La jeune société Lupo Libero SASU vient de lancer une campagne de financement participatif pour développer un service de stockage de fichiers en ligne, type Dropbox ou Google Drive, en logiciel libre (licence MIT) et avec un très haut niveau de protection de la vie privée. Il n'y a donc pas encore de code source disponible.
Ce service permettrait dans un premier temps de :
- stocker des fichiers et répertoires, pour archivage ou pour y accéder à distance ;
- partager ces données (photos, vidéos, etc.) avec d'autres personnes ;
- synchroniser son espace en ligne avec un répertoire de son ordinateur.
À la différence de nombreux services concurrents, les fichiers seront chiffrés (= verrouillés) sur l'ordinateur de l'utilisateur, avant d'être envoyés sur les serveurs. Ainsi une personne accédant légitimement (ex : un administrateur) ou non (ex : un pirate) aux serveurs ne pourra y obtenir des informations sur la vie privée des utilisateurs.
La libération et la sécurisation du stockage en ligne grand public est la première étape du projet Lupo Libero. L'objectif n°2 sera probablement de concurrencer Facebook. Et un peu plus loin dans notre feuille de route l'on peut trouver : "révolutionner internet".
Les personnes intéressées trouveront plus d'informations en lisant le (long) texte de présentation de la campagne de financement sur le site Indiegogo (lien ci-dessous). Si vous souhaitez suivre ce projet, il y a une page Twitter et une page Facebook.
Aller plus loin
- Campagne de financement (525 clics)
- Site officiel Lupo Libero (1141 clics)
- Page Twitter (46 clics)
- Page Facebook (63 clics)
# et Seafile
Posté par Laurent J (site web personnel, Mastodon) . Évalué à 10.
J'ai du mal à voir ce que cela apporte de plus par rapport à Seafile
[^] # Re: et Seafile
Posté par gnumdk (site web personnel) . Évalué à 5.
J'allais le dire, Seafile le fait déjà et j'en profite pour dire tout le bien que je pense de cet outils!
Je l'ai découvert dernièrement grâce à DLFP et franchement, j'ai 300 Gio de données dessus, ça marche juste au poil, je partage pas mal de chose avec ma soeur et ma copine, c'est juste génial cet outil!
[^] # Re: et Seafile
Posté par lupolibero . Évalué à 10.
SeaFile propose un service similaire avec des différences qui ne me semblent pas négligeables. On peut installer SeaFile sur son propre serveur ou on peut utiliser SeaCloud, le cloud proposé par la société Seafile et qui utilise le logiciel SeaFile.
Je vais commencer par SeaCloud :
Après avoir testé et analysé (avec un simple Firefox) les requêtes, il apparaît clairement que SeaCloud ne fait pas du chiffrement côté client ce qui va à l'encontre de ce qui est décrit dans la documentation de SeaFile. Je trouve cela extrêmement malhonnête de ne pas prévenir clairement l'utilisateur que le niveau de sécurité de SeaCloud est largement inférieur à celui de SeaFile ou du moins à celui que SeaFile prétend avoir car je n'ai pas testé SeaFile en l'installant sur un serveur.
Extrait du wiki (https://seacloud.cc/group/3/wiki/faq-for-security-features/) :
Dans l'application, au moment d'accéder à une partie chiffrée, on a le message :
Je ne sais pas ce qu'il en est de SeaFile, si on l'installe sur un serveur ou si un autre prestataire le propose, mais SeaCloud n'a pas le niveau de sécurité que nous souhaitons proposer car il ne chiffre pas les données sur l'ordinateur de l'utilisateur.
Venons en à SeaFile. L'outil est bien fait et peut correspondre à certains usages, mais il n'est pas équivalent à ce que nous proposons :
Les fichiers ne sont pas chiffrés par défaut : il faut volontairement créer une "library" (ou "bibliothèque" : une collection de documents et répertoires) chiffrée. Dans le système que je propose tout est chiffré est c'est important car c'est une protection additionnelle pour les données sensibles : elles n'attirent pas plus l'attention que des données sans importance.
Si on chiffre une "bibliothèque", on peut la partager, mais on ne peut pas partager un seul fichier ou répertoire à l'intérieur ce cette "bibliothèque". Donc on ne peut pas compenser le #1 en mettant tous ses fichiers dans une "bibliothèque" chiffrée sans renoncer à la possibilité de partager ses fichiers.
Lorsque l'on partage une "bibliothèque" avec une autre personne utilisatrice de SeaCloud, il faut lui communiquer le mot de passe de celle-ci manuellement. La probabilité que cet échange de mot de passe se fasse par un canal peu ou pas sécurisé me semble malheureusement assez grande.
