Vie-privée – Sima78

GnuPG Renouveler sa clé de chiffrement

Il était temps que je renouvelle ma clé de chiffrement, en effet je n’avais pas mis de date d’expiration et par procrastination dont je suis un spécialiste je reculais la date de cette tâche de jour en jour pour ne pas dire d’année en année. Ce week-end je m’y suis collé et c’est l’occasion de créer un billet pour blog.

Trouvant les interfaces graphiques limitées dans les options, j’ai utilisé la ligne commande bien plus riche.

Faut-il communiquer qu’en mode chiffré ou pas… ce sera le sujet d’un autre article !

Avant tout, qu’est-ce que GnuPG ?

GnuPG (GNU Privacy Guard) est un logiciel libre qui permet de chiffrer et de signer des données et des communications, rendant vos échanges privés et authentiques. Il utilise le chiffrement asymétrique : chaque utilisateur possède une clé publique (à partager pour recevoir des messages chiffrés) et une clé privée (à garder secrète pour déchiffrer les messages reçus et signer ses propres messages).

Bref :

Protéger vos emails et fichiers pour qu’ils ne soient lisibles que par le destinataire choisi.
Vérifier l’authenticité des messages ou fichiers reçus, confirmant qu’ils proviennent bien de la personne qui les a signés.

C’est un outil pour la confidentialité et la sécurité des communications numériques.

Avertissement

Il ne s’agit pas de copier/coller bêtement les lignes de commande mais d’essayer de les comprendre et de vous les approprier.
Comme modifier « mon@mail.fr » par votre mail… Et mettre votre propre ID

Pour comprendre comment est faite une clé GnuPG

pub   rsa4096/0x2C07D84901065A3D 2024-11-10 [SC]
      Empreinte de la clef = 32B2 C27E 1C7D 3D68 8FA1  D49F 2C07 D849 0106 5A3D
uid                              sima78 (clés perso 01) <mon@mail.fr>
sub   rsa4096/0x373FEA503684F9B2 2024-11-10 [E]

pub : est la clé publique, l’ID est entre le « / » et avant 2024, utilisée pour chiffrer ou vérifier des signatures.
Empreinte de la clé : est l’empreinte complète qui permet de faire des vérifications.
uid : Identité de l’utilisateur associée à la clé publique (nom, email).
sub : Clé secondaire, souvent utilisée pour des rôles spécifiques comme le chiffrement.

Renouvellement de la clé GnuPG

Je commence par lister les clés

gpg –list-key

Là je constate que j’ai une grande quantité de clés publiques expirées.
Faire le ménage et commencer par identifier les clés publiques expirées

Faire le ménage, supprimer les clés expirées est tout à fait optionnel. Vous pouvez le faire après, ou ne pas le faire.

La procédure de renouvellement commence vraiment à « Révoquer l’ancienne clé ».

gpg --list-keys --with-colons | awk -F: '/^pub:e:/ {print $5}'

Permets de lister les clés expirées
Pour les supprimer deux possibilités

Dans mes penses-bêtes j’ai un script et une ligne de commande. Je vous mets les deux mais j’ai utilisé la ligne de commande plus bas, je n’ai pas retesté mon script.
Mon script avec une structure conditionnelle « if, then, fi » et une boucle « for do done«

#!/bin/bash
# Script de suppression des clés publiques GPG expirées
# Vérifier si la commande gpg est disponible
if ! command -v gpg &> /dev/null; then
    echo "Erreur : gpg n'est pas installé." >&2
    exit 1
fi

# Parcourir en boucle chaque clé GPG expirée et la supprimer
for key in $(gpg --list-keys --with-colons | awk -F: '/^pub:e:/ {print $5}'); do
    echo "Suppression d'une clé expirée: $key"
    gpg --batch --yes --delete-keys "$key" || {
        echo "Échec de la suppression de la clé: $key" >&2
    }
done

echo "La suppression des clés expirées est terminée."
exit 0

Ou en une ligne, ce que j’ai utilisé

gpg --list-keys --with-colons | awk -F: '/^pub:e:/ {print $5}' | xargs -I {} gpg --batch --yes --delete-keys {}

gpg –list-keys –with-colons : Liste toutes les clés
awk -F: ‘/^pub:e:/ {print $5}’ : Filtre les clés publiques expirées (pub:e) et extrait leur ID.
xargs -I {} gpg –batch –yes –delete-keys {} : Utilise xargs pour passer chaque ID de clé expirée à gpg –delete-keys, supprimant ainsi les clés sans confirmation.

Cette commande supprime toutes les clés publiques expirées de manière automatique.

Mettre à jour les clés de votre trousseau

Pour synchroniser toutes les clés dans votre trousseau avec le serveur de clés et obtenir les dernières informations (comme les révocations), utilisez :

gpg –refresh-keys

Cela vérifie chaque clé de votre trousseau et télécharge les mises à jour disponibles, y compris les certificats de révocation, de tous les serveurs de clés configurés.

