Ça fait quand même des années que le grand public est informé des risques du Net. Avec tous les articles et toutes les émissions télé sur les méchants pirates tu penses que les gens n'ont pas intégré le fait qu'il faut se méfier et qu'ils pensent toujours qu'il n'y a aucun risque ?
Les gens n'ont toujours pas vraiment compris qu'il ne fallait pas exécuter n'importe quoi n'importe comment sur leur PC, alors tu penses bien que sur les téléphones, les télés, les lave vaisselles ou les tondeuses, on est encore loin de la prise de conscience.
Mon premier post était certes un peu tongue-in-cheek. Je peux comprendre l'utilité des fonctions d'une smart-TV mais bon quand on voit que même les lave-vaisselle ont maintenant des serveurs web intégrés et sont victimes de failles de sécu (http://seclists.org/fulldisclosure/2017/Mar/63) va falloir se poser la question du rapport coût-bénéfices de ces fonctions non ?
Tout le monde dit dans la secu dans le milieu de l'IOT que cela ne pourra venir que des régulateurs. Les gens te regardent comme un alien quand tu en parles, les constructeurs se tirent la bourre à qui aura le meilleur time to market pour un prix toujours plus faible. Tu penses bien que le security by design et un semblant de MCO/MCS n'est absolument pas dans leur priorité.
T'as qu'à regarder tous les trucs qu'a fait Matthew Garrett sur les loupiottes bluetooth, c'est assez symptomatique.
J'ai la flemme de vérifier mais je pense que là, il y a quiproquo entre vous : il faut distinguer les extensions de Virtualbox lui-même, qui ne sont pas libres et fournies sous la forme binaire couverte par la PUEL (Marotte<), qui fournissent USB2,3, RDP, chiffrement des fichiers VDI, etc. et les "guest additions", à priori libres, qui servent à faire comprendre à l'OS invité qu'il est virtualisé et qu'on peut faire des trucs super cool avec (pulkomandy<).
Ce n'est pas un programme amené à être diffusé, pourquoi le mettre en OpenSource,
Là, tu mélanges tout. Ce dont parle gouttegd< ici est le principe de Kerckhoffs, qui dit que la robustesse d'un algo crypto ne doit pas reposer sur le fait qu'il est secret…
Ce qui ne veut pas dire que l'algo doit être public, mais qu'il a au moins été revu par des pairs. Et il ne me semble pas qu'il ait dit que le bouzin en question devait être mis en opensource.
il est réservé à un usage interne.
Euh non. Pas du tout. Il n'est certes pas vendu par la DGA au public, mais il est TRES utilisé dans les échanges industrie/administration tous les jours.
Il est parfois nécessaire d'envoyer des fichiers en diffusion restreinte par le bien de la messagerie internet, d'où l'utilité d'un tel programme.
Oui, encore faut-il que le soft, les algos et les protocoles mis en oeuvre soient suffisamment costauds. Puisque cela passe sur un réseau non homologué pour l'acheminer en clair (l'internette), il faut être sur que c'est sûr. Ce qui passe par des revues, audits, etc (et ce même s'il n'y avait que deux personnes à l'utiliser).
Cool, cela veut dire que si j'ai ton mot de passe gmail, j'ai accès à tout ?
Non, ça veut dire que si tu as mon mot de passe GMail (avec la double authent), tu as accès à des infos qui te seront utiles pour déchiffrer le disque dur de la machine que tu m'auras volé ou mes données TimeMachine sur mon disque dur à la maison.
Tu as activé la double authentification
Oui
, et tu as chiffrés les données oubliables, n'est ce pas ?
Non, car cela ne couvre que les mots de passe dont j'ai parlé plus haut. Les autres mots de passe recensés (pas loin de 200 maintenant, merci la compulsory registration :-/), eux, sont dans un coffre fort (synchronisé dans le cloud pour des raisons d'utilisabilité)
Personnellement, les comptes mails ou les stockages "dans le cloud" (surtout google et autre GAFA), c'est le dernier endroit où je stockerais des informations aussi sensibles que des mots de passes (même chiffrés par keepass..)
Donc oui, il y a une petite triche sur la licence et non, car un paquet de licence sont partis en fumée…
Argument douteux d'un point de vue droit des contrats, dans la mesure où dans la plupart des cas, ce sont des licences liées à la machine (et facturées en temps que tel).
Autre chose suicidaire : ne pas stocker ses mots de passes/passphrase dans un logiciel de stockage de mot de passe (KeePass par exemple). Quand on utilise un tel outils (dont on aura bien entendu sauvegardé les fichiers), il devient impossible d'"oublier" la passphrase de chiffrement d'un disque (ni n'importe quel autre mots de passe)
La dessus, j'ai joué la sécurité. Je stocke les données "oubliables", c'est à dire les trucs que nominalement on ne voit jamais sauf en cas de désastre (genre les mot de passe de chiffrement de TimeMachine ou les clefs de récupération de MacOS) … sur mon compte GMail.
