Vous avez un smartphone dans votre poche ? Voici comment vous suivre à la trace… et avec votre consentement ! Google cache dans ses services une option aussi dingue qu’effrayante. Elle permet de suivre n’importe quel internaute, à la trace. Pour cela, rien de plus simple. Avoir un smartphone, si possible sous Android, et un compte gMail (ou Youtube, ou tout simplement chez Google). Le materiel dans votre poche fait le reste.
Comme le montre ma capture écran ci-dessous, on peut suivre les déplacements, jour par jour, heure par heure. Comme l’indique Google dans sa page dédiée : « L’accès aux données de localisation dans l’application Paramètres Google est disponible sur les appareils équipés de la version 4.1 à 4.3 d’Android. L’historique des positions et la mise à jour de la position sont disponibles dans l’application Paramètres Google sur les appareils équipés d’Android 4.0 ou version ultérieure sur lesquels l’application Google Maps pour mobile version 7.0 ou ultérieure est installée. » Le plus fou est que cette page existe depuis longtemps comme le confirme Telcrunch.
Comment se prémunir ?
Pour faire disparaitre ce mouchard, vous pouvez contrôler la manière dont les applications Google utilisent votre position à l’aide d’un simple paramètre, sans que cela ait un impact sur l’accès des applications tierces. Pour ce faire, procédez comme suit : D’abord dans le menu des applications de votre appareil, sélectionnez Paramètres Google ; puis dans un second temps vous appuyez sur la case à côté de l’option Données de localisation. Le paramètre est désactivé lorsque la coche disparaît. Attention, ce paramètre n’a d’incidence que sur les applications Google. Si vous le désactivez, les services Google proposés en dehors des applications et les applications autres que Google pourront déterminer votre position via votre appareil. Vous souhaitez regarder ce que possède Google sur vous, vos adresses, vos balades … (et la NSA aussi) ? direction Location History.
Effacer les traces ?
Data Security Breach a cherché comment effacer cet historique. Heureusement, il est possible de le supprimer. Direction l’application « Paramètres Google » accessible depuis le menu des applications de votre appareil, ou sur le site Web correspondant. Dans le menu des applications de votre appareil, ouvrez l’application Paramètres Google : Appareils équipés d’Android 4.3 ou version antérieure : appuyez sur Position > Historique des positions. Appareils équipés d’Android 4.4 : appuyez sur Position > Services de localisation > Mise à jour de la position Google > Historique des positions.Appuyez sur Supprimer l’historique des positions en bas de l’écran.
Sur le site web, sélectionnez une date pour laquelle vous disposez d’un historique. Ensuite, pour l’historique complet : sélectionnez Supprimer tout l’historique pour supprimer l’intégralité de l’historique enregistré. Par date : sélectionnez Supprimer l’historique de ce jour pour supprimer l’historique correspondant à la date sélectionnée. Sélectionnez une plage de dates, puis l’option Supprimer l’historique enregistré pour cette période, pour supprimer l’historique correspondant à l’ensemble des jours sélectionnés. Par position : sélectionnez un lieu dans la liste ou sur la carte. L’info-bulle vous permet de supprimer cette position de votre historique.
Voici quelques conseils techniques et de bon sen pour éviter de voir partir son compte Facebook dans les mains d’un malveillant. Des techniques efficaces et simples à mettre en place. L’intérêt pour un pirate de mettre la main sur votre compte Facebook est multiple. La rédaction de DataSecurityBreach.fr a pu en recenser 10.
D’abord, la curiosité pure et simple. Que se cache-t-il dans les messages privés que vous pouvez diffuser à vos amis. Pas bien méchant, mais malsain. Ensuite, le malveillant classique, celui qui va usurper votre identité pour ventre de faux crédits à la consommation. Il diffuse, via votre compte, de fausse proposition financière.
Vient ensuite le vendeur de médicaments, de fausses marques, de faux comptes pour console de jeux (la grande mode en ce moment est de vous offrir, pour du faux, des accès au PSN de Sony). Mettre la main sur votre compte Facebook peut aussi servir à de vrais escrocs, celui qui expliquera à vos abonnés que vous êtes perdus au fin fond de l’Afrique, de l’Asie ou de l’Amérique du Sud et que de vous (lui) envoyer de l’argent, via Paypal, vous (lui) permettra de rentrer chez vous.
