Atelier pRiNT! :: Anonymat/Tor :: à Dijon le samedi 1er Juillet 2006

Posté par  . Modéré par Nÿco.
Étiquettes :
0
22
juin
2006
Sécurité
Depuis une dizaine d'années les législations française et internationale accumulent des lois mettant les internautes et les fournisseurs de services internet - accès, hébergement de sites, messagerie, etc. - dans une situation de surveillance et d'obligation de surveillance sans cesse croissantes.

Cette avalanche d'atteintes à notre vie privée et à notre liberté de communiquer sur Internet aboutit à une situation que peu toléreraient pour le reste de notre vie hors-ligne.

Cela fait penser à certains que ces lois sur le monde numérique ont plus été créées parce qu'"on peut le faire" que parce qu'"on doit le faire" et qu'elles sont pour beaucoup inutiles et dangereuses.

Tor est un logiciel libre d'anonymat pour internet reposant sur une technique de routage en oignon. Le trafic entrant et sortant de votre machine circule chiffré le long d'une route composée de relais Tor choisis aléatoirement parmi les 600 serveurs Tor bénévoles composant actuellement le réseau Tor. Ce fonctionnement permet d'obtenir un anonymat solide sur internet.

L'atelier Anonymat / Tor se compose de deux parties :
  • Problématique de l'anonymat sur Internet et fonctionnement du réseau Tor.
  • Atelier installation d'un client et configuration d'un serveur Tor.

Il aura lieu le 1er Juillet 2006 de 14h à 16h++, au hacklab pRiNT! de l'Espace autogéré des Tanneries, 17 bvd de Chicago à Dijon.

Aller plus loin

  • # Confiance à Tor ? :)

    Posté par  (site web personnel) . Évalué à 2.

    Après la conf du SSTIC 2006 [1], j'ai un peu de mal à utiliser tor :)
    Les actes sont pas encore en ligne mais en gros, un site peu facilement trouver votre adresse ip réelle avec un applet, les serveurs tor sont listés et la confiance des serveurs si on monte le sien pour écouter le traffic est aquise en 48h ...

    1 : http://www.sstic.org
    • [^] # Re: Confiance à Tor ? :)

      Posté par  . Évalué à 3.

      L'applet, c'est à l'utilisateur de decider si il utilise ou non Java durant sa navigation par tor; la prudence dicte la réponse, NON.

      Les serveurs sont listés car tor utilise un annuaire de relais. Il serait bon que dans l'avenir cet annuaire soit décentralisé, distribué. Mais chacun a la possiilité de monter ses relais tor et de n'utiliser que ceux-ci et ceux en lesquels il a confiance (ie dont il connait les admins), en gérant son propre annuaire perso de relais tor.

      Enfin, s'il y a un relai espion parmis les trois relais qui transmettent une connexion, cela ne casse pas le principe: chaque relai ne connait que les voisins, donc un relai peut savoir d'où vient la connexion, ou où elle va, mais pas les deux. Et là encore, on eut choisir que le premier relai (celui qui sait d'ù vien la connexion) soit un relai en particulier, un noeud tor en lequel on a confiance. Ou bien augmenter le nombre de relai sur le chemoin tor.
      • [^] # Re: Confiance à Tor ? :)

        Posté par  (site web personnel) . Évalué à 2.

        Petite precision: Tor se presentant comme un serveur SOCKS local, si l'applet java et/ou la JVM est pas trop pouri, c'est tout de meme supose prendre en compte la configuration de la becane et donc utiliser le SOCKS.
        Les vrais paranoiaques mettrons des regles de firewall pour empecher toute connexions ne passant pas par Tor. Ca ne fera pas marcher les applets java mais ca garantira qu'aucune application boulette n'aille mouffter...
  • # C'est pour les méchants ou pour les gentils?

    Posté par  . Évalué à 2.

    Bon, je m'explique, sur le site de Tor, on trouve ça:
    Why we need Tor:
    Using Tor protects you against a common form of Internet surveillance known as "traffic analysis."


    Ça me paraît pas mal comme intention, se défendre un peu contre big brother ça fait pas de mal.

    Mais on trouve aussi ça:
    Individuals use Tor to keep websites from tracking them and their family members, or to connect to news sites, instant messaging services [...] Tor's hidden services let users publish web sites and other services without needing to reveal the location of the site.

    Alors là, moi je pense directement au type détraqué qui voudrais discuter avec mon gamin sur internet (pour l'encourager à fuguer), ou encore à un marchand d'arme, etc.

