Journal À propos de GPG et de son avenir

Posté par ploum (site web personnel, Mastodon) le 01 mars 2012 à 13:35. Licence CC By‑SA.

Étiquettes :

mar.

2012

Cher Journal,

(Très bel exemple de métonymie, soit dit au passage)

Je me pose des exemples au sujet de GPG. En effet, je viens de réaliser que, depuis 6 mois, je n'ai plus ma clé GPG sur mon PC. Je viens donc d'aller rechercher mon fichier .gnupg dans un backup, juste comme ça, et j'ai découvert avec effroi que je ne me souviens plus du mot de passe de cette clé.

J'ai créé cette clé en 2003 et elle contient toutes mes adresses email de ces 9 dernières années, une seule d'entre elles étant encore en activité (et la majorité étant sur des noms de domaines que je ne maitrise pas).

En 9 ans, je ne me souviens pas d'avoir eu un seul usage « sérieux » de GPG, excepté quand j'ai contribué à thebitcoinsun.com, où le rédacteur en chef exigeait des communications cryptées.

De plus, je n'ai jamais été convaincu par GPG. Non pas techniquement (je trouve ça admirable) mais à cause de la complexité de l'utilisation et une UI reservée aux geeks.

Bref, je me retrouve devant 3 possibilités:

a) Tenter de retrouver mon mot de passe par tous les moyens afin de ne pas perdre 9 années d'histoires.

b) Créer une nouvelle clé, bien plus propre. La majorité des signatures sont de toutes façons pour les anciennes adresses.

c) Oublier GPG. Après 9 ans d'utilisation anecdotique, peut-être faut-il se rendre à l'évidence que GPG ne répond pas à mes besoins.

Et vous, quel est votre avis sur GPG? Connaissez-vous des alternatives? Ou des projets ayant pour but de faciliter son utilisation?

# Utile, pas plus compliqué qu'autre chose

Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 14:01. Évalué à 9.
À mon avis, c'est utile, utilisé dans les milieux motivés pour cela (en ce qui me concerne, Debian). Et pas plus compliqué qu'autre chose en informatique :
- le système de toile de confiance n'est pas intuitif, mais en même temps il ne peut pas l'être ;
- l'utilisation courante avec des outils comme Enigmail pour Thunderbird est simplissime ;
- la mise en œuvre initiale et la formation de base nécessite, comme tout le reste en informatique, l'assistance de quelqu'un qui s'y connaît.
Actuellement par exemple, je peux très facilement écrire des messages signés et chiffrés à ma famille, et eux peuvent faire de même. Ce n'est pas utile pour la plupart des communications, mais pour transmettre un mot de passe c'est appréciable par exemple.
- [^] # Re: Utile, pas plus compliqué qu'autre chose
  
  Posté par Framasky (site web personnel) le 01 mars 2012 à 14:08. Évalué à 7.
  
  En plus y a au moins une gui sympa sous GNU/Linux : Kleopatra. Pour Tata Michèle, c'est bien utile. Y a une gui pour mac os aussi, pour windows, j'imagine que ça doit exister.
  Et comme le dit Tanguy, y a enigmail, et c'est assez simple pour M. et Mme Toulemonde.
  
  Oui, il faut un peu former les utilisateurs, mais c'est comme tout.
  
  Enfin, je suis d'accord que ce n'est pas indispensable mais tout de même parfois bien utile. Vaut mieux être prêt et l'avoir sous la main et ne pas s'en servir que de ne pas l'avoir le jour où on en a besoin (parce que si tu la crées le jour où tu en as besoin, y aura pas de signatures dessus, donc pas de confiance).
  
  Being a sysadmin is easy. As easy as riding a bicycle. Except the bicycle is on fire, you’re on fire and you’re in Hell.
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par Vincent Gay (site web personnel) le 01 mars 2012 à 14:51. Évalué à 8.
    
    Arf, je suis peut-être un exemple de Mr Toulemonde qui s'est peut à peu converti à l'usage du libre et de la netiquette. J'utilise en effet gpg avec enigmail et prêche pour son usage dans le parti politique et dans le syndicat dans lequel je milite.
    Autant dire que je prêche dans le désert ! Pourtant voilà des milieux qui devraient être sensibilisés tant à l'identification qu'au cryptage.
    Mais comme dit la devise de la Maison d'Orange : "il n'est nul besoin d'espérer pour entreprendre ni de réussir pour persévérer" (citation non garantie).
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par littlebreizhman le 01 mars 2012 à 15:20. Évalué à -5.
      
      dans le parti politique et dans le syndicat dans lequel je milite.
      
      taiste : ump et medef ?
      
      -->[]
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par be_root le 01 mars 2012 à 16:45. Évalué à 5.
      
      Mais comme dit la devise de la Maison d'Orange : "il n'est nul besoin d'espérer pour entreprendre ni de réussir pour persévérer" (citation non garantie).
      
      Cela explique en grande partie la qualité de leurs prestations en téléphonie et internet…
      
      Il se prend pour Napoléon, son état empire.
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par Benoît Bailleux (Mastodon) le 01 mars 2012 à 15:08. Évalué à 1.
    
    Oui, il y a bien une version de Kleopatra fonctionnant sous Windows (voir www.gpg4win.org) ainsi qu'une autre solution qui semble relativement proche, nommée WinPT (voir winpt.gnupt.de)
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Littleboy le 02 mars 2012 à 04:01. Évalué à 2.
      
      Oui, il y a bien une version de Kleopatra fonctionnant sous Windows
      
      Ouais, "fonctionnant".
      
      Si tu veux convertir du monde, il faut que ca marche et que l'UI soit a la hauteur. La, les screenshots du site anglais sont en allemand, la moitie des boites de dialogues montrent des messages cryptiques pour qui ne connait pas le fonctionnement de GPG et le support pour Outlook s'est arrete a la version 2007.
      
      Bref, on va dire que c'est pas gagne.
- [^] # Re: Utile, pas plus compliqué qu'autre chose
  
  Posté par Zenitram (site web personnel) le 01 mars 2012 à 14:49. Évalué à 9.
  
  Et pas plus compliqué qu'autre chose en informatique
  
  On n'a définitivement pas la même notion de difficulté en informatique…
  
  l'utilisation courante avec des outils comme Enigmail pour Thunderbird est simplissime ;
  
  Ni de simplicité
  
  la mise en œuvre initiale et la formation de base nécessite, comme tout le reste en informatique, l'assistance de quelqu'un qui s'y connaît.
  
  Ni de vision de l'informatique. Chez moi, de l'informatique qui est utile, c'est celle qui permet de se passer de l'assistance de quelqu'un.
  Demande-toi juste si jouer avec Facebook demande l'assistance de quelqu'un qui s'y connait, et compare la popularité de Facebook et GPG…
  
  En se cachant les problèmes, ça ne va pas faire décoller GPG…
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par gnumdk (site web personnel) le 01 mars 2012 à 14:54. Évalué à 7.
    
    Ni de vision de l'informatique.
    
    C'est sur, tu nous parles de bureautique et nous parlons d'informatique, donc cela ne risque pas de coller…
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par ploum (site web personnel, Mastodon) le 01 mars 2012 à 15:02. Évalué à 10.
      
      Se réfugier derrière les termes, c'est jouer l'autruche. Il a entièrement raison: l'informatique grand public, c'est l'usage qu'en font les utilisateurs. Si tu veux, on peut appeler ça bureautique.
      
      Et bien, dans ce cas, GPG est un logiciel qui devrait être bureautique. Il n'y aucune raison de restreindre aux gourous barbus la possibilité de sécuriser leurs communications.
      
      J'ai l'impression que GPG « pourrait » être simple. Mais que plus d'énergie a été dépensé à se voiler la face plutôt qu'à se poser la question « comment rendre le logiciel accessible ».
      
      D'une manière générale, c'est une tendance que je vois beaucoup dans les logiciels GNU.
      
      Mes livres CC By-SA : https://ploum.net/livres.html
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Joris Dedieu (site web personnel) le 01 mars 2012 à 16:01. Évalué à 10.
        
        J'ai l'impression que GPG « pourrait » être simple. Mais que plus d'énergie a été dépensé à se voiler la face plutôt qu'à se poser la question « comment rendre le logiciel accessible ».
        
        GPG est simple à utiliser pour un utilisateur d'une plateforme Unix. Son intégration dans kde / gnome est plutôt bonne (gpg géré par gnome-keyring par exemple). Le problème est la cryptographie à usage privée - ici on parle de PGP - n'a jamais été mise en avant par les marchands de logiciels propriétaires et de mails pour les masses. Du coup la base d'utilisateurs est mince et l’intérêt minime. J
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 01 mars 2012 à 16:26. Évalué à -2.
        
        Le problème est la nécessité de mettre en avant le "web of trust", alors que l'on peut s'en passer car le système détectera un changement de clef et donc pourra donner une alerte. Dans ce cas, gpg pourrait être 100% automatique.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 16:43. Évalué à 4.
        
        C'est loin d'être équivalent, cette idée…
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 01 mars 2012 à 16:47. Évalué à 3.
        
        Comme dis dans un article, je me fous de savoir que Linus Torvalds est en fait Bill Gates, du moment que la personne avec qui je discute depuis le début est toujours la même.
        
        Le fait de vérifier le hash de la clef inclus une vérification plus grande, mais le niveau précédent est déjà beaucoup plus important que de ne rien faire.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 16:53. Évalué à 4.
        
        Comme dis dans un article, je me fous de savoir que Linus Torvalds est en fait Bill Gates, du moment que la personne avec qui je discute depuis le début est toujours la même.
        
        Pas de chance, ce n'est pas encore équivalent à ça non plus. Tu peux te retrouver dans la situation où tu parles avec Bill Gates au lieu de Torvalds, ce qui semble bizarrement te convenir, mais avec en plus Richard Stallman qui lit toutes vos communications depuis le début.
        
        Et accessoirement, si tu as commencé la conversation par un autre médium, la continuité n'est pas garantie non plus.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 02 mars 2012 à 00:30. Évalué à 1.
        
        L'attaque MiN depuis le début, est vraiment improbable et de plus en plus avec le temps qui passe. En plus, cela peut être détecté si jamais on verifie ensuite les hashs.
        
        Seul le manque de continuité, peut poser problème mais il peut être + facile de vérifier les hashs.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 06:32. Évalué à -1.
        
        L'attaque MiN depuis le début, est vraiment improbable et de plus en plus avec le temps qui passe.
        
        Comme tout est improbable, autant ne rien faire!
        Hum… Justement, ce qui nous intéresse c'est que ce n'est pas impossible.
        
        Autant rester en clair, sans rien, dans ce cas, c'est aussi improbable qu'on vienne faire un MITM. Sauf quand on fait un MITM.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 02 mars 2012 à 09:20. Évalué à 3.
        
        C'est vraiment un argument à la con, "si ce n'est pas une protection total, autant ne rien faire".
        
        Comme si on disait que la ceinture dans une voiture ne protège pas dans tous les cas, inutile d'en mettre. Idem pour la crème solaire, l'airbag, les alarmes anti-feu, anti-vol, les serrures sur les portes. En gros pour tout les objets de protection qui n'offrent jamais une protection totale.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 01 mars 2012 à 17:09. Évalué à 6.
        
        du moment que la personne avec qui je discute depuis le début est toujours la même.
        
        Il peut être quand même important de savoir qui est la personne avec qui tu discutes ("bonjour, je suis les impôts, vous êtes jeunes c'est notre premier contact, mais vous me devez X Euros")
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par JoeltheLion (site web personnel) le 01 mars 2012 à 19:30. Évalué à 5.
        
        Ce serait utile, mais garantir la confidentialité des échanges serait déjà un plus par rapport à l'existant (rien du tout).
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par gnuzer (site web personnel) le 01 mars 2012 à 23:54. Évalué à 6.
        
        Le problème est la nécessité de mettre en avant le "web of trust", alors que l'on peut s'en passer car le système détectera un changement de clef et donc pourra donner une alerte. Dans ce cas, gpg pourrait être 100% automatique.
        
        Tu veux dire… comme avec SSL/PKI ? Où les logiciels font confiance à une liste de root CA plus ou moins arbitraire, où seul le changement de certificat final est surveillé, et où l'utilisateur clique compulsivement sur "Ajouter une exception…" quand il voit écrit "Cette connexion n'est pas certifiée" dans son navigateur ?
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par ploum (site web personnel, Mastodon) le 02 mars 2012 à 10:27. Évalué à 1.
        
        Oui. Et tu sais pourquoi? Parce que même avec des certificats SSL bidons, je sais que mon traffic web ne passe pas en clair sur le réseau local où il pourrait être sniffé.
        
        Alors oui, peut-être que qqn a intercepté à distance mais la probabilité est faible. Par contre, la probabilité que mon traffic web apparaise en clair dans les logs du proxy de la boite est de 1. Et ça, je veux l'éviter.
        
        Mes livres CC By-SA : https://ploum.net/livres.html
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par khivapia le 02 mars 2012 à 10:44. Évalué à 4. Dernière modification le 02 mars 2012 à 10:45.
        
        le réseau local où il pourrait être sniffé.
        Alors oui, peut-être que qqn a intercepté à distance mais la probabilité est faible.
        Tout dépend qui est ton attaquant. Si c'est le péquin moyen qui a cassé ta clef WEP et écoute ton réseau local, ou ton voisin à cause de ton plug CPL qui a débordé sur le réseau électrique d'à côté, alors ça te protège, mais en même temps il ne fera pas grand-chose des informations récoltées.
        
        Si c'est ton opérateur, la Hadopi ou une agence d'espionnage gouvernementale, alors ils ont (presque tous) accès au cœur de réseau et moyen d'écouter tout ce que tu fais, toi précisément, sur internet. La probabilité n'est pas si faible que ça. Par contre il faut que tu sois vraiment suspect pour qu'ils s'intéressent à toi, ou que tu aies vraiment intérêt à la confidentialité.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 02 mars 2012 à 10:31. Évalué à 3.
        
        Ce n'est pas centralisé comme les SSL/PKI et tu ne dépends pas des politiques commercials de ses boites.
        
        C'est vrai que si un soft annonce un changement de clef, et que l'utilisateur s'en fout, c'est qu'il s'en fout…
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par bubar🦥 (site web personnel) le 03 mars 2012 à 01:21. Évalué à 3.
        
        Il y a eu communism mais le git public est mort.
        
        Community Certification or simply communism is a joint project by the Telecomix Crypto Munitions Bureau and the PSYCs. The intention is to distrust the X.509 certification scheme and to provide system wide hooks for web-of-trust or P2P community-driven distribution of certificates or other certificate validation procedures as the ones given by X.509 and hard-coded into most SSL/TLS implementations and web browsers.
        
        Ça part d'une bonne intention, mais je ne sais pas ce que cela vaut ni où ça en est vraiment aujourd'hui…
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par B16F4RV4RD1N le 01 mars 2012 à 19:38. Évalué à 3.
        
        hmm, d'accord et pas d'accord.
        
        Dans le message plus haut, j'étais assez d'accord avec sa critique de la « simplicité » du chiffrement des messages : ce n'est pas une notion simple à faire appréhender au commun des mortels, et pas la peine pour les geeks de montrer des lignes de commandes expliquant comment il est simple d'importer une clé gpg, ce n'est pas sorcier, mais il faut déjà un certain bagage informatique pour faire tout ça.
        
        Par contre enigmail n'est pas vraiment compliqué à utiliser, même pour des débutants, il y a juste une case à cocher pour chiffrer ou signer le message.
        
        Le fond du problème, c'est que si quelqu'un chiffre un message, et que l'autre personne au bout n'utilise pas gpg, ça ne servira à rien. Peut-être qu'un jour un Apple ou Microsoft implémentera cela par défaut dans leurs clients de messagerie et la technologie décollera et sera adoptée et généralisée, mais cela n'est pas forcément dans leur intérêt.
        
        Et puis comparer Facebook et le chiffrement des messages, c'est un peu étrange, facebook répond à un besoin (celui de communiquer simplement), même si parfois il est créé, alors que la majorité des gens n'auront pas besoin de signer ou chiffrer leurs messages (vu qu'ils échangement généralement sur des choses très anodines)
        
        Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par gnuzer (site web personnel) le 01 mars 2012 à 23:57. Évalué à 4.
        
        Le fond du problème, c'est que si quelqu'un chiffre un message, et que l'autre personne au bout n'utilise pas gpg, ça ne servira à rien.
        
        Surtout que si c'est asymétrique, si l'autre personne n'utilise pas GPG, tu ne peux pas chiffrer. :)
        Tu peux signer, par contre.
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Zenitram (site web personnel) le 01 mars 2012 à 15:25. Évalué à 1.
      
      C'est sur, tu nous parles de bureautique et nous parlons d'informatique, donc cela ne risque pas de coller…
      
      Je parle d'utilisateurs.
      Après, si le but est de savoir comment se cacher la face en changeant de vocabulaire… C'est juste un drôle de but. Personnellement mon but quand je développe est que des utilisateurs utilisent, pas de dire "c'est de l'informatique donc c'est forcément compliqué pour toi".
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Psychofox (Mastodon) le 01 mars 2012 à 22:09. Évalué à 3.
        
        c'est un peu faites ce que je dis, pas ce que je fais vu le site imbitable et incompréhensible pour le commun des mortels de mediainfo. On ne sait plus ou est la pub et ou est le contenu.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par oinkoink_daotter le 03 mars 2012 à 09:26. Évalué à 1.
        
        En même temps, mediainfo est-il destiné au commun des mortels ? Ca répond quand même à un besoin assez spécifique et une certaine maîtrise des formats de container. En fait, on en revient toujours au même point : un logiciel/concept doit être adapté à ses utilisateurs, sinon il sera "peu" (think gpg) ou mal (think "ajouter une exception" de firefox) utilisé.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 03 mars 2012 à 10:33. Évalué à 1.
        
        En même temps, mediainfo est-il destiné au commun des mortels ?
        
        En fait, plus ou moins. Je n'en suis pas au niveau de Megaupload dans le ratio piratage/légal, mais mon logiciel est utilisé sur beaucoup de trackers bittorrent. Du coup je me ramasse une tonne d’utilisateurs "bras cassés" (que ce soit sous Windows ou Linux, ça ne change pas les bras cassés ;-) ).
        
