Le pouvoir exorbitant des techos [tech]

[Frédéric]

Sinon, l'EFF a évalué la sécurité des messengers que tout un chacun peut utiliser. Ca donne de bons repères :

https://www.eff.org/secure-messaging-scorecard

J'avais souvenir que Whatsapp était super sécurisé car basé sur le protocole TextSecure. Il semble que ce ne soit pas le cas. C'est confusant

[Snoopy]

Hello,

Pour revenir au dossier Apple/FBI, une info intéressante qui rappelle qu'on a toujours intérêt à ne pas réfléchir entre semblables, entre gens qui pensent à l'identique :

J'ai pas pour habitude d'évaluer la pertinence d'une idée en fonction de ce qu'en pense l'ensemble de la population, surtout quand il s'agit d'un sujet technique, et surtout pas quand l'échantillon en question comprend probablement 30% de gens qui soutiennent les idées de Donald Trump.. Les débats contradictoires c'est bien, mais pas avec n'importe qui sinon ça n'a aucun sens. C'est sûr que si tu demandes à l'Américain moyen "Dites, là, il y a Apple qui pourrait déverrouiller un téléphone pour que le FBI puisse arrêter des terroristes, vous pensez que c'est bien ?"il y a peu de chance qu'il s'insurge. Ce qui me rassure en partie, c'est que les personnes plus jeunes (donc généralement plus aux faits des implications techniques) et à tendance démocrate (sans commentaire sur les Républicains) sont tout de même plus sceptiques que la moyenne sur le bien fondé de la demande.

J'ai bien l'impression qu'Apple n'a pas envie d'être le SPOF de son système : si la société édite une version de leur système d'exploitation qui permette d'outrepasser les règles de sécurité inscrites dans chaque iphone, elle devient par là-même le maillon faible du dispositif. En effet, Apple aura en sa possession un passe universel. Malheur si elle se la fait copier (et ça prend moins d'une minute et ça ne laisse pas de trace).

J'ai du mal à deviner si c'est uniquement une position qui arrange Apple d'un point de vue pragmatique en ne voulant pas être mêlé à ce que font les utilisateurs de leurs équipements ou si c'est vraiment un positionnement idéologique. Dans tous les cas, c'est mieux que Bill Gates qui donne plutôt raison au FBI.

J'avais souvenir que Whatsapp était super sécurisé car basé sur le protocole TextSecure. Il semble que ce ne soit pas le cas. C'est confusant

Pareil, tu es sûr que leur tableau est à jour?

[Frédéric]

J'ai pas pour habitude d'évaluer la pertinence d'une idée en fonction de ce qu'en pense l'ensemble de la population, surtout quand il s'agit d'un sujet technique, et surtout pas quand l'échantillon en question comprend probablement 30% de gens qui soutiennent les idées de Donald Trump.. C'est sûr que si tu demandes à l'Américain moyen "Dites, là, il y a Apple qui pourrait déverrouiller un téléphone pour que le FBI puisse arrêter des terroristes, vous pensez que c'est bien ?"il y a peu de chance qu'il s'insurge.

Je discute avec des gens très instruits et pratiquants le web de façon poussée et qui ne sont pas en faveur de la position d'Apple.

Les débats contradictoires c'est bien, mais pas avec n'importe qui sinon ça n'a aucun sens.

Je crois plutôt que ce sont les débats contradictoires entre gens qui sont d'accord entre eux qui n'ont aucun sens !

J'ai du mal à deviner si c'est uniquement une position qui arrange Apple d'un point de vue pragmatique en ne voulant pas être mêlé à ce que font les utilisateurs de leurs équipements ou si c'est vraiment un positionnement idéologique.

Et bien écoute, justement, en discutant ce midi avec des gens qui ne sont pas d'accord avec moi, j'ai trouvé une belle façon d'exprimer la position d'Apple :

"Bonjour, nous sommes Vachette, le N°1 français des systèmes de sécurité, et nous vous vendons une porte blindée. Par contre, nous gardons un double au cas où."

