technology:encryption

La page pour filles « que faire à Paris pendant que votre hacker de mec est à NoSuchCon » du « flyer » de la conférence de sécurité NoSuchCon http://www.nosuchcon.org

http://twitpic.com/cqqovo

#féminisme #geek

XKCD cartoon reminds users to log out for better security
http://nakedsecurity.sophos.com/2013/04/22/xkcd-cartoon-log-out-security

It’s disturbing just how many people seem to leave their computers permanently logged in to online services. An XKCD cartoon teaches us all an important security lesson.

http://i0.wp.com/sophosnews.files.wordpress.com/2013/04/xkcd-logout.jpg?fit=1000%2C1000

Source: Naked Security

#cryptography #data_loss #featured #privacy #authorization #cartoon #full_disk_encryption #xkcd

Schleuder - Mails et mailing-lists chiffrées
https://schleuder2.nadir.org

Schleuder is a gpg-enabled mailinglist with remailer-capabilities. It is designed to serve as a tool for group communication: subscribers can communicate encrypted (and pseudonymously) among themselves, receive emails from non-subscribers and send emails to non-subscribers via the list. Schleuder takes care of all de- and encryption, stripping of headers, formatting conversions, etc. Further schleuder can send out its own public key upon request and receive administrative commands by email.

#gpg #mail #outils

Decades of encryption evangelism fell on deaf ears but evil Internet access providers messing with content in transit will soon make blanket SSL use a popular demand. Thank you evil Internet access providers - you know who you are !

L’apport des migrants africains à leur pays d’origine | babylas25
http://babylas25.mondoblog.org/2013/03/02/lapport-des-migrants-africains-a-leur-pays-dorigine

L’Afrique subsaharienne est la destination la plus coûteuse du monde en matière de transfert d’argent : les frais moyens de transfert depuis l’étranger ont atteint 12,4 % en 2012. Le coût moyen des envois vers l’ensemble de l’Afrique avoisine 12 %, un taux supérieur à la moyenne mondiale (8,96 %) et près de deux fois plus élevé que le coût des transferts de fonds vers l’Asie du Sud, qui bénéficie des tarifs les plus faibles au monde (6,54 %).

C’est en Afrique du Sud, en Tanzanie et au Ghana qu’ils sont les moins avantageux : ils se montent respectivement à 20,7 %, 19,7 % et 19 % en moyenne, en raison de divers facteurs, dont la faible concurrence qui prévaut sur le marché des transferts de fonds internationaux.

Selon les dernières estimations de la Banque mondiale (décembre 2011), les transferts de fonds des migrants vers les pays en développement représenteraient 351 milliards de dollars en 2011, en hausse de 11% (...)

Selon l’Organisation de coopération et de développement économiques (Ocde), les sommes transférées sont essentiellement consacrés aux dépenses d’éducation, de santé, de consommation courante. Les transferts d’argent des migrants jouent un rôle essentiel dans la réduction de la pauvreté et sont un enjeu majeur du financement du développement, aux côtés de l’aide publique au développement mondiale (plus de 133,5 milliards de dollars en 2011.

#Afrique #banques et #western_union qui pourrait bien se prendre un scud avec #bitcoin

JSON Web Token (JWT)
http://self-issued.info/docs/draft-ietf-oauth-json-web-token.html

JSON Web Token (JWT) is a compact URL-safe means of representing claims to be transferred between two parties. The claims in a JWT are encoded as a JavaScript Object Notation (JSON) object that is used as the payload of a JSON Web Signature (JWS) structure or as the plaintext of a JSON Web Encryption (JWE) structure, enabling the claims to be digitally signed or MACed and/or encrypted.

Shopping for illegal drugs with #Bitcoin on Silk Road via #Tor is reasonably anonymous & easy : http://www.gwern.net/Silk%20Road - I used to keep up to speed on those technologies out of mere curiosity... But now I also have to keep one step ahead of my kids. Article is one year old, but an interesting primer nevertheless.

Security expert used #TOR to collect government e-mail passwords | Ars Technica
http://arstechnica.com/security/2007/09/security-expert-used-tor-to-collect-government-e-mail-passwords

Last month, Swedish security specialist Dan Egerstad exposed the passwords and login information for 100 e-mail accounts on embassy and government servers. In a blog entry today, Egerstad disclosed his methodology. He collected the information by running a specialized packet sniffer on five Tor exit nodes operated by his organization, Deranged Security.

#sécurité #surveillance

Le mouvement des #CryptoParty
https://cryptoparty.org/wiki/CryptoParty

What is CryptoParty? Interested parties with computers, devices, and the desire to learn to use the most basic crypto programs and the fundamental concepts of their operation! CryptoParties are free to attend, public, and are commercially non-aligned.

