Relances de mon coach non demandé via email.

[FinementCiselé]

En fait c'est plus vicieux que le simple faire de cliquer sur "se désinscrire".
Disonts qu'avec un script sed/grep sur le demon mail tu envoie a chaque mail une image. Cette image est mise en ligne sur un serveur, chaque image a un nom différent (nbqmzubmeg1.jpg par exemple). Chaque image est donc unique et reliée a une adresse mail. Quand ton client mail ou ton webmail, tu va aller afficher l'image, le serveur d'hébergement enregistre 2 choses : ton ip (géolocalisation) le "useragent" de ton navigateur internet (version du programme, version de l'OS, et parfois noms et prénom de l'utilisateur, en clair). Le serveur quand tu affiche l'image, vue qu'elle est unique et reliée a ton mail, valide en même temps ton mail, sans que tu n'ai rien cliqué.
L'erreur que font souvent les gens, c'est de regarder leurs mails avec le mode "http" d'activé, qui va aller charger les javascripts, les images, les liens html ...

Webmail que j'utilise pour récupérer mes mails sur la boite de mon FAI :
http://squirrelmail.org/docs/user/user-3.html

3.2 Why are pictures in my HTML e-mails replaced with ugly warning signs?

"This image has been removed for security reasons."

There are two kinds of images that come with your HTML e-mail: the ones that come attached with the e-mail itself, and others that link to remote sites. Images that are linked to remote sites are considered "unsafe" for the following reasons:

Spammers can abuse this to validate your e-mail address
The sender can know instantly if you have read their e-mail or not (privacy concern)
Finding out information about your browser, operating system, and your mailserver (security concern).
Let's look at these issues in more detail:

Validating your e-mail address

Spammers can (and do) include specially-crafted image tags that include a "web bug" (usually a 1 pixel transparant image) used to validate that your e-mail address is a live one and that you actually read e-mail sent to this address. When such image is loaded, a request is sent to the spammer's server and it notes in its database of e-mail addresses that you have, in fact, received and read the spam e-mail they sent. Such addresses are re-sold to other spammers and the amount of spam you will receive is going to grow exponentially.

Verifying that you have read your e-mail

This issue is a privacy concern - if there are images in the e-mail that link to the sender's website, they will know instantly when you have opened and read the e-mail they sent. This can be used against you if for some reason you decide to deny ever receiving that e-mail from the sender - they will have proof that you have received, opened, and read that e-mail.

Finding out information about you

Every time an image is loaded off the remote server, it leaves a "log" message about what type of system you are using, including the version of your browser, your internet IP address, as well as information about your mail server and the software running on it. This information can be used to carry out attacks on your computer or the server where SquirrelMail runs.

Malicious tags

Images in email can also be used to auto-execute cross-site scripting code in a attempt to trick your browser into revealing your account information to crackers with malicious intent.

Conclusion

For these reasons SquirrelMail does not display these "unsafe" images by default, but instead shows you a warning sign. A link is provided to show the images for that particular mail. If you know that the e-mail came from a trustworthy source, you can use the Unsafe Image Rules plugin to always images from that source.

Maintenant, ils font aussi du "XSS" = cross site scripting pour aller infester les sites sur lesquels vous avez des "droits" et voir même récupérer vos données confidentielles a partir des sites que vous visitez. http://fr.wikipedia.org/wiki/Cross-site_scripting

C'est pas ici pour vous faire peur mes informations hein, mais juste que vous puissiez prendre conscience que la sécurité informatique ne se mesure pas en binaire (mon système est-il inviolable ? la réponse sera systématiquement "non") mais en temps qu'il faudra a un spammeur/infesteur/pirate pour pénétrer le système. Au delà d'un certain temps, le pirate/spammeur/infesteur préfère abandonner. (pour récupérer des informations personnelles et les revendre, généralement après 10 minutes sur un système, la personne abandonne, puisque c'est la quantité des informations plus que leurs qualité qui est recherchée ici. En gros, si ils arrivent a "toucher" 1% de leurs cibles potentielles, c'est déjà rentabilisé.)
Pareil pour les pubs téléphoniques etc ... Plus vous leurs faites perdre de temps, moins c'est rentable pour eux : utilisez l'affichage du nom et du numéro ainsi qu'un service de type "stop secret". Si vous "tombez" sur un call center, faites leurs perdre du temps, deux méthodes :
-le "allo, allo" et prétexter une mauvaise ligne. Ensuite 3 questions importantes a poser : "vous êtes qui ?" "vous travaillez pour quelle entreprise ?" "quel est le sujet de votre appel ?" : c'est a celui qui appel de se présenter, pas a vous, si il a votre numéro, il doit vous connaitre. Si ils pretextent appeler de la part de votre FAI c'est très certainement faux, un FAI ne passe JAMAIS par une entreprise extérieur et ne sous traitent JAMAIS. Discours classique pour les "vendeurs" de matériel ensuite c'est de noyer les personnes sous un jargon pseudo techniques : la réponse a leurs faire est que vous n'avez pas sollicité l'appel, en ce sens vous avez le droit de réfléchir, qu'ils vous recontactent plus tard, voir "jamais".
-La méthode de la pizza : demander si ils vendent des pizza, ou offrent des pizza sans se soucier du discours mercantile. "oui mais vous avez des pizza ?" "moi je veux une pizza" ça a le mérite de déstabiliser la personne au bout du fil. J'ai réussi a faire perdre 25 minutes a un call center.

