Morgan Marquis-Boire explique comment on peut être piraté par une vidéo de chats sur YouTube

NGT14, 24 septembre 2014

Morgan Marquis-Boire est un chercheur principal et conseiller technique au Citizen Lab à l’École Munk des Affaires Internationales à l’Université de Toronto. Il est directeur de la sécurité chez First Look Media. Avant cela, il a travaillé comme ingénieur sénior en sécurité chez Google, en se concentrant sur la protection des utilisateurs à haut risque et en se spécialisant dans les opérations de sécurité, la réponse aux incidents, et l’analyse de la menace, et il a aussi été chercheur adjoint chez Google Ideas. Il est un membre fondateur de la Secure Domain Foundation, un groupe concurrent d’informations, à but non lucratif, gratuit. Il fait aussi du bénévolat pour l’Electronic Frontier Foundation à San Francisco. En plus de cela, il est membre du conseil consultatif de la sécurité à la Free Press Foundation. Originaire de Nouvelle-Zélande, il était l’un des fondateurs de la conférence de hackers KiwiCON. Ses recherches sur la surveillance et le ciblage numérique des militants et des journalistes ont figuré dans de nombreuses publications papiers et en ligne. (youtube)

« Vous pouvez vous faire pirater juste en regardant cette vidéo de chat sur YouTube »

The Intercept, 15 août 2014, par Morgan Marquis-Boire

Beaucoup de gens autrement bien informés pensent qu’ils doivent faire quelque chose de mal, ou de stupide, ou de non-sécurisé pour se faire pirater — comme cliquer sur de mauvaises pièces jointes, ou naviguer sur des sites web malveillants. Les gens pensent aussi que la NSA et ses partenaires internationaux sont les seuls à avoir transformé l’Internet en une zone militarisée. Mais selon les recherches que je publie aujourd’hui au Citizen Lab, à l’École Munk des affaires internationales de l’Université de Toronto, beaucoup de ces croyances répandues ne sont pas nécessairement vraies. La seule chose que vous devez faire pour rendre les secrets de vos ordinateurs — conversations privées, informations bancaires, photographies — transparents à des regards curieux est de regarder la vidéo d’un joli chat sur YouTube, et de susciter l’intérêt d’une agence de l’État-nation ou d’application de la loi qui a 1 million de dollars ou plus à dépenser.

Pour comprendre pourquoi, vous devez comprendre que, même avec un Internet aujourd’hui de plus en plus soucieux de la sécurité, la majorité du trafic est encore non chiffré. Vous pourriez être surpris d’apprendre que même des sites populaires qui font de la publicité sur leur recours au cryptage servent encore fréquemment du contenu ou des publicités non chiffrés. Alors que les gens reconnaissent maintenant que le trafic non chiffré peut être surveillé, ils peuvent ne pas reconnaître que c’est aussi un accès direct pour compromettre leurs ordinateurs.

Des sociétés telles que Hacking Team et FinFisher vendent des dispositifs appelés « outils d’injection de réseau ». Ce sont des supports de machines physiques déployés à l’intérieur des fournisseurs de services Internet dans le monde, qui permettent la simple exploitation de cibles. Pour ce faire, ils injectent du contenu malveillant dans la circulation quotidienne de la navigation Internet des gens. Une des manières dont Hacking Team accomplit cela est de profiter des flux non chiffrés de vidéos YouTube pour compromettre des utilisateurs. Le dispositif de Hacking Team cible un utilisateur, attend que l’utilisateur regarde une vidéo sur YouTube comme celle-ci, et intercepte le trafic et le remplace par un code malveillant qui donne à l’opérateur un contrôle total sur l’ordinateur de la cible sans qu’il ou elle le sache. La machine exploite également le site web de Microsoft login.live.com de la même manière.

Heureusement pour leurs utilisateurs, Google et Microsoft ont été tous deux réceptifs quand ils ont été alertés que les outils commerciaux ont été utilisés pour exploiter leurs services, et ils ont pris des mesures pour mettre fin à la vulnérabilité en cryptant tout le trafic ciblé. Il y a, cependant, beaucoup d’autres vecteurs à exploiter pour des entreprises comme Hacking Team et FinFisher.

Dans l’Internet d’aujourd’hui, il y a très peu d’excuses pour qu’une entreprise serve du contenu non crypté. Tout trafic non chiffré peut être malicieusement manipulé d’une manière qui reste invisible pour un utilisateur ordinaire. La seule façon de résoudre ce problème, c’est que les fournisseurs du web offrent des services entièrement cryptés.

