Nombre de pages:
Merci au sponsor
TOP 10 : m9 Reverse Engineering
An attacker will typically download the targeted app from an app store and analyze it within their own local environment using a suite of different tools
Ce tutorial est une démonstration en laboratoire pour le plaisir, à but non lucratif, pour montrer que le concept est possible, ou pour un cours dans le cadre scolaire. Ne testez pas dans un environnement réel de production
TikTok est-il dangereux? La France bannit Tiktok des smartphones de ses fonctionnaires
TikTok est-il dangereux? Qui suis-je? Consultant informatique, formateur...
 |
Master développement systèmes d'informations distribués Projets de conception d'applications, Scrum Master, Devops... TMA Tierce Maintenance Applicative, Mises à jours, correctifs... Formateur "prof d'info". Association loi 1901 à but non lucratif: analystes cybersécurité, pentesters, Bug bounties, Honeypots, CTFs... Capture the flag (capture du drapeau)FLAG! Ancien ingé chez un GAFAM, équivalent des BATX. Méchants BATX: une de leur apps s’est faite bannir et semble dangereuse? :) |
TikTok est-il dangereux? LA TOXICITÉ DE TIKTOK CONSTITUE UN DANGER
Etude par la société NewsGuard : 20% des vidéos obtenues dans les résultats contenaient des informations fausses ou trompeuses.
TikTok est-il dangereux? Dans ma tête... Pourquoi TikTok serait dangereux?
Tiktok offrirait les mêmes fonctionnalités sur les téléphones Google Android et Apple IOS
TikTok est-il dangereux? Une journaliste a été surveillée par TikTok grace à la géolocalisation de son IP
Journalist under surveillance
TikTok spied on Emily Baker-White
https://netzpolitik.org/2023/journalist-under-surveillance-tiktok-was-scared-and-freaked-out/
ByteDance confirmed it used TikTok to monitor journalists’ physical location using their IP addresses
Brendan Carr, an FCC commissioner who called on Apple and Google to ban TikTok
https://www.forbes.com/sites/emilybaker-white/2022/12/22/tiktok-tracks-forbes-journalists-bytedance/
TikTok est-il dangereux? Le Sénat a auditionné Marc Faddoul chercheur en algorithmes: il y a manipulation des contenus. Le réseau social choisit ce que vous devez voir: censure de certains contenus politiques, mise en avant des gens beaux, mise à l'écart de ceux qui n'ont pas l'air aisés
Faux témoignage devant notre commission d'enquête passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal: « je le jure »
Le 13/03/23, l'asso AI Forensics de Marc annonce qu'il y a collecte intrusive de données personnelles à des fins de publicité ciblée
Biais introduits par les contenus polarisants et sensationnalistes
Influence des algorithmes de recommandation: contenus amplifiés : "hitting", rétrogradation algorithmiques: "shadow banning"
Ce qui nous interpelle car elle rejoint les études réalisées par notre association LGHM
Censurer certains thèmes politiques sensibles pour le parti communiste chinois
Enfermement dans des bulles cognitives, reconnaissance faciale, dresser un profil psychologique et d'intérêts
Spécificités nationales: tri en fonction de l'adresse IP, mais aussi du lieu où le compte a été créé la première fois
Censure de certains contenus politiques, mise en avant des gens beaux, écarter ceux qui n'avaient pas l'air aisés
https://www.senat.fr/compte-rendu-commissions/20230313/ce_tiktok.html#toc2
https://videos.senat.fr/video.3332178_640f214f9aa6b.marc-faddoul-decrypte-l-algorithme-de-tiktok
TikTok est-il dangereux? Si on clique sur un profil de blonde, l'algorithme de recommandations nous recommande des blondes
Follow a random profile, and TikTok will only recommend people who look almost the same
https://twitter.com/MarcFaddoul/status/1232014910223089664
Portrait robot de nos gouts à chaque clic? Réponse de TikTok: si vous cliquez sur une femme blonde c'est que vous aimez les femmes blondes
TikTok est-il dangereux? Si on clique sur un profil d'handicapé, l'algorithme de recommandations nous recommande des handicapés
TikTok adapts 'recommendability' on hair style, body profile, age, how (un)dressed the person is, and even whether they have visible disabilities
https://twitter.com/MarcFaddoul/status/1232014910223089664
TikTok est-il dangereux? Un modèle économique basé sur les dons utilisateurs
Les dons directs aux créateurs de contenus atteindraient 1,5 milliards de dollars l'an passé
Aujourd'hui les gains essentiels des influenceurs se font désormais moins sur les revenus publicitaires que par le sponsoring, officiel ou non officiel, et les dons des utilisateurs.