    Cette inquiétude est abordée dans la FAQ, dans laquelle on essaie de nous rassurer:
    So yes, criminals could in theory use Tor, but they already have better options

    N'empêche, moi je peux pas m'empêcher de penser que dans la vie on est susceptible de te reconnaître.
    Ces systèmes me laissent perplexe, la liberté, je suis pour, mais j'ai l'impression qu'il y a confusion entre liberté et anonymat.
    On peut très bien être libre ou se battre pour plus de liberté sans être anonyme (en tout cas en France).

    Alors ce que j'aimerai savoir, c'est si il y a moyen de remonter quand même la source ? (par exemple dans le cadre d'une enquète de police).
    • [^] # Re: C'est pour les méchants ou pour les gentils?

      Posté par  . Évalué à 8.

      C'est ni pour les méchants ni pour les gentils, c'est pour tout le monde. Comme la crypto a clé publique, les algos de chiffrement forts, PGP, ssl, etc etc...

      N'empêche, moi je peux pas m'empêcher de penser que dans la vie on est susceptible de te reconnaître. Ces systèmes me laissent perplexe, la liberté, je suis pour, mais j'ai l'impression qu'il y a confusion entre liberté et anonymat.

      On peut très bien être libre ou se battre pour plus de liberté sans être anonyme (en tout cas en France).

      Je pense que l'usage principal de Tor est l'anonymat du client, typiquement dans le cadre du web; l'anonymat du serveur, lui, a du sens dans toutes les circonstances où il y a censure ou pression, que ce soit une censure politique (dans tous ces pays où elle existe), ou une pression relationnelle (si l'entreprise où tu bosses a des pratiques que tu veux dénoncer, tu n'as peut-être pas intérêt à ce que le patron t'identifie).

      Une certaine dose d'anonymat permet plus de confort et moins de tracasseries pour certaines luttes. Si tu es sans-papier, comment vas-tu lutter sans protéger ton identité? Si tu casses un DRM, comment vas-tu publier ton soft sans te prendre une armée d'avocats sur le coin de la gueule?

      Alors ce que j'aimerai savoir, c'est si il y a moyen de remonter quand même la source ? (par exemple dans le cadre d'une enquète de police).

      Oui, c'est possible, mais à certaines conditions:

      - si chacun des 3 relais Tor gardent des logs;
      - si chacun d'eux accepte de les communiquer à la police/justice dont ils dépendent.
      • [^] # Re: C'est pour les méchants ou pour les gentils?

        Posté par  . Évalué à 2.

        Euh, pour le chiffrement et tout ça, j'ai rien dis...

        Je pense que l'usage principal de Tor est l'anonymat du client, typiquement dans le cadre du web; l'anonymat du serveur, lui, a du sens dans toutes les circonstances où il y a censure ou pression, que ce soit une censure politique (dans tous ces pays où elle existe), ou une pression relationnelle (si l'entreprise où tu bosses a des pratiques que tu veux dénoncer, tu n'as peut-être pas intérêt à ce que le patron t'identifie).


        Peux-tu clarifier? Je ne connais pas la différence entre anonymat client et anonymat serveur. (désolé...)

        Je vais passer pour un vieux con qui demande toujours un responsable, mais tant pis, je veux juste m'informer:
        Si la justice ne peut pas retrouver des informations, est-ce que c'est la responsabilité de la personne qui a mis en place le système d'anonymat qui est en jeu? Est-ce qu'il y a un cadre légal à l'anonymat sur internet?
        • [^] # Re: C'est pour les méchants ou pour les gentils?

          Posté par  (site web personnel) . Évalué à 6.

          Il est tout a fait possible d'envoyer des lettres anonymes, et jamais la Poste n'en a ete inquiettee a ma connaissance...
          Il serait meme possible de rendre impossible l'envois de lettre anonymes, mais cela n'a jamais ete fait.
          Idem pour beaucoup de media (combiens de livres d'auteurs anonymes ou de pseudonymes?)
          Pourquoi des lors un autre regime s'appliquerait pour internet?
          • [^] # Re: C'est pour les méchants ou pour les gentils?

            Posté par  . Évalué à 5.

            Pourquoi des lors un autre regime s'appliquerait pour internet?


