Polémique autour d'un outil de surveillance d'une « majorité de toutes les activités sur Internet »

Polémique autour d’un outil de surveillance d’une « majorité de toutes les activités sur Internet »

Big Brother Ultra Max Pro

Avatar de l'auteur
Jean-Marc Manach

Publié dans

Internet

23/09/2022 3 minutes
27

Polémique autour d'un outil de surveillance d'une « majorité de toutes les activités sur Internet »

Motherboard a découvert que plusieurs entités de l'armée américaine avaient acheté l'accès à « un puissant outil de surveillance qui prétend couvrir plus de 90 % du trafic Internet mondial et qui, dans certains cas, donne accès aux données de messagerie électronique, à l'historique de navigation et à d'autres informations sensibles comme les cookies ».

Les documents consultés par nos confrères évoquent des pétaoctets de données, actuelles et historiques, émanant de « plus de 550 points de collecte dans le monde, y compris en Europe, au Moyen-Orient, en Amérique du Nord/du Sud, en Afrique et en Asie », et qui seraient mises à jour « avec au moins 100 milliards de nouveaux enregistrements chaque jour ».

Pure Signal RECON (également connu sous le nom d'Augury) est développé et commercialisé par la société de cybersécurité Team Cymru, qui se vante d'analyser « plus de 50 types de données », dont des millions de certificats X.509, qui lui permettraient de pouvoir fournir un « accès à une grande majorité de toutes les activités sur Internet ».

« Et si vous pouviez tracer une activité malveillante à travers une douzaine ou plus de proxys et de VPN pour accéder à l'origine d'une menace, cartographier son infrastructure à l'échelle mondiale et la bloquer, puis la surveiller pour vous protéger contre elle indéfiniment ? », explique la page de présentation de RECON : 

  • Cartographiez de manière proactive les infrastructures APT et les voir évoluer en temps quasi réel.
  • Bloquez les e-mails de phishing avant qu'ils ne soient envoyés.
  • Suivez des dizaines de proxys et de VPN jusqu'à l'origine d'une menace.
  • Recherche et filtrage robustes dans la plus vaste collection de télémétrie mondiale.
  • Corrélez les adresses IP avec les informations sur les logiciels malveillants extraites de plus de 10 ans d'observation des attaques et d'analyse des logiciels malveillants.

RECON est utilisé dans le secteur privé pour attribuer des cyberattaques et suivre l'activité des pirates informatiques. Mais Motherboard a découvert que la marine américaine, le Cyber Command et la Defense Counterintelligence and Security Agency ont eux aussi payé, au total, « au moins 3,5 millions de dollars pour accéder à Augury ».

Contactée, Team Cyru se défend en expliquant que « la plateforme Augury n'est pas conçue pour cibler des utilisateurs ou une activité utilisateur spécifiques. La plateforme ne possède pas spécifiquement les informations concernant les abonnés nécessaires au fait de relier les enregistrements à des utilisateurs quelconques » : 

« Notre plateforme ne capture qu'un échantillon limité des données disponibles, et est encore plus restreinte en autorisant uniquement les requêtes sur des données échantillonnées restreintes et limitées, qui proviennent toutes de logiciels malveillants, d'activités malveillantes, de pots de miel, de scans et de tiers qui fournissent des flux de ce type. »

La polémique se double du fait que Rabbi Rob Thomas, le CEO de Team Cymru, figure au conseil d'administration du projet Tor, le navigateur et réseau censé pouvoir garantir l'anonymat de ses utilisateurs.

Interrogée à ce sujet, Isabela Bagueros, directeur exécutif du projet Tor, explique à Motherboard que « les conflits d'intérêts potentiels de Rabbi Rob ont été examinés conformément au processus standard de divulgation des conflits d'intérêts requis de tous les membres du conseil d'administration, [qui] n'a pas identifié de conflits d'intérêts ».

27

Écrit par Jean-Marc Manach

Tiens, en parlant de ça :

Sommaire de l'article

Introduction

Le brief de ce matin n'est pas encore là

Partez acheter vos croissants
Et faites chauffer votre bouilloire,
Le brief arrive dans un instant,
Tout frais du matin, gardez espoir.

