Plutôt que de se résigner à l’usage de services en ligne n’offrant aucune garantie réelle de confidentialité, Frank Karlitschek a décidé de ne pas se contenter de prêcher la bonne parole mais de passer à l’acte en élaborant (avec d’autres) un projet qui remporte un succès grandissant : un logiciel libre et open source de stockage de données. En revenant sur l’historique du projet ownCloud, il nous rappelle au passage les clés de la réussite (ne perdons pas de vue la proportion importante de projets open source qui n’aboutissent jamais) : développement collaboratif du code ouvert, prenant appui sur des outils et choix techniques ayant déjà une large base de développeurs, flexibilité, compatibilité multi-plateforme…

Cet article donne quelques indications plus précises sur les technologies mises en œuvre qui peuvent laisser perplexe le lecteur non développeur, mais la démarche et la philosophie de l‘open source y apparaîtront pour tous avec clarté. L’enjeu, c’est de rendre à l’utilisateur le contrôle de ses données.

Au fait, Framasoft dispose depuis un an de son propre ownCloud ^[1], pourquoi pas vous ?

Pourquoi j’ai créé OwnCloud et l’ai rendu open source

par Frank Karlitschek, fondateur de ownCloud et mainteneur de l’architecture globale du projet.

Article original : Why I Built OwnCloud and Made It Open Source Traduction Framalang : Asta, r0u, KoS, Wan, Omegax, goofy, Diab

Il y a 4 ans, j’étais au CampKDE à San Diego, je donnais une conférence sur la protection des données, mettant en garde le public sur les risques pour leur vie privée auprès des fournisseurs de cloud – en particulier Dropbox. « — Eh bien fais-le toi-même », m’a-t-on dit. Bien sûr, j’avais déjà créé des choses dans le passé, alors bien sûr, j’ai dit que j’allais le faire. Et c’est là que j’ai commencé mon odyssée, en premier lieu pour me protéger moi-même, mes amis et mes collègues de l’espionnage des gouvernements et d’autres méchants, et plus tard – quand j’ai vu l’intérêt croître dans le monde – pour concevoir un projet concret et efficace.

je n’avais pas envie d’envoyer mes données à un service tiers pour qu’il les stocke on ne sait où

Évidemment, je devais décider d’un certain nombre de choses avant de commencer, notamment ce que je voulais que fasse le logiciel, quelle plateforme de développement utiliser, comment le structurer et bien sûr il fallait que je lui trouve un nom : ownCloud (NdT : littéralement, « le nuage qu’on possède »).

Mes amis et moi avions besoin d’un moyen de synchroniser nos images, nos documents et même nos vidéos en passant d’un appareil à l’autre (au lieu d’utiliser une clé USB), nous voulions aussi partager ces fichiers avec nos amis et nos proches. À l’époque, Dropbox devenait très populaire, mais je n’avais pas envie d’envoyer mes données à un service tiers pour qu’il les stocke on ne sait où. Je voulais créer une plateforme que mes amis puissent utiliser sur les espaces de stockage qu’ils avaient déjà, à la différence du cloud, pas seulement pour synchroniser et partager, mais aussi une plateforme assez flexible pour qu’on puisse y créer des applications.

Bien sûr ownCloud allait être open source.

Je faisais déjà partie de la communauté open source, mais ce n’est pas la seule raison. En faisant de l‘open source je concevais un code qui serait complètement transparent (et donc aurait peu de risques de comporter des « portes dérobées » pour entrer dans mes données). De plus je pouvais compter sur un grand nombre de personnes animées des mêmes convictions pour m’aider à créer ownCloud, je n’étais donc pas tout seul. Et je pouvais réutiliser les technologies d’autres projets. Comme SABREDAV, qui est le framework que nous utilisons pour la communication WebDAV du serveur (CalDAV, CardDAV et WebDAV sont tous utilisés par ownCloud), et nous utilisons aussi jQuery. Nous avons également utilisé csync pour les capacités de synchronisation bi-directionnelle du client de bureau et Qt pour l’interface utilisateur multi-plateforme. Je n’ai pas eu à réinventer la roue une fois de plus, je n’ai eu qu’à assembler ce qui existait déjà pour que tout fonctionne.

Mais comme je l’ai déjà dit, je savais ce que je voulais : ownCloud devait être plus qu’une « app ». Bien sûr, stocker les données d’une manière sûre et sécurisée est une chose importante. Mais en fin de compte, les gens veulent faire quelque chose de leurs données, alors j’ai voulu ajouter davantage de fonctionnalités à travers les applications ownCloud. Les applications sont des extensions qui peuvent implémenter des fonctionnalités telles que la détection de virus, la journalisation des accès et des changements de fichiers, le versionnage, le chiffrement, l’édition de fichiers et bien d’autres choses. Ce genre d’intégration du stockage de fichiers avec d’autres services est essentiel pour le développement futur.

Je voulais que mon projet soit flexible, de sorte que les gens puissent s’appuyer sur ownCloud (et beaucoup l’ont fait, avec une application type « Google News », un streamer de vidéos, un lecteur de musique, un calendrier – et plus encore) et que ownCloud puisse s’intégrer dans de nombreux environnements. Par exemple, n’importe quel client WebDAV devait pouvoir accéder à ownCloud dès le départ et le concept d’applications internes est là aussi depuis le début du projet.

Bien entendu, nous sommes plus avancés à présent — il y a des API de partage et d’administration, des API internes pour les applications utilisant OCS, il existe des bibliothèques pour mobile (que nous avons rendues open source) et qui permettent l’intégration à d’autres applications mobiles, une base de données clés-valeurs pour un usage général de stockage de données, de synchronisation, et davantage encore. Ensuite, il y a l’intégration de systèmes de stockage externe comme FTP, S3, SWIFT, CIFS, iRODS et beaucoup d’autres. Mais même à l’époque où nous avons commencé, les intentions étaient claires – construire quelque chose d’assez flexible pour que les gens puissent créer des solutions auxquelles nous n’avions pas pensé.

Et c’est justement ça, la puissance de l‘open source.

Nous (ma communauté grandissante et moi) avons évalué différentes options pour trouver la bonne technologie qui pourrait tourner sur chaque plateforme, du micro serveur jusqu’à des clusters de serveurs, qui aurait toutes les fonctionnalités et serait connue d’un grand nombre de développeurs. C’est pourquoi nous avons opté pour PHP et JS pour la partie serveur, C++ pour la synchronisation des Clients, Objective-C pour iOS et Java pour Android.

Il y avait plusieurs critères architecturaux à remplir dès le départ : multiplateforme, facilité d’extension, support des infrastructures, haute disponibilité basée sur les composants les plus largement utilisés. Donc, nous avons choisi PHP, pour cibler la pile « LAMP » (Linux / Apache / MySQL / PHP) qui est la plus répandue et éprouvée des plateformes permettant tout cela.

C’est également un projet open source et PHP est disponible gratuitement, facile à trouver, et multiplateforme (variantes Windows et Linux, IIS, Apache et autres serveurs Linux). Il bénéficie d’une communauté massive de développeurs dont beaucoup sont très expérimentés. Enfin, c’est un langage facilement accessible pour la communauté. Avec tout ça, c’était une évidence.

« L‘open source est la seule solution pour un stockage de données réellement sécurisé »

Comme j’ai commencé ce projet par une conférence sur la sécurité et la confidentialité, il était essentiel d’avoir la meilleure sécurité possible pour les API. J’ai choisi un chiffrement SSL fort pour toutes les API WebDAV et REST. L’authentification est faite via la méthode basique, qui est très simple et facile à gérer. On peut également utiliser SAML, fourni au travers de son implémentation Shibboleth. En complément OAuth et l’authentification à deux facteurs sont disponibles, et nous profitons même de la flexibilité de ownCloud pour intégrer un backend personnalisé, en utilisant des jetons à la place des mots de passe standards.

