C’était beau comme les prémices de 2017 avec Marine Le Pen au pouvoir, beau comme une suite de l’ère Sarkozy. Les députés, de gauche à droite unis (à de rares exceptions près) dans une même lutte, celle de la Nation contre la Guerre qui lui est faite. Ils ont voté quasiment comme un seul homme le fameux projet de loi de renforcement de la lutte contre le terrorisme. Tout ça pour, quelques jours après faire rire toute la population de Calais à… Racca avec le plus beau raté de l’histoire policière. Trois djihadistes présumés expulsés de Turquie, dont le beau-frère de Mohamed Merah, qui arrivent en France et ne sont accueillis par personne, alors que le ministère de l’Intérieur avait annoncé à la presse leur arrestation. Pas de bol, en plus de ces loupés, le système de contrôle des passeports était en panne.

Et oui, on veut retirer leurs passeports aux gens, mais le système de contrôle desdits passeports est, selon l’aveu même d’un responsable policier sur France-Info, régulièrement en panne.

Et dire que tous ces députés, tous ces ministres nous assènent depuis des jours que « la France est en guerre« , que « la sécurité nationale » est en jeu, qu’à situation exceptionnelle, il fallait des lois d’exception…. Décidément, la France n’a pas beaucoup évolué depuis l’époque de la Ligne Maginot…

Vu que la news semble totalement passer sous les radars de la presse spécialisée, et que nous avons ici maintes fois abordé le phénomène, nous allons revenir avec vous sur une fuite, publiée sur Cryptome, un édifiant témoignage d’un ancien insider de Giganews, le service Usenet le plus populaire. Il s’agit d’une véritable petite bombe puisque ce témoignage atteste, documents à l’appui, de la main mise des fédéraux américains sur ce provider qui compte des clients dans le monde entier, même si les gens qui connaissent un peu le milieu le soupçonnaient, sans jusque là en apporter la moindre la preuve.

Derrière certaines plates-formes de téléchargements illicites ou des services VPN vous promettant une sécurisation sans faille de vos données se cachent de véritables pots de miel. Des services de sécurisation des communications en ligne, bien en vue, recommandés unanimement par la presse spécialisée cachent en fait des points de collecte et d’extraction de données particulièrement stratégiques. Vous voulez sécuriser vos échanges ? N’ayez crainte, le FBI s’en occupe.

Data Foundry est un data center d’Austin, Texas, mitoyen du siège de Giganews. Ils font d’ailleurs plus que partager des locaux puisqu’ils partagent aussi leurs administrateurs systèmes et réseaux. Tout a commencé lorsque l’ancien employé a pris l’initiative de retirer du contenu pédo-criminels des serveurs de Giganews. Ce dernier s’est vu reprocher d’avoir interféré dans une enquête en cours par l’un des admins de Giganews / Data Foundry, Philip Molter, qui s’est empressé de restaurer les contenus supprimés… et hop, viré.

Puis, convoqué plus tard dans un obscur bureau du FBI, l’ancien employé de Gigagnews qui témoigne, évoque sa rencontre avec l’agent Scott Kibbey décrit comme étant au centre de toute l’opération Giganews, opérant sur les serveurs Usenet de Giganews, mais aussi de VyprVPN de Goldenfrog, intimement lié à Giganews. Et voici notre ancien employé, viré, puis réintégré sous une nouvelle identité fournie par le FBI.

Le témoignage relate ensuite les possibles collaborations avec des services d’autres pays. La Chine aurait par exemple eu accès aux données de connexion des utilisateurs de VyprVPN… un comble.

L’archive de 18,4mo de documents comprenant mails, badges et documents internes démontrant l’implication des fédéraux dans la surveillance active de Usenet par l’entremise de Giganews est téléchargeable ici.

Giganews serait donc, comme VyprVPN l’un des plus gros honeypot d’Internet. La position de leader de la vente de services sur Usenet de Giganews aurait largement profité aux fédéraux américains ainsi qu’à d’autres agences. Nul doute que d’autres fuites démontreront l’implication active de services dans des sociétés bien connues du marché de la « privacy » en ligne.

