Saturday, September 20, 2014

Focus on my situation with EICAR


A number of authors who have submitted to the EICAR conference have recently contacted because the relevant conference website still mention me as the Scientific Director of EICAR and as the EICAR conference Program Chair. The issue is that they absolutely go no notification regarding their paper. I am sorry for that situation but I am no longer the Scientific Director nor the EICAR Conference Chair since the end of 2013. I have officially announced that in October 2013

I have held these two positions on a strict voluntary basis. This was a great experience which have provided a lot of intellectual satisfaction. I tried to increase the scientific level of the EICAR conference and had the occasion to meet nice people, authors and attendees. After six years I decided to stop because first I think that no one should occupy the same positions too longer in order to remain efficient and second I was disagreeing with the lack of real and total independence withe respect to the Antivirus vendors community. Moreover, being myself in charge of developping the sovereign antimalware products for France (called DAVFI and commercially available unde rthe brand Uhuru), staying with EICAR would have been a contradiction with my own principles.

So I am very sorry for the authors who have been misled by seeing my name as the EICAR Program Chair. I am no longer involved in this conference. For any claims, please contact this address.

Have a nice week end

E. F.

Tuesday, June 24, 2014

LibPerseus 1.4 Available

LibPerseus has been updated to version 1.4.1. The new changes are
  • Code optimization for 32 and 64 bits
  • Code portability for 32 and 64 bits
  • Better management of random number generation (used for encoder and noise generators) improved and sanitized
 The source code of the archive is available here.

E.F.

Monday, April 28, 2014

Scandale à l'universite Antilles-Guyane (UAG)

Aidons la nouvelle et courageuse présidente de l'UAG

Aidons la nouvelle et courageuse présidente de l'UAG dans sa lutte contre les dérives et corruptions de tous genres qui donnent une image exécrable de l’université française. La situation qu'elle a mis a jour est tout bonnement sidérante dans un État de droit.
En soutien à cette femme courageuse qui a décidé de mener une lutte sans merci contre toutes ces dérives, je reproduis ici le message de son comité de soutien et vous invite à la soutenir.

Chers amis




Il est rare de rencontrer des personnes animées d'un tel courage et d'une si grande humilité. 



Corinne MENCE CASTER, Présidente de l'université est une femme brillante guidée par sa rectitude. Elle a une saine ambition, une véritable vision, un projet ambitieux pour l'Université des Antilles qui forme nos enfants, la jeunesse du pays et la relève de demain! Elle force l'admiration et le respect. Elle mérite tout notre soutien.


Le dernier rapport du sénat sur l'avenir de l'Université des Antilles nous y invite : 


Extrait : 
 " L'actuelle présidente de l'UAG, qui, malgré les nombreuses intimidations exercées sur elle, met un point d'honneur à renverser un système organisé illicite de préservation d'intérêts privés, mérite d'être encouragée et doit être accompagnée dans la poursuite de ses efforts dans le sens du rétablissement des principes fondamentaux d'un État de droit dans la gestion de l'université. Le déferlement d'attaques personnelles dont elle a fait l'objet a profondément choqué la délégation de votre groupe de travail lors de son déplacement, sentiment renforcé par la prise de connaissance de nombreux documents transmis depuis (coupures de presse, courriels...). Le contenu de certains messages de menace, d'intimidation et de dénigrement, qui lui ont été adressés en représailles de sa volonté de faire toute la lumière sur les dysfonctionnements relevés par le dernier rapport de la Cour des comptes, porte une atteinte grave à sa dignité, voire à sa sécurité morale et physique, et doit être fermement condamné. "

Le JT Martinique Première 22 avril confirme qu'elle mène ce combat au péril de sa sécurité. Ce reportage commence à partir du 6:34 sur le compteur  
http://pluzz.francetv.fr/videos/info_1ere_,101138735.html .
Cette vidéo est également disponible sur Youtube ici





La pétition de soutien à Corinne MENCE-CASTER est en ligne depuis le 4 avril. Plus de 1600 signataires ont adhéré à cette dynamique, mais on peut faire mieux.

Merci de vous joindre à nous !



Il vous suffit de cliquer sur le lien suivant : 




Pour signer, cliquez sur "signer" à droite de l'écran et laissez un message si vous le souhaitez.