Révoquer l’ancienne clé

sima78@jilipolla:~$ gpg --output revocation_certificat.asc --gen-revoke mon@mail.fr
gpg: 'mon@mail.fr' matches multiple secret keys:
gpg:   sec  rsa4096/0x2A5F500DD27DD6FB 2017-02-22 sima78 <mon@mail.fr>
gpg:   sec  dsa3072/0x038072C036D4F9CD 2015-09-21 Sima78 <mon@mail.fr>

Ah, j’ai deux ID dont une est déjà expirée, c’est dont la première que je dois choisir.

sima78@jilipolla:~$ gpg --output revocation_certificat.asc --gen-revoke 0x2A5F500DD27DD6FB

sec  rsa4096/0x2A5F500DD27DD6FB 2017-02-22 sima78 <mon@mail.fr>

Faut-il créer un certificat de révocation pour cette clef ? (o/N) o
choisissez la cause de la révocation :
  0 = Aucune cause indiquée
  1 = La clef a été compromise
  2 = La clef a été remplacée
  3 = La clef n'est plus utilisée
  Q = Annuler
(Vous devriez sûrement sélectionner 1 ici)
Quelle est votre décision ? 0

Entrez une description facultative, en terminant par une ligne vide :
> ancienne
>

Cause de révocation : Aucune cause indiquée
ancienne
Est-ce d'accord ? (o/N) o
sortie forcée avec armure ASCII.
Certificat de révocation créé.

Veuillez le déplacer sur un support que vous pouvez cacher ; toute personne
accédant à ce certificat peut l'utiliser pour rendre votre clef inutilisable.
Imprimer ce certificat et le stocker ailleurs est une bonne idée, au cas où le
support devienne illisible. Attention tout de même : le système d'impression
utilisé pourrait stocker ces données et les rendre accessibles à d'autres.

Importer le certificat de révocation

sima78@jilipolla:~$ gpg --import revocation_certificat.asc
gpg: clef 0x2A5F500DD27DD6FB : « sima78 <mon@mail.fr> » certificat de révocation importé
gpg: Quantité totale traitée : 1
gpg:    nouvelles révocations de clef : 1
gpg: marginals needed: 3  completes needed: 1  trust model: pgp
gpg: profondeur : 0  valables :   1  signées :   0
     confiance : 0 i., 0 n.d., 0 j., 0 m., 0 t., 1 u.

Envoyer sur le serveur de clés la révocation

sima78@jilipolla:~$ gpg --send-keys --keyserver keys.openpgp.org 0x2A5F500DD27DD6FB
gpg: envoi de la clef 0x2A5F500DD27DD6FB à hkp://keys.openpgp.org

Générer la nouvelle clé

sima78@jilipolla:~$ gpg --full-generate-key
gpg (GnuPG) 2.4.4; Copyright (C) 2024 g10 Code GmbH
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.
Sélectionnez le type de clef désiré :
   (1) RSA and RSA
   (2) DSA and Elgamal
   (3) DSA (sign only)
   (4) RSA (sign only)
   (9) ECC (sign and encrypt) *default*
  (10) ECC (signature seule)
  (14) Existing key from card
Quel est votre choix ? 1

les clefs RSA peuvent faire une taille comprise entre 1024 et 4096 bits.
Quelle taille de clef désirez-vous ? (3072) 4096
La taille demandée est 4096 bits

Veuillez indiquer le temps pendant lequel cette clef devrait être valable.
         0 = la clef n'expire pas
      <n>  = la clef expire dans n jours
      <n>w = la clef expire dans n semaines
      <n>m = la clef expire dans n mois
      <n>y = la clef expire dans n ans
Pendant combien de temps la clef est-elle valable ? (0) 0
La clef n'expire pas du tout
Est-ce correct ? (o/N) o

GnuPG doit construire une identité pour identifier la clef.
Nom réel : sima78
Adresse électronique :  mon@mail.fr
Commentaire : clés perso 01
Vous utilisez le jeu de caractères « utf-8 ».
Vous avez sélectionné cette identité :
    « sima78 (clés perso 01) <smon@mail.fr > »
Changer le (N)om, le (C)ommentaire, l'(A)dresse électronique
ou (O)ui/(Q)uitter ? O

De nombreux octets aléatoires doivent être générés. Vous devriez faire
autre chose (taper au clavier, déplacer la souris, utiliser les disques)
pendant la génération de nombres premiers ; cela donne au générateur de
nombres aléatoires une meilleure chance d'obtenir suffisamment d'entropie.
De nombreux octets aléatoires doivent être générés. Vous devriez faire
autre chose (taper au clavier, déplacer la souris, utiliser les disques)
pendant la génération de nombres premiers ; cela donne au générateur de
nombres aléatoires une meilleure chance d'obtenir suffisamment d'entropie.

gpg: répertoire « /home/sima78/.gnupg/openpgp-revocs.d » créé
gpg: revocation certificate stored as '/home/sima78/.gnupg/openpgp-revocs.d/32B2C27E1C7D3D688FA1D49F2C07D84901065A3D.rev'
les clefs publique et secrète ont été créées et signées.

pub   rsa4096/0x2C07D84901065A3D 2024-11-10 [SC]
      Empreinte de la clef = 32B2 C27E 1C7D 3D68 8FA1  D49F 2C07 D849 0106 5A3D
uid                              sima78 (clés perso 01) <mon@mail.fr>
sub   rsa4096/0x373FEA503684F9B2 2024-11-10 [E]

On vérifie la liste des clés et note l’ID de la nouvelle clé
Une fois la nouvelle clé créée, listez vos clés pour noter l’ID de votre nouvelle clé :

gpg –list-keys

Exporter votre nouvelle clé publique

Exportez votre nouvelle clé publique pour la partager avec vos contacts :

sima78@jilipolla:~$ gpg --export --armor 0x2C07D84901065A3D > 2024-gnupg-sima78.asc

Publier la nouvelle clé publique sur un serveur de clés

Cela permet à vos contacts de retrouver votre nouvelle clé via un serveur de clés public, comme keys.openpgp.org. Il en existe plusieurs mais ils se synchronisent ente-eux

sima78@jilipolla:~$ gpg --send-keys --keyserver keys.openpgp.org 0x2C07D84901065A3D
gpg: envoi de la clef 0x2C07D84901065A3D à hkp://keys.openpgp.org

Il ne reste plus qu’à configurer les clients mail pour utiliser la nouvelle clé
Chaque client mail a des procédures spécifiques pour sélectionner une nouvelle clé GnuPG. Je ne vais donc pas détailler ici.

