Do you want to play a game?
Film culte, W ar Games met en scène un jeune
hacker qui sans le vouloir se met à "jouer" avec un
ordinateur surpuissant contrôlant les missiles
nucléaires.
La scène finale montre comment l’ordinateur ,
JOSHUA, est en passe de lancer une attaque
nucléaire… et comment les personnages
réussissent à l’en empêcher!
La vidéo du mois
“Le vieux monde se meurt, le nouveau est lent à apparaître, et
c’est dans ce clair obscur que surgissent les monstres.” Gramsci.
C’est l’été, et avec celui-ci vient la fin d’une saison.
Pour l’occasion, la W ar Ram vous propose une double édition
spéciale "été" qui fusionne le mois de juillet et d’août. L’occasion de
revenir sur une aventure qui a regroupé plusieurs collaborateurs
d’hor izons divers.
Bien que nous déplorons encore le faible nombre de "hackers" au
sein du groupe, la "Ram" a quand même réussi à rassembler un
nombre important de profils divers: industr iels, journalistes,
chercheurs en cybersécur ité, en mathématiques, militaires...
L’objectif reste le même: fédérer au sein d’une même lettre
d’information "grand public" une communauté de professionnels
français du cyberespace. La chose est plus facile à dire qu’à faire,
tant les obstacles sont grands et les volontés fébr iles. Mais il faut
persister , persévérer , car unir les forces vives françaises reste
une nécessité à l’heure où les pensées stratégique et tactique se
doivent d’être renforcées.
Au sommaire:
- Une interview éclairante de Nicolas Caproni sur le rapport Marc
Robert
- Un ar ticle de Thierry Berthier sur CloudW att et le Cloud
souverain
- Une tribune libre d’un contr ibuteur anonyme qui dénonce sans
concessions les pratiques de certains ministères en matière de
cybersécurité
- Un ar ticle de Stéphane Leroy sur TOR et l’anonymat
Et bien sûr , l’habituel veille sur la cyberdéfense, la cybersécur ité et
les questions afférentes.
Puissiez-vous profiter sans soucis de cette pér iode estivale, et que
cette RAM vous donne la possibilité de garder un œil sur le cyber
du bout de votre terrasse!
L’E-DITO
Sommaire
Les gros titres
THE WAR R@M
L’Edito 360° Les Experts Out-of-the-Box Pimp my Opsec
#Marc Robert #CloudWatt #TOR
#Ambassade #CrouchingYeti #DragonFly
• Retrouvez aussi nos publications sur nos plateformes: blogwarram.tumblr.com et Slideshare.net/ W arRam
• Envie d’en savoir plus? Contactez-nous: [email protected]
• Les contr ibuteurs associés à ce numéro, pour leur contr ibut ion et leur sout ien, visible ou invisible: @ncaproni, Thierry Berthier,
@0X0ff.info, @lrcyber, @Mduqn
UN AUTRE MONDE
FOLLOW THE W HITE RABBIT
War Ram – Eté 2014
360°
War Ram - Eté 2014
Cybersécurité & Entreprises
Des hackers indépendants ont réussi à casser l’anonymat sur Tor TOR est-il cassé? Apparemment oui (voir p.9 ). Des
hackers indépendants prétendent avoir trouvé des
solut ions techniques pour défaire l’anonymat du
réseau.
Alexander Volynkin et Michael McCord, les deux
exper ts à l’or igine de cette trouvaille, devaient
présenter leurs méthodes lors du Black Hat 2014 , au
cours d’une conférence int itulée "Vous n’avez pas
besoin d’être la NSA pour briser TOR" (la conférence a
été finalement annulée).
Si les forces de l’ordre doivent déjà se réjouir à l’idée
d’une solut ion clef en main contre les cybercr iminels
de tout genre, les défenseurs de la vie pr ivée r isquent
de faire gr ise mine.
L’intérêt de TOR comme instrument ant i-censure reste
ent ier .
La cyberattaque sur le fond de pension n’était qu’un simple scénario Pour une fois, la réalité n’avait pas dépassé la fict ion. Un exercice de BAE Systems impliquant une cyberattaque supposée sur un fond de pension a été finalement démentie. Il ne s’agissait que d’un exercice, mené dans le cadre d’une campagne plutôt iconoclaste. L’"information" était par t ie du Rogue Code, un livre de Mark Russinovich.
Les cybercriminels, aussi puissants que els Etats? Les cybercr iminels seraient -ils devenus aussi
puissants que les Etats? C’est en tout cas ce que veut
nous faire croire McAfee dans son rappor t, citant un
responsable du renseignement européen.
L’hypothèse est par faitement plausible: le marché de
la cybercr iminalité pèse 400 milliards de dollars par
an, et la puissance de groupes cr iminels a déjà dans
le passé atteint des niveaux colossaux (on pense aux
narcotrafiquants sud-amér icains ou à la mafia
italienne, par exemple).
Mais la puissance a toujours été une not ion relat ive
(plus puissant par rappor t à un Etat? Oui mais lequel?
La France, l’Estonie, le Kenya?), et d’autre par t, il
s’agit pr incipalement de malwares visant à dérober
des r ichesses et non à perpétuer des actes de
sabotage.
Plus inquiétant donc est le phénomène de hackers
mercenaires, cer tains groupes atteignant des degrés
de sophist ication inquiétants et servant une cause
polit ique.
Cigref et Clusif veulent sensibiliser Fin juin, le Club de la sécurité de
l’information français (Clusif) publiait
un rapport t itré "Menaces
informatiques et pratiques de sécurité
en France" dans lequel il fust igeait
l’absence de chiffres concrets sur la
sécur ité, conséquence de la non-
obligat ion de déclarat ion des attaques
informatiques chez les entrepr ises et
les collect ivités. Le Clusif affirme
qu’une meilleure pr ise en compte des
données permettrait une plus grande
sensibilisat ion des acteurs.
De son côté, le CIGREF (réseau des
grandes entrepr ises) pr ivilégie une
approche plus ludique et planche
actuellement sur un serious game,
bapt isé « Keep an Eye », qui met le
joueur dans la peau d’un ange gardien
dont la mission est de protéger les
données d’un salar ié.
