PROJET AUTOBLOG


Korben

source: Korben

⇐ retour index

Mise à jour

Mise à jour de la base de données, veuillez patienter...

Infrastructure de mutualisation

jeudi 4 juillet 2013 à 15:01

Infrastructure de mutualisation, c'est le petit nom dénué de toute originalité qu'ont donné les services de renseignements français à une immense base de données qui collecte sans répits l'ensemble de nos échanges électroniques.

On s'en doutait un peu, et un PRISM à la française était évident, mais cette fois, les journalistes du Monde ont officialisé le truc ce matin dans un article. Infrastructure de mutualisation, c'est moche donc j'appellerai ça FRENCH1984.

FRENCH1984 Infrastructure de mutualisation
Source

Donc le dispositif FRENCH1984 est localisé boulevard Mortier à Paris, dans les sous-sols de la DGSE. On nous dit bien que c'est sur 3 niveaux et qu'il y a un supercalculateur capable de traiter énormément de données collectées depuis plusieurs postes avancés en Métropole et dans les régions d'outre-mer...

Donc en gros, quand vous appelez Tata Suzanne, qui appelle sa copine Monique, qui envoie un email à son gendre François qui lui-même balance un SMS à John qui vit à New York, nos amis fonctionnaires de la Direction Centrale du Renseignement Intérieur (DCRI), de la Direction Nationale du Renseignement et des Enquêtes Douanières (DNRED), de la Direction de la protection et de la sécurité de la défense (DPSD), de la Direction du renseignement militaire (DRM), de la cellule Tracfin de Bercy, et du Service du renseignement de la Préfecture de Paris en sont virtuellement informés.

Je dis virtuellement, car une base, ça se consulte. Rassurez-vous, jusqu'à preuve du contraire, ce sont uniquement les métadonnées qui sont conservées (Mais qui va croire ça ?). Donc on sait qui appelle qui, à quelle heure et depuis où... et tout ceci dans la plus grande illégalité (ou absence de cadre légal) puisque nos députés ont bien pris soin de ne jamais légiférer sur ce sujet précis.

Je soupçonne quand même les services américains d'avoir rencardé les journalistes du Monde, histoire de montrer que ce genre d'écoute nationale et à grande échelle se pratique ailleurs qu'aux États-Unis, en Libye, en Tunisie et en Chine. Bien joué.

On le savait. On s'en doutait. Mais toujours sans preuves réelles. Ou en tout cas, en s'imaginant que derrière, ce genre d'espionnage national était ciblé sur certaines personnes et demandé par un juge. Mais en réalité, c'est la fête du slip à fonctionnaire-land ! Pas de cadre légal, tout est dissimulé. Osons le dire, FRENCH1984 est encore plus hors des clous de la légalité que PRISM.

Bref, c'est un triste constat, une réalité et malheureusement, à part organiser une immense soirée mousse-dban dans les 3 niveaux sous-terrain de la DGSE, pour le moment, on se retrouve tous au pied du mur.

Ce qui m'étonne, c'est qu'ils parlent de communications électroniques (SMS, emails, Facebook, appels téléphoniques...etc), mais je ne vois pas pourquoi un tel système n'enregistrerait pas aussi :

En tout cas, je serai à la tête de ce bidule, j'aurai intégré tout ça là dedans déjà.

Alors faut-il voir uniquement des désavantages à cette surveillance nationale des citoyens ?

Et bien je dis NON, il y a quand même beaucoup d'avantages.

Bref, c'est top ! Manque plus que la caméra dans le salon, la puce RFID/GPS sous cutanés et un visa obligatoire pour sortir de son village et on sera au poil !

En tout cas, je me demande si la personne qui a vendu la mèche aux journalistes du Monde devra s'enfuir à Hong Kong ou demander l'asile politique à l’Équateur. En tout cas, en ce qui concerne Snowden, ça a l'air tendu pour lui, car Manuel Valls, notre ministre de l'Intérieur n'est pas "favorable" à la venue du lanceur d'alerte américain chez nous. Pourtant, son grand-père (à Manu) a caché des prêtres persécutés pendant la guerre civile espagnole... Il devrait comprendre ce que c'est que d'être traqué et de voir ses droits les plus élémentaires bafoués (même par une démocratie).