Récapitulatif des commandes que j’ai utilisées.

gpg –list-key
gpg –list-keys –with-colons | awk -F: ‘/^pub:e:/ {print $5}’
gpg –list-keys –with-colons | awk -F: ‘/^pub:e:/ {print $5}’ | xargs -I {} gpg –batch –yes –delete-keys {}
gpg –refresh-keys
gpg –output revocation_certificat.asc –gen-revoke mon@mail.fr
gpg –output revocation_certificat.asc –gen-revoke 0x2A5F500DD27DD6FB
gpg –full-generate-key
gpg –export –armor 0x2C07D84901065A3D > 2024-gnupg-sima78.asc
gpg –send-keys –keyserver keys.openpgp.org 0x2C07D84901065A3D

Les commandes 2, 3 et 4 sont optionnelles, j’avais juste besoin de faire du ménage.

Précisions, réflexion :
Il est fortement conseillé de créer un certificat de révocation de votre nouvelle clé que vous garderez précieusement dans vos sauvegardes. En effet, si pour une raison quelconque vous perdez votre paire de clés ou que votre clé est corrompue vous pourrez l’exporter pour révoquer votre clé et en recréer une nouvelle.
En écrivant cet article j’ai regardé ce que faisaient d’autres blogueurs, beaucoup commencent par générer la nouvelle clé et termine par la révocation de l’ancienne clé, c’est aussi une logique qui se tient.

Il existe de plus en plus de fournisseurs de messageries qui proposent la possibilité de chiffrement assymétrique de vos mails et signatures de façon simplifiée.

Pour aller plus loin
Gnu Privacy Guard (GnuPG) Mini Howto (Français)
Le manuel de GNU Privacy Guard (Français)

Vous pouvez vous lâcher dans les commentaires.

Le billet « GnuPG Renouveler sa clé de chiffrement » est apparu en premier sur le blog de Sima78.

Humeur – Sentiment de solitude avec GnuPG

René Magritte sima78

Humeur – Sentiment de solitude avec GnuPG

Je n’envisageais pas écrire un billet sur le sujet. Faire un Tuto sur GnuPG ? Certains en ont fait d’excellents et je ne vois pas ce que je peux y ajouter.

C’est un billet de ChezIceman « Tuto – Le mail sécurisé c’est pas si facile, sauf si… » qui m’a décidé de parler de mon expérience.

J’utilise GnuPG depuis déjà un certain temps.

J’ai plusieurs PC, tous sous linux, j’utilise sur tous GNOME Evolution (bah oui, j’aime bien) comme messagerie sauf sur l’un sur lequel j’utilise Thunderbird, car le pc a moins de ressource et Thunderbird est moins lourd qu’évolution… Me semble-t-il.

Je n’ai aucune expérience sur ordiphone puisque je ne communique pas par mail depuis mon ordiphone, je n’ai donc aucune expérience sur le chiffrement depuis ces appareils. J’ai bien une messagerie configurée dessus, mais elle est dédiée uniquement à recevoir mes log « Logwatch » et « Fail2ban » de mon serveur. Je n’envoie pas de message depuis cette messagerie.

J’ai bien une messagerie sur mon ordiphone professionnel, mais pas chiffrée et uniquement pro… Enfin, j’avais… depuis qu’il est cassé il y a 4 mois ils me l’ont remplacé par un téléphone à clapet, manque de budget, du temporaire paraît-il, entre-temps ils ont payé un ordiphone tout neuf (plus de 400 €) pour qu’une partie de mes équipes vérifient les Pass Sanitaires du public… Mais bon, ça c’est une autre histoire.

Bref, j’utilise GnuPG !

Il y a toujours un début à tout.
Je ne saurais pas dire depuis quand, mais assez tôt, lorsque j’ai découvert GnuPG (début des années 2000), je me suis documenté, créé mes clés, etc.

Wouaa Sima, mais alors tu communiques en chiffré depuis longtemps ! Hola, on se calme.^[1]

Au tout début, j’étais donc seul à détenir une paire de clés, personne d’autre dans mon entourage, ce qui ne sert strictement à rien, car il faut au moins être deux pour communiquer en chiffré. Mais le sujet m’intéressait, j’apprenais et signais mes messages même si je savais que personne de l’autre côté pouvais vérifier ma signature… Ça ne servait donc à rien sauf pour ma culture personnelle.

Quand il y a un début, c’est qu’il y a une suite.
Puis j’ai rencontré (On Line) trois blogueurs qui utilisaient GnuPG avec qui j’ai communiqué en chiffré. Enfin, je pouvais tester mes connaissances, mettre en pratique la théorie acquise et j’en étais heureux, je pense que la joie était partagée, il y avait si peu de personnes qui utilisaient GnuPG.

