iPhone/iPad : un chargeur "pirate" capable d’injecter un malware

Un truc idéal pour pirater les données de tous les smartphones de cadres qui utilisent les bornes de rechargement dans les aéroports… à mon avis les Chinois y ont déjà pensé

[01 Net - 04/06/2013]

Des chercheurs affirment avoir réussi à injecter un logiciel malveillant dans des mobiles iOS d’Apple via un chargeur USB de leur "conception".

Faudra t-il bientôt se méfier des chargeurs d’iPhone ou d’iPad ? Des chercheurs américains de l’institut de technologie de l’état de Géorgie à Atlanta, affirment avoir pu infecter des mobiles Apple sous iOS avec un logiciel malveillant, en l’introduisant par un chargeur électrique de leur conception.

Ils prétendent avoir piraté, en moins d’un minute, tous les mobiles fonctionnant avec la dernière version disponible d’iOS, qu’ils ont essayé de compromettre. A leur grand surprise, l’attaque consistant à injecter un malware, s’est jouée de tous les systèmes de sécurité mis en place par Apple.

L’opération n’aurait nécessité ni mobile jailbraké, ni aucune action de l’utilisateur.

Les chercheurs expliquent qu’ils ont soigneusement examiné les mécanismes sécuritaires d’Apple protégeant contre l’installation de logiciels indéterminés puis réussi à tirer partie des possibilités de l’USB pour contourner ces protections.

Leur chargeur "pirate" embarque une mini-carte électronique de type Beagleboard, pouvant fonctionner avec des suites Linux et dotée d’un port USB. Ce choix a été effectué pour démontrer que la conception d’un tel périphérique malveillant, était aisément à la portée de bons techniciens.

Ils présenteront leur travaux et le chargeur "pirate" en question, lors de la conférence Black Hat qui se tiendra à Las Vegas du 27 juillet au 1er août de 2013.

Cette démonstration amène à se méfier d’un périphérique a priori anodin dont le principal "tort", du point de vue sécuritaire, est de se connecter physiquement au mobile qu’il prétend alimenter.

Source :

- programme des présentations de la conférence BlackHat USA 2013

http://www.01net.com/editorial/596731/iphone-ipad-un-chargeur-pirate-capable-dinjecter-un-malware/

 

DEVENEZ UN PARFAIT CYBER-ESPION EN SUIVANT LES CONSEILS DE LA NSA

[Gregor Seither - IES News Service - 18/05/2013]

Il ya tellement de données disponibles sur l’Internet que même les cyberespions gouvernementaux ont besoin d’un peu d’aide de temps en temps pour passer au crible toute cette masse d’informations. Pour les aider dans leur travail, la NATIONAL SECURITY AGENCY a donc produit un Guide technique afin aider ses espions a localiser les informations cachées sur le web.

[Note de L&I - la version rendu publique datant de 2007, une TRES GROSSE PARTIE des outils vraiment intéressants qui sont mentionnés, n'existe plus en 2013  --> PDF disponible dans la bibliotèque de L&I - Téléchargez le guide ici : "Untangling the Web: A Guide to Internet Research" ]

L’ouvrage de 650 pages environ, intitulé "Untangling the Web: A Guide to Internet Research" (dispo en PDF dans la Bibliothque L&I) vient d’être rendu public par la NSA suite d’une demande FOIA déposée en Avril par MuckRock, un site qui propose des services payants de traitement de données publiques pour des associations militantes et autres.

Le Guide a été publié par le "Center for Digital Content" de la NSA et regorge de conseils pour l’utilisation des moteurs de recherche, le Internet Archive et autres outils en ligne.

 

QUI SONT LES PIRATES ÉPINGLÉS PAR HADOPI ?

[L'Expansion - Ludwig Gallet - 17/10/2012]

L’Hadopi a publié ce mercredi son rapport d’activité pour 2012. Nouveauté, l’autorité y dévoile ses statistiques sur les abonnés arrivés au dernier stade de la riposte graduée. Quel est leur profil ? Combien sont-ils ? Réponse en chiffres.

On savait que l’Hadopi misait principalement sur la portée pédagogique de la riposte graduée pour lutter contre le téléchargement illégal et la récidive. Preuve en est, si plus d’un million de dossiers ont été ouverts depuis sa création, seule une poignée d’entre eux risque aujourd’hui de se retrouver devant la justice.

Combien sont-ils ?  Peu nombreux. 682.525 premières recommandations ont été envoyées par mail entre le 1er juillet 2011 et le 30 juin 2012, sous la forme d’un simple avertissement établissant un défaut de sécurisation de l’accès à internet. Une mesure apparemment efficace puisque seuls 12% des internautes avertis une première fois reçoivent un deuxième avertissement. Soit 82.256 courriers envoyés.

Arrive ensuite la troisième phase, un tournant sur l’échelle de la riposte graduée. Le traitement des infractions perd en effet de son automaticité. L’Hadopi traite alors au cas par cas, pour décider si oui ou non, le dossier doit être transmis au procureur de la République. Soit seulement 340 internautes à ce stade, dont plus de 75% prennent contact avec l’Hadopi, contre seulement 8% au premier. Il faut dire qu’il seront de toutes façons systématiquement convoqués par l’autorité.

Reste que dans l’immense majorité des cas, les dossiers ne sont pas transmis au procureur. Au 1er octobre, en effet, seuls 18 abonnés ont basculé dans le volet judiciaire de la riposte graduée.

Quel est leur profil ?  Sur 306 dossiers arrivés au troisième stade de la riposte graduée au 1er mai 2012, 89% ont utilisé un seul logiciel de partage. eMule est le plus répandu (49%), suivi de µTorrent (44%), bitTorrent (8%), Limewire (6%) et Azureus (4%). Les statistiques de l’Hadopi, qui ne concernent que des mises à disposition de fichiers et non des téléchargements, précisent que dans un tiers des cas, seule de la musique est échangée. Un autre tiers concerne uniquement des vidéos, et le tiers restant les deux types de contenus.

Seuls 2% des dossiers parvenus à ce stade concerne des accès Wi-Fi communautaires (lieux publics…).  14% des abonnés épinglés pour la troisième fois ont purement et simplement nié les faits. En revanche, 75% reconnaissent que leur connexion a été utilisée à des fins malveillantes (40% par l’abonné lui-même, 60% par un proche). A l’issue de la procédure, 45% des abonnés disent avoir supprimé le logiciel ayant permis le téléchargement. 37% des abonnés entrés en contact avec l’autorité assurent avoir cessé le téléchargement. La moitié d’entre eux assurent même avoir arrêté dès la première ou la deuxième recommandation. Ce sont eux qui prennent le temps de lire leurs mails. Car 36% des abonnés en 3e phase n’ont pas pris connaissance du premier avertissement.

Ces chiffres démontrent que la majorité des contrevenants sont des cas mineurs. Car si ces abonnés sont arrivés au troisième stade, c’est qu’ils ne connaissent pas le fonctionnement des logiciels de "peer to peer". Car il ne suffit pas d’arrêter de télécharger. Il faut aussi effacer les fichiers téléchargés ou même supprimer le logiciel. Sans quoi ils seront à nouveau épinglés par l’autorité, puisque les plateformes de peer to peer disposent d’une fonction de partage automatique. Parmi les informations les plus fréquemment communiquées aux abonnés, l’explication du partage automatique des logiciels de peer to peer arrive d’ailleurs en tête, dans plus de 86% des cas.

 

ANTISEC PROUVE QUE LA POLICE TRAQUE LES APPAREILS MOBILES

[Le Monde Informatique - 04/09/2012]

12 millions d’identifiants iOS auraient été dérobés sur l’ordinateur d’un agent du FBI. C’est le groupe de hackers AntiSec qui déclare être parvenu à s’emparer de la banque de données grâce à une faille Java exploitée en mars dernier.

Le groupe de hackers, formé d’Anonymous et d’anciens membres de LulzSec, assure avoir dérobé près de 12 millions d’identifiants iOS au FBI. Opérant sous le nom AntiSec, le collectif a déjà fait parler de lui à de nombreuses reprises. Aujourd’hui, il assure être en possession de plus de 12 millions d’identifiants UDID (Unique Device Identifier) propres à chaque appareil iOS d’Apple. Les hackers reprochent ainsi au FBI d’être en possession d’une base de données enrichie d’informations personnelles très précises. 

 

SI VOTRE ORDI PLANTE, C’EST LA FAUTE A BARACK OBAMA…

Ce n’est pas une simple histoire de hacker…. il s’agit d’une attaque de type militaire contre un pays. Attaque non déclarée et sans le moindre mandat de la "communauté internationale". Au minimum il faudrait que l’ONU publie une réaction face à cela… car la revendication ouverte de cette action pose un précédent qui peut avoir des conséquences très lourdes à long-terme. Il légitime toutes actions de cyberguerre future… y compris contre d’autres pays que l’Iran.

Quelle est la légalité d’une attaque de ce genre ? Comment se faire compenser les dommages collatéraux (dans des pays totalement étrangers au conflit) de ce genre d’attaques ? Et si demain Boeing aux USA décide de saboter Airbus en Europe à l’aide de sa propre variante de Stuxnet ? Qui va l’en empêcher maintenant que la Maison Blanche a donné l’exemple ?

Au même titre que l’illégalité de l’invasion irakienne a bloqué toute capacité d’intervention "légitimée" des USA pendant un bout de temps, l’utilisation de cyber-armes contre un pays dans une guerre non déclarée ouvre la porte à un avenir sombre en matière de cybersabotage… et si les hackers Syriens ou Iraniens ou Chinois décident de riposter, au nom de quoi les USA pourront-ils s’y opposer (greg)

Barack Obama a ordonné les attaques Stuxnet contre l’Iran

[Serge Leblal - Le Monde Informatique - 04/06/2012]

Le ver Stuxnet, mis au point par des agences américaines et israéliennes, a bien été créé pour cibler le programme nucléaire iranien, selon le New York Times.

Le président américain Barack Obama a ordonné les cyberattaques avec le malware Stuxnet contre l’Iran pour ralentir le développement du programme nucléaire du pays,selon un article publié dans The New York Times. Le journal, citant des sources anonymes, a rapporté que, dans les premiers jours de sa présidence, M. Obama a accéléré le projet connu sous le nom de code Olympic Games et initié par l’administration de George W. Bush. Le ver Stuxnet, depuis longtemps officieusement attribué à Israël ou aux États-Unis, a frappé les ordinateurs iraniens à la mi-2010 avant de se disséminer à travers l’Internet.

 

THE PIRATE BAY TOUCHÉ MAIS (TOUJOURS) PAS COULÉ

[Camille Gévaudan - Libération - 03/02/2012]

Les 4 fondateurs de The Pirate Bay ont tous été condamnés à plusieurs mois de prison ferme et des millions d’euros de dommages et intérêts, hier, par la Cour Suprême suédoise. Le verdict est sévère, mais il ne s’agit que d’une seconde confirmation en appel. Il clôt un procès de deux ans, et s’inscrira comme un énième épisode — peut-être pas le dernier — dans la longue, très longue histoire judiciaire du site suédois.

Tout a commencé en mai 2006, quand la police suédoise a confisqué 180 serveurs dont une poignée seulement étaient utilisés par The Pirate Bay pour faire tourner leurs services d’échanges en peer-to-peer. Ce raid controversé fut le point de départ d’une enquête d’un an et demi à la recherche de preuves d’infraction au droit d’auteur. La tâche n’est pas aisée : The Pirate Bay n’héberge en effet aucun fichier illégal. Son rôle se résume à fournir un moteur de recherche pour les fichiers torrent et,jusqu’à récemment, un « tracker » pour mettre automatiquement en relation les internautes souhaitant s’échanger ces fichiers. Seules 35 œuvres protégés par le droit d’auteur ont pu être utilisées comme preuves, mais le rapport de l’enquête comptait tout de même plus de quatre mille pages. En janvier 2008, le procureur suédois Håkan Roswall s’est appuyé sur ce document pour annoncer les charges retenues contre les 4 « pirates » : « complicité d’infraction au droit d’auteur ».

 

PETIT GUIDE POUR RESTER ANONYME SUR INTERNET (mais vous n’êtes pas en sécurité pour autant)

Hadopi, Acta : les lois qui surveillent Internet se multiplient. Mode d’emploi à l’usage des non-geeks pour utiliser le Web sans laisser de traces.

[Martin Untersinger - Rue 89 - 02/02/2012]

Naviguer sur Internet, c’est comme sauter à pieds joints dans du béton frais : on laisse des traces (presque) indélébiles partout. C’est aussi ce que dit Bruce Schneier, expert en sécurité informatique :

« Si vous pensez que la technologie peut résoudre vos problèmes de sécurité, alors vous n’avez rien compris aux problèmes ni à la technologie. »

L’informatique, et plus particulièrement Internet, est un formidable moyen de liberté d’expression, mais aussi une machine à surveiller. Or, surfer anonymement peut être souhaitable pour des tas de raisons, et pas seulement pour les paranos. On peut être amené à vouloir être anonyme sur Internet à un moment de sa vie. Liste non exhaustive et non exclusive :

• échapper au flicage de son patron ;
• éviter les yeux indiscrets de sa femme/son mari ;
• déjouer la surveillance des autorités (cela ne vaut que si on habite dans un pays autoritaire, bien entendu), comme le font tant de dissidents, de la Biélorussie à la Syrie ;
• empêcher de grandes entreprises – de préférence américaines – de collecter une foule de données personnelles ;
• protéger son travail ou ses sources (si on est journaliste ou militant).

Renforcer son anonymat sur Internet, ce n’est pas « un truc de geek » : on dit souvent que la solution (ou le problème) se trouve entre la chaise et le clavier.

On peut agir, très simplement et toujours gratuitement, pour protéger sa vie privée et surfer anonymement sur Internet. Les solutions qui suivent ne sont pas à appliquer « en bloc », mais sont davantage un catalogue dans lequel piocher en fonction de ses besoins.

 

"DUQU" LE VIRUS INFORMATIQUE CIBLANT LES SITES INDUSTRIELS EST ARRIVÉ EN FRANCE

[Futura Sciences - 04/11/2011]

Repéré il y a quelques semaines, Duqu, un cheval de Troie qui se glisse dans un fichier Word, est comparé à Stuxnet et pourrait préfigurer une attaque très ciblée contre des sites industriels. Microsoft estime le risque faible et vient seulement de publier un patch.

Le 9 octobre dernier, l’éditeur Symantec publiait sa découverte d’un virus nommé Duqu (car il génère deux fichiers dont le nom commence par DQ), « qui semble le précurseur d’une attaque de type Stuxnet ». Il partage en effet une partie de son code avec ce virus qui, en 2010, avait ciblé des équipements industriels, du type de ceux utilisés en Iran dans des installations industrielles.Duqu exploite une faille de Windows jusque-là inconnue et se glisse dans les routines du système d’exploitation chargées de l’affichage des polices de caractères TrueType.

Cet intrus peut alors « exécuter du code en mode kernel », vient d’expliquer Microsoft dans un communiqué. Autrement dit, obtenir les droits les plus élevés et pouvoir tout faire dans l’ordinateur et par exemple installer de nouveaux programmes ou ouvrir les comptes utilisateurs.» [...]

«Un robot espion spécialisé dans le renseignement

Ce cheval de Troie, cependant, ne se réplique pas. Il a été volontairement envoyé par courrier électronique dans des documents Word « à six organisations » et ce dans huit pays selon le dernier communiqué de Symantec : France, Hollande, Inde, Iran, Soudan, Suisse, Ukraine et Vietnam. D’autres distributeurs l’ont signalé également en Autriche, en Hongrie, en Indonésie, au Royaume-Uni ainsi que dans d’autres entités en Iran.
Il ne s’agit donc pas d’un virus se propageant aveuglément au hasard des ordinateurs rencontrés. Duqu serait bien un agent en mission très spéciale chargé de s’infiltrer dans certaines « organisations » et semble-t-il de préparer une attaque plus massive. »…

http://www.futura-sciences.com/fr/news/t/internet/d/le-virus-informatique-duqu-est-en-france_

 

ISRAEL APPLIQUE LA VIEILLE REGLE: QUAND LA CONTESTATION GAGNE, SONNONS LE CLAIRON ET FAISONS LA GUERRE

Symptomatique de la panique dans laquelle se trouve l’Etat Sioniste en ce moment. Il n’y a aucune urgence supplémentaire à bombarder l’Iran, au contraire, le programme nucléaire y est considérablement ralenti par StuxNet et autres mesures de sabotage… mais cela permettrait d’attirer l’attention ailleurs. Un peu comme Clinton qui faisait bombarder le Soudan en pleine affaire Lewinsky…

Ce n’est pas sùr qu’Obama les suive dans cette aventure, cette fois ci. Déjà que la décision de construire 2 000 logements dans les colonies illégales décrédibilise complètement l’affirmation comme quoi "Israël veut la paix"…

Nétanyahou tenterait de mobiliser ses ministres en vue d’attaquer l’Iran

[Le Monde 02/11/2011]

Le premier ministre israélien, Benyamin Nétanyahou, et son ministre de la défense, Ehoud Barak, tentent de lever l’opposition d’une majorité de ministres contre une attaque visant les installations nucléaires iraniennes, a indiqué, mercredi 2 novembre, le quotidien Haaretz.

Lundi, M. Barak avait démenti des informations des médias israéliens selon lesquelles il aurait d’ores et déjà pris la décision avec M. Nétanyahou d’attaquer l’Iran, malgré l’opposition des chefs de l’armée et du renseignement. Selon le journal israélien, la majorité des membres du "forum" des huit ministres les plus importants, est, elle aussi, opposée à une telle opération. Seuls MM. Nétanyahou, Barak et le ministre des affaires étrangères Avigdor Lieberman soutiennent "l’option militaire" contre l’Iran.

 

SI VOUS VOULEZ TRAVAILLER EFFICACEMENT, ARRÊTEZ LE MULTI-TÂCHES !

[Etienne Gless pour LEntreprise.com, publié le 05/10/2011]

Le "multitasking" – ou l’art d’accomplir plusieurs tâches à la fois – est un mythe de l’efficacité. Le cerveau ne sait faire bien qu’une seule chose à la fois. Conseils pour se rééduquer et redevenir vraiment productif sans se laisser submerger et déconcentrer par un trop-plein d’infos.

"Le cerveau n’est pas dessiné pour répondre aux multiples sollicitations du monde digital sursaturé d’informations instantanées." De qui ce constat ? D’un technophobe rétrograde ? Pas du tout. Il est dressé par un ancien ponte de Google, Douglas Merrill, ex-vice-président chargé des services d’information, et auteur de Getting Organized in the Google Era ("Soyez organisé à l’heure de Google", éditions Brodway Books). Ce livre d’efficacité personnelle, best-seller aux Etats-Unis, apprend aux cadres et employés à reprendre en main leur efficacité à l’heure où les joujoux high-tech multiplient les occasions de distraction et nuisent gravement à notre productivité !