Les trois derniers cas, et pas des moindres, sont les plus nocifs. Le premier, diffuse des informations à vos amis (photos, fausses informations, …) Si vous souhaitez que cela cesse, le maître chanteur réclame de l’argent. Le second, des achats sous votre identité. N’oubliez pas qu’en prenant la main sur votre compte, le pirate connait tout de vous, du moins ce que vous avez pu sauvegarder dans l’administration de votre compte Facebook. Le pirate peut ainsi converser avec ses cibles, via votre adresse XXXX@facebook.fr. Je finirai par le compte servant de rebond à une attaque plus fine, plus pointue, comme la diffusion d’un virus, d’une page phishing, comme ce fût le cas pour l’Elysée ou d’une agence américaine. Ne pensez pas n’être qu’un anonyme sur la toile. Pour un pirate, nous sommes une star en devenir !
Comment se protéger
Première chose, évitez de cliquer sur n’importe quel lien qui vous passe sous la souris. Regardez bien les adresses web qui vous sont proposées. Si https://www.facebook.com ne débute pas l’url proposé, passez votre chemin. Autre élément important, votre mot de passe. On ne cesse de le répéter, mais il doit contenir au moins 12 signes : lettres (minuscules, majuscules), signes de ponctuations et chiffres.
Dans la partie « Sécurité » que vous trouverez en cliquant sur l’icône, en haut à droite, de votre page Facebook (puis sur compte), sélectionnez : « Navigation sécurisée ». Personne ne pourra plus intercepter votre mot de passe entre – Vous et Facebook -. Cela se traduit par le S du https de l’url indiqué plus haut dans cet article. N’hésitez pas à cocher l’option « Notification lors des connexions« . Cela vous permet d’être averti, par courriel, d’une connexion « pirate ». Loin d’être négligeable pour agir vite en cas de pépin.
Autres options indispensables, l’approbation de connexion et le générateur de code. Dans ce premier cas, votre smartphone vous offre une sécurité supplémentaire. Par SMS vous pourrez recevoir le code secret de secours qui vous rendra votre Facebook. La seconde option, le générateur de code, vous propose une série de chiffres uniques, toutes les 30 secondes, pour accéder à votre Facebook. En plus de votre mot de passe, le deuxième code devient indispensable pour vous connecter. Sans ces deux « sésames », le pirate ne pourra rien faire.
Je finirai avec les contacts de confiance. Je ne l’utilise pas, mais l’idée est intéressante. Elle permet de définir les amis qui peuvent vous aider à récupérer votre compte auprès de Facebook. S’ils vous connaissent, Facebook vous rendra votre bien… ou pas ! En cas de problème, il est toujours possible de contacter Facebook via la page dédiée : Compte piraté.
Le service secret américain aurait espionné à grande échelle les jeux vidéo en ligne tels World of Warcarft et le réseau Xbox Live. Edward Snowden n’en finit pas de sortir des documents tous plus fous les uns que les autres. Le dernier « truc » en date, diffusé par le journal britannique The Guardian, indique que la NSA aurait mis la main sur des millions d’informations de jeux en ligne. World of Warcarft et Second Life ont été montrés du doigt.
A noter que le Xbox Live serait aussi concerné. Il parait que la NSA aurait tenté de recruter des joueurs afin que ces derniers veillent aux discussions bizarres. Des propos de terroristes. Vue les commentaires tenus dans des jeux tels que Call of Duty, autant dire que la NSA a du se tirer une balle dans le e.pied. Enfin du moins si les informations de Snowden s’avérent vraies. Nous rappelons tout de même qu’il est l’unique source traitant des fuites de la NSA.
Cela expliquerait peut-être aussi la grande mode des jeux en ligne en mode cloud. Les informations sont ainsi sauvegardées hors PC et consoles, donc plus facilement accessibles. Alors, possible ? Il serait marrant de découvrir que la grande majorité des phishing World of Warcraft soient signés NSA ! En attendant, nous conseillons aux 007 locaux de surveiller MineCraft, nous y avons vu d’étranges constructions, en forme de cube !
