[Adau]

Citation :

Publié par Airmed / Ildefonse

Merci, je connaissais pas cette histoire
Peu de monde peut répondre à ta question, il en est de meme sous linux et/ou les logiciels libres en general. Le nombre de lignes de code empeche toute possibilite de relire l'ensemble des programmes.

Pour avoir plus d'information sur l'histoire, l'article de Wikipédia est chouette.

Sinon, rien n'est parfait. Mais je préfère faire confiance à des équipes de personnes qui ne travaillent pas (uniquement) pour de l'argent. Des bugs graves et des portes dérobées, il en a eu, malheureusement. Mais les patchs arrivent généralement très vite... On est loin d'une grosse boite noire que l'on contrôle pas.

Sinon, related: Le port 32764 ouvert sur les routeurs Linksys et Netgear est une backdoor
C'est pour tout ceux qui pense que la surveillance généralisée n'existait pas

[Noumenon]

Citation :

Publié par Adau

Parce que TrueCrypt sous Windows, ok c'était bien. Mais qui nous dit que Windows lui-même ne possède (ou possédait) pas de backdoor(s) (cf. affaire de la clé nsa dans windows 95/98) ? Franchement, si c'est pour mettre Truecrypt sur un OS qui peut laisser accès à tes données...

Qui te dit que ton CPU n'est pas backdoore ?

[Adau]

Citation :

Publié par Malka

Qui te dit que ton CPU n'est pas backdoore ?

Rien
Et malheureusement, ça s'est déjà vu sur des micro-controlleurs (!).

Malheureusement tu n'as pas compris ma remarque et tu réponds tel un gros occidental qui a 15 ans d'internet derrière lui, un accès à internet rapide et simple et beaucoup de sources dans sa langue native.

Je pense pas que ça soit le cas de beaucoup de monde sur cette planète.

[Noriel]

Citation :

Publié par <3NerGGaL<3

Malheureusement tu n'as pas compris ma remarque et tu réponds tel un gros occidental qui a 15 ans d'internet derrière lui, un accès à internet rapide et simple et beaucoup de sources dans sa langue native.

Je pense pas que ça soit le cas de beaucoup de monde sur cette planète.

Va installer windows ou le BSD d'apple dans une langue régionale et on en reparle... Regarde avec quoi fonctionnent de plus en plus ce qu'on appelle les "pays en voie de développement" , regarde des initiative de certaines villes allemandes qui s’aperçoivent qu'elles peuvent développer un ERP pour la gestion avec plein d'autres villes du pays et te pondre un truc tip-top grâce à l'open source et qui arrivent même a valoriser du service dessus ...

C'est clair que le pékinois* moyen qui s'achète un droïd il s'en fout de casquer pour un noyau linux avec du code payant dedans (entonnant non ?).

*: Habitant de Beijing (RPC)

Sinon il y a un petit florilège de vids qui tournent en ce moment aux US sur la neutralité du net.
Morceau choisi : http://www.dailymotion.com/video/x1y...et-vostfr_tech

[Adau]

Citation :

Publié par <3NerGGaL<3

Malheureusement tu n'as pas compris ma remarque et tu réponds tel un gros occidental qui a 15 ans d'internet derrière lui, un accès à internet rapide et simple et beaucoup de sources dans sa langue native.

J'ai peut-être pas compris.
Ce que je veux dire, c'est que si on ne se donne pas un minimum de moyens, faut pas venir pleurer ensuite.

Truecrypt n'était qu'une petite brique. Sa disparition ne devrait normalement pas "mettre en danger" certaines personnes, comme le dit l'article. Si ces personnes se sentent vraiment en danger, truecrypt n'est certainement pas la réponse.

[Tzioup]

PGP est toujours sûr, et les addons comme Enigmail ou autres wrapper autour du GNU OpenPGP peuvent vous garantir une discrétion en ligne presque inébranlable. Utiliser des SaaS pour des informations sensibles a toujours été suicidaire, de toute façon. Si les données ne sortent pas encryptées à la sortie de votre machine, c'est foutu.

[Laadna]

Citation :

Publié par Adau

J'ai peut-être pas compris.
Ce que je veux dire, c'est que si on ne se donne pas un minimum de moyens, faut pas venir pleurer ensuite.

Truecrypt n'était qu'une petite brique. Sa disparition ne devrait normalement pas "mettre en danger" certaines personnes, comme le dit l'article. Si ces personnes se sentent vraiment en danger, truecrypt n'est certainement pas la réponse.