Répondre au téléphone tout en écrivant un mail, converser avec un collaborateur tout en surfant sur le web pour vérifier une info, conduire en téléphonant… Ces comportements récents et quotidiens sont apparus avec l’ère digitale et répondent au nom barbare de "multitasking". Celui qui s’adonne à cet art d’accomplir plusieurs tâches en même temps peut facilement s’illusionner sur sa productivité réelle. "Le multitasking est en réalité un des grands mythes de l’efficacité !, dénonce Laurence Einfalt, directrice de Jara, conseil en efficacité, et coauteure de S’organiser tout simplement (éditions Eyrolles). Ça brille comme de l’efficacité mais ça n’en est pas. Croire qu’on est plus efficaceen faisant plusieurs choses à la fois est une erreur." Les scientifiques le confirment : selon Earl Miller, fameux neurologue au Massachusetts Institute of Technology (MIT), notre cerveau ne sait faire qu’une seule chose à la fois.

"Multitâche veut dire absence de concentration !, déplore Didier Pleux, psychologue clinicien. Avec les nouvelles technologies, il y a une hyperstimulation de l’enfant à l’école ou de l’adulte au travail. Il répond à tous ces stimuli au lieu de se concentrer sur la tâche prioritaire."

 

COMMENT VOUS DÉBARASSER DE L’UNIQUE "VIRUS" SUR MAC (BAILLE)

Vous allez sur un site et un pop-up vous dit "attention vous avez un virus, cliquez ici pour vous en débarasser"… faut vraiment être con pour cliquer.

De plus, si vous avez l’intelligence d’installer l’extension Web of Trust, vous serez averti de la présence de ce "virus" (pour faire simple) avant même d’arriver dessus… et c’est gratuit, contrairement aux outils de Intego qui a tout à gagner à vous faire paniquer…

Bref, six alertes virus/troyan en 15 ans, il n’y a pas vraiment de quoi se prendre le chou… mais bon, un nomme averti en vô deu.

[Rénald Boulestin - Silicon.fr - 26/05/2011]

Le cheval de Troie MacDefender a fait son apparition sur Mac OS X il y a de cela quelques semaines. C’est précisément le 2 mai qu’Intego, éditeur français de logiciels de sécurité Internet et de protection de données pour Mac OS X, l’a découvert. Il s’agit bien d’un cheval de Troie (trojan) et non d’un malware de type phishing (hameçonnage) ou encore d’un virus (il ne se reproduit pas de lui-même). Afin de ne pas l’installer sur votre machine, il convient de comprendre comment MacDefender se présente.

C’est en allant sur certains sites Internet que vous ferez sa rencontre. Une aide vous sera alors proposée pour effacer un prétendu virus qui aurait infecté votre système d’exploitation. Et c’est précisément en acceptant cette ‘aide’ que vous installerez le trojan MacDefender (qui peut également se présenter sous d’autres noms : MacSecurity ou encore MacProtector) si votre Mac tourne sous Mac OS X (10.4, 10.5 ou 10.6 selon le support d’Apple). Les hackers ont de surcroît utilisé des techniques de SEO (optimisation dans les moteurs de recherche) afin de positionner les sites malveillants qui l’exploitent en tête de nombreux résultats de recherche.

Dès lors, des fenêtres de type pop-up à caractère pornographique apparaîtront sporadiquement sur votre écran et malveillance ultime, vous serez invité à payer l’aide offerte par cet «anti-virus» en donnant votre code de carte bleue. Les consignes d’Apple pour éviter d’installer malencontreusement ce malware ou bien pour l’effacer se trouvent sur le site du support d’Apple. Quant à la mise à jour de Mac OS X, elle détectera automatiquement MacDefender et l’effacera. Elle avertira également les utilisateurs lorsque ceux-ci seront sur le point de télécharger le cheval de Troie.

MacDefender n’est pas le premier, ni le dernier, agent malveillant à sévir sur Mac OS X. On pense à AppleScript.THT (2008) et plus récemment à Boonana (octobre 2010). C’est le succès d’un système d’exploitation qui fait qu’il est plus ou moins «convoité» par les hackers. On le voit avec l’OS mobile Android de plus en plus victime de chevaaux de Troie, virus et autres escroqueries à l’hameçonnage.

http://www.silicon.fr/apple-reagit-face-au-cheval-de-troie-macdefender-52335.html

 

LES RÉVOLUTIONS ARABES… UNE FABRICATION DE LA CIA ?

On va pas se plaindre que – pour une fois – les USA dégomment des dictateurs ou bien poussent à la roue pour les dégommer. Le problème c’est de savoir où cela va s’arrêter. Car si on peut déclencher une "révolution Orange" ou bien une "révolution de Jasmin" pour provoquer un changement politique dans un pays, on peut aussi se servir des mêmes outils pour dégommer un gouvernement qui ne se conforme pas aux intérêts américains.

En 1972, la CIA a déclenché une grève des camioneurs et chauffeurs de bus pour faire tomber le gouvernement Allende au Chili qui avait nationalisé les mines de cuivre.

En 1972, alors que les USA avaient besoin de l’Australie comme base arrière pour le Vietnam, l’élection des travaillistes de Edward Gough Whitlam, opposés à la guerre, avait déclenché une campagne d’opinion pilotée directement par Henry Kissinger à Washington, pour faire tomber le gouvernement et le remplacer par des "amis des USA".

La manipulation, c’est un fusil qui peut aussi partir dans l’autre sens…

[Emmanuel Ratier - Faits & Documents n°315 - Mai 2011]

Quelques semaines après les « révolutions de jasmin » dans plusieurs pays du Maghreb, du Machrek, du Proche et du Moyen Orient, on commence à en savoir plus sur ce que nombre subodoraient : à savoir les interventions clandestines américaines dans le déclenchement (nullement spontané mais bien plutôt provoqué) de ces événements (cf. par exemple F&D 310, Le Manuel des émeutiers égyptiens) par le biais d’agents bien placés, de la formation de relais d’opinion et de l’utilisation des réseaux sociaux du type Facebook ou Twitter.

À la mi-avril, les médias révélaient, après des déclarations stupéfiantes de Michael Posner, sous-secrétaire d’État américain aux droits de l’homme, que l’administration fédérale américaine avait dépensé, depuis deux ans, 50 millions de dollars au développement de technologies visant à rendre anonymes les activistes pro-américains, avec des séances de formation pour plus de 5 000 militants.

Il indiquait que l’une d’entre elles avait été organisée six semaines auparavant (donc à la mi-février) dans un pays du Proche-Orient non précisé avec des « cyber-activistes » venus de Tunisie, d’Égypte, de Syrie et du Liban. il s’agissait donc bien d’une véritable armée clandestine payée et entraînée par les services secrets américains.

Comme l’indiquait par exemple La Correspondance de la presse (11 avril),

« les États-Unis, convaincus du rôle de la démocratie numérique, enseignent à des milliers de militants des droits de l’homme “à jouer au chat et à la souris” avec les régimes autoritaires sur l’internet et avec leurs téléphones portables. L’administration américaine aide notamment les militants à accéder aux technologies leur permettant de contourner les blocages du Web par les États, à sécuriser leurs textos et leurs messages vocaux et à empêcher les cyber-attaques contre leurs sites […]

Des responsables du département d’État ont expliqué qu’une des technologies en cours de développement, baptisée “signal d’alarme”, permettait aux militants d’effacer les listes de contact de leurs téléphones portables au cas où ils seraient arrêtés. Le département d’État a indiqué qu’il avait déjà financé des sociétés privées, la plupart américaines pour développer une dizaine d’outils destinés à contourner la censure mise en place par certains gouvernements. »

On apprenait aussi à cette occasion que l’un de ces outils avait été « très utile en Iran » et qu’il « se propageait partout au Moyen-Orient ».

Il s’agissait en fait de la confirmation des révélations du groupe Anonymous qui avait affirmé, à la mi-mars, que l’US Air Force avait mis au point (via les sociétés Booz Alen Hamilton et Ntrepid) un logiciel permettant la collecte et la diffusion d’informations sur des réseaux sociaux, avec la création et la gestion de multiples fausses identités numériques immergées dans des réseaux comme Facebook.

Ces manipulations s’inscrivaient dans des programmes plus anciens de manipulation des esprits, telle la chaîne de télévision Barada TV, installée à Londres et diffusée en direction de la Syrie, qui a été financée, selon des documents diplomatiques américains rendus publics par Wikileaks, à hauteur de 6 millions de dollars depuis 2006, via le fantomatique Mouvement pour la justice et le développement.

De même le New York Times révélait au même moment le rôle de pseudos ONG (organisations non gouvernementales) comme Freedom House, installée à Washington, le National Democratic Institute ou l’International Republican Institute, financées par l’État américain, dans « le financement et la formation des militants pro-démocratie dans la région » (NDA : Proche et Moyen Orient).

Il faudra bien un jour s’interroger sur l’irruption soudaine sur la scène publique d’« inconnus charismatiques, parfaitement formés aux meilleures techniques de la propagande (sanglots à l’appui en direct à la télévision) comme l’Égyptien Wael Ghoneim, directeur marketing de Google pour le Proche-Orient (et marié à une Américaine), à l’origine de la révolte lancée sur Facebook avec son groupe Nous sommes tous des Khaled Saïd.

http://www.faitsetdocuments.com

 

INTERNET BULLSHIT: QUAND LES MEDIAS S’EMPARENT DU NET, C’EST SOUVENT TRÈS LOL !

<< Ah merde, c’est protégé par un code très puissant… Doubleuh-vé-pé-ah… on peut pas craquer ça… c’est du lourd !!!>>
Trop forts les nouveaux pirates de l’informatique !!!!

[Ecrans.fr - 09/04/2011]

Quand les médias s’emparent du Net et des technologies, c’est souvent très drôle à force de caricature. Exemple avec un reportage de Canal+ qui met en scène un petit groupe de pseudo pirates pas particulièrement doués. C’est la rubrique «Internet Bullshit» de la semaine, extraite de l’émission d’Ecrans.fr, à retrouver en intégralité ici.

http://www.liberation.fr/medias/06013422-vu-a-la-tele-les-pirates-de-tous-les-cliches?xtor=EPR-450206

 

LES CYBERCRIMINELS VENDENT DES KITS D’ATTAQUE "AS-A-SERVICE"

Trop facile ! Le malware c’est une industrie sérieuse maintenant…

[Le Monde du cloud - 29/03/2011 -  Jean Elyan / IDG News Service]

Les cybercriminels ont entrepris de détourner le modèle de software-as-a-service des offres Cloud pour vendre des kits de piratage complets. Ils proposent même de l’hébergement et font payer les clients en fonction du temps effectif pendant lequel leurs attaques infectent les ordinateurs ciblés.

Ces kits vendus sont composés d’une variété de techniques de piratage, ou séquences de codes, capables de tirer parti des failles logicielles afin de les infecter par des programmes malveillants. Des chercheurs de Seculert ont trouvé au moins deux kits – Incognito 2.0 et Bomba – livrés avec leur propre solution d’hébergement et leur interface de gestion. « Le nouveau business model rend la tâche facile aux cybercriminels qui pouvaient avoir certaines difficultés à sécuriser leur hébergement ou à trouver des FAI prêts à héberger leurs serveurs malveillants, » dit Aviv Raff, CTO et cofondateur de Seculert. L’entreprise offre un service cloud spécialisé chargé d’alerter les clients sur les logiciels malveillants en circulation, les exploits et autres cyber-menaces.

Les offres globales sont destinées aux criminels qui souhaitent atteindre un grand nombre d’ordinateurs tournant sous Microsoft Windows. Une fois les ordinateurs piratés, les machines peuvent être utilisées pour voler des données personnelles, envoyer des spams, mener des attaques par déni de service ou à d’autres choses encore. C’est aussi moins cher. Les clients ne payent que le temps pendant lequel leurs attaques sont actives. « Autrement dit,  si pour une raison ou une autre le FAI décide de fermer les serveurs pirates, ils n’ont rien à payer, » explique le CTO de Seculert. Celui-ci a estimé que ce type d’hébergement et de service coûtait entre 100 et 200 dollars par mois. «Tout est géré par le prestataire de services, » indique Aviv Raff. « Le client ne paye que pour le temps pendant lequel ses attaques sont hébergées. Nous ne connaissons pas les tarifs exacts, mais comme pour n’importe quel autre service cloud, il est clair que cette offre revient beaucoup moins cher que l’achat séparé d’un kit et de son hébergement, » a t-il dit.

Les clients doivent fournir leurs propres malware constituant les exploits à diffuser. Ils doivent également prendre en charge le piratage des sites web à partir desquels ils veulent rediriger leurs victimes vers le serveur malveillant hébergé par les opérateurs d’Incognito. Quand une victime potentielle visite l’un des sites web infecté, une balise iframe active le transfert de contenu à partir des serveurs Incognito d’où sont menées plusieurs attaques contre les machines en vue de réussir une ou plusieurs intrusions.

Les réseaux sociaux et l’actualité comme planche d’appel

Jusqu’à présent, Seculert a dénombré qu’environ 8 000 sites légitimes avaient été piratés et touchés par des exploits hébergés par Incognito. « Certaines victimes sont infectées quand elles vont visiter ces sites selon un mode de navigation normale, » explique Aviv Raff. Les pirates ont également mené des campagnes de spam pour tenter d’attirer les internautes vers ces sites infectés. Comme l’a récemment remarqué Seculert, un de ces messages prétendait venir de Twitter, manifestant son soutien au Japon et invitant les gens à cliquer sur un lien pour voir une vidéo des réacteurs de la centrale de Fukushima endommagée par le tsunami. En réalité, le lien de ce faux message ne débouchait sur aucune vidéo. Au lieu de cela, un cheval de Troie était téléchargé et installé sur l’ordinateur, dans le cas où celui-ci présentait une vulnérabilité logicielle.

« Incognito 2.0 fournit une interface de gestion basée sur le web qui permet aux clients de vérifier combien d’ordinateurs ont été infectés et quel type d’exploit a été utilisé, » ajoute le CTO de Seculert qui a posté des captures d’écran sur son blog. Incognito 2,0 semble en pleine croissance : les chercheurs de Seculert ont pu établir après analyse de son infrastructure, qu’au moins 30 clients utilisaient la plate-forme pour installer toute sorte de malware, depuis le Trojan Zeus de piratage des comptes bancaires, jusqu’aux faux logiciels antivirus et aux chevaux de Troie génériques qui provoquent le téléchargement et l’installation d’autres logiciels malveillants sur un ordinateur infecté. Sur une quinzaine de jours en janvier, au moins 150 000 machines ont été touchées : environ 70 % de ces ordinateurs ont été infectés avec un exploit utilisant une vulnérabilité dans l’environnement d’exécution Java, et 20 % en profitant d’une faille dans Adobe Reader.

http://www.lemondeducloud.fr/lire-les-cybercriminels-vendent-des-kits-d-attaques-as-a-service-33283.html

 

LA CLÉ USB COMME OUTIL D’ESPIONNAGE

[Bakchich - Lundi 20 décembre 2010 par AMÉDÉE SONPIPET]

L’Institut des hautes études de défense nationale constate que les entreprises françaises négligent toujours les risques d’attaques informatiques. On ne se méfiera jamais assez des clés USB  !

Il n’y a rien de plus facile que de s’introduire dans une réception, un cocktail ou dans le hall d’entrée d’une entreprise et d’y déposer négligemment une dizaine de clés USB sur les tables. Ensuite, parions qu’au moins un employé ramassera l’une d’elles, surtout si celle-ci possède un logo amusant, et la branchera un peu plus tard sur son ordinateur.

Or cette clé USB contient un logiciel espion qui avalera les mots de passe, volera des gigaoctets d’informations, lancera des applications sans rien installer sur la machine hôte et accédera à l’Intranet de la société. Ce n’est pas un scoop : depuis des années, les clés USB sont un véritable cauchemar pour les responsables de la sécurité. Mais pour qu’une démonstration, organisée à Paris par l’Institut des hautes études de défense nationale le 25 novembre, soit faite en direct par un ingénieur de la Direction générale de l’armement lors d’une table ronde intitulée « Guerre froide sur le Net », il faut croire que l’information passe toujours aussi mal dans les petites et moyennes entreprises !

Pendant la démonstration, devant des officiers supérieurs et des responsables de la sécurité de grands groupes comme Thales ou Capgemini, on a pu voir une clé USB prendre le contrôle d’un ordinateur, mais aussi de sa webcam. En prime, le logiciel espion récupérait l’image et le son de sa victime grâce au téléphone posé, comme souvent, à côté de l’ordinateur. « Les petites et moyennes entreprises ne disposent pas d’assez de moyens pour investir dans la sécurité des systèmes d’information, ni de personnels formés et compétents en la matière », déplore le sénateur Roger Romani, auteur d’un rapport intitulé Cyberdéfense : un nouvel enjeu de sécurité nationale. Cette situation est d’autant plus préoccupante que les PME sont confrontées à « la nécessité d’ouvrir de plus en plus leurs réseaux pour communiquer avec leurs partenaires ».

Mais il n’y a pas que les entreprises qui se montrent négligentes. Roger Romani, ancien ministre et membre de la commission des Affaires étrangères, de la Défense et des Forces armées au Sénat, a révélé que les services diplomatiques français avaient récemment été piratés. « Non seulement nous ignorons l’origine de l’attaque, mais personne ne s’est aperçu de rien. C’est un pays ami qui a alerté la France ! » raconte-t-il. Sans rire.

http://www.bakchich.info/La-cle-USB-comme-outil-d,12694.html

 

LES BOTNETS, ENNEMIS JURÉS DE L’EUROPE: COMMENT LES NEUTRALISER ?

[Silicon.fr - 0803/2011]

Deux rapports signés de l’Agence de cyber-sécurité de l’Union européenne donnent les clés pour lutter efficacement contre les botnets. Les Etats membre sauront-ils les appliquer?

L’Agence de cyber-sécurité de l’Union européenne, (Enisa), vient de publier un rapport sur les menaces exercées par les botnets, ces réseaux d’ordinateurs infectés, pilotés à distance par des cyber-criminels pour lancer campagnes de spams, diffuser des malwares destinés notamment à voler des données personnelles stockées sur des PC contaminés, ou encore lancer des attaques massives contre des portails d’entreprises.

La nouvelle étude, intitulée Botnets: Measurement, Detection, Disinfection and Defence , distille un certain nombre de recommandations à tous les acteurs concernés par la sécurité IT (entreprises, administrations, organisations gouvernementales, particuliers) et surtout par la lutte contre les botnets, rapporte ITespresso.fr. Elle permet avant tout de mieux comprendre comment évaluer les menaces des réseaux de PC zombies et les moyens à mettre en oeuvre pour les contrecarrer.

