Les applications de messagerie instantanée proposent un service gratuit et facile pour communiquer instantanément avec vos amis, votre famille et vos collègues. Cependant, sans chiffrement, les messages privés peuvent être lus par l’entreprise qui développe l’application, ainsi que par des tiers qui souhaitent recueillir des données privées sur les utilisateurs. Il existe plusieurs applications de messagerie sûres qui ont fait de la vie privée de leurs utilisateurs une priorité. En effet, leur logiciel chiffre de bout en bout les informations de sorte que seuls les participants conviés à la conversation peuvent lire les messages.

Qu’est-ce qu’une messagerie chiffrée ?

Le chiffrement de bout en bout (E2EE) est une méthode de chiffrement des données qui permet uniquement à l’expéditeur et au destinataire du message de déchiffrer et de lire les messages transmis entre eux.

Quelle est la meilleure application de messagerie sécurisée ?

Signal est, à l’heure actuelle le choix à considérer vraiment, il nécessite cependant un numéro de téléphone pour être utilisé. Olvid, depuis la mise en place de son programme de Bug Bounty mérite toute notre attention également.

Assez bourgeonnante au départ, le réseau LOKI est une piste sérieuse à explorer maintenant. Session n’est plus en version Beta, à vous de le tester !

A toutes fins utiles, il convient de rappeler que l’utilisation d’un VPN en France augmente grandement vos chances d’être plus difficilement traçable sur Internet mais pas seulement, veillez à utiliser des applications un peu plus respectueuses de votre vie privée, moteur de recherche, navigateurs, mails chiffrés…Etc.

Firefox, Opera et même Edge ont mis un coup d’accélérateur en ce qui concerne les options de sécurité disponibles sur leur navigateur. Ils mettent à disposition des protections contre certaines tentatives phishing, des bloqueurs d’annonces, des fonctions de navigation isolée et avertissent parfois quand un site est malveillant. Il est essentiel de ne pas perdre de vue que sans l’utilisation d’un VPN, la confidentialité sur un navigateur n’est pas sûre à moins (et encore) d’isoler totalement l’appareil sur lequel vous naviguez, d’utiliser un routeur bien configuré (et non une box fournie par votre FAI) et de savoir exactement et à l’avance sur quel site vous vous rendez. Petit tour d’horizon des navigateurs qui ont pris le parti de proposer à leurs utilisateurs quelques petites options de sécurité pour leurs données personnelles.

Opera

Opera était un navigateur très populaire des utilisateurs Mac à la fin des années 90 jusqu’au début des années 2000. Désireux de revenir parmi les navigateurs les plus utilisés dans le monde, Opera a doté son navigateur de très bonnes fonctionnalités concernant la sécurité de leurs utilisateurs. Ainsi, il dispose d’un bloqueur d’annonces, d’une protection contre le phishing. Il a cependant tendance à être assez indulgent avec les sites internet sans codage très strict.

Si sa popularité commence à grandir chez certains internautes, c’est en raison de son option VPN intégré totalement gratuite. En réalité, il s’agit plus d’un proxy que d’un vrai VPN payant, mais les utilisateurs sont malgré tout un peu plus à l’abri des regards que sur d’autres navigateurs. Le seul point négatif avec cette option c’est qu’il est très compliqué déterminer sous quelle juridiction le VPN Opera est affiliée. En effet, bien qu’Opera Software soit une société Norvégienne, les parts de celle-ci seraient principalement détenues par un consortium Chinois.

Opera se contente simplement de notifier qu’il n’enregistre aucune données concernant ses utilisateurs.

Opera GX est une version spéciale du navigateur Opera conçue pour les gamers. Elle offre des fonctionnalités destinées à optimiser l’expérience de jeu en ligne. Le service de VPN est également intégré au navigateur.

UR

Basé sur le code source de Chromium, lui-même à l’origine de Google Chrome, l’interface du navigateur UR est d’office très familière et intuitive. La particularité d’UR réside dans le fait que ce navigateur a beaucoup misé sur la sécurité de ses utilisateurs.

