Auteur Sujet: Le gouvernement bloque 10 sites, veut surveiller en masse les logs des FAI (Lu 9791 fois)

Marin · « **le:** 17 mars 2015 à 12:08:07 »

Le 15 mars dernier, le début de l'application du blocage DNS sans juge avec le site « islamic-news.info » a commencé à faire des remous sur Twitter. Les DNS des principaux FAI français redirigent actuellement vers le serveur « 90.85.16.52 », qui affiche une belle main rouge, suivie du texte suivant (en majuscules, rouge, police 44px et sur 11 lignes au moins) : « VOUS AVEZ ÉTÉ REDIRIGÉ VERS CE SITE OFFICIEL CAR VOTRE ORDINATEUR ALLAIT SE CONNECTER À UNE PAGE DONT LE CONTENU PROVOQUE À DES ACTES DE TERRORISME OU FAIT PUBLIQUEMENT L'APOLOGIE D'ACTES DE TERRORISME ».

Stéphane Bortzmeyer a rapidement publié une analyse technique sur son blog : http://www.bortzmeyer.org/censure-francaise.html

Comme d'habitude, il suffit de changer de résolveur DNS (par exemple celui de Google, 8.8.8.8/8.8.4.4) pour résoudre la vraie adresse.

Code: [Sélectionner]

$ dig +short islamic-news.info
90.85.16.52
$ dig +short islamic-news.info @8.8.8.8
37.59.14.72

Chez SFR, une requête NS indique explicitement que le site est bloqué (on retrouvait la même chose pour les précédents blocages DNS ordonnées par la justice, cependant ça ne semble plus être le cas pour tous).

Code: [Sélectionner]

$ dig ns islamic-news.info

; <<>> DiG 9.9.2-P2 <<>> ns islamic-news.info
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 8809
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;islamic-news.info.		IN	NS

;; AUTHORITY SECTION:
islamic-news.info.	3600	IN	SOA	nsblk.dns.sfr.net. blocked.nothing.to.ask. 2015031200 10800 3600 2592000 86400

;; Query time: 41 msec
;; SERVER: 192.168.1.1#53(192.168.1.1)
;; WHEN: Tue Mar 17 11:41:41 2015
;; MSG SIZE  rcvd: 110

Juridiquement, le blocage repose sur un décret publié le 5 février dernier : http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000030195477&dateTexte=&categorieLien=id

La liste complète des sites bloqués selon Libération : « cinq sites projihad (jihadmin.com, mujahida89.wordpress.com, is0lamnation.blogspot.fr, alhayatmedia.wordpress.com et islamic-news.info) ainsi que cinq sites à caractère pédopornographique ».

Le Ministère de l'Intérieur et les whois, ça fait deux ?

Une rapide vérification sur l'adresse IP d'origine du site en question (37.59.14.72) permet de se rendre compte qu'il n'était pas hébergé à l'étranger, comme ce type de mesure aurait pu le faire croire, mais... chez OVH, en France. D'où l'étonnement dont Octave Klaba, directeur d'OVH, a fait part sur Twitter quand il a appris la nouvelle :

Octave Klaba / Oles ‏@olesovhcom
Pq personne ne nous a notifié LCEN pour fermer le site www.islamic-news.info ? J'apprends ce matin qu'il a été bloqué par le M Intérieur !?
10:30 - 16 mars 2015

Le journal télévisé de France 2 aurait ensuite répandu une désinformation assez aberrante sur le sujet...

Darvania ‏@Darvania
Le JT de France 2 qui nous informe que "tous les sites bloqués étaient hébergés à l'étranger"... Non pas vraiment :S cc @gchampeau
20:12 - 16 mars 2015

La justification du Ministère de l'Intérieur est arrivée le soir, laissant penser qu'ils n'ont effectivement pas connaissance de la formidable commande whois.

klorydryk ‏@klorydryk
"«OVH n’apparaît nulle part sur le site», et seules comptent les mentions légales" AHAHAHA http://ecrans.liberation.fr/ecrans/2015/03/16/cinq-sites-web-projihad-bloques-de-l-interieur_1222042
10:31 - 17 mars 2015

La deuxième surprise de du gouvernement : détection automatique des suspects, déchiffrement massif des communications

Un article publié ce matin dans Le Figaro rélève les intentions du gouvernement pour le prochain projet de loi anti-terroriste : http://www.lefigaro.fr/secteur/high-tech/2015/03/17/01007-20150317ARTFIG00008-terrorisme-de-nouvelles-obligations-de-surveillance-pour-les-geants-du-net.php

Extrait :

EXCLUSIF - Le projet de loi renseignement prévoit des mesures pour détecter «immédiatement» des comportements suspects sur Internet en France.

