New Stable Tor Browser Bundles

The stable Tor Browser Bundles have all been updated to the latest Tor 0.2.2.38 stable release.
https://www.torproject.org/download
Tor Browser Bundle (2.2.38-1)

• Update Tor to 0.2.2.38
• Update NoScript to 2.5
• Update HTTPS Everywhere to 2.1

Syrie - Enlèvements, libérations, assassinats : les journalistes au coeur de la guerre

“Trois morts en une semaine : tout comme le calvaire de la population civile, le bilan des exactions commises contre les professionnels des médias et les citoyens-journalistes syriens continue de s'alourdir à un rythme effrayant. Des faubourgs de Damas à la capitale libanaise, les journalistes ne sont nulle part épargnés. Si nous sommes soulagés de la libération de six professionnels des médias enlevés au cours de la semaine, nous nourrissons les pires inquiétudes quant au sort de ceux dont on reste sans nouvelles. La généralisation de telles pratiques est inacceptable. Nous exhortons encore une fois l'ensemble des forces armées et des milices en présence à respecter le droit international et à ne pas prendre pour cible les médias”, a déclaré Reporters sans frontières.

Julian Assange : 5 tactiques pour s'enfuir de l'ambassade

Alors que l’Équateur lui a accordé la protection diplomatique, Julian Assange ne peut sortir de l'ambassade londonienne sous peine d'être arrêté par la police britannique. Numerama publie cinq tactiques que le fondateur de Wikileaks pourrait mettre en œuvre pour s'enfuir.
[Lire la suite]

About Exploit Exercises

Welcome

exploit-exercises.com provides a variety of virtual machines, documentation and challenges that can be used to learn about a variety of computer security issues such as privilege escalation, vulnerability analysis, exploit development, debugging, reverse engineering. 

Comment identifier un blogueur anonyme ? En exploitant YouTube

Une blogueuse canadienne accuse YouTube de négligence pouvant mettre des internautes en danger. Des harceleurs déposeraient en effet des demandes de retrait de vidéos, pour une fausse accusation de violation de droits d'auteur, avec pour seul but d'obtenir l'identité de la personne qui est obligée de se révéler pour se défendre.

Pour gérer les multiples violations du droit d'auteur auquel il doit faire face sur YouTube, Google a choisi d'adopter un système de présomption de culpabilité à l'égard des internautes. Il suffit que des tiers accusent un utilisateur de violer des droits pour que ses vidéos soient retirées de façon préventive, sans avoir attendu les arguments de la défense. C'est ainsi que de façon spectaculaire, la NASA s'est vue sanctionnée pour avoir diffusé ses propres images.
Ce système est déjà fortement critiquable en soit, tant il est générateur d'abus et d'erreurs qui lèsent la liberté d'expression, mais il est en plus la source de manipulations visant à obtenir l'identité d'internautes anonymes.
Une blogueuse canadienne qui souhaite écrire sur son blog sans révéler au monde entier son identité, girlwriteswhat, raconte ainsi qu'elle a été accusée par deux personnes d'avoir enfreint des droits d'auteur en publiant des vidéos sur YouTube. Une accusation ridicule puisque sur les vidéos en question, la blogueuse est face caméra et ne fait que parler des sujets qui l'intéressent. YouTube a supprimé les vidéos en question, en attendant que la blogueuse réponde aux accusations.
Or c'est là que le bât blesse. Pour répondre aux accusations et se défendre d'avoir violé des droits d'auteur, la blogueuse doit accepter que son identité soit révélée à ceux qui l'accusent. "Une fois la notification de contestation reçue, nous la transférons à la partie ayant déposé la réclamation pour atteinte aux droits d'auteur. Nous vous rappelons que vos informations personnelles sont communiquées à cette occasion", rappelle en effet YouTube. "En soumettant une notification de contestation, vous consentez à la divulgation de ces informations", qui peuvent comprendre le nom, le numéro de téléphone ou encore l'adresse postale du défendeur. 
Le blogueur anonyme n'a donc que deux solutions : renoncer à ses vidéos hébergées sur YouTube (qui de toute façon semble se diriger vers la fin de l'anonymat), ou renoncer à son anonymat pour se défendre des fausses accusations. Or selon elle, c'est bien pour avoir son identité et la harceler que les accusations ont été portées, sans fondement.
La personne qui demande le retrait d'une vidéo est certes prévenue par Google qu'elle risque "peut-être des poursuites en cas d'allégation de mauvaise foi concernant des infractions aux droits d'auteur dans le cadre de ce processus", mais Google se contente d'une signature scannée pour établir l'identité de l'accusant. Il est donc simple de créer une fausse adresse e-mail et une fausse identité avec une fausse signature, uniquement pour recevoir l'identité de la personne accusée.
Sur son blog, girlwriteswhat a menacé de porter plainte contre YouTube "pour leur processus automatisé irresponsable de notification d'atteinte aux droits d'auteur, qui expose des personnes comme moi au risque d'un harcèlement dans la vie réelle". Elle reconnaît que son nom devra alors être publié, "mais au moins ça vaudra le coup". Dans une mise à jour, elle indique cependant que ses vidéos sont revenues en ligne, après que les accusations ont été retirées.