Pour un soutien plus discret, si vous ne voulez pas que votre nom apparaisse, signez et juste en dessous,"décocher" la case "afficher ma signature sur change.org


Pour amplifier le mouvement, merci de transférer ce mail à vos contact et relayer le lien de la pétition par tous moyens (SMS, Facebook, Twitter, ...)

Ci-dessous, le lien du rapport complet du sénat : 






Madame la Présidente du Comité de soutien
"Soutenons Corinne MENCE CASTER dans son combat pour sauver l'Université des Antilles"

En aidant cette femme nous apportons tous notre pierre à l'édifice d'un monde meilleur à léguer à nos enfants
Merci par avance
E.F.

Tuesday, April 8, 2014

Les incohérences de Microsoft

Bonjour à tous


Microsoft ne soutient plus XP. Donc à part la gendarmerie nationale que cela fait sourire (une fois de plus nos gendarmes ont été clairvoyants), les autres utilisateurs (environ 30 à 40 % du parc) vont souffrir:
  • soit financièrement : il faut passer à Windows 7 (ou pire à Windows 8) mais aussi changer beaucoup d'applications, en particulier métier, voire changer le matériel (juste passer un scanner Canon Canoscan de XP à Windows 7, par exemple, pour madame Michu c'est impossible). Bref cela va avoir un cout exorbitant
  • soit se dire tant pis je ne fais rien et tant pis pour les attaques (je frémis à l’idée de ce choix que certains vont faire : rappel le parc informatique sous XP est encore important dans bien des secteurs et infrastructures critiques, donc beaucoup connectées sur Internet).
Microsoft annonce qu'en payant très cher (voir par exemple ce lien) il est possible de bénéficier d'une protection prolongée. C'est une gestion en mode Titanic : seuls les passagers de première classe peuvent espérer embarquer dans les canots de sauvetage, les autres peuvent se noyer. Or, ce matin le Directeur technique de Microsoft sur France Inter (Journal de 07:30, index à 10 minutes 50) déclarait : "on n'arrive plus à protéger XP..." (écouter la suite tout aussi sidérante).

La question est alors : pourquoi faire payer pour un service impossible à assurer (dixit le responsable sécurité de Microsoft en France ce matin sur France Inter) ?

Cela appelle donc deux commentaires :
  • Il est vraiment temps de passer à une alternative crédible dont ne serons plus les otages et les vaches à lait, à savoir le logiciel libre. Si on doit payer, autant que ce soit à des entreprises françaises qui assurerons un soutien plus réactif, moins opaque et à un coût réduit et qui pourront assurer rapidement la migration des applications métier en quelques mois. La Gendarmerie Nationale y est parvenue brillamment, c'est donc possible et ce, sans perte de capacité opérationnelle. Il y a là une occasion en or de créer un véritable choc économique, de compétitivité et des opportunités de création de richesses, et, pour la France de redevenir un exemple (et donc un leader) éclairé en Europe. Mais pour cela, il faut du courage.
  • Espérons que l’État français ne paiera pas, comme l'Angleterre et les Pays-Bas, pour un service qui n'existe pas.
Bonne journée
E.F.
 

Monday, October 14, 2013

L'avance technologique de Vupen

Bonsoir à tous



Jeudi 10 octobre a eu lieu une soutenance de thèse très intéressante, et ce à plus d’un titre. Sofia Bekrar, chercheuse en sécurité informatique chez Vupen et sœur du PDG Chaouki Bekrar, présentait ses travaux de doctorat en informatique menés en collaboration avec deux laboratoires de recherche reconnus (LIG/Verimag) sous la direction de thèse de Roland Groz et Laurent Mounier pour la partie académique et Chaouki Bekrar pour la partie industrielle. Pour ma part, j’ai eu l’honneur et le plaisir d’œuvrer en tant que rapporteur de cette thèse. 