D'un certain côté cela peut-être vu comme un avantage : il faut plus de mots de passe pour accéder à une donnée partagée. Mais c'est à mon avis une erreur : si 23 personnes partagent avec moi des "bibliothèques" chiffrées, je dois retenir 24 mots de passe (23 + celui d'authentification à mon compte), donc je vais…. les écrire sur un bout de papier ou demander à ces 23 personnes d'arrêter de chiffrer leurs données. La sécurité résiste très mal face à l'expérience utilisateur.
SeaFile peut être tout à fait satisfaisant pour de l'archivage, pour une utilisation sans chiffrement ou pour partager le même contenu chiffré avec toujours les mêmes personnes.
Nous proposons un système dans lequel toutes les données sont chiffrées par défaut et où il facile de partager un seul fichier avec une autre personne, sans dévoiler ses autres données et sans définir de mots de passe additionnels.
[^] # Re: et Seafile
Posté par gnumdk (site web personnel) . Évalué à 4.
Seacloud est un service payant et j'imagine que le "browser side encryption" n'est actif que pour les comptes payants ;)
[^] # Re: et Seafile
Posté par lupolibero . Évalué à 6.
Je n'en suis pas convaincu. Et si c'est le cas, je suis très surpris qu'ils ne s'en servent pas comme argument de vente dans leur Pricing Plan (http://seafile.com/en/product/cloud_service/) et je trouve cela assez malhonnête de ne pas informer plus clairement l'utilisateur.
[^] # Re: et Seafile
Posté par gnumdk (site web personnel) . Évalué à -7.
Et moi je trouve aussi malhonnête de ne pas leur demander si ce ne serait tout simplement pas une erreur…
[^] # Re: et Seafile
Posté par gnumdk (site web personnel) . Évalué à 2.
C'est pas un peu bidon comme argument, t'as tenté d'envoyer un patch pour avoir une option coté serveur qui force les bibliothèques chiffrées?
[^] # Re: et Seafile
Posté par lupolibero . Évalué à 3.
A mon sens ce problème est le moins important et le plus facile à modifier de la liste. Comme je l'ai écrit en-dessous, le chiffrement généralisé (que l'on pourrait effectivement mettre en place avec SeaFile), n'est pas compatible avec le partage sélectif (un seul fichier avec une seule personne sans dévoiler le reste) et même si il l'était il resterait ce grand nombre de mots de passe à gérer.
[^] # Re: et Seafile
Posté par gnumdk (site web personnel) . Évalué à -1.
Toujours pareil, propose un patch…
Mais bon, tu peux aussi essayer de refaire la même chose qu'eux… Vu le nombre de projets qui rament loin derrière Seafile sur la partie synchro de fichiers, bon courage…
[^] # Re: et Seafile
Posté par Arkem . Évalué à 2.
J'ai dû mal comprendre quelque chose, je pense. Comment fais tu pour partager un fichier crypté côté client sans fournir le mot de passe à la personne avec qui tu partage si le serveur ne peut pas décrypter?..
[^] # Re: et Seafile
Posté par lupolibero . Évalué à 4.
En fait, les fichiers sont chiffrés avec des clés symétriques générées de manière aléatoire (sans rapport avec le mot de passe de l'utilisateur). Pour partager avec une personne qui a également un compte, il suffira de choisir son nom et techniquement la clé de chiffrement du fichier lui sera envoyé, chiffrée avec sa clé publique. Ainsi, l'utilisateur avec qui on partage aura accès au fichier sans mot de passe additionnel.
Sylvain
[^] # Re: et Seafile
Posté par lasher . Évalué à 2.
La crypto asymmétrique aide bien, je suis d'accord, mais est-ce que ça ne va pas être SUPER long ? À moins que tu ne le fasses que dans le cas de sous-ensemble de fichiers à partager avec un tiers précis…
[^] # Re: et Seafile
Posté par lupolibero . Évalué à 3.
Non il ne s'agit pas de tout chiffrer en asymétrique, mais seulement les clés symétriques à échanger entre les utilisateurs. Les fichiers, eux, sont chiffrés avec ces clés symétriques.
Sylvain
[^] # Re: et Seafile
Posté par lasher . Évalué à 2.
OK, ça semble bien plus logique. :) Merci !
# Différence avec Ubikube ?
Posté par Samuel Verschelde (site web personnel) . Évalué à 2.
Il existe une solution équivalente, je crois (récente) : https://www.ubikube.com/fr/
Ce qui ne veut pas dire qu'il ne peut pas être intéressant d'avoir plusieurs acteurs sur ce type de service.
[^] # Re: Différence avec Ubikube ?
Posté par gnumdk (site web personnel) . Évalué à 4.
Linux n'est pas prix en charge côté client.