Ces gens ont d'autres priorités que de s'informer en permanence sur l'actualité de l'ensemble des logiciels qu'ils utilisent, tout comme ils ne passent pas leur temps à vérifier si leur serrure de domicile a été fracturée ou s'ils sont suivis dans la rue. Leur boulot et leur vie en général n'a rien à voir avec l'informatique, truecrypt pour eux comme pour la plupart de ceux qui s'en servent c'est un outil, comme une mallette en cuir avec une clé, pas un truc intéressant en soi.

Cette phrase est ridicule, un peu comme si après un scandale sanitaire un spécialiste en hygiène alimentaire venait te faire la leçon sur une bactérie, une marque de saucisses ou un modèle de camion frigorifique.

[orime]

Citation :

Publié par Doudou

Y a qu'à voir les projets de Cité-Etat à construire sur des plate-formes dans les eaux internationales dont rêvent certains, pour être libérés de toutes contraintes étatiques et pouvoir repousser les limites de la sciences sans avoir à s'encombrer de contraintes éthiques, les boss de Google doivent plus trop se sentir pisser imo.

Personnellement, je doute qu'un tel projet se concrétise ; Avoir un max de personnes influentes rassemblés sur une sorte de gros rainbow warrior, c'est certes tentant, mais malheureusement, ces personnes ne sont pas stupides.

[Sharnt]

Citation :

Publié par Laadna

l'actualité de l'ensemble des logiciels qu'ils utilisent

PGP, OpenBSD etc ça date des années 90, pas ce qui a de plus récent.

A partir du moment ou tu commences à avoir peur de ce que l'on peut faire de ton pc et que tu ne passes pas plus de 5min à te renseigner c'est que tu ne tiens pas vraiment à ta sécurité.

Un peu comme si tu t'étonnais de tomber malade après avoir mangé du jambon qui est resté 3 semaines à l'air libre sur ta table.

Citation :

Publié par <3NerGGaL<3

Je pense pas que ça soit le cas de beaucoup de monde sur cette planète.

Dans ce cas là il y a d'autres moyens de communication. Se déplacer, ou confier une lettre à un tiers de confiance, on a jamais fait mieux.

[Lyfe El Uno]

Citation :

Publié par Sharnt

A partir du moment ou tu commences à avoir peur de ce que l'on peut faire de ton pc et que tu ne passes pas plus de 5min à te renseigner c'est que tu ne tiens pas vraiment à ta sécurité.

Se renseigner c'est une chose, comprendre c'en est une autre.

Quand tu vis dans un pays ou avoir un ordi c'est du luxe, savoir s'en servir c'est pas naturel.
Donc comprendre comment truecrypt fonctionne, ca demande deja de savoir comment un ordi fonctionne.

Et t'as peutetre autre chose a foutre, surtout si t'en a besoin.

[Sharnt]

Attends mais le mec qui utilise truecrypt il l'a bien trouvé quelque part le logiciel? Donc il s'est renseigné.

Mais c'est vrai que partir du principe que quelqu'un qui n'a pas l'habitude peut faire une recherche efficace quand on voit que des personnes qui utilisent le net depuis plus de 15 ans n'y arrivent pas encore est peu être un peu m'avancer.

[Noumenon]

Citation :

Publié par Sharnt

PGP, OpenBSD etc ça date des années 90, pas ce qui a de plus récent.

Heu ouais et ? On parle de securite, pas de mode.

A ma conaissance, les algos utilises par PGP actuellement sont incassable autrement que par bruteforce (Avec une clef 4096bit, compte en milliard d'annee le temps de casser la clef) ou avec un ordinateur quantique.
Le but est de trouver les facteurs premiers d'un grand nombre. A l'heure actuelle le record pour un ordinateur quantique a ete de trouver les facteurs premiers de 21 (qui sont 3 et 7 donc). A moins que la NSA ne soit immensement plus avancee que l'on imagine en ordinateur quantique, tu peux considerer que c'est safe tant que ta clef privee est en securite.

[Adau]

Citation :

Publié par Laadna

Ces gens ont d'autres priorités que de s'informer en permanence sur l'actualité de l'ensemble des logiciels qu'ils utilisent, tout comme ils ne passent pas leur temps à vérifier si leur serrure de domicile a été fracturée ou s'ils sont suivis dans la rue.

Si je me sentais en danger, je passerais entre autre mon temps à vérifier ma serrure, ou vérifier que je ne suis pas suivi dans la rue.

