À noter que les retours des utilisateurs sur version beta n'ont pas été jugés satisfaisants par les développeurs. Concernant la partie crypto, on trouve ce passage sur le dernier billet du blog:
Our GnuPG strategy and code isn't ready. We need to either make all that crypto stuff completely seamless, or improve the tools we expose to the user for manual work. Preferably both.
Traduction rapide: "Notre stratégie et notre code autour de GPG ne sont pas prêts. Nous devrions soit faire en sorte que le chiffrement soit totalement transparent, soit améliorer les outils que nous mettons à disposition de l'utilisateur pour qu'il puisse le faire manuellement. L'idéal serait de faire les deux."
Point 1: Qu'il soit possible de dissimuler plus facilement ce que fait un logiciel propriétaire rentre en compte comme principe général d'hygiène. Là, c'est ponctuel: le problème de superfish n'est pas qu'il soit propriétaire mais qu'il soit malveillant. Un logiciel libre malveillant serait tout aussi problématique.
Point 2: Comme toi d'après ce que je crois comprendre, et pour le dire vite, j'achète une machine pour son hard, et je m'occupe du soft moi-même. Je n'ai jamais eu de lenovo, mais j'ai une excellente expérience avec un (trans)portable Dell Precision. Hormis qu'il soit "trans", je le trouve toujours idéal suite à plusieurs upgrade que j'ai pu lui faire grâce à son évolutivité presque sans faille, et malgré son grand age et son autonomie réduite. La même chose en tout fin, design et autonome, je signe tout de suite. Je suis sûr qu'on est beaucoup dans ce cas, mais visiblement pas assez pour intéresser un gros assembleur qui pourrait faire des choses chouettes. Ou alors il y en a que je n'ai pas vu ?
D'ailleurs, la prise en charge du HPKP me laisse perplexe pour l'instant. J'ai faits des tests après avoir configuré un site test avec les instructions disponibles ici. Que l'empreinte soit absente, présente correcte ou présente incorrecte, Firefox 35 ne me signale rien du tout (testé sur Arch et MacOS).
Est-ce que l'un de vous sait comment tester s'il fonctionne ?
Il y a quelques difficultés, la principale et non la moindre étant conceptuelle: c'est difficile confier le chiffrement/déchiffrement à une librarie JS, car cette dernière sera chargée à la volée par ton navigateur sans possibilité de vérifier qu'elle n'a pas été compromise. Sans parler de la possibilité d'attaque depuis un autre code javascript malicieux par exemple, et tout ce qu'on connait en gestion de risque web.
Côté pratique, il faut bien un moyen de faire passer non seulement le contenu chiffré en AES mais également la clé de déchiffrement, ce qui suppose un canal sécure. Si ce dernier existe, le plus simple est d'envoyer le contenu sensible directement à travers lui. S'il pré-existe la connexion sécure, c'est possible de faire un one-time-pad. S'il n'existe pas ni avant ni au moment où la communication sécure doit être établie, c'est généralement là qu'intervient la crypto asymétrique: les clés asymétrique chiffrent la clé AES, et le message envoyé (pour faire simple) est "clé AES chiffré"+"contenu chiffré avec AES".
C'est très simplifié, hein, c'est rapide, je file faire autre chose… :)
Bon, j'ai bricolé un peu et voilà ce que j'ai trouvé.
Comme ma question ne déchaîne pas les passions ici, c'est là-bas que la discussion se poursuivra, si nécessaire :)
Bon, Vishesh Handa m'a dit sur freenode #kde-baloo qu'en ce qui concerne KDE 4.14, c'est possible d'utiliser le kioslave pour les tags, mais que les recherches complexes ne sont pas exposées. Pour ça, il faut attendre KDE 5.1.
Pour avoir un maximum de contrôle sur la granularité des permissions, tu peux utiliser une ROM alternative, par exemple CyanogenMod qui propose depuis longtemps Privacy Guard. Si tu vas dans cette direction, je te conseille de prendre un téléphone très diffusé de façon à ce qu'il soit supporté par une communauté active. Pour ton usage, un nexus me semblerait du coup être une bonne pioche, même si ce ne sont pas des foudres de guerre par rapport aux très hauts de gamme des principaux constructeurs.
Une solution parmi tant d'autres, configurer chez elle un client OpenVPN qui se connecte sur un serveur sur lequel tu as la main, ce dernier étant paramétré pour router correctement ce qui doit l'être, afin d'accéder de façon sécure à un serveur VNC installé sur sa machine, sans avoir à te préoccuper du NAT, de la box, etc… :)
Tout ça dans un deb, installé sur le SDD avant de lui installer à domicile, et hop :)
Si le but est simplement de réduire la possibilité d'interception, en première approche uniquement, il n'est pas nécessaire pour un débutant de comprendre la totalité des concepts sous-jacent à GPG. C'est d'ailleurs pour ça qu'il est possible d'assigner un niveau de confiance donné non seulement à une clé mais aussi à un correspondant. Voir par ex. l'explication ici.
