En rentrant de vacances je me suis connecté sur les forums FCF. Déjà mon navigateur dit : "oula redirect" ! J'arrive sur FCF en https !
Je clique sur "threads récents" et là je vois la PARANO, 18 pages de contradictions en tout genre, mais notre ami Géronimo aux bancs des accusés...
Et ma réponse : brouiller les pistes par principe de précaution : LA PARANO !
On est durablement responsable de ce qu'on fait sur internet : on n'efface pas les données, au mieux on peut les masquer. C'est triste que l'on soit la cible de la justice alors que justement, on ne contribue plus à aucun marché noir.
Donc je vous propose un premier tuto à la va vite sur l'anonymat et la confidentialité. Ce premier tuto présentera plusieurs approches de l'anonymat sur internet.
SecuriteFCFv1.0 : Epouvantail
Relecteurs : je vous cite ? : (2techies et 1norm)
A) COMMENT MASQUER SON IP
C'est impossible en théorie. Un point A communique avec un point B.
Si vous avez 2 ordinateurs chez vous, et que vous allez sur 2 sites différents, les sites ne voient que l'IP de votre box (routeur). Testez avec ce lien : le but de ce tuto est de vous proposer différentes solutions pour faire disparaitre votre IP de vos communications.
Bon là, pas de bol, c'est l'IP de chez vous qu'on voit, mais d'une certaine façon on peut masquer son IP puisque le site ne voit pas l'IP de votre PC dans votre réseau.
Le but du jeu est donc de changer l'IP que voient les sites que vous visitez.
Il y a plusieurs techniques pour masquer l'IP de chez soi sur les serveurs des autres :
- passer par un serveur mandataire (proxy) gratuit
- passer par un serveur mandataire payant
- faire passer un protocole précis par un serveur mandataire précis (ftp, http, https)
- passer par la machine de quelqu'un d'autre (botnet ou wifi du voisin)
- passer par un réseau en oignon : un réseau de relai de routage garantissant l'anonymat du transport des données
- utiliser un VPN, réseau virtuel : très bonne solution mais coûteuse
- d'autres qu'on n'abordera pas (tunnel SSH -rien à voir avec la super silver haze- sur une machine que vous contrôlez, etc...)
B) CRITIQUES ET LIMITES
- Proxy : quand on passe par un serveur mandataire le serveur distant ne verra pas l'IP de votre box mais l'IP du serveur mandataire. Évidemment, si ce proxy garde une trace (un log) de votre passage, l'administrateur du proxy verra votre vraie IP.
- Proxy gratuit, listes diverses ou autres proxies : ça c'est mignon, des gens ouvrent des proxies, l'humain est grand. Certains le font pour que leurs potes en Chine puissent voir Wikipedia, d'autres le font chez eux pour se connecter d'ailleurs (au bureau sur des sites interdits par exemples), d'autres sont des listes faites par des hackers qui ont sondé des proxies ouverts, d'autres sont des proxies contrôlés par des hackers, d'autres ceux de la police électronique... Bref, utilisez un proxy gratuit à vos risques et périls : comment savoir à qui il appartient et qui logue dessus ? Et qu'est-ce qui est logué ? Débit très aléatoire.
- Proxy payant : j'ai jamais testé, tant qu'à payer un relai, autant prendre un VPN, l'avantage du proxy payant c'est que vous pouvez souvent customiser les paramètres de n'importe quel navigateur et utilisez votre proxy sécurisé sans installer de logiciel.
- Réseau en Oignons : ils ne sont pas infaillibles mais gratuits et très séduisants. Le réseau en oignon, éparpille tous les paquets dans les oignons, il reste donc difficile d'intercepter l'intégralité des paquets d'une communication. Techniquement, il faudrait remonter des logs de plusieurs dizaines de FAI, et là on parle en Pétaoctets de data chez des centaines de FAI. C'est à la portée d'une agence gouvernementale qui cherche un réseau terroriste quoi... Ce n'est pas que du routage, chaque paquet emprunte 5 nœuds TOR avec un cryptage asymétrique entre chaque nœud. Grossièrement vous êtes anonymes partout à part sur le 5ème oignon (ce qui est capilotracté)
- Vol de clé wifi : c'est l'IP de votre voisin et pas la votre mais les mecs cherchent de la beuh... je me fierais pas trop à ça, ça ne fait qu'aggraver votre cas s'ils creusent, là c'est de la cybercriminalité.