No-IP vs Microsoft: tout est bien qui finit bien? No-Ip s’est fait saisir 22 noms de domaines à la suite d’une demande motivée par Microsoft. Dès lors, les choses se sont envenimées. No-IP s’est déclarée outrée de cette mesure à la hussarde qui avait touché, par répercussion, des ut ilisateurs par faitement innocents. Microsoft a longtemps adopté la posture de l’autruche, en accusant No-Ip d’être à l’or igine de cette erreur technique. Cependant, devant les preuves ir réfutables avancées par No-Ip, L’entreprise de Bill Gates s’est finalement rétractée et a admis que son infrastructure n’avait pas su tenir le choc. Les deux sociétés (Microsoft et VitalW erks, l’éditr ice de No-Ip), ont fini par trouver un ter rain d’entente. Mais le fait qu’une société pr ivé puisse être capable d’en faire tomber une autre avec un minimum de procédures judiciaires a suscité l’inter rogation des professionnels.
Vulnérabilité « sérieuse » découverte chez Paypal Fin juin, une vulnérabilité très
sér ieuse a été découver te par
des chercheurs de Duo Security
et concerne l’API des applicat ions
mobiles PayPal.
Selon les exper ts, elle permet de
contourner le système de double
authentification pour le service et
le transfert d’argent d’un compte
à un autre.
Du côté de PayPal, on affirme
avoir pr is en compte la
vulnérabilité et avoir déployé une
solut ion temporaire pour limiter
les dégâts.
En revanche, on ne sait pas à
l’heure actuelle quand la faille de
sécur ité sera vér itablement
résolue.
Un piratage à 3,75 milliards au Brésil Un malware aurait , pendant
deux ans, ciblé le marché
brésilien du paiement en ligne. Il
se serait attaqué aux "boletos",
un disposit if de paiement
endémique au Brésil qui permet
aux consommateurs de payer
sans avoir besoin d’un compte
bancaire. Il fonct ionne sur le
pr incipe de factures spéciales
émises par les banques.
En ayant recours à un malware
de type Man-in-the-browser, les
cybercr iminels ont réussi à
modifier les dest inataires des
factures mais ont aussi créé de
faux boletos.
RSA Security, qui a découver t la
fraude, l’est ime à 3 ,75 milliards
de dollars. Le FEBRABAN
(association des banques
brésiliennes) est ime en revanche
le préjudice à 700 millions de
dollars.
360°
War Ram - Eté 2014
Kenya: pourquoi le pays peut être victime d’une cyberattaque Evans Kahuthu, un exper t en cybersécur ité kenyan a att iré l’at tent ion, au cours d’une interview pour All Africa, sur les dangers qui pèsent sur la sécur ité des SSI kenyans. L’exper t pointe tout par t iculièrement du doigt le r isque d’une cyberattaque d’or igine ter ror iste, sans pour autant préciser qu’elle en serait la forme (une simple attaque DDoS? De l’espionnage?). Cette annonce intervient à l’heure où Nairobi annonce un plan pour sa cybersécur ité de grande ampleur . Elle est à croiser avec la situat ion par t iculièrement tendue entre les Shebab et les autor ités.
Crouching Yeti et Energetic Bear Les exper ts de Kaspersky Labs ont publié un rappor t
sur Energetic Bear, l’un des autres noms de
DragonFly, en démontrant que cette campagne
d’espionnage industr iel dépasse finalement le simple
secteur énergét ique, mais touche également les
domaines de l’industr ie, de la pharmacie, de la
construction, de l’IT et même de l’Education! Plus
d’informations sont disponibles sur le site officiel de
Kasperky Labs.
ProtonMail: PayPal bloque le projet Proton Mail est un projet de messager ie sécur isée,
chiffrée, avec des data centers basés en Suisse, qui a
été mis en place par des chercheurs du MIT et du
CERN. L’init iat ive, qui a suscité l’intérêt d’une vaste
communauté d’internautes à la suite du scandale de la
NSA, a néanmoins connu un coup de frein brutal.
ProtonMail, qui a uniquement recours aux fonds publics
pour son financement, s’est vu geler ses comptes par
PayPal.
ProtonMail a essayé de rebondir avec une nouvelle
init iat ive PanaCoin, mais cette dernière s’est vue à
nouveau bloquée par PayPal qui se refuse à tout
commentaire. De nombreuses hypothèses fleur issent
sur l’implicat ion éventuelle des autor ités amér icaines,
ce n’a pas été prouvé.
La Finlande, victime de cyberattaques Dans une allocut ion télévisée qui r isque
de créer des remous diplomatiques, le
Ministre des affaires étrangères
finlandais a avoué que le pays a été
vict ime d’attaques sur ses systèmes
cr it iques à deux repr ises. L’object if de
l’at taque était de dérober des
informations classifiées à haute valeur
ajoutée, et selon les premiers éléments,
il y a for t à par ier que d’autres pays
européens ont été touchés.
Sur le plan technique, on sait qu’il s’agit
d’une APT, d’un calibre équivalent à
celui de Red October.
Dragonfly: cette libellule qui ne nous veut pas du bien La découver te du malware Dragonfly par Symantec
est une douche froide pour le secteur énergét ique
mondial. Des ordinateurs et des plateformes
d’entrepr ises européennes et amér icaines auraient
été compromis depuis 2011 .
Selon l’enquête, le logiciel aurait été introduit par
t rois biais différents:
• L’envoi de malwares par le biais de phishing
• L’ut ilisat ion de watering holes
• L’împlantat ion de trojans dans des suites logiciels
par faitement normales
Les chercheurs de Symantec ont conclu qu’il
s’agissait d’un malware état ique au vu de la
complexité du programme, mais il n’est pas exclu
que des hackers mercenaires l’aient construit .
Le plus inquiétant demeure les capacités de
sabotage de DragonFly, qui, bien que non ut ilisées,
auraient pu sér ieusement endommager les
équipements.
Cyberdéfense
Le rapport Marc Robert suffira-t-il? C’est la quest ion auquel notre
contr ibuteur essayera de répondre
(p.6 ). Le rapport du magistrat éponyme
est une premier pier re à la défense
contre la cybercr iminalité.
La publicat ion s’est faite attendre: paru
en juillet , il aurait dû init ialement sor t ir
en févr ier .
Un gage de qualité? Espérons-le!
Degré d’infection du malware DragonFly
La cour européenne de justice s’attaque aux accords US-UE La cour européenne de just ice a fait de
son cheval de bataille la défense des
droits des internautes. Dans un
jugement rendu début juillet , elle a donc
ordonné plus de transparence sur le
programme de coopération US-UE
concernant le suivi des avoirs liés au
ter ror isme dans le monde.