[^] # Re: Différence avec Ubikube ?
Posté par Rolinh (site web personnel) . Évalué à 2.
Il y a aussi Wuala, racheté par Lacie, qui propose 5GB gratuit, un chiffrement côté client avant envoi et un client Linux (c'est du Java).
[^] # Re: Différence avec Ubikube ?
Posté par lupolibero . Évalué à 8.
Tout à fait. C'est un des rares logiciels à proposer exactement ce que l'on veut faire dans la première version de Lupo Libero.
Seul problème : Wuala est un logiciel propriétaire.
[^] # Re: Différence avec Ubikube ?
Posté par lupolibero . Évalué à 6.
De ce que je comprends, par défaut, les fichiers sont chiffrés sur les serveurs (ça n'est pas précisé donc c'est probablement le cas) et les clés ne sont pas gardées sur les mêmes serveurs que les fichiers. Le gain en terme de sécurité est minime : si un attaquant peut compromettre un serveur il peut très probablement compromettre le serveur voisin ; si une autorité demande à accéder au fichier, elle demandera la clé aussi ; etc.
Il y a une autre possibilité, si l'utilisateur le choisi (un mauvais point à mon avis) :
Il n'est pas dit explicitement que le chiffrement se fait côté client, donc je pense que la clé "personnalisée" est envoyée au serveur (sans y être stockée) à chaque fois que l'utilisateur veut accéder à un fichier, le serveur déchiffre le contenu et le renvoie à l'utilisateur.
Si c'est confirmé (je vérifierai si je trouve un peu de temps, mais peut-être que quelqu'un me devancera), cela voudrait dire que Ubikube ne fait pas de chiffrement de bout-en-bout (ou "côté client").
D'autre part, j'aimerais bien savoir s'il est toujours possible de partager un seul fichier avec une personne lorsque l'on utilise une "clé personnalisée".
Je garde le problème le plus "grave" (à mon sens) pour la fin : les composantes logicielles d'Ubikube ne semblent pas être sous licence libre. Donc on ne sait pas ce qu'ils font réellement avec les données de leurs utilisateurs ni ce que fait le logiciel client sur le poste de travail. En sécurité plus qu'ailleurs, la licence libre est à mon sens une nécessité.
[^] # Re: Différence avec Ubikube ?
Posté par Samuel Verschelde (site web personnel) . Évalué à 5.
Si votre réponse est globalement pertinente, une réaction tout de même sur le dernier paragraphe.
Côté serveur, que la solution soit libre n'apporte pas plus de garantie à l'utilisateur qu'un logiciel propriétaire, tant qu'il fait appel à un fournisseur de service tiers. Ce tiers a la main sur les serveurs, rien ne garantit qu'il exécute exactement le même code que celui qu'on aura montré sous licence libre. Le vrai gain qu'apporte une solution libre pour l'utilisateur, c'est que d'autres acteurs (en qui il aurait plus confiance), lui-même y compris (l'idéal mais pas donné à tout le monde), peuvent faire tourner un serveur avec cette solution (sans parler de toutes les qualités du libre que je ne pense pas nécessaire de rappeler ici).
Que le client soit libre, c'est plus important en effet, mais j'irais plus loin : côté client ce qui importe en réalité ce n'est pas que le client soit libre mais que le protocole d'échange soit connu, documenté, et que le client soit remplaçable par celui implémenté par quelqu'un d'autre. Bien entendu, qui dit client libre dit protocole connu, ou plutôt connaissable (mais pas forcément bien documenté ni facile à extraire du code).
Ainsi, dans le cas d'Ubikube, une chose que j'aimerais bien savoir est surtout s'il est prévu d'autoriser des implémentations de clients libres ou si toute la chaîne doit rester propriétaire, auquel cas c'est problématique.
[^] # Re: Différence avec Ubikube ?
Posté par lupolibero . Évalué à 1.
Tout à fait d'accord. Mais dans notre cas, nous souhaitons pousser la transparence plus loin. Comme nous utiliserons CouchDb, qui permet par défaut une très grande transparence, il sera possible de voir une partie du code serveur (en allant voir le "design document" de la base de données, pour ceux qui connaissent un petit peu) en ayant une certaine assurance qu'il s'agit bien du code exécuté. Et nous allons chercher un moyen pour qu'il soit possible de vérifier que le serveur exécute bien le code qu'il prétend exécuter.
Personnellement je tiens beaucoup . Un de mes rêves fous de transparence totale serait de développer un module du noyau Linux pour qui permettrait de donner une très grande visibilité de tout ce qui se passe sur les serveurs, sans mettre en péril la sécurité de ceux-ci. Peut-être que cela peut se faire avec les modules d'audit existant. Mais il reste la question de savoir comment prouver qu'il n'y a pas eu de modifications qui permettraient de cacher des informations.