Mon "modèle de menace" le permet (il faut la machine et la clef pour déchiffrer, ce que n'a pas le voleur du coin ; ou alors la machine seule suffit, mais dans ce cas, le fait que le backup soit dans gmail n'y change rien).
J'utilise au contraire des vrais arguments qui me sont arrivés à moi dans ma vraie vie. Traite-moi de débile si tu veux, mais j'ai l'impression que justement, j'ai essayé d'argumenter avec des exemples réels et pas des cas d'école de gusses qui ont découvert le chiffrement avant-hier.
Le chiffrement crée un risque réel de perdre des données, et l'oublier c'est débile, justement.
Oui, pour autant, est-ce nécessaire d'écrire des trucs aussi extrémistes :
Donc résultat, le chiffrement des disques, c'est une saloperie. Tu peux mettre ça en place peut-être en milieu pro où tu as toute une infrastructure derrière pour la restauration et les sauvegardes, avec des gens qui savent ce qu'ils font. Conseiller ça à un particulier, à mon avis, ça a une balance bénéfices/risques très très négative.
… C'est bien pour ça que les OS majeur d'aujourd'hui proposent de faire un backup des clefs de chiffrement, soit dans leur cloud (iCloud ou OneDrive, avec des restrictions - plutôt orienté enduser -), soit dans l'AD quand tu en utilises un (pour Windows). Cela ne te protège pas contre la justice judiciaire ou administrative de ton pays ou un service de renseignement, mais de toute façon c'est pas pire que sans chiffrement de ce point vue. Cela te protège par contre en partie(*) contre des choses qui se font concrètement maintenant dans la vie de tous les jours lors du vol de machines (vol de données, de crédentials ,etc). La récupération peut être un peu plus compliquée, même si maintenant des efforts ont été faits par les éditeurs, que juste plugguer un disque dur dans une autre machine, mais je pense que protéger 15 ans de vie numérique le vaut.
Tu penses bien que si Apple et Microsoft s'y sont mis, c'est pas juste pour se manger plus d'appels au support.
Le balayer d'un revers de main "parce que c'est compliquaï" est pour moi une position très dangereuse en 2017.
(*) il faut le rappeler, le chiffrement de niveau filesystem ne protège dans la plus part des cas qu'une machine éteinte. Il ne protège pas contre une attaque DMA (kikoo thunderbold, expresscard) ni contre une intrusion par le réseau ou le click sur un PJ pétée(kikoo dridex)
Par rapport à un mode de passe, cela a l'avantage que ce code n'est jamais transmis, pas même à la banque, et que celle-ci pourrait très bien ne pas le connaître.
Cela a un autre avantage, pour les utilisateurs, c'est que cela permet de limiter les exigences de dureté sur le mot de passe en question car :
on a à peu près confiance dans la carte pour le garder secret, même sous la torture;
on a à peu près confiance dans la carte pour le cramer, après X tentatives de suite pour le deviner (enfin, surtout pour cramer la clef privée protégée par ce code pin quand c'est bien fait).
Je ne suis pas spécialiste PCI DSS, donc j'ai été voir la norme (pci_dss_v3-2_3_fr-FR.pdf assez facilement trouvable sur le site PCI DSS).
Les exigences sur les comptes sont décrites au chapitre 8 (page 79 et plus).
Cela commence par une petite note :
Ces obligations concernent tous les comptes, y compris ceux des points de vente, avec une capacité administrative, et tous les comptes utilisés pour voir ou accéder aux données de titulaires de carte ou pour accéder à des systèmes comportant ce type de données. Ceux-ci comprennent les comptes utilisés par les fournisseurs et les autres tiers (par exemple, pour l’assistance ou l’entretien) Ces conditions ne s’appliquent pas aux comptes utilisés par les consommateurs (comme les titulaires de cartes).
Il n'y a a priori pas d'exigences d'authentification forte pour les utilisateurs des cartes demandée par le standard. Pour les utilisateurs (les salariés, en gros) du système manipulant les données, c'est par contre autre chose.
Par ailleurs, en 8.2, on trouve en définition d'une authentification multifacteur :
Quelque chose de connu du seul utilisateur, comme un mot de passe ou une locution de passage ;
Quelque chose de détenu par l’utilisateur, comme un dispositif de jeton ou une carte à puce ;
Quelque chose que vous détenez, comme une mesure biométrique.
J'en déduis que le consortium sait ce qu'est une authentification multifacteurs.
Le clicklogger en question enregistrera sans problème qu'on a cliqué à telle position sur l'écran, mais pour déterminer ce qu'il y avait d'affiché à cet endroit, il faut y coupler une caputre d'écran, ce qui est un poil plus contraignant qu'un simple keylogger. Rien d'infaisable, évidemment, mais c'est nettement plus chiant, et nettement moins automatique à analyser.
