Security ad absurdum

une vérité qui dérange

pour laquelle (presque) personne n'est intéressé ?

Tracking (traçage numérique)

Si quelqu'un m'avait dit dans le passé que je transporterais volontairement un micro sur moi et que je le chargerais moi-même, j'aurais ri aux éclats. Aujourd'hui, j'ai un smartphone. (Auteur inconnu).
La majorité des utilisateurs n'accepteraient pas de devoir se passer de Facebook, Google, Youporn et Twitter, de Microsoft Windows, de macOS et des iPhones d'Apple, ainsi que des smartphones Android, etc. Je suis toujours étonné de voir que les gens se battent pendant des années contre l'obligation légale de conservation des données (ou obligation de stockage minimum) et n'ont aucun problème avec celle-ci pour leurs gadgets de style de vie préférés et acceptent même volontairement de collecter les données de communication sur la conservation et de les mettre à la disposition des autorités.

On fait souvent valoir que Google, Facebook et d'autres services Internet financés par la publicité sont "payés avec des données". Ce n'est pas tout à fait correct de manière aussi simplifiée. Les données ne sont pas une monnaie qui peut être utilisée pour payer les employés ou les factures de matériel. Les données sont une ressource qui est exploitée pour vendre un produit.
97% des sites web du TOP100 et environ 80% des sites web germanophones sont infectés par divers éléments de Google pour l'insertion de publicité ou l'analyse du trafic. (Reppesgaard : Das Google Imperium, 2008) Chaque appel d'un tel site préparé est enregistré chez Google, évalué et attribué à un surfeur. Outre les sites commerciaux, les offres d'information des journalistes professionnels et les blogueurs indépendants sur les plateformes blogger.com et blogspot.com, il existe également de nombreux sites privés qui se réjouissent de recevoir quelques centimes du programme publicitaire Adsense.

Les profils d'utilisateurs qui en résultent sont maintenant très révélateurs. Bien que 80% des utilisateurs d'Internet désapprouvent le suivi du comportement de navigation, il continue à être étendu, tant sur le plan technique par les grands collecteurs de données que par des décisions politiques, la collecte de données est facilitée. De nombreux services sur le web profitent des possibilités de suivre et d'analyser le comportement des surfeurs et nos communications privées et de vendre les données collectées contre de l'argent.

L'initiative "Do-Not-Track" a échoué en raison du lobbying.

L'option "Do-Not-Track" (DNT) a été proposée par EEF.org en 2009. Grâce à un en-tête HTTP supplémentaire, le navigateur était censé transmettre le souhait fondamental de l'utilisateur de ne pas être suivi. En décembre 2010, la FTC a déclaré soutenir le DNT et, en 2012, le W3C a commencé à normaliser cette fonctionnalité.

La volonté manifeste des utilisateurs, exprimée par l'activation de la fonction "Do-Not-Track" dans le navigateur, a été ignorée en bloc par l'industrie du pistage. Des études empiriques ont montré que cela réduisait de moins de 2% le repérage pendant la navigation.

Microsoft a eu l'intelligence d'activer la fonction "Do-Not-Track" par défaut dans IE10, sans intervention de l'utilisateur. Cela contredisait clairement les intentions de la norme du W3C, qui stipulait explicitement qu'un en-tête DNT ne devait être envoyé par le navigateur que lorsque l'utilisateur souhaite activement exprimer une demande. Cette activation par défaut a donné à l'industrie du pistage l'excuse nécessaire pour ignorer officiellement le DNT, car on ne pouvait plus supposer qu'un utilisateur avait activement choisi de participer. Yahoo a déclaré en mai 2014 que tous ses services ignoreraient le DNT, suivi par Google et Facebook en juin et Twitter deux ans plus tard.

Cependant, il ne s'agit pas seulement de l'affichage de publicités, mais aussi de la collecte et de l'utilisation de grandes quantités de données personnelles.

Suivi et analyse de mouvement

re:publica 2013 - Analyse des flux de visiteurs lien/l'image s'ouvre re:log - analyse des flux de visiteurs Tous les smartphones (et les ordinateurs portables !) possèdent un module WLAN. C'est pratique quand vous rentrez chez vous ou quand votre smartphone utilise automatiquement le WLAN au travail au lieu des connexions de données coûteuses de l'opérateur de téléphonie mobile. Si l'on est sur la route avec le module WLAN activé et la connexion automatique pour les WLAN préférés, alors le smartphone ou l'ordinateur portable envoie régulièrement des "sondes" actives pour scanner l'environnement à la recherche des WALN préférés. En plus de l'adresse MAC unique au monde, il envoie également une liste de SSID des WLAN préférés auxquels le smartphone se connecterait automatiquement (Preferred Network List, PNL). Cette liste fournit des informations sur les lieux où le propriétaire du smartphone préfère se trouver (domicile, bureau...). Avec peu d'effort technique, ces données des "sondes" WLAN actives peuvent être utilisées pour le suivi et les attaques.