Le hasard de la vie fait que l’on sait perdu de « vue », en fait ils ont arrêté de bloguer et nous n’avons plus communiqué. Puis il y a eu les « Café Vie Privée » (qui ne fonctionnent plus vraiment), j’ai participé à certains, j’en ai organisé dans les Yvelines avec d’autres libristes et dans ce contexte j’ai rencontré d’autres personnes qui communiquaient en chiffré, et des personnes qui s’y intéressaient. Ce qui me fait un peu sourire aujourd’hui, c’est que j’ai connu des personnes avec des discours défendant de façon abrupte la nécessité d’échanger en chiffré, faisant presque culpabiliser ceux qui ne le faisaient pas… Et qui aujourd’hui sont retournés à leurs messageries (FAI) sans chiffrement…
Toujours est-il qu’il a eu une période où j’ai échangé un peu plus en chiffré.

Puis c’est retombé comme un soufflé mal cuit.
Il faut dire qu’utiliser GnuPG, n’est pas si simple, cela demande une certaine rigueur (la rigueur n’est pas ma qualité première), tenir à jour ses clés, les synchroniser, être vigoureux pour le réseau de confiance, etc. Il faut reconnaître que c’est un peu une usine à gaz et je me suis retrouvé un peu seul, je n’ai que de rares personnes dans mon entourage utilisant le chiffrement pour communiquer. Sentiment de solitude !

Démocratisation et retour timide du chiffrement.
Alors bien sûr il y a la médiatisation, mais je pense que la sensibilisation est plutôt liée à l’actualité et aux nouvelles formes de communiquer de façon plus sécurisée : SMS via Silence, réseau Signal, Element, Telegram et autres. Et ce sont, AMHA, ceux qui communiquent via ces applications qui s’intéressent à la messagerie chiffrée, ce qui en fait une continuité et il y a des propositions « grand public » comme Prontomail et autres sauf que la grande majorité de ceux qui l’utilisent n’ont pas une réelle connaissance de ce qu’est une clé privée et clé publique et utilisent donc Prontomail de la façon la plus basique.

Dernièrement j’ai un collègue qui me dit : moi aussi Sima je communique en crypté (hou, ça fait mal aux oreilles), j’utilise Prontomail. Bah non, tu ne communiques pas en chiffré, en tout cas pas avec moi. Il ne faut pas oublier que Protonmail, comme d’autres, est une messagerie qui PERMET de communiquer de façon chiffrée, en cela j’ai vraiment apprécié le tutoriel d’Iceman « Tuto – Le mail sécurisé c’est pas si facile, sauf si… » que je conseille aux utilisateurs de Protonmail.

On va peut-être finir par savoir communiquer par mails chiffrés.

Deux excellents tutoriels GnuPG

Gnu Privacy Guard (GnuPG) Mini Howto (Français)

et l’excellent « Bien démarrer avec GnuPG«

Précision de dernière minute: alors que le billet était déjà écrit et programmé pour sa publication j’ai souhaité tester l’application OpenPGP-Applet sous ubuntu20.04 pour gérer mes clés depuis une interface graphique. Une application qui par le passé ne m’a jamais convaincu par son fonctionnement hasardeux. Je l’installe, la lance et rien ne se passe, rien ne s’affiche… Pourtant avec un « ps aux » je vois que le processus est lancé, mais rien! Bon, je retourne à mes lignes de commande, mais le chiffrement conviviale pour l’utilisateur lambda n’est pas pour demain.

PS : avertissement pour ceux qui utilisent GnuPG sous Evolution, les pièces jointes ne sont pas chiffrées, il faut préalablement les chiffrer avant envoi.

Note(s)

^{^}Oui, ceux qui me lisent, les rares, savent qu’il m’arrive souvent de faire les questions réponses, en plus d’être dyslexique, je dois avoir une pointe de schizophrénie non diagnostiquée, je me sens moins seul devant l’écran 🙂

Mettre un filigrane sur des documents officiels – ligne de commande

Mettre un filigrane [ImageMagick] et supprimer les métadonnées [ExifTool] sur des documents officiels que nous devons envoyer via le web ou par mail.

Le tout en ligne de commande depuis un terminal.

Un billet comme un conseil dans ce monde soi-disant idéal de la dématérialisation.

Dans beaucoup de procédures télématiques, il nous est demandé des copies de nos documents personnels, tel que notre pièce d’identité (on va prendre cet exemple dans ce billet).

L’idée de ce billet me vient d’une discussion téléphonique avec une administration qui me demandait d’envoyer une photocopie ou scan de ma carte d’identité.

Curieux, je demande : D’accord, qu’allez-vous faire de cette pièce, c’est très personnel, où sera t-elle stockée, pour combien de temps ? Quelle garantis donnez-vous ?
Réponse : Ne vous inquiétez pas, nous avons des services très spécialisés et toutes les données sont cryptées !
Ha, le mot est lâché, rassurant, « cryptées »…
Moi : Vous me demandez d’envoyer par mail, ça arrive sur une boite mail où je suppose que plusieurs personnels du service y ont accès, comment est géré la boite mail, qui y a accès, est-elle sécurisée ?…
Réponse : Faites-le directement depuis notre site web, il y a le petit cadenas en haut à gauche, tous est crypté…
Ouh là là, « crypté » le mot qui se voudrait rassurant et qui pourtant me fait pousser les poils des oreilles.
Moi : soit, la communication de bout en bout est chiffrée, mais une fois ma pièce envoyée, la carte d’identité, que devient-elle ?
Réponse : Nous avons des spécialistes de la sécurité et tout est crypté…
Moi : bon je résume, je vous envoie un document en clair, transparent via votre site, il se retrouve quelque part sur l’un de vos disques durs, sans que je sache qui y a accès ni ce que deviendra ce document…
Il me coupe la parole… : Je vous l’ai dit, tout est sécurisé et crypté…
Moi : Je peux imaginer que l’accès aux disques ou support soient sécurisés, que les disques dur soient chiffrés, ou comme vous dites, cryptés, mon document lui est en clair et les disques, une fois montés et même chiffrés, les données restent en clair…
…

Bon je vous fais grâce de la suite de la discussion de sourd.