Bon ok, ça dépend de la nature du danger, mais je vois pas en quoi tout ça c'est idiot.

[znog]

Citation :

Publié par Malka

A ma conaissance, les algos utilises par PGP actuellement sont incassable autrement que par bruteforce

à ma connaissance PGP, il n'y a pas grand monde qui l'utilise...

pour la sécurité des mails, la solution, ca serait ca "Google veut renforcer le chiffrement des messages sur Gmail"

Il existe deux possibilités principales en matière de chiffrement : le chiffrement « end to end » et le chiffrement de la transmission. Dans le premier cas le message est chiffré par l'expéditeur et déchiffré par le destinataire. Dans le second cas, le message n'est pas lui-même chiffré, mais le « tuyau » par lequel il transite est sécurisé. Google compare cette dernière option à une enveloppe qui empêche le facteur de lire votre courrier. Pour ce faire, Gmail utilise la technologie de chiffrement TLS. Mais pour que celui-ci soit efficace, il faut que le serveur de l'expéditeur et du destinataire l'utilisent : si vous utilisez Gmail et que le service de messagerie de votre correspondant n'utilise pas TLS, le procédé est inutile. Parmi les fournisseurs ne pratiquant pas le chiffrement des transmissions, listés par Google, on peut remarquer les principaux fournisseurs d'accès français : Free et Orange.

Mais le chiffrement TLS n'assure qu'une protection de la transmission, et le contenu des mails est encore lisible sur le serveur de Google. La seule solution procurant une sécurité maximale est le chiffrement de bout en bout, en utilisant par exemple le système PGP, fonctionnant grâce à deux jeux de clés, une privée et une publique, pour l'émetteur et le destinataire. L'autre système de chiffrement en cours de développement chez Google s'appuiera sur une technologie similaire, mais n'est pas encore disponible pour le grand public : dans un premier temps, les spécialistes de la cryptographie sont invités à examiner son code informatique pour y déceler d'éventuelles failles.

des commentaires ? Je ne comprends pas en fait complètement les tenants et aboutissants de
TLS http://www.google.com/transparencyre...ail/faq/?hl=fr

par exemple,

• j'ai gmail : comment savoir quels messages sont chiffrés dans ceux que j'envoie et que je recois ?
• Concrètement peut-on utiliser PGP avec gmail ? De façon transparente et simple s'entend, avec le service web
• sachant que j'utilise gmail comme service web pour lire mes mails, mais un adresse pro de réponse, qui me forwarde mes courriers recus, est-ce que ca gène TLS ?
  

[Laadna]

Citation :

Publié par Adau

Bon ok, ça dépend de la nature du danger, mais je vois pas en quoi tout ça c'est idiot.

Parce que c'est quelque chose qui t'intéresse. Est-ce que dans cette même situation tu t'inquiètes de la présence de micros à ton domicile, et si oui comment fais-tu pour te rassurer ? Quand en plus l'usage d'un ordinateur et toute la culture qui va avec n'est pas intuitif pour toi...

Citation :

Publié par Sharnt

A partir du moment ou tu commences à avoir peur de ce que l'on peut faire de ton pc et que tu ne passes pas plus de 5min à te renseigner c'est que tu ne tiens pas vraiment à ta sécurité.

Un peu comme si tu t'étonnais de tomber malade après avoir mangé du jambon qui est resté 3 semaines à l'air libre sur ta table.

L'analogie ne me parait pas pertinente, voire un peu condescendante (en gros, faut être débile pour...).

[Adau]

Citation :

Publié par Laadna

Parce que c'est quelque chose qui t'intéresse. Est-ce que dans cette même situation tu t'inquiètes de la présence de micros à ton domicile, et si oui comment fais-tu pour te rassurer ? Quand en plus l'usage d'un ordinateur et toute la culture qui va avec n'est pas intuitif pour toi...

Décidément, on ne tombera pas d'accord

Assurer sa propre sécurité (phrase qui demande à être précisée), ça demande du temps: fouiller les micros chez soi, fermer sa porte à clé, installer des fenêtres anti-effractions, installer des caméras extérieures. Ca c'est pour sa sécurité "corporelle". Pour sa sécurité "virtuelle" (ces deux sécurités sont indirectement liées), ne pas utiliser facebook/twitter/gmail/hotmail, privilégier les communications décentralisée (xmpp), activer le chiffrement PGP sur les emails/xmpp...

