IInfraction au principe n°1 de la gestion de l'information et atteinte grave et délibérée à l'intelligence de l'utilisateur relevée ce matin, en flagrant délit :
La FAQ d'un service de messagerie instantanée prétendument auto-destructible, BigString, explique que votre correspondant ne pourra garder aucune trace de vos messages, ni les imprimer, ni rien.
Je n'ai que peu de crainte que ce genre de publicité mensongère abuse les visiteurs réguliers du présent site, mais je souhaite contribuer à diffuser l'information sur ce genre d'arnaque (parlez-en à vos amis).
II J'en profite pour vous demander quelle solution de chiffrage vous recommandez, cher lazyweb, pour le grand public (kgpg est vraiment facile d'utilisation, et bien intégré à la messagerie et au reste, sous LinuxKDE, mais pour nos correspondants encore sous l'influence du côté obscur ?). Sans oublier les questions la plus fondamentale : comment bien choisir sa passphrase, comment bien stocker sa clef privée quand on n'est pas un geek et qu'on a mauvaise mémoire ?
# Cryptage grand pubblic
Posté par libre Cuauhtémoc . Évalué à 2.
http://fr.wikipedia.org/wiki/PGP
Maintenant, ce système clef publique/clef privée pour la correspondance etc... je la trouve lourde pour moi alors pour la famille Van Den Michuploum , j'ai bien peur que cela soit rebarbatif comme méthode.
Cette méthode convient bien par exemple pour ssh, où c'est la même personne qui gère les deux clefs.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Gof (site web personnel) . Évalué à 5.
en quoi est-ce lourd ?
Et en quoi via ssh (que la famille de Michu ploum n'utilise de toute façon pas) est-il moins lourd parce que la même personne gère les deux clef ?
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 4.
Et il faut renouvellera ça pour chaque amis
Et les explications, tu peux pas les scripter contrairement au déploiement de clefs ssh
Après ,si tu as un script qui explique à des non informaticiens comment récupérer une pièce jointe, comment la sauvegarder, puis comment déchiffrer un mail chiffré, propose nous le template.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Gof (site web personnel) . Évalué à 4.
Et pour les explications, une bonne URL vers un didacticiel.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par feth . Évalué à 2.
Ce que je recherche, c'est le même niveau d'intégration pour les autres OS (y compris pour les xfceux/gnomeux débutants).
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 3.
quelques difficultés pour novice:
1- Comment créer sa clef?
2- Comment la distribuer sur un serveur,et d'ailleurs, quels sont les serveurs de clefs ?
3- Importer un clef ? comment ça ?
5- Pfiou, trop compliqué ton truc, t'a pas plus simple ?
Ce serait si simple, gpg se serait imposer, or à part certains utilisateurs avancées, personne ne chiffre ses mails, et ce même s'ils ont connaissance de la chose..
D'ailleurs, je ne pense pas que ce soit à l'utilisateur de crypter le message, mais aux facettes non utilisateur (protocol/transport etc... ) d'être sécurisé, moi ce que je veux c'est faire fro mscratch "nouveau mail", mettre les adresses mails, et que mon correspondant puisse lire mes message.
J'avais déjà tester de mo ntemps geek en chiffrant mes messages. Malgré l'envoie de ma clef publique, 99% des messages avaient poru réponse "jee peuxx pas lire ton mail".
Puis je me suis rendu compte que la plupart des users lisaient leurs mails via webmail et no nvia un client pop/imap.
Moi même, récemment j'ai testé thunderbird, et bien je préfère l'interface web de gmail, je sais pas pourquoi, mais c'est comme ça.
My 2cts
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Sébastien Le Ray . Évalué à 2.
C'est vrai que c'est vachement plus compliqué que des trucs du genre configurer un compte pop ou un serveur d'envoi SMTP...
La création/distribution de clé ça se fait une fois, pour l'import de clés, tous les clients mails ont un plugin...
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 6.
1- c'est ecrit sur la notice du FAI
2- ils t'apellent pour leur demander de configurer leur lient pop/smtp.
3- ils utilisent le webmail
Ca se voit que toutes tes connaissances ne sont pas novice en informatique.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Thierry Thomas (site web personnel, Mastodon) . Évalué à 2.