Je suis convaincu que le stockage de fichiers n’est pas seulement un service web ou une infrastructure informatique de plus. C’est là où les gens et les entreprises stockent et gèrent leurs données les plus importantes. C’est pourquoi il est essentiel de le rendre aussi sécurisé que possible. Avec un logiciel propriétaire, vous ne pouvez jamais être sûr qu’il n’y a pas une porte dérobée ou d’autres problèmes de sécurité. L’open source est la seule solution pour un stockage de données réellement sécurisé. Voilà ce que j’ai fait et pourquoi je l’ai fait. J’ai mis à ce travail toute ma passion pour l‘open source et il a aussi demandé beaucoup de soin !

• Le site du projet ownCloud
• Contribuer au développement d’ownCloud

La vie privée est-elle un problème de vieux cons ? demandait Jean-Marc Manach dans un excellent ouvrage. Bien sûr que non, mais on aimerait tant nous le faire croire…

« Natifs numériques », « natifs du numérique », « génération numérique »… Ce genre d’expressions, rencontrées dans les grands médias désireux d’agiter le grelot du jeunisme, peut susciter quelque agacement. D’autant que cette catégorie soi-disant sociologique se transforme bien vite en cible marketing pour les appétits des mastodontes du Web qui ont tout intérêt à présenter la jeunesse connectée comme le parangon des usages du net.

En s’attaquant à cette dénomination, Cory Doctorow ^[1] entend aussi remettre en cause ce préjugé. Selon lui, les adolescents sont tout à fait soucieux de la confidentialité et de leur vie privée. Mais ils sont loin de maîtriser tous les risques qu’ils sont susceptibles de prendre et comme nous tous, ils ont besoin d’outils et dispositifs qui les aident…

Vous n’êtes pas un « natif numérique » : la vie privée à l’ère d’Internet

par Cory Doctorow sur ce blog

Traduction Framalang : Amargein, lamessen, r0u, teromene, goofy, Clunär

On raconte que Frédéric II, à la tête du Saint-Empire Romain germanique, avait ordonné qu’un groupe d’enfants soit élevé sans aucune interaction humaine, afin que l’on puisse étudier leur comportement « naturel », sans que celui-ci ne soit corrompu par la culture humaine, et découvrir ainsi la véritable nature profonde de l’animal humain.

Si vous êtes né au tournant du XXIe siècle, vous avez certainement dû supporter au moins une fois que quelqu’un vous appelle « natif numérique ». Dans un premier temps, ça sonne de façon plutôt sympathique : une éducation préservée du monde hors ligne et très imprégnée d’une sorte de sixième sens mystique, donnant l’impression de savoir ce que devrait être Internet.

Mais les enfants ne sont pas d’innocents mystiques. Ce sont de jeunes personnes, qui apprennent à devenir adultes de la même manière que les autres : en commettant des erreurs. Tous les humains se plantent, mais les enfants ont une excuse : ils n’ont pas encore appris les leçons que ceux qui se sont déjà plantés peuvent leur éviter. Si vous voulez doubler vos chances de réussite, vous devez tripler vos risques d’échec.

Le problème quand vous êtes catalogué « natif numérique », c’est que cela transforme toutes vos erreurs en une vérité absolue sur la manière dont les humains sont censés utiliser Internet. Ainsi, si vous faites des erreurs concernant votre vie privée, non seulement les entreprises qui vous incitent à les commettre (pour en tirer profit) s’en sortent impunies, mais tous ceux qui soulèvent des problèmes de vie privée sont exclus d’emblée. Après tout, si les « natifs numériques » sont censés ne pas être soucieux de leur vie privée, alors quiconque s’en préoccupe sérieusement passe pour un dinosaure complètement à la ramasse, plus du tout en phase avec ’’les Jeunes’’.

« Vie privée » ne signifie pas que personne au monde ne doit être au courant de vos affaires. Cela veut dire que c’est à vous de choisir qui peut s’en mêler.

Quiconque y prête attention s’apercevra qu’en réalité, les enfants se soucient énormément de leur vie privée. Ils ne veulent surtout pas que leurs parents sachent ce qu’ils disent à leurs amis. Ils ne veulent pas que leurs amis les voient dans leurs relations avec leurs parents. Ils ne veulent pas que leurs professeurs apprennent ce qu’ils pensent d’eux. Ils ne veulent pas que leurs ennemis connaissent leurs peurs et leurs angoisses.

Ceux qui veulent s’insinuer dans la vie privée des jeunes ne communiquent pas du tout sur ce point. Facebook est une entreprise dont le modèle économique repose sur l’idée que si elle vous espionne suffisamment et vous amène à révéler malgré vous suffisamment sur votre vie, elle pourra vous vendre des tas de trucs à travers la publicité ciblée. Quand on l’interpelle sur ce point, elle se justifie en disant que puisque les jeunes finissent par dévoiler tant de choses de leur vie personnelle sur Facebook, ça ne doit pas être un problème, vu que les natifs numériques sont censés savoir comment se servir d’Internet. Mais quand les gamins grandissent et commencent à regretter ce qu’ils ont dévoilé sur Facebook, on leur dit qu’eux non plus ne comprennent plus ce que ça signifie d’être un natif numérique, puisqu’ils sont devenus adultes et ont perdu le contact avec ce qui fait l’essence même d’Internet.

Dans « It’s Complicated: The Social Lives of Networked Teens^[2] » [NdT « La vie sociale des jeunes connectés, un problème complexe »], une chercheuse nommée danah boyd^[3] résume plus de dix ans d’étude sur la manière dont les jeunes utilisent les réseaux, et dévoile une lutte continue, voire désespérée, pour préserver leur vie privée en ligne. Par exemple, certains des jeunes interviewés par Boyd suppriment leur compte Facebook à chaque fois qu’ils s’éloignent de leur ordinateur. Si vous supprimez votre compte Facebook, vous avez six semaines pour changer d’avis et réactiver votre compte, mais durant le temps où vous êtes désinscrit, personne ne peut voir votre profil ou quelque partie que ce soit de votre journal (’’timeline’’). Ces jeunes se réinscrivent sur Facebook à chaque fois qu’ils reviennent devant leur ordinateur, mais s’assurent de cette manière que personne ne peut interagir avec leur double numérique à moins qu’ils ne soient là pour répondre, supprimant les informations si elles commencent à leur causer des problèmes.

C’est assez extraordinaire. Cela nous enseigne deux choses : premièrement, que les jeunes vont jusqu’à prendre des mesures extrêmes pour protéger leur vie privée ; deuxièmement, que Facebook rend extrêmement difficile toute tentative de protection de notre vie privée.

Vous avez certainement entendu un tas d’informations concernant Edward Snowden et la NSA. En juin dernier, Edward Snowden, un espion étatsunien, s’envola pour Hong Kong et remit à un groupe de journalistes étatsuniens des documents internes à la NSA. Ces documents décrivent un système d’une ampleur presque inimaginable — et absolument illégal — de surveillance d’Internet de la part des agences de surveillance étatsuniennes. Celles-ci choisissent littéralement au hasard un pays et enregistrent le moindre appel téléphonique passé depuis ce pays, juste pour voir si cela fonctionne et peut être transposé dans d’autres pays. Ils puisent littéralement dans le flux complet d’informations circulant entre les centres de données de Google ou de Yahoo, enregistrant les parcours de navigation/, les e-mails, les discussions instantanées et d’autres choses dont personne ne devrait avoir connaissance chez des milliards de personnes innocentes, y compris des centaines de millions d’Étatsuniens.

Tout cela a modifié les termes du débat sur la vie privée. Tout à coup, les gens ordinaires qui ne se préoccupaient pas de la vie privée s’y sont intéressés. Et ils ont commencé à penser à Facebook et au fait que la NSA avait récolté beaucoup de données par leur biais. Facebook a collecté ces données et les a mises à un endroit où n’importe quel espion pouvait les trouver. D’autres personnes dans le monde y avaient déjà pensé. En Syrie, en Égypte et dans beaucoup d’autre pays, rebelles ou agents du gouvernement ont mis en place des barrages que vous ne pouvez franchir qu’en vous connectant à votre compte Facebook de sorte qu’ils ont accès à votre liste d’amis. Si vous êtes ami-e avec les mauvaises personnes, vous êtes abattu ou emprisonné ou bien vous disparaissez.

