Tor est un outil

Comme l'a dit Numendil sur Twitter, dont je reprends les propos : Internet, TOR, les Darknets ou l'anonymat sont des outils, ils sont neutres. Des gentils s'en servent, des méchants aussi, pour faire le bien ou chercher à faire le mal. Comme la vie quoi. Internet est neutre, les actions des gens qui l'utilisent non. Arrêtez de taper sur l'outil qui n'a rien fait. Merci. Comme un couteau qui peut servir à manger ou à tuer, un crayon à écrire ou à planter, et personne n'accuse ces objets. Une voiture mène d'un point A à un point B, ou elle tue... et personne n'accuse la voiture. Interdisons les voitures, ce qui est logique vu le nombre de morts pour de vrai chaque année.

Tor est un outil et comme tous les outils, c'est l'usage que l'on en fait et qui peut être condamnable. Un logiciel et un usage particulier qui en est fait ne peuvent généralisé pour en déduire tous les usages et les possibilités d'usages.

La question, je pense, qu'il faut se demander, c'est pourquoi on en vient,en tant que citoyen, à utiliser ce genre d'outil. C'est là le vrai problème. Ce n'est pas Tor en lui-même, mais le fait que l'on en fasse usage pour avoir un tant soit peu de vie privée. Que l'usage de Tor devienne peu à peu une nécessite pour pouvoir s'exprimer librement et sans contrainte, sans être espionné.

Pour en savoir plus sur Tor, je vous invite à lire mes différents articles taggués Tor. Et sur ce sujet, je vous invite à méditer sur les deux réflexions suivantes :
La protection de la vie privée est une condition nécessaire à l'exercice des libertés fondamentales, une condition de la démocratie Amaelle Guiton
La réaction de la France à la surveillance de masse des citoyens par la NSA ? La surveillance de masse des citoyens... Jérémie Zimmermann

L'anonymat

Autre problème qui est régulièrement pointé du doigt, celui de l'anonymat. On a l'impression que sous couvert d'anonymat, les gens se lâchent et disent des choses racistes, machistes, sexistes ou tout autre forme de propos condamnables. Et pourtant, si l'on regarde bien, beaucoup de ces personnes parlent sous leur vrais noms, leur véritable identité. Souvent sur leur page Facebook. Sur laquelle on retrouve des photos de ces personnes. Elles sont donc très facilement identifiables. Oui sur Internet, il y a des trolls, des propos diffamatoires... Mais ni plus ni moins qu'au bistrot du coin. Sauf que là, tout le monde peut les entendre et les lire, les paroles s'envolent et les écrits restent, peuvent être rediffusés...

Ces personnes disent donc des propos condamnables, mais ce n'est pas l'anonymat le problème. Et même si elles l'étaient, beaucoup n'ont pas les connaissances techniques nécessaires pour se cacher et elles restent très facilement identifiables via leur adresse IP...

Qui est donc est alors visé par les critiques sur l'Anonymat ? Quelques trolls ?

Le problème est que l'on prend l'anonymat comme prétexte pour condamner un usage d'Internet qui est celui de la libre expression. On veut forcer les gens à s'exprimer sous leurs vrais noms, mais surtout les habituer à être contrôler, surveiller. Ainsi, ils ne diront plus ce qu'ils pensent, ils ne critiqueront plus les politiques. Et le pouvoir que ces derniers perdent peu à peu leur reviendra à nouveau. Car le problème est là, dans le changement du pouvoir.

L'Internaute et donc le citoyen prend peu à peu le pouvoir et lui restreindre sa liberté d'expression, c'est conserver, voir se réapproprier ce pouvoir.

Quand à la problématique du pseudonymat... Des gens qui gèrent leurs pseudonymats, comme Maitre Eolas en tête, moi-même et bien d'autres, n'iront pas détruire en quelques secondes leur e-reputation construire avec le temps en tenant des propos que nous en cautionnerons pas, ne défendrons pas. Nous avons une gestion de notre identité numérique. Nous avons une image que nous donnons au travers de notre partage via notre blog, notre compte Twitter ou toute autre écrit que nous faisons sur la toile. Et pourtant nous souhaitons rester un anonyme, nous usons de notre droit au pseudonymat.

