PROJET AUTOBLOG


Reflets

Site original : Reflets

⇐ retour index

Radio Reflets #7 : la Loi sur le renseignement (invité : Tristan Nitot)

Saturday 2 May 2015 à 22:58

on_air

#RadioReflets7 – mercredi 6 mai 2015.

Téléchargez le podcast

Format OggFormat mp3

Le thème :

Pour sa septième émission de radio, Reflets ne pouvait faire l’impasse, actualité oblige sur le projet de Loi sur le renseignement, qui doit être voté la veille de notre émission. En dépit de l’opposition forcenée et argumentée de toute la société civile (associations, avocats, juges, experts informatiques,…), le gouvernement tout entier et la quasi majorité des députés et sénateurs voteront pour un projet panoptique, visant à exclure le pouvoir judiciaire des actions de renseignement. Les articles de Reflets depuis 2011 sur Amesys, Qosmos, BlueCoat et toutes les dérives des outils de surveillance à l’échelle d’une nation n’ont visiblement pas éclairé ce gouvernement qui se dit de gauche. Il va installer un outil qui se retournera contre lui à la prochaine alternance… En même temps… On ne peut pas dire que l’on ne savait pas vers quoi tendaient les différents gouvernements ces dernières années. Nous avons voulu recueillir l’avis de Tristan Nitot sur toutes ces problématiques.

L’invité : Tristan Nitot. Personnalité du Net, Tristan est un ancien de Netscape, ancien responsable de la branche européenne de la fondation Mozilla, membre du Conseil national du numérique (CNN) et travaille actuellement chez Cozy Cloud.

Animateurs : Drapher, Kitetoa

Technique et programmation musicale : Epimae.

Playlist musicale :

Le flux audio est assuré par Tryphon

Hashtag : #RadioReflets7

La date : le mercredi 6 mai 2015, de 18 h à à 19h15.

L’Allemagne espionnerait pour le compte de la NSA : pourquoi la France se tait

Saturday 2 May 2015 à 19:41

austin-powersSelon la presse allemande, l’Allemagne aurait espionné la France et l’Union européenne pour le compte de la NSA. Etonnament, pensent certains, la France se tait. Comme si finalement, il n’y avait pas là une sorte de cassure dans le couple franco-allemand. Arte a demandé à Reflets ce qu’il en pensait. Nous ne sommes pas des experts de l’espionnage mais nous avons quand même une idée ou deux sur le sujet.

Premier point, comme l’expliquait déjà Bluetouff en juin 2013, la collaboration très étroite entre la Grande-Bretagne, l’Allemagne et les Etats-Unis en matière d’écoute n’est pas une nouveauté. L’armée américaine et la NSA, évidemment, exploitent des bases monumentales dans ces pays. Des bases dans lesquelles les employés sont américains. Lorsqu’un pays donne le droit à un autre de mettre en place des stations d’écoute très sophistiquées et « autonomes » sur son sol, on est en droit d’imaginer que la collaboration dans ce domaine est maximale.

Deuxième point, il est désormais établi que les pays, amis plus ou moins proches, ont mis en place après le 11 septembre une gigantesque bourse d’échange de renseignements. Tu espionnes machin, ça m’intéresse. Moi j’espionne truc et ça t’intéresse. Ça tombe bien, nos législations locales nous interdisent d’espionner machin ou truc, on n’a qu’à échanger ces données. #Spamoi qui l’ai fait, c’est mon copain. Ainsi, les Etats-Unis puisent en Grande-Bretagne les informations concernant leurs ressortissants et la Grande-Bretagne va chercher aux Etats-Unis les données concernant les sujets de sa majesté. Pratique.

Les Etats-Unis, comme l’avait déjà évoqué Reflets, ont une mauvaise connectivité avec l’Afrique. La France, à l’inverse, a de gros tuyaux qui passent par cette région. Les Américains utilisent donc des métadonnées récoltées par la France. Ceci, très probablement dans le cadre du mystérieux accord Lustre que la France refuse catégoriquement de commenter depuis la révélation de son existence. Jean-Jacques Urvoas allant même jusqu’à quitter la salle lorsque Reflets l’interrogeait sur ce sujet dans une réunion publique.

Cette collaboration asymétrique (les Etats-Unis ont des capacités d’écoute bien plus importantes) a bien entendu un volet désagréable. Lorsque Edward Snowden envisageait de demander l’asile à l’Allemagne, les Etats-Unis ont expliqué à leurs amis allemands qu’il n’en était pas question, sous peine de perdre l’accès à cette bourse d’échanges.