Ce rapport met notamment en exergue 25 bonnes pratiques visant à attaquer les botnets sur tous les fronts : neutraliser les cyber-réseaux criminels existants, empêcher de nouvelles infections et minimiser la profitabilité du cyber-crime utilisant ces botnets. L’ensemble des recommandations proposées par l’Enisa couvrent les aspects juridiques, politiques et techniques de la lutte contre les botnets et donnent des recommandations ciblées en direction des différents publics concernés par les luttes contre les réseaux de PC zombies.

Ainsi, l’Agence précise les mesures de défense autorisées dans chaque Etat membre, des mesures visant à encourager les utilisateurs à protéger leurs ordinateurs contre les botnets, et met en avant des programmes de notification par les FAI aux clients infectés. Dans un second rapport, baptisé Botnets : 10 Tough Questions, l’Enisa fait le point sur les défis à relever par les Etats pour lutter contre la prolifération de botnets.

Etabli suite aux consultations menées par l’Agence de cyber-sécurité de l’Union Européenne avec des FAI, des chercheurs en sécurité IT, avec des CERT (Computer Emergency Response Team), des équipes d’intervention en urgences informatiques, et des éditeurs de sécurité, ce rapport soulève et tente de répondre à certaines question jugées prioritaires, comme « Dans quelle mesure pouvons-nous faire confiance aux chiffres publiés sur les botnets? », « Quel est le rôle des gouvernements dans la lutte contre les botnets? », ou encore « Que doit faire la législation? ».

http://www.silicon.fr/les-botnets-ennemis-jures-de-leurope-47029.html

 

ECOUTEZ LES CONVERSATIONS DES TÉLÉPHONES PORTABLES GSM POUR MOINS DE 50 EUROS

[Les Mots ont un sens - 07/01/2011]

Le 28 décembre 2010, deux chercheurs allemands bien inspirés ont démontré que quatre téléphones mobiles ordinaires couplés à un ordinateur portable et quelques logiciels open source suffisaient pour sniffer le réseau GSM… Intercepter les communications et pirater les téléphones mobiles pourrait bien rapidement devenir un jeu d’enfants…

Que la sécurité du réseau GSM soit aussi efficace qu’une passoire, on le savait. Mais jusqu’à présent, jouer les James Bond 2.0 nécessitait du matériel pointu, et onéreux. Dépenser de 30 à 40 000 euros pour se payer le luxe d’écouter sa voisine… c’est un peu cher (enfin, tout dépend de la voisine). Mais le 28 décembre dernier, les choses ont radicalement changé : lors du 27ème congrès du Chaos Computer Club (CCC), le rendez-vous annuel des hackers du monde entier, deux chercheurs allemands ont démontré en quelques minutes qu’un matériel rudimentaire à moins de 50€ (ordinateur portable non compris) pouvait suffire…

Première étape. Karsten Nohl et Sylvain Munaut ont découvert comment, en quelques clicks, localiser n’importe quel téléphone mobile à l’échelle d’une ville ou d’un pâté de maison, selon la densité des antennes relais de la zone. Une précision suffisante pour qu’une barbouze en herbe puisse se rendre sur place. Deuxième étape : par l’envoi d’un SMS silencieux, la clé de cryptage du téléphone est crackée en une vingtaine de secondes. Il ne reste plus alors qu’à "sniffer" le réseau et intercepter les communications téléphoniques et SMS échangés par ce téléphone. De la belle ouvrage…

Les chercheurs soulignent qu’une des clés de cryptage utilisées pour la communication entre le téléphone et l’opérateur est bien protégée, "parce qu’elle protège leurs intérêts monétaires". L’autre clé l’est bien moins, "car elle protège seulement votre vie privée". Ils ont aussi précisé que les vulnérabilités mises à jour pourraient rapidement être supprimées par les opérateurs… Mais est-ce que ça les intéresse vraiment ?

http://www.lesmotsontunsens.com/gsm-un-systeme-d-ecoute-illegal-a-moins-de-50-8845

 

SALOPARD: NON SEULEMENT JULIAN ASSANGE EST UN VIOLEUR, MAIS EN PLUS IL PIQUE LES SOUS DES PRISONNIERS…

J’vous l’dis… l’a pas l’air net ce mec… violeur, voleur, anti-américain primaire, z’allez voir qu’on va découvrir qu’en plus il a des photos pédos ou nazos sur son disque dur ou qu’il va aux spectacles de Dieudonné. La grande campagne "essuyons nous les pieds sur Assange " est lancée… c’est super subtil, comme d’hab’…

[Gregor Seither - -IES News Service -  09/12/2010]

Dans l’affaire  Wikileaks, tout le monde ne parle que de Julian d’Assange mais celui-ci ne serait rien sans le brave trouffion de la US Army, le geek-soldat Bradley Manning, agé de 23 ans, qui est enfermé depuis plusieurs mois, en quartier haute sécurité, à l’isolement, sur la base des Marines de Quantico en Virginie.

Manning – analyste militaire qui avait accès aux réseaux sécurisés – s’était vanté d’avoir fourni la plus grande partie des "War Logs" (ainsi que probablement les "Cable Logs" diplomatiques)  qui ont ensuite été publiés par Wikileaks. Il a été arrêté en mai dernier et encourt plus de 50 ans de prison pour "publication de documents relevant du secret défense".

Manning aurait prétendument expliqué à un journaliste, ainsi qu’au hacker Adrian Lamo, avec qui il avait sympathisé, qu’il aurait publié la vidéo titrée Collateral Murder du raid aérien du 12 juillet 2007 à Bagdad. Lamo ayant eu par le passé des ennuis avec la justice américaine, prit peur, craignant d’être de nouveau suspecté pour complicité. Il le dénonça alors au FBI et envoya également une copie de ses discussions par Mails avec le jeune soldat au magazine Wired, qui en publia des extraits.

L’organisation de soutien à Bradley Manning (
http://www.bradleymanning.org/fr
) ’a rassemblé plus de 90,000 US$ pour financer sa défense… mais pas un centime de cette somme ne provient de Wikileaks – contrairement à ce qui avait été promis. Le comité légal de Manning vient de le confirmer dans une déclaration:

"Immédiatement après l’arrestation de Bradley, soit en juin 2010, le réseau de lanceurs d’alertes Wikileaks avait publiquement lancé des appels aux dons pour financer la défense légale de Bradley Manning. En Juillet 2010, l’organisation Wikileaks elle-même s’est engagée à contribuer une ‘somme substantielle’ afin d’aider Bradley a assurer sa défense et embaucher des avocats

Depuis que Bradley a choisi David Coombs comme avocat, en aout 2010, l’association Bradley Manning Support Network n’a pas été en mesure d’obtenir de la part de l’organisation Wikileaks qu’elle concrétise son engagement.

Nous nous voyons donc obliger de clarifier aujourd’hui que – à l’heure actuelle – nous n’avons pas reçu le moindre argent de la part de Wikileaks en soutien à Bradley Manning. Nous serions ravis de recevoir toute contribution que Wikileaks voudra bien nous faire, mais nous nous devons d’informer nos supporters que celle-ci ne nous est pas encore parvenue et que nous n’avons reçu aucune assurance de la part de Wikileaks quand au versement d’une telle contribution. Bradley a donc besoin de votre soutien et de vos contributions financières, cela est crucial pour lui."»…

http://www.bradleymanning.org/15585/bradley-manning-support-network-accepts-responsibility-for-all-expenses-to-defend-accused-wikileaks-whistle-blower/

 

TOI AUSSI PARTICIPE A LA CYBERGUERILLA CONTRE LES FORCES DU MAL QUI S’EN PRENNENT À WIKILEAKS

Pour télécharger LOIC, allez voir sur The Pirate Bay (ou un autre site du genre)

http://thepiratebay.org/tag/Operation+Payback

et téléchargez la dernière version du programme LOIC. Lancez le programme, configurez le serveur en  loic.AnonOps.net sélectionnez le canal #loic et le mode  "hivemind mode". Allez vous faire une tasse de thé, c’est parti !

WikiLeaks : LOIC, l’outil clé en main de l’"Opération riposte"

[Le Monde - 09/12/2010]

Attaques contre le blog du service de paiement en ligne, PayPal, ou contre les sites de Visa et MasterCard. Pour protester contre le gel des comptes de WikiLeaks, des pirates informatiques ont lancé une "Opération riposte" sur le Web. Certaines de ces attaques semblent avoir été facilitées par un nouveau logiciel, mis à disposition par un groupe de pirates se faisant appeler Anonymous.

Baptisé LOIC (Low Orbit Ion Cannon), en référence au film La Guerre des étoiles, le programme, dont la première version était disponible dès la fin 2009 en téléchargement, est pensé comme un outil, clé en main, permettant de participer à une cyber-attaque, sans la moindre compétence informatique. Dans l’interface du programme, l’utilisateur n’a qu’à indiquer l’adresse URL "cible" du site Web qu’il compte attaquer.

LOIC est même disponible sur toutes les plates-formes informatiques, qu’il s’agisse de Windows, de Mac ou de Linux. Sur certains sites où LOIC est disponible, le logiciel a été téléchargé plusieurs centaines de fois.

Pour faire aboutir des attaques de "déni de service" (DDOS), qui visent à saturer de requêtes les serveurs des sites visés par l’attaque, les pirates informatiques utilisent un "serveur maître" commandant à des "réseaux de robots" ("botnets") parfois composés de centaines de millions d’ordinateurs. Les pirates réunissent généralement cette cohorte de machines "zombies" en infectant les machines mal protégées, par des programmes malfaisants. D’après les observations de l’éditeur d’antivirus Symantec, aucun réseau de robots d’envergure n’a été utilisé dans les attaques récentes.

Avec LOIC, ce sont les utilisateurs du programme eux-mêmes qui constituent "‘un réseau de robots’ volontaires", permettant une attaque coordonnée. Avec la fonctionnalité "hive mind" ("esprit de ruche"), ceux qui installent LOIC consentent à ce que leur ordinateur soit contrôlé à distance.

Les internautes qui utilisent ce programme encourent-ils des risques vis-à-vis des autorités ? "Les chances de se faire prendre sont proches de zéro", assurent les concepteurs. En cas d’éventuel problème, Anonymous invite les utilisateurs de LOIC à déclarer que leur machine a été infectée par un virus.

http://www.lemonde.fr/documents-wikileaks/article/2010/12/09/loic-l-outil-cle-en-main-de-l-operation-riposte_1451405_1446239.html#xtor=EPR-32280229-%5BNL_Titresdujour

 

LES HACKERS DÉGOMMENT LA BANQUE QUI A CENSURÉ WIKILEAKS

WikiLeaks: site web de Postfinance victime de pirates informatiques

[Romandie.com - 7/12/2010]

Les sympathisants du fondateur de Wikileaks Julian Assange, arrêté à Londres, ont bloqué mardi la page internet du site Postfinance. Les "hackers" ont réagi ainsi à la décision prise lundi par l’entreprise de fermer le compte de M. Assange.

La page internet de Postfinance est en dérangement depuis lundi soir à 22h30. Mardi en début de soirée, l’accès ne fonctionnait que très partiellement, a déclaré à l’ATS, Alex Josty, porte-parole.

Il ne s’agit pas d’un problème de sécurité. Les paiements ne sont pas menacés car les hackers n’ont aucun accès aux comptes, a ajouté le porte-parole de Postfinance qui a dû faire face à de nombreuses réactions de clients mécontents.

Postfinance se console en disant que l’attaque intervient en début de mois alors qu’en décembre, la majorité des paiements a lieu entre le 25 et 30 décembre. Qui a des paiements urgents peut toujours se rendre dans un bureau de poste ou faire des ordres de paiement par écrit, précise l’établissement.

Dès le début des perturbations, la filiale bancaire du géant jaune a augmenté les capacités de son site mais cela n’a pas suffi, a précisé le porte-parole. La fin du dérangement n’est pas prévisible, car il y a toujours des vagues d’attaques.

Les paiements déjà enregistrés sur le web ne sont pas concernés par les attaques des hackers. Le Parti pirate suisse s’est distancié, dans un communiqué publié sur sa page Internet, des attaques contre Postfinance.

Postfinance a décidé lundi de bloquer le compte de Julian Assange après avoir découvert des données incorrectes sur son domicile. Le fondateur de Wikileaks, détenteur d’un passeport australien, avait déclaré habiter Genève.

http://www.romandie.com/infos/ats/display.asp?page=20101207204035230172019048164_brf069.xml&associate=phf9125

 

AVENGE ASSANGE : LES ANONYMOUS S’APPRETENT A VENGER JULIAN ASSANGE

[Bluetouff - 05/12/2010 ]

L’information commence à circuler, lesanonymous seraient en train de préparer une attaque coordonnée de représailles envers ceux qui veulent la tête de Julian Assange. Le site de Wikileaks est toujours victime d’attaques par déni de service, on se doute bien que les anonymous utiliseront donc la même méthode que les personnes qui cherchent à faire taire Wikileaks.

 

AVENGE ASSANGE : LES ANONYMOUS S'APPRETENT A VENGER JULIAN ASSANGE

On se doutait bien que le gouvernement américain, Amazon, Paypal, ou EveryDNS, et surement aussi un peu Éric Besson, en France, avaient émis des signaux assez négatifs. Pierre Chappaz parled’infowar, on est en plein dedans. Reste maintenant à savoir quelles seront les cibles effectives des anonymous et plus globalement d’une population d’internautes qui pourraient, à la veille des fêtes de Noel, se passer le mot pour boycotter Amazon qui ne fait pas que du cloud. La censure de Wikileak va être complexe, on le savait, voici maintenant la seconde phase de l’effet Streisand : la guerilla numérique.

Il y aura un avant, et un après Wikileaks.

http://bluetouff.com/2010/12/05/avenge-assange-les-anonymous-sappretent-a-venger-julian-assange/

 

ON VA MANQUER D’ADRESSES IP !!!! (faites des stocks)

L’IPcalypse est proche

par François Arias – Libération – Ecrans – 03/12/2010]

Certaines parties du réseau Internet commencent logiquement à accuser leur âge. Mais l’une des plus centrales, l’adresse IP dans sa version 4 (IPv4), n’en a plus que pour quelques semaines. Son remplaçant, l’IPv6, est théoriquement prêt depuis près de 10 ans. Mais faute de préparation de la part des opérateurs, on se dirige vers l’IPcalypse : une pénurie d’adresses IP.

Petit rappel : une adresse IP est attribuée à tout appareil qui se connecte a Internet. Il en existe deux types : les adresses publiques, qui sont uniques et utilisées pour communiquer avec Internet et les privées qui sont employées sur un réseau local. Dans l’objectif de limiter l’usage d’adresses publiques, une technique nommée routage NAT a été développée. Elle permet à plusieurs adresses privée de partager une adresse publique unique.

 

DES PIRATES PRENNENT LE CONTROLE D’UN MILLION DE TELEPHONES PORTABLES

[Le Quotidien du Peuple - Edition française - 10/11/2010]

Plus d’un million d’utilisateurs chinois de téléphones portables ont à leur insu envoyé des messages spam, pour un cout quotidien estimé à deux millions de yuans (300 000 dollars), après que leurs téléphones eurent récemment été infectés par un logiciel malveillant.

Le logiciel zombie, dissimulé à l’intérieur d’un faux antivirus, envoie les informations de la carte SIM aux pirates, qui peuvent ensuite prendre à distance le contrôle du téléphone pour envoyer des adresses URL aux personnes présentes sur le carnet d’adresses de l’utilisateur.

Il s’agit le plus souvent de liens publicitaires générant de l’argent en fonction du nombre de clicks. Les destinataires du message qui cliquent sur le lien se retrouvent infectés à leur tour, contribuant à répandre ainsi rapidement le virus, a rapporté hier la Télévision centrale de Chine. Selon un rapport publié par le Centre technique national de mesures d’urgence pour les réseaux informatiques, ce virus a fait un million de victimes durant la première semaine de septembre.

Des virus semblables ont depuis fait leur apparition. Une entreprise de Beijing spécialisée dans la sécurité pour téléphones portables a notamment découvert depuis septembre dix autres logiciels malveillants similaires, dont certains sont capables de contourner les antivirus.»…

http://french.people.com.cn/VieSociale/7194155.html

 

FIRESHEEP, L’EXTENSION FIREFOX QUI VOUS PERMET D’ESPIONNER LES RÉSEAUX SOCIAUX

[François Arias - Ecrans.fr - Libération - 26/10/2010]
FireSheep : peur sur les réseaux Wifi

Une fois connecté à son réseau social préféré, est-on en sécurité, à l’abri des petits malins qui en veulent au sacrosaint couple login/mot de passe ? Eric Butler, un développeur indépendant de Seattle a prouvé le contraire grâce à une extension Firefox nommée FireSheep.

Cette extension permet de se connecter sur les comptes (Facebook, Google, Twitter, … rayez les mentions inutiles) utilisés par des personnes présentes sur le même réseau WiFi ouvert. En bref pour peu qu’on se connecte, n’importe qui utilisant Firesheep peut aussi se connecter. La quantité d’informations potentiellement accessibles dans un réseau public (café, bibliothèque, mairie …) est donc extrêmement importante. Les sites pris en charge sont nombreux : Amazon.com, Basecamp, bit.ly, Cisco, CNET, Dropbox, Enom, Evernote, Facebook, Flickr, Github, Google, HackerNews, Harvest, Windows Live, NY Times, Pivotal Tracker, Slicehost, tumblr, Twitter, WordPress, Yahoo et Yelp. Et il est même possible d’en ajouter d’autres avec quelques connaissances techniques.

Eric Butler n’a pas créé cette application pour faciliter les activités répréhensibles (comme le détournement de compte Twitter ou Facebook, véritable fléau du monde du travail), mais pour mettre sous le feu des projecteurs les graves lacunes de sécurité qui touchent de nombreux sites.

 

UN VRAI FILM D’ESPIONNAGE : "BONJOUR, C’EST JULIEN ASSANGE"

[Nicolas Voisin - OWNI - 23/10/2010]

Le samedi 8 octobre, à 19h30, Nicolas Voisin, directeur de la publication d’OWNI, reçoit un mail à l’adresse ‘contact@owni.fr’. Quelqu’un demande à parler en urgence aux développeurs de l’application Warlogs que nous avions réalisée fin juillet, lors de la publication de plus de 75,000 documents concernant la guerre en Afghanistan. Comme j’avais coordonné le boulot pour OWNI sur ce projet, il me le fait suivre.