La partie "tel site a un clavier virtuel donc il faut faire des screenshot dans les fenêtres" est toute prévue dans dridex.
Explique moi l'intérêt de chiffrer tes commentaires sur le web….sachant que dlfp est accessible à tout le monde et que le contenu sera quand même scanné, indexé etc…
Pour la confidentialité :
1) ton authentification (cookie et/ou mot de passe) ne passe pas en clair sur un réseau que tu ne maîtrises pas ;
2) il est beaucoup plus compliqué de relier le contenu de ce que tu postes ou consultes sur un site via un crawling de celui-ci, par rapport à une analyse de ce qui passe effectivement sur le tuyau, ce qui est important quand SFR annonce qu'il va "tester" les publicités ciblées sur son offre TV.
C'est suffisamment sécurisé, en tout cas jusqu'à aujourd'hui je n'ai pas entendu parler de cas d'identification frauduleuse sur le site bancaire à la place d'un autre de manière massive, simple et uniquement à distance.
Je ne sais pas ce que tu veux dire par "uniquement à distance", mais dridex sait prendre des screenshots de ton navigateur quand tu cliques dans des pages qui sont dans une liste donnée pour ce use case.
edit la dessus :
Pour les opérations sensibles tu as de toute façon une confirmation par code via SMS ce qui est je trouve bien sécurisé, simple et rapide. Car bon, saisir pendant 5 minutes des chiffres sur le boitier de commande pour ajouter un bénéficiaire de virement, c'est pénible. Le SMS c'est bien plus simple.
Notamment à cause du fait que SS7 est totalement à la rue niveau sécu, le NIST dit que la double authent par SMS, il faut arrêter. Je pense qu'ils ont des billes pour dire que ce n'est pas "bien sécurisé".
En même temps, ça aurait pu être dérivé un dérivé d'Access que ça ne changerait pas grand chose à ce qui a été livré ici car ça embarque en fait un kernel NT fait pour tourner en mode user avec le machin SQL server windows par dessus.
Toi tu le reproche à Clinton là où moi je le reprocherai à la CIA. C'est censé être leur job de protéger l'état de l'incompétence dans l'un ou l'autre domaine de ses personnages importants (chefs d'état, diplomates, hommes/femmes d'affaires, patron(ne)s de multinationales).
En même temps, il est possible que la CIA ou la NSA (d'ailleurs plus probablement la partie whitehat de cette dernière) ait averti le Département d'Etat. Le fait est que l'on ne le saura jamais (ou alors dans 30 ans), grâce à la magie de tampons rouges.
Par contre, il faut que tu comprennes un truc. Cela a beau être la CIA ou la NSA ou n'importe qui, sans moyen légal de le faire, un service de rens ne peut pas faire plier un politique de ce niveau. Le seul truc qu'ils auraient pu faire, c'est rendre utilisable les terminaux mobiles qui étaient obligatoires à l'époque. Mais facile de refaire l'histoire à postériori.
Vous ne parlez pas du même sujet. Enfin, si, mais pas sur les mêmes périodes temporelles.
Il est exact qu'"iPhone OS" 1, l'OS fourni sur l'iPhone original (le 2G) ne permettait pas de faire tourner des applications tierces (et encore, par tierces, il faut comprendre "non fournies dans le firmware de base"). Difficile à l'époque de savoir si c'était une décision délibérée ou si c'était parce qu'Apple était complètement à l'arrache(*) sur son planning, ou que c'était juste prévu pour plus tard, mais le fait est que la pirouette de Jobs pour pallier cela a bien été de dire "faites des webapps, regardez vous pouvez même mettre le favori sur l'écran d'accueil" (à partir de la version 1.1.3). A ce moment là, Apple aurait voulu proposer Flash qu'ils n'auraient probablement pas pu.
L'App Store est arrivé avec iPhone OS 2, dont l'iPhone 2G a bénéficié. Et c'est à ce moment là qu'Apple a du se poser la question de Flash et de son business model. Sort en 2010 le brûlot du regretté Steve sur la techno, qui s'il est globalement exact (Flash sur mobile c'était dla merde pour plein de raisons -consommation, sécurité, paradigme touchscreen-), se garde bien d'aborder les possibles raisons financières de ses choix sur son bizness model. Je pense personnellement qu'une des raisons était aussi que l'architecture de ce qui était iOS à l'époque ne permettait pas de le faire proprement (les "extensions" de Safari, ne sont arrivés que quatre ans après, et elles sont très limitées). Je pense aussi que si cela avait été un problème purement financier, Steve aurait trouvé un terrain d'entente avec Adobe (genre obligation de signature pour les SWF pour exécution sur l'iPhone contre monnaie sonnante et trébuchante, parce qu'on veut protéger les nenfants).
Mais le fait est que même chez Android c'était pas gégène. Les geeks qui avaient ça montraient qu'ils pouvaient s'en servir aux utilisateurs d'iPhone (qui n'avaient pas de copier/coller avant iPhone OS 3). Mais c'était tout, et c'est mort en 2012.