Liste des événements déjà prévus sur les 5 continents sur cette page, ainsi qu’une page de ressources sur le sujet assez exhaustive : https://cryptoparty.org/wiki/Resources

#cjdns (ne pas se fier au nom, cela n’a rien à voir avec le #DNS) est le Nième projet de refaire tout l’Internet en partant de zéro, en changeant le routage pour en faire quelque chose d’anonyme, de sécurisé, d’acentré, de totalement réparti, de sécurisé, etc.

J’ai bien lu le « whitepaper » <https://github.com/cjdelisle/cjdns/blob/master/rfcs/Whitepaper.md> et j’ai été déçu. Quelques grands discours, quelques principes de très haut niveau (tellement haut qu’on ne peut pas les rattraper pour les confronter à la réalité) puis tout de suite, sans transition, le format des paquets au bit près et le code <https://github.com/cjdelisle/cjdns>. Cela ne me convainc pas.

http://cjdns.info

Un #botnet, un ensemble de machines (en général Windows) piratées et commandées par un méchant, à des fins néfastes, repose sur deux catégories de machines, les zombies (les machines piratées) et le C&C (« Command & Control », la ou les machines qui contrôlent le botnet).

Des chercheurs ont pu mettre la main sur une machine C&C de #Flame, le malware (logiciel malveillant) dont on a déjà parlé ici <►http://seenthis.net/messages/70862> Ils ont analysé son code (écrit en #PHP, ce qui fait que les chercheurs ont automatiquement le source) et pu en tirer des tas d’informations intéressantes :

http://www.securelist.com/en/blog/750/Full_Analysis_of_Flame_s_Command_Control_servers

Ils ne disent pas comment la machine C&C s’est fait avoir. Je suppose que l’Iran a monitoré le trafic des zombies, donné les adresses IP des correspondants à l’UIT, qui a noté qu’une des adresses était chez un FAI « coopératif ».

Flame étant un logiciel d’espionnage (et pas d’attaque comme #Stuxnet), la principale tâche du C&C est de recevoir les données volées par Flame (en moyenne cinq giga-octets par semaine, n’oublions pas que Flame peut activer le micro de la machine et tout écouter), avant de les transmettre au chef du botnet (encore inconnu).

Parmi les informations les plus intéressantes : le code du C&C peut gérer quatre malwares différents. L’un est Flame, bien sûr, mais les trois autres sont inconnus. En configurant un pot de miel (une machine se faisant passer pour le C&C, pour recevoir les appels des zombies), les auteurs ont pu déterminer qu’un de ces malwares (pour l’instant nommé « SPE ») était actif et émettait. Les deux autres ne semblent pas encore déployés.

Autre information utile (un journal de connexions n’avait pas été détruit automatiquement, comme l’étaient les autres journaux du C&C), environ 1200 zombies se sont connetés (Flame n’est pas un malware de masse, il cible certains pays), la plupart d’Iran (on le savait) et du Soudan (c’est nouveau).

Un long article du New Yorker consacré à l’enquête sur l’un des plus mystérieux marathoniens du monde, Kip Litton, qui a obtenu de très bons temps dans plusieurs marathons et qui, comme l’enquête l’a montré, a certainement triché. La question non résolue est « quelle méthode a-t-il employé pour déjouer les contrôles existants ? » Autre question : que visait-il ? La gloire, son nom sur le Web ?

http://www.newyorker.com/reporting/2012/08/06/120806fa_fact_singer

[Lu sur http://www.schneier.com un blog consacré à la sécurité, à cause de la question « mais comment a-t-il fait ? »]

#marathon #triche #sécurité

The known unknowns of #Skype interception
http://paranoia.dubfire.net/2012/07/the-known-unknows-of-skype-interception.html

If governments can intercept and record the encrypted communications of users (via assistance provided by Internet Service Providers), and have the encryption keys used by both ends of the conversation — or can impersonate Skype users and perform man in the middle attacks on their conversations, then they can decrypt the voice communications without any further assistance from Skype.

Do we know if this is happening? No. But that is largely because Skype really won’t comment on the specifics of its interactions with governments, or the assistance it can provide. However, privacy researchers (pdf) have for many years speculated about governments compelling companies to hand over their own encryption keys or provide false certificates (pdf) for use in MiTM attacks. In such cases, when the requests come, there isn’t really anything that companies can do to resist.

#cryptographie #surveillance

#MySQL with #SSL Encryption

http://www.vmadmin.co.uk/linux/44-redhat/145-linuxmysqlencryption

parce que selon les distributions, openssl n’est pas utilisé par défaut...

