Aide informatique pour l'Afghanistan, finançable en Ğ1?

Bonjour à tous,

Je discute avec quelqu’un qui est bien au courant de la situation là-bas en Afghanistan, et en gros ça craint:

  • les gens ont à juste titre bien peur de se faire piquer leur ordi ou téléphone, qu’il soit épluché, et au premier truc louche accusés, et descendus
  • ils ont besoin de communiquer avec leurs amis, leur famille, des gens dans l’ouest qui les aident, sans se faire choper
  • ils parlent pas arabe, mais plutôt persan et d’autres langues
  • et comme un peu partout sont dépendants aux gafam, donc quelque chose de simple pour sauvegarder leurs données et communiquer est nécessaire.

J’ai pensé à nextcloud, ils feraient tout en ligne et n’installeraient aucune application, ils chiffrent leur téléphone, etc… mais bon j’ai expliqué que mes conseils informatiques sont insuffisants car la vie de gens est en jeu, c’est comme si j’étais étudiant en première année de médecine et on me demande une opération lourde, genre poser une prothèse aortique.

Je leur ai aussi conseillé de contacter protonmail et riseup qui veulent bien aider, et la quadrature du net a déjà été contactée.

Est-ce qu’il y a ici des gens qui se sentent assez costauds pour les conseiller, les aider, sécuriser un serveur où il pourraient sauvegarder leurs données (nextcloud? xmpp? p2p? autre?) et communiquer, et on le finance en Ğ1 en mettant un financement participatif en place sur gchange?

Voilà c’est bourrinement demandé, mais si certain-e-s s’en sentent les capacités, ça pourrait être très chouette.

Des villes vont accueillir des réfugiés afghans, Strasbourg est un peu à la pointe parmi d’autres villes. J’ai demandé à des gens que je connais dans l’équipe si je peux donner un coup de main. Pas de réponses pour l’instant.

2 « J'aime »

À une époque (pas si lointaine), il était recommandé par certains activistes et autres ONG d’utiliser Tails une sur une clé usb facilement dissimulable et surtout jetable en cas de doute.

Yes… On a les mêmes accointances :wink:

@+ :vulcan_salute: :g1:

3 « J'aime »

Effectivement le chiffrement de l’appareil peut être dangereux : si on inspecte ton appareil, on découvre qu’il est chiffré donc tu es encore plus suspecté, soit tu donnes le mot de passe soit on tue ta famille, j’imagine.

Un ordinateur sain avec un live USB chiffré dissimulable est plus sûr.

Pour Internet, il y a les bridges Tor, qui sont des relais n’apparaissant pas sur les listes publiques. Les utiliser rend plus difficile aux autorités la détection d’une connexion au réseau Tor. (les relais classiques étant listés publiquement)

Si le régime dispose d’informaticiens zélés et experts, et est très suspicieux, peut-être même qu’il vaut mieux éviter d’utiliser directement tout réseau « alternatif » ou un peu « geek », et rester sur des mails chiffrés, via une connexion TLS à un serveur de mails sûr. DeltaChat peut rendre cela plus pratique à utiliser.


On pourrait réfléchir à un système de rémunération des relais Tor en G1 : les relais mettraient une clé publique (anonyme dans le cas d’un bridge !!!) dans leurs métadonnées publiques, et une caisse de dons serait distribuée aux relais actifs. (ces données sont publiques)

Tails a l’air top pour les PC.
Pour les téléphones je ne connais pas d’équivalent.
Il s’agit de faire croire que le téléphone est normal, il faut demander ce qu’est le « normal » là-bas. C’est pas impossible qu’ils utilisent des Android avec Google, et que ce soit moins suspect d’utiliser ces services en public !
Théoriquement on peut avoir deux os How to Dual Boot Multiple ROMs on Your Android Phone et passer dans l’os plus sécurisé quand on est en privé, à base de lineage os, /e/ ou ubuntu.

Sinon pour les serveurs, un nextcloud en suisse ou dans un pays de confiance, ça marche, en communiquant via Tor par exemple.
Mais attention Tor reste vulnérable, car il y a peu de noeuds de sortie, et beaucoup sont potentiellement aux russes et aux chinois. Donc un bon VPN comme expressvpn, ou protonvpn, c’est pas si mal.

Pour les messages, XMPP marche, mais signal offre de meilleures garanties sur le fait que le message passe incognito, et que le serveur ne le stock pas. C’est aussi bien fait pour vérifier les clés de l’interlocuteur.

Même si je peux aider ici ou là, je suis pas un pro de la sécurité.

Il y a aussi la stéganographie. Quoi en penser!?

J’ai essayé tails du coup hier soir. Ils ont mis pidgin comme logiciel client de messagerie! :man_facepalming: Du coup il faut mettre des applications portables dans le stockage persistant chiffré (rendre visible les applis installées en plus n’est pas une bonne idée pour moi. Du coup: Appimage?).

J’ai transmis les infos à la personne qui est en contact avec les infos, qui est super contente de tous ces conseils.

