Une porte dérobée découverte dans le logiciel WhatsApp, Réactions à la publication du 14/01/2017

[Lionel]

Tobias Boelter, un chercheur en cryptographie et sécurité, a découvert une faille qualifiée de porte dérobée dans le logiciel WhatsApp.
Pour rappel, comme iMessage, WhatsApp est censé chiffrer les données envoyées sans qu'il soit possible à un tiers non concerné par la conversation de pouvoir les décoder, la clé de chiffrement n'étant pas stockée ailleurs que sur les appareils communiquant entre eux.

Tobias Boelter a découvert que le logiciel est capable de changer la clé de chiffrement d'un message avant de le réexpédier à son destinataire. Dans ce cas, l'émetteur n'en est pas informé et celui qui le reçoit n'en est averti que s'il a coché une option particulière dans son logiciel.
Il est alors possible à un tiers détenteur de cette nouvelle clé d'intercepter et de décoder les messages échangés.

Si tout pourrait porter à croire à une faille de sécurité, elle est étrangement absente du protocole Signal créé par Open Whisper Systems qui a servi de base au chiffrement dans WhatsApp. Le code original dans ce genre de cas a des systèmes bloquant l'expédition des messages dans ce cas, ce dont WhatsApp est dépourvu.

Il se pourrait donc fort bien que WhatsApp et Facebook son propriétaire aient ajouté cette faille pour pouvoir répondre aux injonctions d'autorités judiciaires en cas de saisine et ainsi de permettre l'interception de conversations.

Lien vers le billet original

[Albook]

C'est bien de le savoir, mais cela n'a rien d'étonnant.

[Macmade]

Et c'est surtout complètement faux: https://whispersystems.org/blog/there-is-no...tsapp-backdoor/

Je trouve quand même dommage de relayer ce type d'info...

[georgesrobert]

Et c'est surtout complètement faux: https://whispersystems.org/blog/there-is-no...tsapp-backdoor/

Je trouve quand même dommage de relayer ce type d'info...

J'ai aussi lu l'article d'Ars Technica, qui n'appelle pas cela une backdoor, mais conseille d'activer les notifications de sécurité, ce que je viens de faire.
http://arstechnica.com/security/2017/01/wh...-is-backdoored/

Ce message a été modifié par georgesrobert - 14 Jan 2017, 10:46.

[Mac Moins]

Il est pour moi impensable que le gouvernement US (ou autre) laisse se répandre dans sa population de tels logiciels de télécommunications sans y avoir ses entrées.

[snooper]

...raison pour laquelle il est préférable d'utiliser Signal plutôt que WA.. Impensable que Facebook puisse équiper la planète entière de moyen de communication sans backdoor (celle de l'article peut être pas, mais une autre certainement)...

[macdan]

(...)
Il se pourrait donc fort bien que WhatsApp et Facebook son propriétaire aient ajouté cette faille pour pouvoir répondre aux injonctions d'autorités judiciaires en cas de saisine et ainsi de permettre l'interception de conversations.

Ceux qui, comme moi, n'utilisent ni Facebook et donc encore moins WhatsApp ne sont pas impactés !
Juste pour dire tout le mal qu'on peut subir avec ces réseaux dits "sociaux" (qui n'en ont que la dénomination) !

[aarrnnoo]

quand l'identité de quelqu'un change (sa paire de clés) et qu'il faut cocher une option pour s'en rendre compte, c'est largement malhonnête selon moi.

[FardocheX]

(...)
Il se pourrait donc fort bien que WhatsApp et Facebook son propriétaire aient ajouté cette faille pour pouvoir répondre aux injonctions d'autorités judiciaires en cas de saisine et ainsi de permettre l'interception de conversations.

Ceux qui, comme moi, n'utilisent ni Facebook et donc encore moins WhatsApp ne sont pas impactés !
Juste pour dire tout le mal qu'on peut subir avec ces réseaux dits "sociaux" (qui n'en ont que la dénomination) !

C'est au moins ça l'avantage de ne communiquer avec personne.

[Pixelux]

(...)
Il se pourrait donc fort bien que WhatsApp et Facebook son propriétaire aient ajouté cette faille pour pouvoir répondre aux injonctions d'autorités judiciaires en cas de saisine et ainsi de permettre l'interception de conversations.

Ceux qui, comme moi, n'utilisent ni Facebook et donc encore moins WhatsApp ne sont pas impactés !
Juste pour dire tout le mal qu'on peut subir avec ces réseaux dits "sociaux" (qui n'en ont que la dénomination) !