Mercredi 27 novembre, l’Assemblée Nationale s’est prononcée sur la proposition de loi [1] dite contre le « système prostitutionnel ». Comme La Quadrature du Net les y invitait [2], les députés se sont opposés à l’extension de la censure administrative d’Internet. Néanmoins, ils ont entériné les nouvelles obligations qui, mises à la charge des hébergeurs, renforceront les formes de censure privée qui portent d’ores et déjà atteinte à la protection de la liberté d’expression sur Internet. ***
L’article 1er de la proposition de loi débattue aujourd’hui prévoyait de conférer à une autorité administrative le pouvoir de prononcer des mesures de censure du Net, sans l’intervention préalable de l’autorité judiciaire. Reprenant à la lettre les dispositions qu’avait introduites la LOPPSI en 2011 afin de combattre la diffusion de contenus à caractère pédopornographique, la proposition de loi visait à les étendre aux sites contrevenant aux dispositions pénales qui répriment le proxénétisme et la traite des êtres humains. Un tel ajout se révélait en l’espèce particulièrement inefficace et toujours aussi dangereux pour les libertés individuelles (voir la note [3] envoyée aux députés à ce sujet). La Quadrature du Net se réjouit donc que l’Assemblée nationale ait rejeté un telle extension, suite notamment au dépôt d’un amendement [4] de suppression par le gouvernement.
Néanmoins, ce même article 1er prévoit aussi de modifier l’obligation [5] imposée par la loi pour la confiance dans l’économie numérique (LCEN) aux hébergeurs de mettre en place un dispositif permettant à toute personne de signaler certaines catégories de contenus considérés comme particulièrement graves (apologie de crimes contre l’humanité, négationisme, pédopornographie), auxquels viendraient alors s’ajouter ceux considérés comme participant au « système prostitutionnel » [6]. Or, les hébergeurs sont par ailleurs pénalement responsables des contenus qu’ils hébergent dès lors qu’ils ont connaissance de ces derniers. Ainsi, tout dispositif de signalement ne peut que les inciter à retirer les contenus signalés, et ce afin d’éviter tout risque juridique. Une forme de censure privée, hors de tout cadre judiciaire et de toute garantie contre des atteintes injustifiées aux libertés fondamentales des citoyens.
Des amendements [7] présentés par les députés Serge Coronado (EELV) et Lionel Tardy (UMP) visaient à supprimer cette disposition pour limiter le risque de censure de contenus parfaitement licites qui auraient été signalés à tort. En lieu et place, une solution cohérente consisterait à encourager les citoyens à entrer directement en contact avec les services de police pour signaler les contenus leur paraissant constitutifs d’infraction via la plate-forme des pouvoirs publics prévue à cet effet (internet-signalement.gouv.fr). Ils n’ont malheureusement pas été entendus, ni par leurs collègues, ni par le gouvernement.
« Des deux formes de censure contenues dans cette proposition de loi, les députés ont choisi de rejeter celle qui violait de la manière la plus flagrante la liberté d’expression sur Internet. Mais en condamnant la censure administrative tout en s’obstinant à encourager la censure privée des contenus en ligne, les députés font preuve d’une absence de cohérence. Alors que d’autres projets de loi en cours d’examen au Parlement renforcent également la régulation extra-judiciaire du Net [8], le gouvernement et le législateur doivent mettre fin à cette fuite en avant répressive en instaurant un moratoire contre toute nouvelle disposition susceptible de porter atteinte aux droits fondamentaux sur le réseau. À l’image de l’initiative du Marco Civil [9] actuellement en discussion au Brésil, les pouvoirs publics doivent engager un large dialogue avec la société civile afin d’apporter des garanties législatives fortes en faveur des libertés publiques et des droits fondamentaux sur Internet » conclut Félix Tréguer, co-fondateur de l’association La Quadrature du Net.
