#HITBSecConf Le premier jour

Well… Tout va bien ! Tu la sens, la pression, là ?

Bon, je vais rencontrer plein de monde qui vont m’apprendre tout un tas de trucs tout au long de cette semaine… Enfin, après avoir fait ma conf le premier jour…

Une conf en anglais le premier jour… C’est assez flippant.

J’interviens au HITBSecConf d’Amsterdam ce mercredi pour parler sécurité informatique pour journalistes. Pourquoi les journalistes doivent-ils s’y mettre ? J’y reviendrai ici après la conf, au moins je pourrai publier mes slides et papoter tranquille du sujet.

Continuer la lecture de « #HITBSecConf Le premier jour »

Vie privée, suivez le blaireau !

Privacy Badger est un nouvel outil libre développé par l’EFF qui permet de bloquet les trackers des pages web que vous visitez.

Privacy Badger est un nouvel outil libre développé par l’EFF qui permet de bloqueR les trackers des pages web que vous visitez.

J’utilise Ghostery depuis pas mal de temps, il fontionne très bien, mais n’est pas totalement libre. Privacy Badger l’est.

Continuer la lecture de « Vie privée, suivez le blaireau ! »

Tes messages sur WhatsApp n’ont jamais été confidentiels

Au secours, c’est la fin du monde ! La clé de chiffrement de l’appli WatsApp a été révélée ! Le monde se réveille apeuré, piraté, outré, sauf que… Sauf que mon grand, tes messages sur WhatsApp n’ont jamais été confidentiels.

Au secours, c’est la fin du monde ! La clé de chiffrement de l’appli WatsApp a été révélée ! Le monde se réveille apeuré, piraté, outré, sauf que… Sauf que mon grand, tes messages sur WhatsApp n’ont jamais été confidentiels.

Première contre-vérité, ce chiffrement était soi-disant sécurisé

La « sécurité » de cette application était basée sur du chiffrement symétrique, c’est à dire qu’on utilise la même clé pour chiffrer et déchiffrer le message,

Capture du 2014-03-21 10:56:50

Continuer la lecture de « Tes messages sur WhatsApp n’ont jamais été confidentiels »

Comment défendre nos libertés en ligne ? réponse avec @jerezim

Comment défendre nos libertés en ligne ? réponse avec @jerezim

J’ai assisté il y a quelques jours à la conf de Jérémie Zimmermann au Théâtre du Rond Point.
Très intéressant, comme d’habitude. j’aime, donc je le partage.

Continuer la lecture de « Comment défendre nos libertés en ligne ? réponse avec @jerezim »

Comment la CNIL encourage à éparpiller ses données persos

La CNIL publie une fiche intitulée « Protéger ses données personnelles sur Facebook : les conseils pour agir » qui renvoie vers la page Facebook de la CNIL
gné ?

Déjà allier Facebook et protection des données personnelles est assez osé, puisque rien de ce que vous ne postez sur ce site n’est « personnel » puisque déposé sur les serveurs facebook. Dans le meilleurs des cas (avec des si), c’est tout, dans a vraie vie, ça part chez des marketteux, des pubeux, ou toute autre personne qui peut avoir accès à tout ou partie des serveurs du géant américain.
Le lien renvoie vers une jolie page avec de beaux galets de couleurs sur lesquels il faut cliquer pour obtenir des informations en as de harcèlement, de faux profil, de fermeture de compte, etc…

Capture du 2014-02-05 15:10:26

Je me suis arrêtée sur « comment gérer les paramètres de confidentialité ? » soucieuse de savoir comment confidentialité il peut y avoir quand tu échanges tout plein d’infos avec des pubeux.

Les conseils de la CNIL sont les suivants :

 

Capture du 2014-02-05 15:13:03

Si j’avais eu un compte, j’aurais liké celui-ci :
« Vous pouvez limiter l’ensemble de vos publications antérieures à l’audience de votre liste d’amis. Rappel : Depuis votre mur ou votre historique, vous avez aussi la possibilité de « supprimer» manuellement chacune des actions effectuées sur Facebook, ou limiter l’accès de vos publications à « vos amis proches », à « moi uniquement » … »

Rien n’aide moins à la confidentialité que l’illusion de la confidentialité.
On peut effectivement limiter la publication sur le Ouaibe de ces informations à la liste d’amis + les publicitaires + les marketeur + tous les autres…

Ensuite, on t’explique que tu peux « supprimer », comme ça, en un clic, ce que tu as envie de voir disparaître… sauf que… sauf qu’il n’y a qu’à la CNIL qu’on croit encore au père Noël. Et bien non, les lutins ne vont pas faire le ménage dans les serveurs de la boite, cela disparaît juste de votre mur et les informations restent chez eux, toujours utilisables à toutes fins commerciales ou autres… Biensur, cela n’est mentionné nulle part sur les explications de la CNIL.