A lire pour approfondir ces réflexions :
Le pseudonymat
Mes articles tagués Identité numérique Anonymat
Mes articles sur l'Identité numérique

Faire du sensationnalisme

Quand j'entends des propos sur l'Internet poubelle, je considère que c'est là le signe très clair d'une incompréhension d'Internet, d'une peur de ce que l'on ne connait pas. La presse, les journaux télévisés et les reportages, tous surenchérissent avec des textes ou des reportages clairement imbibés de sensationnalisme, jouant sur les clichés. Internet fait peur...

Internet mon amour

Mais moi je l'aime cet Internet. Je l'aime depuis le premier jour, où j'ai vu toute sa potentialité à la vitesse de mon modem 56k. Et chaque jour à mon échelle, je contribue à l'éducation, à l'apprentissage, à l'enseignement, au partage des connaissances. J'essaie de montrer en quoi Internet est important pour tous ces points. Et surtout en quoi il est important qu'Internet continue d'être libre, sans censure, sans filtre, pour la liberté d'expression et donc pour la démocratie.

Avoir un semblant de vie privée

Je parlais dans mon article Quand on est plusieurs derrière une même box, du fait que j'aurais beau utiliser toutes les extensions que je voudrais pour essayer de récupérer un semblant de vie privée sur Internet, en ajoutant tout un tas d'extensions (Ghostery, AdBlock etc.), en passant par Tor et en utilisant tout un tas de systèmes et de règles, si à côté de moi, quelqu'un expose ma propre vie, de façon direct ou indirect, est-ce bien utile d'avoir recours à tout ça ?

Comme je le disais dans mon article A une même adresse IP correspondent deux (ou plus) utilisateurs différents. Et il doit est très facile de différencier les usages de ces deux personnes. Le navigateur, le système d'exploitation, le type de machine (PC, tablette...), les sites consultés.

Ne croyez pas qu'à travers mon article mentionné ci-dessus, je critique ouvertement Mme Genma et que je lui fais des reproches via ce blog. Comme je le disais donc dans mon article Mme Genma utilise Google, Amazon (entre autres) et ces deux sociétés, de part ses recherches, ont très certainement dû dressées un profil très ciblé de notre foyer, de nos habitudes de consommation, réduisant en vain mes efforts pour avoir un semblant de vie privée. Mais quelque part, Mme Genma a plus de vie privée que moi. En effet, Mme Genma n'a pas de compte Facebook, elle ne poste jamais de message sur les forums, n'est inscrite à aucun réseau social autre... Ce sont donc des traces invisibles d'elle-mêle (et de moi indirectement) qu'elle laisse sur Internet.

Et au contraire, moi, je suis présent sur Facebook, sur Twitter, sur d'autres réseaux sociaux sur lesquels je ne vais jamais (je pense à Pinterest, Google plus, et d'autres), je poste sur des forums (beaucoup moins souvent qu'avant, mais quand même). Je tiens ce blog sur lequel je poste des articles où je me confie, via lesquels on peut savoir beuacoup de choses de moi-même, on connait mes pensées profondes... Je laisse plein de traces, de façon volontaires. Avec mes conférences, je m'expose à visage découvert (je ne suis plus derrière un écran, anonyme), sous mon pseudonyme.

Je parle de gestion de son identité numérique, de pseudonymat, d'extensions pour avoir un semblant de vie privée... Et à côté de ça je m'expose de façon publique, j'en dis beaucoup. Mais ce que je dis, je choisis de le dire, j'ai un semblant de maîtrise sur mes propos. C'est un choix délibéré en toute connaissance. Je pèse le pour et le contre. Je choisis. Au contraire de toutes ces traces qui peuvent être utilisées, qui permettent de dresser un portrait dans un but commercial... A méditer donc.