https://www.senat.fr/compte-rendu-commissions/20230313/ce_tiktok.html#toc2
https://videos.senat.fr/video.3332178_640f214f9aa6b.marc-faddoul-decrypte-l-algorithme-de-tiktok
https://www.bloomberg.com/news/articles/2020-05-27/bytedance-is-said-to-hit-3-billion-in-profit-as-revenue-doubles
TikTok est-il dangereux? Les influenceurs proposent des challenges chaud, contenus viraux, pour faire partager leurs vidéos.
https://savetiknowm.org/u/justbouncingaround/
Dans le fond, une lampe de professionnel
Un peep-show moderne?
TikTok est-il dangereux? Pour les influenceurs.ses, c'est un vrai travail
https://www.tiktok.com/@veraflynnlive/video/7232704707544861979
TikTok est-il dangereux? Le Sénat auditionne l'ARCOM: il y a de la censure et des backdoors
Autorité publique indépendante qui résulte de la fusion, le 1er janvier 2022, du Conseil supérieur audiovisuel (CSA) et de la Haute Autorité pour la diffusion des oeuvres et la protection des droits sur internet (Hadopi), l'Arcom est notamment compétente en matière de régulation des plateformes en ligne et des réseaux sociaux. Questions d'André Gattolin, Claude Malhuret, Mickaël Vallet, à Benoît Loutrel.
La direction de ByteDance comporte une cellule du parti communiste chinois
Les utilisateurs doivent être âgés d'au moins 13 ans. Certains enfants de 8 ans passent leur nuit sur TikTok.
L'existence de backdoor, à savoir de portes dérobées, est toujours possible - ce qui est allégué par d'assez nombreux chercheurs en informatique.
des chercheurs, et qui ont eu le malheur de diffuser un court message soutenant les Ouïgours, ont vu leur message supprimé, puis leur compte fermé.
Moyens dérisoires dont dispose l'Arcom pour assurer ses missions, parmi lesquelles l'analyse du mode de fonctionnement des algorithmes des plateforme.
https://videos.senat.fr/video.3342349_6412b1719e8d9.la-commission-d-enquete-interroge-l-arcom
https://www.senat.fr/compte-rendu-commissions/20230313/ce_tiktok.html#toc2
TikTok est-il dangereux? Le Sénat audition Grégoire Borst, brillant psychologue: on sait peu de choses, tous les élèves de sixième ont un compte sur les réseaux sociaux, pas d'addiction aux écrans ou aux réseaux sociaux
Doctorat à l'université Paris-Sud et de post-doctorat à l'université d'Harvard, spécialisé en psychologie du développement et en neurosciences cognitives de l'éducation
Directeur du laboratoire de psychologie du développement et de l'éducation de l'enfant (LaPsyDÉ - CNRS)
« Je le jure. » M. Grégoire Borst prête serment
Présenter les enjeux de l'exposition aux écrans et à l'utilisation des réseaux sociaux:
on sait peu de choses sur ce sujet, on a peu de données
il n'y a pas d'addiction aux écrans ou aux réseaux sociaux du même ordre que celle engendrée par la prise de substances psychoactives ou la consommation d'alcool
La Chine a limité à quarante minutes le temps quotidien autorisé sur TikTok
Les principaux acteurs de la Silicon Valley limitent fortement ou interdisent l'usage des écrans à leurs enfants
J'étais dans un collège il y a quelques semaines : tous les élèves de sixième avaient un compte sur les réseaux sociaux, en sachant pertinemment que c'est interdit
de tout temps, des adolescents ont martyrisé des animaux... La différence, c'est que maintenant, ces actes sont médiatisés.