L’année dernière, mes collègues du Citizen Lab et moi-même avons publié un document sur la commercialisation de l’espionnage numérique et le marché en plein essor de la surveillance en ligne par un tiers. Historiquement, cette technologie a été la compétence des Etats-nations avec la capacité de développer leur propre boutique de capabilité. La surveillance ciblée en ligne implique généralement un logiciel «implant» subrepticement installé sur la machine d’un utilisateur permettant un contrôle complet, par exemple, d’un appareil mobile ou d’un ordinateur portable. Les agences de renseignement aux États-Unis, au Royaume-Uni, en Russie, Israël, Chine, etc. ont développé leurs propres versions personnalisées de ces derniers. Mais au cours des cinq dernières années, Hacking Team et d’autres acteurs ont commencé à vendre ce type de capacité à ce qui pourrait être considéré comme « de la petite monnaie d’un dictateur. » Des nations qui n’ont pas la possibilité de créer leurs propres outils peuvent maintenant accélérer leurs programmes de surveillance ciblée en ligne relativement à bon marché.

Ces produits dits d’ « interception légale » vendus par Hacking Team et FinFisher peuvent être achetés pour aussi peu que 1 million de dollars (ou moins) par des gouvernements et des services de la loi un peu partout dans le monde. Ils ont été utilisés contre des cibles politiques, y compris Bahreïn Watch, les citoyens-journalistes de Mamfakinch au Maroc, le militant des droits de l’homme Ahmed Mansoor aux EAU [Emirats Arabes Unis], et ESAT, un service d’informations basé aux États-Unis qui s’intéresse à l’Éthiopie. Hacking Team et FinFisher ont tous deux prétendu qu’ils vendent seulement aux gouvernements, mais des documents récemment divulgués semblent montrer que FinFisher a vendu à au moins une entreprise de sécurité privée.

Il est important de noter que ce que je décris aujourd’hui n’est pas de la technologie d’interception massive (même si elle peut être utilisée à grande échelle). Contrairement à la collecte de métadonnées par la NSA, ces outils ne sont pas utilisés pour cibler des nations entières. Néanmoins, nous avons besoin d’avoir une discussion ouverte sur la façon dont nous voulons que la loi utilise ce type de technologie. Est-ce utilisé pour attraper les pornographes infantiles? Les ravisseurs? Les trafiquants de drogue? La fraude fiscale? Les journalistes qui reçoivent des fuites de documents?

À l’ère numérique, une recherche dans le contenu de votre ordinateur portable, de vos comptes en ligne, et de vos communications numériques est tout aussi envahissante qu’une fouille dans votre chambre. Traditionnellement, être au courant des moments et des conversations les plus intimes d’une personne aurait autrefois demandé de placer des dispositifs d’écoutes à l’intérieur de leur maison, sans compter le temps et la main-d’oeuvre pour écouter ce qui a été pris. Le coût d’une telle opération rendait nécessaire que la cible soit une personne avec un intérêt raisonnable. Aujourd’hui, il est possible d’observer quelqu’un à travers la lentille de la caméra de leur ordinateur portable, de les écouter via le microphone de leur téléphone portable, et de lire leur correspondance en ligne à distance et avec un moindre coût. La camionnette classique de surveillance pleine d’employés gouvernementaux qui s’ennuient (payés avec les heures supplémentaires), déployée 24 heures/24 est de plus en plus une chose appartenant au passé.

Nous ne savons tout simplement pas combien de fois ce type de surveillance se produit. Alors que les révélations de Snowden, l’année dernière, ont révélé beaucoup du caractère de la surveillance par la communauté du renseignement, l’utilisation du piratage informatique pour la surveillance dans l’application de la loi est moins bien comprise. Il est généralement admis que les techniques d’application de la loi doivent être tenues à un niveau élevé de transparence. En effet, aux États-Unis, les agences d’application de la loi publient des registres détaillant le nombre d’écoutes téléphoniques qu’elles déploient chaque année. Mais il n’y a presque aucune information publique sur le piratage informatique dans l’application de la loi.

Comme les coûts de déploiement de ce type de technologie diminuent, et que les outils deviennent commercialisés, leur utilisation augmente beaucoup plus rapidement que ce qui est communément admis. L’étude que je publie aujourd’hui essaie de faire avancer notre compréhension vers l’avant, mais en fin de compte, les réponses quant à la façon de répondre vont venir d’un dialogue éclairé. Chaque pays a besoin d’avoir une discussion ouverte pour savoir quelles agences d’application de la loi devraient être autorisées à utiliser cette technologie, dans quelles circonstances, et comment ce mécanisme de surveillance devrait être mis à jour pour tenir compte de cette nouvelle capacité.

