#HITBSecConf Le premier jour

Well… Tout va bien ! Tu la sens, la pression, là ?

Bon, je vais rencontrer plein de monde qui vont m’apprendre tout un tas de trucs tout au long de cette semaine… Enfin, après avoir fait ma conf le premier jour…

Une conf en anglais le premier jour… C’est assez flippant.

J’interviens au HITBSecConf d’Amsterdam ce mercredi pour parler sécurité informatique pour journalistes. Pourquoi les journalistes doivent-ils s’y mettre ? J’y reviendrai ici après la conf, au moins je pourrai publier mes slides et papoter tranquille du sujet.

Continuer la lecture de « #HITBSecConf Le premier jour »

Lavabit, Snowden et la vie privée

L’affaire Snowden a pris ces derniers jours une nouvelle tournure, lorsque le boss de Lavabit a tout bonnement et simplement décidé de fermer son service de messagerie. Lavabit, c’est quoi ? Un minuscule fournisseur de messagerie e-mail mais qui mettait un point d’honneur à défendre la vie privée. Caleb Delisle, un copain américain, faisait partie des utilisateurs. Il nous explique pourquoi lui, et certainement Snowden, avai(en)t choisi ce service et comment faire aujourd’hui qu’il n’existe plus.

L’affaire Snowden a pris ces derniers jours une nouvelle tournure, lorsque le boss de Lavabit a tout bonnement et simplement décidé de fermer son service de messagerie. Lavabit, c’est quoi ? Un minuscule fournisseur de messagerie e-mail mais qui mettait un point d’honneur à défendre la vie privée. Caleb Delisle, un copain américain, faisait partie des contributeurs utilisateurs. Il nous explique pourquoi lui, et certainement Snowden, avai(en)t choisi ce service et comment faire aujourd’hui qu’il n’existe plus.

Capture du 2013-08-13 12:13:25

Comme certains d’entre vous le savent déjà, mon ancienne adresse e-mail et son fournisseur, Lavabit.com, n’existent plus.

Il ya quatre ans j’étais à la recherche d’un fournisseur de messagerie gratuit quand j’ai découvert lavabit.com.Il n’était pas le seul fournisseur de messagerie, mais j’ai été attiré par son côté geeko-friendly, minimaliste, et le sérieux, voire le dévouement, avec lequel ils s’accordaient à protéger la vie privée.

À une époque où la confidentialité était considérée comme une vieille chose, Lavabit luttait seul contre le marché, pour ce en quoi ils croyaient. Ils luttaient pour pour qu’un moment partagé entre amis, en famille ou avec des proches ne soit pas une donnée qui tombe dans les réseaux du marketing. Alors que nous, les enfants web2.0, qui nous exposions nous-mêmes au quotidien, prenions des paris sur la subsistance de ces « services » croyant que nous aurions fini par devenir modestes.

Ce que Lavabit avant construit était une merveille. Ils ont utilisé la cryptographie pour assurer que VOS e-mails ne puissent pas être lus sans mot de passe de connexion, même pas par l’administrateur du serveur Lavabit lui-même. Au cours des 4 dernières années, j’ai recommandé Lavabit à des amis et à de la famille. Je n’avais que le bouche à oreilles à leur offrir. Lavabit était évidemment un service basé sur la passion : La vie privée n’est tout simplement pas rentable.

Il y a cinq jours, Lavabit a cessé de répondre

Ce n’était pas un problème majeur, c’était déjà arrivé. Mais après douze heures de temps d’arrêt je suis devenu inquiet. J’ai décidé de ne pas bouger et de voir ce qui se passait. Après environ deux jours, une foule sans cesse croissante de compatriotes utilisateurs a commencé à se plaindre sur le web. Le propriétaire a finalement décidé de jeter l’éponge.

La page d’accueil de Lavabit, qui annonçait juste que le site était indisponible cause d’opération de maintenance, disait que l’opérateur, Ladar Levison, avait choisi d’arrêter le site plutôt que « devenir complice de crimes contre le peuple américain » et qu’un bâillon l’empêchait de dire quoi que ce soit d’autre.