        Mais contrairement à ce que je lis "non il y a pas de problème", je pense avoir l’honnêteté de reconnaître qu'il y a un problème (moche / pas très utilisable / etc) plutôt que de trouver des excuses des plus foireuses pour justifier que c'est bien. C'est, je pense, toute la différence : reconnaître qu'il y a un problème, plutôt que de dire "c'est voulu" / "t'es un idiot qui veut pas comprendre" / "c'est normal que ce soit compliqué" / et j'en passe (parce que la, j'en vois des excuses bidons!)
        
        Quand à la pub, c'est une autre histoire : si il veut me filer du fric pour que je l'enlève, j'accepte. Bizarrement il ne va pas vouloir… On n'est pas dans un monde de bisounours et je ne vis pas d'amour et d'eau fraîche, et non je ne suis pas philanthrope adorateur du don de moi.
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:01. Évalué à 10.
    
    Bon, d'accord, tout n'est pas aussi compliqué, les choses ne sont pas uniformes. Mais tout ce qui, en informatique, dépasse de la simple saisie de texte et du dessin à main levée sort automatiquement de ce que les gens ont appris. Écrire à quelqu'un par exemple, ce n'est simple que parce que les gens ont appris à écrire, ce qui est extrêmement compliqué au passage.
    
    Donc, ce qui sort de ce cadre nécessite un apprentissage. En particulier, les concepts de base de cryptographie et de certification. Ces concepts sont lié à l'objectif et ne peuvent pas être supprimés, tout au plus expliqués de façon la plus abordable possible.
    
    En revanche, après avoir été formé rapidement par quelqu'un qui s'y connaît, quand on dispose de sa paire de clef, envoyer un message chiffré, c'est aussi simple que de cocher un case « chiffrer ce message ».
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par ploum (site web personnel, Mastodon) le 01 mars 2012 à 15:17. Évalué à 3.
      Je pense qu'il doit être possible d'utiliser GPG sans rien connaitre à la crypto et à la certifciation.
      
      La majeure difficulté revient à comprendre la différence entre signer et crypter. Mais une bonne UI avec des bons termes pour permettre cet apprentissage.
      
      Tout le reste n'est qu'une complexité arbitraire imposée par GPG. Je pense notamment au fait
      
      Créer une nouvelle clé: un cauchemar alors que ça devrait être un seul clic
      
      Signer une clé: opération ultra-complexe alors qu'il suffirait de pouvoir dire "J'ai confiance en cette personne". L'histoire du Fingerprint, par exemple, est très rigolo pour les geeks mais pourrait être présentée 100fois plus simplement. Perso, j'ai d'ailleurs toujours du mal à trouver mon propre fingerprint !
      
      Éditer les adresses liées à sa clé: je n'en parle pas, depuis 9 ans, je m'y réessaie une fois par an et je n'ai toujours pas compris.
      
      Je ne parle pas des histoires de serveurs de clé et autre machins de ce genre.
      
      Trouver la clé de qqn: ça devrait être tout à fait transparent avec l'utilisation du carnet d'adresses. Malheureusement, c'est loin d'être le cas et c'est encore d'une complexité redoutable.
      
      Ça, c'est juste les « fruits pendant bas » que je vois dans l'UI de GPG et le fait que, en 9 ans, je n'aie pas la moindre tentative d'adresser le problème m'inquiète quand à la santé du projet.
      
      Plus profondément, je m'interroge également sur la pertinence de la manière dont GPG fonctionne avec les adresses mails. Par exemple, rien n'empêche d'avoir plusieurs clés pour la même adresse. Avoir une relation bijective clés adresses mails permettraient de simplifier énormément l'utilisation de GPG.
      
      Mes livres CC By-SA : https://ploum.net/livres.html
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:28. Évalué à 3.
        
        L'histoire du Fingerprint, par exemple, est très rigolo pour les geeks mais pourrait être présentée 100fois plus simplement.
        
        Ah, pas de chance, c'est impossible ça. Il faut vérifier l'empreinte, sinon on ne vérifie rien du tout.
        
        Éditer les adresses liées à sa clé: je n'en parle pas, depuis 9 ans, je m'y réessaie une fois par an et je n'ai toujours pas compris.
        
        Ah, je ne sais pas quelle UI tu utilises, mais en tout cas avec gpg en ligne de commande c'est vraiment très simple : adduid, et il te demande le détail de l'adresse que tu veux ajouter.
        
        Plus profondément, je m'interroge également sur la pertinence de la manière dont GPG fonctionne avec les adresses mails. Par exemple, rien n'empêche d'avoir plusieurs clés pour la même adresse. Avoir une relation bijective clés adresses mails permettraient de simplifier énormément l'utilisation de GPG.
        
        Comment voudrais-tu interdire à qui que ce soit de créer une nouvelle clef en utilisant ton adresse par exemple ? Ce n'est pas non plus possible, ça.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Thrillseeker le 01 mars 2012 à 17:01. Évalué à 1.
        
        L'histoire du Fingerprint, par exemple, est très rigolo pour les geeks mais pourrait être présentée 100fois plus simplement.
        
        Ah, pas de chance, c'est impossible ça. Il faut vérifier l'empreinte, sinon on ne vérifie rien du tout.
        
        Il fait référence à la présentation, pas de supprimer l'étape de vérification. Au niveau présentation, il existe des hashs visuels.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par BFG le 01 mars 2012 à 17:49. Évalué à 2.
        
        Il ne s'agit pas juste de décider si les 2 hachages (ou images) ont l'air de se ressembler, il s'agit de savoir si ils sont identiques. Voir également http://www.thc.org/papers/ffp.html.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Thrillseeker le 01 mars 2012 à 18:30. Évalué à 1.
        
        L'exemple du site est:
        
        Orig:d6:b7:df:31:aa:55:d2:56:9b:32:71:61:24:08:44:87 1024 d6:b7:8f:a6:fa:21:0c:0d:7d:0a:fb:9d:30:90:4a:87 /tmp/ssh-rsa00.pub 1024 d6:b5:d0:34:aa:03:ca:9b:7f:66:b4:79:0a:86:74:a7 /tmp/ssh-rsa01.pub 1024 d6:87:6f:71:9d:2c:5d:fb:57:54:03:a2:2d:09:51:87 /tmp/ssh-rsa02.pub 1024 d6:b2:3f:ac:13:ce:ca:59:3f:b1:4b:c2:f0:03:44:97 /tmp/ssh-rsa03.pub 1024 d6:b9:0f:31:85:b3:34:1e:19:f5:d9:60:79:be:f4:85 /tmp/ssh-rsa04.pub 1024 96:57:df:31:8d:11:f2:b1:28:a4:fd:6d:34:5f:b2:87 /tmp/ssh-rsa05.pub 1024 d0:b0:df:0e:7c:f6:54:94:46:12:72:94:3a:07:a4:87 /tmp/ssh-rsa06.pub 1024 d6:b7:dd:be:f3:52:d9:8f:7e:53:30:49:f1:a8:94:5a /tmp/ssh-rsa07.pub
        
        Le cerveau humain n'étant pas spécialement conçu pour travailler avec du texte, c'est pour cela que ce genre de faille arrive. Alors si le hash visuel est une matrice à 32 cases, dont chaque case correspond à un quartet (donc 16 couleurs possibles par case), il me semble qu'un humain détectera plus rapidement des hashs différents (pour peu que l'image ne soit pas microscopique)
        
        Après dans l'exemple de VizHash, il y a des formes/courbes, ceci peut être utilisé pour différencier deux hashs trop ressemblant (je pense à 1 ou 2 quartets de différence). Or je constate que l'outil Fuzzy Fingerprint génère des hashs avec énormément de différence. Donc je pense qu'un hash visuel peut être suffisant pour certains domaines (du moins pour le grand public), mais c'est sûr que ce sera moins bien qu'une comparaison textuelle (qui sera toujours utile en entreprise).
        
        Mais rien n'empêche de mettre les deux, un hash visuel et un écrit :-)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par ymorin le 02 mars 2012 à 00:03. Évalué à 4.
        
        l'outil Fuzzy Fingerprint génère des hashs avec énormément de différence
        
        J'ai un pote qui a soutenu sa thèse de doctorat sur un sujet connexe (Contributions à la sécurité des réseaux dynamiques auto-conﬁgurables : application aux réseaux domestiques).
        
        Le but est de présenter à l'utilisateur une représentation visuelle d'un très grand nombre, de façon que les images soient toujours très différenciantes.
        
        Chaque nombre en entrée sert de graine (seed) pour générer un Random Art.
        
        L'identification en est simplifiée : il est largement plus simple de comparer deux images et dire si elles sont ressemblantes, plutôt qu'une suite de caractères hexa. Sachant que deux séquences différentes produiront des images visuellement très différentes, donc dans ce cas "ressemblantes pour un œil humain" est équivalent à "identiques". Si les images ne sont pas identiques, elles ne seront pas visuellement similaires : jamais les mêmes formes, jamais les mêmes couleurs…
        
        La contre-partie, c'est que ça peut poser problèmes pour les déficients visuels (daltoniens, etc…). Dans ce cas, d'autres solutions peuvent être mises en œuvre : empreinte acoustique…
        
        Et je suis d'accord, gpg n'est pas simple à utiliser (et c'est pas faute de faire des efforts et d'être (un peu) de la partie… :-/
        
        Hop,
        Moi.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par delio le 02 mars 2012 à 11:22. Évalué à 1.
        
        en ligne de commande c'est vraiment très simple
        
        Pour l'utilisateur moyen, ça veut juste dire que c'est impossible.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Thierry Thomas (site web personnel, Mastodon) le 02 mars 2012 à 14:34. Évalué à 3.
        
        Unix, c'est comme avec les filles : il faut taper dans la console.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Def le 01 mars 2012 à 16:44. Évalué à 4.
        
        Je pense qu'il doit être possible d'utiliser GPG sans rien connaitre à la crypto et à la certifciation.
        
        Cela doit être possible. Et je reconnais que les interfaces ne sont pas conçues pour être facile d'utilisation, c'est dommage et ça mérite d'être amélioré. Je ne suis pas spécialiste du sujet, je ne me suis pas aventuré très loins dans les manipulations autour de GPG : à peine plus que le minimum pour tirer parti des fonctionnalités « de base » (signer et/ou chiffrer un mail, gérer ses clés).
        
        À côté de ça, si ma mémoire ne me trompe pas, il y a avait beaucoup d'options de configuration aux noms cryptiques qui semblaient avoir un impact non négligeable sur la fiabilité de GPG. J'ai naïvement fait confiance aux options par défaut et aux paramètres recommandés, j'espère que ma configuration n'est pas plus bancale que la moyenne.
        
        Ce qui nous amène à : utiliser GPG sans rien connaître à « la crypto et à la certification » à tout l'air d'une mauvaise idée. Sans rien connaître à la crypto, la valeur ajoutée de GPG est nulle : si l'on est incapable d'interpréter les informations fournies par GPG ou que l'on a pas de notion de « l'hygiène » qui accompagne à la gestion des clés, pourquoi s'embêter à rajouter cette étape dans l'utilisation quotidienne des mails ? J'y vois l'effet pervers de procurer à tort une sensation de sécurité. Voire même de fragiliser la confiance dans le reste du système, une mauvaise utilisation d'un outil étant nécessairement plus dangereuse qu'aucune utilisation de celui-ci.
        
        L'utilisation clickodromique qui peut faire ses preuves pour quelques services courants en permettant agréablement de ne pas comprendre ce qu'il se passe est beaucoup moins pertinente quand il est question de sécurité, d'authentification, d'identification, etc.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Adrien le 01 mars 2012 à 17:07. Évalué à 4.
        
        Je pense qu'il doit être possible d'utiliser GPG sans rien connaitre à la crypto et à la certifciation.
        
        J'ai du mal avec cette idée. Le principe du chiffrement repose sur la confiance en la solution de cryptage. Si tu n'y connaît absolument rien, ça veux dire que tu base ta confiance entièrement dans celui qui te fournit la solution. Mieux tu connaît le principe de fonctionnement, plus tu pourras avoir confiance dans le chiffrement que tu réalises.
        
        Après c'est comme tout : si j'utilise le logiciel gpg, alors je dois avoir confiance en lui pour chiffrer mes messages… mais si je n'ai jamais lu son code et ne connaît pas ses auteurs.
        
        Enfin tout les points que tu mentionnes ne concerne pas tellement GPG mais plutôt l'interface que tu utilises. Par exemple pour ajouter une adresse, je fais clic droit sur la clé, puis « ajouter un uid », avec kleopatra.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par fabien le 01 mars 2012 à 18:14. Évalué à 3.
        
        J'ai du mal avec cette idée. Le principe du chiffrement repose sur la confiance en la solution de cryptage. Si tu n'y connaît absolument rien, ça veux dire que tu base ta confiance entièrement dans celui qui te fournit la solution. Mieux tu connaît le principe de fonctionnement, plus tu pourras avoir confiance dans le chiffrement que tu réalises.
        
        Peut être mais,
        Mais quelle difference entre ta mere qui utilise https (qui voit un joli cadena) et toi qui utilise https (et qui sais comment ca marche)
        
        Pourquoi n'aurait-elle pas autant confiance que toi ?
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par jyes le 01 mars 2012 à 20:31. Évalué à 2.
        
        Elle aura aussi confiance, mais elle se fera avoir : http://www.thoughtcrime.org/software/sslstrip/
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par xumelc le 01 mars 2012 à 18:55. Évalué à 5.
        
        Signer une clé: opération ultra-complexe alors qu'il suffirait de pouvoir dire "J'ai confiance en cette personne".
        
        C'est comme ça dans kgpg :
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par xumelc le 01 mars 2012 à 19:05. Évalué à 5.
        
        Rectification : j'ai lu trop vite, il s'agissait ici de la confiance en la personne, pas en la clé. Cela dit, la signature d'une clé (avec kgpg toujours, parce que c'est ce que j'utilise) consiste simplement à dire "j'ai vérifié avec soin / j'ai vérifié rapidement / je n'ai pas vérifié" [que la clé appartient à la bonne personne].
        Ça se fait en trois clics.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par ze_lionix (site web personnel) le 02 mars 2012 à 19:15. Évalué à 7.
        
        Réponse un peu tardive de ma part mais je me dois de te remonter certaines choses !
        
        J'ai assisté à la conférence du développeur de GnuPg ( en anglais ) aux RMLL.
        Figure toi qu'il est complètement aware des choses que tu soulèves, et pour l'avenir il prévoit du moins compliqué, de "suck less".
        
        Les Pistes suivies :
        - faciliter la génération de clé , leur utilisation & intégration…etc devra se faire au niveau des clients mails.
        - faciliter la divulgation des clés en ajoutant une donnée dans les DNS, profiter ainsi de la propagation et du SOA !
        - trust on first contact
        (….)
        
        Je t'invite à aller sur le site des RMLL et regarder ses slides…
        Tu devrais te retrouver dans le test fait sur 12 personnes : Générer une clé, signer, truster…Etc… les résultats suivant les taches sont, calamiteux… Et c'est normal, c'est trop compliqué…. Mais il y travaille…
        
        Fuse : j'en Use et Abuse !
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par moi1392 le 01 mars 2012 à 16:11. Évalué à 10. Dernière modification le 01 mars 2012 à 16:12.
    
    Demande-toi juste si jouer avec Facebook demande l'assistance de quelqu'un
    
    On m'a déjà demandé de l'aide pour voir des photos ou les infos sur une personne de facebook.
    Et perso, pour y mettre les pieds de temps en temps pour me tenir au courant d'évenements dans une activité que je pratique (avec un compte alanouha créé pour l'occasion), je trouve l'utilisation de facebook très très très compliqué.
    
    En fait, je pense surtout que ce qui est important, c'est l'info que l'on cherche et la motivation que l'on a à la trouver.
    Les gens sont bien moins intéressés par le chiffrement de leurs courriels que par une vidéo de chat qui trébuche sur une petite cuillère.
    
    Et comme, en plus, la plupart des gens ne recherchent absolument rien sur facebook et se contentent de visionner ce qui leur est présenté…
    
    L'exemple est définitivement mal choisi pour faire une comparaison.
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par CHP le 01 mars 2012 à 17:03. Évalué à 2.
    
    Demande-toi juste si jouer avec Facebook demande l'assistance de quelqu'un qui s'y connait, et compare la popularité de Facebook et GPG…
    
    Comparer la popularité de facebook et GPG…. Pourquoi faire ? Ca a quoi de significatif ?
    
    Facebook jouit d'une puissance marketing enorme, sans compter toute la pub que lui font gratuitement tous les médias, alors que GPG n'a rien de tout ca.
    Facebook apporte quelque chose a mademoiselle michu (oui, mademoiselle, parce qu'on parle souvent de la mère, mais jamais de la fille), alors que GPG, non (Non, ne vous voilez pas la face, le grand public se contrefout de la confidentialité de ses mails : quel besoin de confidentialité a-t-on lorsqu'on utilise le mail pour donner des nouvelles de tata simone et s'echanger des pdf avec des chatons rigolos ?).
    
    GPG est utilisé par ceux qui en ont besoin. Il y a certainement certaines personnes qui en auraient besoin et qui ne connaissent pas, mais ce n'est certainement pas "le grand public".
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Tit le 01 mars 2012 à 17:51. Évalué à 2. Dernière modification le 01 mars 2012 à 17:52.
      
      a mademoiselle michu (oui, mademoiselle, parce qu'on parle souvent de la mère, mais jamais de la fille)
      
      Madame Michu peut aussi correspondre à la fille même si elle est jeune et pas mariée… et pourquoi pas "monsieur" puisqu'on ne parle pas non plus du père, ni du fils (à moins qu'il ne s'appelle Kevin).
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par Grunt le 01 mars 2012 à 18:03. Évalué à 10.
    
    Chez moi, de l'informatique qui est utile, c'est celle qui permet de se passer de l'assistance de quelqu'un.
    Demande-toi juste si jouer avec Facebook demande l'assistance de quelqu'un qui s'y connait, et compare la popularité de Facebook et GPG…
    
    Je veux pas prendre systématiquement le contre-pieds des "pragmatiques", ni traiter les utilisateurs lambdas de pénibles qui font exprès de pas comprendre.
    