- Louer un botnet : n'y pensez pas ! Vous finirez botnet aussi...
- VPN : réseau crypté sur lequel vous pouvez connecter votre machine. A partir de là, tout ce qui sort de votre machine vient du VPN (tunnel). Bon souvent ils loguent (laissent des traces écrites permettant de vous remonter), notamment certains VPN communiquent sur le fait qu'ils ne loguent que sur les proxies US. Il y a quelques bonnes solutions entre 57 et 157$ par an. Ces boîtes communiquent plus ou moins sur la confidentialité des logs. Ça vous permet aussi de dézonner votre géolocalisation à souhait et de profiter des sites à accès restreints. Ça permet en gros d'avoir plusieurs milliers d'ip sous la main. Le débit semble variable selon les offres et l'éloignement des proxies. Il est rare que le débit soit garanti mais certains proxy sont très sursizés et donc fluides. La solution la plus chère et la plus sécurisée. Par contre en terme d'anonymat vous êtes soumis à la législation du pays hébergeur. En gros le service à 157$ par an vous garantit 0 log.
CONCLUSION : il n'y pas de méthode miracle et facile pour masquer son IP, on est toujours traçable par quelqu'un de plus malin. Une solution proxy/VPN revient à avoir confiance en sa propre confidentialité et en l'éthique et des ingénieurs et concepteurs qui administrent tout ça, et au prix que vous mettez pour votre confidentialité.
La solution TOR m'a séduit par sa gratuité et son concept original. Ça brouille mes pistes via des tas de relais et assure l'impossibilité de me tracer et d'intercepter mes données. L'IP changeant à chaque paquet, il devient même impossible de savoir que ces 2 paquets provenant de 2 sources différentes appartiennent à MA connexion tcp.
Les solutions gratuites sont à vos risques et périls, les payantes sont soumises à la législation du pays.
C) Sécuriser le navigateur
Masquer son IP ne suffit pas.
Vous laissez des traces énormes partout.
Quand vous tapez http://www.google.com, vous croyez demander une page de recherche. En fait, c'est plus compliqué que ça. Votre navigateur envoie à google des tas d'informations sur lui-même (version, moteur de navigation, système d'exploitation et architecture matérielle) et sur vous (IP, langue, clavier, prise en charge de types de média, présence ou non de flashplayer ou de tel autre player, javascript autorisé ou pas, IP). Du coup le serveur google reçoit tout ça et dit "ok, le mec a firefox 3.6 motorisé par gecko, il est français et parle suisse (clavier), alors déjà il est pas au bon endroit. Paf il t'envoie sur http://www.google.com/fr ou google.com/ch , qui lui prend en charge les blaireaux qui parlent français ou qui sont suisses romands/autres selon le cas... Paf, 1 cookie pour se rappeler qu'en fait tu veux aller sur google.fr ou google.ch version française.
T'étais venu pour faire une recherche, tu vas commencer à la taper. Google te demande si tu kiffes l'auto-complétion de la recherche (le machin qui écrit à ta place), et toi tu aimes. Paf 2 cookies.
Tu finis de taper un morceau de recherche et tu lances, paf, 3ème cookie adsense + historique recherche pour l'auto-complétion des recherches que t'as déjà faites (qui s'affiche au-dessus de celles que google te propose déjà pendant l'auto-complétion).
5 cookies (j'en ai 9 pour google, les autres je sais pas ce qu'ils font, probablement un par outil que j'utilise, calendar, groups, maps, buzz etc...)
Comme t'es un bon client et que tu cherches de l'eau de toilette, google ad sense note : "ce crétin aime l'eau de toilette" et te définit comme une cible 40-60 ans (y a que les vieux qui aiment la cocotte de l'eau de Cologne et la lavande à mamie, selon la base de probabilités de google). paf un cookie. Comme ça quand tu vas sur un site pour acheter de la bouffe pour chien, tu as des pubs pour l'eau de toilette, parce qu'en fait, toi tu recherches de l'eau de toilette, tu vois !?
