Numérique: sécurité des applications de communication?

[Cincinatus-341]

Bonjour tout le monde,

Je viens demander un avis pour un petit dilemne personnel relatif au smartphone et son usage: d'après vous, est ce que les avantages apportés par les applications de communication (Whatsapp, Discord et Skype en tête de liste) valent le coût en matière d'intrusion, pistage et autres joyeusetés.
Si la réponse est "arrête d'être parano", je serai pas vexé ni surpris (ni même totalement en désaccord  )
Merci d'avance.

[Lokta]

Un peu la flemme d'utiliser la fonction recherche mais on a déjà abordé la question sur le forum par le passé.

La question c'est quelle est le business model du prestataire de service ?
En dehors des 2/3 fondations qui tournent avec des dons le reste vend de la publicité ciblée et/ou du profilage.

A toi de définir où tu places la limite, quelle type de communication tu auras sur quel plateforme et quel effort d'éducation/conversion tu veux faire auprès de tes proches.

P.S. t'es pas parano, la donnée ca vaut une fortune quand tu en as assez sur tout le monde.

[promeneur4d]

https://degooglisons-internet.org

Une piste avec des alternatives

[chaton-laveur]

Si ça peut t'intéresser jette un œil ici:
https://cvpip.wp.imt.fr/files/2024/06/2024-03-25-note-de-synthese-MEDIAMETRIE-2.pdf

[Cromeed]

Signal est plutôt pas mal d'un point de vue chiffrement et confidentialité. Il faut activer le clavier incognito dans l'appli pour essayer de limiter ce que ton OS de smartphone pompe pendant que tu échanges, pour plus de sécurité.

Mais bon, IOS ou Android, même combat, ils pompent de partout.

[Shirokuma]

Signal est plutôt pas mal d'un point de vue chiffrement et confidentialité. (…)

Mes amis qui s'y connaissent en informatique utilisent Signal.
Mes amis paranos utilisent Telegram…
De toute façons, notre “smart” phone nous écoute, au minimum… 

[DavidManise]

Salut,

Alors concrètement, et dans l'absolu :

- tout ce qui est dit à proximité d'un smartphone, d'un casque USB, d'une montre connectée, d'une enceinte bluetooth, ou whatever peut être entendu par une appli, enregistré, et potentiellement un jour écouté par un humain ou une IA qui va chercher à en profiler pour des besoins marketing OU des besoins judiciaires.  Ou, comme certains amis journalistes, pour des fins d'espionnage via des logiciels haut de gamme qui les fliquaient très sérieusement (Pegasus, à l'époque, et oui c'était à l'étranger).

- tout ce qui est transmis sur Internet d'une manière ou d'une autre peut être intercepté, lu et potentiellement décrypté si on y met la ressource.  Ce qui est chiffré avec les technologies solides selon les critères d'aujourd'hui sera probablement déchiffrable facilement et avec des moyens assez accessibles dans 5 ans.  Et je ne parle même pas des backdoors qui existent déjà en mode multipass (rappelons nous le scandale de Crypto AG... qui avait vendu des backdoors à la CIA et au BND).

- tout ce qui est stocké sur un cloud est concrètement stocké sur l'ordinateur de quelqu'un d'autre.  Ce peut être chiffré ou pas, il y a toujours moyen de déchiffrer si on y met les moyens. 

- depuis le Patriot Act aux US, visant à combattre le terrorisme, le gouvernement US peut légalement accéder à toutes les données hébergées dans toute entreprise US / serveur US même à l'étranger.  Cryptées ou pas.  Donc Google, Apple, Amazon, you name it.  D'ailleurs le logiciel Olvid (qui serait plutôt safe) serait semble-t-il dépendant désormais des serveurs Amazon et donc certaines données qui passent par lui seraient soumises au Patriot Act...  faut voir à quoi ça donne concrètement accès et si l'info est vérifiée : a voir et confirmer / infirmer, j'ai pas eu le temps encore).  Je ne parle évidemment pas des applications Chinoises, du matériel Chinois qui passe par des serveurs Chinois (genre votre caméra de surveillance pas chère qui permet de voir votre porte d'entrée depuis votre smartphone et qui passe par un serveur...  Chinois...) qui sont totalement transparentes pour le PCC (je pense à TikTok en particulier, et tous ceux qui ont un jour installé WeChat sur leur tel lors d'un voyage en Chine, laisse tomber : tu peux le fondre et en faire des bijoux ton truc).