Julian Assange : ou quand les démocraties occidentales montrent leurs limites

Le ministre des Affaires étrangères équatorien vient d’annoncer que son pays accordait l’asile politique à Julian Assange. Le ministre a également profité de son intervention pour faire part publiquement des pressions diplomatiques que son pays a subies pour le contraindre à livrer le fondateur de WikiLeaks aux autorités britanniques. Mais il est encore trop tôt pour se réjouir. Londres reste déterminé à extrader Julian Assange vers la Suède, pays dans lequel une plainte a été déposée à son encontre pour un rapport sexuel non protégé, une accusation qui, pour la justice suédoise, est assimilable à un viol.
Les USA ont beau démentir toute pression sur Londres, personne n’est dupe, nous savons tous que l’extradition vers la Suède n’est qu’un premier pas pour extrader Julian Assange aux USA, pays dans lequel il pourrait comparaître devant un tribunal militaire. Comme l’a justement rappelé le ministre équatorien, Julian Assange pourrait être condamné à mort pour avoir permis la publication de 250 000 câbles diplomatiques américains.

Le crime de Julian Assange

Derrière les accusations fantasques de viol d’une plainte déposée peu après la publication de collateral murder, une vidéo où l’on voit un hélicoptère américain faire feu sur des journalistes, se cache une lutte de Washington pour faire venir Julian Assange sur son territoire et être en mesure de le juger. Mais le juger pour quoi au juste ? Il est en fait accusé d’espionnage pour avoir reçu anonymement ces câbles diplomatiques et avoir permis aux plus grands quotidiens nationaux du monde entier de publier ces câbles. Les rédacteurs en chef des quotidiens qui ont publié ces documents, ne sont, eux, pas inquiétés.

Washington s’acharne donc ouvertement sur la personne de Julian Assange et fait pression sur Londres, qui ne semble avoir d’autre choix que de faire pression sur l’ambassade d’Équateur.
Nous nous rappelons bien que tout a été fait pour faire taire WikiLeaks. Attaques informatiques par dénis de service, intimidations et même appels au meurtre par un sénateur américain ! Tout récemment, WikiLeaks était encore la cible d’attaques soutenues par dénis de service, ainsi que le site du Fonds de Défense de la Neutralité du Net qui collecte les dons pour WikiLeaks et dont votre serviteur est par ailleurs l’un des membres du conseil de gouvernance. Une plainte a d’ailleurs été déposée, pour l’instant sans aucun résultat concret, pas même un début d’enquête à notre connaissance.

Que va faire le Royaume-Uni ?

Londres pourrait annuler le statut diplomatique de l’ambassade d’Équateur dans laquelle le fondateur de Wikileaks est réfugié depuis maintenant deux mois, risquant ainsi une crise diplomatique majeure. Ceci constituerait à n’en pas douter une première mondiale pour un rapport sans préservatif !
Les autorités britanniques semblent décidées à faire extrader Julian Assange coûte que coûte, probablement sous la pression américaine. La police encercle actuellement l’ambassade et se tient prête à y pénétrer, une intrusion qui violerait la convention de Vienne. Pour ne pas contrevenir à cette convention, la pirouette des autorités britanniques consiste donc à retirer à l’ambassade d’Équateur son statut diplomatique d’ambassade ! … Oui… pour un rapport sans préservatif !
Cette situation est tout bonnement ahurissante et marque bien les limites d’un pays qui n’a décidément plus rien d’une démocratie. Qui peut décemment croire que les autorités britanniques puissent en venir là pour un motif aussi ridicule, ce, alors que Julian Assange n’a même pas été inculpé par la justice suédoise pour les faits qui lui seraient reprochés !
Si Londres en venait à prendre une décision si démesurée, il serait alors du devoir des Nations unies et de l’Union européenne de réagir avec la plus grande fermeté à l’encontre des autorités britanniques.
Nous nous rappellerons en tout cas de ce jour comme celui où l’Équateur a donné une grande leçon de droits de l’Homme au Royaume-Uni et aux USA, mais aussi à toutes ces autres « démocraties », la France en tête, cette France qui aurait dû se faire un devoir d’accueillir Julian Assange, au nom des valeurs qu’elle se doit de représenter.
UPDATE 16/08/2012 :