La cour européenne a décidé d’agir
après qu’une députée néer landaise,
Sophie in’t Veld, s’est vu restreindre
pendant cinq ans l’accès à des
informations touchant à cet accord, qui
devait être en par t ie réaménagé dans
le cadre du nouveau traité de par tage
de données Safe Harbour.
Arménie et Azerbaïdjan se font la guerre sur le Web Un groupe de pirates arméniens
(Monte Melkonian Cyber Army) a
défacé plusieurs sites de l’armée
d’Azerbaïdjan en laissant des
messages d’aver t issement vis-à-vis du
conflit en cours.
Facebook sommé de s’expliquer L’expér ience menée par Facebook en 2012 et révélée
en 2014 , visant à manipuler les flux d’actualités de ses
ut ilisateurs, crée des remous. Le commissaire de l’Office
of the Data Protection, l’équivalent br itannique de la
CNIL, a sommé Facebook de s’expliquer début juillet sur
cette expér ience visant à étudier la "propagation des
émotions".
A ce jour , aucune mesure coercitive ou punit ive n’a été
avancée.
360°
War Ram - Eté 2014
Le rapport Robert fait peur Le rappor t Marc Robert ne fait pas que
des heureux. Les défenseurs des
liber tés civiles fust igent et s’insurgent
contre les 55 proposit ions du rappor t.
Olivier Iteanu, un avocat spécialiste des
quest ions numér iques, se dit outré par
le nombre impressionnant de mesures
répressives.
La Quadrature du Net a réagi de la
même manière en rejetant la plupar t
des mesures, notamment celle relat ive
au blocage administrat if du site.
Enfin, la quest ion de l’enquête sous
pseudonyme inquiète également les
défenseurs des liber tés.
De façon générale, la crainte d’une
surveillance généralisée est ut ilisée
pour condamner ce rappor t. Il convient
cependant de rappeler que le rappor t
Robert ne cont ient pas de mesures de
surveillance vér itable: ce qui inquiète
les associat ions, c’est avant tout les
r isques de dér ive.
En ce qui concerne les mesures les
plus techniques (CERT, etc.) les
associations des liber tés numér iques
sont restées globalement silencieuses.
Russie: une loi souveraine contre l’expatriation des données personnelles Le Parlement russe a voté une loi st ipulant que les
données personnelles de chaque citoyen devait être
hébergée sur son sol.
Une loi d’abord polit ique, puisque l’on sait que, depuis
l’aveu de Microsoft, les entrepr ises amér icaines sont
obligées de transmettre les données hors sol aux
autor ités amér icaines si celles-ci les réclament.
Bull veut revenir sur le devant de la scène Bull se rêve en champion
international du Big Data et des
objets connectés. Avant de
rentrer dans le giron d’Atos fin
juillet , l’ancien "fleuron de
l’informatique française" a signé
plusieurs par tenar iats.
Un avec CustomerMatrix, une
société de traitement intelligent
de la data, visant à intégrer une
applicat ion cognit ive au sein de
son offre Big Data. L’autre avec
Axiros dans le domaine des objets
connectés.
Cyberculture
Les cyberattaques sous formes de data vizualisation: l’initiative de Norse est à la fois esthétique mais nous rappelle également
que les salves de malwares ne connaissent pas de répit. Accessoirement, cela rappelle furieusement le film culte W ar Game
sur les thématiques de la guerre et du cyberespace!
Minilock, le chiffrement à la portée de tous? Un nouveau service du nom de M ini Lock
est en train de voir le jour . Le postulat est
alléchant: l’application web permettrait de
chiffrer toutes ces données très
facilement.
Sur le papier , cela peut sembler
intéressant: dans la pratique, on est en
droit de se poser quelques questions
notamment quand on sait que plus une
solution est populaire, plus les effor ts
déployés pour la craquer le sont.
L’intérêt vér itable de MiniLock (dont une
par tie du code traîne sur GitHub) est
ailleurs. En facilitant l’accès au
chiffrement – souvent complexe pour les
non init iés, on peut s’attendre à une
meilleure sensibilisation de la société civile
à ces questions.
On peut également s’attendre à un
nivellement par le haut de la sécur ité des
données.
Microsoft rejoint l’alliance Allseen Microsoft a rejoint l’Allseen Alliance, un consor tium
formé par l’entrepr ise Qualcomm visant à établir des
normes pour les objets connectés dans la maison. Ce
consor tium, pr incipalement composé d’entrepr ises
amér icaines, serait aussi soutenu par des géants
asiat iques (LG, Panasonic). Il se murmure pour tant
qu’un projet r ival serait en train de voir le jour .
La quest ion des normes dans les objets connectés est
une future bataille jur idique qui décidera cer tainement
de la réussite ou de l’échec de cer taines entrepr ises.
NICOLAS CAPRONI "ON NE PARLE PAS D’UNE MÊME FAÇON À UNE PME OU À
UN OIV"
War Ram - Eté 2014
1) Le rapport Marc Robert est à peine
sorti qu'il ne fait déjà pas l'unanimité.
Quel est le regard que tu portes sur
cette publication?
Premièrement, enfin il est sor t i ! On
commençait à se demander s’il n’allait
pas finir dans un t iroir à prendre la
poussière. Puis une semaine
auparavant, il fuitait dans la presse.
Mais sans faire trop de buzz.
Effect ivement maintenant qu’il est publié
officiellement, des cr it iques se font
entendre par les défenseurs de la vie
pr ivée. Mais ce n’est pas étonnant… Je
ne suis pas jur iste donc je ne me suis
pas trop penché sur la 3ème par t ie du
rappor t qui por tent sur les réponses
répressives et qui font souvent débat.
Mais plus globalement c’est un rappor t
qui va dans le bon sens car il montre
qu’au delà de la cyberdéfense le
gouvernement se penche maintenant
sur la lutte contre la cybercriminalité.
On avait tendance ces dernières années
à ne se focaliser (à juste t it re) sur les
OIV et la cyberdéfense, tout en laissant
côté la cybercr iminalité à qui les
moyens alloués sont trop insuffisants.
Ce rappor t est une première étape vers
une meilleure pr ise en compte de ce
phénomène, loin d’être nouveau. La
cybercr iminalité est une plaie pour les
citoyens et les PME en par t iculier . Et
ces deux populat ions semblent laissées
de côté. Je regrette toujours le manque
de chiffres « object ifs » non issus
d’études amér icaines ou d’éditeurs de
sécur ité qui font plus du marketing
qu’autre chose…
LES EXPERTS
Nicolas Caproni est un exper t reconnu en
cybersécur ité et membre de la Réserve
Citoyenne Cyber.