J'avais souvenir que Whatsapp était super sécurisé car basé sur le protocole TextSecure. Il semble que ce ne soit pas le cas. C'est confusant

Pareil, tu es sûr que leur tableau est à jour?

Il y a un changelog en bas de page. La dernière mise à jour date de fin 2015 et l'article de Korben date de fin 2014 ... Très confusant

[Snoopy]

Je discute avec des gens très instruits et pratiquants le web de façon poussée et qui ne sont pas en faveur de la position d'Apple.

Je crois plutôt que ce sont les débats contradictoires entre gens qui sont d'accord entre eux qui n'ont aucun sens ! .

Ne me fais pas dire ce que je n'ai pas dis. Simplement, je ne tiens pas compte de ce genre de sondage de masse fumeux
Par contre les arguments construits de tes contacts techos m'intéressent ! Je suis ouvert aux avis contraires !

"Bonjour, nous sommes Vachette, le N°1 français des systèmes de sécurité, et nous vous vendons une porte blindée. Par contre, nous gardons un double au cas où."

Ben oui, c'est un peu ça
Remarque, c'est encore un peu plus subtil.. Ce serait Vachette qui vous promet une porte inviolable et dont vous êtes le seul propriétaire de la clé mais à qui l'on demande de fabriquer un système permettant d'ouvrir l'ensemble de leurs portes sans les clés associées

[Frédéric]

Par contre les arguments construits de tes contacts techos m'intéressent !

Ben c'est simple : ils ne comprennent pas qu'on puisse résister à un ordre de la justice, surtout dans un contexte pareil (lutte contre le terrorisme). C'est un devoir que d'aider la justice à travailler.

[Snoopy]

Ben c'est simple : ils ne comprennent pas qu'on puisse résister à un ordre de la justice, surtout dans un contexte pareil (lutte contre le terrorisme). C'est un devoir que d'aider la justice à travailler.

Ok, je ne discute pas forcément de la position d'Apple par rapport à la décision de justice. Mon point, c'est avant tout de dire que la décision de justice n'avait pas lieu d'être. Sous couvert de la lutte contre le terrorisme, on peut vraiment faire passer n'importe quoi... Pourtant, la justice devrait être à même de comprendre la notion de précédent. Si Apple met à disposition cette backdoor, comment pourrait-elle la refuser à un état moins démocratique qui enquêterait sur son opposition politique ?

On nous parle aussi de "détruire" le logiciel une fois utilisé, en mode James Bond. Tu es bien placé pour savoir que c'est du foutage de gueule... Connaissant la nature humaine et le prix que peut valoir une telle backdoor sur le marché noir, à combien de temps tu estimes le délai de fuite ?

[Snoopy]

Au passage, il me semble que tu aimes bien ce blog Fred, non ?

[Frédéric]

Et oui, merci Snoopy. Et tu as remarqué : le meilleur expert sécurité (en tout cas le plus exposé médiatiquement) sait reconnaitre qu'il n'avait pas compris comment Apple a sécurisé les iphones :

This essay previously appeared in the Washington Post

The original essay contained a major error.

I wrote: "This is why Apple fixed this security flaw in 2014. Apple's iOS 8.0 and its phones with an A7 or later processor protect the phone's software as well as the data. If you have a newer iPhone, you are not vulnerable to this attack. You are more secure - from the government of whatever country you're living in, from cybercriminals and from hackers." Also: "We are all more secure now that Apple has closed that vulnerability."

That was based on a misunderstanding of the security changes Apple made in what is known as the "Secure Enclave." It turns out that all iPhones have this security vulnerability: all can have their software updated without knowing the password. The updated code has to be signed with Apple's key, of course, which adds a major difficulty to the attack.

J'aime beaucoup l'esprit d'engagement et d'humilité mélangé à la quête d'excellence qui règne en maître dans la communauté des experts sécurité en mode défensif. Une valeur absolue.

Très inspirant.

