Vous avez dit anonyme?

anonymous-logo-1L’anonymat consiste à ne pas pouvoir être identifié.

A l’ère du numérique, nos communications laissent d’innombrables traces indélébiles. Il devient vain de chercher à ne pas laisser de traces. Le jeu consiste alors à rendre impossible ou très difficile de remonter jusqu’à l’identité mère.

Par exemple, si vous utilisez un pseudonyme occasionnel il protège votre identité. Mais si vous utilisez partout alors il est facile de remonter à votre identité. Par exemple, il est désormais facilement possible de recouper tous les commentaires postés par un pseudonyme sur le web. (Sûrement le business des plugins de commentaires comme Disqus).

Certains services comme Gmail, GoogleAnalytics, GooglePlayServices (Android avec Google apps installés), disent récolter des informations « anonymes », il justifient cet anonymat car toutes les infos qu’ils récupèrent sur vous sont attribuées un identifiant généré aléatoirement. Sauf que les informations attachées à cet identifiant sont tout sauf anonyme ! Vous signez votre email avec votre nom? C’est bien la position de chez vous que votre smartphone envoie toutes les nuits? La liste des contacts que vous stockez dans le cloud comporte un nom associé à chaque numéro et votre Android envoie le numéro de chaque appel reçu à Google?

Il faut réaliser que:

  • L’anonymat ne se prétend pas. Il se vérifie.

Cherchez toujours à estimer comment on pourrait remonter jusqu’à vous. C’est ce qui vous donnera la meilleure indication de l’anonymat que vous avez en faisant une action. Vous verrez que souvent, il est assez faible en réalité :p

  • L’anonymat est relatif

Malgré cela, on peut facilement être anonyme pour une cible donnée sans être anonyme envers tout le monde.

Par exemple, je peux poster un commentaire avec un pseudo inconnu de mes amis. Je ne serai pas reconnu par eux mais la police peut remonter à mon IP et l’admininistrateur du site me confondre avec mes autres pseudo par un cookie.

A l’inverse, je peux utiliser un ami comme passerelle pour communiquer sur Internet et seul mon ami pourra remonter jusqu’à moi.

J'aime(0)Ferme-la !(0)

Date de sortie pour Debian 8.0 (Jessie)

L’équipe de publication Debian a annoncé sur la liste de développement que Debian 8.0 (nom de code: Jessie) sortira officiellement le 25 Avril 2015 (sauf retard de dernière minute).

Cette version viendra remplacer Debian 7 (nom de code: Wheezy) en tant que branche « stable » de Debian.

Et à la même occasion, la préparation de la prochaine Debian 9 (nom de code: « Zurg ») va commencer dans la branche « testing ».

Si dans votre fichier /etc/apt/sources.list vous faites référence à « jessie », vous passerez de « testing » à « stable » en douceur. Vous n’avez rien à faire.

J'aime(4)Ferme-la !(2)

Solution au message « La date de dernière écriture du superbloc est dans le futur »

Au démarrage de mon ordi sous Debian, j’avais ce message qui apparaissait à l’écran :

La date de dernière écriture du superbloc est dans le futur. (de moins d’un jour, probablement à cause d’une horloge matérielle mal configurée)

Le problème provient du fait que l’horloge matérielle (CMOS ou RTC) n’est pas alignée sur l’heure UTC. Pour régler cela, une simple commande depuis linux :

# timedatectl set-local-rtc 0

J'aime(2)Ferme-la !(0)

Navigateurs web utilisés sur un blog de libriste

Voici la répartition des navigateurs web utilisés pour consulter ce blog sur le mois de Mars 2015 d’après Piwik.

repartition navigateursCe qui me choque, c’est que 23% (presque 1/4) de mes visiteurs semble utiliser Chrome. Or ce blog est plutôt porté sur le logiciel libre et s’efforce de décrier la surveillance de masse effectuée par Google & co. J’ai donc du mal à comprendre comment Chrome peut faire un tel score alors qu’il représenté l’antithèse (surveillance, code fermé, etc..) de ce que je prône dans mes articles.

Aussi, j’aimerai mieux connaître ce qui motive ces visiteurs à utiliser Chrome. Merci d’avance pour vos commentaires.

Addendum, voici également les moteurs web recensés :

moteur de rendus

J'aime(3)Ferme-la !(1)

Google Chrome : Économiseur de données. Refusez de donner le contenu de vos visites !

J’ai été très surpris par l’article de NextInpact nommé « Google : une extension Chrome pour réduire la quantité de données consommées »

L’article est plutôt complaisant alors que l’extension ne fait ni plus ni moins que d’utiliser les serveurs de Google comme proxy pour acheminer vos communications avec tous les sites web que vous consultez. Sauf que Google n’a pas le statut d’un FAI et n’a aucune obligation de ne pas lire et analyser le contenu de vos communications personnelles. Et c’est d’ailleurs pour avoir à l’intégralité de vos communications qu’il vous propose ce service.

