septembre 9th, 2010

Toi qui entre ici –semble dire la police des frontières US- abandonnes tes coordonnées bancaires. Une exigence que l’Administration Obama semble partager avec la Mafia Russe.

Il y a quelques années de cela, en mai 2004, et sous prétexte de mesure antiterroriste, les services de contrôle aux frontières Américaines ont exigé la communication des numéros de carte de crédit et autres coordonnées bancaires de tout étranger voyageant ou transitant sur le sol des Etats-Unis. C’est bien connu, un terroriste se reconnaît aux empreintes de sa carte de crédit. La demande est immédiatement satisfaite par Commission et le Conseil de l’Europe, contre l’avis du Parlement et de multiples associations de défense des libertés individuelles. La conservation des informations, à l’époque, n’était que provisoire et de « courte durée ». Mais ce provisoire s’est transformé en un formidable fichier nominatif et bancaire permanent, fichier sur lequel les administrations Européennes n’avaient strictement aucun droit de regard.

Début juin 2006, la Cour de Justice Européenne donne raison au Parlement qui avait fait appel, et recale cette disposition en la déclarant illégale. Une simple « menace » qui va mettre longtemps à être respectée, le Parlement devant composer également avec d’autres dispositions concernant la sécurité des frontières et les échanges d’informations entre services Européens et Nord-Américains.

L’administration US, privée de cette donnée essentielle, cherche alors un moyen efficace pour contourner cette décision… et la trouve : désormais, toute demande de visa temporaire faite auprès de l’ETSA sera facturé 14 dollars… payable « en ligne » par carte de crédit bien sûr. Sur cette somme, 10 dollars seront consacrés à la promotion du tourisme aux Etats-Unis… même les plus honorables et les plus légaux des spécialistes du Phishing d’Etat se doivent de faire croître leur botnet.

Précisons que cette mesure n’est pas encore mise en application, et que le fait de remplir dès à présent ledit formulaire repousse cette échéance de 2 ans. D’ici là, les choses pourraient peut-être changer.

Mais l’ingéniosité des services de renseignement US en a inspiré d’autres. A peine cette création de service payant officialisée, que les spécialistes du phishing à des fins mafieuses se sont évertués à créer de faux sites de l’ETSA. Opération qui débute de manière classique avec une campagne SEO qui consiste à tromper l’objectivité des moteurs de recherche afin que les fausses pages Web soient placées en tête des requêtes. L’Avert de McAfee en publie un billet un peu inquiétant, le blog « grand public » de cette même entreprise en fait une montagne.

Dès qu’un gouvernement associe les mots « taxes » et «online », des nuées d’escrocs tentent d’imiter ces formes légales de collecte d’argent. Les carambouilles au « trop perçu » prenant l’aspect d’un formulaire de l’IRS américaine ou des Caisses d’Assurance Familiales en France, les prétendues poursuites judiciaires d’une CIA à l’affût des amateurs de téléchargement sont monnaie courante dans les boîtes à spam de France et de Navarre. Il sera à ce sujet très intéressant de mesurer le volume de fausses « poursuites Hadopi » et de « sommations de payer » qui suivront la mise en application des œuvres de la Haute Autorité pour la diffusion des œuvres et la protection des droits sur Internet.

Relevé par Bruce Schneier mais rédigé par des universitaires de l’UoVirginia, une étude montre que la prolifération d’équipements sans-fil dans les foyers américains laisse fuir de plus en plus d’informations sur les habitudes des résidents, même si lesdites transmissions sans fil sont chiffrées avec les meilleurs algorithmes du monde. Pour n’importe quel électronicien radio, ce genre de révélation s’appelle « enfoncer une porte ouverte ». Pour le monde de la sécurité, ce n’est jamais que le énième rappel d’une vérité : le manque de maîtrise du « hack hardware » dans la profession fait régulièrement découvrir de « nouvelles » vulnérabilités.

Comment donc ont procédé ces doctes universitaires ? Les annexes du rapport l’indiquent clairement : après une consciencieuse compilation des normes et protocoles domotiques utilisés Outre Atlantique, ils ont mené à une petite opération de « wardriving » large bande à l’aide d’un analyseur de signal (http://www.eu.anritsu.com/products/default.php?p=221&model=ms2781b) à 30 000$ pièce, couvrant des transmissions CPL (une technologie « sans fil » qui ne veut pas le dire) aux téléphones mobiles, en passant par les périphériques WiFi, Bluetooth ou X10. En examinant les enveloppes de chacun de ces appareils, il est très facile de déterminer qui « parle », à quelle heure, à quel rythme et sur quelle fréquence. Ainsi, une maison qui n’égraine que quelques broadcasts de SSID Wifi est probablement un appartement inoccupé, pouvant potentiellement être cambriolé à toute heure. L’ouverture d’une porte de garage télécommandée indique l’arrivée ou le départ d’une personne de la maison, tout comme les trains d’impulsion d’un actuateur X10, l’activation d’une télécommande HiFi « par radio » ou le flux de données d’une souris ou d’un clavier sans fil signalent la présence d’un occupant, son activité présente et par conséquent sa position exacte dans la maison. Même l’activité d’un téléphone cellulaire laisse des traces radio parfaitement localisables.

Verra-t-on un jour les monte-en-l’air s’équiper d’analyseurs de spectre et d’ondemètres à absorption pour répertorier les lieux propices à une visite ? C’est possible, mais il existe des méthodes bien plus simples et plus efficaces que tout cet attirail technique. Du faux représentant de commerce qui fait du porte à porte au coup de fil « Bonjourcépourunsondaj », les vieilles ficelles sont parfois aussi pratiques et bien moins coûteuses qu’un analyseur Anritsu. Tout çà n’est donc pas une raison pour bouder les Zodianet et consorts.