Source: https://firstlook.org/theintercept/2014/08/15/cat-video-hack/

Publicités

Un ex-avocat de la NSA: la cyber-guerre se déroule entre les entreprises de haute technologie et le gouvernement américain

Stewart Baker sur scène au Sommet du Web à Dublin

Stewart Baker a déclaré qu’Apple et Google pourraient être en train de limiter leur activité dans des marchés comme la Chine et la Russie par le chiffrement des données des utilisateurs

The Guardian, Jemima Kiss, 4 novembre 2014

La bataille sur le cryptage des données de service des utilisateurs Internet a planté les entreprises technologiques américaines contre le gouvernement américain lui-même, a déclaré mardi l’ancien avocat général de la NSA, Stewart Baker.

Prenant la parole lors au Sommet du Web à Dublin, Baker a affirmé que les mouvements opérés par Google et Apple et d’autres afin de crypter les données de l’utilisateur étaient plus hostiles à la collecte occidentale de renseignements que pour la surveillance établie par la Chine ou la Russie.

« Le département d’Etat a financé certains de ces outils, tels que Tor, qui a été utilisé dans les révolutions du Printemps Arabe ou pour passer le pare-feu chinois, mais ces crypto-guerres opposent principalement le gouvernement américain et les entreprises américaines, » a-t-il dit dans une conversation avec l’éditeur des projets spéciaux, James Ball.

Lire la suite: http://www.theguardian.com/technology/2014/nov/04/nsa-cyberwar-stewart-baker-cloudflare-snowden

Pourquoi la NSA casse notre cryptage – et pourquoi nous devrions y être attentif – Matthew Green – TEDxMidAtlantic

Cette conférence a été donnée lors d’un événement local de TEDx, produite indépendamment des conférences TED. Le cryptage remonte aux Pères fondateurs et à la Déclaration des Droits. Maintenant, la National Security Agency des États-Unis casse et sape les technologies de cryptage de base qui alimentent Internet, en disant que cela est fait pour notre propre protection contre les terroristes. Mais sommes-nous en train de sacrifier nos libertés pour la peur?

Matthew Green est professeur adjoint à la recherche de la science informatique à l’Université Johns Hopkins. Ses recherches portent sur la sécurité et la cryptographie informatiques, et en particulier la façon dont la cryptographie peut être utilisée pour promouvoir la vie privée. Son travail inclut des techniques pour accéder en toute sécurité aux bases de données médicales, améliorer l’anonymat des Bitcoin, et analyser les systèmes de sécurité déployés. Avant de rejoindre la faculté Johns Hopkins, il a été un membre du personnel technique principal chez AT & T Laboratories.

(youtube)

Nous ne serons pas protégés de la NSA tant que nous utiliserons des solutions américaines

3427561_3_b3dd_le-siege-de-la-nsa-a-fort-meade-dans-le_6cdb6fd700c809687baf1005c99823cbBart Preneel, jeudi 27 février 2014 à 07h00

Les révélations d’Edward Snowden prouvent que la NSA accomplit parfaitement son travail: la révolution numérique permet de collecter, de stocker et d’analyser d’énormes quantités d’informations sous le slogan “In God we trust, all others we monitor. “ Le rapport du Parlement européen adressé à Echelon en 2001 a démontré que la NSA était passée maître dans l’art d’intercepter les communications. En outre, la NSA collecte des métadonnées: qui communique avec qui et quand, avec quel appareil et depuis quel endroit.

