La distribution Tails (The Amnesic Incognito Live System) est un live-CD/live-USB visant à protéger votre anonymat et votre vie privée quand vous utilisez Internet.
La sortie de la version 0.10, le 4 janvier dernier, est l'occasion de faire le point sur cette distribution qui sort un peu de l'ordinaire.
L'idée principale de la distribution est de prendre une base Debian GNU/Linux et de configurer le système afin de pouvoir utiliser Internet de manière anonyme et sans laisser aucune trace sur l'ordinateur utilisé.
Tout le trafic réseau passe par Tor (The Onion Router) et la configuration de Tor se fait, classiquement, via l'outil graphique Vidalia.
Bien entendu, Tor ne protège que des tentatives de localisation et il ne chiffre pas le trafic (le noeud de sortie peut donc capturer ce flux réseau). Tails utilise donc, autant que possible, le chiffrement de données. Par exemple Iceweasel, outre Torbutton et NoScript, est configuré avec l'extension HTTPS Everywhere. Le logiciel de messagerie instantanée Pidgin est pré-configuré avec OTR (Off-the-Record Messaging) tandis que Claws Mail utilise GnuPG.
Pour sécuriser la saisie sur divers ordinateurs, et éviter de se faire voler son mot de passe par un keylogger, c'est le clavier virtuel Florence qui est utilisé dans Tails.
À l'extinction de la machine, à l'éjection du live-CD ou au retrait de la clé live-USB, la RAM est physiquement effacée pour éviter les attaques de type cold-boot (l'attaquant utilise la rémanence des données dans la mémoire pour récupérer l'information qu'il recherche).
Il est possible de créer des partitions chiffrées sur des disques externes (avec LUKS) et l'effacement des données se fait d'un simple clic droit avec une extension de Nautilus nommée Wipe.
Une fonction originale est celle qui consiste à passer l'option « winxp » lors du boot. Dans ce cas le bureau lancé sera toujours Gnome, mais avec un thème le faisant ressembler comme deux gouttes d'eau à Windows XP :
Cela peut être utile si on désire que les gens qui regardent l'écran ne sachent pas que le système utilisé est Tails.
Parmi les points à améliorer, on pourrait citer la persistance des données. Actuellement, ce n'est pas géré mais ce point est évoqué dans la feuille de route et un document descriptif détaillé est présent sur le site.
C'est d'ailleurs un aspect particulièrement appréciable du projet : la documentation est de qualité et les spécifications sont rigoureuses. On peut également juger du sérieux des développeurs en allant lire la page des avertissements qui liste les limites de Tails.
C'est agréable de voir que les créateurs de la distribution ne promettent pas la Lune. Comme en plus la politique officielle est de coopérer avec les projets amonts (et en particulier Debian) on peut dire que c'est le sans faute !
Aller plus loin
- Le projet Tails (677 clics)
- Les nouveautés de la version 0.10 (94 clics)
- Les limites de Tails (369 clics)
- Télécharger Tails (245 clics)
# Clavier virtuel != anti-keylogger
Posté par zyphos . Évalué à 4.
Un keylogger fonctionne également avec un clavier virtuel. Le clavier virtuel est juste là pour faciliter l'usage en l'absence d'un clavier physique.
[^] # Re: Clavier virtuel != anti-keylogger
Posté par patrick_g (site web personnel) . Évalué à 5.
Pour qu'un keylogger fonctionne en dépit du clavier virtuel il faut qu'il prenne des screenshots lors de chaque clic de souris. C'est quand même bien moins répandu que le keylogger qui se contente d'enregistrer l'enfoncement des touches du clavier.
D'ailleurs la page sur le site de Tails cite explicitement le rôle anti-keylogger du clavier virtuel Florence : https://tails.boum.org/doc/encryption_and_privacy/virtual_keyboard/index.en.html
[^] # Re: Clavier virtuel != anti-keylogger
Posté par zyphos . Évalué à 10. Dernière modification le 12 janvier 2012 à 11:52.
Il ne faut pas confondre les claviers virtuels directement inclus dans l'application recevant les touches (par exemple un site web de certaines banques, ou une calculatrice comme gcalc)
Le clavier virtuel ici est général, il est utilisable par toutes les applications. Ici c'est un clavier X qui est emulé.
Ce qui veut dire qu'il est bien interceptable par un keylogger. Bien que pour gcalc, je pense qu'il soit possible de créer un keylogger spécifique à cet application. (En programmation sous Windows, c'est faisable en tout cas)
Installez Florence, lancez le programme.
Ouvrez deux fenêtres terminal:
- sudo showkey -k
- sudo xev
Appuyez sur des touches de Florence.
La première ne montre aucun traces, ce qui est normal, c'est un clavier X et pas un clavier Linux device.
La seconde montre par contre toute les touches frappées, même destinées à d'autres programmes.
Autre preuve:
tapez ctrl - alt - L avec florence.
un terminale s'ouvre. La combinaison a bien été intercepté par un programme. Via l'installation d'une hotkey globale.
[^] # Re: Clavier virtuel != anti-keylogger
Posté par zyphos . Évalué à 2.
C'est ctrl-alt-t pour le terminal.
ctrl-alt-L verrouille le bureau.
Désolé.
[^] # Re: Clavier virtuel != anti-keylogger
Posté par patrick_g (site web personnel) . Évalué à 10.
Avec Tails on tourne sur un live-USB/live-CD donc on ne craint pas les keyloggers logiciels. Seuls les keyloggers matériels qui interceptent les enfoncements de touches du clavier sont dangereux...et on contourne ce risque avec le clavier virtuel.
[^] # Re: Clavier virtuel != anti-keylogger
Posté par zyphos . Évalué à 4.
C'est tout à fait exact pour les keyloggers clavier matériels.
Malheureusement, les videologgers existent aussi apparemment et le clavier virtuel confirme les appuis de touches visuellement.
Une inspection du matériel est donc judicieuse ou l'utilisation d'un ActivIdentity, Digipass ou SecurID comme certaines banques.
Cela existe aussi pour Android. Digipass Android
Il faut vérifier maintenant si les digicodes et autres ont déjà été craqués.
# Mode winxp
Posté par gnuzer (site web personnel) . Évalué à 10.
Il y avait déjà beaucoup de live distros focalisées sur la sécurité et l'anonymat (souvent des projets très éphémères d'ailleurs), mais c'est la première fois que j'en vois une dotée d'un thème Windows.
C'est une fonctionnalité très intéressante, notamment quand on pense aux blogueurs dissidents de certains pays, qui doivent parfois utiliser des machines situées dans des lieux publics (cybercafés...).
Il est aussi intéressant de constater que, dans une société où tout ce qui est anormal est suspect, il est moins risqué de violer les licences et les brevets de Microsoft que d'utiliser une live distro 100% légale.
[^] # Re: Mode winxp
Posté par eastwind☯ . Évalué à 10.
Je m'étais toujours demandé quelle pouvait etre l'utilité de faire des thèmes windows xp sous Linux (étant donné que je suis contre le mensonge aux utilisateurs - ) et l'avantage que cela pouvait apporter par rapport au libre ou à la liberté dans un sens plus large. Maintenant je vois à quoi peut servir concrètement un thème windows xp . Contourner la censure (mentir au menteur en fait: ))
# Copyright
Posté par neowdj (site web personnel) . Évalué à 2.
Le thème de Windows n'est il pas copyrighté ?
[^] # Re: Copyright
Posté par Inigo Montoya . Évalué à 2.
Si, bien sûr.
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.