Les choses ont été si loin que Marck Zuckerberg — qui avait dit à tout le monde que la vie privée était morte tout en dépensant 30 millions de dollars pour acheter les quatre maisons à côté de la sienne afin que personne ne voie ce qu’il faisait chez lui — a écrit une lettre ouverte au gouvernement des États-Unis pour lui reprocher d’avoir « tout gâché ». Comment avait-il tout gâché ? Ils ont montré au gens d’un seul coup que toutes leurs données privées étaient en train de migrer de leur ordinateur vers ceux de Facebook.

Les enfants savent intuitivement ce que vaut la vie privée. Mais comme ce sont des enfants, ils ont du mal à comprendre tous les détails. C’est un long processus que d’apprendre à bien la gérer, car il se passe beaucoup de temps entre le moment où on commence à négliger la protection de sa vie privée et celui où les conséquences de cette négligence se font sentir. C’est un peu comme l’obésité ou le tabagisme. Dans les cas où une action et ses conséquences sont clairement distinctes, c’est une relation que les gens ont beaucoup de peine à comprendre. Si chaque bouchée de gâteau se transformait immédiatement en bourrelet de graisse, il serait bien plus facile de comprendre quelle quantité de gâteau était excessive.

Les enfants passent donc beaucoup de temps à réfléchir sur leur vie privée préservée de leur parents, des enseignants et de ceux qui les tyrannisent, mais ils ne se demandent pas à quel point leur vie privée sera protégée vis-à-vis de leurs futurs employeurs, de l’administration et de la police. Hélas, au moment où ils s’en rendent compte, il est déjà trop tard.

Il y a toutefois de bonne nouvelles. Vous n’avez pas à choisir entre une vie privée et une vie sociale. De bons outils sont disponibles pour protéger votre vie privée, qui vous permettent d’aller sur Internet sans avoir à livrer les détails intimes de votre vie aux futures générations d’exploitants de données. Et parce qu’ il y a des millions de personnes qui commencent à avoir peur de la surveillance — grâce à Snowden et aux journalistes qui ont soigneusement fait connaître ses révélations — de plus en plus d’énergie et d’argent sont utilisés pour rendre ces outils plus faciles à utiliser.

La mauvaise nouvelle, c’est que les outils propices à la vie privée tendent à être peu pratiques. C’est parce que, avant Snowden, quasiment tout ceux qui se sentaient concernés par l’adéquation entre leur vie privée et la technologie étaient déjà experts d’un point de vue technologique. Non pas parce que les nerds ont besoin de plus de vie privée que les autres, mais parce qu’ils étaient les plus à même de comprendre quel genre d’espionnage était possible et ce qui était en jeu. Mais, comme je le dis, cela change vite (et les choses ne font que s’améliorer).

L’autre bonne nouvelle c’est que vous êtes des « natifs numériques », au moins un peu. Si vous commencez à utiliser des ordinateurs étant enfant, vous aurez une certains aisance avec eux, là où d’autres auront à travailler dur pour y parvenir. Comme Douglas Adams l’a écrit :

1. Tout ce qui existe dans le monde où vous êtes né est normal et ordinaire, et ce n’est qu’un rouage dans le mécanisme naturel du système.

2. Tout ce qui est inventé entre le moment de vos quinze ans et celui de vos trente-cinq est nouveau, excitant et révolutionnaire et vous pourrez probablement y faire carrière.

3. Tout ce qui sera inventé après vos trente-cinq ans est contraire à l’ordre naturel des choses.

Si j’étais un enfant aujourd’hui, je saurais tout au sujet des sécurités opérationnelles. J’apprendrais à me servir d’outils pour garder mes affaires entre moi et les personnes avec qui j’aurais décidé de les partager. J’en ferais une habitude, et j’inciterais mes amis à adopter cette habitude aussi (après tout, ça ne change rien si tous vos e-mails sont chiffrés mais que vous les envoyez à des idiots qui les gardent tous sur les serveurs de Google sous une forme déchiffrée, là où la NSA peut venir y fourrer son nez).

Voici quelques liens vers des outils de sécurité pour vous y initier :

• Tout d’abord, téléchargez une version de Tails (pour « The Amnesic Incognito Live System »). Il s’agit d’un système d’exploitation que vous pouvez utiliser pour démarrer votre ordinateur sans avoir à vous soucier si le système d’exploitation installé est exempt de tout virus, enregistreur de frappe ou autre logiciel-espion. Il est fourni avec une tonne d’outils de communication sécurisés, ainsi que tout ce dont vous avez besoin pour produire les contenus que vous souhaitez diffuser de par le monde.

• Ensuite, téléchargez une version du Tor Browser Bundle, une version spéciale de Firefox qui envoie automatiquement votre trafic à travers quelque chose appelé TOR (The Onion Router, le routeur en oignon, à ne pas confondre avec Tor Books, qui publie mes nouvelles). Cela vous permet de naviguer sur Internet avec beaucoup plus d’intimité et d’anonymat que vous n’en auriez normalement.

• Apprenez à utiliser GPG, qui est une excellente manière de chiffrer vos courriers électroniques. Il existe une extension pour Chrome qui vous permet d’utiliser GPG avec GMail et une autre pour Firefox.

• Si vous appréciez les messageries instantanées, procurez-vous OTR (« ’’Off The Record messaging’’ »), un outil pour sécuriser ses conversations en ligne, incluant des fonctionnalités telles que « l’inviolabilité des messages passés » (une façon de dire que même si quelqu’un arrive à le casser demain, il ne pourra pas lire les conversations interceptées aujourd’hui).

Une fois que vous aurez maîtrisé ce genre de choses, mettez-vous à réfléchir à votre téléphone. Les appareils sous Android sont de loin plus faciles à sécuriser que les iPhones d’Apple (Apple essaie de verrouiller ses téléphones pour que vous ne puissiez pas y installer d’autres logiciels que ceux de leur logithèque, et en raison de la loi DMCA de 1998, il est illégal de créer un outil pour les déverrouiller (’’jailbreaker’’). Il existe de nombreux systèmes d’exploitation concurrents d’Android, avec des niveaux variables de sécurité. Le meilleur point de départ est Cyanogenmod, qui vous facilitera l’utilisation d’outils de confidentialité sur votre mobile.

Il existe également des quantités de projets commerciaux qui traitent la vie privée bien mieux que le tout-venant. Je suis par exemple consultant de l’entreprise Wickr, qui reproduit les fonctionnalités de Snapchat mais sans moucharder à tout moment. Wickr a cependant beaucoup de concurrents, il vous suffit de regarder dans votre logithèque préférée pour vous en convaincre, mais assurez-vous d’avoir bien lu comment l’entreprise qui a conçu l’application vérifie que rien de louche ne vient interférer avec vos données supposées secrètes.

Tout ceci est en constante évolution, et ce n’est pas toujours facile. Mais c’est un excellent exercice mental que de chercher comment votre usage d’Internet peut vous compromettre. C’est aussi une bonne pratique dans un monde où des milliardaires voyeurs et des agences d’espionnage hors de contrôle essayent de transformer Internet en l’outil de surveillance le plus abouti. Si vous trouvez particulièrement pénible que vos parents espionnent votre historique de navigation, attendez que tous les gouvernements et toutes les polices du monde en fassent autant.

Blog vraiment anonyme : mode d’emploi !