[...]

Le projet de loi va plus loin. Dans son article 3, le texte permet aux enquêteurs d'obtenir un « recueil immédiat, sur les réseaux des opérateurs » des données de connexion des suspects. De même, il veut contraindre les intermédiaires à « détecter, par un traitement automatique, une succession suspecte de données de connexion ». Les fournisseurs d'accès à Internet, mais aussi aux plates-formes comme Google, Facebook, Apple ou Twitter, pourraient devoir déceler eux-mêmes des comportements suspects, en fonction d'instructions qu'ils auront reçues, et transmettre ces résultats aux enquêteurs. Le texte ne le précise pas, mais il pourrait s'agir de connexions fréquentes sur des pages surveillées.

Une autorisation du premier ministre

Les opérateurs télécoms et les sites Internet ayant une activité en France devront se plier à cette obligation de surveillance après accord du premier ministre, c'est-à-dire sans passage devant un juge. L'anonymat des personnes identifiées sera levé «en cas de révélation d'une menace terroriste», prévoit le texte. Cette obligation de surveillance est une manière de durcir la loi antiterroriste du 13 novembre 2014, qui avait retenu, dans les éléments signalant une entreprise de terrorisme individuelle, «la consultation habituelle de sites Internet appelant à la commission d'actes de terrorisme».

Le projet de loi renseignement aborde aussi sur les obligations à la charge des opérateurs et des plates-formes «en matière de déchiffrement des données». Plus que jamais, la France veut disposer des clés permettant de lire des conversations interceptées, même si elles sont protégées. Lors de son voyage dans la Silicon Valley pour rencontrer les géants du Web en février, le ministre de l'Intérieur Bernard Cazeneuve avait indiqué qu'il s'agissait d'une «question centrale» dans les demandes des États.

Le projet de loi prévoit également que les entreprises du Web et des télécoms devront être en mesure de respecter le secret de la défense nationale, pour s'assurer que leurs échanges avec les autorités ne seront pas dévoilés. Les locaux de ces entreprises pourront aussi être contrôlés par les membres et les agents de la nouvelle Commission nationale de contrôle des techniques de renseignement (CNCTR), l'autorité administrative indépendante qui sera créée.

[...]

L'analyse de Numerama : http://www.numerama.com/magazine/32502-terrorisme-la-france-exigera-dechiffrement-et-detection-automatique-de-suspects.html

vivien · « **Réponse #1 le:** 17 mars 2015 à 13:35:18 »

C'est dommage que les décideurs ne suivent pas plus les conseils des experts du secteur.

J'ai l'impression d'un dialogue de sourd, qu'ils ne comprennent pas le fonctionnement de l'Internet et encore moins de SSL...

Comment le gouvernement va faire pour avoir le déchiffrement des communications privées ?
Même la NSA n'y arrive pas...

Manuel Valls fera obligation aux éditeurs de moyens de communication de livrer les clés de chiffrement à l'Etat, ou de fournir d'autres moyens de les déchiffrer, en particulier par des backdoors.

Si ils mettaient en application cette idée farfelue, il suffit de déménager de l'autre coté de la frontière pour ne pas être inquiété.

Ce serait un sale coup aux acteurs français de l'hébergement, mais je ne crois pas un instant a sa mise en ouvre qui est complexe : quand OVH loue un serveur dedié : ils n'ont pas les clé SSL, c'est celui administre le serveur qui a les clefs.

Ce n'est pas facile à d'identifier qui administre chaque serveur / machine virtuelle. La commande Whois, qu'ils ne connaissent pas, ne suffit pas.

Paulo31 · « **Réponse #2 le:** 17 mars 2015 à 13:37:45 »

C'est la partie traitement automatique que je trouve idiote, on peut surveiller régulièrement certains sites sans forcèment qu'on en approuve les idées.

