« Nous donnons de plein gré plus de renseignements à Facebook que nous n’en fournirions au cours d’un interrogatoire »

Un livre partagé sur les réseaux sociaux et qui fait prendre conscience des enjeux sur les données personnelles, à télécharger gratuitement (licence cc-by-sa):

Numérique, reprendre le contrôle: https://framabook.org/docs/NRC/Numerique_ReprendreLeControle_CC-By.pdf

Publicités

Le rôle des hackers pour contrer la surveillance et promouvoir la démocratie – Sebastian Kubitschko

publié sur cogitatiopress.com (2015)

Résumé

Les pratiques liées aux technologies et aux infrastructures médiatiques (MTI) sont une partie de plus en plus importante des constellations démocratiques, en général, et des tactiques de la surveillance, en particulier. Cet article ne cherche pas à discuter de la surveillance en soi, mais plutôt d’ouvrir une nouvelle ligne d’enquête en présentant la recherche qualitative sur le Chaos Computer Club (CCC), l’une des plus grandes organisations de hackers dans le monde et l’une des plus anciennes organisations en Europe. Malgré la conception de longue date du piratage animé d’une signification politique, la portée et le style d’engagement des hackers avec les nouveaux enjeux liés à la surveillance restent mal compris. La raison de cet article est d’examiner le CCC en tant qu’organisation de la société civile qui agit contre les assemblages contemporaines de la surveillance de deux façons: tout d’abord, en dé-construisant la technologie existante et en soutenant, construisant, en maintenant et en utilisant des technologies et des infrastructures de médias alternatifs qui permettent une communication plus sécurisée et anonyme; et deuxièmement, en articulant leur expertise en matière de MTI contemporaine à un large éventail d’auditoires, de publics et d’acteurs. Soulignant l’importance de la «vie privée» pour le bien-être de la démocratie, je soutiens que l’organisation de hacker co-détermine « les espaces interstitiels dans les pratiques de traitement de l’information » (Cohen, 2012, p. 1931), et ce faisant, agit sur les caractéristiques structurelles indispensables des constellations démocratiques contemporaines.

Télécharger l’étude en ligne: http://www.cogitatiopress.com/ojs/index.php/mediaandcommunication/article/view/281

Le Parti Pirate australien publie un guide pour se protéger de la cyber-surveillance

La loi sur la rétention des données en Australie a commencé le 13 octobre 2015.

Ce que vous pouvez faire

La nouvelle loi imminente sur la rétention des données en Australie met en danger votre vie privée et celle de votre famille. Pour vous aider à éviter que vos informations personnelles ne tombent dans de mauvaises mains, vous devriez prendre des mesures pour vous protéger dès maintenant. Ce qui suit est un guide simple pour certaines technologies exemplaires qui peuvent aider à protéger votre vie privée.

Pour des informations plus détaillées pour savoir comment protéger votre vie privée en allant au-delà de ce guide, un bon point de départ sera le site de l’EFF, « l’autoprotection digitale contre la surveillance ». [version française] En fait, la plupart des liens ci-dessous, en ce qui concerne les sujets spécifiques, vous y renvoient.

Lire la suite: https://pirateparty.org.au/dataretention/

Guide d’autodéfense numérique, tome 1 et 2 (en téléchargement libre)

ninjas-37770_1280Image: CC0-public domain

http://guide.boum.org/

Tome 1 (version pdf): http://guide.boum.org/tomes/1_hors_connexions/pdf/guide-tome1-a4-20140828.pdf

Tome 2 (version pdf): http://guide.boum.org/tomes/2_en_ligne/pdf/guide-tome2-a4-20140828.pdf

WikiLeaks rétablit enfin son système de soumission [de documents] pour vos secrets

Andy Greenberg, 01/05/2015

Câbles secrets américains-WikileaksCela a pris près d’une demi-décennie. Mais Wikileaks est de retour dans le business pour accepter des fuites parfaitement anonymes.

Vendredi, le groupe qui dévoile les secrets a annoncé avoir enfin relancé une version bêta de son système de soumission de fuites, un site de téléchargement de fichiers qui fonctionne avec le logiciel anonyme Tor pour permettre aux uploaders [téléchargeurs] de partager des documents et des conseils tout en protégeant leur identité de tout réseau indiscret, et même de WikiLeaks. La relance de cette page, qui dans le passé a servi de base à la mission de transparence de WikiLeaks – vient quatre ans et demi après que WikiLeaks ait fermé son dernier système de soumission en plein milieu de luttes intestines entre les dirigeants de WikiLeaks et de plusieurs de leurs employés désenchantés.