Dès l’ouverture de celui-ci, vous avez la possibilité de déterminer le niveau de protection que vous souhaitez pendant votre session. Cette option est paramétrable à tous moments en fonction de vos besoins. Votre empreinte en ligne est modifiée de façon aléatoire, vous pouvez être ainsi perçu comme un utilisateur différent à chaque fois que vous visitez le même site. Il redirige également automatiquement en HTTPS, propose un mode de navigation privée, bloque les publicités et vous alerte contre les sites douteux.

UR est un navigateur assez prometteur, mais souffre encore parfois de quelques problèmes de compatibilité avec d’autres solutions de protection.
UR Browser est un service développé par la société Adaptivebee et partenaire de la French Tech.

 Brave

Brave est un navigateur open source connu pour son approche très centrée sur la vie privée. Doté d’un design minimaliste, il vous permet de sélectionner le type de données que vous souhaitez supprimer à chaque fois que vous fermez l’application. Vous pouvez également paramétrer vos préférences en matière de sécurité. Brave dispose d’un bloqueur d’annonces intégré. Il ne supporte cependant pas très bien les extensions tierces.

Attention toutefois, certains retours d’utilisateurs laissent à penser que Brave serait en réalité une régie publicitaire déguisée en bloqueur de publicités. Non malveillant, ce navigateur filtrerait certaines annonces pour proposer, à la place, celles pour lesquelles il touche une commission.

Tor

Les développeurs de Tor ont créé un navigateur qui garde les utilisateurs anonymes. Celui-ci est basé sur Firefox, et ses mises à jour viennent après 14 jours, ce qui inclut des correctifs et des corrections de bugs.

Tor est un navigateur qui effacera vos cookies à chaque fois que vous terminez une session Internet. Sa fonction NoScript garantit qu’aucun site ne peut suivre ce que vous faites lorsque vous êtes en ligne.

Safari

Safari, c’est le navigateur d’Apple. Pré-installé d’office, ce navigateur fonctionne de manière transparente avec tous les produits de la marque à la pomme. Apple, en son plus jeune temps, était reconnu soucieux de la vie privée de ses utilisateurs et moins exposé. Safari est peut-être un des navigateurs ayant subi le moins de mises à jour depuis sa création. Il est capable d’identifier et d’éviter les codes malveillants présents sur certains sites.

Il existe de nombreux autres navigateurs comme par exemple Torch, Chromium, Pale Moon, Comodo Dragon et Comodo IceDragon …

En matière de sécurité, Firefox et sa mise à disposition de nombreux outils méritent qu’on s’y attarde. Certaines des fonctionnalités d’Edge ne sont pas non plus dénuées d’interet. Tant que votre navigation n’utilise pas les noeuds du réseau Tor, son navigateur est une bonne option.

UR s’impose encore comme étant un des plus respectueux en ce qui concerne les souhaits des utilisateurs sur la protection de leurs données personnelles.

Qu’est-ce qu’un Store ?

Il s’agit d’un magasin d’applications en ligne disponible sur toutes les plateformes et systèmes connus. Il agit comme un intermédiaire entre les différentes applications disponibles et les sociétés qui les dévellopent, ce ne sont, ni plus des moins que des revendeurs. Les Store officielles telle qu’App Store pour Apple et Google Play Store, pour ne citer que ces deux la, ont des critères bien spécifiques et autorisent ou non l’utilisation de certaines applications sur leur système. Les raisons peuvent varier, mais en règle générale, une application interdite l’est pour des raisons de sécurité ou pour des critères moraux.

Clarifions

Notre sélection d’alternatives au Play Store n’est rien d’autre qu’une sélection. Elle ne constitue pas une recommandation. Les raisons qui peuvent conduire un utilisateur d’Android à se passer de Google n’appartiennent qu’à lui et la nature de ce qu’il télécharge et installe sur son téléphone est de sa responsabilité. A ce titre, même un VPN sans logs ne protègera pas son utilisateur contre les applications siphonneuses de données perso. En effet, dès l’instant ou le propriétaire du téléphone donne son accord en acceptant les conditions d’utilisation, l’accès aux informations est autorisé.