• 17h00 : Le NouvelObs rapporte que la Suède aurait convoqué l’ambassadeur équatorien à Stockholm pour « s’expliquer sur les accusations de partialité de son gouvernement contre la justice suédoise ».

 UPDATE 17/08/2012 :

• 10h30 : El Pais et Le Parisien rapportent que l’Équateur a commencé à étendre le champs de bataille diplomatique en provoquant une réunion des ministres des affaires étrangères des pays de l’Union des Nations Sud Américaines (UNASUR) et de l’Alliance bolivarienne pour les Amériques (ALBA). Objectif avoué de l’Équateur, faire bloc face aux intimidations de Londres. Quito se dit prêt à saisir la Cour Internationale de Justice (CIJ) de la Haye pour contraindre les autorités britanniques à laisser Julian Assange quitter le Royaume-Uni.
• 11h00 : Selon Mediapart, Julian Assange dispose encore d’un recours, contrairement au son de cloche des autorités britanniques. Ce dernier pourrait « saisir la Cour Européenne des Droits de l’Homme et solliciter une mesure provisoire d’urgence au titre de L’article 39 ». Le Royaume-Uni et la suède ont ratifié la Convention européenne des Droits de l’Homme et il existe une solide jurisprudence favorable à Julian Assange, menacé de mort aux USA.

La jurisprudence Soering de la CEDH s’applique et doit être respectée : «  En conclusion, la décision ministérielle de livrer le requérant aux États-Unis violerait l’article 3 (art. 3) si elle recevait exécution.  ».

(…)

«  Cette jurisprudence a été confirmée par la CEDH à de nombreuses reprises. Ainsi, dans l’arrêt Jabari c/ Turquie du 11 juillet 2000, la Cour a considéré que l’expulsion d’une femme vers l’Iran où elle risquait d’être condamnée à mort par lapidation est incompatible avec l’obligation de la Turquie de respecter l’article 3 de la ConvEDH.  » (Source)

• 12H00 : Numérama expose 5 stratégies d’évasion pour Julian Assange.

La cyberguerre froide

N’insistez pas, les États-Unis ne lâcheront pas le contrôle du Net. Ou plus précisément, la gestion de quelques-unes de ses fonctions essentielles, comme la gestion du fichier racine, coordonnée au sein d’institutions made in USA comme l’ICANN ou Verisign, qui (en gros) créent ou suppriment de nouveaux “.quelquechose”.
Pas faute d’avoir essayé de changer les choses depuis de nombreuses années. La dernière tentative en date, toujours en cours, s’appuie sur la prochaine Conférence mondiale des télécommunications internationales (WCIT-12). Attendu à Dubai en décembre prochain, cet évènement placé sous la coupe des Nations Unies et de l’une de ses agences, l’Union internationale des télécommunications (UIT), sera en effet l’occasion de réviser le “Règlement des télécommunications internationales” (RTI ou ITRs en anglais), qui “régit la façon dont les pays relient entre eux toutes sortes de réseaux d’information et de communication”, et dont la dernière version remonte à… 1988. Une éternité à l’échelle du Net.

MegaUpload : le FBI devra bien communiquer toutes ses pièces

Les Etats-Unis devront communiquer à Kim Dotcom tous les documents utilisés pour monter son dossier contre le fondateur de MegaUpload. La justice néozélandaise a rejeté l'appel des autorités américaines qui souhaitaient conserver un avantage stratégique sur la défense.
[Lire la suite]

La Backtrack 5 R3 est sortie !

