Discussion :

[Arsene Newman]

Soyez rassuré, vos ordinateurs sont surveillés par plusieurs gouvernements
Vous feriez mieux d’en être convaincus

« Quand j’utilise mon ordinateur, je pars du principe que je suis surveillé par au moins 3 gouvernements » voilà les propos de Costin Raiu qui ont dû choquer plus d’un parmi la foule d’experts, d’analystes et de professionnels IT présents lors du SAS2014, qui se déroule cette année à Punta Cana en République Dominicaine.

Costin Raiu, expert en sécurité informatique de Kaspersky Lab est à l’origine du travail effectué par l’équipe de recherche et d’analyse de la firme de sécurité, travail qui a permis de découvrir des programmes de cyber-espionnage à échelle internationale, alias APT, lors de ces dernières années.

Alors, mythes ou réalité ? Que faut-il penser des propos de Raiu ? Décryptage :

L’expert en sécurité est un homme prudent, ses mots expriment sa connaissance du terrain et son expertise, ses propos ne traduisent pas une paranoïa mais plutôt, une mise en garde, une précaution d’emploi ou carrément une quasi réalité.

Au vu des récentes découvertes d’APT par Kaspersky [lire notre article sur l’APT Careto], des révélations de l’ex agent de la NSA Edward Snowden, des faiblesses volontairement introduits sur certains algorithmes de sécurité, des sonnettes d’alarmes tirées par les experts sur la sécurité des appareils connectés, notamment l’IoT (Internet des Objets), il apparait clairement qu’aujourd’hui plus que jamais, Internet est menacé par des actes malveillants émanent des agences gouvernementales, afin de mettre les internautes sous surveillance.

Ceci étant dit, la déclaration de Raiu prend tout son sens, de plus si les internautes sont suffisamment mis en garde contre une éventuelle surveillance, ils auront tendance à prêter plus d’attention à leur utilisation d’Internet, un peu à l’image d’un enfant convaincu qu’il est constamment surveillé par sa mère, ce qui le conduira naturellement à faire plus attentions à ses faits et gestes.

L’avis des experts de Developpez.com

L’analyse de Costin Raiu a été commentée par les membres experts de Developpez.com.

Gangsoleil, Modérateur "C", "Informatique Générale & Hardware" et "Unix", rejoint le point de vue de Raiu et estime que « d’un point de vue sécurité, c'est une bonne chose que d'avoir comme principe de se sentir surveillé, car cela permet de faire les choses en conséquence, et de prendre de bonnes habitudes ».

Cependant, celui-ci se pose une question : « est-ce que c'est applicable au grand public ? Oui, mais pas directement - ou tout du moins pas tout de suite. Les gens n'ont pas encore vu le problème que pose la surveillance de leur activité internet par des États, alors même qu'ils refusent l'installation de caméras à leur domicile comme dans les rues ... »

Pour Neckara, Rédacteur/Modérateur sur Developpez.com, « la collecte de données est loin d'être un mythe, c'est une réalité. Ainsi, on est tous plus ou moins espionné de façon "passive" par les agences gouvernementales et quelques entreprises. Certes, cela peut ne pas poser problème à certaines personnes. »

Celui-ci estime qu’il est temps d’agir, car si on attend le jour « qu’une agence gouvernementale nous espionnera de façon "active" en nous ciblant précisément ou qu'on a une information/donnée qu'on veut "garder pour soi", il sera alors bien trop tard ».