Notez toutefois que certaines de ces alternatives ne transmettent pas de données et ne nécessitent pas de compte au Google Play Store pour fonctionner.

Le cas de FossDroid

FossDroid est un site internet qui répertorie l’intagralité des applications Open Source indexées sur F-Droid. Les APK sont directement téléchargeables via le site.

Fromage et dessert

Choisir d’utiliser une alternative à Play Store ne signifie pas pour autant que désinstaller Google Play Store est une obligation. Beaucoup d’utilisateurs d’Android jonglent entre plusieurs stores afin de dénicher l’application qui leur conviendra le mieux. Android, de par sa nature, tolère très bien que les boutiques cohabitent entres elles.

Comme souvent évoqué sur nos pages, les stores, comme les applications ont leur propres conditions d’utilisations. Nous vous invitons à toujours prendre le temps de bien vérifier quelles types d’autorisations vous donnez. Une application Open Source reconnue et certifiée fiable est, à ce jour, le choix le plus judicieux.

Quelle alternative à Zoom ?

Pourquoi tant de haine ?

Vivement critiquée dernièrement, Zoom a pourtant toujours présenté des failles tant au niveau de la sécurité de son application que dans la façon dont la société traite les données personnelles de ses utilisateurs. En effet, la simple acceptation des conditions générales d’utilisation suffit pour permettre à Zoom d’avoir accès et de stocker l’intégralité de ce qui transite par la plate-forme et bien plus encore. Il a également été démontré que l’application était capable d’échanger des données avec des tiers tels que Facebook ou encore Google.

Il faut reconnaître à Zoom que sa politique de confidentialité est assez claire. Ils récupèrent tout (à lire ici en français). La quantité de prestataires tiers qui ont accès aux données est également assez importante.

En ce qui concerne les problèmes liés à la sécurité, Zoom souffre malheureusement d’un grand nombre de failles. La plus importante n’est pas récente et avait déjà été signalée en juillet 2019. Il existe une porte dérobée permettant à des personnes mal intentionnées de s’introduire dans le système des utilisateurs Mac et de prendre le contrôle des webcams et micros à l’insu des internautes. À ce jour, il est raisonnable de considérer que zoom n’est ni plus ni moins qu’un logiciel malveillant. En France, l’utilisation de Zoom est fortement déconseillée.

Quelques améliorations notables

Pour tenter de pallier aux nombreux reproches légitimes qui leur ont été faits, Zoom a annoncé l’amélioration de son système de sécurité par le biais de nouvelles fonctionnalités. Les utilisateurs peuvent désormais grâce à la fonction Security se débarrasser d’un indésirable ou encore avoir le contrôle sur le nombre de personnes autorisées à suivre et animer la conférence. Les identifiants sont également masqués.

Quelle Alternative à Zoom ?

Afin de clarifier les choses, sachez, que le meilleur VPN du monde ne pourra pas sécuriser votre compte Zoom. Il est donc inutile de se penser protégé.

Recommandé par Edouard Snowden, Jitsi est, à ce jour, une bonne alternative à Zoom. Jitsi est un ensemble d’applications multiplateformes, destiné à la communication en direct entre plusieurs participants. Pour la visioconférence, c’est Jitsi Meet. Open source, libre et gratuit, Jitsi ne souffre actuellement pas de problème lié à la sécurité des données de ses utilisateurs. Jitsi Meet est accessible directement depuis le navigateur ou via les applications mobiles iOS et Android. Son code étant ouvert, Jitsi peut compter sur le soutien d’une communauté de passionnés d’informatique.

Et sinon ?

Si vous utilisez Zoom parce que votre travail l’exige ou parceque socialement cela représenterait un trop gros changement voici quelques mesures simples visant à limiter les dégâts.

• Si possible, n’installez pas Zoom sur vos appareils personnels. Si votre entreprise vous a fourni un ordinateur, utilisez l’application uniquement sur celui-ci.

• Sachez qu’il possible d’exécuter Zoom dans votre navigateur sans télécharger et installer l’application. Bien que votre navigateur puisse voir toutes les informations que vous lui fournissez volontairement, c’est peu en comparaison de ce que les applications peuvent extraire sur les appareils mobiles.

