Face à la question de savoir qui doit être masqué, la réponse se complexifie et englobe des aspects tels que : (i) Les adversaires/attaquants externes. Ils pratiquent l’écoute passive locale, par exemple à l’aide d’un dispositif électronique de type renifleur connecté à une liaison LAN spécifique ou au port miroir d’un commutateur LAN. Ils effectuent également une écoute globale, leur permettant d’observer le trafic sur l’ensemble du réseau. Ils peuvent injecter des logiciels malveillants, des courriers indésirables ou des spams (spammeurs). (ii) Les adversaires/attaquants internes. Ils utilisent des éléments du système de communication dont la sécurité a été compromise, tels que des routeurs infectés, pour mener à bien des actions malveillantes. (iii) Les collaborateurs/partenaires de communication. Du point de vue de leurs intentions : (a) Les utilisateurs et groupes d’utilisateurs passifs, honnêtes mais curieux (ils n’écoutent qu’à l’échelle locale ou globale). (b) Utilisateurs et groupes d’utilisateurs malveillants, passifs (écoutent seulement), actifs (modifient/suppriment/ajoutent des informations ou injectent du code malveillant : virus, spam, logiciels espions, bots, logiciels malveillants, etc.).
Types d'anonymat pour les communications anonymes :
L'anonymat dans les communications consiste à faciliter la communication entre les entités de manière à dissimuler qui parle/converse/interagit avec qui. Le champ d'application est en constante expansion, englobant la protection de la vie privée dans tous les types de communications gouvernementales et militaires (CNI, NSA, CIA, FBI, etc.), les communications civiles au niveau individuel et institutionnel (lutte contre le spam), les communications sociales telles que le commerce électronique (ventes en ligne, transactions B2B, B2C et C2C de musique et de films, etc.), les forums anonymes, les services de chat vocal gratuits (importants dans les pays opprimés et non démocratiques), tous types de forums en ligne, blogs, IRC, wikis, réseaux sociaux Web 2.0 et Web 3.0, et tous types de dissimulation au niveau machine, pour les utilisateurs, les groupes d'utilisateurs, les propriétaires de données et les personnes se déplaçant sur un territoire. En matière de protection de la vie privée, cela permet de dissimuler les transactions, la navigation web et toutes les opérations réseau provenant de gouvernements ou d'entreprises oppressives, à l'encontre de personnes potentiellement honnêtes ou curieuses, voire de criminels, d'activistes, de terroristes, etc. Concernant la monnaie numérique, elle fonctionne avec l'argent électronique. Elle est également utilisée dans le cadre du vote électronique, de la publication anti-recensement et de l'envoi de courriels intraçables. D'un autre point de vue, elle permet des opérations relevant de la crypto-anarchie.
On distingue les types d'anonymat suivants : (i) Anonymat de l'expéditeur. (ii) Anonymat du destinataire. (iii) Anonymat de l'éditeur (modèle de diffusion). (iv) Anonymat par non-corrélation. (v) Anonymat par non-observabilité. Deux problèmes se posent : (i) Anonymat de l'expéditeur : dissimuler l'identité de l'expéditeur légitime d'un message. (ii) Anonymat du destinataire : dissimuler l'identité du destinataire d'un message envoyé par un expéditeur légitime. Bien entendu, l'anonymat peut aussi être exploité par des personnes mal intentionnées, des criminels, des terroristes, des anarchistes et autres délinquants. Que faire dans ces cas-là ? Comment la société peut-elle se prémunir contre ce problème ? La réponse est simple : l’anonymat absolu est impossible, car le réseau sous-jacent n’est pas anonyme, même s’il est sécurisé.
Types de services d'anonymisation réseau.