Se faire flaguer son IP sur des critères assez subjectifs (au début la pédopornagraphie, maintenant le "terrorisme", demain les adeptes de soral/dieudo/NPA ?), et péter l'anonymat tout ça sans juge...

vivien · « **Réponse #3 le:** 17 mars 2015 à 13:48:15 »

Par données automatique, j'ai pensée aux données NfSen des opérateurs qui logue une partie des paquets IP qui passent sur les routeurs. Les info sont IP source / IP destination / protocole / + port source / port destination pour les protocoles TCP et UDP.

Il y a plusieurs problèmes à cette idée :
- Derrière une IP il peut y avoir plusieurs sites qui n'ont rien a voir (hébergement mutualisé). Il est impossible de savoir avec les données NfSen quel site a été visité. On a juste l'IP.
- Les FAI ne gardent pas toutes les données NfSen mais échantillonnent les données (1 paquet IP sur 10000 par exemple est gardé, car garder des informations sur l'intégralité des paquets IP qui passent sur un réseau, c'est énorme et inutilisable)

Macharius · « **Réponse #4 le:** 17 mars 2015 à 13:58:58 »

Allez, bientôt on aura un Patriot Act au moins sur sa partie surveillance

vivien · « **Réponse #5 le:** 17 mars 2015 à 14:09:05 »

Je vous invite à lire le Tutoriel pour chiffrer un site web gratuitement en 14 étapes simples

Vous comprendrez que le seul qui a la clé privée, celui qui gère le serveur.

Ni l'hébergeur, ni l'autorité de certification n'a accès à la clé privée de leurs clients

L'hébergeur est facile à identifier (whois) mais pas l'administrateur d'un serveur (sauf si il donne l’information sur le site)

La chine n'a pas réussi à avoir les clé privée, ils essayent par contre de promouvoir le navigateur web Qihoo (le navigateur le plus utilisé en Chine) qui n'affiche pas d'alerte en cas d'attaque Man-in-the-middle. Contre Firefox ou Chrome, malheureusement la chine ne sait rien faire : un message informe clairement l'utilisateur que la connexion est déchiffrée par le gouvernement :

Citation de: vivien le 27 janvier 2015 à 18:06:16

La Chine aurait mené une attaque Man in the Middle contre iCloud

Le cryptage des données par Apple n'est pas du goût de la Chine. Le pays aurait donc décidé de s'attaquer à iCloud pour surveiller ses citoyens.

Alors que les iPhone 6 et 6 plus viennent d’arriver en Chine, Great Fire, une organisation à but non lucratif qui s’est fixé pour but de surveiller la censure d’Internet dans le pays, affirme que les autorités locales ont procédé à une attaque Man in the Middle sur iCloud.

Ce type d’attaque permet de récupérer des données en se plaçant entre deux parties sans qu’aucune ne se rende compte que le canal est compromis. Le gouvernement chinois chercherait ainsi à récolter des mots de passe et noms d’utilisateurs du service pour ensuite avoir accès à tous les documents stockés dans iCloud : photos, contacts, messages…

D’après Great Fire, certains navigateurs comme Chrome ou Firefox affichent une page d’erreur lorsque des utilisateurs cherchent à se connecter à iCloud depuis un ordinateur à l’inverse de Qihoo, le navigateur le plus utilisé en Chine.

Il y a peu, la firme de Cupertino avait annoncé qu’elle souhaitait stocker en Chine les données personnelles de ses utilisateurs locaux, mais qu’elles seraient cryptées, comme elle s’y était engagée dans sa nouvelle politique de protection des données. Il n’y a semble-t-il pas que les autorités américaines qui « déplorent » le fait qu’Apple ait accentué le chiffrement des données des utilisateurs de ses smartphones…

Source : 01net, le 22 octobre 2014 par Cécile Bolesse.

Marin · « **Réponse #6 le:** 17 mars 2015 à 18:22:59 »

Quelques précisions :

Citation de: vivien le 17 mars 2015 à 13:35:18

Manuel Valls fera obligation aux éditeurs de moyens de communication de livrer les clés de chiffrement à l'Etat, ou de fournir d'autres moyens de les déchiffrer, en particulier par des backdoors.