Commentaires (27)



Interrogée à ce sujet, Isabela Bagueros, directeur exécutif du projet Tor, explique à Motherboard que « les conflits d’intérêts potentiels de Rabbi Rob ont été examinés conformément au processus standard de divulgation des conflits d’intérêts requis de tous les membres du conseil d’administration, [qui] n’a pas identifié de conflits d’intérêts ».




:incline: :mdr:



Le type est membre d’un conseil d’administration d’un projet permettant d’accéder à internet de façon anonyme et sa boite fournit des outils de surveillance.



Ca me rappelle un peu la NSA/CIA qui finançait les travaux sur le chiffrement RSA …


En effet c’est tout de même louche.
:mad2:


Je dois être trop con, je ne vois pas où est la polémique.



L’armée US utilise des outils d’une boite privée qui récupère des informations disponibles sur Internet, la belle affaire !


Ce n’est pas parce que tu peux faire quelque chose que tu dois le faire.
La polémique est surtout sur la partie « 90 % du trafic Internet mondial ». Même s’il se gavent de toutes les infos public, on peux se demander s’il n’en récupère pas plus par des canaux moins légaux.
De toute façon ça reste un outil de surveillance global, ce qui, entre de mauvaise main, peux faire pas mal de dégat.
Regarde ce qui se passe avec la récente interdiction de l’avortement dans des états des US. Certains sont en train de voir pour limiter la mobilité des personnes «a risque». Cela en se basant sur l’activité en ligne.



Le pouvoir corromps, donc avec plus de pouvoir il est fort possible d’avoir plus de dérive.


3,5 Millions pour accéder à 90% du trafic Internet et pouvoir espionner tout le monde ?
:mdr2: Ils savent négocier aux US :mdr2:



100 milliards de nouveaux enregistrements par jour quand il y a 300 milliards de mails échangés par jour (uniquement pour les mails) ?



Ca c’est de la news.


Quoi ? L’armée américaine collecte les informations qui transitent sur un réseau public ?



Quelle surprise. Vous verrez qu’un jour on découvrira qu’ils achètent des armes. :eeek2:


Internet est public ou accessible ?
Car j’ai pas souvenir que la recherche des appelés au front passait par la méprise du 4ème amendement ou le recel des informations et documents induement obtenus aurprès des scalps de criminels (ce sur quoi porte la polémique bien que tout ne soit pas clair vu le ticket d’entrée pour le happy maxpayer) :D



(quote:2095072:Idiogène)
Internet est public ou accessible ?




Sauf erreur de ma part, Internet n’est pas un réseau privé.
Mais bien sur, je peux me tromper.


Bin alors c’est la quatrième dimension. :D


techniquement, c’est plusieurs réseaux privés (orange, free, etc.) interconnectés par des sociétés privées (cogent, level3, etc.) à des serveurs privés (1&1, ovh, etc.) et utilisant des noms de domaines gérés par des sociétés et assos à but non lucratif (ICANN, AFNIC, etc.)…


couvrir plus de 90 % du trafic Internet mondial




  • “je m’en vais m’isoler dans ma grotte tel l’ermite” !



≠ vitefuyons :eeek2:


J’aimerais bien savoir en quelle unité est compté ce 90 % de trafic et ce que cela signifie réellement.



La vidéo sur internet représente entre 75 et 82 % du trafic Internet en volume suivant les sources.



Donc, si ces 90 % sont en volume de trafic, ils contiennent au minimum (90%-25%)/75% = 86,6 % du trafic vidéo mondial, ce qui est plutôt peu intéressant si comme le dit la boîte, on ne peut pas identifier à qui correspond les données. Il reste dans le cas où ce trafic vidéo est de 75 %, 25 % du trafic mondial hors vidéo sur internet.
Si le trafic est à 82 % des vidéos sur internet, il ne reste au maximum que 18 % du trafic mondial hors vidéo. C’est certes le trafic le plus intéressant, mais le chiffre est beaucoup plus petit que 90 % et bien moins vendeur.
Ne pas oublier que la manière de présenter les chiffres permet de rendre attrayant le produit qu’ils vendent et 90 % du trafic internet est beaucoup plus vendeur que 18 % (ou moins parce qu’ils n’ont probablement pas accès à tout le trafic hors vidéo) du trafic internet.



Bref, une grosse partie de ces 90 % de trafic est sans intérêt.


fred42

J’aimerais bien savoir en quelle unité est compté ce 90 % de trafic et ce que cela signifie réellement.



