Do you want to play a game?

Film culte, W ar Games met en scène un jeune

hacker qui sans le vouloir se met à "jouer" avec un

ordinateur surpuissant contrôlant les missiles

nucléaires.

La scène finale montre comment l’ordinateur ,

JOSHUA, est en passe de lancer une attaque

nucléaire… et comment les personnages

réussissent à l’en empêcher!

La vidéo du mois

“Le vieux monde se meurt, le nouveau est lent à apparaître, et

c’est dans ce clair obscur que surgissent les monstres.” Gramsci.

C’est l’été, et avec celui-ci vient la fin d’une saison.

Pour l’occasion, la W ar Ram vous propose une double édition

spéciale "été" qui fusionne le mois de juillet et d’août. L’occasion de

revenir sur une aventure qui a regroupé plusieurs collaborateurs

d’hor izons divers.

Bien que nous déplorons encore le faible nombre de "hackers" au

sein du groupe, la "Ram" a quand même réussi à rassembler un

nombre important de profils divers: industr iels, journalistes,

chercheurs en cybersécur ité, en mathématiques, militaires...

L’objectif reste le même: fédérer au sein d’une même lettre

d’information "grand public" une communauté de professionnels

français du cyberespace. La chose est plus facile à dire qu’à faire,

tant les obstacles sont grands et les volontés fébr iles. Mais il faut

persister , persévérer , car unir les forces vives françaises reste

une nécessité à l’heure où les pensées stratégique et tactique se

doivent d’être renforcées.

Au sommaire:

- Une interview éclairante de Nicolas Caproni sur le rapport Marc

Robert

- Un ar ticle de Thierry Berthier sur CloudW att et le Cloud

souverain

- Une tribune libre d’un contr ibuteur anonyme qui dénonce sans

concessions les pratiques de certains ministères en matière de

cybersécurité

- Un ar ticle de Stéphane Leroy sur TOR et l’anonymat

Et bien sûr , l’habituel veille sur la cyberdéfense, la cybersécur ité et

les questions afférentes.

Puissiez-vous profiter sans soucis de cette pér iode estivale, et que

cette RAM vous donne la possibilité de garder un œil sur le cyber

du bout de votre terrasse!

L’E-DITO

Sommaire

Les gros titres

THE WAR R@M

L’Edito 360° Les Experts Out-of-the-Box Pimp my Opsec

#Marc Robert #CloudWatt #TOR

#Ambassade #CrouchingYeti #DragonFly

• Retrouvez aussi nos publications sur nos plateformes: blogwarram.tumblr.com et Slideshare.net/ W arRam

• Envie d’en savoir plus? Contactez-nous: redaction.warram@aol.com

• Les contr ibuteurs associés à ce numéro, pour leur contr ibut ion et leur sout ien, visible ou invisible: @ncaproni, Thierry Berthier,

@0X0ff.info, @lrcyber, @Mduqn

UN AUTRE MONDE

FOLLOW THE W HITE RABBIT

War Ram – Eté 2014

360°

War Ram - Eté 2014

Cybersécurité & Entreprises

Des hackers indépendants ont réussi à casser l’anonymat sur Tor TOR est-il cassé? Apparemment oui (voir p.9 ). Des

hackers indépendants prétendent avoir trouvé des

solut ions techniques pour défaire l’anonymat du

réseau.

Alexander Volynkin et Michael McCord, les deux

exper ts à l’or igine de cette trouvaille, devaient

présenter leurs méthodes lors du Black Hat 2014 , au

cours d’une conférence int itulée "Vous n’avez pas

besoin d’être la NSA pour briser TOR" (la conférence a

été finalement annulée).

Si les forces de l’ordre doivent déjà se réjouir à l’idée

d’une solut ion clef en main contre les cybercr iminels

de tout genre, les défenseurs de la vie pr ivée r isquent

de faire gr ise mine.

L’intérêt de TOR comme instrument ant i-censure reste

ent ier .

La cyberattaque sur le fond de pension n’était qu’un simple scénario Pour une fois, la réalité n’avait pas dépassé la fict ion. Un exercice de BAE Systems impliquant une cyberattaque supposée sur un fond de pension a été finalement démentie. Il ne s’agissait que d’un exercice, mené dans le cadre d’une campagne plutôt iconoclaste. L’"information" était par t ie du Rogue Code, un livre de Mark Russinovich.

Les cybercriminels, aussi puissants que els Etats? Les cybercr iminels seraient -ils devenus aussi

puissants que les Etats? C’est en tout cas ce que veut

nous faire croire McAfee dans son rappor t, citant un

responsable du renseignement européen.

L’hypothèse est par faitement plausible: le marché de

la cybercr iminalité pèse 400 milliards de dollars par

an, et la puissance de groupes cr iminels a déjà dans

le passé atteint des niveaux colossaux (on pense aux

narcotrafiquants sud-amér icains ou à la mafia

italienne, par exemple).

Mais la puissance a toujours été une not ion relat ive

(plus puissant par rappor t à un Etat? Oui mais lequel?

La France, l’Estonie, le Kenya?), et d’autre par t, il

s’agit pr incipalement de malwares visant à dérober

des r ichesses et non à perpétuer des actes de

sabotage.

Plus inquiétant donc est le phénomène de hackers

mercenaires, cer tains groupes atteignant des degrés

de sophist ication inquiétants et servant une cause

polit ique.

Cigref et Clusif veulent sensibiliser Fin juin, le Club de la sécurité de

l’information français (Clusif) publiait

un rapport t itré "Menaces

informatiques et pratiques de sécurité

en France" dans lequel il fust igeait

l’absence de chiffres concrets sur la

sécur ité, conséquence de la non-

obligat ion de déclarat ion des attaques

informatiques chez les entrepr ises et

les collect ivités. Le Clusif affirme

qu’une meilleure pr ise en compte des

données permettrait une plus grande

sensibilisat ion des acteurs.

De son côté, le CIGREF (réseau des

grandes entrepr ises) pr ivilégie une

approche plus ludique et planche

actuellement sur un serious game,

bapt isé « Keep an Eye », qui met le

joueur dans la peau d’un ange gardien

dont la mission est de protéger les

données d’un salar ié.

