L'outil anticensure s'avère trop beau pour être vrai

Un outil logiciel conçu pour aider les dissidents à contourner la censure gouvernementale d'Internet contient des défauts si graves qu'il pourrait mettre en danger ceux qui l'utilisent.

L'outil, appelé Meule de foin , a remporté des prix et des éloges pour avoir permis aux militants politiques et aux citoyens ordinaires de vaincre les contrôles gouvernementaux interdisant le contenu Internet. Mais expert en sécurité Jacob Appelbaum avertit qu'il laisse une traînée d'indices qui pourraient être utilisés pour trouver celui qui l'utilise et à quel contenu il a accédé. Les experts disent que cela souligne l'importance d'avoir des experts externes pour examiner les technologies destinées à ce type d'utilisation.

Haystack a été créé par l'entreprise basée à San Francisco Centre de recherche sur la censure , fondée l'an dernier par deux militants Austin Heap et Daniel Colascione. Le logiciel était destiné à fournir un accès Internet non filtré et indétectable au peuple iranien, selon le site Web du projet. Ses créateurs ont reçu beaucoup d'attention - Heap a été déclaré Innovateur de l'année par le Gardien journal, et a également reçu le prix First Amendment Coalition Beacon.

L'outil a été présenté comme un moyen d'accéder à des pages Internet restreintes tout en cachant cette activité aux autorités. Les créateurs de Haystack ont ​​affirmé qu'il pouvait le faire en exploitant les problèmes du pare-feu iranien, en cryptant les communications entre les utilisateurs et les serveurs de Haystack, et en masquant le trafic envoyé vers et depuis l'outil afin que les utilisateurs semblent visiter des sites Web inoffensifs. Mais au cours du mois dernier, des experts ont exprimé leur inquiétude quant à l'absence d'examen indépendant de sa capacité à fonctionner comme promis.

Appelbaum, avec Evgeny Morozov , chercheur invité dans le programme sur la technologie de libération à l'Université de Stanford et militant des libertés civiles Danny O'Brien en particulier pressé pour plus de détails sur la façon dont le logiciel a été construit. Ils craignaient que les vulnérabilités de son code sous-jacent ne permettent le décodage de messages protégés par des représentants du gouvernement. Après avoir testé le logiciel, leur réaction a été la colère et la consternation.

Appelbaum dit qu'après avoir entendu une description du fonctionnement de l'outil, il craignait qu'il n'ait pas été construit correctement. Mais il est devenu vraiment inquiet une fois qu'il l'a testé lui-même. Appelbaum et ses collègues ont brisé les protections de la vie privée de l'outil en moins de six heures. Appelbaum dit qu'il serait facile pour les autorités gouvernementales de faire de même.

C'est un système si fragile, je peux à peine vous dire comment il fonctionne sans être extrêmement inquiet pour les personnes qui ont pu l'utiliser et qui n'avaient aucune idée qu'elles étaient mises en danger, dit Appelbaum. C'est incroyable, et incroyablement terrible.

Appelbaum dit qu'il doit être prudent avant de donner des détails sur ce qui ne va pas avec Haystack de peur de mettre davantage en danger ceux qui pourraient être en danger. Mais il dit, lorsque vous utilisez l'outil, il alerte efficacement les autorités que vous essayez de l'utiliser.

Lundi, Heap a annoncé que Haystack arrêterait la distribution et les tests avec les utilisateurs en Iran jusqu'à ce que les problèmes de sécurité soient résolus. Il a écrit , Nous avons commencé à contacter les utilisateurs de Haystack pour leur dire de cesser d'utiliser le programme. Nous ne reprendrons pas les tests tant que cet examen par un tiers n'est pas terminé et que les problèmes de sécurité ne sont pas traités de manière ouverte et transparente.

Ni Heap ni les autres employés du Censorship Research Center, ni les membres du conseil d'administration, n'ont pu être contactés pour commenter. Mais Colascione, le développeur principal de Haystack, a publié un lettre de démission publique reconnaissant que les préoccupations d'Appelbaum étaient justifiées. C'est aussi mauvais qu'Appelbaum le prétend, a écrit Colascione, ajoutant que la version en circulation n'était destinée qu'à des tests, jamais à une distribution et à une utilisation réelle.

Appelbaum dit qu'il a pu obtenir et exécuter une copie de Haystack quelques jours après que Heap a affirmé avoir cessé de prendre en charge le logiciel, suggérant que l'organisation n'a pas le contrôle de sa diffusion.

Il est alarmant que Heap et ses collègues n'aient pas accepté davantage d'aide de personnes établies dans le domaine du contournement de la censure , dit Ross Anderson , président de l'association basée au Royaume-Uni Fondation pour la recherche sur les politiques de l'information et professeur d'ingénierie de la sécurité à l'Université de Cambridge.

Anderson dit qu'il est très difficile de concevoir des outils de contournement de la censure qui fonctionnent correctement, et les créateurs de tels outils doivent bien connaître les risques et les pièges. Il y a beaucoup d'histoires sanglantes, et il y a beaucoup de recherches pertinentes, dit-il.

Les défis vont au-delà de la simple fourniture d'accès à des sites Web restreints, dit Anderson. Les outils doivent protéger l'anonymat des utilisateurs et éviter de créer des preuves qui pourraient être accablantes si elles tombaient entre les mains de représentants du gouvernement.

Un outil mal conçu peut isoler un utilisateur, dit Anderson. Il compare cela au fait d'être le seul à se présenter à une fête avec un masque. Il prévient que, parce que Haystack ne semble pas être largement utilisé, les autorités pourraient supposer que toute personne qui en possède une copie est une cible de grande valeur et devrait être arrêtée.

Le Berkman Center for Internet and Society de l'Université Harvard a déjà mené des tests d'outils de contournement de la censure, à la fois en laboratoire et dans les pays qui filtrent le contenu Internet, afin de déterminer l'efficacité des outils pour contourner la censure, leur sécurité et leur facilité. sont à utiliser. Chercheur Berkman Ethan Zuckerman dit qu'il espère que les fondateurs de Haystack permettront à une version de l'outil d'être testée plus tard cette année, la prochaine fois que le centre prévoit d'évaluer de tels outils.

cacher