On peut aisément imaginer que les demandes d’espionnage du gouvernement français ou de la communauté européenne étaient également des demandes que l’on ne peut refuser. Sous peine de perdre ce fameux accès aux informations.

Troisième point, on voit mal la France, que ce soit le gouvernement ou les députés et sénateurs, monter au créneau sur cette affaire alors qu’ils défendent tous (ou presque) becs et ongles le projet de Loi sur le renseignement qui va mettre en place des outils permettant de faire… exactement la même chose. Placer sur écoute globale (surf, discussions, mails, vidéos, téléchargements, voix sur IP, etc.) une personne. Y compris probablement à l’étranger.

Je te tiens, tu me tiens, par la barbichette, tralalalalaaa…

Enfin, l’espionnage entre amis n’est pas plus une nouveauté que la collaboration étroite entre l’Allemagne et les Etats-Unis. Tout le monde espionne tout le monde. C’est pratique, par exemple, lorsque des accords internationaux sont en discussion, cela permet de savoir ce que les « amis » en face ont dans la manche. Et comme la France doit probablement faire exactement la même chose, elle n’a aucun intérêt à s’offusquer publiquement de ce que fait l’Allemagne. Sous peine d’avoir l’air un peu bête le jour où ses activités seront éventuellement dévoilées.

nsa-obama-hollandeUn bon exemple de cette problématique avait été révélée par le patron de la NSA à l’époque où l’on venait d’apprendre que la France avait été « écoutée » par la NSA. Selon Le Monde, 70,3 millions de métadonnées sur les Français auraient été récoltées en un seul mois. Panique à bord, protestations molles du gouvernement français, et surtout, apparition de Keith Alexander, patron de la NSA devant les représentants américains :  « ce sont ces pays qui nous ont transmis ces données ». Traduction en langage non diplomatique : arrêtez de nous critiquer sinon on va révéler l’étendue de notre coopération. Message reçu par Paris et les autres capitales européennes concernées. Paris explique que ces données proviennent des terrains d’opérations (et ne concernent donc pas des Français), qu’il s’agit de métadonnées, donc, rien de grave. Nos lecteurs savent pourtant combien les métadonnées sont bavardes…

Dans le monde gris et un peu louche, pétri de compromissions, du renseignement, tout le monde se tient par la barbichette. Le premier qui rira aura une tapette ! Méfiance…

 

WordPress 4.2 : Tor Browser’s and Canvas privacy warning prompt

Sunday 26 April 2015 à 13:02

tor-browser-bundle_w_500The Tor Browser is known to be used by activists, journalists, and people who need a high level of privacy while they’re surfing.
Every possible way to track people on Internet are a serious concern for the Tor developers because anonymization doesn’t support approximation and leads to take decisions that could seem « over-paranoid » to others developpers communities.

Description

In previous WordPress versions (prior to 4.2) Gravatar was already known to be detected as tracker by some tools like Ghostery. But with gravatars disabled, only logged in users get the warning due to the admin bar.
4.2 update on wp-includes/formatting.php introduced a new way to check if emoji are enabled or not, injecting in wp-head an emoji detection script using canvas.


window._wpemojiSettings = {"baseUrl":"https:\/\/s.w.org\/images\/core\/emoji\/72x72\/","ext":".png","source":{"concatemoji":"https:\/\/mywebstite.com\/wp-includes\/js\/wp-emoji-release.min.js?ver=4.2"}};
!function(a,b,c){function d(a){var c=b.createElement("canvas"),d=c.getContext&&c.getContext("2d");return d&&d.fillText?(d.textBaseline="top",d.font="600 32px Arial","flag"===a?(d.fillText(String.fromCharCode(55356,56812,55356,56807),0,0),c.toDataURL().length>3e3):(d.fillText(String.fromCharCode(55357,56835),0,0),0!==d.getImageData(16,16,1,1).data[0])):!1}function e(a){var c=b.createElement("script");c.src=a,c.type="text/javascript",b.getElementsByTagName("head")[0].appendChild(c)}var f;c.supports={simple:d("simple"),flag:d("flag")},c.supports.simple&&c.supports.flag||(f=c.source||{},f.concatemoji?e(f.concatemoji):f.wpemoji&&f.twemoji&&(e(f.twemoji),e(f.wpemoji)))}(window,document,window._wpemojiSettings);

This new addition, even with emoji disabled, and logged off, leads the Tor Browser to print the following warning message

Tor-Warning

WordPress owners running a website with high privacy concerns cannot let the highly trustable Tor browser giving an alert prompt to each reader about a possible privacy issue on their website. The ability to let Tor Browser users allow or block canvas hash decoding fearing a malicious use has been discussed here and here and appears in Tor Reference documentation as a fingerprinting threat.