La source ne parle pas de « backdoors », c'est une extrapolation de Numerama.

Citation de: vivien le 17 mars 2015 à 13:35:18

J'ai l'impression d'un dialogue de sourd, qu'ils ne comprennent pas le fonctionnement de l'Internet et encore moins de SSL...

La source ne parle pas non plus de SSL, et vu le contexte il semble plus probable qu'on parle d'abord des logiciels de messagerie instantanée comme Skype, qui eux ne se privent déjà pas de collaborer ouvertement avec divers gouvernements. On peut par exemple citer la version spéciale de Skype distribuée en Chine, spécialement backdoorée avec une liste de mots-clés.

Au passage, la palme de la désinformation revient au Journal du Geek, dont l'article laisserait presque croire que Microsoft n'aurait réellement pas de contrôle sur la surveillance de ce que disent ses utilisateurs :

Les méthodes de chiffrement de Skype en question
[...]
Microsoft a déjà fait savoir qu’à chaque conversation Skype, « deux clés de chiffrement aléatoires » et inconnues de la compagnie étaient créées, rendant ainsi techniquement impossible la mise sur écoute, même sur demande expresse et légale des autorités.

C'est bien sûr faux ; Skype est de manière générale une grosse boîte noire avec du code obfusqué et de nombreux comportements proches du malware, envahissants pour l'utilisateur et qui permettraient sans nul doute à Microsoft d'avoir un large contrôle sur ce que dit l'utilisateur (quand il ne s'agit pas directement des gouvernements, voir l'exemple de la Chine plus haut), quant aux serveurs, qui fonctionnaient à la base sur une architecture P2P avec des gros utilisateurs comme nœuds du service, ils ont commencé à être recentralisés par Microsoft ces derniers mois. Skype ne doit pas être considéré comme fournissant une quelconque notion de vie privée.

À savoir également qu'une partie du trafic Skype n'est même pas chiffrée d'une manière qui pourrait contourner l'interception, elle n'utilise qu'une bête couche d'obfuscation (RC4 avec une clé qui peut être restituée à partir des données présentes en clair dans le paquet...). Pour plus d'informations : https://github.com/matthiasbock/OpenSkype/wiki/Skype%27s-UDP-Format

Citation de: vivien le 17 mars 2015 à 14:09:05

Qihoo (le navigateur le plus utilisé en Chine)

L'information de la part de marché semble être très douteuse : https://en.wikipedia.org/wiki/360_Secure_Browser

In January 2011, Qihoo claimed that it was the second most popular web browser in China (after Internet Explorer), with 172 million monthly active users, 44.1% of Internet users in China. The true figure is much lower (in the 2-7% range) according to multiple independent sources.

Marin · « **Réponse #7 le:** 15 mai 2015 à 17:55:20 »

Citation de: /*Invité

Pour en revenir au serveur qui donne la "main rouge", vu que l'IP à été donnée

Avec une petite recherche sur le RIPE, la plage de tous les serveurs qui pourraient servir à afficher la "main rouge" est

-> 90.85.16.32 - 90.85.16.63
-> 81.255.232.0 - 81.255.232.31

(la seconde est associée au même nic-handle et au même "netname" que la plage correspondante à l'IP donnée ici)

Au passage, on remarque des informations douteuses dans le whois :

Code: [Sélectionner]

person:         Jean Alain
address:        4 rue du quatre septembre
address:        57000 METZ
phone:          +33 25656438

Numéro de téléphone à 9 chiffres, correspondant vraisemblablement à un suite tapée au hasard sur le clavier, adresse vraisemblablement bidon (aucune rue de ce nom à Metz, seulement à Maizières-lès-Metz et je n'ai rien vu de particulier sur Street View), nom relativement générique... Pas très sérieux pour une instance officielle du gouvernement. À noter que cette plage héberge également divers sites de préfectures.

Citation de: /*Invité

J'avais même pas fait gaffe, mais c'est vraiment louche...
En plus l'adresse est le n°4 du même nom que sa rue, "quatre", le tout sans majuscules...

L'ip en question 90.85.16.52 n'a même pas de reverse DNS, bref ça sent le truc fait à l'arrache