Le mieux reste encore la proposition de destiner une publication à « moi uniquement » (????)
???
???
???
Non, la CNIL, quand quelqu’un publie sur facebook, même s’il choisit que sa voisine ne peut pas voir cette information, ils sont des centaines à pouvoir la voir.
Question, pourquoi toute cette désinformation ? Pourquoi faire croire aux gens dont vous êtes censé « faire respecter les libertés individuelles » que leurs données personnelles seront protégées alors que ce n’est pas le cas et que vous le savez.

  • Les liens qui vont bien

Données personnelles, non je ne suis pas fidèle
Voila un an et demi que j’ai quitté Facebook

Le serveur DIY

Ca aura pris un peu de temps mais c’est fait.
J’avais cette vieille machine qui a connu les 44 degrés du Soudan, la vie en Egypte, la révolution en Syrie et les montagnes Liban et qui, avant que j’en fasse l’acquisition d’occasion auprès d’une copine, avait fait un petit but de tour du monde avec elle.

Ca aura pris un peu de temps mais c’est fait.
J’avais cette vieille machine qui a connu les 44 degrés du Soudan, la vie en Egypte, la révolution en Syrie et les montagnes Liban et qui, avant que j’en fasse l’acquisition d’occasion auprès d’une copine, avait fait un petit but de tour du monde avec elle.
Elle roupillait gaiement dans une malle, ne s’allumant qu’un coup sur trois, ou quatre, ou cinq… mais je ne me raisonnais pas à la jeter. Début janvier, je me suis mise en tête d’en faire un serveur. Elle a commencé par me faire mentir en démarrant sans problème du premier coup, le temps d’y caler une Debian en netinstall.

2-Install

J’ai tout bien partitioné avec LVM /boot   /home   /root   /var   /tmp   je crois qu’il ne me me manque rien… et j’ai même compris pourquoi faire un /culture (oui, oui, c’était ma lubie) dès le départ ne sert à rien.

De retour à la maison, toute bien branchée sur le switch, ne voilà-t-il pas qu’elle me fait le yoyo. Et vas-y que je boote, et vas-y que je m’arrête, un coup oui, un coup non, rien de stable et impossible de travailler dessus.

3-Demonte

4-sable

Retour à la case bricole. Autant le disque dur était facilement accessible, autant pour le reste… Alors il a fallu tout démonter. De quoi redécouvrir des échantillons de sable d’une bonne partie des déserts du Moyen-Orient (oups!) et d’essayer de comprendre pourquoi elle nous joue des tours.

5-verso

C’est finalement la prise de l’alim qui avait mal vécu le temps qui passe. Enfin, plus précisément, la soudure de la fameuse prise qui s’était oxydée. Il a fallu dessouder, aspirer, ressouder bien propre.

6-entier

Et voilà notre machine prête à faire son grand retour à la maison…

7-demarre

… et à tourner depuis sans encombres.

8-bloc

Au passage, un petit clin d’oeil à Dotux

Paramétrer un proxy Tor pour FoxyProxy

J’ai eu plusieurs retours de personnes qui trouvent embêtant de paramétrer/déparamétrer à chaque fois qu’ils en ont besoin, une connexion via Tor dans leur navigateur, celui où ils ont tous leurs bookmarks et leurs petites habitudes.
Deux possibilités, soit mettre en place ces réglages par défaut, ce qui pour moi est une mauvaise idée puisque elle vous donne une illusion de sécurité, et c’est là que vous ne faites plus attention et que la situation peut devenir potentiellement dangereuse. Par ailleurs, elle vous « oblige » à passer par le réseau Tor à des moments où vous n’en n’avez pas spécialement besoin.