Propos sur lesquels rebondit Sevyc64, modérateur sur nos forums, qui estime que de toute façon, il est déjà trop tard. Sevyc64 peint un tableau plus sombre : « et même si on arrive (les gouvernements ou autres) à mettre en place des barrières pour protéger notre vie privée (chose à laquelle je ne crois absolument pas, puisque les personnes qui décideraient cela sont celles qui justement ont tout intérêt à ce que ça ne se fasse pas), il est beaucoup trop tard. Les services comme la NSA et autres ne feront pas machine arrière. Au mieux, ils feront du lobbying pour avoir des backdoor, au pire ils contourneront de manière plus ou moins légale les protections, mais non, ils ne reviendront pas en arrière. »

« Quant à l’espionnage des réseaux, on n’a pas eu besoin de Snowden pour savoir que ça existe, ça fait plus de 20 ans qu'on le sait. », ajoute Sevyc64. « Mais Snowden a eu le mérite de nous réveiller. Mais jusqu'à quand ? », se questionne celui-ci, qui trouve que bon nombre d’internautes sont préoccupés par la protection de leur vie privée en ligne, mais cela ne les empêche pas de publier à tort et à travers des informations en ligne sur Facebook, Gmail, Twitter, etc.

Au final, Gangsoleil, Neckara et Sevyc64 s’alignent avec l’analyse de Costin Raiu. « Autant partir du principe qu'on est espionné par des agences gouvernementales, même si actuellement, ils ne nous ciblent pas particulièrement. Ainsi, on sera préparé lorsque ce sera le cas. Le jour où les agences gouvernementales étendront encore plus leur moyen d'espionnage ou cibleront plus de personnes, elles ne préviendront sûrement pas. », conclut Neckara, qui conseille au grand public d’utiliser « plus des services décentralisés pour freiner la collecte de données. Mais le plus important serait surtout de s'informer, c'est peut-être la meilleure arme contre l'espionnage de masse. »

Source : ThreatPost

Et vous ?

Qu’en pensez-vous ?

Quels sont les gouvernements auxquels fait allusion Costin Raiu ?

[Paul TOTH]

Ceci étant dit, la déclaration de Raiu prend tout son sens, de plus si les internautes sont suffisamment mis en garde contre une éventuelle surveillance, ils auront tendance à prêter plus d’attention à leur utilisation d’Internet, un peu à l’image d’un enfant convaincu qu’il est constamment surveillé par sa mère, ce qui le conduira naturellement à faire plus attentions à ses faits et gestes.

je ne vois aucun point commun entre l'autorité parentale et l'espionnage gouvernemental

[Traroth2]

"est-ce que c'est applicable au grand public ?"

Il faut comprendre une chose : le grand-public n'est pas capable de se protéger contre la surveillance dont il est victime. Et donc, la surveillance va avoir sur lui un effet très différent que sur un informaticien. Là où un informaticien va prendre des mesures pour se protéger de la surveillance, le quidam va changer ses habitudes et ses comportements pour ne pas être en faute. C'est à dire qu'il va laisser les gouvernements façonner son comportement. Et si c'était le but recherché ? Demain, on pourra toujours lancer un nouveau Wikileaks, plus personne n'osera aller voir !

[azmar]

je ne vois aucun point commun entre l'autorité parentale et l'espionnage gouvernemental

L'article source est plus clair, grosso modo l'enfant qui agit comme si ça mère le regardais ne fera rien condamnable par cette dernière.
Selon les propos de l'auteur, l'utilisateur du web à intérêt à agir comme si il étais surveillé, si il ne veut pas un jour avoir de mauvaises surprises...

"est-ce que c'est applicable au grand public ?"

Il faut comprendre une chose : le grand-public n'est pas capable de se protéger contre la surveillance dont il est victime. Et donc, la surveillance va avoir sur lui un effet très différent que sur un informaticien. Là où un informaticien va prendre des mesures pour se protéger de la surveillance, le quidam va changer ses habitudes et ses comportements pour ne pas être en faute. C'est à dire qu'il va laisser les gouvernements façonner son comportement. Et si c'était le but recherché ? Demain, on pourra toujours lancer un nouveau Wikileaks, plus personne n'osera aller voir !

+1
Selon l'auteur même nous informaticien ne somme pas vraiment en mesure de luter...

