PGP EFAIL – Ce qu’il faut savoir

Trois chercheurs en sécurité ont publié une recherche documentant deux attaques (side channel) sur le chiffrement de courriels par PGP. Il ne s’agit pas d’une faille dans PGP, mais bien dans son implémentation dans divers clients, tels que Apple Mail, Thunderbird, iOS Mail, etc. Ces vulnérabilités devront être corrigées par les clients de courriel.

En attendant, pas de panique – voici quelques mitigations qui permettent de se protéger et de continuer l’envoi de courriels chiffrés de bout-en-bout :

1 – Déchiffrer les courriels PGP dans une autre application que celle qu’on utilise pour lire les courriels. Oui, ça rajoute une étape, mais on s’assure alors de limiter les possibilités d’attaque sur la confidentialité de nos messages.  

2 – Désactiver le rendu HTML des courriels dans son client. Les vulnérabilités identifiées misent sur la séquence de lecture des différents éléments d’un courriel HTML par le client. Par exemple, certains de ces éléments peuvent être des images ou encore des styles de mises en page… Pour désactiver cette fonction, rendez-vous dans les paramètres de votre client et assurez-vous de décocher les cases – autant dans la composition du message que dans sa signature, s’il y a lieu – qui activent le format HTML. Si cette fonction est désactivée, pas de problème!

3 – Informez vos correspondants de cette vulnérabilité! Si un seul des correspondants se comporte de manière non sécuritaire, la confidentialité des messages peut être atteinte

4 – Faites religieusement vos mises à jour (eh oui, encore ça!).

5 – Utilisez un autre canal de communication confidentiel en attendant de confirmer que vos interlocuteurs savent comment mitiger les risques qu’amène cette vulnérabilité.

 

Il y a de bonnes chances que le client courriel que vous utilisez soit affecté – vous trouverez en page 11 du rapport un tableau identifiant les risques pour chaque client.


Pour en savoir plus :

 

https://efail.de

https://efail.de/efail-attack-paper.pdf

https://www.eff.org/fr/deeplinks/2018/05/not-so-pretty-what-you-need-know-about-e-fail-and-pgp-flaw-0

 

Un Internet pas cher c’est bien, un Internet qui respecte nos libertés et nos droits, c’est mieux !

Nous réagissons dans ce texte à la proposition de Martine Ouellet concernant l’accès à Internet au Québec.

La proposition dévoilée le 29 août 2016 a eu beaucoup d’échos dans les médias en septembre et nous tenions à nous exprimer sur le sujet nous aussi. En plus du présent format HTML, notre texte d’opinion peut être consulté aux formats ODT et PDF.

Une version plus courte du texte est également parue dans le courrier des lecteurs du Journal Métro, le 27 septembre 2016, à la page 10.


Il est rafraîchissant d’entendre une députée de notre Assemblée nationale, Martine Ouellet, parler d’Internet, de «grand pacte social», d’un «droit» d’accès au réseau, d’un réseau qui serait «rapide et illimité» pour toutes les régions, d’un «défi» lancé à l’industrie des télécommunications pour rattraper l’évident retard du Québec (et du Canada) en cette matière. On oublie presque qu’il fallait en parler et surtout agir il y a environ 10 ans…

L’analogie entre les infrastructures d’Internet et celles du réseau électrique de même que l’évocation de l’épisode mythique de la nationalisation de l’électricité au Québec sont certainement utiles à la cause et peuvent nous aider à faire adopter de bonnes mesures pour lutter contre la dimension géographique du fossé numérique. Cependant, le réseau électrique, contrairement au réseau numérique, ne véhicule pas toutes nos communications, privées comme publiques. Il n’est pas très utile pour tracer, pister, profiler les internautes et étudier leurs comportements. Des enjeux considérables et inédits sont soulevés par Internet et au premier rang de ceux-ci il y a ceux de nos libertés et de nos droits. Il est donc souhaitable que la discussion politique ne porte pas uniquement sur «plus» ou «moins» d’Internet, mais également, si l’on peut dire, sur «mieux» d’Internet[a].