Notez que les techniques de social engeneering fonctionnent de toute façon très mal sur les aspie. Voir que les aspie sont des bon social engeneer ou reverse social engeneer quand ils sont formés pour ça, parce qu'ils ne sont pas sensibles aux mêmes approches qu'un NT et qu'ils sont difficilement déchiffrables. En revanches leurs habitudes peuvent leurs causer du tord (une technique de SE se basant sur l'analyse routinière le fera chuter, mais c'est très peu utilisé tant la proportion d'aspie est faible comparée aux NT). Les plus gros socials engeneers actuels sont asperger (ou ont des gros traits : Kevin Mitnick, Adrian Lamo, Gary McKinnon et John Draper) : ils pourraient voler les clefs de voiture d'un psychiatre, que celui-ci leurs donne sa CB et les codes allant avec sans que celui-ci ne puisse se défendre (ok, j'abuse peut être un peu dans la description mais on en est pas loin )

http://www.pcworld.com/article/182180/t ... iques.html
http://en.wikipedia.org/wiki/Social_eng ... l_science)
http://en.wikipedia.org/wiki/Social_eng ... (security)
http://www.amazon.fr/Social-Engineering ... 0470639539 (si vous le trouvez en français, c'est un très bon ouvrage pour l'aspie en monde hostile, puisque tout le monde fait du SE a plus ou moins grande échelle)

Pour l'histoire du gourou, pratiques sectaires, coach sociaux, c'est du SE aussi, il faut savoir décoder le code dans le code, très certainement dans le code.

[G.O.B.]

C'est pas ici pour vous faire peur mes informations hein

Un peu quand même

Très utile en tout cas, moi qui pensais être en parfaite sécurité avec firefox+adblock+ghostery et thunderbird+avast+spybot...

[Jean]

C'est vérifié dans les inscrits au forum : pas d'e-mail au nom de la personne qui a écrit.

[chawacee]

Bien... étonnant quand même, il y avait deux trois choses qui me semblaient ne pouvoir venir que d'ici.

Une simple arnaque bien ficelée donc..

[charles]

J'ai remarqué que sur ma tablette Ipad, certains sites arrivaient à récupérer mon adresse mail. Si je cherche des vacances en Espagne, je reçois des mails Espagnols de propositions alors que je n'ai fait que visiter des sites sans jamais avoir laissé d'adresse.

Puis, PhpBB n'est pas totalement sécurisé. Il y a des milliers de tentatives de connexions à la base. Il semble assez facile d'aller lire la table phpbb_users et de récupérer les adresses mail, non cryptées.

Sinon j'ai écrit au type qui te harcèle. Aucune réponse.

[Tugdual]

Bien... étonnant quand même, il y avait deux trois choses qui me semblaient ne pouvoir venir que d'ici.

Cette personne peut aussi être ici avec un autre mail.

Il est également conseillé de multiplier les pseudos
quand on s'inscrit à droite et à gauche sur divers
forums et blogs, car faire des rapprochements peut
être facile pour des personnes peu scrupuleuses ...

[charles]

Le message que j'ai lu de ce type peut être adapté à beaucoup. Je m'y reconnais aussi. Je pense vraiment que c'est un spam et que tu n'es pas la seule à l'avoir reçu. Peut-être a tu étais visiter un site médical/santé/bien-être .... et ton mail a été récupéré.
Par exemple je reçois par dizaine des spams me proposant d'héberger des sites (car je développe), des locations loi duflot (car j'ai cherché des renseignements dessus).
C'est la nouvelle forme de publicité très ciblée.
Il faut supprimer au max les cookies, historiques ....