Si un développeur qui passerait dans le coin s'intéresse à cette question, qu'il n'hésite pas à me contacter (une fois que Lupo sera un succès !) :)
La documentation du protocole est effectivement un élément important pour l'interopérabilité et pour laisser la liberté aux développeur de créer autre chose avec.
Sylvain
# Foutaise !
Posté par Adrien . Évalué à 6.
L'admin aura donc accès :
– à l'IP duquel l'utilisateur s'est connecté, et avec qui il partage des contenus ;
– le nombre de fois qu'il se connecte, ainsi que la taille échangée.
– si c'est chiffré fichier par fichier, on sait quel fichier est accédé
On peut parier que l'abonnement demandera au moins un email --> hop une données supplémentaire ! Il y a un accès web ? hop, avec le fingerprint du navigateur tout plein d'info sont dispo !!
Donc « ne pourra pas obtenir d'info » me semble de la publicité mensongère. On pourrait être plus mesuré en disant « limite la diffusion d'information perso ».
D'ailleurs les pages « twitter et facebook », pour un projet qui vise « un très haut niveau de protection de la vie privée », ça veut dire quoi au juste ? C'est comme les promesses de Hollande ?
Les mots ont une importance. Si on enlève aux mots leur sens, alors il n'est plus possible de réfléchir.
[^] # Re: Foutaise !
Posté par gnumdk (site web personnel) . Évalué à 4.
Oui, il y'a d'un côté les gens qui oublient l'importance des mots et de l'autre ceux qui font de la branlette intellectuelle :p
[^] # Re: Foutaise !
Posté par Argon . Évalué à 10.
J'ai du mal à être emballé, je ne voudrais manquer de respect à personne, mais il n'y a vraiment rien de concret juste un beau blabla. Il n'y a pas un début de projet, de visuel, de code tout ça est beau, mais en l'état, je n'y crois pas une seule seconde. Certains pourront me dire d'où la demande de financement, oui d'accord, mais les projets qui arrivent à obtenir un financement rapide sont les projets qui montrent suffisamment de choses concrètes. Personnellement, je veux un peu plus que du rêve pour me donner envie de donner justement.
de même que nous profitons des avantages que nous apportent les inventions d'autres, nous devrions être heureux d'avoir l'opportunité de servir les autres au moyen de nos propres inventions ;et nous devrions faire cela gratuitement et avec générosité
[^] # Re: Foutaise !
Posté par Zenitram (site web personnel) . Évalué à 4.
Le Facebook libre (je sais plus son nom) avait bien reçu une tonne de fric, en affichant que dalle, avec des acteurs inconnus, pas de raison que d'autres n'arrivent pas à choper du fric comme ça (et partir avec la thune sans livrer grand chose, logique) surtout que ça ne coûte pas grand chose de tenter.
[^] # Re: Foutaise !
Posté par Atem18 (site web personnel) . Évalué à 4.
Dispora. Et le gros problème de Diaspora est que le développement a connu de nombreux problèmes (notamment le décès de l'un des fondateurs).
# J'ai buggé sur une chose...
Posté par Christophe G. . Évalué à 10.
What. The. Fuck?
Pour moi le projet viens de retomber à crédibilité zéro.
Fais-moi plaisir, apporte-moi une clope, un whisky et toi. -- Matmatah
[^] # Re: J'ai buggé sur une chose...
Posté par Anonyme . Évalué à 5.
ou alors c'est ton détecteur de second degré qui est tombé en rade… l'avenir nous le dira
[^] # Re: J'ai buggé sur une chose...
Posté par Franck Routier (Mastodon) . Évalué à 1.
Je crois que c'est une boutade. Un peu comme "révolutionner l'Internet". Mais je pense que le second degré passe parfois mal sur un support écrit, et que le sujet ne se prête pas forcément à cette approche "à la cool" (même si c'est bête, on peut bien rire et être rigoureux et scrupuleux par ailleurs !)
[^] # Re: J'ai buggé sur une chose...
Posté par octane . Évalué à 3.
Tu as oublié le corollaire du point 2., une petite notule:
2.1./ Renouveler TCP/IP par un protocole plus efficace et performant.
[^] # Re: J'ai buggé sur une chose...
Posté par pasBill pasGates . Évalué à 1.
Ca ca serait simple. Tcp/ip est encore la principalement car tout est compatible avec lui
# donc ?
Posté par Professeur Méphisto . Évalué à 10.
je n'ai pas bien compris le rapport entre les deux parties de l'argumentation.
[^] # Re: donc ?
Posté par gnx . Évalué à 5.
