Ne laissez pas Google chiffrer vos mails

sauf que les techniques de chiffrement sont déjà bien anciennes. PGP, par exemple, date de 1991.

La première question qu’il faudrait donc se poser c’est « pourquoi seulement aujourd’hui ? » Un an après les premières révélations d’Edward Snowden, Google essaie plutôt de coller à/créer une mode « oui, je suis sur Gmail et je chiffre mes courriels ».

A savoir, vous pouvez déjà chiffrer vos mails en étant sur Gmail, comme des grands, avec GPG sans que personne d’autre n’y mette la main dedans…

Google va chiffrer les emails,
Viva Google !
C’est la révoution !
bla, bla, bla… L’info est tombée la semaine dernière et tout le monde s’extasie en pensant que Google permettre de chiffrer ses mails.

sauf que…

Continuer la lecture de « Ne laissez pas Google chiffrer vos mails »

Tes messages sur WhatsApp n’ont jamais été confidentiels

Au secours, c’est la fin du monde ! La clé de chiffrement de l’appli WatsApp a été révélée ! Le monde se réveille apeuré, piraté, outré, sauf que… Sauf que mon grand, tes messages sur WhatsApp n’ont jamais été confidentiels.

Au secours, c’est la fin du monde ! La clé de chiffrement de l’appli WatsApp a été révélée ! Le monde se réveille apeuré, piraté, outré, sauf que… Sauf que mon grand, tes messages sur WhatsApp n’ont jamais été confidentiels.

Première contre-vérité, ce chiffrement était soi-disant sécurisé

La « sécurité » de cette application était basée sur du chiffrement symétrique, c’est à dire qu’on utilise la même clé pour chiffrer et déchiffrer le message,

Capture du 2014-03-21 10:56:50

Continuer la lecture de « Tes messages sur WhatsApp n’ont jamais été confidentiels »

Lavabit, Snowden et la vie privée

L’affaire Snowden a pris ces derniers jours une nouvelle tournure, lorsque le boss de Lavabit a tout bonnement et simplement décidé de fermer son service de messagerie. Lavabit, c’est quoi ? Un minuscule fournisseur de messagerie e-mail mais qui mettait un point d’honneur à défendre la vie privée. Caleb Delisle, un copain américain, faisait partie des utilisateurs. Il nous explique pourquoi lui, et certainement Snowden, avai(en)t choisi ce service et comment faire aujourd’hui qu’il n’existe plus.

L’affaire Snowden a pris ces derniers jours une nouvelle tournure, lorsque le boss de Lavabit a tout bonnement et simplement décidé de fermer son service de messagerie. Lavabit, c’est quoi ? Un minuscule fournisseur de messagerie e-mail mais qui mettait un point d’honneur à défendre la vie privée. Caleb Delisle, un copain américain, faisait partie des contributeurs utilisateurs. Il nous explique pourquoi lui, et certainement Snowden, avai(en)t choisi ce service et comment faire aujourd’hui qu’il n’existe plus.

Capture du 2013-08-13 12:13:25

Comme certains d’entre vous le savent déjà, mon ancienne adresse e-mail et son fournisseur, Lavabit.com, n’existent plus.

Il ya quatre ans j’étais à la recherche d’un fournisseur de messagerie gratuit quand j’ai découvert lavabit.com.Il n’était pas le seul fournisseur de messagerie, mais j’ai été attiré par son côté geeko-friendly, minimaliste, et le sérieux, voire le dévouement, avec lequel ils s’accordaient à protéger la vie privée.

À une époque où la confidentialité était considérée comme une vieille chose, Lavabit luttait seul contre le marché, pour ce en quoi ils croyaient. Ils luttaient pour pour qu’un moment partagé entre amis, en famille ou avec des proches ne soit pas une donnée qui tombe dans les réseaux du marketing. Alors que nous, les enfants web2.0, qui nous exposions nous-mêmes au quotidien, prenions des paris sur la subsistance de ces « services » croyant que nous aurions fini par devenir modestes.

Ce que Lavabit avant construit était une merveille. Ils ont utilisé la cryptographie pour assurer que VOS e-mails ne puissent pas être lus sans mot de passe de connexion, même pas par l’administrateur du serveur Lavabit lui-même. Au cours des 4 dernières années, j’ai recommandé Lavabit à des amis et à de la famille. Je n’avais que le bouche à oreilles à leur offrir. Lavabit était évidemment un service basé sur la passion : La vie privée n’est tout simplement pas rentable.