- Il existe des logiciels qui viennent s'installer entre votre Tel / Ordi et les logiciels de cryptographie : en gros, ils vous laissent décrypter tranquillement vos messages vous-mêmes avec votre clé / mot de passe et ils viennent voir ce qui est affiché directement sur l'écran, ou ce qui est enregistré / écrit / photographié.  C'est évidemment coûteux, ça demande de la ressource humaine et ça n'est pas le genre de truc qu'on utilise pour traquer vos habitudes de consommation ou vos orientations politiques ordinaires.  D'autant que la loi encadre de manière assez stricte les utilisations de ce genre de logiciel en France, sur la population résidant en France.  Mais d'autres pays sont moins regardants sur les droits à la vie privée, et si vous avez cherché des poux dans la tête à certains régimes autoritaires dans votre vie, faut y réfléchir à deux fois.

- Tout ça vaut même si votre tel est éteint, voire dans certains cas même si on enlève la batterie (ce qui est de plus en plus rarement possible sur les tels actuels). 

BREF, pour résumer : tout ce qui se passe dans ou à proximité d'un appareil connecté doté d'un micro ou d'une caméra ou d'un clavier est globalement visible (au moins en théorie) par quelqu'un. 

MAINTENANT :

- Sauf si vous êtes vraiment une top priorité pour un état peu scrupuleux, TOUT LE MONDE S'EN TAPE DE VOUS. Parce que les moyens humains et techniques sont toujours limités, même les pires dictatures doivent prioriser qui ils traquent.

- Les données marketing et vos préférences perso servant à vous cibler pour la publicité ne sont pas des données réellement sensibles, en vrai.  Non seulement c'est anonymisé mais surtout : TOUT LE MONDE S'EN TAPE DE VOUS.

- En France, toute écoute ou décryptage de données se fait dans un cadre juridique précis, avec des durées et des objectifs restreints, et avec tout un tas de procédures à respecter, ce qui fait que oui, fort probablement : L'ETAT FRANCAIS S'EN TAPE AUSSI DE VOUS.  C'est d'ailleurs l'une des raisons qui font que j'aime bien ce pays.  On y jouit encore d'une certaine liberté, y compris dans les aspects de surveillance des populations.  Cette guerre juridique entre les besoins de sécurité et les besoins de liberté n'est pas encore totalement asymétrique (même si ça bouge dans le sens de moins de liberté, notamment depuis 10 ans). 

En conclusion :

- si vous voulez qu'un truc reste secret, vous ne le dites à personne.  Et encore moins sur Internet. 

- tout ce que je viens d'énoncer ici est du domaine public, en source ouverte, totalement accessible...  alors venez pas me dire que collabore avec les méchants terroristes, c'est pas vrai.  Ils sont tous au courant de tout ça depuis toujours.  Parce que pour le coup, eux, ils ont vraiment des trucs à cacher.

Restez pipou

David

P.S.: pour plus d'infos sur les bonnes pratiques de sécurité informatique personnelle, Le Survivologue (mon podcast) épisode 18 avec "Bruno", spécialiste en cyber-sécurité : https://www.survivologue.org/podcast/18-cyber-securite-personnelle/

[Cromeed]

TOUT LE MONDE S'EN TAPE DE VOUS.

Petit bémol quand même, les données personnelles valent de l'or sur le net, une CNI, un numéro de sécu, des données médicales, c'est plusieurs dizaines d'euros par document. Ce sont des choses très recherchées par les pirates, mais aussi par ceux qui veulent ensuite faire de l'usurpation d'identité avec par la suite.

