Google Chrome : Économiseur de données. Refusez de donner le contenu de vos visites !

J’ai été très surpris par l’article de NextInpact nommé « Google : une extension Chrome pour réduire la quantité de données consommées »

L’article est plutôt complaisant alors que l’extension ne fait ni plus ni moins que d’utiliser les serveurs de Google comme proxy pour acheminer vos communications avec tous les sites web que vous consultez. Sauf que Google n’a pas le statut d’un FAI et n’a aucune obligation de ne pas lire et analyser le contenu de vos communications personnelles. Et c’est d’ailleurs pour avoir à l’intégralité de vos communications qu’il vous propose ce service.

Google avait déjà :

  • l’historique complet de vos recherches (cookie Google)
  • l’historique de toutes vos visites si vous utilisez Chrome (si vous avez activé la synchronisation dans le cloud)
  • le tracking sur les sites web (cookie GoogleAnalytics sur plus de 60% des sites web)
  • le contenu de vos emails (si vous envoyez un mail à ou depuis une adresse Gmail)

Et avec ce plugin installé volontairement par l’utilisateut il pourra lire le contenu complet de vos échanges y compris mot de passes, commentaires, contenu des pages web, etc… C’est horrible ! Il faut refuser ça ! On ne doit pas faire d’article complaisant tel que l’a fait NextInpact sans sensibiliser fortement les utilisateurs sur ce qui se passe réellement derrière la publicité de Google. Quand je vois les commentaires tous gentils sur la page de l’extension je prends peur…

google economiseur

Si Google et les webmasters voulaient honnêtement accélérer le web, ils enlèveraient tout leurs codes de tracking, les publicités et les redirections sur chaque lien !

Par exemple, j’ai fait moi aussi un proxy qui nettoie la page de résultats de Google, résultat : 13ko pour afficher les résultats de la première page. La même page de résultat sur le site officiel de Google c’est 1000ko!

Faites vous plaisir le code source de mon proxy est libre.

J'aime(13)Ferme-la !(0)

Après il sera trop tard

Le gouvernement est à 2 doigts de légaliser la surveillance généralisée de toute la population. Ça va se passer dans 2 semaines. Après il sera trop tard.

Pour ceux que l’info aurait épargné, NextInpact explique ce projet de loi ligne par ligne.

Une fois le pouvoir avec ce joujou, sachez bien qu’il n’y aura pas de retour en arrière. Regardez le consensus des députés de tout bord politique pour voter cette loi.

Notez aussi que vous ne pourrez plus vous protéger. Quand un état a les moyens financiers pour acheter des failles 0-day, qu’il légalise leur usage pour lui uniquement et qu’il a un accès direct aux communications de tous vos appareils connectés à Internet (PC, smartphone et tout ce que l’avenir nous réserve… tv, voiture, maison, etc…), vous pensez bien que nos défenses font pale figure.

Imaginez le pire, une fois cet outil aux mains du FN…

Il restera bien quelques zones d’ombres pour les marginaux (utilisateur de Tor, personnes sans smartphone ni compte bancaire, etc…) mais qui est prêt à payer le coût social de cette marginalisation? Pour les terroristes, pas de soucis, ces zones d’ombres suffisent amplement.

Notez aussi que cela va créer un sentiment de prison chez tout le monde. Vous vous sentirez jugés à chaque instant. Et vous le serez. Et ce sera du jugement de masse par des algorithmes, sans fioriture. Un pas sur la ligne jaune et la machine se chargera de vous amener des emmerdes que vous voudrez éviter à tout prix.

Cela va augmenter encore le rapport de force des dominants (états, grand entreprises) sur les dominés (citoyen). Les dominants auront d’autant plus de moyens de pression sur les humains isolés. C’est la fin de la démocratie.

J'aime(10)Ferme-la !(2)

Aide à une noob par reverse SSH

Imaginons que Alice veuille se faire dépanner par Bob.

