, tandis qu'il propose une application Google Chrome qui charge le code localement. Cryptocat entend fournir un moyen de communiquer de façon impromptue et chiffrée, en offrant plus de confidentialité que Google Talk, tout en garantissant un niveau d'accessibilité plus élevé que les autres plateformes de chiffrement. (Wikipedia)

• Une faille fut connue dès le 17 octobre 2011 et ne fut trouvée officiellement le 15 juin ... 2013

Tous les messages de chat en groupe sont compromis entre ces deux dates à cause de ce bogue (connu et exploité par certains mais pas trouvé par l'équipe de développement)

RAPPEL:

• Cryptocat: c'est 5 développeurs à mi temps
• des sociétés comme VUPEN, c'est une cinquantaine d'employés professionnels à plein temps
•  La NSA: c'est 35 000 cryptanalystes professionnels à plein temps

(ne jettez pas de cailloux sur l'équipe de développement de cryptocat. ;-) )

La chasse aux Bogues dans le logiciel libre populaire rapporte plus d'argent, surtout si ces bogues ne sont pas dévoilés.

exemple:

En 2012, Vupen avait de nouveau gagné le concours de Vancouver en faisant deux démonstrations de piratage de navigateurs - Chrome, de Google, et Explorer 9, de Microsoft. A l'époque, Google offrait une prime de 60 000 dollars à celui qui réussirait une attaque contre Chrome à condition qu'il lui livre le mode d'emploi. Or, Chaouki Bekrar avait fait scandale en refusant l'offre de Google. Selon la presse américaine, il aurait déclaré qu'il ne traiterait jamais avec Google, car il gardait ce type de trouvaille pour ses clients, qui payaient bien plus cher.(source)

 

 

 

 Le chiffrage est le nerf de la guerre.

La NSA a réussit le tour de force de corrompre les systèmes de chiffrement, pas les algorithmes permettant de les faire,

en posant des backdoors un peu partout sur le réseau et des bogues volontaires.

La surveillance est devenue une industrie à part entière, très lucrative, en plein développement.

De la surveillance d'état pour tenter de prévenir un attentat, des actes odieux, on est passé à une industrie de la surveillance qui vend ses machines à des dictatures pour museler les opposants.

• Je vous passerai sous silence les machines d'Amesys à scruter internet et les mails des lybiens, pour attraper les opposants au régime de Kadhafi,

• et aussi les machines Qosmos que la France à essayer de refourguer à Bashar El Assad, pour tenter aussi d'attraper les opposants à son régime.

revenons à nos moutons, à notre internet de 2013 un peu malmené:

Beaucoup de sociétés privées vous propose de sécuriser votre ordinateur en vous vendant un parefeu, un antivirus, vos mails en vous proposant des packs "Tout en Un"

exemple: Sophos:

La suite de sécurité tout en un

Protection des postes, des portables, des mobiles, des données, du Web et même de la messagerie en une seule licence (source)

 

Une société de sécurité privée vous proposant des produits de qualité pour sécuriser votre internet de tous ceux qui voudraient accèder à vos données personnelles, tentant n'est ce pas ?

Il faudrait noter que Sophos a des acrivités bien plus lucratives ailleurs, avec une autre société lui appartenant,

"Ultimaco Safeware AG", qui permet de faire des copies des données de les analyser dans un but d'expertise légale.

Avouez que c'est pratique de vendre un antivirus, un parefeu, et en même temps avoir une autre branche (Ultimaco) qui permet d'accèder aux données des utilisateurs, les stocker malgré les parefeux, les antivirus et autres brouzoufs électroniques.

et ....

"Ho suprême citrouille sur le gateau d'anniversaire"

Sophos via Ultimaco travaille avec QOSMOS.

avouez quand même que c'est assez flippant qu'une société éditant un antivirus/parefeu grand public fasse aussi du DPI et de la récupération des données personnelles en parallèle sur le réseau internet ou autre (il récupère aussi les SMS sans saisir le téléphone portable).

et voilà, la boucle est bouclée.

Du chiffrage dans l'art de la guerre.

le RSA semble être à bout de force sur le réseau (le protocole, pas le chiffrage), les certificats ne sont plus fiables, des bogues sont introduits dans la chaine de certification, ce qui affaiblit le chiffrage et le rend tout à fait déchiffrable par la NSA.