Il y a cinq jours, Lavabit a cessé de répondre

Ce n’était pas un problème majeur, c’était déjà arrivé. Mais après douze heures de temps d’arrêt je suis devenu inquiet. J’ai décidé de ne pas bouger et de voir ce qui se passait. Après environ deux jours, une foule sans cesse croissante de compatriotes utilisateurs a commencé à se plaindre sur le web. Le propriétaire a finalement décidé de jeter l’éponge.

La page d’accueil de Lavabit, qui annonçait juste que le site était indisponible cause d’opération de maintenance, disait que l’opérateur, Ladar Levison, avait choisi d’arrêter le site plutôt que « devenir complice de crimes contre le peuple américain » et qu’un bâillon l’empêchait de dire quoi que ce soit d’autre.

Au fil du temps, nous avons appris que Lavabit avait parfois reçu l’ordre de fournir des informations dans des cas de maltraitance d’enfants. Ils avaient facilement respecté la vie privée (dans la mesure où la cryptographie leur permettrait). Tout ce qui s’est passé ces derniers jours devait donc être plus important qu’un mandat de perquisition de routine. Nous avons aussi appris que ce minuscule fournisseur de service e-mail était utilisé aussi par Edward Snowden.

Si les agents exigent de la part d’un bureau de poste que des lettres soient ouvertes, ces lettres doivent rester ouvertes, laissant comme preuve que les courriers ont été lus. Dans un ordinateur, il n’y a pas de preuve. Ainsi, demander à un fournisseur d’accéder aux e-mails d’une personne, exige qu’il trompe leurs propres clients en laissant entendre que tout est normal. Cette demande que Ladar juge abusive vis à vis de la confiance de ses utilisateurs est probablement ce qui l’a poussé à tout fermer.

Quoi qu’il en soit, Lavabit et calebdelisle@lavabit.com n’existent plus.

Cet e-mail est sûr parce que j’ai toujours préféré, pour télécharger mes e-mails sur mon ordinateur portable, utiliser Thunderbird. Même si il est en effet gênant de changer d’adresse, je suis fier d’avoir fait un petit bout de chemin avec un homme qui, pour autant que nous le sachions, s’est battu jusqu’à la fin contre ce à quoi il ne croyait pas. Après quatre ans à utiliser Lavabit, je ne peux pas me résoudre à utiliser Gmail ou Hotmail ou tout autre service de messagerie glamour.

Je suis un fier utilisateur du nouveau service de courrier hyperboria.ca

Il n’est pas aussi beau que gmail et il n’est pas aussi sûr que Lavabit mais il est géré par les gens, moi y compris, qui pensent que le courrier électronique est plus qu’un outil pour recueillir des informations marketing. Hyperboria.ca n’est accessible qu’aux membres du réseau Hyperboria. Je n’ai pas le temps ni la volonté de lancer un « vrai » serveur de messagerie chez moi.

Si tout le monde devait faire une seule chose pour l’amour de la vie privée, utilisez Thunderbird. Vous pouvez l’utiliser avec votre compte de messagerie « normal » et une fois que vous avez essayé, vous ne recommencerez jamais à taper des mots de passe sur un site Web. Avec Thunderbird, vous pouvez non seulement lire votre e-mail sur votre PC au lieu de « dans le cloud », mais vous pouvez également utiliser l’extension Enigmail PGP.

PGP signifie « Pretty Good Privacy » qui vous permet d’envoyer des messages que personne d’autre que le destinataire ne peut lire.

J’utilise PGP pour écrire à ma mère, non pas parce que nous « avons quelque chose à cacher », mais parce qu’une conversation entre une mère et son fils n’est pas une question de sécurité nationale et certainement pas non plus de « marketing ». Nous sommes le peuple, nous valons plus que cela.

Et vous en êtes aussi.

Si vous n’êtes pas porté sur la technique, demandez à un ami ou membre de votre famille, s’ils ne sont pas utilisateurs de Thunderbird et PGP.

Il est grand temps qu’on apprenne !

Merci à Caleb pour temps qu’il a su consacrer à la rédaction de ce texte.

  • Les liens qui vont bien

Un autre service de messagerie, Silent Circle, ferme aussi.
Armes d’interception numériques : usages et tentatives d’opposition.
La page d’accueil de Lavabit
Un peude lecture
Et si on changeait de FAI ?

#GPG Solution à l’initialisation : la certification

Le dernier billet de la série sur GPG concerne la chaîne de confiance et pourquoi il n’est pas bon de changer de clé à longueur de temps. Suite à une grande discussion sur la signature de clés GPG avec Pierre, je lui ai proposé d’écrire un billet pour Sete’ici à ce sujet. C’était chose déjà faite. Il m’a permis de re-publier ce texte déjà paru chez lui.