Problème, Bob ne peut pas se connecter directement à l’ordinateur d’Alice à cause d’un routeur NAT (une box ADSL, un réseau d’entreprise, un réseau wifi public, etc…).

Il existe un moyen assez simple pour Alice de se faire dépanner grâce à SSH.

Bob a un peu de travail avant

Bob va créer sur sa machine un utilisateur aux droits très restreints. Alice va utiliser celui-ci pour faire un tunnel inversé. On commence par la création du nouvel utilisateur dénommé « help » :

# adduser help

Dans /etc/ssh/sshd_config faites un règle spéciale pour cet utilisateur :

Match User help
   #AllowTcpForwarding yes
   X11Forwarding no
   PermitTunnel no
   GatewayPorts no
   AllowAgentForwarding no
   PermitOpen localhost:60000
   ForceCommand echo 'Only reverse port forwarding allowed'

En gros, l’utilisateur ne peut qu’écouter sur le port 60000 local.

Authentification par clé de chiffrement

Bob doit avoir une paire de clés de chiffrement SSH.
Ensuite il doit transmettre sa clé publique à Alice. Pour cela, Bob doit envoyer son fichier ~/.ssh/id_dsa.pub à Alice.

Alice doit vérifier avec Bob que la clé reçue est bien la bonne. Pourquoi? Parce qu’Alice va maintenant autoriser le détenteur de la clé privée correspondante (Bob logiquement) à se connecter à son compte avoir son mot de passe. Pour cela, Alice doit ajouter le contenu du fichier « id_dsa.pub » à son fichier ~/.ssh/authorized_keys:

$ echo id_dsa.pub >> ~/.ssh/authorized_keys

Note, le fichier ~/.ssh/authorized_keys doit se terminer par un ligne vide.

Alice doit ensuite copier-coller ceci en dans un terminal en remplacant l’IP de Bob:

$ ssh -R 60000:localhost:22 help@ip_de_bob

L’empreinte de la clé publique de la machine de Bob sera présentée. Tapez « yes ».

Le mot de passe à entrer est donné par Bob, c’est celui de l’utilisateur « help » que Bob a créé chez lui. Note pour Alice : le mot de passe ne s’affiche pas quand on le tape, c’est normal :)

Voila. c’est fini pour Alice.

Prise de contrôle

Bob peut ensuite se connecter à l’ordinateur d’Alice, sous le compte d’Alice sans connaitre le mot de passe d’Alice :

$ ssh -p 60000 alice@localhost

Critique

Cette technique est une alternative à Teamviewer pour Linux et Mac. Elle permet notamment d’avoir un accès confortable au terminal à distance et aux possibilités évoluées de SSH par la suite (partage de fichier par SFTP, redirection de port, proxy SOCKS pour naviguer sur le réseau local, VNC sécurisé, etc…).

Au début, je me suis dit que j’allais enfin tordre le cou au « man in the middle » de Teamviewer. Mais en réalité, il y a pas mal de failles de sécurité dans la mise en place de ce processus.

Premièrement, Alice doit vérifier et ajouter la clé publique de Bob. Pas facile ! Aussi, elle donne l’accès à ses fichiers pour se faire aider et n’aura aucun contrôle sur ce que fera Bob avec cet accès. Donc il faut une grande confiance dans Bob.

Ensuite, par quel canal est transmis la commande à taper? la clé publique de Bob? Comment est vérifiée l’authentification de la machine de Bob par Alice?

Il y a peut être moyen de wrapper tout ça dans un utilitaire avec une double authentification et une interface graphique qui affiche sur l’écran d’Alice un suivi en temps réel des commandes effectuées par Bob, des fichiers transférés… le tout sans nécessiter le mot de passe de session d’Alice. Mais ce sera peut être moins flexible pour Bob… (auto-complétion, sshfs, etc..)