La thèse s’intitulait « Recherche de Vulnérabilités Logicielles par Fuzzing Intelligent d’Exécutables ». Il s’agit d’un travail à la fois théorique (formalisation et analyse conceptuelle) mais surtout pratique et opérationnel.  Il convient de dire que c’est une thèse, à tous les points de vue, d’une grande qualité. Sofia Bekrar a réalisé des avancées que l’on peut qualifier de majeures tant dans la formalisation que l’analyse théorique fine d’un sujet non seulement critique mais aussi scientifiquement ardu (les problèmes combinatoires, parmi de nombreux autres, sont multiples). Elle a aussi conçu et programmé une architecture logicielle complète qui donne déjà de très beaux résultats mais constitue aussi un atout important pour Vupen dans le domaine de la recherche de vulnérabilités logicielles. Donc avant toute chose, bravo à Sofia, elle illustre, une fois de plus, que la science française avait encore une grande capacité à produire des pépites. Il y a tellement de personnes en France promptes à critiquer notre pays, à douter de son génie, pour encenser tout ce qui est outre-Atlantique, en particulier dans ce domaine, qu’il ne faut perdre aucune occasion de leur rabattre leur caquet. Il y a un vrai génie français et il faut sans cesse le rappeler.

Mais cette thèse et cette soutenance me donnent l’occasion de tirer quelques conclusions intéressantes :

  •  Tout d’abord, il est rassurant de voir collaborer deux mondes perçus comme en opposition : le monde académique et le monde du hacking (au sens noble du mot). Cette thèse démontre le contraire : ces deux mondes sont appelés à collaborer pour leur bénéfice mutuel. Il en ressortira des productions d’une grande qualité. Il faut cependant faire en sorte que des gens doués pour le hacking puissent être accompagnés pour parvenir au niveau nécessaire pour une thèse. Et que les académiques ouvrent leur esprit vers le monde du hacking. Ce n’est pas un hasard si l’une des meilleures conférences de hacking en France est Grehack, organisée par l’ENSIMAG, précisément avec cette vision fédératrice : académisme et hacking.
  • Vupen n’est pas la bande de hackers/reverseurs d’Etats que certains journalistes peu scrupuleux et ignares dépeignent, et ce encore récemment. C’est une entreprise française ayant pignon sur rue, reconnue même par les USA et la NSA – et oui le savoir-faire et l’excellence française sont reconnus ailleurs, même par les plus grands --, qui rapporte des devises et qui comme toute entreprise sérieuse a à cœur de penser aussi en termes de R&D. La thèse de Bekrar est non seulement de très bonne qualité mais elle va conforter l’avance de Vupen dans ce domaine particulièrement stratégique et ce pour pas mal d’années encore, renforcer sa place de leader au plan international… et finalement montrer une fois de plus aux ricains qu’il faudra toujours compter avec les frenchies.

  • Le seul défaut de cette thèse est d’être confidentielle, ce qui par ailleurs se comprend et est nécessaire. Mais il faut que l’État valorise les thèses confidentielles pour que les laboratoires de recherche qui se lancent courageusement dans cette aventure soient eux-mêmes valorisés. Un chercheur n’existe et est évalué que par la publication. Il tire ses financements de cette évaluation. Encadrer une thèse confidentielle, voire classifiée, est un investissement très conséquent et donc risqué car sans valorisation évidente. Alors pourquoi, sous la tutelle ANSSI, en liaison avec le ministère de l’Enseignement Supérieur et de la Recherche, voire d’autres entités de l’État, ne pas créer un label spécial qui garantirait la confidentialité des travaux mais reconnaitrait l’excellence de la recherche couverte et serait une contribution de poids dans un dossier universitaire (dossier de MCF, dossier AERES…). Cette idée a été soumise à certaines personnes de l’ANSSI et a fait l’objet de discussions mais pour le moment officieuses. Ces quelques personnes sont acquises à l’idée mais entre la perception de quelques personnes et l’institutionnalisation d’une idée, des années peuvent s’écouler. Avons-nous ces années devant nous ?

En tout cas, bravo à Sofia Bekrar pour ce travail de recherche de tout premier plan qui donne à la France un avantage stratégique certain.  

E.F.

Wednesday, September 18, 2013

SMS Perseus - Quelques "réflections"

SMS Perseus - Quelques "réflections" 

"Un peuple prêt à sacrifier un peu de liberté pour un peu de sécurité ne mérite ni l'une ni l'autre, et finit par perdre les deux."
Benjamin Franklin


Tout d'abord non, je n'ai pas fait de faute au mot "réflexion" c'est intentionnel : le son indique bien mon intention de livrer quelques réflexions face aux diverses réactions ayant suivi la publication de l'application SMS Perseus sur le Google Play mais l'orthographe correspond à ma volonté de renvoyer dans leurs but certains pénibles et répondre de manière constructive à des remarques ou interrogations intéressantes concernant les aspects juridiques notamment.