« Dear Madam or Sir
I am trying to find the person who did this project: http://app.owni.fr/warlogs/?lang=EN. I am trying to find the technical people who actually put it together.
I would very much like their personal email as I have a very interesting proposition for them which I am sure they will want to hear about.
I look forward to your response.
Kind regards »

Croyant d’abord à une requête de journaliste, je m’apprête à mettre le mail de côté pour y répondre plus tard. Par acquis de conscience, je vérifie quand même le nom de domaine de l’expéditeur, un certain Sunshine Press. Surprise, Wikipédia m’indique que Sunshine Press est l’organisation qui a mis sur pied le site Wikileaks, en 2006. Ça commence à devenir sérieux.

Après quelques échanges de mails, j’en ai la confirmation. Un numéro anglais appelle sur mon portable. C’est Julian Assange, le porte-parole de Wikileaks, au bout du fil. Pour donner quelques éléments de contexte, imaginez quand même que nous avons des posters d’Assange affichés dans l’open-space de la soucoupe¹, non sans humour, mais ce contexte est « roi ». Mon niveau d’émotion était alors à peu près aussi élevé que celui d’une ado parlant à Justin Bieber. Je caricature, mais ce sera le dernier instant de légèreté.

Le rendez-vous est fixé. Ce sera mardi 12, dans un bar londonien. On s’embarque donc dans l’Eurostar à destination de St Pancras, Pierre Romera, développeur principal de l’application warlogs et moi-même. Une fois sur place, après 15 minutes d’une attente plus stressante que celle des résultats du bac, on nous mène vers le studio où l’équipe d’Assange se prépare à sa nouvelle action. Les bureaux, partagés avec l’une des grandes organisations journalistiques londonienne, ne ressemblent pas vraiment au local surprotégé qu’on aurait pu imaginer.

Julian Assange est beaucoup moins intimidant en vrai, sans son costume gris et ses longs cheveux blancs bien peignés. Ceci-dit, même s’il n’avait qu’une veste en cuir, des cheveux courts et en pétard et revêtait une barbe de 3 jours, nous n’en menions pas large. Une équipe de 23 ans de moyenne d’âge venue parlementer avec l’homme qui fait trembler le Pentagone, cela avait quelque chose de cocasse.

« Nous avons le même set de données que la dernière fois, mais plus gros. Et pour un autre pays, » commence Assange [toutes les citations sont de mémoire]. « Nous avons beaucoup aimé l’application de crowdsourcing que vous avez réalisé et nous nous demandions si vous pouviez faire la même chose, avec cette fois-ci un peu d’avance. » Combien d’avance? « 6 jours. » Ah.

Conscients des critiques dont avait été victime la fuite afghane – les noms de certains informateurs des armées d’occupation avaient été laissés en clair dans les documents – nous lui demandons si des mesures ont été prises pour retirer les données risquant de mettre des vies en danger. « Tous les noms ont été retirés », affirme-t-il. « Ce qui n’empêchera pas les critiques de fuser, » prévient, goguenard, l’une des personnes travaillant dans la pièce.

 

INTERVIEW DE MIKAEL VIBORG (THE PIRATE BAY, WIKILEAKS)

[Bakchich - 13/10/2010]

Militant radical de la liberté d’expression, Mikael Viborg, l’hébergeur de Wikileaks ou de Pirate Bay, répond à nos questions sur la protection des sources, Julien Assange, le procès de Pirate Bay… et Hadopi.

On connaît désormais un peu mieux Julien Assange, le fondateur de Wikileaks, qui, après la publication de 77 000 documents confidentiels sur la guerre d’Afghanistan a réussi à se faire pas mal d’ennemis.  On connaît moins Mikael Viborg, ancien membre de l’équipe du site de téléchargement Pirate Bay, aujourd’hui patron de l’hébergeur suédois PRQ. Ce dernier, installé en Suède, revendique une position militante sur les thèmes de la liberté d’expression, de la protection des sources journalistiques, et de l’anonymat des internautes. Il héberge les sites de Wikileaks, de Pirate Bay mais aussi des sites rebelles tchétchènes ou encore des forums pédophiles.

Alors que se poursuit le procès en appel de Pirate Bay – le procureur vient de demander la confirmation de la peine d’un an de prison ferme prononcée en première instance, en avril dernier – et tandis que Wikileaks s’apprête à publier de nouveaux documents sur la guerre en Irak, Mikael Viborg nous a accordé un entretien.

Pouvez vous vous présenter ?

Je suis le principal propriétaire et dirigeant de PRQ. J’ai un master suédois en droit et je suis le porte-parole de l’entreprise pour tout ce qui concerne le droit, la politique et la stratégie de l’entreprise. En ce qui concerne notre approche, nous avons adopté une politique d’indépendance vis-à-vis des entités privés et des autorités, dans la mesure où les lois suédoises le permettent. On ne filtre, censure ou surveille pas nos clients d’aucune manière. On ne garde aucune adresse IP pas plus que des informations sur les entreprises avec lesquelles nous travaillons. On ne conserve qu’un email pour la facturation. Tous nos services sont payables a l’avance et nous n’accordons pas de crédit pour nos services. On se bat pour tous les sujets relatifs à la liberté d’expression ainsi que pour chaque action qui permettrait d’accroître la transparence des gouvernements (Wikileaks en est un exemple). L’entreprise a été fondée sur l’idée que la liberté d’expression et le respect de la vie privée sont des droits qui ne peuvent être restreints mais qui sont au contraire des droits fondamentaux qui garantissent la démocratie et le débat.

Quand avez-vous fondé PRQ ?

Le site a été fondé juste après le fameux « raid » sur Pirate Bay de 2007

 

HACKER LES RÉSEAUX DE DISTRIBUTION ÉLECTRIQUE… AMUSANT ET PROFITABLE

[Kevin Bullis - MIT Technology Review - 07/10/2010 - Trad. Gregor Seither]

Des assaillants pourraient manipuler des systèmes de données mal protégés pour s’enrichir ou bien pour causer des coupures d’électricité. La technologie utilisée (aux Etats-Unis NdT)  pour gérer les réseaux de distribution d’électricité est vieille de plusieurs décennies et est en conséquence vulnérable aux attaques et aux manipulations, selon une étude publiée cette semaine.

Il serait facile pour des assaillants de manipuler les données de contrôle du réseau en pénétrant par effraction dans des sous-stations et en interceptant des communications entre les sous-stations, les opérateurs du réseau et les fournisseurs d’électricité. Ces données sont utilisées par les opérateurs du réseau pour définir les prix de l’électricité et gérer l’offre et la demande, ont expliqué les chercheurs. Un hacker travaillant pour un spéculateur dans le domaine de l’énergie pourrait gagner des millions de dollars, aux frais du consommateur, en s’introduisant dans le réseau et en faisant varier des prix de l’électricité de manière arbitraire. Il pourrait également rendre le réseau instable et causer des coupures généralisées d’électricité en certains points du réseau.

Lors d’une conférence donnée à l’occasion de la rencontre IEEE SmartGridComm2010 à Gaithersburg, (Maryland), le professeur adjoint en ingénierie électrique et informatique Le Xie, de  à la Texas A&M University a expliqué que ce type d’attaques serait difficiles à tracer , étant donné que ces vulnérabilités existent sur le réseau depuis plusieurs dizaines d’années. Mais, expliquent les experts, la menace à eu tendance à se renforcer ces dernières années étant donné que de nombreuses sous-stations sont désormais entièrement automatisées et n’ont plus de personnel humain sur place, ce qui en simplifie l’accès par effraction pour un assaillant. De plus, la migration en cours vers un "réseau intelligent" basé sur des standards ouverts rend encore plus  facile l’interception et la manipulation des données échangées par les utilitaires ou bien la prise de contrôle à distance de ces utilitaires.

[La suite en anglais] How to Hack the Power Grid for Fun and Profit

http://www.technologyreview.com/energy/26472/?nlid=3603

 

FRENCH-ECHELON: LES GRANDES OREILLES À LA FRANÇAISE

Frenchelon: la DGSE est en “1ère division”

[Jean-Marc Manach - BugBrother - 02/10/2010]

Invité par l’Association des Réservistes du Chiffre et de la Sécurité de l’Information (Arcsi), Bernard Barbier, le “directeur technique” de la Direction Générale de la Sécurité Extérieure (DGSE), a levé une partie du voile sur le fonctionnement des “grandes oreilles” de la “grande muette“.

Où l’on apprend que le “renseignement technique” (interception des télécommunications, géolocalisation, lutte informatique offensive) réprésente “80% à 90% du renseignement“, que les réseaux grand public sont la “cible” principale de la DGSE parce que, pour les terroristes, “l’internet est un moyen de se cacher“, qu’elle stocke “tous les mots de passe“, qu’elle s’est faite “engueulée” par les services de renseignement américain à cause de l’Hadopi, et que “l’internet, c’est le bordel“…

Nous ne somme pas des “barbouzes”

Lorsque, à la fin des années 1990, le Parlement européen commença à s’inquiéter de la toute-puissance du système anglo-saxon Echelon d’espionnage mondial des communications, les anglo-saxons répliquèrent en expliquant que la France disposait elle aussi d’untel système, qu’ils surnommèrent “Frenchelon” (voir Frenchelon: la carte des stations espion du renseignement français).

Les autorités françaises n’ont jamais nié l’existence de ce système (dont on ne connaît pas le nom officiel -s’il en a un), mais elles ne s’étaient jamais non plus particulièrement étendu à son sujet, à l’exception de quelques pages web sur l’ancienne version de defense.gouv.fr (elles ont depuis disparu).

Inaugurant la nouvelle académie du renseignement, chargée de former les cadres des six services de renseignement français, François Fillon déclarait, la semaine passée, qu’il fallait “faire en sorte que les Français connaissent mieux les services de renseignements, sachent mieux quelle est leur contribution à leur sécurité quotidienne, et soient plus nombreux à vouloir servir dans leurs rangs” :

“Vous le savez, nos services de renseignement ne jouissent pas encore d’une image aussi flatteuse que certains de leurs homologues étrangers. Je pense notamment aux Britanniques. Mais c’est en train de changer.

Et pour accélérer ce changement, il faut communiquer davantage (…). Les journalistes, les chercheurs, les historiens doivent pouvoir, plus que cela n’a été le cas, travailler sur le monde du renseignement. C’est utile pour la société française, c’est utile pour les services eux-mêmes.”

DGSEPour la seconde fois, en 6 mois, le directeur technique de la DGSE, le service de renseignement militaire extérieur français, est ainsi venu expliquer, devant un public composé de professionnels de la sécurité informatique, l’état de l’art de son métier : “je ne vais pas dévoiler de secret d’etat, mais je vais presenter ce que l’on fait, avec des infos grand public“.

Scientifique de haut niveau issu du Commissariat à l’énergie atomique (CEA), Bernard Barbier est le directeur technique de la DGSE. Sa nomination, soulignait IntelligenceOnline, marquait la volonté de la DGSE “d’investir dans les nouvelles technologies“.

Son rôle : “rechercher et exploiter les renseignements d’origine technique“, et donc écouter les télécommunications, mais également mettre en oeuvre les satellites d’observation. Dit autrement, c’est le patron des “grandes oreilles“, et des “grands yeux“, de la “grande muette” :

“J’avais beaucoup hésité à m’exprimer publiquement, mais nous ne sommes pas des “barbouzes”, la DGSE a envie de s’ouvrir, notre directeur souhaite que l’on communique, et il est important que les citoyens français connaissent ce que l’on fait”. (…)

[La suite sur l'excellent site de JMM:]

http://bugbrother.blog.lemonde.fr/2010/10/02/frenchelon-la-dgse-est-en-1ere-division/#xtor=RSS-32280322

 

STUXNET: ON SE CALME ET ON ÉVITE DE CÉDER AU "HYPE"

Avant de fantasmer sur la fin du monde 2.0 ou le grand retour en ligne des cellules stay-behind de la Guerre Froide, pourquoi ne pas s’asseoir devant nos moniteurs et attendre quelques mois? Il ne sert à rien de guetter les codes binaires façon Matrix. Devant le rythme accélérateur du web, la cyberguerre impose une contrainte: prendre son temps.

Stuxnet, ou le mythe de la cyberguerre mondiale

[Olivier Tesquet - OWNI - 29/09/2010]

Mise à jour du 30 septembre: A en croire Jeffrey Carr, spécialiste américain de la cyberguerre et auteur de ‘Inside Cyberwarfare’, Stuxnet pourrait en réalité avoir été lancé par la Chine contre un satellite indien, dans la course à la Lune qui oppose les deux pays. L’information, postée sur un blog de Forbes, serait le fruit d’un travail de recherche en amont de la conférence Black Hat d’Abu Dhabi, qui se tiendra du 8 au 11 novembre. Voilà une preuve de plus de la faillibilité des hypothèses hâtives au sujet du virus.

“Le piratage du siècle”. C’est en ces termes que Ralph Langner, un expert allemand de la sécurité informatique, a décrit le virus Stuxnet sur son site web. Il y a même adjoint la mention, “Hambourg, 13 septembre 2010”, ainsi qu’une ligne de code acquise de haute lutte, comme pour économiser une datation au carbone 14 aux archéologues qui découvriraient son avertissement dans quelques dizaines d’années. Depuis plusieurs jours, la presse mondiale s’ébroue dans la bile de ce ver particulièrement complexe. Et pour cause: il saboterait le programme nucléaire iranien en neutralisant ses systèmes de gestion SCADA de l’entreprise Siemens, qui administrent notamment la centrale de Bushehr, dans le sud-ouest du pays. Pourtant, à y regarder de plus loin (mieux vaut se prémunir contre les explosions soudaines), il semblerait que l’agitation autour de cette histoire séduisante ne relève que de la fission induite: un dégagement de chaleur qui divise les expertises en de tout petits nucléides légers comme l’air.

Dans le Christian Science Monitor, Langner est formel, “Stuxnet est un cyber-missile à la précision militaire, déployé plus tôt dans l’année pour trouver et détruire une cible physique d’importance mondiale, une cible encore inconnue”. S’il se garde bien de nommer tous les acteurs de ce wargame grandeur nature, d’autres s’en chargent pour lui. Sur Slate.fr, Jacques Benillouche affirme qu’”Israël a lancé une une attaque électronique contre l’Iran”, avant d’ajouter que “les infrastructures du programme nucléaire iranien ont été systématiquement piratées depuis deux mois”. Et dans le Guardian, un porte-parole de Symantec, le géant des antivirus, soutient que “le groupe qui a conçu Stuxnet aurait été très correctement financé, composé de 5 à 10 personnes travaillant sur la conception du virus pendant 6 mois”.

Problème: tous les termes de cette équation sont inconnus, jusqu’au plus élémentaire. Comme le fait remarquer Daniel Ventre, ingénieur d’études au CNRS et spécialiste français de la cyberguerre*, “Stuxnet est sur le Net depuis plus d’un an. Il a pu être reprogrammé pour s’attaquer aux systèmes SCADA, mais la semaine prochaine, nous découvrirons peut-être qu’il visait une autre cible. Par ailleurs, il n’y a aucune preuve tangible qu’il s’attaque délibérément à l’Iran”. Jusqu’à maintenant, selon des chiffres du mois d’août fournis par Microsoft, le virus aurait affecté plus de 45 000 ordinateurs dans le monde, du Pakistan à l’Inde, de l’Indonésie à l’Iran, en passant par le Brésil et les États-Unis. Pour justifier leur propos, les experts affirment que 60% des machines infectées se trouvent au cœur de la République islamique. A cela rien d’étonnant. Depuis les années 70, non sans quelques errements diplomatiques, Siemens (et avant elle, sa filiale Kraftwerk Union) a signé des contrats avec l’Iran, ce qui rend les systèmes d’administration de son parc informatique particulièrement perméables au ver.

 

EVERCOOKIE: UN COOKIE IMPOSSIBLE A SUPPRIMER

Et c’est pas Google qui a payé le développement de ce truc ? Surprenant… Je pense que la prochaine version de NoScript devrait écrabouiller cette saloperie…

Evercookie – Suppression impossible
[kaser sur info2aaz 22/09/2010]
C’est aujourd’hui que j’ai découvert Evercookie ! Mais qu’est ce que c’est ? Une petite description s’impose…
Voici dans une premier temps une définition de ce qu’est un cookie :

Petit fichier téléchargé par un site web que l’on consulte. Un cookie rassemble des informations qui seront retransmises à ce site lors de votre prochaine visite (ID, mot de passe, préférence et autres…).

Evercookie quand à lui, est une API JavaScript qui produit un cookie extrêmement persistant au sein d’un navigateur. Le but de cet API est tout simplement de pouvoir identifier une personne (un client par exemple) et cela même après suppression des cookies (standard, flash et autres…).

Wahow ! Mais comment ca fonctionne ? Cette action est rendu possible grâce à un procédé de reconstruction du cookies. Je m’explique… Evercookie possède plusieurs mécanisme de stockage du cookies, qui sont disponibles sur le navigateur local de l’utilisateur. Le processus est simple, lorsque l’utilisateur supprime l’un de ces cookies, Evercookie le recrée instantanément avec le même procédé que précédemment.  (…)  Bien entendu, cette API ne laisse rien présager de bon. En effet si un cookie n’est plus "facilement" supprimable, un paquet de donnée seront stocké sur au sein de nos navigateurs, et feront l’objet d’une attention particulière de la part Hackers !

Il ne faut pas ranger directement ce travail du côté obscur de la force, mais il est malheureusement fort probable qu’il y bascule rapidement…  Bien entendu cet article a pour but de sensibiliser les internautes sur l’utilisation des cookies ! Si vos données personnelles et ce qu’il reste de votre vie privée vous intéresse un temps soit peu, je vous encourage à consulter les zones de stockages utilisé par l’EverCookie, ainsi que de suivre ce projet Open Source de près…

http://info2aaz.blogspot.com/2010/09/evercookie-suppression-impossible.html

 

STUXNET: UNE CYBERATTAQUE CONTRE LE PROGRAMME NUCLÉAIRE IRANIEN

C’est dangereux ce petit jeu… parce que l’Iran peut y jouer aussi – leurs informaticiens ne sont pas des branques et on peut toujours aller recruter un whizz-kid quelque part. Si demain une usine pète dans le Cotentin à cause d’une cyber-attaque, on pourra pas dire qu’on l’a pas cherché. Les "conflits de basse intensité", ça finit toujours par vous revenir droit dans la gueule…

Surtout que, dans ce domaine, les Chinois sont largement plus compétents que les Occidentaux…

[Jacques Cheminat - Le Monde Informatique - 23/09/2010]

Le programme nucléaire iranien, cible de Stuxnet ? Plusieurs experts qui travaillent sur ce ver pensent que le réacteur Iranien de Bushehr était la cible.