Le défaut de connaissance sur le cerveau est gigantesque
https://www.senat.fr/basile/visio.do?id=c/compte-rendu-commissions/20230403/ce_tiktok.html#toc3 https://videos.senat.fr/video.3391131_642bcd18d3977.tiktok--l-eclairage-de-la-psychologie-du-developpement
TikTok est-il dangereux? Audition de Nicolas Lerner de la DGSI: rien.
Secret. Cette audition ne donnera pas lieu à compte rendu.
https://www.senat.fr/basile/visio.do?id=c/compte-rendu-commissions/20230403/ce_tiktok.html#toc4
La DGSI est la Direction Générale de la sécurité intérieure. Les messages directs dans TikTok (messages privés) ne pouvant pas être écoutés, la DGSI n'a rien à dire?
L'app est-elle interdite parce qu'elle favoriserait peut-être les trafics de drogue, la traite d'être humains, la prostitution? Alors pourquoi n'interdire l'app qu'aux fonctionnaires et pas à l'ensemble de la population?
Les échanges concernant l'utilisateur et la chine (principe de l'ambassade), la sécurité intérieure française n'a rien à dire?
TikTok est-il dangereux? La commission d’enquête du Sénat interroge la CNIL: elle n'est pas compétente car les traitements ne se font pas en France
03/04/23 La commission d’enquête sur l’utilisation du réseau social TikTok, son exploitation des données, sa stratégie d’influence auditionne Louis Dutheillet de Lamothe, Karin Kiefer et Bertrand Pailhès, de la Commission nationale informatique et libertés (CNIL).
la CNIL était compétente jusqu’à ce qu’en Juillet 2020 Tiktok crée un établissement principal en Irlande: Tiktok Irlande et Tiktok UK sont résponsables des traitements. Donc la CNIL de France n’est pas compétente. TIKTOK SAS France (soumise à la législation française ), est une filiale enregistrée aux iles Caimans.
Voir les travaux de la DPC (équivalent CNIL irlandaise https://dataprotection.ie/ ) : mais c’est confidentiel
La NÚKIB, (équivalent de l'ANSSI, Tchèque), dit qu'il y a une collecte excessive de données: contacts, numéro de série, numéro de téléphone, numéro SIM, calendrier, navigateur…
https://www.senat.fr/basile/visio.do?id=c/compte-rendu-commissions/20230403/ce_tiktok.html
TikTok est-il dangereux? La Nukib emet un warning: TikTok collecte trop de données utilisateur, le contenu du clip board (quand on fait copier coller) et les zones toucheés sur l'écran (clavier)
TikTok collects an excessive amount of user data:
• device mapping, where applications find out information about other applications running and installed,
• the content of private communications is stored on ByteDance's servers,
• location of devices,
• access to contacts,
• Wi-Fi SSID, previous Wi-Fi configuration,
• device and SIM card serial number, device ID, device IMEI, device MAC address, phone number,
• a listing of all user accounts used on the device,
• complete clipboard access,
• persistent access to the calendar to read and change it,
• enforcing the use of a native browser that allows tracking of almost all user activity (e.g. keystrokes on the screen).
https://www.nukib.cz/download/publications_en/2023-03-08_Warning-TikTok-App.pdf
TikTok est-il dangereux? Des notifications TikTok apparaissent automatiquement
Sans avoir créé de compte TikTok (Je voulais créer le compte TikTok après avoir mis en place l'analyse réseau)
Sur téléphone de test, restauré d'usine avec pour seul paramétrage manuel:
-Un compte Google obligatoire (avec mon numéro de téléphone) pour télécharger TikTok sur le Play Store.