Et alors ?
J'utilise régulièrement un webmail (Horde / IMP) et je lis sans
difficultés les messages chiffrés, et il me vérifie la signature des
courriers signés, gpg ou S/MIME.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 3.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Olivier Grisel (site web personnel) . Évalué à 3.
http://getfiregpg.org/
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 4.
Je devrais donc imposer firefox à moi même et à mes contacts ?
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Juke (site web personnel) . Évalué à 1.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 3.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par jeffcom . Évalué à 8.
ПаЗaПата : je suis avec toi... et je n'ai malheureusement pas de réponse...
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par libre Cuauhtémoc . Évalué à 2.
Je sais que si la pdm de gpg n'est pas de 10% parmi les utilisateurs avancées de linux, c'est qu'il y a un ENORME problème
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par feth . Évalué à 4.
Tu réponds sans savoir, un peu comme si tu disais «pour écrire un blog c'est super compliqué, il faut connaître http, apache, avoir un serveur web bien configuré, un shell etc».
Tu as peut-être raison pour les mauvais webmails (et si aucun ne sait vérifier une signature alors ils sont tous mauvais).
Pour le reste, pour les gens normaux qui ont un bureau 'clients lourds' pas web2.0, kgpg sait créer une clef, kgpg sait l'exporter vers le serveur de clefs par défaut, sans enquiquiner l'utilisateur. Le résultat est que des novices un peu éclairés* savent très bien s'en servir, y compris envoyer des messages chiffrés / signés à des destinataires choisis.
La question que je pose est simplement : y a-t-il une interface aussi intégrée et pratique pour les autres environnements de bureau ?
*Twain: «They did not know it was impossible, so they did it!»
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Benjamin Lannoy . Évalué à 3.
Sous GNOME, il y a Seahorse que je trouve très bien.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par seginus . Évalué à 2.
[^] # Re: Cryptage^W Chiffrement grand pubblic
Posté par Benjamin Lannoy . Évalué à 2.
Gnome-keyring-manager a été abandonné par GNOME 2.22 au profit de Seahorse. ;)
[^] # A propos des webmail et du chiffrement
Posté par santos . Évalué à 3.
Le but du chiffrement, c'est de garantir la confidentialité du message d'un bout à l'autre de la chaine.
Déchiffrer le message via un webmail, c'est de déchiffrer sur le serveur (qu'on ne me parle pas de le déchiffrer en local avec du javascript ^^). Donc ça casse la chaine...
Même si entre le serveur et le navigateur, on utilise du https, il faut quand-même être conscient de ce point. D'autant plus important que les webmails, y compris au niveau professionnel, se répandent et risquent de remplacer à terme le client lourd.
Les solutions qui pourraient résoudre ce problème, ce sont celles du type Adobe Air, où le déchiffrement pourrait plus facilement s'effectuer en local.
[^] # Re: A propos des webmail et du chiffrement
Posté par feth . Évalué à 2.
Cela dit, sans controverse, on a déjà la vérification de signature et ça n'est pas rien, je rêve d'un monde où ceux qui envoient des blagues powerpoint et des hoax sans les signer, n'ont de lecteur que /dev/null.
Pour ce qui est du déchiffrement, pourquoi pas un plugin de navigateur ? On a bien flash, tous autant que vous êtes non (pas moi ;) ?
À un moment il faut arrêter la parano et le syndrome NotInventedHere (tu vérifies l'implémentation et la preuve algo de ton chiffrement ?) et grimper les échelons de la sécurité un par un.
Mon souci c'est le grand public, là. La signature des échanges (mails, messagerie instantanée, documents...) serait à elle seule un grand pas.
# pidgin encryption
Posté par flagos . Évalué à 3.
http://pidgin-encrypt.sourceforge.net/
La clé est générée automatiquement, enregistrée dans les préférences de l'utilisateur et le tout est totalement transparent pour l'utilisateur. Et au final, le logiciel ne prend pas trop de temps a calculer a chaque fois que l'on tape un message. J'ai trouve ca assez pratique, surtout que c'est multiplateforme et multiprotocole.