La signature unique d'un navigateur peut vous trahir

Petite parenthèse que je mets ici car cela vient compléter mes propos. Korben évoquait dans son article Brouiller les pistes avec Firegloves, le fait que Même avec des extensions comme Ghostery, AdBlock, Smart Referer et Self-Destructing Cookies, votre navigateur envoie des tonnes de métadonnées aux sites, qui sont capable de l'identifier par une empreinte, sinon unique, au moins très limitée. Pour cela, l'extension génère aléatoirement des infos comme la résolution d'écran, l'OS, la timezone ou encore la langue, mais vous pouvez aussi préciser vous-même si vous souhaitez que la liste des plugins soit désactivée ou si vous acceptez ou pas d'utiliser les polices du système pour le rendu des pages web. Si vous utilisez le même navigateur pour surfer normalement (ce qu'il ne faut jamais faire). vider automatiquement votre cache ou les cookies lorsque vous quittez Firefox. Mieux, utiliser un live-cd.

Cette fameuse signature unique vient donc compléter ce que j'évoquais dans mon article. On peut effectivement bien différencier les différentes personnes derrière une box. Et d'autant plus que la signature de mon navigateur (au vue des extensions installées, de l'OS) est unique. En voulant me rendre invisible, je le suis encore plus car j'ai un usage caractéristique. Mes efforts serait-il donc vain au final ? A méditer...

Un article nostalgique pour mentionner les billets de lancement de quelques podcasts que j'apprécie particulièrement, que je suis depuis les débuts. Certains sont finis, d'autres continuent et ont bien évolués depuis leurs débuts... Je me suis replongé dans les archives des sites Internets concernés pour en extraire le lien vers le tout premier épisode, celui du lancement de ce qui a été ou est encore une superbe aventure... Que de souvenirs... Merci à eux tous, et bien d'autres, pour avoir occupé de nombreuses centaines d'heures avec des propos passionnés, d'humour, de joie, de rire. Merci à vous tous.

Précuseur en vidéo, le podcast Geek de référence,
- GeekInc 01, sur DailyMotion

En plein été 2009, celui qui a ensuite donné envie à d'autres de se lancer,
L'apéro du Captain, le 9 août 2009 : L'apéro du Captain #1 : Le podcast High Tech qui ne respecte rien
Suite à l'ADC, ont suivis :
Bazingcast, le 11 janvier 2011 Bazingcast #1 « De la nucléarisation des geeks de fin de série »
Le Quadratour, de Mister D, le 28 juin, 2010 Quadratour Episode I : L'anecdote des Hydrocarbures de l'Apocalypse.

Dans un autre genre, celui de la Barbitude :
La grotte du barbu, de Babozor, le 4 Novembre 2008 Saison 01 Episode 00 – Le serveur LAMP de mamie…

Comment parler podcast sans évoquer le Podcasteur qui se désolidarise, le bien aimé Patrick Beja et son tout premier Rendez-vous Tech, le 27 janvier 2009 Tech #1 – Obamaberry, où on sent déjà l'expérience acquise avec ces précédentes oeuvres.

Pour terminer une pensée émue pour ce billet qui annonce le lancement de Nowatch le 16 mars 2011 Le site NoWatch.net est arrivé !. Quelle belle aventure que cela aura été.

Internet est de plus en plus centralisé et cela sert à nous espionner. Voici deux exemples de cette centralisation et de l'espionnage qui en découle.

Facebook

Désormais, dès que l'on a la mention à un site dans un jeu concours, une affiche, une publicité, ce n'est plus le site de la marque ou de la société en question qui est mentionné, mais la page Facebook. A l'heure des réseaux sociaux, plus rien ne passe sur les sites officiels en .com, tout est sur Facebook. On a donc une véritable centralisation de l'Internet autour d'un même et seul site (en réalité plusieurs, car on pourrait ajouter Youtube pour la vidéo, Amazon pour l'achat en ligne...).

Toutes ces sociétés et marques qui vont leurs jeux concours (dans un but publicitaires) vont où les gens sont. Les gens eux-mêmes vont là où les autres sont. On est fasse à un cercle vertueux (plutôt vicieux), la masse critique de Facebook est devenu tel qu'on ne peut plus lancer une campagne marketing sans qu'elle soit lancée sur Facebook. Une pétition en ligne, c'est une page Facebook. On veut faire un blog ? A quoi ça sert, on publie et commente sur Facebook.