Dans un second temps, c'est évidemment souhaitable. Pour arriver à une sécurité maximum, c'est nécessaire.
Si tu penses que les guides existants ne sont pas à la hauteur mais que c'est une problématique importante, pourquoi ne pas y contribuer, voire ne pas en écrire un (sans ironie, c'est une vraie question) ?
Google interdit progressivement le chat via XMPP et des comptes non google, maintenant les mails… Ses services ne sont plus fréquentables.
Interdiction ? Sérieusement ?
Déjà que Google refuse les connexions s2s chiffrées, ce qui veut dire que tout passe en clair entre un serveur XMPP perso et celui de google… à moins d'utiliser OTR mais dans ce cas-là plus possible de passer par le chat intégré à gmail, ce qui peut rebuter bcp de correspondants…
Juste: j'ai oublié de mentionner que c'était uniquement pour l'auteur du journal que c'était plus simple de se reposer sur un mail provider déjà existant plutôt que de configurer aux petits oignons son serveur postfix/dovecot, tout le tralala qui va avec, et d'en assurer le monitoring, la maintenance, etc…
Pour l'utilisateur, si on admet que la partie GPG semble obligatoire si le but est celui de préserver sa vie privée [1], ça ne change rien. Il ne faut pas non plus exagérer, ce n'est pas non plus si compliqué que ça d'autant plus qu'il existe des guides tout faits, genre ici.
[1] À moins qu'il existe des alternatives intégrée au client mail, avec chiffrement sérieux et end-to-end dont j'ignore l'existence ?
[^] # Re: Oculus Fist
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Google: je sais, je sais... mais tout de même, j'ai les boules !. Évalué à 6.
Spa une unité, ça, le degré kevin ? Pour mesurer en dessous du zero absolu, peut-être?
-> []
[^] # Re: Screenshots?
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Gestion de collection et comparaison de traces GPS. Évalué à 1.
Rho la honte, j'ai cliqué mais rien vu, comme quoi le café, ça aide :D
# Screenshots?
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Gestion de collection et comparaison de traces GPS. Évalué à 2.
Ça a l'air alléchant, est-ce que tu pourrais poster des screenshots pour les flemmards ? :)
[^] # Re: Mailpile
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Un client mail, automatisé GPG. Évalué à 3.
À noter que les retours des utilisateurs sur version beta n'ont pas été jugés satisfaisants par les développeurs. Concernant la partie crypto, on trouve ce passage sur le dernier billet du blog:
Traduction rapide: "Notre stratégie et notre code autour de GPG ne sont pas prêts. Nous devrions soit faire en sorte que le chiffrement soit totalement transparent, soit améliorer les outils que nous mettons à disposition de l'utilisateur pour qu'il puisse le faire manuellement. L'idéal serait de faire les deux."
C'est pas gagné.
# Preum's
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Superfish ou: j'ai rien compris au logiciel propriétaire. Évalué à 6.
J'attaque trolldi :)
Point 1: Qu'il soit possible de dissimuler plus facilement ce que fait un logiciel propriétaire rentre en compte comme principe général d'hygiène. Là, c'est ponctuel: le problème de superfish n'est pas qu'il soit propriétaire mais qu'il soit malveillant. Un logiciel libre malveillant serait tout aussi problématique.
Point 2: Comme toi d'après ce que je crois comprendre, et pour le dire vite, j'achète une machine pour son hard, et je m'occupe du soft moi-même. Je n'ai jamais eu de lenovo, mais j'ai une excellente expérience avec un (trans)portable Dell Precision. Hormis qu'il soit "trans", je le trouve toujours idéal suite à plusieurs upgrade que j'ai pu lui faire grâce à son évolutivité presque sans faille, et malgré son grand age et son autonomie réduite. La même chose en tout fin, design et autonome, je signe tout de suite. Je suis sûr qu'on est beaucoup dans ce cas, mais visiblement pas assez pour intéresser un gros assembleur qui pourrait faire des choses chouettes. Ou alors il y en a que je n'ai pas vu ?
# Sujet d'autant plus bienvenu....
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Tor à la radio. Évalué à 4.
… que depuis la fin de Place de la Toile, j'ai l'impression d'être orphelin !
Merci pour le lien :)
[^] # Re: Envoyez mail et supprimer un fichier après.