Dans un monde idéal…

Une fois votre document scanné, l’idéal est de réaliser un chiffrement asymétrique, soit avec votre certificat numérique, soit avec d’une autre façon comme par exemple en utilisant « gpg » (j’aime bien gnupg, je l’utilise pour mes signatures et chiffrement de mes mails et autres…) afin que personne ne puisse lire le document envoyé, sauf celui qui doit le réceptionner.

Mais que ce soit dans l’administration ou ailleurs, il est très rare que l’on se préoccupe réellement de la sécurité de ce que l’on envoie.

Ajouter un filigrane.

Dans le cas où le destinataire ne sait pas comment fonctionne le chiffrement et c’est malheureusement souvent le cas, nous pouvons choisir l’option d’ajouter un filigrane à nos documents privés. D’autant plus que nous ne saurons pas où sera notre document ni pour combien de temps…

Nous allons ajouter en ligne de commande un filigrane sur notre document avec ImageMagick.

Vérifions s’il est déjà, ou pas, installé sur notre pc.

dpkg --get-selections | grep imagemagick
imagemagick             install
imagemagick-6-common    install
imagemagick-6.q16       install

Si vous avez quelque chose de similaire à ci-dessus, c’est qu’il est installé, sinon il n’afficherait rien.
S’il n’est pas installé, il suffit de :

sudo apt install imagemagick

Une fois installé, nous pouvons utiliser tous les outils « ImageMagick ». Dans cet exemple, nous partirons d’une image test que j’ai trouvé sur le net et qui porte le nom « CNI-blog.jpg », vous l’aurez remarqué, je suis un peu plus vieux que sur la photo :

Afin d’ajouter un filigrane à l’image, nous allons exécuter la commande « convert » avec les options suivantes dans le même répertoire où se trouve notre image:

convert -density 150 -fill "rgba(255,0,0,0.25)" -gravity Center -pointsize 60 -draw "rotate -45 text 0,0 'COPIE'" CNI-blog.jpg CNI-blog-final.jpg

Description des options utilisées:

density: La résolution de la largeur de l’image avec l’unité de points par pouce (PPI).
fill: Couleur à utiliser.
gravity Center: position du texte, dans ce cas centrée sur l’image.
pointsize: taille en points de la police.
draw: annoter l’image avec une précision. Dans ce cas, avec un texte pivoté de 45 degrés dans le sens antihoraire dans les coordonnées X, Y 0,0 et le texte entre guillemets simples.
Ensuite, le fichier source où les modifications seront appliquées (CNI-blog.jpg) et le fichier de destination qui sera créé (CNI-blog-final.jpg).

Le résultat :

Pour compliquer les choses il conviendrait de personnaliser notre filigrane en fonction de chaque procédure:

convert -density 150 -fill "rgba(255,0,0,0.50)" -pointsize 15 -draw "rotate -15 text 0,200 'COPIE POUR TRAITEMENT'" -draw "rotate -15 text -25,260 'DE RECENSEMENT'" CNI-blog.jpg CNI-blog-final-02.jpg

Résultat suivant :

Supprimer les métadonnées

Pour terminer, nous pouvons supprimer les métadonnées effaçables du fichier (en fait il faudrait commencer par là) avec le programme « exiftool« , ce programme peut être installé à partir des dépôts :

sudo apt install exiftool

Puis :

exiftool CNI-blog-final-02.jpg

Et pour supprimer les métadonnées de notre fichier image avec le filigrane créé, nous allons exécuter :

exiftool -all= CNI-blog-final-02.jpg
    1 image files updated

Pour voir que les métadonnées ont bien disparu comme le montre l’image ci-dessus, exécutez :

exiftool dni-final.jpg

Ces étapes nous ont permis d’apposer un filigrane sur un document privé et de supprimer les métadonnées, de sorte à sécurisé à minima ce que nous envoyons.

J’espère que ces petites astuces vous aideront tout en restant loin de la préservation de la vie privée, mais parfois l’on doit faire à minima.

Ghidra – La NSA libère son outil de rétro-ingénierie

De temps en temps, quand ils s’ennuient à espionner, l’« intelligence agency » les agences de renseignements des États-Unis nous permettent de jeter un œil à certains de leurs jouets. Par exemple, le logiciel Ghidra, qui peut intéresser des experts en « reverse engineering » Rétro-Ingénierie et sécurité informatique.

Écrit en langage de programmation Java, il est distribué, sous forme incomplète mais sous licence libre Apache 2.0. De plus il est gratuit, ce qui en fait une alternative intéressante à IDA Pro, un programme fermé et pas vraiment bon marché.

Développée de manière réservée depuis de nombreuses années, il a été montré au public pour la première fois lors de la conférence RSA qui s’est tenue à San Francisco.

Un logiciel capable d’analyser des fichiers binaires (par exemple des logiciels malveillants) inversant le processus de compilation, vers pseudo-code C, permettant aux analystes de comprendre la fonctionnalité de celui-ci.