    Mais, je me demande dans quelle mesure la difficulté est "intrinsèque" à certaines technologies, et dans quelle mesure elle est "ressentie" en fonction des habitudes des utilisateurs, de leur motivation initiale, de l'orientation prise par leur culture informatique, de leur propension à s'intéresser ou pas à certaines choses.
    
    Il ne faut pas oublier que "utiliser Facebook" devrait impliquer la lecture de ses conditions d'utilisation, la compréhension des paramètres afin de protéger sa vie privée (en acceptant l'hypothèse selon laquelle le service est digne de confiance et que la seule protection doit se faire vis à vis d'autres utilisateurs), la vérification du fait que la connexion se fait en HTTPS, applications inclues afin d'éviter le vol de cookies (cf l'extension "Firesheep")…
    
    Je n'ai pas l'impression que beaucoup de gens utilisent Facebook correctement. En fait, ceux qui l'utilisent correctement seraient capables d'utiliser GPG.
    
    Est-il souhaitable de transformer GPG en quelque chose qui soit aussi faussement simple que Facebook, et qui conduise au même résultat, c'est à dire : spam, fuite de données personnelles, vol de compte (=> vol de clef).. ?
    
    Moi qui vous parle je me suis retrouvé à faire le couillon avec le compte Facebook de quelqu'un d'autre qui avait bêtement mis ses identifiants dans une page de fishing (bref, longue histoire). Je n'aimerais pas me retrouver dans la même situation avec un compte GPG. C'est du serious business, GPG, et me retrouver avec la clef privée de quelqu'un d'autre signifierait que le "réseau GPG" contient des utilisateurs totalement indignes de confiance. Mieux vaut qu'ils ne l'utilisent pas, plutôt qu'ils aient et procurent un faux sentiment de sécurité.
    
    Je pense qu'il faut prendre conscience qu'en informatique, la solution miracle n'existe pas. Il y a toujours un prix à payer. Ce prix peut-être la sécurité, ou la vie privée, ou l'argent, ou le temps, ou la perte de fonctionnalités.
    
    La solution magique, sous licence libre, intéropérable, à la portée du premier venu, qui ne nécessite aucun apprentissage, qui est totalement gratuite, qui permet de faire tout ce qu'on peut imaginer de faire avec, qui est sécurisée.. n'existe pas. Pour l'instant, les entreprises qui alimentent le grand public en logiciels et services parviennent à lui faire sacrifier, soit sa vie privée (Facebook© par exemple), soit sa sécurité (Flash© par exemple), soit, d'une façon détournée, son fric (Windows© par exemple). On ne peut pas faire l'économie d'une sensibilisation (en fait, pour bien faire, c'est même de l'éducation qui est nécessaire. Un travail de fond qui s'inscrive dans la durée) si on espère que les gens, et d'une comprennent qu'ils ont quelque chose "à payer", et de deux fassent le choix de payer quelque chose en connaissance de cause, c'est à dire en ayant conscience des conséquences de chaque choix, y compris des conséquences pour autrui (utiliser Facebook signifie imposer l'usage du même service à ceux qui veulent me joindre).
    
    THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par gnuzer (site web personnel) le 01 mars 2012 à 23:17. Évalué à 1.
    
    compare la popularité de Facebook et GPG…
    
    En même temps, le public de Facebook n'est pas le même que le public de GPG, IMHO… Je dirais même que ces deux publics sont plutôt antagoniques. :)
    
    La différence se situe donc au niveau de la population elle-même. Et si Facebook a plus de succès que GPG, je pense que c'est dû au fait que seule une toute petite portion de la population passe son temps à échanger des informations susceptibles de froisser Big Brother, alors que la grande majorité préfère passer son temps à comparer ses scores à Angry Birds et Paf le Chien.
    
    [/ma vision pessimiste de l'humanité]
- [^] # Re: Utile, pas plus compliqué qu'autre chose
  
  Posté par bat13 le 01 mars 2012 à 15:17. Évalué à 5.
  
  Un lien vers un tuto ?
  J'ai installé Thunderbird + enigmail, je n'ai encore jamais réussi à vérifier la signature d'un message, alors chiffrer/déchiffrer ma correspondance …
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par Zenitram (site web personnel) le 01 mars 2012 à 15:24. Évalué à -9.
    
    Un lien vers un tuto ?
    
    Du moment où tu as besoin d'un tuto pour un truc de base du produit, c'est que le produit est mauvais…
    
    J'ai installé Thunderbird + enigmail, je n'ai encore jamais réussi à vérifier la signature d'un message, alors chiffrer/déchiffrer ma correspondance …
    
    Ca me rassure, je ne suis pas le seul! (bon, j'ai réussi, mais après galères… Et pas sûr que ce soit si secure du coup, à force de tâtonner)
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:29. Évalué à 10.
      
      Du moment où tu as besoin d'un tuto pour un truc de base du produit, c'est que le produit est mauvais…
      
      Je te suggère de brûler les maîtres d'écoles avec des bûchers de livres, alors.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 01 mars 2012 à 15:39. Évalué à -3.
        
        Il y a des choses qu'on peut pas faire autrement.
        Et il y en a d'autres où on peut faire plus simple.
        
        Mais c'est vrai : pourquoi faire simple quand on peut faire plus compliqué… GPG est un très bon exemple d'interface incompréhensible pour rien (les exemples ont été donnés par une autre personne)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:55. Évalué à 10.
        
        Du calme, tout ce que je voulais faire remarquer, c'est que
        
        Du moment où tu as besoin d'un tuto pour un truc de base du produit, c'est que le produit est mauvais…
        
        est faux.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Grunt le 01 mars 2012 à 18:12. Évalué à 3.
        
        Mais c'est vrai : pourquoi faire simple quand on peut faire plus compliqué… GPG est un très bon exemple d'interface incompréhensible pour rien (les exemples ont été donnés par une autre personne)
        
        Est-ce que tu aurais une idée d'interface plus simple ? Je me suis fait la même remarque que toi la première fois que je l'ai utilisé, mais je n'arrive pas à voir comment on pourrait rendre le concept intuitif, sans masquer dangereusement ses principes de base (c'est à dire, sans risquer qu'un utilisateur ne publie sa clef privée, par exemple).
        
        THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 01 mars 2012 à 18:23. Évalué à -4.
        
        Est-ce que tu aurais une idée d'interface plus simple ?
        
        Mes souvenirs sont assez loin (et je n'ai pas ré-installé tellement ça m'est inutile), mais déjà, je ne comprend pas qu'il faille plus d'un clic pour créer une clé et mettre cette clé sur la toile, et après la façon dont c'était affiché (avec des caractères hexadécimaux qui se baladent un peu partout) est vraiment incompatible avec Mr tout le monde (moi, ça va, je parle couramment l'hexadécimal, mais va faire comprendre l'hexa à Mr tout le monde…)
        
        Après, j'ai balancé la chose, pas assez utile pour que j'investisse dessus, ce n'est pas à moi de définir un produit qui ne m’intéresse pas plus que ça pour le moment.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 02 mars 2012 à 20:49. Évalué à 0.
        
        Je propose même la création d'un outil qui créerait ton adresse mail (chez gmail, what else?), son mot de passe, un compte utilisateur local et administrateur (root? nah linux trop compliqué) en un seul clic, plus un code pin, un compte facebook (what else?) et un certificat chez thawte ou verisign, toujours en un seul clic, sans avoir jamais besoin de vérifier ses paramètres ou retaper un mot de passe, voire s'en souvenir, et en plus envoie toutes les informations nécessaires à ses correspondants, et même configure leur compte à la volée pour qu'ils aient un beau cadenas vert dans outlouque quand ils reçoivent une message.
        
        Tiens j'aperçois une une analogie avec les voitures à l'horizon, comme c'est original :)
        Il faudrait des voitures sans manuel, qui vérifient la pression des pneus, les change si besoin, vérifie le niveau d'huile, de liquide de freins, lave-glace, liquide de refroidissement, l'état d'usure des pneus, fasse le plein et lave la voiture d'une simple pression sur un écran tactile. Parce que pour Michelle Michu, c'est bien trop compliqué.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 03 mars 2012 à 08:30. Évalué à -2.
        
        Wow… C'est impressionnant comme les "linuxiens" peuvent être tellement déconnectés de la réalité : il faut que ce soit compliqué, sinon ça ne va pas, et si il faut trouver une excuse bidon, on en sort une bidon.
        
        Restez dans votre tour d'ivoire à vous croire supérieurs, en attendant les autres font tourner le monde et tout le monde et content et raillent ces autistes.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 03 mars 2012 à 11:30. Évalué à 6.
        
        Encore une fois je ne vois pas l'intérêt de l'insulte personnelle, ça ne me dérange pas outre mesure, mais ça pollue un peu le débat.
        
        J'essaie de mettre les choses en perspectives, sans dire qu'aucun système n'est parfait, et que pour appréhender le monde, il est toujours intéressant de le comprendre un peu. Plus un système est simple en apparence, plus sa mécanique interne peut s'avérer exponentiellement complexe, et qu'il est intéressant de se trouver à un point ou on profite des avantages que les outils modernes peuvent apporter, sans perdre complètement le contrôle sur ces outils. L'exemple de la voiture est que si on n'a pas une simple compréhension de son véhicule, évidemment il paraît extrêmement compliqué pour Tante Marthe de rajouter du liquide de refroidissement. Il y a des voitures modernes tellement "simples" et automatisées qu'on ne peut même plus remplacer soi-même les ampoules, on doit le faire faire chez le concessionnaire. Et certains s'en accomodent très bien, trouvent ça super. D'autres moins. Mais certains, dans ce même journal arrivent semble-t-il à mieux expliquer la notion de compromis simplicité/indépendance que moi.
        
        Ensuite tu as l'air de dire que la gestion d'un certificat X.509 est ultra-simple, non, la simplicité est telle qu'une fois installé, tu n'as plus rien à faire, sauf retaper ton mot de passe, ou insérer ta clef et taper ton PIN, car tu fais entièrement confiance au CA, voire aux chaines de CA. Mais la démarche pour obtenir son certificat est malgré tout complexe, car il faut choisir un CA (les comparer), souvent payer, choisir les services associés (ce qu'on veut être capable de signer/chiffrer), prouver son identité, récupérer en main propre ses certificats ou par une autre façon sécurisée (si c'est un bon CA qui fait bien son travail), configurer les paramètres de sécurité de son poste de travail notamment en installant le certificat racine de l'autorité (essaie de le faire sans doc, tu vas vite considérer selon tes normes que c'est un "mauvais" produit). Ensuite, il faut bien sûr convaincre l'oncle Bill de faire la même procédure pour effectuer un échange signé/chiffré avec lui. En passant, je ne sais pas après si la procédure aussi "facile" à faire en Tunisie ou en Iran. Tu peux bien sûr concevoir ta propre PKI, mais tu ne pourras échanger qu'avec ceux inscrits dans cette PKI (vu qu'il ne fait pas partie des chaines de CA, sauf si tu réussis à valider toutes les étapes complexes et coûteuses de certification). Donc X.509 c'est un certificat certainement pratique pour une entreprise, mais pas forcément pour l'ensemble des utilisateurs, et très loin du "1 click install". Encore une fois, il s'agit d'une mise en perspective. Concernant la sécurité, le problème du mot de passe reste le même, si on a volé/craqué le mot de passe de ton certificat, n'importe qui peut se faire passer pour toi, et les gens seront d'autant moins méfiant que c'est Verisign, Thawte, BNP/Paribas ou autre qui authentifie ton certificat. À l'opposé, se faire une clef OpenPGP sous Enigmail, kpgp, retroshare etc, c'est entre deux et cinq clics, et trois/quatre champs à remplir. Et le même problème que pour X.509, le mot de passe : trop simple, on peut le craquer, trop complexe, on peut l'oublier.
        
        Ensuite je ne comprends pas trop ce que viennent faire les linuxiens dedans. On parlait bien de OpenPGP non ? Moi même je ne me considère pas comme un linuxien, même si c'est mon système de choix, et que j'ai bien conscience d'avoir laissé derrière moi une certains "avantages" techniques liés aux autres environnements, mais c'est un autre débat.
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Grunt le 01 mars 2012 à 18:05. Évalué à 10. Dernière modification le 01 mars 2012 à 18:06.
      
      Du moment où tu as besoin d'un tuto pour un truc de base du produit, c'est que le produit est mauvais…
      
      Non, pas forcément. À l'époque de gloire de eMule, il y avait des dizaines de tutos pour ouvrir les ports sur la machinbox, le produit (libre, au passage) eMule s'est distribué à des millions d'exemplaires et a été plébiscité par ses utilisateurs, jusqu'à ce que le torrent s'impose comme solution de remplacement.
      
      Le problème (si on considère que c'est un problème), est que les gens trouvent plus urgent d'avoir gratuitement le dernier film, que d'échanger sur Internet avec une confidentialité supérieure à celle d'une carte postale.
      
      THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 01 mars 2012 à 18:26. Évalué à -1.
        
        À l'époque de gloire de eMule, il y avait des dizaines de tutos pour ouvrir les ports sur la machinbox,
        
        Le produit était mauvais (de même qu'IPv4), mais c'était le moins pire et répondait à un "gros" besoin, tandis que chiffrer ses mails…
        
        Et tu fais bien de parler de cet exemple, depuis on a uPNP justement pour palier au problème! Des gens ont vu le problème, et se sont bougé le cul pour corriger le problème. Pour GPG, le constat sur les mails du moins est fait depuis longtemps, mais rien n'a bougé (à commencer par les caractères incompréhensibles d'un mail signé pour qui n'a pas un agent "compatible", plutôt que de mettre la signature au bon endroit genre les champs en-tête d'un mail…)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Psychofox (Mastodon) le 01 mars 2012 à 22:20. Évalué à 0.
        
        Pour GPG, le constat sur les mails du moins est fait depuis longtemps, mais rien n'a bougé (à commencer par les caractères incompréhensibles d'un mail signé pour qui n'a pas un agent "compatible", plutôt que de mettre la signature au bon endroit genre les champs en-tête d'un mail…)
        
        Tu ne prendrais pas le problème par le mauvais côté par hasard ?
        
        Le problème des mails, c'est que c'est un protocole de communication obsolète et foireux qu'on ne devrait plus utiliser. Et GPG est juste une rustine que certains utilisent pour le rendre un peu moins foireux.
        
        Il faudrait surtout s'atteler à abandonner l'email pour de bon. Certains le font, mais en passant par un moyen de communication encore plus stupide comme facebook. C'est ça le vrai problème.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 01 mars 2012 à 23:27. Évalué à 0.
        
        Le problème des mails, c'est que c'est un protocole de communication obsolète et foireux qu'on ne devrait plus utiliser.
        
        Hum. Les headers, ce n'est pas présent pour rien. C'est même fait pur ça. D'autres logiciels arrivent très bien à les utiliser, mais pas GPG. Le problème ne serait-il pas l'implémentation de GPP pour les mails plutôt que format d'email?
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Psychofox (Mastodon) le 02 mars 2012 à 00:09. Évalué à 1.
        
        Les headers ne vont pas t'aider lorsqu'il s'agit de chiffrer l'email. De plus les headers ont une limite en nombre de caractères.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 06:29. Évalué à 3.
        
        Chiffre, OK, impossible de faire autrement que de chiffrer, merci je suis idiot mais quand même.
        Et signer, c'est quoi le problème de le mettre dans le header comme tout le monde à la place de pourrir l'affichage?
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Psychofox (Mastodon) le 04 mars 2012 à 22:01. Évalué à 3.
        
        Et signer, c'est quoi le problème de le mettre dans le header comme tout le monde à la place de pourrir l'affichage?
        
        C'est peut-être un problème pour les gens qui veulent signer leurs mails depuis un client qui ne le supporte pas d'origine. Aux hasard, une webmail, un client mail sur un téléphone…
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 08:37. Évalué à 1.
        
        Si, ils pourraient. Les messages de contrôle des groupes de nouvelles USENET sont signés selon PGP dans un en-tête prévu à cet effet. C'est un processus semblable à celui utilisé pour DKIM.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 08:38. Évalué à 2.
        
        Oups, moinssez-moi, je viens de dire une belle connerie. Pour signer, d'accord, mais pour chiffrer, on oublie. :-)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 08:58. Évalué à 2.
        
        Au contraire : il est évident qu'on ne peut pas garder en clair un texte qu'on veut chiffrer! C'est enfoncer des portes ouvertes de dire que c'est impossible de chiffrer sans chiffrer.
        Donc la seule chose dont on parle à mettre dans les headers, c'est bien la signature.
        
        et comme tu l'as fait remarquer, les autres le font sans problème. C'est vraiment une connerie immonde de foutre sa signature GPG dans le corps du texte, qui est réservé au texte. Oui, les gens qui foutent leur signature GPG dans le corps du mail à des gens sans savoir si en face c'est supporté (genre sur une mailing-list, vas-y que je fais chier tout le monde) me font bondir : ne le faite pas, l'outil est mauvais, très mauvais.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Thierry Thomas (site web personnel, Mastodon) le 02 mars 2012 à 09:52. Évalué à 3.
        
        Hum. Les headers, ce n'est pas présent pour rien. C'est même fait pur ça. D'autres logiciels arrivent très bien à les utiliser, mais pas GPG. Le problème ne serait-il pas l'implémentation de GPP pour les mails plutôt que format d'email?
        
        Le problème ne serait-il pas l'utilisation de MUA obsolètes, qui n'utilisent pas la signature détachée au format MIME ? Ce n'est pourtant pas nouveau !
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:54. Évalué à 2.
        
        Je te parle de cette merde la :
        https://linuxfr.org/nodes/89696/comments/1326179
        
        Je le vois assez souvent (défaut d'enigmail si ma mémoire est bonne)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 09:55. Évalué à 1.
        