J’ai eu plusieurs retours de personnes qui trouvent embêtant de paramétrer/déparamétrer à chaque fois qu’ils en ont besoin, une connexion via Tor dans leur navigateur, celui où ils ont tous leurs bookmarks et leurs petites habitudes.
Deux possibilités, soit mettre en place ces réglages par défaut, ce qui pour moi est une mauvaise idée puisque elle vous donne une illusion de sécurité, et c’est là que vous ne faites plus attention et que la situation peut devenir potentiellement dangereuse. Par ailleurs, elle vous « oblige » à passer par le réseau Tor à des moments où vous n’en n’avez pas spécialement besoin.

FoxyProxy

Une solution intéressante est d’utiliser Foxy Proxy, un petit plug-in que vous téléchargez facilement dans Firefox. Il se place automatiquement à droite de votre barre d’adresse sous forme d’une petite tête de renard.

Capture du 2014-01-09 14:42:15

Lorsqu’il est « barré » comme celui-ci, il indique qu’il n’est pas en fonction.

Tor

En prérequis, bien entendu, il vous faut installer Tor. A titre perso, j’ai installé les paquets Vidalia et fait les modifs conseillées par ce tuto (sinon cela ne fonctionnait pas). Il ne reste plus qu’à lancer Vidalia pour me connecter au réseau Tor…

Capture du 2014-01-09 14:31:32

Attention ! Etre connecté ne veut pas dire que votre trafic http(s) va passer par ce réseau. Pour ce faire, il faut créer un nouveau proxy chez le renard. Vous cliquez dessus pour l’ouvrir et voici ce sur quoi vous tombez. Bien entendu, il n’y a que le proxy par défaut déjà enregistré (le bleu), celui du dessus avec la joli couleur est celui que nous allons paramétrer.

Capture du 2014-01-09 14:43:11

Cliquez sur « ajouter un proxy » à droite et sur la page qui apparaît, choisissez le nom de votre proxy, pas obligé de l’appeler « Tor », Georges ou Emilien sont aussi valables, mais il faudra vous souvenir qu’il s’agir d’un proxy passant par Tor. Vous pouvez aussi choisir la couleur que prendra votre renard, j’ai choisi un bleu-vert sympathique.

nom

Ensuite, il ne vous reste plus qu’à remplir les paramètres spécifiques à Tor : port, adresse IP… et le tour est joué. dans l’onglet suivant qui ressemble à ça lorsqu’il est vide :

1

Et à ça lorsqu’il est bien rempli :

2

Il ne vous reste plus qu’à choisir, le moment venu, de surfer via ce proxy,en cliquant sur le renard avec la touche à droite du mulot et choisir « utiliser le proxy (Emilien, Tor, Jean-Jacques…) pour toutes les URL ». N’oubliez pas de vous connecter au réseau Tor dans un premier temps.

Capture du 2014-01-09 14:38:32

  • Les liens qui vont bien

Orbot, Tor pour mobiles
Tails, la distro live avec les paramètres qui vont bien
Utiliser Tor, ne remplace pas les habitudes de sécurité

Surveillance : To Protect And Infect, Part 2

On croyait qu’on en avant déjà beaucoup entendu sur les questions de surveillance, notamment après la dernières sortie du Spiegel… Et bien non ! Tout du propriétaire des dernières révélations par Jacob Appelbaum et c’est quelque peu flippant.

Vidéo issue des conférences du 30c3 qui s’est tenu à Hambourg du 27 au 31 décembre dernier. Les confs sont à télécharger librement au format que vous préférez à partir de cette page.

Géolocalisation, l’art de la servitude volontaire

Une info qui fait un eu froid dans le dos, dans une société toujours plus basée sur la surveillance. En terme de servitude volontaire, il y a ce petit outil sur votre téléphone qui vous permet de vous géolocaliser à tout moment.

Une info qui fait un eu froid dans le dos, dans une société toujours plus basée sur la surveillance. En terme de servitude volontaire, il y a ce petit outil sur votre téléphone qui vous permet de vous géolocaliser à tout moment.

Vous trouvez ça fun ?

Si vous possédez une téléphone Androïd et que la fonction « géolocalisation » est activée, Google peut savoir exactement en temps réel où tu te trouves, mieux, tes anciens déplacements, y compris huit ou dix mois en arrière, sont aussi stockés.

Source image : techcrunch

tu peux toi aussi « t’amuser » à voir où tu étais il y a 8 mois à 14h42 en cliquant sur ce lien.

