contrôle! Prenez Le Guide du Hacker HackinG avec cd gratuit 100% les cahiers du hacker + En CadEau : 2 magazines complets offerts sur le Cd

Transcription

1 + En CadEau : 2 magazines complets offerts sur le Cd [InformatIque] les cahiers du hacker [InformatIque] 25 Le Guide du Hacker Prenez le contrôle! 100% HackinG avec cd gratuit > plus De 50 fiches pratiques Keylogger Espionnez qui écrit quoi sur votre clavier Surveillance Bloquez Google, la NSA et le gouvernement Télécharger Le guide pratique pour télécharger sur Seedbox

2 SOMMAIRE Protection/AnonymAt 12 ZHPCleaner : en finir avec les redirections d URL Communiquez en toute sécurité avec Off-tHe-reCOrd 13 Découvrez OTR Échappez à la surveillance de google microfiches hacking darkcomet rat : prenez le contrôle à distance! TrueCrypt est mort? Vive VeraCryPt! PHrOZen keylogger : enregistrez les frappes au clavier débloquez n importe quel Pdf! microfiches 2

3 les cahiers du hacker multimédia Tout savoir sur les seedbox i2psnark : quand I2P permet de télécharger [InformatI que] N 25 Mai/Juillet 2015 Une publication du groupe ID Presse. 27, bd Charles Moretti Marseille redaction@idpresse.com Directeur de la publication : David Côme Kim Kaphwan : Benoît BAILLEUL Joe Higashi : Yann Peyrot Andy & Terry Bogard : Thomas Povéda & Pierre Corbinais Chonrei & Chonshu Jin : Stéphanie Compain & Sergueï Afanasiuk Mai Shiranui : Karima Allali Saisissez vos captchas en vadrouille avec jdcaptcha > NoTRe SÉLeCTIoN De matériels microfiches notre test imprimé en france par / Printed in france by : Léonce Deprez ZI Le Moulin Ruitz Distribution : MLP Dépôt légal : à parution Commission paritaire : en cours ISSN : «Pirate Informatique» est édité par SARL ID Presse, RCS : Marseille Capital social : 2000,00 Parution : 4 numéros par an. La reproduction, même partielle, des articles et illustrations parues dans «Pirate Informatique» est interdite. Copyrights et tous droits réservés ID Presse. La rédaction n est pas responsable des textes et photos communiqués. Sauf accord particulier, les manuscrits, photos et dessins adressés à la rédaction ne sont ni rendus ni renvoyés. Les indications de prix et d adresses figurant dans les pages rédactionnelles sont données à titre d information, sans aucun but publicitaire. Édito Il n est pas toujours facile de contenter plus de lecteurs potentiels. Entre les plus de 50 ans qui préfèrent la rubrique Protection & Anonymat, les moins de 16 qui plébiscitent Multimédia et les autres qui ne jurent que par les coins Hacking et Matos, il faut savoir jongler. Sans compter qu il y a aussi des femmes (et si c est prouvé!), des lecteurs qui nous ont découverts en téléchargeant illégalement le magazine (ha les salauds! :) et les acheteurs compulsifs qui restent au final pour le sérieux de nos démonstrations. C est pour y voir plus clair dans toutes ces tendances et mieux vous connaître que nous avons décidé de réaliser un grand sondage en ligne. Pour y répondre, rendez-vous à la page 22 de ce numéro et n hésitez pas à nous laisser vos impressions. Sur toutes les réponses, nous tirerons un lecteur au hasard. Ce dernier sera le gagnant d une clé USB contenant tous les numéros du magazine! Il sera le seul à en profiter jusqu au moment où nous déciderons de les faire se reproduire (mais chut, c est une surprise)... Comme à chaque fois, vous retrouverez sur notre CD tous les logiciels dont nous parlons dans le magazine ainsi que certains anciens articles qui vous aideront à mieux comprendre nos démonstrations. Enfin, nous vous invitons à vous rendre à la page 23 pour vous abonner gratuitement à la mailing-list de magazine et être tenu au courant des parutions. N hésitez pas à nous faire part de vos commentaires et de vos souhaits pour les prochaines éditions sur benbailleul@idpresse.com Bonne lecture! Benoît BAILLEUL. 3