Si je clique sur une notification, l'algo de Tiktok va-t-il considérer que j'aime les femmes tatouées ou à grosse lèvres?
TikTok arrive-t-il à me profiler sans avoir lancé l'application, ni créé de compte TikTok?
Les données récupérées de mon téléphone (voir rapport Nukib plus haut) sont-elles envoyées en Chine?
TikTok est-il dangereux? Reverse engineering: on récupére le paquet logiciel installé qui contient le code
package APK
C'est la paquet TikTok qui arrive sur le téléphone quand on télécharge l'application sur le Play Store
Je branche le téléphone en USB
J'utilise ADB Android Debug Bridge version 1.0.41
TikTok est-il dangereux? ce nouvel APK est-il bien l'app Tiktok?
Comme il est possible que mon téléphone ait aussi récupéré des malwares, est-ce que j'ai trouvé la bonne app grace à APK Id?
Play Store URL: com.zhiliaoapp.musically
APK is signed
Subject: C=86, ST=Shanghai, L=Shanghai, O=musical.ly Inc., OU=android, CN=musical.ly
Signature Algorithm: rsassa_pkcs1v15
Valid From: 2015-04-28 04:27:17+00:00
Valid To: 2040-04-21 04:27:17+00:00
Issuer: C=86, ST=Shanghai, L=Shanghai, O=musical.ly Inc., OU=android, CN=musical.ly
Je télécharge cet .APK du téléphone vers mon PC pour analyse
TikTok est-il dangereux? On fait une analyse statique du code
Reverse engineering
APK -> JAVA (compilé en .class puis en .dex Dalvik Bytecode )
DEX (Bytecode binaire machine)-> SMALI (format lisible pour un humain)
APK Analyser, jadx , Androguard , Autopsy , Quark-engine , Ghidra, ApKID...
Outils de scan mobile de la NSA, National Security Agency
https://www.dhs.gov/science-and-technology/mobile-security-rd
Outils open source... NIAP Analyzer ...
TikTok est-il dangereux? Permissions excessives: lecture des contacts
AndroidManifest.xml: permissions trop larges accordées par le système pour une application de partage de vidéos?
android.permission.ACCESS_COARSE_LOCATION
android.permission.RECORD_AUDIO
android.permission.CAMERA
android.permission.READ_CONTACTS
android.permission.SYSTEM_ALERT_WINDOW
android.permission.READ_EXTERNAL_STORAGE
android.permission.WRITE_EXTERNAL_STORAGE
TikTok est-il dangereux? échanges de données avec des tiers
On peut lire dans l'androidManifest.xml (autorisations, permissions de l'application)
TikTok déclare échanger des informations avec ces applications installées aussi sur le téléphone:
<package android:name="com.whatsapp" />
<package android:name="com.snapchat.android" />
<package android:name="com.twitter.android" />
<package android:name="com.facebook.orca" />
<package android:name="org.telegram.messenger" />
<package android:name="com.instagram.android" />
TikTok est-il dangereux? Récoltes d'identifiants uniques du téléphone: SIM, IMEI...
Classe java ApiHookConfig.java
Comme j'ai donné des cours en développement Java , et orienté Android, je peux lire le code Java avec les objets intéréssants du SDK Android.
Il y aurait une interrogation d'identifiants possibles du téléphone ?
com/bytedance/helios/statichook/config/ApiHookConfig.java FLAG! 