[Khee Nok]

- En France, toute écoute ou décryptage de données se fait dans un cadre juridique précis, avec des durées et des objectifs restreints, et avec tout un tas de procédures à respecter,

Je t'invite à lire le Canard Enchainé de cette semaine qui rappelle que les écoutes échappent largement au cadre légal, sans sanctions particulières, la Commission Nationale de Contrôle des Techniques de Renseignement manquant de moyens et n'étant pas très agressive (euphémisme):


(si c'est inapproprié je retire l'article)

Rappelons aussi qu'en France toutes les communications électroniques passent par des "boites noires" des services de renseignement, qui certes ne lisent pas le contenu des messages (en principe) mais en extraient les métadonnées.

https://usbeketrica.com/fr/article/premiere-boite-noire-loi-renseignement-surveillance-internet

Ca explique sans doute pourquoi on n'a pas trop réagi aux révélations de Snowden: difficile de faire les vierges outragées quand on fait pareil ;-)

Donc l'état français se tape de nous ... jusqu'au moment où il ne s'en tape plus et qu'il tape sur nous (espérons jamais, mais il a les outils pour le faire).

[DavidManise]

Oui, c'est en gros ce que je dis. 

Plein de gens s'imaginent que les autorités ont des super-pouvoirs et des moyens de ouf comme dans les films d'action.  En réalité, faut de la main d'oeuvre et y'a des procédures.  Et si on contourne allègrement les lois quand il s'agit de savoir qui on veut vraiment fliquer (en renseignement préliminaire on va dire), quand il est question de monter un dossier juridique, s'ils ne respectent pas les procécures (et que les prévenus ont des avocats dignes de ce nom), ils se farcissent des non-lieux systématiquement pour vice de forme, etc. 

Par ailleurs, le Canard enchaîné est un journal qui est loin d'être l'apanage de l'objectivité et de la bonne foi, et qui a clairement tendance à noircir le trait dès qu'il est question de la droite, de l'armée ou de la police, a minima. Après on est d'accord ou pas sur un plan subjectif, on aime ou on aime pas, mais si on veut des trucs objectifs parfois vaut mieux lire autre chose.

Maintenant, me fais pas dire ce que j'ai pas dit : c'est pas parce que je n'ai rien à cacher que je suis d'accord pour tout montrer.  Et s'il existe un cadre légal, c'est AUSSI pour protéger les populations contre l'arbitraire. 

Perso j'aime bien la notion d'Etat de Droit

Des bisous !

David

[VERDUG0]

Maintenant, me fais pas dire ce que j'ai pas dit : c'est pas parce que je n'ai rien à cacher que je suis d'accord pour tout montrer. 

Dans la même lignée :

"Arguing that you don't care about the right to privacy because you have nothing to hide is no different than saying you don't care about free speech because you have nothing to say."

[Khee Nok]

Oui, c'est en gros ce que je dis. 

Plein de gens s'imaginent que les autorités ont des super-pouvoirs et des moyens de ouf comme dans les films d'action.  En réalité, faut de la main d'oeuvre et y'a des procédures.  Et si on contourne allègrement les lois quand il s'agit de savoir qui on veut vraiment fliquer (en renseignement préliminaire on va dire), quand il est question de monter un dossier juridique, s'ils ne respectent pas les procécures (et que les prévenus ont des avocats dignes de ce nom), ils se farcissent des non-lieux systématiquement pour vice de forme, etc.

Pour ma part, franchement, je ne sais pas.

Si une écoute illicite permet de cibler quelqu'un qu'on ira ensuite inculper avec des preuves obtenues en utilisant des moyens légaux est-ce que c'est OK ? (je n'ai pas de réponse: sur le papier je dis non, dans la vraie vie je dis oui).

Sachant qu'en France on a quand même des chefs d'inculpation parfois très très larges, notamment en matière de terrorisme.

A titre personnel, si on doit aller sur ce terrain glissant: je dirais tant mieux si passer devant la justice permet de faire comprendre à un type qu'il devrait réfléchir à ce dans quoi il s'engage, quand il est encore temps. Mais quand ça conduit à inculper comme complice le gars (même peu sympathique) dont le seul tort objectif est d'avoir emmené son pote acheter un couteau dans un magasin de pèche au motif que le couteau a servi à égorger un gendarme (cas réel), moins.