J'aime(3)Ferme-la !(0)

Mise à jour Flash player

Des vulnérabilités ont récemment été corrigées dans le plugin Adobe Flash Player. Si vous l’utilisez sous Linux, vous devez rapidement le mettre à jour à la version 11.2.202.451

Comme la mise à jour de ce plugin ne se fait pas automatiquement, je vous renvoie vers la procédure pour mettre à jour le plugin Flash sous Debian.

Je vous conseille également de profiter de cette occasion pour essayer de ne plus l’utiliser : bloquage du plugin dans le navigateur et si vous ne rencontrez pas de problème -> désinstallation du paquet flashplugin-nonfree. Youtube utilise HTML5 pour la majorité de ses vidéos désormais.

J'aime(2)Ferme-la !(0)

Big data sur les données des opérateurs télécom

Un étude récente montre que 90% des adultes ont un téléphone mobile aux USA.

Lors de chaque communication (sms, appel, data, etc…). L’opérateur peut déterminer la position du téléphone à position à 250m près dans 90% des cas.

Si on enregistre et stocke ces données, on se retrouve avec de quoi analyser une population. Conscient de la valeur de ces données, les opérateurs de téléphonie mobiles se sont mis à les vendre (sans vous demander votre accord explicite ni vous donner un centime bien sûr)

En France

Par exemple, Orange vends un produit nommé Flux Vision qui revends les données de ses utilisateurs sous formes de données « statistiques », je cite leur page web :

des domaines d’activités multiples
Acteur public ou privé, vous bénéficiez d’une nouvelle source d’information pour améliorer votre connaissance des parcours citoyens ou parcours clients, des mobilités géographiques et de l’utilisation de vos infrastructures.

Dans le secteur du tourisme, Flux Vision vous permet par exemple de connaître les déplacements des visiteurs et la fréquentation des différents sites … Dans le secteur du transport, vous observez  les parcours des voyageurs pour mieux adapter vos infrastructures. Dans le secteur marchand, vous étudiez plus finement les itinéraires empruntés par vos clients sur votre zone de chalandise pour adapter votre stratégie commerciale.

une protection des données et un respect de la vie privée
L’offre repose sur des procédés exclusifs d’anonymisation irréversible développés par Orange permettant de supprimer toute possibilité d’identifier ses clients. Ils peuvent transformer des millions de données par minute en indicateurs statistiques. Son développement a fait l’objet d’échanges avec les services de la CNIL. Flux Vision s’inscrit dans le respect des engagements pris par Orange en matière de protection des données personnelles de ses clients.

 

On ne saura pas plus sur les procédés d’anonymisation que le « en conformité avec les avis et recommandations de la CNIL ». Pourtant, c’est le point le plus intéressant. J’imagine que ce que qui intéressent les clients sont les données « locales ». Le traffic de telle route, tel quartier, etc… Jusqu’où s’arrête la précision géographique?

Aux états Unis

AirSage est un société agréée à pouvoir accéder aux données des opérateurs de téléphonies. Ils reçoivent 15 milliards de positions par jour !

La aussi, c’est du temps réel avec historique . AirSage indique pouvoir donner la position en temps réel des téléphones dans quasiment toutes les villes majeures des USA.

On nous promet juré craché que les données son anonymisées avant analyse, mais sans dire comment. Alors que c’est ce qui est intéressant. Que sait-on sur chaque mesure de localisation? Car apparemment d’après les quelques exemples de rapport, on sait leur provenance (assez précis, à l’intérieur d’un état), leur historique, le revenu personnel de leur porteur, où ils habitent, à quelle heure ils partent de chez eux, à quelle heure ils rentrent, etc…

Et dans le même temps, on met l’accent sur le fait que les données sont bien gardées et les personnes qui y ont accès sont triées sur le volet. Ah ben mince, je croyais que les données étaient anonymisées, pourquoi donc est ce crucial qu’elles soient si bien éloignées du regard?

Et les gouvernements?