4 H cktualités Quand amazon «pirate» votre pirate... Comme tout le monde, il nous arrive de commander sur Amazon et comme tout le monde, nous recevons souvent des s de cette compagnie pour nous inciter à acheter d autres produits. D autres produits d accord, mais nous étions loin d imaginer recevoir une offre pour...notre propre magazine! Car sur le Kindle Store, il est possible de vendre ses propres livres à qui veut bien les acheter! Quelques minutes à scanner, une image pour illustrer et hop, sur le Store prêt à être vendu! Sur l annonce que nous avons reçue, le nom du rédacteur en chef est même inscrit ce qui pouvait laisser penser qu il s agit d un livre «officiel», un comble pour un scan aussi mal fichu (il est possible d avoir un aperçu des livres dans le Kindle Store)! Comme vous le savez, nous encourageons le téléchargement de notre publication comme source de partage de l information, mais dans ce cas précis il ne s agit pas de partage. En effet le petit malin qui a scanné le magazine espérait en tirer profit (5,05, soit plus cher que la version papier et sans le CD) et comme Amazon prend sa part du gâteau, la société est complice! Nous sommes donc entrés en contact avec la division française qui nous a orientés vers le service qui s occupe des droits d auteur à...seattle. Plus près, c est pas possible? Nous avons donc expliqué (poliment) dans notre plus bel anglais la raison de notre courroux. Amazon n a pas traîné et a fait retirer l annonce très rapidement. Le problème c est que si Untel peut vendre n importe quoi sur le magasin en ligne, qui vérifie qu il ne s agit pas de contrefaçons? Amazon pourrait objecter que cela constituerait un vrai travail de fourmi et qu il ne font qu «héberger» du contenu... La défense de ceux qui se font condamner pour contrefaçon en quelque sorte... Rappelons que si vous souhaitez une version dématérialisée de votre magazine, vous pouvez le faire ici : L' reçu par notre rédacteur en chef... Comme toute bonne contrefaçon chinoise, il y a une faute de syntaxe! Notre «Benoît» s'écrit avec un accent circonflexe. Amateurs! La Liberté c est simple comme un Si vous vous retrouvez en prison (ça peut aller vite maintenant, voir notre article page 8), vous pourrez toujours tenter de vous en sortir comme l a fait Neil Moore. Cet escroc anglais spécialiste du social engineering a tout simplement envoyé un à la direction de sa prison pour demander sa libération. Notre ami a imité le nom de domaine de l administration pénitentiaire dans son courrier. Le fait que le nom copié comporte des traits d union au lieu de points n a apparemment gêné personne et Neil s est retrouvé dehors. L histoire se termine mal pour notre inventif «hacker» puisque le risque de se prendre plusieurs années de détention supplémentaires l a incité à se rendre... En tout cas, Michael Scofield n avait pas pensé à ça! 4

5 Dernière minute - Dernière minute - Dernière minute - Dernière minute - Dernière minute Affaire TV5 Monde : c'est la France qu'on attaque! La nouvelle est tombée le jour du bouclage du magazine que vous tenez dans les mains et, à l heure où nous écrivons ces lignes, l attaque n a pas encore été complètement endiguée, mais les faits sont là : TV5 Monde a été piraté dans les grandes largeurs! Même si vous ne savez pas vraiment sur quel canal cette chaîne se trouve sur votre box TV, elle est très populaire à l étranger auprès des francophones et des Français expatriés. Il s agit du deuxième plus grand réseau mondial de télévision (257 millions de foyers dans plus de 200 pays selon Wikipédia) : une sacrée vitrine! Car non seulement les sites et comptes des réseaux sociaux Facebook, Twitter et YouTube ont été «défacés» (changement de la page d accueil par des messages de propagande islamiste-intégriste), mais la diffusion de cette chaîne a même été suspendue. Selon le site breaking3zero. com, ce piratage a été effectué via une faille Java sur un ordinateur disposant de droits étendus. Un simple fichier.vbs du nom de ISIS caché dans un document HTML a ainsi pu déclencher ce désastre en se répandant dans tout le réseau jusqu à atteindre le serveur qui transmet les vidéos. C est d ailleurs ce dernier qui a été «coupé» par la chaîne privant les téléspectateurs d image. En effet le but de cette attaque était bien de prendre le contrôle du flux vidéo de TV5 Monde qui diffuse 24h/24. Pour diffuser ses propres programmes? Juste pour les interrompre? Nous reviendrons en détail sur cette affaire, mais une chose est sûre : ce ne sont pas des pancartes «Je suis TV5 Monde» qui vont nous aider... T411 bloqué? quand la justice ne sert à rien... Ça y est, c'est officiel : les principaux FAI français ont été obligé de bloquer l'accès du plus populaire tracker semi-public. La Société Civile des Producteurs de Phonogrammes (SCPP) a donc obtenu gain de cause auprès du TGI de Paris et comme la décision rendue pour The Pirate Bay, cette mesure ne servira à rien. En effet les administrateurs de T411 n'ont pas attendu la décision de justice pour migrer d'un.me à un.io. Comme toute l'affaire concernait T411.me et qu'il s'agit en plus d'un vulgaire blocage au niveau des DNS (le service qui permet de relier l'ip d'un site à son nom de domaine) toute cette débauche d'énergie et d'argent public est caduque. Même dans le cas d'un autre verdict en faveur de la SCPP il existe des moyens détournés pour accéder aux sites bloqués de la sorte : changement du fichier hosts, proxy, VPN, changement de DNS, etc. Et qui paye pour tout ce ramdam judiciaire? Vous! Et même votre voisine de palier de 88 ans qui n'a jamais mis les pieds sur «un Ternet» (ou un autre). Dans notre prochain numéro, ne ratez pas notre article sur les moyens de contourner ces blocages... Les plus impatients pourront aussi jeter un œil à ce document : 5

