En juillet 2014, je vous ai présenté SpiderOak, un service que j'utilise depuis tout ce temps, similaire à Dropbox mais en mode zero knowledge. Cela veut dire que les fichiers que vous stockez chez eux sont chiffrés avec votre clé et vous êtes le seul à pouvoir les déchiffrer.

Si vous perdez votre clé, vous ne pourrez pas récupérer vos fichiers.

Mais SpiderOak propose un autre outil super intéressant qui s'appelle Encryptr et qui n'est ni plus ni moins qu'un gestionnaire de mots de passe et autres données sensibles (notes, adresse, n° de CB...etc) qui fonctionne sur le même principe tout chiffré (en zero knowledge) que leur système de backup .

Disponible sous Android, Windows, Linux et OSX, Encryptr sait aussi générer des mots de passe lorsque vous souhaitez enregistrer de nouveaux identifiants. Bon, c'est clairement moins poussé niveau fonctionnalités que Lastpass (y'a pas les plugins navigateurs par exemple) mais c'est gratuit et tout aussi sécurisé.

À tester si vous n'avez pas encore de gestionnaire de mot de passe.

Et si vous êtes développeur, sachez que SpiderOak propose aussi Crypton, un framework javascript qui permet d'imaginer tout type d'applications sécurisées en Zero Knowledge sans rien connaitre aux secrets du chiffrement.

Aucune idée de ce que ça vaut, mais je viens de tomber sur un tout nouveau logiciel de base de données qui s'appelle ZeroDB et qui permet de disposer d'une base de données chiffrée de bout en bout (end to end).

Les données stockées sur le serveur sont chiffrées en permanence, y compris lorsqu'elles sont requêtées et transmises aux clients. Sur le site ZeroDB, ils expliquent que le déchiffrement se fait côté client uniquement, ce qui permet en cas de compromission d'un serveur d'éviter que les données ne se retrouvent en clair dans la nature.

D'ailleurs histoire de bien insister sur ce point, MacLane Wilkison & Michael Egorov (les développeurs) expliquent que grâce à ZeroDB, il est maintenant possible de mettre des données sensibles ou critiques sur n'importe quel service de cloud.

Et même si j'ai des doutes niveau perfs, ils nous racontent ici que ça reste très bon. Si ce projet vous intéresse, tout est là :

• zerodb repo: https://github.com/zero-db/zerodb/
• zerodb-server repo: https://github.com/zero-db/zerodb-server/
• Documentation: http://docs.zerodb.io/

Et voici une démo en vidéo de la chose :

Bref, l'idée semble séduisante et même si je n'ai aucune idée de ce que ça vaut en vrai, les sources sont disponibles donc y'a plus qu'à essayer pour se faire un avis !

Enjoy !

Source

Vous vous souvenez de Voila.fr ? Ils sont nombreux ceux qui utilisent encore un mail en @voila.fr... 500 000 personnes environ...

Vous faites d'ailleurs peut être encore partie des gens qui ont et utilisent une boite mail Voila.fr. Seulement, voilà... (ahaha), Orange a décidé de fermer la partie mail de son site. Dès le 12 janvier 2016, vous pourrez dire au revoir à votre boite mail @voila.fr.

Bon, chez Orange, ce ne sont pas des chiens et ils ont fait les choses bien. Ils ont mis en ligne une FAQ qui explique tout ce qu'il faut faire pour continuer à avoir une boite mail (ailleurs...) et surtout comment faire une redirection de votre boite @voila.fr vers votre nouvelle boite mail. Oui d'après ce que j'ai compris, Orange continuera un service minimum de redirection durant 6 mois ce qui n'est déjà pas si mal.

Mais les gens sont tristes... Tellement tristes, qu'ils ont créé une association (Association pour la Sauvegarde de la Messagerie VOILA.FR) et une pétition pour demander à Stéphane Richard, PDG d'Orange de préserver leur boite email Voila.fr.