Si tu n'avais pas charcuté la phrase originale, tu aurais pu faire l'hypothèse que le rapport était avec la première partie de la phrase, et non avec celle que tu as laissé :
Ce que l'on peut comprendre ainsi :
Le projet n'est pas encore (complétement ?) développé => Il n'y a pas encore de code source disponible.
[^] # Re: donc ?
Posté par Professeur Méphisto . Évalué à 2.
merci de la précision
Mon intention n'était pas de de charcuter la phrase mais me mettre en évidence ce qui me paraissait être un parallèle douteux. Ce détail étant éclairci, je souhaite bonne chance au projet.
[^] # Re: donc ?
Posté par gnx . Évalué à 2.
Après, je ne fais pas partie du projet et donc ce que je dis n'est qu'une hypothèse qui permet de rendre les phrases cohérentes. Si c'est ton interprétation qui est bonne, ou si c'est l'ensemble des deux parties de la première phrase qui doit être compris comme source de l'implication, on a alors effectivement affaire à un raisonnement un peu curieux.
# Arnack?
Posté par Stef . Évalué à -2.
J'ai un gros doute sur le projet ou la société en question … petite arnack?
Déjà la société
http://www.societe.com/societe/lupo-libero-sasu-800037178.html
Aucune expérience …
La plupart des projets informatiques qui révolutionnes viennent des garages …
c'est le cas, et elles vont étre stocker ou les millions de donnée utilisateurs du concurrent facebook?
https://maps.google.com/maps?client=iceweasel-a&channel=sb&q=16+Rue+Madame+de+Sevigne+orlean&ie=UTF-8&hq=&hnear=0x47e4e41bf6d445c9:0x8818d46bfb88930f,16+Rue+Madame+de+S%C3%A9vign%C3%A9,+45100+Orl%C3%A9ans,+France&ei=Nj2DU5iGI-vs0gW59oDwCg&ved=0CCcQ8gEwAA
Et pour finir quelqu'un qui prône la protection de ses utilisateurs et qui ne protèges pas ses contributeurs …
https://www.indiegogo.com/projects/lupo-libero-an-open-source-online-storage-protecting-your-privacy#pledges
Enfin bon courage quand meme ce sera dur d'assumer le facebook "Made in France"
Stef
[^] # Re: Arnack?
Posté par lupolibero . Évalué à 4.
Dans un datacenter…
Je vois que vous allez lu beaucoup de choses très intéressantes à notre sujet (notamment l'adresse du siège social), mais vous semblez être passé à côté de cette mise à jour sur le site de la campagne (mise en évidence au début de la version de chaque langue) : https://www.indiegogo.com/projects/lupo-libero-an-open-source-online-storage-protecting-your-privacy/#activity "Comment contribuer de manière totalement anonyme".
J'explique comment contribuer à ce projet sans que même nous ne sachions qui vous êtes.
Par ailleurs Indiegogo propose aux contributeurs de masquer leur nom ou d'afficher un autre nom à la place.
Cette attaque me semble assez peu méritée.
Et à propos d'attaque… pourquoi cette agressivité ?
Que vous pensiez qu'il s'agit peut-être d'une arnaque, je peux le concevoir (il y a toujours ce risque avec des personnes que l'on ne connaît pas). Que vous en soyez sûr au point d'en être agressif, je le comprends déjà nettement moins.
Sylvain
[^] # Re: Arnack?
Posté par or zax . Évalué à 1.
L'anonymat consiste aussi à garantir que l'on est pas capable de connaître l'ip, ce n'est pas juste une histoire de nom ou d'email à cacher.
[^] # Re: Arnack?
Posté par patrick_g (site web personnel) . Évalué à 10.
Je pense que ce qui agace certains c'est le fait de demander un financement sans qu'il y ait le moindre code disponible. Avoir un début de truc qui marchouille pour que les gens se rendent compte que ce n'est pas du vent, ça aide diablement à la crédibilité.
[^] # Re: Arnack?
Posté par LupusMic (site web personnel, Mastodon) . Évalué à 1.
Tout à fait, les routards de DLFP se rappellent avec nostalgie de la bulle Internet de la fin des années 2000, avec son iconique I2BP.
[^] # Re: Arnack?
Posté par Raphael R . Évalué à 3.
Hooouuu, I2BP, cela ne nous rajeuni pas du tout ça !! Mais quelle belle épopée tout de même !
[^] # Re: Arnack?
Posté par CrEv (site web personnel) . Évalué à 3.
Ou même sans code mais peut-être plus de détail sur le/les créateurs ce ne serait pas de trop, histoire d'avoir au moins un début de commencement de confiance. Parce que dire qu'on a une superbe idée c'est facile. Avoir une bonne idée c'est possible. Mais la réaliser c'est loin d'être évident. Et ça dépend beaucoup de l'équipe, de ses compétences.