« Et si vous me trouvez, je serai vraiment très impressionné. »

Comment créer un blog anonyme

How to Start an Anonymous Blog

Anonyme (évidemment) – 26 janvier 2014 – Untraceable
(Traduction : crendipt, aKa, Diab, Penguin, Omegax, amha, nanoPlink, Paul, Scailyna, Scailyna, Asta, Unnamed, goofy, lamessen)

Introduction

Je crois qu’en suivant les étapes que j’expose dans ce billet, personne ne sera capable de dévoiler mon identité. Mon domaine peut être saisi et mon blog peut être fermé, mais je reste persuadé que mon identité restera un mystère.

Si je dis cela, c’est principalement parce que j’ai confiance dans un outil très important appelé Tor. Les développeurs et administrateurs des nœuds de Tor travaillent pour que chacun puisse être anonyme sur Internet. Tor est une sérieuse épine dans le pied pour la NSA et pour les autres organisations et pays qui font de l’espionnage sur Internet.

Vu que le réseau Tor rend très difficile l’identification des adresses IP et que l’enregistrement de domaines est désormais possible via Bitcoin, je n’ai à aucun moment besoin de fournir une quelconque information personnelle pour la mise en place de ce blog.

Outils et ressources

• Clé USB
• Système d’exploitation Tails
• Réseau Tor
• Bitcoins locaux – Acheter des bitcoins en espèces
• Comptes mail gratuits chez outlook.com et anonymousspeech.com
• Nom de domaine acheté chez IT Itch
• Site statique hébergé sur des pages GitHub

Tails / Tor

Tails est lancé depuis une clé USB qui inclut une partition chiffrée. Cette partition contient un porte-monnaie Bitcoin, le code source du blog et une base de données Keepass. Mes mots de passe pour des services tiers sont des mots de passe très forts générés aléatoirement. Avec Tails, il est difficile de se tromper, car toutes les connexions doivent obligatoirement passer par Tor. Par exemple, pour développer ce blog en local, je dois ajuster les règles du pare-feu pour autoriser les connexions locales au port 4000, télécharger un navigateur différent (Midori) et régler celui-ci pour qu’il n’utilise pas de serveur proxy. Le pare-feu bloque toutes les requêtes externes de Midori, mais je peux accéder à http://localhost:4000.

Donc, à moins d’agir de manière insensée, par exemple me connecter à StackOverflow au moyen de mon vrai compte Google et utiliser l’identifiant de « untraceableblog », je pense qu’il est quasiment impossible de me pister.

Je fais une sauvegarde de la clé USB sur mon ordinateur principal, sur un volume caché TrueCrypt. J’aime le concept des volumes cachés, j’ai l’impression d’être un putain d’espion. L’idée, c’est d’avoir un mot de passe factice qui déverrouille un faux dossier chiffré et un mot de passe réel pour déverrouiller le vrai dossier chiffré, sans qu’il y ait aucun moyen pour les autres de savoir lequel vous déverrouillez. Dans mon faux dossier chiffré, je garde ma base personnelle de Keypass, de cartes de crédit, et des scans de mon passeport et permis de conduire. Donc si quelqu’un me force à entrer mon mot de passe pour déverrouiller mon ordinateur et découvre que j’ai un volume TrueCrypt, il n’aura aucun moyen de savoir si j’ai entré le mot de passe réel ou bidon.

Cette fonctionnalité autorise une légère protection contre les tentatives d’extorsion de votre mot de passe par la force.

La plupart du temps, je cache la clé dans un endroit secret de la maison. Quand je dois aller quelque part et que je veux pouvoir mettre à jour ce blog, je le sauvegarde sur le volume caché, puis j’efface la clé de manière sécurisée et je peux l’emporter avec moi sans aucune crainte. C’est ce que je devrai faire jusqu’à ce que Tails intègre sa propre fonction pour les « volumes cachés ».

Messagerie électronique

J’ai créé un compte de messagerie gratuit sur Outlook.com et j’utilise anonymousspeech.com pour la vérification et la sauvegarde.

J’ai d’abord essayé Gmail, mais Google rend la création de compte très difficile quand on utilise Tor, à cause de la vérification par téléphone. C’est compréhensible, à cause des gens qui aiment créer un grand nombre de faux comptes pour envoyer du spam.

Blog

Ce blog est libre sur les pages GitHub, il utilise Octopress pour créer un site statique et j’ai installé le thème Page Turner. J’ai envoyé le contenu sur GitHub avec une clé SSH, bien entendu chiffrée et stockée sur ma clé USB.

Il me vient à l’esprit deux vecteurs susceptibles de vous donner des informations sur mon identité :

L’horodatage des messages

Le système d’exploitation Tails dispose d’une bonne stratégie pour forcer l’heure du système à être systématiquement en UTC. Mais si j’écris une série de billets dans les années à venir, vous pourriez en analyser l’horodatage pour déterminer mon fuseau horaire. Cependant, le site compilé indique uniquement la date. Par ailleurs, je voyage beaucoup (ou pas ?) 😉

Analyse de la fréquence des mots et caractères

Vous pourriez être capables de déterminer mon pays d’origine ou mon identité grâce à mes mots et mes phrases. Vous pourriez même trouver une corrélation avec les autres contenus que j’ai publiés en ligne sous ma véritable identité. Je contre cette possibilité en passant tous mes billets dans Google Translate. Je traduis dans une autre langue, puis en anglais et je corrige ensuite les erreurs. C’est parfait pour diversifier mon vocabulaire, mais j’aurais aimé que ça ne casse pas autant le Markdown et le HTML. Jusqu’ici vous pourriez croire que l’anglais est ma seconde langue. Mais laissez-moi vous assurer d’une chose : je n’ai jamais affirmé ni infirmé ce point.

Un des problèmes, c’est que Google peut voir mes messages originaux et probablement aussi la NSA. Si je voulais l’éviter, je pourrais poster des demandes de traductions anonymes et payer les traducteurs en bitcoins.

Statistiques

Les raisons de l’indisponibilité de Google Analytics vous sont données sous « Messagerie électronique ». À la place, j’ai choisi StatCounter.

Mais même si Google Analytics avait été disponible, je n’aurais pas utilisé une ID de suivi liée à mon identité réelle. Beaucoup de blogueurs anonymes ont été trahis par l’annuaire d’ID inversé proposé par Google.

Acheter des bitcoins avec le maximum d’anonymat

J’ai acheté les bitcoins en utilisant un compte anonyme créé via Tor. J’ai trouvé un vendeur qui souhaitait me rencontrer en personne et nous avons convenu d’un rendez-vous. Nous nous sommes rencontrés, je lui ai donné l’argent et il m’a transféré les bitcoins en utilisant son téléphone.

Acheter un nom de domaine avec des bitcoins

IT Itch est un registrar qui accepte les paiements via BitPay. Leurs noms de domaine sont assez chers,15 USD chacun, mais permettent un enregistrement totalement anonyme. Ce fut une démarche facile, mais il a fallu du temps pour que le domaine devienne actif (plus d’une heure). Une fois activé, j’ai configuré les enregistrements DNS pour GitHub Pages, et ensuite mon blog était accessible sur http://untraceableblog.com.

IT Itch a fait la grosse erreur de m’envoyer mon mot de passe en texte clair après la création du compte. PAS BIEN ! Si quelqu’un parvient à accéder à mon compte Outlook, il peut se connecter et détruire mon site. Donc j’ai effacé le message et changé mon mot de passe, et heureusement ils ne l’ont pas renvoyé par e-mail.

Comment je pourrais être découvert, 1ère partie

Pister les Bitcoins

En théorie, vous pouvez suivre la trace des transactions Bitcoins et découvrir mon identité. Toutefois, dans ce cas, il est très peu probable que même l’organisation la plus sophistiquée et la mieux financée puisse me découvrir.

