EthACK The Swiss Privacy Basecamp

Nous avons découvert il y a peu Marc Elsberg¹, un auteur allemand. Son premier livre, Black-out, nous plonge dans une Europe où le réseau électrique s'effondre, à cause du manque de conscience des fournisseurs de solutions "smart grid"² au niveau de la sécurité et des risques.

Ce premier livre, bien que présenté comme une fiction, met le doigt sur pas mal de problèmes qui, effectivement, existent. La pertinence technique, tout en usant de quelques simplifications (lire la postface), permet de se faire une idée très claire des problèmes posés par l'Internet des objets³ (en s'intéressant particulièrement aux grosses infrastructures et à leur gestion via des logiciels dédiés).

Le lire et le recommander permettra de vous confronter, ainsi que vos proches, à des réalités qui sont souvent méconnues⁴. Il est très intéressant de lire la postface du livre, l'auteur y décrivant les étapes d'écriture ainsi que les événements survenus pendant ou juste après l'édition. On se rappel de Stuxnet⁵, par exemple, qui avait fait les gros titres par son ciblage précis de certaines infrastructures sensibles.

Plus récemment, mais sans rapport direct avec la gestion d'infrastructures critiques, on peut se rappeler du DDoS⁶ ayant eu pour origine plusieurs dizaines de millier de caméras connectées…

Encore en 2016, trop d'objets connectés manquent de sécurité. Même nos routeurs, passerelles Internet fournies par nos fournisseurs de services, sont vulnérables à de multiples niveaux⁷ !

Le second livre de Marc Elsberg, Zero, nous plonge dans un monde légèrement plus avancé que maintenant, mais au final pas tant que ça. Les technologies décrites dans ce second livre existent et sont mises en applications, seuls certains points techniques sont une anticipation à court terme de ce qu'on va avoir.
Le monde décrit est ainsi : une société collecte, agrège et analyse les données personnelles des utilisateurs de ses applications (on a déjà cela, les exemples ne manquent pas). En contre-partie, les utilisateurs ont droit à deux services :

• la gestion de la revente de leurs données personnelles (ce genre de plate-forme existe déjà)
• des applications intégrées qui permettent d'améliorer son style de vie (là par contre, on n'y est pas encore tout à fait).

En parallèle de cela, un groupe de hacker, Zero (qui n'est pas une référence à Anonymous, eux-mêmes étant cités dans le livre, de même que Lulzsec et d'autres) veut démontrer que la surveillance généralisée ne sert à rien, et que le traitement des données personnelles est déséquilibré.

Là aussi, l'auteur s'est renseigné, documenté. Il expose les problèmes liés aux données personnelles dans un monde de plus en plus connecté. Il évalue les différents points de vue en tentant d'apporter des arguments nuancés et circonstanciés.

La lecture de ce livre peut, là encore, éveiller l'intérêt et permettre une prise de conscience de l'état de notre sphère privée.

De manière générale, nous sommes heureux de voir ce genre de livres sortir et, surtout, rencontrer un certain succès (Black-out a été très bien vendu, et peut même être intégré dans le cursus scolaire allemand). Zero est bien parti pour rencontrer le même succès.

Bonnes lectures !

• ¹http://www.marcelsberg.com/
• ²https://fr.wikipedia.org/wiki/Smart_grid
• ³IoT, Internet of Things, voir https://fr.wikipedia.org/wiki/Internet_des_objets
• ⁴Tout le monde ne peut pas aller aux conférences annuelles du CCC à Hambourg et suivre Scada Strangelove (http://scadastrangelove.org/). Mais les vidéos sont en ligne (https://media.ccc.de/search/?q=scada+strangelove)
• ⁵https://fr.wikipedia.org/wiki/Stuxnet
• ⁶https://fr.wikipedia.org/wiki/Attaque_par_d%C3%A9ni_de_service#D.C3.A9ni_de_service_distribu.C3.A9_ou_effet_de_levier
• ⁷par exemple : http://www.pcworld.com/article/2899732/at-least-700000-routers-given-to-customers-by-isps-are-vulnerable-to-hacking.html — mais il y a d'autres cas et exemples.

