[Win/Linux/OSX] Installer pidgin + OTR. Le Guide du jabber.

[(-)]

Salut à tous les deepers !!!

Je poste ce tuto que j'ai réalisé afin d'aider ceux qui galère avec pidgin vue que j'ai eu quelque demande à ce propos, comme ça quand il y aura changement de l'hébergeur tout le monde pourras aller sur jabber suivre les new et les escrow

Tuto installation du client pidgin (jabber) c'est une sorte de skype sécuriser, pour ceux qui ne connaisse pas je vous le conseil fortement

WINDOWS

1 - Rendez-vous sur https://www.xmpp.jp/signup et crée un compte


2 - Télécharger pidgin https://www.pidgin.im et installer le

3 - Une fois installer on va maintenant ajouter le compte crée au client XMPP pidgin comme ci-dessous



4 - Télécharger et installez OTR https://otr.cypherpunks.ca/ et l'activer dans pidgin comme ci-dessous



Et voilà fini c'est rapide !
Petit bonus de config à faire sur pidgin (je le fais cher moi en tout cas)

BONUS - Passer le réseau pidgin par Tor (si vous fermer Tor pidgin serra hors connexion) pour cela fait comme ci-dessous

LINUX

1 : Crée un compte: De la même façon qu'avec windows, donc retournez à l'étape 1 de windows pour le faire

2: Ouvrez un terminal et tapez la commande:

Code: [Sélectionner]

sudo apt-get install synaptic

Pour installer la synaptic afin d’installer Pidgin plus facilement

3: Ouvrez la synaptic et installer comme ci-dessous pidgin+OTR


4: Ouvrez pidgin (Tor doit être ouvert pour les manipulation qui vont suivre)
Lorsque Pidgin démarre pour la première fois, la fenêtre de bienvenue vous offrira l’option d’ajouter un compte.
Puisque vous n’avez pas de compte configuré, cliquez le bouton “Add”

Maintenant vous verrez la fenêtre “Add Account”. Comme l'image ci-dessous

Pour le Protocole sélectionnez l’option “XMPP”.
Pour Username entry, entrez votre nom d’utilisateur.
Pour Domain entry, entrez le nom du domaine de votre compte XMPP.
Pour Password entry, entrez le mot de passe de votre compte XMPP.

5: Dans l'onglet "Proxy", selectionner "Tor/Privacy Socks5" et entrer les coordonnées suivantes, puis faites ajouter.




6: Dans Pidgin, allez dans "Outils" > "Plugins"

Descendez et cochez ‘Messagerie Confidentielle 'Off The Record'


7 : Cliquez sur "Configurer le plugin",et créez votre empreinte en cliquant sur ‘Produire’



8 : Votre fenêtre de chatte avec un user se présente comme ci-dessous, cliquez sur le bouton ‘Non-privé’, un menu s’ouvrira et sélectionnez ‘Commencer une conversation privée’


Voilà après il y a plein d’autre option sur Pidgin ou OTR mais je vous laisse chercher par vous même

Mac OSX

Installer Adium (Adium = jabber pour Mac)+ OTR Sur Votre Mac

1 - Crée un compte: De la même façon qu'avec windows, donc retournez à l'étape 1 de windows pour le faire[/b]

2 - Installer le programme

Tout d’abord, rendez-vous sur https://adium.im/dans votre navigateur. Sélectionnez “Télécharger Adium 1.5.9.” Le fichier se téléchargera en tant que a .dmg, ou image de disque, et sera probablement sauvegardé dans votre dossier “téléchargements”.
Double cliquez sur le fichier ; ce qui fera émerger une fenêtre dont l’apparence sera celle qui suit :

Déplacez l’icône Adium dans le dossier “Applications” afin d’installer le programme. Une fois le programme installé, cherchez-la dans votre dossier Applications et double cliquez afin de l’ouvrir.