La vidéo sur internet représente entre 75 et 82 % du trafic Internet en volume suivant les sources.



Donc, si ces 90 % sont en volume de trafic, ils contiennent au minimum (90%-25%)/75% = 86,6 % du trafic vidéo mondial, ce qui est plutôt peu intéressant si comme le dit la boîte, on ne peut pas identifier à qui correspond les données. Il reste dans le cas où ce trafic vidéo est de 75 %, 25 % du trafic mondial hors vidéo sur internet.
Si le trafic est à 82 % des vidéos sur internet, il ne reste au maximum que 18 % du trafic mondial hors vidéo. C’est certes le trafic le plus intéressant, mais le chiffre est beaucoup plus petit que 90 % et bien moins vendeur.
Ne pas oublier que la manière de présenter les chiffres permet de rendre attrayant le produit qu’ils vendent et 90 % du trafic internet est beaucoup plus vendeur que 18 % (ou moins parce qu’ils n’ont probablement pas accès à tout le trafic hors vidéo) du trafic internet.



Bref, une grosse partie de ces 90 % de trafic est sans intérêt.


c’est, aussi, mon avis !



(psst. : c’était dit avec ironie) :francais:



Albirew a dit:


techniquement, c’est plusieurs réseaux privés (orange, free, etc.) interconnectés par des sociétés privées (cogent, level3, etc.) à des serveurs privés (1&1, ovh, etc.) et utilisant des noms de domaines gérés par des sociétés et assos à but non lucratif (ICANN, AFNIC, etc.)…




Tu aurais pu ajouter “interconnecté avec du middleware créé par des sociétés privées alimentées par du courant électrique produites par des sociétés privées”, etc.



Sinon, est-ce que le public peut s’y connecter et transférer des données à n’importe quel autre nœud du réseau ? Parce que c’est un peu ce qu’on sous-entend en parlant de réseau public.


Le public non, les clients oui. Et les conversations via un réseau téléphonique, aussi accessible qu’Internet, n’ont pas vocation à être captées ou transmises. C’est d’ailleurs un délit dans une majorité de pays.



fred42 a dit:


Bref, une grosse partie de ces 90 % de trafic est sans intérêt.




Ils font ptet un backup de Youtube …. :mdr:



Ceux qui pourraient demander des comptes sont les contribuables américains, qui voient ainsi utilisés leurs taxes….


Je me demande quel est l’impact écologique d’un tel niveau de collecte par la consommation d’énergie qu’elle induit, surtout si chaque grand pays s’y met. Les serveurs sont déjà de gros consommateurs (de mémoire actuellement de l’ordre de 10 % de la consommation mondiale d’électricité, sachant que personne en sait réellement l’évaluer). Le prix de la surveillance ajouté à celle du développement du streaming pourrait bien aussi à terme conduire les FAI à facturer l’accès à la bande passante consommée.


cité, sachant que personne en sait réellement l’évaluer). Le prix de la surveillance
ajouté à celle du développement du streaming pourrait bien aussi à terme conduire
les FAI à facturer l’accès à la bande passante consommée



c’est, aussi, ce que je crains (au vu du ‘Streaming’) on risque d’y arriver !
certains auront des :eeek2:



(quote:2095145:doktoil makresh)
Le public non, les clients oui. Et les conversations via un réseau téléphonique, aussi accessible qu’Internet, n’ont pas vocation à être captées ou transmises. C’est d’ailleurs un délit dans une majorité de pays.




Délictuel ou pas, ca n’en change pas moins mon commentaire originel:




Quoi ? L’armée américaine collecte les informations qui transitent sur un réseau public ? Quelle surprise.




L’armée a toujours collecté des informations sur les réseaux public, qu’elles transitent sur des câbles téléphoniques ou des ondes radio. Faut être crédule pour croire qu’elle dise “Ah, non. Pas sur Internet. C’est notre limite morale.”


Et ils font comment pour écouter tout ce traffic alors qu’il est chiffré via TLS ?
Ils n’ont que les métadonnées (ce qui est déjà intéressant).



des millions de certificats X.509, qui lui permettraient de pouvoir fournir un « accès à une grande majorité de toutes les activités sur Internet ».




Je crois que c’est grâce à ça.