Au fil du temps, nous avons appris que Lavabit avait parfois reçu l’ordre de fournir des informations dans des cas de maltraitance d’enfants. Ils avaient facilement respecté la vie privée (dans la mesure où la cryptographie leur permettrait). Tout ce qui s’est passé ces derniers jours devait donc être plus important qu’un mandat de perquisition de routine. Nous avons aussi appris que ce minuscule fournisseur de service e-mail était utilisé aussi par Edward Snowden.

Si les agents exigent de la part d’un bureau de poste que des lettres soient ouvertes, ces lettres doivent rester ouvertes, laissant comme preuve que les courriers ont été lus. Dans un ordinateur, il n’y a pas de preuve. Ainsi, demander à un fournisseur d’accéder aux e-mails d’une personne, exige qu’il trompe leurs propres clients en laissant entendre que tout est normal. Cette demande que Ladar juge abusive vis à vis de la confiance de ses utilisateurs est probablement ce qui l’a poussé à tout fermer.

Quoi qu’il en soit, Lavabit et calebdelisle@lavabit.com n’existent plus.

Cet e-mail est sûr parce que j’ai toujours préféré, pour télécharger mes e-mails sur mon ordinateur portable, utiliser Thunderbird. Même si il est en effet gênant de changer d’adresse, je suis fier d’avoir fait un petit bout de chemin avec un homme qui, pour autant que nous le sachions, s’est battu jusqu’à la fin contre ce à quoi il ne croyait pas. Après quatre ans à utiliser Lavabit, je ne peux pas me résoudre à utiliser Gmail ou Hotmail ou tout autre service de messagerie glamour.

Je suis un fier utilisateur du nouveau service de courrier hyperboria.ca

Il n’est pas aussi beau que gmail et il n’est pas aussi sûr que Lavabit mais il est géré par les gens, moi y compris, qui pensent que le courrier électronique est plus qu’un outil pour recueillir des informations marketing. Hyperboria.ca n’est accessible qu’aux membres du réseau Hyperboria. Je n’ai pas le temps ni la volonté de lancer un « vrai » serveur de messagerie chez moi.

Si tout le monde devait faire une seule chose pour l’amour de la vie privée, utilisez Thunderbird. Vous pouvez l’utiliser avec votre compte de messagerie « normal » et une fois que vous avez essayé, vous ne recommencerez jamais à taper des mots de passe sur un site Web. Avec Thunderbird, vous pouvez non seulement lire votre e-mail sur votre PC au lieu de « dans le cloud », mais vous pouvez également utiliser l’extension Enigmail PGP.

PGP signifie « Pretty Good Privacy » qui vous permet d’envoyer des messages que personne d’autre que le destinataire ne peut lire.

J’utilise PGP pour écrire à ma mère, non pas parce que nous « avons quelque chose à cacher », mais parce qu’une conversation entre une mère et son fils n’est pas une question de sécurité nationale et certainement pas non plus de « marketing ». Nous sommes le peuple, nous valons plus que cela.

Et vous en êtes aussi.

Si vous n’êtes pas porté sur la technique, demandez à un ami ou membre de votre famille, s’ils ne sont pas utilisateurs de Thunderbird et PGP.

Il est grand temps qu’on apprenne !

Merci à Caleb pour temps qu’il a su consacrer à la rédaction de ce texte.

  • Les liens qui vont bien

Un autre service de messagerie, Silent Circle, ferme aussi.
Armes d’interception numériques : usages et tentatives d’opposition.
La page d’accueil de Lavabit
Un peude lecture
Et si on changeait de FAI ?

#GPG Solution à l’initialisation : la certification

Le dernier billet de la série sur GPG concerne la chaîne de confiance et pourquoi il n’est pas bon de changer de clé à longueur de temps. Suite à une grande discussion sur la signature de clés GPG avec Pierre, je lui ai proposé d’écrire un billet pour Sete’ici à ce sujet. C’était chose déjà faite. Il m’a permis de re-publier ce texte déjà paru chez lui.

