Jusqu’où accepterez-vous ?

Les autorisation de la nouvelle appli Facebook pour Android sont assez impressionnantes:
– l’autorisation de lire tous vos SMS (quel que soit le réglage de confidentialité)
– récupérer la liste de tous vos contacts, avec les fréquences d’appel, SMS, email.
– modifier votre historique d’appel (entrant et sortant), y compris le droit de l’effacer.
– modifier/créer/supprimer des éléments de votre agenda, y compris ceux de vos amis/collègues.
– le droit d’envoyer des évènement calendrier à d’autres, sans votre consentement.
– le droit de passer des appels téléphoniques sans votre intervention.

Google vient d’annoncer une nouvelle fonctionnalité sous Android. Il est désormais possible d’activer l’écoute constante afin de pouvoir exploiter la recherche vocale depuis n’importe quelle application via le fameux « OK Google ». En clair, si vous activez cette option, tout ce qui est dit autour de votre téléphone sera analysé par Android et pourra être envoyé à Google (qui pourra l’analyser à ses propres fins ou pas). C’est d’autant plus préoccupant que vous ne pouvez pas maîtriser cette option sur les téléphones des autres personnes qui vous entourent ! Et nul doute qu’un jour, elle sera activée par défaut (comme l’envoi de sa position en continu et l’envoi des appels recu/emis aujourd’hui)

Facebook a annoncé jeudi le déploiement d’un nouveau mode de ciblage de ses utilisateurs, qui se base sur les sites web visités (en dehors de Facebook) et sur les applications utilisées pour déterminer les centres d’intérêts de chacun de ses membres, afin de savoir quelles publicités insérer dans le fil d’actualités. Jusqu’à présent, Facebook se basait essentiellement sur les informations du profil (âge, sexe, région géographique,…), et sur les pages Facebook « aimées » par les utilisateurs.

La nouvelle méthode est rendue possible par le bouton « j’aime » et d’autres modules sociaux de Facebook qui sont installés sur un très grand nombre de sites internet, et qui permettent à Facebook de suivre les visites de ses utilisateurs.

« Imaginons que vous réfléchissiez à acheter une nouvelle TV, et que vous commenciez à rechercher les TV sur le web et dans des applications mobiles. Nous pourrions vous montrer des publicités pour des offres pour une TV pour vous aider à obtenir le meilleur prix, ou pour vous montrer d’autres marques auxquelles penser », explique Facebook. « Et parce que nous pensons que vous êtes intéressés par les produits électroniques, nous pourrions vous montrer des publicités pour des produits électroniques à l’avenir, tels que des enceintes ou une console de jeux qui irait avec votre nouvelle TV ».

J'aime(10)Ferme-la !(0)

Voir les vidéos Youtube sur Android sans l’appli Google Youtube

Si comme moi, vous n’avez pas les Google Apps installées sur votre smartphone Android, vous aurez remarqué que sous Firefox, on ne peut pas lire les vidéos sur le site de Youtube. On se tape un écran noir à la place comme si Android attendait que l’ application Google Youtube se lance.

C’est bien étrange étant donnée que les vidéos Youtube incrustées dans les sites web fonctionnent parfaitement.

La solution passe par ce plugin Firefox Mobile : Enable Youtube Player Mobile

Il fait croire au site de Youtube qu’on utilse Chrome au lieu de Firefox, et par enchantement, ca fonctionne.

J'aime(5)Ferme-la !(1)

GooglePlayDownloader 1.2

Seule nouveauté de cette version, le smartphone émulé est passé de Android 4.1 à Android 4.4, devient un Samsung Galaxy S3 et a tous les accessoires possibles (IR par exemple). Cela devrait théoriquement permettre de trouver plus d’applications.

Pour en arriver là j’ai du apprendre à recompiler android-checkin qui est Java et n’a pas été touché depuis 2012. J’ai donc mis à jour son fichier de build pour pouvoir compiler avec les librairies plus récentes d’aujourd’hui et ait modifié la définition du smartphone.

Malgré cela, je n’arrive pas à télécharger Pry-fi avec mon application :-/ Si quelqu’un a la solution, ça m’intéresse.