LIZ.put(100900, new C29826CKi(100900, "android.telephony.TelephonyManager.getCellLocation", "", "", new String[0], new String[]{"location"}, new String[]{"5683597145359096830"}, "before"));
package com.bytedance.helios.statichook.config;
...getAllCellInfo, getCarrierIdFromSimMccMnc, getSimCarrierId, getSimCarrierIdName, getSimOperator, getSimOperatorName, getNetworkOperator
getNetworkOperatorName, getNetworkCountryIso, getSimCountryIso, getSimSerialNumber, getDeviceId, getImei, getMeid, getSubscriberId
getLine1Number, getVoiceMailNumber, getDeviceSoftwareVersion
TikTok est-il dangereux? Les données échangées sont chiffrées en AES
Analyse classe java C09410Yn.java:
import javax.crypto.Cipher;
import javax.crypto.spec.GCMParameterSpec;
import javax.crypto.spec.SecretKeySpec;
public final String LIZ(byte[] cryptKey, String str) {
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");FLAG!
cipher.init(2, new SecretKeySpec(cryptKey, "AES"), new GCMParameterSpec(128, new byte[12]));
TikTok est-il dangereux? Des connections réseau chiffrées avec des certificats, PKI
Analyse classe C30517Cet.java SSLSocketFactory:
import javax.net.ssl.HttpsURLConnection;
import javax.net.ssl.SSLSocketFactory;FLAG!
@Override // java.net.URLConnection
public final void setRequestProperty(String str, String str2) {
C30510Cem<HttpURLConnection, InputStream> LJIIJ;
try {
JSONObject jSONObject = new JSONObject();
jSONObject.put("key", str);
jSONObject.put("value", str2);
LJIIJ = C30492CeU.LJ.LJIIJ(new C30510Cem<>(this, null, null, jSONObject, null, EnumC30520Cew.CONTINUE));
} catch (JSONException e2) {
C30505Ceh.LIZ(e2, "HttpURLConnection.setRequestProperty");
}
TikTok est-il dangereux? Découverte d'un sous programme: "Appsflyer": son interet légitime à la publicité lui permet de récupérer l'AndroidAdvertisingID
Je vois que l'app récupèrerait l'identitfiant de publicité Android (App gratuite donc interet légitime à envoyer de la publicité?)
package com.appsflyer.internal;FLAG!
C29832CKo c29832CKo = new C29832CKo(false, "(Landroid/content/Context;)Lcom/google/android/gms/ads/identifier/AdvertisingIdClient$Info;", "-2188558172191876282");
C08 LIZ = c0c.LIZ(103000, "com/google/android/gms/ads/identifier/AdvertisingIdClient", "getAdvertisingIdInfo", a.class, objArr, "com.google.android.gms.ads.identifier.AdvertisingIdClient$Info", c29832CKo);
AFLogger.valueOf("WARNING: Google Play Services is missing.");
TikTok est-il dangereux? SDK Appsflyer communique nos données personnelles à ses partenaires
Dans le code, je vois:
package com.appsflyer.internal;
https://www.appsflyer.com/products/measurement/
SDK Appsflyer, analytics data in real-time , Integrate every global partner with one SDK
Mobile: Attribute any media source for iOS and Android
https://www.appsflyer.com/legal/privacy-policy/ AppsFlyer Ltd. (Attn: Legal Dept.) 14 Maskit St., Herzliya, Israel
Plus on clique et plus appsflyer affine notre portrait robot et communique aux partenaires?
Mon numéro de téléphone est-il partagé avec toutes ces entités pour m'envoyer de la pub ciblée?
TikTok est-il dangereux? Appsflyer: liste les applications installées
List<ResolveInfo> queryIntentActivities = this.LIZJ.getPackageManager().queryIntentActivities(this.LJI, 0);
int size = queryIntentActivities.size();FLAG!
for (int i = 0; i < size; i++) {
this.LIZIZ.add(new C016703w(queryIntentActivities.get(i)));
}
TikTok est-il dangereux? Appsflyer: récolte des données, version du système
package com.appsflyer.internal;
import com.appsflyer.AFLogger;
import com.appsflyer.AppsFlyerProperties;
import com.appsflyer.internal.c;
hashMap2.put("advertising_id", str2);FLAG!
hashMap2.put("appsflyer_id", ak.AFInAppEventParameterName(new WeakReference(bgVar.valueOf.valueOf)));
hashMap2.put("os_version", sb.toString());
hashMap2.put("sdk_version", ai.valueOf);
TikTok est-il dangereux? Appsflyer: récolte des données facebook...