Par ailleurs, le Canard enchaîné est un journal qui est loin d'être l'apanage de l'objectivité et de la bonne foi, et qui a clairement tendance à noircir le trait dès qu'il est question de la droite, de l'armée ou de la police, a minima. Après on est d'accord ou pas sur un plan subjectif, on aime ou on aime pas, mais si on veut des trucs objectifs parfois vaut mieux lire autre chose.

Oui. Il m'arrive de lire autre chose ;-)

Après sur le sujet des écoutes il se trouve que le Canard a une sensibilité particulière nourrie par l'expérience (les fameux plombiers) ...

Et cet article (pas excessivement à charge par ailleurs) renvoyait à des sources, à commencer par le rapport de la CNTCR, dispo ici : https://www.cnctr.fr/actualites/rapport-annuel

Combien de pays occidentaux démocratiques disposent d'un tel système de "boites noires" analysant l'ensemble des communications électroniques, y compris au sein du pays. Sauf erreur aux USA ce serait inconstitutionnel.

De ce point de vue quand tu dis que "On y [en France] jouit encore d'une certaine liberté, y compris dans les aspects de surveillance des populations". Oui bien sûr qu'on y jouit encore de beaucoup de libertés. Mais la France est sans doute, parmi les grandes démocraties occidentales, un des pays où la surveillance des communications est la plus intrusive et la moins contrôlée:

https://disruptive-horizons.com/p/mass-surveillance-programs-in-other
https://aboutintel.eu/france-tepid-intelligence-reform/

Maintenant, me fais pas dire ce que j'ai pas dit : c'est pas parce que je n'ai rien à cacher que je suis d'accord pour tout montrer.  Et s'il existe un cadre légal, c'est AUSSI pour protéger les populations contre l'arbitraire.

Et ne ne fais pas dire non plus ce que je n'ai pas dit même si certains le disent ;-)

En France on n'est pas en dictature, même si nous sommes devenus une "démocratie imparfaite" selon divers observateurs. Et il faut aussi reconnaître que nos services (de renseignement, policiers etc) doivent faire face à des menaces qui sont plus présentes que dans bien d'autres pays, pour diverses raisons, ce qui peut justifier des mesures en rapport.

Perso j'aime beaucoup l'état de droit. Et la négation de l'état de droit c'est la raison d'état, qui est un concept bien présent en France (à tel point qu'il est passé sans traduction en globish).

Je trouve qu'en France on gagnerait à repenser l'équilibre entre ces deux notions (état de droit vs raison d'etat) ou en tout cas à en discuter plus librement, démocratiquement. Le scandale des écoutes de l'Elysée (tu es trop jeune pour avoir connu ça ;-) avait créé une telle opportunité, mais ça date un peu.

[DavidManise]

Re,

Débat intéressant qui distingue au moins honnêtement la théorie et la pratique…

Ça serait intéressant d’avoir le point de vue d’un magistrat sur ces sujets. Je vais voir si je ne pourrais pas trouver un juge anti terroriste pour l’interviewer sur mon podcast, tiens. Qu’il explique un peu son boulot et comment ils sont formés aussi.

Si qqun a un contact je prends


David

[Khee Nok]

Re,

Débat intéressant qui distingue au moins honnêtement la théorie et la pratique…

Ça serait intéressant d’avoir le point de vue d’un magistrat sur ces sujets. Je vais voir si je ne pourrais pas trouver un juge anti terroriste pour l’interviewer sur mon podcast, tiens. Qu’il explique un peu son boulot et comment ils sont formés aussi.

Si qqun a un contact je prends

Je n'en connais pas.

Mais un juge comme Trévidic a beaucoup écrit et causé sur le sujet (après le défaut c'est que justement il prend beaucoup d'espace alors que son expérience n'est peut-être pas si représentative).