[^] # Jabber
Posté par Gof (site web personnel) . Évalué à 2.
[^] # Re: Jabber
Posté par Sarcastic . Évalué à 5.
Chacun des serveurs possédant les clés de chiffrement, chaque serveur peut lire les messages en clair. Par contre le transport des messages est protégé, en effet.
Pour un chiffrement de bout en bout, il faut un plugin (ou alors que le logiciel le gère nativement, comme Gajim, par exemple). Et ça revient au même, faut gérer les clés, que le contact ait un logiciel qui gère ça, et au final, c'est pas plus simple.
[^] # Re: Jabber
Posté par niclone (site web personnel) . Évalué à 4.
Pour un chiffrement de bout en bout, il n'est pas utile que l'utilisateur gère les clefs. Des clefs aléatoire peuvent très bien être généré à l'établissement de la connexion. C'est uniquement si l'ont veut être sûr de l'identité de l'interlocuteur qu'il est nécessaire de stocker des clefs (et donc que l'utilisateur puisse gérer cela), mais cette étape peut être optionnel.
[^] # Re: Jabber
Posté par eon2004 . Évalué à 3.
[^] # Re: Jabber
Posté par Benjamin Lannoy . Évalué à 1.
Disons que c'est un moindre mal.
[^] # Re: Jabber
Posté par Elfir3 . Évalué à 0.
[^] # Re: Jabber
Posté par feth . Évalué à 2.
[^] # Re: Jabber
Posté par Juke (site web personnel) . Évalué à 2.
pidgin
[^] # Re: Jabber
Posté par Gof (site web personnel) . Évalué à 3.
Et la vérification des cléfs, quand elles sont automatiquement générée par le client, est pas très user friendly.
Par exemple, un serveur jabber qui utiliserais ce module peut déchiffrer les messages chiffté avec pidgin encryption ou OTR : http://www.ejabberd.im/mod_otr
[^] # Re: pidgin encryption
Posté par feth . Évalué à 2.
Non, les préférences d'un logiciel ne sont pas une solution fiable, on a besoin de quelque chose qui résiste à l'oubli de la passphrase et au vol du matériel. J'ai pensé à un coffre-fort bancaire.
[^] # Re: pidgin encryption
Posté par Olivier Grisel (site web personnel) . Évalué à 2.
Voici un porte clef numérique bien pratique :
http://pypi.python.org/pypi/virtualkeyring/
$ vkr
master password: <tapper ici le mot de passe principal>
domain key [e.g. 'login@host']: <tapper ici la clef de domaine>
your password is: hRnf6udB
please clean your console (ctrl-L) after usage
Il suffit de ne memoriser que le mot de passe principal, les vrais mot de passe son regenerables avec vkr. Aucun mot de passe n'est stocké sur disque.
Par contre si gpg exige un mot de passe de plus de 8 charachteres il faudra hacker le script python ci-dessus pour changer la taille.
[^] # Re: pidgin encryption
Posté par feth . Évalué à 2.
Les passphrases font hélas plus de 8 caractères.
kwalletmanager supporte d'ailleurs des données arbitraires (mais pas ton algorithme).
Reste la question du stockage physique et durable de ces données sensibles.
[^] # Re: pidgin encryption
Posté par z a . Évalué à 4.
[^] # Re: pidgin encryption
Posté par Olivier Grisel (site web personnel) . Évalué à 1.
# Quel rapport entre I et II ?
Posté par Mes Zigues . Évalué à 1.
C'est même carrément impossible !
[^] # Re: Quel rapport entre I et II ?
Posté par feth . Évalué à 3.
Le rapport c'est le public cible : le grand public un peu éclairé.
[^] # Re: Quel rapport entre I et II ?
Posté par Uriel Corfa . Évalué à 2.
[^] # Re: Quel rapport entre I et II ?
Posté par feth . Évalué à 5.
# WinPT
Posté par Aurélien Bompard (site web personnel) . Évalué à 2.
WinPT : http://winpt.sourceforge.net/fr/
Il paraît que c'est bien. Ca utilise la version windows de GPG.
[^] # Re: WinPT
Posté par Benjamin (site web personnel) . Évalué à 2.