* Références *
1. http://www.assemblee-nationale.fr/14/dossiers/systeme_prostitutionnel_renforcement_lutte.asp
2. https://www.laquadrature.net/fr/lutte-contre-le-proxenetisme-linacceptable-retour-de-la-censure-administrative-du-net
3. https://www.laquadrature.net/files/PPL%20prostitution%20-%20LQDN%20-%20suppression%20art1.pdf
4. http://www.assemblee-nationale.fr/14/amendements/1558/AN/56.asp
5. Article 6.I.7 alinéa 6 de la loi pour la confiance dans l’économie numérique adoptée en 2004 :
« Compte tenu de l’intérêt général attaché à la répression de l’apologie des crimes contre l’humanité, de l’incitation à la haine raciale ainsi que de la pornographie enfantine, les personnes mentionnées ci-dessus doivent concourir à la lutte contre la diffusion des infractions visées aux cinquième et huitième alinéas de l’article 24 de la loi du 29 juillet 1881 sur la liberté de la presse et à l’article 227-23 du code pénal. »
6. Article 1er de la proposition de loi renforçant la lutte contre le système prostitutionnel :
« L’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique est ainsi modifié :
1° Le 7 du I est ainsi modifié :
a) Au troisième alinéa, après le mot : « articles », sont insérées les références : « 225-4-1, 225-5, 225-6, » ;
[…] »
7. Amendement n°4 présenté par M. Tardy (député UMP de la 2ème circonscription de Haute-Savoie) et amendement n°57 présenté par M. Coronado (député EELV de la 2ème circonscription des Français établis hors de France)
8. Des dispositions en partie similaires à celles contenues dans cette proposition de loi sont également présentes dans le projet de loi sur l’égalité entre les sexes (extension des obligations de signalements incitant à la censure privée) et dans le projet de loi relatif à la consommation (donnant à la DGCCRF le pouvoir de demander au juge le blocage d’un site), tous deux également en cours d’examen à l’Assemblée.
9. https://www.laquadrature.net/fr/internet-a-besoin-dune-marco-civil-sans-compromis-au-bresil
Les eurodéputés demandent que l’IP-tracking soit reconnu comme une pratique commerciale déloyale. La Commission des affaires juridiques du Parlement européen a adopté aujourd’hui un rapport sur l’application de la directive 2005/29/CE sur les pratiques commerciales déloyales. Dans ce rapport, voté à l’unanimité, les parlementaires demandent aux États membres et à la Commission européenne une protection adéquate des consommateurs face à l’IP-tracking [1].
Françoise Castex se félicite que l’ensemble des groupes politiques aient soutenu son amendement visant à reconnaître l’IP-tracking comme une pratique commerciale déloyale. « C’est la preuve que le ras-le-bol est général face à ces pratiques inadmissibles qui touchent des millions de consommateurs européens! » déclare l’eurodéputée socialiste.
« Le Parlement souhaite mettre un terme à l’inaction de la Commission et des États membres« , estime Françoise Castex, qui avait saisi l’exécutif européen un janvier puis en juillet dernier [2]. « Nous demandons à la Commission européenne de se pencher sur ce phénomène bien connu des consommateurs et de proposer enfin un texte qui interdise ces pratiques commerciales sur le net. »
« À défaut, nous demanderons à la Commission européenne une révision de la directive 2005/29« , conclut la Vice-présidente de la Commission des Affaires juridiques du Parlement européen.
[1] Méthode utilisée par un opérateur et qui consiste, lorsqu’un usager effectue une recherche de billets, à enregistrer cette recherche et l’associer à l’adresse IP du terminal utilisé. Si l’usager n’achète pas immédiatement, et se décide un peu plus tard, l’opérateur ayant gardé en mémoire l’intérêt manifesté par l’usager pour ce trajet, propose alors un prix un peu supérieur, ceci afin de susciter l’achat immédiatement en laissant penser à l’internaute que le nombre de places diminue et que le prix augmente.
[1] Françoise Castex avait saisi la Commission européenne le 29 janvier 2013 par une question avec demande de réponse écrite (http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+WQ+P-2013-000873+0+DOC+XML+V0//FR&language=fr) et interpellé le Commissaire à la protection des consommateurs lors de sa prise de fonctions le 2 juillet: http://www.francoisecastex.org/2013/07/ip-tracking-francoise-castex-saisit-le-nouveau-commissaire-croate.html
[1] Méthode utilisée par un opérateur et qui consiste, lorsqu’un usager effectue une recherche de billets, à enregistrer cette recherche et l’associer à l’adresse IP du terminal utilisé. Si l’usager n’achète pas immédiatement, et se décide un peu plus tard, l’opérateur ayant gardé en mémoire l’intérêt manifesté par l’usager pour ce trajet, propose alors un prix un peu supérieur, ceci afin de susciter l’achat immédiatement en laissant penser à l’internaute que le nombre de places diminue et que le prix augmente.