Les services d'anonymisation réseau protègent l'identité des utilisateurs, masquent les autres éléments d'identification, dissocient leurs actions de leur identité et ne dissimulent pas leur réalisation. L'anonymat est différent de la confidentialité, mais il peut y contribuer. On distingue les types suivants de services d'anonymisation réseau : (1) Anonymat discret. L'utilisateur n'est pas automatiquement identifié comme utilisant une technologie d'anonymisation ; souvent, il bénéficie d'une plus grande crédibilité et n'éveille pas les soupçons. Il utilise des serveurs proxy web discrets (qui passent inaperçus) et des comptes de messagerie web gratuits via des proxys. (2) Anonymat manifeste. L'utilisateur est connu pour être anonyme et sa crédibilité est souvent mise en doute. Il utilise des serveurs de réexpédition de courriels et des adresses connues comme anonymizer.com. Il emploie également des proxys d'anonymisation SSL, des fournisseurs d'accès Internet anonymes, des systèmes de réexpédition de courriels de type mixnet, des serveurs d'anonymisation tels que anon.penet.fi, etc. (3) Anonymat mixte. Ce type d'anonymat combine les anonymisations précédentes.
Voici quelques technologies d'anonymisation :
(i) Utilisation de tiers de confiance ou de proxys pour acheminer les messages. Ses principaux avantages sont son faible coût et sa simplicité d'utilisation. Son principal inconvénient est la difficulté à identifier les tiers de confiance. (ii) Réseau DC (ou DC-Net). Développé en 1988 par David Chaum, il garantit l'anonymat uniquement pour l'expéditeur. Son efficacité pour N utilisateurs est de (1 / N(N – 1)). Il n'autorise l'envoi que d'un seul message à la fois, sous peine de collision. (iii) Mixnets. Ce système utilise un serveur pour mélanger un ensemble de messages. Chaque message est chiffré à l'aide d'une cryptographie asymétrique et d'une infrastructure à clés publiques (PKI), de sorte que seul le destinataire puisse le lire. Il utilise un ensemble de serveurs pour assurer l'anonymat. Il prend en charge jusqu'à (N – 1) serveurs conglomérés sur un total de N. AMPC est une variante de Mixnets dans laquelle la cryptographie est implémentée par distribution. Dans un Onion Mix, le premier serveur recevant un ensemble de messages construit un chemin aléatoire à travers plusieurs Mixes jusqu'au Mix final qui distribue les messages. Si le premier Mix est corrompu, le système entier est compromis. (iv) Crowds. Un crowd est un ensemble d'utilisateurs formé dynamiquement. Chaque utilisateur exécute un processus appelé jondo sur son ordinateur. Au démarrage, le jondo contacte un serveur appelé blender pour demander son admission au crowd. Une fois admis, le blender communique l'appartenance actuelle de l'utilisateur au crowd et lui envoie les informations nécessaires pour le rejoindre (clés cryptographiques). L'utilisateur configure son navigateur pour utiliser son jondo comme proxy web. Lorsque le jondo reçoit la première requête du navigateur, il établit un chemin aléatoire à travers les jondos du crowd. Le jondo sélectionne aléatoirement un jondo (éventuellement lui-même) au sein du crowd et lui transmet la requête (après l'avoir protégée/sécurisée). Lorsque cet hôte reçoit la requête, il la transmet avec une probabilité p (à un hôte sélectionné aléatoirement) ou l'envoie au serveur de destination avec une probabilité (1 – p). Les requêtes suivantes empruntent le même chemin, et le serveur répond en utilisant le même chemin (dans le sens inverse). La communication entre les hôtes est chiffrée. (v) Tor. Il s'agit d'un réseau d'anonymisation de type « Onion Routing » de deuxième génération. Il utilise un réseau de routeurs fournis par des bénévoles. Il permet notamment de protéger l'identité et la localisation de l'expéditeur accédant aux services Internet. Le réseau d'anonymisation Tor est identifiable grâce à l'existence de listes publiques de nœuds, et il connaît une expansion significative (voir http://www.noreply.org/tor-running-routers/totall_ong.html). De même, sa bande passante est en constante augmentation (voir http://www.noreply.org/tor-running-routers/totalTra-fficLong.html). Les principales limitations du service Tor concernent les services à forte bande passante (vidéo), les connexions fréquentes (partage de fichiers P2P) et les services à très faible latence tels que la téléphonie. Des problèmes surviennent notamment avec les communications FDX (Full-DupleX), bien qu'il puisse prendre en charge les communications de type push-to-talk HDX (Half-DupleX).