Si le but est d'utiliser le chiffrement pgp/gpg pour votre email, y compris sous windows, je conseille violemment et des deux mains ENIGMAIL : extension pour thunderbird qui permet d'utiliser gpg.
Il inclus par ailleurs un gestionnaire de clés très ergonomique, très bien traduit, et tout.
et s'ils utilisent outlook ou outlook express, commencez d'abord par comprendre (et faire comprendre) que le premier probleme de sécurité est dans l'obscurité, l'instabilité, (la mauvaise implémentation des protocoles pour les plus ouverts) et que thunderbird pour windows est un excellent client de messagerie ;)
après (plus tard) on pourra leur parler d'enigmail hein ;)
Utiliser pgp sous outlook, c'est ... comment dire ... particulier. Cela me rappelle les principes furieux de sécurité des grands groupes, paranos à souhaits, mais qui laissent les utilisateurs sans aucune formation de base à la sécurité, et laissent donc ces derniers ouvert au plus petit social engineer ;)
[^] # Re: WinPT
Posté par Larry Cow . Évalué à 3.
Surtout quand on pense que TB gère "hors-de-la-boîte" le chiffrement et la signature par X509. Par moments, j'hésite à monter une petite PKI pour les gens dont je suis amené à gérer la messagerie, mais je regrette qu'il n'existe pas de truc centralisé pour échanger les clés publiques des certificats racines des "perso-PKIs" de ce genre...
[^] # Re: home-made-pki
Posté par Benjamin (site web personnel) . Évalué à 2.
Normalement, X509 prévoit une URL de vérification des certificats. Je ne sais plus trop si cela permet aussi (mais je crois que oui) de télécharger les certificats automagiquement, mais bon ...
globalement, X509 ca pue quand même pas mal de part son aspect centralisé. GPG, avec son côté "web-of-trust" est quand même bien plus adapté aux concepts de base de la vie privée qui est aussi de ne dépendre de personne, y compris d'une autorité de certification en qui nous devons, finalement, avoir confiance pour ne pas générer dans notre dos un second certificat valide à notre adresse dont ils disposeront de la clé privée et qui leur permettra de se faire passer pour nous ...
Bref, en résumé : vivement qu'enigmail pour windows soit packagé avec un ch'tit installeur de GPG tout propre ... ah, on me souffle dans mon oreillette que ça existe (...) (pas retrouvé cela dit)
[^] # Re: home-made-pki
Posté par Larry Cow . Évalué à 2.
X509 est prévu pour être centralisé, et j'irais pas jusqu'à dire que ça pue, ne serait-ce que parce qu'en entreprise c'est _très_ pratique. Mais on peut imaginer simplement truc à mi-chemin entre les deux mondes : des "petits" admins de messagerie qui s'échangent leurs racines respectives de manière à ce que leurs ouailles puissent communiquer simplement (i.e. sans extension requise, notamment).
Par contre, si tu retrouve l'installeur "complet", je suis preneur. Mais je reste dubitatif quant à la manière dont les "gens normaux" vont gérer leur "confiance". Quand on voit le comportement des gens face à Facebook (entre autres), je les voit assez mal avoir une gestion "saine" de leur réseau de confiance.
# moi et mes copines
Posté par Anonyme . Évalué à 1.
c'est bien suffisant pour eviter que l'admin ne lise pas les mail
il y a moulte site qui propose de le faire, et au pire un petit script php hebergé a la maison suffit amplement.
http://www.rot13.com
vy l n zbhygr fvgr dhv cebcbfr qr yr snver, rg nh cver ha crgvg fpevcg cuc uroreté n yn znvfba fhssvg nzcyrzrag.
uggc://jjj.ebg13.pbz
[^] # Re: moi et mes copines
Posté par Uriel Corfa . Évalué à 5.
[^] # Re: moi et mes copines
Posté par phoenix (site web personnel) . Évalué à 1.
[^] # Re: moi et mes copines
Posté par libre Cuauhtémoc . Évalué à 7.
[^] # Re: moi et mes copines
Posté par Christophe --- . Évalué à 6.
Vite, pose un brevet!
Claim: A technique to encrypt a message using a user built-in technique
Y'a des millions à faire sur ce coup!