6 H cktualités Comment faire péter les plombs d un administrateur système en une phrase : Si votre système de sécurité avait été mieux conçu, cela n aurait aucune importance que mon mot de passe soit «mot de passe». SMBC by Zach Weiner La pensée skynet/matrix du jour «Un tiers des mariages actuels sont issus de sites de rencontre en ligne. Cela veut dire que les ordinateurs ont déjà commencé à "élever" les humains?» TrueCrypt 7.1a est sûr...c'est sûr! Nous vous avions déjà parlé de l'abandon du projet TrueCrypt (TC) par ses propres créateurs. Le mystère entourait la dernière version 7.2 c'est pourquoi un audit de la version 7.1a a été organisé pour vérifier que cette dernière ne comportait aucune porte dérobée permettant aux services secrets de voler les données contenues dans les conteneurs chiffrés. Gros soulagement du côté des amoureux de TC puisque cet audit n'a pas montré le moindre signe de malveillance. Seules 4 failles mineures et inexploitables ont été mises en lumière et les cryptanalystes de Cryptography Services ont décrété que cette 7.1a de TC était considérée comme «fiable». Vous pouvez donc continuer à l'utiliser, mais pourquoi ne pas essayer VeraCrypt (voir notre article et l'interview de son auteur à la page 28)? Ce dernier est compatible avec les conteneurs TC tout en proposant un chiffrement plus rapide. La dernière version 1.0f-2 a même colmaté les 4 failles mineures! Merci Mounir! 6

7 Chez votre marchand de journaux Mini Prix 2,90 seulement Le 1 er magazine 100% android et 100% pratique

8 H cktualités Loi Renseignement : La LégaLisation de Big BRotheR Cela fait longtemps que nous vous parlons de surveillance de masse dans Pirate Informatique, que nous vous expliquons qu elle est matériellement possible et peut-être déjà mise en place. Autant vous dire que la volonté de la légaliser via la Loi Renseignement n a rien de rassurant. 8