« We display the warning if websites attempt to render image data and then silently extract it, because this is a major, high-entropy, highly stable fingerprinting vector. »

« After plugins and plugin-provided information, we believe that the HTML5 Canvas is the single largest fingerprinting threat browsers face today. Initial studies show that the Canvas can provide an easy-access fingerprinting target: The adversary simply renders WebGL, font, and named color data to a Canvas element, extracts the image buffer, and computes a hash of that image data. Subtle differences in the video card, font packs, and even font and graphics library versions allow the adversary to produce a stable, simple, high-entropy fingerprint of a computer. In fact, the hash of the rendered image can be used almost identically to a tracking cookie by the web server. »

Even if this not a security issue with WordPress, i guess the WordPress community should reconsider the use and implementation of this feature which is not critically useful for most of us, considering trust and privacy are useful an critical for vulnerable people who use Tor to protect themselves.

How to disable ?

If you want to disable this feature to avoid this useless warning on a clean / no tracking website, you have 2 solutions :

remove_action( 'wp_head', 'print_emoji_detection_script', 7 );

We hope the WordPress team will consider this issue. Even if it’s not related to security, it’s related to trust, the trust between : over-paranoid people who sometimes have good reasons to be such paranoid and website owners who try to run a state of the art WordPress for privacy, just like it should be out of the box.

Thanks to @recifs, @ScreenFeedFr & Yoshi for alerting us and helping us to fix.

Avertissement de confidentialité sur WordPress 4.2

Saturday 25 April 2015 à 14:44

canvasNous avons été alertés ce matin d’une incongruité sur reflets.info. Celle ci concerne une extension du Tor Browser, signalant un problème de confidentialité que nous avons pris au sérieux. Nous avons donc temporairement fermé Reflets, le temps pour nous d’essayer de comprendre d’où ceci pouvait venir.

Après de multiples vérifications, nous en sommes venus à confirmer sur un sujet des forums de WordPress que ceci était fort probablement lié à la dernière mise à jour de wordpress 4.2. Nous avons un doute sur l’intégration de petits gadgets, inutiles à la publication (gravatars et Emoji), qui peut conduire votre navigateur à fournir à au serveur web le moyen d’identifier votre navigateur de manière unique à des fins de tracking.

Confiant en la politique globale de WordPress en matière de confidentialité, nous ne doutons pas que ceci sera prochainement réglé. En attendant, pour une confidentialité accrue, nous vous invitons à utiliser une version à jour de Tor Bundle pour bloquer la requête faite à votre navigateur.

En vous priant de bien vouloir nous excuser pour ce désagrément.

Merci à @recifs et Yoshi de nous avoir remonté ce problème.

/b

Cybereugénisme : détection comportementale sur les réseaux… ne voyez-vous rien venir à l’Horizon ?

Friday 24 April 2015 à 19:37
Un cluster de boites noires Made In France de nos amis du @LaboMedia

Un cluster de boites noires Made in France de nos amis du @LaboMedia

Le Monde publiait dernièrement un article sur Predpol, si l’information est intéressante à rappeler, elle n’est pas récente et Predpol lui même n’est pas le nec plus ultra en matière de surveillance prédictive. La prédiction de la criminalité sur les réseaux n’est pas nouvelle nous avions il y a quelques années déjà eu vent d’ Indect (projet de recherche porté par la communauté européenne visant à détecter et prévenir les comportements criminels et le terrorisme). Et un troisième, mais nous y reviendrons plus tard…

Il est donc temps pour nous d’aborder ce pan méconnu de la surveillance basée sur des statistiques, que nous abordions par ailleurs déjà en 2010 sans que cela n’émoustille grand monde et que nous définissions de cette manière :

Le calcul stochastique est une approche de calcul probabiliste datant des années 50. Ses applications aux réseaux sont elles, très contemporaines. On déduira des diverses choses trouvées sur le Net que la SPI est donc une approche probabiliste d’inspection de paquets visant à en déterminer sa nature et à appliquer des règles en fonction de l’observation de ce qui transite sur le réseau. 