J'ai pu remarquer aussi que parfois Google se connecte au site alors que je ne fais qu'une recherche. Je l'ai vu sur mes stats sur un site. Je tape les mots clefs pour faire apparaitre mon site sur Google, et sans même aller sur le site, je vois dans ma liste de connexions au site mon adresse IP.

Quand on a accès à l'arrière plan d'internet, on peut avoir très peur.

J'ai des milliers de connexions venant de Chine, Afrique, Russie qui tente d'aller sur la base de donnée pour récupérer les connexions. J'ai mis un max de protections, DDOS et autres mais parfois ils y arrivent.
Ils ont des PC qui tournent sans cesse et scrutent tous les sites, forums et balancent des requêtes complexes pour truander les protections.
Sans ces protections, c'est 98% du trafic qui est lié aux pirates. Une horreur.
Même sur des sites sans intérêt.
Pour un site de chanteurs très confidentiel, je suis arrivé à 200 utilisateurs simultanés sur un forum alors que le site n'était même pas répertorié et que je l'avais mis en ligne 2j avant.
J'ai même retrouvé sur mon serveur, protégé par .htaccess, un fichier php qui n'est rien d'autre qu'un outil de gestion de base MySQL. Il suffisait de connaitre le nom du script et toute la base était visible. Le script était bien caché.
J'ai eu des images détournées, alors que les répertoires étaient sans accès ....

Je en sais pas si l'admin d'Asperansa, vérifie tout cela, si il gère les fausses inscriptions .... Parfois je le fais, mais c'est quasi impossible d'être infaillible. Il faut aller chercher l'IP, vérifier si elle est compatible avec une réelle demande. Et avec les VPN, tout le monde peut se faire passer pour un Français alors qu'il est en Chine.

J'ai retrouvé des gens inscrits avec IP française, pseudo plausible et proposant un lien porno russe, tout cela dans un "case" de la base de données. Le but ... peut-être se faire mieux référencer.

Et j'en passe .....

Il y a autant, si ce n'est plus, de connards sur le net que dans la vraie vie.

[FinementCiselé]

Bien... étonnant quand même, il y avait deux trois choses qui me semblaient ne pouvoir venir que d'ici.

Cette personne peut aussi être ici avec un autre mail.

Il est également conseillé de multiplier les pseudos
quand on s'inscrit à droite et à gauche sur divers
forums et blogs, car faire des rapprochements peut
être facile pour des personnes peu scrupuleuses ...

Même en changeant de pseudos, il existe des logiciels qui permettent de faire des recoupements d'informations, des "graphers" sociaux, et en recoupant les informations tu peu dire que personne X = personne Y
Open graph + gephi par exemple sont assez populaire. En recoupant les informations issues d'instagram, de facebook, des comptes google+, lastfm, deezer et linkedin ça pourrait m'être "simple" de retrouver une personne. Je pourrai même connaitre ses loisirs en ligne si elle en as. Là je peu commencer a faire peur :
https://gephi.org/
https://developers.facebook.com/docs/graph-api/
https://developers.google.com/opensocial/
http://inmaps.linkedinlabs.com/

Dans tout les cas, avec l'émergence des réseaux sociaux, il vaut mieux avoir un compte vide et inutilisé que pas de compte du tout, le fait est simplissime a comprendre : un "trou" dans un graph social est au moins aussi parlant qu'un point bien rempli (surtout quand des personnes autour de vous vous associent a des événements : ils peuplent eux même sans votre accord votre "trou" et peuvent même mentir, autrement vous risquez de provoquer un effet "streisand" social)

[Tugdual]

Même en changeant de pseudos, il existe des logiciels qui permettent de faire des recoupements d'informations, des "graphers" sociaux, et en recoupant les informations tu peu dire que personne X = personne Y

Bien sûr, mais on commence dans ce cas à
avoir affaire à des gens qui se donnent du mal.
Ceux-là arriveront toujours à leurs fins, hélas.

Par contre, n'importe quel clampin, via google,
peut facilement faire des rapprochements si on
utilise partout le même pseudo un peu original.
Multiplier les pseudos permet de les contrer ...

[charles]

Les petits malins ne sont pas devant leur clavier. Ce sont de grosses machines en réseau qui font le boulot la plupart du temps.

Il faudrait un mail, un pseudo une IP par forum, appli pour éviter les regroupement. Utiliser un VPN, et changer d'adresse régulièrement.
Surtout bannir les IP static. A la longue, ils finissent par savoir de quelle ville on vient.

