Par contre, en regardant plus attentivement, je constate que contrairement à ce qui est indiqué dans les explications, un identifiant (indirectement nominatif) est présent sur mon matériel électoral, juste à coté de l’emplacement où je dois coller mon vote. A la lecture de ce document, mon cerveau paranoïaque « sécurité du système d’info » se met en route (déformation professionnelle oblige).

Qu’est-ce qui m’assure qu’aucun être humain n’a lu les courriers papier (auquel cas, il accéderait au lien « mon identité » / « identifiant électronique ») ? Comment savoir s’il n’y a pas un technicien/DBA/opérateur de sauvegarde qui peut accéder à la base de données des votes (hop, un petit export de la base SQL sur clé USB) ? Que les fichiers caches/temporaires sont bien effacés (et recouverts par des zéros), ainsi que les zones de RAM utilisés par les programmes de vote (sinon, un p’tit malin n’aurait qu’à scanner les pages mémoires ou les blocs du disque pour voir nos choix) ? Les points faibles d’un tel système ne manquent pas. Des solutions informatiques et organisationnelles existent peut-être, mais les quelques informations présentes sur le site de la CNRACL ne répondent pas à toutes mes craintes…

Résultat : un courrier recommandé (Cf ici) au directeur de la CNRACL, et un autre à la CNIL (Cf par là) pour s’avoir si la déclaration liée au système de vote était assez précise pour nous rassurer. Et en attendant plus de lumière… je ne voterai pas. Non mais ! Sinon promis, dès que j’ai des réponses à ces courriers, je les publie.

Fond musical : Johnny Clegg and Savuka – I Call Your Name

Jusque là, rien d’extraordinaire me direz-vous. Sauf que, par hasard, je suis allé voir ce soir la liste des "sites référents" de mon site. Pour les non connaisseurs, sachez que c’est la liste des pages Web qui contiennent des liens vers votre site, et sur lesquels les gens ont cliqué pour atteindre une de ses pages. Or, ma copine, alors qu’elle était identifiée sur Passado, avait bien cliqué sur le lien que j’avais mis en commentaire. La preuve, j’ai trouvé dans la liste des liens référents :
http://fr.passado.com/blogEntry.aspx?entry_id=xxxx&e=adresse-email@du_blogueur.chez-passado.com

Dans cette URL, le "xxxx" est le numéro identifiant du blogueur chez Passado. Ca, ça n’est pas grave. Ce qui est plus dangereux, c’est que l’adresse email du blogueur s’y trouve en clair ! Ca pose deux problèmes :

1. l’identité du blogueur n’est plus secrète. Facile ainsi de connaitre l’adresse email de la personne qui est derrière le blog. On peut alors la harceler, la spammer, croiser l’e-mail avec google ou autre spock pour chercher d’autres publications qu’elle a faites, etc.
2. mais en plus, chez passado, cette adresse email est le login du blog. Aussi, si vous êtes un peu fort en hacking social (ou social engineering pour les anglophones), si vous connaissez le prénom du conjoint, le nom du chien, du chat, ou la date de naissance du p’tit dernier, il vous sera facile de vous connecter sur le blog avec l’identité de la personne piratée. De lire ses messages perso, de poster des billets en se faisant passer pour elle… Si vous n’êtes pas bon en hacking social, vu la complexité (ou plutôt le manque de complexité) des mots de passe choisis en général par les blogueurs, il est facile de programmer un petit bot qui fera une attaque en force avec un bon dictionnaire.

Bref, mon conseil du jour : si vous êtes logué sur un site Web (comme passado, mais il y en a peut-être d’autres), ne cliquez pas sur une URL postée par une personne que vous ne connaissez pas. Au pire, faites un copier/coller de cette adresse dans une page vierge du navigateur que vous aurez ouvert par vous-même (ça ne laisse pas de trace dans la liste des référents).

Les développeurs du portail NPDS (le moteur de ce site) proposent une solution (http://www.npds.org/maj_online/anti-spam.zip). L’inconvénient de cette solution est que le mécanisme qui permet de tester si le rédacteur est un être humain ou un robot consiste à poser une question en français du genre "Combien font 8 – 3 ?". Evidemment, les spammeurs n’ont pas mis longtemps pour apprendre les réponses à leurs automates, et la méthode se révèle inefficace.

Je viens de modifier cette solution d’anti-spam par une version [classique] légèrement plus évoluée : si vous souhaitez poster un commentaire sur le présent site, on vous demandera de recopier un code à 4 chiffres lisible dans une image. Les programmeurs de robots ayant plus de mal à apprendre à leurs programmes à reconnaître des chiffres dans une image perturbée que de programmer la réponse à quelques questions prédéfinies, j’espère (sans trop d’illusion toutefois) que ce système nous protégera quelques temps…

Ah, j’allais oublier : la version modifiée du patch NPDS qui ajoute cette sécurité est disponible dans la zone téléchargement (ou directement en cliquant ici).