Lors de re:publica 2013, un WLAN gratuit était mis à disposition. Ce WLAN a permis de suivre tous les appareils compatibles WLAN (ordinateurs portables et smartphones) des visiteurs, qu'ils utilisent ou non le WLAN. Le projet re:log - analyse des flux de visiteurs via re:publica W-LAN permet de visualiser les données.

La société de publicité Renew a installé 200 poubelles lors des Jeux olympiques de 2012 à Londres, qui ont permis de suivre les piétons à l'aide de l'adresse MAC de leur smartphone avec un point d'accès WLAN intégré. En l'espace d'une semaine, plus de 4 millions d'appareils ont été repérés alors qu'ils traversaient la ville de Londres.

L'autorité des transports de Berlin travaillera avec HOTSPLOTS pour fournir une connexion Wi-Fi gratuite dans les stations de métro. "We will cookie the subway." serait également un bon slogan, mais "Our logging tool..." est vraiment bon et adapté.

Ces données permettent de suivre les mouvements dans le monde réel, comme l'a démontré la foule des visiteurs de republica 2013 (voir ci-dessus).

L'analyse de l'environnement social est également possible grâce aux données de localisation. La somme de toutes les données de localisation est supérieure au cumul des localisations des personnes A, B et C. Comme le montre l'étude Inferring social ties from geographic coinsidences (ext.PDF ), cette collection permet d'obtenir des informations détaillées sur l'environnement social, même si l'on n'est pas ami sur Facebook. Les données de localisation des smartphones révèlent avec qui vous buvez régulièrement une bière, avec qui vous couchez, si vous participez aux manifestations de Pegida ou si vous vous rencontrez dans les cercles Antifa, pour quelle entreprise vous travaillez ou si vous êtes au chômage, et bien plus encore.

La société Sense Networks est un pionnier dans le domaine de l'analyse du mouvement. Dans une interview accordée à Technology Review, G. Skibiski décrit sa vision. Grâce à la collecte de données géoréférencées (y compris les données SDV), une surveillance simple est possible.

En Ukraine, ces données ont déjà été utilisées pour intimider des manifestants en janvier 2014. Les participants à une manifestation contre le président en exercice de l'époque ont reçu un SMS dont le contenu était le suivant : "Cher client, vous êtes enregistré comme participant à une émeute.

La société Dataminr offre à ses clients un accès aux messages Twitter via une API et explique dans un prospectus (int.PDF ), en prenant l'exemple d'une manifestation étudiante en Afrique du Sud, comment le nouvel outil d'analyse géospatiale peut être utilisé pour surveiller les manifestations politiques.

WiFi-Tracking on Amsterdam Airport Schiphol Bluetooth est utilisé de la même manière pour le suivi. En outre, chaque fonctionnalité augmente la surface d'attaque. Personne ne peut attaquer ou se connecter subrepticement à un dispositif Bluetooth qui est désactivé. Par conséquent, la fonction ne doit être activée pour les smartphones ou les tablettes que lorsqu'elle est réellement utilisée.

L'attaque BlueBorn publiée en septembre 2017 montre que cet avertissement était justifié. Les attaquants peuvent exploiter les smartphones via plusieurs failles de sécurité dans Bluetooth et exécuter leur propre code sur l'appareil. Les appareils Android et Linux peuvent être entièrement adoptés.

Il faut savoir qu'il n'existe pratiquement aucune protection technique contre la localisation et l'observation des profils de mouvement. Les exemples montrent qu'il est difficile de se protéger d'une éventuelle surveillance. Même si vous laissez votre propre smartphone à la maison, un ami peut avoir son smartphone avec lui et non seulement qu'il est espionné, mais moi aussi.

Entreprises de Big Data

Youtube Video about Acxiom and Big Data youtube ∽ 3 Min. Les collecteurs de données (Facebook, Amazon, Twitter...) vendent des informations sur les utilisateurs à des courtiers en données (par exemple Acxiom, KaiBlue, RapLeaf...) qui enrichissent les données, les agrègent et vendent des profils complets aux véritables utilisateurs finaux, tels que les sociétés de cartes de crédit, les départements RH des grandes entreprises et les départements marketing. Le client paie.