9 Si vous venez d acheter ce magazine en kiosque, quelques semaines à peine séparent la rédaction de cet article et sa lecture. Quelques semaines, ce n est pas grand-chose, et pourtant, en ce laps de temps, les libertés individuelles des Français, leur vie privée et la démocratie en général ont peutêtre pris du plomb dans l aile, du genre calibre 12. C est qu entre-temps, il y a eu le 16 avril, et qu a été voté (ou non) le projet de loi Renseignement proposé par Manuel Valls. Si la majorité des députés s est opposée à cette loi, et c est tout ce qu on vous souhaite, restez tout de même vigilants, car il y a de fortes chances que le gouvernement essaye de la refaire passer au prochain attentat terroriste histoire d avoir l opinion publique dans la poche. Si elle est passée... désolé de vous l apprendre, mais vous êtes tous bien dans la mouise (sauf vous Monsieur Valls, bien évidemment ). Officiellement, le projet de loi Renseignement a pour but de faciliter la lutte du gouvernement contre le terrorisme. Dans les faits, c est juste la fête du slip, il n y a pas d autres mots. Pour bien comprendre ce que cette loi implique, il convient de se rappeler comment ça se passait avant (ou dans le meilleur des cas, comment ça se passe encore maintenant). La liberté, avant-après Dans l avant-loi Renseignement, c est bien simple : le gouvernement a le droit de surveiller un peu qui il veut et comme il veut tant que cela reste dans un cadre judiciaire, c està-dire que la personne concernée est suspectée d enfreindre la loi et qu un juge a autorisé cette surveillance. Les bad guys sont surveillés pour permettre leur arrestation, jusqu ici tout va bien. Mais il y a des exceptions : l obtention de listes d appels, l écoute téléphonique, la géolocalisation de téléphones portables et la consultation de métadonnées des s peuvent ainsi être autorisées sans juge à titre exceptionnel dans le cadre de «sécurité nationale, de sauvegarde des éléments essentiels du potentiel scientifique et économique de la France, de la prévention du terrorisme, de la criminalité et de la délinquance organisées et de la reconstitution ou du maintien [...] de groupes de combats et de milices privées». Ces exceptions peuvent paraître douteuses, surtout en raison du motif de «sécurité nationale» qui demeure un gros fourre-tout juridique. Eh bien, la Loi Renseignement, ce sont ces exceptions, étendues, facilitées, généralisées, devenues règles. Concrètement, cela signifie que le Premier ministre peut ordonner la surveillance de n importe qui sans nécessairement avoir l aval d un juge. Comme avant, il peut demander les listes d appels, l écoute téléphonique, la géolocalisation mobile et les métadonnées de mails, mais à cela s ajoute l accès aux contenus des mails, la pose de balises GPS sur un véhicule, la pose de micros et caméras dans le domicile ou le véhicule et l usage de keyloggers. Tout, quoi. Et bien sûr, ces mesures n ont plus rien d «exceptionnel». Bien sûr, les demandes de surveillance doivent être justifiées par des motifs, mais c est précisément là que la Loi Surveillance devient sournoise. Une absence totale de contrôle En théorie, la surveillance ne peut être demandée que si elle répond aux motifs cités plus haut (sécurité nationale, etc.) auxquels s ajoutent les «intérêts essentiels de politique étrangère» et la «prolifération des armes de destruction massive ainsi que des violences collectives pouvant porter gravement atteinte à la paix publique». Le concept de sécurité nationale est toujours aussi flou, mais cela importe peu puisqu après tout, aucun juge n a à statuer sur la légitimité de la demande. Le seul contrôle auquel les surveillances peuvent être soumises est celui de la CNCTR (Commission Nationale de Contrôle des Techniques de Renseignements), organisme créé spécialement pour l occasion. Composée de 9 membres, la CNCTR a pour mission de vérifier que les services de renseignement ne dépassent pas le cadre de la loi et qu ils n emploient pas de moyens démesurés. Elle peut être saisie par «toute personne ayant un intérêt direct et personnel» dans une affaire de surveillance ainsi que s autosaisir de dossiers. Mais il y a un mais... non, c est pire, il y en a trois. - Pour qu une personne saisisse la CNCTR pour surveillance abusive, il faut déjà qu elle se sache surveillée, et il est assez peu probable que le gouvernement se donne la peine de prévenir. - Pour que la CNCTR s intéresse d ellemême à un dossier, il faut également qu elle soit au courant. Le fait que la demande de surveillance et la classification Secret Défense dépendent de la même personne (le Premier ministre) ne devrait pas lui faciliter le travail. - Si malgré tout, la CNCTR s empare d un dossier et découvre une infraction à la loi, elle ne peut qu envoyer une recommandation au service concerné ainsi qu au Premier ministre. Le Premier ministre n a aucune obligation d y donner suite. Dans ce cas, la CNCTR n a d autre solution que de saisir le Conseil d État. Vous avez compris : si dans le futur proche dans lequel vous vous trouvez la loi Surveillance est bien passée, cela signifie que vous êtes potentiellement tous surveillés, et que votre dernier espoir de voir cette surveillance annulée réside dans un groupe de vieux énarques, si tant est qu elle n ait pas été classée Secret d État. La solution? Le chiffrement avec des outils open source et...pirate Informatique! Le gloubiboulga de La sécurité nationale Dans la loi, la Sécurité nationale regroupe «l ensemble des menaces et des risques susceptibles d affecter la vie de la Nation, l intégrité du territoire et la permanence des institutions de la République». Autant vous dire qu avec un peu de rhétorique, vos brossages de dents quotidiens peuvent constituer une atteinte à la sécurité nationale. 9

10 «Comment je protège mes photos persos?».com SOLUTIONS & ASTUCES

11 Tutoriels Tests Applications News

12 Protection & AnonymAt Désinfection PouR en finir avec les RediReCtionS frauduleuses De plus en plus de logiciels indésirables utilisent des moyens détournés pour vous mener la vie dure. Même armé d un antivirus et d un pare-feu correctement configuré, il arrive que des processus activent des redirections au niveau de votre navigateur pour afficher de la publicité, détourner la page de démarrage ou installer des barres d outils... Après une visite sur un site louche ou l installation d un logiciel, vous rencontrez de plus en plus de problèmes avec votre navigateur : affichage de publicité, pop-up, barre de navigation non désirée, etc. La plupart du temps il s agit de LPI (Logiciels Potentiellement Indésirables) sans gravité, mais lorsqu on sait qu à l origine il s agit de redirection d URL (votre flux Internet passe par un proxy alors que vous n avez rien demandé), cela peut ouvrir la porte au phishing, à différents spywares ou pire... un botnet. ZHPCleaner va rétablir les paramètres proxy et supprimer les redirections d URL sur tous vos navigateurs sans nécessiter d installation. À la fin du processus, il va générer un rapport en français. Même sur nos PC surveillés et très protégés nous avons quand même été surpris... PaS à PaS ZHPCleaner, le complément idéal de votre antivirus ZHPCleaner Où le trouver? : DIffICultÉ : 02 Le rapport 01 L interface Avant d utiliser ZHPCleaner, nous vous recommandons de fermer tous vos navigateurs et de mettre en veille votre antivirus pendant 10 minutes. Dans un premier temps vous pouvez faire Scanner pour juste obtenir une analyse, mais vous pouvez faire Réparer directement (n oubliez pas Contribuer si vous êtes par la suite satisfait du logiciel!) Au bout de quelques minutes, ZHPCleaner va vous afficher le rapport d erreur. Dans notre cas, le logiciel avait un doute sur un proxy avec une IP bizarre. Nous lui avons alors notifié que nous n avions pas installé ce proxy. ZHPCleaner a aussi analysé le fichier hosts (utilisé par Windows lors de l accès à Internet pour associer des noms d hôtes à des adresses IP), les services, les tâches planifiées, etc. 03 Un problème? Après avoir analysé l IP louche que ZHPCleaner a détecté et nettoyé de la liste des proxys, nous tombons alors de notre chaise. Il s agit d un proxy basé à Bogota en Colombie... Étrange. Après avoir fait quelques recherches, il ne s agit pas d une redirection frauduleuse. Personne à la rédaction ayant accès au PC de test n a pourtant installé ce proxy... Merci ZHPCleaner! 12