Heureusement, si la fonction géolocalisation de ton téléphone n’est pas activée, si elle ne l’est jamais, ils n’ont rien. J’ai fait le test, impossible pour les serveurs de me renvoyer quoi que ce soit :

Capture du 2013-12-24 13:41:15

C’est quand même assez hallucinant, pas surprenant, mais hallucinant tout de même, qu’ils aient mis en place ce système.

Moralité, tu ne pourras pas dire que tu n’étais pas au courant, si tu veux que tes faits et gestes (ne) soient (pas) enregistrés, tu sais ce qu’il te reste à faire.

  • Les liens qui vont bien

Google est ton ami (ou pas)
L’article original de Techcrunch

Sécuriser ses passphrases

Comment mettre en place une politique de mots de passe sécurisés.

Pour protéger certaines données, qu’il s’agisse de courriers ou de documents, vous avez souvent besoin de « passwords ». Attention à ne pas tomber dans certains écueils.Une règle de base : Plus un « mot de passe » est court et moins il y aura d’imagination dans le choix des caractères, plus il sera facile à cracker.

La variété des caractères

Des sites proposent aujourd’hui des réglages par défaut vous obligeant, au moment du choix de votre password, à entrer un ou plusieurs caractères numériques. Mais c’est à vous que cette idée doit arriver automatiquement en mémoire. Et pas que pour les chiffres, les caractères spéciaux sont aussi recommandés. idem pour les majuscules.

Un petit exemple

« Demain dès l’aube à l’heure où… » pourrait ainsi se transorfmer en d3m41n,d3sl’Aub3;4l,h3ur30u…

Si vous vous basez sur les 96 touches que vous offre le clavier :

0123456789AaBbCcDdEeFfGgHhIiJjKkLlMmNnOoPpQqRrSs
TtUuVvWwXxYyZz <SP>! »#$%&'()*+,-./:;<=>?@[]^_`{|}~

il faudra 83,5 jours pour craquer un password de 8 caractères, comme « B33r&Mug » au vu du nombre de combinaisons que peuvent tester les robots. Alors qu’en utilisant seulement les chiffres et les lettres, 62 caractères, votre password peut être découvert en 60 heures.

Plus c’est long…

Oui, bon, d’accord, elle est facile… mais c’est vrai ! Plus votre password sera long, plus vous multipliez le nombre de combinaisons possibles. Vous me direz que oui, mais ensuite, c’est difficile à retenir. Bon, sauf « demain dès l’aube… » qui est déjà dans tous les bons dictionnaires de passwords sous toutes les formes possibles, donc tu l’oublies.

C’est vrai qu’une succession de chiffres et de lettre de manière aléatoire peut être difficile sans enregistrer ses codes quelquepart (ce à quoi je me refuse, mais on parlera bientôt ici de keepass et ses alternatives), il font dont trouver quelques procédés mnémotechniques.

Les paroles de chansons, par exemple, peuvent être une bonne alternative si on décide de ne pas choisir un extrait de refrain des Beatles, tout autre morceau archiconnu. Réfléchissez ! Il y a forcément un morceau que vous adorez, dont vous vous souviendrez facilement et qui ne serait pas connu du grand public, du dialecte local, un morceau d’un groupes de potes…

Kakamou…

Kamoulox !

Une autre alternative peut aussi être le kamoulox, une série de mots sans queue ni tête.

Exemple :

« je photocopie du sable et je promène un Bee Gees »
j3ph0t0c0p13dusAbl3,
j3pr0m3n31BG

Hacking social

On a beau assez le répéter, je ne le fais que pour la forme sinon ce billet ne serait pas complet, évitez bien entendu les prénoms de vos enfants, votre adresse, vos passions… Sinon il sera très facile pour quelqu’un qui vous connaît, ne serait-ce qu’un peu, de deviner.

Bien entendu, évitez de mettre la même passphrase, aussi sécure soit-elle, sur tous vos comptes. A chaque porte son verrou, donc à chaque compte sa clé bien distincte.

  • Les liens qui vont bien

Oubliez les mots de passe, pensez phrases de passe
En combien de temps vos passwords sont-ils vulnérables ?
Et si tu chiffrais tes dossiers avec Truecrypt ?
Et si tu chiffrais tes mails avec GPG ?