De mon côté j’avoue bondir régulièrement quand je vois des sites d’information spécialisés recommander certains de ces « gros » VPN, Korben si tu me lis

D’une manière générale, ne vous fiez pas aux sites de comparatifs de VPN, il s’agit dans leur grande majorité de sites affiliés qui ne portent pas un grand intérêt pour la sécurité de vos communications. Les autres n’ont malheureusement pas toutes les données nécessaires à l’évaluation du risque à confier ses données à ces sociétés.

Usenet et les VPN ne sont pas un cas isolé, nous vous parlerons très probablement bientôt de cyberlockers, de plateformes de Direct Download, qui elles aussi fricotent plus ou moins directement avec des services de renseignement, quand ces dernières ne sont tout simplement pas opérées par ces mêmes services. Le tabou est brisé, et c’est une bonne chose. L’avertissement est lancé, si vous peerez avec Giganews, vous savez maintenant à quoi vous exposez vos utilisateurs.

Giganews :

Data Foundry :

C’est une accélération sans précédent de la donne géopolitique mondiale qui vient de s’opérer en quelques mois, poussée en parallèle par de nouveaux événements économiques très alarmants. Tous les voyants sont au rouge, qu’ils soient militaires, politiques, sociaux ou économiques. Prenons cinq minutes pour réfléchir à « l’état du monde ».

Economie : la grande escroquerie ?

La croissance du PIB européen est nulle ou presque. Le chômage augmente, les protections sociales sont amputées, les salaires stagnent ou sont abaissés, la pauvreté augmente, les petites et moyennes entreprises ferment ou licencient, de nombreux gamins des écoles de pays de l’Union partent le ventre vide à l’école pendant que les dirigeants politiques du vieux continent continuent à discuter de la nécessité ou non de continuer les politiques d’austérité budgétaires liées au TSCG (le fameux traité que le « président normal Hollande » promettait de renégocier s’il s’emparait du trône républicain était élu ).

C’est donc un écroulement qui s’opère. Celui du modèle social (capitaliste). Pas celui du néo-libéralisme, qui pour sa part, se porte très bien : les marchés financiers sont tout feu-tout-flamme, le système bancaire s’est très bien redressé grâce à l’aide des Etats sommés de couper les vivres à leurs citoyens, l’argent sur les places financières n’a jamais été si bon marché. Les fonds vautours se jettent sur leurs proies avec délectation, les socio-démocrates d’Europe ont « enfin » compris (?) le TINA néo-libéral menant au dépeçage de ce qu’il reste du modèle social et de la vente massive des structures publiques aux multinationales…

Il faut envisager quand même que les banques européennes peuvent emprunter à 0,05% auprès de la BCE depuis quelques jours : autant dire bénéficier de crédits gratuits. L’euro baisse, ce qui est normal, et cela devrait aider les exportateurs, enfin, pour ceux qui arrivent encore à exporter conséquemment. Mais où passe donc tout cet argent emprunté gratuitement par les banques ? Il reste dans les caisses des dites banques. Pour reconstruire leurs marges. Normal, les banques estiment que le risque est trop grand de prêter…et puis de l’argent gratuit, c’est toujours sympathique, surtout si on en joue une partie sur les marchés.

Aucun plan européen de relance de la croissance digne de ce nom à l’horizon, la fermeture des robinets des dépenses publiques est généralisée : la déflation s’est presque invitée dans la zone euro, et lorsqu’elle sera présente, c’est une spirale économique terrifiante qui débutera.

Bon nombre de décideurs politiques en sont conscients. Vont-ils brusquement réagir et contraindre Berlin dans le sens d’une relance d’urgence ? Justement, le plan de relance européen de 300 milliards d’euros est là, encore au stade de discussion, mais de toutes les manières, pour nombre d’observateurs, il ne sera pas suffisant. Se rappeler le plan de sauvetage des seules banques en 2009, qui atteignit alors 1400 milliards d’euros, entre les garanties d’Etats et le cash « prêté », de plus de 400 milliards.