[Pierre]

A quand une présentation au futur d'Issy ?

[Snoopy]

Et encore un peu d'eau à ajouter à notre moulin. Récemment, une faille de sécurité assez énorme dénommée DROWN a été rendue publique.
Pour les plus technophiles, la faille exploite le fait que certains serveurs supportent une technologie depuis longtemps dépréciée : SSLv2.
Il faut savoir que cette faille rend vulnérable plus d'un tiers des serveurs HTTPS au monde, et dans certaines conditions, même ceux qui n'implémentent plus cette vieille technologie au profit de TLS (pour plus de détails, MP).
La faille est relativement "facilement" exploitable, et à moindre coût. Des sites/services comme yahoo, ovh, orange sont notamment touchés. Je vous laisse imaginer le bordel.

Quel est le rapport avec le ski vous allez me dire. Le voici :

What factors contributed to DROWN?

For the third time in a year, a major Internet security vulnerability has resulted from the way cryptography was weakened by U.S. government policies that restricted exporting strong cryptography until the late 1990s. Although these restrictions, evidently designed to make it easier for NSA to decrypt the communication of people abroad, were relaxed nearly 20 years ago, the weakened cryptography remains in the protocol specifications and continues to be supported by many servers today, adding complexity—and the potential for catastrophic failure—to some of the Internet’s most important security features.

The U.S. government deliberately weakened three kinds of cryptographic primitives: RSA encryption, Diffie-Hellman key exchange, and symmetric ciphers. FREAK exploited export-grade RSA, and Logjam exploited export-grade Diffie-Hellman. Now, DROWN exploits export-grade symmetric ciphers, demonstrating that all three kinds of deliberately weakened crypto have come to put the security of the Internet at risk decades later.

Today, some policy makers are calling for new restrictions on the design of cryptography in order to prevent law enforcement from “going dark.” While we believe that advocates of such backdoors are acting out of a good faith desire to protect their countries, history’s technical lesson is clear: weakening cryptography carries enormous risk to all of our security.

[Snoopy]

Le Haut-Commissaire des Nations unies aux droits de l'homme enfonce le clou...

Conflit entre Apple et le FBI : l'ONU inquiète des conséquences

« Dans le but de régler un problème de sécurité relatif au chiffrement des données dans un cas bien précis, les autorités risquent d'ouvrir la boîte de Pandore, avec des implications qui pourraient être extrêmement dommageables pour les droits de l'Homme de millions de personnes, y compris pour leur sécurité physique et financière »

[Juliian]

Par contre les arguments construits de tes contacts techos m'intéressent !

Ben c'est simple : ils ne comprennent pas qu'on puisse résister à un ordre de la justice, surtout dans un contexte pareil (lutte contre le terrorisme). C'est un devoir que d'aider la justice à travailler.

Pour le coup je trouve ça dommage. Tu valorises l'avis de tes amis par le fait qu'ils sont très instruits d'internet, mais l'argument invoqué pourrait venir du tout venant. (Mme michu peut légitimement avoir le même) En plus, je le trouve vraiment contestable.

Mais bon, je ne pense pas qu'il soit opportun de lancer un débat sur l'équilibre des pouvoirs (et des forces) entre le legislateur, l'exécutif et les citoyens.

[Frédéric]

Hello Juliian,

l'argument invoqué pourrait venir du tout venant. (Mme michu peut légitimement avoir le même) En plus, je le trouve vraiment contestable.

Contestable et contesté Mais tous les points de vue doivent être entendus, sinon on reste entre semblables et ça n'a pas d'intérêt (je trouve).

Mais bon, je ne pense pas qu'il soit opportun de lancer un débat sur l'équilibre des pouvoirs (et des forces) entre le legislateur, l'exécutif et les citoyens.

Tant que les messages cadrent avec la charte du forum, c'est bon. Je pense à ce point en particulier :

4. Teneur des messages :

Les participants au forum s’interdisent d’écrire :

- tout propos diffamatoires, injurieux, insultants, violents ou susceptibles de tomber sous le coup des lois en vigueur en France. Leur responsabilité pourra être engagée en cas de manquement à cette règle.