Edit du 15/08/07 : les développeurs NPDS étant susceptibles, je tiens à préciser que :

• je ne cherchais pas à réinventer la roue. Je suis parti d’un patch existant (mais qui ne me convenais pas, mon site étant encore spamé) ;
• ne ne voulais pas "voler le code". J’ai laissé tous les copyrights dans le code original, dans lequel j’ai juste ajouté des infos sur ce que j’ai modifié. De plus, aussi bien dans le billet ci-dessus, que dans la documentation de la zone téléchargement, j’avais pris la précaution de mettre un lien vers le script original que j’ai modifié. Mais bon, pour enfoncer le clou, je vais modifier l’archive ZIP de la zone téléchargement pour y laisser les sources originales et les références ;
• si vous n’êtes pas spamé avec la version "question tournante" de l’anti-spam, n’utilisez pas mon code (qui a le désavantage de ne pouvoir être utilisé par les malvoyants). Personnellement, je n’ai rien à gagner à avoir publié le patch du patch ici même. Je ne l’ai fait que pour aider ceux qui, comme moi, sont spamés.

Bon, j’explique mon autoflagellation : il y a quelques jours, j’ai changé ma carte mère (remplacement d’une bonne vieille K7S8X fatiguée par une K7VT4A-PRO, ce qui ne change pas grand chose, sinon que la nouvelle démarre toujours du premier coup). Je pensais m’en tirer par une simple installation de drivers en série au premier redémarrage… et bien non. L’architecture ViaTech de ma nouvelle carte doit être bien différente de l’architecture SIS de l’ancienne, car j’ai eu le droit à une bonne re-installation de Windows XP. Et manifestement, ça doit faire plus de 4 fois que j’effectue cette opération, car cette fois-ci, l’enregistrement en ligne n’a pas marché : il a fallu que j’appelle M$ au téléphone pour activer ma licence (et on tombe sur quelqu’un – une voix féminine à l’accent exotique – même à 23h00 !!!). Moi je vous le dis, vive Linux…

Bref, je réinstalle tout, je copie mon ancien profil sur le nouveau, et tout semble fonctionner. Après quelques jours, histoire de faire le ménage, je mets mon ancien profil à la corbeille. Erreur fatale ! Car, qu’y avait-il dans cet ancien profil, que j’ai oublié de copier ? Et oui : ma clé privée !

En effet, il faut savoir que GPG sauve ses clés dans le répertoire : "%USERPROFILE%/Application Data/gnupg". Or, probablement suite à de nombreux essais, j’avais aussi un répertoire : "%USERPROFILE%/Local Settings/Application Data/gnupg". Mais ce dernier contenait des fichiers *.gpg vides (0 octets). Et devinez lequel j’avais sauvegardé ? Ben oui, le mauvais.

Bon, je pense bien avoir sauvegardé cette clé sur une disquette… qui a du finir comme jeu pour Noah (pour la construction d’un de ses nombreux robots). Evidemment, la clé n’avait pas de date d’expiration (c’est malin ça), plus de certificat de révocation, et bien entendu, j’avais pris soin de mettre la clé publique sur tous les serveurs de distribution. Bref, il y a aujourd’hui une clé publique fantôme à mon nom qui hante Internet ad vitam eternam, et si quelqu’un m’envoie un message chiffré avec cette clé… et bien je ne pourrai même plus le lire !

Ca sert de leçon : j’ai regénéré une nouvelle paire de clés, qui, cette fois-ci, expire dans 3 ans. J’ai fait une sauvegarde, et j’ai un certificat de révocation sous la main. Vous pouvez télécharger la clé publique en question en cliquant sur l’icône "Ma clé publique" du site desvigne.org, ou aller la chercher sur tous les bons vieux serveurs de clés présents sur le net. Elle porte le doux nom de 0xF3F475EB.

Et pour rappel :

• "Ceux qui sont prêts a sacrifier un peu de libertés fondamentales en échange d’un peu de sécurité ne méritent ni l’une ni l’autre", Benjamin Franklin.
• "Si la vie privée est hors-la-loi, seuls les hors-la-loi auront une vie privée", Philip Zimmermann (le papa de l’excellentissime logiciel de chiffrement "PGP" pour ceux qui ne connaîtraient pas).

Evidemment, on sent l’arnaque. Ceci d’autant plus facilement que ces attaques sont "broadcastées" en langue de Shakespeare. Les malheureux qui envoient la somme demandée n’entendront plus jamais parler de leur argent.

Seulement attention !!! Les premières versions de ces arnaques arrivent en langue de Molière. J’en ai reçu une récemment. Je vous mets ci-dessous le texte original.

Aussi, si vous recevez un courriel de ce style, vous savez ce qu’il vous reste à faire : le mettre à la corbeille.

Voici le texte en question :

Addendum du 18 juillet 2005 : je viens de recevoir un commentaire à cet article d’une fille dont le pseudo est Julia Brandeau. Elle semble aimer faire tourner en bourrique ces arnaqueurs. Pour en savoir plus, voici l’url de son site : http://nigeria419.over-blog.com/