L’assouplissement monétaire américain qui a tenu sous perfusion une bonne partie de la planète en inondant les marchés de dollars de la FED  arrive en fin de course avec la politique du « taping »…il ne reste pas grand chose pour empêcher le paquebot économique européen de couler, et à sa suite…?

Délires politico-militaires au Proche-orient (et ailleurs)

L’Etat islamique, (ou Daesh en arabe, ISIS en anglais) s’est invité dans le grand jeu stratégique (principalement gazier et pétrolier) proche oriental. Le plus étonnant reste la surprise (feinte ?) des médias et des responsables politiques face à ce raz-de-marée djihadiste pourtant connu depuis 2006, en encore plus particulièrement depuis la récupération du printemps syrien avorté — par les dits  groupes djihadistes, en 2011.

Djihadiste est un bien grand mot pour qualifier une bande de gangsters barbus aux pratiques dignes d’un autre âge, qui violent, pillent, torturent, assassinent, et tiennent des livres de comptabilité avec une grande habileté : 100 millions de dollars de pétrole rentrent dans les caisses de Daesh chaque mois selon les dernières estimations. Sans parler des fonds récupérés dans les établissements bancaires au fil de leur progression. Une grande partie de ce pétrole de contrebande transite par la Turquie : business is business, personne ne trouve rien à y redire.  Face à ces grand tarés sanguinaires du Daesh, Assad et ses sbires en deviennent presque sympathiques fréquentables  : c’est dire.

Obama attaque donc par les airs, aidé de l’Arabie saoudite — qui a pourtant financé ces groupes depuis le début du « printemps syrien ». La monarchie pétrolière accueillera désormais l’armada américaine. Tout le monde semble parfaitement raccord. Même la France, grande amie de la monarchie du Qatar, principale aide, elle aussi, des groupes djihadistes de la région. La même France qui signe des contrats d’armement avec l’Arabie saoudite dans une real politik qui bat son plein, à la limite du clivage pathologique. Enfin, pas entièrement : l’Etat français a augmenté de 43% ses ventes d’armes en 2013. Il n’est pas difficile, au final, de comprendre la stratégie des affaires étrangères menée par Fabius. Plus on fait des démonstrations belliqueuses, plus on vend : quand les affaires vont bien, tout va bien.

En Ukraine, rien de nouveau. Un avion de ligne [bourré de scientifiques néerlandais] abattu par un missile d’origine russe, et personne ne bronche. La Crimée a basculé côté russe. L’est et le sud de l’Ukraine sont en pleine bataille de type old school avec plein de morts dans les deux camps et une population revenue 70 ans en arrière : aucun problème du côté de l’Union. Ah, si, quelques sanctions économiques européennes et américaines à l’encontre de la Russie. Mais qui finira le plus puni dans cette affaire ?

Quant à la bande de Gaza, bombardée pendant un mois et demi, elle compte ses morts et se demande ce qu’il peut bien encore arriver de pire. La Centrafrique continue de s’auto-massacrer allègrement (discrètement), le Mali est en sursis, la Libye part en quenouilles, la RDC et ses rebelles qui mutilent, violent, assassinent, n’intéresse toujours personne de bien intentionné… Les foyers de violence, de déstructuration des Etats sont si nombreux, qu’ils en donnent le tournis.

Un virus (très mortel) qui décime les Africains : a brave new world…

Ebola est une super saloperie une maladie, hyper angoissante. Si ce virus touchait l’occident, il est certain que des moyens colossaux seraient mis en œuvre pour l’éradiquer. Mais, sur le continent noir, on fait comme si l’épidémie n’était pas si importante que ça, avec des moyens étrangers très réduits, laissant les Etats concernés se débrouiller par eux mêmes, avec des moyens totalement ridicules. Tout en criant au loup via l’OMS, parce que faire peur, c’est quand même à la mode, et toujours une bonne manière de faire faire le dos rond aux citoyens ?