Pour nous, il revient sur le rappor t Marc
Rober t contre la cybercr iminalité et ses
55 proposit ions. Tour d’hor izon en cinq
questions.
Personnellement j’ai apprécié la deuxième par t ie du rappor t qui milite pour une stratégie globale contre la cybercriminalité et qui met en évidence la prévention, la formation, les par tenar iats public-pr ivé. Et pour y ar r iver , elle préconise une réorganisation au niveau état ique avec notamment la créat ions d’une délégation interministér ielle et une plus grande implicat ion de la just ice mais aussi une augmentation des moyens alloués qui vont de paire.
Après beaucoup de monde va cr it iquer ce rappor t car cer taines recommandations ne leur plaisent pas. D’autres vont cr it iquer l’auteur qui n’est pas un spécialiste du sujet. D’autres vont encore cr it iquer le choix d’une cer taine sémantique ou vilipender le rappor t complet pour une ou deux er reurs factuelles. Moi je préfère retenir le posit if de la démarche et cer taines proposit ions qui j’espère seront suivies d’effet à cour t terme.
Malheureusement je ne peux déplorer le manque de médiat isat ion autour de ce rappor t. Finalement il y a eu quelques cr it iques mais mêmes elles sont restées confident ielles… Peu de personnes, blogueurs, "exper ts" ou journalistes ont analysé ce rappor t…
2) En tout, le rapport Robert comporte 55 propositions. Si tu ne devais en retenir qu'une, quelle serait-elle? Pourquoi?
Sans hésitation, ça serait la proposition N°6 qui recommande la
création d’un nouveau CERT qui répondrait aux besoins des populat ions non couver ts par les CERTs existants. Je pense notamment aux PME et aux par t iculiers.
J’en ai discuté sur Twit ter et si cer tains pensent que l’ANSSI devrait assurer ce rôle, d’autres pensent qu’une nouvelle structure plus adaptée est indispensable pour toucher ces populat ions par t iculières. Je suis plutôt d’accord. Mais peut être que le terme de « CERT » n’est pas le plus adapté et on devrait plutôt par ler de « Centre » nat ional qui aurait comme missions de sensibiliser et informer les PME, collect ivités locales et les par t iculiers sur les menaces « actuelles » et sur tout leur donner les out ils pour se protéger .
Car il ne faut pas se leur rer . Les PME, les collectivités et les particuliers représentent 90% des personnes et entités à sensibiliser, former et protéger. Et personne ne s’en occupe. Enfin oui, il existe des clubs, des associations mais aussi la gendarmer ie nat ionale ou la Réserve Citoyenne Cyberdéfense qui agissent mais chacun de leur côté. Il faut coordonner les init iat ives. La Réserve Citoyenne Cyberdéfense réfléchit actuellement à cette quest ion. Elle dispose d’un réseau national et régional de réservistes et de représentants état iques qui peuvent aider .
War Ram - Eté 2014
3) Pour poursuivre sur la voie des CERTs, pourquoi ce rôle n’est pas tenu par l’ANSSI? Au début, je pensais également que c’était le rôle de l’ANSSI de traiter de ces quest ions. Mais l’ANSSI a grandi très vite car les cyber menaces se sont développées très rapidement et que la France avait du retard à rattraper . L’ANSSI a deux gros chantiers : sécur iser les administrat ions et les OIV. Tout en répondant aux attaques informatiques qui touchent les grandes entrepr ises et l’Etat. Et si on en croit l’ANSSI, la réponse aux incidents les occupe beaucoup et prend le pas sur leur mission de prévention. Alors il semble difficile de leur demander , en plus, de veiller sur les PME et les par t iculiers. On ne peut pas parler de la même façon à une PME qu’à un OIV… Créer une structure à côté a des avantages mais aussi des inconvénients. Evidemment ça nécessite des moyens, ça prendra du temps, il faudra aussi trouver du personnel compétent. Mais c’est indispensable sinon ça signifie t irer un trait sur 90% du t issu économique français… 4) Le rapport milite également pour l'instauration de différentes structures étatiques de pilotage dédiées à la cybercriminalité. Est-ce un signe bienvenu de réveil politique, ou risque-t-on d'aller vers une usine à gaz ? Je pense que c’est posit if. C’est un réveil tardif vis à vis de la problématique de la cybercr iminalité. La cyberdéfense a bénéficié depuis plusieurs années de moyens énormes. L’ANSSI a grandi très vite et c’était nécessaire. Mais l’ANSSI ne s’occupe pas de cybercr iminalité. La cyberdéfense est bien coordonnée. L’ANSSI a un rôle majeur interministér iel. Avec la DGA, l’EMA et les Services spécialisés, notre disposit if de cyberdéfense est bien organisé et complémentaire. Les forces de police et de gendarmer ie et la just ice disposent de trop peu de moyens. Mais on constate que tout ça commence à se réorganiser : créat ion d’une sous-direct ion dédiée à la cybercr iminalité au sein de la Police Judiciaire, prochaine nominat ion d’un préfet « cyber ».
SUITE ARTICLE P.5
Les choses avancent. Et la proposit ion
de créer une délégation
interministér ielle va dans le bon sens.
N’oublions pas que le cyber est un
sujet transverse.
Après usine à gaz, je ne pense pas. On
par t de pas grand chose et il faut
consolider les pet ites ent ités qui
existent et les coordonner .
5) Enfin, une autre proposition a attiré
notre attention. Marc Robert demande
la création d'outils statistiques
indépendants pour mesurer les
cyberattaques: est-ce qu'on doit y voir
une certaine forme de dénonciation
d'un complexe militaro-industriel?
Oui cette proposit ion est également
une proposit ion très intéressante. La
lutte contre la cybercr iminalité manque
cruellement de chiffres, de vrais
chiffres. On ne peut plus se baser sur
les chiffres fantaisistes sor t is par les
entrepr ises de sécur ité informatique
qui les ut ilisent pour faire peur et
just ifier leur marketing qui ne fait pas
avancer la lutte contre les cyber
attaques.
On ne se protège pas de la
cybercr iminalité avec un out il miracle.
Mais attention à ne pas tomber dans
la culture du « chiffre ».