Je dis pas qu'utiliser le combo linux/encfs/xmpp/pgp/tunnel-ssh (imho, il n'y a pas besoin de plus) c'est super facile et ça s'apprend en 10 minutes. Je dis juste que ça prend du temps, comme toutes les autres initiatives possibles pour se protéger. Il n'y a pas de raison de jeter cette solution sous pretexte que "ça prend du temps", vu que toutes les autres solutions en prennent aussi. Surtout dans notre société d'information, où les moindre militants font tout par internet, de la Syrie jusqu'en France, en passant par la Chine et la Russie.

Exemple de la Libye, où la France a vendu des systèmes de surveillance de masse (affaire Bull/Amesys... Oui, nous avons vendu du matériel militaire à une dictature il y a moins de 5 ans). Ca a permis à Khadafi d'identifier et de torturer/tuer ses opposants, entre autre parce qu'ils utilisaient twitter/facebook, et discutaient en clair sur irc et par email.

Je trouve pas que le week-end perdu à installer Ubuntu, crypter son répertoire personnel (automatique sous Ubuntu !), générer une clé PGP (deux lignes de commande) pour discuter par email ou par xmpp (tu spécifies la clé PGP à Gajim en deux clics, et c'est bon...), soit si cher payé... (je met de coté le tunnel-ssh, qui n'est pas utile pour tout le monde, en particulier pour cet exemple).

[blaes]

gmail utilise tls à chaque fois que ça lui est possible. du coup, le cryptage (ou non) des mails pendant leur transit dépend uniquement de l'autre partie, et le seul moyen de savoir si ce que tu envoies/reçois est crypté pendant le transfert c'est de savoir si le serveur mail de la personne à qui tu envoies un mail ou qui t'en envoie un gère le tls.
à chaque fois que tu correspond avec un boite free ou orange par exemple, ce n'est pas géré donc les mails transitent en clair.

pour pgp :
oui, tu peux l'utiliser simplement avec gmail, mais il faut que ton correspondant l'utilise aussi et que vous ayez déjà échanger vos clés. pas forcément pratique pour un contact unique/occasionnel. en outre, depuis que symantec a racheté pgp, il n'est plus dispo en freeware, donc faut soit passer par la version trial, soit l'acheter. installation nécessaire (mais qui peut gérer cryptage/décryptage de manière transparente pour l'utilisateur).

sinon, hushmail fait la même chose directement via le navigateur. il y a une version gratuite (mais limitée à 25 mo de stockage mail). pas d'installation nécessaire, mais ca veut dire se faire chier à mettre en place un transfer pop/imap, en filtrant les correspondances qui seront chiffrées (ou changer d'email provider).
évidemment, là encore les deux correspondants auront besoin de l'utiliser.

(sinon, comme le dit adau, linux ça marche aussi)

[znog]

Citation :

Publié par blaes

gmail utilise tls à chaque fois que ça lui est possible. du coup, le cryptage (ou non) des mails pendant leur transit dépend uniquement de l'autre partie, et le seul moyen de savoir si ce que tu envoies/reçois est crypté pendant le transfert c'est de savoir si le serveur mail de la personne à qui tu envoies un mail ou qui t'en envoie un gère le tls.
à chaque fois que tu correspond avec un boite free ou orange par exemple, ce n'est pas géré donc les mails transitent en clair.

ce qui m'intéresserait c'est un système évident qui me sorte des stats, comme celui pour les métadonnées de votre compte gmail

Citation :

Publié par blaes

pour pgp :
oui, tu peux l'utiliser simplement avec gmail, mais il faut que ton correspondant l'utilise aussi et que vous ayez déjà échanger vos clés. pas forcément pratique pour un contact unique/occasionnel. en outre, depuis que symantec a racheté pgp, il n'est plus dispo en freeware, donc faut soit passer par la version trial, soit l'acheter. installation nécessaire (mais qui peut gérer cryptage/décryptage de manière transparente pour l'utilisateur).

bah dommage qu'il n'y ait pas de solution simple et gratuite comme truecrypt ou keepass.. du coup PGP reste un truc de geek.. quelle est la "part de marché" de PGP ? 1/10.000 mails et encore ?

[Adau]

Citation :

Publié par znog

bah dommage qu'il n'y ait pas de solution simple et gratuite comme truecrypt ou keepass.. du coup PGP reste un truc de geek..