@Override // com.appsflyer.AppsFlyerLib
public final String getAttributionId(Context context) {
try {
return new ae(context).AFInAppEventType();
} catch (Throwable th) {FLAG!
AFLogger.valueOf("Could not collect facebook attribution id. ", th);
return null;
}
}
AFLogger.valueOf("PushNotificationMeasurement: A previous payload with same PID and campaign was already acknowledged! (old: " + jSONObject2 + ", new: " + jSONObject + ")");
public final void setCollectIMEI(boolean z) {
aj.AFInAppEventParameterName().AFInAppEventType("public_api_call", "setCollectIMEI", String.valueOf(z));
AppsFlyerProperties.getInstance().set("collectIMEI", Boolean.toString(z));
AppsFlyerProperties.getInstance().set("collectIMEIForceByUser", Boolean.toString(z));
}
TikTok est-il dangereux? Appsflyer: récolte des données, niveau de la batterie...
map2.put("af_events_api", "1");
map2.put("brand", Build.BRAND);
map2.put("device", Build.DEVICE);
map2.put("product", Build.PRODUCT);
map2.put("sdk", Integer.toString(Build.VERSION.SDK_INT));
map2.put("model", Build.MODEL);
map2.put("deviceType", Build.TYPE);
map2.put("batteryLevel", String.valueOf(init(application)));FLAG!
long currentTimeMillis = System.currentTimeMillis();
valueOf(application, "AppsFlyerTimePassedSincePrevLaunch", currentTimeMillis);
map2.put("phone", str10);
string = AppsFlyerProperties.getInstance().getString("KSAppsFlyerId");
string2 = AppsFlyerProperties.getInstance().getString("KSAppsFlyerRICounter");
map2.put("user_emails", string14);
TikTok est-il dangereux? Appsflyer: récolte données coordonnées GPS
Latitude et longitudeFLAG!
hashMap7.put("lat", String.valueOf(AFInAppEventType3.getLatitude()));
hashMap7.put("lon", String.valueOf(AFInAppEventType3.getLongitude()));
TikTok est-il dangereux? Execution de commandes en root sur L'OS Android
L'app testerait si le téléphone est rooté
Process exec = Runtime.getRuntime().exec(strArr);
InputStream errorStream = exec.getErrorStream();
InputStream inputStream = exec.getInputStream();
LIZ(errorStream);
LIZ(inputStream);
i = exec.waitFor();
} catch (IOException e2)
FLAG!
if (LIZLLL("/system/xbin/which su") || LIZLLL("/system/bin/which su") || LIZLLL("which su") || LIZLLL("busybox which su")) {
return true;
TikTok est-il dangereux? Google collecte les données des notifications Firebase même si on s'y oppose
On a trouvé l'url de ces notifications Firebase: https://musically-c51f4.firebaseio.com
Si l'on clique sur une notification, l'information du clic est transmise en temps réel aux partenaires
https://fr.wikipedia.org/wiki/Firebase , Crashlytics ...