Voici le texte de la pétition qui totalise pour le moment 3 900 signatures sur les 5 000 attendues :

Imaginez qu'on vous supprime votre adresse mail personnelle que vous utilisiez depuis de longues années ! Perdus tous les contacts qui avaient noté votre adresse e-mail... Perdus tous les e-mails, peut-être très importants, qui vous seront encore envoyés à cette adresse...

C'est pourtant ce qui risque d'arriver à des centaines de milliers de personnes, d'associations et de petites entreprises : Orange a décidé de fermer son service de messagerie VOILA.FR qu'il édite depuis 1998. Dans toute l'histoire de l'Internet cela n'est jamais arrivé qu'ainsi un grand service de messagerie prive ses utilisateurs de leurs adresses e-mail. Décider d'arrêter l'édition du service ? Peut-être, mais après avoir pris bien soin de sanctuariser les adresses mail de tous ces fidèles utilisateurs acquis durant plus de 17 années !

L'Association pour la Sauvegarde de la Messagerie VOILA.FR vient de se créer et lance aujourd'hui cette pétition et demande à Orange :

• - de proposer à ses utilisateurs une solution pérenne pour que ceux-ci puissent continuer à utiliser leur adresse e-mail @voila.fr,
• - de confier à une société française la gestion des adresses e-mails @voila.fr et ainsi conserver en France les données de tous ces internautes.

Une telle continuité est clairement possible : l'Association pour la Sauvegarde de la Messagerie VOILA.FR a reçu la confirmation du service de messagerie français Net-C (NETCOURRIER) qu'il est prêt à apporter cette continuité de service aux adresses e-mail @voila.fr, si Orange l'accepte.

Soutenez cette pétition : "Oui, il faut sauvegarder toutes les adresses e-mail @voila.fr !

Monsieur le Président d'Orange, décidez maintenant, il y a urgence !"

Suivez-nous sur Twitter : @petitionvoila
Suivez-nous sur Facebook : Sauvons @voila.fr

Notre site web : www.sauvonsvoila.fr

Le changement, c'était maintenant, mais eux ne le veulent pas ! Comment leur en vouloir ? 5 Go de stockage, pas de serveur POP3 ou IMAP, pas d'application mobile, des pièces jointes de 20 Mo maximum. C'est ROYAL !

Alors comme vous pouvez le lire dans la pétition, ils se sont bougé les fesses et ont trouvé un repreneur technique pour leur messagerie préférée depuis 1998 qui n'est autre que Net-C (Netcourrier). Sympa les mecs !

Pas un rond à débourser pour Orange, juste un accord à signer, un petit coup de DNS à modifier et roule ma poule...

Mais leurs appels semblent résonner dans le vide. Du coup, je me permets de relayer leur pétition en espérant qu'ils soient entendus

Sauver Voilà c'est important. C'est préserver le patrimoine culturel de l'Internet Français et aider des milliers de gens coupés du monde moderne, à préserver leur culture ancestrale et leur mode de vie. Les Indiens d'Amérique du Sud y ont droit, alors pourquoi pas eux !

Vive Voila !

Merci à Alexandre pour l'info

Il y a quelques semaines, des chercheurs en sécurité ont remarqué que pas mal de constructeurs de routeurs et d'objets connectés, utilisaient, probablement par paresse, les mêmes clés privées sur tout leur matériel.

Grâce à l'analyse du firmware de plus de 4 000 objets connectés (routeurs, caméras IP, téléphones VoIP...etc.) de 70 constructeurs différents (Cisco, General Electric, Huawei, Motorola, Seagate, Netgear, Zyxe, LinkSyst, D-Link, Trendnet...etc), ils ont extrait 580 clés privées et ont pu déterminer que ce trousseau correspondait à 6% de tous les appareils accessibles en SSH sur le web et 9% de tous les appareils accessibles en HTTPS sur le web.

230 clés sur 580 sont donc activement utilisées partout sur le web par tout un tas de matériel. 150 certificats sont utilisés par 3,2 millions de machines et 80 clés privées SSH sont utilisées par 0,9 million de machines.