 

Nous parlions donc de Stochastic Packet Inspection, une inspection des paquets IP basée sur une approche probabiliste. L’approche probabiliste appliquée aux réseaux présente l’avantage de recentrer la surveillance active sur les signaux faibles en partant d’une interception, elle, bien massive… sinon, comme le rappelait Andréa Fradin dans cet excellent article … ça ne fonctionne pas de manière optimale. Mais de quoi parle t-on quand on parle d’écoute massive ? C’est là qu’il y a souvent une confusion entre le mot lui même et ce que la pratique, en environnement de production, permet de faire. La NSA s’est dotée des systèmes de renseignement d’origine électromagnétique les plus gargantuesques, aspirant tout et n’importe quoi et nécessitant des traitements que la France n’aurait pas les moyens de s’offrir. Les révélations d’Edward Snowden ont permis une certaine prise de conscience générale sur les dommages collatéraux en terme de libertés publiques. Mais, Snowden ou pas, la réelle menace terroriste planant sur certaines nations, dont la France, conduit de nombreuses entreprises privées, la recherche publique, et les autorités, à repenser une surveillance plus efficace.

L’épisode (en plusieurs parties) qui va suivre nous rappelle vaguement une vieille connaissance de Reflets, c’est l’histoire de ce qui n’est pour l’instant qu’un projet de recherche universitaire, directement interconnecté à un besoin à des fins de renseignement et de surveillance, pour prévenir la criminalité. La surveillance algorithmique des populations, afin de détecter et de prévenir des comportements criminels a t-elle un avenir en France ? On peut le craindre. Car pour rendre un algorithme intelligent, il faut l’alimenter avec un maximum d’informations, pour lui permettre d’apprendre. Les statistiques ne sont fiables que si les échantillons sont ultras représentatifs, et plus on a de données, plus ils sont représentatifs… et plus la prédiction a des chances d’être efficace. Il y a bien au moins un projet en ce sens à l’étude en France, réunissant des acteurs assez sérieux pour qu’il prenne forme un jour.

De la même façon que le marketing prédictif ou les algorithmes de high frequency trading sont boulimiques d’informations, la surveillance des personnes à des fins de prévention des crimes et délits seront naturellement d’énormes consommateurs de métadonnées, métadonnées qui vous renseignent souvent bien plus que les contenus des correspondances sur les activités d’une personne.

Et heu .. au fait, ça fonctionne comment votre truc niveau libertés publiques tout ça ? Et bien les libertés publiques dans tout ça, c’est pas folichon. Bernard Cazeneuve a beau répéter que « non on ne viole pas les communications, on intercepte que des métadonnées  », si les « algorithmes » correspondent à une approche probabiliste « (open)data centric », les informations dont nous disposons aujourd’hui nous laissent distinctement entrevoir une utilisation de ces métadonnées qui fait froid dans le dos. Si Predpol ne nous transporte pas encore dans l’ère « Minority Report  », la loi sur le renseignement, les boites noires qui nous font tant fantasmer et les algorithmes probabilistes à des fins de détection comportementale sur les réseaux pourrait bien tout droit nous y conduire. Cette orientation ne peut pousser qu’à faire du massif, toujours plus massif, pour rendre un algorithme plus efficace, plus intelligent, plus intrusif. Nous ne serions même plus dans de la « surveillance de masse  », mais dans le cybereugénisme. Du délit de sale gueule au délit de sales métadonnées, il n’y a désormais qu’un pas, et il pointe à l’Horizon.

Plus que jamais, nous ne pouvons que réaffirmer le besoin d’ouvrir une vaste concertation sur ce qui n’est plus qu’un problème uniquement lié à la sécurité des personnes, mais un choix de société sur le long terme, que d’autres pays suivront une fois la boite de Pandore ouverte. Oui nous sommes menacés, mais ceci ne doit pas être le prétexte à faire peser sur nos démocraties des menaces encore plus lourdes. Le renseignement a probablement besoin de plus de retenue de la part des politiques, de plus de moyens humains, d’outils techniques et légaux adaptés à la problématique précise du terrorisme et qui ne risquent pas un jour de se retrouver à réguler l’ensemble de nos sociétés comme ils régulent déjà artificiellement les marchés financiers.