[2] Françoise Castex avait saisi la Commission européenne le 29 janvier 2013 par une question avec demande de réponse écrite (http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+WQ+P-2013-000873+0+DOC+XML+V0//FR&language=fr) et interpellé le Commissaire à la protection des consommateurs lors de sa prise de fonctions le 2 juillet: http://www.francoisecastex.org/2013/07/ip-tracking-francoise-castex-saisit-le-nouveau-commissaire-croate.html
La Commission européenne doit adopter mercredi 27 novembre un texte dans lequel il est clairement indiqué qu’elle continuera à travailler étroitement avec les services de renseignement américains. Dans ce document de travail, il est souligné que la Commission européenne ne suspendra pas les transferts controversés de données personnelles vers les Etats-Unis, et ce malgré les révélations d’Edward Snowden et les demandes répétées des parlementaires relatives à la protection de la vie privée. En particulier, la Commission ne veut pas suspendre l’accord Swift-TFTP comme l’a réclamé le Parlement européen dans une résolution du 23 octobre dernier. Elle rejette également toute révocation de l’accord «Safe Harbour», permettant l’utilisation commerciale des données personnelles des Européens par les sociétés américaines.
Francoise Castex ironise: « C’est la façon qu’a la Commission de lancer la campagne des européennes! Déjà en 2008, lors de l’adoption du paquet Telecom, Viviane Reding nous avait fait le coup[1]. Votez ce que vous voudrez, on n’en tiendra pas compte! » Avant d’ajouter, plus sérieusement: « C’est un très mauvais signal envoyé aux électeurs qui n’en finissent plus de se demander à quoi sert l’Europe! ». Pour l’eurodéputée socialiste: « Après ACTA et le TTIP, Barroso se fait une nouvelle fois le supplétif des intérêts américains. » L’élue gersoise conclut: « Le rôle de la Commission européenne est de défendre le projet européen, pas de le vendre!«
[1] Le 24 septembre 2008, quelques heures après l’adoption de l’amendement 138 sur le paquet Telecom, Viviane Reding avait annoncé que la Commission européenne ne reprendrait pas cet amendement pourtant voté par 80% des parlementaires, avant de se rétracter.
A lire, le document de la Direction Générale des Politiques Internets du Parlement Européen sur Les programmes de surveillance des Etats-Unis et leurs effets sur les droits fondamentaux des citoyens de l’UE.
Après le piratage de 38 millions de clients de l’éditeur ADOBE, une étude montre que les mots de passe des piratés sont aussi ridicules qu’inutiles. A se demander si le piratage de 38 millions de clients ADOBE n’est pas un moyen de communiquer auprès des clients et entreprises utilisatrices des produits de l’éditeur de Photoshop, Adobe Acrobat, ColdFusion. Des chercheurs, qui ont été mettre la main sur les données diffusées sur un forum russe, ont analysé les mots de passe volés à ADOBE. Des précieux appartenant donc à ses clients.
Jeremi Gosney, chercheur chez Stricture Consulting Group révèle une liste des 100 mots de passe les plus utilisés. Autant dire qu’il y a des claques qui se perdent : 1,9 million de comptes utilisaient comme sésame : 123456 ; plus de 400 000 : 123456789. On vous passe les mots de passe « password« , « 12345678 » ou encore « adobe123« . Bref, avec de telle sécurité pas besoin de voler une base de données ! (Developpez)
Au sommaire de ce nouvel opus de ZATAZWeb.tv HD de Novembre :
1 – Découverte de Gith, un environnement sécurisé et chiffré que vous allez pouvoir emmener partout avec vous sans peur d’être espionné. Cerise sur le gâteau, Gith est une application Mac, Linux, Windows et Smartphone « Made in France ».
2 – Espionner une carte bancaire qui permet le paiement sans fil, une puce RFID, de plus en plus simple. En avant-première, zatazweb.tv va vous présenter l’alarme anti RFID de poche. De la taille d’un porte-clés, il vous indique quand une lecture NFC est en cours.