Le ver informatique très sophistiqué qui s’est propagé en Iran, Indonésie et Inde a été élaboré pour détruire un seul objectif: le réacteur nucléaire de Bushehr en Iran. C’est le consensus qui se dégage des experts en sécurité qui ont examiné Stuxnet. Ces dernières semaines, ils ont cassé le code de chiffrement du programme et ont observé la façon dont le ver fonctionne dans des environnements de test. Les chercheurs s’accordent sur le fait que Stuxnet a été conçu par un attaquant très sophistiqué – peut-être un État – et il a été imaginé pour détruire quelque chose de grand.

Bien que son développement date d’un an, Stuxnet a été découvert en juillet 2010, dans des ordinateurs appartenant à un client iranien vendus par une entreprise Biélorusse de sécurité. Dès lors, il a fait l’objet d’étude par des chercheurs en sécurité attirés par la sophistication de l’attaque. Maintenant, après des mois de spéculation, quelques-uns des chercheurs qui connaissent mieux Stuxnet, pensent connaître la cible du ver. La semaine dernière, Ralph Langner, un expert très respecté sur la sécurité des systèmes industriels, a publié une analyse du logiciel, qui vise les systèmes logiciels Siemens. Il a suggéré lui aussi la même cible finale.

Les experts avaient d’abord pensé que Stuxnet avait été écrit pour voler des secrets industriels – des formules qui ont pu être utilisés pour construire des produits contrefaits. Mais Ralph Langner a trouvé quelque chose de très différent. Le ver recherche effectivement des paramètres très précis des systèmes  Scada, notamment ceux de Siemens – une sorte d’empreinte digitale intégrer à  un dispositif de contrôleur logique programmable (PLC) – et puis il injecte son propre code dans ce système. Le chercheur doit présenter ses conclusions lors d’une conférence de sécurité à huis clos dans le Maryland, cette semaine, qui comprendra également une discussion technique des ingénieurs de Siemens.

 

HAYSTACK : UN LOGICIEL ANTI-CENSURE QUI CAFTE AUPRÈS DE LA POLICE

Comme disait Cesar Chavez (le militant des droits des chicanos dans les années 1970): "Les coups de main de certains de nos amis nous font parfois plus de mal que les coups de poings de nos ennemis"

[MIT Technology Review  13/09/2010 - Trad. Gregor Seither]
Un outil informatique censé aider les dissidents à à contourner la censure gouvernementale sur Internet contient des failles tellement sévères qu’il met en danger ceux qui l’utilisent.

L’outil, appelé Haystack, a reçu des prix et a été salué par la communauté Internet parce qu’il permet à des militants et des citoyens ordinaires de contourner les blocages mis en place par les gouvernements pour empêcher l’accès à certains contenus sur Internet. Mais l’expert en sécurité informatique Jacob Appelbaum – qui a réussi à démonter les sécurités du logiciel – affirme au contraire que l’utilisation de Haystack laisse derrière vous une piste de traces qui permettent d’identifier la personne qui l’utilise et même de savoir le type de contenus qu’il a consulté sur le Net. Ce débat montre encore une fois à quel point il est important pour ce type de logiciels d’être évalués de manière impartiale par des experts extérieurs.

Haystack a été crée par le Censorship Research Center basé à San-Francisco en Californie, fondé l’année dernière par deux militants anti-censure Austin Heap et Daniel Colascione. Le but du logiciel est de "de fournir un accès Internet non filtré et non détectable aux personnes vivant en Iran". Compte tenu de l’actualité, ce projet a reçu beaucoup d’attention– Austin Heap a été déclaré "Innovateur de l’année" par le journal britannique The Guardian et a également reçu le Prix "Beacon" de la fondation de défense des libertés "First Amendment Coalition" aux Etats-unis.

L’outil prétend permettre un accès aux pages Internets censurées tout en masquant cette activité des autorités. Les créateurs de Haystack affirment qu’ils exploitent pour cela certaines failles dans le logiciel pare-feu national mis en place par le gouvernement iranien, en cryptant les communications entre les utilisateurs et les serveurs de Haystack et en masquant les données échangées via l’outil afin de faire croire que les utilisateurs  se connectent à des sites innocents. Mais ces derniers mois certains experts se sont inquiétés du fait qu’il n’y ait pas eu de révision indépendante de cet outil et de sa capacité à tenir ses promesses.

Outre Appelbaum, des experts comme Evgeny Morozov, chargé de conférence au programme d’études des technologies de la libération à l’université de Stanford University, ainsi que le militant pour les droits civiques Danny O’Brien ont tenté d’obtenir de la part des créateurs plus de details sur la maniere dont le logiciel fonctionne. Ils sont inquiets que des vulnérabilités dans le code sous-jacent de l’outil pourraient permettre à des informaticiens travaillant pour les autorités de décoder les messages protégés. Après avoir testé le logiciel, ils ont exprimé leur colère et leur consternation.

Appelbaum explique qu’après avoir entendu une description du fonctionnement de l’outil, il s’est inquiété du fait qu’il ait pu ne pas avoir été conçu correctement. Mais il a vraiment commencé à s’inquiéter quand il l’a testé lui-même. Avec ses collègues il a cassé les protections de sécurité en moins de six heures. Selon Appelbaum, il serait facile aux autorités iraniennes et autres de faire de même.

"C’est un système qui est tellement fragile que je peux à peine vous expliquer comment il fonctionne sans être extrèmement inquiet pour les personnes qui l’ont utilisé et qui n’avaient aucune idée à quel point elles se mettaient en danger" a déclaré Appelbaum. "C’est incroyable, incroyablement effroyable."

Haystack :
http://www.censorshipresearch.org/projects/haystack/

http://www.technologyreview.com/computing/26285/?nlid=3505&a=f

 

IMDDOS: UN SERVICE D’ATTAQUES DDOS A LA DEMANDE

C’est combien pour une attaque DDOS sur le site de l’Elysée, par exemple ?

[Le Monde Informatique - 14/09/2010]

L’entreprise de sécurité Damballa met en garde contre un immense botnet à croissance rapide créé spécialement pour engager des attaques de déni de service (DDoS) à la demande. Ce service est proposé à quiconque est prêt à en payer le prix.

Selon Damballa, IMDDOS, essentiellement basé en Chine, mais exploité en dehors du pays, n’a pas cessé de croitre. « Pendant les derniers mois, le botnet a augmenté chaque jour au rythme d’environ 10.000 machines infectées, pour devenir l’un des plus grands réseaux de botnets actifs, » a déclaré Damballa. Pour Gunter Ollman, vice-président de la recherche chez Damballa, ce qui donne de l’importance à IMDDOS, c’est son objectif ouvertement commercial. Les opérateurs de botnets ont mis en place un site web public que des attaquants potentiels peuvent utiliser pour acheter un service ciblé d’attaques de déni de service (denial of service attack ou DDoS). Le site propose différentes formules d’abonnement et diverses options d’attaque, et fournit des conseils sur la manière d’utiliser le service pour lancer des attaques DDoS efficaces. Il divulgue même aux clients des informations de contact pour joindre un support technique et un service à la clientèle.

Un service très professionnel

« Toute personne avec des connaissances en chinois peut s’y abonner et l’utiliser pour lancer des attaques DDoS contre les cibles de son choix, n’importe où dans le monde, et cela, sans aucun effort, » a déclaré Gunter Ollman. Les abonnés, identifiés par un alias unique, reçoivent une application d’accès sécurisée à télécharger sur leur ordinateur. Lorsqu’ils souhaitent lancer une attaque, les utilisateurs se connectent à l’aide de l’application à un espace sécurisé placé à l’intérieur du site Web. C’est là qu’ils dressent la liste des hôtes et des serveurs qu’ils veulent attaquer et qu’ils soumettent leur demande. Le serveur de contrôle situé en arrière du zombie reçoit la liste des cibles et charge alors les machines hôtes infectées, ou des agents botnet, pour initier les attaques DDoS contre les cibles. « Le nombre d’agents DDoS mis à la disposition de l’utilisateur pour lancer les attaques est fonction du type d’abonnement » a t-il expliqué. « La grande majorité des machines infectées faisant partie du botnet IMDDOS est basée en Chine, mais un nombre important de machines infectées se trouvent  sur territoire américain et font aussi partie de ce botnet," a-t-il encore précisé ajoutant que « les autorités américaines avaient été informées de ce problème. »

Une véritable industrie du malware en Chine

Le botnet IMDDOS fournit un autre exemple de ce que de nombreux analystes disent, à savoir la possibilité, depuis quelque temps, d’accéder ouvertement et facilement à des outils logiciels malveillants sophistiqués sur le territoire chinois. De plus en plus, les auteurs de malware diffusent ouvertement leurs codes sur des sites web publics faciles à trouver et accessibles à tous. La plupart des outils de piratage et des services vendus sur ces sites sont bon marché – autour de 20 dollars seulement -, hautement personnalisables et conçus pour être utilisés par des novices. Comme dans le cas du botnet IMDDOS, ces sites offrent souvent un support technique, des mises à jour régulières, des produits soumis à des accords de licence et des outils qui permettent aux clients de vérifier si leurs attaques sont vraiment efficaces.

http://www.lemondeinformatique.fr/actualites/lire-un-service-chinois-d-attaques-ddos-a-la-demande-31649.html

 

QUE PENSEZ VOUS DU MOUCHARD HADOPI ?

Hadopi : BitTorrent repéré, voulez-vous continuer ?
[OWNI - Astrid Girardeau - 30/07/2010]
Il y a quelques jours, l’Hadopi lançait une consultation publique sur les moyens de sécurisation «destinés à prévenir l’utilisation illicite de l’accès» à Internet. Le document (pdf), réservé à certains professionnels et classé confidentiel, a fuité ce matin via Numérama.

La lecture du document confirme qu’il s’agit d’une sorte de mouchard pour bon père de famille et chef d’entreprise, institution ou association. Le logiciel — “simple” et ne demandant pas de “connaissances techniques” (soit de nombreuses options par défaut) — permettra de définir, et donc d’être responsable, de la “politique de sécurité” d’un accès Internet.

Pour les particuliers et TPE, il est indiqué que les moyens peuvent être soit installés sur chacun des appareils informatiques (ordinateurs, mais aussi téléphones portables et consoles de jeux) soit embarqués dans les “instruments de communication” (modem, routeur, boitier ADSL). Tout en précisant que si, pour le moment, les parc des boitiers ADSL est“très hétérogène, et les boitiers dimensionnés de telle manière qu’il est difficile de loger des applications supplémentaires”, il faut cependant “réfléchir à ces solutions” pour les futures générations de boitiers.

Ports, protocoles, sites (avec listes noires, grises, blanches), plages horaires, débits, formats, volumes,… tout pourra être observé en temps réel et, selon les critères définis, “laisser faire ou bloquer”. En cas de «détection d’une anomalie», l’utilisateur sera alerté par une notification qu’il pourra décider de suivre ou d’ignorer. Le logiciel devra également analyser la configuration informatique (logiciels utilisés, configuration réseau, etc.) et, si elle est considérée à risque, «proposer des solutions».

 

MDR ! COMMENT 4CHAN A HACKÉ LES MÉDIAS…

[OWNI - 12/07/2010 - Traduction d'un article de Danah Boyd par Martin U.]

Pour les newbies: si vous n’avez jamais entendu parler de 4chan, commencez par la page Wikipédia, pas par le site en lui-même. Il peut en effet heurter la sensibilité de pas mal de gens. Comme le dit un de mes amis, aimer les LOLcats et les Rickroll c’est comme aimer un bon gros hamburger. Et aller sur 4chan c’est comme visiter l’abattoir. Ça peut aider à un moment donné de le visiter, mais ça peut te transformer en végétarien)

4Chan: de l’ombre à la lumière

L’année dernière, 4Chan a surgi de l’obscurité et son importance est désormais reconnue par les grands médias. Peut-être est-ce du à l’apparition de Moot [NdT: le créateur et dirigeant de 4Chan] à la tête du classement du TIME. C’est plus probablement son discours au TED [NdT: voir notre article] qui a tout fait basculer: Moot – de son vrai nom Chris Poole – a fait apparaître un visage plus “légitime” d’un site alternatif désormais connu de gens évoluant hors de la fosse à ordure d’Internet. Ainsi, il s’est présenté comme une des animateurs de communauté les plus cohérent, prévenant et divertissant d’Internet. Bref, il est quelqu’un que les adultes peuvent comprendre, même si son site les terrifie.

Au milieu de tout ça, 4Chan a explosé. Les journalistes et les universitaires se bousculent pour étudier et analyser le phénomène. Au début, il s’agissait de savoir si cette communauté d’environ 9,5 millions de jeunes était fondamentalement mauvaise ou simplement brillante. L’obsession s’est concentrée sur l’anonymat, le discours de Chris au TED ayant déplacé le débat. Ces deux discussions constituent sans nul doute d’intéressants sujets. 4Chan a créé la plupart des mèmes les plus adorables d’Internet, mais certains de ses utilisateurs font partie des fauteurs de trouble et des trolls les plus néfastes du web. Et l’anonymat est un sujet complexe qui ne peut pas être réduit à une question de responsabilité ou à celle de savoir si le commentateur anonyme est brillant ou malfaisant. Je pourrais écrire un long papier sur la manière dont l’anonymat recherché sur Internet compense le fait que les moyens d’y être identifiables sont plus importants que tout ce qui a jamais existé hors-ligne, mais ce n’est pas le but de ce billet. Au lieu de ça, ce que je veux montrer c’est que 4Chan est la nouvelle génération de la culture hacker. Et que c’est en tant que tel qu’il devrait être apprécié ou vilipendé.

4Chan, paradis des nouveaux hackers

J’ai grandi dans une communauté de hackers, au moment où l’âge d’or du hacking touchait à sa fin. Beaucoup de mes amis au lycée se vantaient de leur talent en piratage téléphonique ou de leur capacité à s’introduire dans des systèmes extrêmement sécurisés. Alors que certains étaient de vrais génies, peu étaient réellement malveillants et intéressés par la destruction de ces systèmes. La plupart de mes amis voulaient simplement voir de quoi ils étaient capables. Pour eux, hacker était quelque chose de terre-à-terre, exploitant la stupidité de ceux qui utilisaient “admin/admin” comme identifiant et mot de passe en laissant des petits mots d’amours et des poissons d’avril. Bien sûr, cela avait des conséquences. Un de mes amis a été banni du réseau Internet du lycée alors qu’un autre s’est retrouvé à croupir dans les système de sécurité de la marine. Je n’étais pas reliée à l’élite des hackeurs, ceux qui étaient centraux pendant l’âge d’or du hacking, mais j’ai grandi à la marge, de manière à pouvoir apprécier leur prouesses techniques (et à vouloir être Angelina Jolie quelques années plus tard).

Selon votre positionnement, les hackers sont vilipendés ou adorés, considérés comme des destructeurs ou comme des gens qui ont contribués à améliorer les systèmes de sécurité pour les rendre beaucoup plus sûrs. En tant que communauté, ils étaient considérés comme alternatifs et underground dans les années 80 et 90. Pourtant, les anciens hackers font maintenant partie des gens les plus puissants dans l’industrie. Certains hackers étaient réellement mal intentionnés, alors que d’autres s’étaient lancés dans des actions qui peuvent être comprises par la célèbre phrase de 4Chan : “pour le lulz“. Ils étaient capables de choses incroyables. Et pendant que la plupart de ceux qui faisait ça “pour le lulz” n’avait aucune intention politique, leur impact a fini par être profondément politique, façonnant le développement des systèmes technologiques.

Les hackers de l’attention et les flux manipulables

Je dirais que 4chan est le point zéro [ground zero] d’une nouvelle génération de hackers, ceux veulent à tout prix hacker l’économie de l’attention. Alors que les hackers traditionnels s’en prenaient à l’économie de la sécurité, c’est-à-dire au centre du pouvoir et de l’autorité avant Internet, ces hackers de l’attention montrent à quel point les flux d’information sont manipulables. Ils montrent qu’on peut jouer avec les classements et que les contenus de divertissement peuvent atteindre une popularité de masse sans avoir la moindre attention commerciale (sans tenir compte de savoir si quelqu’un a décidé de le commercialiser de l’autre côté). Leurs singeries poussent les gens à réfléchir au statut et au pouvoir et ils encouragent les gens à rire de tout ce qui se prend trop au sérieux. L’approche m’est familière et cela ne me surprend pas d’apprendre que les vieux hackers ressentent un sentiment chaleureux en pensant à 4chan, même si les trolls et les fauteurs de trouble les ennuient énormément.

Dans un environnement médiatisé où les marketeurs ont pris les pouvoir, il y a quelque chose de délicieusement subversif de parier sur la sub-culture anarchisante. Parce qu’au final, beaucoup de hackers old school n’étaient pas vraiment réjouis de réaliser que la démocratisation de la culture web signifiait que la culture mainstream allait dominer la culture web. Pour nous les geeks, les freaks et autres queers qui voyaient le net comme un sauveur, la démocratisation signifiait une perte de pouvoir.

J’espère qu’il y en aura toujours pour nous rappeler de ne pas prendre Internet trop au sérieux

Comme les hackers traditionnels, les hackers de l’attention qui émergent aujourd’hui ont de multiples facettes. Il est facile d’apprécier l’esprit qui les anime et de dénigrer certains individus ou actes individuels. En reconnaissant le pouvoir culturel de la communauté représentée par 4chan, je ne veux pas justifier certains actes détestables. Mais je veux rire de la stupidité de certains et trouver de l’humour dans leurs bouffoneries, tout en refusant certains actes. Je veux me plaindre du fait que cela fait 20 ans que la culture des hackers est encore principalement mâle et blanche, tout en étant stimulée par l’émergence d’une nouvelle subculture alternative. Bien sûr, il semble que ça ne va pas rester alternatif longtemps. Et je ne peux pas dire que je suis très heureuse que les parents et les ados moyens connaissent 4chan (c’est précisément pourquoi je n’avais pas écrit à ce propos plus tôt). Mais je pense que c’est quelque chose d’important pour ceux qui ont investi dans le hacking de l’économie de l’attention. Et j’espère qu’il y en aura toujours certains pour nous rappeler de ne pas prendre Internet trop au sérieux.

http://owni.fr/2010/06/14/4chan-ou-la-nouvelle-generation-de-hackers/

 

SEEDFUCK… BEAUCOUP DE BRUIT ET DE PHANTASMES, DE PART ET D’AUTRE

[zed - Hack45 - 16/04/2010]

J’ai publié hier un billet après être tombé sur cet exploit. A ma grande surprise, en moins de 24h, l’info a fait le tour du Net… c’est ce que les marketeux appellent un buzz il parait. C’est assez amusant de voir les réactions diverses sur Numerama, PC-Inpact, Clubic, Zataz, 01Net ou les blogs de bluetouff et de Korben …Souvent, les Buzz portent sur des informations simples et non techniques, comme la vie sexuelle de George Clooney ou le dernier lifting mammaire de Paris Hilton. Même si le billet sur Seedfuck était loin d’être technique, il y a eu quelques distortions qui ont transformé une info banale en scoop.