• Si vous avez un compte Facebook, ne vous connectez jamais à Zoom quand vous y êtes connecté.

• Si vous utilisez l’application Zoom, utilisez un arrière-plan virtuel. Parce que vous travaillez à domicile, la vidéoconférence signifie que vous laissez vos collègues entrer dans votre espace privé. Zoom permet d’utiliser un arrière-plan virtuel.

• Désactivez les fonctions de sauvegarde automatique et de suivi de l’attention du chat. La fonction d’enregistrement automatique du chat enregistrera toutes les discussions en réunion. Vous pouvez la désactiver dans les paramètres de votre compte Zoom.

• Pour éviter les trolls et garder vos réunions effectives, ne partagez jamais votre identifiant de réunion ou votre lien dans un forum public. Il existe également plusieurs paramètres que vous devez activer.

Ces actions ne résoudront pas les problèmes de confidentialité de Zoom, mais elles vous rendront beaucoup moins vulnérable.
En conclusion, en terme d’alternative réellement valable à l’application Zoom, Jitsi est actuellement notre seule recommandation.

Hackers, mais encore ? (3/3)

Tout au long de cet article, nous aborderons les différentes formes de hacking.

Le hacking au service du militantisme

Assez proche des idéaux du Chaos Computer Club, un mouvement commence à faire parler de lui en 2008, les Anonymous. Il s’agit d’un collectif à l’échelle mondiale regroupant des personnes qui militent, entre autres, pour le droit à la liberté d’expression.
Leur devise est la suivante : « Nous sommes Anonymous. Nous sommes Légion. Nous ne pardonnons pas. Nous n’oublions pas. Redoutez-nous. »
Ce mouvement utilise ses compétences en piratage informatique dans le but de dénoncer des injustices, faire circuler des informations et lancer des alertes via Internet. Cette forme de militantisme se nomme Hacktivisme (contraction de Hacker et activisme). Généralement, on les nomme Grey Hat (chapeau gris).

Le cas des Anonymous est en fait assez compliqué dans le sens ou tout le monde peut revendiquer son appartenance à ce mouvement. Ils se sont fait connaître au départ grâce à une série d’attaques visant l’église de la scientologie.
L’ensemble de leurs actions et annonces suscitent parfois beaucoup de remous, l’affaire MegaUpload a été au cœur de plusieurs débats et parfois condamnée au sein du collectif lui-même.

Leurs implications dans de nombreux hacks de comptes Twitter de personnes soupçonnées d’être extrêmement dangereuses et autres dénonciations n’ont eu de cesse de diviser l’opinion publique les concernant. Tantôt pirates, pilleurs, voleurs, tantôt justiciers, lanceurs d’alertes, protecteurs des droits fondamentaux, les avis à leur sujet, interrogent, divisent et préoccupent.

Les actions néfastes imputées aux hackers couvrent un spectre assez large d’infractions possibles, on le nomme Cybercrime. En dehors des intrusions illégales au sein de nombreux systèmes, il y a les traitements et le vols de données confidentielles et/ou personnelles, les infractions aux cartes bancaires, l’usurpation d’identité, l’incitation à la haine raciale et/ou terrorisme, l’atteinte à la vie privée, l’atteinte aux biens, le blanchiment d’argent, le vol de la propriété intellectuelle … Etc

Les pirates ne sont pas seulement craints et redoutés par les entreprises, ils sont également courtisés par celles-ci. En effet, les intérêts économiques liés à la sécurité de leurs infrastructures sont un enjeu majeur impactant directement leur survie.

Je t’aime moi non plus

Depuis toujours, il existe une attraction/répulsion entre les hackers et les entreprises. Véritable défi pour l’un, ennemi juré pour l’autre, si la sécurité informatique est ce qu’elle est aujourd’hui, c’est avant tout grâce à ce jeu du chat et de la souris que se livrent ces deux partis.

