Thibeault 👨🏻‍💻 (@thibeault_chenu) : « Bon... Complément d'information 2, il est possible de récupérer le code source de la plateforme et de s'y inscrire en tant qu'administrateur. »

colporteur CC BY-NC-SA 28/04/2020

UVP, Une application mobile pour filmer les violences policières
▻https://reporterre.net/Une-application-mobile-pour-filmer-les-violences-policieres

Le collectif Urgence notre police assassine lance une application pour filmer les interventions des forces de l’ordre sans que celles-ci puissent effacer les images. Un outil précieux pour documenter des violences policières en pleine recrudescence depuis le début du confinement.
« Nous ne pouvons plus accepter l’impunité policière. Il nous faut la documenter, nous entraider, agir et nous organiser. »
Depuis le début du confinement, une recrudescence des cas de violences policières est observée dans les quartiers populaires. [...]
Tous les jours, des vidéos dénonçant les agissements des forces de l’ordre sont diffusées sur les réseaux sociaux. Dimanche 26 avril, les journalistes Taha Bouhafs et Nadir Dendoune ont publié des images montrant un groupe de policiers tenant des propos racistes pendant une interpellation au bord de la Seine, dans la nuit de samedi à dimanche, à L’Ile-Saint-Denis (Seine-Saint-Denis).
« Un bicot comme ça, ça ne nage pas », a notamment dit l’un des policiers à propos d’un homme qui aurait plongé dans l’eau pour échapper à la police. Cette vidéo s’est répandue comme une trainée de poudre sur les réseaux sociaux et la police des polices, l’IGPN, a été saisie. Avec l’accord du ministre de l’Intérieur, le préfet de police de Paris, Didier Lallement, a demandé au directeur général de la police nationale la suspension de deux policiers mis en cause. « Morale de l’histoire : filmez, filmez, y’a que ça de vrai » , a réagi Taha Bouhafs sur Twitter.
En ce sens, une application gratuite baptisée UVP (Urgence violences policières) a été lancée par le collectif Urgence notre police assassine, réunissant des familles de victimes. Celle-ci permet de filmer les interventions des forces de l’ordre sans qu’elles ne puissent effacer les images ou les conserver en saisissant les téléphones, puisqu’elles sont envoyées instantanément sur les serveurs du collectif, avec une géolocalisation très précise de l’endroit où a lieu la scène.
Présentation de l’application par le collectif Urgence notre police assassine :
L’application Urgence violences policières a pour but la surveillance citoyenne de la police. Elle est le résultat de nombreuses années de réflexion et d’observation du comportement de la police française. Dans la majorité des affaires de violences policières, rares sont les poursuites à l’encontre des fonctionnaires puisque les témoignages ne suffisent plus et les nombreuses vidéos sont effacées. On s’est demandé comment s’organiser pour arrêter ce fléau et l’impunité policière qui l’alimente ? L’une de nos armes privilégiées, c’est la vidéo. Cette application va servir à filmer et stocker les images sur nos serveurs. Les images nous seront envoyées en instantané. Elles nous serviront à documenter ces violences et accompagner les victimes. Elles pourront donc évidemment être utilisées à des fins juridiques. Notre association n’hésitera pas à se porter partie civile à chaque fois que nécessaire. »
[erreur de ma part : applications à déconseiller, voir ci-dessous, ndc]
Filme un flic, sauve une vie ! Petit guide juridique pour filmer la police
▻https://paris-luttes.info/filme-un-flic-sauve-une-vie-petit-5966
Une réserve, et pas de recette pour parer au grain : filmer c’est aussi fabriquer ce qui pourra servir à blâmer ou incriminer des personnes aux prises avec la police. Je ne trouve pas dans l’instant d’autre texte à ce sujet que celui qui suit, mais il en existe de nombreux : Nous ne voulons plus de vos images
▻https://paris-luttes.info/nous-ne-voulons-plus-de-vos-images-13868
Lettre ouverte à ceux qui capturent. Sur la nécessité de filmer et de diffuser un feu d’artifice. Sur la nécessité de filmer et diffuser un feu d’artifice quand celui-ci est tiré sur la police. Sur la nécessité de soutenir les insurgés sans les mettre en difficulté.