3 – Contrer la contrefaçon de diplôme ? Une première européenne pour un lycée lillois qui tag les diplômes de ses bacheliers.
4 – WatchDogs retardé ? ZATAZWeb.tv a été tirer les vers du nez d’Ubi Soft pour en savoir plus sur ce jeu qui nous fait baver.
5 – Un 0Day découvert dans plus d’une dizaine de sites de rectorats français. Explications et démonstration.
6 – Pour sauver les hackers, donnez-leur du travail. Découverte de Yes We Hack, le portail dédié à l’emploi de la sécurité informatique.
7 – Wizzywig : la BD qui retrace les « aventures » de l’ancien hacker, Kévin Mitnick.
8 – HackNowLedge – La grande finale (les 7 et 8 décembre) : 6 pays, 12 équipes, 70 épreuves de hacking éthique.
Pour contrer l’espionnage mis en place par la NSA et son outil Prism, un chercheur Français lance Peersm : des échanges de fichiers de manière anonyme. Aymeric Vitte est un chercheur en informatique, ancien élève ingénieur à Telecom Paris, ce natif d’Aix en Provence, a travaillé pour Alcatel. Spécialiste du GSM, il a géré un grand nombre de projets en Amérique du Sud. Il a mis en place, par exemple, le premier réseau GSM au Brésil et travaillé sur des projets « Satellite » comme GlobalStar. Aujourd’hui il développe des solutions informatiques pour les entreprises et les professions libérales.
En parallèle, l’homme contribue régulièrement à W3C/WHATWG/TC39 et il est membre du groupe de travail WebCrypto W3C. Parmi ses projets personnels, Peersm, une idée dingue mais terriblement prometteuse : permettre l’échange de fichier sans aucune possibilité de traçage. Un anti Prism qui devrait voir arriver sa première application dans les semaines à venir.
Les points communs de tous ces projets est que la technologie est à l’intérieur du navigateur. Vous n’avez pas besoin d’installer quoi que ce soit. Tout est basé sur une mise en œuvre javascript du protocole Tor. Bref, des échanges de fichiers de manière anonyme et bases de données distribuées dans les navigateurs, sans rien installer puisque l’application anonymisante est une appli js. Interview !
DataSecurityBreach.fr – Parlez nous de votre projet. Pourquoi Peersm ?
Aymeric Vitte – Peersm versus Prism en inversant le r, d’où le nom, difficile de trouver un nom de domaine avec ‘peer’ ou ‘peers’ dedans, j’ai finalement trouvé Peersm, le contraire de Prism.
DataSecurityBreach.fr – Pourquoi cette idée ?
Aymeric Vitte – Pour échanger des fichiers sans passer par des tiers et en contournant d’éventuelles oreilles indiscrètes, avec tout dans le navigateur, pour ne pas avoir à installer quoique ce soit et éviter des applis pseudo anonymisantes ou sécurisantes genre VPN ou autres, j’explique sur le site pourquoi on peut avoir confiance. Il y a beaucoup de cas d’utilisation, bons ou mauvais, le jugement étant laissé à l’appréciation de chacun (sachant qu’on ne tient pas du tout aux utilisations criminelles, pédo et autres, d’où le fait que ce soit modestement payant si ça peut aider à éviter ces dérives), cas d’utilisation vécu: au cours d’une réunion de famille où j’ai passé deux heures à expliquer à tout le monde les fondements d’iAnonym (souviens toi : tracking, collusion, vie privée, anonymité, etc ), le soir même un proche met toutes les photos sur un site pour qu’on les télécharge… no comment… c’est exactement ce qu’il faut éviter de faire et que j’ai passé l’après midi à expliquer
Aymeric Vitte – L’innovation encore une fois est de tout avoir dans les navigateurs et de partager les données entre peers dans les navigateurs. 1,5 Milliards de navigateurs dans le monde, imaginez ce que l’on peut faire…. L’idée n’est pas notre exclusivité pour la base de données distribuée, je donne des exemples d’autres projets sur le site. L’OP js Tor dans le navigateur qui se connecte à Tor via les WebSockets est lui notre exclusivité.
DataSecurityBreach.fr – Qu’est ce qui garantie la sécurité des échanges ?