Google avait déjà :

  • l’historique complet de vos recherches (cookie Google)
  • l’historique de toutes vos visites si vous utilisez Chrome (si vous avez activé la synchronisation dans le cloud)
  • le tracking sur les sites web (cookie GoogleAnalytics sur plus de 60% des sites web)
  • le contenu de vos emails (si vous envoyez un mail à ou depuis une adresse Gmail)

Et avec ce plugin installé volontairement par l’utilisateut il pourra lire le contenu complet de vos échanges y compris mot de passes, commentaires, contenu des pages web, etc… C’est horrible ! Il faut refuser ça ! On ne doit pas faire d’article complaisant tel que l’a fait NextInpact sans sensibiliser fortement les utilisateurs sur ce qui se passe réellement derrière la publicité de Google. Quand je vois les commentaires tous gentils sur la page de l’extension je prends peur…

google economiseur

Si Google et les webmasters voulaient honnêtement accélérer le web, ils enlèveraient tout leurs codes de tracking, les publicités et les redirections sur chaque lien !

Par exemple, j’ai fait moi aussi un proxy qui nettoie la page de résultats de Google, résultat : 13ko pour afficher les résultats de la première page. La même page de résultat sur le site officiel de Google c’est 1000ko!

Faites vous plaisir le code source de mon proxy est libre.

J'aime(13)Ferme-la !(0)

Aide à une noob par reverse SSH

Imaginons que Alice veuille se faire dépanner par Bob.

Problème, Bob ne peut pas se connecter directement à l’ordinateur d’Alice à cause d’un routeur NAT (une box ADSL, un réseau d’entreprise, un réseau wifi public, etc…).

Il existe un moyen assez simple pour Alice de se faire dépanner grâce à SSH.

Bob a un peu de travail avant

Bob va créer sur sa machine un utilisateur aux droits très restreints. Alice va utiliser celui-ci pour faire un tunnel inversé. On commence par la création du nouvel utilisateur dénommé « help » :

# adduser help

Dans /etc/ssh/sshd_config faites un règle spéciale pour cet utilisateur :

Match User help
   #AllowTcpForwarding yes
   X11Forwarding no
   PermitTunnel no
   GatewayPorts no
   AllowAgentForwarding no
   PermitOpen localhost:60000
   ForceCommand echo 'Only reverse port forwarding allowed'

En gros, l’utilisateur ne peut qu’écouter sur le port 60000 local.

Authentification par clé de chiffrement

Bob doit avoir une paire de clés de chiffrement SSH.
Ensuite il doit transmettre sa clé publique à Alice. Pour cela, Bob doit envoyer son fichier ~/.ssh/id_dsa.pub à Alice.

Alice doit vérifier avec Bob que la clé reçue est bien la bonne. Pourquoi? Parce qu’Alice va maintenant autoriser le détenteur de la clé privée correspondante (Bob logiquement) à se connecter à son compte avoir son mot de passe. Pour cela, Alice doit ajouter le contenu du fichier « id_dsa.pub » à son fichier ~/.ssh/authorized_keys:

$ echo id_dsa.pub >> ~/.ssh/authorized_keys

Note, le fichier ~/.ssh/authorized_keys doit se terminer par un ligne vide.

Alice doit ensuite copier-coller ceci en dans un terminal en remplacant l’IP de Bob:

$ ssh -R 60000:localhost:22 help@ip_de_bob

L’empreinte de la clé publique de la machine de Bob sera présentée. Tapez « yes ».

Le mot de passe à entrer est donné par Bob, c’est celui de l’utilisateur « help » que Bob a créé chez lui. Note pour Alice : le mot de passe ne s’affiche pas quand on le tape, c’est normal :)

Voila. c’est fini pour Alice.

Prise de contrôle

Bob peut ensuite se connecter à l’ordinateur d’Alice, sous le compte d’Alice sans connaitre le mot de passe d’Alice :

$ ssh -p 60000 alice@localhost

Critique

Cette technique est une alternative à Teamviewer pour Linux et Mac. Elle permet notamment d’avoir un accès confortable au terminal à distance et aux possibilités évoluées de SSH par la suite (partage de fichier par SFTP, redirection de port, proxy SOCKS pour naviguer sur le réseau local, VNC sécurisé, etc…).

Au début, je me suis dit que j’allais enfin tordre le cou au « man in the middle » de Teamviewer. Mais en réalité, il y a pas mal de failles de sécurité dans la mise en place de ce processus.

Premièrement, Alice doit vérifier et ajouter la clé publique de Bob. Pas facile ! Aussi, elle donne l’accès à ses fichiers pour se faire aider et n’aura aucun contrôle sur ce que fera Bob avec cet accès. Donc il faut une grande confiance dans Bob.

Ensuite, par quel canal est transmis la commande à taper? la clé publique de Bob? Comment est vérifiée l’authentification de la machine de Bob par Alice?