[chawacee]

Nan mais ça va, je le vis bien hein ?


Et oui, j'ai le même pseudo' tout partout, en sachant pertinemment qu'il est repérable facilement, puisque j'utilise en plus le même depuis 10 ans. Après, pour des sites "sensibles", j'essaie de varier, mais je suis du genre "fidèle" à mon mail par exemple (le même depuis des années), et j'ai des difficultés à retenir plus d'un ou deux mots de passe, surtout si il est un tant soi peu "original"...

[laurent]

Il y a autant, si ce n'est plus, de connards sur le net que dans la vraie vie.

Oui, c'est aussi quelque chose qui m'a frappé (normal, pour un connard : il cogne^^)

Plus sérieusement, il y a aussi un autre phénomène qui me laisse songeur : la capacité de nuisance, en terme de harcèlement, des sociétés à l'origine de ces appels incessants, que ce soit par mail, téléphone ou tout autre moyen.
Parce qu'il y a des individus, malveillants certes, mais la plus grosse partie du malaise provient cependant de techniques commerciales.

En fait, on assiste à un glissement progressif du domaine juridique (le harcèlement) vers le domaine social (la communication par tout les moyens) : ce qui, il y a quelques années encore relevait/était passible du tribunal est progressivement devenu une série de techniques de vente de produits, appliquées sans état d'âme par beaucoup de monde, consciemment et inconsciemment. (c'est du moins l'impression que cela me donne).

La mondialisation, les dépaysements des services, ont sans doute contribué à mettre les choses en place, à « l'insu de notre plein gré », mais il y a quand même, du moins je le ressens ainsi, comme une démission du législateur, ou bien un dessaisissement de la chose, volontaire ou non, au profit de dossiers plus concrets : on a comme l'impression que tout cela est bien ancré dans les mœurs et qu'un retour à une situation antérieure n'est plus envisageable, car pouvant être considérée comme une entrave au commerce.

[FinementCiselé]

Il y a autant, si ce n'est plus, de connards sur le net que dans la vraie vie.

Oui, c'est aussi quelque chose qui m'a frappé (normal, pour un connard : il cogne^^)

Plus sérieusement, il y a aussi un autre phénomène qui me laisse songeur : la capacité de nuisance, en terme de harcèlement, des sociétés à l'origine de ces appels incessants, que ce soit par mail, téléphone ou tout autre moyen.
Parce qu'il y a des individus, malveillants certes, mais la plus grosse partie du malaise provient cependant de techniques commerciales.

En fait, on assiste à un glissement progressif du domaine juridique (le harcèlement) vers le domaine social (la communication par tout les moyens) : ce qui, il y a quelques années encore relevait/était passible du tribunal est progressivement devenu une série de techniques de vente de produits, appliquées sans état d'âme par beaucoup de monde, consciemment et inconsciemment. (c'est du moins l'impression que cela me donne).

La mondialisation, les dépaysements des services, ont sans doute contribué à mettre les choses en place, à « l'insu de notre plein gré », mais il y a quand même, du moins je le ressens ainsi, comme une démission du législateur, ou bien un dessaisissement de la chose, volontaire ou non, au profit de dossiers plus concrets : on a comme l'impression que tout cela est bien ancré dans les mœurs et qu'un retour à une situation antérieure n'est plus envisageable, car pouvant être considérée comme une entrave au commerce.

C'est plus vicieux que ça (encore une fois ?)
Dans notre monde, tout devient donnée, y compris l'individu, qui devrait être le dénominateur le plus petit de notre société, non, on le réduit encore plus et on le fractionne encore plus en données diverses, puisqu'avec un graph social on peut créer des sous catégories quasiment a l'infini, et cibler particulièrement des données précises. Avec la dématérialisation des données, il devient facile de contourner toutes les lois basées sur l'individu. En France, il est normalement interdit d'identifier une personne par un numéro simple. Si une personne doit être identifiée, c'est avec ses noms, prénoms, date et lieu de naissance. Mais les lois sur l'économie numérique en ont changer la donne, et pire encore, se qui est censé nous protéger (reconnaissance des pseudonymes sur internet comme identification unique de la personne a des fins de poursuite en justice entre autre, suite aux problèmes de harcèlement) sera réutiliser contre nous (si il devient légal de pouvoir identifier une personne par son pseudonyme, alors il suffira aux social engeneer de tout poils, de scinder leurs base de données, avec d'un coté une correspondance pseudo <=> personne et de l'autre une base de donnée pseudonymes <=> données personnelles, cette base n'étant pas couverte pas la lois de 1978, elle passe au dessus des utilisations autorisées de la CNIL, droit a l'oublie numérique, etc ...)
L'autre effet pervers est que plus les jurisprudences précisent les cadres, plus le législateur créer de lois, plus il est facile de détourner le système puisque ces dites lois et jurisprudences donnent le mode d'emploi. Effet facilement vue avec les dossiers sur les dérives sectaires : on leurs a donnés tout pour attaquer leurs cœur de cible sans être inquiétés outre mesure (et la encore en provoquant un fractionnement encore plus grand), sauf que le législateur ne peut plus légiférer. Autre exemple, se sont les "attaques en diffamation" qui créer des jurisprudences tellement énormes que le cadre déontologique en est ébranlé. Et on peut en arriver a des aberrations comme le négationnisme quasiment plus attaquable sur le fond mais uniquement sur la forme. L'histoire des "quenelles" d'ailleurs me fait penser a ça, on envoie clairement des boucs émissaires pour que le troupeaux (de cons) puissent mieux s'engager dans la brèche créée.

[cosima]

Votre débat de haut niveau m'intéresse mais je ne saurai y répondre n'étant pas une spécialiste de la question.

Je me demande souvent s'il faut échapper aux réseaux sociaux ou non. C'est un phénomène de société d'une telle ampleur que je me dis qu'il doit bien y avoir un sens (caché?) à cette explosion de la mise en ligne de la vie privée. Les dérives commerciales qui en ont découlé nous ne pouvons alors que nous en rendre responsable : personne ne nous oblige à répondre aux sollicitations.

Cependant les méthodes deviennent très perverses : l'autre jour message sur mon fixe "vous avez reçu en colis marqué urgent, veuillez rappeler tel n°". Je n'attends aucun colis, c'est juste une arnaque pour me faire rappeler un n° surtaxé et me vendre qqchose dont je n'ai pas besoin. Ma méfiance est venue de l'accent étranger de l'opératrice... Voyez comment s'organise la méfiance contre les étrangers : ce sont eux qui nous harcèlent au tél via des plateformes d'appel à l'autre bout du monde. Vraiment pervers comme système

D'un autre côté peut-on vivre désormais "à côté" sans être confronté à un tas de problèmes organisationnels?

[chawacee]

Ici, je raccroche systématiquement si c'était pas un numéro privé auquel j'ai carrément pas répondu. Je suis tellement sèche que je commence gentiment à être blacklistée je crois (on m'appelle de moins en moins, je dois être trop désagréable).

Pour les démarches commerciales, venant de quelqu'un qui réfléchit des mois avant l'achat d'un vêtement, et qui check méticuleusement les produits les plus corrects rapport qualité prix pour faire mes courses, vous imaginez pas mal que je n'achète rien.

En plus, il y a mon esprit de contradiction naturelle qui me pousse à dire NON automatiquement si on essaie de me proposer un produit pas demandé. Même si il avait pu potentiellement être bien, c'est non. Si j'en ai besoin, j'y pense, sinon, c'est qu'il n'était pas nécessaire.


Mon esprit de contradiction pousse le vice d'ailleurs, jusqu'à ce qu'hier, séance de relaxation chez un essai psy' comportementaliste. Elle me dit de fermer les yeux, bla bla bla, les membres lourds, moué, ok, et là "vous avez le front frais" que dalle, direct, mon corps a fait chauffer physiquement à BLOC. Je sentais la chaleur littéralement irradier de ma tête. Et quand elle a sorti "vos jambes sont chaudes.." j'ai repouffé de rire, un courant glacé venait de me traverser.

Même mes cellules envoient chier les tentatives de manipulation mentale. Même gentilles.

J'ai déjà eu ma mère pour ça, pas possible de tolérer qui que ce soit d'autre je crois bien.


Pour ce mail là, je me suis faite avoir, dans le sens que je ne l'ai pas blacklisté, n'ayant pas saisi dés le premier, qu'il s'agissait d'une arnaque. J'ai sincèrement cru y voir un lien avec vous (tant mieux si ce n'était pas le cas), et ma curiosité m'a poussée à essayer de comprendre qui s'adressait à moi et dans quel but.

D'habitude, je voyais ça clairement, là, non. Rien à faire. Et en plus, même pas eu la présence d'esprit de chercher un lien éventuel avec son mail... la gourdasse de base...


Dites moi noir tous les jours, j'aurais de belles visions de blanc.