#capture
#surveillons_la_police #police #copwatching #violence_policière #Urgence_notre_police_assassine (ce « notre »,une appellation initiale qui n’a jamais pu bouger, le coup était parti, tristesse).

colporteur CC BY-NC-SA

WhilelM @whilelm CC BY 28/04/2020

> La réalisation est franchement à l’avenant :
> elle utilise des trackers : ▻https://reports.exodus-privacy.eu.org/fr/reports/119482
> elle n’est pas open source (et elle a été outsourcée à une boîte indienne)
> * et, surtout, elle semble poser des risques majeurs pour celleux qui l’utilisent : ▻https://nitter.net/i/status/1254569502030905348
1/ L’application a pour but de permettre à une personne possédant l’application mobile d’enregistrer une violence policière. (avec une localisation).
Elle est disponible sur l’App Store et le Play Store.
2/ Je vais tout d’abord procéder à une analyse dynamique via un proxy (Charles) en me baladant dans l’application, m’inscrire, me connecter etc.
3/ Après quelques requêtes on obtient un nom de domaine.
▻https://www.urgenceviolencespolicieres.com
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkhcSOX0AAxfg4.jpg%3Fname%3Dorig
4/ En nous rendant simplement sur le site en question on tombe sur une page de maintenance.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkhqHXXQAEuUeE.jpg
5/ Le nom de domaine est enregistré chez @infomaniak en Suisse.
L’hébergement quant à lui est situé aux USA chez AWS (13.59.42.179).
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkiAUCXsAEw1Dp.png

https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkijHoWsAAremS.png
6/ Petit point presse pour savoir qui est derrière cette application, d’après l’@LEXPRESS l’application est à l’origine de l’OVNP (Observatoire national des pratiques et des violences policières).
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkjOVXWoAUpdAm.png
7/ De retour sur l’application, nous avons la possibilité de nous inscrire et de nous connecter.
J’y découvre une première vulnérabilité de sécurité, le code OTP est toujours le même et il est contenu dans la réponse de tentative de connexion réussite de l’utilisateur.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkkb5HXgAE1MpL.jpg
8/ L’application se présente comme ceci, vous avez un écran principal permettant d’enregistrer une vidéo avec la localisation actuelle que j’ai caché par un rectangle rouge.
Il y a un autre screen qui est celui contenant les informations du compte courant.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWklWd-X0AEgUVE.jpg https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkl2wyXsAAIVpm.jpg
9/ En me baladant dans la FAQ, je trouve quelque chose qui semble inconcevable.
Pour supprimer votre compte de l’application soit vous désinscrire, il faut simplement supprimer l’application.
C’est faux, sinon il n’y aurait pas de communication vers un serveur.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkmjK9WAAA0_a7.jpg
9-bis / Votre compte est conservé dans une base de données et vous n’avez visiblement aucun moyen de vous en supprimer depuis l’application.
10/ Revenons vers le site, hébergeant l’API permettant de communiquer avec l’application.
A première vue une simple page de maintenance, mais celui-ci est vulnérable à du directory listing.
Concrètement on peut y voir des dossiers de dépendances PHP.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkntDNWkAA3t8c.jpg
11/ En m’aidant de mon proxy et des requêtes envoyées depuis l’application, je trouve un panel d’administration.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkogflXsAAM98V.jpg
12/ Avec de la déduction et un peu d’expérience, je déduis que c’est une plateforme développée sous un certain framework PHP.
Mélangé avec du directory listing cité plus haut cela donne.... le login et le mot de passe de la base de données...
🤦🏻‍♂️
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkpPkXWkAEV51z.png
3/ A titre indicatif le mot de passe est très très faible (quelque chose mélangeant 1234 et des termes trop communs) et le login subit le même sort.
J’y obtiens également les accès au serveur SMTP permettant d’envoyer des mails aux inscrits.
13-bis/ Théoriquement il me serait tout à fait possible d’utiliser l’identité de l’adresse email expéditrice et de réaliser du phishing.
14/ J’obtiens également l’information que la plateforme est en mode debug, c’est à dire que sans la vulnérabilité de listing directory il m’aurait été possible d’obtenir les informations ci-dessus très facilement.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkqQREXYAEWGmj.png
15/ J’en obtiens d’autres informations comme la clé secrète JWT qui permet de signer et authentifier un utilisateur.
BONUS : la clé secrète permettant d’envoyer des notifications aux utilisateurs.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWkq8-LXYAEbiA1.png
16/ J’obtiens un accès à phpMyAdmin et j’accède ainsi à l’entièreté de la base de données, avec tous les utilisateurs.
https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWksyKYXYAEPB3e.jpg

https://nitter.net/pic/https%3A%2F%2Fpbs.twimg.com%2Fmedia%2FEWks_NPXkAAuJUr.jpg
Petit complément d’information, on peut trouver la société qui a développé la solution via les captures d’écran sur l’App Store.
C’est la société indienne Devstree qui l’a réalisé. (l’Inde n’est jamais très loin, cc @fs0c131y)
Bon...
Complément d’information 2, il est possible de récupérer le code source de la plateforme et de s’y inscrire en tant qu’administrateur. ▻https://nitter.net/gif/https%3A%2F%2Fvideo.twimg.com%2Ftweet_video%2FEWlIKsCXYAUJjjY.mp4