Posté par aurel (site web personnel, Mastodon) . En réponse au message Envoyez mail et supprimer un fichier après.. Évalué à 2.
deletefile n'existe pas. Regarde ici.
[^] # Re: Je sais pas
Posté par aurel (site web personnel, Mastodon) . En réponse au message système de fichier utilisant efficacement une combinaison SSD+HDD . Évalué à 4.
J'y rajoute dm-cache, Flashcache et LVM, cf ici.
Pas testé.
[^] # Re: HPKP mais pas DANE ?
Posté par aurel (site web personnel, Mastodon) . En réponse à la dépêche Firefox 35 heures. Évalué à 1.
D'ailleurs, la prise en charge du HPKP me laisse perplexe pour l'instant. J'ai faits des tests après avoir configuré un site test avec les instructions disponibles ici. Que l'empreinte soit absente, présente correcte ou présente incorrecte, Firefox 35 ne me signale rien du tout (testé sur Arch et MacOS).
Est-ce que l'un de vous sait comment tester s'il fonctionne ?
[^] # Re: Peut être une solution pour un futur proche
Posté par aurel (site web personnel, Mastodon) . En réponse au message Envoyer du courriel chiffré avec déchiffrement avec des outils webs. Évalué à 1.
Dans un autre genre, avec un plugin: http://korben.info/chiffrer-entierement-un-site-web-avec-cryptodata.html
# Quelques difficultés...
Posté par aurel (site web personnel, Mastodon) . En réponse au message Envoyer du courriel chiffré avec déchiffrement avec des outils webs. Évalué à 3.
Il y a quelques difficultés, la principale et non la moindre étant conceptuelle: c'est difficile confier le chiffrement/déchiffrement à une librarie JS, car cette dernière sera chargée à la volée par ton navigateur sans possibilité de vérifier qu'elle n'a pas été compromise. Sans parler de la possibilité d'attaque depuis un autre code javascript malicieux par exemple, et tout ce qu'on connait en gestion de risque web.
Côté pratique, il faut bien un moyen de faire passer non seulement le contenu chiffré en AES mais également la clé de déchiffrement, ce qui suppose un canal sécure. Si ce dernier existe, le plus simple est d'envoyer le contenu sensible directement à travers lui. S'il pré-existe la connexion sécure, c'est possible de faire un one-time-pad. S'il n'existe pas ni avant ni au moment où la communication sécure doit être établie, c'est généralement là qu'intervient la crypto asymétrique: les clés asymétrique chiffrent la clé AES, et le message envoyé (pour faire simple) est "clé AES chiffré"+"contenu chiffré avec AES".
C'est très simplifié, hein, c'est rapide, je file faire autre chose… :)
# Sur Ubuntu, ça semble marcher
Posté par aurel (site web personnel, Mastodon) . En réponse au message Impossible de faire fonctionner mon second ecran USB. Évalué à 1.
Il semblerait en tout cas que ça puisse marcher sur Ubuntu, cf. ici.
Si tu ne t'es pas encore trop investi dans CentOS, qui est assez aride, pourquoi ne pas prendre une distribution plus accueillante pour les débutants?
[^] # Re: v6
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Mon réseau à moi. Évalué à 7.
Odile ?
# Code source et configuration...
Posté par aurel (site web personnel, Mastodon) . En réponse au journal La longue route de protonmail vers le libre. Évalué à 5.
Un code source qui contiendrait des informations de configuration ?
…
-> []
[^] # Re: Attendre 5.1...
Posté par aurel (site web personnel, Mastodon) . En réponse au message [KDE] Est-ce possible de combiner plusieurs tags dans une recherche Baloo ?. Évalué à 2.
Bon, j'ai bricolé un peu et voilà ce que j'ai trouvé.
Comme ma question ne déchaîne pas les passions ici, c'est là-bas que la discussion se poursuivra, si nécessaire :)
# Attendre 5.1...
Posté par aurel (site web personnel, Mastodon) . En réponse au message [KDE] Est-ce possible de combiner plusieurs tags dans une recherche Baloo ?. Évalué à 2.
Bon, Vishesh Handa m'a dit sur freenode #kde-baloo qu'en ce qui concerne KDE 4.14, c'est possible d'utiliser le kioslave pour les tags, mais que les recherches complexes ne sont pas exposées. Pour ça, il faut attendre KDE 5.1.
Bon, et vous, vous faites comment?
[^] # Re: dist-upgrade
Posté par aurel (site web personnel, Mastodon) . En réponse à la dépêche Sortie d’Ubuntu 14.10. Évalué à 1.