Sur le sujet dont a propos duquel on cause je découvre qu'il est d'accord avec moi, ou plutôt que je suis d'accord avec lui :

La loi sur le renseignement [de 2015 qui venait justement légaliser les boites noires et faciliter les écoutes] est "une arme redoutable si elle est mise entre de mauvaises mains" (...) et cette loi "peut être utilisée à mauvais escient".

https://www.rtl.fr/actu/debats-societe/la-loi-sur-le-renseignement-entre-de-mauvaises-mains-est-une-arme-redoutable-estime-le-juge-marc-trevidic-7777296541

Quand un magistrat antiterroriste estime qu'on lui donne trop de moyens et que c'est potentiellement dangereux pour nos libertés, je trouve que ça mérite de s'interroger (même si ce n'est pas parole d'évangile).

J'ajouterais quand même qu'il a écrit ça avant les carnages du Bataclan (il savait déjà que les salles de concerts pouvaient être visées mais il y en a tant) ou de Nice.

Pas simple.

Esprit de l'escalier : Thinkerview (a propos duquel je suis agnostique mais dont je dois dire qu'il amène souvent des interlocuteurs de bon niveau) fait des ITW sur le sujet :
https://www.thinkerview.com/section/terrorisme/
Et notamment :
https://www.thinkerview.com/terrorisme-vs-big-brother/

[oajfh]

Un point qui n'est pas dans la question originelle posée mais qui me paraît tout de même pertinent :

La sécurité, ça inclut aussi le potentiel de vulnérabilité des données à des fins de type siphonnage de numéro de carte bancaire, accès à un mdp d'adresse mail pour des fins semblables, etc.

Et là pour le coup, autant des bonnes pratiques classiques peuvent aider, on peut s'attendre à une multiplication des failles critiques dans les OS et les gros logiciels, et des fuites de données toujours plus nombreuses.

Les raisons principales :

-augmentation constante (quelque part entre quadratique et exponentielle pour l'instant) de la surface d'attaque avec rajout de fonctionnalités peu utiles à l'utilisateur sans en retirer (une vulnérabilité concerne n'importe quelle ligne de code vulnérable *atteignable* par l'attaquant, pas seulement ce que l'utilisateur fait tourner).

-empilement de couches de complexité et de dette technique qui mènent à de l'atrophie de connaissance, et peut-être de moins bonnes pratiques de sécurité par endroits

-logiciels de type surveillance anti-triche dans le jeu vidéo qui tournent avec des privilèges kernel sur les machines utilisateur, on peut s'attendre à ce que cette pratique se normalise dans d'autres domaines, ce sont des gros trous de sécurité potentiels

-on peut également anticiper des multiplications de pratiques intrusives à base de pompage de données pour de l'entraînement d'ia (microsoft en a tenté le coup avec recall)

-complexification générale de l'internet, augmentation de la puissance de calcul

-potentiellement quelques failles délibérément introduites pour de l'espionnage industriel/gouvernemental, qui se retrouvent exploitables par d'autres acteurs malicieux. On a des exemples récents de tentatives d'introduction dans le noyau linux, il n'y a pas de raison profonde qui rend ça impossible sur les autres OS, même si c'est plus long et cher à réaliser.

Dans un autre registre :
Noter aussi des changements radicaux de TOS (Adobe l'a tenté récemment -juin 2024, je ne sais pas si cela a changé) :
"section 4.2 of Adobe's Terms of Use, which explicitly states that users grant the company a royalty-free, sublicensable license to "use, reproduce, publicly display, distribute, modify, create derivative works based on, publicly perform, and translate" their creations, a section some found outright insulting."

Ce genre de changement de TOS ne m'impacte personnellement pas, mais certaines professions, potentiellement, très fortement. Dans tous les cas, c'est un changement de fond à surveiller

Bref, même si L'ETAT S'EN FOUT DE NOUS, ça ne veut pas dire qu'il n'y a pas de danger potentiel avec un impact marqué pour la victime, ou des changements de paradigme quant à la perennité du contenu (ou les droits relatifs à son usage et sa diffusion) sur internet.