No-IP vs Microsoft: tout est bien qui finit bien? No-Ip s’est fait saisir 22 noms de domaines à la suite d’une demande motivée par Microsoft. Dès lors, les choses se sont envenimées. No-IP s’est déclarée outrée de cette mesure à la hussarde qui avait touché, par répercussion, des ut ilisateurs par faitement innocents. Microsoft a longtemps adopté la posture de l’autruche, en accusant No-Ip d’être à l’or igine de cette erreur technique. Cependant, devant les preuves ir réfutables avancées par No-Ip, L’entreprise de Bill Gates s’est finalement rétractée et a admis que son infrastructure n’avait pas su tenir le choc. Les deux sociétés (Microsoft et VitalW erks, l’éditr ice de No-Ip), ont fini par trouver un ter rain d’entente. Mais le fait qu’une société pr ivé puisse être capable d’en faire tomber une autre avec un minimum de procédures judiciaires a suscité l’inter rogation des professionnels.

Vulnérabilité « sérieuse » découverte chez Paypal Fin juin, une vulnérabilité très

sér ieuse a été découver te par

des chercheurs de Duo Security

et concerne l’API des applicat ions

mobiles PayPal.

Selon les exper ts, elle permet de

contourner le système de double

authentification pour le service et

le transfert d’argent d’un compte

à un autre.

Du côté de PayPal, on affirme

avoir pr is en compte la

vulnérabilité et avoir déployé une

solut ion temporaire pour limiter

les dégâts.

En revanche, on ne sait pas à

l’heure actuelle quand la faille de

sécur ité sera vér itablement

résolue.

Un piratage à 3,75 milliards au Brésil Un malware aurait , pendant

deux ans, ciblé le marché

brésilien du paiement en ligne. Il

se serait attaqué aux "boletos",

un disposit if de paiement

endémique au Brésil qui permet

aux consommateurs de payer

sans avoir besoin d’un compte

bancaire. Il fonct ionne sur le

pr incipe de factures spéciales

émises par les banques.

En ayant recours à un malware

de type Man-in-the-browser, les

cybercr iminels ont réussi à

modifier les dest inataires des

factures mais ont aussi créé de

faux boletos.

RSA Security, qui a découver t la

fraude, l’est ime à 3 ,75 milliards

de dollars. Le FEBRABAN

(association des banques

brésiliennes) est ime en revanche

le préjudice à 700 millions de

dollars.

360°

War Ram - Eté 2014

Kenya: pourquoi le pays peut être victime d’une cyberattaque Evans Kahuthu, un exper t en cybersécur ité kenyan a att iré l’at tent ion, au cours d’une interview pour All Africa, sur les dangers qui pèsent sur la sécur ité des SSI kenyans. L’exper t pointe tout par t iculièrement du doigt le r isque d’une cyberattaque d’or igine ter ror iste, sans pour autant préciser qu’elle en serait la forme (une simple attaque DDoS? De l’espionnage?). Cette annonce intervient à l’heure où Nairobi annonce un plan pour sa cybersécur ité de grande ampleur . Elle est à croiser avec la situat ion par t iculièrement tendue entre les Shebab et les autor ités.

Crouching Yeti et Energetic Bear Les exper ts de Kaspersky Labs ont publié un rappor t

sur Energetic Bear, l’un des autres noms de

DragonFly, en démontrant que cette campagne

d’espionnage industr iel dépasse finalement le simple

secteur énergét ique, mais touche également les

domaines de l’industr ie, de la pharmacie, de la

construction, de l’IT et même de l’Education! Plus

d’informations sont disponibles sur le site officiel de

Kasperky Labs.

ProtonMail: PayPal bloque le projet Proton Mail est un projet de messager ie sécur isée,

chiffrée, avec des data centers basés en Suisse, qui a

été mis en place par des chercheurs du MIT et du

CERN. L’init iat ive, qui a suscité l’intérêt d’une vaste

communauté d’internautes à la suite du scandale de la

NSA, a néanmoins connu un coup de frein brutal.

ProtonMail, qui a uniquement recours aux fonds publics

pour son financement, s’est vu geler ses comptes par

PayPal.

ProtonMail a essayé de rebondir avec une nouvelle

init iat ive PanaCoin, mais cette dernière s’est vue à

nouveau bloquée par PayPal qui se refuse à tout

commentaire. De nombreuses hypothèses fleur issent

sur l’implicat ion éventuelle des autor ités amér icaines,

ce n’a pas été prouvé.

La Finlande, victime de cyberattaques Dans une allocut ion télévisée qui r isque

de créer des remous diplomatiques, le

Ministre des affaires étrangères

finlandais a avoué que le pays a été

vict ime d’attaques sur ses systèmes

cr it iques à deux repr ises. L’object if de

l’at taque était de dérober des

informations classifiées à haute valeur

ajoutée, et selon les premiers éléments,

il y a for t à par ier que d’autres pays

européens ont été touchés.

Sur le plan technique, on sait qu’il s’agit

d’une APT, d’un calibre équivalent à

celui de Red October.

Dragonfly: cette libellule qui ne nous veut pas du bien La découver te du malware Dragonfly par Symantec

est une douche froide pour le secteur énergét ique

mondial. Des ordinateurs et des plateformes

d’entrepr ises européennes et amér icaines auraient

été compromis depuis 2011 .

Selon l’enquête, le logiciel aurait été introduit par

t rois biais différents:

• L’envoi de malwares par le biais de phishing

• L’ut ilisat ion de watering holes

• L’împlantat ion de trojans dans des suites logiciels

par faitement normales

Les chercheurs de Symantec ont conclu qu’il

s’agissait d’un malware état ique au vu de la

complexité du programme, mais il n’est pas exclu

que des hackers mercenaires l’aient construit .

Le plus inquiétant demeure les capacités de

sabotage de DragonFly, qui, bien que non ut ilisées,

auraient pu sér ieusement endommager les

équipements.

Cyberdéfense

Le rapport Marc Robert suffira-t-il? C’est la quest ion auquel notre

contr ibuteur essayera de répondre

(p.6 ). Le rapport du magistrat éponyme

est une premier pier re à la défense

contre la cybercr iminalité.

La publicat ion s’est faite attendre: paru

en juillet , il aurait dû init ialement sor t ir

en févr ier .

Un gage de qualité? Espérons-le!

Degré d’infection du malware DragonFly

La cour européenne de justice s’attaque aux accords US-UE La cour européenne de just ice a fait de

son cheval de bataille la défense des

droits des internautes. Dans un

jugement rendu début juillet , elle a donc

ordonné plus de transparence sur le

programme de coopération US-UE

concernant le suivi des avoirs liés au

ter ror isme dans le monde.