C'est au moins ça l'avantage de ne communiquer avec personne.

Ha non, l'idée première c'est d'être en contrôle de ne surtout pas être involontairement un produit de consommation. L'idée secondaire c'est que du moment quelque chose est numérisé : il faut le considéré comme étant public.

Sachant cela pour moi Facebook n'est pas du tout avantageux. Et ça ne m'empêche pas de communiqué le moins du monde. Au minimum, je choisi qui m'écoute...

Ce message a été modifié par Pixelux - 14 Jan 2017, 14:16.

[iAPX]

quand l'identité de quelqu'un change (sa paire de clés) et qu'il faut cocher une option pour s'en rendre compte, c'est largement malhonnête selon moi.

+1 aarrnnoo

Et l'argument pour se défendre est de faciliter la vie des gens. Faciliter la vie de ceux qui espionnent oui!

Utiliser Signal pour avoir un système de chiffrage et d'authentification fort, et actuellement non-cassé, communiquer sur la sécurité et laisser la porte ouverte à une attaque man-in-the-middle avec les réglages par défaut, si ça n'est pas une volonté évidente de tromper les utilisateurs et permettre l'interception de message...

[fortin]

Encore une news sans recul ni analyse récupérée de media incompétents... la prétendue backdoor n'en est pas une : c'est un fonctionnement normal des messages chiffrées; et whatsapp est certainement une des apps grand public qui le gère le mieux (ie. app plutôt destinée à Mme Michu qu'à M Snowden)

[iAPX]

Encore une news sans recul ni analyse récupérée de media incompétents... la prétendue backdoor n'en est pas une : c'est un fonctionnement normal des messages chiffrées; et whatsapp est certainement une des apps grand public qui le gère le mieux (ie. app plutôt destinée à Mme Michu qu'à M Snowden)

C'est une backdoor technique, dans le même sens qu'il y a eu des backdoor dans des algorithmes de chiffrage, dans des algorithmes de générations de nombre aléatoires, dans la génération de paires de clés, et dans des protocoles d'échanges: ne pas exposer un changement de clé et forcer une vérification (éventuellement manuelle) enlève par défaut toute sécurité!

C'est très clairement une mauvaise implémentation de Signal, qui ne protège pas, contrairement au produit Signal (@Lionel se souviendra et sourira de toutes ses dents blanches )

Ce message a été modifié par iAPX - 14 Jan 2017, 14:55.

[__otto__]

C'est au moins ça l'avantage de ne communiquer avec personne.

Dit-il sur un forum

[trouspinette]

Tiens, on avait déjà évoqué Signal (rien à voir avec le dentifrice) dans cette brève.

[macdan]

C'est au moins ça l'avantage de ne communiquer avec personne.

Dit-il sur un forum

Excellent ! Rien à ajouter !

[__otto__]

C'est au moins ça l'avantage de ne communiquer avec personne.

Dit-il sur un forum

Excellent ! Rien à ajouter !

Les gens ne font plus la différence entre communiquer et afficher toute sa vie en publique...

[lolo-69]

C'est au moins ça l'avantage de ne communiquer avec personne.

Dit-il sur un forum

Excellent ! Rien à ajouter !

Les gens ne font plus la différence entre communiquer et afficher toute sa vie en publique...

Tiens, pas plus tard que ce midi au restau:

Des gens d'une table voisine parlaient d'une femme de leur connaissance ayant acheté une paire de bottes décrite comme ridicule, avec comme moyen de prise de connaissance de ce fait de première importance... Fessebouque.
Si c'est ça communiquer...

Ce message a été modifié par lolo-69 - 14 Jan 2017, 17:11.

[Lx4as]

+1
Utilisez Signal

[aarrnnoo]

Je plussoie, je l'utilise tous les jours avec ma famille et la plupart de mes amis proches. Pour convaincre les autres c'est pas encore gagné

Ce message a été modifié par aarrnnoo - 15 Jan 2017, 00:58.

[raoulito]

Je plussoie, je l'utilise tous les jours avec ma famille et la plupart de mes amis proches. Pour convaincre les autres c'est pas encore gagné

j'avoue que coté chat etc, mon principal c'est le couple.... imessage/LE SMS (oui ce truc dont plusieurs centaines vous sont offerts gratuitement)
et pourtant ya le paquet hein? facebook messenger, skype, hangout, teamspeak et .. (des "professionnels" qui vous chopent sur.. facebook messenger)
Mais avec imessage/sms et emails, j'ai 80% de mes conversations. Je vous accorde volontiers qu'il y a une certaine pression pour Whatsapp mais parce que je suis un vieux c** je refuse obstinément. Au pire, un sms quoi

Ce message a été modifié par raoulito - 15 Jan 2017, 11:37.