</humour>
[^] # Re: moi et mes copines
Posté par Pierre Carrier . Évalué à 6.
[^] # Re: moi et mes copines
Posté par Anonyme . Évalué à 2.
surtout pour des conversation privée.
[^] # Re: moi et mes copines
Posté par Ellendhel (site web personnel) . Évalué à 4.
Et puis c'est surtout useless : utiliser du ROT13 c'est à peu près le niveau zéro de la sécurité.
Mieux vaut aucune sécurité qu'un faux sentiment de sécurité.
Ou alors tant qu'à faire dans le "fastidieux" il faut utiliser GPG (déjà évoqué plus haut, avec son cortège de trolls).
[^] # Re: moi et mes copines
Posté par Guillaume D. . Évalué à 4.
https://addons.mozilla.org/en-US/firefox/addon/770
simple clic de droite pour encoder en :
L337, ROT13, BASE64, HEX, URL, BIN, DES, AES, Morse code, DVORAK
[^] # Re: moi et mes copines
Posté par Anonyme . Évalué à 2.
par exemple, decrypt aes mot de passe linuxfr :
5SEzMyHtdhkBITAhITAhLXwhMTAh69FIEIUHSFWAMUwTudktWv7nTdpHk1mBx4e3ECEwIQXLLXoD
HfJ/N3Qo+P+7
simple efficace pas possible de le decrypter sans le mots de passe ! marche avec le webmail etc ...
pareil avec des (linuxfr)
FH/hmxVRcGNKsPmpjEwwk4pn9oE9YJULzJ/WqEVBNXs=
encore plus facile que gpg !
# Screenshot ?
Posté par superna (site web personnel) . Évalué à 2.
J'ai un sérieux doute sur le coup :-p
[^] # Re: Screenshot ?
Posté par Tonton Benoit . Évalué à 2.
Du grand n'importe-quoi !
[^] # Re: Screenshot ?
Posté par Christophe --- . Évalué à 4.
Je n'ai pas de réponse parfaite à te fournir car je n'ai pas testé le truc, mais voici quelques pistes techniques, d'après mes experiences:
- j'ai vu sur le site qu'il faut installer un plug-in, donc déjà avec un truc qui tourne sur la machine locale, ça aide beaucoup...
- une technique "simple" serait de détourner l'utilisation des fonctions d'overlay des cartes graphiques;
- on peut mettre des wrappers sur les appels systèmes des fonctions clés.
Explications sur l'overlay:
Afin d'accélérer les affichages vidéo, au lieu de copier le flux décodé dans la mémoire vidéo, on demande à la carte d'aller le chercher (et au passage d'appliquer une opération dessus, comme la conversion YUV->RGB) dans la mémoire centrale. C'est par exemple ce que fait l'extension xv sous Linux/X11.
Pour ce faire, on met dans la fenêtre en question seulement un fond d'une couleur donnée (la chroma-key), et la carte s'occupe du reste. L'effet secondaire, c'est que lors d'une copie d'écran... on ne capture que la chroma-key et pas la vidéo...
Explications sur les wrappers:
Je me souviens que sous Windows on peut installer des hooks, c'est à dire des fonctions à sois que le système va appeler lors d'un appel à une fonction donnée pour pré-/post-traiter les infos.
Par exemple, on peut le faire sous linux avec LD_PRELOAD, ce qui est moins coopératif que la demande par les fonctions *Hook* de Windows, mais tellement plus souple.
[^] # Re: Screenshot ?
Posté par Sarcastic . Évalué à 3.
[^] # Re: Screenshot ?
Posté par Christophe --- . Évalué à 4.
heu... oui mais non, y'a justement un complot en cours pour vendre des écrans de portables brillants plutôt que mates, justement pour que le flash éblouisse l'écran et empèche la photo... Ils ont pensé à tout !
</humour>
[^] # Re: Screenshot ?
Posté par yellowiscool . Évalué à 2.
(car l'hdmi spécial drm, c'est pas un succès).
Envoyé depuis mon lapin.
# Je note quand-même avec joie…
Posté par Benjamin Lannoy . Évalué à 3.
Available for any web browser
\o/
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.