Mais bon, ainsi va la vie... Il faut croire que les valeurs se perdent lorsqu'on gagne en pouvoir.

Alors maintenant, moi j'avoue, je sèche... J'ai beau prôner le chiffrement depuis des années, expliquer les darknets, montrer comment utiliser des logiciels anonymisants... je pense que le combat est maintenant politique et juridique. Des associations comme la Quadrature du Net nous montrerons peut être la voie, mais elles auront besoin de tout le monde pour remettre un peu d'ordre dans ce joyeux bordel qui piétine notre vie privée et nos droits de citoyens.

Si vous avez des idées légales et non violentes, je suis preneur.

Bye Bye Bunny

jeudi 4 juillet 2013 à 13:30

Voici un court métrage d'animation très sympathique réalisé par les étudiants de Supinfocom (Valenciennes) qui raconte l'histoire d'un monde à la dérive suite à la disparition mystérieuse de tous les lapins de la planète.

C'est bien barré comme j'aime !

 

OpenX – Attention aux failles

jeudi 4 juillet 2013 à 10:30

Attention si vous diffusez de la bannière via OpenX, des chercheurs en sécurité viennent de découvrir plusieurs vulnérabilités assez moches. Celles-ci peuvent être utilisées par un attaquant pour faire tourner du code PHP (CVE-2013-3514), lancer des attaques XSS (CVE-2013-3515) et ainsi compromettre un système vulnérable.

Par exemple, il est possible via un simple GET HTTP de récupérer le contenu d'un fichier en local. Par exemple le fichier /etc/password.

openx vuln 111 OpenX   Attention aux failles
Ou lancer un code PHP...

openx vuln 414 OpenX   Attention aux failles
Et je vous passe la XSS qui permet de récupérer le cookie d'un admin.

OpenX a réglé le problème sur son dépôt SVN dans la révision de code 82710. Les fichiers concernés sont :

Et un fichier diff est disponible ici.

99% des téléphones Android vulnérables à cause d’une seule faille

jeudi 4 juillet 2013 à 09:46

Dans une présentation qui sera faite à la Black Hat en juillet, le chercheur en sécurité Jeff Forristal de BlueBox Labs, expliquera en détail l'exploitation du bug de sécu Android n°8219321. Officialisée en février de cette année par Google, cette faille permet à un attaquant de modifier le code d'un APK sans casser la signature numérique de celui-ci.

Concrètement, cela signifie qu'il est parfaitement possible de cacher dans une application légitime et reconnue comme telle par Android, un malware qui aurait alors accès au système du téléphone. Je vous laisse imaginer les dégâts et les fuites d'info que cela peut permettre.

Cette vulnérabilité est effective depuis la version 1.6 d'Android alias Donut. Cumulés depuis 4 ans, ce sont donc plus de 900 millions de téléphones qui sont touchés, soit 99% du parc Android. On en saura plus dans quelques semaines lors de sa conf baptisée "Android: one root to own them all" et sur le site de BlueBox Labs.

Espérons que les constructeurs et Google patchent rapidement cette faille.

MagicPlay – Le concurrent ouvert d’AirPlay

jeudi 4 juillet 2013 à 09:30

Développé par DoubleTwist, MagicPlay est un standard ouvert destiné à concurrencer directement le protocole AirPlay d'Apple.

Diffuser de la musique via HTTP sur des enceintes ou des téléviseurs compatibles sera bientôt possible puisque les sources de MagicPlay sont libres et disponibles sur Github. A l'origine de cette idée, le fondateur de DoubleTwist, Jon Lech Johansen, alias DVD Jon, célèbre pour avoir cassé les DRM des DVDs avec son soft DeCSS.

L'un des premiers logiciels à supporter MagicPlay est bien évidemment le player Android de DoubleTwist, mais si vous souhaitez mettre un peu les mains dans le cambouis, Jon Lech a mis en ligne un tuto qui explique comment transformer un Raspberry Pi en player compatible MagicPlay.

RaspberryPi MagicPlay MagicPlay   Le concurrent ouvert dAirPlay

De quoi vous amuser un peu