Mihashi


des millions de certificats X.509, qui lui permettraient de pouvoir fournir un « accès à une grande majorité de toutes les activités sur Internet ».




Je crois que c’est grâce à ça.


Euh, comment font-ils juste en analysant les certificats publics disponibles pour tous ?


fred42

Euh, comment font-ils juste en analysant les certificats publics disponibles pour tous ?


J’en sais rien, ce sont eux qui l’affirme :transpi:.


fred42

Euh, comment font-ils juste en analysant les certificats publics disponibles pour tous ?


En effet.



J’espère que c’est du flan. Sinon outre la problématique vie privée/surveillance généralisée (qui est déjà très grave) il y a un sérieux problème côté sécurité des échanges web dans le monde : si demain les “certifs” (en supposant qu’il s’agit par ici de moyens de déchiffrer les communications) sont récupérés par des pirates…



Motherboard has extensively covered how U.S. agencies gain access to data that in some cases would require a warrant or other legal mechanism by simply purchasing data that is available commercially from private companies.




Et pourtant, l’écrasante majorité de la population ne “voit pas le problème” quand on leur collecte leur données tant qu’on ne leur démontre pas précisément en quoi c’est un problème.
Le simple fait de ne pas maitriser toutes les finalités possibles de ces collectes devrait, par principe de précaution, mener à un doute, une inquiétude, un évitement : la logique est ici encore renversée.



Rajoutez à cela que le RGPD a une portée extraterritoriale et ne dépend ni de la localisation d’un sujet européen, ni de la localisation du traitement des données de ces sujets, et tous les services d’entreprises États-uniennes deviennent subitement, à l’évidence, quelque chose qu’il ne faut plus approcher, ni de près, ni de loin. Avant ce RGPD, avant même l’informatique grand public, une communauté au fait de ces questions avant l’heure et jusqu’à nos lois, s’inquiétaient de la maitrise par les citoyens de leurs données.
Et pourtant… Jamais il n’y a eu une ère avec autant de services connectés et/ou rendus à distance (les XaaS) des systèmes d’exploitation aux applications, qui déversent des flots de données à torrents ouverts en direction de leurs éditeurs.
Pire : on a choisi depuis 15-20 ans, et on continue de choisir, d’exécuter des programmes (que l’on a parfois conçu soi-même) sur des machines que nous ne contrôlons plus du tout au tout.



Inquiétons-nous des producteurs & récepteurs de données, ce qui est déjà un énorme chantier… quand cela sera fait, il restera la boite de Pandore des réseaux à ouvrir. Z’allez voir : il y a “deux-trois” p’tites surprises à ce niveau aussi.



Et cela ne va pas en s’arrangeant, avec des générations entières prenant pour acquis l’outil informatique sans chercher à le comprendre. Le technologisme devient endémique et non plus seulement induit.



La première défense est l’arrêt de la collecte.
Il existe d’ailleurs un principe dans les cercles de sécurité, qui devrait être un comportement général de citoyen : ne fournir que les informations & les moyens absolument nécessaires à l’accomplissement d’une tâche donnée.
Au-delà de la sécurité, on peut même y déceler une logique d’efficience. On ne sait jamais, si un jour la consommation de ressources devient un sujet de société, préparée à s’en préoccuper par le moyen du sujet étant inculqué à leurs enfants par les parents dans le cadre d’un nouveau concept que je nommerais “éducation”.


les moyens absolument nécessaires à l’accomplissement d’une tâche donnée.



c’est pour ça que je veux bien fournir :




  • adresse E-mail (bidon)



  • mes “nom, prénom” :francais:
    au delà*, j’abandonne le site en question



  • quand..ces sites n’auront PLUS de visiteurs, ils cesseront de demander :



  • date de naissance



  • adresse Postale
    etc…




BlueSquirrel a dit:


J’espère que c’est du flan. Sinon outre la problématique vie privée/surveillance généralisée (qui est déjà très grave) il y a un sérieux problème côté sécurité des échanges web dans le monde : si demain les “certifs” (en supposant qu’il s’agit par ici de moyens de déchiffrer les communications) sont récupérés par des pirates…




Ce ne serait pas la première fois qu’une CA est mal cotée, voire, corrompue.
Il a même un petit groupe indépendant d’américains réfractaires qui en a fait une, de CA. :sm: