Wiki Memo Sllabs
This site is the home of a collaborative open project to promote, implement and deploy DNS Privacy. The goals of this project include:
- Raising awareness of the issue of DNS Privacy
- Empowering users to take advantage of DNS Privacy tools and resources (client applications, DNS Privacy resolvers)
- Evolving the DNS to support DNS Privacy in particular developing new DNS Protocol standards
- Working towards full support for DNS Privacy in a range of Open Source DNS implementations including: getdns, Unbound, NSD, BIND and Knot (Auth and Resolver)
- Co-ordinating deployment of DNS Privacy services and documenting operational practices
Current contributors to this project include Sinodun IT, NLnet Labs, SalesForce and No Mountain Software.
Chiffrez tout !
Dès que l'on commence à parler de « sécurité » en informatique, il est facile de devenir paranoïaque : de qui veut on se protéger, qui peut nous protéger, que demande t'il pour le faire ? Peut on lui faire confiance ? Partons du principe que nous sommes en danger de mort si quelqu'un a accès à nos informations, nous avons besoin d'une confiance absolue, et pour cela, nous pouvons faire une croix sur des logiciels comme Skype (cf. l'Égypte / de Microsoft) ou UltraSurf (d'Ultrareach).
Il faut obligatoirement appréhender la sécurité comme un ensemble : physique, logiciel, architecture (architecture centralisée de BlackBerry) ou encore la surcouche opérateur (cf. « spyware » Carrier IQ).
Un bon système cryptographique est le plus souvent open-source (libre), massivement utilisé, et audité sur un laps de temps important (plusieurs années) par des programmeurs, des experts et des chercheurs. Les algorithmes « fermés » possèdent souvent des faiblesses.
La nationalité des logiciels est très importantes. Certains pays permettent l'utilisation de la cryptographie forte, mais pas son exportation (lire à ce propos l'histoire de Philip Zimmerman et de PGP ainsi que « laws concerning cryptography » de la société RSA. L'implantation d'une entreprise dans un pays peut être fait à la condition que les autorités puissent avoir accès aux serveurs, comme BlackBerry en Inde ou en Arabie Saoudite (et sans doute dans d'autres pays). La présence de spywares (comme des backdoors) peut aussi être de la partie (installation du système de surveillance d'Amesys en Libye) et des lois comme le Patriot Act américain peuvent forcer votre prestataire à laisser un accès à ses serveurs aux autorités.
Par exemple, la société Kryptos Communications développe un équivalent de l'application RedPhone de Whispersys avec des fonctionnalités alléchantes : Kryptos (chiffrement en AES 256 bit pour la communication, échange des clés d'authentification via RSA 2048 bit. Appels sécurisés via 3G, 4G, WiFi …), mais il faut avoir en tête certaines choses : Kryptos Communications est une société commerciale américaine (donc soumis au Patriot Act) qui propose un service payant (10 $/mois) avec inscription (et donc une base de données de ses utilisateurs), le tout avec un logiciel non open-source, qui fonctionne alors comme une boite noire, il est alors impossible de savoir ce qu'il fait vraiment.
Ce n'est pas parce que un logiciel utilise un ou plusieurs protocoles de cryptographie qu'il est pour autant fiable. Un des meilleurs exemple est « CrypTweet », qui permet d'envoyer des messages privés chiffrés sur Twitter. Les fonctionnalités sont intéressantes (SHA2, RSA et DES3), mais le tout mal implémenté et avec des manquements (pas de ssl pour accéder au serveur de clé public par exemple). Heureusement, le code source étant disponible (licence MIT), les problèmes ont été rapidement relevés.
En allant plus loin, l'accès direct à Google Play (anciennement Android Market), demande une authentification via un compte Gmail (autre service de Google) : pouvons-nous faire assez confiance à une entreprise qui collecte 600 gigaoctets de données (Wifi non sécurisés, SSID, adresses Mac, mais aussi pages web, textes, images, mots de passe) soi-disant à cause d'une « erreur de programmation » et dont le chiffre d'affaire provient de la vente de publicité ultra-ciblée ?
Pour finir, faites la différence entre un logiciel gratuit (freeware, ou « gratuiciel ») et un logiciel libre (free software}). Un freeware indique un logiciel « gratuit » mais en rien « libre », il peut être payant pour une utilisation commerciale et son code n'est pas accessible. Un logiciel libre permet son utilisation (le plus souvent gratuitement), son étude, sa modification (le code source étant disponible) et sa duplication en vue de sa diffusion. Cette différence est très importante, et quand on parle de cryptographie, elle peut sauver des vies.
L'auto-hébergement, c'est fournir soi-même les services qu'on utilise plutôt que d'utiliser ceux d'Orange, de Google, de Microsoft, de Yahoo!, etc. :
avoir son site Web personnel sur son propre ordinateur ;
être son propre fournisseur de messagerie, de messagerie instantanée ;
accéder à ses données depuis n'importe quel poste connecté à internet…
Internet a été conçu comme un réseau acentré, où chaque ordinateur fournit une partie des services. Ainsi, s'héberger soi-même permet :
de construire un Internet acentré et résistant ;
de garder le contrôle et la responsabilité de ses propres données ;
d'avoir un service humain et proche : soi-même ;
de s'amuser et de s'instruire.
L'auto-hébergement peut donc intéresser :
les professionnels, auto-entrepreneurs et PME ;
les passionnés d'informatique prêts à s'investir pour découvrir qu'on peut participer à Internet au même titre que les grandes entreprises.
liste des démarches nécessaires à la création d'un FAI local
Pour la documentation et plein plein d'autres choses.