La cour européenne a décidé d’agir

après qu’une députée néer landaise,

Sophie in’t Veld, s’est vu restreindre

pendant cinq ans l’accès à des

informations touchant à cet accord, qui

devait être en par t ie réaménagé dans

le cadre du nouveau traité de par tage

de données Safe Harbour.

Arménie et Azerbaïdjan se font la guerre sur le Web Un groupe de pirates arméniens

(Monte Melkonian Cyber Army) a

défacé plusieurs sites de l’armée

d’Azerbaïdjan en laissant des

messages d’aver t issement vis-à-vis du

conflit en cours.

Facebook sommé de s’expliquer L’expér ience menée par Facebook en 2012 et révélée

en 2014 , visant à manipuler les flux d’actualités de ses

ut ilisateurs, crée des remous. Le commissaire de l’Office

of the Data Protection, l’équivalent br itannique de la

CNIL, a sommé Facebook de s’expliquer début juillet sur

cette expér ience visant à étudier la "propagation des

émotions".

A ce jour , aucune mesure coercitive ou punit ive n’a été

avancée.

360°

War Ram - Eté 2014

Le rapport Robert fait peur Le rappor t Marc Robert ne fait pas que

des heureux. Les défenseurs des

liber tés civiles fust igent et s’insurgent

contre les 55 proposit ions du rappor t.

Olivier Iteanu, un avocat spécialiste des

quest ions numér iques, se dit outré par

le nombre impressionnant de mesures

répressives.

La Quadrature du Net a réagi de la

même manière en rejetant la plupar t

des mesures, notamment celle relat ive

au blocage administrat if du site.

Enfin, la quest ion de l’enquête sous

pseudonyme inquiète également les

défenseurs des liber tés.

De façon générale, la crainte d’une

surveillance généralisée est ut ilisée

pour condamner ce rappor t. Il convient

cependant de rappeler que le rappor t

Robert ne cont ient pas de mesures de

surveillance vér itable: ce qui inquiète

les associat ions, c’est avant tout les

r isques de dér ive.

En ce qui concerne les mesures les

plus techniques (CERT, etc.) les

associations des liber tés numér iques

sont restées globalement silencieuses.

Russie: une loi souveraine contre l’expatriation des données personnelles Le Parlement russe a voté une loi st ipulant que les

données personnelles de chaque citoyen devait être

hébergée sur son sol.

Une loi d’abord polit ique, puisque l’on sait que, depuis

l’aveu de Microsoft, les entrepr ises amér icaines sont

obligées de transmettre les données hors sol aux

autor ités amér icaines si celles-ci les réclament.

Bull veut revenir sur le devant de la scène Bull se rêve en champion

international du Big Data et des

objets connectés. Avant de

rentrer dans le giron d’Atos fin

juillet , l’ancien "fleuron de

l’informatique française" a signé

plusieurs par tenar iats.

Un avec CustomerMatrix, une

société de traitement intelligent

de la data, visant à intégrer une

applicat ion cognit ive au sein de

son offre Big Data. L’autre avec

Axiros dans le domaine des objets

connectés.

Cyberculture

Les cyberattaques sous formes de data vizualisation: l’initiative de Norse est à la fois esthétique mais nous rappelle également

que les salves de malwares ne connaissent pas de répit. Accessoirement, cela rappelle furieusement le film culte W ar Game

sur les thématiques de la guerre et du cyberespace!

Minilock, le chiffrement à la portée de tous? Un nouveau service du nom de M ini Lock

est en train de voir le jour . Le postulat est

alléchant: l’application web permettrait de

chiffrer toutes ces données très

facilement.

Sur le papier , cela peut sembler

intéressant: dans la pratique, on est en

droit de se poser quelques questions

notamment quand on sait que plus une

solution est populaire, plus les effor ts

déployés pour la craquer le sont.

L’intérêt vér itable de MiniLock (dont une

par tie du code traîne sur GitHub) est

ailleurs. En facilitant l’accès au

chiffrement – souvent complexe pour les

non init iés, on peut s’attendre à une

meilleure sensibilisation de la société civile

à ces questions.

On peut également s’attendre à un

nivellement par le haut de la sécur ité des

données.

Microsoft rejoint l’alliance Allseen Microsoft a rejoint l’Allseen Alliance, un consor tium

formé par l’entrepr ise Qualcomm visant à établir des

normes pour les objets connectés dans la maison. Ce

consor tium, pr incipalement composé d’entrepr ises

amér icaines, serait aussi soutenu par des géants

asiat iques (LG, Panasonic). Il se murmure pour tant

qu’un projet r ival serait en train de voir le jour .

La quest ion des normes dans les objets connectés est

une future bataille jur idique qui décidera cer tainement

de la réussite ou de l’échec de cer taines entrepr ises.

NICOLAS CAPRONI "ON NE PARLE PAS D’UNE MÊME FAÇON À UNE PME OU À

UN OIV"

War Ram - Eté 2014

1) Le rapport Marc Robert est à peine

sorti qu'il ne fait déjà pas l'unanimité.

Quel est le regard que tu portes sur

cette publication?

Premièrement, enfin il est sor t i ! On

commençait à se demander s’il n’allait

pas finir dans un t iroir à prendre la

poussière. Puis une semaine

auparavant, il fuitait dans la presse.

Mais sans faire trop de buzz.

Effect ivement maintenant qu’il est publié

officiellement, des cr it iques se font

entendre par les défenseurs de la vie

pr ivée. Mais ce n’est pas étonnant… Je

ne suis pas jur iste donc je ne me suis

pas trop penché sur la 3ème par t ie du

rappor t qui por tent sur les réponses

répressives et qui font souvent débat.

Mais plus globalement c’est un rappor t

qui va dans le bon sens car il montre

qu’au delà de la cyberdéfense le

gouvernement se penche maintenant

sur la lutte contre la cybercriminalité.

On avait tendance ces dernières années

à ne se focaliser (à juste t it re) sur les

OIV et la cyberdéfense, tout en laissant

côté la cybercr iminalité à qui les

moyens alloués sont trop insuffisants.

Ce rappor t est une première étape vers

une meilleure pr ise en compte de ce

phénomène, loin d’être nouveau. La

cybercr iminalité est une plaie pour les

citoyens et les PME en par t iculier . Et

ces deux populat ions semblent laissées

de côté. Je regrette toujours le manque

de chiffres « object ifs » non issus

d’études amér icaines ou d’éditeurs de

sécur ité qui font plus du marketing

qu’autre chose…

LES EXPERTS

Nicolas Caproni est un exper t reconnu en

cybersécur ité et membre de la Réserve

Citoyenne Cyber.