Je ne sais pas si c'est toi qui opère ce serveur, mais il faudrait dire à l'admin qu'activer HSTS avec un certificat autosigné, c'est vraiment pas une bonne idée.
Les mecs qui n'y ont jamais accédé ne peuvent jamais le faire (sauf à faire des bricoles hardcore)
Pas de changement depuis janvier 2015 ? C'est le blog de qui ? C'est vraiment à jour ?
A ma connaissance, concernant SSH, il n'y a pas vraiment eu de sujet depuis cette époque. Le dernier machin à la mode, ce sont les modules, et c'est traité.
C'est le blog de qui ? C'est vraiment à jour ? Sans dénigrer du tout le blog de cette personne, j'aurais plus imaginé quelque chose qui viennent d'une communauté ou d'une organisation.
Je n'en connais pas vraiment d'autres orienté crypto. Les autres pointent dessus (genre celui de mozilla pointe dessus)
plutôt que de présenter la liste des algo forts ou faibles actuellement je pense qu'il serait plus intéressant d'indiquer comment savoir qu'un algo est cassé ou non :)
1 an plus tard, l'autorité de régulation des fréquences (l'ARCEP en France, par exemple), change complètement son plan de fréquences. Genre, les fréquences qui étaient réservées à la télé deviennent disponible pour faire de la téléphonie en 4G (ça s'est déjà vu). Tu ne pourras en profiter que si le fournisseur de ton matériel fournit un firmware mis à jour.
En vrai, ça ne fonctionne pas comme ça.
L'ARCEP ne décide pas du jour au lendemain d'autoriser ou de bannir immédiatement des fréquences :
- il s'est passé trois ans quasi jours pour jours entre l'annonce de la future mise à dispo de la bande des 800MHZ et l'octroi des licences aux opérateurs.
- l'harmonisation des fréquences utilisées à courte portée a été annoncée avec 5 ans de prévenance (http://www.telecommande.info/19-telecommande_garage.html)
Parce qu'au niveau des périphérique ça a un impact.
Ben oui, y a pas que le soft dans la vie. Au delà de la compatibilité intrinsèque du chip qui peut dépendre ou non du soft, il y a toute la partie analogique qui doit être prévue pour ça (les oscillateurs, et la tripaille RF, les amplis, les filtres, etc). Comme ça a un coût récurrent, il y a peu de chances qu'un périphériques pas prévu pour parler sur une gamme de fréquence puisse physiquement le faire, même si on lui demande gentiment, et plus encore, si c'est "loin" de la où c'est prévu. S'agissant du dividende numérique (la bande LTE20), je ne connais aucun exemple de périphérique qui ait été mis à jour durant sa durée de vie pour être compatible par son constructeur, ni aucune success story android.
Encore plus débile: l'ARCEP décide finalement d'intedire certaines fréquences qui étaient avant aurtorisées.
Un exemple plus haut… ça s'anticipe… Et en 2003/8 c'était le dawa. Mais ça ne changerait pas grand chose. On ne pourrait plus faire un truc que de toute façon personne ne fait.
Qui va venir chez toi mettre à jour le firmware pour pas que tu continues à les utiliser?
Hum, ça nous est déjà arrivé dans mon ancienne boîte /o\. Mais ce n'était pas les mêmes bandes de fréquences.
Qui va courir après le constructeur du matériel pour qu'il fournisse un nouveau binaire?
Dans les faits, personne. Ce qui se passerait, à mon avis, serait que l'ARCEP anticiperait son truc, ce serait mis dans les certifications(comme aujourd'hui pour le wifi), et les périphériques non compatibles s'éteindraient avec le renouvellement naturel.
Si ton NAS ne fais que filesystème, oui, tu peux utiliser ce genre de chose.
Mais si tu veux ajouter des trucs (syncthing, owncloud, glusterfs, retroshare, zoneminder), tu va mettre a genoux ton NAS.
Ben stadire, que oui, si tu cherches à mettre dans un Network Attached Storage des fonctionnalités pour lesquelles il faut un PC gonflé, ben oui, ça va ramouiller. Et ça ne sera pas terrible pour miner du bitcoin. Par contre, ça gère très bien les volumes raid et la synchro.
C'est facile de sortir des exemples sans essayer : avant de transformer ma tour en serveur de stockage j'ai testé sur RPI1 et RPI2 pendant plusieurs mois. Je sais se que c'est de lancer Resident Evil en HD (20Go) en streaming over SFTP et voir que ça lag plein sa panse sur RPI1 (ça laggait même juste avec streaming over FTP (sans crypto donc)).
Au delà du fait que je ne suis pas sur de comprendre ce que tu as écrit, tu as une vision réductrice du hardware. En creux, tu dis que le RPI a des interfaces de merde. Grande nouvelle, mais ça n'en fait pas une généralité sur les CPU et la quantité de RAM. Sur RPI, vu que tout est sur le même bus USB daubé ce n'est pas étonnant. Syno, de son côté a de vraies interfaces sur des vrais bus.