Je pense cependant qu'il faille mettre un peu d'eau dans son vin, oui le(s) gouvernement est potentiellement capable de récupérer à peu près tout ce que je fait sur un pc/téléphone.
Et je n'en est jamais vraiment douté d’ailleurs.

De la à dire que MES activités sont entièrement monitorées par plusieurs états ...

Ce que je n'avancerai peut être pas si j'étais un grand patron ou un homme (opposant?) politique :s

Azmar

[Paul TOTH]

L'article source est plus clair, grosso modo l'enfant qui agit comme si ça mère le regardais ne fera rien condamnable par cette dernière.
Selon les propos de l'auteur, l'utilisateur du web à intérêt à agir comme si il étais surveillé, si il ne veut pas un jour avoir de mauvaises surprises...

oui j'avais bien compris l'idée, mais il n'y a pas lieu de comparer l'autorité parentale qui a un devoir d'éducation de ses enfants avec des gouvernements qui mettent en place des systèmes d'écoute en marge de tout contrôle démocratique, et ce a plus forte raison quand il est question d'un gouvernement étranger.

La privation de nos libertés fondamentales n'a rien à voir avec piquer des bonbons quand ta mère à le dos tourné !

[Traroth2]

Après avoir lu l'article, je dois bien dire que je ne suis pas d'accord. La NSA est capable de décrypter n'importe quelle algorithme de cryptage ? Peut-être (même si on peut en douter). A-t-elle les moyens de décrypter systématiquement toutes les communications cryptées et d'extraire le sens de toutes les communications ? Clairement, non. Leur capacité d'interception et de stockage dépasse de plusieurs ordres de grandeur leur capacité de traitement. Dans son livre de 1999, "Guerre dans le cyberespace", Jean Guisnel fait le postulat que la NSA est capable de traiter un dixième des communications qu'elle intercepte. Depuis, les capacités de traitement se sont considérables accrues, certes, mais les communications, elles, ont littéralement explosées ! Il disait aussi que la NSA interceptait la moitié des communications de la planète, et on doit maintenant dangereusement approcher les 100%. Bref, ils doivent à peu près avoir abandonné l'idée de faire sens de tous les "kikoolol" qui circulent sur le net...

L'espionnage systématique révélé par Edward Snowden repose entièrement sur cette logique : on ne traite que l'information intéressante, mais on stocke tout. Et si on s'aperçoit que dans ce qu'on a stocké, il y a quelque chose d'intéressant, on le traite. Ce qui veut dire que si demain, la NSA s'intéresse à vous, ils pourront ressortir toutes vos communications électroniques, y compris celles qui sont cryptées et qu'ils n'ont jamais pris la peine de décrypter, et là, ils les décrypteront.

La conséquence, c'est que la NSA ne peut travailler qu'avec ce qui a préalablement été stocké. Je pense que ça donne beaucoup de force à des systèmes comme Tor : Si la NSA veut savoir qui fait transiter des données par Tor, il va falloir qu'ils sacrifient de la capacité de traitement juste pour pouvoir déterminer qui est qui. Parce que s'ils ne le font pas au moment de la communication, ça sera trop tard ensuite.

En d'autres termes, Tor ou des systèmes similaires peuvent vraiment aider à se soustraire à la surveillance de la NSA, à mon avis.

De plus, pour dire un mot sur le cryptage : l'article cité dans l'article prouve exactement l'inverse de ce qu'on pense : la faiblesse de Dual EC DRBG a été identifiée très précocement, en réalité. La conséquence, c'est sans doute une faillite bien méritée pour RSA à court terme, une entreprise vivant de la vente de cryptographie ne pouvant pas survivre à une telle perte de confiance, à mon humble avis. Mais ça ne signifie en aucune manière que toutes les technologies de cryptage sont compromises.

[Saverok]

@Traroth2 : +1

Quels sont les gouvernements auxquels fait allusion Costin Raiu ?