Malheureusement nous savons tous la
difficulté de résoudre des enquêtes
d’affaires cybercr iminelles qui
impliquent presque toujours un besoin
de coopération internationale. Les
chiffres ne seront donc pas bons…
Mais ils pourront servir à ident ifier les
tendances majeures en termes de
cybercr iminalité (types d’infract ions,
pays impliqués…) et mettre les
moyens là où il faut. Et puis ça montre
aux « vict imes » qu’on s’occupe de
leurs problèmes. Il faut donc
encourager aussi les entrepr ises et
par t iculiers à por ter plainte. Il faut
faciliter ce dépôt de plainte et tenir au
courant les vict imes de l’avancement
ou non de l’enquête.
Par Nicolas Caproni
Consultant en sécur ité des systèmes
d’information chez BSSI
@ncaproni
http:/ / www.cyber-securite.fr/
Nicolas Caproni est
consultant auprès de
BSSI, un cabinet de
conseil et d’audit en
sécur ité des systèmes
d’information.
Il dir ige le blog Cyber-
sécurité.fr
(http:/ / www.cyber-
secur ite.fr / ) et fait
également par t ie de la
Réserve Citoyenne Cyber.
Cette init iat ive associe des bénévoles civiles
experts en SSI à des réservistes militaires et des
organismes d’Etat afin de « sensibiliser, éduquer,
débattre, proposer, organiser et susciter des
évènements contribuant à faire de la
cyberdéfense une priorité nationale ».
Plus largement, la RCC englobe des pans plus
larges de la société civile (Elus, journalistes,
jeunes, formation, think-tanks, entrepr ises…)
dans le but de développer le réseau et de
sensibiliser .
Réserve Citoyenne Cyber (RCC)
War Ram - Eté 2014
Le Patr iot Act permet aux agences de sécur ité amér icaines(FBI, NSA,...) d'accéder aux données stockées dans les Datacenter sans contrôle préalable d'un juge. La confident ialité des données relève alors de l'utopie...Les entrepr ises françaises l'ont bien compr is et se montrent assez rét icentes à confier leurs données dans de telles condit ions. Le cloud souverain offre une solut ion « made in France » qui s’affranchit de la tutelle amér icaine. L'affaire PRISM -Snowden-NSA const itue alors l'un des meilleurs arguments commerciaux de la société Cloudwatt auprès de ses clients. Elle just ifie à elle seule la création de Cloudwatt... Un nouveau Directeur conscient de l'accélération technologique mondiale En charge de la phase init iale et du lancement du projet de cloud souverain, le premier Président de Cloudwatt, Patr ick Stark, a cédé sa place en avr il 2014 à Didier Renard, jusque-là Président de la société Tasker spécialisée dans le développement d'out ils de gest ion des plate-formes cloud. Notons que Didier Renard est le premier Français diplômé de l'Université de la Singular ité. Loin d’être anecdotique, cette sensibilité singular iste s'inscr it par faitement dans le profil at tendu d'un dir igeant de société de Cloud souverain. C'est cer tainement la plus adaptée aux changements exponentiels et la plus per t inente aujourd'hui ! Selon lui, « Pour appréhender le futur , il ne suffit pas de calquer le modèle du passé ». Didier Renard s'inquiète souvent du manque d'ambit ions de la France et de l'incapacité de nos élites à intégrer l'accélération technologique...
OUT-OF-THE-BOX
1 – Cloud souverain français : L'exemple de Cloudwatt La naissance de Cloudwatt On trouve, à l'or igine de la création de Cloudwatt, une pr ise de conscience et une volonté stratégique de posit ionner la France sur le marché mondial du cloudcomputing. Fondée en septembre 2012 , Cloudwatt est une société française spécialisée dans les solut ions de stockage en ligne et les solut ions de calcul par machines vir tuelles. La naissance de Cloudwatt s'inscr it alors pleinement dans le projet Andromède lancé en 2009 dest iné à soutenir le développement d'un cloudcomputing « made in France ». Le Grand Emprunt qui a fait émerger le concept de cloud souverain a facilité le démarrage de la société Cloudwatt. L'idée pr incipale consistait à proposer aux professionnels et aux par t iculiers des infrastructures sécur isées de stockage en ligne et de machines vir tuelles (VM) localisées sur le ter r itoire nat ional puis par la suite en Europe. Le gouvernement mobilise le Fond d'Init iat ive Stratégique (FIS) et décide de soutenir deux projets ambit ieux dotés chacun de 225 millions d'euros : la société Cloudwatt dont Orange (44 ,4 %), la Caisse des Dépôts et Consignations (33 ,3 %) et Thales (22 ,2 %) sont les act ionnaires pr incipaux et la société Numergy soutenue par SFR, CDC et Bull. Cloudwatt choisit alors de construire sa propre plateforme de cloud opensource basé sur l'environnement OpenStack. Il s'agit d'un premier choix de nature stratégique qui permet à Cloudwatt de maîtr iser totalement son infrastructure, d'évoluer en autonomie et de s’affranchir de technologies propr iétaires contraignantes et « liantes ». En 2012 , Cloudwatt intègre la fondation OpenStack et contr ibue en développant de nouvelles ressources comme le framework Hadoop présenté en 2013 lors du forum OpenStack summit Hong Kong.
On ne présente plus Thierry Berthier,
contr ibuteur régulier de la W ar Ram et
professeur d’université en mathématiques.
Ce spécialiste du cyberespace se pencher pour
cette édition d’août sur les notions de cloud
souverain et de cybernationalisme qui, à l’ère
Snowden, sont sur toutes les lèvres…
Le premier Datacenter de Cloudwatt
Situé en Normandie à Val-de-Reuil, le
premier Datacenter (opéré par
Orange) de la société Cloudwatt
propose un taux de disponibilité de
99 ,995 % de niveau Tier 4 ,
hautement sécur isé incluant un
contrôle biométr ique pour l'accès aux
équipements hébergés et des chaînes
d'alimentat ion redondantes.
Cloudwatt propose une large gamme
de stockage en ligne modulable
par tant d'une offre de base gratuite
d'un espace de 50 Go, puis des
solut ions payantes à par t ir de 100 Go
pouvant évoluer jusqu'à plusieurs
teraoctets. L'ut ilisateur peut gérer
son stockage de façon élémentaire à
par t ir de l'inter face du site accessible
depuis tout navigateur ou ut iliser une
applicat ion de transfert de fichiers
comme Clouberry ou Cyberduck.
Les données chargées sur les
infrastructures de Cloudwatt sont
localisées en France et opérées par
des acteurs sans lien avec des
sociétés amér icaines. Ces données
ne sont donc pas soumises à
l'applicat ion du Patr iot Act. L'offre
Cloudwatt en machines vir tuelles
débute en 2014 (version Beta). Il
s'agit ici d'une valeur ajoutée
impor tante par rappor t aux offres
équivalentes d'Amazone ou de
M icrosoft qui sont soumises au
Patr iot Act.