En plus en le RPI 1 et le 2 la différence c'est pas juste le nombre de cores qui a bougé. Le jeu d'instruction a changé (on passe d'ARMv6 à v7), la fréquence (on prend tranquillou 33%) a augmenté, etc.
dans mon tuto sur syncthing on peut voir deux screenshot montrant la différence de charge entre le processeur du RPI1 (mono) et le processeur du RPI2 (quad)
Balancé comme ça c'est imbitable. Il n'y a pas de charge CPU, la seule chose qu'on voit c'est que d'un côté y a plus de données (environ 3x) que de l'autre et que le débit réseau en réception est plus important.
[^] # Re: TV Samsung
Posté par oinkoink_daotter . En réponse au journal 40 failles 0-day découvertes dans Tizen. Évalué à 10.
Les gens n'ont toujours pas vraiment compris qu'il ne fallait pas exécuter n'importe quoi n'importe comment sur leur PC, alors tu penses bien que sur les téléphones, les télés, les lave vaisselles ou les tondeuses, on est encore loin de la prise de conscience.
Tout le monde dit dans la secu dans le milieu de l'IOT que cela ne pourra venir que des régulateurs. Les gens te regardent comme un alien quand tu en parles, les constructeurs se tirent la bourre à qui aura le meilleur time to market pour un prix toujours plus faible. Tu penses bien que le security by design et un semblant de MCO/MCS n'est absolument pas dans leur priorité.
T'as qu'à regarder tous les trucs qu'a fait Matthew Garrett sur les loupiottes bluetooth, c'est assez symptomatique.
Ca me dépasse mais c'est un fait :'(
[^] # Re: .
Posté par oinkoink_daotter . En réponse au journal Comment j’ai mis fin à un chantage logiciel. Évalué à 4. Dernière modification le 30 mars 2017 à 11:10.
J'ai la flemme de vérifier mais je pense que là, il y a quiproquo entre vous : il faut distinguer les extensions de Virtualbox lui-même, qui ne sont pas libres et fournies sous la forme binaire couverte par la PUEL (Marotte<), qui fournissent USB2,3, RDP, chiffrement des fichiers VDI, etc. et les "guest additions", à priori libres, qui servent à faire comprendre à l'OS invité qu'il est virtualisé et qu'on peut faire des trucs super cool avec (pulkomandy<).
[^] # Re: pas mal
Posté par oinkoink_daotter . En réponse au journal DEFNET17 & Réserve de la Cyberdéfense. Évalué à 6.
Là, tu mélanges tout. Ce dont parle gouttegd< ici est le principe de Kerckhoffs, qui dit que la robustesse d'un algo crypto ne doit pas reposer sur le fait qu'il est secret…
Ce qui ne veut pas dire que l'algo doit être public, mais qu'il a au moins été revu par des pairs. Et il ne me semble pas qu'il ait dit que le bouzin en question devait être mis en opensource.
Euh non. Pas du tout. Il n'est certes pas vendu par la DGA au public, mais il est TRES utilisé dans les échanges industrie/administration tous les jours.
Oui, encore faut-il que le soft, les algos et les protocoles mis en oeuvre soient suffisamment costauds. Puisque cela passe sur un réseau non homologué pour l'acheminer en clair (l'internette), il faut être sur que c'est sûr. Ce qui passe par des revues, audits, etc (et ce même s'il n'y avait que deux personnes à l'utiliser).
[^] # Re: Plusieurs disque ? Pas de chiffrement ?
Posté par oinkoink_daotter . En réponse au journal Retour sur achat d’un ordinateur portable « tout terrain ». Évalué à 2.
Non, ça veut dire que si tu as mon mot de passe GMail (avec la double authent), tu as accès à des infos qui te seront utiles pour déchiffrer le disque dur de la machine que tu m'auras volé ou mes données TimeMachine sur mon disque dur à la maison.
Oui
Non, car cela ne couvre que les mots de passe dont j'ai parlé plus haut. Les autres mots de passe recensés (pas loin de 200 maintenant, merci la compulsory registration :-/), eux, sont dans un coffre fort (synchronisé dans le cloud pour des raisons d'utilisabilité)
C'est une question de modèle de menace.
[^] # Re: Plusieurs disque ? Pas de chiffrement ?
Posté par oinkoink_daotter . En réponse au journal Retour sur achat d’un ordinateur portable « tout terrain ». Évalué à 3.
Encore une fois, c'est tellement désavantageux qu'Apple et Microsoft (si on s'authentifie avec un compte MS) le font par défaut.
[^] # Re: Quid de la licence d'XP?
Posté par oinkoink_daotter . En réponse au journal Comment j’ai mis fin à un chantage logiciel. Évalué à 4.
Argument douteux d'un point de vue droit des contrats, dans la mesure où dans la plupart des cas, ce sont des licences liées à la machine (et facturées en temps que tel).