EthACK a donné mercredi 12 octobre une conférence sur les bonnes pratiques à l'ère du numérique. Elle s'est déroulée à l'EPS d'Écublens, en présence d'une cinquantaine de personnes.

Le but était de sensibiliser le personnel enseignant sur les problématiques du numérique, sous l'angle "protection des données et sécurité". La durée prévue était d'environ 90 minutes, laissant ainsi largement de temps aux auditeurs et auditrices pour poser leurs questions, nombreuses, et faire part de leurs inquiétudes quant au fait qu'il n'est, au final, pas possible de réellement maîtriser ce qui transite sur les réseaux.

La conférence s'est déroulée en deux parties, une première faisant un rapide état des lieux au niveau des utilisations et menaces potentielles¹, puis une seconde présentant les règles de bases pour une "hygiène numérique".

Diverses discussions quant à la pertinence ou non d'utiliser des applications mobiles pour communiquer avec les élèves ont été menées durant les deux périodes de questions. EthACK a aussi pu relever un problème intéressant auquel sont confrontés tous les membres du personnel enseignant : l'utilisation d'appareils privés dans le cadre professionnel.
Si cela peut sembler une bonne idée, cette pratique, courante et pas limitée au cadre scolaire, pose beaucoup de problèmes, parmi lesquels:

• impossibilité de "débrancher" du travail
• risques de perte/vol de données personnelles à caractère privées dans le cadre du travail
• risques de perte/vol de données professionnelles dans le cadre privé

D'autres sujets, tels que les réseaux sociaux, ont été abordés. Il en est ressorti que peu de personnes présentes avaient un compte Facebook ou assimilé, et le peu qui en avait un n'était pas "ami" avec leurs élèves, ce qui est un bon point : là aussi, être "ami" avec des élèves peut poser des problèmes, tels que la neutralité/impartialité, le transfert bidirectionnel de données personnelles, les possibles implications personnelles/émotionnelles que cela peut créer.

Des questions plus précises, tel que la gestion des mots de passes², ainsi que le rôle des enseignants dans l'éducation numérique des élèves.

Les slides employées pour cette présentation sont disponibles³.

Si vous aussi voulez organiser une conférence/présentation sur ce genre de sujets, que ce soit au sein de votre école, de votre entreprise ou même de votre association, n'hésitez pas à nous contacter.

Pour EthACK,
SwissTengu

• ¹On ne parle pas de journalistes, d'hacktivistes ou autres, non, seulement de Monsieur et Madame tout-le-monde. Le modèle de menace a donc été adapté
• ²On a précisé qu'il convenait mieux de parler de "phrase de passe"
• ³https://github.com/EthACKdotOrg/Presentations/raw/master/20161012/slides.pdf

Le peuple a voté : 65.5% des votants a accepté la nouvelle Loi sur le renseignement. Adieu, sphère privée, donc. On va pouvoir remercier les Médias suisses (publics, privés) pour ne pas avoir abordé les éléments suivants lors de la campagne :

• le coût (de l'achat des appareils/logiciels, de la formation des employés)
• le cas allemand (et les indiscrétions de leurs services secrets)
• le lourd passif du SRC
• le manque de compétence des "surveillants des surveillants"¹.

Bref. On est dans la mouise, aussi à poil que les citoyens américains ou français. Suite à ce vote, les citoyens ont deux possibilités : faire une totale confiance au SRC et aux commissions de surveillance², ou se défendre bec et ongle pour protéger leur sphère privée et celles de leurs proches³.

Il est évident que EthACK, de par ses origines, est pour la défence (voire l'attaque). Nous avons jusqu'à septembre 2017 pour fourbir notre arsenal numérique et protéger au mieux nos systèmes, qu'ils soient privés ou d'entreprise.