CLOUD SOUVERAIN ET CYBERNATIONALISME
War Ram - Eté 2014
SUITE ARTICLE P.7
2 – Les replis « cybernationalistes »
et la souveraineté numérique
Le concept de « Cloud souverain »
émerge d'un écosystème numér ique
mondial fragilisé par des turbulences
d'hégémonies et des luttes
d'influence. Les révélat ions Snowden-
Pr ism-NSA ont créé un tel
t raumatisme qu'elles doivent
aujourd'hui quest ionner l'ensemble
des acteurs du numér ique sur le
sens réel de la
confident ialité/ sécur ité/ intégr ité des
données. Si les grandes nat ions
technologiques n'ont pas attendu
l'affaire Snowden pour construire et
promouvoir des solut ions numér iques
locales sur lesquelles elles
conservent un contrôle stratégique,
elles ont tout de même saisi
l'occasion offer te par l'affaire
Snowden pour accélérer leur
réor ientation vers des infrastructures
nat ionales.
Ainsi, la Russie, par la voie de son
Président Vladimir Poutine, a fait le
choix du développement de solut ions
de stockage de données implantées
sur le ter r itoire. Le repli cyber
nat ional russe ne se limite d'ailleurs
pas aux seuls Datacenter mais
impacte également les moteurs de
recherche. Vladimir Poutine a lancé
plusieurs projets dont celui du
développement d'un moteur de
recherche nat ional, indépendant des
moteurs amér icains, « adapté au
peuple russe » et supervisé par des
sociétés russes.
Le moteur russe Yandex, quant à lui,
a été sommé de réduire ses liens de
dépendance financière avec des
sociétés occidentales. La Chine n'est
pas en reste et mult iplie les
constructions de Datacenters de très
grandes capacités. Elle développe
également ses propres moteurs de
recherche.
[1 ] Le site de la société Cloudwatt :
https:/ / www.Cloudwatt.com/ fr /
[2 ] La page wikipédia de Cloudwatt :
http:/ / fr .wikipedia.org/ wiki/ Cloudwatt
[3 ] Interviews du CEO de Cloudwatt, Didier
Renard:
http:/ / www.silicon.fr / didier -renard-Cloudwatt-
livrer -10 -000-vm-notre-offre-cloud-fin-2014-
95374 .html
http:/ / www.lemondeinformatique.fr / actualites/ li
re-didier -renard-remplace-patr ick-stark-chez-
Cloudwatt-57228 .html
[4 ] Didier Renard, premier Français diplômé de la
SU :
http:/ / www.lepoint.fr / technologie/ singular ity-
university-escale-dans-le-futur-29 -03 -2014-
1806987_58 .php
La souveraineté numér ique, si elle
recherche une cohérence globale, doit
s'appliquer aux infrastructures de
stockages de données (Datacenters) mais
également aux moteurs de recherche. Les
uns ne peuvent être dissociés des autres.
La per te de souveraineté sur l'une des
deux fonct ions fragilise l'autre. Le
développement d'un moteur de recherche
européen devrait figurer à l'ordre de jour
des grands projets de l'UE car la
recherche, le classement et la
hiérarchisation des données
par t icipent directement à la valor isat ion de
l'information. Le moteur est une
composante de la chaîne informationnelle
qui fonde et condit ionne la souveraineté
numér ique d'une nat ion.
Enfin, cette souveraineté numér ique passe
également par le développement de
solut ions de cybersécur ité nat ionales
(ant ivirus nat ionaux, firewall dynamiques,
systèmes de prévisions des
cyberattaques).
C'est bien sur le triplet « Datacenter,
moteur de recherche, antivirus » qu'il faut
agir si l'on souhaite doter la nation d'une
souveraineté numérique...
Par Thierry Berthier
Professeur d’université en mathématiques
http:/ / cyber land.centerblog.net /
Infrastructures de stockage Cloudwatt
Cyberland est le blog de
cybersécur ité/ cyberdéfense du Professeur
Thierry Berthier. Régulièrement mis à jour et se
penchant sur des cas concrets et récents, c’est
un incontournable du secteur.
Il fera par t ie de l’init iat ive Echo Radar ,
successeure de l’AGS, qui sera lancée en mi-
août.
Plus de détails ici:
http:/ / www.cyber land.centerblog.net/
CYBERLAND
War Ram - Eté 2014
Les mult iples affaires Snowden ont étonné. Pour tant le cas français est à la limite du racolage passif. Ambassade espionnée à W ashington? Mais, votre serviteur connaissant bien les environs, est -il raisonnable de par ler d’espionnage quand tout est librement accessible et que personne n’est sensibilisé à la SSI? Que fait -donc un lion quand il voit un pauvre pet it hamster dégueulasse, agonisant à ses pieds? Il lui file un pet it coup de patte, sans trop y penser , abrégeant ses souffrances presque par pit ié. Si seulement, en face du mastodonte état ique gangréné, se trouvait une masse de citoyens éduqués et engagés… Toi, le connard qui ne me lira pas : pourquoi gueuler contre la NSA quand ton pays fait de même? Comment prendre au sér ieux tes opinions de pilier de comptoir quand tu ne fais aucun effor t pour te mobiliser quand l’enjeu en vaut vraiment la peine? Swartz peut bien se suicider , Lavabit fermer et l’équipe de Truecrypt abandonner : ça t ’en touche une sans faire bouger l’autre. Reste Assange à foutre en taule, et les moutons seront bien gardés. Le paquebot France a viré de bord. For t bien. Mais il tourne trop lentement. A temps/ tant de cr ises, remèdes de cheval. Lancer un audit de product ivité sur les agents de cer tains ministères serait un premier pas dans le bon sens. Dégager les nuls et les lèches-culs, un second. Embaucher/ former/ sensibiliser les autres, un troisième. Mais si l’on souhaite que le cyber demeure un espace de liber té potent ielle, de la même façon qu’il ne fallait pas le laisser aux crypto-complotistes et cyberpunks de romans, il est nécessaire que les citoyens prennent conscience de l’impor tance d’être un contre-pouvoir . Dans le cas contraire, les Etats n’auront aucune raison de moraliser les act ions qu’ils y accomplissent, et ce sera Monsieur -Tout-le-Monde qui paiera les pots cassés. Alors profitons du formidable t issu d’imper t inence qu’est la France pour encourager les init iat ives locales : les ateliers, les espaces, les conférences, les discussions, les formations informelles. Ne laissons pas les SI rejoindre le monde des myst iques mépr isées et magiquement craintes par le peuple… et des monstres surgir .
