Les gouvernements devraient-ils s'abstenir d'externaliser les développements ?

Posté par  (site web personnel) . Édité par Benoît Sibaud. Modéré par patrick_g.
Étiquettes :
18
16
avr.
2010
Sécurité
Suite à une dépêche de pBpG sur la sécurité et le "Threat Modeling", j'ai eu une intéressante discussion avec ce dernier.
Je suis parti de l'idée que pour améliorer la sécurité, il fallait commencer par fournir des garanties aux utilisateurs de logiciel.

Aujourd'hui, je reçois Crypto-Gram, par Bruce Schneier. Le dernier article traite des assurances dans le domaine de la sécurité logiciel et émet l'avis qu'elles sont nécessaires pour faire réellement avancer la sécurité et que les nouvelles méthodes n'apporteront rien.

J'ai donc tenté l'exercice (fort difficile) de la traduction, Lord, have mercy...

Journal Schneier sur l'intimité

Posté par  (site web personnel) .
Étiquettes :
14
6
avr.
2010
Le 4 de ce mois, Bruce Schneier écrivait un article[1] suite aux différentes déclarations des dirigeants d'entreprises comme Google ou Facebook. Ces gens, et d'autres, déclarent que le concept de vie privée est mort (ou presque), que la jeune génération ne fait plus attention à leur intimité.

Selon Schneier, la jeune génération fait toujours attention et que cette perte d'intimité sur Internet vient d'abord des entreprises qui essaient de les manipuler pour des gains financiers :

[...] but that's (…)

Journal 10 millions ou vous ne reverrez jamais vos données !

Posté par  (site web personnel) .
14
7
mai
2009
L'Etat de Virgine a un site web qui s’occupe de gérer les données médicales des patients. Ce "Virginia Department of Health Professions" liste toutes les prescriptions qui sont faites et enregistre les délivrances de médicaments par les pharmaciens.
Ce beau site web, visible ici, a été attaqué par un ou des pirates et la page d'accueil a été remplacée par le message suivant (traduction de votre serviteur):

"J'ai toute votre merde ! J'ai actuellement en *ma* (…)

Journal Empreinte du squelette

Posté par  (site web personnel) .
Étiquettes :
12
24
août
2010
Les empreintes digitales ou rétiniennes, c'est bien. Mais pas suffisant. En effet le "Wright State Research Institute" a trouvé une nouvelle méthode : l'empreinte du squelette.

L'idée est simple : scanner le squelette des personnes, avec des rayons X par exemple, et en tirer une empreinte. En effet, comme les empreintes digitales, le squelette est unique pour chaque personne et il est très difficile de le modifier.

Virtually every person has a unique skeletal structure nearly impossible to alter.

Actuellement (…)

Journal Idée (c'est-à-dire invention pour les daissidor praiçez) pour le stockage de CB en commerce électronique

Posté par  .
Étiquettes :
9
10
juil.
2010
iop journal,

Je comatais devant le blog de Schneier quand la lecture du paragraphe suivant m'a inspiré une idée, que je m'empresse de divulguer à la terre entière avant qu'un connard ne la brevette dans un pays du mal (je rêve sûrement en espérant que c'est pas déjà fait, mais bon...)

http://www.schneier.com/blog/archives/2010/06/data_at_rest_v(...): [...] Let's take a concrete example: credit card databases associated with websites. Those databases are not encrypted because it doesn't make any sense. The whole point of (…)

Journal Compromission de RSA

Posté par  . Licence CC By‑SA.
6
21
mar.
2011

Cher journal,

Ca sent quand même assez bien le sapin pour RSA, depuis l'annonce de l'attaque qu'ils ont subie récemment. Il semblerait que des infos concernant SecurID aient été compromises. Cédric Blancher en parle sur son blog, et Bruce Schneier n'est pas tendre non plus. Ils vous expliquerons tout ça bien mieux que moi.

Y a-t-il des utilisateurs de SecurID sur linuxfr ? Quelles sont les mesures prises par les clients face à ce "petit désagrément" ?

Journal Google censure !

Posté par  (site web personnel) . Licence CC By‑SA.
5
11
juil.
2011

Pour des raisons de sécurités, évidemment. D'après cet article du Register, tous les sous-domaines de co.cc auraient été supprimés des résultats du moteur de recherche. Ce fournisseur de services Internet serait utilisé par des programmes malicieux.

Protéger le pauvre utilisateur sans défense sur le grand méchant Internet. Est-ce de la responsabilité à Google de protéger l'utilisateur (dans ce cas particulier) ? Non. Actuellement la sécurité informatique est un gag, un énorme gag même, pour la simple est bonne raison (…)

Du respect de la vie privée et secrète du geek en milieu urbain

Posté par  (site web personnel) . Modéré par Sylvain Rampacek.
3
18
août
2005
Justice
J'avais décidé de ne plus utiliser mon téléphone et surtout pas mon mobile qui peut fournir ma position en continu. J'avais banni les cartes de fidélité des supermarchés qui permettaient de collecter les informations sur mes goûts et de les revendre. J'évitais de même les sondages divers commerciaux. Je me disais qu'en payant en liquide (avec un risque de contrefaçon sur les billets certes) et en n'utilisant pas de pass dans le métro, je préserverais un peu de ma liberté. Poussant le raisonnement au bout, j'avais décidé d'organiser régulièrement des brèves rencontres avec des inconnus pour mettre dans un pot commun mes billets et mes tickets de métro, les mélanger et repartir ainsi avec des numéros de série anonymisés, par peur d'être suivi, et puis cela me permettait d'échanger des empreintes GnuPG.

