Pour éditer le wiki, il faut demander un compte à un Lapin !
CypherPunk/20110512
Contents
Quand ?
Le premier (ce qu'il veut dire qu'il y en aura d'autres)(ou pas) aura lieu le Jeudi 12 mai au LOOP en soirée, car la nuit tous les cyphercats sont gris.
En soirée c'est après le boulot pour ceux qui bossent, au petit-dèj pour les autres. Visez un 19h30/20H, on commencera à bosser dés qu'on sera une petite dizaine.
On essaiera d'aborder, dans l'ordre, les points suivants :
- Anonymisation de trafic via Tor
- Utilisation de Yubikey pour une identification OTP
- Chiffrement de disque par Luks
- Utilisation de GPG au quotidien, principe de la Toile de Confiance et signature de clef
Amenez donc vos machines pour expérimenter, de quoi sauvegarder vos données (nous ne sommes pas à l'abri d'un crash ou d'une perte de clef). Il nous faut aussi de quoi connecter tout le monde, donc amenez vos prises multiples et autres switchs / hubs portable.
Quoi ?
Tor
Tor est un système de routage en oignon permettant d'anonymiser le traffic TCP sortant d'une machine.
- Installation de Tor et configuration
- torification d'applications
- démarrage automatique de Tor sur certaines connexion réseau
- le problème de la fuite DNS
- chiffrement avec SSL
Chiffrement de disque
LUKS est un système de gestion de clé unifié pour linux qui permet de gérer différent algorithme de chiffrement et différentes clef pour pouvoir chiffrer des volumes et y accéder de manière unifiée. Il faut utiliser des algorithmes de chiffrement fort avec ces systèmes là.
FreeOTFE est un logiciel de chiffrement libre pour les plateformes Win32. Il est compatible avec LUKS et permet donc de créer des systèmes chiffrés accessibles sur les deux plateformes.
- Chiffrement de partition
- Le module pam_mount et LUKS
- Utilisation d'une clef externe pour déverouiller un système Luks
- Luks et yubikey
- Luks, FreeOTFE et stockage sécurisé mobile
Yubikey
La yubikey est un appareil permettant de générer des mots de passe à usage unique (OTP[1]) comme second facteur d'identification. Elle n'a pas pour but de 'remplacer' le mot de passe, mais d'en renforcer fortement la sécurité en rendant possible une identification multifacteur[2]
Voici quelques idées en vrac de choses à faire (par ordre de complexité à priori):
- Utilisation Out of the Box, avec le module pam pour s'identifier. Nécessite une connexion à internet.
- Configuration de la yubikey en mode statique pour utilisation hors-ligne
- Utilisation en mode OTP mais toujours en hors-ligne
- Verrouillage de session par déconnexion de la yubikey
- yubikey et luks
- yubikey et initrd pour s'en servir très tôt
CACert.org
CACert est une autorité de certification communautaire gratuite. Comme toute autorité de certification, elle permet de générer des certificats signés. Les certificats racines de CACert sont inclus dans de nombreuses distributions Linux.
Le Web of Trust fonctionne selon un système de points, attribués par un assureur après avoir rencontré physiquement le demandeur et vérifié son identité. Une fois le quota de points requis atteint, il devient possible de générer des certificats signés, que ce soit pour un domaine (wildcard compris), un serveur, ou une adresse mail (certificat client).
Si vous voulez vous faire assurer, je vous conseille de créer un compte dès maintenant et de vous familiariser avec le WoT de CACert. Venez au workshop avec si possible deux pièces d'identité officielles.
GPG Key Signature Party
GPG (Gnu Privacy Guard) est une suite d'utilitaire libre permettant, par de la cryptographie assymétrique, de signer un message pour en assurer l'authenticité et/ou de chiffrer un message pour en assurer la confidentialité.
- Création de clef GPG et utilisation de celles-ci (messagerie notamment)
- Key Signing Party afin d'étendre le Web of Trust
- Thunderbird + Enigmail en version mobile (pas téléphone, mais mobile genre muti-poste)
HOWTO : SvartKast aka Blackthrow
Mise en place de station anti-censure approuvé par le Telecomix Crypto-Munitions Bureau ! :)
Une station SvartKast est un petit ordinateur qui peut être cachée à l'intérieur des organismes gouvernementaux ou d'entreprises. Il se connecte alors aux réseaux TOR ou I2P et publie son serveur SSH comme un "hidden service" dans chacun de ces réseaux. L'agent Telecomix peut alors se connecter à la station SvartKast en toute anonymat et à distance, il peut contacter et envoyer n'importe quel type de paquet n'importe quel client/serveur des Internets .
http://cryptoanarchy.org/wiki/Svartkast
Ressources
legalities
Tor
- Bundle FF4 + Tor pour Win
- ttdnsd un proxy DNS pour Tor
- polipo un proxy, pratique pour Tor.
Chiffrement de disque
- Luks + lvm + pam
- chiffrement du home