Voyez-vous, j’ai acheté ces Bitcoins en utilisant un compte anonyme sur localbitcoins.com (créé en utilisant Tor). Nous avons convenu, le vendeur et moi, de nous rencontrer en personne, et j’ai payé en liquide. Pour dévoiler mon identité, il faudrait que vous puissiez casser les défenses de tous les services que j’ai utilisés ou bien travailler chez eux. Il faudrait par exemple :

1. Accéder à la base de données de ititch.com et trouver l’identifieur de la transaction BitPay pour untraceableblog.com
2. Accéder à la base de données de BitPay et trouver l’adresse Bitcoin qui a envoyé les Bitcoins pour cette transaction
3. Accéder à la base de données de localbitcoins.com. Trouver l’adresse Bitcoin qui a envoyé les Bitcoins à BitPay, retracer la transaction jusqu’à ce que vous trouviez l’adresse localbitcoins du dépôt fiduciaire.
4. À partir de l’adresse du dépôt fiduciaire, vous pourrez trouver le compte localbitcoins, et retrouver les messages que nous avons échangés pour nous rencontrer.
5. Vous devrez vous rendre au point de rendez-vous et espérer qu’il existe des caméras de surveillance qui auraient pu nous enregistrer ce jour-là.
6. Vous aurez enfin besoin d’accéder à la société de sécurité qui possède les enregistrements des caméras de surveillance, obtenir une bonne image de mon visage et faire tourner d’une façon ou d’une autre un logiciel de reconnaissance faciale pour découvrir mon identité. Travailler pour Facebook ou la NSA pourrait aider si vous avez réussi à parvenir à ce point.

Comment je pourrais être découvert, 2ème partie

Tout est hacké. Absolument tout.

Internet est une machine basée sur la confiance et il existe de nombreuses manières de briser cette confiance. Quelqu’un peut générer des certificats SSL de confiance pour n’importe quel domaine, exiger que son FAI route l’intégralité du trafic au travers de ces certificats, ou contrôler un grand nombre de nœuds Tor et réaliser des attaques par analyse de trafic. Je n’entrerai pas dans les détails mais si vous êtes intéressés, vous pouvez en apprendre davantage sur les attaques Tor :

• Comment la NSA attaque les utilisateurs de Tor / Firefox avec quantum et FOXACID
• Articles concernant les attaques sur le blog de Tor

Conclusion

Je n’ai fait ce blog que comme un exercice amusant d’anonymat, même si j’y posterai probablement des choses dans le futur. J’ai simplement utilisé des outils créés par des gens bien plus intelligents que moi et je ne suis sûrement pas le premier blogueur anonyme, mais j’espère vous avoir appris quelque chose.

Bien évidemment, on peut aller beaucoup plus loin que ça. J’aurais pu héberger ce blog sur un VPS que j’aurais loué avec des Bitcoins et installer le serveur comme un service Tor masqué. L’adresse IP du serveur aurait été totalement protégée mais, de ce fait, vous n’auriez pu consulter ce blog qu’au travers du réseau Tor, et les liens de nœud Tor (TBR) ça ne fait pas très chouette en page d’accueil. J’aurais également pu faire toutes mes actions depuis un cybercafé, juste au cas où Tor serait compromis, mais je n’aurais pas été découvert. Enfin, j’aurais pu choisir un domaine en « .se » si j’avais eu peur de l’intervention du gouvernement américain. C’est ce qui est actuellement utilisé par The Pirate Bay, et les Suédois leur laissent toute liberté d’action.

N’hésitez pas à m’envoyer quelques Satoshis (fractions de Bitcoins) si vous aimez ce billet : 146g3vSB64KxxnjWbb2vnjeaom6WYevcQb.

Et si vous me trouvez, je serai vraiment très impressionné.

Crédit illustrations : AndyRobertsPhotos (Creative Commons By) et XKCD

Lorsque nos voitures ressembleront définitivement à des iPhones, nous ne pourrons les conduire que sur des autoroutes Apple…

Renault verrouillera à distance ses voitures électriques

Renault will remotely lock down electric cars

Gerloff – 31 octobre 2013 – FSFE Blog
(Traduction : Jeff_, Dimitri, chr, MFolschette, Catalaburro, Penguin, ttoine, P + anonymes)

Longtemps, les voitures ont été un symbole de liberté et d’indépendance. Plus maintenant. Dans sa voiture électrique Zoe, le fabricant automobile Renault a apparemment la possibilité d’empêcher à distance la batterie de se recharger. Et c’est plus inquiétant qu’il n’y paraît.

Lorsque vous achetez une Renault Zoe, la batterie n’est pas incluse. Au lieu de ça, vous signez avec le constructeur un contrat de location pour la batterie. Sur un forum de possesseurs de Zoe, l’utilisateur Franko30 dénonce le fait qu’une clause de ce contrat donne le droit à Renault d’interdire à la batterie de se recharger lorsque la durée de location contractuelle prend fin. D’après un article du journal Der Spiegel, le constructeur peut aussi le faire en cas de défaut de paiement de votre part.

Cela signifie que Renault a les moyens de contrôler à distance le processus de rechargement de la batterie. Selon le même article, la Zoe (et la plupart des autres voitures électriques) collecte une multitude de données concernant votre utilisation du véhicule, et les envoie au constructeur à votre insu. Ces données indiquent au constructeur où vous allez, quand et à quelle vitesse, où vous rechargez la batterie, et plein d’autres choses encore. Nous savions déjà que Tesla faisait cela depuis la prise de bec publique avec un journaliste qui avait publié une critique de leurs voitures dans le New York Times. Voir un constructeur grand public comme Renault faire la même chose révèle à quel point cette pratique est dangereuse.

Ce genre de choses cadre bien avec le tableau dystopique que brossait Cory Doctorow dans son discours de 2011 « La guerre imminente contre nos libertés d’utilisateurs » (que vous devriez absolument regarder, si ce n’est pas déjà fait, d’autant que traduit en français par le Framablog NdT), au cours duquel il dit que « nous n’avons plus de voitures, mais des ordinateurs que l’on peut conduire ». La question est alors de savoir qui contrôle cet ordinateur. Vous, le constructeur, ou quelqu’un d’autre ?

S’il y a un mécanisme qui permet de contrôler à distance ce que fait votre voiture, certains feront usage de ce mécanisme à un moment donné. Il pourrait s’agir du constructeur qui verrouille votre voiture car vous ne pouvez pas poursuivre la location de la batterie parce que vous avez perdu votre emploi, ce qui signifie qu’il devient plus difficile pour vous de trouver du travail. Il pourrait s’agir du gouvernement, qui forcerait le constructeur à faire ce qu’il lui demande. Dans son post sur le forum, Franko30 prédit que les gouvernements pourraient simplement demander aux constructeurs de voitures de bloquer le rechargement des batteries à proximité d’événements politiques controversés (un sommet du G8 par exemple) afin d’empêcher la participation à des manifestations. Sans oublier la possibilité pour une personne malveillante d’obtenir l’accès à ce mécanisme en soudoyant un employé de chez Renault.

Le seul moyen de se prémunir de tout cela est de se tenir éloigné des voitures et autres ordinateurs que vous ne pouvez pas totalement contrôler, et de créer des systèmes qui responsabilisent les utilisateurs. À la Free Software Foundation Europe, nous soutenons les personnes qui créent des systèmes donnant le contrôle à l’utilisateur.

Une traduction un brin polémique autour du fameux masque symbolisant les Anonymous.

Aussi joli soit-il, il pose quelques problèmes qui peuvent effectivement contrarier la posture et brouiller le message des actions de cet étrange et fuyant collectif.

Le masque fait référence à Guy Fawkes, personne historique anglais du XVIIe siècle, mais il a pour auteur le dessinateur contemporain David Lloyd de V pour Vendetta. Il est devenu célèbre après l’adaptation de la BD au cinéma. Film produit par Time Warner qui détient les droits à l’image sur le masque et à qui on doit payer une obole à chaque exemplaire du masque vendu (légalement).

Premier problème, le masque est sous copyright classique. Deuxième problème, il appartient à l’une de ces multinationales souvent prises pour cible par les Anonymous. Et, dernier problème, il semblerait qu’il soit produit dans les pires conditions du capitalisme mondialisé, c’est en tout cas ce que le laisse croire cette photo qui a semé le trouble et provoqué l’article très critique ci-dessous.