Le problème est que Facebook est tout sauf respectueux de la vie privée. Si encore on avait le droit à l'utilisation d'un pseudonyme, que l'on cloisonnait ses centres d'intérêts... Moi qui ait connu le web 1.0, le web à l'ancienne, les sites personnels, l'ère d'avant les blogs, la venue des sites en .com et la bulle Internet associée, j'ai un certain vécu sur le web. Et pourtant, tout tourne autour de mon propre blog, qui sera encore là quand les autres sites ne seront plus, car passés de mode (qui se souvient encore de MySpace ou de Seconde Life ?).

La société Facebook doit se réjouir d'être au centre de tout. Car en plus de toutes les données que les gens mettent volontairement, les nombreux clics qu'ils font pour participer à des jeux et avoir des objets et autres produits gratuits données par les marques en manque de publicités, leurs apportent encore et toujours plus d'informations pour leurs fiches individus. Fiches et profils qu'ils peuvent donc revendre aux publicitaires, qui vont alors faire des jeux et autres publicités encore plus ciblés, toujours sur Facebook.

Et même quand on n'est pas sur Facebook, toutes les petits "J'aime" qui s'affiche sur les différents sites permettent à Facebook de savoir que vous vous êtes rendus sur ce site. De même, les régies différents régies publicitaires, peu nombreuses, savent sur quels sites vous êtes passés. Car les différents sites n'affichent plus uniquement leurs propres contenus, mais sont affiliés à différents sites qui via des scripts javascripts et des cookies suivent votre navigation de site en site à la trace. Pour éviter ça, il y a l'extension Ghosery que j'évoquais dans un article dédié.

A lire sur le même sujet :
Extensions pour Firefox : Ghostery
Ménage dans les trackers de ce site
Ghostery ou NoScript

Cloudfare, Akamai et notre vie privée

Un autre problème de centralisation qui porte atteinte à notre vie privée en permettant un pistage / suivi de notre surf sur Internet et l'utilisation par de plus de en plus de sites de serveur de cache comme CloudFare ou Akamai.

CloudFlare est un CDN (service de diffusion de contenus) et un service de serveurs de nom de domaine distribué, qui prétend améliorer les performances, la sécurité et la rapidité des sites webs.

Akamai Technologies (NASDAQ : AKAM) est une société américaine spécialisée dans la mise à disposition de serveurs de cache pour les entreprises. La mise en cache de contenu Web permet une économie de débit Internet, économie particulièrement intéressante pour les sites à très fort trafic.

Cloudfare, Akamai et tous les services du même type sont donc des intermédiaires entre le serveur sur lequel se trouve le site web que l'on souhaite consulter et le navigateur/la machine depuis laquelle on souhaite faire cette consultation. Ils permettent d'avoir le cache d'un site près de chez soi et donc d'avoir une meilleur optimisation du temps de réponse du site. Ce n'est plus le site qui supporte la charge mais ces services. Un DDOS ? Là encore, c'est ce service qui le prend.

Le problème est que ces services sont gérés par très peu de sociétes. Plus il y a de sites qui les utilisent et plus il y a de chances que pour la consultation de sites divers et variés, on passe par le même service. Cela est tout à fait transparent pour l'utilisateur, mais pour ces sociétés, le recoupement d'informations leurs permets de savoir de façon très simple la la liste des sites que l'on consulte (Il leurs suffit pour cela d'analyser les logs). Et que font-ils ensuite de ces informations ? Qu'en est-il du respect de notre vie privée ?

En conclusion

La problématique du tracking, du suivi, de la vie privée sur Internet sont encore loin d'être résolus et cela ne va pas en s'arrangeant... Il y a eu plusieurs articles sur ce blog sur ce sujet et bien d'autres suivront... A suivre donc.

Un DNS c'est quoi ?