Pour nous, il revient sur le rappor t Marc

Rober t contre la cybercr iminalité et ses

55 proposit ions. Tour d’hor izon en cinq

questions.

Personnellement j’ai apprécié la deuxième par t ie du rappor t qui milite pour une stratégie globale contre la cybercriminalité et qui met en évidence la prévention, la formation, les par tenar iats public-pr ivé. Et pour y ar r iver , elle préconise une réorganisation au niveau état ique avec notamment la créat ions d’une délégation interministér ielle et une plus grande implicat ion de la just ice mais aussi une augmentation des moyens alloués qui vont de paire.

Après beaucoup de monde va cr it iquer ce rappor t car cer taines recommandations ne leur plaisent pas. D’autres vont cr it iquer l’auteur qui n’est pas un spécialiste du sujet. D’autres vont encore cr it iquer le choix d’une cer taine sémantique ou vilipender le rappor t complet pour une ou deux er reurs factuelles. Moi je préfère retenir le posit if de la démarche et cer taines proposit ions qui j’espère seront suivies d’effet à cour t terme.

Malheureusement je ne peux déplorer le manque de médiat isat ion autour de ce rappor t. Finalement il y a eu quelques cr it iques mais mêmes elles sont restées confident ielles… Peu de personnes, blogueurs, "exper ts" ou journalistes ont analysé ce rappor t…

2) En tout, le rapport Robert comporte 55 propositions. Si tu ne devais en retenir qu'une, quelle serait-elle? Pourquoi?

Sans hésitation, ça serait la proposition N°6 qui recommande la

création d’un nouveau CERT qui répondrait aux besoins des populat ions non couver ts par les CERTs existants. Je pense notamment aux PME et aux par t iculiers.

J’en ai discuté sur Twit ter et si cer tains pensent que l’ANSSI devrait assurer ce rôle, d’autres pensent qu’une nouvelle structure plus adaptée est indispensable pour toucher ces populat ions par t iculières. Je suis plutôt d’accord. Mais peut être que le terme de « CERT » n’est pas le plus adapté et on devrait plutôt par ler de « Centre » nat ional qui aurait comme missions de sensibiliser et informer les PME, collect ivités locales et les par t iculiers sur les menaces « actuelles » et sur tout leur donner les out ils pour se protéger .

Car il ne faut pas se leur rer . Les PME, les collectivités et les particuliers représentent 90% des personnes et entités à sensibiliser, former et protéger. Et personne ne s’en occupe. Enfin oui, il existe des clubs, des associations mais aussi la gendarmer ie nat ionale ou la Réserve Citoyenne Cyberdéfense qui agissent mais chacun de leur côté. Il faut coordonner les init iat ives. La Réserve Citoyenne Cyberdéfense réfléchit actuellement à cette quest ion. Elle dispose d’un réseau national et régional de réservistes et de représentants état iques qui peuvent aider .

War Ram - Eté 2014

3) Pour poursuivre sur la voie des CERTs, pourquoi ce rôle n’est pas tenu par l’ANSSI? Au début, je pensais également que c’était le rôle de l’ANSSI de traiter de ces quest ions. Mais l’ANSSI a grandi très vite car les cyber menaces se sont développées très rapidement et que la France avait du retard à rattraper . L’ANSSI a deux gros chantiers : sécur iser les administrat ions et les OIV. Tout en répondant aux attaques informatiques qui touchent les grandes entrepr ises et l’Etat. Et si on en croit l’ANSSI, la réponse aux incidents les occupe beaucoup et prend le pas sur leur mission de prévention. Alors il semble difficile de leur demander , en plus, de veiller sur les PME et les par t iculiers. On ne peut pas parler de la même façon à une PME qu’à un OIV… Créer une structure à côté a des avantages mais aussi des inconvénients. Evidemment ça nécessite des moyens, ça prendra du temps, il faudra aussi trouver du personnel compétent. Mais c’est indispensable sinon ça signifie t irer un trait sur 90% du t issu économique français… 4) Le rapport milite également pour l'instauration de différentes structures étatiques de pilotage dédiées à la cybercriminalité. Est-ce un signe bienvenu de réveil politique, ou risque-t-on d'aller vers une usine à gaz ? Je pense que c’est posit if. C’est un réveil tardif vis à vis de la problématique de la cybercr iminalité. La cyberdéfense a bénéficié depuis plusieurs années de moyens énormes. L’ANSSI a grandi très vite et c’était nécessaire. Mais l’ANSSI ne s’occupe pas de cybercr iminalité. La cyberdéfense est bien coordonnée. L’ANSSI a un rôle majeur interministér iel. Avec la DGA, l’EMA et les Services spécialisés, notre disposit if de cyberdéfense est bien organisé et complémentaire. Les forces de police et de gendarmer ie et la just ice disposent de trop peu de moyens. Mais on constate que tout ça commence à se réorganiser : créat ion d’une sous-direct ion dédiée à la cybercr iminalité au sein de la Police Judiciaire, prochaine nominat ion d’un préfet « cyber ».

SUITE ARTICLE P.5

Les choses avancent. Et la proposit ion

de créer une délégation

interministér ielle va dans le bon sens.

N’oublions pas que le cyber est un

sujet transverse.

Après usine à gaz, je ne pense pas. On

par t de pas grand chose et il faut

consolider les pet ites ent ités qui

existent et les coordonner .

5) Enfin, une autre proposition a attiré

notre attention. Marc Robert demande

la création d'outils statistiques

indépendants pour mesurer les

cyberattaques: est-ce qu'on doit y voir

une certaine forme de dénonciation

d'un complexe militaro-industriel?

Oui cette proposit ion est également

une proposit ion très intéressante. La

lutte contre la cybercr iminalité manque

cruellement de chiffres, de vrais

chiffres. On ne peut plus se baser sur

les chiffres fantaisistes sor t is par les

entrepr ises de sécur ité informatique

qui les ut ilisent pour faire peur et

just ifier leur marketing qui ne fait pas

avancer la lutte contre les cyber

attaques.

On ne se protège pas de la

cybercr iminalité avec un out il miracle.

Mais attention à ne pas tomber dans

la culture du « chiffre ».