On aurait aimé qu’il fut dans le domaine public. Chiche qu’on demande tous à Time Warner combien ils veulent pour qu’il en soit ainsi et qu’on monte un crowdfunding dans la foulée pour récolter la somme 😉

‘

‘

L’hypocrisie des Anonymous a été dévoilée. Et maintenant ils font des pieds et des mains pour se défendre.

Anonymous have been exposed as hypocrites. Watch them try to wriggle out of it

Martha Gill – 6 novembre 2013 – The Telegraph (blog)
”(Traduction : lyn, Eiyeron, MFolschette, Catalaburro, Sky, M0tty + anonymes)’

Anonymous est une organisation définie surtout par ce que ses membres ont choisi de se mettre sur la tête, le fameux masque de V pour Vendetta. Mais depuis hier le masque a connu quelques problèmes techniques. Il semblerait qu’il défigure celui qui le porte.

Le jour de Guy Fawkes, juste à temps pour l’opération Million Mask March, cette photo de Reuters est apparue en page d’accueil de Reddit. Elle montre les masques fabriqués en masse dans une usine au Brésil. Ce n’est peut-être pas un atelier clandestin, mais c’est pourtant le mot que beaucoup ont à la bouche actuellement (d’autres photographies en suivant ce lien).

Cela ne correspond guère avec l’image du groupe. Anonymous lutte contre les effets du capitalisme globalisé – protestant contre de grandes entreprises menant la vie dure aux ouvriers. Et pourtant, on peut voir ces ouvriers, dans de mauvaises conditions de travail, fabriquant les masques des protestataires. Par ailleurs, on sait depuis pas mal de temps que Time Warner, une des plus grandes entreprises audiovisuelles au monde, fait du bénéfice chaque fois qu’un de ces masques est vendu.

Tout cela n’est-il pas légèrement… hypocrite ?

Le compte pro-Anomymous @youranoncentral a essayé de calmer Twitter : « Ecoutez tous, nos masques ont été fabriqués dans un pays en voie de développement. Nous sommes les seuls hypocrites. »

Et plusieurs personnes partagèrent des points de vue similaires à sayheykid24 sur Reddit : « Comment les gens pensent que ces masques ont été faits ? Pensaient-ils qu’ils étaient fait à la main et avec amour par des artisans opposés au grand capital ? »

En effet, que croyions-nous ? Il serait plus simple, plus économique et plus efficace pour les Anonymous de faire fabriquer des masques à la chaîne dans des pays en voie de développement. C’est généralement comme ça que de tels objets sont fabriqués. Cela serait également beaucoup demander à Anonymous que de s’assurer qu’aucune grande entreprise ne tire profit de leurs protestations. Et forcément, étant donné qu’Anonymous est un petit groupe faisant face à de grosses organisations sans scrupules, ils voudront réaliser l’opération la plus percutante possible, quitte à être aussi sans scrupules. Ils peuvent difficilement se permettre de ne pas l’être.

Mais si nous pensions cela nous aurions tort. Ces pressions économiques sont la raison pour laquelle l’industrie du disque a réprimé le piratage numérique et aussi pourquoi Mastercard et Visa ont mal agi envers certains clients – tous des ennemis, tous des Anonymous attaqués pour ces mêmes raisons. Étant donné qu’Anonymous demande aux entreprises de prendre une position inconfortable mais morale contre le système auquel elles sont soumises, si eux-mêmes n’y parviennent pas, ils sont alors eux-mêmes hypocrites. (Fabriquer un masque de Guy Fawkes est plus simple à réaliser chez soi, non ?)

Est-ce important ?

Bien sûr que ça l’est. C’est vrai que les Anonymous ne sont pas les seuls hypocrites. Mais tous les hypocrites ne sont pas entièrement dépendants de leur posture morale. Le fait de punir le mauvais comportement d’autrui fait partie intégrante du message des Anonymous – ils suggèrent de les rejoindre pour être de côté des gentils. Cela signifie que le groupe repose uniquement sur son intégrité morale – et s’ils ne peuvent se permettre de jouer selon leurs propres règles, ils ne peuvent certainement pas non plus se permettre de les enfreindre.

Le dernier problème avec le masque recensé à cette date a montré son (pas si vilain) visage hier. Il s’avère que, bien que cet accessoire soit pratique pour les vendettas masquées, il l’est moins pour se mettre publiquement en valeur. Que se passe-t-il quand la marche organisée, basée sur la notion d’anonymat, attire une célébrité tel que Russel Brand parmi ses rangs ? Brand a résolu le problème en tweetant des photos de lui-même portant son masque. Encore une fois, quelle ironie…

Avant Snowden, nous criions dans le désert.

Il en va tout autrement aujourd’hui. Et les gouvernements réalisent soudainement le danger d’avoir choisi des logiciels propriétaires qu’on ne peut évaluer et auditer faute d’accès au code source.

Il ne va pas être facile pour Microsoft, Apple et consorts de répondre ici aux exigences de transparence des autorités brésiliennes qui se tourneront naturellement vers le logiciel libre.

En attendant le tour de la France…

Le gouvernement brésilien va interdire l’achat des logiciels qui ne permettent pas leur plein contrôle

Governo vai barrar compra de software que impeça auditoria

Natuza Nery et Julia Borba – 5 novembre 2013 – Folha de S. Paolo
(Traduction : Ulan, Pierre, JonathanMM)

A partir de l’année prochaine, le gouvernement (brésilien) n’achètera plus d’ordinateurs ou de logiciels qui ne peuvent être pleinement audités par les pouvoirs publics. La directive a été publiée le 5 novembre dernier dans le journal officiel « Diario official da Uniao ».

Ainsi, les systèmes d’exploitation comme Windows (Microsoft) et MacOS (Apple) ne seront plus utilisés si les entreprises concernées font obstacle aux enquêtes sur l’espionnage informatique.

Actuellement, à l’installation d’un logiciel (propriétaire), les utilisateurs acceptent les termes d’utilisation de l’éditeur autorisant éventuellement celui-ci à accéder à leur ordinateur.

Le gouvernement brésilien souhaite avoir le droit de surveiller qui surveille ses concitoyens, et ce dans le but de pouvoir identifier et tracer les tentatives d’espionnage.

Selon le journal « Folha de São Paulo », l’intention n’est pas de promouvoir une conversion massive des parcs informatiques, mais prévenir que les produits actuels ne sont plus conformes aux nouvelles exigences.

De cette manière, il y aura un substitution graduelle des programmes traditionnels (propriétaires) pour des logiciels libres, comme Linux, si nous ne parvenons pas à négocier avec les grandes entreprises.

L’importance accordée par le gouvernement à l’espionnage a augmenté depuis qu’ont été publiés les dénonciations sur l’accès par les services américains aux archives des autorités et entreprises brésiliennes.

Économie

Le gouvernement considère que, en plus d’augmenter la sécurité, la directive entraînera des économies. L’utilisation de logiciels libres met un terme au renouvellement obligatoire des licences de ces programmes.

Interrogé pour la rédaction de cet article, Apple n’a pas souhaité répondre à cette décision.

Microsoft a informé qu’il fournit aux gouvernements « l’accès contrôlé au code source et aux autres informations techniques pour les aider à évaluer la sécurité des produits ». La société a également déclaré qu’elle se met à disposition du gouvernement brésilien pour discuter des détails de la mesure.

Valeur incertaine

Il n’y a pas encore d’estimation de l’impact de cette décision sur les dépenses gouvernementales. Les informations plus précises sur ces coûts ne seront dévoilées qu’après l’application de la directive, quand aura lieu une enquête sur les contrats actuellement en vigueur et les dates d’expirations de ceux-ci. Comme ces licences ont été obtenues à des moments différents, il n’est pas encore possible de faire d’estimation.