Merci tout d'abord à tous ceux qui nous ont aidé et qui se sont proposés comme évaluateurs de SMS Perseus. Leur aide est capitale et précieuse. Merci aussi à Dorian Larget qui a fait un super travail de développeur Android et bien au-delà en gérant la partie gestion de clefs, sécurité de l'application et bien des trolleurs d'internet (bienvenue au club Dorian). Outre ses qualités d’ingénieur, j'ai pu apprécier les grandes qualités humaines de mon breton préféré (avec les auvergnats, les bretons ont su préserver des qualités de résistants).

Tout d'abord aux trolleurs professionnels -- qui parlent et glosent sans savoir mais ne lisent pas les codes ou ne comprennent rien aux mathématiques - ils ont des "idées sur tout mais surtout des idées" pour reprendre les mots d'un célèbre humoriste. Depuis le temps j'ai appris à vivre avec et à ne plus me soucier de ce "bruit sur internet". Ensuite aux gens qui écrivent sous pseudo ou anonymement, idem. Contrairement à ce qu'affirme Assange, l'anonymat n'est pas une liberté. Il plonge celui qui l'utilise dans la bassesse permanente, nie le courage et l'esprit de résistance et la liberté elle-même et fait de nous un esclave de notre propre peur. C'est un manque de respect et un manque de courage. Je n'ai jamais utilisé de ma vie aucun pseudo et si j'ai besoin de dire quelque chose je le dis ouvertement ou je me tais.

Venons en maintenant au fond. Il est triple.
  • Au plan scientifique et technique, nous avons essayé avec SMS Perseus de proposer une solution RÉELLEMENT sécurisée. Nous avons publié les codes, les concepts... bref nous avons fait notre travail de chercheurs. Maintenant libre à chacun d'analyser notre travail, les concepts mathématiques et de publier ses propres travaux. Si SMS Perseus n'est pas solide opérationnellement (c'est-à-dire pouvoir réellement traiter des milliers de SMS tous les jours et non traiter UN SMS avec "une puissance de calcul infinie et l’éternité devant soi"), tout chercheur est libre de le prouver et c'est le jeu ouvert de la recherche. Lui et nous aurons contribué utilement au débat concernant une nouvelle approche en matière de protection des données
  • Au plan juridique. Tout d'abord au nom de quelle loi ? Désolé mais je ne reconnais pas la loi des USA et j'affirme qu'elle n'a pas à s'appliquer en France. Pour la loi française, il est probable que la technologie Perseus soit couverte par un vide juridique : la crypto est elle définie par une clef ou par la probabilité 0.5 de chaque bit de cryptogramme ? C'est un débat ouvert. Maintenant, c'est un faux débat de dire que SMS Perseus peut profiter aux acteurs néfastes à la société (pédophiles, terroristes...). Tout d'abord il y a bien d'autres solutions (souvent vendues en kiosque ou disponibles sur Internet). Ce n'est pas à la technologie et au contrôle que l'on exerce sur elle de controler les hommes. Seuls d'autres hommes doivent assurer les missions régaliennes. J'utilise SMS Perseus parce que j'entends que ma vie privée soit respectée. PRISM et autres programmes nauséabonds me font vomir. Et si demain un juge ou un policier veut excercer son mandat régalien, il me demandera de lui communiquer le contenu de mes SMS. N'ayant rien à cacher, en citoyen responsable je le ferai. Un terroriste refusera et le juge dispose alors de tout un arsenal juridique.
  • Au plan sociétal et au rôle des USA dans le monde (ou du moins celui que nous acceptons de lui accorder). Les prochains jours vont être intéressants. Je dirais -- avec un certain plaisir -- que la NSA est face à un dilemme : soit elle fait retirer l'application (mais on la mettra ailleurs, sur F-Droid par exemple) mais c'est un aveu d'échec à traiter ce type de trafic soit elle le laisse en espérant que peu de gens l'utiliserons et en organisant une campagne de dénigrement via toutes les marionnettes qu'elle contrôle dans le monde (trolleurs, certains universitaires, journalistes...). Maintenant, encore une fois, nous avons voulu une application qui soit réellement sécurisée et je l'utilise moi-même parce que je veux pouvoir échanger sans que la NSA ou les Apple, Google, Microsoft... ne me lisent. PRISM et autres programmes existent depuis près de 60 ans (voir ma conférence à HIP 2013) et les dernières révélations (Bullrun en particulier) montrent que j'avais vu juste. La technologie ne doit pas être un moyen de contrôle des populations : c'est un vision lâche typiquement anglo-saxonne qui considère que les populations doivent être composées de veaux consommateurs dociles. Elle a donné naissance à des concepts intolérables comme la guerre 0 mort (tuer sans être tué) et donné une puissance inouïe à une poignée de gens anonymes dans le monde qui veulent nous contrôler pour que nous continuions à nous gaver de produits qu'il vendent (iphones, séries débiles....). La vision européenne et française doit continuer à défendre l'idée d'une population développant un esprit citoyen, un esprit de liberté et de culture.. bref entretenir la flamme de la résistance. Ne nous trompons pas : nous sommes dans la même situation que pendant l'occupation. Cette dernière n'est plus militaire, elle est idéologique, culturelle, commerciale. Et il y a ceux qui collaborent (en faisant acheter par exemple massivement du Microsoft) et ceux qui résistent. Contrôler l'homme nécessite d'accepter de se mettre soi-même en danger. C'est justement ce qui fait la qualité du renseignement intérieur et extérieur français : c'est avant tout une approche humaine. Et Non ! La loi US ne doit pas s'appliquer en France. Et si Google et autre serveurs Microsoft, Facebook ou autres sont territoires US alors il va falloir que nos politiques en tirent courageusement les conclusions... notamment pour nos entreprises. Comme l'a fait le Général de Gaulle, par exemple en imposant une industrie strictement nationale pour nos besoins en sécurité de l'information.... obligation au passage que les USA aimeraient bien voir disparaitre au nom de l’interopérabilité OTAN entre autres choses.