Vous pouvez télécharger GooglePlayDownloader 1.2 ici

J'aime(2)Ferme-la !(0)

FeedEx, le meilleur lecteur RSS pour Android

J’utilise essentiellement le RSS pour suivre l’actu et FeedEx est le logiciel que j’apprécie le plus sur Android pour cela.

feedex

C’est un logiciel libre. Il est rapide, clair, efficace. Il n’y a pas de pub, pas de compte à créer, pas de serveur qui tracent ce que vous lisez ou qui vous rendent dépendant de l’appli. On peut importer/exporter tous ses flux en OPML. On peut récupérer automatiquement les images pour lire son flux hors ligne plus tard. On peut garder des articles pour plus tard d’un clic. On peut envoyer ses articles favoris par mail. Il y a des mises à jours souvent et qui vont toujours dans le bon sens. On peut contacter facilement le développeur.

C’est dispo sur Fdroid et le code source est là. Enjoy !

 

J'aime(2)Ferme-la !(0)

Bloquer l’accès à la mémoire du téléphone lors du branchement USB

Par défaut, lorsque vous branchez un câble USB à votre téléphone Android, vous donnez un accès en lecture/écriture à la totalité de votre téléphone. C’est pour moi une grosse faille de sécurité si l’on se branche sur l’ordinateur de quelqu’un à qui on n’a pas forcément envie de donner toutes ses données ou à un chargeur public qu’on ne connaît pas.

refCharlesdeGaulle

Pour désactiver l’accès automatique à la mémoire de votre téléphone lorsque l’on branche un cable USB, allez dans les options du téléphone, puis sur « Stockage », puis dans les options (l’icône en haut à droite avec 3 points verticaux), sélectionnez « Connexion USB à l’ordinateur » et désactivez les entrées MTP et PTP.

J'aime(0)Ferme-la !(0)

Messagerie sécurisée, attention à votre carnet de contact !

Une des questions cruciales à se poser sur une messagerie « sécurisée » est comment sont gérées les méta-données?

Par exemple, il est intéressant pour la NSA et autres états qui surveillent en masse de savoir qui parle à qui et à quelle fréquence. Ça permet aisément de construire des réseau de relations à faible coût.

Regardons maintenant un petit peu comment fonctionnent Textsecure et Telegram .

Pour mettre en relation les utilisateurs, ceux-ci se basent sur le numéro de téléphone.
Chaque utilisateur est identifié par son numéro de téléphone, vérifié par l’envoi d’un SMS sur le terminal lorsque l’on crée son compte de messagerie.Ensuite, lorsque l’on envoie un message à un contact, ça se passe grosso modo comme ça :

  1. on envoie le numéro de téléphone de son correspondant.
  2. le serveur cherche dans sa base d’utilisateurs connectés si il trouve le numéro de téléphone.
  3. le message est transmis au terminal de notre correspondant par la connexion permanente (PUSH) établie entre le terminal de notre correspondant et le serveur.

On comprend bien que déjà la personne qui gère le serveur sait qui parle à qui et à quelle fréquence.

Ensuite, on peut avoir quelques fioritures encore plus pourries :

Par exemple, comment savoir avec quels contacts je peux utiliser mon « application de communication sécurisée » ? En demandant au serveur, pour chacun des numéros de mon carnet de contact, s’il correspond à utilisateur enregistré. Bingo, vous venez d’envoyer la totalité des numéros de votre carnet de contact.

Ce qui est encore plus rigolo, c’est que même si vous ne l’avez pas fait mais que vos contacts ont envoyé leur carnet de contacts, par recoupement, le serveur peut reconstruire le votre. La preuve flagrante, c’est quand vous créez un compte avec un carnet d’adresse vide, mais qu’automatiquement, le serveur trouve vos amis (Ex: facebook, linkedin, etc…)

Pour moi, le design de base de ces applications rendent impossible la protection des métadonnées des échanges sauf si l’on a confiance dans le serveur. Croyez-vous encore au « Don’t be evil »?

Une solution serait :

  1. Utiliser un identifiant ne permettant pas de remonter facilement à l’identité réelle de l’utilisateur (ex : un numéro aléatoire)
  2. Ne pas laisser le serveur connaître qui envoie le message (ex: le message ne contient que l’identifiant du destinataire en clair, le message envoyé par l’utilisateur émetteur passe par plusieurs relais avant d’arriver au serveur. On peut ainsi dire que le message est envoyé de manière anonyme. L »identité de l’émetteur est à l’intérieur du message chiffré que seul le destinataire peut déchiffrer)
J'aime(0)Ferme-la !(0)

GooglePlay Downloader 0.5

J’ai mis à jour mon application pour télécharger les APK gratuites du Play Store de Google sans avoir besoin d’installer les GoogleApps sur son téléphone ni d’avoir de compte Google personnel.