… Pour une fois que je suis d'accord avec Z< …
[^] # Re: Plusieurs disque ? Pas de chiffrement ?
Posté par oinkoink_daotter . En réponse au journal Retour sur achat d’un ordinateur portable « tout terrain ». Évalué à 2.
La dessus, j'ai joué la sécurité. Je stocke les données "oubliables", c'est à dire les trucs que nominalement on ne voit jamais sauf en cas de désastre (genre les mot de passe de chiffrement de TimeMachine ou les clefs de récupération de MacOS) … sur mon compte GMail.
Mon "modèle de menace" le permet (il faut la machine et la clef pour déchiffrer, ce que n'a pas le voleur du coin ; ou alors la machine seule suffit, mais dans ce cas, le fait que le backup soit dans gmail n'y change rien).
[^] # Re: Plusieurs disque ? Pas de chiffrement ?
Posté par oinkoink_daotter . En réponse au journal Retour sur achat d’un ordinateur portable « tout terrain ». Évalué à 9.
Oui, pour autant, est-ce nécessaire d'écrire des trucs aussi extrémistes :
… C'est bien pour ça que les OS majeur d'aujourd'hui proposent de faire un backup des clefs de chiffrement, soit dans leur cloud (iCloud ou OneDrive, avec des restrictions - plutôt orienté enduser -), soit dans l'AD quand tu en utilises un (pour Windows). Cela ne te protège pas contre la justice judiciaire ou administrative de ton pays ou un service de renseignement, mais de toute façon c'est pas pire que sans chiffrement de ce point vue. Cela te protège par contre en partie(*) contre des choses qui se font concrètement maintenant dans la vie de tous les jours lors du vol de machines (vol de données, de crédentials ,etc). La récupération peut être un peu plus compliquée, même si maintenant des efforts ont été faits par les éditeurs, que juste plugguer un disque dur dans une autre machine, mais je pense que protéger 15 ans de vie numérique le vaut.
Tu penses bien que si Apple et Microsoft s'y sont mis, c'est pas juste pour se manger plus d'appels au support.
Le balayer d'un revers de main "parce que c'est compliquaï" est pour moi une position très dangereuse en 2017.
(*) il faut le rappeler, le chiffrement de niveau filesystem ne protège dans la plus part des cas qu'une machine éteinte. Il ne protège pas contre une attaque DMA (kikoo thunderbold, expresscard) ni contre une intrusion par le réseau ou le click sur un PJ pétée(kikoo dridex)
[^] # Re: Un monde
Posté par oinkoink_daotter . En réponse au journal Sécurité et authentification des sites bancaires.. Évalué à 2.
Cela a un autre avantage, pour les utilisateurs, c'est que cela permet de limiter les exigences de dureté sur le mot de passe en question car :
[^] # Re: Un monde
Posté par oinkoink_daotter . En réponse au journal Sécurité et authentification des sites bancaires.. Évalué à 3.
Je ne suis pas spécialiste PCI DSS, donc j'ai été voir la norme (pci_dss_v3-2_3_fr-FR.pdf assez facilement trouvable sur le site PCI DSS).
Les exigences sur les comptes sont décrites au chapitre 8 (page 79 et plus).
Cela commence par une petite note :
Il n'y a a priori pas d'exigences d'authentification forte pour les utilisateurs des cartes demandée par le standard. Pour les utilisateurs (les salariés, en gros) du système manipulant les données, c'est par contre autre chose.
Par ailleurs, en 8.2, on trouve en définition d'une authentification multifacteur :
J'en déduis que le consortium sait ce qu'est une authentification multifacteurs.
[^] # Re: Mot de passe
Posté par oinkoink_daotter . En réponse au journal Sécurité et authentification des sites bancaires.. Évalué à 5.
La partie "tel site a un clavier virtuel donc il faut faire des screenshot dans les fenêtres" est toute prévue dans dridex.
[^] # Re: Un bogue
Posté par oinkoink_daotter . En réponse à la dépêche Sortie du noyau Linux 4.9. Évalué à 3.
Du coup, à quoi sert ce watchdog, s'il ne redémarre pas la machine quand elle est gauffrée ?
[^] # Re: merci !
Posté par oinkoink_daotter . En réponse au journal À quand l'HTTPS par défaut sur LinuxFR ?. Évalué à 8.
Pour la confidentialité :
1) ton authentification (cookie et/ou mot de passe) ne passe pas en clair sur un réseau que tu ne maîtrises pas ;
2) il est beaucoup plus compliqué de relier le contenu de ce que tu postes ou consultes sur un site via un crawling de celui-ci, par rapport à une analyse de ce qui passe effectivement sur le tuyau, ce qui est important quand SFR annonce qu'il va "tester" les publicités ciblées sur son offre TV.