Mais grâce à Snowden, nous savons aujourd’hui que la NSA n’en reste pas là. L’Agence nationale de sécurité américaine a ainsi demandé à des acteurs cloud de premier plan de mettre à disposition des informations tirées du cloud (le programme Prism). En outre, leurs communications internes est interceptée (le programme Muscular placé sous le contrôle de l’agence britannique GCHQ). La solution au problème semble évidente: crypter simplement toutes les informations transmises sur l’internet et enregistrées dans le cloud. Elles restent ainsi hors de portée de la NSA. Mais il va de soi que la NSA anticipe. Quand un acteur internet encode des informations, l’Agence peut lui demander au moyen d’une dénommée ‘lettre de sécurité’ la clé secrète du serveur Web et lui interdire de communiquer à ce sujet. Lorsque cette situation s’est produite avec l’email provider Lavabit, ce dernier a finalement décidé de mettre la clé sous la porte. De plus, la NSA a investi dans le sabotage des normes cryptographiques (comme EC Dual RNBG). Ensuite, elle a convaincu certaines entreprises américaines de reprendre ces normes par défaut dans leurs produits. Enfin, la NSA investit en masse dans le craquage des méthodes de cryptage existantes. Un cryptage réellement sécurisé des informations n’est donc plus aussi facile. Les autorités européennes adoptent une position ambivalente à l’égard du cryptage universel: cet encodage les empêche d’intercepter facilement des informations, même dans un cadre parfaitement légal. Par ailleurs, il est un fait que le cryptage protège les données mais pas les métadonnées. Pour ce faire, vous devez disposer d’outils comme TOR qui permettent – dans une certaine mesure – de cacher les sites Web visités.

Même si nous cryptons tout, il faut toujours permettre à l’utilisaeur d’accéder à ses données sur son ordinateur. Mais la sécurisation des données traitées dans un ordinateur est bien plus complexe que celle des données en transit ou stockées. Pourquoi? Nos ordinateurs sont incroyablement complexes. Le processeur renferme plusieurs centaines de millions voire plus d’un milliard de transistors. Un système d’exploitation possède entre 10 et 100 millions de lignes de code. Sans oublier les middleware, drivers, navigateurs et applications. Tous les informaticiens savent qu’il est tout bonnement impossible de rendre un système d’une telle complexité exempt de tout bug pour un prix abordable. Chaque année, des milliers de bugs sont rapportés par les fournisseurs ICT. En général, les brèches sont rapidement colmatées. Le crime organisé et les autorités se penchent sur la création de nouveaux bugs: les uns pour en tirer un avantage financier et les autres pour obtenir des données sensibles. Pour la NSA, il doit être particulièrement tentant de demander aux entreprises ICT de lui révéler en premier les bugs ou – mieux encore – d’intégrer délibérément de subtiles faiblesses supplémentaires. Le secteur ICT comprend les risques qui y sont liés et ne le fera qu’à contrecœur. Les révélations de Snowden prouvent que lorsque la NSA intervient au moyen de lettres de sécurité (secrètes), les entreprises ne peuvent pas communiquer à ce sujet.

De plus, la culture “Ship now and patch later” a mené à des mises à jour automatiques et régulières de toutes les composantes de nos systèmes. Ces mises à jour varient en fonction des machines. Si la NSA parvient à prendre le contrôle du mécanisme de mise à jour, elle peut l’exploiter pour s’emparer de chaque machine.

En résumé, la NSA ne se limite plus depuis longtemps à de simples écoutes: elle procède à des attaques actives qui lui permettent de contrôler de certains ordinateurs. Pour des cibles spécifiques, surtout celles qui ne sont pas liées à l’internet, l’agence va même jusqu’à ajouter des composantes en interceptant les ordinateurs durant leur transport. Il faut s’attendre à ce que les révélations de Snowden inspirent d’autres pays à faire aussi bien, voire mieux.

Il n’existe qu’une seule manière d’assurer une sécurisation optimale dans un tel contexte: contrôler la conception complète de chaque composant de votre machine, du matériel au logiciel. De cette façon, vous pouvez être certain qu’aucune lacune n’y a été intégrée. Ce qui vient de l’extérieur doit être inspecté jusque dans les moindres détails sur la base d’une description complète. De surcroît, vous devez pouvoir contrôler l’entièreté de la chaîne d’approvisionnement pour avoir la certitude que votre ordinateur n’a pas été modifié. Enfin, vous devez aussi contrôler toutes les mises à jour. Seul un grand pays ou une multinationale peut se permettre d’adopter une telle approche. Les autres doivent rechercher des partenaires. Une question se pose alors: à qui pouvez-vous encore faire confiance?

Source: http://datanews.levif.be/ict/opinion/chroniques/nous-ne-serons-pas-proteges-de-la-nsa-tant-que-nous-utiliserons-des-solutions-americaines/opinie-4000541266288.htm

  • Creative Commons

    Ce blog est mis à disposition selon les termes de la Licence CC-BY-SA 4.0, sauf pour les contenus traduits depuis d'autres sites internet et qui restent la propriété des médias qui les ont publiés à l'origine.
  • Articles récents

  • Catégories

  • Archives

  • Publicités