Le , Google est poursuivi en justice pour violation de la loi fédérale des États-unis sur les écoutes téléphoniques. Google est accusé de collecter et enregistrer des données personnelles avec Firebase, en particulier les informations consultées par l'utilisateur dans un grand nombre d'applications, y compris si les instructions de Google ont été suivies pour désactiver l'« Activité sur le Web et les applications ».
https://www.reuters.com/article/us-alphabet-google-privacy-lawsuit-idUSKCN24F2N4
TikTok est-il dangereux? Analyse dynamique: anti vm
Frein à l'étude: impossible de lancer TikTok dans un émulateur Android
Car detection de fonctionnalités téléphone spécifiques: opérateur SIM... (APKid)
TikTok est-il dangereux? Mise en place du laboratoire de visualisation des données passant sur le réseau
Pour passer ma certif CSNA administrateur réseau j'ai appris la technique de l 'homme du milieu, "man in the middle" avec Wireshark (Remote Procedure Call)
Je vais m'en servir pour analyser les données qui passent sur le réseau entre TikTok et internet
Infrastructure d'analyse:
|
Téléphone (TikTok) |
<-> |
Point d'accès WiFi |
<-> |
Logiciels d'analyses |
<-> |
Internet |
TikTok est-il dangereux? Test de l'infrastructure de l'analyse avec le site perdu.com
Je lance le navigateur sur le téléphone, test avec l'adresse http://perdu.com/ qui affiche le texte:
TikTok est-il dangereux? On voit le code HTML passer sur le réseau
Je regarde sur le logiciel d'analyse réseau, je vois le code HTML dans la section data
FLAG!
TikTok est-il dangereux? 1er lancement de TikTok
14 notifications sans l'avoir jamais lancé.
Je lance la capture réseau
Je lance TikTok
TikTok est-il dangereux? L'application demande de la date de naissance
1ere info demandée, la date de naissance
On met ce que l'on veut
TikTok est-il dangereux? A l'écran suivant, mon numéro de téléphone est detecté et affiché sans que je sois d'accord
2eme info détectée : le numéro de téléphone et demande de continuer avec
Problème? TikTok a lu mon numéro de téléphone sans me demander la permission,
sans que j'accepte des conditions d'utilisations.
A-t-il lu d'autres informations personnelles dans mon téléphone?
Je touche "aucun des comptes ci-dessus"
TikTok est-il dangereux? L'application demande l'adresse email
Invitation à renseigner son e-mail
Je ne clique pas sur suivant
J'arrête la capture réseau
TikTok est-il dangereux? Résultat de la capture réseau: données transférées vers les USA et pas la Chine
Après que j'ai filtré tout les flux réseaux:
Je peux voir qu'il y aurait 242 ko transférés vers 139.177.230.161 TCP Bytedance Inc. (bytedance.com) ByteDance Inc. United States
Aucune connection vers la Chine
Pourquoi vers United States? Vu sur bytedance.com:
TikTok est-il dangereux? Porblème: le transport des données est chiffré (TLS)
http over TLS, encrypted application data
Il faut déchiffer le chiffrement TLS 1.3
TikTok est-il dangereux? Pour déchiffrer le TLS 1.3, on analyse le Client hello
Théorie de l'échange de clés TLS entre le client et le serveur
Diffie-Hellmann challenge
https://lekensteyn.nl/files/wireshark-tls-debugging-sharkfest19us.pdf
TikTok est-il dangereux? On capture la clé de chiffrement et on déchiffre le transport réseau
En pratique, l'échange des clés entre le client et le serveur
Pour déchiffrer le flux TLS 1.3 on capture la clé
TikTok est-il dangereux? problème, par dessus le chiffrement réseau, l'application échange elle aussi en chiffré
Une fois la couche TLS déchiffréeFLAG!
Les données sont encore chiffrées dans l'application
TikTok est-il dangereux? A votre avis?
C'est à vous: Tiktok est-il dangereux?
Ceux qui pensent que oui lèvent la main
TikTok est-il dangereux? Des questions?
Etude disponible sur:
https://www.consultingit.fr/tiktok
TikTok est-il dangereux? Merci pour votre attention
Merci pour votre attention!
Cet article reflète exclusivement l'opinion de ses auteurs et n’engage en aucune façon Consultingit. J'espère que ça vous a plu. Vos commentaires/remarques sont les bienvenus, remplissez ce formulaire, ou revenez par email sur lghm @consultingit.fr :