Malheureusement nous savons tous la

difficulté de résoudre des enquêtes

d’affaires cybercr iminelles qui

impliquent presque toujours un besoin

de coopération internationale. Les

chiffres ne seront donc pas bons…

Mais ils pourront servir à ident ifier les

tendances majeures en termes de

cybercr iminalité (types d’infract ions,

pays impliqués…) et mettre les

moyens là où il faut. Et puis ça montre

aux « vict imes » qu’on s’occupe de

leurs problèmes. Il faut donc

encourager aussi les entrepr ises et

par t iculiers à por ter plainte. Il faut

faciliter ce dépôt de plainte et tenir au

courant les vict imes de l’avancement

ou non de l’enquête.

Par Nicolas Caproni

Consultant en sécur ité des systèmes

d’information chez BSSI

@ncaproni

http:/ / www.cyber-securite.fr/

Nicolas Caproni est

consultant auprès de

BSSI, un cabinet de

conseil et d’audit en

sécur ité des systèmes

d’information.

Il dir ige le blog Cyber-

sécurité.fr

(http:/ / www.cyber-

secur ite.fr / ) et fait

également par t ie de la

Réserve Citoyenne Cyber.

Cette init iat ive associe des bénévoles civiles

experts en SSI à des réservistes militaires et des

organismes d’Etat afin de « sensibiliser, éduquer,

débattre, proposer, organiser et susciter des

évènements contribuant à faire de la

cyberdéfense une priorité nationale ».

Plus largement, la RCC englobe des pans plus

larges de la société civile (Elus, journalistes,

jeunes, formation, think-tanks, entrepr ises…)

dans le but de développer le réseau et de

sensibiliser .

Réserve Citoyenne Cyber (RCC)

War Ram - Eté 2014

Le Patr iot Act permet aux agences de sécur ité amér icaines(FBI, NSA,...) d'accéder aux données stockées dans les Datacenter sans contrôle préalable d'un juge. La confident ialité des données relève alors de l'utopie...Les entrepr ises françaises l'ont bien compr is et se montrent assez rét icentes à confier leurs données dans de telles condit ions. Le cloud souverain offre une solut ion « made in France » qui s’affranchit de la tutelle amér icaine. L'affaire PRISM -Snowden-NSA const itue alors l'un des meilleurs arguments commerciaux de la société Cloudwatt auprès de ses clients. Elle just ifie à elle seule la création de Cloudwatt... Un nouveau Directeur conscient de l'accélération technologique mondiale En charge de la phase init iale et du lancement du projet de cloud souverain, le premier Président de Cloudwatt, Patr ick Stark, a cédé sa place en avr il 2014 à Didier Renard, jusque-là Président de la société Tasker spécialisée dans le développement d'out ils de gest ion des plate-formes cloud. Notons que Didier Renard est le premier Français diplômé de l'Université de la Singular ité. Loin d’être anecdotique, cette sensibilité singular iste s'inscr it par faitement dans le profil at tendu d'un dir igeant de société de Cloud souverain. C'est cer tainement la plus adaptée aux changements exponentiels et la plus per t inente aujourd'hui ! Selon lui, « Pour appréhender le futur , il ne suffit pas de calquer le modèle du passé ». Didier Renard s'inquiète souvent du manque d'ambit ions de la France et de l'incapacité de nos élites à intégrer l'accélération technologique...

OUT-OF-THE-BOX

1 – Cloud souverain français : L'exemple de Cloudwatt La naissance de Cloudwatt On trouve, à l'or igine de la création de Cloudwatt, une pr ise de conscience et une volonté stratégique de posit ionner la France sur le marché mondial du cloudcomputing. Fondée en septembre 2012 , Cloudwatt est une société française spécialisée dans les solut ions de stockage en ligne et les solut ions de calcul par machines vir tuelles. La naissance de Cloudwatt s'inscr it alors pleinement dans le projet Andromède lancé en 2009 dest iné à soutenir le développement d'un cloudcomputing « made in France ». Le Grand Emprunt qui a fait émerger le concept de cloud souverain a facilité le démarrage de la société Cloudwatt. L'idée pr incipale consistait à proposer aux professionnels et aux par t iculiers des infrastructures sécur isées de stockage en ligne et de machines vir tuelles (VM) localisées sur le ter r itoire nat ional puis par la suite en Europe. Le gouvernement mobilise le Fond d'Init iat ive Stratégique (FIS) et décide de soutenir deux projets ambit ieux dotés chacun de 225 millions d'euros : la société Cloudwatt dont Orange (44 ,4 %), la Caisse des Dépôts et Consignations (33 ,3 %) et Thales (22 ,2 %) sont les act ionnaires pr incipaux et la société Numergy soutenue par SFR, CDC et Bull. Cloudwatt choisit alors de construire sa propre plateforme de cloud opensource basé sur l'environnement OpenStack. Il s'agit d'un premier choix de nature stratégique qui permet à Cloudwatt de maîtr iser totalement son infrastructure, d'évoluer en autonomie et de s’affranchir de technologies propr iétaires contraignantes et « liantes ». En 2012 , Cloudwatt intègre la fondation OpenStack et contr ibue en développant de nouvelles ressources comme le framework Hadoop présenté en 2013 lors du forum OpenStack summit Hong Kong.

On ne présente plus Thierry Berthier,

contr ibuteur régulier de la W ar Ram et

professeur d’université en mathématiques.

Ce spécialiste du cyberespace se pencher pour

cette édition d’août sur les notions de cloud

souverain et de cybernationalisme qui, à l’ère

Snowden, sont sur toutes les lèvres…

Le premier Datacenter de Cloudwatt

Situé en Normandie à Val-de-Reuil, le

premier Datacenter (opéré par

Orange) de la société Cloudwatt

propose un taux de disponibilité de

99 ,995 % de niveau Tier 4 ,

hautement sécur isé incluant un

contrôle biométr ique pour l'accès aux

équipements hébergés et des chaînes

d'alimentat ion redondantes.

Cloudwatt propose une large gamme

de stockage en ligne modulable

par tant d'une offre de base gratuite

d'un espace de 50 Go, puis des

solut ions payantes à par t ir de 100 Go

pouvant évoluer jusqu'à plusieurs

teraoctets. L'ut ilisateur peut gérer

son stockage de façon élémentaire à

par t ir de l'inter face du site accessible

depuis tout navigateur ou ut iliser une

applicat ion de transfert de fichiers

comme Clouberry ou Cyberduck.

Les données chargées sur les

infrastructures de Cloudwatt sont

localisées en France et opérées par

des acteurs sans lien avec des

sociétés amér icaines. Ces données

ne sont donc pas soumises à

l'applicat ion du Patr iot Act. L'offre

Cloudwatt en machines vir tuelles

débute en 2014 (version Beta). Il

s'agit ici d'une valeur ajoutée

impor tante par rappor t aux offres

équivalentes d'Amazone ou de

M icrosoft qui sont soumises au

Patr iot Act.

