Protéger ses données personnelles?

Actuellement, si vous ne payez pas quelque chose, c'est que vous n'êtes pas le client, vous êtes le produit vendu. Le droit d'entrée sur facebook est gratuit, mais vos données personnelles sont revendues.
Une initiative comme celle de Max Schrems est très intéressante. Il a demandé et obtenu l'intégralité des informations qu'a enregistré facebook sur lui-même. Résultat: plus de 1200 pages d'informations, dont certaines qu'il ne soupçonnait même pas (!)

Tout un chacun veut protéger sa vie privée, mais est prêt à l'exposer sur son mur. Quelques uns ont fait les frais de ces mises à nu (Marc.L par exemple) et se méfient sans doute un peu plus, mais la majorité s'en soucie guère.

Plusieurs raisons peuvent peut-être expliquer cela. D'un côté il y a un avantage immédiat (ou supposé tel) d'augmenter sa visibilité dans le monde virtuel (réseau professionnel, amis, etc..): j'ai mis mon CV sur linkedin, j'ai un poste, je suis invité aux soirées, etc... A l'opposé les risques de cette exposition sont bien plus incertains, beaucoup moins bien exprimés et clairement plus lointains.

La protection est de plus contraignante, et n'est pas non plus suffisamment motivante en regard du bénéfice attendu de la diffusion de ses données personnelles.

Je pense que la protection des données par non diffusion de celles-ci ne fonctionnera pas; mais que se passerait il si on inversait la position du possesseur de la donnée? C'est à dire faire un opendata personnel.
C'est ma donnée, je veux avoir tout d'abord le droit d'accès et d'utilisation: un genre de google personnalisé sur tous ces sites. Quel agrégation puis-je faire des enregistrements de mon téléphone portable sur les différentes bornes par exemple? Est ce que je peux récupérer toutes les images me montrant sur les caméras de vidéo surveillance? Ensuite, il devrait exister un droit de suppression de n'importe quel donnée. Enfin, mais c'est un voeu pieux, les outils de datamining utilisés pour le profiling devraient être publics. Je pense que si les gens deviennent capables d'ordonner et trier leurs données aussi bien que ces entreprises tierces, ils pourront d'une part en tirer un bénéfice[1], et d'autre part mieux surveiller l'usage qui en sera fait.

La sécurité des données personnelles en sera d'autant plus élevée. Cela n'est qu'un avis personnel, bien sûr.

[1] je cherche un outil capable d'analyser mes déplacements urbains par exemple.

La destruction de données sur disque

Il est courant de lire sur internet des déclarations sur le nombre de passes nécessaires à faire sur un disque pour nettoyer les données inscrites dessus. On retrouve les chiffres de 3,5,7 ou 35 passes avec des motifs différents, et le nom de Gutmann est généralement cité. L'étude de Gutmann date de 1996, ce qui est ancien.

1/ Le problème de l'effacement de données.
Lorsque l'on efface un fichier, il est rare que le fichier soit effectivement effacé du disque. Seule la référence vers ce fichier est effacée. Des outils permettent de récupérer des fichiers effacés par erreur (ma préférence va a photorec qui est très efficace).

2/ L'écrasement de données.
La solution pour supprimer une donnée d'un disque consiste alors à l'écraser par une autre. Les outils de récupération ne liront que la nouvelle donnée, et non l'ancienne, recouverte. A ce titre, l'avertissement de photorec est très clair: "Sitôt que manque à l'appel une photo ou un fichier ou que vous les avez détruits par erreur, cessez d'enregistrer toute autre photo ou fichier sur le disque dur ou la carte mémoire concerné; autrement vous risqueriez d'écraser les données perdues".
Néanmoins, Gutmann indique dans son étude que ce n'est pas toujours le cas.

Il s’appuie pour cela d'imageries au microscope électronique de disques dur pour montrer que les enregistrements successifs des bits sur les plateaux ne sont pas parfaits. Ainsi les enregistrements 'bavent' un peu, et il est possible de retrouver l'ancien bit après réécriture. L'hypothèse est jugée crédible en 1996.

La solution de Gutmann: 7 passes semblent trop peu, il préconsise donc 35 passes de réécriture de motifs différents afin de pouvoir éviter cette relecture.

3/ Alors on fait 35 passes
En fait, depuis le papier de Gutmann, il s'est passé beaucoup de temps. Son analyse portait sur des anciens disques, avec d'anciens modes d'écriture de données (MFM, RLL pour ceux qui s'en souviennent ça précède l'IDE).

Gutmann a updaté de nombreuses fois son article pour indiquer que les technologies évoluent (Epilogue, puis Further Epilogue, et enfin Even Further Epilogue). On peut y lire dans l'épilogue:
"In fact performing the full 35-pass overwrite is pointless for any drive since it targets a blend of scenarios involving all types of (normally-used) encoding technology, which covers everything back to 30+-year-old MFM methods"
Le further epilogue re-précise entre autre:
"even if you reproduced it, you'd just have done something with technology that hasn't been used for ten years"
Et enfin, dans l'Even Further Epilogue: "Flash memory barely existed at the time it was written, and SSDs didn't exist at all. (...) SSDs are a totally different technology than magnetic media, and require totally different deletion techniques. In particular you need to be able to bypass the flash translation layer and directly clear the flash blocks. In the absence of this ability, the best you can hope to do is thrash the wear-levelling to the point where as much of the data as possible gets overwritten, but you can't rely on any given piece of data being replaced, which means that an attacker who can bypass the translation layer can recover the original data."

4/ Mais que faire?
D'emblée, il est inutile de faire ces fameuses 35 passes. Faut il en faire alors 7 ou 5 ou 3?
Je préconise une seule passe avec dd if=/dev/urandom of=... , cela étant bien suffisant pour mes disques magnétiques.