Le journal précise que le gouvernement de Dilma Rousseff étudie également avec détermination une autre mesure de sécurité informatique : installer le client de messagerie libre Expresso (Serpro) comme référence sur tout ordinateur public à la place de Outlook, ce qui engendrera des économies supérieures à 60 millions de reais par an (environ 20 millions d’euros).

Crédit photo : Laura Poitras (Creative Commons By)

Voici la dernière livraison de notre traduction par épisodes de Encryption Works. Vous trouverez ci-dessous les quelques lignes qui concluent l’ouvrage original ainsi que des liens vers le miniguide de 30 pages en français qui réunit les épisodes en un seul document.

Une chance de s’en sortir

Protéger sa vie privée à l’ère de la surveillance omniprésente de la NSA est incroyablement complexe. L’effort d’acquisition des concepts à maîtriser, représente une sacrée courbe d’apprentissage, plus ou moins facilitée par l’utilisation des logiciels déjà disponibles. Mais même avec un accès direct à toutes les données transitant à la vitesse de la lumière par les fibres optiques, formant l’épine dorsale d’Internet, même avec la coopération des principales entreprises des États-Unis (qu’il est extrêmement difficile pour les gens de boycotter), le plus grand, le plus puissant et le meilleur système de surveillance que l’humanité ait jamais connu ne pourra pas battre les mathématiques. Le défi pour le nouveau mouvement cypherpunk est de rendre la sécurité et le chiffrement vérifiés de bout à bout accessibles à tout le monde et activés par défaut.

L’ensemble du guide en une seule fois

Cliquez sur le lien avec le bouton droit, puis « Enregistrer la cible du lien sous… »

• Le chiffrement, maintenant – ODT (367 Ko)

• Le chiffrement, maintenant – PDF (872 Ko)

Pour aller plus loin, appel à contributions

Ce guide n’a pas la prétention de proposer une couverture exhaustive d’une question aussi épineuse. C’est pourquoi, si vous souhaitez contribuer à proposer un guide plus complet, nous vous invitons à apporter votre pierre à ce projet : Votre sécurité sur Internet, notions de base (un gros ouvrage de plus de 400 pages). Le travail est actuellement en cours sur la plateforme Flossmanuals francophone sur laquelle il faut donc s’inscrire pour pouvoir modifier/traduire le texte. Quelques points importants :

• Le premier jet de traduction a déjà été réalisé (notamment pour plusieurs chapitres par des étudiants de l’INRIA de Rouen encadrés par leur enseignant).
• Nous avons besoin :

— de contributeurs capables de proposer des images d’illustration (captures d’écran) avec des textes inclus en français

— de relecteurs spécialisés et compétents sur les problèmes techniques de sécurité, car outre la bonne conformité des termes employés, ils devront réviser voire refondre certains chapitres qui ne seraient plus tout à fait à jour, particulièrement en fonction des dernières révélations sur les capacités de nuisance de la NSA.

• Ceux qui estimeront qu’il manque des informations voire un chapitre etc. pourront tout à fait ajouter ce qu’ils estiment nécessaire sur la plateforme.

— à bientôt !

Un service de chat furtif : Off-the-Record (OTR)

Traduction : Feadurn, Paul, lamessen, goofy

Off-the-Record (OTR) est une couche de chiffrement qui peut être ajoutée à n’importe quel système de messagerie instantanée existant, pourvu que vous puissiez vous connecter à cette messagerie instantanée avec un client qui prend en charge l’OTR, comme Pidgin ou Adium. Avec OTR, il est possible d’avoir des conversations sécurisées, chiffrées de bout en bout, en passant par des services comme Google Talk ou Facebook sans que ni Facebook ni Google n’aient accès au contenu de ces conversations. Notez bien que c’est un système différent de l’option « off the record » de Google, qui n’est pas sécurisée. Et souvenez-vous : bien qu’une connexion HTTPS avec Google ou Facebook offre une très bonne protection à vos messages quand ils circulent, les deux services ont les clés de vos échanges et peuvent donc les communiquer aux autorités.

OTR remplit deux missions : le chiffrement des conversations de messagerie instantanée en temps réel et la vérification de l’identité des personnes avec lesquelles vous communiquez. Cette dernière est extrêmement importante mais beaucoup d’utilisateurs d’OTR la négligent. Même si OTR est bien plus facile à prendre en main que d’autres formes de chiffrement à clé publique, vous devez malgré tout en comprendre le fonctionnement et savoir à quelles attaques il peut être exposé si vous souhaitez l’utiliser en toute sécurité.

Fournisseurs de services et Jabber

OTR assure uniquement le chiffrement du contenu de vos conversations et non celui des métadonnées qui leur sont associées. Celles-ci comprennent vos interlocuteurs, quand et à quelle fréquence vous communiquez avec eux. C’est la raison pour laquelle je recommande d’utiliser un service qui n’est pas connu pour collaborer avec les services secrets. Cela ne protègera pas forcément vos métadonnées, mais vous aurez au moins une chance qu’elles restent privées.

Je vous conseille aussi d’utiliser un service XMPP (aussi appelé Jabber). Tout comme le courrier électronique, Jabber est un protocole ouvert et fédéré. Les utilisateurs d’un service Jabber comme riseup.net peuvent discuter tant avec des utilisateurs du service jabber.ccc.de qu’avec ceux du service jabber.org.

Clients OTR

Pour utiliser OTR, vous devrez télécharger un logiciel. Sous Windows, vous téléchargerez et installerez Pidgin et le plugin OTR séparément. Sous GNU/Linux, vous installerez les paquets pidgin et pidgin-otr. La documentation explique comment configurer vos comptes Pidgin avec OTR. Si vous êtes sous Mac OS X, vous pouvez télécharger et installer Adium, un client de chat libre qui intègre le support d’OTR. Là aussi, reportez vous à la documentation officielle pour configurer le chiffrement OTR avec Adium. Il existe aussi des clients Jabber et OTR disponibles pour Android (Giggerbot) et pour iOS (ChatSecure).

Votre clé

Quand vous commencez à utiliser OTR, votre client de chat génère une clé de chiffrement et la stocke dans un fichier de votre répertoire utilisateur personnel sur votre disque dur. Si votre ordinateur ou votre smartphone est perdu, volé ou rendu inutilisable par un logiciel malveillant, il est possible que l’inviolabilité de votre clé OTR soit compromise. Si c’est le cas, un attaquant aura la possibilité de prendre le contrôle de votre serveur Jabber et de lancer une attaque de l’homme du milieu (MIDTM) contre vous pendant que vous discutez avec des interlocuteurs qui avaient auparavant vérifié votre identité.

Sessions

Si vous souhaitez utiliser OTR pour discuter en privé avec vos amis, ces derniers doivent l’utiliser également. Une session chiffrée entre deux personnes nécessite deux clés de chiffrement. Par exemple, si vous-même et votre correspondant vous êtes tous deux identifiés sur le chat de Facebook en utilisant Adium ou Pidgin après avoir configuré OTR, vous pourrez discuter en privé. En revanche, si vous vous êtes logué en messagerie instantanée en utilisant Adium ou Pidgin mais que votre interlocuteur discute en utilisant directement facebook.com, vous ne pouvez pas avoir de conversation chiffrée.

Si vous souhaitez utiliser les services de Facebook ou Google pour discuter avec vos amis, je vous recommande de désactiver le chat de l’interface web pour ces services et de n’utiliser qu’Adium ou Pidgin pour vous connecter, et d’encourager vos amis à faire de même ; voici la marche à suivre pour Facebook et Google.

Quand vous lancez une session chiffrée avec OTR, votre logiciel client vous indique quelque chose comme :

Lancement d'une conversation privée avec utilisateur@jabberservice... Conversation non-vérifiée avec utilisateur@jabberservice/démarrage du client chat. 

Si vous avez déjà vérifié l’empreinte OTR de la personne à laquelle vous parlez (voir plus bas), votre session ressemblera à ceci :

Lancement d'une conversation privée avec utilisateur@jabberservice... Conversation privée avec utilisateur@jabberservice/démarrage du client chat. 