[^] # Re: Virement bancaire
Posté par oinkoink_daotter . En réponse au journal La première année de Liberapay. Évalué à 3. Dernière modification le 08 février 2017 à 17:05.
Je ne sais pas ce que tu veux dire par "uniquement à distance", mais dridex sait prendre des screenshots de ton navigateur quand tu cliques dans des pages qui sont dans une liste donnée pour ce use case.
edit la dessus :
Notamment à cause du fait que SS7 est totalement à la rue niveau sécu, le NIST dit que la double authent par SMS, il faut arrêter. Je pense qu'ils ont des billes pour dire que ce n'est pas "bien sécurisé".
[^] # Re: La commission casse les prix des télécoms
Posté par oinkoink_daotter . En réponse au journal Govtracker - liste de décisions gouvernementales. Évalué à 2.
Des gardes fou spécifiques ont été introduits à la demande des opér^W^Wdu Conseil pour éviter que ce ne soit possible.
[^] # Re: SQL
Posté par oinkoink_daotter . En réponse au journal Linux en rémission ?. Évalué à 2.
En même temps, ça aurait pu être dérivé un dérivé d'Access que ça ne changerait pas grand chose à ce qui a été livré ici car ça embarque en fait un kernel NT fait pour tourner en mode user avec le machin SQL server windows par dessus.
[^] # Re: Lémédia
Posté par oinkoink_daotter . En réponse au journal Élections américaines. Évalué à 4.
En même temps, il est possible que la CIA ou la NSA (d'ailleurs plus probablement la partie whitehat de cette dernière) ait averti le Département d'Etat. Le fait est que l'on ne le saura jamais (ou alors dans 30 ans), grâce à la magie de tampons rouges.
Par contre, il faut que tu comprennes un truc. Cela a beau être la CIA ou la NSA ou n'importe qui, sans moyen légal de le faire, un service de rens ne peut pas faire plier un politique de ce niveau. Le seul truc qu'ils auraient pu faire, c'est rendre utilisable les terminaux mobiles qui étaient obligatoires à l'époque. Mais facile de refaire l'histoire à postériori.
Cela dit, ce n'est pas beaucoup mieux en France, l'Agence ne peut pas contraindre les gars à l'Elysée à arrêter de parler à tord et à travers sur leurs GSM non sécurisés.
(C'est la même logique derrière : l'utilisation de moyens inappropriés pour échanger certaines informations)
[^] # Re: Politique et Apple
Posté par oinkoink_daotter . En réponse à la dépêche Flash d’Adobe à l’agonie. Évalué à 5.
Vous ne parlez pas du même sujet. Enfin, si, mais pas sur les mêmes périodes temporelles.
Il est exact qu'"iPhone OS" 1, l'OS fourni sur l'iPhone original (le 2G) ne permettait pas de faire tourner des applications tierces (et encore, par tierces, il faut comprendre "non fournies dans le firmware de base"). Difficile à l'époque de savoir si c'était une décision délibérée ou si c'était parce qu'Apple était complètement à l'arrache(*) sur son planning, ou que c'était juste prévu pour plus tard, mais le fait est que la pirouette de Jobs pour pallier cela a bien été de dire "faites des webapps, regardez vous pouvez même mettre le favori sur l'écran d'accueil" (à partir de la version 1.1.3). A ce moment là, Apple aurait voulu proposer Flash qu'ils n'auraient probablement pas pu.
L'App Store est arrivé avec iPhone OS 2, dont l'iPhone 2G a bénéficié. Et c'est à ce moment là qu'Apple a du se poser la question de Flash et de son business model. Sort en 2010 le brûlot du regretté Steve sur la techno, qui s'il est globalement exact (Flash sur mobile c'était dla merde pour plein de raisons -consommation, sécurité, paradigme touchscreen-), se garde bien d'aborder les possibles raisons financières de ses choix sur son bizness model. Je pense personnellement qu'une des raisons était aussi que l'architecture de ce qui était iOS à l'époque ne permettait pas de le faire proprement (les "extensions" de Safari, ne sont arrivés que quatre ans après, et elles sont très limitées). Je pense aussi que si cela avait été un problème purement financier, Steve aurait trouvé un terrain d'entente avec Adobe (genre obligation de signature pour les SWF pour exécution sur l'iPhone contre monnaie sonnante et trébuchante, parce qu'on veut protéger les nenfants).
Mais le fait est que même chez Android c'était pas gégène. Les geeks qui avaient ça montraient qu'ils pouvaient s'en servir aux utilisateurs d'iPhone (qui n'avaient pas de copier/coller avant iPhone OS 3). Mais c'était tout, et c'est mort en 2012.
(*) Ne pas oublier que lors de l'annonce à la MacWorld en 2007, l'iPhone ne fonctionnait pas vraiment.
[^] # Re: Petite surprise...
Posté par oinkoink_daotter . En réponse au journal [Tuto/HowTo] SSHFS : mises en place et montage. Évalué à 7.
hop :
[…]
-o allow_root
allow access to root
[…]
[^] # Re: En Bonus
Posté par oinkoink_daotter . En réponse au journal [Tuto/HowTo] SSHFS : mises en place et montage. Évalué à 4.