            Parce qu'internet, c'est un repère de:
            - pédo-nazis
            - pirates russes
            - terroristes islamistes
            - voleurs de musique sur emule

            Autre explications:
            - parce que internet ca ne doit servir qu'au e-commerce
            - parce que c'est tentant, il suffit de controler toutes les machines du monde et de ne pouvoir s'y connecter qu'en présentant une carte d'identité numérique / empreinte ADN / puce RFID implantée sous la peau.
            - parce que les legislateurs n'ont pas encore compris qu'internet est un réseau non-hiérarchisé donc vraiment contrôlable que s'il est intégralement contrôlé
            - parce que les législateurs tout comme l'essentiel de la population pense encore que internet c'est le web et que ça sert en gros à la même chose que le minitel

            bref...
        • [^] # Re: C'est pour les méchants ou pour les gentils?

          Posté par  . Évalué à 4.

          Peux-tu clarifier? Je ne connais pas la différence entre anonymat client et anonymat serveur. (désolé...)


          L'anonymat client, c'est quand ton ordi se connecte à un ordi en face, mais que l'ordi en face ne peut pas connaitre pas ton IP. L'anonymat serveur, c'est quand tu te connectes à un ordi dont tu ne peut pas connaitre l'IP. Et oui, c'est possible, bien que ça semble étrange...

          Tor permet les "services cachés", c'est à dire que tu peux, en installant un noeud tor sur la même machine qu'un serveur web, mettre en ligne un site web à l'adresse http://dsfhesifjweib.onion/. Et aucun serveur DNS ne peut dire quelle est l'IP de cette machine truc.onion; pourtant, tor permet à ton ordi et à cette machine anonyme de se retrouver sur le réseau tor, et de communiquer.

          Si la justice ne peut pas retrouver des informations, est-ce que c'est la responsabilité de la personne qui a mis en place le système d'anonymat qui est en jeu?


          Si la justice du pays duquel dépend le noeud tor impose aux admins de conserver des logs de toutes les connexions qui passent par leurs machines et si l'administrateur du serveur en question ne le fait pas, alors effectivement c'est pour sa gueule.

          À ma connaissance, la France est le seul pays qui tente d'imposer des logs de toute connexion, et ce depuis peu (depuis le décrêt d'application de la LCEN). Enfin, c'est mon interprétation du texte, je ne suis pas juriste.

          Remarque: les noeuds tor sont disséminés dans divers pays sous diverses juridictions.
        • [^] # Re: C'est pour les méchants ou pour les gentils?

          Posté par  . Évalué à 3.

          Déclarer responsable la personne qui a mis en place le système reviendrait à condamner le moyen (ou l'outil) pour l'usage qu'il en est fait.
          C'est un peu le problème avec l'abus de langage 'le P2P c'est illégal'. Le P2P en soit n'a rien d'illégal, l'usage qu'on peut en faire peut conduire à se retrouver dans l'illégalité.

          Quand au cadre légal de quoique ce soit sur Internet, le problème relève à mon avis (et comme indiqué plus haut) de la nature même d'Internet : tant que des lois internationales n'auront pas été "fixées", il y aura toujours des législations nationales plus "permissives" que d'autres. Donc en particulier avec Tor (dont on peut attendre qu'au moins un des noeuds par lequel on passe soit dans un pays étranger) ça semble difficile de pouvoir remonter la trace.

          Après la question c'est : Est-ce qu'on est près à sacrifier un peu de sa liberté (ou de son anonymat) pour plus sécurité ?
          Et surtout : Est-ce qu'on est près à sacrifier la liberté (ou l'anonymat) d'autrui pour plus de sécurité ? En gros ça reviendrait à interdire à quiconque d'utiliser ces systèmes (Tor dans le cas présent) ou à mettre une grosse backdoor utilisable par la justice (tiens ça me rappelle un truc ça...), ce qui réduirait à néant l'intérêt du dispositif.
          • [^] # Re: C'est pour les méchants ou pour les gentils?

            Posté par  . Évalué à 3.

            Déclarer responsable la personne qui a mis en place le système reviendrait à condamner le moyen (ou l'outil) pour l'usage qu'il en est fait.
            Ben c'est pas ce qui c'est passé en france lors du débat dadvsi (ils ont voulu condamner le p2p) et au japon (emprisonnement du créateur de wine , un logiciel de p2p pseudo anonyme)?
    • [^] # Re: C'est pour les méchants ou pour les gentils?

      Posté par  . Évalué à 3.

      Je comprends tes craintes, et ceux qui veulent imposer un flicage permanent l'ont bien compris également. Une fois ces craintes bien ancrées dans les esprits, il est beaucoup plus facile d'imposer des lois liberticides. Qui pourrait dire non à une loi qui serait en mesure de rassurer la population ?
      Un p'tit tour là pour la vision US http://www.securityfocus.com/columnists/406

      Alors allons-y pour les caméras (jusque chez l'individu, des fois qu'il s'en prendrait à sa famille), les puces rfid, une bonne balise argos dans l'c... et une grosse tour de controle pour gérer tout ça.