L’aide apportée aux populations africaines est totalement sous-dimensionnée et ne correspond en aucune manière à la gravité de la situation. Certains en viennent à crier au complot, d’autres à un scandale unique dans l’histoire des épidémies : il n’en reste pas moins que les citoyens des pays concernés vivent une situation terrifiante, digne d’un film catastrophe, dans une quasi indifférence. Y-a-t-il un plan mondial pour sauver l’Afrique d’Ebola ? Non. Il faudra expliquer un jour pourquoi — si rien de plus n’est mis en œuvre au niveau international.

 Pays riche(s) en perte de puissance

Si la France n’est pas touchée par les horreurs de la guerre et des épidémies en cours dans plusieurs parties du globe, elle n’en reste pas moins un pays à la population très déprimée et en colère. Une sensation d’écroulement social, économique, politique, voire culturel, partagée par le plus grand nombre. Avec, au delà de la sensation, une partie grandissante de la population française qui souffre véritablement : les inégalités progressent, les problèmes de logement, d’accès au travail rémunéré, aux soins, s’accentuent.

Face à cette situation, le couple exécutif Hollande-Valls entretient  un statu-quo terriblement destructeur, composé de reniements électoraux doublés d’un adoubement saisissant aux puissances de l’argent. Les deux compères ne cachent même plus leur adéquation au  modèle européen actuel de paupérisation des peuples, soumis au règne des méta-entreprises dont le chiffre d’affaire supérieur au PIB de certaines nations leur permet d’imposer leurs propres règles. Les masques sont véritablement tombés, la corruption des partis de gouvernement est désormais avérée, et elle n’est pas seulement financière, mais aussi— et surtout, idéologique. Un boulevard pourrait s’ouvrir au parti d’extrême droite dirigé par Marine Le Pen, à moins que…?

Redistribution des cartes

Le survol des grands événements de cette année, à l’échelle planétaire, s’ils sont replacés dans un contexte historique long, amène une réflexion sur une « redistribution des cartes » en cours. Les grandes nations, ex-empires coloniaux, ne sont plus en mesure d’assurer leur rôle de leaders mondiaux. Leurs économies s’effondrent lentement mais sûrement, la super-puissance américaine s’essouffle et démontre qu’elle n’est plus en mesure  de conserver son  statut d’antan. La Chine, l’Inde, la Russie ne craignent plus d’affirmer leurs progressions à tous les niveaux : technologique, économique, politique. La grande illusion d’un monde apaisé, ayant comme modèle la société occidentale, le respect des droits de l’homme s’est dissipée : les nations dominantes sont celles qui écrasent les autres dans une compétition économique sans règles, où le plus fort l’emporte.

Cette année a démontré le probable « grand basculement » en cours, vers un monde profondément multilatéral, chaotique, cynique et brutal. Un monde où les Etats anciennement garants de la paix, défenseurs des droits de l’homme, seront des nains à bout de souffle aux populations épuisées et désabusées, refermées sur elles-mêmes, face à des émergents à la progression sans faille. Le tout dominé par les seuls vraies super-puissances du XXIème siècle : les multinationales et les marchés financiers.

Cet été à l’assemblée nationale la commission des lois a adopté un amendement de l’article 323-1 de la loi Godfrain du 5 janvier 1988. La disposition, clairement étiquetée « Police et sécurité : dispositions relatives à la lutte contre le terrorisme» consacre habilement Internet comme un outil de terreur. Le tout a bien évidemment été proposé en procédure accélérée pour prendre soin d’éviter tout débat. Une loi de police, ça ne se discute pas, c’est pour votre sécurité.
La justification de cet amendement que l’on passe dans le bundle « antiterroriste », c’est … « (…) chaque année des centaines de milliards d’euros de pertes pour les entreprises.»… avec des « centaines de milliards » de préjudice, on peut au bas mot parler de terrorisme économique. C’est amusant car les derniers DSI que j’ai rencontré n’avaient pas franchement l’air terrorisés. Si vous avez vous même croisé un DSI terrorisé, n’hésitez pas, demandez lui de nous écrire un petit mail à cette adresse jesuisvachementcyberterrorisé@reflets.info, nous avons plein de questions à lui poser.