Anonymat des nœuds dans les réseaux ad hoc : La
protection de la vie privée des nœuds dans les réseaux ad hoc vise à masquer l’identité des nœuds impliqués dans les tâches de routage au sein des réseaux mobiles ad hoc sans fil. Les algorithmes de routage ad hoc traditionnels reposent sur des informations privées, telles que les identifiants, exposées sur le réseau. Les solutions de protection de la vie privée conçues pour les réseaux P2P ne sont pas adaptées aux réseaux ad hoc. La protection de la vie privée est faible dans les algorithmes de routage ad hoc basés sur la position, car les informations de position de chaque nœud doivent être diffusées localement et régulièrement. Des adversaires peuvent obtenir le chemin d’un nœud à partir des rapports de position et même estimer la topologie du réseau. Dès qu’une correspondance est trouvée entre la position d’un nœud et son identifiant réel, un traceur peut surveiller le comportement de ce nœud. L’algorithme AO2P (routage privé ad hoc à la demande basé sur la position) préserve la confidentialité des nœuds dans les réseaux mobiles ad hoc grâce à une faible latence de détermination du prochain saut. La position de la destination est l’information exposée sur le réseau pour la découverte de la route. Un mécanisme de contention des récepteurs est conçu pour déterminer le prochain saut dans une route. Des pseudo-identifiants sont utilisés à la place des identifiants réels pour acheminer le paquet de données après la construction d'un itinéraire. L'itinéraire le plus court est privilégié afin d'optimiser le débit de bout en bout. Seule la position de la destination dans le réseau est révélée pour la découverte de l'itinéraire. La confidentialité de la destination repose sur la difficulté d'associer une position à un identifiant de nœud. La mobilité des nœuds renforce cette confidentialité car la correspondance entre une position et un identifiant de nœud est temporaire. La confidentialité de l'expéditeur et des nœuds intermédiaires est préservée. La précision du routage repose sur le fait qu'à un instant donné, un seul nœud peut occuper une position donnée. L'identifiant pseudo d'un nœud étant généré à partir de sa position et de l'heure, la probabilité que plusieurs nœuds partagent le même identifiant pseudo est négligeable. L'algorithme AO2P peut améliorer sa confidentialité grâce à l'utilisation d'un point de passage, donnant naissance à l'algorithme R-AO2P. La position du point de passage est alors transmise dans le paquet, à la place de celle de la destination. Ce point de passage est situé sur le prolongement de la ligne reliant l'expéditeur et la destination et peut être utilisé pour la découverte de l'itinéraire. La position de la destination n'est révélée qu'aux nœuds impliqués dans le routage.
Considérations finales
Notre groupe de recherche travaille depuis plus de quinze ans sur l'anonymat des communications dans tous les types de réseaux : à bande étroite, à bande large, de données et multimédias, filaires, sans fil, mixtes, hiérarchiques, CS (Client-Serveur), P2P (Peer-to-Peer), pour les personnes, M2M (Machine-to-Machine), etc.
Cet article s'inscrit dans le cadre des activités développées au sein du projet LEFIS-APTICE (financé par Socrates, Commission européenne).
Littérature
- Areitio, J. « Sécurité de l’information : réseaux, informatique et systèmes d’information ». Cengage Learning-Paraninfo. 2009.
- Areitio, J. « Analyse du spam ». Conectrónica Magazine. N° 104. Février 2007.
- Areitio, J. « Analyse des technologies de dissimulation d’informations ». Conectrónica Magazine. N° 109. Juillet-août 2007.
- Areitio, J. « Analyse de la sécurité forensique, des techniques anti-forensiques, de la réponse aux incidents et de la gestion des preuves numériques ». Conectrónica Magazine. N° 125. Mars 2009.
- Senior, A. « Protection de la vie privée dans la vidéosurveillance ». Springer. 2009.
- Gutwirth, S., Poullet, Y., De Hert, P., Terwangne, C. et Nouwt, S. « Réinventer la protection des données ». Springer. 2009.
- Howard, R. « Cyberfraude ». Auerbach Publishers, Inc. 2009.
- Flegel, U. « Détection d’intrusion respectueuse de la vie privée ». Springer. 2007.
Auteur:
Prof. Dr. Javier Areitio Bertolín – E.Mail :
Professeur à la Faculté d'ingénierie, ESIDE.
Directeur du groupe de recherche Réseaux et Systèmes, Université de Deusto.