13 Messageries instantanées Communiquez de manière PRivée Pas évident de se trouver une messagerie instantanée chiffrée qui réponde à tous les critères de sécurité. Heureusement, voici Off-the-Record (OTR), un logiciel cryptographique qui vient se greffer sur Pidgin, la messagerie instantanée multiplateforme. Pas besoin de «convertir» vos amis ou de se créer un nouveau compte... Vous Pidgin + OTR avec identifiants Google Talk et IRC enregistrés OTR OTR Ami 1 Pidgin (ou un autre logiciel) + OTR avec identifiants Google Talk enregistrés OTR Pour communiquer avec un ami, vous n aurez donc pas à créer de compte particulier, il suffira à deux correspondants de s entendre sur un protocole (Google Talk ou IRC par exemple) puis d enregistrer leurs identifiants sur Pidgin. Lors d un récent article, nous vous avions parlé des protocoles encore résistants aux attaques de la NSA (du moins en 2012 lors des révélations de Snowden). Outre PGP (et son pendant libre GnuPG), on trouvait aussi Tor et... OTR. Peu connu du grand public, ce protocole cryptographique utilise une combinaison de trois technologies (clés AES, échange Diffie-Hellman et hash SHA-1) permettant de chiffrer des Ami 2 Pidgin (ou un autre logiciel) + OTR avec identifiants IRC enregistrés conversations sur des logiciels de messagerie instantanée comme Cryptocat (que nous avons vu dans le numéro 21), Trillian, Miranda IM ou Pidgin. Des versions D otr compatibles entre elles C est d ailleurs ce dernier que nous avons choisi d utiliser. Non seulement, il propose toute lexique *Plugin : Il s agit d un petit programme qui va se greffer sur un autre pour lui ajouter une fonctionnalité. En français, on préfèrera parler d»extension». Dans notre exemple, OTR (plugin) va se greffer sur Pidgin (programme) pour ajouter une couche de chiffrement (cryptage) aux conversations clavier. 13

14 Protection & AnonymAt Messageries instantanées une flopée de plugins pour personnaliser l interface ou son fonctionnement, mais il est compatible avec de nombreux autres protocoles (voir encadré). Pour entrer en contact avec un autre utilisateur, il suffit de l authentifier avec une question (et avec une réponse connue par les deux seuls protagonistes), un code secret que vous aurez préalablement convenu de vive voix ou une vérification d empreinte numérique. Gardez juste en tête que seules les communications écrites seront chiffrées et que si jamais vous perdez la possession de vos clés de chiffrement, aucune conversation passée ne pourra être compromise. Sachez aussi que tous les utilisateurs d OTR peuvent communiquer entre eux même s ils choisissent différents logiciels «hôtes». Les protocoles compatibles De base, Pidgin est compatible avec : AIM, facebook, Bonjour, Gadu Gadu, Google talk, GroupWise, ICQ, IrC, Mxit, MySpaceIM, SIlC, SIMPle, Sametime, XMPP (anciennement Jabber) et Yahoo!. Sachez cependant qu il existe des plugins additionnels pour permettre de converser depuis d autres types de messageries (tchat de jeux vidéo, etc.) et même Skype avec Skype4Pidgin. Seule ombre au tableau, Skype devra être présent sur la machine et tourner sur le système pendant que vous utiliserez Pidgin. l avantage? le chiffrement avec Otr bien sûr! PaS à PaS Le combo Pidgin + OTR PIdgIn Où le trouver? : DIffICultÉ : Ce qu IL VOus faut 01 installation Commencez par installer Pidgin puis Otr (Win32 installer for pidgin 2.x) en prenant soin de désactiver votre antivirus (sur notre PC de test, Avast! a compromis l installation d Otr). Dès le premier démarrage de Pidgin, on vous proposera d enregistrer un compte. faites ajouter puis entrez vos identifiants. 02 Le cas GooGLe Attention, en choisissant Google talk, nous avons eu la surprise de recevoir un mail de Google nous invitant à Activer l accès pour les applications moins sécurisées. en d autres termes, Google n aime pas que Pidgin gère son protocole et vous demandera de valider son utilisation. Paradoxalement, vous serez plus à l abri en utilisant Pidgin et Otr que le tchat de Google, mais bon réglages Dans outils>plugin, cochez la case messageries confidentielles «off the Record» puis cliquez sur Configurer le plugin. Ici, il faudra générer vos clés privées/publiques en faisant Produire. C est tout! 14