Certains types d'attaque faciles ont globalement disparu avec des améliorations de sécurité, certes, mais il est possible qu'on soit dans la phase plutôt agréable et que les choses empireront.
Le fait que des géants se mettent à rajouter de l'ia de partout quand il n'y en a absolument pas besoin est aussi un signe assez manifeste de certaines formes de sécurité reléguées en second ou troisième plan, même si ce n'est pas du tout un point si discuté que ça

[oajfh]

Autres éléments qui  me paraissent pertinents :

Des personnes (streamers, typiquement) dont la voix est facilement trouvable sur internet ont ces temps-ci tendance à demander à ce que TOUTE transaction, toute intervention légale/commerciale se fasse EN PERSONNE (ou par intermédiaire désigné). A en croire des spécialistes concernés, il est très facile aujourd'hui d'entraîner une ia sur la voix de quelqu'un et d'essayer de se faire passer pour par appel vocal.

Les attaques à base de Proxmark et/ou d'ingéniérie sociale (auxquelles a fait allusion le Manitou, je crois) ont plus tendance à viser des entreprises ou des organismes, mais pas uniquement.

A garder en tête si on a un profil de cible potentielle, dans un cas comme dans l'autre.

Personnellement, même si les ordis c'est cool et qu'on peut faire plein de choses incroyables dessus, je pense que *même à titre individuel* il vaut mieux (dans les grandes lignes) éviter d'étaler sa 'signature' sur le net/cloud en dehors du strict minimum si on n'a pas de bonne raison de le faire. En dehors du pro (sécurisé autant que possible), ou de texte non sensible (un message ici sans données sensibles ne risque pas d'exposer "grand-chose", vaut mieux réfléchir à deux fois. (Ce qui va un peu au-delà des préconisations précédentes du fil). Même si la tendance globale est dans la direction opposée et le laisser-faire.

Ça peut inclure les messages whatsapp/télégram vocaux dans un groupe avec des inconnus, par exemple... ou potentiellement compromis...

D'ailleurs, peut-être que des personnes plus expertes que moi (qui garde un oeil sur ces questions et ai quelques connaissances mais rien de plus) dans ces domaines ont des préconisations à jour ? Certaines problématiques de sécurité ont changé tellement vite ces dernières années que des bonnes pratiques d'il y a 10 ans n'ont plus toute leur pertinence aujourd'hui.

(À moins que ça ne vous paraisse déborder du cadre du sujet initial, mais je n'ai pas l'impression que ce soit le cas)

[Rantanplan]

D'ailleurs, peut-être que des personnes plus expertes que moi (qui garde un oeil sur ces questions et ai quelques connaissances mais rien de plus) dans ces domaines ont des préconisations à jour ? Certaines problématiques de sécurité ont changé tellement vite ces dernières années que des bonnes pratiques d'il y a 10 ans n'ont plus toute leur pertinence aujourd'hui.

+1

Prenons l'exemple d'un libéral, avocat, psychologue, etc. Les données que ces professionnels brassent sont très sensibles et ils n'ont aucune organisation pour s'occuper de leur cybersécurité. Où doivent ils se former pour protéger leurs clients ?

-logiciels de type surveillance anti-triche dans le jeu vidéo qui tournent avec des privilèges kernel sur les machines utilisateur, on peut s'attendre à ce que cette pratique se normalise dans d'autres domaines, ce sont des gros trous de sécurité potentiels

Anti triche aussi dans les examens universitaires en distanciel : il faut donner l'accès complet à sa machine + webcam.

 

[Krapo]

Anti triche aussi dans les examens universitaires en distanciel : il faut donner l'accès complet à sa machine + webcam.

En effet avec en plus un accès généralement géré de façon opaque par M$ dans le monde Windows 

[Khee Nok]

Prenons l'exemple d'un libéral, avocat, psychologue, etc. Les données que ces professionnels brassent sont très sensibles et ils n'ont aucune organisation pour s'occuper de leur cybersécurité. Où doivent ils se former pour protéger leurs clients ?

Il me semble que cela pourrait/devrait relever de leurs ordres professionnels respectifs.

Par exemple dans le cas des avocats il semble que les barreaux organisent des formations et proposent des solutions. Après une rapide recherche :
https://cnb.avocat.fr/fr/la-cybersecurite-des-cabinets-davocats

Par contre je ne sais pas si c'est très suivi et appliqué.