Je l'attendais avec impatience et la voici, la voilà... La R3 de Backtrack 5, la distrib linux spécialisé pour la sécurité informatique.
J'ai joué un peu il y a 1 semaine avec la version sortie spécialement pour la Black Hat (la conf aux US qui s'est déroulé juste avant la Defcon) mais maintenant, cette R3 est téléchargeable par tous.
Cette Backtrack voit l'apparition d'une nouvelle catégorie d'outils baptisée "Exploitation physique" qui propose des IDE et bibliothèques Arduino ou encore la collection de payload Kautilya pour hacker des devices.

#Patentfail: Tell Your Story

At the risk of repeating ourselves, the current patent system is broken. There's considerable evidence to support this claim, too—whether it's innovation-destroying patent trolls or certified "chaos" in legal battles among tech giants. More than 10,000 people have signed onto our Defend Innovation campaign, helpfully providing their thoughts on what works and what doesn't with the patent system, and what kinds of changes would really make things better.
These fixes can only come, however, with thorough evidence and analysis, which is why we have kicked off our Defend Innovation campaign. Another crucial ingredient is scholarship on the issue. Professor Colleen Chien of Santa Clara University School of Law is conducting a short Patent Demand Survey, and she's looking for your help in collecting relevant data. Professor Chien's research is an important step in understanding—and teaching others, including policy makers—the scope of the patent problem. It is crucial that those whose lives are affected by patents participate. We can't say it enough: we highly encourage those who have received patent demands to fill this confidential survey out.
We need entrepreneurs and engineers who have been affected by patents to tell their stories. Too often, startups are afraid (oftentimes for good reason) to publicly discuss the undesirable patent situations they find themselves in for fear of being targeted by trolls. And nearly all settlements with trolls require that alleged infringers sign nondisclosure agreements, meaning the world never finds out about the harm that has occurred.
We've been encouraged recently to see fixes to the system coming from within and without. For examples, private parties have developed tools to hack the system, making it work for engineers and companies who would rather not engage in the patent process. The Defensive Patent License (DPL) and Twitter's Innovator's Patent Agreement (IPA) are two prominent examples.
Two Congressmen also recently introduced the SHIELD Act, which creates a fee-shifting scheme for patent lawsuits: a plaintiff must have a good-faith believe that a defendant is infringing a valid patent, otherwise it must pay for the winning party's fees. Though we support this bill, it is an incremental change to a system that needs more sweeping reform. To that end, we've proposed our own additional suggestions on how to fix the system at https://defendinnovation.org.
It is exciting to see so many good ideas for revamping a broken patent system. Anecdotes serve to inspire, but thorough scholarly analysis is necessary too. If you or your business has been affected by patent demands, tell your story. When we are able to cite such scholarship in our legal briefs, our comments, and our blog posts, we make it that much harder for others to deny just how necessary it is to fix our broken patent system.

Related Issues: 

Innovation

Patents

Share this:   ||  Join EFF

Internet : l’ami des dictateurs ?

Ceci est une réaction au papier du Monde intitulé « L’information en ligne, l’autre conflit syrien« , écrit par Shahzad Abdul. Elle est écrite par n4rim, que vous pouvez croiser sur IRC.
Honnêtement, commencer un article sur la Syrie avec une citation de Evgeny Morozov, « Internet sera le meilleur ami des tyrans », c’est assez gonflé. En tout cas, moi, ça me choque. Alors c’est probablement parce que je passe trop de temps sur IRC, trop de temps derrière un écran mais, non, définitivement, j’ai du mal à penser que l’on puisse commencer un article avec un « Internet saimal ».
Je m’explique.

[Important] TrapWire : un réseau d'espionnage dans les mains d'une entité privée

Wikileaks assure que les attaques DDOS qui le rendent indisponible depuis 10 jours sont liés à ses révélations sur l'ampleur de TrapWire, un programme qui centralise et croise les systèmes de surveillance de nombreux clients publics et privés aux USA et en Grande-Bretagne.