A minima, nous sommes surveillés par les USA et le pays de l'internaute.
Le troisième larrons est à mon avis plus du côté du privé : Google et/ou Facebook, par exemples

[DonQuiche]

A minima, nous sommes surveillés par les USA et le pays de l'internaute.

Bien sûr que non.

Tous les pays sont loin d'avoir les gigantesques moyens nécessaires à la traque systématique de tous leurs citoyens, sans parler même de la volonté de le faire. Les U.S.A. traquent tout le monde, cela ne fait aucun doute. Concernant les autres pays il faut jauger au cas par cas mais aucun d'entre eux ne peut seulement s'approcher de ce que font les U.S.A. Les budgets et la main d'oeuvre ne sont pas là, imaginez seulement ce que signifie mettre en place un système siphonnant tous les paquets de données du pays et les analysant tous, sachant reconnaître tous les protocoles, se livrant à des analyses sémantiques, etc. Ce n'est pas avec dix ingénieurs que vous allez faire ça.


Je ne vois dans ce discours ambiant que le résultat de la communication de la NSA.

[Zefling]

@Traroth2 : +1


A minima, nous sommes surveillés par les USA et le pays de l'internaute.
Le troisième larrons est à mon avis plus du côté du privé : Google et/ou Facebook, par exemples

Paro, j'aurais mis :
- USA
- Gouvernement
- FAI
Après c'est facile d'imaginer que plus il y a de d'intermédiaire, plus il y a d'espions possibles. Google / Facebook c'est de espionnage plus ou moins voulu, pour ceux qui les qui l'utilisent.

Mais bon, quand on parle à quelqu'un qui a peu de connaissance en informatique, utiliser l'ordinateur c'est déjà horriblement compliqué, alors aller plus loin c'est comme demander là Lune.

[bouye]

Moi je mettrai plutôt :

• USA
• France (qui a son propre système de surveillance du net)
• Un autre état qui fait pareil ? (UK, Russie, Chine, etc.)
• Son propre pays

Et ensuite :

• N'importe quel moteur de recherche, réseau social, système de cloud de fichier/mail/stockage/boulot/calcul distant qui vont essayer de lui fournir des services +/- gratuitement et exploiter ainsi les données qu'il y placera ou ses habitudes de navigation (donc Google, Microsoft, Apple, Facebook, Amazon, etc etc etc.)

Si ce n'est pas les états qui vous surveillent, ça sera les majors ou les startups de l'industrie de toute manière pour en en tirer profit.

[DonQuiche]

France (qui a son propre système de surveillance du net

Non !
Ce n'est pas un système de surveillance de masse mais un système d'écoutes individuelles. Aucun problème avec ça, c'est parfaitement normal et ça n'a absolument rien à voir avec ce que fait la NSA !

La France a peut-être un système de surveillance de masse des communications GSM sur Paris et Marseille. Elle pratique sans doute des écoutes individualisées sur certaines communications en provenance de la Méditerranée. Et depuis la loi de programmation militaire il est désormais légal de faire tout et n'importe quoi, y compris la pire surveillance de masse qui soit, sur simple autorisation du premier ministre. Resterait ensuite à avoir la volonté politique et les les milliards d'euros et les milliers d'ingénieurs pour analyser automatiquement une telle masse informe de données.

Je n'ai absolument aucune confiance dans ce gouvernement, le précédent, ou nos services de renseignements mais il est ahurissant de nous voir comparés à ce que fait la NSA, a fortiori sur un tel forum, alors qu'il est clair que nos services n'ont absolument pas les moyens pour en faire le dixième voire le centième. Imaginez-vous donc devoir concevoir des logiciels d'analyse automatique de l'ensemble du trafic Internet ; sur le seul plan logiciel ce sont les douze travaux d'Hercule, des moyens colossaux sont nécessaires.