3 - Configurez votre (vos) compte (s)

Tout d’abord, vous devrez décider quels outils ou protocoles de chat vous souhaitez utiliser avec Adium. Le processus de configuration est similaire, mais pas identique, pour chaque type d’outils. Vous devrez connaître le nom de compte de chaque outil ou protocole, ainsi que votre mot de passe pour chaque compte.
Afin de configure un compte, rendez-vous sur le menu d’Adium tout en haut de votre écran et cliquez sur “Adium”, puis “Préférences.” Ceci ouvrira une fenêtre avec un autre menu tout en haut. Sélectionnez “Comptes”, puis cliquez sur le signe “+” tout en bas de la fenêtre. Vous visualiserez un menu qui ressemble à ce qui suit :

Sélectionnez XMPP (jabber). Puis, il vous sera demandé de demandé de saisir votre nom d’utilisateur et mot de passé, ou d’utiliser l’outil d’autorisation d’Adium afin de signer votre compte. Suivez les instructions d’Adium avec soin.

4 - Démarrer un chat avec OTR

Tout d’abord, identifies quelqu’un qui utilise OTR et initiez une conversation avec lui sur Adium en double cliquant sur son nom. Une fois que vous avez ouvert la fenêtre du chat, vous visualiserez un petit verrou d’ouverture en haut à gauche de la fenêtre du chat. Cliquez sur le verrou et sélectionnez “Initier Chat OTR Chiffré”.

5 - Vérifiez votre connexion

Une fois que vous avez initié le chat et que l’autre personne a accepté votre invitation, vous visualiserez l’icône du verrou se fermer ; ainsi, vous savez que votre chat est désormais chiffré

6 -Désactiver la connexion

Maintenant que vous avez initié un chat chiffré et vérifié l’identité de votre partenaire de chat, il existe encore une chose que vous devez faire. Malheureusement, Adium connecte vos chats OTR chiffrés par défaut, les sauvegardant dans votre disque dur. Ceci signifie que, malgré le fait qu’ils soient chiffrés, ils sont sauvegardés en texte brut sur votre disque dur.
Afin de désactiver la connexion, cliquez sur “Adium” dans le menu tout en haut de votre écran, puis sur “Préférences.” Dans la nouvelle fenêtre, sélectionnez “Général” puis désactiver “Messages de Connexion” et “Connexion aux chats sécurisés OTR”. Rappelez-vous que vous n'avez pas de contrôle sur la personne avec qui vous parlez, elle pourrait enregistrer vos chats OTRchiffrés ou prendre des captures d'écran de votre conversation, même si vous vous avez désactivé la connexion.
Vos paramètres doivent maintenant ressembler à ce qui suit :

De même, lorsqu’Adium affiche les notifications de nouveaux messages, le contenu de ces derniers peut être connecté par le Centre de Notification d’OS X. Ce qui signifie qu’Adium ne laisse aucune trace de vos communications sur votre propre ordinateur ou celui de votre correspondant, votre version informatique d’OS X ou celle de votre correspondant peut conserver un enregistrement. Afin de prévenir cette situation, vous pouvez désactiver les notifications.
Afin d’y procéder, sélectionnez "Événements" dans la fenêtre des Préférences et cherchez l’entrée "Afficher une notification." À chaque entrée, agrandissez en cliquant sur le triangle gris puis sur la ligne "Afficher une notification," puis cliquez sur l’icône moins ("-") en bas à gauche afin d’effacer cette ligne. Si les enregistrements demeurant sur votre ordinateur vous préoccupent, vous devez également chiffrer le disque dans son intégralité, ce qui aidera à protéger ces données contre les tiers souhaitant les obtenir sans votre mot de passe.


Derniers option passer Adium par Tor, dans les paramètre allez dans proxy et sélectionner Sock5, dans Hôte mettez 127.0.0.1, et Port 9150, Tor doit être bien-sur connecter pour que le chat fonctionne

Usurp

/// Attention !!! ///

Je me permets de rajouter un petit + en ce qui concerne les usurpations sur jabber
(Car un mec viens de me demande avec un jabber qui ressemble beaucoup au miens)

De plus c’est un chat de discussion privé en dehors de toute règle mis en place par les board donc aucune règle et donc a utilisé en fessant attention par exemple au usurp
et je déconseille aussi les achat/vente sur jabber surtout si vous n’avez pas vérifié le membre comme je vais vous expliquez

Pour ne pas vous faire avoir quand quelqu’un vous demande sur jabber, 3 choses :

1 - Faites clic droit sur le contacte en question puis cliquez sur « info » et là vous allez voir si le contacte à changer son jabber avec un alias ou s'il y a quelque chose de chelou.