La page http://en.wikipedia.org/wiki/Data_remanence (remplie de très bons liens) indique "On the other hand, according to the 2006 NIST Special Publication 800-88 (p. 7): "Studies have shown that most of today’s media can be effectively cleared by one overwrite" and "for ATA disk drives manufactured after 2001 (over 15 GB) the terms clearing and purging have converged." An analysis by Wright et al. of recovery techniques, including magnetic force microscopy, also concludes that a single wipe is all that is required for modern drives. They point out that the long time required for multiple wipes "has created a situation where many organisations ignore the issue all together – resulting in data leaks and loss. "

Quoi qu'il en soit, c'est toujours un sujet propre au FUD car il n'existe que peu de publications à ce sujet, et la plupart d'entre elles reprennent l'article de Gutmann sans vraiment l'avoir lu (genre, faites 35 passes avec shred pour effacer un fichier sur clé USB. Ouch.).

Concernant les SSD, c'est effectivement différent. Je cite http://nvsl.ucsd.edu/sanitize/ qui dit: "Our results show that naïvely applying techniques designed for sanitizing hard drives on SSDs, such as overwriting and using built-in secure erase commands is unreliable and sometimes results in all the data remaining intact."

Alors, oui on ne sait pas de quoi sont capables les organisations à grandes oreilles, oui, on a très peu de papiers techniques sur ce sujet, mais non, arrêtez de faire 35 passes sur ces pauvres disques :-)
Par contre, si vous êtes administrateur et que vous voulez vous couvrir auprès d'une autorité, alors détruisez les disques cela évite de se poser trop de questions.

Mars Avril 2003 - MISC N°6

En rangeant un placard je suis retombé sur un vieux numéro de MISC:

que je n'ai pu m'empêcher de refeuilleter. Alors, avec une vision d'octobre 2011, comment était la sécurité en mars/avril 2003? Différente? Totalement dépassée?


L'édito parle d'une nouvelle conférence de sécurité :-) et fait un appel à papier à ce sujet.

Le premier article parle de cyber-terrorisme. Sujet éminemment à la mode depuis stuxnet aujourd'hui. Il est bien entendu fait mention des liens entre les réseaux informatiques et les infrastructures du monde réel. Un historique du cyberterrorisme remonte jusqu'en 1996. [ On y retrouve des délicieux termes obsolètes comme "mail bombing" ou des valeurs chiffrées: "engorgé les serveurs avec environ 800 mails par jour" (c'était en 1998).  ]
La conclusion est titrée L'AVENIR. Alors? Le risque viendra des vers, qui se répliqueront de plus en plus vite (quelques secondes) sans laisser de temps à l'administrateur de réagir. Le second risque viendra des vers capables de se mettre à jour de manière autonome et de chercher des instructions sur des canaux IRC en étant plus discrets. Les vers les plus violents utiliseront des 0day (même si le mot n'est pas employé en tant que tel).

Le second article traite de l'aléa. La conclusion indique que lors de l'utilisation d'un système cryptographique, la vérification de la qualité du générateur aléatoire doit être effectuée sous peine de surprises.

Le troisième article explique le fonctionnement d'un virus de boot, appelé STEALTH.

La partie principale est dédiée au Wifi. Première partie, présentation. Bon, tout le monde connaît aujourd'hui. L'article finit en indiquant une adoption rapide du wifi aux USA et qui arrive en france. Nous sommes en2003. La seconde partie explique les principes de la norme  802.11 (caractéristiques physiques, logiques, format de trames, etc..). Le WEP est évoqué en signalant que les problèmes de sécurité sont pour les autres articles :-). La troisième partie parle des attaques réseaux sur 802.11b. Le wireless, c'est bien, mais cela revient à un attaquant d'avoir accès au média. Donc découverte de réseau, DOS, bruteforce de clé, rogue AP, et j'en passe, je cite: "De quoi faire devenir fou et/ou paranoïaque n'importe quel RSSI un peu tatillon" :-). Quatrième partie, la sécurité du WEP. Les noms de Fluhrer, Mantin et Shamir sont cités abondamment. Pour récupérer une clé à l'époque: 5 à 6 millions de trames sont nécessaires (aujourd'hui, on fait mieux). A l'époque, pas d'aircrack :-) LA cinquième et dernière partie parle des autres technos sans fils: bluetooth, hiperlan. Ceci dit, on trouve dans l'article un paragraphe qui parle du wifi, et enfin du WPA! (La norme a été terminée en 2004). Ce qui signifie qu'à cette époque on pouvait réellement parler d'insécurité du wifi: les attaques (théoriques) existaient mais les technos se déployaient.

Retour au quatrième article sur un mode de communication userland/kernelland sous linux: kernsh. Il est aujourd'hui connu sous le nom d'ERESI.

Cinquième article, plus tourné "cookbook" expliquant comment sécuriser son serveur FreeBSD, version 4.7

Ensuite une fiche pratique du CLUSIF, qui rejoint le thème du dossier. Les menaces, enjeux, parades des réseaux sans fils.

Le sixième article parle d'IPv6. En 2003, morceaux choisis: "le réseau internet IPv6 est encore très laxiste au niveau de la sécurité" et "L'expérience et l'histoire prouvent que des erreurs de programmation sont sans cesse refaites et les failles réintroduites dans les nouveaux développements"

Le septième article explique les problématiques de timing attack, et l'applique (entre autre) à RSA.

[ Pour la petite histoire, les deux dernières pages font de la publicité pour un magasin d'informatique. A l'époque, une clé USB 16Mo (si, si) fait 24euro90 et une clé de 512 en faisait 239,90 (!) ]

La sécurité d'il y a 8 ans est elle vraiment différente de celle d'aujourd'hui?