Lire la suite: http://www.wired.com/2015/05/wikileaks-finally-brings-back-submission-system-secrets

#PJLRenseignement: quels députés ont voté pour? qui a voté contre?

Voir les résultats sur le site de l’Assemblée Nationale: http://www2.assemblee-nationale.fr/scrutins/detail/%28legislature%29/14/%28num%29/1109

« Cryptoparty et vie privée », lundi 27 avril 2015, à Paris: chiffrement de mails, confidentialité sur Internet, utilisation de Tor…

Voir l’événement: http://paris.intersquat.org/events/event/cryptoparty-et-vie-privee/

Source: https://twitter.com/PartiPirate/status/590814448526434304

Un juge: La police peut créer de faux profils sur les médias sociaux

police_fake_profiles_on_social_mediaUn juge fédéral a statué la semaine dernière que la police était dans ses droits pour créer un faux profil Instagram afin d’attraper un cambrioleur présumé.

Par Matthew Keys, 30 décembre 2014

La prochaine fois que vous recevez une demande d’ami venant d’un total inconnu sur les médias sociaux, ce pourrait être un agent de police.

Un juge fédéral dans le New Jersey a statué la semaine dernière que les fonctionnaires chargés de l’application de la loi sont dans leur droit pour créer de faux comptes sur les médias sociaux afin de « devenir amis » avec les individus soupçonnés d’actes criminels.

La décision découle d’une affaire mettant en cause un homme accusé d’avoir participé à une ronde de cambriolage qui a visé les maisons riches à travers le Garden State. Selon la police, Daniel Gatson et d’autres étaient soupçonnés de mener des invasions de domiciles à la « James Bond », en ce que les participants auraient coupé des fils de téléphone pour désactiver les alarmes anti-vol, forcé leur chemin dans les maisons et saccagé les chambres du propriétaire à la recherche d’espèces, de bijoux, de matériels électroniques et autres objets de valeur.

Dans le cadre de leur enquête, les détectives ont créé un faux compte Instagram, puis ont envoyé une demande d’ami à Gatson. Selon des documents judiciaires, Gatson a accepté la demande, en donnant accès aux enquêteurs aux photos qu’il a affiché sur le service (les paramètres de confidentialité de Gatson étaient de telle sorte que seuls certains utilisateurs pouvaient voir les photos sur son flux; les documents judiciaires indiquent qu’il a posté des images montrant des bijoux).

Lire la suite: http://theblot.com/judge-police-can-create-fake-social-media-profiles-7732000

Le lecteur de PDF Flexpaper utilisé sur Wikileaks.org présente des risques de sécurité pour les utilisateurs

Posté par Koyaanisqatsi, 18 décembre 2014

WL ForumNous avons été mis au courant d’un risque potentiel de sécurité avec le logiciel open-source que Wikileaks utilise avec une bibliothèque Flash pour afficher les fichiers PDF au format .SWF
Le logiciel utilisé est Flexpaper qui utilise des flashvars non-statiques qui pourraient entraîner des attaques par Cross-Site Scripting.

Flexpaper est une bibliothèque Flash open-source pour charger les fichiers PDF https://code.google.com/p/flexpaper/ (Les développeurs sont conscients de la vulnérabilité et elle sera résolue dans les versions futures).

Deux vulnérabilités XSS et l’usurpation de contenus peuvent être utilisées par des usagers malveillants. Que ce soit pour affecter la vie privée des utilisateurs de Wikileaks, par exemple: l’utilisation de composants Flash spécifiquement pour désactiver et rendre visible un dispositif [de protection] derrière les utilisateurs du réseau Tor ou donner un lien vers du contenu externe pour discréditer Wikileaks, une chose que Wikileaks devrait éviter étant donné la nature des contenus publiés sur les serveurs de Wikileaks.

Une mention du dernier exemple du FBI pour désactiver et rendre visible les dispositifs [de protection] des utilisateurs: http://hackread.com/fbi-used-metasploit-decloak-expose-tor-users/

Compte tenu du fait que la plupart des navigateurs utilisent des plugins pour permettre la lecture des PDF, nous exhortons Wikileaks à donner directement le lien des fichiers PDF au lieu d’utiliser un logiciel tiers qui pourrait mettre en danger les utilisateurs.

Nous tenons à remercier Francisco Alonso @revskills http://twitter.com/revskills pour nous avoir fourni cette information.