        Vous parlez bien de la même chose, les signatures PGP en ligne.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Grunt le 01 mars 2012 à 23:13. Évalué à 3.
        
        c'était le moins pire et répondait à un "gros" besoin, tandis que chiffrer ses mails…
        
        J'ai dit un peu la même chose.. si la situation de départ est que les gens trouvent plus urgent d'avoir le dernier film, que d'être certain de l'identité de leur interlocuteur et de la confidentialité du message, alors dans ce cas c'est logique que GPG n'intéresse personne.
        
        THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 08:45. Évalué à 10.
        
        C'est pareil avec PDF et le lecteur Adobe. Par exemple, je diffuse des photos par BitTorrent :
        
        Tanguy, tu fais chier, c'est compliqué d'installer un logiciel pour ça, tu ne pourrais pas les mettre sur un site Web normal ?
        
        Euh, dis-moi, juste pour savoir, tu peux lire des PDF ?
        
        Oui, pouquoi ?
        
        Avec quel logiciel ?
        
        Adobe Reader…
        
        Et il était fourni avec ton système ?
        
        Ah non, c'est un des premiers trucs que j'ai installé.
        
        Super, c'était compliqué d'installer un logiciel pour ça mais tu l'as bien fait au premier PDF que tu as eu à lire. Ben pareil pour mes photos.
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:29. Évalué à 1.
    
    Marrant, moi pour avoir essayé Enigmail, il n'y avait rien à faire, si la clef est connue la vérification se fait toute seule.
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Zenitram (site web personnel) le 01 mars 2012 à 15:42. Évalué à 4.
      
      si la clef est connue
      
      Forcément, en virant la partie incompréhensible de la procédure, c'est tout de suite plus facile.
- [^] # Re: Utile, pas plus compliqué qu'autre chose
  
  Posté par barmic le 01 mars 2012 à 17:41. Évalué à 3.
  l'utilisation courante avec des outils comme Enigmail pour Thunderbird est simplissime
  
  C'est ce qu'on se dis jusqu'à ce qu'on découvre un MUA qui rend cela réellement simple, comme Evolution par exemple. Sur ma Debian en Gnome2 (je ne sais pas ce que ça donne avec Gnome3), l'intégration d'Evolution, de Gnome keyring et de seahorse, rend l'utilisation de GPG simple (pas simplissime). Car l'intégration est près configuré comme il faut que les outils bas niveau pour générer des clefs, signer et chiffrer sont installés. L'interface s'utilise facilement.
  
  Après GPG une fois le MUA configurer c'est simple de toute manière. Ce qui reste compliqué c'est :
  - de protéger sa clef tout en la baladant partout avec soit pour pouvoir écrire des mails
  - garder de manière sécurisée le certificat de révocation de la clef
  Tous les contenus que j'écris ici sont sous licence CC0 (j'abandonne autant que possible mes droits d'auteur sur mes écrits)
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 17:47. Évalué à 3.
    
    garder de manière sécurisée le certificat de révocation de la clef
    
    Celui-là, si tu te le fais voler, c'est très ennuyeux mais pas grave, comparé à ta clef privée. Le voleur peut révoquer ta clef, pas déchiffrer à ta place ou se faire passer pour toi.
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par barmic le 01 mars 2012 à 18:23. Évalué à 3.
      
      Oui mais il te la faut. Dans l'absolu il faudrait qu'elle soit sur un support physique comme un CD ou plutôt une clef USB et comme toujours quand on parle de ce genre de moyen de stockage, il faut vérifier régulièrement si elle est toujours lisible.
      
      Si on est bourrin on va utiliser par2 pour pouvoir la récupérer même si elle est endommagée.
      
      Tous les contenus que j'écris ici sont sous licence CC0 (j'abandonne autant que possible mes droits d'auteur sur mes écrits)
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 2PetitsVerres le 06 mars 2012 à 03:51. Évalué à 2.
        
        Moi j'ai une copie de sauvegarde de ma clé GPG (que je n'ai pas utilisé depuis des années, mais je me rappelle du mot de passe) sur ou ou deux CD. Et celle que j'utilisais est sur un disque dur HS. Je ne sais pas si les CD contenants ma clé sont encore lisible. Mais le plus gros problème, c'est que je ne sais pas sur quel CD elle est. Ni même si je ne l'ai pas perdu lors d'un de mes déménagements (mais je pense qu'il est revenu entre deux déménagements chez mes parents, mais il y a trop de vieux cd à moi là /o\ )
        
        Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.
- [^] # Re: Utile, pas plus compliqué qu'autre chose
  
  Posté par claudex le 02 mars 2012 à 08:57. Évalué à 4.
  
  Le gros problème pour moi, c'est de récupérer la clef des gens. Et je ne considère pas que récupérer la clef sur un serveur parmis d'autre sur lesquels tout le monde peut écrire est une manière un minimum sécurisée (si on ne sécurise pas ça un minimum, ça ne sert à rien).
  
  « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
  - [^] # Re: Utile, pas plus compliqué qu'autre chose
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 09:46. Évalué à 2.
    
    Tu as le droit de demander à tes amis de te fournir leurs clefs sur clef USB si ça t'amuse : les serveurs publics sont seulement là pour faciliter les échanges de clefs, mais il n'est pas obligatoire de les utiliser, si tu veux faire plus compliqué, tu peux.
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:52. Évalué à 1.
      
      Super pas pratique. Et cher (j'ai souvent un océan entre moi et mon correspondant)
      
      Dit moi ce dont tu as besoin, je te dirais comment t'en passer.
      - [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 09:55. Évalué à 2.
        
        Attends, excuse-moi, il explique qu'il n'aime pas récupérer des clefs sur des serveurs publics. C'est son droit de se compliquer la vie, en attendant tu peux quand même les utiliser, toi. Ou te faire envoyer les clefs par courrier électronique, le médium importe peu du moment qu'on fait la vérification.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 02 mars 2012 à 10:12. Évalué à 3.
        
        le médium importe peu du moment qu'on fait la vérification.
        
        Mais comment faire cette vérification justement? S'il me l'envoie par email, comment je peux être sûr que c'est lui puisque je n'ai pas la clef. Les serveurs publics ne me dérange pas, le problème, c'est que je peux aller sur ces serveur et publier n'importe quelle clef.
        
        Par exempl,e je vais publier sur gpg.example.com une clef à ton nom sans que le correspondant à qui j'enverrais un mail à ton nom (en disant que ma clef est sur gpg.example.com) puisse faire la différence entre le vrai et le faux. Ce n'est pas pour rien qu'il y a des authorités de confiance en SSL, c'est pour éviter ce problème que ça a été créé.
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Darckense (site web personnel) le 02 mars 2012 à 10:25. Évalué à 0.
        
        Justement, c'est pour ça que tu dois vérifier l'empreinte de la clef de ton correspondant.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 02 mars 2012 à 10:33. Évalué à 1.
        
        Tu peux vérifier la signature de la clef publique par un ami commun, tu peux vérifier le hash de la clef par téléphone.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 02 mars 2012 à 10:39. Évalué à 3.
        
        Le téléphone, c'est une solution pour les gens que je connais mais pour la plupart des gens qui m'envoient des mails (surtout ceux qui m'envoient des mails signés) ça ne marche pas. Je comprends bien que c'est plus ou moins par design mais ça m'empêche de l'utiliser de manière un minimum sérieuse et pas juste pour le fun.
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 10:40. Évalué à 2.
        
        Wow… Impressionnant comme ça tourne en rond pour éviter de voir le problème en face.
        
        par un ami commun
        
        Si si ça arrive de ne pas avoir d'amis communs. Encore plus des amis communs que ça gonfle de "vérifier".
        
        tu peux vérifier le hash de la clef par téléphone.
        
        Vas-y, fait-toi chier… Ou comment faire compliqué.
        Oui, c'est possible. Mais c'est pas du tout pratique. A utiliser que pour des trucs hautement sensibles. Donc ni toi, ni moi, les contraintes sont trop fortes par rapport au niveau de confidentialité requis.
        
        Sans compter que du coup, on l'a comment le numéro de téléphone? Ben oui, quand on cherche à vérifier la signature d'un "étranger", généralement le numéro de téléphone a la même valeur de sécurité que le mail en clair, soit aucune valeur de sécurité. Autant valider le hash la première fois que tu le reçois et juste vérifier que c'est toujours la même personne sans chercher à vérifier si c'est la bonne au départ, au niveau sécurité c'est pareil.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 02 mars 2012 à 10:58. Évalué à 2.
        
        Mais c'est pas du tout pratique. A utiliser que pour des trucs hautement sensibles.
        
        Pour avoir bosser un moment, en lieu sensible, les adresses mails sensibles étaient refiler en bloc et rajouter une fois pour toutes dans le mailer.
        
        Autant valider le hash la première fois que tu le reçois et juste vérifier que c'est toujours la même personne sans chercher à vérifier si c'est la bonne au départ, au niveau sécurité c'est pareil.
        
        C'est exactement ce que je dis plus haut. Ce qui t’intéresse c'est d'avoir toujours la même personne en face. En plus, cela peut être 100% automatique.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 11:07. Évalué à 3.
        
        Ce qui t’intéresse c'est d'avoir toujours la même personne en face.
        
        Et comme déjà dit : pas forcément.
        Ca, c'et facile (tu valides la signature la première fois), comme SSH par exemple. Pas de problème.
        
        La problème qui intéresse c'est d'avoir la personne à qui on pense. Si, ça peut être important. C'est justement toute la problématique, et c'est à quoi répond par exemple SSL et les tiers de confiance, justement.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Nicolas Boulay (site web personnel) le 02 mars 2012 à 11:09. Évalué à 2.
        
        Dans le cas, ou il faut absolument associer un nom et une clef, à part avoir la carte professionnel de la personne avec son hash dessus, c'est compliqué. Je veux bien le croire.
        
        "La première sécurité est la liberté"
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 2PetitsVerres le 06 mars 2012 à 03:53. Évalué à 2.
        
        par un ami commun
        
        Si si ça arrive de ne pas avoir d'amis communs. Encore plus des amis communs que ça gonfle de "vérifier".
        
        Pourtant des trucs comme linkedin marchent alors qu'il faut (parfois) passer par des amis communs.
        
        Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 06 mars 2012 à 11:06. Évalué à 3.
        
        La masse d'utilisateur est plus importante.
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 11:29. Évalué à 2.
        
        Mais comment faire cette vérification justement?
        
        Par une ou plusieurs connaissances communes, considérées comme des autorités de certification.
        
        Ce n'est pas pour rien qu'il y a des authorités de confiance en SSL, c'est pour éviter ce problème que ça a été créé.
        
        Nawak : le modèle PGP est strictement supérieur à celui de X.509 (SSL). La seule différence entre un certificat PGP et un certificat X.509, c'est que le PGP peut être signé par plusieurs autorités alors que le X.509 peut être signé par une seule. Du coup :
        
        PGP permet d'implémenter un modèle pyramidal à la X.509 avec des autorités de certification, il suffit pour ça de se restreindre volontairement à une signature par certificat ;
        
        PGP permet aussi de faire mieux, en implémentant un modèle en toile de confiance.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 11:45. Évalué à 2.
        
        Par une ou plusieurs connaissances communes, considérées comme des autorités de certification.
        
        Quitte à me répéter, dans la vraie vie il n'y a pas de connaissances communes.
        
        le modèle PGP est strictement supérieur à celui de X.509 (SSL).
        
        C'est tellement mieux que pas foule l'utilise, surtout pas à l'endroit où la grosse problématique de savoir à qui on cause est important (Internet).
        
        Ah oui, tu vas me sortir une histoire de méchants conspirationnistes qui veulent se faire de l'argent plutôt que d'accepter que PGP ne répond pas au besoin d'identification la première fois qu'on se cause?
        
        PGP permet d'implémenter un modèle pyramidal à la X.509 avec des autorités de certification, il suffit pour ça de se restreindre volontairement à une signature par certificat ;
        
        Mais pourquoi donc SSL, avec toutes ses failles, n'est pas remplacé par PGP sur la toile, vraiment… Si il est si supérieur!
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 11:50. Évalué à 1.
        
        Quitte à me répéter, dans la vraie vie il n'y a pas de connaissances communes.
        
        Si. Tu as par exemple une connaissance commune entre toi et ta banque : VeriSign. Ou toute autre autorité de certification.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 11:51. Évalué à 2.
        
        Et pour PGP? On te demande depuis le début comment on fait dans la vraie vie, la, maintenant, pour vérifier une signature PGP.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 02 mars 2012 à 12:17. Évalué à 1.
        
        Ne vérifie pas ce qui ne nécessite pas d'être vérifié. Aujourd'hui, quelqu'un qui envoie une clé pgp pour signer ses messages est tellement rare que tu peux lui augmenter son niveau de confiance (tu peux attribuer un niveau de confiance à une clef gpg)
        
        Si la personne signe avec la même clef depuis des mois voire des années, tu peux logiquement lui augmenter son niveau de confiance. Mais encore une fois, avoir confiance absolue en une clef n'est utile que si tu veux être vraiment sûr de la personne avec qui tu es en contact, par exemple si tu veux chiffrer un mail pour pas qu'un voisin (ou un curieux) le lise, ou si tu veux envoyer une info confidentielle. Il suffit déjà de confirmer la clef par n'importe quel autre medium : IRC, messagerie instantannée, gmail, courrier, signaux de fumée et imaginer quelle raison aurait quelqu'un d'usurper une identité si vraiment c'est très important.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 02 mars 2012 à 12:28. Évalué à 4.
        
        et imaginer quelle raison aurait quelqu'un d'usurper une identité si vraiment c'est très important.
        
        Dans ce cas là, autant ne pas signer, pour tous les mails que j'ai reçu, il n'y avait aucune raison d'usurper l'identité, surtout que le domaine est souvent vérifié avec DKIM.
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 12:31. Évalué à 2.
        
        Il faut rester honnête : la signature telle que faite avec PGP permet de vérifier que c'est la même personne dans la durée sans trop de contraintes. C'est déjà un gain non négligeable (mais pas la partie problématique)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 02 mars 2012 à 12:33. Évalué à 2.
        
        Encore faut-il trouver la clef à importer, et pour ça, il faut faire le tour des serveurs les plus connus à chaque fois (tout en important la bonne au cas où il y a des clefs différentes sur des serveurs différents).
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 12:53. Évalué à 3.
        
        J'ai une bonne nouvelle à t'annoncer : les serveurs connus sont synchronisés entre eux. Tu trouveras exactement les mêmes clefs sur chacun d'entre eux, moyennant le temps de propagation.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 02 mars 2012 à 16:41. Évalué à 3.
        
        En fait il s'agit d'une hygiène de vie, si tu signes tout le temps avec la même clef (enfin pas non plus trop longtemps, car plus une clef est utilisée depuis longtemps, plus elle a des risque d'être compromise ou que son utilisateur en ait oublié le mot de passe, il m'est arrivé la même chose que ploum, c'est désagréable, mais j'utilise beaucoup plus mes mails pour signer, et rarement pour chiffrer, sauf quand il s'agit d'envoyer des informations de type mdp+pass par ex), tes correspondants pourront y attribuer un certain niveau de confiance, et ça sera utile pour le jour il deviendrait vraiment intéressant voire nécessaire de signer.
        
        Mon idée est qu'il est judicieux d'avoir une durée de vie de deux ans, cinq max de validité de la clef. Car on a toujours un risque non négligeable de perdre sa clef de révocation.
        
        Comme dit plus haut ou plus bas, il faudrait que cette hygiène de vie soit applicable aux webmails, de plus en plus utilisés, et peut-être que GPG4browser sera une solution.
        
        Sinon pour répondre à la question de ploum, GPG est aussi utilisé, par exemple, dans retroshare.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 12:29. Évalué à 0.
        
        Ne vérifie pas ce qui ne nécessite pas d'être vérifié.
        
        On revient au truc de base : dit-moi ce dont tu as besoin, je te dirais comment t'en passer.
        
        C'est très facile les système sans besoin de vérifier (tu regardes si c'est la même signature), alors effectivement si tu enlèves la partie problématique, c'est tout de suite plus simple…
        
        Il suffit déjà de confirmer la clef par n'importe quel autre medium : IRC, messagerie instantannée, gmail, courrier, signaux de fumée et imaginer quelle raison aurait quelqu'un d'usurper une identité si vraiment c'est très important.
        
        Oui, donc en fait c'est "démerde-toi j'en ai rien à foutre que ce ne soit pas simple". Justement, c'est la critique faite à PGP.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 02 mars 2012 à 17:16. Évalué à 3.
        
        On revient au truc de base : dit-moi ce dont tu as besoin, je te dirais comment t'en passer.
        
        ?
        Je n'ai pas compris ton développement, ni la raison de cette citation surexploitée de Coluche. mais je suppose que tu n'as pas compris le mien : Si tu considères que tu as besoin de vérifier, tu vérifie (tu y prends un certain temps), si tu considères que tu n'as pas besoin tu ne vérifies pas (ou peu). Ça fait juste appel à une notion qui est malheureusement non automatisable, du moins pas encore, le bon sens. Pour utiliser une nimage, j'ai dis que si tu as besoin d'écraser une mouche, tu n'as pas forcément besoin de marteau-piqueur (et non que tu n'as pas besoin d'écraser de mouche), sauf si la mouche est Jeff Goldblum, mais là tu es aussi dans la merde avec un marteau-piqueur. Pour être plus dans le contexte, c'est que si quelqu'un t'envoie régulièrement un message avec des blagues powerpoint dedans, tu n'as peut-être pas besoin de vérifier que Jules de la compta est bien l'émetteur du courriel.
        
        Par contre, si tu échanges souvent une conversation avec l'oncle Bill, c'est peut être déjà plus intéressant d'écrire sur skype à Tonton Bill en lui disant : "coucou tonton bill lol ta clef, c'est bien A832E12AC ? Oui, ok merci ^{^} je la tague niveau 5 top confiance alors ptdr"
        
        Oui, donc en fait c'est "démerde-toi j'en ai rien à foutre que ce ne soit pas simple". Justement, c'est la critique faite à PGP.
        
        ??
        