[snooper]

Sauf que désormais 100% des sms sont "écoutés", à savoir qu'ils passent un test contextuel avec une recherche qui ne se fait pas seulement sur mots-clés... Siri a le QI d'une huitre à côté des algos développés pour la circonstance... En ce sens, envoyer ta liste de courses par Signal peut s'apparenter à un acte de résistance citoyenne

[raoulito]

Sauf que désormais 100% des sms sont "écoutés", à savoir qu'ils passent un test contextuel avec une recherche qui ne se fait pas seulement sur mots-clés... Siri a le QI d'une huitre à côté des algos développés pour la circonstance... En ce sens, envoyer ta liste de courses par Signal peut s'apparenter à un acte de résistance citoyenne

certes.
d'un autre coté, l'intégration de ces imessages/sms et autre messenger/skype est plutot bien fait dans macos. Cela rend plus "osé" celle de whatsapp.
question: "signal" a un client mac ? Et c'est compatible whatsapp ? Car si c'est pour avoir un logiciel supplémentaire et pas compatible alors non merci, qu'ils écoutent les sms avec les rdvs chez les potes ( note: imessage est crypté, lui, et les listes de course sont sur des notes sur icloud que l'ont peut crypter aussi, je ne suis pas certain qu'elles soient d'ailleurs en clair à l'origine)

[snooper]

note: imessage est crypté, lui, et les listes de course sont sur des notes sur icloud que l'ont peut crypter aussi

Il suffit d'y croire, puisque les promesses n'engagent que ceux qui les croient.

Signal n'a pas de client Mac OS, contrairement à Telegram qui vient de sortir la version desktop de la phase beta. Il semble cependant que la version 1.0 du client desktop (en tout cas sous OS X) ne soit pas capable d'intégrer les "secret chats", en d'autres termes "cadenassés".. Je vais regarder sous linux.

[Lx4as]

Perso, je suis constamment sous vpn Os et iOs.

J'essaie de ne pas utiliser de service qui garde des infos sur leurs serveurs (signal, protonmail, etc ...) et qui permettent de crypter les emails qd nécessaire (gmx, gpg)

Mais bon, si des services s’intéressent de très près à toi, il n'y pas gd chose à faire!!??

[snooper]

et qui permettent de crypter les emails qd nécessaire (gmx, gpg)

Le plugin GPG pour Mail (GPGMail) fonctionne sous Sierra désormais ?

[Lx4as]

Le plugin GPG pour Mail (GPGMail) fonctionne sous Sierra désormais ?

Oui, version 2.6.2. Je suis sous El Capitan

Si tu te méfies d'Apple, c'est mieux d'utiliser les webmail (potonmail, gmx, ...)

[OKAVANGO]

finalement, je suis en train de me demander ce qui fait le plus peur. Est-ce que c'est le fait d'être possiblement écouté et/ou lu dans ses conversations privées, ou si c'est la parano maladives des geeks ? Je comprends que chacun veuille protéger sa vie privée, ça va de soit, mais de toute façon, les gens qui veulent vous écouter et/ou vous lire, pourront toujours le faire, évidemment. Alors on peut essayer de s'en protéger, oui, mais faut pas non plus être totalement parano tout le temps pour tout.

Du temps du téléphone et du 22 à Asnière on pouvait écouter les gens depuis le bureau des PTT du coin, et ouvrir les enveloppes à la vapeur. ça sera encore comme ça dans 30 ans... on pourra lire vos messages et écouter vos conversations.
Et vous n'y pourrez pas grand chose ou du moins pas suffisamment longtemps.
Après, purée, mais qu'est ce que vous racontez ou écrivez qui soient si importants pour les agences de renseignements gouvernementales ? Vous avez peur de qui finalement ? Si vraiment vous avez des données ultra sensibles, prenez les dispositions qui s'imposent, pareil pour les conversations, ne téléphonez pas.
Si vous ne voulez pas que votre épouse ou votre mari lise vos messages, vous prenez des précautions que vous pensez bonnes, mais si il ou elle bosse à DGSE ou pire, à la NSA, c'est inutile !