Source: http://www.wikileaks-forum.com/security-support/608/-flexpaper-pdf-viewer-used-on-wikileaks-org-presents-security-risk-for-users/32700/;topicseen et https://twitter.com/wikileaks_forum/status/545868886009077760

Morgan Marquis-Boire explique comment on peut être piraté par une vidéo de chats sur YouTube

NGT14, 24 septembre 2014

Morgan Marquis-Boire est un chercheur principal et conseiller technique au Citizen Lab à l’École Munk des Affaires Internationales à l’Université de Toronto. Il est directeur de la sécurité chez First Look Media. Avant cela, il a travaillé comme ingénieur sénior en sécurité chez Google, en se concentrant sur la protection des utilisateurs à haut risque et en se spécialisant dans les opérations de sécurité, la réponse aux incidents, et l’analyse de la menace, et il a aussi été chercheur adjoint chez Google Ideas. Il est un membre fondateur de la Secure Domain Foundation, un groupe concurrent d’informations, à but non lucratif, gratuit. Il fait aussi du bénévolat pour l’Electronic Frontier Foundation à San Francisco. En plus de cela, il est membre du conseil consultatif de la sécurité à la Free Press Foundation. Originaire de Nouvelle-Zélande, il était l’un des fondateurs de la conférence de hackers KiwiCON. Ses recherches sur la surveillance et le ciblage numérique des militants et des journalistes ont figuré dans de nombreuses publications papiers et en ligne. (youtube)

« Vous pouvez vous faire pirater juste en regardant cette vidéo de chat sur YouTube »

The Intercept, 15 août 2014, par Morgan Marquis-Boire

Beaucoup de gens autrement bien informés pensent qu’ils doivent faire quelque chose de mal, ou de stupide, ou de non-sécurisé pour se faire pirater — comme cliquer sur de mauvaises pièces jointes, ou naviguer sur des sites web malveillants. Les gens pensent aussi que la NSA et ses partenaires internationaux sont les seuls à avoir transformé l’Internet en une zone militarisée. Mais selon les recherches que je publie aujourd’hui au Citizen Lab, à l’École Munk des affaires internationales de l’Université de Toronto, beaucoup de ces croyances répandues ne sont pas nécessairement vraies. La seule chose que vous devez faire pour rendre les secrets de vos ordinateurs — conversations privées, informations bancaires, photographies — transparents à des regards curieux est de regarder la vidéo d’un joli chat sur YouTube, et de susciter l’intérêt d’une agence de l’État-nation ou d’application de la loi qui a 1 million de dollars ou plus à dépenser.

Pour comprendre pourquoi, vous devez comprendre que, même avec un Internet aujourd’hui de plus en plus soucieux de la sécurité, la majorité du trafic est encore non chiffré. Vous pourriez être surpris d’apprendre que même des sites populaires qui font de la publicité sur leur recours au cryptage servent encore fréquemment du contenu ou des publicités non chiffrés. Alors que les gens reconnaissent maintenant que le trafic non chiffré peut être surveillé, ils peuvent ne pas reconnaître que c’est aussi un accès direct pour compromettre leurs ordinateurs.

Des sociétés telles que Hacking Team et FinFisher vendent des dispositifs appelés « outils d’injection de réseau ». Ce sont des supports de machines physiques déployés à l’intérieur des fournisseurs de services Internet dans le monde, qui permettent la simple exploitation de cibles. Pour ce faire, ils injectent du contenu malveillant dans la circulation quotidienne de la navigation Internet des gens. Une des manières dont Hacking Team accomplit cela est de profiter des flux non chiffrés de vidéos YouTube pour compromettre des utilisateurs. Le dispositif de Hacking Team cible un utilisateur, attend que l’utilisateur regarde une vidéo sur YouTube comme celle-ci, et intercepte le trafic et le remplace par un code malveillant qui donne à l’opérateur un contrôle total sur l’ordinateur de la cible sans qu’il ou elle le sache. La machine exploite également le site web de Microsoft login.live.com de la même manière.

Heureusement pour leurs utilisateurs, Google et Microsoft ont été tous deux réceptifs quand ils ont été alertés que les outils commerciaux ont été utilisés pour exploiter leurs services, et ils ont pris des mesures pour mettre fin à la vulnérabilité en cryptant tout le trafic ciblé. Il y a, cependant, beaucoup d’autres vecteurs à exploiter pour des entreprises comme Hacking Team et FinFisher.

Dans l’Internet d’aujourd’hui, il y a très peu d’excuses pour qu’une entreprise serve du contenu non crypté. Tout trafic non chiffré peut être malicieusement manipulé d’une manière qui reste invisible pour un utilisateur ordinaire. La seule façon de résoudre ce problème, c’est que les fournisseurs du web offrent des services entièrement cryptés.