Premièrement, le code lui même est un proof of concept qui n’a jamais été à ma connaissance dirigé spécialement contre HADOPI, je le soupçonne plus d’être une mise en évidence des faiblesses de BitTorrent lui même. Car il ne faut pas s’y tromper, l’utilisation massive de ce code (par exemple inoculé par des trojans sur des machines zombifiées) lancerait un véritable déni de services sur les trackers publics de Torrents. BitTorrent pourrait donc se voir rendu inutilisable, et ça je doute que ce soit le but recherché par les anti HADOPI (dont je fais également parti)… après me direz vous, il reste les trackers privés.

En second plan il y a les petites inexactitudes relayées par Zataz et reprises par Clubic : le code n’est pas écrit en C mais en C# … un langage portable mais aux origines douteuses (made in Microsoft dont certaines bribes Linux utilisables requièrent l’ouverture un d’un compte sur MSDN, un comble).

Est-il besoin de le souligner : cet exploit ne vous rendra pas anonyme ou invisible sur les trackers Torrents.

Concernant maintenant les effets que ceci pourrait produire sur HADOPI, il me semble qu’ils sont bien plus psychologiques que pratiques, puisqu’un développeur à lui seul, avec quelques lignes de code, peut faire doubler ou tripler le coût d’une procédure que le Ministère de la Culture prévoyait d’automatiser, en se passant de juge, et pour un coût ridicule. HADOPI 2 a rendu cette procédure bien moins évidente et surement plus coûteuse, ce code devrait inciter la HADOPI, ou plutôt les sociétés qu’elle va mandater, à mener de véritables petites enquêtes pour confondre un internaute, tant et si bien que l’on très pourrait passer du millier de courriers d’avertissement annoncés à quelques dizaines par jour tout au plus.

Je retiendrai également comme information ce début de portage en Python avec WebPy.

EDIT : Pour finir je me dois de répondre à 01Net :

1° Oui le code à été testé (ça prend 3 minutes : modifiez le pour placer un range d’ip valides, compilez le sous Linux, lancez ensuite sous Windows le .exe généré avec l’invite de commande, rien ne s’affichera mais vous allez entendre hurler votre CPU, lancez Wireshark et dumpez, vous allez voir, il se passe bien ce que l’on veut).

2° Assimiler l’adresse IP au nom d’un point de vue juridique est assez original (c’est la jurisprudence qui le dit, pas moi), j’ai beau chercher, je ne trouve pas d’adresse IP sur ma fiche d’Etat Civil (c’est donc le juge qui tranchera, mais rien dans la loi n’affirme ceci, au contraire. Vous noterez d’ailleurs qu’Eric Freyssinet (pour lequel je voue une sincère admiration au passage) emploi le conditionnel.

3° Dans sa conclusion, 01Net nous dit « Ce qui conduirait au bout du compte à l’objectif visé par la Hadopi : neutraliser le téléchargement illicite. » … là, vous prenez vos rêves pour des réalités, il existe des dizaines de manières de se procurer des fichiers illégalement, cette conclusion est donc stupide. Ce n’est pas parce que un seul protocole de P2P (il en existe là aussi des dizaines) est mis à mal que HADOPI aura réussi son coup… bien au contraire : les utilisateurs se rabattront massivement sur d’autres protocoles (chiffrés et bien plus compliqués à surveiller), ou d’autres techniques de téléchargement.

http://hack45.net/seedfuck-dechaine-le-net/

 

IPHONE: L’AMI DE LA POLICE MAIS AUSSI DES TRUANDS DE TOUT POIL…

Trois minutes, 900 euros, et votre téléphone portable devient un micro :
http://minu.me/28c7

iPhone : il y a un mobile contre vous…
[WOOD WARD et NEWTON - Bakchich Hebdo - N° 22 - 30/04/2010]
Localiser le propriétaire d’un iPhone ou effacer à distance les données personnelles contenues dans le célèbre téléphone, c’est désormais simple comme un clic. Les éventuelles conséquences de deux applications développées par Apple inquiètent la justice américaine

Le 17 juin 2009, la section de la propriété intellectuelle et de la criminalité informatique du laboratoire de recherche sur la cybercriminalité (Cybercrime Lab), une officine technique chargée de prêter main-forte au ministère de la Justice américain, a fait des découvertes préoccupantes.
Ce jour-là, Apple lançait la version actualisée 3.0 du système d’exploitation de son iPhone. Deux nouvelles applications ont immédiatement suscité la curiosité des laborantins oeuvrant au service de la loi et de l’ordre.

La première, Find My iPhone (« trouver mon iPhone »), ouvrait à leurs yeux d’intéressantes perspectives pour localiser des malfaisants, pour peu qu’ils soient équipés du petit bijou concocté par la marque à la pomme.

Cette application permet à l’utilisateur qui a perdu son iPhone de le localiser à partir d’un ordinateur. Il suffit d’envoyer un message par Internet, celui-ci s’affiche directement sur le téléphone et un signal sonore de deux minutes retentit, ce qui permet de retrouver facilement l’engin enfoui, par exemple, au fin fond d’un sac à main. Une possibilité offerte dès que l’appareil est en service et connecté à un réseau Edge, 3G ou Wifi, et ce même s’il est en mode « silence » ou « vibreur ». Si le téléphone n’est pas connecté à un réseau, le message et le signal sonore seront activés à la prochaine connexion.

Selon une note confidentielle, un brin alarmiste, rédigée par les experts du cybercrime, « il devient donc possible de localiser l’utilisateur d’un iPhone possédant [ladite] application (dans un cadre strictement légal, bien entendu). » Barbouzes et services de renseignements de tous poils, habitués à se draper dans le voile de la légalité, ne manqueront pas de goûter aux charmes de cette application.

Une aide précieuse qui pourrait toutefois se retourner contre la police, car, toujours selon la note : « Détournée, cette application peut permettre à des organisations criminelles de localiser les utilisateurs d’iPhone. Les policiers propriétaires d’iPhone ou ayant des informateurs équipés de cette application, seraient bien avisés de les désactiver jusqu’à ce que des analyses complémentaires aient été menées afin de vérifier que des organisations criminelles ne sont pas en mesure d’activer cette application à l’insu de l’utilisateur. »

En gros, une nouvelle règle du jeu qui va compliquer filatures, infiltrations et même travail avec les sources. De quoi pimenter un peu le traditionnel jeu du gendarme et du voleur.

Pour les ingénieurs du laboratoire sur la cybercriminalité, une autre trouvaille technologique d’Apple pose encore plus de problèmes : « Pour les autorités judiciaires, la possibilité donnée à un utilisateur d’iPhone de détruire à distance toutes les informations contenues dans le téléphone est encore plus inquiétante. Au moyen de cette application, il est en effet possible d’annuler toutes les données, et notamment les emails, les informations relatives au compte de l’abonné, les applications installées, la musique téléchargée et stockée (…). Une fois activée, l’application d’effacement restaure l’appareil dans sa configuration d’usine. (…)

La facilité avec laquelle un iPhone peut être restauré dans sa configuration d’origine pourrait inciter les utilisateurs, dont les téléphones auraient été temporairement saisis dans le cadre de procédures judiciaires, à les nettoyer afin d’en interdire l’accès aux autorités. Il est donc recommandé à ceux qui procéderaient à la saisie d’iPhone comme éléments de preuve de les placer le plus rapidement possible à l’abri des signaux en utilisant des sacs de Faraday (dont la propriété est d’isoler l’appareil des ondes électromagnétiques, ndlr). »

Plus besoin de réaliser un fricfrac dans les caves d’un palais de justice, il suffirait d’un amateur éclairé d’iPhone pour chiper et effacer les preuves d’un dossier judiciaire. Ce serait ballot…

Aussi la note recommande-t-elle tout un ensemble de précautions : « Les forces de police et les magistrats doivent être sensibilisés aux exigences nouvelles créées par la possibilité d’effacement à distance, qui exige une action rapide pour sauvegarder les données obtenues dans le cadre d’enquêtes criminelles, afin de ne pas perdre des preuves utiles. Les analystes de la police scientifique qui reçoivent des iPhone dans un sac de Faraday doivent s’assurer qu’ils sont conservés dans un environnement protégé afin qu’ils ne puissent être connectés à des réseaux susceptibles de déclencher la fonction d’effacement à distance. »

Et la note de continuer sur ces conseils :

• « Entrez en contact avec les techniciens d’Apple afin de mieux comprendre comment ces applications peuvent être exploitées et de mieux connaître les mesures de protection de la vie privée mises en oeuvre par le constructeur pour empêcher les abus.
• Entrez en contact avec les techniciens d’Apple afin de déterminer si l’application Trouver mon iPhone peut contribuer à la localisation de personnes séquestrées ou portées disparues sans nuire à leur sécurité.
• Assurez-vous que toutes les forces de police sont informées des possibilités d’effacement de données à distance et équipez-les de sacs de Faraday.
• Assurez-vous enfin que les forces de police sont informées qu’une sauvegarde de toutes les informations contenues dans un iPhone peut être réalisée sur un ordinateur. Les forces de police devraient envisager de requérir l’autorisation de saisir tout ordinateur soupçonné d’être utilisé aux fins de piloter un iPhone à distance. »

Malgré toutes ces consignes, pas sûr que quelques godelureaux n’utilisent pas l’iPhone pour bazarder les enquêtes policières. Depuis la Genèse, l’homme résiste rarement quand il s’agit de croquer la pomme.

http://www.bakchich.info

 

LES HACKERS DÉJÀ À L’ASSAUT DE LA TABLETTE NUMÉRIQUE D’APPLE

[Yves Eudes - Le Monde - 04.04.10]

Depuis 2007, le hacker américain George Hotz, âgé aujourd’hui de 20 ans, publie régulièrement sur Internet des logiciels dit de jail break (« évasion de prison ») permettant de débrider les iPhone, c’est-à-dire de faire sauter les restrictions imposées par Apple pour empêcher le chargement de logiciels non autorisés.

Le business model du groupe américain est en effet fondé sur des accords exclusifs signés avec des opérateurs de télécommunications et sur le monopole de la vente de logiciels, de musique et de vidéos sur ses boutiques en ligne iTunes et App-Store.

Le travail de George Hotz n’a pas de fin : chaque fois qu’Apple sort une nouvelle version de l’iPhone, ses ingénieurs installent des parades inédites empêchant le jailbreak, ce qui oblige le jeune homme à mettre à jour son logiciel. Le 25 mars, George Hotz a annoncé sur son blog la sortie imminente de la prochaine version de son programme, qui permettra le débridage définitif de n’importe quel iPhone en moins d’une minute. Incidemment, il affirme qu’il pourra aussi débrider la tablette iPad : elle n’est pas encore commercialisée, mais il sait que son système d’exploitation est assez semblable à celui de l’iPhone.

« Ecosystème » parallèle

George Hotz n’est pas le seul hacker spécialisé dans les produits Apple. En trois ans, une petite communauté de « jailbreakers » pros ou semi-pros a vu le jour. On s’attend donc à voir apparaître prochainement des solutions de déverrouillage spécifiques à l’iPad.

Une fois débridé, il deviendra une tablette générique, bonne à tout faire. D’emblée, on pourra y installer des copies pirates gratuites d’applications payantes conçues à l’origine pour l’iPhone, et vendues sur l’AppStore.

Il acceptera aussi les applications et les jeux vidéo créés pour l’iPhone par des développeurs indépendants, mais que l’AppStore a refusé. Il existe aujourd’hui sur Internet plusieurs sites spécialisés dans les applications rejetées par Apple. Le plus actif, et le plus prospère, est sans doute Cydia.com, qui a suscité l’apparition de tout un « écosystème » parallèle.

De nombreux développeurs ne prennent plus la peine de soumettre leurs applications à l’approbation de l’AppStore, qu’ils jugent trop tatillon techniquement, ou trop restrictif en matière de contenu. Ils en confient directement la distribution à Cydia, qui compte des millions de visiteurs.

Un iPad débridé pourra télécharger des fichiers lourds (films ou musique), quelles que soient leur origine… De même, les applications audio et vidéo à haut débit qui, sur la version légale de l’appareil, fonctionneront uniquement quand il sera connecté à un réseau Wi-Fi, pourront être déverrouillées par des logiciels de type Unrestrictor. Dès lors, elles fonctionneront aussi quand l’appareil sera connecté à un réseau de téléphonie 3G – tant pis pour les opérateurs, dont les réseaux sont déjà saturés à cause du nouveau trafic généré par les smartphones.

Par ailleurs, Apple a fait savoir qu’il sera impossible de brancher un iPhone sur un iPad, pour s’en servir comme modem pour accéder aux réseaux de troisième génération (3G). Le but étant d’obliger les clients à se payer un nouvel abonnement 3G. Avec un iPad débridé, ce problème devrait disparaître.

Enfin, dans certains pays où Apple n’a pas réussi à passer des accords avec les associations locales d’éditeurs de livres, la fonction e-book de l’iPad sera sans doute désactivée. Les amateurs de livres numériques devraient donc venir grossir les rangs des adeptes du jailbreaking.

http://www.lemonde.fr/technologies/article/2010/04/05/a-peine-sorti-l-ipad-deja-debride_1328833_651865.html

 

LE FILM SUR LE MASSACRE COMMIS PAR L’ARMEE U.S. QUE LA CIA VEUT FAIRE DISPARAÎTRE

Si vous ne l’avez pas encore fait, versez votre obole au site Wikileaks, qui en a bien besoin. C’est un outil indispensable de lutte contre la censure !!!! Si vous aimez la liberté d’expression, vous ne pouvez pas, ne pas soutenir Wikileaks…

Et si vous travaillez pour WikiLeaks, si vous entendez un vrombissement dans le ciel, baissez vous !!!! C’est surement un drone armé de missiles Hellfire, prochaine étape de la campagne de la US Army contre vous…

LES SERVICES SECRETS U.S. METTENT LE PAQUET POUR EMPÊCHER LE SITE WIKILEAKS DE RENDRE PUBLIC UNE VIDÉO PROUVANT QUE L’ARMÉE AMÉRICAINE A COMMIS UN MASSACRE ET QUE LE PENTAGONE A ÉTOUFFÉ L’AFFAIRE

[Gregor Seither - IES News Service - 02/04/2010]

Le site WikiLeaks ( WikiLeaks.org ) a annoncé publiquement qu’il publierait, le 5 avril prochain, à l’occasion du National Press Club une vidéo qui lui a été transmise et qui prouverait que le Pentagone a fait disparaître les preuves d’un massacre de civils et de journalistes lors de la guerre en Irak, commis par des soldats et des officiers sous le commandement du Général David Petraeus.

Dans un éditorial (qui a depuis été retiré du site) le fondateur de WikiLeaks, le journaliste et informaticien australien Julian Assange, affirme que WikiLeaks est victime d’attaques d’envergure menées par les services secrets U.S. et d’autres pays, qui lui reprochent de publier des documents génants, démasquant les manoeuvres politiques et les magouilles financières des gouvernements et des grands groupes internationaux. Voir :
http://libertesinternets.wordpress.com/2010/04/03/larmee-u-s-veut-bombarder-virtuellement-le-site-wikileaks-pour-le-faire-taire/

Selon Assange, les attaques vont au dela du simple deni de service, les membres de Wikileaks sont harcelés, surveillés, arrêtés et interrogés par la police et autres intimidations.

"Nous avons l’habitude de susciter l’intérêt des services de surveillance à travers la planète et nous avons depuis longtemps mis en place des procédures pour nous soustraire à cet intérêt et protéger nos sources," explique Assange dans son editorial. "Mais ce que nous voyons en ce moment, alors que – pour des raisons de manque de fonds – nous ne publions quasiment rien, est excessif."

Dans un récent article sur Salon.com, l’avocat constitutionnaliste Green Greenwald écrit:

"Un volontaire, un mineur, qui collabore à WikiLeaksa été arrêté en Islande la semaine dernière et longuement interrogé à propos d’une vidéo accusatrice que possèderait WikiLeaks et montrant des exactions commises par l’Armée U.S.. Au cours de l’interrogatoire, le volontaire WikiLeaks s’est non seulement vu poser des questions sur la vidéo qui démontraient que les enquêteurs en avaient une connaissance approfondie  (alors que, a priori, seule l’Armée US connait l’existence de cette vidéo), mais on lui a également montré des photos de surveillance où l’on voit Assange sortant d’une réunion récente de WikiLeaks, au cours de laquelle la publication d’une vidéo mettant en cause le Pentagone a été décidée ."

WikiLeaks est une publication de l’association Sunshine Press, une organisation à but non lucratif qui a reçu un prix de la part d’Amnesty International et regroupant des  "militants des droits de l’homme, journalistes d’investigation, personnes intéressées par la technologie ainsi que des personnes issues de la société civile au sens large," est un site d’informations interdites apparu en 2007 et qui a publié des centaines de documents "fuités" par des sources anonymes au sein de grands groupes, banques, gouvernements, états-majors militaires. Le site lutte depuis 3 ans contre la censure et la dissimulation d’informations par les autorités.

Mais avec l’annonce de la publication, le 5 avril, d’une vidéo montrant un massacre de civils commis par l’Armée U.S. et caché par les autorités américaines, l’équipe de "whistleblowers" fait monter  les enchères.

"Si quoi que ce soit devait nous arriver, vous saurez pourquoi" prévient WikiLeaks sur son fil Twitter. "Ce sera à cause de notre vidéo du 5 Avril. Et vous saurez qui est responsable."

Mais, en cette époque de réseaux mondiaux, il est devenu difficile d’empêcher la dissimulation ou la suppression discrète d’informations. Ainsi, pour Matt Zimmerman, avocat spécialisé dans la protection des sources pour la Electronic Frontier Foundation une association de défense de la liberté d’expression en-ligne :

"Il n’est pas surprenant que des organisations impactées par des documents publiés sur Wikileaks tentent de trouver des moyens de faire fermer cette source de fuites. Le fait que WikiLeaks parvienne malgré tout à exister et à fonctionner souligne la difficulté pour les pouvoirs en place et les grands groupes à stopper ce genre d’opérations, à l’heure d’Internet et des réseaux décentralisés. Du point de vue de WikiLeaks, c’est exactement ce qu’ils veulent prouver."

 

L’ARMEE U.S. VEUT BOMBARDER VIRTUELLEMENT LE SITE WIKILEAKS POUR LE FAIRE TAIRE

Wikileaks, un roi du scoop sous la menace

[Les Echos - 18/03/2010]
Le site met en ligne de façon anonyme des documents sensibles et confidentiels. L’armée américaine aurait envisagé de le bloquer, alors qu’il est à la recherche de fonds pour survivre.