        Rien compris… Enfin si, mais je n'ai pas compris l'agressivité sous-jacente du message. Un principe de sécurité, c'est souvent le principe de double-confirmation. La même information provenant de deux canaux différents a plus de… raison, on va dire, d'être vraie (avec tout le bon sens qui est encore une fois de mise). Donc si tu reçois un mail de Tonton Bill avec la signature A832E12AC et qu'il te la confirme via un autre medium (par exemple la boîte de messagerie de sa société, par un twitt, la page de son site web ou son blog, par tout ce que tu veux (y compris les serveurs de clef GPG) tu as d'autant plus de raison d'y accorder une confiance plus importante. Si tu n'as pas d'autre moyen de vérifier, ben ça n'empêche pas la clef de fonctionner, il faut juste se dire que son niveau de confiance soit considérée moindre, c'est tout. Si le fait d'avoir plein de mediums, tu le considère comme un "démerdes-toi" pédant, soit. Pour moi, il s'agit de trouver le plus adapté sans se prendre la tête. Comme on ne peut pas connaître toutes les situations, sauf si on s'appelle Chuck Norris, une liste non exhaustive me semble un bon début plus que correct.
        
        Pour finir sur le "C'est dur". C'est moins simple, à priori, que d'acheter un certificat. Mais certains outils, comme enigmail, on vraiment simplifié le processus. Pour moi, c'est assez simple pour que j'aie pu l'expliquer aux employés de la mairie ou je travaille, afin qu'ils l'utilisent régulièrement, avec une bonne doc et de jolis dessins explicatifs. Pour finir, la notion de dureté est toujours relative. Pour certains c'est dur de vérifier le niveau d'huile de leur voiture, et ils ne le font jamais ou le font faire par d'autres.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 17:26. Évalué à 1.
        
        On ne se comprend peut-être pas. Mais en attendant, X509 répond à mon besoin sans me prendre un "démerde-toi c'est compliqué mais on s'en fout" pour cette partie "parce que tu comprends, c'est nécessaire d'en chier".
        
        Ce n'est pas en se cachant les problèmes qu'ils seront résolus.
        
        PS : bon, certes, pour le moment, pas trop besoin d'avoir confiance en la personne. Mais le jour où j'en aurai besoin et que j'étudierai les solutions, PGP aura un gros point négatif "vérification manuelle lors de la première validation" dans le comparatif.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 02 mars 2012 à 20:24. Évalué à 2.
        
        C'est en effet un désavantage, l'avantage c'est que tu n'es pas dépendant d'un fournisseur tiers et que c'est gratuit :)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 03 mars 2012 à 08:31. Évalué à 0.
        
        Ne pas subir les contraintes d'une fonctionnalité complètement manquante n'est pas un avantage
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 03 mars 2012 à 10:49. Évalué à 1.
        
        De quelle fonctionnalité parles-tu ?
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par jyes le 02 mars 2012 à 21:00. Évalué à 5.
        
        le jour où j'en aurai besoin et que j'étudierai les solutions, PGP aura un gros point négatif "vérification manuelle lors de la première validation" dans le comparatif.
        
        Note que tu as exactement le même problème avec X509, sauf que tu acceptes les certificats racine sans broncher. Avec PGP, tu pourrais très bien accepter n’importe quelle clé qui a été signée par un “pair de confiance”. L’ennui, c’est que dans la démarche de sécurité complète, il faudrait d’abord avoir confiance en la clef de ce pair, ce que tu ne fais pas en récupérant tes certificats racines avec ton Firefox téléchargé en HTTP (avec contrôle de la somme de hachage fournie sur la même page servie en HTTP).
        
        La toile de confiance permet très bien de reproduire le schéma en arbre des certificats, c’est juste qu’à parti du moment où tu veux utiliser PGP, les documentations t’indiquent comme le faire de sorte à ce que tu aies vraiment de la sécurité. La « vérification manuelle » n’a rien d’indispensable sur le plan technique.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Bruce Le Nain (site web personnel) le 02 mars 2012 à 22:48. Évalué à 1.
        
        Merci pour tes mots qui semblent expliquer ceci bien plus clairement que je n'arrive à le faire à moi même (malgré plusieurs essais différents) :)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 03 mars 2012 à 08:40. Évalué à -1.
        
        par un “pair de confiance”.
        
        Fail : il n'y a pas de pair de confiance "commun". Avec X509, si. C'est payant, oui, mais la fonctionnalité existe, j'ai un pair de confiance commun avec ceux à qui je veux parler. Pas avec PGP où c'est à toi de te démerder pour le trouver le pair.
        
        ce que tu ne fais pas en récupérant tes certificats racines avec ton Firefox téléchargé en HTTP
        
        Oui, c'est une "faille" avec les navigateurs. Mais bon, la faille est une fois, pas pour chaque personne comme en PGP (car jamais signé par un tiers de confiance que j'ai)
        
        les documentations (…) La « vérification manuelle » n’a rien d’indispensable sur le plan technique.
        
        Comment tu rends compatible le manuel non indispensable et lire la documentation? chez moi, je ne sais pas automatiser la lecture de documentation. Fail.
        
        Vous parlez toujours de la belle théorie, moi je parle de la pratique dans la vie réelle, avec un problème avec le tiers de confiance inexistant en PGP. Ce n'est pas un inventant 36 contournement ou raison "c'est pour plus de sécurité" que le problème se résoudra. X509 (et ce qui a été mis en place autour surtout), je paye, oui, mais j'ai la fonctionnalité. Ca pourrait être PGP si vous avez envie, mais trouvez-moi ce tiers commun et faites-moi ça transparent pour l'utilisateur! Un tiers de confiance qui change en permanence, je peux faire ça aussi gratuitement avec X509 (avec mon propre certificat), c'est bon, ça ne résout pas le problème.
        
        PGP est génial, mais alors… Pourquoi il n'est pas utilisé par autre chose que des libristes qui refusent le "mal" par principe?
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 03 mars 2012 à 09:37. Évalué à 2.
        
        Fail : il n'y a pas de pair de confiance "commun". Avec X509, si. C'est payant, oui, mais la fonctionnalité existe, j'ai un pair de confiance commun avec ceux à qui je veux parler. Pas avec PGP où c'est à toi de te démerder pour le trouver le pair.
        
        Comme je l'ai déjà dit : téléchargez le trousseau de clefs de l'ensemble des développeurs Debian et utilisez-le comme pairs de confiance. Ils sont d'une façon générale plus fiables que les autorités de certification X.509 de toute façon.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 03 mars 2012 à 10:23. Évalué à 0.
        
        Et comme déjà dit, tout le monde ne connait pas de dev' Debian : je fais comment moi pour la faire signer? Je sais faire en SSL, j'attends que tu me dis comment faire avec ta super méthode.
        En plus, ta solution n'est pas officielle (elle n'est pas dite comme la solution pour n'importe qui sur terre)
        
        Et pas sûr que les dev' Debian acceptent de signer des centaines de clé par jour… Ben oui, il faut gérer à grande échelle.
        
        Tu as beau le répéter, ça n'en fait pas une solution : ta solution ne résout aucun problème de savoir comment deux personnes sur terre peuvent être sûrs qu'ils se parlent sans devoir faire 36 bidouilles.
        
        C'est fou cette capacité à ne pas accepter qu'il y a un problème à résoudre… Les gens (et pas que moi) disent qu'il y a un problème, et la réponse est "mais non, il n'y a pas de problème", et après on s'étonne que les gens utilisent autre chose (ou n'utilise pas, certes)
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 03 mars 2012 à 12:04. Évalué à 3.
        
        Tu as beau le répéter, ça n'en fait pas une solution : ta solution ne résout aucun problème de savoir comment deux personnes sur terre peuvent être sûrs qu'ils se parlent sans devoir faire 36 bidouilles.
        
        En même temps, SSL ne résout pas non plus ce problème. Les autorités de certification signent n'importe quoi à condition de fournir de l'argent et un vague papier ressemblant vaguement à un truc officiel comme un relevé de compte en banque. Ce n'est pas étonnant, puisque leur intérêt financier est de mal faire leur travail de vérification.
        
        Donc on est en train de comparer :
        
        SSL, un système où il est facile de se faire certifier, mais qui ne garantit absolument rien ;
        
        GPG, un système où se faire certifier nécessite une véritable vérification, ce qui est forcément plus compliqué, et qui garantit vraiment l'identité.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 03 mars 2012 à 12:07. Évalué à 2.
        
        Et comme déjà dit, tout le monde ne connait pas de dev' Debian : je fais comment moi pour la faire signer?
        
        http://wiki.debian.org/Keysigning/Offers
        
        Il y a plus de développeurs Debian, et dans plus d'endroits différents, qu'il n'y a d'autorités de certification SSL, je pense.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Thierry Thomas (site web personnel, Mastodon) le 05 mars 2012 à 09:05. Évalué à 2.
        
        L'un n'empêche d'ailleurs pas l'autre : quand on établit un certificat CAcert, puisqu'on a déjà sorti les preuves d'identité, il est fréquent d'en profiter pour faire un échange de signatures de clefs PGP. Et on trouve tout de même des assureurs CAcert assez facilement (en France du moins).
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 2PetitsVerres le 06 mars 2012 à 03:56. Évalué à 2.
        
        Juste pour savoir, tu fais comment, maintenant, pour vérifier l'identité de tes interlocuteurs, si tu ne peux pas t'en passer ? /o
        
        Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 02 mars 2012 à 11:54. Évalué à 4.
        
        Il y a qui entre toi et moi pour que sache que ce soit bien toi qui envoie les mails à ton nom que je reçois?
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Thierry Thomas (site web personnel, Mastodon) le 02 mars 2012 à 14:40. Évalué à 1.
        
        Par une ou plusieurs connaissances communes, considérées comme des autorités de certification.
        
        Quitte à me répéter, dans la vraie vie il n'y a pas de connaissances communes.
        
        Six_degrés_de_séparation
        
        Et encore… [http://www.rue89.com/2011/11/22/oubliez-les-6-degres-de-separation-il-y-en-474-226785]
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par claudex le 02 mars 2012 à 11:53. Évalué à 3.
        
        Par une ou plusieurs connaissances communes, considérées comme des autorités de certification.
        
        Il faut une masse critique pour que ça marche, ce qui est loin d'être le cas actuellement.
        
        c'est que le PGP peut être signé par plusieurs autorités alors que le X.509 peut être signé par une seule.
        
        Mais il n'y a pas de modèle avec une authorité de confiance un peu reconnue pour l'instant, donc c'est inutilisable pour moi.
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 12:55. Évalué à 1.
        
        Mais il n'y a pas de modèle avec une authorité de confiance un peu reconnue pour l'instant, donc c'est inutilisable pour moi.
        
        Bah, tu n'as qu'à prendre le trousseau de clefs de l'ensemble des développeurs Debian par exemple, et t'imposer de ne faire confiance à une clef que si elle a été signée par trois d'entre eux : ils sont aussi dignes de confiance que les autorités de certification X.509, voire plus parce que ces autorités ont intérêt à mal faire leur travail.
        
        Debian formant la plus grosse toile de confiance PGP de l'univers connu, ça te fait une autorité de certification sacrément puissante.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 12:58. Évalué à 2.
        
        Debian formant la plus grosse toile de confiance PGP de l'univers connu, ça te fait une autorité de certification sacrément puissante.
        
        Bof. Je ne connais pas de développeur Debian IRL. Encore moins 3.
        Faudrait sortir de sa tour d'ivoire un jour, et voir que le monde ne tourne pas autour de Debian : si Debian forme la plus grosse toile de confiance PGP de l'univers connu, cette toile est vraiment très faible, inutilisable par le commun des mortels dans la vraie vie.
        
        Tu parles théorie, on parle pratique.
        
        [^] # Re: Utile, pas plus compliqué qu'autre chose
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 13:24. Évalué à 3.
        
        Bof. Je ne connais pas de développeur Debian IRL. Encore moins 3.
        
        Et ? Ça ne t'empêche pas de télécharger le trousseau de clef Debian et de le définir comme clefs de confiance.
    - [^] # Re: Utile, pas plus compliqué qu'autre chose
      
      Posté par Larry Cow le 02 mars 2012 à 11:12. Évalué à 2.
      
      Une autre solution serait de se promener avec un QR-code de la clé (et pas juste de son hash) sur soi. Derrière, je suppose qu'une application comme APG doit supporter la lecture de ce genre de choses, non?
      
      Bon, après vérification : APG ne gère pas ce genre de choses, et une clé (au format texte) est un peu volumineuse pour un QR de taille raisonnable.
# Retroshare

Posté par soulflyb (Mastodon) le 01 mars 2012 à 14:07. Évalué à 10.

Je n'ai jamais utilisé GPG autant que depuis que j'utilise Retroshare.
- [^] # Re: Retroshare
  
  Posté par fredix le 01 mars 2012 à 14:33. Évalué à 2.
  
  Encore faut-il avoir des amis qui utilisent retroshare.
  - [^] # Re: Retroshare
    
    Posté par coïn le 01 mars 2012 à 15:15. Évalué à 2.
    
    il y a pas mal de moules maintenant.
    
    Avec pas mal de contenu informatif et de qualité
  - [^] # Re: Retroshare
    
    Posté par zebra3 le 01 mars 2012 à 16:35. Évalué à 10.
    
    Encore faut-il avoir des amis.
    
    Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur
    - [^] # Re: Retroshare
      
      Posté par siGT1papillon le 01 mars 2012 à 17:32. Évalué à -1.
      
      Encore faut-il avoir
- [^] # Re: Retroshare
  
  Posté par alice le 01 mars 2012 à 15:36. Évalué à 4.
  
  Retroshare prouve en effet qu'il est possible d'avoir un système chrypfté michu compatible. Bon par contre pour les boulets qui oublient leur mot de passe, il n'y a rien à faire…
  - [^] # Re: Retroshare
    
    Posté par Zenitram (site web personnel) le 01 mars 2012 à 15:43. Évalué à 2.
    
    Est-ce que ça ne voudrait pas dire que ce qu'il manque à GPG pour les mails, c'est une interface correcte?
    - [^] # Re: Retroshare
      
      Posté par B16F4RV4RD1N le 02 mars 2012 à 01:07. Évalué à 10.
      
      non, le besoin de l'utiliser. Enigmail est facile à utiliser, mais les gens n'en voient pas le besoin.
      
      Il suffit que je dise que j'ai une copie de tous les fichiers disparus de feu meg@upload, mais qu'il faut obligatoirement m'envoyer un email signé par gpg pour retrouver tel ou tel document disparu, et tout le monde subitement se trouvera une vocation pour savoir faire fonctionner enigmail et gpg…
      
      Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
  - [^] # Re: Retroshare
    
    Posté par Raoul Volfoni (site web personnel) le 01 mars 2012 à 16:26. Évalué à 10.
    
    Bon par contre pour les boulets qui oublient leur mot de passe, il n'y a rien à faire…
    
    C'est pas bien alice de parler de Bob de cette façon…
- [^] # Re: Retroshare
  
  Posté par jay le 01 mars 2012 à 15:46. Évalué à 6.
  
  Pareillement et j'y vois pas mal de newbies utiliser GPG. Par contre je trouve qu'il y a un problème de clarté/simplicité/je_pas_comment_dire avec le concept des clés GPG.
  Du point de vue du développeur se sont bien des clés mais du point vue de l'utilisateur une clé ne sert pas à crypter un message. Il faudrait peut-être trouver un autre terme comme échange de cadenas, ou des sceaux. Tu me donnes ton sceau/cadenas et comme ça je vais fermer tous les message que je t'envoie avec et toi seul pourra les ouvrir.
  - [^] # Re: Retroshare
    
    Posté par Thomas Douillard le 01 mars 2012 à 20:43. Évalué à 7.
    
    Je t'envoie une clé de mon antivol, je verrouille mon vélo, je t'envoie mon vélo par la poste, et tu peux le déverrouiller et t'en servir.
    - [^] # Re: Retroshare
      
      Posté par jay le 02 mars 2012 à 03:14. Évalué à 1.
      
      Ouais mais dans ce cas je peux aller à la poste avec ta clé et ouvrir tout tes colis. C'est plutôt un échange d'antivol et la clé reste en lieu sûr. Le mots clé mène à la confusion je trouve.
      - [^] # Re: Retroshare
        
        Posté par Thomas Douillard le 02 mars 2012 à 13:45. Évalué à 2.
        
        Toute métaphore physique à ses limites.
        
        Ici il faudrait effectivement préciser que l'expéditeur peut "fabriquer" ou cloner ses antivols à l'infini, et qu'il doit être le seul à pouvoir le faire, et imaginer que l'antivol devient inutilisable une fois ouvert.
        
        Mais oui du coup effectivement du coup la clé peut servir à ouvrir plusieurs colis.
    - [^] # Re: Retroshare
      
      Posté par 2PetitsVerres le 06 mars 2012 à 04:01. Évalué à 2.
      
      Bon vu l'heure je ne suis pas sûr de moi, mais c'est pas plutôt l'inverse ? Tu envoies des antivols compatibles avec ta clé à tous tes correspondants, ou même dispo en libre service dans la rue, et eux peuvent t'envoyer un vélo cadenassé avec cet antivol que toi seul peut ouvrir. Non ?
      
      Tous les nombres premiers sont impairs, sauf un. Tous les nombres premiers sont impairs, sauf deux.
      - [^] # Re: Retroshare
        
        Posté par Nicolas Boulay (site web personnel) le 06 mars 2012 à 10:14. Évalué à 2.
        
        J'aime bien l'image :)
        
        En fait, tu envois les plan d'un anti-vol que seul toi peut ouvrir.
        
        "La première sécurité est la liberté"
      - [^] # Re: Retroshare
        
        Posté par Thomas Douillard le 06 mars 2012 à 10:39. Évalué à 2.
        
        Non le truc il me semble c'est que l'antivol et la clé dont symétriques et interchangeables dans l'absolu, ce que la métaphore physique a du mal à rendre.
        
        En gros pour GPG la principale utilisation c'est la signature du message, pour assurer que TU es bien l'expéditeur et que le message n'est pas altéré. Du coup tu utilise ta clé privé sur un hash du message, et l'ensemble des utilisateurs peuvent décoder le hash avec ta clé publique et vérifier que ça colle bien.
        
        Dans ce cas la métaphore de l'antivol fonctionne pas mal.
        