Acxiom dispose de données précises sur 96% de la population américaine. En Allemagne, Acxiom fournit des données sur 44 millions de consommateurs actifs. Les consommateurs sont classés en 14 groupes principaux, par exemple "parent isolé et de faible statut", "célibataire d'âge moyen aisé" ou "retraité doré et actif"... . Ces groupes principaux sont subdivisés en un maximum de 214 sous-groupes en fonction des activités liées au mode de vie (par exemple, le jardinage, les animaux domestiques, le sport, la mode, l'alimentation...), du comportement de consommation, de la classification des milieux (par exemple, "intellectuel", "classe moyenne orientée vers le statut", "milieu ouvrier traditionnel", "hédoniste", "consumériste-matérialiste"...), etc.

Match Group monopolise le marché des rencontres. Le groupe Match comprend les portails de rencontres Tinder, OkCupid, Plenty of Fish, Meetic, LoveScout24, OurTimes, Pairs, Meetic, Match, Twoo, Neu.de et d'autres portails partenaires. Dans les politiques de confidentialité des portails, vous pouvez lire que les données sensibles de la personnalité des utilisateurs du groupe de jumelage sont partagées entre les portails : Nous partageons vos données avec d'autres sociétés du groupe Match. [...] L'assistance peut comprendre des opérations de traitement technique telles que l'hébergement et la maintenance des données, le support client, le marketing et la publicité ciblée [...]. Nous pouvons également partager vos informations avec des partenaires qui nous aident à distribuer et à commercialiser nos services.

C'est une carte blanche pour vendre des détails très privés à n'importe quel tiers.

Le suivi du comportement de navigation et des achats en ligne donne une image incomplète de nos intérêts. En intégrant des données de la vie réelle, les profils sont censés être améliorés.

Les demandes de brevets déposées par Google et les acquisitions d'entreprises montrent que l'empire veut également collecter des données dans le monde réel à l'avenir. Début 2014, par exemple, Google a acheté Nest, un fabricant de thermostats et de détecteurs de fumée, pour 3,1 milliards de dollars. Les thermostats de Nest sont installés dans des millions de foyers et sont équipés de capteurs de température, de luminosité et d'humidité qui peuvent être lus via Internet.

La sécurité de l'IdO dépasse souvent les capacités des responsables informatiques, car il faut gérer des appareils et des objets physiques plutôt que des actifs virtuels. En fait, l'enquête 2016 de Gartner sur la dorsale IoT a montré que 32% des responsables informatiques citent la sécurité comme un obstacle au succès de l'IoT.

Systèmes d'exploitation

Avec Windows 8.0, Microsoft a commencé à introduire le suivi basé sur les appareils, qui est accepté sur les smartphones, sur les PC également. Comme Google avec Android, Microsoft, qui est l'un des cinq plus grands collecteurs de données sur Internet, veut étendre et mieux personnaliser ses données.
Si vous lisez la politique de confidentialité d'Apple, vous verrez que macOS ne convient pas comme système d'exploitation si vous ne voulez pas partager votre vie privée avec Apple. Pour cela, Apple a été récompensée par le BigBrother Award 2011.
Il existe une grande variété de distributions Linux, donc si vous êtes un débutant, vous avez d'abord l'embarras du choix : Debian et ses dérivés, OpenSuSE, Mandrive, Fedora, Gentoo pour les amateurs, des mini-distributions comme Puppy ou des variantes particulièrement renforcées comme Qubes OS et Fortress Linux ...
NetBSD et OpenBSD sont systématiquement optimisés pour la sécurité sans compromettre la convivialité. Si vous avez plusieurs années d'expérience avec un système de type UNIX (par exemple Linux) et que vous êtes suffisamment capable de souffrir, vous pouvez alors profiter des avantages de ces deux systèmes d'exploitation.

Dans quelle mesure Microsoft est-il digne de confiance ? Pour l'administration fédérale et toutes les autorités, entreprises et utilisateurs privés allemands qui veulent continuer à travailler avec le système d'exploitation Windows à l'avenir, cette question se pose aujourd'hui plus que jamais. En 2013, les experts du BSI (Office fédéral allemand de la sécurité de l'information) ont mis en garde contre l'utilisation de Windows 8 en combinaison avec TPM 2.0, estimant qu'il s'agissait d'un risque de sécurité inacceptable pour les autorités publiques/entreprises. Selon les experts, les utilisateurs d'un système informatique de confiance perdent le contrôle de leur ordinateur. Aujourd'hui, le BSI relativise l'avertissement, mais voit quelques aspects critiques en rapport avec certains scénarios de déploiement.