Sur le contenu au final, c’est toujours la même chose. En théorie, tout ceci reste bien soumis à une intrusion. En théorie car le texte ne vient évidemment pas définir la notion d’intrusion dont l’évaluation technique est toujours laissée à la discrétion d’un juge.

Exemple :

« vous avez accédé à la page Facebook de monsieur toto qui assure que sa photo de vacances en tongs est privée même si elle est publiquement visible de tous, et comme il y a une authentification sur la page d’accueil de Facebook alors vous êtes coupable d’une intrusion terroriste et il vous en coûtera 375 000 euros d’amende ».

Petites subtilités cependant, la détention de données « supposées » issues d’un piratage (par exemple trouvée sur Pastebin ou sur une clé USB dans le métro), vous en coûtera elle aussi 375 000 euros d’amende… une peine pour tout et n’importe quoi au moins c’est simple à retenir pour tout le monde… Le copier coller.. c’est 375 000 aussi, l’envoi d’une URL par mail, c’est de la transmission terroriste… paff 375 000 euros. Bref si vous trouvez des données, surtout, ne dites RIEN.

Vous voulez signaler un trou de sécurité sur un .gouv.fr parce que ce dernier n’a pas les budgets nécessaires à sa mise à jour et pisse des données ? Alors pour vous c’est le jackpot… 500 000 euros ! Moralité… surtout on la ferme et on les laisse se démerder. Peu importe si ceci est déjà indexé par des moteurs spécialisés et visible de tous, car le simple fait de faire un ctrl+f pour chercher les occurrences de .gouv.fr dans cette liste est probablement un acte terroriste.

Dernier point, si vous êtes journaliste, vous êtes désormais assimilé terroriste, donc vous pouvez probablement vous asseoir 2 fois sur le secret de vos sources terroristes… Tout va bien.

Mais le problème n’est pas tant sur le fond que sur la forme, une forme qui renvoie irrémédiablement au fond. Pourquoi amender la loi Godfrain dans le cadre de dispositions relatives à la lutte contre le terrorisme ?

C’est un travail de longue haleine, mais pour se doter de joujoux sympas, encore faut il avoir les outils légaux légitimant l’usage d’outils aujourd’hui interdits. En consacrant Internet comme un outil de terreur, l’exécutif fait un pas de plus vers la légitimation d’outils de surveillance plus massifs, descendant au plus bas de vos échanges. Si Internet est un outil de terreur, alors il convient de l’aborder avec des outils qui tiennent plus du filet dérivant que du casier à langouste.

Les mauvaises langues comme Reflets y voient un dangereux glissement visant à faire accepter dans l’esprit de tous que comme Internet est un outil terroriste, alors il est nécessaire de le placer sous surveillance, ce de la manière la plus large possible. La confidentialité des échanges ne pèse plus lourd quand la loi vous qualifie de terroriste.

Dormez tranquilles, il ne nous reste plus qu’à docilement attendre la criminalisation des outils de chiffrement des communications et d’anonymisation comme Tor.

Le 10 mars 2015 se tiendra à Paris la JSSI 2015 organisée par l’OSSIR. Le thème retenu pour cette année est  « Quel avenir pour la souveraineté française en SSI ?« . L’appel à communications est ouvert. Voilà un sujet passionnant en plein séisme Snowden. Reflets a abordé à plusieurs reprises la thématique stupide du « cloud souverain« . Penchons-nous cette fois, à l’invitation involontaire de l’OSSIR, sur le secteur de la sécurité informatique… Vous allez voir, ce n’est pas triste non plus.