Ça craint et cette négligence peut permettre à un attaquant d'usurper l'identité d'un de ces périphériques et donc de pousser un malware qui serait accepté comme légitime. Cette découverte a été publiée le 25 novembre dernier et les constructeurs ont déjà commencé à publier des mises à jour de leurs firmwares pour corriger ce problème de négligence.

Si je vous parle de ça, c'est que pour trouver ces chiffres impressionnants, les chercheurs ont utilisé un site plutôt cool : Censys.io

Censys est un moteur de recherche lancé par des chercheurs de l'Université du Michigan, qui collecte toutes les données qu'il peut sur les appareils connectés en IPv4 sur le net. Pour cela, il utilise le scanner de ports open source ZMap (+ ZGrab) et stocke tout ce qu'il récupère dans une base de données, qui est ensuite accessible via l'interface web, une API ou carrément des listings en texte brut à télécharger.

Vous pouvez faire des recherches par mots clés, par IP, par nom de domaine, par protocole utilisé, par certificat...etc. Les informations collectées sont d'ailleurs très complètes et peuvent servir à débusquer d'éventuels problèmes de sécurité.

Comme avec Shodan que j'ai déjà présenté ici, on peut tomber sur pas mal de trucs ouverts aux 4 vents... Webcams, imprimantes, serveurs http, dns, smtp, systèmes téléphoniques, systèmes industriels ou encore des distributeurs de billets...

Ce genre d'outil est malheureusement utilisé par les pirates pour trouver des cibles dès qu'une nouvelle faille pointe le bout de son nez, mais il permet aussi de déterminer la quantité de périphériques faillibles comme l'ont fait les chercheurs cités plus haut, ou de tester vos propres IP pour voir ce qu'il en ressort et corriger d'éventuels problèmes.

Bref, comme d'habitude, un outil formidable ;-)

On peut savoir beaucoup de choses sur quelqu'un simplement en observant ses métadonnées. Pour rappel, les métadonnées sont les données servant à décrire une autre donnée.

Par exemple si vous échangez un SMS avec un ami, sans connaitre le contenu du message, je sais à qui vous écrivez, à quelle heure, à quelle fréquence, je sais d'où vous avez envoyé le message, où était votre ami lorsqu'il l'a reçu et je connais aussi les moments auxquels vous ne lui écrivez pas (et qui laisse supposer que vous êtes avec cette personne si les données GPS de vos appareils correspondent). Et encore là, je vous décris un petit périmètre, mais si vous connaissez toutes les méta données d'une personne (ses recherches sur Google, les sites sur lesquels il va, à quelle heure, toutes les bornes téléphoniques qu'il croise...etc.), vous pouvez déduire énormément de choses.

Bref, les meta données peuvent en apprendre un paquet sur les interactions humaines et devraient être autant protégées que le contenu des correspondances lui-même.

C'est pour cela que David Lazar a imaginé Vuvuzela. S'inspirant du bruit généré par ces cornes d'Afrique du Sud, ce logiciel (client/serveur) de messagerie instantanée se présente comme une sorte de boite noire dans laquelle toutes les données sont chiffrées, y compris les métadonnées, et où les messages sont délivrés avec une certaine latence (sur un principe de dead drop) ce qui empêche un observateur extérieur de les suivre.

De plus les méta données qui ne peuvent être chiffrées comme le nombre d'utilisateurs en attente d'une conversation effective et le nombre d'utilisateurs actifs dans une conversation, sont noyées dans des bruits parasites. En effet, le serveur génère de faux messages et de fausses métadonnées qui sont balancées un peu à tout le monde, ce qui rend tout ça très difficile à démêler.

Vuvuzela a quand même un point faible. Plus vous échangerez de messages, plus ce sera facile de savoir avec qui vous discutez. David Lazar estime ce nombre à plusieurs centaines de milliers de messages possibles avec que les méta données qui ne sont pas chiffrées commencent à converger suffisamment pour donner des indications précises.

Pour le moment, Vuvuzela est plus un proof of concept qu'un véritable outil final, mais vous pouvez tout de même l'installer chez vous pour jouer. Toutes les explications se trouvent sur Github.