WhilelM @whilelm CC BY
colporteur @colporteur CC BY-NC-SA 28/04/2020

Merci pour cette clarification @whilelm !! J’avais des doutes de cybernouille sur la sécurisation (centralisation de quoi ? par qui ? accessible comment ?). Si je n’ai pas compris l’intégralité de ce que tu pointes, ce que tu dis permet de savoir à quoi s’en tenir. C’est plus une balle dans le pied, c’est le cerveau qui explose à tout va. Déjà des échanges sur l’appellation ’notre’ police - plutôt imaginée de bonne foi il me semble pour dire le besoin d’un contrôle collectif, d’imposer des limites à la liberté de la police - avait illustré ce que l’activisme, nécessaire, l’urgence, imposée, peut amener à dire et faire comme boulettes illogiques. Ce qui m’ennuie profondément c’est que faire part aux initiateurs de tels défaut rédhibitoires sans indiquer une amorce de solution rendrait la critique inaudible et sans effet, forcément.
Ce virus là a commencé à circuler le 10 mars (ou avant) en presse, avec une pullulation récente, et des syndicats de flics ont déféqués leurs communiqués outrés, en lui décernant le label " anti-flics ".

colporteur @colporteur CC BY-NC-SA
colporteur @colporteur CC BY-NC-SA 29/04/2020

Je n’ai aucun moyen de vérifier quoi que ce soit, mais l’ open bar sur les données des utilisateurs aurait duré près de deux mois avant que :
▻https://nitter.net/thibeault_chenu/status/1254613329198407681#m
Bon...
Complément d’information 2, il est possible de récupérer le code source de la plateforme et de s’y inscrire en tant qu’administrateur.
5:28 AM · Apr 27, 2020
Thibeault 👨🏻‍💻
@thibeault_chenu
8h
Les vulnérabilités viennent d’être corrigées. ✅
Il semblerait que la personne qui a fait l’analyse de UVP cité ci-dessus ait lui même effectué des corrections (?) ce qui ne cesse pas de me laisser perplexe (performer en public avec rapidité pour monter qu’on connait le job, ok, mais sans contact avec les initiateurs ?). D’autant qu’il avait accès à des mdp. Soit il les a changé pour les rendre moins faibles, et alors quid des gens d’UVP ? soit il les a laissé en l’état sur une application qui intéresse nécessairement la police (pas celle qui satonne ou tire dans les rues et ailleurs, celle qui taffe au renseignement et à l’analyse dans des bureaux) qui les aurait déjà. Comment imaginer que ces semaines à « vulnérabilités » (enaurme euphémisme) n’aient pas été mises à profit d’une manière ou d’une autre, mais - à minima - en prenant possession de toutes les données utilisateurs pour des usages hostiles ?

colporteur @colporteur CC BY-NC-SA
cy_altern @cy_altern CC BY-SA 29/04/2020

#sécurité_informatique #directory_listing #laravel #violences_policères #application #UVP

cy_altern @cy_altern CC BY-SA
colporteur @colporteur CC BY-NC-SA 29/04/2020

Bonjour, à titre d’information je n’ai pas réalisé les corrections mais j’ai soumis des recommandations pour chaque vulnérabilité à l’équipe en charge de la plateforme qui les a ensuite corrigé. Les mots de passe ont été laissé en l’état pour ma part.
Ils ont normalement été renforcé, suite à mes recommandations. 👍🏻
Un contact (par mail puis par téléphone) avec l’équipe en charge de cette plateforme a été pris à l’instant où j’ai découvert ces vulnérabilités. La prise en charge a été rapide et les responsables de celle-ci ont pris conscience de la gravité de la découverte.
▻https://twitter.com/thibeault_chenu/status/1255322743886708736

colporteur @colporteur CC BY-NC-SA
WhilelM @whilelm CC BY 29/04/2020

Cool pour le suivi. D’ailleurs, je suis curieux de voir quand les dépôts seront mis à jour avec une nouvelle version.

WhilelM @whilelm CC BY
WhilelM @whilelm CC BY 4/06/2020

Ah bah le lien vers le dépot Android est mort... ▻https://play.google.com/store/apps/details?id=com.onpvp.uvp&hl=fr
Celui vers la page iOS marche toujours pour autant ▻https://apps.apple.com/fr/app/urgence-violences-polici%C3%A8res/id1493754560 avec des mises à jour du 14 et du 15 mai.

WhilelM @whilelm CC BY