15 Pas de trousseaux à gérer, tout est automatique. vous pouvez ici choisir d exiger la messagerie privée pour vos communications, mais ce n est pas obligatoire. un mot de passe par exemple). vos communications écrites sont maintenant totalement sécurisées! Comme vous pouvez le voir sur notre capture d écran, les conversations apparaissent aussi dans le tchat de Google, mais elles sont complètement indéchiffrables! 04 authentification Choisissez un correspondant de votre choix dans la liste (ce dernier aura bien sûr aussi activé le plugin et produit des clés) et faites Commencer une conversation privée. Mais attention, en bas à droite de la fenêtre de conversation, vous verrez écrit non vérifié en orange. la conversation est chiffrée, mais comment être sûr qu il s agit de la bonne personne? Cliquez dans non vérifié puis faites authentifier contact. vous pourrez ensuite choisir trois sortes d authentification. Dans notre cas, nous avons choisi la question secrète. 05 communiquez De manière chiffrée! une fois que votre correspondant aura répondu correctement, vous serez sûr de son identité (il/elle pourra aussi vous poser une question ou vous demander Des plugins en pagaille! Nous avons rarement vu un logiciel comprenant autant de plugins. Même si tous ne sont pas compatibles avec la version Windows, on compte bien sûr des extensions pour assimiler d autres protocoles (tox, torchat, Whatsapp, Skype), mais aussi d autres ajouts au niveau de la sécurité (tor, GPG, rsa, etc.) vous disposez aussi de différents types de notifications sur plusieurs types de hardware (PC Alienware, clavier, etc.) et des bidouillages d interface en pagaille... lien : 15

16 Protection & AnonymAt GooGle Limitez Les intrusions de dans votre vie privée Google c est bien. Ne le niez pas, leurs nombreux services sont quand même très pratiques. Mais si vous vous souciez aussi de votre vie privée et des données récoltées par leurs soins... Nous allons voir comment concéder le moins d informations possible au géant américain, tout en continuant à profiter de ses outils. Vous connaissez la chanson Every Breath You Take de The Police? Réécoutez là et imaginez que c est Google qui parle. Vous avez saisi l idée : à chaque utilisation des services Google, des données plus ou moins personnelles sont enregistrées et envoyées sur leurs serveurs, à des fins commerciales et/ou techniques. Quand on sait que le géant américain est derrière Gmail, YouTube, Drive, Maps, la plupart des publicités ciblées sur Internet, ou encore le navigateur Web Chrome, les occasions de récoltes sont grandes. Que peut faire GooGle avec vos données? Google avertit les utilisateurs dans ses Conditions Générales d Utilisation (CGU). Vous savez, ces longues de pages de texte que l on ne lit jamais même si on coche la case «J ai lu, et j accepte les CGU»? Dans leur Attention Au smartphone! Si vous utilisez aussi les services Google sur votre mobile, il se peut que vous ayez à en régler les paramètres directement dans les applications concernées. Normalement, ce que vous faites sur le PC est appliqué au téléphone mais n hésitez pas à vérifier. dernière version du 14 avril 2014, on peut lire : «Lorsque vous importez, soumettez, stockez, envoyez ou recevez des contenus à ou à travers de nos Services, vous accordez à Google (et à toute personne travaillant avec Google) une licence, dans le monde entier, d utilisation, d hébergement, de stockage, de reproduction, de modification, de création d œuvres dérivées (des traductions, des adaptations ou d autres modifications destinées à améliorer le fonctionnement de vos contenus par le biais de nos Services), de communication, de publication, de représentation publique, d affichage public ou de distribution publique desdits contenus. Les droits que vous accordez dans le cadre de cette licence sont limités à l exploitation, la promotion ou à l amélioration de nos Services, ou au développement de nouveaux Services». En clair... Ce n est pas clair. Ou plutôt volontairement flou. Google peut globalement faire ce qu il veut de vos données et les litiges se régleront au cas par cas. Pas très rassurant. Je veux Quand même utiliser GooGle! Difficile de se passer de son compte Gmail, de Google Maps et de YouTube! Les alternatives existent, mais elles sont bien souvent moins efficaces que les originaux. Il est heureusement possible de continuer à utiliser Google en limitant au maximum les données qu il récolte de vous, grâce aux paramètres proposés directement par leurs services. Préparez-vous à dénicher des options parfois bien dissimulées! Pour commencer, regarder ce que le géant américain sait déjà de vous. Rendez-vous sur dashboard et connectez-vous à votre compte Google. C est le résumé des données récoltées sur vous jusqu à présent. Et maintenant que le «Ah oui quand même!» est passé, voyons comment contrôler tout cela. N oubliez pas de vous déconnecter de votre compte Google quand vous ne vous en servez plus! 16