Bien sûr j'utilisais des logiciels libres, car pourquoi ferais-je confiance à des logiciels propriétaires boîtes noires, contenant potentiellement des portes dérobées ou des espiogiciels. Je ne communiquais qu'en https, mes courriels étaient tous chiffrés, mes partitions aussi, et de toute façon mes remarques sur la météo et le sexe opposé ne circulaient que dans des images de gnous en utilisant de la stéganographie. Et je me croyais tranquille.

C'était sans compter sur le déploiement de nouveaux ordinateurs équipés en standard de TPM (oui l'informatique dite « de confiance », TCPA/Palladium, ayez confiance, tout ça) qui étaient déjà sur le marché. Et les imprimantes qui se mettaient à bavasser aussi. Sans compter aussi que certains aimeraient bien collecter toutes les données de trafic internet et téléphonique (le courrier postal n'intéresse personne...), en évoquant des questions de sécurité, voire créer des e-milices sur les réseaux (de toute façon on me proposait déjà de confier mes clés de chiffrement aux forces de police, sachant qu'ils savaient s'en passer si besoin). Ceci dit les débats sur la nouvelle carte d'identité électronique en France avaient laissé perplexe (identifiant unique, données biométriques, mélange de l'officiel et du commercial, etc.).

De son côté l'industrie de la musique et du cinéma promettait des mesures techniques de protection pour décider si et quand et combien de fois je pourrais lire le DVD que j'avais acheté, et avec quel matériel et quel logiciel, en arguant des cataclysmes apocalyptiques et tentaculaires causés par des lycéens de 12 ans ; on me promettait même des identifiants uniques sur chaque disque et un blocage de la copie privée pourtant légale. Finalement on me proposait de bénéficier des puces d'identification par radio-fréquences RFID aux usages multiples : traçage des étrangers, contrôle des papiers d'identité, implantation sous-cutanée...

Bah il ne me restait plus qu'à aller poser devant les caméras dans la rue (Paris, Londres, etc.), et à reprendre des pilules. Enfin ça ou essayer d'améliorer les choses.

« Nous avons neuf mois de vie privée avant de naître, ça devrait nous suffire. » (Heathcote Williams)

« Même les paranoïaques ont des ennemis. » (Albert Einstein)

Journal Comment les jeux gratuits font payer leurs utilisateurs

Posté par  . Licence CC By‑SA.
Étiquettes :
1
15
juil.
2013

Bon, c'est en Anglais mais voici un lien vers un article expliquant comment les jeux "gratuits" arrivent à faire payer leurs utilisateurs: http://www.schneier.com/blog/archives/2013/07/f2p_monetizatio.html

TLDR: ces jeux utilisent principalement le fait qu'on est beaucoup plus prêt à payer pour conserver ce qu'on a plutôt que de payer pour acquérir de nouvelles choses.

SHA-1 aurait été cassé

Posté par  (site web personnel) . Modéré par Florent Zara.
Étiquettes :
1
16
fév.
2005
Sécurité
Tout comme MD5 et SHA-0 l'été dernier, c'est au tour de SHA-1 de plier sous les coups de butoir d'une équipe de cryptographes chinois. C'est ce qu'annonce sur son blog Bruce Schneier, l'auteur du célèbre Applied Cryptography.

Une attaque en 2^69 opérations aurait été trouvée, c'est à dire plus rapide d'un facteur 2000 par rapport à l'attaque par force brute en 2^80 (Cependant, 2^69 opérations reste à l'heure actuelle hors de portée du commun des ordinateurs). Cette attaque, basée sur l'attaque de SHA-0, est un résultat très important dans le domaine de la cryptanalyse. Il faut maintenant attendre que l'équipe publie son papier pour avoir les détails de l'attaque.

Le nombre de fonctions de hachage cryptographique sûres commence à se réduire et, comme le disait d'ailleurs Bruce Schneier quand les collisions sur MD5 et SHA-0 avaient été publiées, il est peut-être temps de réfléchir à un nouveau standard.

Journal Le gouvernement US paie l'audit de projets libres

Posté par  (site web personnel) .
Étiquettes :
0
18
jan.
2006
Le ministère de l'intérieur états-unien compte verser 1,24 millions de dollars en trois ans à l'université de Stanford et aux sociétés Coverity et Symantec pour auditer le code de logiciels libres parmi lesquels Apache, Bind, Firefox, FreeBSD, Gaim, Linux, mplayer, MySQL, OpenBSD, OpenSSH, OpenSSL, QT, Samba et xpdf (liste dans la dépêche c|net [2]).
On ne peut qu'espérer que cette initiative aura plus de succès que le défunt Sardonix [6].

D'après des commentaires sur le blog de Schneier [5], des (…)

Numéro spécial de CryptoGram

Posté par  (site web personnel) . Modéré par trollhunter.
Étiquettes :
0
2
oct.
2001
Sécurité
Bruce Schneier (un des pontes de la crypto) vient de publier un numéro spécial de sa newsletter Crypto-Gram (normalement mensuelle, publié le 15 du mois).

Il revient sur les évènements du 11 septembre au USA et leurs conséquences sur le monde de la sécurité informatique et de la crypto.

Entre autres, il aborde les sujets suivants : régulation de la sécurité aérienne, la biométrie dans les aéroports, la régulation de la crypto, l'utilisation de la stéganographie par les terroristes. Et il finit en défendant la vie privée et les libertés civiles et appelant tous les informaticiens impliqués à se battre pour le protéger.

Courrez lire ce numéro spécial, ces articles sont généralement très pertinents et très argumentés.