Mieux d’Internet

La Stratégie numérique du Québec, que le gouvernement actuel nous invite à cocréer sur la plateforme Objectif numérique[b] jusqu’en décembre 2016, doit impérativement tenir compte de nos libertés et de nos droits. Lorsqu’il est question d’Internet, cela implique notamment :

  • d’adopter des politiques qui respectent les Principes internationaux sur l’application des droits de l’homme à la surveillance des communications. [1]
  • de mettre de la pression sur Ottawa dans le cadre de la Consultation sur la sécurité nationale pour que nos droits à la vie privée, à la liberté d’expression et à la communication ne soient pas sacrifiés encore une fois aux arguments de la peur du discours «sécuritaire». [2]
  • de s’opposer vigoureusement au Partenariat transpacifique (PTP), qui fait reculer nos libertés informatiques, nos droits à la vie privée, à la liberté d’expression et même l’accès à notre domaine public. [3]
  • d’aller au moins aussi loin que les régulateurs européens de l’ORECE dans la défense du principe de la neutralité du réseau. [4]
  • d’abroger les dispositions de la loi 74 qui obligent les fournisseurs d’accès à Internet à bloquer des sites web comme moyen de préserver le monopole de Loto-Québec : cette méthode constitue un dangereux et inutile précédent qui viole directement le principe de la neutralité du réseau. D’autres méthodes existent pour parvenir aux mêmes fins. [5]
  • d’élaborer une vision et de mettre à exécution une stratégie et des plans d’action afin d’assurer le développement d’un Internet libre, indépendant, décentralisé, protecteur de nos libertés et de nos droits et compris comme un bien commun à cultiver pour l’enrichissement de tous, à préserver pour les générations futures. [6]

Qui sera le premier député ou la première députée de l’Assemblée nationale du Québec à proposer une vision d’Internet qui sera applaudie par les organismes de défense des droits et libertés, les hackers et les libristes ?

En attendant que nos parlementaires s’intéressent sérieusement à ces questions cruciales, nous invitons les citoyens et les citoyennes à en débattre sur toutes les tribunes publiques disponibles, qu’elles soient numériques ou pas.

– FACIL, pour l’appropriation collective de l’informatique libre et Crypto.Québec


a. Allusion à l’essai de Martine Ouellet intitulé Mieux d’État (Éditions Somme toute, 2015, 120 p.)
b. https://numerique.economie.gouv.qc.ca

Snowden : la réalité dépasse la fiction

J’étais l’invitée de La Sphère à la Première Chaîne de Radio-Canada afin de discuter du nouveau film d’Oliver Stone, Snowden.

Pour écouter l’entrevue, cliquez ici. 

Un film à voir en gardant en tête que les révélations de Snowden ne font pas partie des éléments de fiction du film. Elles sont bien vraies, faut-il le rappeler. Immanquablement, dans le sillage du film, chaque petite dérogation à la vérité, chaque détail tombant dans l’hagiographie sera érigé en « preuve » de failles dans le tempérament de Snowden. Chaque occasion de le qualifier de menteur sera saisie. D’ailleurs, ce processus douteux est déjà en marche avec un premier sommaire exécutif du Permanent Select Committee on Intelligence.

À cela j’oppose qu’Edward Snowden est humain, et que la surveillance étatique outrancière qu’il a dénoncée, elle, ne l’est pas.
Pour consulter l’archive des révélations de Snowden, cliquez ici.

(photo – Open Road Films)

Une rançon pour vos photos?

À première vue, le courriel ne détonne pas. Une connaissance vous envoie un message comprenant une présentation PowerPoint, à en juger par le nom du fichier. Un diaporama de photos de voyage, peut-être. Vous tentez de l’ouvrir, mais ça ne fonctionne pas. Puis soudain…

Sur votre écran, un message pour le moins hostile s’affiche, qui ne vient manifestement pas de votre connaissance: vos fichiers importants ont été cryptés ou, pire encore, vous ne pouvez plus accéder au contenu de votre appareil. Vous êtes victime d’une attaque de type rançongiciel!

La suite à lire sur le site de L’actualité.

Crypto.Québec au 98.5 FM

C’est avec grand plaisir que j’ai rencontré Émilie Perreault et Catherine Brisson à l’émission En ligne, au 98.5 FM, pour parler de notre podcast Les Chiens de garde.

Le segment a été diffusé samedi 11 juin. Vous pouvez l’écouter ici.

Restez à l’affût, comme je l’annonçais dans l’entrevue, nous offrirons bientôt des formations au public. La prochaine devrait selon toute vraisemblance se dérouler un soir de semaine au centre-ville de Montréal.

Les gens intéressés à contacter notre équipe peuvent le faire par nos divers canaux de communication.