J'imagine que personne ici parmi ceux qui défendent leur vie privée avec des systèmes cryptés inviolables, personne n'utilise de moteur de recherche de type Google, et continue à aller à la bibliothèque du coin et vient d'acheter la mise à jour de l'Enclyclopedia Universalis en 24 volumes...
Je crois qu'on peut faire ce qu'il faut pour protéger sa vie privée (ou professionnelle) a minima, mais faut aussi savoir vivre normalement et arrêter de penser qu'on est tous espionnés systématiquement. On en sait rien et surtout, on y peut plus rien depuis l'invention de la correspondance. Les messagers à pied puis à cheval, même les rapides et les plus malins se faisaient aussi intercepter par l'ennemi. ET ça sera toujours comme ça. Alors le commun des mortels, n'en parlons pas....

Je ne suis pas résigné, je suis pragmatique.
Si j'avais des activités ultra-sensibles, je n'utiliseraient surement pas la technologie de notre quotidien à tous ici...

Ce message a été modifié par OKAVANGO - 16 Jan 2017, 10:09.

[Lx4as]

arrêter de penser qu'on est tous espionnés systématiquement. On en sait rien et surtout, on y peut plus rien depuis l'invention de la correspondance.

Rigolo ton post

Tu n'as qd mm pas attendu les révélations des Panama Papers pour savoir que TOUS les + riches de ce monde défiscalisent grâce à des sociétés off shore.

Alors pourquoi penses-tu que tous nos échanges d'information sur internet ne sont pas scannés par des dizaines de robots à la recherche de mots cléf, IP particuliers, etc ... Et ce n'est pas parce que je n'ai rien à cacher que j'accepte d'être scruté.

Mais surtout, le plus important n'est pas ce que les agences savent de toi, elles ne s'en servent pas pour te diriger vers des infos qui vont ds ton sens de penser ou pour te vendre qlq choses, elles te surveillent, c'est tout. Le plus grave, à mon sens, est qu'après qlq années de big data par les compagnies commerciales (apple, google, etc ...), elles seront la personne qui te connaitra le mieux au monde, dans tout tes recoins.

Maintenant, c'est toi qui voit si tu ne veux pas utiliser des outils comme Ghostery, uBlock, vpn, etc ... Mais me qualifier de parano, ne te sert qu'à te cacher la réalité. C'est toi choix, mais faut assumer, année après année ... Ça risque d'être lourd à la fin :-(

Je fini par cette citation de Snowden :

Fichier(s) joint(s)

 CtEBYjfWYAAupVY.jpg ( 154.08 Ko ) Nombre de téléchargements : 15

 

[snooper]

De plus, le problème de ces écoutes à grande échelle vient également du fait que tu ne sais pas de quoi demain sera fait. Il y a assez de blaireaux aux US pour voter Trump, comme il y a assez de blaireaux ici pour voter Le Pen, sachant que ni les premiers ni les seconds n'imaginent qu'ils mettent au pouvoir des gens qui vont probablement vouloir s'y accrocher par des moyens moins démocratiques que ceux qui les y ont installés.

La conséquence de cela, c'est que chacun d'entre nous pourrait être amené à avoir une opinion divergente de celle défendue par ceux qui gouvernent. En clair, je n'ai aucune confiance dans le FN pour respecter mes opinions, et je sais par avance que j'entrerai en résistance (citoyenne) s'il venait à être porté au pouvoir par mes concitoyens.

Dès lors, qu'une armada de dispositifs soit à sa disposition pour identifier les gens qui, comme moi, n'apprécient pas la pensée de ces cuistres, me semble pour le moins dangereux.

La loi "renseignement" autorise déjà des recoupement de fichiers dans des dimensions que tu n'imagines pas. Je peux savoir en quelques minutes ce que tu regardes à la télé, ce que tu consultes sur Internet, ce que tu commandes comme livre su Amazon, etc.. En ce sens Cazeneuve et Vals se sont fait plaisir, jamais la droite n'aurait pu passer un tel arsenal anti-démocratique. Mais qu'adviendra t il de cette collecte et de ce stockage d'information si Le Pen arrive au pouvoir dans.. 4 mois ?

Tu crois qu'elle ira au journal de 20h pour dire "j'abroge les dispositifs de la loi Renseignement car je sais que je vais en abuser" ?

Et au delà de la dimension citoyenne, il y a l'intelligence industrielle et économique dont il faut également se méfier, notamment car en son nom on peut aller très loin dans la privation de libertés individuelles.

Les exemples ne manquent pas !