Donc SMS Perseus est une possible réponse technique à un souci avant tout personnel et que je souhaite partager avec tout ceux qui ont le même souci (libre aux autres de ne pas l'utiliser et de préférer des technologies US) mais surtout un message aux USA : je les emm... et si SMS Perseus peut contribuer ne serait-ce qu'à leur compliquer singulièrement leur capacité opérationnelle en saturant leur capacité de calcul alors tant mieux. On aura déjà gagné.

Vive l'esprit de résistance, vive le Général de Gaulle!


PS : vous aurez remarqué que j'utilise quelques produits Google. Ils sont efficaces mais je ne leur confie pas n'importe quoi. Et j'exploite à mon avantage précisément ce que Google entend utiliser pour le sien !

EF

Friday, September 13, 2013

Quand la loi américaine s'exerce en France...

Bonjour

Suite à la conférence donnée lors de la conférence HIP 2013 sur le contrôle de la technologie par les Etats (en particulier sur la cryptologie et par les USA), j'avais expliqué les différentes formes de contrôles, nombreux exemples à l'appui. Inmanquablement, les trolleurs professionnels n'ont pas manqué de remettre en cause ces faits et réflexions, dénonçant la thèse conspirationniste... argument finalement bien pratique pour ces gens qui n'en ont pas d'autres.

Or aujourd'hui je viens d'avoir une preuve de plus de ce controle que je souhaite vous faire partager. Nous venons de déposer sur le Google Play notre application SMS Perseus, solution novatrice de protection des SMS, en mode point à point (donc sans passer par un serveur tiers). La surprise a été totale face à la fenêtre suivante


La partie intéressante grossie
En gros, cela dit qu'en France (pays de diffusion sélectionné par la coche orange) concernant les produits de cryptologie, c'est la loi des USA qui s'applique. Quand vous êtes un chercheur ou un programmeur de produits de sécurité, en France ou dans un pays non US, vous devez respecter la loi US. Merveilleux ! C'est preuve très claire (une de plus) que Google est territoire US, sur lequel s'applique la loi US (Patriot Act et autres avatars nauséabonds). Mais pour certains le contrôle de la cryptologie est encore un mythe.

Bon cela tombe bien, PERSEUS n'est pas du chiffrement au sens strict du terme. Mais il en offre le même niveau de protection. A suivre donc...

E.F.