"Wikileaks a probablement sorti plus de scoops dans sa courte vie que le "Washington Post" ces trente dernières années". La formule du journal américain "The National" résume bien l’histoire de ce site collaboratif spécialisé dans la publication de dossiers confidentiels. Lancé en janvier 2007, Wikileaks affiche déjà un impressionnant palmarès : des documents qui suggèrent que la banque suisse Julius Baer aurait aidé ses clients à blanchir de l’argent et à pratiquer l’évasion fiscale aux Iles Caïman, le manuel des procédures de l’US Army à Guantanamo, une affaire de corruption dans l’entourage de l’ancien président kényan Daniel Arap Moi, des documents de travail sur les négociations secrètes de l’ Anti-Counterfeiting Trade Agreement (ACTA) sur les droits d’auteur, des détails sur le fonctionnement de l’Eglise de Scientologie, etc.

Le site a également diffusé de nombreuses informations concernant le krach bancaire islandais de 2008 : une liste de prêts et de lignes de dettes effacées au profit de certains dirigeants de la Kaupthing Bank peu de temps avant son effondrement, les négociations entre les gouvernements islandais, britannique et néerlandais sur le remboursement des victimes de la banque Icesave ( http://file.wikileaks.org/files/icesave1.pdf et http://file.wikileaks.org/files/icesave2.pdf)…

Les sources de ces révélations proviennent de "whistleblowers" (lanceurs d’alerte en anglais), des avocats, fonctionnaires, employés ou simples citoyens en possession de documents confidentiels, désireux de rendre publiques des informations sensibles et auxquels Wikileaks assure un total anonymat grâce à un système de cryptage des données. Une communauté de 800 journalistes, informaticiens, mathématiciens et militants s’efforce de vérifier l’authenticité et la validité des informations avant de les publier sur le site.

Attaqués une centaine de fois en justice, ses éditeurs se battent en faveur d’une nouvelle législation sur la liberté d’expression. Ils ont ainsi créé un collectif international et poussé à la rédaction d’une proposition de loi examinée actuellement par le parlement islandais. Ce texte, qui compile différentes lois à travers le monde, ferait de l’île, choisie pour son environnement légal favorable, un cyber paradis de l’information garantissant la protection des communications et des sources et interdisant le filtrage du Web.

Mais le succès de Wikileaks est en train de causer sa perte. Submergés par le nombre de connexions et de documents à stocker – plusieurs millions de pages -, les responsables ont temporairement ralenti son activité pour se consacrer à la recherche de fonds. Car le site, avec un budget annuel de 600.000 dollars, ne vit que de dons de particuliers, refusant tout soutien d’entreprise ou de collectivités. "Nous avons reçu plusieurs centaines de milliers de documents relatifs à des banques corrompues, au système de détention des Etats-Unis, à la guerre en Irak, à la Chine, aux Nations Unies et bien d’autres que nous ne sommes techniquement pas en mesure de publier", promet la page d’accueil du site, soutenu par de nombreux médias "traditionnels".

Une autre menace pèserait également sur Wikileaks. Celui-ci a publié lundi un document classé secret provenant d’une agence du département de la Défense américain et qui présente le site comme une "menace pour l’US Army". Daté de mars 2008, ce rapport de 32 pages indique que certaines informations peuvent avoir "une valeur pour les services de renseignements étrangers, les forces militaires étrangères, les insurgés étrangers et les groupes terroristes afin de collecter des informations ou planifier des attaques contre les forces américaines". Les auteurs du rapport suggèrent d’identifier et de poursuivre en justice les éventuels informateurs du site au sein de l’administration américaine afin de dissuader la population d’y avoir recours, brisant ainsi la confiance dans le système de cryptage de Wikileaks.

"Nous avons déjà été confrontés à toute sorte de gouvernements et d’agence de renseignements privés, affirme Julian Assange, l’un des responsables du site. Heureusement, nous comptons aussi beaucoup d’amis qui nous veulent du bien. Nous sommes en train d’enquêter sur ce problème et, quand le moment sera venu, nous aurons d’autres informations à révéler sur les agissements de l’armée américaine." Selon lui, jusqu’à présent, aucune source n’a été révélée depuis la création du site.

http://www.lesechos.fr/info/hightec/300418379-wikileaks-un-roi-du-scoop-sous-la-menace.htm

 

DAMIEN BANCAL: "J’EN AI PLEIN LE CUL !"

Un journaliste condamné pour avoir signalé une faille de sécurité informatique

[LE MONDE.FR | 23.09.09]

"J’en ai plein le cul de voir les policiers débarquer chez moi pour X raisons." Damien Bancal est journaliste, spécialisé dans la sécurité informatique ; il édite notamment le site Zataz.com, qui traite principalement des failles de sécurité dans les logiciels et les sites. Aujourd’hui, il songe à arrêter son site, après avoir été condamné par la cour d’appel de Paris pour "trouble illicite".

L’affaire remonte à l’an dernier. Un lecteur du site signale à Damien Bancal que des documents confidentiels sont librement accessibles sur le serveur de l’entreprise Forever living products, spécialisée dans la production d’aloe vera : l’entreprise a simplement oublié de sécuriser la "porte d’entrée" d’un de ses serveurs, qui est de ce fait accessible à tous. Après avoir vérifié l’existence de la faille, il la signale à l’entreprise, qui corrige l’erreur, et lui envoie un e-mail pour le remercier. Une fois la faille corrigée, Zataz.com publie un article décrivant l’origine du problème, sans publier les documents ni révéler la méthode exacte qui permettait d’y accéder, mais en illustrant l’article de captures d’écran qui attestent que le serveur informatique de l’entreprise était librement accessible.

DOUBLE PROCÈS

La procédure est classique dans le milieu de la sécurité informatique : lorsqu’on découvre une faille, on la signale, puis, une fois celle-ci corrigée, on publie une brève note décrivant le problème pour le bénéfice de la communauté, afin d’éviter que l’erreur se reproduise sur d’autres sites. Mais Forever living products ne l’entend pas ainsi : elle assigne Damien Bancal en justice, au civil et au pénal, l’accusant de s’être introduit illégalement dans son serveur et d’avoir diffamé l’entreprise.

Sur l’aspect diffamatoire de l’article écrit par Damien Bancal, le tribunal l’a relaxé en première instance, estimant que le journaliste avait agi "de bonne foi" et avec la légitimité "d’un double but d’information et de sensibilisation du public". Forever living products a fait appel de cette décision. Au civil, en revanche, Damien Bancal est condamné pour "trouble manifestement illicite" : en clair, le tribunal juge qu’il s’est introduit illégalement dans le serveur de la société. Il fait lui aussi appel, début septembre, et est de nouveau condamné : il doit détruire toutes les données concernant Forever living products en sa possession, et verser 3 500 euros à l’entreprise en remboursement des frais de justice.

"Le tribunal a considéré qu’il s’agissait de piratage parce qu’il avait utilisé un moteur de recherche spécialisé", explique Murielle Cahen, l’avocate de Damien Bancal, qui conteste cette interprétation. "Il a bien utilisé un moteur de recherche spécialisé pour accéder à ces données, mais c’est un outil accessible à n’importe quel internaute. Si les données avaient été protégées, jamais il n’y aurait eu accès."

RENVERSEMENT DE JURISPRUDENCE

Ce jugement constitue un renversement par rapport à la jurisprudence en vigueur, dite "jurisprudence Kitetoa". En 2002, le site Kitetoa, lui aussi spécialisé dans la sécurité informatique, avait été poursuivi par le groupe Tati pour avoir révélé que le site de l’entreprise n’était pas sécurisé. Après avoir été condamné en première instance, le site avait été relaxé en appel. Le parquet avait alors estimé qu’il était "inenvisageable d’instaurer une jurisprudence répressive (…) pour les internautes, certes avisés, mais de bonne foi, qui découvrent les failles de systèmes informatiques manifestement non sécurisés". Le risque étant que les internautes cessent de signaler aux responsables des sites les failles découvertes par hasard, par peur de poursuites judiciaires. Les sites mal protégés resteraient alors plus longtemps vulnérables face à des internautes mal intentionnés.

En attendant l’appel du procès en diffamation, Damien Bancal a lancé un appel aux dons pour régler la note du procès civil, et envisage de fermer son site. "Je ne gagne pas d’argent avec Zataz", explique-t-il. "C’est un site que j’alimente en plus de mon travail ; depuis sa création, j’ai contribué à aider 8 000 entreprises et administrations à corriger des failles dans leurs systèmes informatiques. A quoi bon, si c’est pour qu’au final ça me coûte un bras ?" S’il se dit "confiant" pour l’appel du procès en diffamation, "parce que j’ai toutes les preuves de ma bonne foi", il est également las des procédures. Il s’est donné une semaine de réflexion avant de décider de la fermeture du site ou de son maintien.

http://www.lemonde.fr/technologies/article/2009/09/23/un-journaliste-condamne-pour-avoir-signale-une-faille-de-securite-informatique_1244238_651865.html

 

SALAUDS DE MANAGERS: C’EST EUX QUI LAISSENT ENTRER LES VIRUS ET LES TROYENS !

L’indiscipline des managers est à l’origine des principales menaces contre la sécurité des données.

[Bertrand Lemaire - CIO Online - 16/03/2010]

Le vol d’ordinateurs portables est un incident fréquent. Or un tel vol implique celui des données contenues sur les disques durs. Lorsque le propriétaire était le PDG ou même un commercial, la sensibilité des données peut être très élevée.
Une méthode de sécurisation consiste bien entendu à ne disposer d’aucune donnée sur les disques durs, celles-ci n’étant accessibles que sur le SI de l’entreprise en mode web et qu’au travers qu’un tunnel VPN avec identification de l’utilisateur et non seulement de la machine. Une autre méthode est de crypter le contenu du disque dur.

Or, selon une étude de Ponemon Industrie, « Human Factor in Laptop Encryption », sponsorisée par Absolute Software, 60% des managers américains, 53% des Anglais, 52% des Canadiens et 50% des Français contournent les mesures de sécurité mises en place par les DSI sur leurs ordinateurs mobiles. A l’inverse, en Europe du Nord, la discipline reste la règle : 15% des Allemands et 13% des Suédois agissent sans respect des procédures de sécurité. Il s’agit en particulier pour les utilisateurs de contourner les processus de cryptage des données. La relative indiscipline plus forte dans tel ou tel pays serait en fait, toujours selon la même étude, liée au cryptage plus ou moins généralisé : plus les DSI décident de crypter systématiquement, plus les utilisateurs contournent ce qui est vécu comme une gêne.

Il en résulte que le vol d’un portable n’aboutit pas nécessairement à une violation de données. Une telle corrélation, toujours selon la même étude, n’a été admise que par 28% des Français interrogés, mais par 72% des Américains, 61% des Britanniques, 50% des Canadiens, 49% des Suédois et 46% des Allemands. Une telle différence peut être aussi due, sur du déclaratif, à une sensibilité aux données perdues.

L’absence totale de données sur le poste portable reste donc la solution la plus sure, comme cela a déjà été signalé en cas de voyage à l’étranger.

http://www.cio-online.com/actualites/lire-la-principale-menace-pour-la-securite-se-situe-entre-le-clavier-et-le-siege-2783.html

 

PIRATER UN FICHIER, C’EST SOUVENT PLUS SIMPLE ET RAPIDE QUE DE L’ACHETER

[Glenn Fleishman - TidBits - 08/03/2010 - Trad. Gregoire Seither]
J’ai été frappé par deux caricatures publiées récemment et qui expriment bien une frustation courante vis à vis des oeuvres numériques protétées par DRM: il est tellement fastidieux d’utiliser l’interface maladroite et délibérément frustrante que vous imposent les éditeurs, qu’il est souvent plus rapide et simple de télécharger et utiliser la version piratée… même si vous avez payé pour la version légale.

Ainsi, Geekologie présente la succession frustrante d’écrans qui s’affiche quand vous insérez un DVD légal dans un lecteur – au point de vous gacher le plaisir.

Pourquoi les DRM font chier le monde plus qu'autre chose....

http://www.geekologie.com/2010/02/piracy_the_benefit_of_not_payi.php

J’ai acheté ou loué des DVD récemment que j’ai eu envie de mettre dans le four à micro-ondes avant même de réussir à atteindre la première séquence du film, tellement la succession d’écrans est frustrante. C’est totalement inutile et contreproductif: les avertissements du FBI, Interpol, et autres agences de copyright n’ont jamais empéché quiconque de pirater un film, et de fait ils ne cassent les pieds qu’aux usagers légaux. De plus en plus de DVD incluent des séquences de publicités qu’on ne peut sauter ou passer en mode avance rapide, nous piégeant comme dans les salles de cinéma.

Quelle est l’alternative ? Téléchargez, rippez et gravez un fichier depuis le réseau – ou ouvrez-la sur votre ordinateur – et regardez confortablement le film, sans préliminaires fastidieux.

Le deuxième dessin nous parle encore plus: il raconte les péripéties de Brad D. tentant de louer, télécharger et écouter un livre audio depuis le site de sa bibliothèque municipale. A la fin, bien qu’ayant payé pour le livre, Brad finit par le télécharger sur un site BitTorrent, cela va plus vite et au moins ça marche.

Même quand on veut payer, c'est plus simple et rapide de pirater que d'achether

http://www.bradcolbow.com/archive.php/?p=205

Dans les deux cas, la morale de l’histoire n’est bien sûr pas, "Hé, allez voler les contenus et ne payez rien au propriétaire du droit d’auteur !" L’humour repose dans le mal que se donnent les éditeurs à rendre le contenu difficilement accessible pour les personnes qui ont payé pour le consutler. Les groupes médias semblent prendre un malin plaisir à compliquer les choses, ce qui ne fait que renforcer le ‘facteur cool’ du piratage et à présenter la copie illégale comme une sorte de "résistance civique".

http://www.tidbits-com

 

CHEZ FACEBOOK, N’IMPORTE QUI A ACCÈS A N’IMPORTE QUELLE DONNÉE SUR VOUS, MÊME PRIVÉE, MÊME EFFACÉE…

C’est bon de la savoir… mais ce n’est pas nouveau. En 1990, les admins de l’Université de Cornell se baladaient déjà avec un T-Shirt "I read your mail"… si on a accès aux bases de données, on peut faire ce que l’on veut.

Ce qui serait curieux de voir ce que vaudrait une "preuve par Facebook" devant la justice. Parce que n’importe quel admin pourrait envoyer un message de la part d’un utilisateur qui provoquerait une panique boursière, ou bien poster une photo pedo-nazo sur le profil de quelqu’un…  est-ce que Facebook a un garde-fou contre les admins. Pour parler comme les pages roses du Larousse : Quis Custodiet Ipsos Custodes? – qui surveille les surveillants ?

La possibilité pour un admin véreux de "spoofer" un compte d’utilisateur Facebook ouvre la porte à une infinité de variations manipulatoires…

[ Benjamin Sonntag - 12/01/2010]

Facebook & vie privée, alerte générale !

Alors comme ça vous avez un profil facebook, vous l’avez tout bien fermé pour que seuls vos amis puissent accéder à vos photos de vacances, état d’esprit, groupes, que vous pouvez ainsi partager en toute confiance ? …

Confiance vous avez dit ?

Mauvaise nouvelle :

À lire pour les anglophones :
http://therumpus.net/2010/01/conver…

Donc, sur le site The Rumpus, blog collectif littéraire américain de bonne facture (que je classerais, pour le comparer à quelque francophones, entre Cultural Gang-Bang et The Stalker), ce 11 janvier, un article a été publié, qui risque bien de faire beaucoup de bruit : les révélations d’un employé de Facebook vont probablement (c’est tout le mal qu’on peut leur souhaiter) enfin faire comprendre à ses utilisateurs et fan de ce réseau social ce qu’il en est de la vie privée !

The Rumpus nous fait la joie d’interviewer un (une ?) employé de Facebook, apparemment une de leurs amies.

"Though forthcoming, my friend was anxious to preserve her anonymity ; Facebook employees, after all, know better than most the value of privacy"

"Prudente, mon amie a souhaitée vivement conserver son anonymat ; les salariés de Facebook sont, somme toute, plus au courant que quiconque de la valeur de la vie privée."

Facebook conserve tout

Que nous apprend donc cette interview ? Tout d’abord que Facebook conserve tout, y compris les choses que l’on efface, dresse des profils très détaillés de ce que vous faites (toute interaction avec un autre membre est enregistrée et comptabilise dans le fait que cette autre personne vous est plus ou moins proche etc.)

Ensuite, on y apprend de nombreux détails techniques intéressants (sur le nombre de serveurs, leurs emplacement, leur contenu, le fait que chaque image soit stockée dans 6 tailles différentes etc.) mais cela ne nous intéresse pas particulièrement ici …

Un mot de passe universel

Ensuite, on apprend qu’un mot de passe universel, du genre "Ch !_ !ck |\|0Rr1s" permettait, depuis les bureaux de Facebook, aux ingénieurs de Facebook, (mais aussi à tout employé qui savait où chercher ce mot de passe …) d’accéder à n’importe quel profil à tout instant, et à toutes les données le composant.

Cela aurait provoqué le licenciement de 2 personnes ayant abusé de cette possibilité…

Désormais remplacé par un système avec archivage…

Désormais, ce mot de passe universel a été remplacé par un système qui permet à tout ingénieur de chez Facebook de "devenir" un utilisateur, donc de se connecter à son profile. Mais pour cela, il doit saisir une justification.

Ces justifications sont lues et encadrées par Chris Kelly, le chef de la vie privée à Facebook, en liaison direct avec le parquet de Californie … Cela peut sembler rassurant …

Mais bon… les bases de données sont là…

Cela dit, l’employée nous rappelle quelque chose de très important : les bases de données situées derrière tout cela sont belles et bien accessibles à de nombreux ingénieurs sans aucun contrôle : tout message, toute trace de message effacé mais conservé par Facebook, tous les messages privés échangés entre utilisateurs… Tout cela leur est accessible en quelques clics.

"Rumpus : So the master password is basically irrelevant.
Employee : Yeah.
Rumpus : It’s just for style."

"Rumpus : Are your managers really on your ass about it every time you log in as someone else ?
Employee : No, but if it comes up, you’d better be able to justify it. Or you will be fired."

Rumpus : Donc le mot de passe magique, en gros il ne sert à rien ?
L’employée : Mouaip.
Rumpus : C’est classe !
Rumpus : Et vos responsables sont toujours sur votre dos dès que vous vous connectez sur le compte de quelqu’un d’autre ?
L’employée : Non, mais si cela arrive, vous avez intérêt à avoir une bonne raison, sinon vous êtes viré.