Le dernier billet de la série sur GPG concerne la chaîne de confiance et pourquoi il n’est pas bon de changer de clé à longueur de temps. Suite à une grande discussion sur la signature de clés GPG avec Kaiyou, je lui ai proposé d’écrire un billet pour Sete’ici à ce sujet. C’était chose déjà faite. Il m’a permis de re-publier ce texte déjà paru chez lui.

PGP, ou sa variante libre OpenPGP tient pour l’essentiel dans un protocole de certification similaire à X.509 : les clés publiques sont publiées accompagnées de certificats signés par d’autres individus.

À la grande différence de X.509 toutefois, les certificats ne sont pas signés par une autorité de confiance mais par les relations sociales directes de l’individu publiant la clé. Ainsi, moi, Pierre Jaury, peux publier ma clé publique accompagnée d’un certificat d’authenticité signé par mes proches. Quel intérêt alors s’il est possible de générer de fausses signatures à partir de l’identité de fausses relations sociales ? Le graphe social d’un individu est peuplé de liens de confiance.

Détaillons. Moi, Pierre, diffuse ma clé publique accompagnée d’un certificat signé par mon amie Alice. Bob, également ami d’Alice, rencontré sur un salon de discussion, souhaite obtenir une copie sûre de ma clé publique (afin de me communiquer des informations sensibles). Je lui expédie donc le paquetage clé/certificat dans un courrier électronique. Bob ayant déjà récupéré une copie sûre de la clé de Alice peut vérifier l’authenticité de la signature sur le certificat. S’il a confiance en la compétence d’Alice à vérifier mon identité, il considérera le certificat comme une preuve de l’authenticité de ma clé publique et pourra m’adresser des messages chiffrés sans crainte que quiconque sinon moi puisse les lire ; il validera également l’authenticité des messages signés que je lui réserve.

La solidité d’OpenPGP repose donc sur deux conditions :

– un nombre suffisant d’utilisateurs, si possible pas réunis autour d’un noyau unique ;

– le sérieux des vérifications d’identité avant de signer les certificats d’authenticité.

C’est le non respect de la seconde condition qui menace de conduire OpenPGP à sa perte. Un nombre trop important de clés pas suffisamment vérifiées et le système s’effondre.

Conclusion

Peut-être ne touchez-vous pas l’intérêt d’OpenPGP mais aurez été initiés à ses avantages et ses dangers. Quoi qu’il en soit, il est indispensable pour le bien être de ce réseau social de confiance et de sécurité que les utilisateurs prennent à cœur leur responsabilité première : entretenir la sécurité du réseau en validant bien l’identité des individus connectés au graphe social de confiance.

Comment valider une identité ? vérifier l’accès au compte e-mail et une pièce d’identité de l’individu sont les deux aspects principalement nécessaires. Certains trousseaux OpenPGP embarquent également des meta-informations telles qu’une photo ou une adresse ; il conviendra de les vérifier.

De nombreux outils sur des systèmes d’exploitation variés permettent aujourd’hui de gérer proprement son propre jeu de clés et les relations de confiance avec les clés d’autres individus. Ils proposent également une interface pour la signature numérique ainsi que la synchronisation des données avec des annuaires publiques de clés, facilitant l’échange (la validation se fera alors en comparant les empreintes des clés).

  • Tu veux créer une clé GPG ?

Tu es utilisateur de Windows ? Un tutoriel par ici
Tu es un gentil libriste ? Un tutoriel (celui que j’utilise) par là.

  • Les liens qui vont bien

Le billet de Kaiyou dont celui-ci est issu dans sa totalité
Une version grand public chez Korben

 

#GPG exporter/importer une clé

Qui dit changer d’OS dit importer sa/ses clé(s) GPG dans le tout nouveau tout beau. La manipulation est la même lors d’un changement d’ordinateur, bien entendu.

Qui dit changer d’OS dit importer sa/ses clé(s) GPG dans le tout nouveau tout beau. La manipulation est la même lors d’un changement d’ordinateur, bien entendu.

Une fois Thnderbird avec le plugin Enigmail qui va bien, on est fin prêt à ajouter sa clé dans la machine sauf que… comment on fait ?

Dans mon cas, c’était encore plus chiant intéressant puisque j’avais, pendant plus d’un an, planqué ma clé GPG dans une VM(EN). Cela me permettait le cas échéant sur un terrain chelou, de la crasher et par conséquent, de perdre volontairement clé, contacts, mails chiffrés pour protéger mes contacts. Alors oui, une VM, ça se retrouve, mais si elle est dans une partition chiffrée (qui elle-même se trouve dans une…), je me disais que ça donnerait un peu plus de boulot à qui voudrait accéder à mes sources.