        Par contre si c'est pour faire du chiffrement il faut utiliser ta clé privée et sa clé publique pour le cryptage, le destinataire utilisera sa clé privée et ta clé publique, et là faut expliquer autrement :)
# Pour ainsi dire jamais utilisé

Posté par LaBienPensanceMaTuer le 01 mars 2012 à 14:09. Évalué à 1.

Tout comme toi, j'ai jamais réellement utilisé GPG, car
- Pas de "réel" besoin
- Complexité de mise en oeuvre décourageante (j'ai longtemps utilisé mutt comme MUA principal).

Je pense que le niveau de protection doit être à la hauteur des données à protéger…
Ne faisant pas un usage "critique" du courriel, je me passe donc des mécanismes de signature et/ou chiffrement.
Toutefois, si jamais un besoin de confidentialité venait à apparaitre, il est certain que je m'orienterait d'entrée de jeu vers GPG?
- [^] # Re: Pour ainsi dire jamais utilisé
  
  Posté par Thierry Thomas (site web personnel, Mastodon) le 01 mars 2012 à 14:20. Évalué à 5.
  
  Complexité de mise en oeuvre décourageante (j'ai longtemps utilisé mutt comme MUA principal).
  
  J'utilise mutt et GPG, et je ne vois pas ce qui pourrait sembler complexe ; quel est le problème ?
- [^] # Re: Pour ainsi dire jamais utilisé
  
  Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 14:36. Évalué à 7.
  - Complexité de mise en oeuvre décourageante (j'ai longtemps utilisé mutt comme MUA principal).
  Alors ça c'est bizarre comme point de vue. Dans le genre décourageant à mettre en œuvre, Mutt n'est pas mal : c'est un excellent exemple de logiciel très personnalisable, et très efficace après avoir passé du temps pour cela. En revanche, GPG est remarquablement linéaire dans son utilisation, et très bien intégré à Mutt. Donc, je ne comprends pas…
# Utilisation Pro

Posté par woopla le 01 mars 2012 à 14:20. Évalué à 3.

On l'utilise avec nos clients pour échanger des fichiers par FTP. Ca permet d'éviter que des designs de SoC ARM ne se retrouvent dans le grand Internet :)

Mais je suis d'accord avec toi que ça n'est pas très user-friendly. Ce qui manque c'est une intégration avec les autres outils qui pourraient utiliser la techno (par exemple, je peux difficilement encrypter un mail par GPG si je passe par un webmail).
- [^] # Re: Utilisation Pro
  
  Posté par Grunt le 01 mars 2012 à 18:13. Évalué à 3.
  
  Ca permet d'éviter que des designs de SoC ARM ne se retrouvent dans le grand Internet :)
  
  Méchant privateur ! :O
  
  THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
# Métonymie

Posté par LeXa1979 le 01 mars 2012 à 14:26. Évalué à 2.

Ne serait-ce pas plutôt une synecdoque, vu la manière dont le Journal est inclus dans la partie homonyme du site ouaibe ?

… 1 jours d'avance ? :)

L'acacia acajou de l'académie acoustique est acquitté de ses acrobaties. Tout le reste prend "acc".
- [^] # Re: Métonymie
  
  Posté par ploum (site web personnel, Mastodon) le 01 mars 2012 à 14:31. Évalué à 5.
  
  Tout d'abord, toute synecdoque est une métonymie. Donc, c'est bien une métonymie.
  
  Ensuite, lorsqu'on dit "cher journal", on sous-entend "chers lecteurs de ce journal". Il y a donc bien une relation logique (métonymie) mais pas une relation d'inclusion (synecdoque).
  
  Je ne pense donc pas que ce soit une synecdoque. D'ailleurs, je n'aurais jamais manqué une telle occasion de placer un mot aussi compliqué que synectdoque ;-)
  
  Mes livres CC By-SA : https://ploum.net/livres.html
  - [^] # Re: Métonymie
    
    Posté par LeXa1979 le 01 mars 2012 à 15:17. Évalué à 2.
    
    Tout simplement merci :)
    
    L'acacia acajou de l'académie acoustique est acquitté de ses acrobaties. Tout le reste prend "acc".
# Puisqu'on en parle.

Posté par elloco (site web personnel) le 01 mars 2012 à 14:30. Évalué à 6.

Puisqu'on parle de GPG, je fait un peu de pub pour mes projets ;)

En C#, j'ai développé une API qui est déjà pas mal complète pour faciliter l'utilisation de GPG dans des projets C#. Cette API est très générique et je pense qu'elle ne demanderait (presque) aucune modification pour compiler avec mono (mais je n'ai pas essayé). Et elle est libre.

Voir http://gpgapi.codeplex.com/

J'avais développé cette API dans le but de créer une interface graphique pour Windows et éventuellement pour Linux après.
Elle fonctionne pour quelques fonctionnalités de base mais elle est loin d'être finie et je n'ai malheureusement plus le temps de la développer.

http://wgpg.codeplex.com/
(il faut VS 2010)

Pour répondre à ta question "quel est votre avis sur GPG". Je trouve dommage que ce projet ne soit pas plus connu et plus poussé en avant. Je pense qu'il sera de plus en plus important de crypter nos données qui transitent sur internet (Hadopi, ACTA, toussa).
# Métonymie

Posté par Tit le 01 mars 2012 à 14:43. Évalué à 1. Dernière modification le 01 mars 2012 à 14:44.

Tu dis "Très bel exemple de métonymie, soit dit au passage". Tu parles de quoi? de "cher journal"?

Peux-tu expliquer?

Un exemple de métonymie c'est de prendre l'auteur pour l'oeuvre ("j'ai lu un pennac", par ex), peut-être là est-ce l'inverse tu prends l'oeuvre pour l'auteur: quand tu écris "cher journal" il faut en fait lire "cher moi"… c'est bien ça?
- [^] # Re: Métonymie
  
  Posté par ploum (site web personnel, Mastodon) le 01 mars 2012 à 14:55. Évalué à 2.
  
  La métonymie est plus large que ça. La métonymie consiste à nommer quelque chose par une autre qui a une relation logique avec la première. « Cher Journal » est ici « Bonjour chers lecteurs de ce journal » (relation logique).
  
  Autre exemple: boire un verre, la Belgique affronte la France à la coupe du monde, etc.
  
  Tous ces exemples sont des métonymies. Comme le dit le commentaire plus haut, si il y a une relation d'inclusion (quel qu'en soit le sens), on peut parler de Synecdoque, qui est un cas particulier. Ainsi, « la Belgique affronte la France » est une métonymie, non une synecdoque (on utilise un lieu géographique pour désigner une équipe composée d'habitants de ce lieu), par contre « les Belges affrontent les Français » est bien une métonymie et une synectdoque car les membres de l'équipe Belge sont bien inclus dans l'ensemble de tous les Belges.
  
  Attention, attrape: boire un verre n'est pas une synecdoque. En effet, le verre designe, littéralement, uniquement le contenant. Le liquide n'est pas « inclus » dans la matière du verre, un verre peut être vide.
  
  Mes livres CC By-SA : https://ploum.net/livres.html
  - [^] # Re: Métonymie
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:03. Évalué à 1.
    
    « Utiliser Linux » est donc une synecdoque !
    - [^] # Re: Métonymie
      
      Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 15:04. Évalué à 1.
      
      Enfin non, plus précisément « travailler sous Linux ». Parce que bon, en utilisant Debian GNU/Linux, il est exact que j'utilise le noyau Linux. Pas seulement le noyau, mais notamment lui. En revanche, je ne travaille pas sous Linux, strictement parlant : il y a plus que le seul noyau en-dessous de mes logiciels.
    - [^] # Re: Métonymie
      
      Posté par Tit le 01 mars 2012 à 15:06. Évalué à 8. Dernière modification le 01 mars 2012 à 15:06.
      
      « Utiliser Linux » est donc une synecdoque !
      
      mais ce n'est pas une sinécure!
      - [^] # Re: Métonymie
        
        Posté par LeXa1979 le 01 mars 2012 à 15:19. Évalué à 1.
        
        Ca promet un bon vendredi tous ces commentaires…
        
        note perso: passer au GB prendre du popcorn pour demain
        
        L'acacia acajou de l'académie acoustique est acquitté de ses acrobaties. Tout le reste prend "acc".
      - [^] # Re: Métonymie
        
        Posté par Jean-Philippe Garcia Ballester (site web personnel) le 01 mars 2012 à 18:59. Évalué à 3.
        
        C'est pas faux !
        
        [^] # Re: Métonymie
        
        Posté par bat13 le 02 mars 2012 à 11:48. Évalué à 2.
        
        C'est popcorn que t'as pas compris ?
  - [^] # Re: Métonymie
    
    Posté par Tit le 01 mars 2012 à 15:03. Évalué à 0.
    
    Merci pour ta réponse, je m'en doutais un peu mais ça ne me semblait pas aussi évident que ça.
    > « Cher Journal » est ici « Bonjour chers lecteurs de ce journal » (relation logique).
    oui mais l'interprétation que je propose
    > « Cher Journal » est ici « Bonjour cher auteur de ce journal »
    est aussi "logique", non? ;-)
    
    (sinon j'avais raté le commentaire ci-dessus qui en parlait, désolé)
# GPG, un non-besoin ?

Posté par Maz (site web personnel) le 01 mars 2012 à 15:12. Évalué à 10.

Du peu que j'ai utilisé GPG, il correspond à 2 besoins :
* S'assurer de l'identité de l'expéditeur
* Chiffrer le message

Et de ce que j'ai pu voir autour de moi, tout le monde s'en fout de ces 2 besoins. Même dans le milieu professionnel. En fait, mon sentiment est que s'il n'y a pas de répercussions financières graves, genre quelques millions d'euros, les gens ne comprennent même pas pourquoi ils devraient utiliser cet outil.
- [^] # Re: GPG, un non-besoin ?
  
  Posté par paladar le 01 mars 2012 à 15:53. Évalué à 4.
  
  Les seuls qui m'ont jamais demandé de justifier de mon identité sont des administrations (privées ou publiques) et pour ça il suffit d'avoir un scan de sa carte d'identité sur son ordi. Jamais utilisé GPG.
  
  Mais ça pourrait l'être si les français avaient une clé individuelle. Les nouvelles cartes d'identité belge ont toutes une puce et un code associé. On branche un périph sur l'ordi pour taper son code de carte à puce, ça identifie et chiffre les communications.
  - [^] # Re: GPG, un non-besoin ?
    
    Posté par Raoul Volfoni (site web personnel) le 01 mars 2012 à 16:32. Évalué à 7. Dernière modification le 01 mars 2012 à 16:37.
    
    Les nouvelles cartes d'identité belge ont toutes une puce et un code associé. On branche un périph sur l'ordi pour taper son code de carte à puce, ça identifie et chiffre les communications.
    
    Un gouvernement qui me donnerai un moyen de chiffrer mes messages ne m'inspirerait pas la plus grande confiance…
    - [^] # Re: GPG, un non-besoin ?
      
      Posté par Toto le 01 mars 2012 à 16:49. Évalué à 3.
      
      Je ne suis pas tout à fait d'accord avec toi. Si c'est bien fait, cela peut être quand même relativement interressant :
      - Le gvt fournit une carte à puce (ou pas, l'idéal serait de te laisser le choix de prendre la tienne)
      - Tu utilises la capacité de la CaP pour générer un secret, cette étape pouvant être effectuée à domicile
      - Tu généres une demande de certification
      - Tu fournis cette demande à l'état qui la vérifie et la signe
      - Et hop, tu peux chiffrer / signer sans trop de craintes.
      
      Le seul soucis qu'il peut y avoir c'est si l'état décide unilatéralement de révoquer ta clé, tu ne pourras plus utiliser les services associés. M'est avis que cela se verra.
  - [^] # Re: GPG, un non-besoin ?
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 16:50. Évalué à 4.
    Ce sont des cartes à puce SSL. Et SSL, c'est basé sur X.509, et X.509, c'est mal parce que :
    1. c'est un truc de téléphonistes ;
    2. ça encourage les pires dérives (concentration sur un minimum d'acteurs de pouvoir qui ont intérêt à mal faire leur travail).
- [^] # Re: GPG, un non-besoin ?
  
  Posté par gnuzer (site web personnel) le 02 mars 2012 à 00:13. Évalué à 2.
  
  En fait, mon sentiment est que s'il n'y a pas de répercussions financières graves, genre quelques millions d'euros, les gens ne comprennent même pas pourquoi ils devraient utiliser cet outil.
  
  C'est d'autant plus vrai que s'il y a des répercussions graves ailleurs que sur le porte-monnaie (dans certains pays comme la Chine, par exemple…), les gens ne comprennent pas non plus. Enfin, si, ils comprennent, mais généralement trop tard pour transmettre leur expérience.
- [^] # Re: GPG, un non-besoin ?
  
  Posté par B16F4RV4RD1N le 02 mars 2012 à 01:27. Évalué à 4.
  Le problème, c'est que quand on signe un message avec gpg, et qu'on l'envoie à des gens qui n'ont pas ces logiciels d'installé, ça rend vraiment moche avec le message empaqueté dans du code incompréhensible pour le commun des mortels :
```
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

test de signature
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.12 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/

iEYEARECAAYFAk9QEiQACg blabla
-----END PGP SIGNATURE-----
```
  Sur un forum usenet, quelqu'un s'obstinait à tout envoyer signé, dans l'idée c'était bien, mais ça faisait vraiment gros lourd vu qu'on voyait ce genre de chose à chaque message (personne d'autre ne signait ses messages), sauf en ayant enigmail.
  
  Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
  - [^] # Re: GPG, un non-besoin ?
    
    Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 08:40. Évalué à 6.
    
    Jamais entendu parler de PGP/MIME ?
    - [^] # Re: GPG, un non-besoin ?
      
      Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:02. Évalué à 1.
      
      Si j'ai bien compris, PGP/MIME, c'est pratique pour le chiffrement. Pour la signature, quel intérêt d'envoyer un mail incompatible avec des lecteurs "normaux" alors que ça n'apporte aucune plus-value par rapport à un header bien placé qui garde la compatibilité descendante?
      
      Ici, on parle de signature, ou un fallback est tout à fait possible. Si les développeurs comprenaient l'importance de ne pas faire chier les destinataires qui ne sont pas "aware" PGP.
      - [^] # Re: GPG, un non-besoin ?
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 09:47. Évalué à 1.
        
        Si j'ai bien compris, PGP/MIME, c'est pratique pour le chiffrement. Pour la signature, quel intérêt d'envoyer un mail incompatible avec des lecteurs "normaux"
        
        Rectification : incompatible avec les lecteurs anormaux, à savoir ceux de Microsoft. Tous les autres sont compatibles.
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:51. Évalué à 3.
        
        Rectification : Thunderbird, sans enigmail, m'affiche la signature PGP toute pourrie. Ben oui, du libre… (du moins à mon dernier test il y a quelques mois)
        Les Webmails aussi. En fait, beaucoup de monde, de beaucoup d'entreprises.
        
        Et rien à foutre : en plus de quand même faire attention avec un lecteur dominant (que tu sois microsoft-phobe ne change pas que c'est important), on doit penser à la compatibilité descendante surtout quand c'est simple de le faire si on a envie que sa jolie technologie se diffuse sans réaction "tu fais chier avec ta merde".
        Pourquoi faire de la compatibilité quand foutre la merde est plaisant, certes…
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 09:54. Évalué à 1.
        
        Oui, sauf que là, pas de chance, des solutions ils n'y en a pas, pour contourner les défauts de logiciels merdiques qui ne changeront jamais. Donc soit on ne fait rien, soit on se dit qu'on ne peut pas se permettre de laisser Microsoft se mettre en travers du progrès, et on avance.
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:57. Évalué à 2.
        
        Ou alors on implémente de manière correcte. Tu l'as toi-même démontré ici
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par B16F4RV4RD1N le 02 mars 2012 à 12:51. Évalué à 2.
        
        Rectification : Thunderbird, sans enigmail, m'affiche la signature PGP toute pourrie. Ben >Les Webmails aussi.
        
        non, tu te trompes, avec pgp/mime, ça s'affiche correctement dans les webmails et tous les clients corrects, vu que ça arrive en pièce jointe.
        
        Le problème avec outlook express vient d'une mauvaise implémentation de mime dans ce « logiciel » :
        https://en.wikipedia.org/wiki/Outlook_Express#Handling_of_PGP.2FMIME_signed_messages
        
        Apparemment c'est corrigé dans « Mail » à partir de windows vista :
        https://en.wikipedia.org/wiki/Comparison_of_email_clients#General_features
        
        Donc pas vraiment de raison de s'en priver.
        
        Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 13:00. Évalué à -2. Dernière modification le 02 mars 2012 à 13:00.
        
        -----BEGIN PGP SIGNED MESSAGE-----
        Hash: SHA1
        
        test de signature
        -----BEGIN PGP SIGNATURE-----
        Version: GnuPG v1.4.12 (GNU/Linux)
        Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/
        
        iEYEARECAAYFAk9QEiQACg blabla
        -----END PGP SIGNATURE-----
        
        On parle de cette horreur… Pas en pièce jointe du tout. Et surtout, c'est pas l'endroit. Mais chut, "c'est parfait" il parait. Ou pas (comment on peut accepter de devoir avoir un logiciel plus mieux compatible pour juste ajouter un bout de signature? Pourquoi devoir faire du pgp/MIME imbitable?)
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par claudex le 02 mars 2012 à 13:29. Évalué à 6.
        
        Pourquoi devoir faire du pgp/MIME imbitable?
        
        Justement, pour ne pas avoir l'horeur que tu montre si j'ai bien compris (et pourquoi dis-tu que c'est imbitable).
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 15:35. Évalué à -2.
        
        Donc pour éviter un truc imbitable, on invente un autre truc imbitable.
        Le problème à résoudre doit avoir été oublié entre temps…
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par claudex le 02 mars 2012 à 15:39. Évalué à 5.
        
        En quoi c'est imbitable?
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 16:07. Évalué à 0.
        