- des messages exprimant des idées politiques ou religieuses de façon trop appuyées.

- des messages dans le but de nuire au forum tel que le flood ou bien ceux générant une mauvaise ambiance ou un mauvais esprit.

- de la publicité. Après un certain temps passé sur les forums, vous pouvez évoquer vos bons plans, si ces évocations restent dans le fil de discussion auquel vous participez.

[Snoopy]

Petit extrait d'un bel article sur le manque de représentativité féminine dans le monde des techos. Fred, tu constateras que ça va dans le sens de ce que je te disais déjà en PM

Quant aux petites filles, les années 90 furent enfin l'occasion de se familiariser avec l'ordinateur, qui entre temps était devenu «user friendly», à base d'interface graphiques cachant sous des souris et des fenêtres une complexité qu'il n'était plus du tout indispensable d'appréhender pour les utiliser. Cette nouvelle génération d'ordinateur, moteur de la future ubiquité de l’informatique personnelle, a également, et paradoxalement, constitué une nouvelle barrière à l’entrée du «hacking» : pour dépasser le stade de simple «utilisateur», il fallait vraiment en vouloir. Avec l’arrivée des «tablettes», le fossé entre les utilisateurs et ceux qui savent se creuse encore un peu plus. Bref, le problème est loin d’être réglé, bien au contraire.

[Frédéric]

Hello Snoopy,

Possible que Millenium crée des vocations chez les hackeuses : comprendre les outils, c'est la meilleure façon de se protéger. C'est aussi l'une des conclusions que j'ai tiré du dernier débat ce soir ou Jamais dédié à l'essor de l'intelligence artificielle. C'est vrai que le débat éducatif repose pas mal sur la dialectique "savoir pousser un bouton" => devenir pousse-bouton, contre "savoir créer le bouton" => devenir producteur de valeur.

Après, il y a aussi la métaphore du scribe égyptien qui peut servir pour décrire la situation : cette caste était la seule à comprendre l'écriture, et avait de ce fait un pouvoir exorbitant.

Bienheureux ceux qui savent lire et produire la matrix d'aujourd'hui, tout simplement

[Dav92]

Au sujet d'apple et "le compte suisse dans la poche"
https://www.youtube.com/watch?v=YsDijAoxG9g

[Snoopy]

Haha excellent Dav92 !
Nos politiques s'y mettent aussi.

ALERTE ENLÈVEMENT : malgré d'intenses recherches, toujours aucune trace de la dignité de Bernard Cazeneuve. Nos pensées vont aux victimes. Nos dirigeants n'attendent même plus le lendemain pour la récupération politique...

Cazeneuve : « Ceux qui nous frappent utilisent le Darknet »

[Snoopy]

Je rebondis simplement sur une affirmation que j'avais faite il y a quelques temps.

"Si vous avez quelque chose à cacher, c'est que vous avez quelque chose à vous reprocher".

J’avais déjà commenté cette absurdité dans un précédent post que je ne retrouve plus en invoquant le fait que c’était un frein à la curiosité intellectuelle, à l’ouverture au monde et à l’innovation.

Apparemment, je ne suis pas le seul de cet avis. Mieux, ce n'est plus qu'un avis, c'est un fait... et c'est triste.
New Study Shows Mass Surveillance Breeds Meekness, Fear and Self-Censorship

[SteveFox]

En parlant du pouvoir des techos ...

Moi et d'autres personnes, dont certaines pas du fort mais inscrites aussi sur la mailling list du fort, avons reçu une invitation LinkedIn de la part de l'admin du forum alors qu'on ne le connait pas, ou plutôt connaissait pas ... ?

[Frédéric]

Arf, désolé ! Nous sommes victimes d'un processus automatique de LinkedIn ! Mettez l'invit' à la poubelle, mercii