Trois jours sans nouvelles… c'est pas vraiment bon signe !
-> []
# Vise une ROM alternative
Posté par aurel (site web personnel, Mastodon) . En réponse au message Quel smartphone choisir ?. Évalué à 3.
Salut!
Pour avoir un maximum de contrôle sur la granularité des permissions, tu peux utiliser une ROM alternative, par exemple CyanogenMod qui propose depuis longtemps Privacy Guard. Si tu vas dans cette direction, je te conseille de prendre un téléphone très diffusé de façon à ce qu'il soit supporté par une communauté active. Pour ton usage, un nexus me semblerait du coup être une bonne pioche, même si ce ne sont pas des foudres de guerre par rapport aux très hauts de gamme des principaux constructeurs.
A.
# Se débarasser de Teamviewer
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Installation GNU/Linux avec un SSD en plus.... Évalué à 5.
Une solution parmi tant d'autres, configurer chez elle un client OpenVPN qui se connecte sur un serveur sur lequel tu as la main, ce dernier étant paramétré pour router correctement ce qui doit l'être, afin d'accéder de façon sécure à un serveur VNC installé sur sa machine, sans avoir à te préoccuper du NAT, de la box, etc… :)
Tout ça dans un deb, installé sur le SDD avant de lui installer à domicile, et hop :)
# Liens cassés?
Posté par aurel (site web personnel, Mastodon) . En réponse à la dépêche NSA - temps de faire le (premier) point. Évalué à 2.
Tout est dans le titre, ni libwalk ni nsa-observer ne fonctionnent chez moi (timeout dans les 2 cas) :-/
[^] # Re: tu as raison
Posté par aurel (site web personnel, Mastodon) . En réponse au journal De l'approche ultra-légère de la sécurité sur linuxfr. Évalué à -3.
Clair. Sinon à ce compte-là, autant mettre du poivre.
[^] # Re: dcri
Posté par aurel (site web personnel, Mastodon) . En réponse au message Documents sur la sécurité informatique. Évalué à 10. Dernière modification le 27 mai 2014 à 12:40.
Sinon, les guides de l'ANSSI: http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/ , en particulier:
- http://www.securite-informatique.gouv.fr/gp_article712.html
- http://www.ssi.gouv.fr/fr/guides-et-bonnes-pratiques/recommandations-et-guides/securite-des-solutions-de-mobilite/recommandations-de-securite-relatives-aux-ordiphones.html
[^] # Re: Une histoire de curseur...
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Héberger son courriel lorsque celui-ci est classé en tant que spam. Évalué à 1.
Si le but est simplement de réduire la possibilité d'interception, en première approche uniquement, il n'est pas nécessaire pour un débutant de comprendre la totalité des concepts sous-jacent à GPG. C'est d'ailleurs pour ça qu'il est possible d'assigner un niveau de confiance donné non seulement à une clé mais aussi à un correspondant. Voir par ex. l'explication ici.
Dans un second temps, c'est évidemment souhaitable. Pour arriver à une sécurité maximum, c'est nécessaire.
Si tu penses que les guides existants ne sont pas à la hauteur mais que c'est une problématique importante, pourquoi ne pas y contribuer, voire ne pas en écrire un (sans ironie, c'est une vraie question) ?
[^] # Re: Google is evil
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Héberger son courriel lorsque celui-ci est classé en tant que spam. Évalué à 2.
Interdiction ? Sérieusement ?
Déjà que Google refuse les connexions s2s chiffrées, ce qui veut dire que tout passe en clair entre un serveur XMPP perso et celui de google… à moins d'utiliser OTR mais dans ce cas-là plus possible de passer par le chat intégré à gmail, ce qui peut rebuter bcp de correspondants…
[^] # Re: Une histoire de curseur...
Posté par aurel (site web personnel, Mastodon) . En réponse au journal Héberger son courriel lorsque celui-ci est classé en tant que spam. Évalué à 1.
Juste: j'ai oublié de mentionner que c'était uniquement pour l'auteur du journal que c'était plus simple de se reposer sur un mail provider déjà existant plutôt que de configurer aux petits oignons son serveur postfix/dovecot, tout le tralala qui va avec, et d'en assurer le monitoring, la maintenance, etc…
Pour l'utilisateur, si on admet que la partie GPG semble obligatoire si le but est celui de préserver sa vie privée [1], ça ne change rien. Il ne faut pas non plus exagérer, ce n'est pas non plus si compliqué que ça d'autant plus qu'il existe des guides tout faits, genre ici.
[1] À moins qu'il existe des alternatives intégrée au client mail, avec chiffrement sérieux et end-to-end dont j'ignore l'existence ?