Il est multi-plateforme (Linux, MacOos, Windows), et compatible avec des logiciels destinés à tous les types de processeurs et de multiples architectures (environ une douzaine). Également extensible dans ses fonctions à base de plugins, à la fois Python et Java, que l’utilisateur peut créer lui-même.

Il se caractérise par ses nombreuses possibilités : effectuer un travail collaboratif, assembleur/dés-assembleur, mode interactif ou automatique, graphiques et diagrammes de flux, raccourcis clavier avancés, possibilité d’annuler les changements. Plus d’une centaine de fonctions différentes et beaucoup à explorer dans cet outil.

Comme toujours, il est conseillé un minimum de précaution dans l’exécution du code de la NSA. Bien qu’ils jurent qu’il n’y a pas de backdoor (porte dérobée) dans The Register, ils ont déjà fait écho à un bug qui, en mode débogueur, permet à Ghidra de se connecter à d’autres systèmes de son réseau et d’exécuter du code.

Site Ghidra pour le téléchargement.

Voyez les photos d’écran plus bas…
Pour l’exécuter, il faut avoir Java runtime.
Une fois Ghidra installé, pour le lancer :

./ghidra_run

Source: une traduction d’un article du site « La Mirada Del Replicante » – La NSA libera su herramienta de ingeniería inversa Ghidra

DNS et vie privée

Un peu de pub, je vous promets, je ne touche rien pour la pub!

Présentation de Stéphane Bortzmeyer chez Root66

Qui est Stéphane Bortzmeyer?…

Pour une présentation sur les DNS et la protection de la vie privée.

Cela fait longtemps qu’on parle des problèmes de protection de la vie privée liés à l’Internet et c’est à juste titre.
En effet, une des propriétés des réseaux numériques est de laisser beaucoup de traces, facilement stockables et analysables, à chaque opération.
La plupart du temps, les discussions sur ces problèmes se focalisent sur les gros services Web, qui savent beaucoup de choses sur leurs utilisateurs, et sur le protocole HTTP utilisé par le Web, et ses extensions comme les fameux «cookies».
(…)
Tout le reste sur Root66 DNS et vie privée

France Culture et notre vie privée numérique

Ce n’est pas mon habitude de faire de la promo, mais France Culture que j’écoute régulièrement (là, ça fait intello, j’aime ça) a fait une série de chroniques, trop brèves à mon goût.
Je vous mets quelques exemples (liens) à lire ou à écouter.

Vote électronique et démocratie

Le vote électronique peut-il être démocratique?

Je ne vais pas vous parler sur ce billet de ce que je pense des institutions de la Ve République, ni de la partie technique du système de vote électronique, mais du vote en soit et de ce qui me paraît anti-démocratique dans le vote électronique.

Au-delà des institutions qui encadrent le processus électoral et qui peut aboutir à une pseudo-démocratie, le vote en soit, pour être démocratique, doit pouvoir être contrôlé de bout en bout.

Chaque citoyen doit pouvoir exercer ce contrôle, il doit être à la portée de tout citoyen qui le souhaite, quelles que soient ses convictions, encarté dans un parti ou pas, qu’il ait des connaissances en informatique ou pas.

Bref! Un contrôle accessible à tout le monde!

Le système de scrutin actuel, même s’il subsiste quelques fraudes marginales, le contrôle s’exerce.
Actuellement, chaque citoyen, peut participer à l’organisation des votes, son bon déroulement et au dépouillement, donc au comptage des votes. Chaque parti ayant un candidat peut désigner des assesseurs qui vont vérifier le bon déroulement dans les différents bureaux de vote… Que les bulletins de vote sont bien présents, qu’ils soient d’une épaisseur identique, que les poubelles soient vidées régulièrement, etc.

Soit! Tout cela est d’une certaine lourdeur, mais nécessaire pour une vraie démocratie où chacun, s’il le souhaite, peut participer à ce contrôle.

Dans un système de vote électronique, et allez, soyons fous et imaginons-le totalement sécurisé, inviolable… Soyons encore plus fous, le code est open-source… Qu’on m’explique comment chaque citoyen, chaque assesseur, peut vérifier la véracité du bon déroulement?

Le numérique ne peut pas se substituer au « tout papier »

Et oui, aujourd’hui, le numérique ne peut pas se substituer au « tout papier », au contrôle humain… Demain peut-être, mais pas aujourd’hui!

Si je suis pour les nouvelles technologies, il faut aussi savoir s’en méfier dans certains domaines (le modernisme, l’innovation, le « progrès »). Ils apportent d’excellentes choses, mais pas que… et parfois l’inverse. Il suffit de voir ce que le modernisme, l’innovation, le « progrès » ont apporté dans l’agriculture dans les années 70/80 dont une grande partie est remise en cause aujourd’hui.

Conclusion

Soyons pour le modernisme, l’innovation, le « progrès » pour peu que nous en ayons tous le contrôle. Actuellement, le vote électronique est à mon avis totalement anti-démocratique… Le contrôle sur le vote électronique est impossible au citoyen lambda que nous sommes.

Guillaume Poupard est pour un moratoire sur les machines à voter, c’est déjà une avancée, j’aurai préféré qu’il soit pour l’abrogation. La démocratie c’est quand chaque citoyen qui le souhaite peut excercer son droit de contrôle sans avoir de compétences particulières.

Protéger vos données personnelles en milieu professionnel

Votre hygiène numérique et le milieu professionnel.