Aymeric Vitte – Personne ne sait qui parle à qui et ce qui est échangé, on peut aussi crypter ses données si vraiment on n’a pas confiance en ce que fait l’ORDB. Ca ressemble un peu à MEGA sur ces aspects.
DataSecurityBreach.fr – Evolution du projet ?
Aymeric Vitte – Une version bétâ bientôt avec de vrais utilisateurs/testeurs, on verra ensuite selon les avis/résultats (crowdfunding again ?). Pour l’instant je ne sais pas dire précisément combien un ORDB peut gérer d’utilisateurs.
DataSecurityBreach.fr – En cette période ou l’on voit la NSA partout, la sécurisation des échanges, une vraie problématique ?
Aymeric Vitte – Oui d’autant plus que l’on ne peut pas faire confiance à https/SSL/TLS.
Aymeric Vitte – Parce que c’est ce dont tout le monde parle pour des échanges peer to peer directement dans les navigateurs et il y a plusieurs projets concernant les échanges de fichiers avec WebRTC, sur le site je tente de définir une architecture WebRTC qui pourrait fonctionner avec les concepts de Peersm, le schéma montre que ce n’est pas possible, WebRTC peut être sécurisé si les peers se connaissent et peuvent partager ou générer un secret, sachant que l’on sait toujours quand même qu’un peer se connecte (serveurs ICE STUN/TURN) ce qui est gênant. Maintenant l’avantage est une utilisation réellement peer to peer sans un serveur qui relaie les messages, comme les torrents, mais on en connait le prix : impossible de protéger sa vie privée et son anonymité.
Durant mes différents déplacements à l’étranger, j’aime me promener dans les espaces informatiques mis à disposition par les hôtels. De beaux ordinateurs des hôtels connectés à Internet, gratuitement. Si l’idée est intéressante, elle permet de rester connecter avec la famille, ses emails, la dangerosité de l’occasion offerte est à rappeler. Depuis le mois de juin, j’ai eu la chance de me promener par « monts et par vaux » pour zataz.com, zatazweb.tv, datasecuritybreach.fr ou mes employeurs, de l’Espagne au Maroc en passant par la Tunisie, l’Angleterre, la Belgique ou encore l’Île Maurice et le Québec. Dans les hôtels qui ont pu m’accueillir, des connexions web (payantes et/ou gratuites) et des machines mises à disposition. PC ou Mac, bref, des liens de connexion avec son monde familial… ou professionnel. Aussi paranoïaque que je puisse éviter de l’être, il ne me viendrait pas à l’idée de me connecter à ces machines pour le travail. A première vue, beaucoup de « vacanciers » ou « d’employés » n’ont pas mes craintes.
Il est mignon Monsieur Pignon…
Du 1er juin 2013 au 24 octobre 2013 j’ai pu étudier 107 ordinateurs en accès libres. 37 Mac et 70 PC. J’ai pu mettre la main sur 25.811 documents que je considère comme sensibles. Sensibles car ils auraient pu permettre à un pirate informatique, je ne parle même pas de l’ambiance « Les services secrets étrangers nous surveillent », d’identifier et usurper une identité, une fonction, des projets professionnels.
Ci-dessous, quelques documents que j’ai pu croiser. Il s’agit, ici, de captures d’écrans effectuées avec mon appareil photo. L’ensemble des fichiers ont été effacés après mes découvertes et les directions des hôtels alertées, histoire de coller quelques affiches, ici et là, sur les mesures que les clients devraient prendre lors de leurs pérégrinations informatiques.
En déplacement, sortez armés lors de l’utilisation des ordinateurs des Hôtels
Je peux comprendre, je suis le premier concerné, qu’en déplacement, le besoin de rester connecter se fait rapidement sentir. Un petit coucou à la famille restée à la maison, aux courriels du patron ou quelques mises à jour sur son site web et autres blogs. Seulement, il n’est pas toujours évident de se promener avec son ordinateur portable sous le bras. Si c’est le cas, voyez nos méthodes de sécurisation physiques et numériques de votre – Précieux -. Prudence, aussi, aux connexions wifi offertes dans les hôtels. Dans la foulée de mes voyages, se promènent toujours avec moi, mes Pirates Box @zataz. Pourtant baptisées PirateBox, donc de quoi inquiéter ceux qui ne connaissent pas cette merveilleuse petite amie numérique, j’ai pu découvrir pas moins de 54.291 fichiers privés (80% de photos, ndlr) téléchargés par des inconnus. Je vous passe la possibilité malveillante d’une PirateBox Man-in-the-middle s’annonçant comme un « Hotel-Free-Wifi » ou « Starbux-Wifi-Free« . Il ne reste plus qu’à collecter les données sensibles transitant entre le « touriste » et le site qu’il visite. Pour éviter de se voir gober comme un gros Ananas, la sécurisation de vos connexions est une obligation. Un service VPN est indispensable en déplacement.