Le principal changement est la génération automatique d’AndroidID nécessaire si l’on veut utiliser d’autres identifiants Google que ceux fournis par défaut avec le logiciel

GooglePlay Donwloader 0.5

Téléchargement de GooglePlay Downloader
Page du projet sur Codingteam

J'aime(0)Ferme-la !(0)

OmniROM, explication des nouvelles fonctions Reverse lookup et Search Places

OmniROM, la rom Android créée par d’anciens développeurs de Cyanogen a mis en ligne le 5 février les tant attendues fonctionnalités de recherche anonymes dans l’application contact d’Android. J’ai étudié le code source pour vous.

Pour rappel, l’application Contacts d’Android 4.4 a 2 nouvelles fonctions :

Reverse lookup

Sur un Android 4.4 classique, quand un numéro vous appelle Android contacte Google, lui donne le numéro de l’appellant et demande à Google de trouver le nom de la personne correspondant. Ca permet de mettre un nom sur les numéros inconnus. C’est pratique mais c’est aussi un grand pas de plus vers la « surveillance de masse » vu que Google collecte et stocke tous vos appels recus, rien que ça !

OmniROM, elle, passe par des services décentralisés et sans authentification. Ainsi plutôt que de contacter Google, si vous êtes appelés par un numéro français, c’est le site web http://www.recherche-inverse.com/ pour retrouver le nom de votre appelant. On peut regretter que la communication se fasse en clair (pas d’HTTPS avec vérification de certificat) si bien que toute personne qui écoute le réseau de données  (Wifi, FAI, état, NSA) peut savoir quel numéro vous cherchez. Cependant, seul l’IP peut permettre de faire une correspondance avec vous.

SearchPlaces

Sur un Android 4.4 classique, quand vous cherchez quelque chose dans votre annuaire, votre position est envoyée à Google et celui-ci renvoie des résultats pris dans GoogleAdresses. En gros, vous tapez « Pizz » et en 2 sec vous voyez la liste des Pizzerias à proximités avec leur numéro de téléphones. C’est pratique mais bon, envoyer sa position à Google dès qu’on veut appeler c’est moyen mais que Google sache qui on cherche dans son carnet d’adresse c’est encore pire ! Et puis GoogleAdresses va devenir de facto un lieu d’enchères pour apparaître en première place dans la liste des suggestions.

OmniROM, elle, consulte OpenStreetMap à la place de GoogleAdresses pour trouver les numéros des choses à proximité. C’est l’Overpass API qui est utilisée. La requête passe par http://overpass-api.de/api/interpreter .On peut regretter que la communication se fasse en clair (pas d’HTTPS avec vérification de certificat) si bien que toute personne qui écoute le réseau de données  (Wifi, FAI, état, NSA) peut savoir quel numéro vous cherchez. Cependant, seul l’IP peut permettre de faire une correspondance avec vous. La recherche se fait autour de votre position (fonction « getNamedPlacesAround ») avec +/- 0.2° de longitude et latitude (zone de 30km x 44km environ).

Pour être présent dans les résultats, il faut avoir un « node » dans OpenStreetMap avec un champ « name » et un champ « phone ». J’ai cependant du mal à voir comment ce système pourrait grandir vu la pression commerciale qu’il pourrait y avoir à être présent dans les premiers résultats. Mais pour l’instant c’est cool de noter ses contacts sur OpenStreetMap :D

J'aime(0)Ferme-la !(0)

La NSA collecte vos SMS

Si vous êtes passés à coté de l’info, Snowden affirme par des documents remis au Guardian que la NSA collecte les SMS en masse. Et pas qu’un peu : 200 millions par jour en 2011 !Ceci afin de construire votre réseau de relations, votre position, mais aussi récupérer vos infos bancaires et autres secrets qui vous seraient transmis par SMS.

“This makes it particularly useful for the development of new targets, since it is possible to examine the content of messages sent months or even years before the target was known to be of interest.”

Donc quand l’état voudra faire pression sur vous dans quelques années, ce ne sera pas un problème pour elle de trouver des choses compromettantes dans votre vie privée.
Pour rappel, en Ukraine des SMS d’intimidation ont été envoyés aux manifestants pro européens !

Allez, le chiffrement pour tous, c’est maintenant !

(Autre article de référence en français)

J'aime(0)Ferme-la !(0)

Etat des lieux de la messagerie chiffrée

Tout d’abord, je vais ré-préciser quelque chose de fondamental. Une communication aussi sécurisée et chiffrée qu’elle soit est in fine déchiffrée sur l’OS de l’utilisateur pour être affichée à l’écran et stockée dans un historique de conversation. Donc quelque soit le système de protection de communication que vous utilisez, si votre OS est troué ou à la solde de votre espion, vos protections risquent d’être inutiles.