Faut pas déconner là...
gpg --gen-key

... Et tu te retrouves avec ta paire de clé... Trop dur quoi... Y'a plus qu'à faire pointer ta paire de clés et les clés publiques de tes contacts par les software supportant GPG. Et il y en a pleins... Au pire, tu peux chiffrer les messages "à la main" via la ligne de commande, ou via des programmes graphiques user-friendly.

Allez, une doc (que je n'ai pas personnellement lue ni appliquée) en français qui semble simple et sympas:
http://openpgp.vie-privee.org/
Elle s'attarde sur les emails, mais GPG ne se limite pas qu'aux emails, je pense particulièrement à toutes les messageries instantanées (beaucoup de clients xmpp prennent en charge GPG).

Franchement, 30 minutes pour générer une clé et apprendre à s'en servir sur 2-3 software, c'est pas cher payé pour obtenir un (très bon) chiffrement et une signature (qui est aussi un élément très important de sécurité informatique).

Si on essaie pas... C'est sûr qu'on y arrive pas

Edit:// Point bonus: ça marche aussi sur des fichiers binaires (images, sons, videos, executable, archives)
Edit2:// Autre point bonus: le chiffrement est automatique et par défaut suivi d'une compression. Un long texte peut prendre moins de place une fois chiffré (utile pour les smartphones, mais pas que.)

[Lyfe El Uno]

Citation :

Publié par Sharnt

Attends mais le mec qui utilise truecrypt il l'a bien trouvé quelque part le logiciel? Donc il s'est renseigné.

Le telephone arabe, c'est pas une legende, surtout dans un pays surveillé.

[Noumenon]

Citation :

Publié par znog

• j'ai gmail : comment savoir quels messages sont chiffrés dans ceux que j'envoie et que je recois ?
• Concrètement peut-on utiliser PGP avec gmail ? De façon transparente et simple s'entend, avec le service web
• sachant que j'utilise gmail comme service web pour lire mes mails, mais un adresse pro de réponse, qui me forwarde mes courriers recus, est-ce que ca gène TLS ?
  

Deja, faut pas compter sur TLS pour assurer ta securite. Ca te protegera assez efficacement contre des pirates. Bon par contre la NSA (ou autre) peut facilement tromper tout ca (ils ont l'ascendant sur les autorites de certifications)
Si tu chiffres completement tes mails (seule methode sure), tu n'auras pas la facilite d'utilisation que tu as actuellement avec un vrai chiffrage des donnees. Jamais.
Deja, faire le chiffrage dans le browser est + - une heresie (un browser ca a une surface d'attaque gigantesque, pour la plupart des gens c'est un binary blob au contenu inconnu). Du coup faudra le faire a part. Y a d'assez bon outils en GUI, mais rien que le concept de clef prive / publique peut etre deroutant pour le neophyte.
Ensuite, la fonction de recherche ne peut pas marcher avec des mails cryptes, vu que le serveur n'a aucune idee du contenu en clair des mails.

En resume le principal probleme de la crypto, c'est que c'est un enfer a rendre user friendly. Personne n'y est vraiment arrive pour le moment.
Accessoirement, il existe de tres bonne solutions d'IM et de SMS :

• OTR : plugin pidgin bien foutu, compatible XMPP (donc Facebook, gchat, etc.) https://otr.cypherpunks.ca/
• TextSecure : app pour gerer les SMS et les chiffrer sur Android. https://play.google.com/store/apps/d...ecuresms&hl=fr
  

[Adau]

Citation :

Publié par Malka

• OTR : plugin pidgin bien foutu, compatible XMPP (donc Facebook, gchat, etc.) https://otr.cypherpunks.ca/
• TextSecure : app pour gerer les SMS et les chiffrer sur Android. https://play.google.com/store/apps/d...ecuresms&hl=fr
  

Pour le coup, je n'y crois pas du tout à l'OTR. Surtout en utilisation avec XMPP. Une fois que le chiffrement est en place, seule l'application avec laquelle l'OTR est actif peut lire les messages reçues...
Si je commence une conversation avec Pidgin avec mon ordinateur portable, je ne pourrais pas la continuer chez moi avec mon fixe, ou en voyage avec mon smartphone. A moins de recommencer le petit manège de l'authentification une nouvelle fois...

Ta clé privée GPG, tu l'utilises sur tous tes composants, et basta...

[CharlesMauriceKaleos]

Je ... Je vous laisse ça là et je retourne finir le noeud pour aller me pendre ... http://www.numerama.com/magazine/298...-europeen.html

Y'a pas un seul mec ayant des connaissances en informatique poussées sur les 700 députés européens quoi.