2 - Nouveau moyen d’usurp sur jabber, c’est compliqué à détecter et bizarre car visuellement c’est exactement pareil entre le faux jabb et le vrai,  je ne vais pas entrer dans les détails mais juste donner le moyen de le détecté c’est tout pour éviter de donner de mauvaise idée a certaine personne.
Faites clic droit sur le contacte en question puis cliquez sur « info » et là vous allez voir le jabber (même si c’est une usurp jusqu’à là ça ne se voit toujours pas), pour le reste une fois dans la page ‘info’ vous avez juste a suive le screen et envoyer dans la barre de chat jabber comme sur le screen quand l’adresse est entièrement en bleu c’est good, quand elle pas du tout en bleu ou une moitié pas en bleu c’est que c’est pas bon, vous aller comprendre regardez ci-dessous :

Ou sinon un truck pour l’instant que sur windows : C: > user > NomPc > AppData > Roaming > .purple
Et regardez les logs.

3 - Pour vérifier a qui vous avez à faire demandez toujours au contacte en question de vous envoyer un message sur la board ou il se trouve (BH FDW DS FS ect) pour vérifier sa réputation ou si c’est bien lui sur jabber

Vérification manuelle d'empreinte OTR

Vérification manuelle d'empreinte, contacter le destinataire via un autre canal authentifié, comme un mail ou MP GPG-signé.

Chacun devra donner son empreinte à l'autre.

Si l'empreinte du contact est identique à celle indiquée sur votre écran, vous pouvez dire que l'empreinte a été vérifiée.

Tuto en image :





Voilà suivez bien ces technique et si vous n’avez pas la flemme et que vous vérifiez tout le temps il y a pas de raison de se faire niqué par une usurp

/// ///

Bonne journée à vous !!!

[Novam]

Nice le tuto

[King78]

merci excellent tuto tout le monde devrait faire un tour sur cette page c'est très important topica epinglé si possible

[binja]

Encore... Decidement on le ressort a toutes les sauces Pidgin + OTR.

Pour l'usurpation, ce n'est qu'une des possibilites qu'offre un serveur XMPP mal configurer (accept char-misconfig), ce n'est pas un vecteur d'attaque a proprement parler. Par ailleurs, il est dangereux d'utiliser des fonctions de lecteur URL automatique ou Copier/Coller via une API (non isoler qui plus est), les attaques CSRF, XAS ou DBD seront vos pires ennemies!

Mais si l'on doit vraiment parler de Pidgin et de son extension OTR (un plugin ne peut-etre concu pour la securite, c'est une des base de ce domaine), pour preuve les trois librairies utiliser par pidgin sont vulnerables,  notons aussi le fait que Pidgin ainsi que OTR ont deja demontrer leur robustesse en cryptanalyse et audit de code x''D.

Prenons un client en python (Gajim), avec sa librairie OTR completement implementer et ecrite en python qui ne souffrira de vecteur d'attaque reduit contrairement a libotr qui est ecrite en C.
L'ecriture d'un programme en python est 'plus sure' qu'en C, car le developpeur (ou l'attaquant) n'aurat pas d'acces direct a l'allocation, l'ecrasement et la free memiore. Vous pouvez encore reduire le vecteur d'attaque en utilisant un client CLI par exemple.