17 ContrôLer Les données recueillies par GooGLe Connectez-vous à votre compte Google, cliquez sur votre portrait puis sur Confidentialité > Consulter les paramètres de compte Google > Historique du compte. Tout part de là sauf indication contraire. ContrôLer GooGLe+ Pour éviter que vos ami(e)s sachent ce que vous faites avec les services Google (les «+1» et autres «like»), cliquez sur Modifier les paramètres en face de Google+ puis Désactiver les Recommandations partagées. Pour finir de verrouiller Google+, décochez toutes les cases depuis la rubrique Photos et vidéos jusqu en bas de la page. supprimer GooGLe+ Solution plus radicale, vous pouvez cliquer en bas de la page sur Supprimer l intégralité de votre profil Google ici. Cochez les deux cases à la fin et cliquez sur Supprimer les services sélectionnés. Attention, l opération est irréversible. 17

18 Protection & AnonymAt GooGle ne pas être LoCaLisé Peut-être ne voulez-vous pas que Chrome sache où vous êtes. Allez dans les Paramètres du navigateur, cliquez sur afficher les paramètres avancés puis Paramètre de contenu. Sous localisation, cochez interdire à tous les sites de suivre ma position géographique. Validez avec ok. désactiver Le CHat Par défaut, vos contacts (téléphoniques ou par mail) voient si vous êtes connecté à Gmail. Pour l empêcher, allez les Paramètres de Gmail puis sur chat. Cochez désactiver le chat (radical) ou sur autoriser uniquement les contacts que j ai approuvé à voir si je suis en ligne et à me parler pour un filtrage ciblé. ContrôLer CHrome Pour éviter l envoi de vos données personnelles à Google, décochez toutes les cases de la partie confidentialité (après avoir affiché les paramètres avancés). Fini Les pubs CibLées Pour que vos données ne servent plus à afficher des pubs personnalisées, cliquez sur Modifier les paramètres en face de annonces puis sur désactiver la diffusion d annonces ciblées par centre d intérêts sur Google et sur le Web. Le tracker doubleclick C est un cookie publicitaire utilisé par Google. Pour le supprimer définitivement, dans Modifier les paramètres (en face de annonce), cliquez en bas de page sur extension de désactivation doubleclick puis sur télécharger le plug-in de désactivation du cookie publicitaire. Suivez la procédure d installation, fonction de votre navigateur. désactiver GooGLe analytics Il s agit d un module utilisé par presque 100 % des sites Web et qui enregistre des informations quand vous surfez sur Internet. Allez sur et cliquez sur télécharger le module complémentaire de navigateur pour la désactivation de Google analytics. Suivez la procédure d installation, fonction de votre navigateur. EffacER Et SuSPEndRE les historiques Cliquez sur Gérer l historique de chacune des 4 catégories proposées. Effacez tout l historique puis cliquez sur suspendre > suspendre l historique. Google n enregistrera plus vos recherches, les lieux où vous vous êtes rendu, etc. anonymiser la REchERchE Une recherche Google est personnalisée, puisqu elle tient compte des données que la firme possède sur vous. Ce qui explique que parfois, deux personnes n ont pas les mêmes résultats pour les mêmes mots-clés. Cliquez sur Modifier les paramètres en face de Paramètres de recherche puis sur ne pas utiliser les résultats privés et Enregistrer. 18