      Je suis pour la conservation des empreintes ADN pour les gens ayant commis crimes et délits (je considère cela comme une inscription au casier judiciaire biologique) et je serai contre l'éventuelle création d'un fichier des empreintes ADN de toute la population : la vraie différence est là, ente le préjugé innocent et le préjugé coupable.

      Pour revenir à des softs comme tor: si une loi interdit ce genre de logiciel, crois-tu que les criminels suivront cette loi ?
      • [^] # Re: C'est pour les méchants ou pour les gentils?

        Posté par  . Évalué à 1.

        Je comprends aussi ta crainte du débordement dans le sens "big brother". Mais je pense que les systèmes d'anonymat ne font qu'envenimer les choses dans ce sens.

        Je m'explique: cet outil qu'est internet permet beaucoup de choses, et bien sur des choses illégales. En plus, tout le monde sait qu'on ne pourra pas faire rentrer cet outil dans un cadre légal "propre" avant des lustres, pour la simple raison que c'est international.

        Et c'est ça qui fait peur aux gens, et c'est aussi la raison pour laquelle ils ne disent rien quand les politiques pondent des lois liberticides. Donc, je commence à penser que les systèmes d'anonymats renforcent encore les convictions des "décideurs".

        Par ailleurs, je pense que l'exemple de la lettre anonyme n'est pas approprié car la poste n'a jamais eu la même ampleur ni les même possibilités qu'Internet.
        Un contre exemple est la voiture: tu es toujours susceptible d'être identifié quand tu es en voiture, et si ça n'est pas le cas, tu es dans l'illégalité.

        Mais aucun exemple ne convient vraiment à Internet car il n'existe pas d'outil qui ait des possibilités équivalentes. C'est pour ça qu'il y a une réflexion à faire.

        Pour revenir à des softs comme tor: si une loi interdit ce genre de logiciel, crois-tu que les criminels suivront cette loi ?

        Non, je ne le pense pas. Mais là l'exemple de la voiture est approprié: Ils seraient hors la loi.
      • [^] # Re: C'est pour les méchants ou pour les gentils?

        Posté par  . Évalué à 1.

        Une dernière chose, je suis allé voir le site que tu proposais.

        Demander à des fournisseurs d'accès de conserver leurs fichier de log est une chose. Ça peut très bien entrer dans un cadre légal. Par contre, ce qu'on voit en ce moment, c'est que la justice demande aux fournisseurs d'accès de faire appliquer la loi eux-même (voir par exemple l'affaire Yahoo avec les objets néo-nazis).

        C'est là qu'il y a un problème. C'est comme si on condamnait un vendeur de voiture pour un excès de vitesse commit par un de ses clients!

        Alors effectivement, je suis d'accord avec toi, il y a une tendance certaine à vouloir tout fliquer, et surtout à le faire n'importe comment....
      • [^] # Re: C'est pour les méchants ou pour les gentils?

        Posté par  . Évalué à 2.

        Je suis pour la conservation des empreintes ADN pour les gens ayant commis crimes et délits (je considère cela comme une inscription au casier judiciaire biologique)
        Faut aussi faire attention aux abus:
        Le fichier d'empreinte adn devrais etre utilisé qu'avec des crimes ayant requis une analayse adn ou dont l'adn est point essentiel a la résolution de ces crimes(crime sexuel, meurtres) .
        De mon point de vue il ne faut pas que ca soit étendu a tout et n'importe quoi (infraction au code de la route , escroquerie).
        Si on autorise cela pour tous les crimes et infractions, autant demandé que tous les condamnés-ex condamnés- portent une puce gps pour 'inscription au casier judiciaire de lieu, prévention des récidives', ca iras plus vite ;)
        Le fichier adn utilisé actuellement il est trés facile de s'y faire inscrire , trés difficile de se désinscrire (dixit un homme jugé innocent qui n'arrive pas a se faire desinscrire de ce casier(ce n'est pas moi je préviens tout de suite ;)) )
  • # lien internet aux petits oignons

    Posté par  . Évalué à 1.

    ça manque peut-être à la news :
    tor est disponible pour plusieurs plateformes (macosx, windows) déjà en paquet :
    pour windows en particulier il existe un combo "spécial clef usb" à emporter partout avec soi contenant :
    firefox/tor/privoxy/torbutton configurés pour fonctionner de concert et qui s'appelle "internet aux petits oignons" : http://internetauxpetitsoignons.no-ip.org/

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.