Mais apres tout, ne sombrons pas dans la paranoia et continuons ce client friend-usely qu'est Pidgin

[FR-F2]

super net ce tuto !!
merci beaucoup

Au fur et à mesure de vos tutos que je mets en oeuvre je me sent au fur à mesure un peu plus secure

Et quand j'essaye de comprendre les interventions \ expertises de membres qualifiés comme Binja je me dis la route va être longue pour moi quand même )

en matière de sécurité un jour j'ai entendu dire "il faut juste être mieux équipé que le voisin d'à côté" pour l'instant je compte là dessus

encore merci à tous pour votre sens du partage ici

[binja]

Au fur et à mesure de vos tutos que je mets en oeuvre je me sent au fur à mesure un peu plus secure

La securite n'est qu'un sentiment, comme la peur.

en matière de sécurité un jour j'ai entendu dire "il faut juste être mieux équipé que le voisin d'à côté" pour l'instant je compte là dessus

Faut il encore savoir ce servir correctement de l'equipement ! sinon c'est 0 securite

Par exemple, je te vois bien au commande d'un GEMSOS ou de notre chere ProlyXene. Tu tiendrai probablement moins de 10 secondes avant la compromision du systeme.

[thorgal]

Pour ne pas vous faire avoir quand quelqu’un vous demande sur jabber, 3 choses :

1 - Faites clic droit sur le contacte en question puis cliquez sur « info » et là vous allez voir si le contacte à changer son jabber avec un alias ou s'il y a quelque chose de chelou.

2 - Nouveau moyen d’usurp sur jabber, c’est compliqué à détecter et bizarre car visuellement c’est exactement pareil entre le faux jabb et le vrai,  je ne vais pas entrer dans les détails mais juste donner le moyen de le détecté c’est tout pour éviter de donner de mauvaise idée a certaine personne.

Ou sinon un truck pour l’instant que sur windows : C: > user > NomPc > AppData > Roaming > .purple
Et regardez les logs.

Pourquoi ne pas donner le vrai nom de la technique ?
Les personnes malveillantes sont déja déterminées à nuire, il faut informer les utilisateurs lambdas des armes qui existent justement !

Il s'agit de l'alphabet cyrillique. Un certain nombre de lettres ressemblent à notre propre alphabet. Elles vont s'afficher "bizarement" comme tu dis car il s'agit de l'unicode correspondant. Possible également de le détecter via l'affichage source d'un .html

3 - Pour vérifier a qui vous avez à faire demandez toujours au contacte en question de vous envoyer un message sur la board ou il se trouve (BH FDW DS FS ect) pour vérifier sa réputation ou si c’est bien lui sur jabber

C'est inexact, j'ai fais un tutoriel sur ça pour le démontrer. Il faut demander une signature pgp contenant la fingerprint otr, c'est la seule possibilité..

[ange.noir]

Super merci du tuto

[DNAmsterdam]

les gars si quelqu'un peut m'aider en MP svp j'essaye d'installer OTR depuis un moment mais va marche pas je l'avais avant mais mon ordi a crash et depuis je l'ai plus. et maintenant je l'installe tout se passe bien mais quand j'ouvre pidgin il n'y a rien dans les plugins

[monsieur]

Un grand merci à Anon17 et à Thorgal

[crevette]

@ΔПФΠ-І7   salut je balance un screnn je conprend prk pidging beug pour l'instale la

[crevette]

@le lutin je pense que sa va se termine linux sur le coup sa me soul

[Thebes]

https://xmpp.is/

[LibreEnFranceQuandMeme]

Super article. Merci.

Quelqu'un pourrait-il commenter la sécurité supplémentaire que nous avons en utilisant Tails OS - qui envoie toutes les connexions réseau, même pour Jabber, à travers le réseau TOR - et avec l'incrustation OTR.

(merci service de traduction!)

[OrangeBleu]

Super article. Merci.

Quelqu'un pourrait-il commenter la sécurité supplémentaire que nous avons en utilisant Tails OS - qui envoie toutes les connexions réseau, même pour Jabber, à travers le réseau TOR - et avec l'incrustation OTR.

(merci service de traduction!)

Ba il y a rien de plus à ajouter. tu l'a dis toi même, tails fait passer ta connexion par le réseau tor automatiquement. et OTR protège ta discution jabber. Je vois vraiment pas se qu'il y a dire de plus.