TelecomixSyria
Additional info on #Mumble #SSL support and Perfect Forward Secrecy: https://syria.wnh.me/9f67783d34861c1bfcb3b8f2128429b1

TelecomixSyria
RT @Syrian_MAJOR: #OpenVPN is blocked? Wrap it with stunnel https://syria.hacktivist.me/?p=161 #internet #VPN #Telecomix

EFF ‏@EFF

Trojan hidden in fake revolutionary documents targets activists in #Syria, by @evacide and @headhntr https://eff.org/r.a6c3

evacide

My latest on #Syria, w/ : Trojan Hidden in Fake Revolutionary Documents Targets Syrian Activists https://www.eff.org/deeplinks/2012/05/trojan-hidden-fake-revolutionary-documents-targets-syrian-activists

Le sujet du jour en #sécurité_informatique est le malware #Flame, un ensemble logiciel apparemment très complexe qui a infecté pas mal de machines Windows au Moyen-Orient (notez que, parmi les nombreux articles dans les médias consacrés à Flame, quasiment aucun n’ose dire que seule les machines Windows étaient vulnérables ; les avocats de Microsoft veillent).

Sa complexité (pas à la portée de Jean-Kevin dans son garage) et le fait que Flame ne semble pas essayer de voler de l’argent donnent à penser qu’il s’agit d’un outil d’espionnage conçu par un État puissant (comme son prédécesseur #DuQu, alors que #Stuxnet, lui, était offensif, il essayait de casser des machines).

L’analyse technique détaillée par Kaspersky :

http://www.securelist.com/en/blog?weblogid=208193522

Et une autre par le laboratoire CrySyS (Wiper est l’autre nom de Flame), bien plus détaillée :

http://www.crysys.hu/skywiper/skywiper.pdf

Une analyse critique de ces analyses :

http://www.circleid.com/posts/20120522_a_closer_look_at_the_flame_flamer_skywiper_malware

L’article du CERT iranien :

http://www.certcc.ir/index.php?name=news&file=article&sid=1894

Bon article de synthèse de Wired, si vous voulez donner quelque chose de correct à lire à des non-experts :

http://www.wired.com/threatlevel/2012/05/flame

Un article en français très trollant (pas tort sur le fond mais insupportable d’arrogance) :

http://www.atlantico.fr/decryptage/virus-flame-kaspersky-peurs-occuper-terrain-mediatique-eric-filiol-375415.

Lightning-Fast Innovation Gives ownCloud’s Latest Community Release Greater Flexibility, Ease-of-Use | ownCloud.org
http://owncloud.org/owncloud-4-release-annoucement

La version 4 d’ownCloud vient de sortir :

►http://owncloud.org

#ownCloud 4 – built through active community support – adds innovative features like file versioning, – which actively saves files, allowing users to “rollback” to previous versions – and a new API — giving developers an easy, stable and supported way to develop applications on top of ownCloud capabilities.

The latest version, updated from ownCloud 3 released January 30, also enables users to view Open Document Format (ODF used by LibreOffice, Apache OpenOffice and others) files – quickly and easily without having to download them – something only ownCloud offers.

In addition, ownCloud 4 includes an “experimental” feature for mounting of external file systems – including Dropbox, FTP and Google Drive as well as other popular consumer applications – enabling users to have all their file sync and share tools in a single ownCloud interface.

#dropbox #wuala

#Cybersecurity: How US utilities passed up chance to protect their networks - CSMonitor
http://www.csmonitor.com/USA/2012/0517/Cybersecurity-How-US-utilities-passed-up-chance-to-protect-their-networks

With America now trying to thwart a cyberattack on its natural gas industry, it is helpful to recall the hectic days after 9/11, when industry scientists raced to shield from potential terrorist cyberattacks hundreds of thousands of vulnerable devices (...)
But just weeks before it was to be finalized in 2006, the funding plug was pulled on the encryption system, called AGA-12

Gmvault : GMail backup
http://gmvault.org

Backup and restore your gmail account at will.

#libre #email #google via @framaka et @neofutur

File-sharing religion Kopimism lands in the US (Wired UK)
http://www.wired.co.uk/news/archive/2012-04/23/kopimism-usa

The file-sharing Church of Kopimism — that Sweden recognised as a #religion in January this year — has launched on US soil.

#kopimi

Rendu sur http://kopimistsamfundet.us/2012/04/22/we-are-a-missionary-religion-not-the-pirate-party

Firstly, communism, socialism, and liberalism are a socioeconomic and political philosophies of governance. Kopimism is a religion. We do not involve ourselves with politics.