La presse américaine ne dit que du bien actuellement de ce chiffrage (oui, j'ironise XD ): "Chiffrage sur les courbes elliptiques" (cf Wikipedia)

Car je vois que de ce petit programme "Mobile Encryption Program" basé sur ce nouveau protocole de chiffrage de courbes elliptiques fait couler beaucoup d'encre sur les rotatives américaines

Le fait d'avoir un chiffrage robuste, résistant à la NSA et à l'analyse, et qui permet de conserver sa vie privée à l'écart des yeux indiscrets est tout à fait plaisant, sauf que ce programme a été conçu et développé par une branche d'Alqaeda elle même aux services de ceux qui ne veulent pas être espionnés par les USA.

Leur programme de protection des données personnelles est tentant, et le syndrôme de Stockholm n'est pas loin.

Tout le paradoxe et l'absurdité  de l'époque résumé en un programme de moins de 300 ko

Alqaeda protégeant désormais la vie privée, les USA les bafouants

Un comble.

Détails

Écrit par : Super User

Catégorie : Informatique

Publié le : 31 Juillet 2013

Clics : 10622

Lire la suite : Vérifier si son site compresse bien les pages distribuées en GZIP

Détails

Écrit par : Gildas Ribot

Catégorie : Informatique

Publié le : 19 Mars 2013

Clics : 11719

Quelques une de mes notes et post its pour tenter de remettre la main sur un serveur distant de type "Ubuntu Server"

Dans le X2GO client, choisissez à la place de Gnome ou d'unity le mode terminal

Vous obtenez une belle fenêtre comme ceci:

Il existe ensuite plusieurs façon de se tirer d'un mauvais pas:

Vous pouvez tenter un reboot:

tapez cette commande:

Sudo reboot

(on vous demandera votre mot de passe (qui est le même que celui que vous avez rentré pour vous connecter)

Si ça ne marche pas, on peut tenter une mise à jour:

sudo apt-get update

puis on fera un

sudo reboot

si ça ne marche pas:

avec par exemple un message d'erreur qui empêche l'ouverture de Gnome (ex: Fallback, ou erreur de session etc)

on peut tenter de réparer/réinstaller gnome (1) en tapant ceci:

sudo apt-get install gnome-session-fallback

et il faudra aussi rebooter

(vous savez, en tapant cette commande:

sudo reboot

)

redémarrer X2GO, rechoisissez Gnome à la place de terminal et tenter de relancer le serveur ....

Détails

Écrit par : Gildas Ribot

Catégorie : Informatique

Publié le : 5 Janvier 2013

Clics : 14059

Un de mes articles de 2002 écrit sous pseudo: "Torkis"

Souvenir, souvenir, Le système macrovision: comment s'en défaire

Les moyens :
en voici quelques uns ...ce petit codage très embêtant pour certains
rétroprojecteurs de salon (qui flashe alors violemment)
et c'est d'un ridicule ... qui copierait ses propres DVD sur VHS ???
De plus certains magnétoscopes rajoute à l'insu de votre pleins gré ce
signal de cryptage lors de l'enregistrement de vos vidéos perso (Camescope
analogique sur certains magnétoscope !!!!!) ...
Luttons contre Macrovision !!

1-smart ripper ou dvddecrypter enlève ce flux Macrovision sur les DVD via PC

2-certains transmetteurs de flux vidéo sans fil de pièce à pièce le fait pas
mal aussi ;-)))

3-des boitiers externes entre 2 péritels (en vente dans certains grand
magasins hIfI et électroménagers !!!

4- dézonnage du .... magnétoscope ;-)) (il suffit de supprimer dans un
menu parfois disponible parfois non le gain automatique sur l'image !!!)

4-dézonner et enlever par un patch ou une combinaison de touche son lecteur
DVD de salon

5-ne pas acheter les appareils faisant de la macrovision ou insensible à la
macrovision (parfois des vieux magnétoscopes...)!!!

6-etc !!!

chacun sa recette de cuisine contre un système qui n'embête que
l'utilisateur final contre pas grand chose finalement...
sauf de dégrader un peu plus le signal de sortie de la vidéo ... un peu plus
moiré et légèrement scintillante...
Mais si cela fait plaisir à l'industrie et la Dmca pourquoi pas ????

Torkis!

Source