Il y a peut être moyen de wrapper tout ça dans un utilitaire avec une double authentification et une interface graphique qui affiche sur l’écran d’Alice un suivi en temps réel des commandes effectuées par Bob, des fichiers transférés… le tout sans nécessiter le mot de passe de session d’Alice. Mais ce sera peut être moins flexible pour Bob… (auto-complétion, sshfs, etc..)

J'aime(2)Ferme-la !(0)

Retour sur l’utilisation de Mumble

Dans un précédent article, j’ai installé un serveur Mumble en guise de solution de VoIP chiffrée. Voici mon retour d’utilisation :

Le serveur plante souvent, sans que j’en sache la raison. Ce ne m’arrive jamais en conversation mais le fait est que quand j’en ai besoin, le serveur est éteint et que je dois le relancer. Systemd ne voit pas que le service a planté et ne le relance pas automatiquement. -> Bug Debian #780300

Il n’y a pas de système de réduction d’écho performant. Cette fonctionnalité a l’air de dépendre du client et est souvent de mauvaise qualité. On s’entend parler avec un décalage ou pire, ça larsen à cause du bruit de fond qui est amplifié en boucle. En tout état de cause, on s’entend bien uniquement quand tout le monde a un casque avec micro.

J’ai essayé Firefox Hello. Ou plutôt j’ai tenté de l’essayer, j’ai jamais pu voir ou entendre mon correspondant.

Et vous, vous utilisez quoi?

J'aime(3)Ferme-la !(5)

Piwik, la statistique auto hébergée

Si vous voulez un compteur de visites un peut évolué sur votre site web, je vous conseille Piwik.

Ca donne des statistiques basiques : types de navigateurs, origine géographique des visiteurs, sites web de provenance, titre des pages visitées, heure des visites, etc…
Vous avez un historique de toutes ces statistiques au jour le jour et vous pouvez les suivre en temps réel.

Le compteur de visiteurs m’a l’air fiable, il ne compte pas les robots et ne surestime donc pas les chiffres. J’ai testé des plugins comme Statpress, SlimStat, Post view stats et Piwik est celui qui me donne le moins de visiteurs.

Il ne ralentit pas beaucoup les visites ou l’utilisation de WordPress contrairement aux plugins sus-cités.

Mais le plus important est que les statistiques que vous récoltez sur vos visiteurs ne sont partagées avec personne à part vous. Ainsi vous ne participez pas au suivi des internautes d’un site à l’autre en livrant les données de vos visiteurs à un site central (coucou GoogleAnalytics) qui recoupe tout ça pour retracer le parcours des internautes sur le web tout entier. (et ce n’est pour rigoler puisque que c’est leur business model)

Vous n’aurez pas beaucoup d’informations sur les mots clés utilisés dans les moteurs de recherche pour vous trouver. Ceci car Google, entre autres, utilise un page de transition afin de gommer le paramètres de l’URL de recherche. Ca donne un peu plus de vie privée aux internautes sur les sites web qu’ils visitent. Cependant, cela permet aussi à Google d’enregistrer sur quel lien vous avez cliqué… :D Du coup, puisque seul Google sait quels mots clés vous avez recherché, peut-être que cette info est disponible dans leur outil de statistique maison GoogleAnalytics? je n’ai pas la réponse à cette question ne l’ayant jamais utilisé.

Finalement, je m’en sers juste pour mesurer la popularité de mon blog. Pas vraiment fameuse à vrai dire (400 visiteurs journaliers lorsque je ne publie pas de nouveaux articles, 2000 quand un article a du succès)

L’installation se fait vraiment rapidement si vous êtes déjà autohébergé. J’ai été surpris par sa simplicité de mise en oeuvre et je l’aurais mis en place plus tôt si j’avais su cela au lieu de perdre du temps sur des alternatives.

J'aime(5)Ferme-la !(2)

Proxy Web avec SSH

Imaginons que vous soyez sur un réseau où certains sites web sont bloqués.
Si vous avez une machine à l’extérieur et un accès SSH dessus, vous pouvez l’utiliser comme proxy.

1ère étape

Lancez la commande suivante pour créer un proxy :

$ ssh Utilisateur@MachineExterne -C -N -D 8080

Les options sont les suivantes :

  • -C : compresse la transmission pour économiser la bande passante
  • -N : n’ouvre pas de shell
  • -D : ouvre un proxy dynamique

Vous devez garder le proxy ouvert, ne fermez donc pas la console sur laquelle vous l’avez ouvert !

Cette commande fonctionne pour Linux et MacOS. Pour Windows, je vous laisse regarder du coté de Putty.

2eme étape

Configurez ensuite votre navigateur pour pour rediriger le flux TCP et DNS vers le proxy :
proxyN’oubliez pas de cocher la case « DNS distant ». Et voila !

Vous avez en plus changé d’IP sur Internet. Vous utilisez désormais celle du serveur proxy.

J'aime(4)Ferme-la !(0)