OnionShare — la fausse bonne idée

Par SwissTengu @SwissTengu @SwissTengu — 04.06.2014
On en parle dans certains milieux, comme "la" solution pour transmettre des documents confidentiels pouvant servir de base pour des leaks.

Mais une série de questions se posent :
  • Est-ce que cette solution est réellement bonne ?
  • Est-ce qu'elle répond réellement à un besoin ?
  • Est-ce qu'elle ne crée pas plus de problèmes qu'elle n'en règle ?
  • Quand, comment et dans quelles conditions employer cela ?
  • J'ai mon .onion, j'en fais quoi maintenant ?

Il y en a tout un tas d'autres, mais celles-ci sont sans doute les plus importantes, car elles souvlèvent 2-3 problèmes au niveau de la communication sur OnionShare1.

OnionShare, la bonne solution?
Oui et non : ça permet de simplifier la mise en place d'un service caché2 sur le réseau TOR, mais ne règle en tous cas pas l'extraction des données. Imaginez un Snowden en train de faire tourner TOR sur son ordinateur au boulot… Ou sur le laptop d'entreprise qu'on lui a fourni… Les réseaux contenant des données sensibles sont (normalement) surveillés de près, pour éviter des intrusions3 ou, justement, des fuites. Le cloisonnement des accès réseau est aussi de mise en général, tout cela mis bout à bout rend l'utilisation de TOR (ou tout autre service "bizarre") suspect aux yeux des administrateurs réseau, qui n'hésiteront pas à sonner la charge en cas de doute.

Employer TOR sur le réseau de son entreprise4, c'est le meilleur moyen de se faire déboulonner dans les 30 secondes qui suivent le lancement du service.Il convient donc de définir clairement le périmètre d'utilisation de cet outil.

Le besoin
Le besoin auquel est censé répondre OnionShare n'est pas clairement défini : "partagez des fichiers de manière sécurisée"… Cool. Mais dans quel contexte ? Comme expliqué plus haut, cette solution ne peut pas répondre au besoin d'extraire les documents. Elle ne peut répondre qu'à "envoyer les documents à des tiers", et ce uniquement une fois qu'on les a sorti de là où ils étaient avant.

À ce niveau, ne pas délimiter le besoin en présentant l'application peut avoir de graves conséquences pour l'utilisateur : s'il se dit juste "ah cool je serai anonyme via ça pour sortir des secrets de mon lieu de travail", il se foure le doigt dans l'œil. Le manque d'information concernant les risques pose un réel problème — problème qu'on retrouve dans la grande majorité des services et solutions techniques proposées ces derniers temps : quel besoin couvrent-elles réellement, et est-ce que ce besoin correspond bien au mien, dans quel contexte son utilisation ne m'expose pas plus que sans passer par elle… etc.

Les problèmes que cette solution pose
Comme précédemment dit, cette solution technique pose pas mal de problèmes : le contexte d'utilisation, le fait qu'on passe par de multiples couches logicielles qu'on ne comprend pas forcément, l'absence de guide et d'explications concrètes font qu'il serait mieux, à mon sens, de décourager l'utilsation d'OnionShare pour les néophytes. Le problème étant que, justement, OnionShare s'adresse aux néophytes…
Il est fort dommage de ne pas disposer d'une meilleure documentation de la part de l'auteur de ce script, qui se contente de balancer son projet sans aucun support réel.
C'est même criminel, en fait…

Contextes d'utilisation
Comme annoncé, cette solution ne s'utilise pas n'importe comment : de manière à éviter de se faire repérer, il conviendra de ne pas l'utiliser depuis son lieu de travail; à la rigueur depuis la maison, et encore. Aussi, on évitera de l'utiliser dans l'état sur une machine appartenant à son employeur… À moins de passer par Tails5, qui permet de s'isoler du système installé et de ne pas laisser de trace (du moins rien de flagrant).
Comme il s'agit tout de même de lancer un serveur web et de monter un nœud TOR, il faut faire les choses proprement : tenir compte des avertissements quant à l'utilisation de TOR (présents sur le site de TOR6) et de rester prudent.