        Euh… Des lecteurs "ancien" ne savent pas lire la chose.
        Comment pourrir la compatibilité descendante pour le plaisir de faire chier, plutôt que d'utiliser ce qui est prévu pour être ignoré quand ce n'est pas connu.
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 16:14. Évalué à 4.
        
        Euh… Des lecteurs "ancien" ne savent pas lire la chose.
        
        Non non non, pas des lecteurs anciens, juste des lecteurs merdiques. Un lecteur avec une prise en charge décente de MIME affichera normalement le corps du message, qui est présenté de façon tout à fait semblable à un message mixte texte/HTML.
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par claudex le 02 mars 2012 à 16:17. Évalué à 3.
        
        plutôt que d'utiliser ce qui est prévu pour être ignoré quand ce n'est pas connu.
        
        Justement, c'est ce qui est utilisé, après, certains clients ne respectent pas la norme.
        
        « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
        
        [^] # Re: GPG, un non-besoin ?
        
        Posté par B16F4RV4RD1N le 02 mars 2012 à 14:17. Évalué à 2.
        
        tu réponds dans le fil sur pgp/mime, avant la remarque de Tanguy, je ne savais pas que cela existait, c'est bien mieux que d'intégrer la signature dans le corps du message (j'imagine que c'est une évolution de gpg/pgp à ce niveau).
        
        Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
      - [^] # Re: GPG, un non-besoin ?
        
        Posté par B16F4RV4RD1N le 02 mars 2012 à 10:24. Évalué à 3.
        
        j'ai pertinenté ton commentaire pour la seconde partie, par contre j'ai vu qu'il était tout à fait possible de signer un message avec pgp/mime (que je ne connaissais pas), c'est même son utilité première :
        http://www.phildev.net/pgp/pgp_clear_vs_mime.html
        
        bien entendu, là comme ailleurs, le standard est ralenti par les bouses en shareware bridé de microchiottes (outproot express), mais peut-être que ça a changé dans les dernières versions
        
        Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
    - [^] # Re: GPG, un non-besoin ?
      
      Posté par claudex le 02 mars 2012 à 09:04. Évalué à 3.
      
      Non, c'est quoi?
      
      « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
      - [^] # Re: GPG, un non-besoin ?
        
        Posté par 🚲 Tanguy Ortolo (site web personnel) le 02 mars 2012 à 09:52. Évalué à 5.
        
        Une façon de placer la signature en attachement, comme ça :
        
        multipart/signed (inline)
        text/plain (inline) : le texte du message
        
        application/pgp-signature : la signature
        
        Pour un client ne prenant pas en charge PGP, ça apparaît au mieux comme un message normal, au pire comme un message avec un fichier attaché inutile. Pour un client pourri, c'est à dire un client Microsoft, ça apparaît comme un message vide avec un fichier attaché contenant le texte du message.
        
        Pour le chiffrement, PGP/MIME ça ressemble à ça :
        
        multipart/encrypted (inline)
        application/pgp-encrypted
        
        Pour le chiffrement et la signature, une combinaison des deux, il me semble.
# Responsabilité des fournisseurs de services

Posté par Gesmas le 01 mars 2012 à 15:55. Évalué à -1. Dernière modification le 01 mars 2012 à 15:55.

Il est étonnant que ce soit à l'utilisateur final de se soucier de l'identité de son correspondant et de mettre en œuvre un dispositif pour s'assurer que son courrier n'est pas espionné.

Cela devrait être aux serveurs de courriels à identifier l'expéditeur et le destinataire de façon univoque. Idem pour le chiffrement des messages qui devrait être automatique et administré en toute transparence pour l'utilisateur final.

On peut bien sûr étendre cette réflexion aux différents services utilisant internet qui devraient proposer systématiquement une connexion sécurisée.

Il est intéressant de constater que dans d'autres domaines on ne se pose pas ces questions. Par exemple, personne ne doute du numéro de téléphone qui s'affiche lorsqu'un correspondant vous appelle ou se demande si la conversation est écoutée par toutes les personnes connectées au même réseau GSM que vous.
- [^] # Re: Responsabilité des fournisseurs de services
  
  Posté par Florence Birée (site web personnel) le 01 mars 2012 à 16:16. Évalué à 7.
  
  Quand on met une enveloppe pour envoyer un courrier par la poste, c'est de la responsabilité de l'expéditeur du (snail) mail, qui choisit de mettre en place une protection pour ne pas que les intermédiaires techniques (facteur…) lisent son courrier.
  
  La poste achemine tout aussi bien des cartes postales.
# webmail

Posté par Nico C. le 01 mars 2012 à 17:02. Évalué à 2.

Ce que je trouve le plus triste dans cette histoire est que les fournisseurs de boites mails types webmail ne propose aucune solution pour ca…
Si ils faisaient un petit effort a ce niveau, je pense que l'usage de GPG pourrait etre largement amelioré.
- [^] # Re: webmail
  
  Posté par Donk le 01 mars 2012 à 17:09. Évalué à 10.
  
  Parce que tu serais prêt à leur donner ta clé privée?
- [^] # Re: webmail
  
  Posté par Zenitram (site web personnel) le 01 mars 2012 à 17:13. Évalué à -2.
  
  Si ils faisaient un petit effort a ce niveau,
  
  Si tu mets le fric, je te fais ton webmail avec GPG.
  Ben oui, pourquoi les fournisseurs de boites mails types webmail bosseraient pour des prunes? Est-ce rentable? A priori non, et j'ai rien vu du tout qui me rpuve un début du contraire (combien serais-tu à mettre pour du GPG? Et vous êtes combien?)
  
  PS : sans parler des problématiques de sécurité, vu qu'avec le webmail tu dois mettre ta clé sur le serveur webmail donc pas top, ou alors c'est plus du webmail…)
  - [^] # Re: webmail
    
    Posté par Jux (site web personnel) le 01 mars 2012 à 17:21. Évalué à 4. Dernière modification le 01 mars 2012 à 17:21.
    
    Il doit être possible de faire le dé/chiffrage en javascript, donc sans donner la clé en clair au serveur.
    
    Mais bon, les webmail (gmail, hotmail) fonctionnent parce qu'ils affichent des pubs qui correspondent au contenu des mails. S'ils permettent de chiffre, ça risque de heurter leur modèle économique, donc je peux comprendre qu'ils ne le fassent pas. Maintenant, peut-être qu'il existe des webmails payants qui fournissent ce service.
    - [^] # Re: webmail
      
      Posté par Larry Cow le 01 mars 2012 à 17:59. Évalué à 2.
      
      Il doit être possible de faire le dé/chiffrage en javascript, donc sans donner la clé en clair au serveur.
      
      Si en plus il faut surveiller le navigateur pour s'assurer que le Javascript ne se sert de la clé QUE pour déchiffrer en local…
    - [^] # Re: webmail
      
      Posté par ribwund le 01 mars 2012 à 21:37. Évalué à 3.
      
      Mais bon, les webmail (gmail, hotmail) fonctionnent parce qu'ils affichent des pubs qui correspondent au contenu des mails.
      
      C'est partiellement vrai. Ils ont aussi des utilisateurs car ils offrent des fonctionnalités qu'on ne pourrait pas avoir si tous les mails étaient chiffrées (recherche, filtre, etc.)
      Si les mails sont chiffrées il faut implementer un client lourd complet en javascript.
      - [^] # Re: webmail
        
        Posté par Grunt le 01 mars 2012 à 23:35. Évalué à -1.
        
        Si les mails sont chiffrées il faut implementer un client lourd complet en javascript.
        
        Ouais, ou alors dans un langage natif qu'on fait tourner sur son OS. Les ordinateurs ne sont pas encore réduits à un noyau + un navigateur.
        
        THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
        
        [^] # Re: webmail
        
        Posté par ribwund le 02 mars 2012 à 01:38. Évalué à 2.
        
        Ouais, ou alors dans un langage natif qu'on fait tourner sur son OS.
        
        Le sujet du commentaire c'était les webmails…
        
        [^] # Re: webmail
        
        Posté par Grunt le 02 mars 2012 à 01:41. Évalué à 1.
        
        Et le sujet du sujet c'est GPG. En fait, je ne vois pas l'intérêt de l'usage de GPG avec un webmail. Le webmail permet d'utiliser une autre machine que la sienne, mais c'est incompatible avec les règles élémentaires de sécurité quand à l'usage de GPG.
        
        THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
        
        [^] # Re: webmail
        
        Posté par feth le 02 mars 2012 à 08:31. Évalué à 3.
        
        Si tu héberges toi-même ton webmail, je ne vois pas de problème. Cas limite peut-être.
        
        [^] # Re: webmail
        
        Posté par Thierry Thomas (site web personnel, Mastodon) le 02 mars 2012 à 09:58. Évalué à 4.
        
        Tout à fait. C'est pour ça que Horde/IMP gère PGP. Les précautions élémentaires sont bien sûr de mise…
        
        [^] # Re: webmail
        
        Posté par Grunt le 02 mars 2012 à 11:16. Évalué à 4.
        
        Si tu héberges toi-même ton webmail, je ne vois pas de problème. Cas limite peut-être.
        
        Non non, la question n'est pas là. Tu peux faire du GPG fiable avec un webmail tiers, et un plugin de navigateur qui gère la partie GPG.
        
        Le problème, c'est que le webmail est destiné à utiliser ton compte depuis d'autres machines que les tiennes. C'est le seul intérêt du webmail, étant donné que si tu lis tes mails depuis ta machine t'as tout intérêt à utiliser un vrai client avec des vrais fonctions et qui rame pas.
        Donc, un webmail, c'est pour des machines sous Windows, des machines vérolées, des machines de gens qui installent des bêtises. Et utiliser GPG dans ces conditions-là, c'est être fou.
        
        THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
        
        [^] # Re: webmail
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 11:22. Évalué à 3.
        
        Donc, un webmail, c'est pour des machines sous Windows, des machines vérolées, des machines de gens qui installent des bêtises. Et utiliser GPG dans ces conditions-là, c'est être fou.
        
        Ca dépend. Oui, dans le cas général, je suis d'accord : se connecter sur une machine inconnue pour ensuite signer, c'est ne rien comprendre.
        
        Par contre, j'ai personnellement un cas de figure avec le webmail à utiliser : quand je suis chez une personne digne de confiance (genre un mec linuxien pur qui me file des passwords imbittables et différents pour chaque accès que je lui demande, mr mon admin si tu me lis ;-) ) et que je n'ai pas machine sous la main (certes, c'est rare!), je considère que ma chaîne de confiance est correcte (certes, j'ai SSL du coup dans la chaîne…) et du coup c'est utile.
        Par contre, clair : c'est un cas très très rare et beaucoup ne vont pas regarder si leur chaine de confiance est correcte.
- [^] # Re: webmail
  
  Posté par 🚲 Tanguy Ortolo (site web personnel) le 01 mars 2012 à 17:24. Évalué à 4.
  
  Il y avait FireGPG pour faire cela dans Firefox. Malheureusement le projet a été abandonné. Il y a GPG4Browsers pour faire cela dans Google Chrome…
  - [^] # Re: webmail
    
    Posté par Bruce Le Nain (site web personnel) le 01 mars 2012 à 19:06. Évalué à 2.
    
    C'est encore à l'état de prototype, et déconseillé si la sécurité est vraiment importante. Le support de browsers multiples est prévu par la suite.
  - [^] # Re: webmail
    
    Posté par jbar (site web personnel) le 02 mars 2012 à 11:24. Évalué à 1.
    
    FireGPG tourne sur Mon firefox 9, cf thread plus loin : https://grepular.com/FireGPG_on_Firefox_5
    
    Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...
# PGP : peut mieux faire

Posté par julmx le 01 mars 2012 à 18:43. Évalué à 2.

Hello, à la lecture de certains commentaires, je suis étonné qu'on puisse prétendre que l'utilisation de PGP n'est pas si compliquée… Je connais pas mal de madame Michu et je peux vous dire que PGP est horriblement compliqué. Les commentaires montrent clairement que des utilisateurs avancés trouvent ça ardu alors madame Michu…

Coder un "Hello world" en C n'est pas bien compliqué, pourtant la plupart des gens feront une drôle de tête si vous essayez de leur expliquer.
Je n'utilise pas PGP simplement parce que la quasi totalité des gens avec qui je communique ne l'utilisent pas et seraient hermétiques à une tentative d'explication. Pourtant, ces mêmes personnes utilisent du https pour se connecter par exemple à leur banque. Évidemment des problèmes peuvent se poser mais c'est tout de même mieux que rien.

Au final, je pense que la sécurité informatique pour Mme Michu est une affaire de compromis. Une sécurité optimale suppose de comprendre le fonctionnement de PGP mais si quelques sacrifices permettaient de populariser son utilisation çà serait toujours ça de pris. Pour moi, il y a un chaînon manquant entre "j’envoie tout en clair parce que j'y comprend rien a leur truc d'extra terrestre" et "je suis un dieux de la sécurité des communications".

Je suis pas du tout un spécialiste des ces questions mais l'autre jour, je me demandais par exemple si il ne serait pas possible de faciliter la distribution d'une clé publique.

Par exemple, Mme Michu m'envoie un mail, son thunderbird interroge mon server mail pour savoir si une clé publique existe. Si oui, mon server mail lui fournit cette clé, et il chiffre le message avant de l'envoyer. Ceci est transparent pour Mme Michu et améliorerait considérablement la confidentialité de son mail.

Là où ça se complique, c'est pour envoyer un mail chiffré à Mmme Michu. Déjà, la probabilité que Mme perde sa clé privée tend vers 1 avec le temps (Mme Michu et les sauvegardes…). Je vois pas trop comment faire sans passer par un tiers… une idée ?
- [^] # Re: PGP : peut mieux faire
  
  Posté par julmx le 01 mars 2012 à 18:50. Évalué à 1.
  
  Honte à moi, j'ai écrit PGP à la place de GPG
- [^] # Re: PGP : peut mieux faire
  
  Posté par Zenitram (site web personnel) le 01 mars 2012 à 19:12. Évalué à 3.
  
  Pourtant, ces mêmes personnes utilisent du https pour se connecter par exemple à leur banque
  
  Il y a quand même une éducation à faire : d'une elles tapent souvent la version de base (http) donc ensuite le tiers peut rediriger vers ce qu'il veut sans problème de sécurité (avec un certificat valide, s'en fout du domaine ils ne regardent pas) et de deux ces mêmes personnes cliquent partout où elles peuvent quand elles ont une alertes (après, pour troller le choix des admins LinuxFr n'aide pas, vu que le certificat a une grosse alerte sur la majorité des navigateurs, et même les adorateurs de Linux sont parfois Mr Michu)
  
  Pour moi, il y a un chaînon manquant entre "j’envoie tout en clair parce que j'y comprend rien a leur truc d'extra terrestre" et "je suis un dieux de la sécurité des communications".
  
  De mon point de vue, IMAPS et SMTPS est la solution intermédiaire : personne en local n'a accès, le seul point léger et entre les SMTP des deux adresses, soit à l'autre bout de la planète, loin d'une personne intéressée par le contenu. Et c'est transparent pour Mme Michu (Maintenant, Thunderbird configure par défaut en IMAPS/SMTPS quand dispo)
- [^] # Re: PGP : peut mieux faire
  
  Posté par BFG le 01 mars 2012 à 19:16. Évalué à 3.
  
  Là où ça se complique, c'est pour envoyer un mail chiffré à Mmme Michu. Déjà, la probabilité que Mme perde sa clé privée tend vers 1 avec le temps (Mme Michu et les sauvegardes…). Je vois pas trop comment faire sans passer par un tiers… une idée ?
  
  Même en local, la clef privée est chiffrée symétriquement par un mot de passe. On pourrait donc imaginer la stocker chez un tiers. Malheureusement, GPG ne permet pas la Confidentialité_Persistante : dès que l'on réussit à avoir la clef privée en clair, on peut tout déchiffrer.
# La facilité d’utilisation n’est pas le problème

Posté par gouttegd (site web personnel) le 01 mars 2012 à 19:42. Évalué à 8.

Et vous, quel est votre avis sur GPG?

Je m’en sers systématiquement, tous mes messages sont signés. C’est d’ailleurs ce qui me garantit de ne pas oublier la phrase de passe de ma clef privée, puisque je dois la saisir à chaque signature.

Connaissez-vous des alternatives?

S/MIME, mais je ne me suis jamais penché dessus.

Pour la fonction « signature » uniquement (la seule fonction de GPG que j’utilise, faute d’interlocuteur GPG-ready), il y a également DKIM (que j’utilise aussi), mais qui ne répond pas tout-à-fait à la même question que GPG.

Ou des projets ayant pour but de faciliter son utilisation?

Pas la peine. Tu pourras rendre l’utilisation de GPG aussi facile que tu veux, si le public n’en voit pas l’intérêt, il ne s’en servira pas.

Or m’est avis que Monsieur Michu ne se souciera de la sécurité de ses communications que s’il subit un préjudice à cause de ses communications en clair ou non signées.

Qu’est-ce qui me fait dire ça ? Le comportement des utilisateurs face aux sauvegardes. Les seules personnes que je connaisse qui sauvegardent régulièrement leurs données sont celles à qui il est déjà arrivé de les perdre, parce que ce n’est qu’à ce moment qu’elles ont réalisé que shit happens et que les sauvegardes, ben ça sert vraiment à quelque chose en fait. Les autres s’en foutent mais complètement, alors même qu’il est très facile de faire des sauvegardes aujourd’hui (entre les supports de stockage relativement bon marché, les espaces de stockage gratuits ou presque in da cloud, et les logiciels clicodrômiques à la TimeMachine).

Comment une personne qui n’est même pas sensibilisée à la protection de ses données contre un accident pourrait être sensibilisée à la protection de ses communications contre une hypothétique atteinte malveillante ?
- [^] # Re: La facilité d’utilisation n’est pas le problème
  
  Posté par ploum (site web personnel, Mastodon) le 01 mars 2012 à 19:57. Évalué à 8.
  
  J'ai donné il y a peu une conférence sur le logiciel libre dans un club Rotary. À la fin de la conférence, toutes les questions traitaient du domaine de la sécurité. Non pas que ça aie un rapport avec l'informatique mais « on profite qu'on a qqn sous la main qui comprend le problème pour nous l'expliquer ».
  