D'ailleurs (question aux créateurs) avez-vous déjà commencé à bosser dessus ou attendez-vous les financements ?
[^] # Re: Arnack?
Posté par CrEv (site web personnel) . Évalué à 3.
Désolé j'enfonce un peu le clou : avez-vous déjà commencé à bosser ou ce n'est qu'une idée ?
En général les projets qui "fonctionnent" son ceux où il y a déjà quelque chose de réalisé avant de demander plein de sous (je veux dire plus que le descriptif d'une idée). Donner sur une idée, bof. Donner pour poursuivre quelque chose qui a déjà commencé c'est différent.
[^] # Re: Arnack?
Posté par lupolibero . Évalué à 1.
Pas de problème, je comprends que ce point là soit particulièrement important pour ceux qui ont des connaissances techniques :)
Oui nous avons plus que commencé à travailler sur ce projet. La conception est quasiment terminé (voir les détails techniques dans un autre commentaire). Le financement, c'est pour passer à la phase de réalisation.
Comme cela semble très demandé, nous allons travailler dans les prochains jours au développement d'un prototype, qui montrera le futur fonctionnement de Lupo.
Merci à tous pour vos critiques constructives :)
Sylvain
[^] # Re: Arnack?
Posté par CrEv (site web personnel) . Évalué à 3.
En fait c'est pas du tout lié à des connaissances techniques. C'est juste qu'il y a une énorme différence entre financer une idée (sans avoir aucune idée de la capacité de l'équipe à la réaliser, ce qui est le cas je trouve) et financer pour poursuivre des travaux. C'est pour ça que, souvent, les projets qui fonctionnent sur kickstarter (ou autre) sont des passages à l'échelle, des financements pour passer à l'industrialisation, etc, mais basés sur quelque chose d'existant et fonctionnel.
[^] # Re: Arnack?
Posté par Stef . Évalué à 1.
Salut
Cette attaque me semble assez peu méritée.
Et à propos d'attaque… pourquoi cette agressivité ?
Chaque attaque mérite riposte, et merci d'avoir pris le temps de me répondre. Agressif … oui si tu veux le voir comme ça, disons que le réseau regorge de troll des réseaux qui sont là pour déffendre l'honneur de leurs pensées
Que vous pensiez qu'il s'agit peut-être d'une arnaque, je peux le concevoir (il y a toujours ce risque avec des personnes que l'on ne connaît pas). Que vous en soyez sûr au point d'en être agressif, je le comprends déjà nettement moins.
Oui pour moi c'etait belle et bien une arnaque, je ne pensais pas étre agressif mais laisser à discution.
En tous cas si arnaque n'est pas, c'est plutôt un travaille de titan dans lequel tu te lances, pourquoi te lancer dans un aussi grand chantier? avec autant de contrainte? Le datacenter, openstack, des utilisateurs des données … la cnil, beaucoup d'emmerde, un coup énorme de départ pour combien de temps ?
En tous cas bon courage
Stef
[^] # Re: Arnack?
Posté par lupolibero . Évalué à 4.
Merci pour les encouragements :)
Pourquoi ?
Pour essayer de changer les choses.
Il y a une dizaine d'année j'ai découvert Wuala qui permettait de partager une partie de son espace disque avec le réseau et de bénéficier en retour de Go sur ce réseau, disponibles 24h/24 (même quand l'ordinateur est éteint). Le nombre de Go obtenus correspondait au nombre de Go mis à disposition pondéré par le nombre d'heures pendant lesquelles l'ordinateur restait en ligne : si l'on partageait 15Go pendant 8h/j en moyenne, on avait droit à 5Go (8 = 1/3 de 24, donc 15/3 = 5Go).
Je trouvais ça génial car cela permettait de stocker gratuitement des données sur internet (la véritable gratuité, celle qui est non commerciale) et je rêvais de quelque chose de similaire, en logiciel libre, ce qui aurait permis d'ajouter de nouveaux usage sur ce réseau porté par ses utilisateurs : pourquoi pas héberger de véritables sites internet (ou au minimum leurs données) et en finir avec les coûts d'hébergement qui freinent l'émergence de services non commerciaux.
Il n'y a pas eu d'évolution de ce type et même quelques années plus tard Wuala, qui avait été racheté par un fabricant de disques durs entre temps, a recentralisé toute son infrastructure et s'est mis à faire du cloud comme les autres.
Depuis des années sont passées, aucun Wuala libre n'a émergé. Des entreprises sont devenues immensément riches en utilisant la vie privée de millions de gens aveuglés par la gratuité. Et on découvre chaque jour un peu plus à quel point l'ensemble du net est sous surveillance permanente des agences de renseignements.