Est-ce qu’on lance un sondage pour en discuter? Je demande, de mon côté.

Pardon, un sondage pour discuter de quoi?

Pour trouver un moment pour se faire une visio, pour en discuter.

J’en discute aujourd’hui avec un ami informaticien.

Sujet fumant… quand des vies sont en jeu, la technologie n’est pas conseillée. Le moindre milicien/flic/soldat un peu obtus prendra n’importe quel truc un peu suspect comme excuse pour mettre au trou, caillasser ou fusiller.

Du coup, le plus difficile est d’avoir l’air le plus normal possible, puisque c’est la première attente des régimes autoritaires ou totalitaire; le conformisme.

À défaut d’avoir le droit d’être différent·e, il faut tout faire pour avoir l’air normal et s’émanciper en toute discrétion, ou alors être prêt·e à accepter la mort avec fierté et honneur au nom des valeurs dissidentes.

Du coup, un smartphone chiffré, c’est suspect, tor browser installé, c’est suspect, aller sur un site peu connu, c’est suspect, utiliser des outils de messagerie exotiques selon les coutumes locales, c’est suspect, utiliser un VPN, c’est suspect.

Donc, il faut pouvoir cacher le chiffrement en utilisant quelque chose de connu.

  • ssh est un outil présent partout et suffisamment puissant pour y faire passer n’importe quoi, certes au détriment de la performance par rapport à du VPN, mais aussi créer différentes forme de tunnels.
  • http est le protocole le plus rependu et donc le moins suspect si ce qu’on trouve sur le « site web » qui serait mis en place à l’aire anodin

Et on en vient à faire passer SSH dans HTTP.

Et il faut le faire en tenant compte de la personne la moins techniquement capable parce qu’elle sera, malgré elle, le maillon faible du réseau ou des des outils mis en place par la communauté qui souhaite s’émanciper.

Il faut des outils puissants par leur simplicité, générant peu de trafic (c’est le cas du texte, c’est pas le cas de l’audio et encore moins de la vidéo) mais permettant peut-être l’envoi et la réception d’autres contenus que du texte, et penser aussi à la compression (ça sert parfois à rien d’envoyer une photo de 6Mb là où à 600Kb on voit déjà bien des choses).

Il ne faut pas négliger les traces locales (sur le smartphone, sur l’ordi) parce que c’est ce qui mettra en accusation le maillon faible cité plus haut. Du coup, peut-être déjà se réjouir de pouvoir tchatter en ssh avant de s’envoyer des vidéos. L’idée étant d’ouvrir une session vers une machine sur laquelle on discute au lieu d’utiliser un logiciel client qui laisserait un cache ou des logs sur l’appareil utilisé.

Lors de l’envoi ou de la réception de documents lourds (fichiers, images, etc) compromettants, il faut faire très attention de ne pas conserver de copie sur l’appareil utilisé. Il faut le faire en utilisant des stockages facilement dissimulables et destructibles comme des clés usb ou des cartes microSD. Pour rappel, effacer du contenu ne fait que marquer l’espace de stockage comme étant libéré et ne détruit en rien les données sur le périphérique. C’est pour cela qu’il existe des outils comme dbanpar exemple. En terme de traces numériques, c’est comme pour l’environnement, le meilleur déchet étant celui qui n’est pas produit, la meilleure trace est celle qui n’est pas écrite sur le disque. Les stockages (disques, flash, ssd,etc) sont des endroits plein de traces et lorsqu’on en a les moyens on peut aller jusqu’à geler la ram dans l’espoir d’investiguer. Pour rappel, dans un environnement totalitaire, la suspicion est souvent suffisantes pour faire abattre quelqu’un parce que la « justice » n’a même pas besoin de fournir de preuves à charge du « crime ».

Il reste une autre question concernant le site http vitrine qui pourrait servir au montage des tunnels ssh, c’est qu’il devrait avoir l’air d’un truc anodin plein de contenu, comme des photos de la belle culture dominante, de jolis paysage, des musiques traditionnelles, etc pour que d’autres personnes, de simples visiteurs et visiteuses, y génèrent du trafic et surtout pour que les administrateur·ice·s de la machine qui l’héberge puissent ne pas être suspecté·e·s d’y héberger autre chose.

J’en reviens au début de ma réponse, l’utilisation de la technologie n’est pas conseillée. Mais si vraiment tel est votre souhait, je me poserais beaucoup de question (techniques et humaines) avant de mettre quoi que ce soit en place parce que dans 99% des cas les problèmes qui déborderont viendront du maillon faible, que ce dernier soit technique ou humain.

Ha oui, j’oubliais, dans ce contexte, il va de soit que l’utilisation de ssh se fera sur base de phrases de passe et non de clés, puisque les clés sont des fichiers qu’il faudrait stocker sur les machines clientes ou sur des stockages externes. Les phrases de passes seront dans dans la tête des gens.

3 « J'aime »

Merci beaucoup pour cette réponse super intéressante et détaillée!

Je transmets, et ça aide beaucoup!
En plus des avis que j’ai eus d’un ami.

1 « J'aime »