Le Domain Name System (ou DNS, système de noms de domaine) est un service permettant de traduire un nom de domaine en informations de plusieurs types qui y sont associées, notamment en adresses IP de la machine portant ce nom. Source

Quand on demande à aller sur une adresse particulière, http://genma.free.fr" par exemple, le navigateur interroge un serveur DNS pour obentir l'adresse IP correspondante. Et c'est en utilisant cette adresse IP qu'il communique avec le serveur web qui lui envoie alors le contenu des pages à afficher. Si l'on connait une adresse IP d'un serveur, on peut aller directement sur le serveur en question. Ce qui explique le fait que le blocage de thepiratebay.org est inutile si les serveurs qui hébergent le site restent accessibles via leur adresse IP.

En quoi ça impacte ma vie privée ?

Par défaut, les serveurs DNS que l'on utilise sont ceux qui appartiennent au fournisseur d'accès Internet que l'on a (la Box fournissant la connexion Internet donne les différents paramètres de configuration au PC, dont les adresses des serveurs DNS). Il est tout à fait possible d'utiliser d'autres serveurs DNS, Google en fournit lui-même, mais comme il est indiqué dans les conditions d'utilisations, toute demande est tracée (loguée). Ainsi, si on demande à son navigateur d'aller sur porno.com, même si c'est en utilisant le mode navigation privée de son navigateur pour ne pas laisser de trace sur son PC, au momement de la résolution de nom (l'obtention de la correspondance nom de domaine - adresse IP), le serveur DNS trace la demande. Il conserve la date et heure, l'adresse IP demandeuse, le site pour lequel on demande la consultation.

Tout ce que l'on fait sur Internet, tous les sites que l'on consulte sont donc tracés, notés, archivés. Il est alors possible de tout savoir de vos habitudes d'utilisation, les sites que vous consultez le plus souvent... Cela est donc bel et bien un problème pour la vie privée.

L'alternative/la solution est donc d'utiliser des serveurs DNS qui ne conservent pas de logs.

Dans le cadre de l'utilisation de Tor

Quand on installe Tor (suite à une installation que l'on aura faite soi-même), il se peut qu'une partie du trafic soit toujours en clair, à savoir l'interrogation des DNS. En effet, malgré le proxy Socks SSH, par défaut, Firefox utilise les DNS « par défaut ». Pour faire en sorte que le trafic DNS passe aussi par le proxy Socks, il faut modifier le about:config pour passer l'option de configuration suivante à true : network.proxy.socks_remote_dns. Source : Libre-parcours.net.

Par contre, dans le cadre de l'utilisation du Tor Browser Bundle, le navigateur effectue toutes ses demandes de requêtes DNS par le réseau Tor, la configuration est déjà effectuée.

Whois

Toujours sur les DNS. La commande Whois est un service de recherche fourni par les registres Internet, par exemple les Registres Internet régionaux (RIR) ou bien les registres de noms de domaine permettant d'obtenir des informations sur une adresse IP ou un nom de domaine. Ces informations ont des usages très variés, que ce soit la coordination entre ingénieurs réseaux pour résoudre un problème technique, ou bien la recherche du titulaire d'un nom de domaine par une société qui souhaiterait l'obtenir. Source.

Avec un simple whois, on peut avoir le vrai nom du blogueur qui se tient derrière un pseudonyme. Si on demande un whois sur l'adresse Korben.info (par exemple), on voit que le registrant Name est 'Manuel Dorne'. Il est très facile de trouver le vrai nom de Korben, celui-ci ne s'en cachant pas. Mais il se peut qu'on ait fait une erreur de jeunesses et qu'on est enregistré son vrai nom lors de la première commande de son nom de domaine.

Il faut donc penser à vérifier qu'une pièce d'identité n'est pas demandé à la création d'un nom de domaine, qu'il est possible d'utiliser des mails anonymes et des moyens de paiement alternatif, si l'on ne veut pas que notre véritable identité soit attachée de près ou de loin à un nom de domaine.

Ce point est à creuser pour savoir comment faire...

Et pour aller plus loin ?

Je vous invite à vous renseigner et à approfondir le sujet du DNS, ainsi que tout ce qui concerne man in the middle / Attaque de l'homme du milieu et l'empoisonnement du cache DNS.

Car il est toujours bon de s'intéresser à la technique, d'en apprendre toujours plus, pour mieux maitriser l'usage que l'on a de son ordinateur.