  J'ai ainsi vulgarisé le https et tout le monde a bien compris qu'il fallait faire attention. J'ai également expliqué que, envoyer un email, c'est comme envoyer une carte postale: tout le monde à la poste peut le lire.
  
  C'est une analogie qui a fort marqué et tout le monde m'a demandé comment faire pour éviter cela. J'ai donc brièvement expliquer le principe clé publique, clé privée.
  
  À ce moment, je pense que la majorité de mon auditoire me suivait et était prêt à faire des efforts. Mais lorsque la question « En pratique, comment faire ? », je me suis rendu compte qu'expliquer GPG simplement n'était pas possible.
  
  Je pense donc qu'il y a un réel besoin, qu'une partie des utilisateurs sont sensibles mais n'ont tout simplement pas de solution adéquate.
  
  Mes livres CC By-SA : https://ploum.net/livres.html
  - [^] # Re: La facilité d’utilisation n’est pas le problème
    
    Posté par Zenitram (site web personnel) le 01 mars 2012 à 20:12. Évalué à 2.
    
    je me suis rendu compte qu'expliquer GPG simplement n'était pas possible.
    
    Et ça, c'est encore la partie facile. Après, l'étape suivante, c'est faire communiquer GPG pour Thunderbird avec un GPG que je ne contrôlait pas (je ne sais pas quel "GPG" c'était) sous Outlook. C'était du boulot, en théorie je n'avais pas le choix c'était confidentiel tout ça.
    
    Rien à faire, impossible de "valider" l'émetteur et d'avoir quelque chose de chiffré correctement entre les deux mails. Et ces incompatibilités sont rédhibitoires : au final, on devait faire en confidentiels, ben on 'a fait en clair quand même.
    
    Pas qu'on ne voulait pas. Juste qu'on ne pouvait pas, alors qu'on pouvait s'envoyer des mails. (et non, dire "ça pue c'est pas libre qu'il change" n'est pas une solution)
    - [^] # Re: La facilité d’utilisation n’est pas le problème
      
      Posté par feth le 02 mars 2012 à 08:35. Évalué à 3.
      
      À la limite, n'eussiez vous pas pu attacher des fichiers chiffrés à vos mails ?
      - [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:05. Évalué à 3.
        
        Pour les fichiers, un SFTP et ça allait.
        C'était nos échanges de mails qui devaient être "confidentiels", et non, taper son texte sous OpenOffice, chiffrer le fichier, et l'envoyer en pièce jointe n'est pas ergonomique.
        
        La sécurité, ça marche si elle n'a pas pour objectif secondaire de faire chier l'utilisateur au maximum.
        
        [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par Grunt le 02 mars 2012 à 11:18. Évalué à 3.
        
        C'était nos échanges de mails qui devaient être "confidentiels", et non, taper son texte sous OpenOffice, chiffrer le fichier, et l'envoyer en pièce jointe n'est pas ergonomique.
        
        C'est avec Word, que ça l'est :P
        
        THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.
  - [^] # Re: La facilité d’utilisation n’est pas le problème
    
    Posté par fredix le 01 mars 2012 à 21:02. Évalué à 5. Dernière modification le 01 mars 2012 à 21:05.
    
    Et comme la plupart des gens utilisent un webmail, bon courage pour chiffrer avec GPG … Oups j'ai loupé le thread à ce sujet, donc je rebondis sur : vive les apps web parait que c'est l'avenir, elles ont pas du tout nivelé l'informatique par le bas.
    - [^] # Re: La facilité d’utilisation n’est pas le problème
      
      Posté par jbar (site web personnel) le 01 mars 2012 à 21:10. Évalué à -1.
      
      (mauvais prétexte ! :)
      
      FireGPG tourne sur mon firefox 9 : https://grepular.com/FireGPG_on_Firefox_5
      
      Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...
    - [^] # Re: La facilité d’utilisation n’est pas le problème
      
      Posté par julmx le 01 mars 2012 à 21:15. Évalué à -1.
      
      Pour le webmail, une solution type plug in Firefox doit pouvoir faire le boulot. Le probleme c'est surtout la maintenance continue du dit plug in. J'ai l'impression que les projets finissent par être abandonnés à cause par exemple de gmail qui modifie son interface tous les 3 jours
      - [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par fredix le 01 mars 2012 à 21:30. Évalué à 1.
        
        C'est pas grave, avec le Windows Store qui arrive et le Mac OS X Store, les apps natives vont revenir en force. Bye les apps web en bois.
        
        [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par jbar (site web personnel) le 01 mars 2012 à 21:43. Évalué à -1.
        
        Elles coûteront combien ?
        
        (cf. prix des applis android et iphone…)
        
        Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...
        
        [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par fredix le 01 mars 2012 à 22:49. Évalué à 3.
        
        J'en sais rien je paye pas mes apps KDE. Mais pour info il existe des apps gratuite et même libre sur Windows et Mac, comme VLC.
        
        [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par jbar (site web personnel) le 02 mars 2012 à 08:15. Évalué à -1.
        
        Encore plus mauvais cet exemple (tu t'enfonces) :
        
        petit rappel : http://www.framablog.org/index.php/post/2011/01/15/vlc-gpl-app-store
        
        Tu aurais pu tout autant citer GnuPG ou Enigmail… ce qui aurait de fait rendu ta toute première objection (webmails) caduc ! ;-)
        
        Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...
        
        [^] # Re: La facilité d’utilisation n’est pas le problème
        
        Posté par Zenitram (site web personnel) le 02 mars 2012 à 09:06. Évalué à 3.
        
        VLC était un mauvais exemple.
        Mais plein de libre est sur le store. Juste pas du copyleft (car l'outil de distribution qui se rajoute n'est pas libre), mais il n'y a pas que le copyleft dans la libre.
  - [^] # Re: La facilité d’utilisation n’est pas le problème
    
    Posté par Maz (site web personnel) le 01 mars 2012 à 23:17. Évalué à -1.
    
    J'ai également expliqué que, envoyer un email, c'est comme envoyer une carte postale: tout le monde à la poste peut le lire.
    
    Mouais, l'analogie est plutôt bancale. Une lettre avec une enveloppe, potentiellement, tout le monde à la poste peut la lire aussi.
    
    En tout cas, je n'aime pas le corollaire de cette affirmation : GPG, c'est mettre son mail dans une enveloppe. Alors que c'est bien plus fort qu'une enveloppe.
- [^] # Re: La facilité d’utilisation n’est pas le problème
  
  Posté par gnuzer (site web personnel) le 02 mars 2012 à 00:29. Évalué à 3.
  
  Tu pourras rendre l’utilisation de GPG aussi facile que tu veux, si le public n’en voit pas l’intérêt, il ne s’en servira pas.
  
  Oui, mais ce qui est dommage, c'est que le pouïème d'utilisateurs vraiment soucieux de la confidentialité de leurs données n'aient pas plus d'occasions d'utiliser GPG.
  
  Pourquoi la plupart des sites qui m'envoient des informations relativement confidentielles (mots de passe, factures, reçus…) ne me proposent pas de déposer ma clé PGP publique dans le formulaire ?
  Pourquoi les administrations tiennent-elles absolument à m'envoyer leurs paperasse par un courrier postal qui mettra des jours à arriver chez moi, en me demandant de répondre également par courrier postal ?
  Pourquoi ne pas utiliser GPG avec les utilisateurs initiés tout en continuant à communiquer "the old way" avec ceux qui s'en foutent ?
  - [^] # Re: La facilité d’utilisation n’est pas le problème
    
    Posté par Littleboy le 02 mars 2012 à 04:23. Évalué à 2.
    
    Pourquoi ne pas utiliser GPG avec les utilisateurs initiés tout en continuant à communiquer "the old way" avec ceux qui s'en foutent ?
    
    Parce que la mise en place et la maintenance de la version GPG couterait 1000x plus rapportee au nombre d'utilisateurs?
  - [^] # Re: La facilité d’utilisation n’est pas le problème
    
    Posté par Zenitram (site web personnel) le 02 mars 2012 à 06:40. Évalué à 4.
    
    Pourquoi la plupart des sites qui m'envoient des informations relativement confidentielles (mots de passe, factures, reçus…) ne me proposent pas de déposer ma clé PGP publique dans le formulaire ?
    
    Parce que personne n'a rien à foutre de tes factures et personne ne viendra faire de MITM pour ça?
    Tout comme avant, les factures n'étaient pas en recommandé (pour être sûr du destinataire) avec un sceau de protection (pour pas qu'un autre lise)
    
    Un niveau de sécurité inadapté au besoin, c'est ridicule : avec le mail, le lien "faible" est entre les SMTP (le reste est protégé par IMAPS), et à part si tu joues à de l'autohébergement (c'est ton problème si tu joues à ça, et tu es pas assez nombreux pour que ça soit regardé), faire un MITM entre deux hébergeurs est pas facile du tout.
    
    Après, si tu es prêt à payer de ton argent pour avoir ce niveau de sécurité inadapté par rapport au niveau d'information, je suis sûr qu'ils seront d'accord pour avoir ton argent. En attendant, je ne vois pas pourquoi moi je payerai pour ton délire sécuritaire.
    - [^] # Re: La facilité d’utilisation n’est pas le problème
      
      Posté par B16F4RV4RD1N le 02 mars 2012 à 14:20. Évalué à 2.
      
      ok pour le chiffrement, qui est difficile à démocratiser, mais la signature permet quand même de vérifier que l'adresse email n'est pas falsifiée, ce qui reste semble-t-il relativement facile à faire.
      
      Only wimps use tape backup: real men just upload their important stuff on megaupload, and let the rest of the world ~~mirror~~ link to it
- [^] # Re: La facilité d’utilisation n’est pas le problème
  
  Posté par julmx le 02 mars 2012 à 12:59. Évalué à 1.
  
  Effectivement, je ne pense pas que le grand publique soit prêt à faire un effort pour chiffrer ses mails. Par contre, il y a plein de "non informaticiens" qui pourraient s'y mettre si on leur simplifiait la tache. Je pense par exemple aux partis politiques, aux syndicats, aux dissidents de Chine, Russie, Syrie, Iran… la liste est longue.
  Pour eux, la facilité d'utilisation est le principal problème.
  
  Le projet de freedombox évoqué dans les commentaires est vraiment intéressante pour ça.
# Refais-toi une clé !!!

Posté par jbar (site web personnel) le 01 mars 2012 à 21:27. Évalué à 5.

Avec Hadopi, Acta et compagnie, de plus en plus de Mr Michu (son mari qui est geek/ingénieur, Madame suivra…) ressentent le besoin de chiffrer/s'authentifier.

On a déjà cité retroshare qui décolle paraît-il (tant mieux, car quand je l'avais testé il y a presque 1 an, c'était encore plein de bug, notamment sur la gestion des clés, et je l'ai désinstallé)

On peut encore citer Gnu Telephony : http://philippe.scoffoni.net/gnu-free-call-freedombox/

(sans citer OpenUDC qui est encore en gestation et dont je ne peux encore estimer précisément de date de naissance…. ;-) )

Pour ce qui est de simplifier les utilisations (dans la mesure du possible), Werner Koch et Marcus B. ("GnuPG themselves" :-p ) ont déjà émis quelques idées qui ne demandent qu'à être discutées/mises en œuvre (les aider ou les convaincre que c'est une priorité, car ces deux là font déjà énormément de choses … ) : http://www.g10code.com/steed.html

Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...
- [^] # Re: Refais-toi une clé !!!
  
  Posté par ploum (site web personnel, Mastodon) le 02 mars 2012 à 10:37. Évalué à 2.
  
  Merci pour ce dernier lien, c'est exactement ce genre de choses que je me désespérais de ne pas voir. J'avais juste mal cherché (ou alors c'est bien caché).
  
  Mes livres CC By-SA : https://ploum.net/livres.html
  - [^] # Re: Refais-toi une clé !!!
    
    Posté par julmx le 02 mars 2012 à 13:06. Évalué à 0.
    
    Bonne nouvelle, merci pour le dernier lien.
    C'est à ca que je pensais quand je parlais de confier cette tache au serveur mail :
    - automatic key distribution and retrieval (through DNS)
    - opportunistic encryption (always encrypt if possible)
    
    Je ne vois pas bien l'avantage de confier cette tache au DNS server plutôt qu'au mail server ?
    - [^] # Re: Refais-toi une clé !!!
      
      Posté par Nicolas Boulay (site web personnel) le 06 mars 2012 à 17:42. Évalué à 2.
      "automatic key generation automatic key distribution and retrieval (through DNS) opportunistic encryption (always encrypt if possible) trust upon first contact"
      
      A part le truc DNS, c'est exactement ce que je propose plus haut.
      
      "La première sécurité est la liberté"
# FreedomBox.

Posté par thamieu le 01 mars 2012 à 22:04. Évalué à 2.

Et vous, quel est votre avis sur GPG? Connaissez-vous des alternatives? Ou des projets ayant pour but de faciliter son utilisation?

Faciliter l'utilisation de GPG n'est pas le but, mais probablement l'un des moyens de FreedomBox. L'objectif de FreedomBox est de rendre facile et financièrement accessible la reprise de contrôle de ses données personnelles liées à nos communications en ligne. Cette reprise de contrôle reposera sur le chiffrement (quasi)systématique des échanges et l'auto-hébergement. L'accessibilité financière sera permise par un ordinateur très basse consommation genre Dreamplug.

Bon, t'as remarqué que je parlais au futur. Mais j'espère bien que ça contribuera à faciliter et répandre l'usage de PGP.
# Le double tranchant

Posté par Marotte ⛧ le 01 mars 2012 à 22:30. Évalué à 2.

j'ai découvert avec effroi que je ne me souviens plus du mot de passe de cette clé.

C'est bien le problème d'utiliser un chiffrement infaillible. La clé on peut l'oublier, ou se la faire voler.

Pour moi la sauvegarde sûre des mots de passe et des pass phrase (voir des clé GPG elle même), c'est une impression papier avec conservation de la copie dans un (plusieurs !) coffre-fort(s). Oui il faut aussi penser a vider la mémoire de l'imprimante…
- [^] # Re: Le double tranchant
  
  Posté par jyes le 01 mars 2012 à 22:41. Évalué à 3.
  
  dans un (plusieurs !) coffre-fort(s).
  
  Et même encore plus de coffres forts en n’y conservant qu’une clef partielle [0], comme ça même les coffres ne connaissent pas la clef.
  
  [0] avec un truc comme « Shamir’s secret sharing scheme ».
  - [^] # Re: Le double tranchant
    
    Posté par jbar (site web personnel) le 02 mars 2012 à 08:27. Évalué à 0.
    
    Je plussoie sur Shamir's sss, qui est une solution adoptée par les freedombox , cf. position 36:00 :
    
    http://www.universalsubtitles.org/en/videos/sxBsfB1LYihi/info/Presentation%20of%20the%20FreedomBox%20from%20James%20Vasile/
    
    (la vidéo entière mérite le détour, soit dit en passant)
    
    Je moinsse, tu moinsses, il moinsse, nos bots moinssent ...
- [^] # Re: Le double tranchant
  
  Posté par alice le 02 mars 2012 à 11:55. Évalué à 1.
  
  Plus simple que les coffres forts: http://www.vvsss.com/grid/
# a)

Posté par Axioplase ıɥs∀ (site web personnel) le 03 mars 2012 à 12:01. Évalué à 2.

Tente de retrouver ta clef.
Pour pas l'oublier, configure ensuite ton client de mail pour qu'il signe par défaut tous les mails sortants (j'ai fait ça dans mon mutt).
Aussi, fait un script qui t'envoie de temps en temps un courriel crypté (par exemple un script qui lit ta liste de choses à faire, et t'envoie un "reminder" chiffré, juste pour te faire chier^Wremémorer ta clef.

Voilou…
# En cas de conflit

Posté par kertiam le 05 mars 2012 à 10:35. Évalué à 6.

Aujourd'hui les communications par e-mail sont quotidiennement abordées lors des audiences dans les cas de harcèlement.

Pour ces cas, la preuve est à la charge de la défense et je me félicite d'avoir déjà le réflexe de systématiquement signer mes e-mails.
Si le destinataire change un seul octet du mail pour lui donner un sens absent lors de ma rédaction, ça sera vite détecté.

Signer vos e-mails vous protège contre la mauvaise foi de vos correspondants, rien que pour ça, les 30 secondes d'installation d'enigmail valent le coût.
- [^] # Re: En cas de conflit
  
  Posté par 16aR le 05 mars 2012 à 14:43. Évalué à 1.
  
  Complètement d'accord là-dessus :)
- [^] # Re: En cas de conflit
  
  Posté par claudex le 06 mars 2012 à 11:05. Évalué à 2.
  
  Il y a les logs des FAI (ou du fournisseur d'email) pour ça il me semble.
  
  « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche
# Un cas intéressant de GPG/Web-of-Trust : Monkeysphere

Posté par 16aR le 05 mars 2012 à 14:50. Évalué à 1.

Je suis tombé la dessus il y'a peu, vu que je me suis réintéressé a PGP/GPG pour refaire des paquets Debian/Ubuntu.
Moi par contre, j'ai conservé le mot de passe, donc j'ai pu réutiliser mon ancienne.

Sur le sujet, je suis d'accord que PGP est complexe :
* plusieurs clés
* des sous-clés
* des identité
* des signatures d'identité
* des auto signature d'identité

Et en effet, certaines IHM meriteraient d'être revues avec d'autre termes (et si on survole, ca affiche le vrai terme technique).

Grace à ce journal, je pense que je vais utiliser retroshare :) Merci a tous :D

Monkeysphere

Pour l'utilisation de GPG, Monkeysphere propose une utilisation interessante pour de l'administration systeme.
Alice = Admin systeme d'un reseau d'entreprise
Bob = nouveau entrant dans la boite

Bob et Alice se signent mutuellement leur clé.
Bob veut se connecter a un serveur, le certificat de celui ci est signé par Alice, donc Bob peut faire confiance au serveur. Et inversement, comme Alice a signé la clé de Bob, le serveur peut faire confiance a Bob et acceder a sa session/shell/bureau.

http://web.monkeysphere.info/why/

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.