Donc chiffrer ses messages sur un téléphone Android où l’on a installé les GoogleApps et où Google peut lire l’intégralité de la mémoire de votre smartphone sans vous avertir, ça ne sert à rien pour se prémunir de la NSA. Même chose pour les appareils Apple.
Sous Windows, si vous croyez que votre OS n’a pas de porte dérobée, c’est bien. J’aurai des doutes à votre place. Quand aux failles de sécurité, il suffit de regarder l’histoire pour voir que les failles réseau du système sont courantes.

Bref, les prérequis me semblent un smartphone sous Android (sans logiciels propriétaires en root  == sans GoogleApps) et une distribution Gnu (Debian, etc…) sans logiciels propriétaires.

Le postulat est donc que seul votre terminal est sûr, le reste du réseau (serveurs tiers, FAI, internet et même réseau local) pouvant être mis sur écoute. Détrompez vous, il n’y a pas forcément besoin d’une faille technique pour mettre le réseau sur écoute, la contrainte légale sur les sociétés par les états de livrer les informations personnelles de leurs utilisateurs fonctionne généralement assez bien.

E-mails

Les e-mails sont par défaut envoyés en clair. Ils passent par votre réseau local, internet et les serveurs de courrier de chaque correspondant. Autant dire que l’on part de loin.

On peut communiquer en SSL avec son serveur mais si ca protège une partie de la communication, le serveur peut encore lire vos messages et vous n’avez aucune garantie sur la suite du chemin (votre correspondant n’a pas l’obligation d’utiliser une communication chiffrée avec son serveur et tous vos messages passeront alors en clair sur le réseau). Mais SSL protège le mot de passe de votre compte, c’est déjà ça !

La solution souvent conseillée est d’utiliser GnuPG pour chiffrer le contenu des messages. Le problème de cette solution c’est que le champ « sujet » des mails reste toujours en clair. On pourrait mettre des sujets bidons mais je n’imagine pas la galère pour classer ses emails !Donc pour un usage courant, c’est horrible à utiliser. Pour échanger un document confidentiel de temps en temps, ça devrait bien fonctionner.

Messagerie instantanée

XMPP semble être devenu le standard de la messagerie instantanée. Il utilise un modèle client/serveur décentralisé comme les e-mails. C’est vrai que c’est le meilleur modèle que l’on ait actuellement pour fonctionner avec les samrtphones (restrictions de volume de données, consommation énergétique à préserver, pas d’adresse IP publique).

Même constant qu’avec les serveurs e-mails, On peut communiquer en SSL avec son serveur mais si ca protège une partie de la communication, le serveur peut encore lire vos messages et vous n’avez aucune garantie sur la suite du chemin (votre correspondant n’a pas l’obligation d’utiliser une communication chiffrée avec son serveur et tous vos messages passeront alors en clair sur le réseau). Mais SSL protège le mot de passe de votre compte, c’est déjà ça !

GnuPG serait ici plus pratique car il n’y a pas le problème du « sujet » en clair. Mais je n’ai pas trouvé de client XMPP pour Android qui le gère.

OTR est un nouvel modèle de chiffrement pour les échanges de messages synchrones. L’idée est d’utiliser des clés de chiffrement temporaires à conversation. Avantage par rapport à GnuPG : Si un espion a enregistré au préalable vos conversations chiffrées et qu’il tombe un jour sur votre clé privée, il ne pourra pas déchiffrer vos conversations du passé (vu que des clés temporaires qui ont été utilisées pour les chiffrer ont été jetées). C’est une belle idée mais dans la réalité :

  • votre historique est conservé en clair sur le même terminal qui contient votre clé privée. Donc un espion trouverait les deux ensemble.
  • si l’espion récupère votre clé privée et celle de votre correspondant, il peut alors déchiffrer vos conversations du passé.
  • mais surtout  : il est impossible d’envoyer des messages à un correspondant hors ligne (car il faut négocier une clé partagée temporaire avant toute nouvelle conversation). Ce qui rend ce modèle inutilisable en pratique à mon avis si on n’est pas connecté 24/24 à sa messagerie instantanée.

Conclusion

Rien de marche pour l’utilisateur lambda qui n’a rien à cacher. Les emails chiffrés sont impossibles à classer. Les messages instantanés hors ligne sont illisibles.

J'aime(0)Ferme-la !(0)