Ah et en bas à droite tu vois une poufiasse qui a ton âge et qui habite ta ville. Une boite de visioporno a payé adsense pour te géolocaliser et te proposer des cochoncetés. Paf un cookie, non mais toi tu t'en fous. Oh c*n ! Tu cliques (google est plus riche de 2 centimes) ! et rebelotte sur le site porno, tu as même des godmichets de la marque chinoise odetoilette qui a payé les mots "sexe" et "toilette"... paf un cookie, maintenant on sait que tu kiffes le cul, google va t'emmener là où tu voulais finalement aller dans le fond de ta pensée...
T'es mdr couillon, tu likes sur facebook, paf un cookie, paf un cross cookie... Allez c'est marrant je vais autoriser cette application pour faire marrer les potes.
Si j'allais jusqu'au bout de ce qu'on peut faire c'est horrible... Si un jour imageshack envoyait votre IP avec votre compte facebook à la police, et votre jolie collection de photos de weed ?
Pas de quoi devenir parano, il faut nettoyer tout ça régulièrement, les cookies sont une mécanique normale des sites web. Néanmoins l'utilisateur ne sait jamais à quoi il est connecté à son insu, d'où le principe de prudence.
Spoofer/masquer son IP ne suffit pas, il faut aussi rendre ses actions précédentes invisibles aux autres sites. Un ordi peut se déplacer. Les sites mettent alors des tas de mouchards sur les cookies et dans leurs logs, les addons, les navigateurs, pour faire un profil de vous et de votre façon de consommer ou vous espionner.
Ainsi quand on démarre une navigation sécurisée, il faut prendre plusieurs précautions :
- changer le "user agent" du navigateur (addon firefox "user agent switcher") : j'ai remarqué que la toolbar de imageshack laisse des traces sur le user agent, ce qui vous rend encore plus unique et donc plus ciblable. Essayez de récupérer le user-agent le plus fréquemment utilisé pour se noyer dans la masse ou au moins retirez le numéro de version de la toolbar imageshack. Vous pouvez contrôler votre user-agent ici
- démarrer une session différente de vos autres navigations : par exemple sur firefox vous démarrez en mode "profile", et vous créez un profil FCF qui ne vous servira que pour aller sur FCF et imageshack
- dans cette session, n'utiliser aucun addon, à part celui dont vous aurez besoin en mode navigation sécurisée : le mieux est donc de supprimer tous les addons
- supprimer les cookies avant la navigation
- si vous utilisez votre navigateur habituel, il faut tuer toutes les sessions et supprimer les cookies (ne supprimez pas le cache du navigateur, car la navigation sécurisée est souvent lente)
- bloquer les scripts : 90 % des scripts javascript ne servent à rien, utilisez no-script en mode parano
- pour ma part j'utilise l'addon foxyproxy qui me permet de gérer quels sites vont utiliser le proxy.
- le bouton TOR de firefox permet un mode ultra parano mais c'est un coup à oublier le bouton, je préfère donc foxyproxy même s'il ne sécurise pas le navigateur (en virant les mouchards ou en permettant d'activer tel ou tel addon en plus, genre no-script par exemple).
NB : Attention, avoir le bouton TOR ne vous dispense pas d'installer TOR et un proxy (moi j'utilise le proxy polipo fourni avec TOR)
D) Du Bon Sens
J'aurais du commencer par là mais comme je fais tout à l'envers...
le bon sens... Oui la bêtise humaine est infinie mais on a quand même besoin de montrer le bon sens parfois !
- chaque site est une interface. Se servir des outils de communication du site est à double tranchant. Par exemple le système de messagerie des FCF, on voit le message et son suivi via le site, alors que le site pourrait nous faire communiquer par mail interposé sans rien stocker. On sait que le mec lit le message ou pas. M'enfin c'est stocké donc c'est mal. Je ne critique pas les FCF ou le système de messagerie, je dis que même en "privé" vous êtes sur un site public lisible de A à Z par des hackers... Même si c'était réellement ultra-secure et impénétrable, un coup de social engineering et t'as le mot de passe de quelqu'un... Une faille sur le serveur web et paf t'as le passe de mysql... Enfin voilà, ne comptez que sur vous. Quand vous mettez un truc dans une base de données, il y reste. Le privé devrait être privé mais il l'est rarement !
Le pire des cas c'est donc la saisine de la base de données du site. Et je pense que la partie messagerie privée les intéressera particulièrement.
Du coup, quand vous utilisez ça, dites-vous que l'administrateur ne peut rien garantir quant à la confidentialité... Cernez les limites d'un outil que vous utilisez et n'allez pas au-delà.