Nous utilisons pour ZATAZ, DataSecurityBreach ou pour mes autres employeurs l’excellent VyprVPN, ainsi que de nombreux systèmes d’anonymisation et chiffrement de données. Présent sur les 5 continents, plus de 200.000 IP et un pare-feu NAT loin d’être négligeable. Les pirates et les bots malveillants cherchent sur Internet les appareils non protégés qu’ils peuvent utiliser pour le vol d’identité et les messages indésirables. Ils accèdent à votre système par les connexions Internet qui sont ouvertes sur vos applications. En utilisant ces connexions, ils peuvent installer des malwares et voler vos informations personnelles. Le pare-feu NAT empêche leur recherche d’atteindre votre appareil ou ordinateur quand vous vous connectez avec VyprVPN. Autre service, celui-ci est Français, ActiVPN.
Ordinateurs des Hôtels
Autres solutions, chiffrer vos informations communiquées. OpenPGP, GPG, … sont d’excellents outils qui en cas d’oubli de fichiers dans une machine étrangère (chose impensable, mais bon, ndlr datasecuritybreach.fr) évitera qu’un inconnu puisse y accéder. Nous finirons avec l’outil de la société française Gith Security Systems. Elle tente d’offrir une réponse en proposant «Gith», la première plateforme gratuite de communications sécurisées sur Internet, destinée au grand public, PME et professions libérales. Pour simplifier le processus, Gith se présente sous la forme d’une application à installer, disponible sous Windows, Mac OS, Linux et prochainement iPhone/Android. Gith permet d’échanger des Emails, partager des documents («Cloud sécurisé») et faire du chat avec les autres utilisateurs. Une sécurité bien présente, mais totalement invisible. Toutes les données sont chiffrées de bout en bout, avec les meilleurs algorithmes actuels (RSA 2048, AES 256). Même en cas de vol de votre ordinateur ou infection par un virus, vos données sont inaccessibles : elles sont stockées chiffrées sur votre machine. La sauvegarde de votre clef secrète de chiffrement sous forme de QRCode vous permet facilement d’importer votre compte sur un autre ordinateur ou votre smartphone ! Nous utilisons cette solution. Elle mérite clairement d’être découverte et exploitée. A noter que Gith a été sélectionné pour l’opération 101 projets de Xavier Niel, Marc Simoncini et Jacques-Antoine Granjon. Le 18 novembre, présentation de Gith, en 1 minute, et tenter de décrocher 25k € de financement.
Bref, mes solutions de protection de vos données, en déplacement, ne sont pas infaillibles, mais devraient vous rappeler que le libre accès n’est pas la meilleure idée pour vos données privées. Et les ordinateurs des Hôtels font parti de ces fuites potentielles.
Fuites de données : la réputation des entreprises en danger via les ordinateurs des Hôtels
La grande majorité des entreprises qui doivent faire face à un problème de sécurité sont contraintes de révéler publiquement cette information, comme le révèle l’étude Global Corporate IT Security Risks 2013 menée par Kaspersky Lab auprès de 2 895 organisations à travers le monde. Les résultats sont sans appel. 44% des entreprises ayant été victime d’une fuite de données sont dans l’obligation d’informer leurs clients de l’incident, 34% informent leurs partenaires, 33% informent leurs fournisseurs, 27% remontent les fais à un organisme de contrôle ou de régulation, 15% doivent en informer les médias. A l’échelle mondiale, les grandes entreprises seraient les plus touchées. La législation change en faveur des internautes comme nous la nouvelle directive européenne votée le 12 août dernier.
Petites entreprises, grandes menaces : restez informés, restez protégés