CLOUD SOUVERAIN ET CYBERNATIONALISME

War Ram - Eté 2014

SUITE ARTICLE P.7

2 – Les replis « cybernationalistes »

et la souveraineté numérique

Le concept de « Cloud souverain »

émerge d'un écosystème numér ique

mondial fragilisé par des turbulences

d'hégémonies et des luttes

d'influence. Les révélat ions Snowden-

Pr ism-NSA ont créé un tel

t raumatisme qu'elles doivent

aujourd'hui quest ionner l'ensemble

des acteurs du numér ique sur le

sens réel de la

confident ialité/ sécur ité/ intégr ité des

données. Si les grandes nat ions

technologiques n'ont pas attendu

l'affaire Snowden pour construire et

promouvoir des solut ions numér iques

locales sur lesquelles elles

conservent un contrôle stratégique,

elles ont tout de même saisi

l'occasion offer te par l'affaire

Snowden pour accélérer leur

réor ientation vers des infrastructures

nat ionales.

Ainsi, la Russie, par la voie de son

Président Vladimir Poutine, a fait le

choix du développement de solut ions

de stockage de données implantées

sur le ter r itoire. Le repli cyber

nat ional russe ne se limite d'ailleurs

pas aux seuls Datacenter mais

impacte également les moteurs de

recherche. Vladimir Poutine a lancé

plusieurs projets dont celui du

développement d'un moteur de

recherche nat ional, indépendant des

moteurs amér icains, « adapté au

peuple russe » et supervisé par des

sociétés russes.

Le moteur russe Yandex, quant à lui,

a été sommé de réduire ses liens de

dépendance financière avec des

sociétés occidentales. La Chine n'est

pas en reste et mult iplie les

constructions de Datacenters de très

grandes capacités. Elle développe

également ses propres moteurs de

recherche.

[1 ] Le site de la société Cloudwatt :

https:/ / www.Cloudwatt.com/ fr /

[2 ] La page wikipédia de Cloudwatt :

http:/ / fr .wikipedia.org/ wiki/ Cloudwatt

[3 ] Interviews du CEO de Cloudwatt, Didier

Renard:

http:/ / www.silicon.fr / didier -renard-Cloudwatt-

livrer -10 -000-vm-notre-offre-cloud-fin-2014-

95374 .html

http:/ / www.lemondeinformatique.fr / actualites/ li

re-didier -renard-remplace-patr ick-stark-chez-

Cloudwatt-57228 .html

[4 ] Didier Renard, premier Français diplômé de la

SU :

http:/ / www.lepoint.fr / technologie/ singular ity-

university-escale-dans-le-futur-29 -03 -2014-

1806987_58 .php

La souveraineté numér ique, si elle

recherche une cohérence globale, doit

s'appliquer aux infrastructures de

stockages de données (Datacenters) mais

également aux moteurs de recherche. Les

uns ne peuvent être dissociés des autres.

La per te de souveraineté sur l'une des

deux fonct ions fragilise l'autre. Le

développement d'un moteur de recherche

européen devrait figurer à l'ordre de jour

des grands projets de l'UE car la

recherche, le classement et la

hiérarchisation des données

par t icipent directement à la valor isat ion de

l'information. Le moteur est une

composante de la chaîne informationnelle

qui fonde et condit ionne la souveraineté

numér ique d'une nat ion.

Enfin, cette souveraineté numér ique passe

également par le développement de

solut ions de cybersécur ité nat ionales

(ant ivirus nat ionaux, firewall dynamiques,

systèmes de prévisions des

cyberattaques).

C'est bien sur le triplet « Datacenter,

moteur de recherche, antivirus » qu'il faut

agir si l'on souhaite doter la nation d'une

souveraineté numérique...

Par Thierry Berthier

Professeur d’université en mathématiques

http:/ / cyber land.centerblog.net /

Infrastructures de stockage Cloudwatt

Cyberland est le blog de

cybersécur ité/ cyberdéfense du Professeur

Thierry Berthier. Régulièrement mis à jour et se

penchant sur des cas concrets et récents, c’est

un incontournable du secteur.

Il fera par t ie de l’init iat ive Echo Radar ,

successeure de l’AGS, qui sera lancée en mi-

août.

Plus de détails ici:

http:/ / www.cyber land.centerblog.net/

CYBERLAND

War Ram - Eté 2014

Les mult iples affaires Snowden ont étonné. Pour tant le cas français est à la limite du racolage passif. Ambassade espionnée à W ashington? Mais, votre serviteur connaissant bien les environs, est -il raisonnable de par ler d’espionnage quand tout est librement accessible et que personne n’est sensibilisé à la SSI? Que fait -donc un lion quand il voit un pauvre pet it hamster dégueulasse, agonisant à ses pieds? Il lui file un pet it coup de patte, sans trop y penser , abrégeant ses souffrances presque par pit ié. Si seulement, en face du mastodonte état ique gangréné, se trouvait une masse de citoyens éduqués et engagés… Toi, le connard qui ne me lira pas : pourquoi gueuler contre la NSA quand ton pays fait de même? Comment prendre au sér ieux tes opinions de pilier de comptoir quand tu ne fais aucun effor t pour te mobiliser quand l’enjeu en vaut vraiment la peine? Swartz peut bien se suicider , Lavabit fermer et l’équipe de Truecrypt abandonner : ça t ’en touche une sans faire bouger l’autre. Reste Assange à foutre en taule, et les moutons seront bien gardés. Le paquebot France a viré de bord. For t bien. Mais il tourne trop lentement. A temps/ tant de cr ises, remèdes de cheval. Lancer un audit de product ivité sur les agents de cer tains ministères serait un premier pas dans le bon sens. Dégager les nuls et les lèches-culs, un second. Embaucher/ former/ sensibiliser les autres, un troisième. Mais si l’on souhaite que le cyber demeure un espace de liber té potent ielle, de la même façon qu’il ne fallait pas le laisser aux crypto-complotistes et cyberpunks de romans, il est nécessaire que les citoyens prennent conscience de l’impor tance d’être un contre-pouvoir . Dans le cas contraire, les Etats n’auront aucune raison de moraliser les act ions qu’ils y accomplissent, et ce sera Monsieur -Tout-le-Monde qui paiera les pots cassés. Alors profitons du formidable t issu d’imper t inence qu’est la France pour encourager les init iat ives locales : les ateliers, les espaces, les conférences, les discussions, les formations informelles. Ne laissons pas les SI rejoindre le monde des myst iques mépr isées et magiquement craintes par le peuple… et des monstres surgir .