Microsoft est un partenaire du programme PRISM de la NSA depuis 2007.

Télémétrie Windows 10

Dans Windows 10, le suivi basé sur les appareils a été encore étendu. Un "identifiant publicitaire unique" est généré pour chaque compte sur l'ordinateur. Cet identifiant est également mis à la disposition de tiers pour une identification unique. Données privées que Microsoft collecte dans la configuration par défaut :

  • Les intérêts personnels dérivés du comportement de navigation ainsi que les données collectées via les applis sont envoyés à Microsoft (une appli sportive envoie les équipes favorites, une appli météo les villes fréquemment demandées...).
  • Les données de localisation de tous les appareils fonctionnant sous Windows sont envoyées à Microsoft. La préférence est donnée à l'utilisation du GPS ou des réseaux locaux sans fil environnants pour déterminer l'emplacement le plus précisément possible.
  • Les données de contact des amis et des connaissances sont transférées à Microsoft lors de l'utilisation des outils de Microsoft comme carnet d'adresses.
  • Le contenu des courriers électroniques, des messages instantanés et des messages vocaux/vidéo (par exemple Skype) fait également partie des données que Microsoft collecte.
  • Windows Defender transmet toutes les applications installées.
  • Avec l'assistant numérique "Cortana", la configuration par défaut met en place une sorte de centre d'écoute qui relie directement le salon à Microsoft. Avec l'Anniversary Update du 02 août 2016, il est rendu presque impossible de désactiver l'intrusif et espion "Cortana", car l'assistant numérique assure la recherche complète (en local et sur le web).
  • Le comportement de frappe est analysé et envoyé à Microsoft. Le profil des frappes typiques pourrait être utilisé à l'avenir pour identifier les entrées de texte dans les formulaires Web ou les chats (mot-clé : Keystroke Biometrics).
  • L'UUID unique que Windows envoie lorsqu'il communique avec les serveurs Microsoft (par exemple, pour les mises à jour de logiciels) est utilisé par la NSA et le GCHQ comme sélecteur pour les opérations de Taylored Access (TAO) afin d'attaquer les ordinateurs des personnes ou des entreprises intéressées.
  • Fait marquant, les clés de récupération générées automatiquement par le système de cryptage de disque dur Bitlocker font également partie des données que MS collecte dans son nuage et fournit à la NSA/FBI/CIA. (Crypto War 3.0 ?)
Fin 2018, l'Office fédéral allemand de la sécurité de l'information (BSI) a publié une étude intitulée "Intégrité du système, journalisation, durcissement et fonctions de sécurité dans Windows 10" (SiSyPHuS). Il critique le fait qu'une prévention complète de la collecte et de la transmission des données télémétriques par Windows 10 ne peut pas être complètement désactivée en configurant les paramètres. Toutefois, le BSI n'aborde pas la question de savoir si la transmission des données télémétriques par Windows 10 à Microsoft est illégale.

Windows 10 et la protection des données

Windows 10 n'est pas seulement dans le collimateur des régulateurs de la vie privée depuis hier. En novembre 2019, la Conférence sur la protection de la vie privée a maintenant publié un document avec un schéma de révision sur la vie privée de Windows 10. L'une des raisons de cet examen minutieux est sans doute l'énorme pouvoir de marché de Microsoft et de ses produits. Une autre raison pour laquelle le DSK mène une enquête est la différence significative de fonctionnalité entre Windows 7 et Windows 10:

  • Windows 10 se considère moins comme un système d'exploitation que comme un environnement système doté d'une multitude de fonctionnalités supplémentaires.
  • Chaque mise à jour peut entraîner une modification des paramètres de configuration ou une modification de l'étendue des fonctions et donc de l'étendue du traitement.
  • Un transfert de données de Windows 10 à Microsoft ne peut pas être complètement empêché par des paramètres personnalisés. En outre, la transmission des données est cryptée, de sorte qu'il n'est pas possible de déterminer si et, le cas échéant, quelles données personnelles sont transmises à Microsoft au cours du processus.