L’année dernière, mes collègues du Citizen Lab et moi-même avons publié un document sur la commercialisation de l’espionnage numérique et le marché en plein essor de la surveillance en ligne par un tiers. Historiquement, cette technologie a été la compétence des Etats-nations avec la capacité de développer leur propre boutique de capabilité. La surveillance ciblée en ligne implique généralement un logiciel «implant» subrepticement installé sur la machine d’un utilisateur permettant un contrôle complet, par exemple, d’un appareil mobile ou d’un ordinateur portable. Les agences de renseignement aux États-Unis, au Royaume-Uni, en Russie, Israël, Chine, etc. ont développé leurs propres versions personnalisées de ces derniers. Mais au cours des cinq dernières années, Hacking Team et d’autres acteurs ont commencé à vendre ce type de capacité à ce qui pourrait être considéré comme « de la petite monnaie d’un dictateur. » Des nations qui n’ont pas la possibilité de créer leurs propres outils peuvent maintenant accélérer leurs programmes de surveillance ciblée en ligne relativement à bon marché.

Ces produits dits d’ « interception légale » vendus par Hacking Team et FinFisher peuvent être achetés pour aussi peu que 1 million de dollars (ou moins) par des gouvernements et des services de la loi un peu partout dans le monde. Ils ont été utilisés contre des cibles politiques, y compris Bahreïn Watch, les citoyens-journalistes de Mamfakinch au Maroc, le militant des droits de l’homme Ahmed Mansoor aux EAU [Emirats Arabes Unis], et ESAT, un service d’informations basé aux États-Unis qui s’intéresse à l’Éthiopie. Hacking Team et FinFisher ont tous deux prétendu qu’ils vendent seulement aux gouvernements, mais des documents récemment divulgués semblent montrer que FinFisher a vendu à au moins une entreprise de sécurité privée.

Il est important de noter que ce que je décris aujourd’hui n’est pas de la technologie d’interception massive (même si elle peut être utilisée à grande échelle). Contrairement à la collecte de métadonnées par la NSA, ces outils ne sont pas utilisés pour cibler des nations entières. Néanmoins, nous avons besoin d’avoir une discussion ouverte sur la façon dont nous voulons que la loi utilise ce type de technologie. Est-ce utilisé pour attraper les pornographes infantiles? Les ravisseurs? Les trafiquants de drogue? La fraude fiscale? Les journalistes qui reçoivent des fuites de documents?

À l’ère numérique, une recherche dans le contenu de votre ordinateur portable, de vos comptes en ligne, et de vos communications numériques est tout aussi envahissante qu’une fouille dans votre chambre. Traditionnellement, être au courant des moments et des conversations les plus intimes d’une personne aurait autrefois demandé de placer des dispositifs d’écoutes à l’intérieur de leur maison, sans compter le temps et la main-d’oeuvre pour écouter ce qui a été pris. Le coût d’une telle opération rendait nécessaire que la cible soit une personne avec un intérêt raisonnable. Aujourd’hui, il est possible d’observer quelqu’un à travers la lentille de la caméra de leur ordinateur portable, de les écouter via le microphone de leur téléphone portable, et de lire leur correspondance en ligne à distance et avec un moindre coût. La camionnette classique de surveillance pleine d’employés gouvernementaux qui s’ennuient (payés avec les heures supplémentaires), déployée 24 heures/24 est de plus en plus une chose appartenant au passé.

Nous ne savons tout simplement pas combien de fois ce type de surveillance se produit. Alors que les révélations de Snowden, l’année dernière, ont révélé beaucoup du caractère de la surveillance par la communauté du renseignement, l’utilisation du piratage informatique pour la surveillance dans l’application de la loi est moins bien comprise. Il est généralement admis que les techniques d’application de la loi doivent être tenues à un niveau élevé de transparence. En effet, aux États-Unis, les agences d’application de la loi publient des registres détaillant le nombre d’écoutes téléphoniques qu’elles déploient chaque année. Mais il n’y a presque aucune information publique sur le piratage informatique dans l’application de la loi.

Comme les coûts de déploiement de ce type de technologie diminuent, et que les outils deviennent commercialisés, leur utilisation augmente beaucoup plus rapidement que ce qui est communément admis. L’étude que je publie aujourd’hui essaie de faire avancer notre compréhension vers l’avant, mais en fin de compte, les réponses quant à la façon de répondre vont venir d’un dialogue éclairé. Chaque pays a besoin d’avoir une discussion ouverte pour savoir quelles agences d’application de la loi devraient être autorisées à utiliser cette technologie, dans quelles circonstances, et comment ce mécanisme de surveillance devrait être mis à jour pour tenir compte de cette nouvelle capacité.

Source: https://firstlook.org/theintercept/2014/08/15/cat-video-hack/