Comment imaginer que les gouvernements ne s’intéressent pas aussi à ces données servies sur un plateau. Si une start-up peut collecter, traiter et stocker 15 milliards de données par jour, on peut facilement imaginer qu’un gouvernement avec un budget de plusieurs milliards de dollars comme la NSA peut faire de même les mains dans le dos.

La France serait aussi bien placée à ce jeu étant donné qu’Orange a ses antennes implantées dans beaucoup de pays du monde.

J'aime(3)Ferme-la !(0)

Les Etats Unis volent les clés de chiffrement des cartes SIM

Vous n’avez sans doute pas pu échapper à la nouvelle fracassante de cette semaine. The Intercept affirme, documents de Snowden à l’appui, que les USA et l’Angleterre ont infiltré Gemalto, principal producteur de carte SIM, pour voler les clés de chiffrement des dites cartes afin de pouvoir déchiffrer les communications téléphoniques des smartphones par simple écoute passive, sans se faire repérer.

C’était en 2010. Depuis lors, les antennes sur les ambassades américaines peuvent donc déchiffrer tout le trafic de l’Elysée et du Bundestag en toute tranquillité, sans se faire pincer. C’est beau, c’est propre. Si ils possèdent aussi les antennes espions découvertes près des gouvernements de Norvège, Suède et Finlande, c’est bingo. Avec des amis comme ça, on a pas besoin d’ennemis. Et puis nos gouvernements nous le ressassent sans cesse, si vous n’avez rien à cacher, vous n’avez rien à craindre de l’espionnage de votre vie privée.

Pour arriver à s’infiltrer chez Gemalto, dont ils disent avoir pris le contrôle complet de l’infrastructure informatique, les USA et l’Angleterre ont espionné les employés de la société (comptes e-mail, compte facebook, etc…). Les chefs des gouvernements US et anglais ont donc menti lors qu’ils juraient qu’ils n’espionnaient activement que les terroristes. Ici, on est bien venu manger dans la gamelle de citoyens qui n’avaient rien à se reprocher. Et pour se permettre ensuite de faire de l’espionnage de masse. Les services d’espionnage gouvernementaux s’octroient tous les droits.

Aucun démenti des Etats-Unis, motus et bouche cousue du gouvernement français. Ça laisse songeur sur comment la France protège ses citoyens…

Lorsque les USA proclament, gratuitement sans aucun document à montrer, que la Corée du Nord serait l’auteur du piratage de Sony, ils sanctionnent les personnalités du gouvernement de Corée. Pourquoi il ne se passe rien pour mille fois plus grave?

Si vous lisez l’anglais, je vous invite à lire intégralement l’article original de TheIntercept, c’est vraiment édifiant d’en être arrivé là. Que doit-on supporter de plus de la part des gouvernements soit disant « gentils » et qui présentent de plus en plus les caractéristiques des états totalitaires? A quel moment doit-on s’élever? Car que l’on ne s’y trompe pas, les états totalitaires ne se présentent jamais comme tels. Elle se donnent des noms bien gentillets comme République démocratique du Congo, de Chine ou de Corée(du Nord).

J'aime(3)Ferme-la !(0)

Fausses antennes GSM pour espionner les gouvernements européens

Triple-scandale en Norvège, en Suède et en Finlande: En mesurant le trafic numérique dans les quartier gouvernementaux les journalistes ont découvert au moins six fausses stations de téléphonie mobile (IMSI catcher) installées pour intercepter les conversations téléphoniques, suivre les déplacements des détenteurs de téléphones portables et télécharger leurs données.

L’avis des experts et des journalistes des trois pays divergent quant à l’origine de ces fausses bases de réception dans les quartiers gouvernementaux des trois capitales: les USA ou la police locale sont les plus plausibles.

Source La voix de la Russie

Pendant ce temps, à Paris, à deux pas de l’Elysée, l’ambassade américaine a elle aussi son antenne espion GSM. et la NSA ne s’est pas privée d’espionner de fond en comble l’ambassade française aux USA (à lire !)

J'aime(3)Ferme-la !(0)