OUT-OF-THE-BOX
Bordel, mais qu’est -ce que c’est que ces
branleurs?
Incultes, prétent ieux, jaloux, puér ils.
Imaginez l’idéal-type de la faille humaine,
avec ce que cela suppose de naïveté, de
mauvaise foi et d’inconscience, mult iplié
par autant de postes à responsabilité.
Ils sont dangereux. Pour tant, ils
représentent la France à l’étranger .
La dernière fois, ils ont souhaité installer
un système de surveillance au sein des
bât iments. Ils ont fait appel à une
société locale, qui, évidemment, leur a
fait une r istourne, toute heureuse de
pouvoir planquer des mouchards avec la
bénédict ion du taré en chef.
Heureusement, les pompiers sont
intervenus.
Ailleurs, ils ont installé un lecteur
d’empreintes digitales à l’entrée… non-
sécur isé, avec une jolie pr ise Ethernet
permettant de se connecter au système.
Tranquille.
Par tout, le sens du terme confident iel se
perd, et l’on organise des séances
“photocopies gratos” avec des
télégrammes diplomatiques à diffusion
limitée. Tout le monde ut ilise les login
des vioques, l’admin balance ses codes
d’accès par téléphone (wtf?!) et chacun
connecte ce qu’il veut au réseau
sécur isé du ministère.
Et on dit que la France a “enfin pr is le
tournant du cyber”!
Bon, il semble que cer tains corps de
l’Etat sont devenus de bonnes grosses
brutasses en la matière. Pour qui
s’impatientait de voir la France enfin
tenir son rang, c’est une bonne nouvelle.
Il s’agit d’un exercice que nous aimer ions voir
plus fréquemment dans la RAM .
Un contr ibuteur anonyme, dont on taira le nom
et le sexe, ayant occupé des fonctions en
ambassade, livre une analyse crue et sans
concessions du tournant cyber de la France.
Attention, cela pourra en choquer plus d’un.
[Pet ite parenthèse : si les Etats frustrés cessaient de se préoccuper de je-ne-sais quelle place dans le concer t des connards internationaux pour s’intéresser aux citoyens qu’ils sont censés représenter/ protéger, peut-être se serait -on rendu compte que le problème fondamental du monde du renseignement actuel réside dans l’opposit ion interne Etat -citoyens plutôt que dans l’ar t ificielle Etat-Etats. Passons.] Cer tes, on progresse. Mais, la représentation extér ieure est un paquebot bondé de vieux que l’on croit t rop influents pour être virés à coup de pompes dans le cul, et qui représentent une myr iade de failles humaines potent ielles. La RAM de ce mois-ci met à l’honneur Gramsci : “Le vieux monde se meurt, le nouveau est lent à apparaître, et c’est dans ce clair obscur que surgissent les monstres.” [On passera outre la tendance qu’ont les “penseurs communistes” (LOL) à ne cerner avec finesse que les problèmes des autres systèmes.] Le Nouveau Monde tarde donc à naître. Si l’accouchement est si difficile, la raison est à chercher du côté des r igidités inst itut ionnelles et de la passivité citoyenne. L’Etat, loin de prendre exemple sur cer taines entrepr ises pr ivées, préfère grossir , grossir , grossir , et gaver d’indemnités de vieux diplomates boursouflés de leur pseudo-impor tance, plutôt que prendre les mesures qui s’imposent afin de limiter les r isques inhérents à leur manque total de maîtr ise des mécaniques informationnelles. En ces temps d’austér ité aussi drast ique qu’injuste envers les citoyens, d’aucuns pourraient croire qu’on chercherait à diminuer le poste Salaires relat if à des employés improduct ifs/ contre-product ifs. Pensez-vous! L’on préfère couper dans les fonds alloués aux missions, plutôt que proposer de baisser la rémunération des Conseillers de 12 000 à 4 000 EUR. Idem, pourquoi embaucher de la chair fraiche quand il est possible de prolonger les gérontes?
TRIBUNE LIBRE
LA LONGUE DESCENTE AUX ENFERS DE TOR
War Ram - Eté 2014
PIMP MY OPSEC
Par exemple, on a beaucoup fait état
du programme XKeyScore de la NSA,
dont le code-source (voir ci-contre) a
été diffusé en clair sur de nombreuses
plateformes et tourne encore dans
son intégralité sur Gitthub et d’autres
plateformes liées à la cybercr iminalité.
Lors d’un repor tage, la chaîne
allemande ARD a démontré que
XKeyScore pouvait ident ifier et
atteindre des cibles ut ilisant TOR,
démontrant de fait que l’anonymat du
logiciel a été br isé.
Par le passé, le FBI aussi était
parvenu à casser la "for teresse" TOR
grâce à l’ut ilisat ion d’une faille 0 -day
du navigateur Firefox, illustrant sa
capacité à atteindre des réseaux
pédophiles qui se réfugiaient der r ière
le réseau en oignon.
Mais les États d’Unis ne sont pas les
seuls à avoir TOR en ligne de mire. La
Russie, ironiquement pays d’accueil
d’Edward Snowden, a récemment
proposé une pr ime de 80 ,000 euros
à qui réussirait à casser le réseau.
Le Kremlin a formellement déconseillé
l’ut ilisat ion de TOR, et on est ime qu’il
ne s’agit pas de la première tentative
russe pour casser le réseau. Des
chercheurs (Lindskog, W inter ) de
l’université de Kar lstad, en Suède, ont
ainsi constaté qu’une ent ité russe non
ident ifiée surveillait les exit nodes du
réseau (cf schéma ci-dessus), se
concentrant par t iculièrement sur le
t rafic Facebook grâce à l’ut ilisat ion
d’attaque de type homme du milieu.
Un modèle de plus en plus vulnérable?
Mais la NSA n’est pas le seul danger
qui pèse sur TOR. Des failles majeures
comme HeartBleed ont en effet déjà
mis à mal le réseau en oignon,
puisqu’elle dépendait du protocole
chiffré OpenSSL.
Roger Dingledine, le leader du projet
TOR, a admis à la suite de HeartBleed
que 12% des relais du réseau (380 )
avaient ainsi été compromis.