Il faut garder en tête qu'OnionShare n'est pas un moyen de sortir les données. Vraiment. Sinon, on court droit à la catastrophe, avec en prime une décrédibilisation complète de TOR et des services associés… Certains diraient que c'est le but recherché, pour ma part je n'irai pas jusque là ;).

Bon, ok, j'ai pigé, j'ai un .onion sur un laptop chez un pote… et après ?
Après, il faut transmettre le lien. Pour ça, le mail est en général la manière la plus simple… Mais encore faut-il le faire correctement. Le README mentionne "Jabber7 et OTR8" — c'est une autre manière, permettant en outre de ne pas laisser de preuve flagrante.
Dans tous les cas, il faut chiffrer l'information avant de l'envoyer : que ce soit via GPG, S/MIME, OTR ou autres, balancer le lien de l'onion à travers le réseau sans capote, c'est tout aussi suicidaire que lancer OnionShare sur le réseau de l'employeur… Il vous faudra donc faire le nécessaire avant pour assurer la transmission de l'information. Et faire preuve de prudence…
Mais là encore, aucune information, pas le moindre indice quant aux possibilités, pas de lien vers des solutions logicielles permetant de se protéger la moindre.

En résumé
OnionShare est un outil. Comme tous les outils, il doit s'apprivoiser, se comprendre. En général, on lit le manuel d'utilisation, sauf qu'il n'y en a pas… Aussi, c'est un outil servant à se rendre plus discret sur la toile, son but premier étant de pouvoir mettre à disposition des fichiers de manière anonyme et sécurisée. Pas un simple presse-agrumes électrique. De cet outil peut dépendre la liberté si ce n'est la vie de personnes soucieuses de rétablir un peu de morale et d'éthique dans ce monde vérolé.
À ce niveau, OnionShare ne fournit PAS les garanties nécessaires, et ce pour plusieurs raisons :
  • il suffit d'aller voir les issues ouvertes9 pour se rendre compte qu'il n'est pas utilisable à l'heure actuelle
  • certaines issues sont critiques10, OnionShare partant du principe que TOR est ouvert à tous les vents
  • la documentation en rapport à l'installation de TOR est foireuse, torproject insistant lourdement sur le fait que les packages ubuntu/debian ne sont PAS à jour, et à éviter à tous prix
  • le fait de mentionner le simple fait d'installer TOR au lieu d'insister sur l'utilisation du Tor Browser Budle est un signe qui ne trompe pas : le public-cible n'est PAS les journalistes ou autres hacktivists débutants.

Le Tor Browser Bundle11 intègre tout, que ce soit un navigateur (Firefox), TOR et des configurations du tout pour assurer un minimum de sécurité. OnionShare aurait dû se mettre par-dessus ça. Et ne se baser que sur ça, en premier lieu. Et ne pas mentionner d'installer TOR sur le système. Et mettre les liens qui vont bien pour télécharger TBB, les liens vers la doc d'utilisation etc.

Même si OnionShare part d'une bonne idée et de bons sentiments, il ne faut surtout pas perdre de vue qu'actuellement, on ne peut pas se permettre de jouer les apprentis-sorciers. La surveillance généralisée est en place, et si on a des choses à sortir de quelque part, il faut s'attendre à ce que les issues soient sous surveillance, que ce soit au niveau du réseau ou les accès physiques.

Oh, et, en passant,  l'interface de gestion pour TOR Vidalia12) permet de créer des services cachés… OnionShare perd tout intérêt, à part pour la jolie page web qu'il crée (bon, et le proxy HTTP13 vers le service caché, ok).

Aussi, il vous faut garder ceci en tête : ce n'est pas parce que vous avez un joli marteau que vous saurez planter les clous droits. L'outil ne fait pas le boulot, il faut savoir l'utiliser. Les outils de cryptographie, d'anonimisation et assimilés sont exactement pareils.

Prêt à venir aux prochaines cryptoparties14 ? ;)


Commentaires (0)

Ajouter un commentaire