Un billet tiré d’une anecdote qui remonte à plus de six mois, une amie qui venait de démissionner m’appelle:

Sima mon chef de service m’a demandé le mot de passe de mon ordinateur, je lui ai donné… Le souci, c’est que j’ai un dossier personnel, rien de bien grave ni compromettant, mais tout de même personnel. Et puis sur mon navigateur j’ai des favoris vers lesquels mes logins et mots de passe sont enregistrés…

Cette situation peut également arriver lors d’un congé maladie d’un employé.Voyons la suite…

En effet, en milieu professionnel, pendant que certains font la pause clope, ou café, ou papotage avec les collègues, d’autres profitent de cette plage de détente pour aller sur les réseaux sociaux, forums, cloud, commander sur leur drive commercial, et autres achats, faire des courriers personnels, jouer…
Une situation normale, mais qui nécessite un minimum d’hygiène numérique.

Les règles simples d’hygiène numérique

– Sur votre ordinateur de travail, ce qui est personnel doit être contenu dans un dossier nommé « Privé ». S’en tenir qu’à ça, c’est avoir une confiance aveugle.

– Le mot de passe : il faut avoir un mot passe par application, donc le mot de passe de votre pc de travail devrait être unique. Ce n’est pas le cas, vous utiliser ce même mot passe pour d’autres applications (c’est pas bien), si votre disque dur (D.D.) n’est pas chiffré, vous n’êtes pas obligé de le donner. Un passage de votre ordinateur par le service informatique permettrait de récupérer les données facilement (dont votre dossier privé 🙁 ). Votre D.D. est chiffré, prenez le temps de vous déplacer et accédez à votre ordinateur devant votre employeur ou chef, et effacez votre dossier privé. Il en va de même pour vos mails privés.
Pour information: Cas des mails et dossiers personnels d’un salarié dans le système d’information mis à sa disposition par son employeur

– Les favoris de votre navigateur
En dehors du fait qu’ils attestent vos habitudes de navigation, si les sites nécessitent un login et mot de passe, ne jamais les enregistrer sur votre navigateur. Si c’est le cas, rendez-vous sur les sites en questions et modifiez les mots de passe, s’ils sont utilisés pour d’autres applications, faites de même sur les autres applications.

Quelques solutions

En plus des précautions ci-dessus, pour vos mots de passe utilisez un coffre-fort de mot passe. J’utilise Keepass, il existe sans doute d’autres utilitaires libres… Personnellement, j’ai deux bases de données Keepass, l’une pro l’autre perso.
Pour la navigation, je n’enregistre pas de favori personnel, donc ni login et ni mot de passe. On peut aller plus loin, si cela vous est possible, en installant Tor pour surfer sur le web ou surfer via un VPN, certains FAI en proposent.
Pour votre dossier privé, il existe la possibilité de créer un conteneur chiffré avec VeraCrypt.
Sur internet, vous trouverez de nombreux tutoriels sur Keepass et VeraCrypt.

Conclusion

Faites comme si demain vous ne pourrez pas vous rendre à votre bureau et que votre service doit accéder à vos dossiers professionnels, donc peut-être aussi à votre dossier privé, votre navigateur, etc.

Quelques pistes:
http://www.cil.cnrs.fr/CIL/spip.php?article1646
http://www.mcmillan.ca/Protection-des-donnees-personnelles-en-milieu-de-travail
http://www.cil.cnrs.fr/CIL/spip.php?article1471

Sima78. Bilan 2016 du Blog, mon smartphone, GAFAM

Sima78. Bilan 2016 du Blog, mon smartphone, GAFAM

Je vois ça et là des blogueurs faisant leur bilan de l’année écoulée. C’est en effet une bonne chose et par ce billet j’en fais de même.

Faire le bilan de fin d’année c’est faire le point sur ce que l’on a fait, ce que l’on aurait dû faire, ce qu’il reste à faire. Bref, un état des lieux qui permettra d’établir un début liste des résolutions pour l’année à venir.

Le blog Sima78

14 articles en comptant ce billet pour l’année 2016. A peine plus d’un par mois. C’est peu… Déjà en 2015 j’avais pour ambition d’écrire une rubrique par semaine sur les liens m’ayant particulièrement intéressé, et cela, en plus des autres billets. Cette rubrique n’a tenu que quelques mois.

Je dois trouver la solution pour me dégager du temps et écrire au moins une fois par semaine. Comparer à certains qui publient un, voire plus, au quotidien, 1 article par semaine parait peu, mais c’est énorme pour moi.

Paradoxalement, j’ai plusieurs articles inachevés dans un coin de mon ordinateur, il me suffirait de les terminer et les publier… Je dois travailler là-dessus… Est-ce de la paresse ? Manque de temps ? Sans doute, un peu des deux.
Je ne fais pas de promo particulière de mes articles à part de temps à autres sur le Journal du Hacker quand je sens que cela peut intéresser. Je consulte mon piwik que lorsque j’y vais pour faire une mise à jour, J’envisage le désinstaller.

Beaucoup de mes billets me servent de pense-bête.

12 commentaires, c’est presque rien, je ne vais pas à la chasse aux commentaires et moi-même, je commente rarement les autres blogs.

Une touche positive.
Il y a une fois, lors d’une réunion publique, j’ai rencontré une personne qui m’a dit : « c’est toi sima78, je suis ton blog il est dans mes RSS, j’aime bien! » Je lui répondu avec humour: « Ha c’est donc toi qui lit mon blog !?« . Je ne cache pas que cela m’a fait vraiment plaisir, le monde est petit.