Très bien, il suffit donc de copier la clé d’un côté et de l’importer de l’autre… Sauf que ma VM, premier problème, n’a aucune connexion avec les port USB de la machine. Je cherche donc du côté du réglage USB et là, au surprise, le seul port USB qui m’est proposé est inconnu au bataillon. J’ai beau tester tous les ports, même ceux de la table rafraîchissante, des fois que…

L’export

J’ai finalement trouvé le port « USB » reconnu par la VM était en fait l’entrée de la carte SD sur l’ordinateur. Une fois ce problème résolu, on peut finalement s’attaquer au transfert qui s’avère finalement très simple.

Capture du 2013-05-01 10_05_22

Dans OpenPGP, cliquer sur « gestion des clés », trouvez la clé qui vous intéresse et choisissez l’option « exporter des clés vers un fichier ». Dans ce cas précis, c’est bien entendu l’export de clé privée qui m’intéresse. Direction la clé USB, donc, dans mon cas la carte SD.

L’import

Arrivée sur le nouvel OS, Thunderbird en mode run, me voici de retour dans l’interface de gestion des clés. Là, il suffit de cliquer sur « importer des clés depuis un fichier » et de la choisir dans le dossier où on l’a stockée. La machine s’occupe du reste.

Capture du 2013-05-01 10_07_49

J’ai voulu m’amuser à remplacer ça part la clé publique pour voir ce que cela donnait, bien entendu, impossible d’envoyer un mail par la suite. Du coup, suppression et nouvel import bien propre de la clé privée.

Surtout, pensez à supprimer le fichier de votre clé USB et de la reformater !

Limites du transfert

A ce propos, une question se pose pourtant : celle du support qui a transporté cette clé privée d’un point A à un point B. Comment être sûre qu’après plusieurs reformatage de cette clé USB/carte SD/disque dur externe, on ne pourra pas accéder à ce que nous mettons à l’intérieur ? Et par conséquent, pouvoir déchiffrer nos mails ? Une protection supplémentaire peut doit être le chiffrement de votre support qui sera un frein supplémentaire à l’accès à vos données.

Changer de clé quand on change d’ordinateur ? En recréer une pour repartir sur du propre ? Cela pourrait éviter la faille de la récupération de la clé sur le support. Puisque GPG est aussi basé sur une chaîne de confiance, si votre clé a été signée à plusieurs reprises, si vos contacts l’ont, ce n’est pas vraiment une bonne idée, me dit-on. A lire dans le prochain et dernier billet de la série.

Le 27 avril, c’est cryptoparty

Le loop, hackerspace parisien, organise le 27 avril prochain sa cryptoparty. C’est quoi donc ? Un moment d’échange(s) autour de la sécurité. Echanges de bons conseils, échanges de clés à signer, échanges d’infos…

800px-asymetric_cryptography_-_step_2-svg

Le loop, hackerspace parisien, organise le 27 avril prochain sa cryptoparty. C’est quoi donc ? Un moment d’échange(s) autour de la sécurité. Echanges de bons conseils, échanges de clés à signer, échanges d’infos…

L’événement est accessible à tous. Il suffit d’avoir envie d’apprendre et de progresser et d’adresser la parole aux gens tout autour (non, on ne vous mordra pas…) même si on part de quasi pas grand chose, la porte est grande ouverte.

Ramenez donc PC, miam, glou, bonne humeur et pourquoi pas clé USB pour faire mumuse avec. Un exemple ? La dernière fois, on avait fait des clés tails entre deux signatures de clés GPG à la table où je me trouvais… et ces petites choses sont fort utiles.

Il ne me reste plus qu’à vous préciser que c’est à Paris, à la Gare XP (où se passent tout plein de trucs sympas) à partir de 14h et à vous indiquer la page dédiée sur le wiki du loop pour en savoir plus.

See ya there.

Google est ton ami (ou pas)

Je lis mes mails sur ma machine via un client ThunderBird. Parfois avec Tor, parfois avec un VPN, parfois avec les deux en même temps, qui tournent en fond et donc modifient mon adresse IP.
Et ça, monsieur, il n’aime pas.

J’ai un petit souci de mail ces derniers temps, aujourd’hui plus qu’hier. Je me demande si monsieur google a remanié sa politique de sécurité mais lui et moi, on n’est pas amis !

La raison ? Je lis mes mails sur ma machine via un client ThunderBird. Parfois avec Tor, parfois avec un VPN, parfois avec les deux en même temps, qui tournent en fond et donc modifient mon adresse IP.

Et ça, monsieur, il n’aime pas.

Continuer la lecture de « Google est ton ami (ou pas) »