Rassurant non ? ;)

Rien de nouveau…

Cela dit, si on creuse un peu, tout cela reste évident, et rien de nouveau sous le soleil, si vous me connaissez un peu, vous savez bien que je passe mon temps à vous expliquer que tout ce que vous dites sur Internet devrait être considéré comme public ;)

Enfin, je vous propose 2 petits liens pour terminer ces considérations de base sur la vie privée :

Le jeune créateur de Facebook, Mark Zuckerberg, expliqua récemment que Facebook étant avant tout un lieu pour s’exposer, "divulguer toutes ses infos devrait être la norme". Le ton est donné.

Dans la même veine, Jean-Marc Manach, aka Bugbrother, sur son blog du monde.fr, nous a concocté récemment un article de belle plume, "Les petits cons parlent aux vieux cons" qui lève le voile de la relation entre les principes de vie privée et la nouvelle génération d’internautes … Intriguant, intéressant, bien écrit, une lecture vivement conseillée ;)

http://benjamin.sonntag.fr/Facebook-vie-privee-alerte-generale

 

COMMENT CONTRER HADOPI… ARRÊTEZ DE PANIQUER

[Philou sur TrackerNews - 2/01/2010]

Pour les handicappés de la technologie parmi nous, il existe également un tutoriel vidéo très simple et très bien fait, qui explique comment installer un VPN. Cela pèse 450 Mo et se trouve sur la quasi totalité des serveurs bittorrent.

Anti-Hadopi.VPN.Video.Tutorial.XP-Win7.FR-NzB.zip –
http://isohunt.com/torrent_details/148969293/?tab=summary

LES SOLUTIONS POUR CONTRER HADOPI
Bonjour à tous et à toutes,
Énième rebondissement dans la saga tragicomique de la loi Hadopi.
Alors que les premiers courriels ne seraient envoyés qu’en Avril prochain (dans le meilleur des cas), voici quand même quelques points IMPORTANTS à savoir sur le sujet:
- "La mule" (Réseau ED2K) a été confirmée comme étant la cible prioritaire.
- HADOPI sera géré par une poignée d’employé(e)s uniquement.
- Il y a des techniques déjà en place, pour éviter de recevoir des "pourriels" en provenance d’HADOPI.

Maintenant, tous ceux et celles concernés, veuillez prendre une grande respiration et arrêtez de paniquer!
HADOPI ne pourra ABSOLUMENT rien contre ceux qui se protègeront… Si un jour HADOPI voit son ombre…

Malgré tout, voici tel que promis dans le billet précédent, comment vous protéger:

• 1- Location d’une Seedbox HORS FRANCE.
• 2- Location d’un serveur VPN HORS FRANCE.
• 3- Utilisation d’accès réseau sans-fil (WIFI) non-protégé ou publique
• 4- Déménager HORS FRANCE.

 

TELEPHONIE MOBILE : LA CLE DE CHIFFREMENT DU GSM A ETE CASSEE

[Backchich 01/01/2010]

Joli cadeau de nouvelle année. Un hacker allemand a dévoilé les clés de cryptage du GSM. En fait, comment sont codées les conversations sur téléphones portables. Au grand dam des opérateurs…et des agences gouvernementales.

Lundi 28 décembre, afin de démontrer les lacunes en matière de sécurité des systèmes globaux sans fil, un ingénieur informatique allemand a déclaré qu’il avait décodé et publié le code secret utilisé pour crypter la plupart des communications sur les téléphones mobiles digitaux.

L’expert en question, un certain Karsten Nohl, a affirmé avoir pour seul objectif de démontrer l’inefficacité de l’algorithme GSM de cryptage vieux de 21 ans. Un code élaboré en 1988 et toujours en vigueur aujourd’hui pour protéger la confidentialité d’environ 80% des communications mondiales passées sur les mobiles.

Un cryptage vieux de 21 ans dégommé sur le web

« Ca démontre simplement que la sécurité GSM est inadéquate », a affirmé Nohl, 28 ans, devant les 600 participants du Congrès du Chaos des Communications, une conférence de 4 jours qui a pris fin le mercredi 30 décembre à Berlin, et qui réunit la crème des hackers : «  Nous essayons de convaincre les opérateurs d’améliorer les mesures de sécurité des communications sur les mobiles », a-t-il martelé à plusieurs reprises sous les applaudissements au cours de son intervention.

L’association GSM basée à Londres qui regroupe les opérateurs et est à l’origine de l’algorithme visé, a rapidement fait savoir que les actions menées par Nohl étaient illégales et qu’en plus, il surestimait considérablement les menaces pesant sur la sécurité des communications sans fil. On peut certainement leur faire confiance…

Pour toute réponse, le hacker a indiqué que le code de l’algorithme était disponible sur le Web, notamment par l’intermédiaire de fournisseurs comme Bit Torrentt, très prisé de ceux qui téléchargent de grosses quantités de données comme des films et de la musique. Il s’est toutefois refusé à indiquer un lien vers ledit code, de crainte des conséquences juridiques d’une telle confidence, même faite en guise de cadeau de Noël. Il a d’ailleurs laissé entendre que les références du site concerné s’étaient rapidement répandues de bouche à oreille au sein de la communauté des hackers.

Ecoutez qui vous voulez

Simon Bransfield-Garth, directeur général de CellCrypt, également basée à Londres et fort mécontent de la nouvelle, y est bien entendu allé de son coup de griffe en indiquant que tout ce que Nohl allait réussir à faire, c’est de mettre la technologie sophistiquée d’interception des communications mobiles – jusqu’ici réservée aux gouvernements et aux agences de renseignement – à la portée de toute organisation criminelle disposant des ressources financières suffisantes : «  Cela va réduire de quelques semaines à quelques heures, le temps nécessaire pour déchiffrer une communication GSM. Au train où vont les choses ça pourrait même se chiffrer rapidement en minutes » a-t-il affirmé au cours d’un entretien accordé à des journalistes qui l’interrogeaient sur la portée de la « découverte » de « l’expert » teuton.

Il a indiqué sur un ton qui dissimulait mal une grosse inquiétude pour l’avenir de son business, que les progrès dans la technologie de la surveillance mettaient aujourd’hui à disposition du public, notamment en Inde, des systèmes de surveillance des communications sans fil au prix ridicule de 1500 dollars.

Grincheux, il a ajouté : «  des clients nous ont indiqué avoir perdu des affaires se chiffrant en dizaines de millions de dollars à cause de fuites au bénéfices de leurs concurrents, intervenues à la suite d’interception de communications ». Il a conclu en indiquant que «  les interceptions de communications téléphoniques mobiles étaient beaucoup plus fréquentes que ce que l’on croit ». On s’en doutait. A ce prix là, c’est vrai que c’est simple comme un coup de fil…

http://www.bakchich.info/Espionner-c-est-simple-comme-un,09691.html

 

MININOVA JETTE L’EPONGE ET VA SE CONCENTRER SUR DES CONTENUS CHIANTS ET SANS INTERET (euuh, pardon, légaux)

[ZDNET  _  26/11/2009]

Considéré comme le plus gros moteur de recherche de liens BitTorrent, Minova.org était poursuivi aux Pays-Bas où il risquait 5 millions d’euros d’amende. Le site a préféré fermer son service pour se consacrer au développement d’une offre légale de contenu.

Mininova.org, le site incontournable pour la recherche de liens BitTorrent, a annoncé qu’il abandonnait ce service afin de se conformer à la décision de la justice néerlandaise saisie en 2008 par l’association de défense des droits d’auteur BREIN. Mininova est accusé de permettre le téléchargement de millions de contenus (films, musique, logiciels…) protégés.

Créé fin 2004 sur les restes de Suprnova par cinq étudiants hollandais, Mininova s’est hissé dans le top 100 des sites les plus visités dans le monde avec 50 millions de visiteurs uniques. Il y a une semaine, le site franchissait la barre des 10 milliards de téléchargements générés par son intermédiaire. Un succès que les créateurs de Mininova n’ont pas manqué de rentabiliser grâce à la publicité qui aurait rapporté quelques millions d’euros.

Pas de filtrage efficace possible

Le 26 août dernier, Mininova était sommé d’identifier et de supprimer tous les liens vers les contenus protégés dans un délai de 3 mois sous peine de payer 5 millions d’euros d’amende. Pour sa défense, le site a expliqué qu’il retirait déjà tout lien suspicieux à la demande des ayants droit et avait cherché à collaborer avec des associations comme la BREIN.

La justice a admis que le site n’était pas directement coupable de violation de droits d’auteur, tout en exigeant un filtrage totalement efficace. Infaisable expliquait hier Mininova, estimant qu’il n’est « ni techniquement ni opérationnellement possible d’implanter un filtrage fiable à 100% ».

En conséquence, le site a préféré suspendre ses activités. Il va laisser un grand vide qui ne tardera sans doute pas à être comblé. Mininova va désormais se consacrer au développement d’une offre légale avec sa plateforme, qui permettra aux artistes et aux producteurs de diffuser leur création.

Mininova.org réfléchit toutefois à faire appel de la décision du tribunal.

http://www.zdnet.fr/actualites/internet/0,39020774,39711109,00.htm

 

LES ANTI-VIRUS INFORMATIQUES NE SERVENT A RIEN, LA PREUVE EST FAITE

Passez sur Apple Mac… ce n’est pas la panacée, mais le nombre de virus et troyens qui les affectent est quasiment nul. Et installez un filtre de sortie, du genre Little Snitch (
http://www.obdev.at/products/index.html
)

Pourquoi les antivirus sont inefficaces pour votre ordinateur

[Augustin Scalbert | Rue89 | 30/10/2009]

L’ESIEA, une école d’ingénieurs française, peut se vanter d’avoir semé une belle pagaille dans le petit monde des éditeurs d’antivirus. Sur son campus de Laval, elle a organisé le week-end dernier un test des logiciels de protection les plus répandus. Les résultats sont accablants, puisque six des sept antivirus testés ont été désactivés en moins de 40 minutes (et deux minutes pour le moins performant). En clair, à la seconde où vous connectez votre ordinateur à Internet, voici en combien de temps il peut être pénétré, en fonction de la marque de votre antivirus :

• McAfee : 1 min 56
• Norton : 4 min
• GDATA : 5 min
• AVG : 15 min
• NOD32 : 33 min
• Kaspersky : 40 min
• Dr Web : non contourné dans le temps imparti, mais « suffisamment affaibli » pour conclure qu’il l’aurait été en « plus d’une heure ».

Très vite, l’un des éditeurs, GDATA, a dénoncé sur LePoint.fr un « protocole de test spécifique » passant par des « manipulations physiques sur la machine ».

Le directeur de la recherche de l’ESIEA, Eric Filiol, qui est aussi à la tête du « laboratoire de cryptologie et virologie opérationnelles », répond que le test a consisté à vérifier « scrupuleusement que ce qui était fait correspondait strictement à la réalité, tout en respectant la loi, bien sûr » :

« Ces réponses sont intellectuellement malhonnêtes. Depuis une dizaine d’années, il existe des virus qui attaquent et désactivent les antivirus. Il faut donc se placer dans la vision de l’attaquant. Ceux qui critiquent notre test auraient pu venir y participer. »

L’école souligne d’ailleurs que des représentants d’un autre éditeur, AVG, étaient présents à Laval :

« Ils ont particulièrement apprécié cette approche. Lorsque leur antivirus est tombé devant leurs yeux, ils ont appelé en direct leurs développeurs en République tchèque pour relayer les informations techniques récupérées. »

Le « compromis » des éditeurs : plus d’argent à moindre coût

Pourquoi ces logiciels de protection, dont le rôle est uniquement de protéger le mieux possible les ordinateurs, sont-ils si inefficaces ? Eric Filiol a une petite idée :

« Il existe des moyens de faire des antivirus efficaces, mais c’est à la fois plus cher en recherche et développement, et plus lourd pour le système d’exploitation de l’ordinateur. La plupart des éditeurs choisissent donc le compromis qui leur permet de gagner plus d’argent à moindre coût. »

Selon lui, les résultats du test réalisé par l’ESIEA reflètent très exactement les rapports entre les budgets de recherche et développement et ceux du marketing chez les différents éditeurs.

Eric Filiol considère que « notre vie privée est exposée », et appelle à l’adoption d’une réglementation pour « des seuils minimum de protection ».

Selon un organisme américain cité dans un colloque consacré à la sécurité informatique, le temps d’infection moyen d’un PC sous Windows, directement connecté à Internet sans antivirus à jour et sans firewall personnel, serait en 2009 de quatre minutes. Sans antivirus ! En 2004, ce temps était de 20 minutes, et de 40 minutes en 2003.

http://eco.rue89.com/2009/10/30/pourquoi-les-antivirus-sont-inefficaces-pour-votre-ordinateur-124032

 

TON MOT DE PASSE ? JE TE LE DEVINE EN TROIS SECONDES, GRACE AU WEB 2.0

FORGOT YOUR PASSWORD ?

[Stéphanie Bruhière - Mediashift - 28/05/2009]

Vous croyez votre compte bancaire ou votre boîte e-mail parfaitement protégée par un mot de passe ultra-confidentiel et une question secrète dont la réponse ne serait connue que de vous ? Vous pensiez qu’en mettant deux majuscules, trois chiffres et un dièse dans votre mot de passe, personne ne pourrait pirater vos comptes sur internet ?

Grosse erreur d’après Herbert H. Thompson, journaliste au Scientific American. En effet, celui-ci a souhaité montrer à quel point il était facile et à la portée de tous de pirater le compte d’une tierce personne en passant simplement par le lien « mot de passe oublié ». Pour appuyer ses arguments, il a donc tenté d’accéder au compte bancaire d’une victime de son choix en utilisant la fonction de récupération de mot de passe. Pour cela, il a donc pris pour cible une amie de sa femme au sujet de laquelle il ne connaissait que des informations relativement basiques : son nom, l’Etat où elle résidait, son âge, son lieu de travail et le nom de sa banque. Une première recherche Google à partir du nom de famille de lui dévoile un blog et un vieux CV. Le blog notamment, s’avère extrêmement utile : il y obtient des informations sur sa famille et sur son enfance, ainsi que son adresse e-mail du collège et son adresse G-Mail actuelle.

Il se connecte ensuite sur le site bancaire de l’amie de sa femme. Le lien du fameux « mot de passe oublié ? » le renvoie à la consultation de G-Mail. En effet, un courriel y a été envoyé afin de cliquer sur un lien pour réinitialiser le mot de passe. Il s’agit donc alors d’accéder à la boîte email.

La démarche est la même : G-Mail renvoie le journaliste vers une autre adresse email, renseignée lors de la création du compte. Dans le cas présent, il s’agit de celle que la victime avait au collège, information obtenue auparavant grâce à la recherche Google.

C’est sur ce compte qu’Herbert Thompson va pouvoir agir en cliquant sur le « mot de passe oublié ». Il doit alors répondre à une « question secrète » personnelle afin de changer le mot de passe. Or avec à sa disposition le blog et l’ancien CV, le journaliste a toutes les informations nécessaires pour y répondre. La suite est particulièrement aisée : il accède ainsi au compte G-Mail de l’amie de sa femme à partir duquel il aura accès à l’e-mail envoyé par la banque.

L’expérience est troublante. En effet, depuis quelques temps, les questions secrètes se sont sophistiquées. En plus du traditionnel nom de jeune fille de notre mère, on nous demande également de choisir entre notre héros d’enfance ou notre animal préféré par exemple. Il ne nous viendrait pas à l’esprit qu’un « hacker » puisse connaître ces informations en apparence très personnelles. Or à l’ère des blogs, des curriculum vitae en ligne et des réseaux sociaux sur lesquels l’on n’hésite plus à parler de Doudou, le hamster de notre enfance, il est désormais aisé pour les pirates de découvrir la réponse à ces questions destinées à protéger nos comptes sur internet.

Aux Etats-Unis, il est même possible d’acheter clandestinement des répertoires de renseignements personnels du type « nom de votre animal préféré » pour environ 15 dollars par lot. Si l’on ne dispose pas encore de statistiques précises, cette stratégie est soupçonnée dans de nombreux cas de piratage à l’heure actuelle.

Cet exemple met une fois encore l’accent sur les dangers qu’il peut y avoir à trop dévoiler sa vie sur le net. Les données divulguées restent sur la toile, souvent longtemps après leur diffusion. Cela constitue une véritable mine d’or pour les pirates, d’autant plus que cela ne requiert aucune compétence informatique particulière. La solution se situe alors entre la maîtrise des informations personnelles que l’on diffuse et des changements de mots de passe régulier.

Dès lors, si vous croyiez être le seul à connaître le surnom que vous donnaient vos parents quand vous aviez six ans, il est possible qu’une dizaine de « hackers » soient désormais au courant. Au-delà de l’embarras personnel que cela peut vous causer, c’est surtout tout vos comptes sur le web qui sont menacés.

http://blog.mediashift.fr/2009/05/28/forgot-your-password/

 

MANIFESTE POUR LA CRÉATION D’UNE ORGANISATION HACKER EN FRANCE

[DegenereScience, août 2009]

Devant l’évidence de la catastrophe, il y a ceux qui s’indignent et ceux qui prennent acte, ceux qui dénoncent et ceux qui s’organisent. Nous sommes du côté de ceux qui s’organisent. (Anonyme, Appel "L’insurrection qui vient" -  Comité Invisible)

En pratique, le Contre-Net et la TAZ peuvent être considérés comme des fins en soi – mais, en théorie, ils peuvent aussi être perçus comme des formes de lutte pour une réalité différente.  (Hakim Bey, TAZ : zone d’autonomie temporaire, 1991)

I – La contre-culture hacker

Il n’a jamais été question d’être méchants ou destructeurs, même quand nous combattions les contre-vérités diffusées par les média de masse. Nous formions un ensemble de gens bizarres, qui exploraient un univers nouveau et partageaient leurs découvertes avec qui voulait bien l’entendre. Nous étions dangereux.  (Emmanuel Goldstein, The Best of 2600: A Hacker Oddyssey, 2008)

Oui, je suis un criminel. Mon crime est celui de la curiosité. Mon crime est celui de juger les gens par ce qu’ils pensent et disent, pas selon leur apparence. Mon crime est de vous surpasser, quelque chose que vous ne me pardonnerez jamais. (The Mentor, The Conscience of a Hacker, 1986, paru dans le numéro 7 du magazine électronique Phrack)

Les préjugés sur le mouvement hacker sont si profondément ancrés dans l’inconscient collectif qu’ils se suffisent à eux-mêmes. Le grand public oscille entre d’une part l’image terroriste véhiculée par le complexe médiatico-policier, etd’autre part celle d’un explorateur des frontières du cyber-espace transmise par la mauvaise science-fiction. À tel point que très peu connaissent le sens réel du mot hacker, et moins encore ont une vue globale de ce dont il s’agit.