OUT-OF-THE-BOX

Bordel, mais qu’est -ce que c’est que ces

branleurs?

Incultes, prétent ieux, jaloux, puér ils.

Imaginez l’idéal-type de la faille humaine,

avec ce que cela suppose de naïveté, de

mauvaise foi et d’inconscience, mult iplié

par autant de postes à responsabilité.

Ils sont dangereux. Pour tant, ils

représentent la France à l’étranger .

La dernière fois, ils ont souhaité installer

un système de surveillance au sein des

bât iments. Ils ont fait appel à une

société locale, qui, évidemment, leur a

fait une r istourne, toute heureuse de

pouvoir planquer des mouchards avec la

bénédict ion du taré en chef.

Heureusement, les pompiers sont

intervenus.

Ailleurs, ils ont installé un lecteur

d’empreintes digitales à l’entrée… non-

sécur isé, avec une jolie pr ise Ethernet

permettant de se connecter au système.

Tranquille.

Par tout, le sens du terme confident iel se

perd, et l’on organise des séances

“photocopies gratos” avec des

télégrammes diplomatiques à diffusion

limitée. Tout le monde ut ilise les login

des vioques, l’admin balance ses codes

d’accès par téléphone (wtf?!) et chacun

connecte ce qu’il veut au réseau

sécur isé du ministère.

Et on dit que la France a “enfin pr is le

tournant du cyber”!

Bon, il semble que cer tains corps de

l’Etat sont devenus de bonnes grosses

brutasses en la matière. Pour qui

s’impatientait de voir la France enfin

tenir son rang, c’est une bonne nouvelle.

Il s’agit d’un exercice que nous aimer ions voir

plus fréquemment dans la RAM .

Un contr ibuteur anonyme, dont on taira le nom

et le sexe, ayant occupé des fonctions en

ambassade, livre une analyse crue et sans

concessions du tournant cyber de la France.

Attention, cela pourra en choquer plus d’un.

[Pet ite parenthèse : si les Etats frustrés cessaient de se préoccuper de je-ne-sais quelle place dans le concer t des connards internationaux pour s’intéresser aux citoyens qu’ils sont censés représenter/ protéger, peut-être se serait -on rendu compte que le problème fondamental du monde du renseignement actuel réside dans l’opposit ion interne Etat -citoyens plutôt que dans l’ar t ificielle Etat-Etats. Passons.] Cer tes, on progresse. Mais, la représentation extér ieure est un paquebot bondé de vieux que l’on croit t rop influents pour être virés à coup de pompes dans le cul, et qui représentent une myr iade de failles humaines potent ielles. La RAM de ce mois-ci met à l’honneur Gramsci : “Le vieux monde se meurt, le nouveau est lent à apparaître, et c’est dans ce clair obscur que surgissent les monstres.” [On passera outre la tendance qu’ont les “penseurs communistes” (LOL) à ne cerner avec finesse que les problèmes des autres systèmes.] Le Nouveau Monde tarde donc à naître. Si l’accouchement est si difficile, la raison est à chercher du côté des r igidités inst itut ionnelles et de la passivité citoyenne. L’Etat, loin de prendre exemple sur cer taines entrepr ises pr ivées, préfère grossir , grossir , grossir , et gaver d’indemnités de vieux diplomates boursouflés de leur pseudo-impor tance, plutôt que prendre les mesures qui s’imposent afin de limiter les r isques inhérents à leur manque total de maîtr ise des mécaniques informationnelles. En ces temps d’austér ité aussi drast ique qu’injuste envers les citoyens, d’aucuns pourraient croire qu’on chercherait à diminuer le poste Salaires relat if à des employés improduct ifs/ contre-product ifs. Pensez-vous! L’on préfère couper dans les fonds alloués aux missions, plutôt que proposer de baisser la rémunération des Conseillers de 12 000 à 4 000 EUR. Idem, pourquoi embaucher de la chair fraiche quand il est possible de prolonger les gérontes?

TRIBUNE LIBRE

LA LONGUE DESCENTE AUX ENFERS DE TOR

War Ram - Eté 2014

PIMP MY OPSEC

Par exemple, on a beaucoup fait état

du programme XKeyScore de la NSA,

dont le code-source (voir ci-contre) a

été diffusé en clair sur de nombreuses

plateformes et tourne encore dans

son intégralité sur Gitthub et d’autres

plateformes liées à la cybercr iminalité.

Lors d’un repor tage, la chaîne

allemande ARD a démontré que

XKeyScore pouvait ident ifier et

atteindre des cibles ut ilisant TOR,

démontrant de fait que l’anonymat du

logiciel a été br isé.

Par le passé, le FBI aussi était

parvenu à casser la "for teresse" TOR

grâce à l’ut ilisat ion d’une faille 0 -day

du navigateur Firefox, illustrant sa

capacité à atteindre des réseaux

pédophiles qui se réfugiaient der r ière

le réseau en oignon.

Mais les États d’Unis ne sont pas les

seuls à avoir TOR en ligne de mire. La

Russie, ironiquement pays d’accueil

d’Edward Snowden, a récemment

proposé une pr ime de 80 ,000 euros

à qui réussirait à casser le réseau.

Le Kremlin a formellement déconseillé

l’ut ilisat ion de TOR, et on est ime qu’il

ne s’agit pas de la première tentative

russe pour casser le réseau. Des

chercheurs (Lindskog, W inter ) de

l’université de Kar lstad, en Suède, ont

ainsi constaté qu’une ent ité russe non

ident ifiée surveillait les exit nodes du

réseau (cf schéma ci-dessus), se

concentrant par t iculièrement sur le

t rafic Facebook grâce à l’ut ilisat ion

d’attaque de type homme du milieu.

Un modèle de plus en plus vulnérable?

Mais la NSA n’est pas le seul danger

qui pèse sur TOR. Des failles majeures

comme HeartBleed ont en effet déjà

mis à mal le réseau en oignon,

puisqu’elle dépendait du protocole

chiffré OpenSSL.

Roger Dingledine, le leader du projet

TOR, a admis à la suite de HeartBleed

que 12% des relais du réseau (380 )

avaient ainsi été compromis.