Quand vous commencez une nouvelle session OTR, votre logiciel OTR et celui de votre correspondant s’échangent une série de messages pour s’accorder sur une clé pour la nouvelle session. Cette clé temporaire n’est connue que par vos deux clients de messagerie instantanée, ne circule jamais sur Internet et sert à chiffrer et déchiffrer les messages. Une fois la session terminée, les deux logiciels clients « oublient » la clé. Si vous recommencez à chatter plus tard avec la même personne, votre client OTR génèrera une nouvelle clé de session.

De cette façon, même si une personne indiscrète enregistre toutes vos conversations chiffrées — ce que la NSA pense être légalement autorisée à faire même si vous êtes un citoyen étatsunien et qu’elle n’a pas un mandat ou une bonne raison de le faire — et que plus tard elle compromet votre clé OTR, elle ne pourra pas retrouver ni déchiffrer vos anciennes conversations.

Cette propriété est appelée sécurité itérative, et c’est une particularité d’OTR dont PGP ne dispose pas. Si votre clé PGP privée (article à venir sur les clés PGP) est compromise et que l’attaquant a eu accès à tous les messages chiffrés que vous avez reçus, il peut les retrouver et en déchiffrer l’intégralité.

Apprenez-en davantage sur la façon dont fonctionne la sécurité itérative, et la raison pour laquelle la majorité des grandes sociétés d’Internet devraient l’adopter pour leurs site web ici. La bonne nouvelle, c’est que Google utilise déjà la sécurité itérative et que Facebook va l’implémenter dès que possible.

Vérification d’empreinte OTR

Quand vous commencez une nouvelle session OTR avec quelqu’un, votre logiciel de chat reçoit une empreinte^[1] de sa clé de chiffrement et votre logiciel OTR se souvient de cette empreinte. Aussi longtemps que la personne utilise la même clé de chiffrement lorsqu’elle communique avec vous, probablement parce qu’elle utilise le même logiciel/client(?), elle aura la même empreinte. Si cette empreinte change, c’est soit parce que la personne utilise une clé OTR différente, soit que vous êtes tous deux victimes d’une attaque MITM.

Sans cette vérification de clés, vous n’avez aucun moyen de savoir si vous êtes victime d’une attaque MITM réussie et non détectée.

Même en étant sûr que la personne avec qui vous discutez est réellement votre interlocuteur, parce qu’elle connaît des choses qu’elle seule peut connaitre, et en utilisant un chiffrement OTR, un attaquant peut être en train de lire votre conversation. Peut-être avez vous en réalité une conversation chiffrée avec l’attaquant, lui-même en pleine conversation chiffrée avec votre interlocuteur, relayant les messages entre vous et ce dernier. Au lieu de l’empreinte de votre interlocuteur, votre client verra celle de l’attaquant. Tout ce que vous pouvez constater en tant qu’utilisateur est que la conversation est « non vérifiée ».

Les captures d’écran suivantes montrent les indications visuelles de Pidgin concernant la vérification de l’empreinte. Si vous avez vérifié l’empreinte OTR, votre discussion est privée : dans le cas contraire, votre conversation est chiffrée mais rien ne garantit que vous n’êtes pas en train de subir une attaque. Vous ne pouvez en avoir la certitude absolue qu’à condition de vérifier.

Si vous cliquez sur un lien non vérifié (sur Adium c’est une icône de cadenas), vous pouvez choisir « authentifier l’ami ». Le protocole OTR propose trois méthodes de vérification : le protocole du millionnaire socialiste, le secret partagé et la vérification manuelle de l’empreinte. Tous les clients OTR permettent la vérification manuelle de l’empreinte, mais pas forcément les autres types de vérification. Dans le doute, choisissez la vérification manuelle de l’empreinte.

Dans la capture d’écran ci-dessus, on voit l’empreinte OTR des deux utilisateurs de la session. Votre interlocuteur doit voir exactement les mêmes empreintes que vous. Pour être certain que chacun des interlocuteurs voit les mêmes empreintes, vous devez soit vous rencontrer en personne, soit avoir un échange téléphonique (si vous pouvez reconnaitre vos voix) soit trouver une autre solution en-hors du chat mais sécurisée pour vérifier les empreintes, comme envoyer un courriel PGP chiffré et signé.

Les empreintes OTR sont constituées d’une suite de 40 caractères hexadécimaux. Il est statistiquement impossible de générer deux clés OTR ayant la même empreinte, ce qui est appelé une collision. Il est toutefois possible de générer une clé OTR qui, sans être véritablement une collision, semble en être une lors d’une vérification superficielle. Par exemple, les premiers et derniers caractères peuvent identiques et les caractères centraux différents. Il est donc important de comparer chacun des 40 caractères un à un pour être sûr d’avoir la bonne clé OTR.

Comme, en général, vous créez une nouvelle clé OTR chaque fois que vous utilisez un nouveau terminal (par ex., si vous voulez utiliser le même compte Jabber pour discuter à partir de votre téléphone Android avec Gibberbot et à partir de votre PC Windows avec Pidgin), vous vous retrouvez souvent avec plusieurs clés et, par conséquent, plusieurs empreintes. Il est important de répéter l’étape de vérification sur chaque terminal et pour chaque contact avec qui vous discutez.

Utiliser OTR sans vérifier les empreintes est toujours préférable à ne pas utiliser OTR du tout. Comme un attaquant qui tente une attaque MITM contre une session OTR court un risque important d’être pris, cette attaque n’est utilisée qu’avec prudence.

Journaux d’activité

Voici un extrait d’un des journaux de discussion entre Bradley Manning et Adrian Lamo, transmis aux autorités par ce dernier et publié par Wired.

(1:40:51 PM) bradass87 n'a pas encore été identifié. Vous devez authentifier cet utilisateur.

(1:40:51 PM)  une conversation non vérifiée avec bradass87 a commencé.

(1:41:12 PM) bradass87: Salut

(1:44:04 PM) bradass87: Comment vas-tu?

(1:47:01 PM) bradass87: je suis analyste du renseignement à l'armée, à l'est de Bagdad et dans l'attente d'une décharge pour  « trouble de l'adaptation » au lieu de « trouble de l'identité de genre ».

(1:56:24 PM) bradass87: Je suis sûr que tu es très occupé... Tu dois avoir plein de boulot...

(1:58:31 PM) bradass87: Si tu avais un accès privilégié à des réseaux classifiés 14 heures par jour, 7 jours sur 7 et plus de 8 mois dans l'année, que ferais-tu ?

(1:58:31 PM) info@adrianlamo.com: je suis fatigué d'être fatigué

(2:17:29 PM) bradass87: ?

(6:07:29 PM) info@adrianlamo.com: Quel est ton MOS[]

Comme on peut le voir grâce à la ligne « une conversation non vérifiée avec bradass87 a commencé », les deux interlocuteurs utilisaient OTR pour chiffrer leur conversation, or cette dernière a été en définitive rendue publique sur le site web de Wired et utilisée comme pièce à conviction contre Bradley Manning. Il est possible que leur conversation ait fait l’objet d’une attaque MITM, mais c’est très improbable. Ce sont plutôt les clients OTR de Bradley Manning et Adian Lamo qui conservaient une copie de leur conversation sur leur disque dur, non chiffré.

Même s’il peut parfois être utile de garder des journaux de conversations, cela peut aussi gravement mettre en danger votre vie privée. Si Pidgin et Adium ne journalisaient pas les conversations par défaut, il est probable que ces journaux de conversations n’auraient pas fini sur la place publique.

Avec la sortie d’OTR 4.0 en septembre 2012, Pidgin a arrêté de journaliser les conversations OTR par défaut. Adium continue de le faire. Vous devez donc manuellement arrêter cette journalisation, ce qui est une faille d’Adium. Adium étant un logiciel libre avec un système ouvert de suivi de bogues, vous pouvez suivre et participer aux discussions concernant la résolution de cette faille ici et là.

(à suivre…)