L'Iran semble avoir développé un système pour identifier les dissidents qui utilisent Tor. Andrew Lewman, directeur exécutif du projet Tor, a déclaré que le nombre d'utilisateurs de Tor en Iran a plus que doublé pour atteindre 2.800 après l'élection présidentielle de 2009.
La suite ici (anglais)
http://www.upi.com/Top_News/World-News/2011/03/18/Iran-gets-one-up-on-online-dissdent/UPI-31301300484633/
Journal L'Iran semblerait (?) pouvoir identifier les dissidents qui utilisent Tor
21
mar.
2011
# News incorrecte ?
Posté par Misc (site web personnel) . Évalué à 5.
Sauf erreur de ma part, le projet a pris les avances, via plusieurs avancés : - le systéme de bridge, qui est en place depuis plusieurs années - des modifications au niveau de la connexion pour que l'empreinte corresponde à un browser qui fait du SSL
De plus, quelqu'un signant sous le nom "tor project" a mis un commentaire sur l'article, expliquant que le probléme est réglé.
[^] # Re: News incorrecte ?
Posté par maderios . Évalué à 2.
Le problème c'est que cet article daté du 18 mars 2011 circule sur le Net sans (?) 'contre-article' pour expliquer que le problème est résolu (?). Enfin, je n'en ai pas trouvé personnellement....
D'ailleurs ici sur le site de Tor
http://www.torproject.org/press/inthemedia.html.en On trouve ce lien du 18 mars http://www.telegraph.co.uk/news/worldnews/middleeast/iran/8388484/Iran-cracks-down-on-web-dissident-technology.html
"L'art est fait pour troubler. La science rassure" (Braque)
[^] # Re: News incorrecte ?
Posté par Misc (site web personnel) . Évalué à 4.
Nickm, du projet tor, a aussi donné les liens suivants sur l'irc :
https://gitweb.torproject.org/torspec.git/blob_plain/HEAD:/proposals/179-TLS-cert-and-parameter-normalization.txt https://gitweb.torproject.org/torspec.git/blob_plain/HEAD:/proposals/180-pluggable-transport.txt
Le premier parle justement des propositions pour que tor ne soit pas distinguable d'une connexion chiffré classique.
Le second parle d'avoir des plugins pour le protocole de transports, pour découpler ça du reste.
[^] # Re: News incorrecte ?
Posté par Maclag . Évalué à 6.
Ce qui veut dire que le gouvernemnet iranien FUD pour faire peur aux dissidents?
"Tu bluffes Martoni! Ton détecteur de Tor n'est pas chargé!"
# Ou pas ?
Posté par Xavier Teyssier (site web personnel) . Évalué à 6.
Sur le site du projet Tor, on peut lire l'entrée suivante :
https://blog.torproject.org/blog/february-2011-progress-report
Il y a notamment la phrase : "The main other change is a slight tweak to Tor's TLS handshake that makes relays and bridges that run this new version reachable from Iran again"
J'en déduis qu'à défaut d'identifier les utilisateurs, l'Iran pouvait bloquer l'utilisation de Tor. Et depuis cette nouvelle version, Tor fonctionne à nouveau en Iran.
On notera que la solution mise en place n'est probablement pas perenne, mais elle a le mérite de donner un peu de temps afin de chercher une solution techniquement meilleure.
[^] # Re: Ou pas ?
Posté par Thierry Thomas (site web personnel, Mastodon) . Évalué à 2.
Un autre article intéressant sur ce blog, à propos de Tor et des C.A.:
https://blog.torproject.org/blog/detecting-certificate-authority-compromises-and-web-browser-collusion
# Pendant ce temps, en Chine...
Posté par Maclag . Évalué à 3.
Les bridges sont tous bloqués, et même en redemendant de nouveaux bridges, ça ne passe jamais.
Et à part les "contacte un pote qui fera tourner Tor H24", il n'y a pas vraiment de solution proposée...
# Identifier les utilisateurs de Tor n'est pas difficile
Posté par reno . Évalué à 2.
Numéro 1: établir une liste des points d'accès Tor.
Numéro 2: demander aux FAIs de surveiller qui accède aux points d'accès.
Numéro 3: demander aux FAIs qui avait tel adresse IP a cette heure là.
Identifier le protocole Tor évite l'étape 1, mais bon à moins d'avoir des cybercafés ou tu peux payer en liquide, je pense qu'il faut se méfier de Tor: avec un dictateur un peu malin et qui a les moyens, utiliser Tor, ça revient à s'auto-proclamer "personne à surveiller"..
A ce sujet, la référence obligatoire:
http://imgs.xkcd.com/comics/security.png
[^] # Re: Identifier les utilisateurs de Tor n'est pas difficile
Posté par Moogle . Évalué à 2.
Identifier qui utilise Tor oui, par contre identifier ce qu'ils y font, c'est un peu plus compliqué.
[^] # Re: Identifier les utilisateurs de Tor n'est pas difficile
Posté par reno . Évalué à 2.
Bah, vu qu'ils sont peu nombreux ceux qui utilisent Tor, si tu peux les identifier alors ce n'est pas très compliqué soit de leur taper dessus jusqu'à ce qu'ils disent ce qu'ils font avec Tor (cf le dessin de XKCD), soit de mettre un keylogger dans leur ordinateur..
[^] # Re: Identifier les utilisateurs de Tor n'est pas difficile
Posté par zebra3 . Évalué à 2.
Tu peux m'expliquer comment tu vas placer un keylogger sur mon PC portable entièrement chiffré ?
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Identifier les utilisateurs de Tor n'est pas difficile
Posté par reno . Évalué à 2.
Aucun problème: j'attends que tu dorme/aille manger/aille au toilette et j’accède physiquement au portable.
Si tu as ton portable 100% du temps sur toi, c'est encore plus suspect: j'utilise la méthode: drogue+clef à molette.
[^] # Re: Identifier les utilisateurs de Tor n'est pas difficile
Posté par zebra3 . Évalué à 2.
Quel type de keylogger comptes-tu employer ?
Quand bien même je n'ai pas mon portable en permance avec moi, tout est chiffré (sauf le /boot que je peux de toute manière déporter sur une clef USB) et j'utilise SSH pour toutes mes connexions entre postes (console, VNC et transferts de fichiers), sans mot de passe et avec clefs.
Donc accès physique et distant inutiles.
Reste la clef à molette : je ne suis pas sûr qu'on puisse passer par cette méthode en France, bien qu'on puisse toujours être surpris.
Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
[^] # Re: Identifier les utilisateurs de Tor n'est pas difficile
Posté par reno . Évalué à 2.
Et bien ça par exemple pour l'accès physique: http://www.keycarbon.com/products/keycarbon_laptop/overview/ Ce n'est pas compatible avec beaucoup de laptop je te l'accorde, mais cela donne un premier aperçu de ce que les services secrets peuvent avoir.
Mais bon dans la majorité des cas, un accès distant avec une vulnérabilité est bien plus facile a utiliser: et hop un keylogger logiciel.
Ce n'est pas impossible de sécuriser un poste client, mais c'est quand même assez difficile&pénible.
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.