D’autres chercheurs parmi lesquels le

white hat Pierluigi Pagnini, membre de

l’ENISA et figure célèbre de la

cybersécur ité, ont également évoqué

la possibilité d’une attaque par

cor rélation du trafic de TOR (l’at taque

par cor rélation est un procédé en

cryptographie reposant sur le contrôle

des points d’entrée et de sor t ie).

(Suite p. 10 )

TOR est-elle toujours cet out il magique, qui

permet à tout un chacun de naviguer

tranquillement en anonyme sur le W eb ?

Hélas, plus vraiment.

De sa créat ion à sa démocratisation, TOR a

connu une pér iode d’or durant laquelle

internautes, hackt ivistes, mais aussi

cybercr iminels ou trafiquants ont pu exploiter

les joies de l’anonymat sur le W eb. Mais la

solidité du logiciel a été éprouvée pet it à pet it ,

de sor te que désormais, s’il demeure un

excellent out il pour contourner la censure, sa

capacité à rendre anonyme est largement

écornée.

Qui veut la peau de TOR ?

De façon générale, il y a une volonté de

surveiller les données des ut ilisateurs du Deep

W eb. Cer tains y voient le spectre de la

société panoptique, d’autres pointent

simplement du doigt les failles sécur itaires

qu’implique la possibilité de canaux

d’informations sécur isés pour des groupes

malveillants (ter ror iste, cybercr iminels,

trafiquants).

Les agences de renseignement ou les forces

de l’ordre sont en première ligne de la

bataille.

Stéphane Leroy se spécialise dans le cyberespace depuis

près d’un an. Il est contr ibuteur régulier et l’un des

fondateurs de la W ar Ram.

/ * *

* Placeholder fingerprint for Tor hidden service addresses.

Real fingerpritns will be fired by the plugins

* 'anonymizer/ tor/ plugin/ onion/ * '

* /

fingerprint('anonymizer/ tor/ hiddenservice/ address') = nil;

/ / END_DEFINITION

/ / START_DEFINITION

appid('anonymizer/ mailer/ mixminion', 3 .0 ,

viewer=$ ascii_viewer) =

http_host('mixminion') or

ip('1 2 8 .3 1 .0 .3 4 ');

/ / END_DEFINITION

Cet extrait du code d’XKeyScore démontre également qu’en plus de TOR, la NSA s’intéresse à d’autres services d’anonymisat ion comme MixM inion (voir ci-dessous)

Le réseau TOR est appelé réseau en oignon car une fois connecté, le trafic est chiffré et répar ti aléatoirement sur plusieurs relais. Les exit nodes sont les seuls à ne pas être chiffrés

Appel à contributeurs Cette newsletter mensuelle s’adresse à une

communauté ciblée et se construit sur un

modèle collaboratif, s’inspirant d’une démarche

open source dans le souci d’un par tage de

connaissances.

De fait , elle vit et s’enr ichit de ses

contr ibuteurs, pour la plupar t des exper ts dans

leurs domaines respect ifs, et de fait nous

sommes toujours à la recherche de

contr ibutions diverses.

Si publier par notre biais vous intéresse,

n’hésitez pas à nous à contacter pour en

discuter plus en détails.

Cordialement,

La Rédact ion

War Ram vous est proposée chaque mois et est disponible en ligne. C’est une publicat ion libre, vous pouvez donc la par tager sans réserves, à condit ion de respecter la propr iété intellectuelle des personnes qui y publient .

Vous pouvez aussi suivre notre actualité et bénéficier de nos ressources en ligne par le biais de notre compte Slide Share : http://fr.slideshare.net/WarRam blowarram.tumblr.com

War Ram - Eté 2014

SUITE ARTICLE P.9

Parallèlement, une déclarat ion de

deux chercheurs du CERT de

l’université Carnegie Mellon a

également montré que le système

n’était pas dénué de failles. Alexander

Volynkin et Michael McCord ont ainsi

affirmé qu’ils étaient capables de

br iser l’anonymat de TOR très

facilement. Conscient qu’une faille

existe bel et bien, TOR a lancé ces

derniers dans une quête folle pour

retrouver le bug et le cor r iger .

Volynkin était supposé intervenir lors

du BlackHat de cette année mais

au dernier moment, il s’est rétracté.

Les hypothèses fourmillent autour

des raisons qui l’auraient poussé à

annuler sa présentation, d’autant que

les chercheurs ont avancé de

simples lenteurs administrat ives pour

just ifier cette déprogrammation.

Toujours est -il que la réputation de

TOR était déjà bien fragilisée jusqu’à

ce que le coup de semonce final soit

por té, par la TOR Team elle-même.

Le logiciel aurait été piraté pendant

au moins 5 mois.

Une attaque vieille de cinq mois

Les chercheurs du Projet TOR ont

avoué, dans un billet daté du 30

juillet 2014 , avoir été vict ime d’un

piratage visant à surveiller le

compor tement de ses ut ilisateurs. La

faille a été comblée le 4 juillet , après

que l’équipe a trouvé un groupe de

relais dont le but était de contourner

l’anonymat des ut ilisateurs.

Cette annonce intervient donc au pire

des moments pour le logiciel qui a dû

encaisser ces derniers mois coup de

boutoir sur coup de boutoir . Il n’est

pas dit que TOR puisse se relever de

la cr ise dans laquelle il s’est plongé.

La piste poursuivie est celle d’une

attaque par cor rélation du trafic,

comme l’avait déjà évoqué M .

Paganini.

Mais au-delà du réseau en lui-même,

la quest ion de l’anonymat sur le W eb

est là encore mise à rude épreuve.

Bien que l’anonymat soit avant tout

une quest ion de compor tement et

moins de logiciel, on constate de plus

en plus un décalage impor tant entre

société civile, voire entrepr ise, et

Etat/ hackers d’élite.

Plus largement, cela illustre la

difficulté d’une solut ion de sécur ité

pérenne et démocratique.

A l’avenir , TOR va donc être amené à

perdurer , bien que sa capacité à

permettre un anonymat total et

complet est cer tainement révolue.

Par Stéphane Leroy

1 3 sept. 1 3 : FBI cible TOR avec des malwares

2 5 juil. 1 4 La Russie publie un appel d’offres pour casser TOR.

6 juil. 1 4 Volynkin annonce qu’il a trouvé le moyen de br iser TOR.

3 juil. 1 4 ARD dévoile que XKeyScore cible TOR

1 7 avr. 1 4 1 2% des serveurs TOR touchés par le bug HeartBleed

3 0 juil. 1 4 TOR admet avoir été piraté pendant 5 mois.

Vers une remise en cause du

réseau?