Je pense que l'on peut faire beaucoup mieux. La technique le permet. Il faut juste s'y atteler et oui, il y aura sûrement des "emmerdes" sur la route :) mais je pense que ça vaut vraiment le coup d'essayer.
Sylvain
[^] # Re: Arnack?
Posté par Mathias Bavay (site web personnel) . Évalué à 2.
Honnêtement, ça à l'air très intéressant. Je suis justement en train de chercher une alternative au Ubuntu One que j'utilisais pour l'instant, et je cherche quelque chose qui:
* ne consiste pas à directement envoyer mes données à la NSA (-> cryptage)
* me permette de partager occasionnellement des données
* me permette d’accéder à mes données de partout (-> cloud et multi-plateformes)
* soit couplé avec l'hébergement de la chose
* le cas échéant me permette de faire de l'auto-hébergement si le point précédent se met à poser problème
Donc le projet tel que présenté réponds parfaitement à mes besoins. Par contre, sans qu'il n'y ait le moindre début d'embryon de quelque chose de concret, mon excitation retombe bien vite… Je n'ai rien contre le fait que les gens prennent des vacances, mais je préfère ne pas être celui qui les finances! :-)
Donc bon courage, mais mes encouragements ne deviendront plus concret que lorsque l'on pourra se dire que l'on ne finance pas l'i2bp de 2014!
Mathias
# Vie privée
Posté par or zax . Évalué à 2.
Le principe de la vie privée c'est d'avoir le contrôle sur qui peut accèder ou non à nos informations et avec qui on les partages.
Cela veut donc dire que tout système centralisé, reposant sur des serveurs loués/connexion internet, voir pire, avec des produits dont on n'a pas le contrôle, ne permet aucune protection de la vie privée.
Donc il faut arrêter cette fichu mode cloud-*, s'intéresser aux solutions de stockage F2F, et anonyme, cela permettra de reprendre la main sur nos données et en plus sans avoir forcément besoin de louer un serveur.
# Détails
Posté par lenod . Évalué à 2.
Ça manque cruellement de détails (même si j'avoue que je n'ai pas lu toute la description, qui ne mets pas trop les informations importantes en valeur).
Par exemple, si je veux l'installer localement, est-ce que ce sera facile, quelles technologies ça utilisera, est-ce que ce sera léger (i.e. instalable sur un raspberri pi-like par exemple) ?
Je n'ai pas non plus compris s'il y aurait un client lourd ou si c'est tout dans le navigateur.
À noter que si c'est dans le navigateur, rien ne garantit que le code envoyé par le serveur est toujours fiable.
# Détails techniques
Posté par lupolibero . Évalué à 10.
Je comprends tout à fait que de nombreuses personnes souhaitent des détails techniques. La seule raison pour laquelle je n'en ai pas donné plus jusqu'à présent c'est que j'appréhende l'avalanche de questions du type "pourquoi cette technologie et pas celle-là" ou "pourquoi pas ce langage de programmation", etc. et je ne souhaite pas rentrer dans ce type de polémique sans fin.
D'un point de vue général, et parce que c'est un objectif à moyen terme du projet, Lupo Libero sera développé de manière à être facilement décentralisable (plus d'informations à ce sujet dans le texte de la campagne de financement). Donc une des contraintes est de minimiser les traitements réalisés côté serveur. Nous souhaitons que le service soit accessible sans installer de logiciel donc il sera développé en HTML5 et javascript (avec un framework, probablement AngularJS).
Il y aura également un client lourd (optionnel) pour la synchronisation, qui n'aura pas d'interface graphique : un simple daemon, qui sera administré par l'interface web (sans passer par les serveurs). Le client lourd sera essentiellement une base de données CouchDB contenant les fichiers chiffrés de l'utilisateur et un script assurant le lien avec le système de fichier, le chiffrement/déchiffrement, l'augmentation du volume des données (voir zfec, ci-dessous) et leur découpage avant d'être stockées dans la base de données (et donc sur les serveurs, par synchronisation).
Côté serveur, il y aura un cluster de serveurs de bases de données CouchDB (et des proxies) qui aura essentiellement trois missions : stocker les données chiffrées (côté client), servir l'interface web et gérer les quotas. A peu près tout le reste sera géré côté client.
Ce qui fait défaut à la plupart de nos concurrents qui proposent du chiffrement côté client (généralement de manière optionnelle) c'est la granularité du partage : avoir tous ses fichiers chiffrés mais garder la possibilité d'en partager des sous-ensembles (un ou plusieurs fichiers ou répertoires) avec une ou plusieurs personnes sans dévoiler les autres fichiers et sans mots de passe additionnels. Elle n'est pas forcément évidente à comprendre mais il y a une réelle complexité à gérer cela : il ne faut pas chiffrer tous les fichiers avec les mêmes clés et il faut procéder à l'échange de clés de manière automatisée (par du chiffrement asymétrique) et avec les bonnes personnes.