Le dernier billet de la série sur GPG concerne la chaîne de confiance et pourquoi il n’est pas bon de changer de clé à longueur de temps. Suite à une grande discussion sur la signature de clés GPG avec Kaiyou, je lui ai proposé d’écrire un billet pour Sete’ici à ce sujet. C’était chose déjà faite. Il m’a permis de re-publier ce texte déjà paru chez lui.

PGP, ou sa variante libre OpenPGP tient pour l’essentiel dans un protocole de certification similaire à X.509 : les clés publiques sont publiées accompagnées de certificats signés par d’autres individus.

À la grande différence de X.509 toutefois, les certificats ne sont pas signés par une autorité de confiance mais par les relations sociales directes de l’individu publiant la clé. Ainsi, moi, Pierre Jaury, peux publier ma clé publique accompagnée d’un certificat d’authenticité signé par mes proches. Quel intérêt alors s’il est possible de générer de fausses signatures à partir de l’identité de fausses relations sociales ? Le graphe social d’un individu est peuplé de liens de confiance.

Détaillons. Moi, Pierre, diffuse ma clé publique accompagnée d’un certificat signé par mon amie Alice. Bob, également ami d’Alice, rencontré sur un salon de discussion, souhaite obtenir une copie sûre de ma clé publique (afin de me communiquer des informations sensibles). Je lui expédie donc le paquetage clé/certificat dans un courrier électronique. Bob ayant déjà récupéré une copie sûre de la clé de Alice peut vérifier l’authenticité de la signature sur le certificat. S’il a confiance en la compétence d’Alice à vérifier mon identité, il considérera le certificat comme une preuve de l’authenticité de ma clé publique et pourra m’adresser des messages chiffrés sans crainte que quiconque sinon moi puisse les lire ; il validera également l’authenticité des messages signés que je lui réserve.

La solidité d’OpenPGP repose donc sur deux conditions :

– un nombre suffisant d’utilisateurs, si possible pas réunis autour d’un noyau unique ;

– le sérieux des vérifications d’identité avant de signer les certificats d’authenticité.

C’est le non respect de la seconde condition qui menace de conduire OpenPGP à sa perte. Un nombre trop important de clés pas suffisamment vérifiées et le système s’effondre.

Conclusion

Peut-être ne touchez-vous pas l’intérêt d’OpenPGP mais aurez été initiés à ses avantages et ses dangers. Quoi qu’il en soit, il est indispensable pour le bien être de ce réseau social de confiance et de sécurité que les utilisateurs prennent à cœur leur responsabilité première : entretenir la sécurité du réseau en validant bien l’identité des individus connectés au graphe social de confiance.

Comment valider une identité ? vérifier l’accès au compte e-mail et une pièce d’identité de l’individu sont les deux aspects principalement nécessaires. Certains trousseaux OpenPGP embarquent également des meta-informations telles qu’une photo ou une adresse ; il conviendra de les vérifier.

De nombreux outils sur des systèmes d’exploitation variés permettent aujourd’hui de gérer proprement son propre jeu de clés et les relations de confiance avec les clés d’autres individus. Ils proposent également une interface pour la signature numérique ainsi que la synchronisation des données avec des annuaires publiques de clés, facilitant l’échange (la validation se fera alors en comparant les empreintes des clés).

  • Tu veux créer une clé GPG ?

Tu es utilisateur de Windows ? Un tutoriel par ici
Tu es un gentil libriste ? Un tutoriel (celui que j’utilise) par là.

  • Les liens qui vont bien

Le billet de Kaiyou dont celui-ci est issu dans sa totalité
Une version grand public chez Korben

 

Des données qui n’ont de privées que l’expression que vous employez

Facebook…

C’est horrible vos messages privés ont été affichés sur vos murs… Oui, j’ai barré privé, tout simplement parce que ces messages n’ont de privé que l’expression que vous y mettez dessus.

Je m’explique.

Quand vous postez un message sur facebook, même dans la partie « message privée », vous déposez ce message dans une sorte de petite boite « facebook », ils sont donc accessible à qui a la main sur les serveurs du site. Et vu le nombre de gus qui travaillent là-dessus… ça fait un beau paquet de monde.

Continuer la lecture de « Des données qui n’ont de privées que l’expression que vous employez »