D’autres chercheurs parmi lesquels le
white hat Pierluigi Pagnini, membre de
l’ENISA et figure célèbre de la
cybersécur ité, ont également évoqué
la possibilité d’une attaque par
cor rélation du trafic de TOR (l’at taque
par cor rélation est un procédé en
cryptographie reposant sur le contrôle
des points d’entrée et de sor t ie).
(Suite p. 10 )
TOR est-elle toujours cet out il magique, qui
permet à tout un chacun de naviguer
tranquillement en anonyme sur le W eb ?
Hélas, plus vraiment.
De sa créat ion à sa démocratisation, TOR a
connu une pér iode d’or durant laquelle
internautes, hackt ivistes, mais aussi
cybercr iminels ou trafiquants ont pu exploiter
les joies de l’anonymat sur le W eb. Mais la
solidité du logiciel a été éprouvée pet it à pet it ,
de sor te que désormais, s’il demeure un
excellent out il pour contourner la censure, sa
capacité à rendre anonyme est largement
écornée.
Qui veut la peau de TOR ?
De façon générale, il y a une volonté de
surveiller les données des ut ilisateurs du Deep
W eb. Cer tains y voient le spectre de la
société panoptique, d’autres pointent
simplement du doigt les failles sécur itaires
qu’implique la possibilité de canaux
d’informations sécur isés pour des groupes
malveillants (ter ror iste, cybercr iminels,
trafiquants).
Les agences de renseignement ou les forces
de l’ordre sont en première ligne de la
bataille.
Stéphane Leroy se spécialise dans le cyberespace depuis
près d’un an. Il est contr ibuteur régulier et l’un des
fondateurs de la W ar Ram.
/ * *
* Placeholder fingerprint for Tor hidden service addresses.
Real fingerpritns will be fired by the plugins
* 'anonymizer/ tor/ plugin/ onion/ * '
* /
fingerprint('anonymizer/ tor/ hiddenservice/ address') = nil;
/ / END_DEFINITION
/ / START_DEFINITION
appid('anonymizer/ mailer/ mixminion', 3 .0 ,
viewer=$ ascii_viewer) =
http_host('mixminion') or
ip('1 2 8 .3 1 .0 .3 4 ');
/ / END_DEFINITION
Cet extrait du code d’XKeyScore démontre également qu’en plus de TOR, la NSA s’intéresse à d’autres services d’anonymisat ion comme MixM inion (voir ci-dessous)
Le réseau TOR est appelé réseau en oignon car une fois connecté, le trafic est chiffré et répar ti aléatoirement sur plusieurs relais. Les exit nodes sont les seuls à ne pas être chiffrés
Appel à contributeurs Cette newsletter mensuelle s’adresse à une
communauté ciblée et se construit sur un
modèle collaboratif, s’inspirant d’une démarche
open source dans le souci d’un par tage de
connaissances.
De fait , elle vit et s’enr ichit de ses
contr ibuteurs, pour la plupar t des exper ts dans
leurs domaines respect ifs, et de fait nous
sommes toujours à la recherche de
contr ibutions diverses.
Si publier par notre biais vous intéresse,
n’hésitez pas à nous à contacter pour en
discuter plus en détails.
Cordialement,
La Rédact ion
War Ram vous est proposée chaque mois et est disponible en ligne. C’est une publicat ion libre, vous pouvez donc la par tager sans réserves, à condit ion de respecter la propr iété intellectuelle des personnes qui y publient .
Vous pouvez aussi suivre notre actualité et bénéficier de nos ressources en ligne par le biais de notre compte Slide Share : http://fr.slideshare.net/WarRam blowarram.tumblr.com
War Ram - Eté 2014
SUITE ARTICLE P.9
Parallèlement, une déclarat ion de
deux chercheurs du CERT de
l’université Carnegie Mellon a
également montré que le système
n’était pas dénué de failles. Alexander
Volynkin et Michael McCord ont ainsi
affirmé qu’ils étaient capables de
br iser l’anonymat de TOR très
facilement. Conscient qu’une faille
existe bel et bien, TOR a lancé ces
derniers dans une quête folle pour
retrouver le bug et le cor r iger .
Volynkin était supposé intervenir lors
du BlackHat de cette année mais
au dernier moment, il s’est rétracté.
Les hypothèses fourmillent autour
des raisons qui l’auraient poussé à
annuler sa présentation, d’autant que
les chercheurs ont avancé de
simples lenteurs administrat ives pour
just ifier cette déprogrammation.
Toujours est -il que la réputation de
TOR était déjà bien fragilisée jusqu’à
ce que le coup de semonce final soit
por té, par la TOR Team elle-même.
Le logiciel aurait été piraté pendant
au moins 5 mois.
Une attaque vieille de cinq mois
Les chercheurs du Projet TOR ont
avoué, dans un billet daté du 30
juillet 2014 , avoir été vict ime d’un
piratage visant à surveiller le
compor tement de ses ut ilisateurs. La
faille a été comblée le 4 juillet , après
que l’équipe a trouvé un groupe de
relais dont le but était de contourner
l’anonymat des ut ilisateurs.
Cette annonce intervient donc au pire
des moments pour le logiciel qui a dû
encaisser ces derniers mois coup de
boutoir sur coup de boutoir . Il n’est
pas dit que TOR puisse se relever de
la cr ise dans laquelle il s’est plongé.
La piste poursuivie est celle d’une
attaque par cor rélation du trafic,
comme l’avait déjà évoqué M .
Paganini.
Mais au-delà du réseau en lui-même,
la quest ion de l’anonymat sur le W eb
est là encore mise à rude épreuve.
Bien que l’anonymat soit avant tout
une quest ion de compor tement et
moins de logiciel, on constate de plus
en plus un décalage impor tant entre
société civile, voire entrepr ise, et
Etat/ hackers d’élite.
Plus largement, cela illustre la
difficulté d’une solut ion de sécur ité
pérenne et démocratique.
A l’avenir , TOR va donc être amené à
perdurer , bien que sa capacité à
permettre un anonymat total et
complet est cer tainement révolue.
Par Stéphane Leroy
1 3 sept. 1 3 : FBI cible TOR avec des malwares
2 5 juil. 1 4 La Russie publie un appel d’offres pour casser TOR.
6 juil. 1 4 Volynkin annonce qu’il a trouvé le moyen de br iser TOR.
3 juil. 1 4 ARD dévoile que XKeyScore cible TOR
1 7 avr. 1 4 1 2% des serveurs TOR touchés par le bug HeartBleed
3 0 juil. 1 4 TOR admet avoir été piraté pendant 5 mois.
Vers une remise en cause du
réseau?