[ticNFA]

La France ne joue pas dans la même cours mais peut se targuer de grandes oreilles disséminées un peu partout dans le monde grâce à ces confettis coloniaux. Depuis Echelon, le nom du système n'est pas connu, appelé Frenchelon, grand fierté nationale.
Un des responsables de la DCRI de l'époque (voir le blog Bug brother de Manach) dont le siège est chauffé par les serveurs d'analyse et stockage, disait que le problème était, à l'heure actuel, surtout... électrique.

[LSMetag]

Bon et bien entièrement d'accord avec l'article. J'ai peu à rajouter.

Je me contente d'agir d'une part en me "protégeant" mais juste par principe. Juste pour dire à ces puissants qui se croient au dessus des lois (ou sont trop feignants), "Si vous ne me cherchez pas, vous ne ne me trouverez pas. Si vous voulez me trouver, faites bosser vos "experts" pendant quelques semaines/mois, qu'ils méritent leurs salaires."

D'autre part, je développe en ayant cette idée en tête. Ne rien connaître de mes utilisateurs, en cryptant les données en amont, sauf l'adresse mail (ils sont libres de choisir des fournisseurs sécurisés ou pas). Je fais en sorte d'éviter de dépendre d'éléments externes (comme charger des librairies depuis le web). De cette manière, si un jour on me demande de fournir telle donnée d'un utilisateur (ou leur donner un accès), je pourrai dire "je ne peux pas". Après si j'ai besoin de me financer autrement que par la commercialisation ou des abonnements (ce que j'espère éviter), je n'aurai pas le choix que de mettre en place des pubs et des trackers.

Encore une fois, ce n'est que du principe pour ennuyer ces puissants qui à mes yeux utilisent la facilité au lieu de bosser et respecter les lois...

[herdans]

Dans le trio des coupables, je miserai sur les hégémoniques USA, suivi de son zélée sous-fifre Albion, puis de son féroce adversaire la Chine, qui peuvent se permettre financièrement de tout stocker. Les échos de leurs exploits sont dans les journaux et traduisent leurs expériences. A mon avis, la France n'a plus assez de moyens, elle se bornera à faire du tri sélectif. Israël a d'autres chats à fouetter, et fait face à des menaces bien plus réelles, donc ne va pas dépenser ses moyens dans des chimères. Cet état se spécialiserait plutôt dans l'offensive, et compterait sur les USA pour assurer la collecte de type tout-à-l'égout.

Je suis déçu des célèbres porte flambeaux républicains (usa, uk,fr), qui tels les pays moyen-âgeux, sont définitivement versés dans le flicage, via leurs lois moralisatrices, que vers l'idéal de liberté. La dérive de l'état paternaliste-providence, envers l'état gourou me châgrine : En effet, les lois deviennent carcans, au lieu de délimiter les espaces pour assurer la liberté de chacun. L'Allemagne, devrait être un exemple à suivre par rapport au respect des libertés.

Le terrorisme est une fatalité, comme les meurtres, les accidents. Il est impossible de tous les arrêter, à moins d'un contrôle totale de la population, ce qui est malheureusement l'option populaire choisie par tant de pays. Est ce bien raisonnable d'appliquer le "no-limit" pour chasser le terroriste? Est ce que l'Allemagne est pour autant, plus souvent victime de terrorisme?

La citation de Jefferson est souvent citée dans ce cas là, je lui préfère une autre d'Eisenhower :

« Le problème, en matière de défense, est de savoir jusqu'où vous pouvez allez sans détruire de l'intérieur ce que vous vous efforcez de défendre de l'extérieur. »

Ou bien pour rester patriotique, on a aussi celle d'Irastorza :
« Personne ne peut ni ne doit commettre l’indéfendable, personne ne peut ni ne doit défendre l’indéfendable, car le jour où nous aurons besoin de défendre le défendable, nous aurons perdu notre âme et ne serons plus crédibles. »

[Traroth2]

Un article sur PRISM, le cryptage et les logiciels libres :

http://www.april.org/l-apres-snowden...e-de-confiance