Pour ce faire, nous nous appuieront sur le travail de chercheurs qui sont à l'origine de Wuala (à ma connaissance, le seul de nos concurrents à offrir le même niveau de sécurité, mais qui a malheureusement fait le choix du logiciel propriétaire, ce qui nous empêche de vérifier ce qu'ils font véritablement avec nos données) : CrypTree. En quelques mots, il s'agit de construire un arbre de clés hiérarchisé, qui suit la structure de l'arborescence des fichiers et qui permet, entre autres, qu'un partage d'un répertoire donne également l'accès implicitement à son contenu et au chemin pour accéder à ce répertoire. Pour ceux qui voudrait en savoir plus, le document est librement téléchargeable (des connaissances en cryptologies sont nécessaires pour comprendre ce document) : http://dcg.ethz.ch/publications/srds06.pdf.
Autre point clé, la réplication (partielle) des données. Nous utiliserons la bibliothèque de code correcteurs zfec, développée par Tahoe-lafs. Elle nous permettra, après découpage de chaque données en un certain nombre de bloc, d'augmenter le volume de chaque donnée avec des informations redondantes (un peu comme avec du RAID5) et donc d'augmenter le nombre de blocs pour chaque donnée, de manière a pouvoir résister à la perte de k blocs parmi m.
Et voici quelques documents plus récents que nous sommes en train d'étudier pour voir si ils pourraient être utilisés pour améliorer l'infrastructure de Lupo :
- http://css.csail.mit.edu/mylar/mylar.pdf
- http://www.ieeeprojects.yavum.com/basepaper/Dotnet/Privacy-Preserving%20Multi-keyword%20Ranked%20Search%20over%20Encrypted%20Cloud%20Data.pdf.
Je vais essayer de trouver du temps pour clarifier et compléter tout cela et l'exposer sur une page du site.
Sylvain
[^] # Re: Détails techniques
Posté par SaintGermain . Évalué à 3.
Intéréssant car je m'étais intéressé à Tahoe-LAFS (pour le stockage distribué sécurisé avec déduplication) et à zfec (pour remplacer par2 qui n'est plus trop maintenu à ma connaissance).
Comme les autres j'ai un peu de mal à voir la différence de votre projet avec les solutions existantes (en particulier Tahoe-LAFS qui offre une solution de stockage sécurisée déjà bien solide).
J'ai l'impression (corrigez-moi si je me trompe), que la réelle nouveauté de votre projet est de rassembler au sein d'une même solution des bons concepts que l'on trouve actuellement éparpillés dans plusieurs logiciels ?
Si c'est le cas, peut-être qu'un tableau récapitulatif donnant les principaux logiciels similaires (Dropbox, Owcloud, Seafile, Tahoe-LAFS, Wuala et autres) et leurs caractéristiques par rapport à votre solution serait bienvenu ?
Bon courage en tout cas, c'est un sujet intéressant.
# Commentaire supprimé
Posté par Anonyme . Évalué à -8.
Ce commentaire a été supprimé par l’équipe de modération.
[^] # Re: Un dropbox de plus....un.....
Posté par KiKouN . Évalué à 2.
Et en utilisant un code correcteur d'erreur et plusieurs comptes sur plusieurs plateforme, on peut même obtenir un truc assez robuste si plusieurs services tombent et assez sécure si un service se fait scanner par la NSA qui n'aura alors que des parties de fichiers si elle arrive a déchiffrer cela.
[^] # Re: Un dropbox de plus....un.....
Posté par lupolibero . Évalué à 1.
Je ne me fais pas de soucis pour ceux qui maîtrisent bien l'outil informatique, ils sauront toujours s'en sortir en bidouillant (même si j'en connais beaucoup qui en ont marre de batailler et qui aimeraient une solution simple). C'est plutôt à M. et Mme Toutlemonde que je m'intéresse : ils se font tondre la laine sur le dos par des multinationales qui pillent leur vie privée et ils n'ont pas les connaissances pour s'en rendre compte et encore moins pour y changer quelque chose.
Donc je veux faire de la pédagogie et proposer une réelle alternative.
Sylvain
[^] # Re: Un dropbox de plus....un.....
Posté par Stef . Évalué à 0.
En faite si beaucoup de personne on connaissance de ce problème mais beaucoup n'ont tristement rien a cacher … ou rien a battre
[^] # Commentaire supprimé
Posté par Anonyme . Évalué à -5.
Ce commentaire a été supprimé par l’équipe de modération.
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.