It added: “Plagiarism and the unauthorised sale of others’ creative content is a completely different subject. Kopimism does not condone these acts. We advocate copying and sharing for religious, not financial, reasons.”

Paraît qu’y a une antenne française, quelqu’un connaît :) ?

Le système de sécurité #Rover, permettant de vérifier les routes #BGP, vient de bénéficier d’un certain buzz: The Register http://www.theregister.co.uk/2012/04/23/ip_hijack_prevention IT World http://www.itworld.com/security/272320/engineers-ponder-easier-fix-dangerous-internet-problem et Slashdot http://tech.slashdot.org/story/12/04/27/2039237/engineers-ponder-easier-fix-to-internet-problem en ont parlé.

Lors de la discussion qui a suivi sur #Nanog, l’expert #DNS Florian Weimer a bien expliqué les vraies raisons du déploiement de la #RPKI, le concurrent de Rover :

« Regarding the post-scarcity future, if most address holders never have to come back to the #RIR to request more addresses, the number of address-related RIR/LIR transactions will decrease. Organizations have a tendency to resist decreases in business (even non-profits), and RPKI is an obvious source of future business. »

Rover avait déjà été mentionné sur SeenThis : http://seenthis.net/messages/62143

The NSA Is Building the Country’s Biggest Spy Center (Watch What You Say) | James Bamford | Wired.com
►http://www.wired.com/threatlevel/2012/03/ff_nsadatacenter/all/1

Superbe enquête autour de la construction d’un nouveau #datacenter de la #NSA ; quelques extraits qui montrent que #Echelon est définitivement derrière nous :

the NSA made an enormous breakthrough several years ago in its ability to cryptanalyze, or break, unfathomably complex encryption systems employed by not only governments around the world but also many average computer users in the US. The upshot, according to this official: “Everybody’s a target; everybody with communication is a target.”

for the first time since Watergate and the other scandals of the Nixon administration—the NSA has turned its surveillance apparatus on the US and its citizens. It has established listening posts throughout the nation to collect and sift through billions of email messages and phone calls

For the first time, a former NSA official has gone on the record to describe the program, codenamed Stellar Wind, in detail.

Binney left the NSA in late 2001, shortly after the agency launched its warrantless-wiretapping program. “They violated the Constitution setting it up,” he says bluntly. “But they didn’t care. They were going to do it anyway, and they were going to crucify anyone who stood in the way. When they started violating the Constitution, I couldn’t stay.” Binney says Stellar Wind was far larger than has been publicly disclosed and included not just eavesdropping on domestic phone calls but the inspection of domestic email. At the outset the program recorded 320 million calls a day, he says, which represented about 73 to 80 percent of the total volume of the agency’s worldwide intercepts. The haul only grew from there.

The software, created by a company called Narus that’s now part of Boeing, is controlled remotely from NSA headquarters at Fort Meade in Maryland and searches US sources for target addresses, locations, countries, and phone numbers, as well as watch-listed names, keywords, and phrases in email. Any communication that arouses suspicion, especially those to or from the million or so people on agency watch lists, are automatically copied or recorded and then transmitted to the NSA.

The scope of surveillance expands from there, Binney says. Once a name is entered into the Narus database, all phone calls and other communications to and from that person are automatically routed to the NSA’s recorders. “Anybody you want, route to a recorder,” Binney says. “If your number’s in there? Routed and gets recorded.” He adds, “The Narus device allows you to take it all.”

After he left the NSA, Binney suggested a system for monitoring people’s communications according to how closely they are connected to an initial target. The further away from the target—say you’re just an acquaintance of a friend of the target—the less the surveillance. But the agency rejected the idea, and, given the massive new storage facility in Utah, Binney suspects that it now simply collects everything. “The whole idea was, how do you manage 20 terabytes of intercept a minute?” he says. “The way we proposed was to distinguish between things you want and things you don’t want.” Instead, he adds, “they’re storing everything they gather.”

“We are, like, that far from a turnkey totalitarian state,” he says.

a new secret war. But this time, instead of a bomb of almost unimaginable power, the weapon is a computer of almost unimaginable speed.

“Remember,” says the former intelligence official, “a lot of foreign government stuff we’ve never been able to break is 128 or less. Break all that and you’ll find out a lot more of what you didn’t know—stuff we’ve already stored—so there’s an enormous amount of information still in there.”
That, he notes, is where the value of Bluffdale, and its mountains of long-stored data, will come in. What can’t be broken today may be broken tomorrow. “Then you can see what they were saying in the past,” he says. “By extrapolating the way they did business, it gives us an indication of how they may do things now.”

#DPI #surveillance #internet #etats-unis #cdp