La loi sur le renseignement permet pas mal de choses, certes. Elle peut même être assimilée au Patriot Act⁴ américain, vu qu'elle obligera les entreprises basées en Suisse à fournir des données au SRC. Elle permet aussi aux membres du SRC d'écouter toutes les connexions du pays⁵, voire de compromettre des systèmes informatiques nationaux⁶ ou étrangers⁷.
Mais nous ne sommes pas sans défense, heureusement. De plus en plus de services offrent différentes choses, auquelles il faut réellement commencer à prêter une attention particulière si ont veut que nos conversations privées restent privées :

Connexion chiffrée
À ce niveau, pas de miracle : les services ne fournissant pas de connexion sécurisée (http, smtp, imap, pop3) sont à proscrire. Seules les connexions chiffrées (httpS, smtpS, imapS, pop3S) sont à employer. Si les fournisseurs de services que vous employez ne mettent pas ces protocoles chiffrés à disposition, il serait bon de les contacter pour les inciter à le faire le plus rapidement possible.

Chiffrement côté client
Cela concerne principalement les "services clouds", dans le sens (erroné) "stockage en ligne". Il convient de s'assurer que les clients pour desktop, mobile, tablet ou autres chiffrent les données sur l'appareil avant d'envoyer quoi que ce soit. Dans un second temps, il faut absolument s'assurer que vous et vous seuls êtes en possession de la clef de déchiffrement. Sinon, ça ne sert à rien, vos données sont à poil chez le fournisseur de service.

Multi-factor authentication
Dans la mesure du possible, pensez à activer le MFA⁸ sur les services que vous employez. C'est une protection supplémentaire qui évitera les problèmes le jour où le service sera compromis, que ce soit par des hackers doués ou des hackers ayant mis la main sur les divers achats du SRC suite à une fuite de données à ce niveau…

Localisation des services
Avec la LRens, l'emplacement des serveurs ainsi que des sociétés les exploitant est moins important. Les USA sont évidemment à éviter à cause de leurs multiples lois (Patriot Act, FISA⁹, etc), mais il devient moins évident que la Suisse soit mieux : le SRC peut obliger n'importe quel fournisseur de service à donner des informations. D'ici que des sociétés comme Threema¹⁰ soit dans le colimateur du SRC, il ne faudra pas long.

Conditions générales et autres documents
Comme toujours, il faut lire les conditions générales d'utilisations de même que la politique de confidentialité (privacy policy) avant de souscrire à un service. Oui, ces textes sont longs. Oui, ils sont souvent en anglais. Oui, ils sont très barbants à lire. Mais faites-le !

Aussi, assurez-vous que vous employez un mot de passe différent pour chaque service ou que, s'il s'agit d'une dérivation d'un mot de passe principal, cette dérivation ne soit pas simple à trouver.

Au niveau de EthACK, nous allons tâcher de fournir des tutoriaux, et de sortir un nouveau cycle de conférences pour expliquer les tenants et aboutissants de cette loi. 

Dans l'intervalle, il vous faudra vous renseigner et déjà consolider l'existant. Faites déjà le tri, et profitez pour modifier vos mots de passe et vous assurer que chaque service en utilise un différent.

Stay safe.

T.

• ¹Nos élus ne savent pour la plupart pas comment fonctionne Internet ou les smartphones, sans parler même des réseaux sous-jacent
• ²Bah, à priori, 65.5% des votants semblent vouloir à tous prix y croire, tout comme croire que cette nouvelle loi va réellement nous protéger contre des menaces qui, jusqu'à maintenant, on fait une quantité incalculable de morts : 0
• ³Ne soyons pas égoïstes — et n'oublions pas que la plus solide des chaînes ne dépend que de son maillon le plus faible…
• ⁴https://fr.wikipedia.org/wiki/USA_PATRIOT_Act
• ⁵Ne nous voilons pas la face, la présence des sondes au cœur du réseau pour les connexions "externes" vont aussi écouter ce qu'il se passe ailleurs : rien que la RTS passe par Akamai, du coup les visites effectuées sortent du pays. Et combien de vos contacts utilisent GMail ? ;)
• ⁶Article 26
• ⁷Article 37
• ⁸https://en.wikipedia.org/wiki/Multi-factor_authentication
• ⁹https://fr.wikipedia.org/wiki/Foreign_Intelligence_Surveillance_Act
• ¹⁰N'oublions pas que le code source de l'application n'est pas disponible…