- Rien n'est effacé : quand vous effacez un thread, "la requête qui affiche les threads n'affiche plus le thread effacé". En réalité, le thread/post/mp existe toujours dans la base de données du site, mais avec un flag indiquant "ne pas afficher". Il est rare qu'on prévoit une fonction de suppression dans un système informatique. Ça fausse les statistiques et provoque des bugs. Et de la même façon, ça se trouve les FCF font un "delete" quand je demande d'effacer, mais globalement vous ne pouvez pas savoir comment est codé le site. La bonne pratique du développeur est de ne rien effacer. Quand je dis "rien n'est effacé", je dis en fait "n'écrivez jamais rien de compromettant"
- le bon sens c'est de ne rien marquer de privé (numéro de téléphone, e-mail, adresses physiques) mêmes dans les sous-zones d'accès restreint du forum. N'importe qui peut récupérer votre pass et compromettre tous ceux qui vous ont fait confiance... et vice et versa
- je ne parle même pas des mecs qui envoient des photos géolocalisées... bandes de pommes ! Là encore les gens ignorent les métadonnées qu'ils mettent sur leurs photos. Je dis ça mais j'ai regardé mes métadatas, on voit déjà le modèle de mon appareil photo, les caractéristiques de certains réglages. On aurait tout intérêt à rendre neutres toutes les métadata. Idem pour le titre des photos, pas de mots ou de sémantique permettant d'avoir une idée sur votre pays, votre forum, vous.
- utilisez un système d'exploitation sécurisé et sécurisant, sans tabou. Utilisez un navigateur que vous savez configurer. Ubuntu par exemple. Pour ma part je préfère firefox pour sa large gamme d'addons, mais les addons commencent à être aussi bons sur chrome. Dans tous les cas, Internet Explorer et Safari sont deux grosses merdes que vous pouvez désinstaller immédiatement après avoir lu ceci !
- changez régulièrement d'identité numérique : si vous allez sur un autre forum, changez de pseudo et d'avatar, de présentation, de mot de passe. Ne laissez pas de liens faciles, aucune proximité.
- Un compte mail par compte sensible : n'associez pas votre e-mail principal et officiel à un compte de site. Faites un compte mail par site. Si un de vos comptes est compromis, il n'y aura pas de cascade sur les autres comptes. Personnellement, j'ai une 15aine de comptes mails pour des trucs différents. Je crée même un nouveau mail quand je commande sur un site commercial (ça me permet de voir s'ils revendent mes infos à une autre société).
- Supprimez vos mails : pas vu pas pris
- Supprimez vos mails supprimés !
- Suivez les règles de tous les endroits où vous êtes, les règles sont souvent faites pour vous protéger de vous-mêmes et de votre ignorance.
- si vous êtes sur imageshack et que vous voyez un facebook like, c'est que vous êtes logués (connectés par cookie) sur facebook, qui sait si un script ne logue pas ça chez imageshack ?... pas très discret le crossplatform hein...
NOTES :
Ça aurait été un truc de prévention contraception, j'aurais ajouté "l'abstinence" mais j'écris justement pour votre liberté de poster !
Les critiques/ajouts constructifs sont les bienvenus. Vous noterez que j'ai évité les explications trop techniques suite à diverses relectures.
Les critiques type "ça sert à rien" ne sont pas les bienvenues, chacun voit midi à sa porte et en prend conscience ou pas... Je ne suis pas venu lancer un débat mais on peut discuter gentiment et étoffer ce document !
Si cette première approche vous plait, je serai peut-être amené à vous faire un tuto sur TOR. C'est ce que j'ai choisi pour apaiser ma méfiance
Je suis aussi curieux de savoir ce que chacun d'entre vous fait concrètement pour sécuriser sa vie de cannabiculteur communautaire.
NB : Je prends des exemples sur les FCF, ce n'est pas une atteinte directe aux FCF (et ça se trouve il y a réellement des SQL delete dans le code du fofo), j'explique comment fonctionne le système d'informations moyen et comment un utilisateur doit se comporter (ce qui rejoint d'ailleurs souvent les règles du forum, même si ces dernières ne donnent pas la raison évidente de l'existence de chaque règle) avec les outils dont il dispose en fonction de ce qu'il ne sait pas : le code derrière le forum.