Mes PC

Ils sont tous sous linux (Ubuntu, xubuntu, Debian). Au boulot, j’ai la chance de pouvoir travailler sur le système de mon choix, donc sous linux.
J’avoue, j’ai aussi un Windows ! j’entends déjà: HHhoouu la honte !… Oui je sais, mais c’est la seule solution pour synchroniser mon GPS.

Mon smartphone

Il est sous androïd, il n’y a pas de système d’exploitation libre pour ce modèle et tant qu’il fonctionnera, je n’en changerai pas. J’ai installé f-Droïd, et je ne télécharge que des applications libres. Mon smartphone me sert essentiellement à téléphoner, envoyer des sms, synchroniser (contacts et agenda) avec mon owncloud.
Je n’ai aucune notification sur mon smartphone, je n’ai pas de compte twitter non plus.

G.A.F.A.M. et moi

On l’a vu plus haut, mon téléphone est toujours sous androïd, j’utilise windows pour synchroniser mon GPS… Mais à part ça, où en suis-je de mes habitudes et G.A.F.A.M. (Google Apple Facebook Amazon Microsoft) ?
Mon métamoteur de prédilection est seax.me et comme moteur Qwant. Je ne cache pas qu’il m’arrive exceptionnellement de passer par Google.
j’avais écrit un billet sur le sujet : Google et moi, procédure de divorce entamée

Le fait de ne pas utiliser Google ne signifie pas qu’on évite le pistage par ce dernier, en effet, de nombreux sites utilise Google Analytics et que notre ip est pistée et que donc le parcours et mes centres d’intérêt au fil de mes navigations sont suivis. J’utilise donc de plus en plus Tor.

Lors de mes achats en ligne, j’évite tant que possible Amazon, mais il m’arrive de passer par eux.
J’ai deux comptes FB, l’un pour une activité qui n’a rien à voir avec ce blog et un autre pro pour gérer le FB de mon boulot. J’ai décidé de quitter dès janvier 2017 tous les réseaux sociaux (je suis aussi sur framasphère). Pour gérer le FB de mon boulot j’ai demandé à créer un compte sous pseudo qui n’a pas de lien avec mon adresse mail pro.

Pour finir

Si j’ai moins de temps pour suivre les blogueurs qui publient plus d’un billet par jour, je me désole de voir certains blogs de mes fils RSS tomber à l’abandon avec moins d’un billet par semestre voire plus du tout de billet.
Je pense que la promotion du logiciel libre passe, entre autres, par les blogueurs, leurs réflexions, leurs expériences. J’espère que l’appel à publier sur le thème du logiciel libre fait par Genma sera entendu.

Après le bilan, viendra peut-être un billet sur mes résolutions pour l’année à venir ?

Effacer définitivement la mémoire ram et swap – secure-delete

Vous perdez votre ordinateur portable, vous êtes cambriolé et on vous vole votre PC… Vous avez chiffré vos disques ou partitions, c’est déjà une bonne protection pour vos données personnelles, contre l’usurpation d’identité et autres malveillances.

Poussez la protection un peu plus loin… Vous êtes paranoïaque, vous avez sans doute raison, quelqu’un d’aussi pointu que votre niveau de parano peut aller fouiller dans la RAM (mémoire vive), le swap, les clusters du/des disque(s)…

Quelques pistes.

« secure-delete » comporte quatre outils (SRM, SMEM, SFIL et SSWAP), ces outils font par défaut 38 passes sur un cluster…

smem (Secure Memory Wiper) supprime les données dans la RAM.

smem

sswap (Secure Free Space Wiper) permet de faire la même chose que smem mais pour le swap, voir plus bas sswap.

srm (Secure remove) permet de supprimer de manière sécurisée des fichiers ou des répertoires de vos disques durs de façon définitive… En effet avec la commande rm les données supprimées sont récupérables.

srm nom_du_fichier
ou
srm -r nom_du_répertoire

sfill (Secure Free Space Wiper) pour effacer toutes les traces conservées dans l’espace libre des disques durs sans formater les disques durs.

sfill /répertoire

Retour sur la commande sswap. Avant de l’utiliser, il faut démonter la partition swap.
Vous ne savez pas où elle se trouve :

sudo fdisk -l
(…)
Périphérique Amorçage     Start       Fin  Secteurs   Size Id Type
/dev/sda1                  2048 207077375 207075328  98,8G  7 HPFS/NTFS/exFAT
/dev/sda2             812548094 976771071 164222978  78,3G  5 Étendue
/dev/sda3    *        226609152 812546651 585937500 279,4G 83 Linux
/dev/sda5             812548096 970024959 157476864  75,1G 83 Linux
/dev/sda6             970027008 976771071   6744064   3,2G 82 partition d'échange Linux / Solaris
(...)

Dans notre exemple il s’agit de (/dev/sda6), à vous d’ajuster le « /dev/sdxx »
Ensuite, il faut la désactiver :

sudo swapoff /dev/sda6

Puis on peut nettoyer avec la commande sswap :

sudo sswap /dev/sda6

Pour finir, il faut réactiver le swap :

sudo swapon /dev/sda6

A vous de créer un script qui s’exécute à la fermeture de votre session… Bien sûr ; lisez les man(s) de chaque commande.
Pour la suppression de fichiers, vous pouvez aussi « creuser » du côté de la commande « shred« … Bref, à vous de vous approprier et de partager ! 😉