Le terme Hacker éthique ou white Hat a, au fil des années, pris naturellement sa place dans l’arsenal sécurité des entreprises. À la différence des Black Hat, leurs homologues considérés comme malveillants, les white Hat sont sollicités pour toutes sortes de tâches. Ils ont pour mission de réaliser des tests d’intrusion. En véritable spécialiste des manipulations technologiques, de l’accès à l’information, le hacker éthique dispose de connaissances pointues des différents systèmes et langages.

Les hackers éthiques utilisent les mêmes outils que les attaquants pour tenter de s’infiltrer dans un système d’information (SI), ils le font cependant à la demande d’une entreprise et ne causent aucun dégât. La plupart du temps, ils explorent différents scénarios possibles d’intrusion, ce sont des pentesteurs. Ils vont ainsi évaluer le niveau de sécurité et rendre ensuite leurs conclusions, recommandations et dans certains cas des solutions.

Parmi toutes ces (cyber)menaces, que devient le facteur humain ?

Si les hackers s’emploient à trouver des failles dans les systèmes d’informations, le système humain ne fait pas exception. L’ingénierie sociale (Social engineering) est souvent utilisée dans le milieu informatique pour désigner des méthodes d’approches en ligne mise en place par certains hackers afin d’amener leurs victimes à faire toutes sortes d’erreurs dans le but de compromettre les moyens de sécurité qui ont été mis en place pour les protéger. Ces techniques, reposent sur la manipulation, la peur, la séduction ou encore la cupidité.

Kevin Mitnick, un ancien hacker très célèbre connu sous le pseudonyme « Le Condor », a publié un livre basé sur ses expériences personnelles, l’art de la supercherie. Cet ouvrage traite principalement des différentes approches et méthodes pour briser les chaînes de sécurité grâce au facteur humain.

• https://www.eccouncil.org/
• https://sysdream.com/
• https://www.offensive-security.com/

Liens utiles :

• VPN pour les nuls

Hackers, mais encore ? (2/3)

Deuxième partie cette semaine de notre courte série d’articles dédiés au Hacking. Si vous avez manqué la première partie de Hackers, mais encore ? (1/3), découvrez la ici.

Vers l’internet tel que nous le connaissons

1989, en Suisse, les laboratoires du CERN développent le World Wide Web. Internet était né.

Si au départ, les failles de sécurité étaient détectées au sein de réseaux fermés appartenant à l’armée, certaines universités ou encore des grandes entreprises de l’époque, l’apparition d’un réseau mondial a redéfini certains contours concernant la sécurité et la protection des données numériques.

Les premiers logiciels de chiffrement font leur apparition. En 1991, le fameux PGP (pour Pretty Good Privacy, « assez bonne confidentialité » en français) est développé et diffusé par Philip Zimmermann. L’idée était de pouvoir chiffrer toutes sortes de données de façon à les sécuriser et notamment les communications par courriel. Il n’était pas question de protéger sa vie privée à cette époque, les enjeux étaient essentiellement économiques et militaires. Bon nombre de projets étaient développés conjointement par plusieurs personnes, parfois de pays différents, et il était impératif de limiter au maximum les risques de fuites.

Quand les banques deviennent une cible, la naissance d’une légende russe, Vladimir Levin

Présenté comme un scientifique, Vladimir Levin faisait parti d’un groupe de pirates russes du nom des « hackers de Saint-Pétersbourg ». C’est une histoire de vol et de détournement assez controversée. Vladimir Levin aurait accédé aux grands comptes des clients de la CityBank grâce à leur service de virement. Il a pu ainsi transférer des fonds sur des comptes ouverts un peu partout dans le monde pour un montant d’un peu plus de 10 millions de Dollars. Il fut arrêté en 1995, reconnu coupable et condamné à 3 ans de prison.

L’histoire ne s’arrête pas là. ArkanoiD, un membre supposé des hackers de Saint-Pétersbourg affirme en 2005 avoir pénétré le premier, le réseau de la CityBank et déclare que Vladimir Levin n’a jamais eu les compétences nécessaires pour réaliser ce genre d’intrusion et qu’il a bénéficié des accès par l’intermédiaire du groupe de hackers.