Depuis 10 jours, Wikileaks subit une attaque DDOS sans précédent contre ses serveurs, tellement surchargés de connexions qu'ils n'arrivent plus à rester en ligne pour répondre aux demandes légitimes de lecture de ses pages. Jamais le site n'avait connu une offensive d'une telle violence. Or pour Wikileaks, il faut faire un lien direct entre ces attaques et la divulgation de nouveaux e-mails issus de la fuite de Stratfor.
Ces e-mails montrent en effet l'existence d'un réseau de surveillance d'ampleur mis en place aux Etats-Unis et en Grande-Bretagne, sous le contrôle d'une société privée baptisée TrapWire, fondée en 2007 (elle s'appelait alors Abraxas Applications, avant de changer de nom suite à la vente de la maison-mère Abraxas Corporation).
TrapWire est dirigé par d'anciens haut fonctionnaires de la CIA, trois de ses quatre directeurs étant issus de l'agence américaine, en plus du fondateur de la société. Les fuites de Wikileaks n'ont pas révélé l'existence de TrapWire, qui était déjà connue, mais plutôt l'ampleur du programme qu'il gère pour assurer la sécurité de ses clients, aussi bien publics que privés.
La firme vend un logiciel qui collecte des informations de surveillance, y compris à partir d'un réseau de caméras (500 seraient installées dans le seul métro new-yorkais), et partage les alertes avec les départements de police, le ministère de l'intérieur, le FBI et même parfois des société privées. TrapWire compte de nombreux clients dans les transports publics, l'armée, la police (Washington, Las Vegas, New York, Los Angeles...), les casinos, et aurait même des clients en Grande-Bretagne (la Bourse de Londres, le 10 Downing Street où réside le premier ministre, Scotland Yard).... Par ailleurs, des e-mails montrent que des sociétés comme Google ou Salesforce auraient été démarchées, sans que l'on sache si elles ont répondu favorablement.
Concrètement, TrapWire installe des caméras de surveillance sur les "lieux sensibles" de ses clients, pour analyser les images collectées et détecter des "schémas comportementaux" qui peuvent faire craindre une action terroriste. En cas de besoin, il photographie les suspects et garde des preuves en vidéo. Le système est aussi relié à des plateformes d'alertes par lesquelles les citoyens sont invités à signaler les comportements suspects qu'ils remarquent, notamment à Washington et à Los Angeles. Tous les appels sont enregistrés et analysés, avant d'être éventuellement transmis aux centres concernés.
En principe, les surveillances des différents lieux sont isolées les unes des autres. Mais les e-mails révèlent que TrapWire centralise l'ensemble des données et les croise pour perfectionner ses alertes, mélangeant ainsi les données privées ou publiques. C'est tout un réseau de surveillance qui est mis en place, et confié à une société privée, avec l'approbation des pouvoirs publics américains et britanniques.
Le mélange public-privé et la surveillance prédictive de la population sont une tendance très lourde dans les programmes de sécurité américains ou européens, à l'image du programme INDECT financé par la Commission Européenne. La semaine dernière, nous rapportions que Microsoft s'est associé à la police de New York pour déployer un immense système de surveillance dans la ville, et qu'il reverserait 30 % de commission à chaque fois qu'il vendrait le même système ailleurs dans le monde.

MPAA / RIAA Want U.S. to Help Quash The Pirate Bay

The U.S. Government is constantly evaluating and updating its copyright enforcement policies. To this end, Copyright Czar Victoria Espinel recently asked “the public” to come up with recommendations for the future strategy.
The call resulted in dozens of submissions from individuals, entrepreneurs, digital rights groups and copyright holders. The RIAA and MPAA did not miss out on the opportunity either – they filed a joint recommendation last Friday.
More has to be done to combat online piracy according to the two groups, and the U.S. Government should play an active role in these efforts.

Google sanctionne les sites accusés de piratage

Google va enfouir dans son moteur de recherche les sites qui font le plus souvent l'objet de demandes de retraits de contenus, faisant ainsi remonter mécaniquement les plateformes légales.
[Lire la suite]

New Tor Browser and Obfsproxy Bundles

The alpha Tor Browser Bundles have all been updated to the latest Tor 0.2.3.20-rc release candidate as well as being updated with some bugfixes. We're getting closer and closer to releasing the 0.2.3.x series as stable, so please give these bundles a lot of testing and help us shake out all of the remaining bugs! The regular bundles have also been updated.
https://www.torproject.org/download
The Tor Obfsproxy Browser Bundles have also been brought up to date with all of the same software as the regular alpha Tor Browser Bundles. These are still a work in progress, so please remember to report bugs! You can download them from the obfsproxy page.
Tor Browser Bundle (2.3.20-alpha-1)

• Update Tor to 0.2.3.20-rc
• Update NoScript to 2.5
• Change the urlbar search engine to Startpage (closes: #5925)
• Firefox patch updates:
• Fix the Tor Browser SIGFPE crash bug (closes: #6492)
• Add a redirect API for HTTPS-Everywhere (closes: #5477)
• Enable WebGL (as click-to-play only) (closes: #6370)