Utilisation de Windows 10 dans le respect de la protection des données

Si les responsables du traitement des données veulent utiliser Windows 10 dans leur entreprise dans le respect de la vie privée, il faut soit empêcher la transmission de toute donnée télémétrique à Microsoft, soit que le responsable du traitement des données soit suffisamment important pour négocier une solution individuelle avec Microsoft. Sinon, la seule option est de passer à un système d'exploitation respectueux de la vie privée. L'article 25 du règlement général sur la protection des données exige des paramètres par défaut conviviaux en matière de protection des données ("Privacy by Default"). Par conséquent, les parties responsables, qui seraient les opérateurs du système, devraient s'assurer que le système est configuré en conséquence.

„Cependant, la réalité est que de nombreuses autorités sont depuis longtemps dans la situation où elles n'ont plus d'alternative pour migrer vers Windows 10 parce que le support du système d'exploitation actuellement utilisé expire et qu'aucun autre client fédéral n'est disponible."
Les autorités allemandes de contrôle de la protection des données n'étant actuellement pas en mesure de prendre des mesures directes à l'encontre de Microsoft en raison de problèmes liés au GDPR (One Stop Shop / Coherence Procedure), elles empruntent une fois de plus le détour par les utilisateurs.

Si les tribunaux confirment l'avis des autorités de contrôle indiqué dans le schéma de révision et classent l'utilisation de Windows 10 comme généralement inadmissible en vertu de la loi sur la protection des données, Microsoft sera "encouragée" par la menace potentielle de perte d'utilisateurs à tenir compte de l'impératif de protection des données.

Données utilisateur lors de la transmission des données

Windows 10 n'est cependant pas le seul problème ; le progiciel Office de Microsoft transmet également des données. Dans le cadre du processus de passation de marché, le ministère néerlandais de la Justice a chargé le cabinet de conseil Privacy Company de réaliser une analyse d'impact sur la protection des données pour l'utilisation d'Office ProPlus conformément aux exigences du règlement général sur la protection des données (RGPD). L'évaluation de l'impact sur la vie privée (ext.PDF ) publiée en novembre montre que les données de télémétrie d'Office sont des données d'utilisation : Lorsque les utilisateurs traduisent des parties de texte via le progiciel Office, par exemple, cela ne peut se faire que via un service en ligne de Microsoft.

Au total, il y aurait entre 23 000 et 25 000 types d'événements différents qui sont envoyés d'Office aux serveurs de Microsoft. Du côté de Windows 10, il n'y aurait qu'un maximum de 2 000 types d'événements. En ce qui concerne l'analyse d'impact, le gouvernement néerlandais exige que Microsoft mette fin aux transferts illégaux de données.

Votre ordinateur appartient depuis longtemps à quelqu'un d'autre

Le Intel Management Engine ("ME") () est un microcontrôleur dédié intégré dans tous les chipsets actuels des cartes mères Intel. Il fonctionne indépendamment de l'unité centrale principale, peut être actif même lorsque le reste du système est hors tension et dispose d'une connexion dédiée à l'interface réseau pour une mise en réseau hors bande qui contourne l'unité centrale principale et le système d'exploitation installé. Il effectue non seulement les tâches de gestion pour lesquelles il a été conçu à l'origine, mais il met également en œuvre des fonctionnalités telles que la technologie Intel Identity Protection (IPT), le chemin audio-vidéo protégé, Intel Anti-Theft, Intel TPM, les communications NFC, etc. Il n'y a pas beaucoup d'informations sur son fonctionnement exact. Igor Skochinsky, REcon 2014 (ext.PDF )

REcon is a computer security conference with a focus on reverse engineering and advanced exploitation techniques. It is held annually in Montreal, Canada. The conference offers a single track of presentations over the span of three days along with technical training sessions held before the presentation dates. Technical training varies in length between two and four days.

Le ME est constitué d'un cœur de processeur dédié, de caches de code et de données, d'un temporisateur comprenant un moteur de cryptographie, d'une ROM et d'une RAM internes, de contrôleurs de mémoire et d'un bus interne sécurisé auquel sont connectés des dispositifs supplémentaires. Un moteur d'accès direct à la mémoire (DMA) accède au système d'exploitation hôte pour allouer une zone de mémoire externe protégée. Cela complète la RAM interne limitée de la ME. Le ME dispose également d'un contrôleur Intel Ethernet avec sa propre adresse MAC. Le programme de démarrage stocké dans la ROM interne charge un manifeste de micrologiciel à partir de la puce flash SPI du PC. Ce manifeste est signé avec une clé cryptographique forte qui diffère selon les versions du micrologiciel du ME. Si le manifeste n'est pas signé par une clé Intel spécifique, la ROM d'amorçage ne pourra pas charger et exécuter le firmware, et le cœur du processeur ME sera arrêté.