Je ne sais pas si c'est toi qui opère ce serveur, mais il faudrait dire à l'admin qu'activer HSTS avec un certificat autosigné, c'est vraiment pas une bonne idée.
Les mecs qui n'y ont jamais accédé ne peuvent jamais le faire (sauf à faire des bricoles hardcore)
[^] # Re: Merci pour le partage
Posté par oinkoink_daotter . En réponse au journal [Tuto/HowTo] SSHFS : mises en place et montage. Évalué à 3.
A ma connaissance, concernant SSH, il n'y a pas vraiment eu de sujet depuis cette époque. Le dernier machin à la mode, ce sont les modules, et c'est traité.
Je n'en connais pas vraiment d'autres orienté crypto. Les autres pointent dessus (genre celui de mozilla pointe dessus)
[^] # Re: Je ne suis pas sur de comprendre le probléme
Posté par oinkoink_daotter . En réponse au journal Comme d'habitude, l'UMP l'a voulu, le PS l'a fait, et vice versa. Évalué à 8.
fusion ?
[^] # Re: Merci pour le partage
Posté par oinkoink_daotter . En réponse au journal [Tuto/HowTo] SSHFS : mises en place et montage. Évalué à 3.
Ça, c'est facile, on regarde là
(d'ailleurs, la partie sur les modules a été oubliée dans ce nourjal)
[^] # Re: Alternative?
Posté par oinkoink_daotter . En réponse au journal Point d'étape sur le matériel et nos libertés partie 2. Évalué à 8.
En vrai, ça ne fonctionne pas comme ça.
L'ARCEP ne décide pas du jour au lendemain d'autoriser ou de bannir immédiatement des fréquences :
- il s'est passé trois ans quasi jours pour jours entre l'annonce de la future mise à dispo de la bande des 800MHZ et l'octroi des licences aux opérateurs.
- l'harmonisation des fréquences utilisées à courte portée a été annoncée avec 5 ans de prévenance (http://www.telecommande.info/19-telecommande_garage.html)
Parce qu'au niveau des périphérique ça a un impact.
Ben oui, y a pas que le soft dans la vie. Au delà de la compatibilité intrinsèque du chip qui peut dépendre ou non du soft, il y a toute la partie analogique qui doit être prévue pour ça (les oscillateurs, et la tripaille RF, les amplis, les filtres, etc). Comme ça a un coût récurrent, il y a peu de chances qu'un périphériques pas prévu pour parler sur une gamme de fréquence puisse physiquement le faire, même si on lui demande gentiment, et plus encore, si c'est "loin" de la où c'est prévu. S'agissant du dividende numérique (la bande LTE20), je ne connais aucun exemple de périphérique qui ait été mis à jour durant sa durée de vie pour être compatible par son constructeur, ni aucune success story android.
Un exemple plus haut… ça s'anticipe… Et en 2003/8 c'était le dawa. Mais ça ne changerait pas grand chose. On ne pourrait plus faire un truc que de toute façon personne ne fait.
Hum, ça nous est déjà arrivé dans mon ancienne boîte /o\. Mais ce n'était pas les mêmes bandes de fréquences.
Dans les faits, personne. Ce qui se passerait, à mon avis, serait que l'ARCEP anticiperait son truc, ce serait mis dans les certifications(comme aujourd'hui pour le wifi), et les périphériques non compatibles s'éteindraient avec le renouvellement naturel.
[^] # Re: WiFi & prix
Posté par oinkoink_daotter . En réponse au journal Les routeurs Turris Omnia sont livrés. Évalué à 6.
Ben stadire, que oui, si tu cherches à mettre dans un Network Attached Storage des fonctionnalités pour lesquelles il faut un PC gonflé, ben oui, ça va ramouiller. Et ça ne sera pas terrible pour miner du bitcoin. Par contre, ça gère très bien les volumes raid et la synchro.
Au delà du fait que je ne suis pas sur de comprendre ce que tu as écrit, tu as une vision réductrice du hardware. En creux, tu dis que le RPI a des interfaces de merde. Grande nouvelle, mais ça n'en fait pas une généralité sur les CPU et la quantité de RAM. Sur RPI, vu que tout est sur le même bus USB daubé ce n'est pas étonnant. Syno, de son côté a de vraies interfaces sur des vrais bus.
En plus en le RPI 1 et le 2 la différence c'est pas juste le nombre de cores qui a bougé. Le jeu d'instruction a changé (on passe d'ARMv6 à v7), la fréquence (on prend tranquillou 33%) a augmenté, etc.
Balancé comme ça c'est imbitable. Il n'y a pas de charge CPU, la seule chose qu'on voit c'est que d'un côté y a plus de données (environ 3x) que de l'autre et que le débit réseau en réception est plus important.