Chaque pays accuse volontiers, à mots couverts ou pas, les fabricants étrangers d’insérer des backdoors dans les solutions de sécurité informatique, dans les routeurs, dans les serveurs. L’attaque contre les méchants chinois est particulièrement prisée ces temps-ci. Mais qu’en est-il de la France ? Les fournisseurs de sécurité informatique se livrent-ils à ce type d’actions ? Pour satisfaire des demandes de services de renseignement ? Difficile à dire. En revanche, il est plus simple de répondre à la question « vaut-il mieux faire appel à un prestataire labellisé made in France ? »

Soyons pragmatiques. Si l’on se place dans une optique paranoïaque face aux révélations des documents d’Edward Snowden, oui, il est préférable d’utiliser des matériels français pour échapper à la curiosité de la NSA. Mais est-ce le seul point à prendre en compte ? Et cela suffit-il ?

La réponse est malheureusement définitivement non.

Le secteur de la sécurité informatique est le plus souvent en France composé de petites et moyennes entreprises. Avec tout ce que cela implique.

Les dirigeants, parfois fondateurs de l’entreprise, prennent un peu trop à coeur la gestion de l’entreprise. Ils s’occupent de tout, y compris de ce qu’ils devraient laisser aux autres. Leur approche est le plus souvent mercantile au mauvais sens du terme. Ils privilégient les revenus plutôt que la technique. L’effort est mis sur l’aspect commercial et marketing au détriment des développeurs, souvent très mal considérés.

Les moyens d’une PME étant ce qu’ils sont, les réponses aux appels d’offres se font parfois sans tenir compte de déficiences des produits. Si l’on ne sait pas faire pour un point ou un autre, il suffit de faire plancher les développeurs dans l’urgence pour palier le manque. Or, un développeur qui doit coder dans l’urgence, ne met pas en haut de sa liste les soucis de sécurité. Paradoxal dans le secteur de la sécurité ? Pas tant que cela.

Très rapidement, ces PME ont besoin d’argent frais et les fonds d’investissement arrivent à la rescousse. Ils apportent dans leur besace des fonds, bien entendu, mais aussi des Monsieur Excel qui vont rogner les coûts, pousser à vendre tout et n’importe quoi, n’importe comment. Ils attendent un retour sur investissement.

Le produit peut alors évoluer au gré des besoins des clients sans cohérence, sans vision long terme. Résultat ? Des produits souvent pas finis, brouillons, avec des problèmes de sécurité, dont le développement est réalisé sur les fonds apportés par une vente ou une autre. Tout le monde a en mémoire le développement de l’Eagle d’Amesys ou du module d’interception « LI » de Qosmos, développés avec les recettes des marchés Libyens et Syriens. Il en va de même, mais avec des clients moins sulfureux, pour certains produits de sécurité. Un gros marché, avec des besoins spécifiques, génère de nouvelles fonctionnalités.

Magie vaudou.

Même si toutes les PME du secteur ne commercent pas avec Kadhafi ou Assad, certaines ne voient pas le mal à aller se promener du côté de Dubaï et à prendre langue avec l’Iran ou d’autres pays franchement fâchés avec le concept des Droits de l’Homme. Tant que ça rapporte…

Par ailleurs, le complexe du petit coq français face à des mastodontes américains, par exemple, peut pousser certaines entreprises de sécurité informatique à se rapprocher dangereusement de grosses sociétés étrangères (souvent américaines, donc) et à leur ouvrir en grand l’accès à leurs petits secrets de fabrication en contrepartie de ce qu’elles perçoivent comme une opportunité financière.  On retombe à ce moment précis sur la problématique du « souverain ». Que vaut alors un produit de sécurité informatique installé dans les grands établissements bancaires ou dans les ministères français si le code, en partie ou en totalité est entre les mains de société connues pour avoir des liens étroits avec la NSA ? Retour à la case départ…