19 Conserver (quand même) une partie de son Historique Supprimer l historique est trop radical pour vous et vous appréciez les fonctions comme l autocomplétion? Voyons comment effacer les éléments au cas par cas, avec l option «Gérer l historique» vue précédemment. 01 recherches que vous Avez effectuées Ici s affiche tout ce que vous avez tapé dans la barre de recherches Google. Notez que vous pouvez filtrer par catégories à gauche, et voir des graphiques sur vos habitudes. Pour effacer tout ou partie de l historique, cochez les cases de votre choix (où celle à gauche de Supprimer des éléments pour tout sélectionner). Cliquez ensuite sur Supprimer des éléments. 02 Lieux où vous vous êtes rendu Moins pratique, vous pouvez soit effacer l historique de vos positions jour par jour (Supprimer l historique de ce jour), en les sélectionnant dans le calendrier, soit Supprimer tout l historique. Pas beaucoup de latitude donc. Si jamais vous ne trouvez pas certaines positions, cliquez sur Afficher tous les points, à gauche de la page. 03 vos recherches Youtube Comme pour les recherches Google, vous pouvez cocher des cases et Supprimer les entrées, ou bien Effacer tout l historique des recherches. Cliquez sur Vidéos que vous avez aimées, à gauche, pour faire de même avec ces dernières. 04 vidéos que vous Avez visionnées sur Youtube Même principe, il s agit là de toutes les vidéos que vous avez regardées sur YouTube (aussi bien sur le service Web que sur l application mobile d ailleurs, comme pour les trois étapes précédentes). En plus de Supprimer ou d Effacer tout l historique, vous pouvez en profiter pour ajouter à une playlist quelques-unes des vidéos affichées. 3 plugins qui ne LAisse pas de traces Allez plus loin dans la protection de vos données personnelles en équipant votre navigateur Web d outils spécifiques. Sauf indications contraires, ces plugins marchent avec Internet Explorer, Chrome et Firefox. disconnect Cet addon, non disponible pour Internet Explorer, bloque les trackers, ces petits programmes invisibles qui collectent vos données sans votre consentement. Grâce à cela, vous devriez noter une légère accélération du temps de chargement de vos pages Web, puisqu il y a moins d éléments à prendre en compte. donottrackme Sur le même principe que Disocnnect, Do Not Track Me va bloquer les trackers, mais aussi «masquer» votre si vous le souhaitez. Lorsque vous devez indiquer une adresse mail pour vous inscrire à un service par exemple, l addon vous propose d en générer une pour ne pas avoir à divulguer la vôtre. Une option payante fait pareil avec votre carte de crédit. Https everywhere Saviez-vous que bien souvent, les sites Web existent en version «normale» et aussi en version «sécurisée»? Reconnaissables par le «https» qui démarre leur URL, ces sites collectent beaucoup moins, voire pas de données sur vous. HTTPS Everywhere va automatiquement vous connecter aux versions sécurisées des sites, du moment qu elles existent. 19

20 Protection & AnonymAt Microfiches #1 Résistez à la surveillance avec Detekt Que vous soyez blogger, responsable d une ONG, activiste ou simple citoyen, votre gouvernement n hésitera pas à vous espionner. Car il suffit que vous ayez été surpris à raconter des idioties sur Skype ou pris la main dans le sac à télécharger Tor sur votre machine pour que les services secrets s intéressent à vous... Pour regarder si vous n avez pas de gentil spyware ou Trojan installé sur votre machine, nous vous conseillons de télécharger et d utiliser Detekt. Ce dernier, recommandé par Amnesty International et l Electronic Frontier Foundation, va s intéresser aux outils utilisés par les gouvernements (mais pas que...). N oubliez pas d Exécuter le programme en tant qu administrateur (clic droit dans l EXE). Attention, Detekt n est pas encore compatible avec Windows8.1 au moment où nous écrivons ces lignes... Lien : #2 Se protéger des PDF vérolés avec PDF exploit Generator Vous utilisez beaucoup les formats PDF et vous avez peur de tomber un jour sur un fichier vérolé? En effet, certaines failles d Adobe Reader dans les versions 8 et 9 permettent à un fichier d exécuter du code dans votre dos. Le logiciel PDF Exploit Generator va tout simplement créer un fichier PDF contaminé (avec le code de votre choix, pas besoin de faire un test avec un malware bien sûr!) pour voir comment réagit votre machine. Il est possible de faire pointer vers une URL qui exécutera un Trojan ou utilisera des techniques des phishings. Il s agit bien sûr de tester la sécurité de votre configuration ou d un lecteur PDF alternatif. Attention, il faudra suspendre la surveillance de votre antivirus pour télécharger le programme. Lien : #3 Une messagerie 100 % chiffrée avec BleeP Nous vous parlons souvent de messageries alternatives dans Pirate Informatique, mais Bleep va sans faire plus de bruit que les autres. Il s agit en fait d un logiciel de chat (au clavier ou vocal) complètement décentralisé, chiffré et créé par la société BitTorrent ellemême. Pour l instant disponible en version alpha sous Windows, Mac et Android, Bleep propose de récupérer votre liste de contacts depuis Google Contacts et d inviter ces derniers à utiliser Bleep de leur côté. Attention, car celui que l on appelait encore BitTorrent Chat, il y a peu de temps, n est pas Open Source. À n utiliser que pour des conversations non sensibles donc... Lien : bittorrent.com/bleep 20