Internet commence peu à peu à s’étendre et devient un formidable terrain de jeu pour tous les passionnés de sciences et d’informatique du monde entier. À partir de 1995, le surf internet prend forme avec l’apparition des navigateurs. Des mesures et des sanctions importantes sont mises en place pour écarter certains pirates considérés comme dangereux, c’est le cas de MinorThreat qui fut le premier hacker a être interdit d’Internet.

À cette époque, la population était encore considérée comme sous-équipée et peu informée. Très peu de livres et revues informatiques étaient accessibles à la compréhension de tous. Pourtant, les vers, les virus ainsi que les chevaux de Troye commençaient à se repandre. Il n’était pas question au départ de s’emparer de quoi que ce soit chez les utilisateurs. Les hackers s’intéressaient au défi que pouvait représenter les détections de faille de sécurité au sein des grandes firmes technologiques, de créer, d’innover et d’apporter des solutions. Internet Explorer a d’ailleurs été une cible assez prisée.
Les dégâts provoqués par les virus et les détournements de ressources machines des utilisateurs étaient, au départ, soit des dommages collatéraux, soit des expériences d’adolescents particulièrement doués.

An 2000, I Love You

C’est sans doute le ver informatique le plus célèbre de ce début de siècle. La population mondiale étant de plus en plus équipée, sa vitesse de propagation fut extrêmement rapide, en 4 jours, il a infecté plus de 3 millions de machines à travers le monde provoquant des millions de Dollars de dégâts. Ce malware, originaire des Philippines, aurait été identifié comme étant la création d’un certain Onel de Guzmán, alors âgé de 24 ans, il nia en être le créateur. L’absence de lois contre le hacking dans ce pays, au moment des faits, a eu pour conséquence de laisser impuni l’auteur d’un des vers les plus destructeurs.

Mafiaboy, un script Kiddie sous-évalué

Un script Kiddie est un terme assez péjoratif désignant un adolescent sans réelles compétences en sécurité informatique, mais essayant des scripts crées par de véritables hackers dans le but de s’infiltrer dans différents systèmes. Détestés par les hackers, sous-estimés par les autorités, ces « gamins à script » sont une menace pourtant réelle et leur nombre augmente.

C’est ce qui est arrivé en 2000, un adolescent canadien de 15 ans, Micheal Calse, connu sous le pseudonyme Mafiaboy a réussi une série d’attaques contre Yahoo ! Amazon, Dell, CNN et eBay ayant pour résultat d’en fermer les accès temporairement. Surveillé à cette époque, mais jamais inquiété par les autorités, car il était considéré comme un adolescent aux médiocres aptitudes techniques, le montant des pertes fut estimées à plus d’1,7 milliards de Dollars.
Il est finalement arrêté la même année après qu’il se soit vanté sur IRC d’être l’auteur de ces attaques.

Les supports et les risques se multiplient, évoluent, mutent.

La première décennie des années 2000 verra une succession d’arrestations de hackers partout dans le monde allant de la simple intrusion dans un système au vol de données sensibles. La propagation des malwares commence à devenir une véritable plaie pour les utilisateurs. Les antivirus, essentiellement utilisés par les entreprises s’installent aussi chez les particuliers. Les multiples logiciels destinés à la communication comme IRC, ICQ, MSN, le téléchargement de fichiers sont autant de failles de sécurité dont il faut commencer à se protéger.

Même si la navigation internet comporte des risques pour le matériel des utilisateurs, ceux-ci continuent de s’équiper et les débits de connexion n’ont de cesse d’augmenter pour couvrir de plus en plus d’activités en ligne, smartphones, tablettes, objets connectés, téléchargements, streaming, jeux en réseau… La puissances des ordinateurs des utilisateurs ainsi que leurs données personnelles commencent peu à peu à devenir des cibles dignes d’intérêt.

Si les hackers suscitent la méfiance, il n’en demeure pas moins qu’ils sont des alliés solides du développement technologique et des entreprises.

Dans la troisième et dernière partie de notre dossier consacré aux hackers, nous aborderons les différentes facettes du hacking.

Liens utiles :

• Site officiel de Philip Zimmermann
• VPN pour les nuls